CN101001144B - 一种实体认证中心实现认证的方法 - Google Patents

Abstract

本发明公开了一种实体认证中心实现认证的方法，该方法包括：实体认证中心(EAC)根据请求认证的业务实体要求的安全等级，以及该业务实体的签约信息，获取EAC与该业务实体均支持的符合所要求的安全等级的认证方式；EAC与该业务实体通过该认证方式进行认证并协商生成共享密钥，EAC为生成的共享密钥分配安全等级、为请求认证的业务实体分配认证相关信息，将所述认证相关信息、共享密钥和该共享密钥的安全等级关联存储在EAC和该业务实体中。本发明使EAC为业务实体提供了不同安全等级的认证，很好地适应了业务发展的需求。进一步地，在请求业务过程中，本发明方法保证了不同业务实体间不同业务的通信建立不同安全级别的信任关系。

Description

一种实体认证中心实现认证的方法

技术领域

本发明涉及通用鉴权技术，尤指一种实体认证中心(EAC，EntityAuthentication Center)实现认证的方法。

背景技术

图1是现有技术端到端通信认证架构的示意图，如图1所示，该架构适用于不同移动网络标准，其作用在于为在不同类型的实体间建立相互信任关系，是一个真正意义上的通用鉴权框架。图1所示的认证架构涉及到的网络元素除了三种业务实体：业务定购者(SS，Service Subscriber)、业务定购/提供者(SSP，Service Subscriber and Provider)、业务提供者(SP，ServiceProvider)外，在运营商网络中，还包括一个EAC和一个实体签约数据库(ESD，Entity Subscription Database)。

其中，业务实体是业务提供实体与业务请求实体的统称，包括SS、SSP和SP三种类型。SS只能申请服务，一般为普通的移动用户；SSP可以是普通的移动用户，也可以是第三方的应用服务器(AS，Application Server)；SP为运营商网络的AS或外部网络的SP；EAC用于完成和其它实体进行认证方法的协商及认证的过程，并且接受某个业务实体对其它业务实体认证情况的查询；ESD用于存储业务实体签约信息，签约信息可以包括业务实体签约的服务，或业务实体提供的服务，或业务实体签约的服务及提供的服务等，以及业务实体支持的认证方式及其它认证信息等，业务实体的签约信息与业务实体的私有身份标识(PID，Private Identity)关联保存。

业务提供实体在为其它业务实体提供业务，或者业务请求实体向其它业务实体请求业务之前，应该首先已经与网络存在签约关系，并将签约信息存放于ESD中；网络中每个业务请求实体与其他业务实体进行通信之前，需要先与EAC协商认证方式，并完成对身份的认证过程。

认证方式的协商过程由业务实体发起，业务实体将自身身份标识携带在认证请求消息中并发送给EAC。EAC根据本地预设策略和该业务实体签约信息，选择一种认证方式，并将该认证方式及相应信息返回给发起认证请求的业务实体，该业务实体向EAC发送确认信息表示协商过程结束；

业务实体与EAC间按照协商的认证方式进行认证，该认证是双向的。认证结束后，请求认证的业务实体和EAC共享一个密钥即共享密钥Ks，并且EAC将根据请求认证的业务实体的签约信息给该业务实体分配临时身份标识以及相应的有效期：1)若该请求认证的业务实体是SS，则EAC向该SS分配一个中间业务请求标识(ISR-ID)；2)若该请求认证的业务实体是SP，则EAC向该SP分配一个中间认证查询标识(IAC-ID)；3)若该请求认证的业务实体是SSP，那么EAC向该SSP分配一个ISR-ID和一个IAC-ID；认证建立的信任关系存在一个有效期，当过了有效期，业务实体需要与EAC之间进行重认证过程，建立新的信任关系。

业务实体与EAC完成认证后，EAC将分配的临时身份标识以及有效期发送给请求认证的业务实体，此后该业务实体与EAC之间的通信采用认证过程生成的业务实体与EAC间的共享密钥Ks进行保护.

在业务请求实体完成到EAC的认证过程后，便可向业务提供实体请求业务。SP或SSP收到业务请求消息后，如果SP或SSP已经完成到EAC的认证过程并获得有效的IAC-ID或ISR-ID和IAC-ID，便可将业务请求实体的ISR-ID以及自身的IAC-ID携带在查询请求消息中，向EAC查询业务请求实体的认证情况；否则，SP或SSP应先到EAC进行认证以及密钥协商过程后，才能向EAC请求查询业务请求实体的认证情况。

EAC收到查询请求后，首先根据业务请求实体的ISR-ID以及业务提供实体的IAC-ID或ISR-ID和IAC-ID，查询二者有没有相应的权限，然后根据二者的相关信息，利用业务请求实体与EAC协商的共享密钥Ks及认证方式的加密算法为二者计算一个用于保护业务请求实体和业务提供实体之间业务通信的衍生密钥，并将该衍生密钥发送给业务提供实体。与此同时，业务请求实体也利用业务请求实体与EAC协商的共享密钥Ks以及协商后得到的认证方式的加密算法计算得到衍生密钥。这样，在业务请求实体与业务提供实体均获得相同的衍生密钥，并利用该衍生密钥对相互间的通信进行保护。

图1所示的通用认证框架适用的范围很广，可以适用于各种不同的业务实体。在实际应用中，不同的业务可能有不同的安全需求，比如高安全级别的业务要求业务提供实体与业务请求实体之间的通信具有足够的安全性，通信的安全程度不仅取决于认证方式即认证协议以及加密算法的安全，还取决于所采用的密钥的安全性。

通用鉴权框架中，业务实体之间信任的建立是以业务实体与EAC之间的信任为基础的，业务实体之间通信采用的衍生密钥是利用业务实体与EAC协商的共享密钥Ks计算得到的，要生成高安全等级的衍生密钥，需要Ks也具有较高的安全性。因此，要求EAC能够对业务实体提供不同安全强度的认证，并且生成不同安全等级的共享密钥Ks，从而为实体间通信提供不同安全等级的衍生密钥。而现有的通用鉴权框架未对EAC与业务实体间的认证与密钥协商划分安全等级，使EAC不能为业务实体提供不同安全等级的认证，从而得不到符合业务安全等级需求的衍生密钥，也不便于运营商对不同安全等级需求的业务进行更合理、更精确的计费，不能很好地适应业务发展的需求。

发明内容

有鉴于此，本发明的主要目的在于提供一种实体认证中心实现认证的方法，能够为业务实体提供不同安全等级的认证，符合业务安全等级需求，很好地适应业务发展的需求。

为达到上述目的，本发明的技术方案具体是这样实现的：

一种实体认证中心EAC实现认证的方法，请求认证的业务实体已与所述EAC存在签约关系并存储签约信息，在所述EAC中设置安全等级与不同认证方式的对应关系，该方法包括以下步骤：

A.所述EAC获取所述业务实体要求的认证的安全等级，并根据获得的安全等级、所述对应关系以及所述业务实体的签约信息，获取所述EAC与业务实体均支持的且符合所述安全等级的认证方式；

B.所述EAC与业务实体按照获得的认证方式进行认证并协商生成共享密钥，所述EAC为生成的共享密钥分配安全等级、为所述业务实体分配认证相关信息；

C.分别在所述EAC和业务实体中关联存储所述认证相关信息、共享密钥和该共享密钥的安全等级。

步骤A中所述获取业务实体要求的认证的安全等级的方法为：所述业务实体选定要求的认证的安全等级后上报给所述EAC。

在所述EAC或用于存储签约数据的已有实体签约数据库ESD中设置用于存储安全等级与不同业务类型的对应关系的业务安全等级列表，步骤A中所述获取所述业务实体要求的认证的安全等级的方法为：

所述业务实体向EAC提供公开身份标识UID，所述EAC根据该UID确定业务类型，并通过查询所述业务安全等级列表，获取该业务类型对应的安全等级。

在所述EAC或实体签约数据库ESD中设置用于存储安全等级与不同业务类型的对应关系的业务安全等级列表，步骤A中所述获取所述业务实体要求的认证的安全等级的方法为：

若所述业务实体选定要求的认证的第一安全等级后上报给EAC；

同时所述EAC根据所述业务实体上报的公开身份标识UID确定业务类型，并通过查询所述业务安全等级列表，获取该业务类型对应的第二安全等级；

则所述EAC选择第一安全等级与第二安全等级中等级较高的一个安全等级作为所述业务实体要求的认证的安全等级。

所述业务实体选定要求的认证的安全等级的方法为：选择所述业务实体通过预设用户界面设置的安全等级、或选择业务所需求的安全等级、或选择所述业务实体通过预设用户界面设置的安全等级和业务所需求的安全等级中较高的一个安全等级。

步骤A中，所述获取EAC与业务实体均支持的符合所述安全等级的认证方式的方法为：

A1.所述EAC根据所述业务实体要求的安全等级，根据所述对应关系，获得符合该安全等级需求的EAC支持的认证方式；根据所述签约信息，确定该业务实体支持的认证方式；

A2.所述EAC从自身支持的且符合该安全等级的认证方式中，选择所述EAC和该业务实体双方均支持的认证方式，并将该双方支持的认证方式返回给请求认证的业务实体。

所述业务实体要求的安全等级信息携带在认证请求消息中。

所述认证请求消息中还携带有所述请求认证的业务实体的私有身份标识PID，步骤A1中，所述根据所述签约信息，确定该业务实体支持的认证方式的方法为：

所述EAC根据所述PID，查询所述签约信息，获取与所述PID关联的签约信息，并从该签约信息中获得所述业务实体支持的认证方式。

步骤A2中，若在所述EAC支持的且符合该安全等级认证方式中，未能获得所述EAC和该业务实体双方均支持的认证方式，则所述EAC向请求认证的业务实体返回错误指示，结束本流程。

所述步骤A2之后，该方法还包括：所述请求认证的业务实体向EAC返回确认响应消息。

所述步骤C具体包括：

C1.所述EAC将所述共享密钥、分配的该共享密钥的安全等级及所述认证相关信息发送给请求认证的业务实体；

C2.所述请求认证的业务实体接收来自EAC的认证相关信息和该共享密钥的安全等级，并与协商生成的共享密钥关联存储。

所述认证相关信息包括：所述请求认证的业务实体的临时身份标识，及所述共享密钥的有效期。

所述签约信息存储在实体签约数据库ESD中。

所述请求认证的业务实体为：业务请求实体或业务提供实体；

所述业务请求实体为业务请求者SS或业务请求/提供者SSP；

所述业务提供实体为业务提供者SP或业务请求/提供者SSP。

步骤A中，所述获取安全等级之后，获取认证方式之前，该方法进一步包括：

a1.若所述EAC通过查询与获得的安全等级关联存储的信息，能获得所述UID对应的业务提供实体的临时身份标识；且通过查找与所述安全等级关联存储的所述请求认证的业务实体的所有临时身份标识且判定存在符合该业务安全等级需求的临时身份标识，则进入步骤b1；否则，继续执行步骤A，直至执行完步骤C后进入步骤b1；

b1.所述EAC和所述请求认证的业务实体分别根据与所述安全等级对应的请求认证的业务实体的临时身份标识关联存储的共享密钥及相关信息生成衍生密钥；

c1.所述EAC将所述请求认证的业务实体的临时身份标识，及与该临时身份标识关联的共享密钥的有效期发送给所述请求认证的业务实体；所述EAC将生成的衍生密钥和请求认证的业务实体的临时身份标识发送给所述业务提供实体。

该方法还包括：所述业务提供实体向EAC返回确认响应消息。

该方法还包括：业务请求实体向业务提供实体申请业务时，若该业务提供实体中保存有与该业务请求实体的临时身份标识关联的衍生密钥，则该业务请求实体与业务提供实体使用所述衍生密钥保护双方的业务通信。

在所述EAC或ESD中设置用于存储安全等级与不同业务类型的对应关系的业务安全等级列表，该方法还包括：

a2.业务请求实体将自身临时身份标识及申请的业务对应的UID携带在业务请求中，向业务提供实体申请业务服务；

b2.所述业务提供实体根据接收到的UID，查询所述业务安全等级列表获得与该UID对应的安全等级，并确定业务请求中携带的安全等级符合该UID对应的安全等级需求；

c2.根据所述业务提供者的查询请求，所述EAC验证业务请求实体合法后，所述EAC根据与所述业务请求实体的临时身份标识关联的共享密钥及相关信息，生成符合所述安全等级需求的衍生密钥并发送给所述业务提供实体；所述业务请求实体利用与所述自身临时身份标识关联存储的共享密钥及相关信息生成符合所述安全等级需求的衍生密码；

d2.所述业务请求实体接收到来自业务提供实体的请求成功响应后，所述业务请求实体与业务提供实体间使用所述衍生密钥保护的业务通信。

步骤b2中，若所述业务请求中携带的安全等级低于所述UID对应的安全等级需求，则该方法还包括：

b21.所述业务提供实体向业务请求实体返回该业务请求实体申请的业务所需的安全等级；

b22.所述业务请求实体根据自身存储的关联信息查找符合该安全等级需求的共享密钥关联的临时身份标识和其它相关信息并返回给所述业务提供实体。

在所述临时身份标识中设置存储安全等级的安全等级字段，步骤b2中，所述的安全等级携带在所述业务请求中携带的临时身份标识的安全等级字段中。

步骤c2中，所述验证业务请求实体合法的方法为：

c21.所述业务提供实体将自身的临时身份标识，业务请求实体的临时身份标识发送给所述EAC；

c22.所述EAC通过查询自身是否存储有与所述业务请求实体的临时身份标识关联存储的信息，若存储有，则验证出业务请求实体是合法的；否则，业务请求实体是不合法的。

步骤c21中，所述业务提供实体还进一步将所述UID发送给EAC，步骤c22还包括：

所述EAC根据接收到的UID查询所述业务安全等级列表获得该UID对应的安全等级，根据所述对应关系中获取与该UID对应的安全等级，并进一步获得与该安全等级关联保存的共享密钥和临时身份标识，若获得的临时身份标识与所述业务提供实体的临时身份标识一致，则所述业务请求实体的安全等级符合业务的安全等级要求；否则，所述EAC向业务提供实体返回认证查询失败响应，所述业务提供实体向所述业务请求实体发送业务请求失败响应。

所述安全等级与不同认证方式的对应关系存储于安全等级数据库中。

由上述技术方案可见，本发明通过在认证过程中，按照业务要求的安全等级选择符合该安全等级需求的认证方式，在EAC与请求认证的业务实体间进行认证，并为建立认证后协商生成的共享密钥分配安全等级。本发明对EAC与业务实体间的认证与密钥协商划分了安全等级，使EAC为业务实体提供了不同安全等级的认证，方便了运营商对不同安全等级需求的业务采取不同的计费策略进行计费，很好地适应了业务发展的需求。

本发明方法进一步地，在请求业务过程中，通信双方可以采用符合当前业务安全等级要求的共享密钥为业务实体间通信提供符合业务安全等级需求的衍生密钥，保证了不同业务实体间不同业务的通信建立不同安全级别的信任关系。

附图说明

图1是现有技术端到端通信认证架构的示意图；

图2是本发明EAC实现认证的流程图；

图3是本发明业务实体向EAC请求认证的实施例的流程图；

图4是本发明SS与SP之间实现业务通信的实施例一的流程图；

图5是本发明SS与SP之间实现业务通信的实施例二的流程图。

具体实施方式

本发明的核心思想是：实体认证中心获取请求认证的业务实体要求的安全等级，并根据获得的安全等级、预设安全等级与不同认证方式的对应关系的以及该业务实体的签约信息，获取实体认证中心与该业务实体均支持的且符合所要求的安全等级的认证方式；实体认证中心与该业务实体按照所获取的认证方式进行认证并协商生成共享密钥后，实体认证中心为生成的共享密钥分配安全等级、为请求认证的业务实体分配认证相关信息，并将所述认证相关信息、共享密钥和该共享密钥的安全等级关联存储在实体认证中心和该业务实体中.

为使本发明的目的、技术方案及优点更加清楚明白，以下参照附图并举较佳实施例，对本发明进一步详细说明。

图2是本发明EAC实现认证的流程图，在EAC中设置安全等级与不同认证方式的对应关系，该对应关系可以存储在一安全等级数据库中；假设请求认证的业务实体已经与网络存在签约关系并将签约信息存储于ESD中，本发明方法包括以下步骤：

步骤200：EAC获取请求认证的业务实体要求的认证的安全等级，并根据获得的安全等级，查询所述安全等级数据库选择符合该安全等级需求的EAC支持的认证方式；并根据该业务实体的签约信息选择该业务实体支持的认证方式。

获取请求认证的业务实体要求的认证的安全等级的方法为：由请求认证的业务实体选定后上报给EAC，或由EAC来选择，具体实现如下：

如果安全等级由业务实体选定后上报给EAC，则EAC按照上报的安全等级查询预设安全等级数据库，获得该安全等级对应的EAC支持的认证方式。比如可以将认证方式按照安全等级分为：高、较高、一般、低四种安全等级等。本发明中所述认证方式包括认证协议和加密算法。认证协议、加密算法可以通过简单的字段来表示，比如用一个英文字母a加一个4bit的数字字段来表示认证方式，如a0001表示基于用户业务身份模块(USIM)的3G认证与密钥协商(AKA)、a0010表示基于用户身份模块(SIM)的鉴权、a0011表示SIM与传输层安全(TLS)相结合的鉴权、a0100表示基于公私钥鉴权加DH密钥交换等；一个英文字母k加一个4bit的数字字段来表示加密算法，如k0001表示高级加密标准-256(AES-256)算法、k0010表示AES-128算法、k0011表示公钥加密-2048(RSA-2048)算法、k0100表示RSA-1024算法、k0101表示数据加密标准-64(DES-64)算法等；

如果安全等级由EAC选择，则业务实体在认证请求中应携带业务提供实体的公开身份标识(UID，Public Identity)，EAC根据该UID确定业务类型，并查询预设业务安全等级列表，获取该业务类型对应的安全等级，然后根据获得的安全等级查询安全等级数据库，获得符合请求认证的业务实体上报的安全等级需求的EAC支持的认证方式。其中，UID用于与其它业务实体联系的身份标识，同一业务实体可以提供不同的业务，不同类型的业务对应不同的UID，即通过UID能够区分出不同的业务类型；业务安全等级列表用于存储安全等级与不同业务类型的对应关系，可预设在EAC或ESD中。

如果业务实体和EAC都选择了业务安全等级，则选择安全等级较高的一个安全等级作为当前安全等级，然后根据当前安全等级查询安全等级数据库获取符合当前安全等级需求的EAC支持的认证方式。

同时，EAC根据ESD中存储有的该请求认证的业务实体的签约信息，确定该业务实体支持的认证方式。一般业务实体请求认证时，都会将自身PID提供给EAC，EAC根据该PID从ESD中查询该PID关联的签约信息，并从该签约信息中获得该业务实体支持的认证方式等。

步骤201：EAC从符合该安全等级需求的自身支持的认证方式中，选择EAC和该业务实体双方均支持的认证方式，并将该认证方式返回给请求认证的业务实体.

EAC从所述业务实体支持的认证方式中选择自身同时也支持的且符合请求认证的业务实体要求的安全等级需求的认证方式。

如果在所述该业务实体支持的认证方式中，EAC未能获得自身也支持的符合请求认证的业务实体要求的安全等级需求的认证方式，则EAC向请求认证的业务实体返回错误指示，指示此次认证失败。

步骤202：EAC与请求认证的业务实体间通过所述双方支持的认证方式进行互认证并协商生成共享密钥，EAC为生成的共享密钥分配安全等级、为请求认证的业务实体分配认证相关信息，如临时身份标识及共享密钥的有效期，将所述认证相关信息、有效期和该共享密钥的安全等级关联存储，并将所述认证相关信息和该共享密钥的安全等级发送给请求认证的业务实体。

本步骤中EAC与请求认证的业务实体间的互认证过程以及协商生成共享密钥Ks的过程与现有技术完全一致，这里强调的是，本发明中EAC与请求认证的业务实体之间是利用符合要求的安全等级的认证方式进行的认证，并且，本发明会为协商生成的共享密钥Ks分配该共享密钥的安全等级即Ks安全等级。

可以通过下面两种方法来标识Ks安全等级：一种方法是采用一个单独的安全等级字段来表示Ks安全等级，比如安全等级字段中写入0表示安全等级为高、写入1表示安全级别为较高、写入2表示安全级别为一般、写入3表示安全级别为低等；另一种方法是为用户分配一个可以区分出Ks安全等级的临时身份标识，即不同的临时身份标识代表不同的安全等级，比如安全等级为高的共享密钥Ks对应的临时身份标识包含字符“HIG”，比如：可将一个高安全等级的共享密钥Ks对应的临时身份标识为：HIG.RAND@operator.com。

每个业务实体与EAC可能共享多个共享密钥Ks，各共享密钥Ks可以对应不同的安全等级。

步骤203：请求认证的业务实体接收来自EAC的认证相关信息和该共享密钥的安全等级并与共享密钥关联存储。

执行完本发明方法后，针对不同业务需求，在EAC和请求认证的业务实体中均保存了对应的临时身份标识、共享密钥、有效期和该共享密钥的安全等级，以便在业务请求中针对不同业务的安全需求采用不同安全等级的共享密钥生成的衍生密钥对通信进行保护。

在图2所示认证方法的基础上，本发明方法还进一步包括：

业务请求实体向业务提供实体申请业务服务时，业务请求实体首先要查询自身是否已经保存了符合当前业务的安全等级需求的共享密钥Ks。业务对Ks安全等级的需求可以是业务提供实体向业务请求实体指示的业务要求的安全等级；也可以是业务请求实体通过其它方式在申请业务服务之前获得的，比如业务请求实体自身保存有业务安全等级列表，这样在业务请求实体请求某项业务之前通过查询该业务安全等级列表，获得要申请的业务的安全等级需求。

如果业务请求实体检查自身存在要申请的业务所需的Ks安全等级，则业务请求实体将该Ks安全等级关联的临时身份标识发送给业务提供者.如果业务请求实体检查自身不存在要申请的业务所需的Ks安全等级，则业务请求实体与EAC重新协商并分配一个符合当前要申请的业务所需的安全等级的Ks安全等级，然后将该Ks安全等级对应的临时身份标识发送给业务提供实体.

业务提供实体在接收到来自业务请求实体的所述Ks安全等级对应的临时身份标识之后，可通过下述方法一获得共享密钥Ks的衍生密钥：

方法一：业务提供实体将自身的临时身份标识和UID、业务请求实体的临时身份标识以及Ks安全等级发送给EAC，EAC验证业务请求实体的合法性，比如检查临时身份标识的有效性，Ks安全等级是否属实等，如果合法，则根据与业务请求实体的临时身份标识关联的共享密钥Ks生成业务请求实体与业务提供实体通信用的衍生密钥，并返回给业务提供实体。如果不合法，则EAC向业务提供实体返回错误信息。

另外，如果业务请求实体向EAC发送认证请求消息时，在该认证请求消息中除了携带该业务请求实体的PID外，还携带有所申请的业务对应的UID，则可由EAC根据业务安全等级列表查询获得该UID对应的安全等级即UID对应的业务提供实体已经完成在EAC的认证过程，再查询与该安全等级关联的业务请求实体的临时身份标识和共享密钥，通过该共享密钥计算出衍生密钥后直接推送(Push)给业务提供实体。

同时，业务请求实体根据申请的业务的安全等级对应的共享密钥Ks生成衍生密钥，这样，业务请求实体和业务提供实体间采用符合当前业务安全等级要求的衍生密钥对通信进行保护，保证了不同业务实体间不同业务的通信建立不同安全级别的信任关系。

图3是本发明业务实体向EAC请求认证的实施例的流程图，本实施例中假设通过请求认证的业务实体选择认证的安全等级要求，请求认证的业务实体已经与网络存在签约关系并将签约信息存储于ESD中，该方法包括以下步骤：

步骤300～步骤301：请求认证的业务实体选择认证方式的安全等级，将选定的安全等级及该业务实体的PID携带在认证请求消息中发送给EAC。

请求认证的业务实体选择认证的安全等级的方法可以是：对于业务请求实体，可以选择业务请求实体通过预设用户界面设置的安全等级、或者选择业务所需求的安全等级、或者选择业务实体通过预设用户界设置的和业务所需求的安全等级中较高的一个安全等级；对于业务提供实体，选择业务所需求的安全等级。

业务实体获得业务对Ks安全等级的需求的方式，可以是业务请求实体向业务提供实体请求业务服务时，由业务提供实体返回相应Ks安全等级信息给业务请求实体；也可以是业务实体在请求认证之前通过其它方式获得，比如业务实体通过自身保存的业务安全等级列表，查询某项业务对应的Ks安全等级的需求。

该认证请求消息中还可以携带业务实体的鉴权能力信息即支持的认证方式；另外，如果采用EAC选择认证方式的安全等级的方式，则该认证请求消息中还携带所要访问的业务的UID。

步骤302～步骤303：EAC根据请求认证的业务实体的PID在ESD存储的签约信息中查询该业务实体支持的认证方式，包括认证协议、加密算法和其它相关参数，并将获得的该业务实体支持的认证方式返回给EAC。

步骤304～步骤305：匹配EAC与所述业务实体均支持的认证方式。EAC从所述业务实体支持的认证方式中，选择自身和该业务实体双方均支持的认证方式，并将该双方均支持的认证方式返回给请求认证的业务实体。

EAC查询自身存储的安全等级数据库，选择符合请求认证的业务实体要求的安全等级需求的认证方式，EAC从所述业务实体支持的认证方式中选择自身同时也支持的认证方式.

如果在所述该业务实体支持的认证方式中，EAC未能获得自身也支持的符合请求认证的业务实体要求的安全等级需求的认证方式，则EAC向请求认证的业务实体返回错误指示，指示此次认证失败。

步骤306：请求认证的业务实体接收到来自EAC的符合当前安全等级需求的认证方式后，向EAC返回确认响应消息。

本步骤可以省略。

步骤307～步骤308：EAC与请求认证的业务实体间通过所述双方支持的认证方式进行互认证并协商生成共享密钥Ks，EAC为生成的共享密钥分配Ks安全等级、为请求认证的业务实体分配临时身份标识及共享密钥Ks的有效期，将所述临时身份标识、共享密钥Ks、有效期和该共享密钥的Ks安全等级关联存储并发送给请求认证的业务实体。请求认证的业务实体接收来自EAC的所述临时身份标识、共享密钥Ks的有效期和该共享密钥的Ks安全等级并于共享密钥Ks关联存储。

在上述业务实体实现认证的基础上，以SS向SP请求业务为例，结合图4和图5所示的两个实施例流程图，具体描述SS与SP之间实现业务通信的方法。

实施例一，通过SS向SP发送业务请求消息来实现SS与SP之间的业务通信，图4是本发明SS与SP之间实现业务通信的实施例一的流程图，具体包括以下步骤：

步骤400：SS向SP发送业务请求消息，该业务请求消息中携带有SS的临时身份标识及SS申请的业务对应的UID。

本步骤中，假设临时身份标识中设置有存储SS要求的安全等级的安全等级字段，SS可通过自身保存的业务安全等级列表，查找所请求业务对应的安全等级需求，并找到符合该安全等级的共享密钥Ks关联的临时身份标识。

若临时身份标识中未设置安全等级字段，在所述业务请求消息中还应携带共享密钥Ks对应的安全等级信息。

步骤401：SP根据接收到的UID，查询自身预设的业务安全等级列表获得与该UID对应的业务的安全等级需求，并判断来自SS的临时身份标识中携带的安全等级是否符合当前申请业务的安全等级需求，若符合，则进入步骤405；否则，进入步骤402。

若SS的临时身份标识中携带的安全等级高于或等于所述UID对应的安全等级需求，则表明符合；否则，不符合。本实施例中，假设SS的临时身份标识中携带的安全等级符合当前申请业务的安全等级需求。

步骤402～步骤404：SP向SS返回SS申请的业务所需的安全等级指示；SS根据自身存储的关联信息查找符合该安全等级需求的共享密钥Ks关联的临时身份标识和其它相关信息，并向SP返回与共享密钥Ks关联的临时身份标识。

如果SS找不到符合安全等级需求的Ks，则需要重新到EAC协商一个符合安全等级需求的Ks。

步骤405：SP向EAC发送查询请求，将自身的临时身份标识，SS的临时身份标识发送给EAC，以查询SS的认证情况即SS的临时身份标识的有效性。

EAC收到查询请求后，通过查询自身存储的关联信息，检查SS的Ks安全等级需求是否符合业务的要求，即SS要求的安全等级需求与SS申请的业务之间是否关联.

如果Ks安全等级可以根据临时身份标识确定即临时身份标识中设置有安全等级字段，那么检查的工作可以由SP来进行，也可以由EAC来进行；如果安全等级与临时身份标识相互独立存在，那么只能由EAC来进行。

步骤406：EAC验证SS合法后，并利用与接收到的SS的临时身份标识关联的共享密钥Ks及相关信息生成衍生密钥。与此同时，SS利用与发送给SP的临时身份标识关联的共享密钥Ks及相关信息生成衍生密钥。

EAC通过查询自身是否存储有与SS的临时身份标识关联存储的信息，若存储有，则验证出SS是合法的；否则，SS是不合法的。本实施例中，假设对SS的验证是合法的。

若步骤405中，SP同时将当前UID发送给EAC，EAC还可能检查SS发送的安全等级是否符合业务的要求，具体包括：EAC根据接收到的UID查询自身业务安全等级列表获得该UID对应的安全等级需求，在安全等级数据库中获取与该UID对应的Ks安全等级，并进一步获得与该Ks安全等级关联保存的共享密钥Ks和临时身份标识，如果此时获得的临时身份标识与来自SP的临时身份标识一致，则说明SS的Ks安全等级需求符合业务的要求；否则，EAC向SP返回认证查询失败响应，并指明失败原因，比如，临时身份标识与安全等级需求不匹配，并指示SS重新向EAC发起该安全等级的认证请求，以获得满足该安全等级要求的新的共享密钥Ks和临时身份标识等信息。

步骤407：EAC将生成的用于保护业务通信的衍生密钥下发给SP。

步骤408：SP保存接收到的衍生密钥并向SS返回业务请求成功响应。

需要说明的是，若SP收到来自EAC的认证查询失败响应，则SP向SS返回相应的业务请求失败响应。本实施例中，假设SP向SS返回业务请求成功响应。

步骤409：SS收到业务请求成功响应后，SS、SP使用衍生密钥进行业务通信。

实施例二，通过SS向EAC发送认证请求消息来实现SS与SP之间的业务通信，图5是本发明SS与SP之间实现业务通信的实施例二的流程图，具体包括以下步骤：

步骤500：SS向EAC发送认证请求消息时，在认证请求消息中，同时携带有SS的PID以及申请的业务对应的UID。

该认证请求消息中还可以携带业务实体的鉴权能力信息即支持的认证方式。

步骤501：EAC收到认证请求消息后，查询预设业务安全等级列表获得与接收到的UID对应的安全等级，若通过与安全等级关联存储的信息，能获得SP的临时身份标识，则表明SP已完成在EAC的认证，是合法的；另外，通过UID对应的业务安全等级，查找与该安全等级关联存储的SS的所有临时身份标识且判断是否存在符合该业务安全等级需求的有效标识，若存在，则进入步骤509；否则，执行步骤502～步骤508，重新对S S进行认证。

本实施例中，假设EAC中存储有与所述UID对应的安全等级关联存储的SS的临时身份标识。

步骤502～步骤504：EAC根据所述UID对应的安全等级，选择符合该安全等级需求的EAC支持的认证方式；EAC根据SS的PID从存储于ESD的签约信息中获取SS支持的认证方式，即SS支持的认证协议、加密算法和其它相关参数。

步骤505～步骤507：匹配EAC与SS均支持的认证方式.EAC从符合该安全等级需求的自身支持的认证方式中，选择EAC和SS双方均支持的认证方式，并将该认证方式返回给SS，SS收到认证方式后，向EAC返回确认响应消息.

如果不存在二者均支持的符合该安全等级的认证方式，则EAC向SS返回错误指示。

步骤508：SS和EAC利用所选的认证方式进行互认证，认证成功后，双方获得共享密钥Ks，并且在EAC和SS分别利用生成的共享密钥Ks以及其它参数计算出衍生密钥。

步骤509：EAC向SS返回认证成功响应，响应中携带符合当前业务安全需求的SS的ISR-ID，共享密钥Ks的有效期。EAC和SS均将共享密钥Ks、SS的ISR-ID、有效期以及相应的安全等级关联保存。

步骤510：EAC将生成的衍生密码及SS的ISR-ID发送给UID对应的业务的SP，SP将收到的衍生密码及SS的ISR-ID关联存储，并可以向EAC返回确认响应消息。

步骤511：当SS向SP申请业务时，若该SP中已经保存了与SS的ISR-ID关联的衍生密钥，那么SS与SP可以使用与该SS的ISR-ID关联的衍生密钥来保护双方的业务通信。

以上所述，仅为本发明的较佳实施例而已，并非用于限定本发明的保护范围，凡在本发明的精神和原则之内所做的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (23)

1.一种实体认证中心EAC实现认证的方法，请求认证的业务实体已与所述EAC存在签约关系并存储签约信息，其特征在于，在所述EAC中设置安全等级与不同认证方式的对应关系，该方法包括以下步骤：

A.所述EAC获取所述业务实体要求的认证的安全等级，并根据获得的安全等级、所述对应关系以及所述业务实体的签约信息，获取所述EAC与业务实体均支持的且符合所述安全等级的认证方式；

B.所述EAC与业务实体按照获得的认证方式进行认证并协商生成共享密钥，所述EAC为生成的共享密钥分配安全等级、为所述业务实体分配认证相关信息；

C.分别在所述EAC和业务实体中关联存储所述认证相关信息、共享密钥和该共享密钥的安全等级。

2.根据权利要求1所述的方法，其特征在于，步骤A中所述获取业务实体要求的认证的安全等级的方法为：所述业务实体选定要求的认证的安全等级后上报给所述EAC。

3.根据权利要求1所述的方法，其特征在于，在所述EAC或用于存储签约数据的已有实体签约数据库ESD中设置用于存储安全等级与不同业务类型的对应关系的业务安全等级列表，步骤A中所述获取所述业务实体要求的认证的安全等级的方法为：

所述业务实体向EAC提供公开身份标识UID，所述EAC根据该UID确定业务类型，并通过查询所述业务安全等级列表，获取该业务类型对应的安全等级。

4.根据权利要求1所述的方法，其特征在于，在所述EAC或实体签约数据库ESD中设置用于存储安全等级与不同业务类型的对应关系的业务安全等级列表，步骤A中所述获取所述业务实体要求的认证的安全等级的方法为：

若所述业务实体选定要求的认证的第一安全等级后上报给EAC；

同时所述EAC根据所述业务实体上报的公开身份标识UID确定业务类型，并通过查询所述业务安全等级列表，获取该业务类型对应的第二安全等级；

则所述EAC选择第一安全等级与第二安全等级中等级高的一个安全等级作为所述业务实体要求的认证的安全等级。

5.根据权利要求2或4所述的方法，其特征在于，所述业务实体选定要求的认证的安全等级的方法为：选择所述业务实体通过预设用户界面设置的安全等级、或选择业务所需求的安全等级、或选择所述业务实体通过预设用户界面设置的安全等级和业务所需求的安全等级中较高的一个安全等级。

6.根据权利要求1所述的方法，其特征在于，步骤A中，所述获取EAC与业务实体均支持的符合所述安全等级的认证方式的方法为：

A1.所述EAC根据所述业务实体要求的安全等级，根据所述对应关系，获得符合该安全等级需求的EAC支持的认证方式；根据所述签约信息，确定该业务实体支持的认证方式；

A2.所述EAC从自身支持的且符合该安全等级的认证方式中，选择所述EAC和该业务实体双方均支持的认证方式，并将该双方支持的认证方式返回给请求认证的业务实体。

7.根据权利要求6所述的方法，其特征在于，所述业务实体要求的安全等级信息携带在认证请求消息中。

8.根据权利要求7所述的方法，其特征在于，所述认证请求消息中还携带有所述请求认证的业务实体的私有身份标识PID，步骤A1中，所述根据所述签约信息，确定该业务实体支持的认证方式的方法为：

所述EAC根据所述PID，查询所述签约信息，获取与所述PID关联的签约信息，并从该签约信息中获得所述业务实体支持的认证方式。

9.根据权利要求6所述的方法，其特征在于，步骤A2中，若在所述EAC支持的且符合该安全等级认证方式中，未能获得所述EAC和该业务实体双方均支持的认证方式，则所述EAC向请求认证的业务实体返回错误指示，结束本流程。

10.根据权利要求6所述的方法，其特征在于，所述步骤A2之后，该方法还包括：所述请求认证的业务实体向EAC返回确认响应消息。

11.根据权利要求1所述的方法，其特征在于，所述步骤C具体包括：

C1.所述EAC将所述共享密钥、分配的该共享密钥的安全等级及所述认证相关信息发送给请求认证的业务实体；

C2.所述请求认证的业务实体接收来自EAC的认证相关信息和该共享密钥的安全等级，并与协商生成的共享密钥关联存储。

12.根据权利要求1或11所述的方法，其特征在于，所述认证相关信息包括：所述请求认证的业务实体的临时身份标识，及所述共享密钥的有效期。

13.根据权利要求1所述的方法，其特征在于，所述签约信息存储在实体签约数据库ESD中。

14.根据权利要求1所述的方法，其特征在于，所述请求认证的业务实体为：业务请求实体或业务提供实体；

所述业务请求实体为业务请求者SS或业务请求/提供者SSP；

所述业务提供实体为业务提供者SP或业务请求/提供者SSP。

15.根据权利要求3或4所述的方法，其特征在于，步骤A中，所述获取安全等级之后，获取认证方式之前，该方法进一步包括：

a1.若所述EAC通过查询与获得的安全等级关联存储的信息，能获得所述UID对应的业务提供实体的临时身份标识；且通过查找与所述安全等级关联存储的所述请求认证的业务实体的所有临时身份标识且判定存在符合该业务安全等级需求的临时身份标识，则进入步骤b1；否则，继续执行步骤A，直至执行完步骤C后进入步骤b1；

b1.所述EAC和所述请求认证的业务实体分别根据与所述安全等级对应的请求认证的业务实体的临时身份标识关联存储的共享密钥及相关信息生成衍生密钥；

c1.所述EAC将所述请求认证的业务实体的临时身份标识，及与该临时身份标识关联的共享密钥的有效期发送给所述请求认证的业务实体；所述EAC将生成的衍生密钥和请求认证的业务实体的临时身份标识发送给所述业务提供实体。

16.根据权利要求15所述的方法，其特征在于，该方法还包括：所述业务提供实体向EAC返回确认响应消息。

17.根据权利要求15或16所述的方法，其特征在于，该方法还包括：业务请求实体向业务提供实体申请业务时，若该业务提供实体中保存有与该业务请求实体的临时身份标识关联的衍生密钥，则该业务请求实体与业务提供实体使用所述衍生密钥保护双方的业务通信。

18.根据权利要求16所述的方法，其特征在于，在所述EAC或ESD中设置用于存储安全等级与不同业务类型的对应关系的业务安全等级列表，该方法还包括：

a2.业务请求实体将自身临时身份标识及申请的业务对应的UID携带在业务请求中，向业务提供实体申请业务服务；

b2.所述业务提供实体根据接收到的UID，查询所述业务安全等级列表获得与该UID对应的安全等级，并确定业务请求中携带的安全等级符合该UID对应的安全等级需求；

c2.根据所述业务提供者的查询请求，所述EAC验证业务请求实体合法后，所述EAC根据与所述业务请求实体的临时身份标识关联的共享密钥及相关信息，生成符合所述安全等级需求的衍生密钥并发送给所述业务提供实体；所述业务请求实体利用与所述自身临时身份标识关联存储的共享密钥及相关信息生成符合所述安全等级需求的衍生密码；

d2.所述业务请求实体接收到来自业务提供实体的请求成功响应后，所述业务请求实体与业务提供实体间使用所述衍生密钥保护的业务通信。

19.根据权利要求18所述的方法，其特征在于，步骤b2中，若所述业务请求中携带的安全等级低于所述UID对应的安全等级需求，则该方法还包括：

b21.所述业务提供实体向业务请求实体返回该业务请求实体申请的业务所需的安全等级；

b22.所述业务请求实体根据自身存储的关联信息查找符合该安全等级需求的共享密钥关联的临时身份标识和其它相关信息并返回给所述业务提供实体。

20.根据权利要求18所述的方法，其特征在于：在所述临时身份标识中设置存储安全等级的安全等级字段，步骤b2中，所述的安全等级携带在所述业务请求中携带的临时身份标识的安全等级字段中。

21.根据权利要求18所述的方法，其特征在于，步骤c2中，所述验证业务请求实体合法的方法为：

c21.所述业务提供实体将自身的临时身份标识，业务请求实体的临时身份标识发送给所述EAC；

c22.所述EAC通过查询自身是否存储有与所述业务请求实体的临时身份标识关联存储的信息，若存储有，则验证出业务请求实体是合法的；否则，业务请求实体是不合法的。

22.根据权利要求21所述的方法，其特征在于，步骤c21中，所述业务提供实体还进一步将所述UID发送给EAC，步骤c22还包括：

所述EAC根据接收到的UID查询所述业务安全等级列表获得该UID对应的安全等级，根据所述对应关系中获取与该UID对应的安全等级，并进一步获得与该安全等级关联保存的共享密钥和临时身份标识，若获得的临时身份标识与所述业务提供实体的临时身份标识一致，则所述业务请求实体的安全等级符合业务的安全等级要求；否则，所述EAC向业务提供实体返回认证查询失败响应，所述业务提供实体向所述业务请求实体发送业务请求失败响应。

23.根据权利要求1、6或22所述的方法，其特征在于，所述安全等级与不同认证方式的对应关系存储于安全等级数据库中。

Images