基于可信中继的群组预切换认证方法及装置

1.本技术涉及信息安全技术领域，特别涉及一种基于可信中继的群组预切换认证方法及 装置。


背景技术：

2.5g网络的高速发展推动了新业务和新场景的落地。国际电信联盟(internationaltelecommunication union，itu)定义了增强移动宽带(enhanced mobile broadband，embb)、 大规模机器通信(massive machine-type communications，mmtc)和高可靠低时延通信 (ultra-reliable and low latency communications，urllc)三种5g典型的应用场景。其 中mmtc支持专注于海量终端设备的连接，让基站有更大能力管理大量的网络中断，urllc 专注于为工业互联网、自动驾驶等对时延和可靠性较为严格的场景提供服务。在高铁的高 速运行中，由于5g(new radio node，gnb)基站密集部署当列车运行过程中离开基站的覆 盖范围，会造高铁上的5g终端(user equipment，ue)频繁切换，为5g网络提供平滑的 通信体验造成了挑战。
3.作为5g网络的一种典型高速传输场景，高铁网络中数据的传输面临严重的通信资源浪 费、多普勒频移等问题。由于传统的网络架构中控制面和用户面紧密耦合，导致海量用户 在同时接入过程中通信开销会随着用户数据量增大而大幅增大。因此传统的网络架构无法 满足5g高铁场景的无缝切换需求，也无法保证海量接入用户的通信体验。在高铁5g网络 场景中，由于5g毫米波的穿透性比较低，5g网络运营商为了提供高宽带网络服务，会在 高铁轨道沿线大量密集部署gnb。用户在高速运行的高铁上使用网络服务势必会造成设备 在基站之间频繁切换，为用户的数据交互的安全性、数据的隐私保护及资源处理调度带来 危险。当用户在基站之间进行切换时，为了保证服务的连续性，包含敏感信息的切换信令 在空口传输，容易造成各种攻击，为用户的安全和隐私带来了严重的危险。因此，在高铁 网络场景中如何在保证用户在的安全和隐私的同时，实现更加高效的切换认证是一个值得 研究的问题。
4.现有的批量预切换认证方案，可以预先执行切换认证过程，从而为终端提供不间断的 服务，但是在安全性方面会有考虑不周。ma在2019年提出的切换认证协议ftgpha2引 入聚合签名，实现了切换过程中大多数健壮的安全属性，但是引入了大量的计算开销。考 虑到未来5g高铁网络的多样性，需要一种以微小的性能代价换取安全保证，实现安全和 性能平衡的群组切换方案。


技术实现要素：

5.本技术提供一种基于可信中继的群组预切换认证方法及装置，以解决相关技术中5g网 络中海量终端设备在高速移动过程中的群组切换认证过程中切换延迟高，安全性低，切换 效率低，且切换开销消耗比较高等问题。
6.本技术第一方面实施例提供一种基于可信中继的群组预切换认证方法，包括以下
步骤： 利用可信中继对至少一个用户终端进行群组认证，将通过所述认证的用户终端信息记录至 预切换集合；对所述预切换集合中的所述用户终端的轨迹进行预测，得到所述用户终端的 目标基站；将所述用户终端的当前基站覆盖范围与所述用户终端的位置信息进行对比，在 所述用户终端的位置超出所述当前基站的覆盖范围时，利用所述可信中继将所述用户终端 切换至所述目标基站。
7.可选地，在本技术的一个实施例中，所述利用可信中继对至少一个用户终端进行群组 认证后，还包括：生成所述用户终端与所述用户终端接入的核心网的会话密钥，以在所述 用户终端切换过程中进行通信数据加密。
8.可选地，在本技术的一个实施例中，所述利用可信中继对至少一个用户终端进行群组 认证，将通过所述认证的用户终端信息记录至预切换集合，包括：利用所述可信中继生成 认证请求，并广播给覆盖范围内的用户终端；根据公钥对接收到所述认证请求的所述用户 终端的永久标识符进行加密，并发送至所述可信中继；利用所述可信中继计算所述加密后 的永久标识符，并将所述用户终端和对应的永久标识符进行聚合，并作为带有共享数据包 头部的认证响应消息发送给服务网；利用接收到所述认证响应消息的服务网将群组认证请 求转发给核心网；利用所述服务网对所述认证响应消息进行处理，并请求所述核心网进行 消息认证；利用所述核心网对所述用户终端进行批量鉴权，生成认证向量；提取所述认证 向量和认证通过的消息返回给所述服务网；通过所述服务网提取认证响应消息中的预设信 息发送至所述可信中继；通过所述预设信息验证所述认证向量的有效性，并计算响应值和 会话密钥；利用所述可信中继将认证通过的用户终端信息记录至所述预切换集合。
9.可选地，在本技术的一个实施例中，所述对所述预切换集合中的所述用户终端的轨迹 进行预测，得到所述用户终端的目标基站，包括：获取所述用户终端预设范围内的基站信 息；将所述基站信息与所述用户终端的出行轨迹进行匹配；根据匹配结果得到所述用户终 端的目标基站。
10.可选地，在本技术的一个实施例中，所述将所述用户终端的当前基站覆盖范围与所述 用户终端的位置信息进行对比，在所述用户终端的位置超出所述当前基站的覆盖范围时， 利用所述可信中继将所述用户终端切换至所述目标基站，包括：利用所述可信中继广播基 站切换请求并将生成的随机数传递至所述预切换集合中的用户终端；生成接收到所述基站 切换请求的用户终端的切换响应和所述可信中继的切换接受响应；利用所述可信中继计算 所述预切换集合中每个用户终端的物理地址值，并进行签名验证，生成验证报告，将切换 信息发送给当前基站；转发当前基站的切换请求至所述核心网进行切换协调准备；利用所 述核心网对所述切换请求进行验证，生成用户标识符；利用所述核心网将所述发送切换请 求给所述目标基站，计算所述目标基站与所述可信中继之间的会话密钥；将当前基站的所 述可信中继数据引导至所述目标基站；利用当前基站发送响应消息至所述可信中继，引导 所述可信中继完成切换和上行数据建立；利用所述可信中继计算更新后的标识符以及与所 述目标基站之间的会话密钥；打通所述上行数据通道，建立所述可信中继与所述目标基站 的通信连接。
11.本技术第二方面实施例提供一种基于可信中继的群组预切换认证装置，包括：认证模 块，用于利用可信中继对至少一个用户终端进行群组认证，将通过所述认证的用户终
到下一个新基站时会利用guti
*
和xnapid派生出新的会话密钥，攻击者在无法获取guti
*
情 况下无法计算出会话密钥。
19.3)可以防止内存访问攻击。归功于mrn中的可信执行模块，sgx可信执行环节将需 要保证完整性的代码放到一个独立的区域中，并且对该区域中变量的读写访问和计算都将 进行检查，只有通过检查，用户才能真正访问到用户数据，因此设备的内存可以得到保护。
20.4)保证了数据的计算完整性。装配有可信执行模块的mrn在计算过程中，内部的sgx 容器可以为正在运行的协议过程产生一个安全的摘要信息，之后再将这些摘要进行收集整 合，上传到isa，upf在收到预切换请求后可以像isa申请检查中间结构是否干扰了计算 的执行。
21.5)可以抵抗女巫攻击。由于在预切换过程中，mrn会经过设备的统一认证，之后生 成认证和切换消息均在可信执行环境下进行，从源头上保证了设备发送信息的可信性。切 换协议应用sgx远程认证模式后，生成平台唯一的认证密钥签名，而假名无法通过验证。
22.6)可以抵抗重放攻击。本方案在执行切换过程时，切换协议每次运行都会生成新的随 机数r1和r2，因此可以有效防止重放攻击。
23.7)可以抵抗假冒攻击。ue在mrn的协助下每次进行切换时利用私有supi计算哈希 并生成会话密钥，敌手不可能产生有效哈希，进而伪造合法的mrn或者基站，因此本方 案可以抵御假冒攻击。
24.本技术附加的方面和优点将在下面的描述中部分给出，部分将从下面的描述中变得明 显，或通过本技术的实践了解到。
附图说明
25.本技术上述的和/或附加的方面和优点从下面结合附图对实施例的描述中将变得明显和 容易理解，其中：
26.图1为根据本技术实施例提供的一种高速铁路网络快速群组预切换认证方案系统架构 图；
27.图2为根据本技术实施例提供的一种基于可信中继的群组预切换认证方法的流程图；
28.图3为根据本技术实施例提供的一种移动终端设备身认证阶段流程图；
29.图4为根据本技术实施例提供的一种移动终端设备安全快速切换阶段流程图；
30.图5为根据本技术实施例提供的一种基于可信中继的群组预切换认证方法整体流程示 意图；
31.图6为根据本技术实施例的基于可信中继的群组预切换认证装置的示例图。
具体实施方式
32.下面详细描述本技术的实施例，所述实施例的示例在附图中示出，其中自始至终相同 或类似的标号表示相同或类似的元件或具有相同或类似功能的元件。下面通过参考附图描 述的实施例是示例性的，旨在用于解释本技术，而不能理解为对本技术的限制。
33.本技术的主体思路为高铁列车上设计了一个可信中继，其中部署了轨迹预测模块和可 信计算模块，为用户终端进行群组认证，生成认证通过预切换集合及执行预切换操
作。轨 迹预测模块通过机器学习建模对高铁轨迹进行训练，预测用户的切换目的节点，完成群组 的预切换。可信计算模块通过enclave保护消息完整性及身份认证在可信环境下进行，提高 系统的安全性。如图1所示。
34.在本技术的实施例中，可信执行环境是一种针对移动设备开放环境容易受到安全威胁， 提出的一种面向终端用户、移动运营商及芯片生产厂商提供的一种安全可信的运行环境， 为系统提供安全服务，保障设备运行数据的完整性和机密性。
35.下面参考附图描述本技术实施例的基于可信中继的群组预切换认证方法及装置。针 对上述背景技术中心提到的当前5g网络中海量终端设备在高速移动过程中的群组切换认 证过程中切换延迟高，安全性低，切换效率低，且切换开销消耗比较高的问题，本技术提 供了一种基于可信中继的群组预切换认证方法，在该方法中，适用于5g高速铁路网络安 全高效的群组预切换，可信中继在认证和切换执行阶段协助高铁上的5g终端在到达下一 个5g基站之前完成切换流程，提高5g ue在认证和切换过程中的安全性和切换效率，减 少切换时延，实现5g基站密集部署网络下高速移动设备的快速安全群组切换，安全性和 通信效率方面都有较大提升。由此，解决了当前5g网络中海量终端设备在高速移动过程 中的群组切换认证过程中切换延迟高，安全性低，切换效率低，且切换开销消耗比较高等 问题。
36.具体而言，图2为根据本技术实施例提供的一种基于可信中继的群组预切换认证方法 的流程图。
37.如图2所示，该基于可信中继的群组预切换认证方法包括以下步骤：
38.在步骤s101中，利用可信中继对至少一个用户终端进行群组认证，将通过认证的用户 终端信息记录至预切换集合。
39.可以理解的是，本技术实施例的用户终端具有多种形式，如手机、电脑或智能手表等， 不做具体限定。
40.移动中继(mobile relay node，mrn)的出现为高铁网络的高效认证提供了可能。3gpp 引入了mrn作为聚合海量的ue的中继设备，为海量用户接入5g网络提供了稳定的服务。 在高铁网络架构中，服务网将mrn作为普通的ue进行5g-aka的接入认证，完成认证 后，mrn作为聚合5g ue的中继设备，协助ue接入网络。由于mrn与ue之间距离相 对稳定，ue可以将mrn视为基站，在mrn的协助下接入5g网络。在5g网络的认证和 切换过程中，mrn通过将ue通信过程中的消息进行聚合，减少通信开销的同时提高切换 效率。
41.可选地，在本技术的一个实施例中，利用可信中继对至少一个用户终端进行群组认证 后，还包括：生成用户终端与用户终端接入的核心网的会话密钥，以在用户终端切换过程 中进行通信数据加密。
42.可以理解的是，本技术实施例的5g终端设备包括群组认证阶段和切换阶段，首先，在 群组认证阶段，mrn作为认证的群组中继，协助高铁车厢内想要通过高铁列车组接入5g 网络的用户终端执行改进的5g-aka认证，完成认证过程。认证完成后，每个mrn及用 户终端可以获得5g网络全球唯一临时标识(guti)，同时mrn内保存通过5g-aka认证 的终端用户预切换集合，即终端用户白名单。
43.可选地，在本技术的一个实施例中，利用可信中继对至少一个用户终端进行群组认证， 将通过认证的用户终端信息记录至预切换集合，包括：利用可信中继生成认证请求，并广 播给覆盖范围内的用户终端，根据公钥对接收到认证请求的用户终端的永久标识符
进行加 密，并发送至可信中继，利用可信中继计算加密后的永久标识符，并将用户终端和对应的 永久标识符进行聚合，并作为带有共享数据包头部的认证响应消息发送给服务网，利用接 收到认证响应消息的服务网将群组认证请求转发给核心网，利用服务网对认证响应消息进 行处理，并请求核心网进行消息认证，利用核心网对用户终端进行批量鉴权，生成认证向 量，提取认证向量和认证通过的消息返回给服务网，通过服务网提取认证响应消息中的预 设信息发送至可信中继，通过预设信息验证认证向量的有效性，并计算响应值和会话密钥， 利用可信中继将认证通过的用户终端信息记录至预切换集合。
44.可以理解的是，本技术实施例的方案包括身份认证和安全快速切换两部分，身份认证 部分包括：一、mrn生成认证请求，并广播给范围内的终端ue用户；二、收到认证请求 后，ue根据公钥将自己的用户永久标识符加密后，作为认证回应发送给mrn；三、mrn 计算加密后的永久标识符suci后，将ue和其suci进行聚合并作为带有共享数据包头部 的认证响应消息发送给服务网sn；四、sn接收到mrn的认证请求后，将群组认证请求 转发给hn；五、sn内的ausf模块对消息进行处理，同时转suci、sname请求核心网 的udm模块进行认证；六、udm回复suci后进行ue的批量鉴权，计算认证向量；七、 ausf在收到认证响应消息之后，把认证向量和认证通过的消息提取并返回给sn；八、sn 提取响应消息中的关键内容，并发送给mrn；九、mrn将提取到的消息发送给可信认证 模块，验证认证向量的有效性，并计算响应值和会化密钥；十、mrn将通过认证的成员信 息转发给组内其他设备；十一、mrn协助群组用户完成人在，并生成认证通过“白名单”。
45.具体而言，由于5g网络中基站部署比较密集，并且高铁运行速度较快，为了能让用户 获得比较平滑的通信体验，需要mrn执行预认证过程，完成认证过程后，当列车内的接 入设备需要在同一个归属网内的基站间进行切换时，mrn可以利用认证过程存储的信息， 预先与目标基站进行快速的切换流程，无需再次执行认证，因此用户设备可以依赖mrn 进行较为平滑的通信。如图3所示，下面对身份认证的过程进行详细介绍。具体步骤为：
46.步骤1：mrn在运行过程中定时生成认证请求，并广播给范围内的用户，询问想要接 入高铁5g网络并加入群组的用户设备。
47.步骤2：收到预切换请求的用户设备uei向mrn进行认证响应，根据核心网hn的公 钥将将自己的用户永久标识符supii加密为用户临时标识符sucii，并作为初始认证回应发送 给mrn。
48.步骤3：mrn计算自己加密后的suci0，计算suci＝suci0||suci1||suci2||suci3...||sucii后将包括suci在内的带有共享数据包头部的 认证响应消息给服务网sn，其中sucii代表与supii对应的用户永久标识。
49.步骤4：sn接收到mrn的认证请求后，将群组认证请求(suci,sname,other)转发给 hn。
50.步骤5：sn内的ausf模块对消息进行处理，同时转发suci、sname请求核心网的 udm模块进行认证。
51.步骤6：udm从suci中恢复suci0、suci1、suci2...，并利用5g-aka协议的认证向量 生成流程进行ue的批量鉴权，把mrn设定为“群组”，计算认证向量 5g-avi[rand,autn,hres
*
,k
seaf
]。其中rand为群组用户共享，autn为umd对 autn＝autn0||autn1||autn2||autn3...||autni进行拼接而成，(其中autni＝sqni⊕ꢀ
aki||amf||maci)。之后hn将生成好的
5g-avi[]和认证通过的suci
*
打包，准备发送给sn (其中suci
*
＝suci0||suci1||suci2||suci3...||sucik，sucik表示通过hn认证的ue用户 临时标识符)。
[0052]
步骤7：ausf在收到认证响应消息之后，把5g-avi[]和认证通过的suci
*
提取并返回 给sn。
[0053]
步骤8：sn中的ausf将响应消息中的rand和autn提取并发送给mrn。
[0054]
步骤9：mrn将从ausf收到的rand和autn发送给可信模块，验证5g-avi[]的有效 性。若验证通过，可信模块计算响应res
*
，将sha256(《rand,res
*
》)发送给服务网，待 基站认证mrn通过后，sn通过ck和ik计算会话密钥k
seaf
。
[0055]
步骤10：mrn将其他通过udm验证成员的autni和rand转发群组内的其他用户设 备。
[0056]
步骤11：mrn协助群组用户完成认证，并生成认证通过“预切换集合”，用于之后的切 换协议。
[0057]
在步骤s102中，对预切换集合中的用户终端的轨迹进行预测，得到用户终端的目标基 站。
[0058]
可选地，在本技术的一个实施例中，对预切换集合中的用户终端的轨迹进行预测，得 到用户终端的目标基站，包括：获取用户终端预设范围内的基站信息，将基站信息与用户 终端的出行轨迹进行匹配，根据匹配结果得到用户终端的目标基站。
[0059]
进一步地，在轨迹预测过程中，获取用户终端预设范围内可以进行通信的基站信息， 根据用户的位置信息以及用户终端信息在可以进行通信的基站中确定出用户未来通信的目 标基站。
[0060]
在步骤s103中，将用户终端的当前基站覆盖范围与用户终端的位置信息进行对比，在 用户终端的位置超出当前基站的覆盖范围时，利用可信中继将用户终端切换至目标基站。
[0061]
可以理解的是，每个基站具有自身的信号覆盖范围，基站为覆盖范围内的用户终端提 供服务。为了向用户终端提供更流畅的网络服务，用户在离开当前基站的覆盖范围时，需 要迅速的切换至另一可覆盖用户终端的基站，以免网络服务中断，降低用户体验。本技术 的实施例将用户终端的位置信息与基站的覆盖范围进行对比，在用户终端原理当前基站覆 盖范围时，及时进行基站切换，提高用户体验。
[0062]
可选地，在本技术的一个实施例中，将用户终端的当前基站覆盖范围与用户终端的位 置信息进行对比，在用户终端的位置超出当前基站的覆盖范围时，利用可信中继将用户终 端切换至目标基站，包括：利用可信中继广播基站切换请求并将生成的随机数传递至预切 换集合中的用户终端，生成接收到基站切换请求的用户终端的切换响应和可信中继的切换 接受响应，利用可信中继计算预切换集合中每个用户终端的物理地址值，并进行签名验证， 生成验证报告，将切换信息发送给当前基站，转发当前基站的切换请求至核心网进行切换 协调准备，利用核心网对切换请求进行验证，生成用户标识符，利用核心网将发送切换请 求给目标基站，计算目标基站与可信中继之间的会话密钥，将当前基站的可信中继数据引 导至目标基站，利用当前基站发送响应消息至可信中继，引导可信中继完成切换和上行数 据建立，利用可信中继计算更新后的标识符以及与目标基站之间的会话密钥，打通上行数 据通道，建立可信中继与目标基站的通信连接。
[0063]
可以理解的是，本技术的第二部分为安全快速切换部分，在满足切换条件时，将用户 的基站切换至步骤s102中的目标基站。在上述实施例的基础上，安全快速切换部分具体步 骤为：十二、mrn利用预测模块中的机器学习模型预测目标基站；十三、mrn广播切换 请求并将生成的随机数传递群组中的成员，为切换做准备；十四、群组中的ue收到切换 请求后，将标识符和其他信息作为切换响应；十五、mrn生成切换接受响应andover accept；十六、mrn为每个群组成员计算mac值，并发送给可信模块进行签名验证， 生成验证报告发送给mrn；十七、mrn完成预切换的请求准备，并将切换信息发送给原 基站；十八、原基站将切换请求转发给hn中的upf功能模块，hn进行基站的切换协调 准备；十九、hn验证切换请求的新鲜性和完整性，并生成全新的ue标识符；二十、hn 发送切换请求给目标基站，目标基站计算与mrn之间的会话密钥；二十一、目标基站请 求原基站将mrn的数据通道引导到目标基站；二十二、原基站发送响应消息给mrn，引 导mrn完成切换和上行数据建立；二十三、mrn计算更新后的标识符guti以及与目标 之间的会话密钥；二十四、上行数据通道打通，mrn可以与目标基站进行安全通信。
[0064]
具体地，群组认证阶段之后为群组切换阶段，在群组切换阶段，由于群组mrn已经保 存通过认证的终端有效临时标识，当mrn在高铁运行过程中检测到群组远离源基站gnode1的信号覆盖范围时，mrn会向通过认证的群组成员发送切换请求，触发群组切换 协议，同时协助群组成员完成预切换。
[0065]
具体而言，切换过程中，在群组内的用户设备已经在mrn的带领完成认证后，用户设 备和接入的hn之间会生成派生密钥ks，用于保证信道安全。ki是hn和基站gnodei之间 的会话密钥，用来保证hn和基站之间通信数据的保密性。当高速列车即将离开基站gnode1的信号覆盖范围时，mrn检测到信号的变化，启动预切换流程。在预切换流程中，mrn 通过预测模块预测即将接入的基站，同时接受群组成员发送的有效的临时标识符，提前准 备好5g网络的切换服务。如图4所示，具体地切换流程为：
[0066]
步骤12：mrn首先利用预测模块，根据gnode1的基站标识符xnap id预测并决策生 成目标基站gnode2的xnap id，用于之后的切换。由于mrn群组的切换及预测过程均是在 gnode1的信号范围内进行，所以mrn群组内的用户设备可以在gnode1的范围内在完成预 切换的同时获得稳定的5g网络服务。
[0067]
步骤13：mrn广播切换请求并将生成的随机数r1传递群组中的成员，为切换做准备。
[0068]
步骤14：群组中的uei收到切换请求后，将uei的标识符gutii和收到的r1作为切换响应 发送给mrn。其中gutii是切换过程中与uei相对应的临时标识符。
[0069]
步骤15：mrn首先生成handover accept ha＝{t,guti,sc,sp},其中guti＝ guti0||guti1||guti2||guti3...||gutii，t代表切换凭证的有效时间，sc表示用户设备支持 的加密和完整性算法的安全能力标识符，sp表示用户设备在网络侧的安全策略。生成ha 后，mrn计算maci＝h(gutii,xnapid)，h()是安全的单项哈希函数。
[0070]
步骤16：mrn计算每个群组成员的maci后，计算mac＝mac0⊕
mac1⊕
mac2⊕ꢀ
mac3...
⊕
maci后将mac发送给可信模块中的可信认证模块sgxquoting enclave进行签名。 quoting enclave先对报告进行验证，通过之后使用epid中的私钥进行签名，生成一个创 建针对平台quoting enclave的可本地验证的报告quote，然后向mrn返回quote，便于hn 进
行验证。
[0071]
步骤17：mrn完成预切换的请求准备后，将包括guti、mac、r1、xnap id、群组用 户通用消息(包括guami)、mrn的amf接口及安全能力、pdu list、qosflow等信息 发送给原基站gnode1。
[0072]
步骤18：gnode1将切换请求转发给hn中的upf功能模块，hn进行基站的切换协调 准备。
[0073]
步骤19：upf收到切换请求后，首先验证来自mrn的r1是否新鲜，然后根 据guti寻找对应的supi并验证mac正确性。如果验证通过，则利用intel sgx 全球的在线验证设施ias验证mac。由于upf和mrn处于两个不相同的enclave， 因此需要远程认证。由于quote只能被intel验证，因此upf将quote转发给ias。 ias在完成平台的有效性检查后，创建一个新的证明验证报告结合epid公钥和 attestation verification service认证quote完成可信认证。完成基于sgx的可信认 证后，upf生成全新的
[0074]
步骤20：hn发送切换请求给目标基站gnode2，通知gnode2作为mrn的目标切换基 站，为mrn的数据链路打通做准备。gnode2收到来自hn切换请求后，计算与mrn之间 会话密钥k
gnb2
＝kdf(guti
*
,xnapid)。
[0075]
步骤21：gnode2在预切换准备完成后，发送切换请求给gnode1，切换请求中包括{r1,r2} 信息，请求引导mrn将数据通道转向gnode2。
[0076]
步骤22：gnode1收到来自gnode2的切换请求后，发送切换响应给mrn，引导mrn 完成基站的切换，引导mrn将用户的上行数据转发给gnode2。
[0077]
步骤23：mrn收到切换响应后，用上述的计算方式计算更新后的guti
*
以及与gnode2之间会话密钥k
gnb2
，同时向gnode2发送{r
2-1}传递切换成功消息。
[0078]
步骤24：上行数据通道打通，预切换步骤完成高铁列车gnode2的信号范围，mrn就 可以利用在预切换过程中生成的会话密钥k
gnb2
与目标基站进行通信，保证通信安全。
[0079]
结合图5所示，本技术的实施例利用预切换及可信执行模块，在认证过程中，ue在 mrn的协助下完成基于5g-aka协议的群组认证，因此只有合法的ue才会拥有supi和 guti。在切换过程中，每个ue采用guti生成mac用于验证身份，且mrn群组会聚合所 有的mac，upf会验证mac有效性，如果某个ue的mac是无效的，认证就会失败。此外， 使用轻量级的认证方案执行切换协议，在5g基站的密集部署环境下频繁切换也不会引入 大量的通信开销，也能实现安全和隐私保护需求，有利于5g高铁网络生态的持续发展。 该方案实现了快速且安全的群组切换，保证了5g网络在列车运行过程中可以为用户提供 平滑且安全的通信体验，解决了当前5g网络中海量终端设备在高速移动过程中的切换难 题。经过安全性分析，该群组切换认证具有可应用性、安全性，且切换开销消耗比较合理。
[0080]
根据本技术实施例提出的一种基于可信中继的群组预切换认证方法，发挥sgx和可信 中继聚合消息的优势，在基站密集部署的5g高铁网络中实现设备快速安全群组基站预切 换认证，改进5g高铁网络场景下的认证和切换流程，有效减少了通信过程中的开销，提 高了高铁网络中终端切换的安全性。由此，解决了当前5g网络中海量终端设备在高速移 动过程中的群组切换认证过程中切换延迟高，安全性低，切换效率低，切换开销消耗比较 高等问题。
[0081]
其次参照附图描述根据本技术实施例提出的一种基于可信中继的群组预切换认
程中的群组切换认证过程中切换延迟高，安全性低，切换效率低，切换开销消耗比较高等 问题。
[0091]
在本说明书的描述中，参考术语“一个实施例”、“一些实施例”、“示例”、“具体示例”、 或“一些示例”等的描述意指结合该实施例或示例描述的具体特征、结构、材料或者特点包 含于本技术的至少一个实施例或示例中。在本说明书中，对上述术语的示意性表述不必须 针对的是相同的实施例或示例。而且，描述的具体特征、结构、材料或者特点可以在任一 个或n个实施例或示例中以合适的方式结合。此外，在不相互矛盾的情况下，本领域的技 术人员可以将本说明书中描述的不同实施例或示例以及不同实施例或示例的特征进行结合 和组合。
[0092]
此外，术语“第一”、“第二”仅用于描述目的，而不能理解为指示或暗示相对重要性或者 隐含指明所指示的技术特征的数量。由此，限定有“第一”、“第二”的特征可以明示或者隐 含地包括至少一个该特征。在本技术的描述中，“n个”的含义是至少两个，例如两个，三 个等，除非另有明确具体的限定。
[0093]
流程图中或在此以其他方式描述的任何过程或方法描述可以被理解为，表示包括一个 或更n个用于实现定制逻辑功能或过程的步骤的可执行指令的代码的模块、片段或部分， 并且本技术的优选实施方式的范围包括另外的实现，其中可以不按所示出或讨论的顺序， 包括根据所涉及的功能按基本同时的方式或按相反的顺序，来执行功能，这应被本技术的 实施例所属技术领域的技术人员所理解。
[0094]
应当理解，本技术的各部分可以用硬件、软件、固件或它们的组合来实现。在上述实 施方式中，n个步骤或方法可以用存储在存储器中且由合适的指令执行系统执行的软件或 固件来实现。如，如果用硬件来实现和在另一实施方式中一样，可用本领域公知的下列技 术中的任一项或他们的组合来实现：具有用于对数据信号实现逻辑功能的逻辑门电路的离 散逻辑电路，具有合适的组合逻辑门电路的专用集成电路，可编程门阵列(pga)，现场可 编程门阵列(fpga)等。
[0095]
本技术领域的普通技术人员可以理解实现上述实施例方法携带的全部或部分步骤是可 以通过程序来指令相关的硬件完成，的程序可以存储于一种计算机可读存储介质中，该程 序在执行时，包括方法实施例的步骤之一或其组合。