CN101132279B - 一种鉴权方法以及鉴权系统 - Google Patents

Abstract

本发明公开了一种鉴权方法，该方法包括：A.UE发起注册请求，呼叫会话控制功能CSCF实体确定建议鉴权方式并发送给归属用户服务器HSS，HSS根据自身保存的用户签约鉴权方式以及接收到的建议鉴权方式选择被选定的鉴权方式，并通知给CSCF实体；B.CSCF实体根据HSS的被选定的鉴权方式确定所使用的鉴权方式，对UE进行鉴权，获得本次鉴权结果。本发明还公开了一种鉴权系统，包括CSCF实体和HSS。本发明能够将多种鉴权方式融合，保证混合组网的正常通信。

Description

一种鉴权方法以及鉴权系统 

技术领域

本发明涉及网络安全技术，尤其涉及一种鉴权方法以及鉴权系统。 

背景技术

在电子与通信技术的快速发展趋势下，人们在分别通过固定网络和移动网络获得良好的服务后，又提出了将上述两种网络相融合的需求。在这种形势下，作为下一代网络的核心技术的因特网协议(IP)多媒体子系统(IMS)应运而生。IMS能够支持固定网络和移动网络用户的接入，并使得固定网络和移动网络之间的界限淡化至消失。从用户的角度而言，IMS使得利用用户设备(UE)等终端来访问、创建、消费和分享数字内容成为可能。 

目前的第三代移动通信标准化伙伴项目(3GPP)协议和高级网络中的电信因特网融合业务及协议(TISPAN)协议都明确规定了终端接入的鉴权方式。在3GPP协议中，可以通过IP多媒体子系统鉴权和密钥协商(IMS-AKA)方式或早期IMS用户(Early-IMS)方式进行鉴权和认证，并且通过会话发起协议(SIP)消息中是否携带有授权(Authorization)头域来确定使用何种鉴权方式；在TISPAN协议中，可以通过IMS-AKA方式、超级文本传输协议摘要鉴权(HTTP Digest)方式或网络接入子系统绑定认证(NBA)方式进行鉴权和认证，并且在服务呼叫会话控制功能(S-CSCF)实体能够识别的情况下，直接将鉴权方式指示给归属用户服务器(HSS)，在S-CSCF实体无法识别的情况下，由HSS决定鉴权方式。可见，3GPP协议并未采纳HTTP摘要鉴权方式和NBA方式，而TISPAN协议并未提及Early-IMS方式，并且每种鉴权方式相互独立。当具有不同鉴权能力的呼叫会话控制功能(CSCF)实体与HSS混合组网时，由于无法将所有的鉴权方 式进行融合，CSCF实体与HSS间无法正常互通，即S-CSCF实体可能无法支持HSS所指示的鉴权方式，从而无法对UE进行鉴权。因此，现有的鉴权方法无法融合多种鉴权方式，限制了混合组网的灵活性，网络服务的质量较低，用户体验较差。 

发明内容

为了解决现有技术中无法融合多种鉴权方式而导致无法对UE进行鉴权的问题，本发明提供一种鉴权方法，目的在于能够融合多种鉴权方式。 

并且，为了解决现有技术中无法融合多种鉴权方式而导致无法对UE进行鉴权的问题，本发明还提供一种鉴权系统，能够融合多种鉴权方式。 

一种鉴权方法，其包括： 

A.UE发起注册请求，呼叫会话控制功能CSCF实体确定建议鉴权方式并发送给归属用户服务器HSS，HSS根据自身保存的用户签约鉴权方式、可获得鉴权参数的鉴权方式以及接收到的建议鉴权方式，选定鉴权方式，并通知给CSCF实体； 

B.CSCF实体根据HSS选定的鉴权方式确定所使用的鉴权方式，对UE进行鉴权，获得本次鉴权结果； 

所述CSCF实体为服务呼叫会话功能S-CSCF实体，步骤A所述确定建议鉴权方式为：所述CSCF实体根据预先设置的建议鉴权方式的确定逻辑以及预先设置的确定因素，确定建议鉴权方式，并为所确定的建议鉴权方式确定优选顺序； 

所述HSS选定鉴权方式为：HSS将接收到的建议鉴权方式放入建议鉴权方式集，将自身保存的用户签约鉴权方式放入用户签约鉴权方式集，并获取建议鉴权方式集和用户签约鉴权方式集的交集，将当前能够获得鉴权参数的鉴权方式放入可获得鉴权参数的鉴权方式集，对建议鉴权方式集和用户签约鉴权方式集的交集与所述可获得鉴权参数的鉴权方式集取交集，将交集中的鉴权方式作为被选定的鉴权方式，并为所选定的鉴权方式确定优先级。 

其中，所述确定因素包括：注册请求是否携带授权头域和/或鉴权算法的参数值和/或是否进行完整性保护。 

其中，所述能够获得鉴权参数的鉴权方式包括：超级文本传输协议摘要鉴权HTTP Digest方式，和/或因特网协议多媒体子系统鉴权和密钥协商IMS-AKA方式，和/或网络接入子系统绑定认证NBA方式，和/或接收到通用分组无线业务网关支持节点GGSN上报的IP地址的早期因特网协议多媒体子系统IMS用户Early-IMS方式。 

其中，步骤A所述发送给HSS为：S-CSCF实体将优选顺序最高的建议鉴权方式携带于多媒体鉴权请求MAR消息的鉴权算法项中，发送给HSS； 

步骤A所述通知给CSCF实体为：HSS将优先级最高的被选定的鉴权方式携带于多媒体鉴权响应MAA消息的鉴权算法项中，发送给S-CSCF实体。 

其中，步骤B所述确定所使用的鉴权方式为：S-CSCF实体将优先级最高的被选定的鉴权方式作为所使用的鉴权方式； 

所述对UE进行鉴权，获得本次鉴权结果为：按照所使用的鉴权方式对UE鉴权，并判断鉴权是否成功，如果是，则将本次鉴权结果确定为成功；否则，将本次鉴权结果确定为失败。 

其中，所述发送给HSS之前，进一步包括：S-CSCF实体将除优先顺序最高的建议鉴权方式之外的其他建议鉴权方式分别携带于所述MAR消息的至少一个私有鉴权算法项中； 

所述发送给S-CSCF实体之前，进一步包括：HSS将除优先级最高的被选定的鉴权方式之外的其他被选定的鉴权方式分别携带于所述MAA消息的至少一个私有鉴权算法项中。 

其中，所述步骤B包括： 

B1.S-CSCF实体从所述被选定的鉴权方式中选择优先级最高的直接鉴权方式，按照所选择的该直接鉴权方式对所述UE进行鉴权，并判断鉴权是否成功，如果是，则将本次鉴权结果确定为成功，并结束本鉴权流程；否则，执行步骤B2； 

B2.S-CSCF实体从所述被选定的鉴权方式中选择优先级最高的非直接鉴权方式，按照所选择的该非直接鉴权方式对所述UE进行鉴权，并判断鉴权是否成功，如果是，则将本次鉴权结果确定为成功；否则，将本次鉴权结果确定为失败。 

其中，步骤A所述UE发起注册请求之后，进一步包括： 

代理呼叫会话控制功能P-CSCF实体通过查询呼叫会话控制功能I-CSCF实体，将所述注册请求发送给HSS，HSS根据接收到的注册请求确定执行鉴权的S-CSCF实体，并将S-CSCF实体名称发送给I-CSCF实体，I-CSCF实体将注册请求发送给所述S-CSCF实体。 

本发明中的鉴权系统包括：呼叫会话控制功能CSCF实体和归属用户服务器HSS，其中， 

所述CSCF实体用于接收UE发出的注册请求，将建议鉴权方式发送给HSS，接收来自于HSS的被选定的鉴权方式，确定所使用的鉴权方式，对UE进行鉴权，获得本次鉴权结果； 

所述HSS用于保存用户签约鉴权方式及可获得鉴权参数的鉴权方式，接收来自于CSCF实体的建议鉴权方式，根据建议鉴权方式、可获得鉴权参数的鉴权方式和用户签约鉴权方式选择出被选定的鉴权方式，并发送给CSCF实体； 

所述HSS选定鉴权方式为：HSS将接收到的建议鉴权方式放入建议鉴权方式集，将自身保存的用户签约鉴权方式放入用户签约鉴权方式集，并获取建议鉴权方式集和用户签约鉴权方式集的交集，将当前能够获得鉴权参数的鉴权方式放入可获得鉴权参数的鉴权方式集，对建议鉴权方式集和用户签约鉴权方式集的交集与所述可获得鉴权参数的鉴权方式集取交集，将交集中的鉴权方式作为被选定的鉴权方式，并为所选定的鉴权方式确定优先级。 

其中，所述CSCF实体包括：代理呼叫会话控制功能P-CSCF实体、查询呼叫会话控制功能I-CSCF实体和服务呼叫会话控制功能S-CSCF实体，其中， 

所述P-CSCF实体用于接收来自于UE的注册请求，将该注册请求发送给I-CSCF实体，接收来自于I-CSCF实体的鉴权结果，并将该鉴权结果发送给UE； 

I-CSCF实体用于接收来自于P-CSCF实体的注册请求，请求HSS开始鉴权，接收来自于HSS的S-CSCF实体名称，将注册请求发送给S-CSCF实体，接收来自于S-CSCF实体的鉴权结果，将该鉴权结果发送给P-CSCF实体； 

S-CSCF实体用于保存预先设置的建议鉴权方式确定逻辑，接收来自于I-CSCF实体的注册请求，根据建议鉴权方式确定逻辑来确定建议鉴权方式并发送给HSS，接收来自于HSS的被选定的鉴权方式，从被选定的鉴权方式中选择所使用的鉴权方式，对UE进行鉴权，获得鉴权结果并发送给I-CSCF实体。 

其中，所述P-CSCF实体进一步用于接收来自于I-CSCF实体的鉴权挑战消 息，将该鉴权挑战消息发送给UE； 

所述I-CSCF实体进一步用于接收来自于S-CSCF实体的鉴权挑战消息，将该鉴权挑战消息发送给P-CSCF实体； 

所述S-CSCF实体进一步用于向I-CSCF实体下发鉴权挑战消息，通知UE提交鉴权相关数据。 

本发明在对UE进行鉴权时，CSCF实体与HSS根据实际能力进行协商，从多种鉴权方式中选择出所使用的鉴权方式，进行鉴权，这样能够将多种鉴权方式进行融合。 

本发明也可以基于最大安全原则，S-CSCF实体根据自身所支持的鉴权能力以及判断逻辑，确定建议鉴权方式并提供给HSS，HSS根据来自S-CSCF实体的建议鉴权方式、自身保存的用户开户时的用户签约鉴权方式以及可获得鉴权参数的鉴权方式，选择出一个或者多个鉴权方式，并将首选鉴权方式携带在AVP和经过扩展的AVP中，指示给S-CSCF实体。由于HSS与S-CSCF实体之间的CxDx接口在扩展AVP不可识别时，不会对这些扩展AVP进行处理，并且不会报错。因此，本发明中S-CSCF实体和HSS通过协商来确定双方均支持的鉴权方式，较好地将多种鉴权方式融合在一起，使得具有不同鉴权能力的CSCF实体和HSS在混合组网环境下能够顺利互通。 

并且，本发明还可以基于最大授权原则，此时为了能够提高签约多种鉴权方式的UE通过鉴权的成功率，HSS将全部被选定的鉴权方式都提供给S-CSCF实体，S-CSCF实体从被选定的鉴权方式中选出首选鉴权方式，且该首选鉴权方式无需下发鉴权挑战消息，然后利用该首选鉴权方式进行鉴权， 并在鉴权失败的情况下，选择需要下发鉴权挑战消息的鉴权方式进行再次鉴权。那么，本发明中网络侧给予UE的鉴权机会增加，允许UE注册的几率也较大。 

另外，本发明在需要扩展新的鉴权方式时，只需对S-CSCF实体中确定鉴权方式的逻辑稍加改变以及将HSS中的用户签约鉴权方式集和可获得鉴权参数的鉴权方式集的内容按照实际情况进行修改即可，而无需增加新的鉴权机制和新的接口，操作简单方便，易于实现。 

附图说明

图1为本发明中鉴权方法的示例性流程图； 

图2为本发明实施例1中鉴权方法的流程图； 

图3为本发明实施例1中NBA方式或者Early-IMS方式下成功的鉴权方法流程图； 

图4为本发明实施例1中HTTP摘要鉴权方式或者IMS-AKA方式下成功的鉴权方法流程图； 

图5为本发明实施例2中鉴权方法的流程图； 

图6为本发明中鉴权系统的示意图。 

具体实施方式

为使本发明的目的、技术方案更加清楚明白，以下参照附图并举实施例，对本发明做进一步的详细说明。 

本发明为一种鉴权方法，其基本思想是：S-CSCF实体与HSS通过协商来确定鉴权方式，并按照所确定的鉴权方式对用户进行鉴权。 

本发明中参与鉴权的网络实体包括CSCF实体以及HSS。图1示出了本发明中鉴权方法的示例性流程图，参见图1，该方法包括： 

在步骤101中，UE发起注册请求，CSCF实体确定建议鉴权方式并发送给HSS，HSS根据自身保存的用户签约鉴权方式以及接收到的建议鉴权方式 选择被选定的鉴权方式，并将选择出的被选定的鉴权方式通知给CSCF实体； 

在步骤102中，CSCF实体根据HSS的被选定的鉴权方式确定所使用的鉴权方式，对UE进行鉴权，获得本次鉴权结果。 

在本发明的CSCF实体中，包括用于实现UE与网络侧连接的代理呼叫会话控制功能(P-CSCF)实体、用于获取用户能力数据的查询呼叫会话控制功能(I-CSCF)实体和执行鉴权的S-CSCF实体。 

本发明的鉴权方法中，存在两种原则：最大安全原则和最大授权原则。在最大安全原则下，当UE未明确指定鉴权方式时，则选择安全性最好的鉴权方式，如果鉴权失败则拒绝UE的接入；在最大授权原则下，当UE未明确指定鉴权方式时，优先选择无需鉴权挑战消息的鉴权方式，当优先选择的鉴权方式鉴权失败后，在利用需要鉴权挑战消息的鉴权方式进行再次鉴权，并在再次鉴权失败时，拒绝UE的接入。下面通过实施例来详细说明本发明中的技术方案。 

实施例1 

本实施例中采用最大安全原则确定鉴权方式，并且HSS在选择鉴权方式时，除了考虑签约的鉴权方式和建议鉴权方式之外，还将可获得鉴权参数的鉴权方式作为考虑因素。另外，HSS在选择了鉴权方式后，为所选择的鉴权方式确定优先级，S-CSCF实体利用优先级最高的鉴权方式进行鉴权。 

图2示出了本实施例中鉴权方法的信令流程图。参见图2，该方法包括： 

在步骤201～202中，UE向P-CSCF实体发送携带有用户标识的注册请求(REGISTER)消息，请求注册到网络中，P-CSCF实体根据接收到的注册请求消息获取接入网信息，并将获取到的接入网信息携带于注册请求消息中，发送给ICFCS。 

在步骤203～204中，I-CSCF实体从接收到的注册请求消息中获得用户的因特网协议多媒体公有标识(IMPU)和因特网协议多媒体私有标识(IMPI)，将IMPU和IMPI携带于用户授权请求(UAR)消息中，发送给HSS；HSS根据接收到的UAR消息获取用户数据，确定执行鉴权的S-CSCF 实体，并将用户数据和S-CSCF实体名称携带于用户授权响应(UAA)消息中，发送给I-CSCF实体。 

这里，I-CSCF实体对注册请求消息进行解析，从该消息的TO头域中获取IMPU；然后，I-CSCF实体判断注册请求消息中是否存在Authorization头域，如果存在，则将Authorization头域中的用户名(username)作为IMPI，否则，将IMPU中的信息去掉“sip：”或者“sips：”前缀后，作为IMPI。 

由于HSS中预先保存有IMPU、IMPI以及用户数据的对应关系，则HSS在从接收到的UAR消息中解析出IMPU和IMPI后，以解析出的这两个参数为索引，查找对应的用户数据。在找到用户数据的情况下，确定为该用户鉴权的S-CSCF实体，并从HSS自身获取包括所支持的鉴权算法等在内的S-CSCF实体的能力信息。 

在步骤205中，I-CSCF实体从接收到的UAA消息中获取S-CSCF实体名称，并向该S-CSCF实体发送携带有用户标识以及鉴权字段的注册请求消息，请求对UE进行鉴权。 

在步骤206中，S-CSCF实体根据接收到的注册请求消息确定建议鉴权方式，并通过多媒体鉴权请求(MAR)消息发送给HSS。 

S-CSCF实体中预先设置了建议鉴权方式的确定逻辑，在接收到注册请求消息后，S-CSCF实体对接收到的消息进行解析，并根据该注册请求消息是否携带Authorization头域、鉴权算法的参数值、是否进行完整性保护等预先设置的确定因素，确定建议鉴权方式。表1和表2分别示出了TISPAN协议和3GPP协议下S-CSCF实体中建议鉴权方式的确定逻辑。参见表1和表2，其中AKAv1-MD5以及MD5均为鉴权方式，UNKNOWN表示非IMS-AKA鉴权方式，并且标号1、2、3等表示建议鉴权方式的优选顺序。 

是否携带 Authorization

鉴权算法  参数值

是否有  完整性保护

建议鉴权方式

是	AKAv1-MD5	有	1.AKAv1-MD5
				是	AKAv1-MD5	无	拒绝
是	MD5	有	1.MD5

 

是	MD5	无	1.MD5
				是	无	有	1.AKAv1-MD5     2.MD5
是	无	无	1.UNKNOWN  2.MD5  3.NBA
				否	\	\	1.UNKNOWN  2.Early IMS     3.NBA  4.HTTP-Digest

表1 

是否携带 Authorization	鉴权算法  参数值	是否有  完整性保护	建议鉴权方式
				是	AKAv1-MD5	有	1.AKAv1-MD5
是	AKAv1-MD5	无	1.AKAv1-MD5
				是	MD5	有	1.MD5
是	MD5	无	1.MD5
				是	无	有	1.AKAv1-MD5     2.MD5
是	无	无	1.AKAv1-MD5  2.MD5  3.NBA
				否	\	\	1、Early IMS  2、NBA  3、HTTP-Digest

表2 

当按照表1中的逻辑来确定建议鉴权方式时，例如注册请求消息中携带了Authorization头域、未携带鉴权算法的参数值、无需完整性保护时，S-CSCF实体确定建议鉴权方式为：UNKNOW、AKAv1-MD5和MD5。当按照表2中的逻辑来确定建议鉴权方式时，例如注册请求消息中携带了Authorization头域、未携带鉴权算法的参数值、无需完整性保护时，S-CSCF实体确定建议鉴权方式为：AKAv1-MD5、MD5和NBA。 

在确定了建议鉴权方式后，如果建议鉴权方式为1种，则将该建议鉴权方式打包到鉴权算法项(SIP-Auth-Data-Item)这一属性值对(AVP)中，并将该AVP携带于MAR消息中，发送给HSS；如果建议鉴权方式多于1种，则将优选的建议鉴权方式，即标号为1的建议鉴权方式打包到鉴权算法项中，将其余的建议鉴权方式分别打包到私有鉴权算法项(Private-SIP-Auth-Data-Item)中，并将两个AVP携带于MAR消息中，发送给HSS。上述采用两个AVP携带建议鉴权方式的目的在于：当HSS无法识别Private-SIP-Auth-Data-Item时，只需从SIP-Auth-Data-Item中取出建议鉴权方式信息即可，从而避免因HSS无法获得建议鉴权方式而导致HSS与S-CSCF实体间的互通阻碍。 

当然，这里也可以仅发送标号为1的建议鉴权方式，而不发送其他建议鉴权方式。 

在步骤207中，HSS根据接收到的MAR消息、自身保存的用户签约鉴权方式以及可获得鉴权参数的鉴权方式，选定鉴权方式。 

为了保证HSS选定鉴权方式，HSS预先将该用户的签约鉴权方式保存于用户签约鉴权方式集中。并且，HSS还将目前能够获得鉴权参数的鉴权方式保存于可获得鉴权参数的鉴权方式集中。对于IMS-AKA方式、HTTP摘要鉴权方式以及NBA方式，HSS在本地生成用于鉴权的随机数或签约数据等鉴权参数，因此上述三种方式一直存在于可获得鉴权参数的鉴权方式集中；而对于Early-IMS方式，只有在通用分组无线业务网关支持节点(GGSN)上报了IP地址后，HSS才能够获取到鉴权参数。 

本步骤中，HSS接收到MAR消息后，从中解析出来自S-CSCF实体的建议鉴权方式，合成为建议鉴权方式集。然后，HSS对建议鉴权方式集、用户签约鉴权方式集和可获得鉴权参数的鉴权方式集取交集，按照鉴权算法的强弱，例如安全性、用户通过鉴权的难易程度等，对该交集中存在的被选定的鉴权方式进行优先级排序，并将优先级最高的被选定的鉴权方式作为首选鉴权方式，将其他被选定的鉴权方式作为非首选鉴权方式。 

在步骤208中，HSS将被选定的鉴权方式以及鉴权参数携带于多媒体鉴权响应(MAA)消息中，发送给S-CSCF实体。 

HSS在确定了被选定的鉴权方式后，在本步骤中将首选鉴权方式信息携带于SIP-Auth-Data-Item中，将非首选鉴权方式信息携带于Private-SIP-Auth-Data-Item中，连同首选鉴权方式对应的鉴权参数，通过MAA消息发送给S-CSCF实体。当然，在本实施例中也可以仅发送首选鉴权方式。 

在步骤209～210中，S-CSCF实体根据接收到的MAA消息确定所使用的鉴权方式，并按照该鉴权方式对UE进行鉴权，获得鉴权结果。 

本实施例中，无论MAA消息中是否携带有非首选鉴权方式，S-CSCF实体都不解析IEFT-SIP-Auth-Data-Item中的内容，并将解析出的鉴权方式作为后续步骤中使用的鉴权方式。 

当S-CSCF实体所确定的鉴权方式为诸如NBA方式或者Early-IMS方式等直接鉴权方式时，按照该鉴权方式规定的流程进行鉴权，并在鉴权失败时，拒绝UE注册。图3示出了NBA方式或者Early-IMS方式下成功的鉴权方法流程图。参见图3，该直接鉴权流程包括： 

在步骤301中，S-CSCF实体根据来自于I-CSCF实体的注册请求消息和来自于HSS的MAA消息，对UE进行鉴权，确定鉴权结果，如果鉴权结果为成功，则执行步骤302；否则，通过I-CSCF实体和P-CSCF实体通知UE网络侧拒绝接入。 

本步骤中，S-CSCF实体从接收到的注册请求消息中获取到鉴权参数，根据MAA消息所指示的鉴权方式，将注册请求消息中的鉴权参数和MAA消息中的鉴权参数进行比较。如果两者一致，则判定鉴权成功；反之，则判定鉴权失败。例如：当鉴权方式为NBA方式时，鉴权参数为UE签约的接入位置信息；当鉴权方式为Early-IMS方式时，鉴权参数为UE的IP地址。 

在步骤302～303中，S-CSCF实体向HSS发送服务器分配请求(SAR)消息，请求用户数据；HSS将用户数据携带于服务器分配响应(SAA)消息， 发送给S-CSCF实体。 

在步骤304～306中，S-CSCF实体通过I-CSCF实体和P-CSCF实体，将表明鉴权成功的200OK消息发送给UE。 

当S-CSCF实体所确定的鉴权方式为诸如IMS-AKA方式或者HTTP摘要鉴权方式等非直接鉴权方式时，按照该鉴权方式规定的流程进行鉴权，并在鉴权失败时，拒绝UE注册。图4示出了IMS-AKA方式或者HTTP摘要鉴权方式下成功的鉴权方法流程图。参见图4，该直接鉴权流程包括： 

在步骤401～403中，S-CSCF实体通过I-CSCF实体和P-CSCF实体，将鉴权挑战消息，即401消息发送给UE，通知UE上报鉴权比较量。 

在步骤404～406中，UE将计算出的响应(RES)作为鉴权比较量并携带于注册请求消息中，通过P-CSCF实体发送给I-CSCF实体。 

在IMS-AKA和HTTP摘要鉴权方式下，HSS在MAA消息中携带有随机数RAND、序列号(SQN)以及鉴权令牌(AUTN)，S-CSCF实体通过鉴权挑战消息将该随机数和SQN发送给UE。UE根据自身保存的初始密钥K以及接收到的随机数、SQN和AUTN，计算出鉴权比较量RES，通过注册请求消息发送给I-CSCF实体。 

在步骤406～407中，I-CSCF实体从接收到的注册请求消息中获得用户的IMPU和IMPI，将IMPU和IMPI携带于UAR消息中，发送给HSS；HSS根据接收到的UAR消息获取用户数据，并将用户数据和S-CSCF实体名称携带于UAA消息中，发送给I-CSCF实体。 

在步骤408～409中，I-CSCF实体将携带有来自于UE的RES的注册请求消息发送给S-CSCF实体，S-CSCF实体对UE进行鉴权，如果鉴权成功，则执行步骤410；否则，通过I-CSCF实体和P-CSCF实体通知UE网络侧拒绝接入。。 

在IMS-AKA或者HTTP摘要鉴权方式下，HSS在MAA消息中携带有随机数RAND、序列号(SQN)以及鉴权令牌(AUTN)，S-CSCF实体通过鉴权挑战消息将该随机数和SQN发送给UE。UE根据自身保存的初始密 钥K以及接收到的随机数、SQN和AUTN，计算出鉴权比较量RES，通过注册请求消息发送给S-CSCF实体。S-CSCF实体接收到RES后，与自身保存的期望响应(XRES)相比较，如果两者一致，则判定鉴权成功；否则，判定鉴权失败。S-CSCF实体接收到RES后，与自身保存的期望响应(XRES)相比较，如果两者一致，则判定鉴权成功；否则，判定鉴权失败。 

在步骤410～411中，S-CSCF实体向HSS发送SAR消息，请求用户数据；HSS将用户数据携带于SAA消息，发送给S-CSCF实体。 

在步骤412～412中，S-CSCF实体通过I-CSCF实体和P-CSCF实体，将表明鉴权成功的200OK消息发送给UE。 

至此完成本实施例中的鉴权流程。 

在本实施例的最大安全原则下，S-CSCF实体根据自身所支持的鉴权能力以及判断逻辑，确定建议鉴权方式并提供给HSS，HSS根据来自S-CSCF实体的建议鉴权方式、自身保存的用户开户时的用户签约鉴权方式以及可获得鉴权参数的鉴权方式，选定一个或者多个鉴权方式，并将首选鉴权方式携带在AVP和经过扩展的AVP中，指示给S-CSCF实体。由于HSS与S-CSCF实体之间的CxDx接口在扩展AVP不可识别时，不会对这些扩展AVP进行处理，并且不会报错。因此，本实施例中S-CSCF实体和HSS通过协商来确定双方均支持的鉴权方式，较好地将多种鉴权方式融合在一起，使得具有不同鉴权能力的CSCF实体和HSS在混合组网环境下能够顺利互通。 

实施例2 

本实施例采用最大授权原则确定鉴权方式，并且HSS在选择选择鉴权方式时，除了考虑签约的鉴权方式和建议鉴权方式之外，还将可获得鉴权参数的鉴权方式作为考虑因素。另外，HSS在选择了鉴权方式后，为所选择的鉴权方式确定优先级，S-CSCF实体首先利用优先级最高的鉴权方式进行鉴权，在鉴权失败后，选择下发鉴权挑战消息的鉴权方式再次进行鉴权，并在再次鉴权失败的情况下，拒绝UE的注册请求。 

图5示出了本实施例中鉴权方法的流程图。参见图5，该方法包括： 

在步骤501～502中，UE向P-CSCF实体发送携带有用户标识的注册请求消息，请求注册到网络中，P-CSCF实体根据接收到的注册请求消息获取接入网信息，并将获取到的接入网信息携带于注册请求消息中，发送给ICFCS。 

在步骤503～504中，I-CSCF实体从接收到的注册请求消息中获得用户的IMPU和IMPI，将IMPU和IMPI携带于UAR消息中，发送给HSS；HSS根据接收到的UAR消息获取用户数据，确定执行鉴权的S-CSCF实体，并将用户数据和S-CSCF实体名称携带于UAA消息中，发送给I-CSCF实体。 

在步骤505中，I-CSCF实体从接收到的UAA消息中获取S-CSCF实体名称，并向该S-CSCF实体发送携带有用户标识以及鉴权字段的注册请求消息，请求对UE进行鉴权。 

在步骤506中，S-CSCF实体根据接收到的注册请求消息确定建议鉴权方式，并通过MAR消息发送给HSS。 

在确定了建议鉴权方式后，如果建议鉴权方式为1种，则将该建议鉴权方式打包到SIP-Auth-Data-Item这一AVP中，并将该AVP携带于MAR消息中，发送给HSS；如果建议鉴权方式多于1种，则将优选的建议鉴权方式，即标号为1的建议鉴权方式打包到鉴权算法项中，将其余的建议鉴权方式打包到Private-SIP-Auth-Data-Item中，并将两个AVP携带于MAR消息中，发送给HSS。 

上述步骤501至506的操作与实施例中的步骤201至206完全相同。 

在步骤507中，HSS根据接收到的MAR消息、自身保存的用户签约鉴权方式以及可获得鉴权参数的鉴权方式，选定鉴权方式。 

本步骤中，HSS也采用类似实施例1的方式来选定鉴权方式。具体而言，HSS对建议鉴权方式集、用户签约鉴权方式集和可获得鉴权参数的鉴权方式集取交集，按照鉴权算法的强弱，对该交集中存在的被选定的鉴权方式进行优先级排序，并将优先级最高的被选定的鉴权方式作为首选鉴权方式，将其他被选定的鉴权方式作为非首选鉴权方式。通常情况下，本实施例中的首选 鉴权方式为无需下发鉴权挑战消息的鉴权方式。 

在步骤508中，HSS将全部被选定的鉴权方式以及鉴权参数携带于MAA消息中，发送给S-CSCF实体。 

HSS在确定了被选定的鉴权方式后，在本步骤中将首选鉴权方式信息携带于SIP-Auth-Data-Item中，将非首选鉴权方式信息携带于Private-SIP-Auth-Data-Item中，连同首选鉴权方式对应的鉴权参数，通过MAA消息发送给S-CSCF实体。由于在最大授权原则下，S-CSCF实体对MAA消息中的全部AVP进行解析，因此，这里的MAA消息中既包括SIP-Auth-Data-Item，又包括Private-SIP-Auth-Data-Item。 

在步骤509～510中，S-CSCF实体根据接收到的MAA消息确定所使用的鉴权方式，并按照该鉴权方式对UE进行鉴权，并判断鉴权是否成功，如果是，则最终鉴权结果为成功；否则，根据MAA消息确定再次鉴权的鉴权方式，进行再次鉴权，并获得最终鉴权结果。 

本实施例中，S-CSCF实体从MAA消息中解析出首选鉴权方式和非首选鉴权方式。而后，S-CSCF实体利用首选鉴权方式进行鉴权。由于这里的首选鉴权方式为无需下发鉴权挑战消息的直接鉴权方式，因此可以按照图3所示的步骤301至306来执行鉴权。当直接鉴权失败后，本实施例中从非首选鉴权方式中选择需要下发鉴权挑战消息、且优先级较高的鉴权方式，并按照图4所示的步骤401至412来执行再次鉴权。 

当直接鉴权或者再次鉴权成功时，本实施例中的最终鉴权结果为成功，允许UE注册；当再次鉴权失败时，本实施例中的最终鉴权结果为失败，则拒绝UE注册。 

至此，完成本实施例中的鉴权流程。 

在本实施例的最大授权原则下，S-CSCF实体和HSS经过协商确定两者均支持的鉴权方式，能够融合多种鉴权方式并支持混合组网时具有不同鉴权能力的CSCF实体与HSS的互通。并且，为了能够提高签约多种鉴权方式的UE通过鉴权的成功率，则S-CSCF实体首先从HSS提供的被选定的鉴权 方式中选出首选鉴权方式，且该首选鉴权方式无需下发鉴权挑战消息，然后利用该首选鉴权方式进行鉴权，并在鉴权失败的情况下，选择需要下发鉴权挑战消息的鉴权方式进行再次鉴权。可见，本实施例中网络侧给予UE的鉴权机会较实施例1而言有所增加。 

综合上述两个实施例，在需要扩展新的鉴权方式时，只需对S-CSCF实体中确定鉴权方式的逻辑稍加改变以及将HSS中的用户签约鉴权方式集和可获得鉴权参数的鉴权方式集的内容按照实际情况进行修改即可，而无需增加新的鉴权机制和新的接口，操作简单方便，易于实现。 

本发明还提供了一种鉴权系统，用于执行上述的鉴权流程。图6示出了本发明中鉴权系统的示意图。参见图6，该系统包括：CSCF实体和HSS。其中，CSCF实体用于接收UE发出的注册请求，将建议鉴权方式发送给HSS，接收来自于HSS的被选定的鉴权方式，确定所使用的鉴权方式，对UE进行鉴权，获得本次鉴权结果；HSS用于保存用户签约鉴权方式，接收来自于CSCF实体的建议鉴权方式，根据建议鉴权方式和用户签约鉴权方式选择出被选定的鉴权方式，并发送给CSCF实体。HSS还可以保存用于选择被选定的鉴权方式的可获得鉴权参数的鉴权方式。 

这里CSCF实体包括：P-CSCF实体、I-CSCF实体和S-CSCF实体。 

其中，P-CSCF实体用于接收来自于UE的注册请求，将该注册请求发送给I-CSCF实体，接收来自于I-CSCF实体的鉴权结果，并将该鉴权结果发送给UE；另外，P-CSCF实体还可以接收来自于I-CSCF实体的鉴权挑战消息，将该鉴权挑战消息发送给UE。 

I-CSCF实体用于接收来自于P-CSCF实体的注册请求，请求HSS开始鉴权，接收来自于HSS的S-CSCF实体名称，将注册请求发送给S-CSCF实体，接收来自于S-CSCF实体的鉴权结果，将该鉴权结果发送给P-CSCF实体；另外，I-CSCF实体还可以接收来自于S-CSCF实体的鉴权挑战消息，将该鉴权挑战消息发送给P-CSCF实体。 

S-CSCF实体用于保存预先设置的建议鉴权方式确定逻辑，接收来自于 I-CSCF实体的注册请求，根据建议鉴权方式确定逻辑来确定建议鉴权方式并发送给HSS，接收来自于HSS的被选定的鉴权方式，从被选定的鉴权方式中选择所使用的鉴权方式，对UE进行鉴权，获得鉴权结果并发送给I-CSCF实体；另外，S-CSCF实体还可以向I-CSCF实体下发鉴权挑战消息，指明UE提交鉴权相关数据。 

无论上述的鉴权方法还是鉴权系统，S-CSCF实体都在与HSS协商后确定所使用的鉴权方式。这样，在S-CSCF实体和HSS支持多种鉴权方式时，根据双方的能力和运营商的需要来选择最为合适的鉴权方式，从而全面地融合了多种鉴权方式，保证了混合组网时CSCF实体与HSS的顺利互通。 

以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。 

Claims (11)

1.一种鉴权方法，其特征在于，该方法包括：

A.UE发起注册请求，呼叫会话控制功能CSCF实体确定建议鉴权方式并发送给归属用户服务器HSS，HSS根据自身保存的用户签约鉴权方式、接收到的建议鉴权方式以及可获得鉴权参数的鉴权方式，选定鉴权方式，并通知给CSCF实体；

B.CSCF实体根据HSS选定的鉴权方式确定所使用的鉴权方式，对UE进行鉴权，获得本次鉴权结果；

所述CSCF实体为服务呼叫会话功能S-CSCF实体，步骤A所述确定建议鉴权方式为：所述CSCF实体根据预先设置的建议鉴权方式的确定逻辑以及预先设置的确定因素，确定建议鉴权方式，并为所确定的建议鉴权方式确定优选顺序；

步骤A所述HSS选定鉴权方式为：HSS将接收到的建议鉴权方式放入建议鉴权方式集，将自身保存的用户签约鉴权方式放入用户签约鉴权方式集，并获取建议鉴权方式集和用户签约鉴权方式集的交集，将当前能够获得鉴权参数的鉴权方式放入可获得鉴权参数的鉴权方式集，对建议鉴权方式集和用户签约鉴权方式集的交集与所述可获得鉴权参数的鉴权方式集取交集，将交集中的鉴权方式作为被选定的鉴权方式，并为所选定的鉴权方式确定优先级。

2.如权利要求1所述的方法，其特征在于，所述确定因素包括：注册请求是否携带授权头域和/或鉴权算法的参数值和/或是否进行完整性保护。

3.如权利要求1所述的方法，其特征在于，所述能够获得鉴权参数的鉴权方式包括：超级文本传输协议摘要鉴权HTTP Digest方式，和/或因特网协议多媒体子系统鉴权和密钥协商IMS-AKA方式，和/或网络接入子系统绑定认证NBA方式，和/或接收到通用分组无线业务网关支持节点GGSN上报的IP地址的早期因特网协议多媒体子系统IMS用户Early-IMS方式。

4.如权利要求1所述的方法，其特征在于，步骤A所述发送给HSS为：S-CSCF实体将优选顺序最高的建议鉴权方式携带于多媒体鉴权请求MAR消息的鉴权算法项中，发送给HSS；

步骤A所述通知给CSCF实体为：HSS将优先级最高的被选定的鉴权方式携带于多媒体鉴权响应MAA消息的鉴权算法项中，发送给S-CSCF实体。

5.如权利要求4所述的方法，其特征在于，步骤B所述确定所使用的鉴权方式为：S-CSCF实体将优先级最高的被选定的鉴权方式作为所使用的鉴权方式；

所述对UE进行鉴权，获得本次鉴权结果为：按照所使用的鉴权方式对UE鉴权，并判断鉴权是否成功，如果是，则将本次鉴权结果确定为成功；否则，将本次鉴权结果确定为失败。

6.如权利要求4所述的方法，其特征在于，所述发送给HSS之前，进一步包括：S-CSCF实体将除优先顺序最高的建议鉴权方式之外的其他建议鉴权方式分别携带于所述MAR消息的至少一个私有鉴权算法项中；

所述发送给S-CSCF实体之前，进一步包括：HSS将除优先级最高的被选定的鉴权方式之外的其他被选定的鉴权方式分别携带于所述MAA消息的至少一个私有鉴权算法项中。

7.如权利要求6所述的方法，其特征在于，所述步骤B包括：

B1.S-CSCF实体从所述被选定的鉴权方式中选择优先级最高的直接鉴权方式，按照所选择的该直接鉴权方式对所述UE进行鉴权，并判断鉴权是否成功，如果是，则将本次鉴权结果确定为成功，并结束本鉴权流程；否则，执行步骤B2；

B2.S-CSCF实体从所述被选定的鉴权方式中选择优先级最高的非直接鉴权方式，按照所选择的该非直接鉴权方式对所述UE进行鉴权，并判断鉴权是否成功，如果是，则将本次鉴权结果确定为成功；否则，将本次鉴权结果确定为失败。

8.如权利要求1所述的方法，其特征在于，步骤A所述UE发起注册请求之后，进一步包括：

代理呼叫会话控制功能P-CSCF实体通过查询呼叫会话控制功能I-CSCF实体，将所述注册请求发送给HSS，HSS根据接收到的注册请求确定执行鉴权的S-CSCF实体，并将S-CSCF实体名称发送给I-CSCF实体，I-CSCF实体将注册请求发送给所述S-CSCF实体。

9.一种鉴权系统，其特征在于，所述系统包括：呼叫会话控制功能CSCF实体和归属用户服务器HSS，其中，

所述CSCF实体用于接收UE发出的注册请求，将建议鉴权方式发送给HSS，接收来自于HSS的被选定的鉴权方式，确定所使用的鉴权方式，对UE进行鉴权，获得本次鉴权结果；

所述HSS用于保存用户签约鉴权方式及可获得鉴权参数的鉴权方式，接收来自于CSCF实体的建议鉴权方式，根据建议鉴权方式、可获得鉴权参数的鉴权方式和用户签约鉴权方式选择出被选定的鉴权方式，并发送给CSCF实体；

所述HSS选择出被选定的鉴权方式为：HSS将接收到的建议鉴权方式放入建议鉴权方式集，将自身保存的用户签约鉴权方式放入用户签约鉴权方式集，并获取建议鉴权方式集和用户签约鉴权方式集的交集，将当前能够获得鉴权参数的鉴权方式放入可获得鉴权参数的鉴权方式集，对建议鉴权方式集和用户签约鉴权方式集的交集与所述可获得鉴权参数的鉴权方式集取交集，将交集中的鉴权方式作为被选定的鉴权方式，并为所选定的鉴权方式确定优先级。

10.如权利要求9所述的系统，其特征在于，所述CSCF实体包括：代理呼叫会话控制功能P-CSCF实体、查询呼叫会话控制功能I-CSCF实体和服务呼叫会话控制功能S-CSCF实体，其中，

所述P-CSCF实体用于接收来自于UE的注册请求，将该注册请求发送给I-CSCF实体，接收来自于I-CSCF实体的鉴权结果，并将该鉴权结果发送给UE；

I-CSCF实体用于接收来自于P-CSCF实体的注册请求，请求HSS开始鉴权，接收来自于HSS的S-CSCF实体名称，将注册请求发送给S-CSCF实体，接收来自于S-CSCF实体的鉴权结果，将该鉴权结果发送给P-CSCF实体；

S-CSCF实体用于保存预先设置的建议鉴权方式确定逻辑，接收来自于I-CSCF实体的注册请求，根据建议鉴权方式确定逻辑来确定建议鉴权方式并发送给HSS，接收来自于HSS的被选定的鉴权方式，从被选定的鉴权方式中选择所使用的鉴权方式，对UE进行鉴权，获得鉴权结果并发送给I-CSCF实体。

11.如权利要求10所述的系统，其特征在于，所述P-CSCF实体进一步用于接收来自于I-CSCF实体的鉴权挑战消息，将该鉴权挑战消息发送给UE；

所述I-CSCF实体进一步用于接收来自于S-CSCF实体的鉴权挑战消息，将该鉴权挑战消息发送给P-CSCF实体；

所述S-CSCF实体进一步用于向I-CSCF实体下发鉴权挑战消息，通知UE提交鉴权相关数据。

Images