本发明涉及5G通信技术领域，尤其涉及一种利用5G-AKA对SUPI进行保护的方法。
背景技术：
根据2/3/4G(第2、3、4代)移动核心网标准规范体系，任何用户必须归属某一归属位置寄存器(HLR，Home Location Register)且只归属该HLR，移动用户的号码及其国际移动用户识别码(IMSI，International Mobile Subscriber Identity)作为一种资源，具有归属属性，是支撑移动用户业务实现的重要数据。如果一个用户的国际移动用户识别码被泄露，攻击系统可以通过移动通信网络获取移动通信网用户的身份、位置、业务等多种重要敏感信息，进而实现对特定用户的攻击。
在传统2/3/4G(第2、3、4代)移动通信网络中，通过构建可信安全专网的环境，实现用户双归属技术提升用户信息身份、位置等重要信息隐藏能力。部署用户信息防护设备于专网HLR的前端，接管本地HLR的对外接口，与本地HLR以直连七号链路通信，通过过滤实现对用户信息的安全掩护，通过采用用户双归属、位置、号码与IMSI的去关联存储以及访问者身份的关联匹配检测等技术完成HLR数据库中用户信息的防窃取和防篡改，实现用户位置、业务路由信息的防泄漏、防攻击功能。
用户信息防护设备串接在专网中的专用HLR前面，对专用HLR及重要用户信息提供防护，如图1所示。该解决方案的特点是能够比较彻底的将用户的公网身份与专网身份进行分离；缺点是建设成本较高，需要构建专网环境并且需要部署专用的用户信息防护设备。
在5G(第五代)移动通信网络中，移动核心网的整体架构和协议交互方式发生了很大变化，移动用户的号码及其内部身份也不再使用IMSI，而是采用注册用户永久识别码(SUPI，Subscription Permanent Identifier)作为移动核心网内部识别移动用户的号码。
在5G(第五代)移动通信网络中，采用公钥算法解决了接入时终端(UE,User Equipment)必须上报用户真实身份SUPI这一难题，终端用公钥算法对注册用户永久识别码进行加密获得注册用户掩盖识别码(SUCI，Subscription Concealed Identifier)，核心网统一数据管理平台(UDM，Unified Data Management)/ARPF(Authentication credential Repository and Processing Function)恢复出SUPI以实现对用户身份的识别。但是，这种方式在5G公众网络中不能够很好的隐藏用户网络归属特性，缺乏对用户敏感信息的保护。
技术实现要素：
鉴于上述的分析，本发明旨在提供一种利用5G-AKA对SUPI进行保护的方法，用以解决5G通信中不能很好的隐藏用户的身份、位置、业务等多种重要敏感信息的问题。
本发明的目的主要是通过以下技术方案实现的：
第一方面，提供了一种利用5G-AKA对SUPI进行保护的方法，包括以下步骤：
接收终端发起的鉴权请求，对终端上报的SUCI进行解密，得到SUPI；
当确定需要更换身份信息时，选择一新的“在用”身份标识SUPI'；
对上述“在用”身份标识进行加密后生成鉴权向量AV’，将所述鉴权向量AV’中的鉴权参数发送给终端；
接收更换上述“在用”身份后的终端发起的二次鉴权请求，利用新的“在用”身份标识进行鉴权。
本发明有益效果如下：该方法根据用户的敏感程度按需更新终端在移动通信网络中的用户“在用”身份，终端到移动通信网络鉴权的标准流程中实现终端用户真实身份和“在用”身份的转换过程；对网络改造成本低，用户无感、效率高，并且维持了网络鉴权原有的安全性；在不改变当前核心网协议体系的前提下，利用终端用户到移动通信网络鉴权的通道，隐藏用户网络归属特性，实现用户敏感信息的防护。
在上述方案的基础上，本发明还做了如下改进：
进一步，所述生成鉴权向量AV’包括：
对SUPI'计算杂凑值生成认证标签HASH(SUPI')；
使用传输保护密钥TK对HASH(SUPI')进行加密后放入鉴权向量AV’的AUTN'字段的相应位置；
将临时公钥TPK放入鉴权向量AV’的RAND'字段；采用随机数对鉴权向量AV’的其他字段进行填充。
采用上述进一步方案的有益效果是：网络端为终端分配的映射身份通过密码技术进行保护，避免在空口被监听的风险，提高了通信的完全性，有效保护用户的敏感信息。
进一步，所述生成鉴权向量AV’，包括：
对SUPI'计算杂凑值生成认证标签HASH(SUPI')；
使用共享密钥对HASH(SUPI’)进行加密，并将加密后的数据放入鉴权向量AV’的RAND'字段中；
采用随机数对鉴权向量AV’的其他字段进行填充,且AUTN'字段中AMF值保持有效。
采用上述进一步方案的有益效果是：在字段长度受限制或安全强度要求不高、对计算复杂度敏感的场合，可采用复用密钥保护SUPI'，节约了成本，同时提高了可靠性。
进一步，所述利用新的“在用”身份标识进行鉴权包括：
网元AMF接收更换上述“在用”身份后终端上报的SUCI和临时公钥；
网元AMF将SUCI和临时公钥发送给归属地网络的UDM/ARPF，并发起认证鉴权请求；
UDM/ARPF接收到上述认证鉴权请求、终端SUCI、临时公钥后，生成鉴权向量AV；
UDM/ARPF将上述生成的鉴权向量AV以及SUPI'信息放在鉴权响应消息中，发送给网元AMF；
网元AMF从鉴权响应消息中提取出AUTN和RAND下发给终端。
采用上述进一步方案的有益效果是：基于“在用”身份标识进行鉴权和密钥推演，只有终端和UDM/ARPF知道终端用户的真实身份，其他核心网网元只能看到“在用”身份，有效保护用户的敏感信息。
进一步，所述生成鉴权向量AV包括：
利用终端上报的SUCI、临时公钥，获得所述终端的SUPI，并通过所述SUPI查询“在用”身份SUPI'；
使用SUPI对应的根密钥K和“在用”身份SUPI'信息生成鉴权向量AV。
第二方面，提供了一种利用5G-AKA对SUPI进行保护的方法，包括以下步骤：
向核心网发送鉴权请求，对SUPI进行加密获得SUCI，并将SUCI、临时公钥上报给核心网；
接收核心网下发的鉴权响应信息并进行验证，当验证成功时，则执行正常鉴权流程；当验证失败时，则进行SUPI'更换；
发起二次鉴权，并获取二次鉴权参数进行验证。
本发明有益效果如下：该方法根据用户的敏感程度按需更新终端在移动通信网络中的用户“在用”身份，终端到移动通信网络鉴权的标准流程中实现终端用户真实身份和“在用”身份的转换过程；对网络改造成本低，用户无感、效率高，并且维持了网络鉴权原有的安全性；在不改变当前核心网协议体系的前提下，利用终端用户到移动通信网络鉴权的通道，隐藏用户网络归属特性，实现用户敏感信息的防护。
进一步，所述进行SUPI'更换包括：
在接收到的鉴权响应信息RAND'字段中提取TPK，与SUCI信息中的公钥字段对应的本地私钥一同派生出传输密钥TK；
使用传输密钥TK对接收到的鉴权响应信息AUTN'中字段进行解密，获得HASH(SUPI')并验证HASH值，若通过，则本次身份更换成功；
将SUPI'作为终端的“在用”身份，用于二次鉴权。
进一步，所述进行SUPI'更换包括：
使用共享密钥对接收到的鉴权响应信息中RAND'进行解密，获得HASH(SUPI')并验证HASH值，若通过，则本次身份更换成功；
将SUPI'作为终端的“在用”身份，用于二次鉴权。
进一步，所述发起二次鉴权，并获取二次鉴权响应进行验证，包括：
向核心网发送二次鉴权请求，对SUPI进行加密获得SUCI，并将SUCI、临时公钥上报给核心网；
接收核心网下发的鉴权响应信息并进行验证，当验证成功时，则执行正常鉴权流程。
第三方面，提供了一种利用5G-AKA对SUPI进行保护的方法，包括上述第一方面所述的对SUPI进行保护的方法和上述第二方面所述的对SUPI进行保护的方法。
本发明有益效果如下：该方法根据用户的敏感程度按需更新终端在移动通信网络中的用户“在用”身份，终端到移动通信网络鉴权的标准流程中实现终端用户真实身份和“在用”身份的转换过程；对网络改造成本低，用户无感、效率高，并且维持了网络鉴权原有的安全性；在不改变当前核心网协议体系的前提下，利用终端用户到移动通信网络鉴权的通道，隐藏用户网络归属特性，实现用户敏感信息的防护。
本发明中，上述各技术方案之间还可以相互组合，以实现更多的优选组合方案。本发明的其他特征和优点将在随后的说明书中阐述，并且，部分优点可从说明书中变得显而易见，或者通过实施本发明而了解。本发明的目的和其他优点可通过说明书、权利要求书以及附图中所特别指出的内容中来实现和获得。
附图说明
附图仅用于示出具体实施例的目的，而并不认为是对本发明的限制，在整个附图中，相同的参考符号表示相同的部件。
图1为现有技术中对专用HLR及重要用户信息提供防护示意图；
图2为本发明实施例中5G移动通信网络对SUPI进行保护系统框架图；
图3为本发明实施例中一种对SUPI进行保护的方法流程图；
图4为本发明实施例中另一种对SUPI进行保护的方法流程图；
图5为本发明实施例1中方法流程图；
图6为本发明实施例2中方法流程图。
具体实施方式
下面结合附图来具体描述本发明的优选实施例，其中，附图构成本申请一部分，并与本发明的实施例一起用于阐释本发明的原理，并非用于限定本发明的范围。
在5G(第五代)移动通信公众网络中，移动用户识别码采用SUPI表示。由于移动通信的特殊性，移动通信网中各网元节点之间可能传递和处理多维捆绑甚至冗余的用户信息，这是用户信息泄露的一个重要途径，因而需要从用户敏感信息去耦合分离存储、应用和传输三个方面入手，在不改变当前核心网协议体系的前提下，采用用户信息主动防护技术实现用户敏感信息的安全防护。
为了基于5G(第五代)移动通信公众网络基础设施提供安全等级更高的服务，需要由专用设备生成安全参数，并基于安全参数推演出用于加密和完保的密钥。3GPP(3rd Generation Partnership Project)标准中已定义了鉴权认证以及其它安全过程中的相关流程，为了实现隐藏用户的身份、位置、业务等多种重要敏感信息的需求，仅需在标准协议的基础上，对涉及到用户网络归属特性的网元进行安全增强，使用专用设备产生的安全参数，实现高密级服务的要求。在5G(第五代)移动通信公众网络中，存储用户网络归属特性的网元是UDM/ARPF(本发明中UDM/ARPF是指具有UDM和ARPF两个网元的功能)，因此需要对核心网网络功能UDM/ARPF进行安全增强。图2为本发明5G移动通信网络对SUPI进行保护系统框架图，系统主要涉及到终端(UE，User Equipment)和UDM/ARPF。
在本发明中，每次网络认为终端用户需要更换身份信息时，通过鉴权向量携带加密的映射用户身份，下发给终端(UE)。在认证鉴权过程中，USIM(全球用户识别卡)和网络能够同时完成双向认证和用户身份的更换。具体来说，主要包含SUPI'更换流程和利用SUPI'进行鉴权的流程，如图3、图4所示；当UDM/ARPF认为需要更换SUPI'时，执行SUPI'更换流程，该流程需借用一次鉴权流程，使得终端和UDM/ARPF之间获得共享密钥，并且在本次“鉴权”流程中，将加密后的SUPI'发送给终端，目的是防止在口空截获SUPI'。在后续的鉴权中，利用SUPI'执行鉴权流程，当UDM/ARPF收到SUCI后，就会索引找到SUPI'，在鉴权应答中携带SUPI'，并在后续鉴权和网络中，以SUPI'为该用户的“在用”身份标识。
实施例1，
公开了一种利用5G AKA对SUPI进行保护的方法。该方法应用于网络侧(包括网元AMF(Access and Mobility Management Function)和UDM/ARPF)，如图5所示，包括以下步骤：
步骤S101，核心网接收终端发起的鉴权请求，对终端上报的SUCI进行解密，得到SUPI；
步骤S102，判定是否需要更换身份信息；当确定无需更换身份信息时，利用SUPI进行鉴权；当确定需要更换身份信息时，从备选SUPI资源池中随机选择一SUPI作为终端新的“在用”身份标识SUPI'；
步骤S103，对上述“在用”身份标识进行加密，将加密后的“在用”身份标识放入鉴权向量AV'，将所述鉴权向量AV'中的鉴权参数发送给终端；
步骤S104，接收更换上述“在用”身份后的终端发起的二次鉴权请求，利用新的“在用”身份标识进行鉴权。
实施时，每次网络认为终端用户需要更换身份信息时，通过对鉴权应答消息中特定字段进行定制改造，利用协商流程实现UDM/ARPF将映射身份和密码信息推送给终端(鉴权向量携带加密的映射用户身份，下发给终端(UE))。在认证鉴权过程中，USIM(全球用户识别卡)和网络能够同时完成双向认证和用户身份的更换。
与现有技术相比，本实施例提供的利用5G-AKA协议对SUPI进行保护的方法。对网络改造成本低，用户无感、效率高，并且维持了网络鉴权原有的安全性；在不改变当前核心网协议体系的前提下，利用终端用户到移动通信网络鉴权的通道，实现用户敏感信息的防护。
在步骤S101中，核心网网元AMF接收到终端上报的SUCI和本次临时公钥，按照3GPP标准流程，网元AMF向UDM/ARPF发起认证鉴权请求，开始认证过程，并将SUCI(包含临时公钥、加密后的SUPI、MAC)、SN-NAME(网络名称)作为鉴权申请送给归属地网络的UDM/ARPF。网元UDM/ARPF利用接收到的SUCI、临时公钥、SN-NAME信息，根据3GPP标准将SUCI解密为SUPI；
为了对用户敏感信息进行保护，在步骤S102中，网元UDM/ARPF查询用户SUPI的状态，根据预设策略(如用户安全级别，信息敏感程度等)，对是否需要更换SUPI进行判断，当确定需要更换身份信息时，从UDM/ARPF中的备选SUPI资源池(示例性地，可以使用特殊用户群申请的几万个公网的合法SUPI号码作为备选资源池)中随机选择一SUPI号码作为终端新的“在用”身份标识SUPI'；
为了避免在空口被监听的风险，提高通信的完全性，有效保护用户的敏感信息，在步骤S103中，网元UDM/ARPF对“在用”身份标识进行加密，示例性地，可以基于ECDH(基于ECC(椭圆曲线密码体制)的密钥交换算法)协议，派生密钥对SUPI'进行加密，放在生成的鉴权向量中，具体包括以下步骤：
生成本地临时公私钥对TPK(临时公钥)和TSK(临时私钥)；
使用SUCI信息中包含的公钥和TSK派生出传输保护密钥TK；
对SUPI'计算杂凑值生成认证标签HASH(SUPI')；
使用TK(传输保护密钥)对SUPI'||HASH(SUPI')进行加密，并将加密后的数据放入鉴权向量AV’中的AUTN'字段的相应位置，且AUTN'字段中的AMF值保持有效；
将TPK放入鉴权向量AV’的RAND'字段；
采用随机数对鉴权向量AV’内除RAND'和AUTN'外的其他字段进行填充。
考虑到在字段长度受限制或安全强度要求不高、对计算复杂度敏感的场合，可采用复用密钥保护SUPI'，节约了成本，同时提高了可靠性。还可以采用共享密钥对“在用”身份标识进行加密，包括以下步骤：
使用共享密钥对新生成的SUPI'进行加密，放在生成的鉴权向量AV’中：
对SUPI'计算杂凑值生成认证标签HASH(SUPI')；
使用共享密钥对HASH(SUPI’)进行加密，并将加密后的数据放入鉴权向量AV’的RAND'字段中；
采用随机数对鉴权向量AV’内除RAND'外的其他字段进行填充,且AUTN'字段中AMF(Action Message Format)值保持有效。
在生成鉴权向量AV’以后，按照3GPP标准流程，UDM/ARPF将生成的鉴权向量AV’连同SUPI一同发送给网元AMF。AMF按照3GPP标准流程，将鉴权向量AV’中的AUTN'和RAND'以鉴权请求的形式下发给终端。
需要说明的是，在步骤S104中，利用新的“在用”身份标识进行鉴权包括以下步骤：
网元AMF接收更换上述“在用”身份后终端上报的SUCI和临时公钥；
网元AMF将SUCI和临时公钥发送给归属地网络的UDM/ARPF，并发起认证鉴权请求；
UDM/ARPF接收到上述认证鉴权请求、终端SUCI、临时公钥后，生成鉴权向量AV；
按照3GPP标准流程，UDM/ARPF将上述生成的鉴权向量AV以及SUPI'信息放在鉴权响应消息中，发送给网元AMF；
网元AMF从鉴权响应消息中提取出AUTN和RAND下发给终端。
需要说明的是，在进行二次鉴权生成鉴权向量AV过程中：
网元UDM/ARPF利用终端上报的SUCI、临时公钥，获得所述终端的SUPI，并通过所述SUPI查询“在用”身份SUPI'；
使用SUPI对应的根密钥K和“在用”身份SUPI'信息生成鉴权向量AV。
实施例2，
公开了一种利用5G AKA对SUPI进行保护的方法。应用于用户终端侧，如图6所示，包括以下步骤：
步骤S201，向核心网发送鉴权请求，对SUPI进行加密获得SUCI，并将SUCI、临时公钥上报给核心网；
步骤S202，接收核心网下发的鉴权响应信息并进行验证，当验证成功时，则执行正常鉴权流程；当验证失败时，则进行SUPI'更换；
步骤S203，发起二次鉴权，并获取二次鉴权响应进行验证。
与现有技术相比，本实施例提供的利用5G-AKA协议对SUPI进行保护的方法。对网络改造成本低，用户无感、效率高，并且维持了网络鉴权原有的安全性；在不改变当前核心网协议体系的前提下，利用终端用户到移动通信网络鉴权的通道，实现用户敏感信息的防护。
在步骤201中，终端利用按照3GPP标准流程中公钥算法对SUPI进行加密获得SUCI，并连同临时公钥上报给核心网网元AMF。
步骤S202中，终端接收到核心网网元AMF发送的鉴权响应信息(主要包括AUTN'和RAND'；并验证AUTN'中的MAC，当验证成功时，则判定为正常的鉴权流程，完成入网鉴权；如果验证失败，执行SUPI'更换流程；
示例性地，当接收到的鉴权响应信息中是基于ECDH协议，派生密钥对SUPI'进行加密时，进行SUPI'更换包括以下步骤：
在接收到的鉴权响应信息RAND'字段中提取TPK，与SUCI信息中的公钥字段对应的本地私钥一同派生出传输密钥TK；
使用传输密钥TK对接收到的鉴权响应信息AUTN'中字段进行解密，获得HASH(SUPI')并验证HASH值，若通过，则本次身份更换成功；
将SUPI'作为终端的“在用”身份，用于二次鉴权和密钥推演。
示例性地，当接收到的鉴权响应信息中是采用共享密钥对SUPI'进行加密时，进行SUPI'更换包括以下步骤：
使用共享密钥对接收到的鉴权响应信息中RAND'进行解密，获得HASH(SUPI')并验证HASH值，若通过，则本次身份更换成功；
将SUPI'作为终端的“在用”身份，用于二次鉴权和密钥推演。
需要说明的是，所述发起二次鉴权，并获取二次鉴权响应进行验证，包括：
向核心网发送二次鉴权请求，对SUPI进行加密获得SUCI，并将SUCI、临时公钥上报给核心网；
接收核心网下发的鉴权响应信息并进行验证，当验证成功时，则执行正常鉴权流程。
实施例3，
公开了一种利用5G-AKA对SUPI进行保护的方法，由用户终端侧和网络侧交互实现，包括以下步骤：
步骤S301，终端向核心网发送鉴权请求，对SUPI进行加密获得SUCI，并将SUCI、临时公钥上报给核心网；核心网接收终端发起的鉴权请求，对终端上报的SUCI进行解密，得到SUPI；
步骤S302，核心网通过终端的级别和敏感程度判定是否需要更换身份信息；当确定无需更换身份信息时，利用SUPI进行鉴权；当确定需要更换身份信息时，从备选SUPI资源池中随机选择SUPI'作为终端新的“在用”身份标识；
步骤S303，核心网对上述“在用”身份标识进行加密，将加密后的“在用”身份标识放在鉴权向量AV’中，并发送给终端；终端接收核心网下发的鉴权响应信息并进行验证，当验证成功时，则判定为正常的鉴权流程，完成入网鉴权；当验证失败时，则进行SUPI'更换。
步骤S304，终端在更换“在用”身份后向核心网发起二次鉴权请求；核心网利用新的“在用”身份标识进行鉴权，并将二次鉴权响应发送给终端，终端获取二次鉴权响应进行验证。
实施时，终端向核心网发送鉴权请求，当核心网UDM/ARPF认为需要更换SUPI'时，执行SUPI'更换流程，终端和UDM/ARPF之间获得共享密钥，生成携带有新的映射身份SUPI'的鉴权向量，将加密后的鉴权向量发送给终端，防止在空口截获SUPI'，终端对接收到的鉴权响应进行验证，若验证失败则进行用户身份更换；在后续的二次鉴权中，利用SUPI'执行鉴权流程，当UDM/ARPF收到SUCI后，就会索引找到SUPI'，在鉴权应答中携带SUPI'，并在后续鉴权和网络中，以SUPI'为该用户的“在用”身份标识。
需要注意的是：本实施例中，网络侧和终端侧交互实现上述方法时，网络侧的具体实现细节与实施例1中相同，终端侧的具体实现细节与实施例2中相同，此处未重复赘述。
与现有技术相比，本实施例提供的利用5G-AKA协议对SUPI进行保护的方法。对网络改造成本低，用户无感、效率高，并且维持了网络鉴权原有的安全性；在不改变当前核心网协议体系的前提下，利用终端用户到移动通信网络鉴权的通道，实现用户敏感信息的防护。
需要说明的是，除上述实施例所述的解决方案外，在移动通信网络中对SUPI进行保护，可以利用标准鉴权流程传递的其他字段(包括但不仅限于本发明提到的字段名称、长度、算法的长度和种类等)实现类似的效果。
本领域技术人员可以理解，实现上述实施例方法的全部或部分流程，可以通过计算机程序来指令相关的硬件来完成，所述的程序可存储于计算机可读存储介质中。其中，所述计算机可读存储介质为磁盘、光盘、只读存储记忆体或随机存储记忆体等。
以上所述，仅为本发明较佳的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到的变化或替换，都应涵盖在本发明的保护范围之内。