CN100441036C

CN100441036C - 码分多址网络中移动终端安全性的验证方法

Info

Publication number: CN100441036C
Application number: CNB2004101034707A
Authority: CN
Inventors: 董昆阳; 王正伟; 黄天振; 周春艳; 孔杰; 朱志明; 郭平; 王备
Original assignee: Huawei Technologies Co Ltd
Current assignee: Huawei Technologies Co Ltd
Priority date: 2004-12-28
Filing date: 2004-12-28
Publication date: 2008-12-03
Anticipated expiration: 2024-12-28
Also published as: CN1798437A; WO2006069536A1

Abstract

本发明公开了一种码分多址(CDMA)网络中的移动终端安全性验证方法，至少包括：在移动终端和CDMA网络的网络设备中设置并保存相一致的对应该移动终端的安全密钥SKEY；在需要对移动终端进行安全性验证时，网络设备根据对应该移动终端的SKEY生成验证信息，并将该验证信息发送给移动终端；移动终端根据接收自网络设备的验证信息判断自己保存的SKEY和网络设备保存的对应该移动终端的SKEY是否匹配，如果是，判定自己合法；否则判定自己非法。在判定自己非法之后，移动终端可以直接关机，从而不允许当前用户使用该移动终端。本发明可以从根本上防止CDMA移动终端被盗抢，从而极大地提高CDMA网络的移动终端的安全性。

Description

码分多址网络中移动终端安全性的验证方法

技术领域

本发明涉及移动通信安全技术，具体涉及一种码分多址(CDMA)通信网络中的移动终端安全性的验证方法。

背景技术

目前CDMA通信网络中的移动终端大多数采用机卡分离的方式，也就是移动终端本身和用于验证无线网络用户信息的用户标识模块(UIM)卡是两个独立的部分，在使用时将它们结合在一起即可。这种方式具有很多突出的优点，例如用户想更换一个移动终端的话，只需要购买一个新的移动终端并且将原有的UIM卡插入到新的移动终端即可，这样，由于用户的信息不需要改变，因此用户也不需要向通信运营商办理任何更换移动终端的手续。

但是采用机卡分离方式给用户带来极大方便的同时，也导致移动终端被盗和被抢现象时有发生，以至于在有些地方人们不敢将移动终端挂在腰间。因为在机卡分离方式下，只要在所盗抢的移动终端上换上一个新的UIM卡就可以毫无障碍地使用。这样盗贼可以将所盗抢的移动终端再销售出去从而获利。这样，用户不但经济利益受到很大影响，而且还需要去通信运营商处办理一系列手续，例如更改签约数据，给用户带来了很大的不便。

为了解决移动终端容易被盗抢的问题，一种比较常用的方法是在移动终端上设置密码保护。例如在移动终端上设置开机密码，每次开机时都需要输入正确的开机密码，移动终端才能执行向网络注册等后续操作。如果开机密码输入不正确，该移动终端就不能正常使用。这样盗贼即使得到了用户的移动终端，也会因为不能输入正确的密码而不能使用和销售。因此，这种方法在一定程度上解决了移动终端容易被盗抢的问题。但是，对于这一种方法而言，合法用户在每次开机时也需要输入密码，将给合法用户的日常使用带来非常大的麻烦。因此，目前很多用户因为觉得这样每次输入开机密码太麻烦而没有设置这样的开机密码，使得这种解决方法难以被用户接受并得到实际的应用，从而并不能从根本上解决移动终端容易被盗抢的问题。

还有一种解决方法是建设大量的设备标识寄存器(EIR)设备，并将那些被盗移动终端的国际移动设备标识(IMEI)放入相应的EIR的黑名单中。这样，移动终端在每次开机连接网络时，都需要到EIR设备中检查该移动终端所对应的IMEI是否被加入到黑名单中，如果在黑名单中发现了该移动终端的IMEI，网络认为该移动终端的用户为非法用户，从而拒绝其业务请求。这样盗贼同样会因为所得到的移动终端不能再次使用而不能从中获利，从而可以从根本上解决移动终端容易被盗抢的问题。但是这种方法需要建设大量的EIR设备，需要增加网络设备的建设，增加了通信运营商的建网成本。同时，该方法还需要不同的通信运营商同时统一开展这个防盗业务，以避免从一个通信运营商网络丢失的移动终端被拿到另外一个通信运营商网络中使用，这样，将大大增加通信运营商之间繁琐的业务协调工作，因此增加了通信运营商的运营成本，也给通信运营商的业务开展带来不便。

另外，目前UIM卡被非法复制的情况也时有发生。例如，用户在维修移动终端时，维修人员可以轻易地复制移动终端内的UIM卡，将复制的UIM卡插入其它终端内使用。这样，获得复制UIM卡的人可以在合法用户不知情的情况下盗打电话或使用其它移动通信服务，而这些费用却计算在合法用户的帐上，从而使合法用户蒙受经济损失。例如，获得复制UIM卡的人在深夜拨打电话，这时合法用户一般已经休息了，却在不知不觉中损失了巨大的通信费用。或者，安装了复制UIM卡的移动终端在连接网络后，网络将拒绝安装了原始UIM卡的移动终端的连接请求，使合法用户无法使用属于自己的移动通信服务，从而有可能给合法用户造成更大的经济损失和其它损失。

因此，在目前CDMA网络中的移动终端安全性亟待提高，并且UIM卡容易被克隆的现象也需要有效的方法来加以消除。

发明内容

有鉴于此，本发明的主要目的是提供一种CDMA网络中的移动终端安全性的验证方法，以有效地防止移动终端被盗抢，提高移动终端的安全性。

本发明的上述目的是通过如下的技术方案予以实现的：

一种CDMA网络中的移动终端安全性验证方法，至少包括：

a.在移动终端和CDMA网络的网络设备中，设置并保存相一致的对应该移动终端的安全密钥(SKEY)、以及设置配置开关并标记代表安全保护类型的配置开关值；

b.需要对移动终端进行安全性验证时，在移动终端确认配置开关值后，网络设备根据对应该移动终端的SKEY生成验证信息，并将该验证信息发送给移动终端；

c.移动终端根据接收自网络设备的验证信息判断自己保存的SKEY和网络设备保存的对应该移动终端的SKEY是否匹配，如果是，判定自己合法；否则判定自己非法。

步骤a中在移动终端和网络设备中设置SKEY包括：

a1.移动终端向网络设备发送一个设置SKEY的请求消息；

a2.网络设备产生一个随机数，根据该随机数生成设置信息，并将该随机数发送到移动终端；

a3.移动终端使用该随机数生成设置信息，根据该设置信息得到SKEY并进行保存，并将移动终端使用该随机数生成的设置信息发送到网络设备；

a4.网络设备在两个设置信息一致时根据自己生成的设置信息得到SKEY并进行保存。

网络设备可以是归属位置寄存器/鉴权中心(HLR/AC)，此时步骤a1包括：

移动终端向CDMA网络中的移动交换中心/拜访位置寄存器MSC/VLR发送一个作为设置SKEY的请求消息的特定业务操作码；

MSC/VLR分析该业务操作码，然后向HLR/AC发送一个业务请求消息；

步骤a2中网络设备根据该随机数生成设置信息包括：网络设备使用该随机数和原有的共享加密数据SSD通过CAVE算法生成第一设置信息和第二设置信息；

步骤a2中网络设备将随机数发送给移动终端包括：HLR/AC向MSC/VLR发送一个鉴权指示消息，在该消息中包含所述随机数和第一设置信息；MSC/VLR保存接收的第一设置信息，然后向移动终端发送一个包含该随机数的独特查询请求消息；

步骤a3中移动终端根据该随机数生成设置信息包括：移动终端使用该随机数和原有的共享加密数据SSD通过CAVE算法生成第三设置信息和第四设置信息；

步骤a3中根据该设置信息得到SKEY并进行保存包括：移动终端根据第四设置信息得到SKEY并保存该SKEY；

步骤a3中将设置信息发送到网络设备包括：移动终端通过独特查询响应消息将第三设置信息发送给MSC/VLR，MSC/VLR比较第一设置信息和第三设置信息是否匹配，并将比较结果通过鉴权状态报告发送给HLR/AC；

步骤a4中网络设备在两个设置信息一致时根据自己生成的设置信息得到SKEY并进行保存包括：HLR/AC判断鉴权状态报告是否表明比较结果匹配，如果是，根据自己生成的第二设置信息得到SKEY并进行保存；否则不保存SKEY。

移动终端可以进一步包括一个安全芯片和一个UIM卡，步骤a3中移动终端使用该随机数和原有的共享加密数据SSD通过CAVE算法生成第三设置信息和第四设置信息包括：

移动终端程序将接收到的随机数发送给UIM卡，要求进行独特查询并返回设置信息；UIM卡使用CAVE算法对接收的随机数和原有的SSD进行计算得到第三设置信息和第四设置信息，然后将第三设置信息和第四设置信息发送给移动终端程序；

步骤a3中移动终端根据第四设置信息得到SKEY并保存该SKEY包括：移动终端程序将第四设置信息发送给安全芯片，安全芯片根据第四设置信息生成SKEY并进行保存。

第一设置信息和第三设置信息可以是独特查询的鉴权结果，第二设置信息和第四设置信息可以是语音加密掩码；HLR/AC根据第二设置信息得到SKEY为将语音加密掩码的相同位置的64比特作为SKEY；所述移动终端根据第四设置信息生成SKEY为将语音加密掩码的相同位置的64比特作为SKEY。

步骤b中网络设备根据对应该移动终端的SKEY生成验证信息包括：网络设备生成一个随机数，并使用保存的对应于该移动终端的SKEY和所生成的随机数通过计算得到一个计算结果，然后根据计算结果得到验证信息；步骤b中网络设备向移动终端发送验证信息的同时进一步发送所述随机数；

步骤c中移动终端判断两个SKEY是否匹配包括：移动终端对接收的验证信息进行解析得到一个计算结果，然后使用自己保存的SKEY和接收自网络设备的随机数通过相应的计算得到一个计算结果，比较两个计算结果是否匹配。

网络设备可以是HLR/AC，步骤b中网络设备向移动终端发送验证信息和随机数包括：HLR/AC将包含随机数和验证信息的点对点短消息发送给MSC/VLR；MSC/VLR将该点对点短消息发送给移动终端。

移动终端可以进一步包括一个安全芯片，所述SKEY设置和保存在该安全芯片上，所述移动终端使用自己保存的SKEY和接收自网络设备的随机数进行CAVE计算得到一个鉴权结果，从验证信息中提取出鉴权结果，比较两个鉴权结果是否匹配包括：移动终端程序将接收自MSC/VLR的随机数和验证信息发送给安全芯片；安全芯片从接收的验证信息中提取出鉴权结果；

安全芯片使用自己保存的SKEY和接收的随机数进行CAVE计算得到一个鉴权结果；

安全芯片比较两个鉴权结果是否匹配。

从本发明的技术方案可以看出，由于在移动终端和网络侧分别设置和保存了相同的SKEY，在需要对移动终端的安全性进行验证时，网络侧生成一个随机数，并使用SKEY和该随机数生成验证信息，然后将该随机数和验证信息发送给移动终端。移动终端根据接收的验证信息判断自己保存的SKEY和网络设备保存的SKEY是否匹配，如果是，确定自己合法，否则确定自己非法。在确定自己非法之后，可以通过断电等方式使移动终端不能正常使用。这样非法盗取移动终端的人在获得移动终端之后，如果插入自己的UIM卡，会由于该UIM卡对应的SKEY和该移动终端保存的SKEY不一致导致最终的验证不通过，从而使非法盗取的移动终端不能正常使用。通过这种方式，可以有效地提高移动终端的安全性。

另外，本发明可以进一步设置“机卡相互绑定”，这样通过上述移动终端和网络侧保存一份新的鉴权密钥(AKEY)和共享加密数据(SSD)，这样如果移动终端使用克隆卡，将由于克隆卡上的AKEY和SSD与网络侧保存的AKEY不同而使得克隆卡的鉴权不能通过，这样克隆的UIM卡将不能正常使用，达到了防止克隆UIM卡使用的目的。

本发明可以进一步设置密码，在设置SKEY或者取消SKEY的设置时要求用户输入正确的密码才执行操作，从而进一步防止了非法用户通过取消SKEY设置达到正常使用盗抢移动终端的目的。另外，如果通过本发明的验证操作移动终端判定自己非法，可以要求用户输入密码，如果用户输入的密码正确，可以认为用户是合法用户，从而给合法用户提供了更多的方便，使本发明更容易得以实际应用。

附图说明

图1是本发明的总体流程图；

图2是根据本发明第一实施例的设置SKEY的消息流程图；

图3是在用户设置了机卡相互绑定后取消绑定的消息流程图；

图4是根据本发明的使用SKEY对网络进行认证的流程图。

具体实施方式

下面结合附图和具体实施例对本发明进行详细说明。

在本发明中预先在移动终端和CDMA网络侧分别设置和保存一致的安全密钥SKEY。在需要验证移动终端的安全性时，例如在移动终端开机后，移动终端使用网络侧发送的对应SKEY的验证信息和自己根据该SKEY产生的验证信息确定自己的状态是否合法，并在验证出不合法的情况下采取例如关机等方式来停止自己的使用，从而使非法获取移动终端的人不能正常使用移动终端，因此有效消除了非法获取移动终端的动机，提高了移动终端的安全性。

图1示出了本发明的总体流程图，如图1所示，本发明包括如下步骤：

步骤101，预先在移动终端和CDMA网络侧的HLR/AC中设置和保存对应该移动终端的SKEY。这里，由于HLR和AC经常集成在一个网络设备中，因此在这里统一表示为HLR/AC。本领域技术人员知道，HLR和AC实质上是两个不同的设备，并且都可以单独地在本发明中使用。

步骤102，在需要对移动终端的安全性进行验证时，HLR/AC根据对应该移动终端的SKEY生成验证信息，并将该验证信息发送给移动终端。

步骤103，移动终端在接收到验证信息后，根据该验证信息判断自己保存的SKEY和网络设备保存的SKEY是否匹配，如果是，在步骤104确定自己的状态合法；否则在步骤105确定自己的状态非法。

这里，确定自己的状态合法也就是表明自己正在被合法使用，或者说自己的当前用户是一个合法用户。而确定自己的状态非法也就是表明自己正在被非法使用，或者说自己的当前用户是一个非法用户，例如是盗抢该移动终端的人或者从非法渠道获得该移动终端的人。

在本发明的较佳实施例中，可以在移动终端中设置一个安全芯片，上述移动终端设置和保存SKEY可以是在该安全芯片中设置和保存SKEY，并且步骤103的判断操作也是由该安全芯片来进行比较和判断。

下面通过一个具体实施例说明步骤101的处理过程，也就是如何在移动终端和HLR/AC中设置和保存SKEY。

如图2所示，在步骤201，移动终端向移动交换中心/拜访位置寄存器(MSC/VLR)发送一个特定的业务操作码(FEATURE CODE)。该特定的业务操作码不同于现有的业务操作码，用于表示设置SKEY的业务操作请求。这里由于MSC和VLR经常集成在一起，因此在此处统一表示为MSC/VLR。

这里的特定业务操作码可以是*7877，表示“终端限用本卡”。同时移动终端在预先设置的配置开关中将开关值记录为代表“终端限用本卡”的值，并且将配置开关值保存到移动终端中的安全芯片中。

在步骤202，MSC/VLR分析该业务操作码，向HLR/AC发送一个业务请求消息(FEATURE REQUEST)。

在步骤203，HLR/AC根据该业务操作码判断出要进行设置SKEY的业务操作，产生一个24比特的独特查询随机数(RANDU)，然后使用该RANDU和原有的共享加密数据(SSD)，通过一个CAVE算法生成设置信息。这里的设置信息包括18比特的独特查询的鉴权结果和520比特的语音加密掩码，这里将它们分别记为AUTHU-1和VPM-1。在此之后，HLR/AC向MSC/VLR发送一个鉴权指示消息，该消息中包含独特查询随机数RANDU和独特查询的鉴权结果AUTHU-1。

在步骤204，MSC/VLR保存接收的AUTHU-1，然后向移动终端发送一个独特查询请求消息，在该请求消息中包含随机数RANDU。

在步骤205，移动终端的移动终端程序在接收到来自MSC/VLR的RANDU后，将该RANDU发送到UIM卡进行独特查询并要求返回语音加密掩码。

在步骤206，UIM卡使用和步骤203中相同的CAVE算法对接收的RANDU和SSD计算得到设置信息。这里的设置信息同样包括两部分，也就是作为第一设置信息的18比特的独特查询的鉴权结果和作为第二设置信息的520比特的语音加密掩码，为了和HLR/AC生成的设置信息相区别，这里将它们分别记为AUTHU-2和VPM-2。然后将上述AUTHU-2和VPM-2发送给移动终端。

在步骤207，移动终端将VPM-2发送给安全芯片，安全芯片将VPM-2中的64比特保存为安全密钥SKEY，例如将最后64比特保存为SKEY。同时，安全芯片初始化用于表示终端认证网络次数的计数器COUNTSK，其比特数为14，其初始值可以设置为0。

在步骤208，移动终端通过独特查询响应消息将AUTHU-2发送给MSC/VLR。

在步骤209，MSC/VLR比较AUTHU-1和AUTHU-2是否匹配。在HLR/AC和UIM卡中使用相同的CAVE算法的情况下，也就是比较AUTHU-1和AUTHU-2是否相同。然后，MSC/VLR将比较结果，也就是匹配或者不匹配，通过鉴权状态报告发送给HLR/AC。

在步骤210，HLR/AC在接收到鉴权状态报告后，向MSC/VLR返回鉴权状态报告响应消息。

在步骤211，HLR/AC根据鉴权状态报告判断鉴权是否成功，如果成功，也就是比较结果为匹配，在步骤212中，HLR/AC将VPM-1中的相应64比特，例如也是最后64比特，保存为和该移动终端对应的SKEY。同时初始化用于表示终端认证网络次数的计数器COUNTSK，其比特数为14，其初始值可以设置为0。然后HLR/AC向MSC/VLR发送业务请求响应消息，该消息中指示MSC向移动终端提示操作成功。同时，HLR/AC将预先设置的对应该移动终端的配置开关值标记为代表“终端限用本卡”的值，并将该配置开关值保存到数据库中和用户数据相关联的记录中。如果判断鉴权失败，在步骤213中，HLR/AC向MSC/VLR发送业务请求响应消息，该消息中指示MSC向移动终端提示操作失败。

在步骤214，MSC/VLR通过移动终端给用户放音，告知用户此次业务操作成功或者失败，然后释放本次呼叫。当然，这里也可以不是放音，而是通过短消息等其他方式通知用户。

至此，设置SKEY即算完成。对于成功的情况，移动终端中的安全芯片和网络侧的HLR/AC均保存了SKEY。对于失败的情况，HLR/AC不会保存新的SKEY，相反会执行现有技术中的独特查询失败处理。一般来说，鉴权失败后移动终端将不能正常使用，合法用户可以联系业务提供商来解决此问题。

进一步，为了在提高移动终端的安全性的基础上防止克隆卡的使用，本发明对图2所示的SKEY设置方法进行了一定修改，下面对这些修改之处进行说明，相同的处理将在此处省略。

在步骤201中，移动终端向MSC/VLR发送一个特定的业务操作码*7878，表示“机卡相互绑定”。同时移动终端在预先设置的配置开关中将开关值记录为表示“机卡相互绑定”的值，并且将配置开关值保存到移动终端中的安全芯片中。

在步骤207中，移动终端的安全芯片除了设置SKEY和COUNTSK之外，进一步将VPM-2的另外64比特，例如将倒数第65位至倒数第128位一共64比特保存为网络对用户鉴权用的鉴权密钥(AKEY)，替代UIM卡中的AKEY。另外，移动终端为了计算方便，也将UIM卡的IMSI信息保存到安全芯片，这样后续的所有鉴权流程将在安全芯片中进行，并且安全芯片同时保存有终端认证网络用的SKEY和网络认证终端用的AKEY。

在步骤211中，HLR/AC在根据鉴权状态报告判断鉴权成功后，除了设置SKEY和COUNTSK之外，进一步将VPM-2的另外64比特，例如将倒数第65位至倒数第128位一共64比特保存为网络对用户鉴权用的AKEY，将原来保存的AKEY另存为AKEY-0并且暂不使用。HLR/AC将预先设置的对应该移动终端的配置开关值标记为代表“机卡相互绑定”的值，以替代图2中的代表“终端限用本卡”的值，并将该配置开关值保存到数据库中和用户数据相关联的记录中。

在此之后，HLR/AC使用新的AKEY发起一次标准的SSD更新流程，移动终端对这次SSD更新是在安全芯片进行的，新产生的SSD也保存在安全芯片。后续网络对终端的鉴权使用的是安全芯片上的SSD。

通过上述移动终端的安全芯片和网络侧的HLR/AC保存一份新的AKEY和SSD，这样如果移动终端使用克隆卡，将由于克隆卡上的AKEY和SSD与网络侧保存的AKEY不同而使得克隆卡的鉴权不能通过，这样克隆的UIM卡将不能正常使用，达到了防止克隆UIM卡使用的目的。

上述用户设置“终端限用本卡”和“机卡相互绑定”都是通过选择移动终端的移动终端程序提供的菜单来实现。一般地说，移动终端会提供如下菜单：“设置密码”和“机卡绑定”，而在“机卡绑定”下又包括如下子菜单：“终端限用本卡”、“机卡相互绑定”和“取消绑定”。

当用户选择“设置密码”时，用户可以设置用户密码。在本发明中，密码可以有两种，一种是超级密码，由移动终端厂商设定而且用户不能更改，另一种是如上所述的用户密码，可以由移动终端厂商设定一个初始值而用户可以通过移动终端程序进行更改。这里用户选择“设置密码”即是修改已经预先设置的初始密码为用户所需的用户密码，或者是新设置一个用户密码。两种密码可以预先保存在移动终端中，较佳地保存在安全芯片中。在验证未通过而自己的确为合法用户的情况下，用户输入超级密码或者用户密码都可以正常使用移动终端。

在本发明中，密码具有多种用途，以提高移动终端的安全性。例如，移动终端换了一个其它UIM卡，在移动终端关机后插入新卡之后，移动终端会提示用户输入用户密码。在网络注册成功之后，移动终端可以提示用户重新绑定，如果用户进行了绑定，则以后开机、关机、打电话都不需要输入用户密码，否则每次开机均要求用户输入密码。另外，为了在移动终端连接不到网络因此不能进行本发明的验证的情况下提高移动终端的安全性，可以在移动终端在没有信号的区域开机或者移动终端进入没有信号的区域超过预定时间之后并再次接收到网络信号前这两种情况下，要求用户输入用户密码，并在用户输入的密码正确的情况下，用户才可以正常使用该移动终端。

一般来说，用户密码为6-8位的数字，以方便记忆和更改。超级密码则比较长，至少为16位以上。另外，在用户通过菜单设置用户密码时，可以进一步要求用户输入超级密码，移动终端程序在判断出用户输入的超级密码正确的情况下，才允许用户修改或者设置用户密码。

当用户选择“终端限用本卡”时，将启动如图2所示的SKEY设置流程。当用户选择“机卡相互绑定”时，将启动如上所述的类似图2的SKEY设置流程。另外，本发明可以进一步包括：如果用户选择了“终端限用本卡”或者“机卡相互绑定”，可以进一步要求用户输入用户密码，并且判断用户输入的密码正确之后才执行设置SKEY的流程。这里用户可以输入用户密码，也可以输入超级密码。

如果用户在已经设置了“终端限用本卡”或者“机卡相互绑定”之后，再选择“取消绑定”，可以使本发明所述的验证操作不再执行。如果预先设置的是“终端限用本卡”，那么只需要修改安全芯片中的配置开关值即可。具体地说，移动终端程序在接收到用户的指令后，指示安全芯片将配置开关值修改为空，安全芯片按照移动终端程序的指示进行修改，从而使配置开关值从“终端限用本卡”改变为一个空值。

如果用户预先设置的是“机卡相互绑定”，同样移动终端程序会指示安全芯片将配置开关值修改为空，安全芯片会按照移动终端程序的指示进行修改。除此之外，移动终端还会发起如图3所示的下述流程。

在步骤301，移动终端程序在接收到用户的取消绑定的命令后，向MSC/VLR发送特定的业务操作码*7870。

在步骤302，MSC/VLR分析该业务操作码，向HLR/AC发送一个业务请求消息(FEATURE REQUEST)。

在步骤303，HLR/AC根据该业务操作码判断出要进行取消绑定的业务操作，使用原来的AKEY-0替换当前的AKEY，然后向MSC/VLR发送业务请求响应消息。

在步骤304，MSC/VLR通过移动终端给用户放音，告知用户此次业务操作成功，然后释放本次呼叫。当然，这里也可以不是放音，而是通过短消息等其他方式通知用户。

在此之后，HLR/AC主动发起一次SSD更新流程，通过该流程，HLR和移动终端中的UIM卡将会保存新的SSD。这样在以后可以按照现有的鉴权处理流程对移动终端的UIM卡进行鉴权。

当然可以理解，如果用户选择了“取消绑定”，移动终端程序可以进一步要求用户输入用户密码，并且判断用户输入的密码正确之后才执行取消绑定的流程。这里用户可以输入用户密码，也可以输入超级密码。

下面再结合图4说明步骤102至105的操作。

在步骤401，在需要对移动终端的安全性进行验证时，移动终端首先向MSC/VLR发送一个位置更新请求消息。这里需要对移动终端的安全性进行验证的情况是在移动终端达到一个特定状态，例如移动终端开机后，或者在移动终端在长时间位于没有信号的区域之后进入有信号的区域时，或者在长时间持续开机后。这里位于没有信号的区域的时间可以设定为10分钟，持续开机的时间可以设定为20小时。

另外，移动终端会判断安全芯片中的配置开关值是否表示“终端限用本卡”或者“机卡相互绑定”，如果是，将对现有技术中的位置更新请求消息进行特殊处理。如果配置开关值为空，则不对现有技术中的位置更新请求消息进行特殊处理，这样将按照现有的鉴权处理流程进行处理，而不执行本发明的移动终端对网络的验证操作。

具体地说，现有技术中，网络侧会向移动终端广播32比特的随机数(RAND)，移动终端向网络发送的位置更新请求消息中携带RAND的一部分，例如8比特，和鉴权响应(AUTHR)等鉴权参数。而这里移动终端在向网络发送位置更新的操作中需要进行特殊处理，特殊处理的目的是使得鉴权不能顺利通过，从而执行本发明的终端对网络的认证处理。

上述特殊的操作可以是填写和广播的随机数RAND的一部分不同的新的RANDC，这样在鉴权时网络侧就会认为RANDC不匹配，从而判定鉴权失败。除此之外，特殊的操作还可以是缺少参数，或者填写错误的AUTHR等等。

在步骤402，MSC/VLR在接收到来自移动终端的经过特殊处理的位置更新请求消息后，进行鉴权，并判定鉴权失败，然后向HLR/AC发送鉴权失败报告(Authentication Failure Report)，并带上报告类型，例如RANDC不匹配。

在步骤403，HLR/AC收到鉴权失败报告后，检查报告类型，例如确定RANDC不匹配，然后检查对应该用户的预先设置的配置开关值是否表示“终端限用本卡”或者“机卡相互绑定”，如果是，HLR/AC确定对本地鉴权有进一步操作，从而向MSC/VLR返回鉴权失败报告响应消息，指示MSC/VLR允许本次接入；如果不是，按照现有的鉴权失败流程处理。

在步骤404，MSC/VLR允许移动终端的接入，并向移动终端发送位置更新接受消息。

在步骤405至410，HLR/AC发起一次标准的独特查询流程，用于弥补本次接入没有对用户进行鉴权。这里的标准的独特查询流程是现有技术的内容，为本领域技术人员所共知，本发明在这里不再对其详细描述。

在步骤411，HLR/AC在独特查询成功之后，生成一个32比特的随机数(RANDSK)，并且使用所保存的对应于该移动终端的SKEY和该RANDSK，通过CAVE算法生成18比特的鉴权结果AUTH，再将所记录的终端认证网络的计数器COUNTSK的值合在一起构成鉴权计算结果AUTHSK。由于COUNTSK为14比特，从而AUTHSK为32比特。HLR/AC然后向MSC/VLR发送一个点到点短消息。该短消息具有一个特定标识，例如两字节的0xFEFE，该短消息的内容包含RANDSK和AUTHSK。

在步骤412，MSC/VLR将该点到点短消息发送给移动终端。

在步骤413，移动终端向MSC/VLR返回点到点短消息证实。在步骤414，MSC/VLR在接收到来自移动终端的点到点短消息证实后，向HLR/AC发送点到点短消息响应。

在步骤415，移动终端对接收到的点到点短消息进行特殊处理。具体地说，检查该短消息的特殊标识，然后从中提取出RANDSK和AUTHSK。然后移动终端将RANDSK和AUTHSK发送给安全芯片。

在步骤416，安全芯片从AUTHSK中解析出COUNTSK，然后比较该COUNTSK和自己保存的COUNTSK是否满足预定的条件，例如两个值是否足够接近，这里要求两个值的差的绝对值小于2。如果不符合要求，则拒绝本次收到的数据。如果安全芯片在预定时间内再次接收到RANDSK和AUTHSK，那么安全芯片将再次执行步骤416，直到符合要求或者达到预定时间移动终端断电为止。如果符合要求，则执行步骤417。

这里需要说明的是，安全芯片每次接收到来自网络侧的RANDSK和AUTHSK之后，将会对自己保存的COUNTSK加1。另外，网络侧的HLR/AC每次向MSC/VLR发送RANDSK和AUTHSK之后，也会对自己保存的COUNTSK加1。

在步骤417，安全芯片使用接收到的RANDSK和自己保存的SKEY使用相同的CAVE算法得到18比特的鉴权结果AUTH，然后将得到的AUTH和接收自移动终端的AUTHSK中的AUTH进行比较，判断二者是否匹配，如果是，判定验证通过，允许终端正常使用。同时使用接收到的COUNTSK更新自己保存的COUNTSK。如果二者不匹配，则判定验证未通过，此时安全芯片控制移动终端断电，从而使移动终端不能正常使用。

上述是一个具体的移动终端利用SKEY对网络进行认证的处理过程。其中在步骤417判定验证未通过之后，移动终端可以进一步提示用户输入密码，并判断用户输入的密码是否正确，如果正确，允许用户使用该移动终端，否则安全芯片控制移动终端断电。这里的密码可以预先保存在移动终端中，较佳地保存在安全芯片中。在这里提示用户输入密码时，用户可以输入超级密码和用户密码中的任意一种。

由于本发明的具体验证操作是在安全芯片上进行的，安全芯片可以设置一个完成验证操作的时间段，在移动终端开机后，安全芯片即开始计时。如果在该时间段内验证成功，安全芯片允许移动终端正常使用。如果在经过该时间段后依然没有验证成功，安全芯片关闭移动终端的电源，使移动终端关机而无法使用。

进一步，本发明可以设置加解密功能，例如可以将移动终端中保存的电话号码信息或者短消息等进行加密，只有在安全芯片验证成功后才允许解密，这样可以进一步保障移动终端内存储的资料信息的安全性。

通过图2和图4所示的处理，由于在移动终端和网络侧分别设置和保存了相同的SKEY，在需要对移动终端的安全性进行验证时，网络侧生成一个随机数，并使用SKEY和该随机数生成验证信息，然后将该随机数和验证信息发送给移动终端。移动终端根据接收的随机数和自己保存的SKEY同样生成验证信息，并比较二者是否一致，如果是，确定自己合法，否则确定自己非法。在确定自己非法之后，可以通过断电等方式使移动终端不能正常使用。这样非法盗取移动终端的人在获得移动终端之后，如果插入自己的UIM卡，会由于该UIM卡对应的SKEY和该移动终端保存的SKEY不一致导致最终的验证不通过，从而使非法盗取的移动终端不能正常使用。通过这种方式，可以有效地提高移动终端的安全性。

可以理解，上述具体实施例仅仅是对本发明精神的展示，而不是限制。

Claims

1.一种码分多址CDMA网络中的移动终端安全性验证方法，至少包括：

a.在移动终端和CDMA网络的网络设备中，设置并保存相一致的对应该移动终端的安全密钥SKEY、以及设置配置开关并标记代表安全保护类型的配置开关值；

b.需要对移动终端进行安全性验证时，在移动终端确认配置开关值后，所述网络设备根据对应该移动终端的SKEY生成验证信息，并将该验证信息发送给移动终端；

2.根据权利要求1所述的方法，其特征是，步骤a中在移动终端和网络设备中设置SKEY包括：

a1.移动终端向网络设备发送一个设置SKEY的请求消息；

3.根据权利要求2所述的方法，其特征是，所述网络设备是归属位置寄存器/鉴权中心HLR/AC，步骤a1包括：

4.根据权利要求3所述的方法，其特征是，所述移动终端进一步包括一个安全芯片和一个用户标识模块UIM卡，步骤a3中移动终端使用该随机数和原有的共享加密数据SSD通过CAVE算法生成第三设置信息和第四设置信息包括：

移动终端程序将接收到的随机数发送给UIM卡，要求进行独特查询并返回设置信息；

UIM卡使用CAVE算法对接收的随机数和原有的SSD进行计算得到第三设置信息和第四设置信息，然后将第三设置信息和第四设置信息发送给移动终端程序；

5.根据权利要求3或4所述的方法，其特征是，所述第一设置信息和第三设置信息是独特查询的鉴权结果，所述第二设置信息和第四设置信息是语音加密掩码；所述HLR/AC根据第二设置信息得到SKEY为将语音加密掩码的相同位置的64比特作为SKEY；所述移动终端根据第四设置信息生成SKEY为将语音加密掩码的相同位置的64比特作为SKEY。

6.根据权利要求5所述的方法，其特征是，所述在移动终端中设置配置开关是在步骤a1中，在移动终端的安全芯片中设置一个配置开关，所述在网络设备中设置配置开关是在步骤a4中，在HLR/AC中设置一个配置开关。

7.根据权利要求6所述的方法，其特征是，所述安全保护类型为终端限用本卡；所述移动终端向MSC/VLR发送的特定业务操作码是表示“终端限用本卡”的业务操作码。

8.根据权利要求7所述的方法，其特征是，在步骤a4之后进一步包括取消绑定的操作，所述取消绑定的操作包括：将移动终端安全芯片中的配置开关的值设置为空。

9.根据权利要求6所述的方法，其特征是，所述安全保护类型为机卡相互绑定；所述移动终端向MSC/VLR发送的特定业务操作码是表示“机卡相互绑定”的业务操作码；步骤a3进一步包括：安全芯片将语音加密掩码的除了保存为SKEY的64比特之外的其他64比特保存为鉴权密钥AKEY，并且进一步包括保存UIM卡的国际移动用户标识IMSI信息；

步骤a4进一步包括：HLR/AC将语音加密掩码的64比特保存为AKEY，所述64比特的位置和安全芯片中作为AKEY的语音加密掩码的64比特的位置相同，并将原来的AKEY另存为AKEY-0，HLR/AC使用新保存的AKEY发起一次标准的SSD更新流程，移动终端在安全芯片进行SSD更新并保存更新的SSD。

10.根据权利要求9所述的方法，其特征是，在步骤a4之后进一步包括：HLR/AC使用新的AKEY发起SSD更新流程，安全芯片对SSD进行更新。

11.根据权利要求9所述的方法，其特征是，在步骤a4之后进一步包括取消绑定的操作，所述取消绑定的操作包括：

移动终端的安全芯片将配置开关的值设置为空，并向MSC/VLR发送表示取消绑定操作的业务操作码；

MSC/VLR分析该业务操作码，向HLR/AC发送一个业务请求消息；

HLR/AC使用原来的AKEY-0替换当前的AKEY，然后发起SSD更新流程，UIM卡保存新的SSD。

12.根据权利要求8或11所述的方法，其特征是，在执行取消绑定操作之前进一步包括：移动终端提示用户输入密码，并判断用户输入的密码是否正确，如果是，执行取消绑定操作；否则不执行取消绑定操作。

13.根据权利要求3或11所述的方法，其特征是，在步骤a4之后进一步包括：

HLR/AC向MSC/VLR发送业务请求响应消息，MSC/VLR接收到所述业务请求响应消息后通过移动终端告知用户此次业务操作的结果，然后释放本次呼叫。

14.根据权利要求2所述的方法，其特征是，在步骤a1之前进一步包括：移动终端提示用户输入密码，并判断用户输入的密码是否正确，如果是，执行步骤a1；否则不执行步骤a1。

15.根据权利要求1所述的方法，其特征是，步骤b中网络设备根据对应该移动终端的SKEY生成验证信息包括：网络设备生成一个随机数，并使用保存的对应于该移动终端的SKEY和所生成的随机数通过计算得到一个计算结果，然后根据计算结果得到验证信息；步骤b中网络设备向移动终端发送验证信息的同时进一步发送所述随机数；

16.根据权利要求15所述的方法，其特征是，所述网络设备是归属位置寄存器/鉴权中心HLR/AC，步骤b中网络设备向移动终端发送验证信息和随机数包括：

HLR/AC将包含随机数和验证信息的点对点短消息发送给MSC/VLR；MSC/VLR将该点对点短消息发送给移动终端。

17.根据权利要求16所述的方法，其特征是，所述包含随机数和验证信息的点对点短消息具有一个特定标识。

18.根据权利要求16所述的方法，其特征是，该方法进一步包括在HLR/AC中设置一个用于表示移动终端认证网络次数的计数器，HLR/AC在对该移动终端产生一次验证信息后对计数器值加1；

所述根据SKEY和随机数计算得到计算结果包括：对SKEY和随机数进行CAVE计算得到一个鉴权结果；所述根据计算结果得到验证信息包括：将得到的鉴权结果和用于表示移动终端认证网络的次数的计数器值合并在一起构成验证信息；所述移动终端对接收的验证信息进行解析得到一个计算结果包括：移动终端从验证信息中提取出鉴权结果；所述移动终端使用自己保存的SKEY和接收自网络设备的随机数通过相应的计算得到一个计算结果包括：对SKEY和随机数进行CAVE计算得到一个鉴权结果。

19.根据权利要求18所述的方法，其特征是，所述移动终端进一步包括一个安全芯片，所述SKEY设置和保存在该安全芯片上，所述移动终端使用自己保存的SKEY和接收自网络设备的随机数进行CAVE计算得到一个鉴权结果，从验证信息中提取出鉴权结果，比较两个鉴权结果是否匹配包括：

移动终端程序将接收自MSC/VLR的随机数和验证信息发送给安全芯片；

安全芯片从接收的验证信息中提取出鉴权结果；

安全芯片比较两个鉴权结果是否匹配。

20.根据权利要求19所述的方法，其特征是，该方法进一步包括在安全芯片上设置一个用于表示移动终端认证网络次数的计数器，安全芯片每进行一次认证操作对计数器值加1；

在安全芯片提取出鉴权结果和计算得到鉴权结果之间进一步包括：安全芯片从验证信息中解析出计数器值，并比较该计数器值和自己保存的计数器值是否符合预定要求，如果是，执行使用自己保存的SKEY和接收的随机数进行CAVE计算得到一个鉴权结果的步骤；否则拒绝接收到的数据。

21.根据权利要求1或15所述的方法，其特征是，所述网络设备是归属位置寄存器/鉴权中心HLR/AC，步骤b中所述移动终端确认配置开关值包括：

移动终端确认配置开关值不是空；

步骤b中移动终端确认配置开关值后，在执行网络设备根据对应该移动终端的SKEY生成验证信息的步骤之前该方法进一步包括：移动终端对位置更新请求的参数进行错误化处理，然后向移动交换中心/拜访位置寄存器MSC/VLR发送一个包含错误参数的位置更新请求；

MSC/VLR在接收到包含错误参数的位置更新请求后，向HLR/AC发送鉴权失败报告并附带报告类型；

HLR/AC检查报告类型，确定预先设置的配置开关值表示终端限用本卡或者机卡相互绑定，向MSC/VLR返回鉴权失败报告响应消息，指示MSC/VLR允许本次接入；MSC/VLR向移动终端发送位置更新接受消息；

HLR/AC发起标准的独特查询处理流程。

22.根据权利要求21所述的方法，其特征是，所述对位置更新请求的参数进行错误化处理为：填写和网络侧广播的随机数的一部分不同的新的随机数，或者填写错误的鉴权响应参数，或者去掉一个或多个参数。

23.根据权利要求1所述的方法，其特征是，该方法进一步包括移动终端设置一个用于验证网络的时间段，如果经过该时间段对网络的验证依然没有成功，移动终端直接判定自己非法。

24.根据权利要求1或23所述的方法，其特征是，在移动终端判定自己非法之后进一步包括：移动终端直接关机。

25.根据权利要求24所述的方法，其特征是，在移动终端关机之前进一步包括：移动终端提示用户输入密码，并判断用户输入的密码是否正确，如果是，移动终端允许自己正常工作；否则执行关机的操作。

26.根据权利要求25所述的方法，其特征是，在移动终端上进一步设置了用于保障移动终端上存储的资料信息的安全性的加解密开关，在移动终端判定自己合法或者移动终端允许自己正常工作之后进一步包括：打开所述加解密开关，允许对移动资料上存储的资料信息进行加密或解密操作。