專利名稱：一種WiMAX網(wǎng)絡(luò)的認證方法和裝置的制作方法
技術(shù)領(lǐng)域：
本發(fā)明涉及通信領(lǐng)域，尤其涉及一種WiMAX網(wǎng)絡(luò)的i人i正方法和裝置。
背景技術(shù)：
WiMAX ( World Interoperability for Microwave Access,全球微波互聯(lián)接入) 是IEEE( Institute of Electrical and Electronics Engineers,美國電氣禾口電子工禾呈師 協(xié)會)802.16技術(shù)在市場推廣方面采用的名稱，其物理層和MAC (MediaAccess Control,介質(zhì)訪問控制子層協(xié)議)層技術(shù)是基于在正EE802.16工作組中開發(fā)的 無線城域網(wǎng)(WMAN)技術(shù)，WiMAX也是正EE802.16技術(shù)的別稱。
目前IEEE802.16主要提及兩個標(biāo)準(zhǔn)802.16-2004 (即802.16d)固定寬帶 無線纟妄入標(biāo)準(zhǔn)和802.16e支持移動特性的寬帶無線4姿入標(biāo)準(zhǔn)。正EE802.16d標(biāo)準(zhǔn) 規(guī)范了固定接入下用戶移動節(jié)點同基站系統(tǒng)之間的空中接口 ，主要定義空中接 口的物理層和MAC層。802.16e標(biāo)準(zhǔn)是對802.16d的修正和在移動性上的增補， 該標(biāo)準(zhǔn)規(guī)定了移動寬帶無線接入系統(tǒng)的空中接口，同時并不影響802.16d規(guī)定的 固定無線接入用戶能力。WiMAX空中接口規(guī)范同時涵蓋802.16d和802.16e標(biāo) 準(zhǔn)。
IPsec(IP Security)十辦i義是由IETF(The Internet Engineering Task Force，互聯(lián)網(wǎng) 工程任務(wù)組)定義的一套在網(wǎng)絡(luò)層提供IP安全性的協(xié)議，它定義了 一套默認的、 強制實施的算法，以保證不同的實施方案可以互通。IPsec協(xié)議在IPv4中作為一 個建議的可選服務(wù)，對于IPv6則是一項必須支持的功能。IPsec協(xié)議提供的安全 服務(wù)有數(shù)據(jù)源認證、無連接的完整性、抗重放攻擊、機密性和有限的數(shù)據(jù)流 機密性。由于IPsec協(xié)議對上層具有透明性，而且靈活、開放，易于配置策略， 越來越多的研究人員已經(jīng)開始考慮將其應(yīng)用于移動場景中為IP層提供安全解決 方案。IPsec安全體系結(jié)構(gòu)由正TF的IPsec工作組制訂是一個開放性的標(biāo)準(zhǔn)框架。
WiMAX作為一種無線網(wǎng)絡(luò)，由于無線傳輸信道的開放性，以及城域網(wǎng)的傳 輸距離遠，應(yīng)用環(huán)境復(fù)雜，信息容易被截獲，竊取和破壞。為了解決WiMAX網(wǎng)絡(luò)中的安全問題，IEEE802.16標(biāo)準(zhǔn)中規(guī)定了用于提供WiMAX基站和移動用 戶之間進行認證和交換密鑰的機制，即PKM (Private Key Management,密鑰管 理協(xié)議)。在IEEE802.16e中定義的PKM v2中，允許支持基于EAP(Extensible Authentication Protocol,可擴展認證協(xié)議)的認證，但并未具體規(guī)定應(yīng)當(dāng)采用怎樣 的認證方法。

發(fā)明內(nèi)容
本發(fā)明的實施例提供一種WiMAX網(wǎng)絡(luò)的認證方法和裝置，能夠?qū)崿F(xiàn) WiMAX網(wǎng)絡(luò)中的安全啟動。
本發(fā)明的實施例采用如下技術(shù)方案
本發(fā)明的實施例一種WiMAX網(wǎng)絡(luò)的認證方法，包括
第一通信實體#>據(jù)所述第一通信實體與第二通信實體之間的WiMAX第一 共享密鑰生成第一認證載荷；
將所述第 一認證載荷發(fā)送給所述第二通信實體進行驗證；
接收所述第二通信實體在驗證成功后發(fā)送的根據(jù)所述WiMAX第一共享密 鑰生成的第二認證載荷；
對所述第二認證載荷進行驗證。
本發(fā)明的實施例還提供了另一種WiMAX網(wǎng)絡(luò)的認證方法，包括 外地代理獲取根據(jù)移動節(jié)點和家鄉(xiāng)代理之間的WiMAX第一共享密鑰生成
的第一認證項、以及根據(jù)所述外地代理和所述家鄉(xiāng)代理之間的WiMAX第二共
享密鑰生成的第二認證項；
所述外地代理向所述家鄉(xiāng)代理發(fā)送請求消息，所述請求消息中包括所述第
一認證項和第二認證項，以使所述家鄉(xiāng)代理對所述第一認證項和所述第二認證
項進行驗證。
本發(fā)明的實施例還提供了再一種WiMAX網(wǎng)絡(luò)的認證方法，包括 家鄉(xiāng)代理接收移動節(jié)點發(fā)送的消息，所述消息中包括第 一認證項和對隨機 數(shù)的請求，所述第一認證項為所述移動節(jié)點根據(jù)所述移動節(jié)點和認證服務(wù)器之 間的WiMAX第一共享根密鑰生成；并向所述認證服務(wù)器轉(zhuǎn)發(fā)所述第一認證項以及所述隨才幾數(shù)的請求；
所述家鄉(xiāng)代理接收所述認證服務(wù)器對所述第 一認證項驗證成功后提供的隨
機數(shù)和所述移動節(jié)點和所述家鄉(xiāng)代理之間的WiMAX第二共享密鑰；根據(jù)所述
WiMAX第二共享密鑰生成第二認證項，并將所述第二認證項和所述隨機數(shù)添加
在響應(yīng)消息中發(fā)送給所述移動節(jié)點，以供所述移動節(jié)點進行驗證。 本發(fā)明的實施例還提供了 一種WiMAX網(wǎng)絡(luò)的認證裝置，包括 載荷生成單元，用于根據(jù)所述認證裝置與對端通信實體之間的WiMAX第
一共享密鑰生成第 一認證載荷；
收發(fā)單元，用于將所述載荷生成單元生成的第一認證載荷發(fā)送給所述對端
通信實體進行驗證，并接收所述對端通信實體在驗證成功后發(fā)送的根據(jù)所述
WiMAX第一共享密鑰生成的第二認證載荷；
驗證單元，用于對所述收發(fā)單元接收到的第二認證載荷進行驗證。 本發(fā)明的實施例還提供了另一種WiMAX網(wǎng)絡(luò)的認證裝置，包括 獲取單元，用于獲取根據(jù)移動節(jié)點和家鄉(xiāng)代理之間的WiMAX第一共享密
鑰生成的第一認證項、以及根據(jù)外地代理和所述家鄉(xiāng)代理之間的WiMAX第二
共享密鑰生成的第二認證項；
收發(fā)單元，用于向所述家鄉(xiāng)代理發(fā)送請求消息，所述請求消息中包括所述
獲取單元獲取的所述第一認證項和第二認證項，以使所述家鄉(xiāng)代理對所述第一
認證項和所述第二認證項進行驗證。
本發(fā)明的實施例還提供了再一種WiMAX網(wǎng)絡(luò)的認證裝置，包括
第一收發(fā)單元，用于接收移動節(jié)點發(fā)送的消息，所述消息中包括第一認證
項和對隨機數(shù)的請求，所述第一認證項為根據(jù)所述移動節(jié)點和認證服務(wù)器之間
的WiMAX第一共享根密鑰生成，并向所述認證服務(wù)器轉(zhuǎn)發(fā)所述第一認證項以
及所述隨機數(shù)的請求；
第二收發(fā)單元，用于接收所述認證服務(wù)器對所述第一認證項驗證成功后提
供的隨機數(shù)和所述移動節(jié)點和所述家鄉(xiāng)代理之間的WiMAX第二共享密鑰，才艮
據(jù)所述WiMAX第二共享密鑰生成第二認證項，并將所述第二認證項和所述隨
機數(shù)添加在響應(yīng)消息中發(fā)送給所述移動節(jié)點，以供所述移動節(jié)點進行驗證。本發(fā)明實施例提供的WiMAX網(wǎng)絡(luò)的認證方法和裝置，基于EAP認證，在 沒有使用其它安全機制對MIP(MobileIP，移動IP)注冊消息進行保護的情況下， 采用WiMAX網(wǎng)絡(luò)中的通信實體之間的WiMAX共享密鑰生成的認證項進行認 證。該方法基于WiMAX共享密鑰，通過認證項建立相應(yīng)的安全關(guān)聯(lián)，保護注 冊消息的發(fā)送，能夠保護WiMAX網(wǎng)絡(luò)中的終端的安全接入。


為了更清楚地說明本發(fā)明實施例或現(xiàn)有技術(shù)中的技術(shù)方案，下面將對實施 例或現(xiàn)有技術(shù)描述中所需要使用的附圖作簡單地介紹，顯而易見地，下面描述 中的附圖僅僅是本發(fā)明的一些實施例，對于本領(lǐng)域普通技術(shù)人員來講，在不付 出創(chuàng)造性勞動的前提下，還可以根據(jù)這些附圖獲得其它的附圖。
圖1為本發(fā)明實施例提供的WiMAX網(wǎng)絡(luò)中的認證方法的流程圖2為本發(fā)明實施例提供的另 一種WiMAX網(wǎng)絡(luò)中的認證方法的流程圖3為本發(fā)明實施例提供的再一種WiMAX網(wǎng)絡(luò)中的認證方法的流程圖4為本發(fā)明的實施例一的流程圖5為本發(fā)明的實施例二的流程圖6為本發(fā)明的實施例三的流程圖7為本發(fā)明的實施例四的流程圖8為本發(fā)明的實施例五的流程圖9為本發(fā)明的實施例六的流程圖10為本發(fā)明實施例WiMAX網(wǎng)絡(luò)的認證裝置示意圖11為本發(fā)明實施例另一種WiMAX網(wǎng)絡(luò)的認證裝置示意圖12為本發(fā)明實施例再一種WiMAX網(wǎng)絡(luò)的認證裝置示意圖。
具體實施例方式
下面結(jié)合附圖對本發(fā)明實施例WiMAX網(wǎng)絡(luò)的i人證方法和裝置進行詳細描述。
應(yīng)當(dāng)明確，所描述的實施例僅僅是本發(fā)明一部分實施例，而不是全部的實 施例?；诒景l(fā)明中的實施例，本領(lǐng)域普通技術(shù)人員在沒有作出創(chuàng)造性勞動的前提下所獲得的所有其它實施例，都屬于本發(fā)明保護的范圍。
如圖1所示，本發(fā)明的實施例一種WiMAX網(wǎng)絡(luò)的認證方法，包括 本發(fā)明的實施例一種WiMAX網(wǎng)全各的i人i正方法，包4舌
5101、 第一通信實體根據(jù)所述第一通信實體與第二通信實體之間的WiMAX 第 一共享密鑰生成第 一認證載荷；
5102、 將所述第 一認證載荷發(fā)送給所述第二通信實體進行驗證；
5103、 接收所述第二通信實體在驗證成功后發(fā)送的根據(jù)所述WiMAX第一 共享密鑰生成的第二認證載荷；
5104、 對所述第二認證載荷進行驗證。
上述的第一通信實體可以是移動節(jié)點(Mobile Station, MS )、外地代理 (Foreign Agent, FA )，第二通信實體可以是FA或家鄉(xiāng)代理(Home Agent, HA )。 其中，家鄉(xiāng)代理(HA)，是指位于移動節(jié)點家鄉(xiāng)鏈路上的路由器。當(dāng)移動節(jié)點 離開家鄉(xiāng)網(wǎng)絡(luò)時，它負責(zé)把發(fā)往移動節(jié)點的報文通過隧道轉(zhuǎn)發(fā)給移動節(jié)點，并 且維護移動節(jié)點當(dāng)前位置的信息。外地代理(FA):是指位于移動節(jié)點所訪問的 外地鏈路上的路由器；它接收移動節(jié)點的家鄉(xiāng)代理通過隧道技術(shù)轉(zhuǎn)發(fā)過來的報 文，進行拆封后轉(zhuǎn)發(fā)給移動節(jié)點，對于移動節(jié)點發(fā)出的報文，外地代理提供類 似默認路由器的服務(wù)。移動節(jié)點(MS)，是指從一個網(wǎng)絡(luò)或者子網(wǎng)鏈路上切換 到另 一個網(wǎng)絡(luò)或者子網(wǎng)的主機或者路由器。移動節(jié)點可以改變它的網(wǎng)絡(luò)接入點， 但不需要改變IP地址，并且使用原有的IP地址就能夠繼續(xù)與其他節(jié)點通信。
所述認證方法可以包括第一認證階段，以及在所述第一認證階段結(jié)束后 執(zhí)行的第二認證階段。在所述第一認證階段中，所述第一通信實體可以為移動
節(jié)點，所述第二通信實體可以為外地代理；在所述第二認證階段中，所述第一 通信實體可以為外地代理，所述第二通信實體可以為家鄉(xiāng)代理。
如圖2所示，本發(fā)明的實施例還提供了另一種WiMAX網(wǎng)絡(luò)的認證方法，
包括
S201、外地代理獲取根據(jù)移動節(jié)點和家鄉(xiāng)代理之間的WiMAX第一共享密 鑰生成的第 一認證項、以及根據(jù)所述外地代理和所述家鄉(xiāng)代理之間的WiMAX 第二共享密鑰生成的第二認證項；S202、所述外地代理向所述家鄉(xiāng)代理發(fā)送請求消息，所述請求消息中包括 所述第一認證項和第二認證項，以使所述家鄉(xiāng)代理對所述第一認證項和所述第 二認證項進行驗證。
如圖3所示，本發(fā)明的實施例還提供了再一種WiMAX網(wǎng)絡(luò)的認證方法， 包括
5301、 家鄉(xiāng)代理接收移動節(jié)點發(fā)送的消息，所述消息中包括第一認證項和 對隨機數(shù)的請求，所述第一認證項為所述移動節(jié)點根據(jù)所述移動節(jié)點和認證服 務(wù)器之間的WiMAX第一共享根密鑰生成；并向所述認證服務(wù)器轉(zhuǎn)發(fā)所述第一 認證項以及所述隨機數(shù)的請求；
5302、 所述家鄉(xiāng)代理接收所述認證服務(wù)器對所述第一認證項驗證成功后提 供的隨機數(shù)和所述移動節(jié)點和所述家鄉(xiāng)代理之間的WiMAX第二共享密鑰；根 據(jù)所述WiMAX第二共享密鑰生成第二認證項，并將所述第二認證項和所述隨 機數(shù)添加在響應(yīng)消息中發(fā)送給所述移動節(jié)點，以供所述移動節(jié)點進行驗證。
本發(fā)明的實施例WiMAX網(wǎng)絡(luò)的認證方法，可以基于IKE (Internet Key Exchange,互聯(lián)網(wǎng)密鑰交換協(xié)議)v2、或者基于認證項啟動，可以用于PMIPv4、 PMIPv6、 CMIPv4或CMIPv6,以及PMIP4、 PMIP6、 CMIP4或CMIP6等情況 下的安全啟動。其中，PMIP(Proxy Mobile IP，代理服務(wù)器移動IP)指MIP (移動 IP)客戶端的功能由系統(tǒng)內(nèi)某個網(wǎng)元代替移動節(jié)點來完成，CMIP ( Client Mobile IP,客戶移動IP)指MIP的客戶端功能由WiMAX移動節(jié)點來實現(xiàn)。
本發(fā)明的實施例提供的WiMAX網(wǎng)絡(luò)的認證方法，基于EAP認證，在沒有 使用其它安全機制對MIP(MobileIP,移動IP)注冊消息進行保護的情況下，采用 WiMAX網(wǎng)絡(luò)中的通信實體之間的WiMAX共享密鑰生成的認證項進行認證。該 方法基于WiMAX共享密鑰，通過認證項建立相應(yīng)的安全關(guān)聯(lián)，保護注冊消息 的發(fā)送，能夠?qū)崿F(xiàn)移動節(jié)點在WiMAX網(wǎng)絡(luò)中的安全接入。
下面結(jié)合附圖對各種啟動情況下采用本發(fā)明的實施例進行詳細描述。
實施例一
本實施例為基于EAP認證機制的PMIPv4的啟動過程。在PMIPv4啟動過
程中，用IKEv2在FA和HA間建立IPsec安全關(guān)聯(lián)，以實現(xiàn)對移動IP注冊消息的保護。其中，使用在EAP認證階段生成的FA-HA密鑰作為預(yù)共享密鑰，生成 AUTH載荷。
在本發(fā)明的實施例中，采用這樣的方式對密鑰進行描述，A-B表示A和B 之間的WiMAX共享密鑰，例如，F(xiàn)A-HA表示FA與HA之間的WiMAX共享密 鑰。MS與其它通信實體之間的密鑰采用不同方式命名，例如，MS與FA之間 的WiMAX共享密鑰則采用MN-FA表示。以下實施例中若無特別說明則遵循此 原則。
如圖4所示，該實施例的步驟可以包括
S401、 FA向HA發(fā)送密鑰協(xié)商請求消息，即IKE—SA消息，其中，IKE—SA 中包括加密算法、DH值、隨機數(shù)。DH值即為Difie-Hellman值。
S402a、 HA接收來自FA的IKE_SA消息，選擇加密算法，完成DH值交換。 S402b、 HA向FA返回IKE—SA響應(yīng)，并通過IKE一SA響應(yīng)向FA提供隨機數(shù)。
完成密鑰協(xié)商之后，F(xiàn)A與HA之間便能夠根據(jù)協(xié)商的算法進行安全認證。 S403a、 FA生成第一認證載荷，即第一AUTH載荷。 所述第一 AUTH載荷使用FA與HA的共享密鑰FA-HA生成。 S403b、向HA請求協(xié)商IKE—SA,提供FA標(biāo)識和所述第一 AUTH載荷。 S404a、 HA接收來自FA的IKE—SA消息中的所述FA標(biāo)識和第一 AUTH載 荷，查找與所述FA標(biāo)識相對應(yīng)的共享密鑰，利用該共享密鑰-險證第一 AUTH 載荷中的內(nèi)容。若驗證成功，使用FA-HA生成第二 AUTH載荷。其中，對第一 AUTH載荷的驗證方法，在IKEv2中已有相關(guān)規(guī)定，以下的驗證方法也類似。
S404b、向FA發(fā)送IKE應(yīng)答消息IKE_AUTH,應(yīng)答消息中攜帶HA標(biāo)識和 所述第二 AUTH載荷。
S405a、 FA收到IKE應(yīng)答消息后，對所述第二 AUTH載荷進行驗證，成功 后確認FA與HA安全關(guān)聯(lián)的建立，創(chuàng)建對應(yīng)的數(shù)據(jù)庫入口。
驗證的方法與S404a類似，查找與所述HA標(biāo)識相對應(yīng)的共享密鑰，利用 該共享密鑰驗證第二 AUTH載荷中的內(nèi)容。 S405b、向HA發(fā)送MIP注冊請求消息。S406a、 HA收到MIP注冊請求消息時確認IKE_SA建立成功。 S406b、使用該安全關(guān)聯(lián)向FA發(fā)送MIP注冊響應(yīng)消息。 本發(fā)明實施例提供的認證方法，結(jié)合IEEE802.16定義的空中接口安全標(biāo)準(zhǔn)， 基于IKEv2，根據(jù)FA和HA的共享密鑰FA-HA生成認證載荷，通過認證項建 立相應(yīng)的安全關(guān)聯(lián)，保護MIP注冊消息的發(fā)送，能夠?qū)崿F(xiàn)移動節(jié)點在WiMAX 網(wǎng)絡(luò)中基于IKEv2的PMIPv4的安全接入。 實施例二
本實施例提供一種WiMAX中的認證方法，以基于IKEv2的CMIPv4啟動 為例進行說明。
在CMIPv4啟動過程中，用IKEv2在MS和FA之間、以及FA和HA之間 建立IPsec安全關(guān)聯(lián)，以實現(xiàn)對移動IP注冊消息的保護。其中，MS和FA之間 的IKE交換中， -使用在EAP認證階段生成的MN-FA密鑰作為預(yù)共享密鑰，生 成AUTH載荷。在FA和HA之間的IKE交換中，使用在EAP認證階段生成的 FA-HA密鑰作為預(yù)共享密鑰，生成AUTH載荷。如圖5所示，具體步驟為
S501、 MS向FA發(fā)送密鑰協(xié)商請求IKE_SA消息，包括可提供的加密算法、 DH值、隨機數(shù)。
S502a、 FA接收來自MS的IKE—SA消息，選擇加密算法，完成DH值交換。
S502b、向MS返回IKE—SA響應(yīng)，并通過IKE—SA響應(yīng)向MS提供隨機數(shù)。
S503a、 MS生成第一認證載荷，即第一AUTH載荷。
所述第一 AUTH載荷使用MS與FA的共享密鑰MN-FA生成。
S503b、向FA請求協(xié)商IKE—SA，提供MS標(biāo)識和所述第一 AUTH載荷。
S504a、 FA接收來自MS的IKE—SA消息中的所述MS標(biāo)識和第一 AUTH
載荷，查找與所述MS標(biāo)識相對應(yīng)的共享密鑰，驗證所述第一 AUTH載荷中的
內(nèi)容；若驗證成功，使用MN-FA生成第二 AUTH載荷。
S504b、向MS發(fā)送IKE應(yīng)答消息IKE一AUTH，應(yīng)答消息中攜帶FA標(biāo)識和
所述第二 AUTH載荷。
S505a、 MS收到IKE應(yīng)答消息后，查找與FA標(biāo)識對應(yīng)的共享密鑰，對所
述第二 AUTH載荷進行驗證，成功后確認MS與FA安全關(guān)聯(lián)的建立，創(chuàng)建對應(yīng)的凄t據(jù)庫入口。
S505b、向FA發(fā)送MIP注冊請求消息，促發(fā)FA同HA之間進行安全認證。 之后FA與HA之間認證過程同實施例 一 中FA與HA之間的認證相同，即
圖示S506至S511b的內(nèi)容與圖4中所示的S401至S406b的內(nèi)容相同，此處不
再贅述。
最后FA在收到HA返回的MIP注冊響應(yīng)消息后，還需要向MN轉(zhuǎn)發(fā)MIP 注冊響應(yīng)消息。
本實施例提供的安全認證方法，結(jié)合IEEE802.16定義的空中接口安全標(biāo)準(zhǔn)， 基于IKEv2，采用MS與FA之間共享密鑰MN-FA和FA與HA之間的共享密鑰 FA-HA產(chǎn)生認證載荷，通過認證項建立相應(yīng)的安全關(guān)聯(lián)，保護MIP注冊消息的 發(fā)送，實現(xiàn)了移動節(jié)點在WiMAX網(wǎng)絡(luò)中基于IKEv2的CMIPv4的安全接入。
實施例三
本實施例提供的認證方法，應(yīng)用于WiMAX網(wǎng)絡(luò)，以基于IKEv2的CMIPv6 的啟動為例進4于i兌明。
在CMIP6啟動過程中，用IKEv2在MS和HA間建立IPsec安全關(guān)聯(lián)，以 實現(xiàn)對BU/BA消息的保護。其中，BU (Bounding Update)消息為綁定更新消 息，BA (Bounding Acknowledge)為綁定確認消息。
其中，使用在EAP認證階段生成的MN-HA密鑰作為預(yù)共享密鑰，生成 AUTH載荷。如圖6所示，其具體步驟為
S601、 MS向HA發(fā)送密鑰協(xié)商請求消息，即IKE—SA消息，其中，IKE—SA 中包括加密算法、DH值、隨機數(shù)。DH值即為Difie-Hellman值。
S602a、 HA接收來自MS的IKE—SA消息，選擇加密算法，完成DH值交換。
S602b、向MS返回IKE一SA響應(yīng)，并通過IKE—SA響應(yīng)向MS提供隨機數(shù)。
S603a、 MS生成第一認證載荷，即第一AUTH載荷。
第一 AUTH載荷使用MS與HA的共享密鑰MN-HA生成。
S603b、向HA請求協(xié)商IKE—SA,提供MS標(biāo)識和所述第一 AUTH載荷。
S604a、 HA接收來自MS的IKE—SA消息中的所述MS標(biāo)識和第一 AUTH載荷，查找與所述MS標(biāo)識相對應(yīng)的共享密鑰，-瞼i正所述第一 AUTH載荷中的 內(nèi)容；若驗證成功，使用MN-HA生成第二 AUTH載荷。
S604b、向MS發(fā)送IKE應(yīng)答消息IKE—AUTH，應(yīng)答消息中攜帶HA標(biāo)識和 所述第二AUTH載荷。
S605a、 MS收到IKE應(yīng)答消息后，查找與HA標(biāo)識對應(yīng)的共享密鑰，對所 述第二 AUTH載荷進行驗證，成功后確認MS與HA安全關(guān)聯(lián)的建立，創(chuàng)建對 應(yīng)的lt據(jù)庫入口。
S605b、向HA發(fā)送BU消息。
S606a、 HA收到BU消息時確認IKE—SA建立成功。 S606b、 HA使用該安全關(guān)聯(lián)向MN發(fā)送BA消息。
本實施例提供的認證方法，結(jié)合IEEE802.16定義的空中接口安全標(biāo)準(zhǔn)，基 于IKEv2，提出了 一個應(yīng)用于WiMAX網(wǎng)絡(luò)的認證方法，通過MS與HA之間的 共享密鑰MN-HA產(chǎn)生認證載荷，通過認證項建立相應(yīng)的安全關(guān)聯(lián)，保護BU消 息的發(fā)送，能夠?qū)崿F(xiàn)移動節(jié)點在WiMAX網(wǎng)絡(luò)中基于IKEv2的CMIP6的安全接 入。
實施例四
本實施例為WiMAX網(wǎng)絡(luò)的iU正方法，基于iU正項的PMIP4安全啟動，以 下步驟建立在已完成EAP-AKA認證、且產(chǎn)生各種WiMAX密鑰的基礎(chǔ)上。其中 認證服務(wù)器AAA已獲取密鑰MN-HA、用于推衍FA-HA的推衍密鑰HA-RK; DHCP ( Dynamic Host Configuration Protocol,動態(tài)主機分配協(xié)議)(代理)、PMIP 客戶端和FA—起，共同完成外地代理的功能，這里把這三者組合稱為外地代理 服務(wù)組。其中，PMIP4客戶端獲得MN-FA和FA-HA。
如圖7所示，該實施例可以包括以下步驟
S701、MS向外地代理服務(wù)組發(fā)送獲取IP地址的請求消息，以請求獲取IPv4 的地址。
S702a、 FA收到請求消息后，生成MN-HA認證項和FA-HA認證項。 MN-HA認證項中包括根據(jù)畫-HA生成的認證值，即Authenticator值； FA-HA認證項中包括才艮據(jù)FA-HA生成的Authenticator值。S702b、 FA向HA發(fā)起MIP注冊請求消息，消息中包括MN-HA認證項和 FA-HA認證項。
S703a、 HA接收到MIP注冊請求消息后，發(fā)起認證流程以獲取MN-HA和 HA陽RK。
S703b、 HA向AAA發(fā)送提供MN-HA密鑰、以及用于推衍FA-HA的推衍
密鑰HA-RK的請求消息。
S704a、認證服務(wù)器AAA根據(jù)HA發(fā)送的請求消息，獲取密鑰MN-HA。
S704b、 AAA向HA提供所述MN-HA和推衍密鑰HA-RK。
S705a、 HA根據(jù)接收到的MN-HA對MN-HA認證項進行認證，并根據(jù)推
衍密鑰HA-RK推衍出FA-HA，并根據(jù)推衍出的FA-HA,對所述FA-HA認證項
進行認證。
S705b、認證成功后，HA向外地4戈理服務(wù)組發(fā)送MIP注冊響應(yīng)消息。
5706、 外地代理服務(wù)組將MS的家鄉(xiāng)地址通過反饋消息通知MS。從而MS 能夠根據(jù)家鄉(xiāng)地址尋址。
5707、 MS在接收到所述反饋消息后，向DHCP發(fā)送DHCP配置請求消息， 要求獲得IPv4的地址。
5708、 DHCP向MS反饋確認消息，確認IPv4地址以及其它配置參數(shù)的使用。
從而MS獲耳又到IP地址。
本發(fā)明實施例提供的WiMAX網(wǎng)絡(luò)的認證方法，基于EAP認證，在沒有使 用其它安全機制對MIP注冊消息進行保護的情況下，采用WiMAX網(wǎng)絡(luò)中的通 信實體之間的WiMAX共享密鑰生成的認證項進行認證。該方法基于WiMAX 共享密鑰，通過認證項建立相應(yīng)的安全關(guān)聯(lián)，保護獲取IP地址的請求消息的發(fā) 送，能夠?qū)崿F(xiàn)移動節(jié)點在WiMAX網(wǎng)絡(luò)中基于認證項的PMIPv4的安全接入。
實施例五
本實施例為WiMAX網(wǎng)^各的iU正方法，基于iU正項的CMIPv4安全啟動， 以下步驟建立在已完成EAP-AKA認證、且產(chǎn)生各種WiMAX密鑰的基礎(chǔ)上。其 中認證服務(wù)器AAA已將用于推衍FA-HA的推衍密鑰HA-RK和用于推衍MN-FA的推衍密鑰FA-RK通知FA,且FA才艮據(jù)這些推書f密鑰生成了密鑰FA-HA和 MN-FA。
如圖8所示，該實施例可以包括以下步驟
S801 、 MS向FA發(fā)送MIP注冊請求消息，在該消息中包括MN-HA認證 項和MN-FA認證項。
在MN-HA認證項中，利用密鑰MN-HA生成認證值，在MN-FA認證項中， 利用密鑰MN-FA生成i人證值。
S802a、 FA對所述注冊請求消息中的所述MN-FA認證項進行認證，在認證 成功后刪除MN-FA認證項，利用密鑰FA-HA生成FA-HA認證項。
S802b、 FA向HA發(fā)送MIP注冊請求消息，在所述MIP注冊請求消息中除 了原來所帶的MN-HA認證項之外，還添加了所述FA-HA認證項。
5803、 HA接收到MIP注冊請求消息后，向認證服務(wù)器請求MN-HA的認證 密鑰以及用于推衍FA-HA認證密鑰的推衍密鑰HA-RK。
5804、 AAA將MN-HA的認證密鑰以及用于推衍FA-HA認證密鑰的推衍密 鑰HA-RK發(fā)送給HA。
S805a、 HA用接收到的所述MN-HA認證密鑰來認證所述MN-HA認證項， 并利用所述HA-RK推衍出FA-HA認證密鑰，使用該FA-HA認證密鑰來認證所 述FA-HA認證項。認證成功后，利用接收到的MN-HA生成新的MN-HA認證 項，以及利用計算出的FA-HA生成新的FA-HA認證項。
S805b、在認證成功后，HA向FA發(fā)送MIP注冊響應(yīng)消息，所述消息中包 括新的MN-HA認證項和新的FA-HA認證項。
S806a、 FA接收到MIP注冊響應(yīng)消息后，對新的FA-HA認證項進行認證， 認證成功后刪除該新的FA-HA認證項，根據(jù)MN-FA生成新的MN-FA認證項。
S806b、向MS轉(zhuǎn)發(fā)MIP注冊響應(yīng)消息，所述消息中包括除了新的MN-HA 認證項外，還添加了新的MN-FA認證項。
S807、 MS收到MS發(fā)送的MIP注冊響應(yīng)消息后，對所述新的MN-FA認證 項進行認證，并使用MIP注冊響應(yīng)消息中的HA地址計算生成MN-HA,用該 MN-HA認證所述新的MN-HA認證項。從而完成安全啟動過程，MS獲得家鄉(xiāng)地址。
同實施例四類似，在獲得家鄉(xiāng)地址后，MS可以向FA請求IPv4地址信息。 本發(fā)明實施例提供的WiMAX網(wǎng)絡(luò)的認證方法，基于EAP認證，在沒有使 用其它安全機制對MIP注冊消息進行保護的情況下，采用WiMAX網(wǎng)絡(luò)中的通 信實體之間的WiMAX共享密鑰生成的認證項進行認證。該方法基于WiMAX 共享密鑰，通過認證項建立相應(yīng)的安全關(guān)聯(lián)，保護MIP注冊消息的發(fā)送，能夠 實現(xiàn)移動節(jié)點在WiMAX網(wǎng)絡(luò)中基于認證項的CMIPv4的安全接入。 實施例六
本實施例為WiMAX網(wǎng)絡(luò)的iU正方法，基于iU正項的CMIPv6安全啟動， 以下步驟建立在已完成基于PKMv2的EAP-AKA認證的基礎(chǔ)上，其中認證服務(wù) 器AAA已將家鄉(xiāng)代理和家鄉(xiāng)地址通知NAS ( Network Attached Storage,網(wǎng)絡(luò)附 屬存儲)和DHCPv6代理，認證過程中產(chǎn)生了 MS與AAA之間的共享根密鑰 MIP-RK ，這個密鑰由AAA通知NAS和DHCPv6代理，AS和DHCPv6代理通 過對MS的反4貴消息通知MS。
如圖9所示，該實施例可以包括以下步驟
S901 、 MS向HA發(fā)送BU消息，消息中包括了 MS與AAA之間的MN-HAAA 認證項。所述認證項是由MS與AAA之間的共享密鑰MIP-RK生成的。在該 BU消息中還包括了要求隨機數(shù)的請求。
這個BU消息直接由MS透傳到HA。其中的MN-HAAA的命名規(guī)則與前面 其它實施例不同。
S902、 HA收到所述BU消息后，則向AAA發(fā)送請求消息，要求AAA對 MN-HAAA認證項進行認證，并提供密鑰MN-HA。
S903a、 AAA收到HA的請求消息后，對所述MN-HAAA認證項進行認證， 并產(chǎn)生隨機數(shù)。
S卯3b、 AAA將所述隨機數(shù)和密鑰MN-HA發(fā)送給HA。其中，該密鑰MN-HA 通過所述隨機數(shù)算出。
S904a、 HA根據(jù)所述密鑰MN-HA生成MN-HA認證項。
S904b、 HA將所述MN-HA認證項和所述隨機數(shù)添加在BA消息中發(fā)送給MS。
S905 、 MS根據(jù)該隨機數(shù)計算出密鑰MN-HA，并對所述MN-HA認證項進 行認證，在i人證成功后，與HA建立安全連接。
本發(fā)明實施例提供的WiMAX網(wǎng)絡(luò)的認證方法，基于EAP認證，在沒有使 用其它安全機制對MIP注冊消息進行保護的情況下，采用WiMAX網(wǎng)絡(luò)中的通 信實體之間的WiMAX共享密鑰生成的認證項進行認證。該方法基于WiMAX 共享密鑰，通過認證項建立相應(yīng)的安全關(guān)聯(lián)，保護BU消息的發(fā)送，能夠?qū)崿F(xiàn)移 動節(jié)點在WiMAX網(wǎng)絡(luò)中基于認證項的CMIPv6的安全接入。
本領(lǐng)域普通技術(shù)人員可以理解實現(xiàn)上述實施例方法中的全部或部分流程， 是可以通過計算機程序來指令相關(guān)的硬件來完成，所述的程序可存儲于一計算 機可讀取存儲介質(zhì)中，該程序在執(zhí)行時，可包括如上述各方法的實施例的流程。 其中，所述的存儲介質(zhì)可為磁碟、光盤、只讀存儲記憶體(Read-Only Memory, ROM)或隨機存儲記憶體(Random Access Memory, RAM)等。
如圖10所示，本發(fā)明的實施例還提供了一種WiMAX網(wǎng)絡(luò)的認證裝置，包
括
載荷生成單元1001，用于根據(jù)所述認證裝置和與對端通信實體之間的 WiMAX第 一共享密鑰生成第一認證載荷；
收發(fā)單元1002,用于將所述載荷生成單元1001生成的第一認證載荷發(fā)送給 所述對端通信實體進行驗證，并接收所述對端通信實體在驗證成功后發(fā)送的根 據(jù)所述WiMAX第一共享密鑰生成的第二認證載荷；
驗證單元1003，用于對所述收發(fā)單元1002接收到的第二認證載荷進行驗證。
所述認證裝置可以是實施例一中的FA，也可以是實施例二中的MS或者FA，
還可以是實施例三中的MS。
如圖11所示，本發(fā)明的實施例還提供了另一種WiMAX網(wǎng)絡(luò)的認證裝置， 包括
獲取單元1101 ，用于獲取根據(jù)MS和HA之間的WiMAX第一共享密鑰生 成的第一認證項、以及根據(jù)FA和所述HA之間的WiMAX第二共享密鑰生成的第二認證項；
收發(fā)單元1102,向所述HA發(fā)送請求消息，所述請求消息中包括所述獲取 單元1101獲取的所述第一認證項和第二認證項，以使所述HA對所述第一認證 項和所述第二認證項進行驗證。
本實施例提供的認證裝置可以為FA。
如圖12所示，本發(fā)明的實施例還提供了再一種WiMAX網(wǎng)絡(luò)的認證裝置， 包括
第一收發(fā)單元1201，用于接收MS發(fā)送的消息，所述消息中包括第一認證 項和對隨機數(shù)的請求，所述第一認證項為根據(jù)所述MS和認證服務(wù)器AAA之間 的WiMAX第一共享根密鑰生成，并向所述認證服務(wù)器轉(zhuǎn)發(fā)所述第一認證項以 及所述隨機數(shù)的請求；
第二收發(fā)單元1202,用于接收所述認證服務(wù)器對所述第一認證項驗證成功 后提供的隨機數(shù)和所述MS和所述HA之間的WiMAX第二共享密鑰，根據(jù)所述 WiMAX第二共享密鑰生成第二認證項，并將所述第二認證項和所述隨機數(shù)添加 在響應(yīng)消息中發(fā)送給所述MS,以供所述MS進行驗證。
本實施例提供的認證裝置可以為FA。
本發(fā)明的實施例提供的WiMAX網(wǎng)絡(luò)的認證裝置，可以結(jié)合上述WiMAX 網(wǎng)絡(luò)的認證方法中的各實施例，以實現(xiàn)終端基于WiMAX密鑰的網(wǎng)絡(luò)安全接入。
本發(fā)明實施例提供的WiMAX網(wǎng)絡(luò)的認證裝置，基于EAP認證，在沒有使 用其它安全機制對注冊消息進行保護的情況下，采用WiMAX網(wǎng)絡(luò)中的通信實 體之間的WiMAX共享密鑰生成的認證項進行認證。該方法基于WiMAX共享 密鑰，通過認證項建立相應(yīng)的安全關(guān)聯(lián)，保護注冊消息的發(fā)送，能夠?qū)崿F(xiàn)移動 節(jié)點在WiMAX網(wǎng)絡(luò)中的安全接入。
以上所述，僅為本發(fā)明的具體實施方式
，但本發(fā)明的保護范圍并不局限于 此，任何熟悉本技術(shù)領(lǐng)域的技術(shù)人員在本發(fā)明揭露的技術(shù)范圍內(nèi)，可輕易想到 變化或替換，都應(yīng)涵蓋在本發(fā)明的保護范圍之內(nèi)。因此，本發(fā)明的保護范圍應(yīng) 所述以權(quán)利要求的保護范圍為準(zhǔn)。
權(quán)利要求
1、一種WiMAX網(wǎng)絡(luò)的認證方法，其特征在于，包括第一通信實體根據(jù)所述第一通信實體與第二通信實體之間的WiMAX第一共享密鑰生成第一認證載荷；將所述第一認證載荷發(fā)送給所述第二通信實體進行驗證；接收所述第二通信實體在驗證成功后發(fā)送的根據(jù)所述WiMAX第一共享密鑰生成的第二認證載荷；對所述第二認證載荷進行驗證。
2、 根據(jù)權(quán)利要求1所述的方法，其特征在于，所述第一通信實體為移動節(jié) 點或外地代理；所述第二通信實體為家鄉(xiāng)代理。
3、 根據(jù)權(quán)利要求1所述的方法，其特征在于，所述認證方法進一步包括 所述第二通信實體根據(jù)所述第二通信實體與第三通信實體之間的WiMAX第二共享密鑰生成第三認證載荷；將所述第三認證載荷發(fā)送給所述第三通信實體進行驗證； 接收所述第三通信實體在驗證成功后發(fā)送的根據(jù)所述WiMAX第二共享密 鑰生成的第四認證載荷；對所述第四認證載荷進行驗證；其中，所述第一通信實體為移動節(jié)點，所述第二通信實體為外地代理，所 述第三通信實體為家鄉(xiāng)代理。
4、 一種WiMAX網(wǎng)絡(luò)的認證方法，其特征在于，包括 外地代理獲取根據(jù)移動節(jié)點和家鄉(xiāng)代理之間的WiMAX第一共享密鑰生成的第一認證項、以及根據(jù)所述外地代理和所述家鄉(xiāng)代理之間的WiMAX第二共 享密鑰生成的第二認證項；所述外地代理向所述家鄉(xiāng)代理發(fā)送請求消息，所述請求消息中包括所述第 一認證項和第二認證項，以使所述家鄉(xiāng)代理對所述第一認證項和所述第二認證 項進行驗證。
5、 根據(jù)權(quán)利要求4所述的方法，其特征在于，所述家鄉(xiāng)代理對所述第一認 證項和第二認證項進行驗證，具體為所述家鄉(xiāng)代理在接收到所述外地代理轉(zhuǎn)發(fā)的請求消息后，請求認證服務(wù)器提供所述WiMAX第一共享密鑰、以及用于推衍出所述WiMAX第二共享密鑰 的推衍密鑰；所述家鄉(xiāng)代理接收所述認證服務(wù)器提供的所述WiMAX第一共享密鑰和推 衍密鑰，根據(jù)所述WiMAX第一共享密鑰對所述第一認證項進行驗證，根據(jù)所 述推衍密鑰推衍出所述WiMAX第二共享密鑰，并根據(jù)所述推衍出的WiMAX 第二共享密鑰對所述第二認證項進行驗證。
6、 根據(jù)權(quán)利要求5所述的方法，其特征在于，所述第一認證項由所述外地 代理根據(jù)所述WiMAX第一共享密鑰生成，所述第二認證項由所述外地代理根 據(jù)所述WiMAX第二共享密鑰生成。
7、 根據(jù)權(quán)利要求4所述的方法，其特征在于，所述外地代理獲取所述第一 iU正項具體為所述外地代理從所述移動節(jié)點發(fā)送的移動IP注冊請求消息中獲取所述第一 認證項；所述方法進一步包括所述移動IP注冊請求消息中攜帶第三認證項，所述 第三認證項是所述移動節(jié)點根據(jù)所述移動節(jié)點和外地代理之間的WiMAX第三 共享密鑰生成的；所述外地代理才艮據(jù)所述WiMAX第三共享密鑰對所述第三認證項進行驗證， 在驗證成功后刪除所述第三認證項；所述外地代理獲取所述第二認證項，具體為所述外地代理根據(jù)所述 WiMAX第二共享密鑰生成所述第二認證項；所述外地代理向所述家鄉(xiāng)代理發(fā)送的所述請求消息為所述移動IP注冊請求 消息。
8、 根據(jù)權(quán)利要求7所述的方法，其特征在于，所述家鄉(xiāng)代理對所述第一認證項和第二認證項進行驗證后，還包括所述 家鄉(xiāng)代理在對所述第一認證項驗證成功后，根據(jù)所述WiMAX第一共享密鑰生 成新的第一認證項；在對所述第二認證項-瞼證成功后，才艮據(jù)所述WiMAX第二 共享密鑰生成新的第二認證項；所述家鄉(xiāng)代理完成認證的響應(yīng)消息中包括所述新的第一認證項和新的第二認證項。
9、 根據(jù)權(quán)利要求8所述的方法，其特征在于，所述方法進一步包括 所述外地代理根據(jù)所述WiMAX第二共享密鑰對所述新的第二認證項進行驗證，在驗證成功后刪除所述新的第二認證項，才艮據(jù)所述WiMAX第三共享密 鑰生成新的第三認證項；并將所述新的第 一認證項和新的第三認證項發(fā)送給所 述移動節(jié)點進行驗證。
10、 一種WiMAX網(wǎng)絡(luò)的認證方法，其特征在于，包括家鄉(xiāng)代理接收移動節(jié)點發(fā)送的消息，所述消息中包括第一認證項和對隨機 數(shù)的請求，所述第 一認證項為所述移動節(jié)點根據(jù)所述移動節(jié)點和認證服務(wù)器之 間的WiMAX第一共享根密鑰生成；并向所述認證服務(wù)器轉(zhuǎn)發(fā)所述第一認證項 以及所述隨機數(shù)的請求；所述家鄉(xiāng)代理接收所述認證服務(wù)器對所述第一認證項驗證成功后提供的隨 機數(shù)和所述移動節(jié)點和所述家鄉(xiāng)代理之間的WiMAX第二共享密鑰；根據(jù)所述 WiMAX第二共享密鑰生成第二認證項，并將所述第二認證項和所述隨機數(shù)添加 在響應(yīng)消息中發(fā)送給所述移動節(jié)點，以供所述移動節(jié)點進行驗證。
11、 根據(jù)權(quán)利要求IO所述的方法，其特征在于，所述移動節(jié)點對所述第二 認證項進行-瞼證，具體為根據(jù)所述隨機數(shù)計算出所述WiMAX第二共享密鑰，并根據(jù)所述計算出的 WiMAX第二共享密鑰驗證所述第二認證項。
12、 一種WiMAX網(wǎng)絡(luò)的認證裝置，其特征在于，包括 載荷生成單元，用于根據(jù)所述認證裝置與對端通信實體之間的WiMAX第一共享密鑰生成第 一認證載荷；收發(fā)單元，用于將所述載荷生成單元生成的第一認證載荷發(fā)送給所述對端 通信實體進行驗證，并接收所述對端通信實體在驗證成功后發(fā)送的根據(jù)所述 WiMAX第 一共享密鑰生成的第二認證載荷；驗證單元，用于對所述收發(fā)單元接收到的第二認證載荷進行驗證。
13、 一種WiMAX網(wǎng)絡(luò)的認證裝置，其特征在于，包括獲取單元，用于獲取根據(jù)移動節(jié)點和家鄉(xiāng)代理之間的WiMAX第一共享密鑰生成的第一認證項、以及根據(jù)外地代理和所述家鄉(xiāng)代理之間的WiMAX第二 共享密鑰生成的第二認證項；收發(fā)單元，用于向所述家鄉(xiāng)代理發(fā)送請求消息，所述請求消息中包括所述 獲取單元獲取的所述第一認證項和第二認證項，以使所述家鄉(xiāng)代理對所述第一 認證項和所述第二認證項進行驗證。
14 、 一種WiMAX網(wǎng)絡(luò)的認證裝置，其特征在于，包括第一收發(fā)單元，用于接收移動節(jié)點發(fā)送的消息，所述消息中包括第一認證 項和對隨機數(shù)的請求，所述第一認證項為根據(jù)所述移動節(jié)點和認證服務(wù)器之間 的WiMAX第一共享才艮密鑰生成，并向所述認證il良務(wù)器轉(zhuǎn)發(fā)所述第一認證項以 及所述隨機數(shù)的請求；第二收發(fā)單元，用于接收所述認證服務(wù)器對所述第一認證項驗證成功后提 供的隨機數(shù)和所述移動節(jié)點和所述家鄉(xiāng)代理之間的WiMAX第二共享密鑰，根 據(jù)所述WiMAX第二共享密鑰生成第二認證項，并將所述第二認證項和所述隨 機數(shù)添加在響應(yīng)消息中發(fā)送給所述移動節(jié)點，以供所述移動節(jié)點進行驗證。
全文摘要
本發(fā)明公開了一種WiMAX網(wǎng)絡(luò)的認證方法和裝置，涉及通信領(lǐng)域。所述方法包括根據(jù)不同通信實體之間的WiMAX共享密鑰生成各認證項；將各認證項發(fā)送給各通信實體進行驗證；對各認證項驗證成功后，完成在WiMAX網(wǎng)絡(luò)中的移動注冊。本發(fā)明的實施例適用于WiMAX網(wǎng)絡(luò)中的基站與終端之間的安全認證。
文檔編號H04W12/00GK101516092SQ20091013330
公開日2009年8月26日 申請日期2009年3月31日 優(yōu)先權(quán)日2009年3月31日
發(fā)明者閻仲琬 申請人:華為技術(shù)有限公司