【技术实现步骤摘要】
一种身份鉴别方法和装置
[0001]本申请涉及网络通信安全
，特别是涉及一种身份鉴别方法和装置。
技术介绍
[0002]目前，通信网络通常要求在用户和网络接入点之间执行双向身份鉴别，确保合法用户能够与合法网络通信。但在已有的实体鉴别方案中，通常不能保护用户的隐私信息，且会存在网络接入点恶意计费，给用户造成异常收费的问题。
技术实现思路
[0003]为了解决上述技术问题，本申请提供了一种身份鉴别方法和装置，采用对称密钥的实体鉴别协议，在保障实体身份和相关信息机密性的同时，实现了请求设备和鉴别接入控制器之间的双向身份鉴别，确保合法用户访问合法网络；并且可以防止网络接入点对没有在其服务区内尝试访问网络的用户恶意计费。同时，选择采用密钥交换计算并通过巧妙的细节及过程设计，增强了协议的抗量子计算攻击或者抗字典暴力破解攻击的能力。
[0004]本申请实施例公开了如下技术方案：
[0005]第一方面，本申请实施例提供了一种身份鉴别方法，包括：
[0006]请求设备向鉴别接入控制器发送鉴别请求消息，所述鉴别请求消息中包括所述请求设备的身份信息密文；所述请求设备的身份信息密文是所述请求设备利用加密证书的公钥对包括所述请求设备的身份标识在内的加密数据加密得到的；
[0007]所述鉴别接入控制器向其信任的第二鉴别服务器发送携带有所述请求设备的身份信息密文的第一鉴权请求消息，接收所述第二鉴别服务器发送的第一鉴权响应消息，从所述第一鉴权响应消息中获得所述请求设备信任的第一鉴别服务器产生的存...
【技术保护点】
【技术特征摘要】
1.一种身份鉴别方法，其特征在于，所述方法包括：请求设备向鉴别接入控制器发送鉴别请求消息，所述鉴别请求消息中包括所述请求设备的身份信息密文；所述请求设备的身份信息密文是所述请求设备利用加密证书的公钥对包括所述请求设备的身份标识在内的加密数据加密得到的；所述鉴别接入控制器向其信任的第二鉴别服务器发送携带有所述请求设备的身份信息密文的第一鉴权请求消息，接收所述第二鉴别服务器发送的第一鉴权响应消息，从所述第一鉴权响应消息中获得所述请求设备信任的第一鉴别服务器产生的存证随机数和所述第一鉴别服务器生成的身份鉴别密钥，其中，所述存证随机数和所述身份鉴别密钥是所述第一鉴别服务器在解密所述请求设备的身份信息密文并根据解密得到的所述请求设备的身份标识确定所述请求设备的身份合法后产生的；所述身份鉴别密钥是根据包括所述第一鉴别服务器与所述请求设备的预共享加密密钥在内的计算数据计算得到的；所述请求设备接收所述鉴别接入控制器发送的第一验证消息，向所述鉴别接入控制器发送第二验证消息，所述第一验证消息中包括所述存证随机数，所述第二验证消息中包括第一身份鉴权码和第一消息完整性校验码；所述第一身份鉴权码是所述请求设备利用其与所述第一鉴别服务器的预共享存证校验密钥对包括所述存证随机数在内的信息计算生成的；所述第一消息完整性校验码是所述请求设备利用其与所述鉴别接入控制器之间的消息完整性校验密钥对包括所述第二验证消息中除所述第一消息完整性校验码外的其他字段计算生成的；其中，所述消息完整性校验密钥是根据包括所述身份鉴别密钥在内的信息计算生成的；所述鉴别接入控制器对所述第一消息完整性校验码进行验证，验证通过后，确定所述请求设备的身份为合法，生成鉴别完成消息和第一存证消息；所述请求设备对所述鉴别完成消息中的第二消息完整性校验码进行验证，验证通过后，确定所述鉴别接入控制器的身份为合法；所述第二消息完整性校验码是所述鉴别接入控制器利用所述消息完整性校验密钥对包括所述鉴别完成消息中除所述第二消息完整性校验码外的其他字段计算生成的；所述第一鉴别服务器对所述第一存证消息中的所述第一身份鉴权码进行验证，验证通过后，生成并存储所述请求设备的请求通过记录。2.根据权利要求1所述的方法，其特征在于，所述鉴别接入控制器先发送所述第一存证消息，所述第一鉴别服务器对所述第一存证消息中的所述第一身份鉴权码验证通过后，生成第一存证确认消息；所述鉴别接入控制器接收所述第一存证确认消息后再向所述请求设备发送所述鉴别完成消息。3.根据权利要求1所述的方法，其特征在于，所述消息完整性校验密钥是所述请求设备和所述鉴别接入控制器协商生成的，包括：所述第一验证消息中还包括所述鉴别接入控制器根据所述身份鉴别密钥生成的第一密钥交换参数；所述第二验证消息中还包括所述请求设备根据所述身份鉴别密钥生成的第二密钥交换参数；所述请求设备根据包括所述第二密钥交换参数对应的临时私钥和所述第一密钥交换
参数所包括的临时公钥进行密钥交换计算生成第一密钥，根据包括所述第一密钥在内的信息利用密钥导出算法计算所述消息完整性校验密钥；所述鉴别接入控制器根据包括所述第一密钥交换参数对应的临时私钥和所述第二密钥交换参数所包括的临时公钥进行密钥交换计算生成所述第一密钥，根据包括所述第一密钥在内的信息利用所述密钥导出算法计算所述消息完整性校验密钥。4.根据权利要求3所述的方法，其特征在于，所述鉴别接入控制器利用所述身份鉴别密钥，采用对称加密算法对包括所述鉴别接入控制器产生的临时公钥在内的信息进行加密生成所述第一密钥交换参数；所述请求设备利用所述身份鉴别密钥，采用对称加密算法对包括所述请求设备产生的临时公钥在内的信息进行加密生成所述第二密钥交换参数；则所述请求设备计算所述消息完整性校验密钥具体为，根据包括所述第二密钥交换参数对应的临时私钥和由所述第一密钥交换参数恢复出的临时公钥进行密钥交换计算生成所述第一密钥，再根据包括所述第一密钥在内的信息利用密钥导出算法计算所述消息完整性校验密钥；所述鉴别接入控制器计算所述消息完整性校验密钥具体为，根据包括所述第一密钥交换参数对应的临时私钥和由所述第二密钥交换参数恢复出的临时公钥进行密钥交换计算生成所述第一密钥，再根据包括所述第一密钥在内的信息利用所述密钥导出算法计算所述消息完整性校验密钥。5.根据权利要求4所述的方法，其特征在于，所述鉴别接入控制器计算所述身份鉴别密钥的杂凑值，对所述杂凑值和包括所述鉴别接入控制器产生的临时公钥在内的信息进行异或运算生成所述第一密钥交换参数；所述请求设备计算所述身份鉴别密钥的杂凑值，对所述杂凑值和包括所述请求设备产生的临时公钥在内的信息进行异或运算生成所述第二密钥交换参数。6.根据权利要求1所述的方法，其特征在于，所述鉴别请求消息中还包括所述请求设备生成的第一随机数；所述第一鉴权请求消息中还包括所述第一随机数和所述鉴别接入控制器生成的第二随机数；则所述第一鉴权响应消息中还包括所述第一随机数和所述第二随机数；所述第一验证消息中还包括所述第一随机数和所述第二随机数，所述身份鉴别密钥的计算数据还包括所述第一随机数和所述第二随机数，所述第二验证消息中还包括所述第二随机数；则所述鉴别接入控制器向所述请求设备发送第一验证消息之前，所述方法还包括：所述鉴别接入控制器验证所述第一鉴权响应消息中的第二随机数和所述鉴别接入控制器生成的第二随机数的一致性；则所述请求设备向所述鉴别接入控制器发送第二验证消息之前，所述方法还包括：所述请求设备验证所述第一验证消息中的第一随机数和所述请求设备生成的第一随机数的一致性；则在所述鉴别接入控制器确定所述请求设备的身份为合法之前，还包括：所述鉴别接入控制器对所述第二验证消息中的第二随机数和所述鉴别接入控制器生成的第二随机数的一致性进行验证。7.根据权利要求1所述的方法，其特征在于，所述鉴别请求消息中还包括所述请求设备
支持的安全能力参数信息，则所述方法还包括：所述鉴别接入控制器根据所述安全能力参数信息确定所述鉴别接入控制器使用的特定安全策略，则所述第一验证消息中还包括所述特定安全策略。8.根据权利要求1所述的方法，其特征在于，所述鉴别请求消息中还包括所述请求设备信任的至少一个鉴别服务器的身份标识，则所述方法还包括：所述鉴别接入控制器根据所述鉴别请求消息中所述请求设备信任的至少一个鉴别服务器的身份标识和所述鉴别接入控制器信任的鉴别服务器的身份标识，确定所述第二鉴别服务器。9.根据权利要求3所述的方法，其特征在于，所述请求设备的身份信息密文的加密数据还包括所述请求设备生成的身份标识加密密钥；则所述第一鉴权响应消息中还包括所述请求设备的身份标识密文，所述请求设备的身份标识密文是所述第一鉴别服务器利用解密所述请求设备的身份信息密文所得的所述身份标识加密密钥对所述请求设备的身份标识加密得到的；所述第一验证消息中还包括所述请求设备的身份标识密文；在所述请求设备向所述鉴别接入控制器发送第二验证消息之前，所述方法还包括：所述请求设备根据自身的身份标识和所述身份标识加密密钥对所述第一验证消息中的所述请求设备的身份标识密文进行验证。10.根据权利要求1所述的方法，其特征在于，在生成所述鉴别完成消息和所述第一存证消息之前，所述方法还包括：所述鉴别接入控制器为所述请求设备分配临时身份标识，则所述鉴别完成消息和所述第一存证消息中还包括所述请求设备的临时身份标识；所述请求设备确定所述鉴别接入控制器的身份合法时还保存所述请求设备的临时身份标识，所述第一鉴别服务器在生成和存储所述请求设备的请求通过记录时还保存所述请求设备的临时身份标识。11.根据权利要求1所述的方法，其特征在于，所述鉴别接入控制器获得所述身份鉴别密钥，包括：所述鉴别接入控制器利用与所述第二鉴别服务器的预共享加密密钥解密身份鉴别密钥密文得到所述身份鉴别密钥；所述身份鉴别密钥密文是所述第二鉴别服务器利用与所述鉴别接入控制器的预共享加密密钥对包括所述身份鉴别密钥在内的信息加密生成的。12.根据权利要求1所述的方法，其特征在于，所述第一存证消息中还包括第二身份鉴权码，所述第二身份鉴权码是所述鉴别接入控制器利用与所述第二鉴别服务器的预共享校验密钥对所述第一存证消息中所述第二身份鉴权码之前的其他字段计算生成的，则所述第一鉴别服务器在生成和存储所述请求设备的请求通过记录之前，所述方法还包括：所述第二鉴别服务器利用与所述鉴别接入控制器的预共享校验密钥验证所述第二身份鉴权码的正确性。13.根据权利要求1所述的方法，其特征在于，所述第一鉴权请求消息中还包括所述鉴别接入控制器的身份标识；则所述第一鉴权响应消息中还包括所述鉴别接入控制器的身份标识，所述鉴别接入控制器向所述请求设备发送第一验证消息之前，还包括：所述鉴别接入控制器验证所述第一鉴权响应消息中的所述鉴别接入控制器的身份标
识和所述鉴别接入控制器自身的身份标识的一致性。14.根据权利要求9所述的方法，其特征在于，所述第一验证消息中还包括所述鉴别接入控制器的身份标识，所述方法还包括：当确定所述请求设备的身份为合法时，所述鉴别接入控制器根据包括所述第一密钥、所述请求设备的身份标识密文和所述鉴别接入控制器的身份标识在内的信息计算生成用于后续保密通信的会话密钥；当确定所述鉴别接入控制器的身份为合法时，所述请求设备根据包括所述第一密钥、所述请求设备的身份标识密文和所述鉴别接入控制器的身份标识在内的信息计算生成用于后续保密通信的会话密钥。15.根据权利要求1所述的方法，其特征在于，所述第一鉴别服务器和所述第二鉴别服务器不同时，则所述方法还包括：所述第二鉴别服务器接收所述鉴别接入控制器发送的第一鉴权请求消息，根据所述第一鉴权请求消息生成第二鉴权请求消息，向第一鉴别服务器发送所述第二鉴权请求消息；所述第二鉴权请求消息中包括所述请求设备的身份信息密文；所述第一鉴别服务器产生存证随机数，生成并向所述第二鉴别服务器发送第二鉴权响应消息；所述第二鉴权响应消息中包括所述身份鉴别密钥和所述存证随机数；所述第二鉴别服务器根据所述第二鉴权响应消息生成所述第一鉴权响应消息，所述第一鉴权响应消息中包括所述身份鉴别密钥和所述存证随机数；所述鉴别接入控制器生成所述第一存证消息之后，向所述第二鉴别服务器发送所述第一存证消息；所述第二鉴别服务器根据所述第一存证消息生成第二存证消息，向所述第一鉴别服务器发送所述第二存证消息；所述第二存证消息中包括所述第一身份鉴权码；则所述第一鉴别服务器对所述第一身份鉴权码进行验证，具体为所述第一鉴别服务器验证所述第二存证消息中的所述第一身份鉴权码。16.根据权利要求15所述的方法，其特征在于，所述鉴别接入控制器先向所述第二鉴别服务器发送所述第一存证消息，所述第二鉴别服务器根据所述第一存证消息生成第二存证消息，向所述第一鉴别服务器发送所述第二存证消息，所述第一鉴别服务器验证所述第二存证消息中的所述第一身份鉴权码，验证通过后生成第二存证确认消息；所述第二鉴别服务器接收所述第二存证确认消息后生成第一存证确认消息，并向所述鉴别接入控制器发送所述第一存证确认消息；所述鉴别接入控制器接收所述第一存证确认消息后再向所述请求设备发送所述鉴别完成消息。17.根据权利要求1至16任一项所述的方法，其特征在于，所述第一消息完整性校验码是所述请求设备利用所述消息完整性校验密钥对包括所述第二验证消息中除所述第一消息完整性校验码外的其他字段计算生成的；所述第二消息完整性校验码是所述鉴别接入控制器利用所述消息完整性校验密钥对包括所述鉴别完成消息中除所述第二消息完整性校验码外的其他字段计算生成的。18.根据权利要求1至16任一项所述的方法，其特征在于，所述请求设备向所述鉴别接入控制器发送的消息还包括所述请求设备对接收到的所述鉴别接入控制器发送的最新前
序消息计算的杂凑值；则所述鉴别接入控制器收到所述请求设备发送的消息时，先对接收到的消息中的杂凑值进行验证，验证通过后再执行后续操作；所述鉴别接入控制器向所述请求设备发送的消息还包括所述鉴别接入控制器对接收到的所述请求设备发送的最新前序消息计算的杂凑值；则所述请求设备收到所述鉴别接入控制器发送的消息时，先对接收到的消息中的杂凑值进行验证，验证通过后再执行后续操作；所述鉴别接入控制器向所述第二鉴别服务器发送的消息还包括所述鉴别接入控制器对接收到的所述第二鉴别服务器发送的最新前序消息计算的杂凑值；则所述第二鉴别服务器收到所述鉴别接入控制器发送的消息时，先对接收到的消息中的杂凑值进行验证，验证通过后再执行后续操作；所述第二鉴别服务器向所述鉴别接入控制器发送的消息还包括所述第二鉴别服务器对接收到的所述鉴别接入控制器发送的最新前序消息计算的杂凑值；则所述鉴别接入控制器收到所述第二鉴别服务器器发送的消息时，先对接收到的消息中的杂凑值进行验证，验证通过后再执行后续操作；所述第一鉴别服务器向所述第二鉴别服务器发送的消息还包括所述第一鉴别服务器对接收到的所述第二鉴别服务器发送的最新前序消息计算的杂凑值；则所述第二鉴别服务器收到所述第一鉴别服务器发送的消息时，先对接收到的消息中的杂凑值进行验证，验证通过后再执行后续操作；所述第二鉴别服务器向所述第一鉴别服务器发送的消息还包括所述第二鉴别服务器对接收到的所述第一鉴别服务器发送的最新前序消息计算的杂凑值；则所述第一鉴别服务器收到所述第二鉴别服务器发送的消息时，先对接收到的消息中的杂凑值进行验证，验证通过后再执行后续操作。19.一种鉴别接入控制器，其特征在于，所述鉴别接入控制器包括：接收单元，用于接收请求设备发送的鉴别请求消息，所述鉴别请求消息中包括所述请求设备的身份信息密文；所述请求设备的身份信息密文是所述请求设备利用加密证书的公钥对包括所述请求设备的身份标识在内的加密数据加密得到的；发送单元，用于向所述鉴别接入控制器信任的第二鉴别服务器发送携带有所述请求设备的身份信息密文的第一鉴权请求消息；所述接收单元还用于接收所述第二鉴别服务器发送的第一鉴权响应消息，并从所述第一鉴权响应消息中获得所述请求设备信任的第一鉴别服务器产生的存证随机数和所述第一鉴别服务器生成的身份鉴别密钥；所述身份鉴别密钥是根据包括所述第一鉴别服务器与所述请求设备的预共享加密密钥在内的计算数据计算得到的；所述发送单元还用于向所述请求设备发送第一验证消息，所述第一验证消息中包括所述存证随机数；所述接收单元还用于接收所述请求设备发送的第二验证消息，所述第二验证消息中包括第一身份鉴权码和第一消息完整性校验码；所述第一消息完整性校验码是所述请求设备利用其与所述鉴别接入控制器之间的消息完整性校验密钥对包括所述第二验证消息中除所述第一消息完整性校验码外的其他字段计算生成的；其中，所述消息完整性校验密钥是
根据包括所述身份鉴别密钥在内的信息计算生成的；处理单元，用于对所述第一消息完整性校验码进行验证，验证通过后，确定所述请求设备的身份为合法，生成鉴别完成消息和第一存证消息；所述发送单元还用于向所述请求设备发送所述鉴别完成消息，以及向所述第二鉴别服务器发送所述第一存证消息。20.根据权利要求19所述的鉴别接入控制器，其特征在于，所述发送单元先发送所述第一存证消息，当所述接收单元接收到第一存证确认消息后，所述发送单元再向所述请求设备发送...
【专利技术属性】
技术研发人员：赖晓龙，曹军，铁满霞，赵晓荣，李琴，张变玲，黄振海，
申请(专利权)人：西安西电捷通无线网络通信股份有限公司，
类型：发明
国别省市：
还没有人留言评论。发表了对其他浏览者有用的留言会获得科技券。