一种高速移动终端快速安全切换认证方法、装置及系统

1.本发明属于通信网络安全技术领域，具体涉及一种高速移动终端快速安全切换认证方法、装置及系统。


背景技术：

2.天地一体化网络作为下一代移动通信网络的发展主角之一，为铁路信息网络发展智能化、信息化提供了强大助力。其中，天地一体化中卫星网络与5g网络双辅双成可以实现高铁信息网络全覆盖，相较于建设高铁专用网络，通过卫星网络借鉴现有地面网络建设标准，复用或者兼容现有地面网络标准等，进而降低研发建设费用，而相对于单一的卫星网络或者地面网络，双向结合能够满足高铁在城市热点地区高密度接入、人烟稀少地区人口低密度接入场景下按需用网的需求。那么，如何为高铁在快速移动过程中为用户提供安全平稳的实时通信是一个亟需解决的问题。
3.当高铁在高速移动时，会与异构网络接入点产生频繁的切换，但是能同时支持卫星通信与地面5g通信的小型终端设备暂时无法普及。为此，列车便携式中继节点成为用户接入天地一体化异构网络的有力工具。通过在每一节车厢上部署一个中继节点，协助无法直接与卫星网络通信的用户设备能够与卫星进行通信，并且将卫星网络接入点与地面网络接入点纳入5g核心网进行统一管理，建立统一卫星网络管理架构。
4.但是，在天地一体化网络中，用户在高速移动的场景下需要频繁的进行网络接入点的切换，卫星网络的加入也给异构网络带来了更多安全挑战，比如卫星节点所处环境更为恶劣、信道高度暴露等问题使得用户与接入点间极易遭受假冒、窃听、篡改等安全问题，并且，卫星的高运营成本也让这些攻击后果变得更为严重。
5.而卫星节点相对于地面网络接入点而言，二者差异性大，存在空间上的差异性，星地时延的存在要求更少的交互次数，传统地面异构网络切换认证方案常常需要多轮交互，直接应用到天地一体化异构网络中会产生较大的认证时延，这对卫星网络认证是致命的打击。并且，传统地面网络常常使用复杂的密码计算，这是目前卫星算力所不能承受的负担。
6.综上所述，现有技术存在以下问题：
7.(1)天地一体化异构网络包含地面网络和卫星网络，星地差异过大，其无线通信链路高度开放、网络拓扑结构动态变化频繁，导致其在通信过程中容易遭受窃听、假冒身份、消息篡改等攻击；
8.(2)天地一体化异构网络具有星地时延大、链路复杂等特点，在认证过程中交互轮数多会导致信令开销和通信开销过大，并且终端和卫星等节点具有资源受限的特点，无法处理过于复杂的数据；
9.(3)在天地一体化异构网络中，高速移动终端的接入点变化频繁，很可能产生接入点服务时间短导致切换失败的问题，而重新认证会带给系统不必要的开销，影响用户体验。


技术实现要素：

10.为了解决现有技术中存在的上述问题，本发明提供了一种高速移动终端快速安全切换认证方法、装置及系统。本发明要解决的技术问题通过以下技术方案实现：
11.第一方面，本发明提供了一种高速移动终端快速安全切换认证方法，应用于用户终端，包括：
12.11)用户身份注册
13.进行用户身份注册，以获得对应的第一身份标识idi和第一预置秘钥ki；
14.12)接入认证
15.与核心网络进行接入认证，以获得第一会话秘钥k
amfi
和第一临时身份标识tidi；
16.13)用户成群
17.当进入某一中继节点的信号覆盖范围时，向该中继节点发送用户请求，用以获得群组临时共享密钥tgk；
18.14)预切换
19.响应于接收到预切换消息，向对应的中继节点发送切换请求；
20.15)正式切换
21.响应于接收到第一随机数r4和第二随机数r5，向中继节点发送验证码，以通过该中继节点向目标接入点进行验证，并在验证成功后进行网络切换。
22.第二方面，本发明提供了一种高速移动终端快速安全切换认证方法，应用于中继系统，所述中继系统包括多个中继节点，多个中继节点被设置于高速移动终端的不同位置，所述高速移动终端快速安全切换认证方法包括：
23.21)中继节点身份注册
24.进行中继节点身份注册，以获得对应的第二身份标识gid和第二预置秘钥gk；
25.22)接入认证
26.与核心网络进行接入认证，以获得第二会话秘钥kagmkf和第二临时身份标识tgid；
27.23)用户成群
28.响应于接收到用户请求，从服务器获取加密的群组临时共享密钥，并将其组播至群组；
29.24)预切换
30.当检测到信号覆盖重合区域时，向组内成员广播预切换消息，并在接收到用户的切换请求时，从服务器获取根据目标接入点集群生成的第一随机数r4；其中，所述目标接入点集群是根据高速移动终端的轨迹通过时间和位置准确判断的目标接入点以及目标接入点的临近接入点形成的点群；
31.25)正式切换
32.当进入目标接入点的覆盖范围时，向目标接入点发送切换请求，以获得第二随机数r5，并将所述第一随机数r4和第二随机数r5发送给用户，以便于用户进行身份认证，从而实现网络切换。
33.第三方面，本发明提供了一种装置，用于实施用户终端的高速移动终端快速安全切换认证方法，该装置包括：
34.第一身份注册模块，用于用户与地面实体身份管理系统进行交互，完成用户预置
密钥信息的身份注册过程；
35.第一接入认证模块，用于用户与地面核心网络进行交互，完成用户接入认证过程；
36.第一成群模块，用于通过中继节点与地面系统进行交互，完成用户成群过程，并获得相应的群组群组临时共享密钥；
37.第一预切换模块，用于通过中继节点与服务器进行交互，完成用户预切换请求；
38.第一正式切换认证模块，用于通过中继节点与网络目标接入点进行交互，完成用户切换认证。
39.第四方面，本发明提供了一种装置，用于实施中继节点端的高速移动终端快速安全切换认证方法，该装置包括：
40.第二身份注册模块，用于中继节点与地面实体身份管理系统进行交互，完成中继节点预置密钥信息的身份注册过程；
41.第二接入认证模块，用于中继节点与地面接入鉴权管理系统进行交互，完成中继节点的接入认证过程；
42.第二成群模块，用于实现用户与地面系统的交互，完成成群过程，并获得相应的群组群组临时共享密钥；
43.第二预切换模块，用于实现用户与服务器的交互，并完成预切换信息的分发；
44.第二正式切换认证模块，用于实现用户与网络目标接入点的交互，以完成用户的切换认证。
45.第五方面，本发明提供了一种高速移动终端快速安全切换认证系统，应用于天地一体化异构网络，所述高速移动终端快速安全切换认证系统搭载有上述实施例所述的装置。
46.本发明的有益效果：
47.1、本发明提供的高速移动终端快速安全切换认证方法一方面引入了目标接入点集群的概念，通过预切换的方式，提前寻找可能的目标接入点集群，并提前发送相关预切换信息，减少了用户与目标接入点的切换认证交互次数，大大降低了认证时延，有效提高了切换认证的效率，在没有增大计算开销的同时，还扩大了用户终端可切换的范围，降低了切换失败的风险，增大了方案实施的可能性；另一方面通过随机数和验证码实现双向认证，增加了网络抵抗重放攻击的能力，在保障通信安全的前提下实现了高效、快速的异构网络切换认证；
48.2、本发明针对高铁用户移动速度过快的问题，提出目标接入点集群的概念，通过基于中国剩余定理，给高铁用户切换的目标接入点集群分发解密密钥，扩大了用户终端可切换的范围，但是并没有增大计算开销，增大了方案实施的可能性；
49.3、本发明针对用户终端和卫星节点资源受限的问题，引入同时具有卫星和地面通信能力的中继节点，协助不具备卫星通信能力的用户终端接入卫星网络，方案中用户和网络接入点仅需要进行简单的哈希和异或计算，或者少量轻量解密运算，就可以完成认证与密钥协商的过程，降低了系统信令开销和通信开销；
50.4、本发明针对用户终端隐私性保护需要，在认证过程中使用简单哈希函数和对称密钥生成临时身份信息，每次认证都会更新新的临时身份信息，并且不会被攻击者在有效时间内破解，有效保护了用户的隐私性。
51.以下将结合附图及实施例对本发明做进一步详细说明。
附图说明
52.图1是本发明实施例提供的一种高速移动终端快速安全切换认证方法的流程示意图；
53.图2是本发明实施例提供的天地一体化异构网络下高速移动终端快速安全切换认证的架构图；
54.图3是本发明实施例提供的用户注册阶段流程图；
55.图4是本发明实施例提供的用户初始接入阶段与用户成群阶段流程图；
56.图5是本发明实施例提供的预切换阶段流程图；
57.图6是本发明实施例提供的正式切换阶段流程图；
58.图7是本发明实施例提供的中继节点注册阶段流程图；
59.图8为采用本发明的方法和现有两种方法的总信令开销对比示意图；
60.图9为采用本发明的方法和现有两种方法的总通信开销对比示意图。
具体实施方式
61.本发明针对现有技术存在的问题，提出了一种适用于天地一体化异构网络下的高速移动终端快速安全切换认证方法，通过引入中继节点解决终端通信问题，同时，结合列车行进路线以及网路接入点位置可预测的特点，推测可能目标接入点群，采用预切换的方式实现接入点群协同切换接入。请参见图1，图1是本发明实施例提供的一种高速移动终端快速安全切换认证方法的流程示意图。该方法主要包括以下步骤：
62.一、注册阶段，包括用户注册和中继节点注册；
63.二、初始接入阶段，包括用户接入认证和中继节点的接入认证；
64.三、用户成群阶段，通过中继节点实现用户与地面系统的交互，获得群组临时群密钥；
65.四、预切换阶段，引入目标接入点集群提前发送相关预切换信息，基于中国剩余定理实现接入点群切换接入；
66.五、正式切换阶段，通过中继节点实现用户与目标网络接入点的交互和双向验证，完成网络切换认证。
67.本发明提供的高速移动终端快速安全切换认证方法可以应用于天地一体化中卫星网络与地面5g网络共同实现的高铁信息网络，请参见图2，图2是本发明实施例提供的天地一体化异构网络下高速移动终端快速安全切换认证的架构图，其包括：用户终端，中继节点、5g卫星接入网络、关口站、5g蜂窝基站以及地面5g核心网络服务器；
68.其中，用户终端主要为高铁乘客使用的终端设备等，通常不具有卫星通行能力；
69.中继节点同时具有卫星和地面通信能力，协助不具备卫星通信能力的用户终端接入卫星网络；
70.5g卫星接入网络由数颗低轨卫星组网构成，并且卫星具有一定运算能力；
71.关口站是卫星接入地面网络的接口，通过地面有线网络地面5g核心网络服务器端连接；
72.5g蜂窝基站是地面5g核心网络的地面接口，通过有线网络直接与地面5g核心网络服务器端连接；
73.地面5g核心网络服务器中具有实体身份管理系统、认证鉴权系统以及移动切换安全服务系统连接。
74.实体身份管理系统负责完成包括所有用户终端、中继节点等的实体注册，认证鉴权系统负责认证群成员的合法性，移动切换安全服务系统负责群成员在移动过程中的快速认证与授权。
75.接入鉴权系统和实体身份管理系统都隶属于归属网络服务器；关口站与移动切换安全服务系统都隶属于拜访网络服务器。
76.下面结合具体实施例从用户终端和中继节点端对本发明的方法分别进行详细的描述。应当理解，此处所描述的具体实施例仅仅用以解释本发明，并不用于限定本发明。
77.本发明中技术名词含义：
78.rn：中继节点；an：网络接入点；tan：目标网络接入点；san：原网络接入点；amf：移动安全切换服务系统；ue：用户终端；5g：第5代移动通信技术。
79.实施例1
80.本实施例提供的高速移动终端快速安全切换认证方法，应用于用户终端，其具体包括：
81.11)用户身份注册
82.进行用户身份注册，以获得对应的第一身份标识idi和第一预置秘钥ki。
83.请参见图3，图3是本发明实施例提供的用户注册阶段流程图，具体包括：
84.(a)乘坐高铁的用户终端uei首先需要在实体身份管理系统中进行注册，在出厂时用户终端设备通过注册机向实体身份管理系统发起注册请求；
85.(b)实体身份管理系统为每个uei生成对应的身份标识idi以及预置密钥ki；
86.(c)注册机通过离线方式将idi和ki发送给对应的用户终端uei，从而完成用户身份注册。
87.12)接入认证
88.与核心网络进行接入认证，以获得第一会话秘钥k
amfi
和第一临时身份标识tidi。
89.可以理解的是，所有需要用网的用户必须先完成初始接入认证。
90.可选的，作为一种实现方式，当用户进入高铁站时，可以通过5g-aka或者eap-aka`的方式接入5g核心网络，完成身份认证；并且每个用户与服务器中的移动安全切换系统协商出会话密钥和临时身份标识tidi。
91.13)用户成群
92.当进入某一中继节点的信号覆盖范围时，向该中继节点发送用户请求，用以获得群组临时共享密钥tgk。
93.请参见图4，图4是本发明实施例提供的用户初始接入阶段与用户成群阶段流程图。当进入某一中继节点的信号覆盖范围时，会接收到该中继节点向当前群组发送的成群通知，该通知的具体内容为中继节点自身的临时身份标识tgid，也即第二临时身份标识。
94.响应于接收到第二临时身份标识tgid，将第一临时身份标识tidi发送至对应的中继节点。然后，接收加密的群组临时共享密钥，并进行解密，得到群组临时共享秘钥tgk。
95.具体的，当用户收到成群通知后将自己的临时身份标识tidi通过中继节点发送给服务器端的移动安全切换服务系统，以便于系统生成群组临时共享秘钥。
96.可以理解的是，中继节点作为用户和服务端之间的中介，在进行传递信息时，也需要将自身的临时身份信息，即第二临时身份标识tgid发送给服务器端，以便于服务器进行识别。
97.中继节点将自己的临时身份标识tgid与收集到的tidi一起发给移动安全切换服务系统后，系统根据中继节点的tgid寻找到对应的第二会话秘钥并且生成群组临时共享密钥tgk，其计算公式为：
[0098][0099]
最后用当前用户tidi对应的会话密钥加密群组临时共享密钥tgk并通过中继节点对方反馈给对应的用户。用户收到后，解密得到群组临时共享密钥。
[0100]
通过以上方式，进入到某一节车厢的中继节点信号覆盖范围内的终端组成一个临时群组。
[0101]
14)预切换
[0102]
响应于接收到预切换消息，向对应的中继节点发送切换请求。
[0103]
请参见图5，图5是本发明实施例提供的预切换阶段流程图。具体的，当中继节点检测到信号覆盖重合区域时，根据路径和星历推测出即将进行切换过程，设置定时器，向组内成员进行广播预切换消息r3，组内用户成员自愿加入的话就发送包含自己的身份标识切换请求给对应的中继节点，以便于后续进行正式切换。
[0104]
15)正式切换
[0105]
响应于接收到第一随机数r4和第二随机数r5，向中继节点发送验证码，以通过该中继节点向目标接入点进行验证，并在验证成功后进行网络切换。
[0106]
请参见图6，图6是本发明实施例提供的正式切换阶段流程图。
[0107]
在在本实施例中，用户端的正式切换过程主要包括：
[0108]
响应于接收到第一随机数r4和第二随机数r5，更新自身的第一临时身份标识tid
i*
和群组临时共享密钥tgk
*
、原接入点的共享密钥目标接入点的临时会话共密钥并生成包括第一随机数r4和第二随机数r5的验证码maci；
[0109]
将验证码maci与更新后的第一临时身份标识tid
i*
发送给中继节点，以通过中继节点与目标接入点完成验证，并在验证成功后进行网络切换。
[0110]
具体的，当运行到目标接入点的覆盖范围时，用户会接收到目标接入点通过终极节点发送过来的两个随机数，即第一随机数r4和第二随机数r5。在接收到这两个随机数后，首先计算临时身份标识tid
i*
和临时群组密钥tgk
*
，随后由这二者计算密钥以及与新的网络接入点之间的临时会话密钥相应计算公式如下：
[0111][0112]
tgk
*
＝kdf(r4||tgk)
[0113][0114][0115][0116]
最后，每个用户根据临时身份生成消息验证码maci，并将tid
i*
,maci发送给中继节点，以通过中继节点与目标接入点完成验证，若验证成功，则完成网络切换。
[0117]
实施例2
[0118]
本实施例提供的高速移动终端快速安全切换认证方法，应用于中继系统，该中继系统包括多个中继节点，多个中继节点被设置于高速移动终端的不同位置，具体包括以下步骤：
[0119]
21)中继节点身份注册
[0120]
进行中继节点身份注册，以获得对应的第二身份标识gid和第二预置秘钥gk。
[0121]
具体的，高铁在每一节列车厢安装一个中继节点，该中继节点既可以与卫星通信，也可以与基站通信，并且承担着用户与卫星通信的桥梁作用。与用户设备一样，每一个中继节点rn需要首先在实体身份管理系统中进行注册。请参见图7，图7是本发明实施例提供的中继节点注册阶段流程图，具体包括：
[0122]
(a)在实体身份管理系统中进行注册，在出厂时中继设备通过注册机向实体身份管理系统发起注册请求；
[0123]
(b)实体身份管理系统为每个rn生成对应的身份标识gid以及预置密钥gk；
[0124]
(c)注册机通过离线方式将gid和gk发送给中继节点rn，从而完成中继节点身份注册。
[0125]
22)接入认证
[0126]
与核心网络进行接入认证，以获得第二会话秘钥和第二临时身份标识tgid。
[0127]
具体的，同用户设备端一样，中继节点也通过5g-aka或者eap-aka`的方式与核心网完成双向认证并且协商出会话密钥和临时身份标识tgid，如图4所示。
[0128]
23)用户成群
[0129]
响应于接收到用户请求，从服务器获取加密的群组临时共享密钥，并将其组播至群组。
[0130]
在本实施例中，步骤23)具体包括：
[0131]
向进入当前中继节点信号覆盖范围的用户广播自身的第二临时身份标识tgid；
[0132]
响应于接收到第一临时身份标识tidi，将所述第一临时身份标识tidi与自身的第二临时身份标识tgid发送至服务器，以使服务器生成加密的群组临时共享密钥；
[0133]
接收来自服务器的加密的群组临时共享密钥，并将其组播至群组。
[0134]
具体的，请继续参见图4，首先中继节点向进入当前中继节点信号覆盖范围的用户广播自身的第二临时身份标识tgid；在收到用户的反馈，即收到用户发送的临时身份标识tidi后，将自己的临时身份标识tgid与收集到的tidi一起发给服务器中的移动安全切换服务系统。系统根据中继节点的tgid寻找到对应的第二会话秘钥并且生成群组临时共
享密钥然后用tidi对应的会话密钥k
amfi
加密tgk发送给中继节点，中继节点将消息组播至群组中。
[0135]
24)预切换
[0136]
当检测到信号覆盖重合区域时，向组内成员广播预切换消息，并在接收到用户的切换请求时，从服务器获取根据目标接入点集群生成的第一随机数r4；其中，所述目标接入点集群是根据高速移动终端的轨迹通过时间和位置准确判断的目标接入点以及目标接入点的临近接入点形成的点群。
[0137]
在本实施例中，步骤24)具体包括：
[0138]
当检测到信号覆盖重合区域时，根据路径和星历推测出即将进行切换过程，同时向组内成员广播预切换消息；
[0139]
在设定时间内，接收来自组内成员的切换请求，对成员标识进行聚合，并根据安全哈希函数生成第一消息认证码mac1及其对应的认证令牌autn1；
[0140]
将认证令牌autn1发送至服务器，以使服务器在对第一消息认证码mac1认证通过后根据目标接入点集群生成第一随机数r4，同时更新群组临时共享密钥tgk
*
，并将第一随机数r4与新生成的第一临时身份标识tid
i*
、新生成的原接入点共享密钥当前中继节点自身的第二身份标识gid以及为包括原接入点在内的每个接入点分配的预共享密钥和随机数rj一起发送至目标接入点；
[0141]
同时，接收来自服务器的第一加密数据(r4,c)
tgk
，经过解密后得到第一随机数r4和密文c；其中，所述密文c是根据中国剩余定理计算的用来对更新后的群组临时共享密钥tgk
*
进行加密的。
[0142]
具体而言，请继续参见图5，首先，中继节点检测到信号覆盖重合区域时，根据路径和星历推测出即将进行切换过程，设置定时器，向组内成员进行广播预切换消息r3；组内成员自愿加入的话就发送切换请求包含自己的身份标识。
[0143]
当定时器耗尽，中继节点对于收到的组内成员标识进行一个聚合。不失一般性，假设收到n个组员的信息，首先计算第一消息认证码mac1和认证令牌autn1，计算公式如下：
[0144]
mac1＝h(tgk,newlai||tgid||tid1||
…
||tidn||r3)
[0145]
autn1＝(newlai||tgid||tid1…
||tidi||r3,mac1)
[0146]
中继通过原接入点转发预切换请求autn1给移动安全切换服务系统amf。
[0147]
服务器内系统验证mac1的有效性，验证成功以后，根据autn1中的newlai包含的位置信息，通过系统预知网络接入点信息表查验即将要接入的可能接入点tan和临近nans(假设tan为1，其余nans有j-1个)；生成一个随机数r4，计算更新组密钥tgk
*
＝kdf(r4||tgk)，新的临时身份标识以及密钥并为每一个接入点(包含原接入点)选择并且分配预共享密钥和一个随机数rj；并根据中国剩余定理计算密文c，用来加密tgk
*
，公式如下：
[0148]
[0149][0150][0151][0152][0153]
amf将通过安全信道发送给目标接入点，同时生成将第一加密数据(r4,c)
tgk
发送给中继节点。中继节点解密并存储r4和c。
[0154]
25)正式切换
[0155]
当进入目标接入点的覆盖范围时，向目标接入点发送切换请求，以获得第二随机数r5，并将所述第一随机数r4和第二随机数r5发送给用户，以便于用户进行身份认证，从而实现网络切换。
[0156]
在本实施例中，步骤25)具体包括：
[0157]
当进入目标接入点的覆盖范围时，向目标接入点发送经过解密得到的密文c和自身的第二身份标识gid，以获取目标接入点生成的第二加密数据；
[0158]
其中，所述第二加密数据是利用解密后得到的群组临时共享密钥tgk
*
对目标接入点生成的第二随机数r5、当前目标接入点的身份标识id
tan
以及目标接入点生成的第二消息认证码mac2进行加密生成的；
[0159]
对第二加密数据进行解密，并将解密得到的第二随机数r5与之前得到的第一随机数r4一起发送给用户；
[0160]
响应于接收到用户发送的验证码maci和更新后的第一临时身份标识tid
i*
，计算并验证第二消息认证码mac2，并在验证成功后向群内用户广播切换成功通知；同时，计算聚合消息验证码mac3并发送至目标接入点，以使目标接入点完成当前中继节点以及所管辖用户的身份认证。
[0161]
具体的，请继续参见图6，当中继运行到目标接入点的覆盖范围时，会向目标接入点发送切换请求，该切换请求内容包括自身的身份标识gid；和密文c。
[0162]
目标接入点收到后，根据k
dj
解密c得到tgk
*
：rj||tgk
*
＝cmodk
dj
，并且根据每一个原接入点的密钥和临时群组密钥tgk
*
计算密钥并计算生成身份标识相关的第二消息认证码mac2＝h(tgk
*
,r4||tid
1*
||
…
||tid
n*
||tgid||id
tan
)，生成第二随机数r5；然后将r5,id
tan
,mac2用tgk
*
加密过后发送给中继节点。
[0163]
中继收到消息后，首先计算密钥tgk
*
＝kdf(r4||tgk)，然后解密消息得到r5,id
tan
,mac2，并向用户分发r4,r5。
[0164]
用户接收到之后，会反馈一个验证码maci和更新后的第一临时身份标识tid
i*
，中继通过收集得到用户临时身份标识tid
1*
,
…
,tid
n*
，然后通过tgk
*
计算并验证mac2，若验证成功，则向群内用户广播切换成功通知；然后，中继节点计算聚合消息验证码发送给目标接入点tan。
[0165]
本发明针对用户终端隐私性保护需要，在认证过程中使用简单哈希函数和对称密
钥生成临时身份信息，每次认证都会更新新的临时身份信息，并且不会被攻击者在有效时间内破解，有效保护了用户的隐私性。
[0166]
tan收到并根据群组成员计算并验证mac3，若验证成功，则完成对中继节点以及所管辖的用户的身份认证。
[0167]
本发明提供的高速移动终端快速安全切换认证方法一方面引入了目标接入点集群的概念，通过预切换的方式，提前寻找可能的目标接入点集群，并提前发送相关预切换信息，减少了用户与目标接入点的切换认证交互次数，大大降低了认证时延，有效提高了切换认证的效率，在没有增大计算开销的同时，还扩大了用户终端可切换的范围，降低了切换失败的风险，增大了方案实施的可能性；另一方面通过随机数和验证码实现双向认证，增加了网络抵抗重放攻击的能力，在保障通信安全的前提下实现了高效、快速的异构网络切换认证。
[0168]
同时，本发明针对高铁用户移动速度过快的问题，提出目标接入点集群的概念，通过基于中国剩余定理，给高铁用户切换的目标接入点集群分发解密密钥，扩大了用户终端可切换的范围，但是并没有增大计算开销，增大了方案实施的可能性。针对用户终端和卫星节点资源受限的问题，引入同时具有卫星和地面通信能力的中继节点，协助不具备卫星通信能力的用户终端接入卫星网络，方案中用户和网络接入点仅需要进行简单的哈希和异或计算，或者少量轻量解密运算，就可以完成认证与密钥协商的过程，降低了系统通信开销和计算开销。
[0169]
此外，本发明提供的方法还具有很强的安全性，主要体现在以下几方面：
[0170]
1)相互认证：在执行高速移动终端快速切换认证的过程中，终端通过中继去验证mac2的正确性来认证目标接入点(卫星/地面基站)的合法性，另一方面目标接入点(卫星/地面基站)通过验证聚合mac3一次性认证所有终端的身份合法性。
[0171]
2)匿名性：在执行高速移动终端快速切换认证的过程中，用户终端使用临时身份标识tid进行通信，并且每次切换完成后都会生成新的临时身份标识，该临时身份标识仅可以由实体身份管理系统解密得出。因此攻击者无法获得用户终端的身份标识信息。
[0172]
3)密钥协商：在高速移动终端快速切换认证过程中，由于预置主密钥k仅在用户终端与实体身份管理系统中存储，而群密钥gk仅在中继节点与实体身份管理系统中存储，因而用户终端与实体身份管理系统根据k导出的只有双方可以计算得到，而根据gk生成的临时群组密钥tgk通过加密分发给终端，无法被敌手获得，而后续会话密钥只能通过新生成的随机数r4以及和tgk导出得到，移动切换安全服务系统通过可信信道从实体身份管理系统得到相关密钥信息。移动切换安全服务系统将新生成的tgk用中国剩余定理的方法进行加密，只有持有预共享密钥的接入点才可以解密得到正确的群组密钥tgk，而预共享密钥由移动切换安全服务系统通过安全信道分发给目标接入点集群。因此，卫星与终端之间可以安全协商出基础密钥。
[0173]
4)前向和后向安全：在每次高速移动终端快速切换认证过程中都会产生新的随机数r4用于计算基础密钥因此密钥彼此独立。即使获取了当前基础密钥，攻击者也不可能获得之前或者之后的基础密钥。因此，本方案可实现前向和后向安全。
[0174]
5)抵挡重放攻击：在高速移动终端快速切换认证过程中，每个用户终端通过验证
随机数r4的新鲜性来判断消息是否重放；而实体身份管理系统侧可以通过验证随机数r5的新鲜性来判断消息是否重放。因此，本方案可以抵抗重放攻击。
[0175]
6)抵抗假冒攻击：中继节点与网络侧之间通过相互认证并协商得到tgk，而敌手无法计算并得到tgk，因此无法假冒中继与网络侧进行通信，同理，只有合法的中继节点或者终端能解密得到密文c，而只有合法的接入点能够解密该密文得到最新的群组密钥tgk
*
，因此攻击者无法假冒接入点与中继节点以及用户终端通信。
[0176]
7)抵抗中间人攻击：在高速移动终端切换认证过程中，由于攻击者无法获得tgk
*
，不能假冒用户终端、中继节点、目标接入点去欺骗对方，因此本方案可以抵抗中间人攻击。
[0177]
实施例3
[0178]
在上述实施例1的基础上，本实施例提供了一种用于实现用户终端快速安全切换认证方法的装置，其包括：
[0179]
第一身份注册模块，用于用户与地面实体身份管理系统进行交互，完成用户预置密钥信息的身份注册过程；
[0180]
第一接入认证模块，用于用户与地面核心网络进行交互，完成用户接入认证过程；
[0181]
第一成群模块，用于通过中继节点与地面系统进行交互，完成用户成群过程，并获得相应的群组群组临时共享密钥；
[0182]
第一预切换模块，用于通过中继节点与服务器进行交互，完成用户预切换请求；
[0183]
第一正式切换认证模块，用于通过中继节点与网络目标接入点进行交互，完成用户切换认证。
[0184]
本实施例提供的装置实现高速移动用户终端的快速安全切换认证方法的具体过程参见上述实施例1，在此不做详细描述。
[0185]
实施例4
[0186]
在上述实施例2的基础上，本实施例提供了一种用于实现中继节点快速安全切换认证方法的装置，其包括：
[0187]
第二身份注册模块，用于中继节点与地面实体身份管理系统进行交互，完成中继节点预置密钥信息的身份注册过程；
[0188]
第二接入认证模块，用于中继节点与地面接入鉴权管理系统进行交互，完成中继节点的接入认证过程；
[0189]
第二成群模块，用于实现用户与地面系统的交互，完成成群过程，并获得相应的群组群组临时共享密钥；
[0190]
第二预切换模块，用于实现用户与服务器的交互，并完成预切换信息的分发；
[0191]
第二正式切换认证模块，用于实现用户与网络目标接入点的交互，以完成用户的切换认证。
[0192]
本实施例提供的装置实现高速移动中继节点端快速安全切换认证方法的具体过程参见上述实施例2，在此不做详细描述。
[0193]
实施例5
[0194]
本实施例还提供了一种高速移动终端快速安全切换认证系统，应用于天地一体化异构网络，其搭载有上述实施例3和实施例4提供的装置，该高速移动终端快速安全切换认证系统的工作过程可参考上述实施例1和实施例2，在此不做详细描述。
[0195]
实施例6
[0196]
为了验证本发明提供的高速移动终端快速安全切换认证方法在信令开销和通信开销方面的优势，本实施例将其与现有的两种方法进行了比较。
[0197]
具体的，现有方法一为caojin等人2015年在会议“ieee international conference on communications”的论文方案：ugha:uniform group-based handover authentication for mtc within e-utran in lte-a networks，简写为cao et al。
[0198]
现有方法二为maruhui等人2019年在期刊《ieee transactions on vehicular technology》发表的论文方案：ftgpha:fixed-trajectory group pre-handover authentication mechanism for mobile relays in 5g high-speed rail networks，简写为ma et al。
[0199]
在信令开销方面，不失一般性，假设群组成员的数量为n。假设所对比的方案，群组长与中继是一个概念。本发明的方案在正式切换阶段，n个群成员与中继节点之间信令开销为n 2，而中继节点与目标接入点之间的切换信令开销为3，总信令开销为n 3。而ugha方案需要2n 4信令开销。ftgpha方案仅考虑第一种情况，n个用户情况下信令开销为2n 14。请参见图8，图8为采用本发明的方法和现有两种方法的总信令开销对比示意图。由此可见，本发明所提出的方法在正式切换时，信令开销显著降低。
[0200]
在通信开销方面，不失一般性，假设群组成员的数量为n。为了公平起见，在相同的aes 128bits的安全等级下进行比较。基于ecc的密钥大小为256bits，基于有限域加密的参数，公钥大小为3072bits，私钥大小为256bits。此外，密钥生成函数输出长度256bits，散列函数输出长度为128bits，随机数大小为128bits，时间戳大小为32bits，身份信息为128bits，snid为24bits，其他的信息长度为128bits。请参见图9，图9为采用本发明的方法和现有两种方法的总通信开销对比示意图。经过计算，本发明在正式切换认证阶段通信开销为32n 150(字节)，而ugha方案通信开销为128n 1024(字节)。ftgpha方案通信开销为112n 320(字节)。由此可见，本发明所提出的方法在正式切换时，通信开销显著降低。
[0201]
在上述实施例中，可以全部或部分地通过软件、硬件、固件或者其任意组合来实现。当使用全部或部分地以计算机程序产品的形式实现，所述计算机程序产品包括一个或多个计算机指令。在计算机上加载或执行所述计算机程序指令时，全部或部分地产生按照本发明实施例所述的流程或功能。所述计算机可以是通用计算机、专用计算机、计算机网络、或者其他可编程装置。所述计算机指令可以存储在计算机可读存储介质中，或者从一个计算机可读存储介质向另一个计算机可读存储介质传输，例如，所述计算机指令可以从一个网站站点、计算机、服务器或数据中心通过有线(例如同轴电缆、光纤、数字用户线(dsl)或无线(例如红外、无线、微波等)方式向另一个网站站点、计算机、服务器或数据中心进行传输)。所述计算机可读取存储介质可以是计算机能够存取的任何可用介质或者是包含一个或多个可用介质集成。
[0202]
以上内容是结合具体的优选实施方式对本发明所作的进一步详细说明，不能认定本发明的具体实施只局限于这些说明。对于本发明所属技术领域的普通技术人员来说，在不脱离本发明构思的前提下，还可以做出若干简单推演或替换，都应当视为属于本发明的保护范围。