太阳城集团

  • / 24
  • 下载费用:30 金币  

一种互联网接入的安全认证方法、系统和设备.pdf

摘要
申请专利号:

CN201010579593.3

申请日:

2010.12.08

公开号:

CN102546523B

公开日:

2015.01.07

当前法律状态:

授权

有效性:

有权

法律详情: 授权|||实质审查的生效IPC(主分类):H04L 29/06申请日:20101208|||公开
IPC分类号: H04L29/06; H04L9/32 主分类号: H04L29/06
申请人: 中国电信股份有限公司
发明人: 高歆雅; 解冲锋; 孙琼; 李凯
地址: 100032 北京市西城区金融大街31号
优先权:
专利代理机构: 中国国际贸易促进委员会专利商标事务所 11038 代理人: 刘剑波
PDF完整版下载: PDF下载
法律状态
申请(专利)号:

CN201010579593.3

授权太阳城集团号:

102546523B||||||

法律状态太阳城集团日:

太阳城集团2015.01.07|||2013.01.23|||2012.07.04

法律状态类型:

授权|||实质审查的生效|||公开

摘要

本发明公开的应用于高速交通工具互联网接入的安全认证方法、系统和设备,包括:MNMS为每个HMG生成一个公钥和私钥;将公钥下发给AP;将每个私钥分发给对应的HMG;MNMS用私钥和AP对该HMG的关联太阳城集团生成第一签名,将生成的第一签名与AP对HMG的关联太阳城集团一起下发给对应的AP;AP使用公钥对该下发太阳城集团中的第一签名进行认证,若认证通过则提取该太阳城集团中的所述关联太阳城集团保存,向其覆盖范围发送广播通知;HMG判断该AP是否为合法接入AP,若为合法则该HMG利用私钥和AP对该HMG的关联太阳城集团生成第二签名,向该广播AP发送包含有第二签名和该HMG身份标识的认证请求;AP使用公钥对认证请求中的第二签名进行认证。

权利要求书

1: 一种应用于高速交通工具互联网接入的安全认证方法, 其特征在于, 包括 : 客户移动 IP 网管理服务器 MNMS 保存网络接入点 AP 对高速移动网关 HMG 的关联太阳城集团, 为每个 HMG 生成一个公钥和私钥 ; 将公钥下发给与对应的 HMG 存在关联服务的 AP, AP 对下 发的公钥进行保存 ; 将每个私钥分发给对应的 HMG, HMG 对该 HMG 对应的私钥进行保存 ; MNMS 针对每个 HMG 分别用该 HMG 对应的私钥和 AP 对该 HMG 的关联太阳城集团生成第一签名, 将生成的第一签名与 AP 对 HMG 的关联太阳城集团一起下发给对应的 AP ; AP 接收到 MNMS 的下发太阳城集团后, 使用所述 MNMS 下发的公钥对该下发太阳城集团中的第一签名 进行认证, 若认证通过则提取该太阳城集团中的所述关联太阳城集团保存 ; AP 向其覆盖范围发送包含有该 AP 身份标识太阳城集团的广播通知 ; HMG 收到所述广播通知后, 根据广播通知中的 AP 身份标识太阳城集团判断该 AP 是否为合法接 入 AP, 若为合法则该 HMG 利用自身的私钥和该广播 AP 对该 HMG 的关联太阳城集团生成第二签名, 向该广播 AP 发送包含有第二签名和该 HMG 身份标识的认证请求 ; AP 收到来自 HMG 的认证请求后, 使用所述 MNMS 下发的公钥对认证请求中的第二签名进 行认证, 若认证通过, 则根据 HMG 身份标识确认该 HMG 的身份, 身份确认后向该 HMG 发送认 证成功的答复。
2: 根据权利要求 1 所述的方法, 其特征在于, 所述用该 HMG 对应的私钥和 AP 对该 HMG 的关联太阳城集团生成第一签名的过程包括 : 将 AP 对该 HMG 的关联太阳城集团进行 Hash 运算, 使用对应 HMG 的私钥对所得到的 Hash 值进行签名运 算, 得到第一签名 ; 所述使用 MNMS 下发的公钥对该下发太阳城集团中的第一签名进行认证的过程包括 : 对下发 太阳城集团中的关联太阳城集团进行 Hash 运算得到 Hash 值, 使用 MNMS 下发的公钥对该下发太阳城集团中的 第一签名进行认证运算, 判断得到的认证运算结果是否与所述下发太阳城集团中的关联太阳城集团进行 Hash 运算得到 Hash 值下发太阳城集团中的关联太阳城集团进行 Hash 运算得到 Hash 值相等, 若是, 则认 证通过 ; 所述 HMG 利用自身的私钥和该广播 AP 对该 HMG 的关联太阳城集团生成第二签名的过程包括 : 将该广播 AP 对该 HMG 的关联太阳城集团进行 Hash 运算, 使用对应 HMG 的私钥对所得到的 Hash 值 进行签名运算, 得到第二签名 ; 所述使用 MNMS 下发的公钥对认证请求中的第二签名进行认证的过程包括 : 从本地查 找本 AP 对该 HMG 的关联太阳城集团, 对该关联太阳城集团进行 Hash 运算得到 Hash 值, 从本地查找该 HMG 对应的公钥对该认证请求中的第二签名进行认证运算, 判断得到的认证运算结果是否与该 关联太阳城集团进行 Hash 运算得到 Hash 值相等, 若是, 则认证通过。
3: 根据权利要求 1 所述的方法, 其特征在于, 所述签名运算为 S = H^d mod n, 其中 H 为该 HMG 的关联太阳城集团 m 进行 Hash 运算的 Hash 值, 私钥为 (n, d) ; 所述对签名进行认证的运算为 V = S^e mod n, 其中, S 为签名, 公钥为 (n, e)。
4: 根据权利要求 1 所述的方法, 其特征在于, 所述 HMG 为每个 HMG 生成一个公钥和私钥 的过程包括 : 通过 PKCS#1 算法为每个 HMG 随机生成一对非对称密钥私钥和公钥。
5: 根据权利要求 1 所述的方法, 其特征在于, 所述 MNMS 中还保存 HMG 对 AP 的关联信 息。
6: 一种应用于高速交通工具互联网接入的安全认证系统, 其特征在于, 包括 : 2 客户移动 IP 网管理服务器 MNMS, 用于保存网络接入点 AP 对高速移动网关 HMG 的关联 太阳城集团, 为每个 HMG 生成一个公钥和私钥 ; 以及针对每个 HMG 分别用该 HMG 对应的私钥和 AP 对该 HMG 的关联太阳城集团生成第一签名, 将生成的第一签名与 AP 对 HMG 的关联太阳城集团一起下发给 对应的 AP ; AP, 用于保存 MNMS 生成的与自身存在关联服务关系的 HMG 对应的公钥 ; 在接收到 MNMS 下发的所述第一签名与 AP 对 HMG 的关联太阳城集团后, 使用本地保存的对应该 HMG 的公钥对该下 发太阳城集团中的第一签名进行认证, 若认证通过则提取该太阳城集团中的所述关联太阳城集团保存 ; 向其覆 盖范围发送包含有该 AP 身份标识太阳城集团的广播通知 ; 以及在收到来自 HMG 的认证请求后, 使 用本地保存的该 HMG 对应的公钥对认证请求中的第二签名进行认证, 若认证通过, 则根据 HMG 身份标识确认该 HMG 的身份, 身份确认后向该 HMG 发送认证成功的答复 ; HMG, 用于保存 MNMS 生成的与自身对应的私钥 ; 在收到来自 AP 的广播通知后, 根据该广 播通知中的 AP 身份标识太阳城集团判断该 AP 是否为合法接入 AP, 若为合法则该 HMG 利用本地保 存的私钥和该广播 AP 对该 HMG 的关联太阳城集团生成第二签名, 向该广播 AP 发送包含有第二签 名和该 HMG 身份标识的认证请求。
7: 根据权利要求 6 所述的系统, 其特征在于, 所述 MNMS 用该 HMG 对应的私钥和 AP 对 该 HMG 的关联太阳城集团生成第一签名包括 : 将 AP 对该 HMG 的关联太阳城集团进行 Hash 运算, 使用对应 HMG 的私钥对所得到的 Hash 值进行签名运算, 得到第一签名 ; 所述 AP 使用本地保存的对应该 HMG 的公钥对该下发太阳城集团中的第一签名进行认证包括 : 对下发太阳城集团中的关联太阳城集团进行 Hash 运算得到 Hash 值, 使用 MNMS 下发的公钥对该下发太阳城集团 中的第一签名进行认证运算, 判断得到的认证运算结果是否与所述下发太阳城集团中的关联太阳城集团 进行 Hash 运算得到 Hash 值下发太阳城集团中的关联太阳城集团进行 Hash 运算得到 Hash 值相等, 若是, 则认证通过 ; 所述 AP 使用本地保存的该 HMG 对应的公钥对认证请求中的第二签名进行认证 包括 : 从本地查找本 AP 对该 HMG 的关联太阳城集团, 对该关联太阳城集团进行 Hash 运算得到 Hash 值, 从 本地查找该 HMG 对应的公钥对该认证请求中的第二签名进行认证运算, 判断得到的认证运 算结果是否与该关联太阳城集团进行 Hash 运算得到 Hash 值相等, 若是, 则认证通过 ; 所述 HMG 该 HMG 利用本地保存的私钥和该广播 AP 对该 HMG 的关联太阳城集团生成第二签名 包括 : 将该广播 AP 对该 HMG 的关联太阳城集团进行 Hash 运算, 使用本地保存的私钥对所得到的 Hash 值进行签名运算, 得到第二签名。
8: 根据权利要求 6 所述的系统, 其特征在于, 所述签名运算为 S = H^d mod n, 其中 H 为该 HMG 的关联太阳城集团 m 进行 Hash 运算的 Hash 值, 私钥为 (n, d) ; 所述对签名进行认证的运算为 V = S^e mod n, 其中, S 为签名, 公钥为 (n, e)。
9: 根据权利要求 6 所述的系统, 其特征在于, 所述 HMG 为每个 HMG 生成一个公钥和私钥 包括 : 通过 PKCS#1 算法为每个 HMG 随机生成一对非对称密钥私钥和公钥。
10: 根据权利要求 6 所述的系统, 其特征在于, 所述 MNMS 中还保存 HMG 对 AP 的关联信 息。
11: 一种客户移动 IP 网管理服务器 MNMS, 其特征在于, 包括 : 高速移动网关 HMG 密钥生成配置模块, 用于为每个 HMG 生成一个公钥和私钥 ; HMG-AP 管理模块, 用于管理该 MNMS 下的所有 AP 太阳城集团, 向对 HMG 存在关联服务的 AP 下 发该 HMG 对应的公钥, 以及针对每个 HMG 分别用该 HMG 对应的私钥和网络接入点 AP 对该 3 HMG 的关联太阳城集团生成第一签名, 将生成的第一签名与 AP 对 HMG 的关联太阳城集团一起下发给对应 的 AP ; MNMS 管理数据库模块, 用于保存生成的所述公钥, 以及网络接入点 AP 对高速移动网关 HMG 的关联太阳城集团。
12: 根据权利要求 11 所述的客户移动 IP 网管理服务器, 其特征在于, 所述 MNMS 用该 HMG 对应的私钥和 AP 对该 HMG 的关联太阳城集团生成第一签名包括 : 将 AP 对该 HMG 的关联太阳城集团 进行 Hash 运算, 使用对应 HMG 的私钥对所得到的 Hash 值进行签名运算, 得到第一签名。
13: 根据权利要求 11 所述的客户移动 IP 网管理服务器, 其特征在于, 所述签名运算为 S = H^d mod n, 其中 H 为该 HMG 的关联太阳城集团 m 进行 Hash 运算的 Hash 值, 私钥为 (n, d)。
14: 根据权利要求 11 所述的客户移动 IP 网管理服务器, 其特征在于, 所述 MNMS 管理数 据库模块中还保存 HMG 对 AP 的关联太阳城集团。
15: 一种网络接入点 AP 设备, 其特征在于, 包括 : AP 数据库模块, 用于保存客户移动 IP 网管理服务器 MNMS 生成的与自身存在关联服务 关系的高速移动网关 HMG 对应的公钥, 以及 AP 对 HMG 的关联太阳城集团 ; 认证模块, 用于在接收到 MNMS 下发的所述第一签名与 AP 对 HMG 的关联太阳城集团后, 使用 AP 数据库模块中保存的对应该 HMG 的公钥对该下发太阳城集团中的第一签名进行认证, 若认证通过 则提取该太阳城集团中的所述关联太阳城集团保存在所述 AP 数据库模块 ; 向其覆盖范围发送包含有该 AP 身份标识太阳城集团的广播通知 ; 以及在收到来自 HMG 的认证请求后, 使用 AP 数据库模块中保 存的该 HMG 对应的公钥对认证请求中的第二签名进行认证, 若认证通过, 则根据 HMG 身份标 识确认该 HMG 的身份, 身份确认后向该 HMG 发送认证成功的答复。
16: 根据权利要求 15 所述的网络接入点设备, 其特征在于, 所述认证模块使用 AP 数据 库模块中保存的对应该 HMG 的公钥对该下发太阳城集团中的第一签名进行认证包括 : 对下发太阳城集团 中的关联太阳城集团进行 Hash 运算得到 Hash 值, 使用 MNMS 下发的公钥对该下发太阳城集团中的第一 签名进行认证运算, 判断得到的认证运算结果是否与所述下发太阳城集团中的关联太阳城集团进行 Hash 运算得到 Hash 值下发太阳城集团中的关联太阳城集团进行 Hash 运算得到 Hash 值相等, 若是, 则认证通 过; 所述认证模块使用 AP 数据库模块中保存的该 HMG 对应的公钥对认证请求中的第二签 名进行认证包括 : 从本地查找本 AP 对该 HMG 的关联太阳城集团, 对该关联太阳城集团进行 Hash 运算得到 Hash 值, 从本地查找该 HMG 对应的公钥对该认证请求中的第二签名进行认证运算, 判断得 到的认证运算结果是否与该关联太阳城集团进行 Hash 运算得到 Hash 值相等, 若是, 则认证通过。
17: 根据权利要求 15 所述的网络接入点设备, 其特征在于, 所述对签名进行认证的运 算为 V = S^e mod n, 其中, S 为签名, 公钥为 (n, e)。
18: 一种高速移动网关 HMG 设备, 其特征在于, 包括 : HMG 数据库模块, 用于保存客户移动 IP 网管理服务器 MNMS 生成的与自身对应的私钥, 以及网络接入点 AP 对该 HMG 的关联太阳城集团 ; 认证模块, 用于在收到来自 AP 的广播通知后, 根据该广播通知中的 AP 身份标识太阳城集团判 断该 AP 是否为合法接入 AP ; 密钥生成模块, 用于在认证模块判定为合法后, 利用 HMG 数据库模块中保存的私钥和 该广播 AP 对该 HMG 的关联太阳城集团生成第二签名, 向该广播 AP 发送包含有第二签名和该 HMG 4 身份标识的认证请求。
19: 根据权利要求 18 所述的高速移动网关设备, 所述生成第二签名的运算为 S = H^d mod n, 其中 H 为该 HMG 的关联太阳城集团 m 进行 Hash 运算的 Hash 值, 私钥为 (n, d)。

说明书


一种互联网接入的安全认证方法、 系统和设备

    技术领域 本发明涉及网络接入技术, 特别是指一种应用于高速交通工具互联网接入的安全 认证方法、 系统和设备。
     背景技术 随着高铁和飞机等移动高速交通工具的日益普及和发展, 用户在移动交通工具上 的网络服务也成为了互联网研究的热点。 然而, 单单依靠传统的移动网络技术, 无法提供给 用户足够的接入带宽和大量用户的接入需求, 无法满足高速移动的交通工具上的网络接入 需求。
     现有专为高速铁路制定的新型的移动互联网协议 (IP) 网方案可以实现路由建立 过程和数据传输的同步进行。该方案根据当前的网络位置选择和高速交通工具的路径信 息, 在高速移动过程中, 提前选择最近或者最佳的 IP 接入点 (AP) 为下一个即将接入的 IP 接入点 AP, 并为客户网络建立新路由, 这样移动 IP 网在切换到新的 IP 接入点时直接进入到 数据流传输环节, 减小了切换的太阳城集团, 提升了切换质量, 保证了上层业务性能。客户移动 IP 网接入互联网, 实现互联网数据的转发。
     目前电信运营商的主要接入认证方式为以太网上的点对点协议 (PPPoE) 和以太 网 IP 协议 (IPoE)。然而与有线接入的场景不同, 无线环境下, 认证系统难以基于有线接入 线路的稳定二层 ID 捆绑关联来保证接入网络的用户身份, 非法用户的网络侵入到移动核 心网的风险在增加 ; 另外, 由于客户网络在和特定 AP 之间也有频繁的接入退出机制, IP 接 入点 AP 在无线接入环境下判定用户网络的合法性难度更大。 而且不论 PPPoE 或者 IPoE, 用 户都需要经过复杂的认证机制, 而且这些认证对设备处理性能、 内存资源需求较高, 并都需 要一个等待过程来完成认证, 无法适应移动 IP 网络的快速接入要求。因此, 迫切需要新的 方法来保证系统的安全性。
     移动 IP 网络的特性是, 在接入到新的接入点时, 上层应用会话还在进行数据通 信, 因此安全认证机制必需保证上层业务的性能。 在高速移动过程中, 用户网络在不同的时 候接入到不同的接入点, 也就是会发生接入点 AP 的切换, 因而系统的安全认证必须速度要 快, 不能因为接入认证过程占用太大的太阳城集团开销而导致上层应用的会话发生中断, 从而严 重影响业务的性能。 由于互联网的高度开放性, 网络上存在许多恶意用户, 他们利用网络或 者系统漏洞非法入侵网络、 窃取数据或者占用网络资源。 因此, 接入网络的实体进行安全认 证和数据完整性的检查对于网络的安全和畅通十分重要。
     目前全球正在掀起高速铁路建设热潮。俄罗斯、 西班牙等国纷纷投入巨资。铁路 建设正在进入一个大时代, 中国非常有希望成为全球的领跑者。到 2012 年, 中国将建成高 速铁路 1.3 万公里, 成为世界第一。按照 《中长期铁路网规划》 , 确定到 2020 年我国高速铁 路 ( 以下简称高铁 ) 总规模为 1.8 万公里, 将占世界高速铁路总里程的一半以上。高速铁 路具有移动速度快、 路线固定、 乘客众多等特点。由于众多乘客, 决定了传统的移动网络技 术无法满足如此多的用户同时接入的要求 ; 而高铁的高速移动性, 也导致了传统的固定网
     络接入技术在高铁上无用武之地。如何利用高速铁路具有的特点, 设计合适高速铁路的接 入认证体系, 是目前的当务之急。
     与一般的家用互联网不同, 在高铁等高速交通工具内部, 需要实现的是在高速移 动过程中接入互联网, 因此对高速交通工具的上网认证既要保证安全又要保证高效。然而 目前还没有针对这种新型的在高铁等高速交通工具中, 提供上网服务场景的, 可靠有效的 接入认证方案。 发明内容
     有鉴于此, 本发明的目的在于提出一种可运营、 可管理的移动 IP 网快速而安全地 接入认证方法和系统, 满足高速交通工具上互联网接入的需求。
     基于上述目的本发明提供的一种应用于高速交通工具互联网接入的安全认证方 法, 包括 :
     客户移动 IP 网管理服务器 MNMS 保存网络接入点 AP 对高速移动网关 HMG 的关联信 息, 为每个 HMG 生成一个公钥和私钥 ; 将公钥下发给与对应的 HMG 存在关联服务的 AP, AP 对 下发的公钥进行保存 ; 将每个私钥分发给对应的 HMG, HMG 对该 HMG 对应的私钥进行保存 ; MNMS 针对每个 HMG 分别用该 HMG 对应的私钥和 AP 对该 HMG 的关联太阳城集团生成第一 签名, 将生成的第一签名与 AP 对 HMG 的关联太阳城集团一起下发给对应的 AP ;
     AP 接收到 MNMS 的下发太阳城集团后, 使用所述 MNMS 下发的公钥对该下发太阳城集团中的第一 签名进行认证, 若认证通过则提取该太阳城集团中的所述关联太阳城集团保存 ;
     AP 向其覆盖范围发送包含有该 AP 身份标识太阳城集团的广播通知 ;
     HMG 收到所述广播通知后, 根据广播通知中的 AP 身份标识太阳城集团判断该 AP 是否为合 法接入 AP, 若为合法则该 HMG 利用自身的私钥和该广播 AP 对该 HMG 的关联太阳城集团生成第二签 名, 向该广播 AP 发送包含有第二签名和该 HMG 身份标识的认证请求 ;
     AP 收到来自 HMG 的认证请求后, 使用所述 MNMS 下发的公钥对认证请求中的第二签 名进行认证, 若认证通过, 则根据 HMG 身份标识确认该 HMG 的身份, 身份确认后向该 HMG 发 送认证成功的答复。
     可选的, 该方法所述用该 HMG 对应的私钥和 AP 对该 HMG 的关联太阳城集团生成第一签名 的过程包括 : 将 AP 对该 HMG 的关联太阳城集团进行 Hash 运算, 使用对应 HMG 的私钥对所得到的 Hash 值进行签名运算, 得到第一签名 ;
     所述使用 MNMS 下发的公钥对该下发太阳城集团中的第一签名进行认证的过程包括 : 对 下发太阳城集团中的关联太阳城集团进行 Hash 运算得到 Hash 值, 使用 MNMS 下发的公钥对该下发太阳城集团中 的第一签名进行认证运算, 判断得到的认证运算结果是否与所述下发太阳城集团中的关联太阳城集团进 行 Hash 运算得到 Hash 值下发太阳城集团中的关联太阳城集团进行 Hash 运算得到 Hash 值相等, 若是, 则 认证通过 ;
     所述 HMG 利用自身的私钥和该广播 AP 对该 HMG 的关联太阳城集团生成第二签名的过程 包括 : 将该广播 AP 对该 HMG 的关联太阳城集团进行 Hash 运算, 使用对应 HMG 的私钥对所得到的 Hash 值进行签名运算, 得到第二签名 ;
     所述使用 MNMS 下发的公钥对认证请求中的第二签名进行认证的过程包括 : 从本 地查找本 AP 对该 HMG 的关联太阳城集团, 对该关联太阳城集团进行 Hash 运算得到 Hash 值, 从本地查找
     该 HMG 对应的公钥对该认证请求中的第二签名进行认证运算, 判断得到的认证运算结果是 否与该关联太阳城集团进行 Hash 运算得到 Hash 值相等, 若是, 则认证通过。
     可选的, 该方法所述签名运算为 S = H^d mod n, 其中 H 为该 HMG 的关联太阳城集团 m 进 行 Hash 运算的 Hash 值, 私钥为 (n, d) ;
     所述对签名进行认证的运算为 V = S^e mod n, 其中, S 为签名, 公钥为 (n, e)。
     可 选 的, 该 方 法 所 述 HMG 为 每 个 HMG 生 成 一 个 公 钥 和 私 钥 的 过 程 包 括 : 通过 PKCS#1 算法为每个 HMG 随机生成一对非对称密钥私钥和公钥。
     可选的, 该方法所述 MNMS 中还保存 HMG 对 AP 的关联太阳城集团。
     在本发明的另一方面, 还提供了一种应用于高速交通工具互联网接入的安全认证 系统, 包括 :
     客户移动 IP 网管理服务器 MNMS, 用于保存网络接入点 AP 对高速移动网关 HMG 的 关联太阳城集团, 为每个 HMG 生成一个公钥和私钥 ; 以及针对每个 HMG 分别用该 HMG 对应的私钥和 AP 对该 HMG 的关联太阳城集团生成第一签名, 将生成的第一签名与 AP 对 HMG 的关联太阳城集团一起下发 给对应的 AP ;
     AP, 用于保存 MNMS 生成的与自身存在关联服务关系的 HMG 对应的公钥 ; 在接收到 MNMS 下发的所述第一签名与 AP 对 HMG 的关联太阳城集团后, 使用本地保存的对应该 HMG 的公钥 对该下发太阳城集团中的第一签名进行认证, 若认证通过则提取该太阳城集团中的所述关联太阳城集团保存 ; 向其覆盖范围发送包含有该 AP 身份标识太阳城集团的广播通知 ; 以及在收到来自 HMG 的认证请求 后, 使用本地保存的该 HMG 对应的公钥对认证请求中的第二签名进行认证, 若认证通过, 则 根据 HMG 身份标识确认该 HMG 的身份, 身份确认后向该 HMG 发送认证成功的答复 ; HMG, 用于保存 MNMS 生成的与自身对应的私钥 ; 在收到来自 AP 的广播通知后, 根据 该广播通知中的 AP 身份标识太阳城集团判断该 AP 是否为合法接 AP, 若为合法则该 HMG 利用本地 保存的私钥和该广播 AP 对该 HMG 的关联太阳城集团生成第二签名, 向该广播 AP 发送包含有第二 签名和该 HMG 身份标识的认证请求。
     可选的, 该系统所述 MNMS 用该 HMG 对应的私钥和 AP 对该 HMG 的关联太阳城集团生成第 一签名包括 : 将 AP 对该 HMG 的关联太阳城集团进行 Hash 运算, 使用对应 HMG 的私钥对所得到的 Hash 值进行签名运算, 得到第一签名 ;
     所述 AP 使用本地保存的对应该 HMG 的公钥对该下发太阳城集团中的第一签名进行认证 包括 : 对下发太阳城集团中的关联太阳城集团进行 Hash 运算得到 Hash 值, 使用 MNMS 下发的公钥对该下 发太阳城集团中的第一签名进行认证运算, 判断得到的认证运算结果是否与所述下发太阳城集团中的关 联太阳城集团进行 Hash 运算得到 Hash 值下发太阳城集团中的关联太阳城集团进行 Hash 运算得到 Hash 值相等, 若是, 则认证通过 ; 所述 AP 使用本地保存的该 HMG 对应的公钥对认证请求中的第二签名进 行认证包括 : 从本地查找本 AP 对该 HMG 的关联太阳城集团, 对该关联太阳城集团进行 Hash 运算得到 Hash 值, 从本地查找该 HMG 对应的公钥对该认证请求中的第二签名进行认证运算, 判断得到的 认证运算结果是否与该关联太阳城集团进行 Hash 运算得到 Hash 值相等, 若是, 则认证通过 ;
     所述 HMG 该 HMG 利用本地保存的私钥和该广播 AP 对该 HMG 的关联太阳城集团生成第二 签名包括 : 将该广播 AP 对该 HMG 的关联太阳城集团进行 Hash 运算, 使用本地保存的私钥对所得到 的 Hash 值进行签名运算, 得到第二签名。
     可选的, 该系统所述签名运算为 S = H^d mod n, 其中 H 为该 HMG 的关联太阳城集团 m 进
     行 Hash 运算的 Hash 值, 私钥为 (n, d) ;
     所述对签名进行认证的运算为 V = S^e mod n, 其中, S 为签名, 公钥为 (n, e)。
     可选的, 该系统所述 HMG 为每个 HMG 生成一个公钥和私钥包括 : 通过 PKCS#1 算法 为每个 HMG 随机生成一对非对称密钥私钥和公钥。
     可选的, 该系统所述 MNMS 中还保存 HMG 对 AP 的关联太阳城集团。
     在本发明的另一方面, 还提供了一种客户移动 IP 网管理服务器 MNMS, 包括 :
     高速移动网关 HMG 密钥生成配置模块, 用于为每个 HMG 生成一个公钥和私钥 ;
     HMG-AP 管理模块, 用于管理该 MNMS 下的所有 AP 太阳城集团, 向对 HMG 存在关联服务的 AP 下发该 HMG 对应的公钥, 以及针对每个 HMG 分别用该 HMG 对应的私钥和网络接入点 AP 对该 HMG 的关联太阳城集团生成第一签名, 将生成的第一签名与 AP 对 HMG 的关联太阳城集团一起下发给对应 的 AP ;
     MNMS 管理数据库模块, 用于保存生成的所述公钥, 以及网络接入点 AP 对高速移动 网关 HMG 的关联太阳城集团。
     可选的, 该客户移动 IP 网管理服务器所述 MNMS 用该 HMG 对应的私钥和 AP 对该 HMG 的关联太阳城集团生成第一签名包括 : 将 AP 对该 HMG 的关联太阳城集团进行 Hash 运算, 使用对应 HMG 的 私钥对所得到的 Hash 值进行签名运算, 得到第一签名。 可选的, 该客户移动 IP 网管理服务器所述签名运算为 S = H^d modn, 其中 H 为该 HMG 的关联太阳城集团 m 进行 Hash 运算的 Hash 值, 私钥为 (n, d)。
     可选的, 该客户移动 IP 网管理服务器所述 MNMS 管理数据库模块中还保存 HMG 对 AP 的关联太阳城集团。
     在本发明的另一方面, 本发明还提供了一种网络接入点 AP 设备, 包括 :
     AP 数据库模块, 用于保存客户移动 IP 网管理服务器 MNMS 生成的与自身存在关联 服务关系的高速移动网关 HMG 对应的公钥, 以及 AP 对 HMG 的关联太阳城集团 ;
     认证模块, 用于在接收到 MNMS 下发的所述第一签名与 AP 对 HMG 的关联太阳城集团后, 使 用 AP 数据库模块中保存的对应该 HMG 的公钥对该下发太阳城集团中的第一签名进行认证, 若认证 通过则提取该太阳城集团中的所述关联太阳城集团保存在所述 AP 数据库模块 ; 向其覆盖范围发送包含 有该 AP 身份标识太阳城集团的广播通知 ; 以及在收到来自 HMG 的认证请求后, 使用 AP 数据库模块 中保存的该 HMG 对应的公钥对认证请求中的第二签名进行认证, 若认证通过, 则根据 HMG 身 份标识确认该 HMG 的身份, 身份确认后向该 HMG 发送认证成功的答复。
     可选的, 该网络接入点设备所述认证模块使用 AP 数据库模块中保存的对应该 HMG 的公钥对该下发太阳城集团中的第一签名进行认证包括 : 对下发太阳城集团中的关联太阳城集团进行 Hash 运 算得到 Hash 值, 使用 MNMS 下发的公钥对该下发太阳城集团中的第一签名进行认证运算, 判断得到 的认证运算结果是否与所述下发太阳城集团中的关联太阳城集团进行 Hash 运算得到 Hash 值下发太阳城集团中 的关联太阳城集团进行 Hash 运算得到 Hash 值相等, 若是, 则认证通过 ;
     所述认证模块使用 AP 数据库模块中保存的该 HMG 对应的公钥对认证请求中的第 二签名进行认证包括 : 从本地查找本 AP 对该 HMG 的关联太阳城集团, 对该关联太阳城集团进行 Hash 运算 得到 Hash 值, 从本地查找该 HMG 对应的公钥对该认证请求中的第二签名进行认证运算, 判 断得到的认证运算结果是否与该关联太阳城集团进行 Hash 运算得到 Hash 值相等, 若是, 则认证通 过。
     可选的, 该网络接入点设备, 所述对签名进行认证的运算为 V = S^e mod n, 其中, S 为签名, 公钥为 (n, e)。
     在本发明的另一方面, 还提供了一种高速移动网关 HMG 设备, 包括 :
     HMG 数据库模块, 用于保存客户移动 IP 网管理服务器 MNMS 生成的与自身对应的私 钥, 以及网络接入点 AP 对该 HMG 的关联太阳城集团 ;
     认证模块, 用于在收到来自 AP 的广播通知后, 根据该广播通知中的 AP 身份标识信 息判断该 AP 是否为合法接入 AP ;
     密钥生成模块, 用于在认证模块判定为合法后, 利用 HMG 数据库模块中保存的私 钥和该广播 AP 对该 HMG 的关联太阳城集团生成第二签名, 向该广播 AP 发送包含有第二签名和该 HMG 身份标识的认证请求。
     可选的, 该高速移动网关设备, 所述生成第二签名的运算为 S = H^d mod n, 其中 H 为该 HMG 的关联太阳城集团 m 进行 Hash 运算的 Hash 值, 私钥为 (n, d)。
     从上面所述可以看出, 本发明提供的应用于高速交通工具互联网接入的安全认证 方法、 系统和设备, 能够在高速移动、 设备切换频繁条件下, 实现移动 IP 网的快速接入和认 证能力, 可靠防范非法接入和入侵。方案不用修改用户终端以及网络中的其他设备。并且 具有如下特点和优点 :
     1、 基于数字证书的高速移动 IP 网认证方式
     不同于传统的基于密码交换的用户认证方式, 本发明采用了数字证书作为认证位 于快速交通工具中的移动 IP 网的认证手段。各个 HMG 网关使用由 MNMS 专门为 HMG 设定的 私钥对申请消息的 HASH 进行加密签名, 各个 AP 使用 HMG 的公钥对其进行验证。这样既保 证了消息的完整性和不可篡改性, 同时也实现了对 HMG 身份的快速验证, 保证了用户体验。 由于生成数字证的私钥不需要在无线网络中传输, 黑客难以获得, 因此该方法中的认证信 息不容易伪造, 极大提高了认证的准确性和安全性。
     2、 AP 中的本地认证机制
     本发明综合利用交通工具的路径太阳城集团和网络 AP 节点的位置太阳城集团, 在 MNMS 中提前 生成 AP 和 HMG 的服务关联记录。为了提高认证速度, MNMS 提前将该 AP 所服务的所有 HMG 太阳城集团下发到 AP 的本地数据库中。AP 在接收到 HMG 的认证求后, 为了验证 HMG 认证消息的数 据完整性和数据源真实性, HMG 直接在本地数据库中查询确认该 HMG 的身份以及公钥, 不需 要到集中式的大数据库中去执行查询。而且 AP 的本地数据库针对 AP 进行了量身定做, 剔 除了不必要的 HMG 数据, 因此数据量小, 将会大大提高查询 HMG 身份的速度。本方案的另外 一个好处是, 每个 AP 也不要直接要求 HMG 提交自己的公钥, 由 AP 直接从 MNMS 中获取, 降低 了系统的复杂度。
     3、 面向公共 HMG 公钥的安全下发机制
     本发明方案中, MNMS 负责统一管理 HMG 的太阳城集团以及认证公钥 / 私钥对的生成。为 了安全地将 HMG 公钥等太阳城集团安全下发到各 AP 中, 需要确保 MNMS-AP 间传输数据的完整性和 数据源的真实性, 本发明中采用了数字签名的方式来达到以上目的。这种方法的好处是 AP 中只要提前配备 HMG 的公钥, 就可以安全地获得真正的 HMG 公钥。 附图说明图 1 为本发明实施例移动 IP 网络的快速接入认证系统组成示意图 ; 图 2 为本发明实施例 MNMS 的结构示意图 ; 图 3 为本发明实施例 AP 的结构示意图 ; 图 4 为本发明实施例 HMG 的结构示意图 ; 图 5 为本发明实施例 AP 到 HMG 认证的总体流程示意图 ; 图 6 为本发明实施例 MNMS、 AP、 HMG 的配置过程的流程示意图 ; 图 7 为本发明实施例 HMG 接入认证流程示意图 ; 图 8 为本发明实施例 AP 发出的广播通知的格式示意图 ; 图 9 为本发明实施例 HMG 发出的认证请求数据包的格式示意图 ; 图 10 为本发明实施例 AP 向 HMG 回复数据包的格式示意图。具体实施方式
     为使本发明的目的、 技术方案和优点更加清楚明白, 以下结合具体实施例, 并参照 附图, 对本发明进一步详细说明。
     本发明实施例应用于高速交通工具互联网接入的安全认证系统结构, 参见图 1 所 示。 在图 1 中的移动 IP 核心网, 提供移动 IP 网管理和数据转发服务, 移动 IP 网将通 过移动核心网实现接入互联网。 安全认证系统组成主要包括高速移动网关 (HMG)、 网络接入 点 (AP)、 客户移动 IP 网管理服务器 (MNMS) 三部分, 分别介绍如下 :
     HMG, 位于高速交通工具内的 IP 路由器设备, 是移动 IP 网中终端对外通信的关口 设备, 也是客户侧实施认证功能的关键设备。在实施例中其功能主要包括 : 用于保存 MNMS 生成的与自身对应的私钥 ; 在收到来自 AP 的广播通知后, 根据该广播通知中的 AP 身份标识 太阳城集团判断该 AP 是否为合法接入 AP, 若为合法则该 HMG 利用本地保存的私钥和该广播 AP 对 该 HMG 的关联太阳城集团生成第二签名, 向该广播 AP 发送包含有第二签名和该 HMG 身份标识的认 证请求。
     此外, HMG 还可以对内负责汇聚接入所有的用户终端, 向用户终端分配 IPv4/IPv6 地址, 提供互联网接入服务 ; 对外通过移动接入链路接入到移动核心网中, 向移动核心网的 AP 接入点提供的认证太阳城集团以进行注册请求, 并通告自己的 IPv4/IPv6 地址前缀 ; 通过接入 点接入到移动核心网络后, HMG 负责转发用户终端发送到公网和从公网接收到的流量。HMG 维护所需接入点的名称及自身加密私钥及公钥, 通过与 AP 的密切配合, 实现高速移动型客 户网络并代理本移动 IP 网内所有节点的快速认证功能。
     AP, 位于移动 IP 核心网边缘的 IP 接入点设备, AP 需实现和 HMG 节点间相互发现、 链路建立、 身份认证、 路由配置及数据包转发等相关功能。在实施例中其功能主要包括 : 用 于保存 MNMS 生成的与自身存在关联服务关系的 HMG 对应的公钥 ; 在接收到 MNMS 下发的所 述第一签名与 AP 对 HMG 的关联太阳城集团后, 使用本地保存的对应该 HMG 的公钥对该下发太阳城集团中 的第一签名进行认证, 若认证通过则提取该太阳城集团中的所述关联太阳城集团保存 ; 向其覆盖范围发 送包含有该 AP 身份标识太阳城集团的广播通知 ; 以及在收到来自 HMG 的认证请求后, 使用本地保 存的该 HMG 对应的公钥对认证请求中的第二签名进行认证, 若认证通过, 则根据 HMG 身份标 识确认该 HMG 的身份, 身份确认后向该 HMG 发送认证成功的答复。
     为了支持本发明提出的认证功能, AP 本地维护的太阳城集团包括 : 可能接入其下的所有 HMG 的 ID 和 HMG 的公钥太阳城集团。 此外, AP 中还可保存 : 需接入本 AP 设备的所有移动 IP 网 ( 该 移动 IP 网主要是 HMG) 的认证密码太阳城集团。ID 太阳城集团和公钥太阳城集团用来认证 HMG 的可接入性, 通 过认证密码提供 HMG 认证基础。作为网络侧的关键设备, AP 将和 HMG 配合实现对面向高速 交通工具的移动型客户网 MN 络的快速认证功能 ; 还通过与 MNMS 的配合, 共同完成移动客户 IP 网 MN 的管理功能。
     MNMS, 是结合高速交通工具路径太阳城集团和实时的 MN 太阳城集团管理进行认证数据维护的 服务器。在实施例中其功能主要包括 : 用于保存 AP 对 HMG 的关联太阳城集团, 为每个 HMG 生成一 个公钥和私钥 ; 以及针对每个 HMG 分别用该 HMG 对应的私钥和 AP 对该 HMG 的关联太阳城集团生成 第一签名, 将生成的第一签名与 AP 对 HMG 的关联太阳城集团一起下发给对应的 AP。
     此外, 该 MNMS 还根据每个移动 IP 网的运行路径数据, 建立 AP 和移动 IP 网的服务 管理数据库, 提前生成并存储每个移动 IP 网的 AP 太阳城集团。针对每个特定的移动 IP 网, 建立 服务于该移动 IP 网的 AP 集合 AP_SET(MN), 同时针对每个 AP, 也生成被该 AP 服务的所有的 移动 IP 网集合 MN_SET(AP)。生成这些太阳城集团后, MNMS 保存所有移动 IP 网的 HMG 的密钥和认 证密码, 配合 AP 进行 HMG 的公钥及认证密钥的下发及节点接入的管理功能, 实现 MN/HMG 的 配置和安全太阳城集团管理功能。 MNMS 中存放的移动 IP 网 ( 该移动 IP 网主要是 HMG) 的属性太阳城集团主要包括 :
     ——各接入移动 IP 网的 HMG 网络标识 HMG_ID ;
     ——各接入移动 IP 网的 HMG 的公钥 HMG__Public_Key ;
     AP 的如下属性太阳城集团 :
     ——各接入移动 IP 网的 AP 网络标识 AP_ID ;
     ——各接入 AP 位置太阳城集团。
     由于每个 AP 只是服务一部分 HMG 提供服务, 公共快速交通工具的路径固定且重复 的特性, 每个 MNMS 维护可以比较容易地获知每个 AP 及其服务的 HMG 的关联关系, 因此 MNMS 也需要维护每个 AP 与其服务的 HMG 的之间的关联关系, 该关联关系记录将是提高对 HMG 认 证速度的关键因素之一, 该太阳城集团关联记录包括 :
     —— {AP_ID, HMG_ID, HMG_Public_Key} :
     ——其他可能太阳城集团。
     此外, 与本系统相关的还包括 :
     用户终端, 高速移动型网络的用户终端设备指接入移动客户 IP 网节点 HMG 下的各 种终端设备。该终端设备可以为笔记本电脑、 平板电脑、 手机或其他任何可以获取 IP 地址 并通过 Wifi 或其他方式连接至互联网的终端设备。该用户终端可以是双栈 IPv4/IPv6 终 端、 纯 IPv4 终端或者纯 IPv6 终端设备。
     通过上述 MNMS、 AP 和 HMG 三个设备之间的紧密配合, 实现在 IP 层对于移动 IP 网 的快速认证。下面对该三个设备内部结构进行说明。
     本发明中 MNMS 一个实施例的结构参见图 2 所示, 主要包括 : HMG 密钥生成配置模 块、 MNMS 管理数据库模块及 HMG-AP 管理模块。
     其中, HMG 密钥生成配置模块, 用于为每个 HMG 生成一个公钥和私钥 ; 以及针对每 个 HMG 分别用该 HMG 对应的私钥和 AP 对该 HMG 的关联太阳城集团生成第一签名。
     MNMS 可将 HMG 密钥生成配置模块生成的私钥导出, 并通过人工分发或者其它安全 通道传送并配置到每个 HMG 上。MNMS 将生成的公钥和该 HMG 关联并保存在本地 MNMS 管理 数据库模块中。
     HMG-AP 管理模块, 用于管理该 MNMS 下的所有 AP 太阳城集团, 向对 HMG 存在关联服务的 AP 下发该 HMG 对应的公钥, 以及针对每个 HMG 分别用该 HMG 对应的私钥和网络接入点 AP 对该 HMG 的关联太阳城集团生成第一签名, 将生成的第一签名与 AP 对 HMG 的关联太阳城集团一起下发给对应 的 AP。
     其中, 所述 MNMS 用该 HMG 对应的私钥和 AP 对该 HMG 的关联太阳城集团生成第一签名的 过程可以包括 : 将 AP 对该 HMG 的关联太阳城集团进行 Hash 运算, 使用对应 HMG 的私钥对所得到 的 Hash 值进行签名运算, 得到第一签名。所述签名运算可以为 S = H^d mod n, 其中 H 为该 HMG 的关联太阳城集团 m 进行 Hash 运算的 Hash 值, 私钥为 (n, d)。
     MNMS 管理数据库模块, 用于保存生成的所述公钥, 以及 AP 对 HMG 的关联太阳城集团。另 外, 还可以保存 HMG 的身份标识 (ID) 等相关属性太阳城集团, 并还可以保存每个 HMG 对 AP 的关联 关系。优选的, 在 MNMS 管理数据库模块中, 对同一 HMG 的属性太阳城集团、 公钥、 AP 对 HMG 的关联 太阳城集团、 HMG 对 AP 的关联关系等绑定保存。 此外, 为了实现太阳城集团发送和接收, 在 MNMS 中还配置有对外接口, 包括 : 系统管理员 接口和 AP 接口。
     系统管理员接口 : 管理整体系统太阳城集团。
     AP 接口, 用于对 AP 进行 HMG 公钥下发和关联。
     另外, 若需要 MNMS 也可以进一步配置与 HMG 的接口, 用于将 HMG 的私钥, 以及 AP 对 HMG 的关联关系等相关太阳城集团发送到 HMG。
     本发明中 AP 的一个实施例的结构参见图 3 所示, 主要包括 :
     AP 数据库模块, 用于保存客户移动 IP 网管理服务器 MNMS 生成的与自身存在关联 服务关系的高速移动网关 HMG 对应的公钥, 以及 AP 对 HMG 的关联太阳城集团 ; 另外, 还可以保存与 本 AP 有关联的 HMG 的 ID 等太阳城集团。优选的, 在 AP 数据库模块中, 对同一 HMG 的公钥、 AP 对 HMG 的关联太阳城集团等绑定保存。
     认证模块, 主要管理 MNMS 和 HMG 的接入, 通过验证 MNMS 和 HMG 的数字签名有效性 快速实现对 MNMS 和 HMG 的认证。具体包括 : 用于在接收到 MNMS 下发的所述第一签名与 AP 对 HMG 的关联太阳城集团后, 使用 AP 数据库模块中保存的对应该 HMG 的公钥对该下发太阳城集团中的第 一签名进行认证, 若认证通过则提取该太阳城集团中的所述关联太阳城集团保存在所述 AP 数据库模块 ; 向其覆盖范围发送包含有该 AP 身份标识太阳城集团的广播通知 ; 以及在收到来自 HMG 的认证请求 后, 使用 AP 数据库模块中保存的该 HMG 对应的公钥对认证请求中的第二签名进行认证, 若 认证通过, 则根据 HMG 身份标识确认该 HMG 的身份, 身份确认后向该 HMG 发送认证成功的答 复。
     其中, 所述认证模块使用 AP 数据库模块中保存的对应该 HMG 的公钥对该下发信 息中的第一签名进行认证的过程可以包括 : 对下发太阳城集团中的关联太阳城集团进行 Hash 运算得到 Hash 值, 使用 MNMS 下发的公钥对该下发太阳城集团中的第一签名进行认证运算, 判断得到的认证 运算结果是否与所述下发太阳城集团中的关联太阳城集团进行 Hash 运算得到 Hash 值下发太阳城集团中的关联 太阳城集团进行 Hash 运算得到 Hash 值相等, 若是, 则认证通过。所述对签名进行认证的运算可以
     为 V = S^e mod n, 其中, S 为签名, 公钥为 (n, e)。
     所述认证模块使用 AP 数据库模块中保存的该 HMG 对应的公钥对认证请求中的第 二签名进行认证包括 : 从本地查找本 AP 对该 HMG 的关联太阳城集团, 对该关联太阳城集团进行 Hash 运算 得到 Hash 值, 从本地查找该 HMG 对应的公钥对该认证请求中的第二签名进行认证运算, 判 断得到的认证运算结果是否与该关联太阳城集团进行 Hash 运算得到 Hash 值相等, 若是, 则认证通 过。
     AP 对外接口包括和 MNMS 的接口、 和 HMG 接口。
     MNMS 接口 : 主要负责接收 MNMS 的下发太阳城集团。 该太阳城集团内容主要包括 : AP 对 HMG 的关 联太阳城集团、 HMG 的公钥太阳城集团等。
     HMG 接口 : 主要负责 HMG 的接入认证, 采用 802.1X 协议。
     本发明中 HMS 一个实施例的结构参见图 4 所示, 主要包括 :
     HMG 数据库模块, 用于保存客户移动 IP 网管理服务器 MNMS 生成的与自身对应的私 钥, 以及网络接入点 AP 对该 HMG 的关联太阳城集团 ;
     认证模块, 用于在收到来自 AP 的广播通知后, 根据该广播通知中的 AP 身份标识信 息判断该 AP 是否为合法接入 AP ;
     密钥生成模块, 用于在认证模块判定为合法后, 利用 HMG 数据库模块中保存的私 钥和该广播 AP 对该 HMG 的关联太阳城集团生成第二签名, 向该广播 AP 发送包含有第二签名和该 HMG 身份标识的认证请求。所述生成第二签名的运算可以为 S = H^d mod n, 其中 H 为该 HMG 的关联太阳城集团 m 进行 Hash 运算的 Hash 值, 私钥为 (n, d)。
     HMG 对外接口包括 : AP 的接口, 主要负责接收 AP 的广播通知, 向 AP 发送接入认证 请求, 采用 802.1X 协议。
     此外, 若需要 HMG 还可以设置与 MNMS 之间的接口, 主要负责接收 MNMS 的下发信 息, 包括 : AP 对 HMG 的关联太阳城集团、 HMG 的私钥太阳城集团等。
     以上系统和设备, 通过增加 AP 和 HMG 中相应模块, 实现 AP 对应 HMG 的快速认证, 相较于传统的 IP 层认证, 极大的降低了认证复杂度, 缩短了认证太阳城集团, 符合高速移动 IP 网 络快速认证的要求, 同时通过 RSA 加密技术, 保证了认证的安全性。
     在本发明的另一方面, 还提供了一种应用于高速交通工具互联网接入的安全认证 方法, 采用专门设计的双层数字签名过程来实现 AP 对于 HMG 的认证。首先, HMG 采用自己 的私钥对于自己的关键认证太阳城集团进行签名。 AP 接收到 HMG 认证请求后, 采用该 HMG 的公钥, 对该认证请求进行认证, 确认认证请求中数据源的真实性和数据的完整性, 从而将恶意用 户的非法注册进行拒绝。由于 AP 认证 HMG 的的前提是 AP 预先获得正确的 HMG 的公钥 HMG_ Public_Key, 否则将不能正确认证, 所以为了提前将 MN_SET(AP) 中所有 HMG 的公钥安全、 准确地下发到该 AP 中, 本系统同时设计了安全的密钥管理及下发机制, 即双层数字签名技 术。系统由统一的 MNMS 来统一生成和管理所有 HMG 的密钥, 并同样通过数字签名技术, 将 HMG 公钥安全地下发到对应的 AP 中。由于双层数字签名的使用, AP 能够提前获得 MNMS 的 公钥, 就可使 AP 判定自己从 MNMS 的 HMG 公钥数据的真实性, 从而进一步达到达到对于 HMG 身份的的安全认证。
     作为一个实施例该方法主要包括如下步骤 :
     MNMS 保存 AP 对 HMG 的关联太阳城集团, 为每个 HMG 生成一个公钥和私钥 ; 将公钥下发给与对应的 HMG 存在关联服务的 AP, AP 对下发的公钥进行保存 ; 将每个私钥分发给对应的 HMG, HMG 对该 HMG 对应的私钥进行保存 ;
     MNMS 针对每个 HMG 分别用该 HMG 对应的私钥和 AP 对该 HMG 的关联太阳城集团生成第一 签名, 将生成的第一签名与 AP 对 HMG 的关联太阳城集团一起下发给对应的 AP ;
     AP 接收到 MNMS 的下发太阳城集团后, 使用所述 MNMS 下发的公钥对该下发太阳城集团中的第一 签名进行认证, 若认证通过则提取该太阳城集团中的所述关联太阳城集团保存 ;
     AP 向其覆盖范围发送包含有该 AP 身份标识太阳城集团的广播通知 ;
     HMG 收到所述广播通知后, 根据广播通知中的 AP 身份标识太阳城集团判断该 AP 是否为合 法接入 AP, 若为合法则该 HMG 利用自身的私钥和该广播 AP 对该 HMG 的关联太阳城集团生成第二签 名, 向该广播 AP 发送包含有第二签名和该 HMG 身份标识的认证请求 ;
     AP 收到来自 HMG 的认证请求后, 使用所述 MNMS 下发的公钥对认证请求中的第二签 名进行认证, 若认证通过, 则根据 HMG 身份标识确认该 HMG 的身份, 身份确认后向该 HMG 发 送认证成功的答复。
     由于高速公共交通工具行驶路线一般都是固定的, 因此可以获知 AP 的管辖范围 内会有哪些 HMG 经过, 以及 HMG 会经过哪些 AP, 即可以得到 AP 对 HMG 的关系关系, 以及 HMG 对 AP 的关联关系, 并可以将这些关联关系在 MNMS 中保存。
     下面详细介绍本发明方法实施例的流程。
     本发明中 AP-HMG 相互认证是在由 AP、 HMG 和 MNMS 之间的互动来实现的。如图 5 所示, 其基本流程包含 4 个 : MNMS 中 HMG 密钥的生成与配置过程、 AP 配置过程、 HMG 配置过 程、 以及 HMG 接入过程。
     其中, 前三个过程是 HMG 接入认证前的准备过程, 最后一个过程 HMG 的接入认证过 程。下面对于各基本过程做逐个介绍。
     HMG 接入认证前的准备过程, 即上述前三个过程的流程示意图参见图 6 所示。
     1)MNMS 中的 HMG 密钥生成与配置过程 :
     前面提到, MNMS 负责生成与维护每个 HMG 的密钥和认证密码, 配合 AP 进行 HMG 的 公钥及认证密钥的下发及节点接入 AP 的管理功能。在 MNMS 中保存每个 HMG 的太阳城集团, 为每 个 HMG 生成一对公钥 HMG_Public_Key 和私钥 HMG_Private_Key, 这个公钥太阳城集团是对外可以 发布的, 而私钥只能告知给对应的 HMG。
     为了保证下发到 AP 中的太阳城集团的真实性和完整性, MNMS 提前将自己的公钥 MNMS_ Public_Key 太阳城集团提供给所有的 AP 来实现 AP 对 MNMS 太阳城集团源和数据完整性的认证, 这个过程 保证 AP 从 MNMS 获得的 HMG 公钥等太阳城集团没有被伪造, 也确保确实是有 MNMS 发出的。
     具体方法是 :
     步骤 601, MNMS 通过 PKCS#1 算法随机生成一对非对称密钥私钥 (n, d) 和公钥 (n, e)。
     其中, 所述私钥 (n, d) 和公钥 (n, e) 具体生成方式可以为 :
     MNMS 随机生成两个质数 p 和 q。
     生成密钥的模 n = p * q
     计算欧拉函数 phi = (p-1) * (q-1)
     随机生成公钥指数 e, 满足 1 < e < phi使用生成私钥指数 d, 满足 de = 1mod phi
     则: HMG 的公钥为 (n, e), 私钥为 (n, d)。
     步骤 602, MNMS 将自己的公钥 (n, e) 提前下发给各个 AP, 并确保每个 AP 获得的 MNMS 的公钥是真实的。可使用传统的第三方认证或者对称加密方式来确保 AP 获得的 MNMS 的公钥是真实的。
     步骤 603, MNMS 将该 AP 对应的 MN_SET(AP) 中关联太阳城集团 m 进行 Hash 运算, 得到 Hash 值 H。所述关联太阳城集团为 AP 对各个 HMG 的的关联关系。
     MNMS 使用私钥 (n, d) 对该值 H 签名, 具体方式为 : 签名 S = H^d mod n。
     步骤 604, MNMS 向特定 AP 发送其下 HMG 的关联太阳城集团 m 同时附加签名太阳城集团 S。
     2)AP 配置过程 :
     AP 实现 HMG 节点的链路建立、 认证、 地址配置及数据包转发等相关功能。 在 HMG 的 接入认证时, AP 已经通过 MNMS 提前获得接入其下的所有 HMG 的名称、 公钥及认证密钥, 通 过和 HMG 配合互动, 实现对面向高速交通工具的移动型客户网络的快速认证功能。
     AP 获得 MNMS 发出的 HMG 的太阳城集团格式为 DATA+ 通过 HASH 后的经过 MNMS 私钥加密 后的数字签名。AP 接收到数字签名后, 使用 MNMS 下发的公钥对该签名进行认证。 参见图 6 所示, 具体方法是 :
     步骤 605, 接收到 MNMS 下发的 AP 对 HMG 的关联太阳城集团 m 和签名 S 后, AP 将 MNMS 下 发的关联太阳城集团 m 进行 Hash 运算, 得到 Hash 值 H’ ;
     AP 使用 MNMS 下发的公钥 (n, e) 将签名 S 进行认证运算, 具体方式是 : V = S^e mod n。
     判断 H’ 和 V 是否相等。
     当 H’ 和 V 相等时, 接受数据。
     步骤 606, AP 将认证通过的数据, 即 AP 对 HMG 的关联太阳城集团 m 写入 AP 本地的数据库 模块。
     3)HMG 配置过程
     步骤 607, HMG 可以通过人工或者由 MNMS 下发的方式, 将 MNMS 生成的该 HMG 对应 的私钥、 以及 AP 对 HMG 的关联关系等太阳城集团保存在本地的数据库模块中。
     其中, 步骤 607, 即 HMG 的配置过程可以在任何时候实现, 既可以在 AP 配置过程之 后, 也可以在 AP 配置过程之前, 还可以与 AP 配置过程同步进行。
     HMG 接入认证的过程, 参见图 7 所示, 包括 :
     步骤 701, AP 向其覆盖范围发送包含有该 AP 的 ID 太阳城集团的广播通知。
     该通知可以是基于 802.1X 的格式。
     步骤 702, HMG 收到所述广播通知后, 根据广播通知中 AP 的 ID 太阳城集团, 通过在本地数 据库模块中查询已保存有对应合法 ID, 来判断该 AP 是否为合法接入 AP, 若为合法则该 HMG 利用自身的私钥和该广播 AP 对该 HMG 的关联太阳城集团生成签名 S, 向该广播 AP 发送包含有签名 S 和该 HMG 身份标识的认证请求。
     其中, 签名的生成过程可以为 :
     将该广播 AP 对该 HMG 的关联太阳城集团 m 进行 Hash 运算, 使用对应 HMG 的私钥 (n, d) 对所得到的 Hash 值 H 进行如下签名运算, 得到签名 S。
     步骤 703, AP 收到来自 HMG 的认证请求后, 使用所述 MNMS 下发的公钥对认证请求 中的签名 S 进行认证, 若认证通过, 则根据 HMG 身份标识确认该 HMG 的身份。
     AP 在认证该 HMG 前, 通过现有 802.1X 协议将会滤除除了 802.1X 外其他所有来自 该 HMG 的包。
     其中, 所述签名进行认证的过程包括 : 从本地查找本 AP 对该 HMG 的关联太阳城集团 m, 对 该关联太阳城集团 m 进行 Hash 运算得到 Hash 值 H’ , 从本地查找该 HMG 对应的公钥 (n, e) 对该认 证请求中的第二签名 S 进行认证运算 V = S^e mod n, 判断得到的 V 是否与 H’ 相等, 若是, 则认证通过。
     步骤 704, 身份确认后向该 HMG 发送认证成功的答复。
     以上认证方式采用了 RSA 非对称加密的签名技术实现应用于快速交通工具中的 移动 IP 网的安全认证。认证中的加解密私钥及公钥由管理员统一在 MNMS 中生成并集中维 护, 每个 HMG 的私钥可以手工分发给该 HMG。每个 HMG 公钥则由 MNMS 统一下给和该 HMG 存 在关联服务的 AP。 基于以上预先配置, 当移动 IP 网到达特定 AP 覆盖的地区后, 将会收到该 AP 发出带有自己 ID 太阳城集团的太阳城集团太阳城集团包。HMG 通过验证该 AP 的身份太阳城集团, 向 AP 发出加入自 己数字签名的接入请求。AP 则收到认证请求后, 则通过自己内部 AP_ID 数据库中存储的该 HMG 的公钥太阳城集团, 对该请求进行快速身份验证, 使得 AP 能够很快验证 HMG 身份, 并保证认证 请求数据的完整性。对于通过身份认证的 HMG, 则可快速接入 AP, 连接互联网。 作为一个实施例, AP 和 HMG 交互数据格式具体如下 :
     在移动高速客户网络中, AP 向其覆盖范围下的所有移动 IP 网发出广播通知, 该广 播通知中太阳城集团内容主要为 AP 的 ID 太阳城集团。其太阳城集团格式参见图 8 所示。
     其中
     ● Code 为 1, 代表 Request 通告广播消息。
     ● Identifier 是发送请求的编号, 对此请求回答的编号必须于发送请求的编号 相同。如果收到和发出的请求不同的编号回答, AP 将该回答丢弃。AP 每次发出新的请求必 须使用不同的编号。该编号建议为一个随机数。
     ● Length 为 2 字 节 长 度 同 事 包 括 了 Code、 Indentifier、 Length、 Type 以 及 Type-Data 的全部内容的长度。HMG 收到该请求包后先验证包长度是否符合其列出的长度, 如果不等则丢弃。
     ● Type 类型为一个字节。代表了其内容是请求包或者是答复包, 其中请求和答复 种类包括 Identity、 Notification、 Nak 等。在这里, Type 值为 1Identity。
     ● TypeData 内容为 AP 的 ID 太阳城集团。
     HMG 收到该广播通知的数据包后, 验证 AP 的 ID 太阳城集团是合法 ID, 若合法则向 AP 回 复认证请求, 对该认证请求数据包的格式参见图 9 所示。
     其中
     ● Code 值为 Response 2, 表示是 HMG 发出的认证请求 .
     ● Identifier 值和发出的请求包值相同。
     ● Type 值按照验证结果进行反馈。
     ■当验证该 AP 太阳城集团不合法时, 则返回 Nak 包, Type 值为 3.
     ■当验证结果合法时, 返回 Notification 包, Type 值为 2.
     ●当返回 Nak 包时, 不含 Type Data 内容。当返回 Notification 包时, TypeData 内容为 HMG_ID 及 HMG 的数字签名。
     AP 收到 HMG 的应答太阳城集团后, 如果为 Notification 包, 则提取其中的 TypeData 的内 容, 并通过查询自身数据库, 获得 MNMS 下发的 HMG 的公钥太阳城集团, 对 HMG_ID 和数字签名进行 验证, 并将验证结果回复给 HMG, 该回复数据包的具体帧格式参见图 10 所示。
     其中, 验证成功, 则 HMG 应答成功太阳城集团, Code 值为 3 ;
     如果验证未能通过, 回答失败太阳城集团, Code 值为 4。
     本领域普通技术人员可以理解 : 实现上述方法实施例的全部或部分步骤可以通 过程序指令相关的硬件来完成, 也可在软件或软硬件的组合中实现, 例如用专用集成电路 (ASIC)、 通用计算机或其他硬件等同物来实现。前述方法对应的程序可以存储于一计算机 可读取存储介质中, 该程序在执行时, 执行包括上述方法实施例的步骤 ; 而前述的存储介质 包括 : ROM、 RAM、 磁碟或者光盘等各种可以存储程序代码的介质。
     本发明在实际应用中, 可在接入 AP 中增加数据库及 HMG 接入认证相应功能, 也就 是增加扩展的支撑移动 IP 网的快速认证相关功能, 使 AP 能够及时认证接入的 HMG 太阳城集团。 其 次, 本发明交互过程中可以采用 802.1X 作为交互协议, HMG 中只需内置其私钥作为加密, 就 能完成。设备改动量小。另外, AP 具有和 MNMS 的控制接口, 接受 MNMS 下发的 HMG 管理信 息。针对 HMG 公私钥太阳城集团的生成和分配, 增加 MNMS 的 HMG 生成和配置模块, 实现统一配置, 这样对于 HMG 的密钥更新和 AP 中所属 HMG 的更新可以由该 MNMS 进行统一管理和下发。在 实际部署时可以集中部署 MNMS 服务器, 实现对于管辖区域内的 AP 的调度和关联。
     本发明的特点如下 :
     1> 独特的的双层数字签名认证机制实现 HMG 和 MNMS 太阳城集团的双层保护, AP 只需要 提前配置 MNMS 的公钥, 就可以安全地获得其服务的所有 HMG 的公钥, 从而对于 HMG 的认证 请求进行安全认证。
     2>AP 基于本地数据库对于 HMG 的请求进行认证, 不需要去远程查询集中式的认证 数据库, 取消了网络上的数据传输太阳城集团和集中式查询太阳城集团开销, 总体上减小了数据库查询 太阳城集团开销, 会显著提高认证速度
     3> 其次, MNMS 结合交通工具的路径太阳城集团, 提前生成和下发每个 AP 的 AP-HMG 关联 太阳城集团 HMG_SET(AP), 这样每个 AP 中存储的只是它直接提供服务的 HMG 太阳城集团, 而不是全部的 HMG 太阳城集团, 降低了 AP_DB 中的数据量, 也有利于提高查询速度。
     4>HMG-AG 中间的空中接口中无 HMG 的密码传送, 只传送数字签名太阳城集团, 提高了 HMG 认证的安全性。
     5>MNMS 集中部署, 方便了对于 MN/HMG 太阳城集团的维护关联。
     6> 由于 HMG 中存储其经过的所有 AP 的相关 ID 太阳城集团, 可以利用该 ID 太阳城集团对 AP 实 现认证能力, 实现双向认证。
     应该注意, 本发明在一个实施例中, 模块或进程可被加载到存储器中并由处理器 执行, 以实现上述功能。这样, 本发明的进程 ( 包括相关联的数据结构 ) 可被存储在计算机 可读介质或载波上, 例如 RAM 存储器、 磁驱动或光驱动或磁盘等等。
     所属领域的普通技术人员应当理解 : 以上所述仅为本发明的具体实施例而已, 并 不用于限制本发明, 凡在本发明的精神和原则之内, 所做的任何修改、 等同替换、 改进等, 均应包含在本发明的保护范围之内。

关 键 词:
一种 互联网 接入 安全 认证 方法 系统 设备
  专利查询网所有资源均是用户自行上传分享,仅供网友学习交流,未经上传用户书面授权,请勿作他用。
太阳城集团本文
本文标题:一种互联网接入的安全认证方法、系统和设备.pdf
链接地址:http://zh228.com/p-6420532.html
太阳城集团我们 - 网站声明 - 网站地图 - 资源地图 - 友情链接 - 网站客服客服 - 联系我们

copyright@ 2017-2018 zhuanlichaxun.net网站版权所有
经营许可证编号:粤ICP备17046363号-1 
 


收起
展开
葡京赌场|welcome document.write ('');