一种身份鉴别方法和装置制造方法及图纸

本申请实施例公开了一种身份鉴别方法，包括：鉴别接入控制器AAC向请求设备REQ发送包括身份鉴别结果信息密文的鉴别结果消息，身份鉴别结果信息密文是利用消息加密密钥对包括身份鉴别结果信息Pub

【技术实现步骤摘要】
一种身份鉴别方法和装置


[0001]本申请涉及网络通信安全
，特别是涉及一种身份鉴别方法和装置。

技术介绍

[0002]在通信网络中，请求设备可以通过鉴别接入控制器访问网络。在一些对安全性需求较高的情况下，请求设备需要对鉴别接入控制器进行身份鉴别，以确保访问的网络属于合法网络。此外，在区块链技术的点对点传输中，需要在不同节点之间建立信任关系，因此对于节点的身份鉴别也十分重要。
[0003]在对鉴别接入控制器的身份鉴别的过程中，鉴别接入控制器需要提供自身的身份信息用于身份鉴别。这类身份信息一般携带了私密、敏感的信息，诸如地理位置信息、所属机构信息等。并且在实际应用过程中，这类身份信息通常会包含在实体的数字证书中，以数字证书作为实体的身份凭证。
[0004]若对鉴别接入控制器的身份鉴别过程中，鉴别接入控制器的身份信息被攻击者截获用于非法用途，则会对鉴别接入控制器、请求设备甚至网络造成极大的安全隐患。

技术实现思路

[0005]为了解决上述技术问题，本申请提供了一种身份鉴别方法和装置，利用消息加密密钥对包括鉴别接入控制器的身份鉴别结果信息在内的信息进行保密处理，防止在鉴别接入控制器向请求设备发送鉴别结果消息的过程中暴露携带的私密敏感信息，避免攻击者重点针对合法的鉴别接入控制器进行攻击，以及避免利用鉴别接入控制器的私密、敏感信息进行非法活动，从而保证鉴别接入控制器、请求设备甚至网络的安全。
[0006]第一方面，本申请实施例提供了一种身份鉴别方法，包括：
[0007]鉴别接入控制器向其信任的第一鉴别服务器发送第一鉴别请求消息，所述第一鉴别请求消息中包括所述鉴别接入控制器的数字证书；
[0008]所述鉴别接入控制器从所述第一鉴别服务器获取第一鉴别响应消息，所述第一鉴别响应消息中包括身份鉴别结果信息Pub
AAC
和请求设备信任的第二鉴别服务器的数字签名，所述Pub
AAC
包括对所述鉴别接入控制器的数字证书的验证结果；
[0009]所述请求设备获取所述鉴别接入控制器发送的鉴别结果消息，所述鉴别结果消息中包括身份鉴别结果信息密文，所述身份鉴别结果信息密文为所述鉴别接入控制器利用消息加密密钥对包括所述Pub
AAC
和所述请求设备信任的第二鉴别服务器的数字签名在内的加密数据加密得到的；
[0010]所述请求设备利用所述消息加密密钥对所述身份鉴别结果信息密文进行解密，得到所述Pub
AAC
和所述第二鉴别服务器的数字签名；
[0011]所述请求设备利用所述第二鉴别服务器的公钥对所述第二鉴别服务器的数字签名进行验证；若验证通过，则所述请求设备根据所述Pub
AAC
中的验证结果确定所述鉴别接入控制器的身份鉴别结果。
[0012]第二方面，本申请实施例提供了一种请求设备，包括：
[0013]第一获取单元，用于获取鉴别接入控制器发送的鉴别结果消息，所述鉴别结果消息中包括身份鉴别结果信息密文，所述身份鉴别结果信息密文为所述鉴别接入控制器利用消息加密密钥对包括身份鉴别结果信息Pub
AAC
和所述请求设备信任的第二鉴别服务器的数字签名在内的加密数据加密得到的；
[0014]其中，所述Pub
AAC
和所述第二鉴别服务器的数字签名是由所述鉴别接入控制器从其信任的第一鉴别服务器发送的第一鉴别响应消息中获取的，所述Pub
AAC
包括对所述鉴别接入控制器的数字证书的验证结果；
[0015]解密单元，用于利用所述消息加密密钥对所述身份鉴别结果信息密文进行解密，得到所述Pub
AAC
和所述第二鉴别服务器的数字签名；
[0016]第一验证单元，用于利用所述第二鉴别服务器的公钥对所述第二鉴别服务器的数字签名进行验证；
[0017]第一确定单元，用于当所述第二鉴别服务器的数字签名验证通过时，根据所述Pub
AAC
中的验证结果确定所述鉴别接入控制器的身份鉴别结果。
[0018]第三方面，本申请实施例提供了一种鉴别接入控制器，包括：
[0019]第一发送单元，用于向所述鉴别接入控制器信任的第一鉴别服务器发送第一鉴别请求消息，所述第一鉴别请求消息中包括所述鉴别接入控制器的数字证书；
[0020]第一获取单元，用于从所述第一鉴别服务器获取第一鉴别响应消息，所述第一鉴别响应消息中包括身份鉴别结果信息Pub
AAC
和请求设备信任的第二鉴别服务器的数字签名，所述Pub
AAC
包括对所述鉴别接入控制器的数字证书的验证结果；
[0021]所述第一发送单元还用于向请求设备发送鉴别结果消息，所述鉴别结果消息中包括身份鉴别结果信息密文，所述身份鉴别结果信息密文为所述鉴别接入控制器利用消息加密密钥对包括所述Pub
AAC
和所述第二鉴别服务器的数字签名在内的加密数据加密得到的。
[0022]由上述技术方案可以看出，利用消息加密密钥对包括鉴别接入控制器的身份鉴别结果信息在内的信息进行保密处理，防止在鉴别接入控制器向请求设备发送鉴别结果消息的过程中暴露携带的私密敏感信息，从而使攻击者无法知晓鉴别接入控制器是否合法，避免攻击者重点针对合法的鉴别接入控制器进行攻击，以及避免利用鉴别接入控制器的私密、敏感信息进行非法活动，保证鉴别接入控制器、请求设备甚至网络的安全；并且，通过引入鉴别服务器，在保障实体身份相关信息机密性的同时，实现了请求设备对鉴别接入控制器的单向身份的实时鉴别，为保证用户能够与合法网络通信奠定基础。
附图说明
[0023]为了更清楚地说明本申请实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅是本申请的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。
[0024]图1为本申请实施例提供的一种身份鉴别方法的示意图；
[0025]图2为本申请实施例提供的一种请求设备REQ和鉴别接入控制器AAC协商消息加密密钥的方法的示意图；
[0026]图3为本申请实施例提供的非漫游情况下一种身份鉴别方法的示意图；
[0027]图4为本申请实施例提供的漫游情况下一种身份鉴别方法的示意图；
[0028]图5为本申请实施例提供的非漫游情况下另一种身份鉴别方法的示意图，其中“*”表示可选的字段或可选的操作；
[0029]图6为本申请实施例提供的漫游情况下另一种身份鉴别方法的示意图，其中“*”表示可选的字段或可选的操作；
[0030]图7为本申请实施例提供的一种请求设备REQ的结构框图；
[0031]图8为本申请实施例提供的一种鉴别接入控制器AAC的结构框图。
具体实施方式
[0032]在通信网络中，请求设备可以通过鉴别接入控制器访问网络本文档来自技高网...

【技术保护点】

【技术特征摘要】
1.一种身份鉴别方法，其特征在于，所述方法包括：鉴别接入控制器向其信任的第一鉴别服务器发送第一鉴别请求消息，所述第一鉴别请求消息中包括所述鉴别接入控制器的数字证书；所述鉴别接入控制器从所述第一鉴别服务器获取第一鉴别响应消息，所述第一鉴别响应消息中包括身份鉴别结果信息Pub
AAC
和请求设备信任的第二鉴别服务器的数字签名，所述Pub
AAC
包括对所述鉴别接入控制器的数字证书的验证结果；所述请求设备获取所述鉴别接入控制器发送的鉴别结果消息，所述鉴别结果消息中包括身份鉴别结果信息密文，所述身份鉴别结果信息密文为所述鉴别接入控制器利用消息加密密钥对包括所述Pub
AAC
和所述请求设备信任的第二鉴别服务器的数字签名在内的加密数据加密得到的；所述请求设备利用所述消息加密密钥对所述身份鉴别结果信息密文进行解密，得到所述Pub
AAC
和所述第二鉴别服务器的数字签名；所述请求设备利用所述第二鉴别服务器的公钥对所述第二鉴别服务器的数字签名进行验证；若验证通过，则所述请求设备根据所述Pub
AAC
中的验证结果确定所述鉴别接入控制器的身份鉴别结果。2.根据权利要求1所述的方法，其特征在于，在所述鉴别接入控制器向其信任的第一鉴别服务器发送第一鉴别请求消息之前，所述方法还包括：所述鉴别接入控制器向所述请求设备发送密钥请求消息，所述密钥请求消息中包括所述鉴别接入控制器的密钥交换参数；所述请求设备根据包括所述请求设备的密钥交换参数对应的临时私钥和所述鉴别接入控制器的密钥交换参数所包括的临时公钥进行密钥交换计算生成第一密钥，根据包括所述第一密钥在内的信息利用密钥导出算法计算所述消息加密密钥；所述请求设备向所述鉴别接入控制器发送密钥响应消息，所述密钥响应消息中包括所述请求设备的密钥交换参数；所述鉴别接入控制器根据包括所述鉴别接入控制器的密钥交换参数对应的临时私钥和所述请求设备的密钥交换参数所包括的临时公钥进行密钥交换计算生成所述第一密钥，根据包括所述第一密钥在内的信息利用所述密钥导出算法计算所述消息加密密钥。3.根据权利要求2所述的方法，其特征在于，所述密钥请求消息中还包括所述鉴别接入控制器生成的第一随机数；则所述请求设备计算所述消息加密密钥还包括：所述请求设备根据包括所述第一密钥、所述第一随机数和所述请求设备生成的第二随机数在内的信息计算所述消息加密密钥；相应的，所述密钥响应消息中还包括所述第二随机数；则所述鉴别接入控制器计算所述消息加密密钥还包括：所述鉴别接入控制器根据包括所述第一密钥、所述第一随机数和所述第二随机数在内的信息计算所述消息加密密钥。4.根据权利要求3所述的方法，其特征在于，当所述密钥响应消息中还包括所述第二随机数时，相应的，所述第一鉴别请求消息中还包括所述第二随机数，所述第一鉴别响应消息中还包括所述第二随机数，所述鉴别结果消息中的身份鉴别结果信息密文的加密数据还包括所述第二随机数；
则在所述请求设备确定所述鉴别接入控制器的身份鉴别结果之前，所述方法还包括：所述请求设备利用所述消息加密密钥对所述身份鉴别结果信息密文进行解密还得到所述第二随机数，并对解密得到的所述第二随机数与所述请求设备生成的第二随机数进行一致性验证；若验证通过，则所述请求设备再根据所述Pub
AAC
中的验证结果确定所述鉴别接入控制器的身份鉴别结果。5.根据权利要求3所述的方法，其特征在于，所述密钥响应消息中还包括所述第一随机数；则在所述鉴别接入控制器计算所述消息加密密钥之前，所述方法还包括：所述鉴别接入控制器对所述密钥响应消息中的第一随机数和所述鉴别接入控制器生成的第一随机数进行一致性验证；若验证通过，则所述鉴别接入控制器再计算所述消息加密密钥。6.根据权利要求2所述的方法，其特征在于，在所述请求设备计算所述消息加密密钥之后，所述方法还包括：所述请求设备利用计算得到的消息加密密钥对包括所述请求设备的身份标识在内的信息加密得到身份标识密文；相应的，所述密钥响应消息中还包括所述身份标识密文；则在所述鉴别接入控制器计算所述消息加密密钥之后，所述方法还包括：所述鉴别接入控制器利用计算得到的消息加密密钥对所述身份标识密文进行解密得到所述请求设备的身份标识。7.根据权利要求6所述的方法，其特征在于，当所述鉴别接入控制器得到所述请求设备的身份标识时，相应的，所述第一鉴别请求消息中还包括所述请求设备的身份标识，所述第一鉴别响应消息中还包括所述请求设备的身份标识，所述鉴别结果消息中的身份鉴别结果信息密文的加密数据还包括所述请求设备的身份标识；则在所述请求设备确定所述鉴别接入控制器的身份鉴别结果之前，所述方法还包括：所述请求设备利用所述消息加密密钥对所述身份鉴别结果信息密文进行解密还得到所述请求设备的身份标识，并对解密得到的所述请求设备的身份标识与所述请求设备自身的身份标识进行一致性验证；若验证通过，则所述请求设备再根据所述Pub
AAC
中的验证结果确定所述鉴别接入控制器的身份鉴别结果。8.根据权利要求2所述的方法，其特征在于，所述密钥请求消息中还包括所述鉴别接入控制器支持的安全能力参数信息，所述方法还包括：所述请求设备根据所述安全能力参数信息确定所述请求设备使用的特定安全策略；相应的，所述密钥响应消息中还包括所述特定安全策略。9.根据权利要求2所述的方法，其特征在于，所述密钥请求消息中还包括所述鉴别接入控制器信任的至少一个鉴别服务器的身份标识；所述方法还包括：所述请求设备根据所述鉴别接入控制器信任的至少一个鉴别服务器的身份标识，确定所述请求设备信任的至少一个鉴别服务器的身份标识；则所述密钥响应消息中还包括所述请求设备信任的至少一个鉴别服务器的身份标识；所述方法还包括：所述鉴别接入控制器根据所述密钥响应消息中所述请求设备信任的至少一个鉴别服务器的身份标识和所述密钥请求消息中所述鉴别接入控制器信任的至少一个鉴别服务器
的身份标识，确定参与身份鉴别的第一鉴别服务器。10.根据权利要求2所述的方法，其特征在于，所述密钥响应消息中还包括所述请求设备信任的至少一个鉴别服务器的身份标识；则所述方法还包括：所述鉴别接入控制器根据所述请求设备信任的至少一个鉴别服务器的身份标识和所述鉴别接入控制器信任的鉴别服务器的身份标识，确定参与身份鉴别的第一鉴别服务器。11.根据权利要求1所述的方法，其特征在于，在所述请求设备确定所述鉴别接入控制器的身份鉴别结果之前，所述方法还包括：所述请求设备确定所述鉴别接入控制器的数字签名是否验证通过，若确定所述鉴别接入控制器的数字签名验证通过，则所述请求设备再根据所述Pub
AAC
中的验证结果确定所述鉴别接入控制器的身份鉴别结果。12.根据权利要求11所述的方法，其特征在于，所述请求设备确定所述鉴别接入控制器的数字签名是否验证通过具体包括：当所述第一鉴别请求消息中还包括所述鉴别接入控制器的数字签名时，所述第一鉴别服务器利用所述鉴别接入控制器的数字证书，对所述鉴别接入控制器的数字签名进行验证，若所述请求设备接收到所述鉴别结果消息，则所述请求设备确定所述鉴别接入控制器的数字签名已验证通过；或者，当所述鉴别结果消息中还包括所述鉴别接入控制器的数字签名时，相应的，所述Pub
AAC
中还包括所述鉴别接入控制器的数字证书，则所述请求设备利用所述Pub
AAC
中的所述鉴别接入控制器的数字证书对所述鉴别接入控制器的数字签名进行验证，根据验证结果确定所述鉴别接入控制器的数字签名是否验证通过。13.根据权利要求2所述的方法，其特征在于，所述鉴别结果消息中还包括消息完整性校验码，所述消息完整性校验码是所述鉴别接入控制器利用消息完整性校验密钥对包括所述鉴别结果消息中除所述消息完整性校验码外的其他字段计算生成的；其中，所述鉴别接入控制器的消息完整性校验密钥与所述鉴别接入控制器的消息加密密钥的生成方式相同；相应的，在所述请求设备确定所述鉴别接入控制器的身份鉴别结果之前，所述请求设备还利用消息完整性校验密钥对所述消息完整性校验码进行验证，若验证通过，则所述请求设备再执行相关步骤；其中，所述请求设备的消息完整性校验密钥与所述请求设备的消息加密密钥的生成方式相同。14.根据权利要求1至13任一项所述的方法，其特征在于，当所述第二鉴别服务器和所述第一鉴别服务器是同一个鉴别服务器时，所述方法还包括：所述第一鉴别服务器接收所述第一鉴别请求消息后，对所述鉴别接入控制器的数字证书进行合法性验证，得到所述鉴别接入控制器的数字证书的验证结果，根据包括所述验证结果在内的信息生成所述Pub
AAC
，对包括所述Pub
AAC
在内的签名数据计算生成所述第一鉴别服务器的数字签名，根据包括所述Pub
AAC
和所述第一鉴别服务器的数字签名在内的信息生成所述第一鉴别响应消息；相应的，所述第一鉴别响应消息中所述请求设备信任的第二鉴别服务器的数字签名为所述第一鉴别服务器的数字签名。15.根据权利要求1至13任一项所述的方法，其特征在于，当所述第二鉴别服务器和所述第一鉴别服务器是两个不同的鉴别服务器时，所述方法还包括：
所述第一鉴别服务器接收所述第一鉴别请求消息后，对所述鉴别接入控制器的数字证书进行合法性验证，得到所述鉴别接入控制器的数字证书的验证结果，根据包括所述验证结果在内的信息生成所述Pub
AAC
，对包括所述Pub
AAC
在内的签名数据计算生成所述第一鉴别服务器的数字签名；所述第一鉴别服务器向所述第二鉴别服务器发送第二鉴别请求消息，所述第二鉴别请求消息中包括所述Pub
AAC
和所述第一鉴别服务器的数字签名；所述第二鉴别服务器利用所述第一鉴别服务器的公钥对所述第一鉴别服务器的数字签名进行验证；若验证通过，则所述第二鉴别服务器对包括所述Pub
AAC
在内的签名数据计算生成所述第二鉴别服务器的数字签名；所述第二鉴别服务器向所述第一鉴别服务器发送第二鉴别响应消息，所述第二鉴别响应消息中包括所述Pub
AAC
和所述第二鉴别服务器的数字签名；所述第一鉴别服务器收到所述第二鉴别响应消息后，向所述鉴别接入控制器发送包括所述Pub
AAC
和所述第二鉴别服务器的数字签名的第一鉴别响应消息。16.根据权利要求1至13任一项所述的方法，其特征在于，所述请求设备向所述鉴别接入控制器发送的消息还包括所述请求设备对接收到的所述鉴别接入控制器发送的最新前序消息计算的杂凑值；则所述鉴别接入控制器收到所述请求设备发送的消息时，先对接收到的消息中的杂凑值进行验证，验证通过后再执行后续操作；所述鉴别接入控制器向所述请求设备发送的消息还包括所述鉴别接入控制器对接收到的所述请求设备发送的最新前序消息计算的杂凑值；则所述请求设备收到所述鉴别接入控制器发送的消息时，先对接收到的消息中的杂凑值进行验证，验证通过后再执行后续操作；所述鉴别接入控制器向所述第一鉴别服务器发送的消息还包括所述鉴别接入控制器对接收到的所述第一鉴别服务器发送的最新前序消息计算的杂凑值；则所述第一鉴别服务器收到所述鉴别接入控制器发送的消息时，先对接收到的消息中的杂凑值进行验证，验证通过后再执行后续操作；所述第一鉴别服务器向所述鉴别接入控制器发送的消息还包括所述第一鉴别服务器对接收到的所述鉴别接入控制器发送的最新前序消息计算的杂凑值；则所述鉴别接入控制器收到所述第一鉴别服务器器发送的消息时，先对接收到的消息中的杂凑值进行验证，验证通过后再执行后续操作；所述第一鉴别服务器向所述第二鉴别服务器发送的消息还包括所述第一鉴别服务器对接收到的所述第二鉴别服务器发送的最新前序消息计算的...

【专利技术属性】
技术研发人员：铁满霞，曹军，赖晓龙，赵晓荣，李琴，张变玲，黄振海，杜志强，
申请(专利权)人：西安西电捷通无线网络通信股份有限公司，
类型：发明
国别省市：