蜂窝远程通信网络的认证服务器和对应的UICC的制作方法

这些网络的特定目标是帮助在与安全元件（uicc,euicc,usim,……）通信的终端之间建立通信。

这些安全元件通常采用通常由移动电话、智能手机，pdas……组成的其终端的可移动卡的形式。还存在集成在调制解调器部分终端或机器（因此不可提取）中的安全元件，这些机器是交通工具、饮料自动售货机等等……。

更确切地说，本发明涉及此类网络中的认证。称为usim并存储在(e)uicc上的应用具有在用户尝试连接到umts或lte网络时认证用户设备的目标。此类应用通过使用存储在安全元件中的imsi来唯一地识别用户和他的移动运营商。在这样的网络中，网络认证安全元件也是必要的。

认证允许验证由与无线电路径上的sim卡通信的终端传输的身份（imsi或tmsi）是正确的，以一方面针对其资源的欺诈使用保护运营商，并且另一方面通过禁止未授权的第三方使用他们的帐户来保护订阅者（subscriber）。移动网络可能每一最后的位置更新、呼叫建立（传入或传出）以及在启用或禁用某些服务之前来要求订阅者的认证。在一些专用信道上实施加密密钥期间也要求它。

gsm认证基于挑战/应答的协议并基于秘密密钥加密算法。然而，在gsm方案中，网络对sim卡进行认证，但是sim卡不对网络进行认证。终端的sim卡不能验证移动所附连的网络的身份和有效性。

在3g网络（umts）或4g网络（lte）中使用的认证机制是相互认证（终端认证网络并且网络认证终端）。

3g认证（也称为针对认证和密钥协商）基于共享密钥k，其仅存在于称为hlr（归属位置寄存器）和usim的网络的元件中。因为hlr从不直接与终端通信，所以msc服务器的vlr执行认证程序。因此，vlr代表认证服务器。

当msc服务器从终端接收对附连的请求时，msc服务器从hlr下载一到五个认证向量（av，认证向量）。

av中的参数是：

-rand–充当生成4个其他av设置的输入参数之一的挑战。rand在128位上编码；

-sres–对usim认证的网络所使用的预期结果（32到128位）；

-autn–usim针对网络认证所使用的认证令牌（128位）；

-ck-用于通信的加密的会话密钥（128位）；

-ik-完整性密钥（128位），以保护终端与rnc（“无线电网络控制器”）之间的信令的完整性，控制基本无线电传输站的umts网络的元件—rnc管理无线电资源的分配，在发送到终端之前加密数据，以及订阅者的位置的一部分）。

f1到f5算法被用来生成这些参数（参见图1）。生成mac（64位）（以帮助终端认证网络，不一定是vlr）。ak是从rand和k生成的匿名密钥。

auc从它与usim共享的密钥k终端和两个其它参数：序列号sqn（48位）和伪随机数rand来生成认证向量。

sqn是在hlr/auc中布置的计数器，并且针对每个usim是个体的。就其本身而言，usim记录由squicc套件调用的计数器序列，这是usim已接受的最大序列号。

认证向量生成五个部分：随机值（rand）、具有usim的过程挑战/应答中将要求的结果（res），对于usim的认证网络的认证令牌（autn）、用于加密的会话密钥（ck）和用来保护信令消息的完整性的完整性控制密钥（ik）。

认证令牌autn等于：，

其中ak=f5（rand，k），amf（16位）为认证管理域，||表示级联并且为xor函数。

在将imsi传输到hlr/auc之后，vlr在接收到五重（rand,autn,xres,ck,ik）时，将其从hlr接收的挑战rand和认证令牌autn传输到usim并等待应答res。

在usim处，类似于图2中所示出的，从autn检索mac、amf和。它然后计算f5（rand,k=ak）并推断sqn。

如果squicc离sqn太远（不包括在特定范围中），则usim执行与网络的重新同步阶段。

如果squicc离sqn不太远（包括在上面的范围中），则它计算xmac=f1（k，rand，sqn）并将其与mac进行比较。如果它们相等，则网络由usim来进行认证。

usim还对于算法f2使用rand和k来计算res。会话密钥ck也在f3算法的情况下使用rand和来自usim的密钥k来计算。

挑战/应答可概括如下：如果由usim计算并传输到vlr的结果res是从hlr/auc接收的相同xres，则由vlr认证usim。因此，认证令牌autn允许usim检查auc是否是真实的并且它不是通过接入网络的攻击类型“中间人”。此外，如果res等于xres，则vlr认为相互认证成功。因此在网络和usim之间获得相互认证。

此认证机制在3gppts33.102中描述（例如，在其日期为2016年1月的13.0.0版本中）。

已经请求3gpp组织在灾难的情况下或在其中不存在通过国家运营商的3gpp无线电覆盖的公共安全操作期间为公共安全组织提供网络覆盖。例如，在自然灾害（例如飓风）的情况下，可能丢失到现有固定长期演进（lte）网络基础设施的所有连接。这样种类的操作被称为公共安全的隔离操作（iops），因为本地enb不具有用来认证移动用户的对核心网络（hlr/auc）的接入。

iops在从2016年5月的etsits123401v13.6.1的附录k中指定（lte；演进通用陆地无线电接入网络（e-utran）接入的通用分组无线电服务（gprs）增强。

当enb（lte基站）与固定lte网络基础设施之间的连接丢失时，不能执行用户设备的认证。为了在紧急情况期间提供通信，可以临时安装和激活可部署的lte基础设施以提供临时lte覆盖。当激活时，可部署的lte基础设施不连接到固定的lte网络基础设施，并且可部署的lte基础设施可以在固定的lte网络基础设施返回到服务的同时保持活动（active）达延长的时间量。

除了其他部件之外，lte网络还包括诸如归属订阅者服务器（hss）之类的数据库，其存储用户相关和订阅相关信息。例如，固定hss被配置成存储imsi（国际移动订阅者身份）和用来识别和认证通信设备（诸如移动电话或计算机）上的订阅者的相关认证密钥（k）。

可部署系统可以被提供在移动环境中，例如在卡车上。为了使可部署系统成功地完成通信设备的网络接入认证，当不存在到固定lte网络基础设施的连接时，可部署系统必须维护其自己的hss。可部署的hss还被配置成存储用户相关的和订阅相关的信息。

然而，3gpp对公共安全组织（英国内政部，美国商务部，内政部，法国）提出的当前解决方案并未完全满足要求。今天的解决方案仅允许50到60个不同的iops本地网络在国家/州上运营，其中粗略估计将要求更多的10或15倍。例如，在比如法国的国家中，存在可以具有当地警察、消防员、第一救援部队、宪兵等等……的大约100个部门，并且这些.实体中的每个需要例如每个部门中hss/auc。

当前的解决方案基于一个长期iops密钥ki（针对当地警察的ki1，针对消防员的ki2，……）到50至60个iops本地密钥k（每个iops本地网络一个）中的多样化。密钥索引化和多样化是基于认证向量的autn分组中的认证管理域（amf）（参见3gppts33.102）。每个iops本地密钥k被预共享（存储）在本地iopshss/auc中和被允许接入对应的iops本地网络的usim中。

限制来自3gpp认证机制中的amf中的可用位，以向usim提供iops本地网络标识符：amf可以包含16位，但是为mno保留了10个，并且因此在amf中仅6位可用于识别iops本地网络。

因此，在许多情况下，能够运行的iops本地网络的最大数目（理想地为2⁶=64）是不够的。

本发明提出了此问题的解决方案。

本发明提出了一种蜂窝远程通信网络的认证服务器，该认证服务器被布置用于生成要传输到远程通信终端的认证令牌，该认证令牌包括消息认证码和序列号，其中消息认证码等于：

macx=kidxxorf1（amf,sqnx,rand,k），

其中kidx是等于如下的mac的偏置形式的密钥索引信息：

mac=f1（k,amf,sqnx,rand），

其中f1是函数，k是密钥，rand是随机数，并且sqnx是相对于从密钥k和kidx导出的对应密钥kx的序列计数器，并且amf是如在3gppts33.102中定义的认证管理域的内容。

优选地，认证服务器还计算要传输到远程通信终端的认证向量，所述认证向量等于：

avx=rand||xresx||ckx||ikx||autnx

其中：xresx=f2（rand,kx）

ckx=f3（rand，kx）

autnx=sqnxxorak||amf||macx

ak=f5（rand，k）

有利地，认证服务器是iops认证服务器。本发明还涉及包括usim应用的uicc，该usim应用被配置成从它与其协作的远程通信终端接收消息

autnx||rand

其中rand为随机数并且autnx等于：

autnx=sqnxxorak||amf||macx

其中ak=f5（rand，k）

并且macx等于：

macx=kidxxorf1（amf,sqnx,rand,k），

其中kidx是等于如下的mac的偏置的形式的密钥索引信息：

mac=f1（k,amf,sqnx,rand），

其中f1和f5是函数，k是密钥，sqnx是相对于从密钥k和kidx导出的对应密钥kx的序列计数器，并且amf是如3gppts33.102中定义的认证管理域的内容，

应用计算值

xmac=f1（amf,sqnx,rand,k）

以及密钥索引

kid=xmacxormacx

应用验证计算的kid与存储的白名单中的kids中的一个匹配，并且如果匹配为正（positive），则基于kidx来计算对应的密钥kx并计算密钥ak,sqnx和

resx=f2（kx,rand）

ckx=f3（kx,rand）

ikx=f4（kx,rand）

并且将resx,ckx和ikx发送到远程通信终端。

当阅读本发明的有利实施例时，本发明的其他特性和优点将显现，所述实施例作为说明且不是限制并且参考附图来给出，其中：

图1表示在hss/auc的级别处autn和认证向量av的生成；

图2表示由usim的网络运营商的hss/auc的认证；

图3表示在hss/auc级别处获得的本发明的优选实施例；

图4表示根据本发明的相互认证方法。

先前已经关于现有技术描述了图1和图2。

图3表示在hss/auc的级别处获得的本发明的优选实施例。

关于此图与图1的比较，差异如下：新密钥kx用于生成sqnx（替代sqn），xresx（替代xres），ckx（替代ck），ikx（替代ik），并且另一密钥索引kidx用来使mac多样化以用于获得值macx。

本发明在于认证服务器（hss/auc）以发送到usim的autn的mac部分（macx）中的偏置的形式注入另外的密钥索引信息（kidx）。另外的密钥索引信息允许另外的密钥被生成和编索引，而没有改变现有的认证协议。

针对给定的kidx而由下面的等式来描述密钥索引注入算法：

基于amf来计算k，因为它在3gppts33.102中提出。如针对iops所定义的，它是来自长期密钥的多样化密钥。

kx=deriv（kidx,k）。例如，kx=hmac-sha-256（k,kidx）。

sqnx=相对于对应密钥kx生成的。例如，sqnx是每次基于密钥kx生成认证向量而递增1的序列号。

macx=kidxxorf1（amf,sqnx,rand,k）

ak=f5（rand，k）

autnx=sqnxxorak||amf||macx

xresx=f2（rand，kx）

ckx=f3（rand，kx）

ikx=f4（rand，kx）

avx=rand||xresx||ckx||ikx||autnx

这里接下来是一些示例，示出了如何将mac变换到macx中：

对于mac（64位）=0x1122334455667788并且kidx=0x2222222222222222，

macx（64位）=0x33001166774455aa。

对于mac（64位）=0x1122334455667788并且kidx=0x5151515151515151，

macx（64位）=0x40736215043726d9。

kx例如是多样化的或者例如是随机数。

kidx是对应于kx的密钥索引信息。

一旦hss/auc生成认证向量（在usim的认证程序时），它们被发送到移动性管理实体（mme），其在本地管理usim/移动的认证和授权。

图4表示根据本发明的相互认证方法。

四个实体在这里被表示：hss/auc，mme，远程通信终端me和usim。

为了认证目的，usim首先通过me和mme来将它的imsi发送到hss/auc。hss/auc在本地生成认证向量avx，并且将这些向量发送到mme。mme在本地存储avx并将（rand,autnx）对发送到usim。

在接收时，usim从autnx检索amf信息（其中autnx=sqnxxorak||amf||macx）。

基于amf信息，usim验证是否必须在iops密钥k中导出长期密钥。如果是，则它计算iops密钥k。

usim用f1来计算预期的xmac：xmac=f1（amf,sqnx,rand,k）并且密钥索引kid=xmacxormacx。从autnx中提取macx。

usim验证计算的kid是可接受的值。例如，计算的kid与kids的存储的白名单中的kids中的一个匹配。如果此匹配为正，则匹配的kid是注入的kidx。kids的白名单是由usim可接受的kidx的名单。此名单可以在usim的制造下在usim中提供，或者在操作期间通过空中下载到usim。在其他实施例中，可接受的kids可以是满足某些给定条件的kids，例如设置到1的位数等于6的kids。

usim基于kidx来计算/检索对应的密钥kx，并且计算密钥ak=f5（rand，k），从autnx解密sqnx，并验证sqnx与kx是一致的以防止重放攻击。

然后，usim基于rand和kx来计算resx，ckx，ikx。

usim将resx，ckx和ikx返回到me。

me存储ckx和ikx（因为它不知道长期密钥），并且将resx作为对挑战的应答发送到mme。

然后，mme将接收的resx与其预期值xresx进行比较。

如果xresx和resx相等，则认证过程成功。否则，usim的认证被视为失败。

本发明允许在公共安全用例的隔离操作中对附加密钥编索引。

附加索引化重新使用相同的认证协议，使得在各种实体：hss/auc，mme，me，usim之间的消息交换不改变。

因为密钥索引被作为偏置注入到mac，所以检索过程在于在白名单中执行检索的偏置的查找。这不要求重新计算mac或密钥。

本发明将3gpp认证机制中的限制提升到在没有密钥冲突的情况下部署的更多iops本地网络。它可用于公共安全隔离操作用例，但是还可以在消费者/商业用例中使用。