CN101252770A - Ims的终端接入认证的方法、通信系统及相关设备 - Google Patents

Abstract

本发明实施例涉及通信领域，提供了一种IP多媒体子系统IMS的终端接入认证的方法，包括：用户归属服务器HSS收集终端标识信息，保存该终端标识信息；当终端向呼叫会话控制功能设备CSCF发起注册请求时，所述呼叫会话控制功能设备CSCF获取来自所述终端的标识信息，获取来自所述HSS的终端标识信息，根据所述发起注册请求的终端的标识信息与所述HSS获得的终端标识信息进行对比，如果相同则认证通过。本发明实施例还提供相应的通信系统和控制单元，实现了I－WLAN网络中终端接入IMS。

Description

IMS的终端接入认证的方法、通信系统及相关设备

技术领域

本发明涉及通信领域，特别涉及一种IP多媒体子系统IMS的终端接入认证的方法、通信系统及相关设备。

背景技术

为了能够向更多非国际移动客户识别码(International Mobile SubscriberIdentity，IMSI)兼容的无线终端提供IP多媒体系统(IP MultimediaSubsystem，IMS)业务，同时保证IMS网络接入的安全，3GPP TR33.978(3rdGeneration Partnership Project，第三代合作伙伴计划中的33.978技术规程)系统定义了无线接入的Early IMS(早期IP多媒体系统)认证方法。Early IMS为在IMS网络早期应用，终端大多不支持IMS规范要求情况下的安全认证机制。

Early IMS认证方法的基本原理是：将应用层安全建立在接入层安全基础上，由接入层网络对终端的接入进行认证，并将认证结果信息传送给IMS应用层，再由IMS应用层依据接收到的认证信息对终端的IMS业务请求进行安全认证。

但在I-WLAN网络(Interworking-Wireless Local Area Network，在3GPP/3GPP2和WLAN网络之间进行互联的网络)中终端如何使用Early IMS认证方法来接入IMS尚未有定义。

发明内容

本发明实施例提供了一种IP多媒体子系统IMS的终端接入认证的方法、通信系统及相关设备，用于在I-WLAN网络中使终端顺利的接入IMS网络。

本发明实施例所提供的IP多媒体子系统IMS的终端接入认证的方法、通信系统及相关设备是通过以下技术方案实现的：

一种IP多媒体子系统IMS的终端接入认证的方法，包括：

用户归属服务器HSS收集终端标识信息，保存该终端标识信息；

当终端向呼叫会话控制功能设备CSCF发起注册请求时，所述呼叫会话控制功能设备CSCF获取来自所述终端的标识信息，获取来自所述HSS的终端标识信息，根据所述发起注册请求的终端的标识信息与所述HSS获得的终端标识信息进行对比，如果相同则认证通过。

本发明实施例所还提供一种通信系统，包括用户归属服务器HSS和呼叫会话控制功能设备CSCF，其中：

用户归属服务器HSS，用于获取终端标识信息，并保存该终端标识信息；

呼叫会话控制功能设备CSCF，用于接收发起注册请求的终端的标识信息，接收来自所述HSS的终端标识信息，根据所述发起注册请求的终端的标识信息与所述HSS获得的终端标识信息进行对比，如果相同则认证通过。

本发明实施例还提供一种呼叫会话控制单元，包括第一处理单元和第二处理单元，其中：

第一处理单元，用于接收终端的注册请求消息，将所述的注册请求消息发送给第二处理单元，所述的请求消息包括终端标识信息；

第二处理单元，用于接收来自所述第一处理单元的终端标识信息，来自HSS的终端标识信息，根据来自所述第一处理单元的终端标识信息与从来自所述HSS的终端标识信息进行对比，如果相同则认证通过。

本发明实施例的技术效果是：终端接入I-WLAN网络时，将认证标识信息发送到HSS中；利用终端发送请求时的标识信息与HSS中的标识信息进行对比，认证所述的终端实现了I-WLAN网络中终端使用Early IMS认证方法顺利的接入IMS系统。

附图说明

图1为本发明实施例提供的IP多媒体子系统IMS的终端接入认证的方法流程图；

图2为本发明实施例提供的通信系统的结构图；

图3为本发明实施例提供的CSCF的结构图；

图4为本发明实施例提供的呼叫会话控制单元的结构图。

具体实施方式

为了更好的理解本发明实施例提供的技术方案，下面结合附图详细描述本发明实施例提供的具体实施方式。

图1为本发明实施例提供的在一种IMS的终端接入认证的方法的流程图；参见图1，该终端接入IMS方法包括：终端接入I-WLAN网络时，将认证标识信息发送到HSS(Home Subscriber Server，用户归属服务器)中；终端利用终端发送请求时的标识信息和IMSI与HSS中的认证标识信息进行对比，认证所述的终端。

101、终端和PDG(Packet Data Gateway，分组数据网关)交换第一组因特网密钥协商安全联盟初始化(Internet Key Exchange Safety Initialization，IKESA INIT)消息。在这组消息里终端和PDG协商给了加密算法、交换随机数、并执行迪菲黑尔曼(Diffie_Hellman，DH)交换。

102、终端在因特网密钥协商认证(Internet Key Exchange Authentication，IKE AUTH)阶段的第一个消息发送终端的标识信息(如：IP地址、IMSI和/或MSISDN)和W-APN(WLAN接入点名称)，并且开始协商子安全联盟。终端给PDG指示要用扩展认证协议在因特网密钥协商上应用协议(ExtensibleAuthentication Protocol over Internet Key Exchange Authentication v2，EAP overIKEv2)。终端标识包括终端的国际移动终端标识号(International MobileSubscriber Identity，IMSI)或者临时标识。网络接入标识符(Network AccessIdentifier，NAI)中的终端名在EAP SIM/EAP AKA(Extensible AuthenticationProtocol Subscriber Identity Module/Extensible Authentication ProtocolAuthentication and Key Agreement，基于SIM卡的扩展认证/基于AKA的扩展认证协议)方法中有所不同，即EAP AKA格式：0+IMSI，EAP-SIM格式：1+IMSI。假如终端需要动态配置远程IP地址，需要在IKE AUTH请求消息中携带configuration payload(配置载荷信息)。

103、PDG向3GPP AAA Server(3rd Generation Partnership ProjectAuthorization，Authentication and Accounting Server第三代合作伙伴计划的验证、授权和帐户服务器)发送认证消息，该认证消息包括终端的标识，但是扩展认证的属性值对(Extensible Authentication Protocol Attribute Value Pair，EAP AVP)为空。PDG包括指出该认证是为了建立隧道的参数，以便3GPP AAAServer区分接入网的认证和隧道建立的认证。

104、3GPP AAA Server从用户归属服务器/归属位置登记器(HomeSubscriber Server/Home Location Register，HSS/HLR)取回终端的属性(profile)和认证矢量，并且根据终端的信息或者终端的指示决定要用EAP SIM还是用EAP AKA。

105、3GPP AAA Server发起密钥协商挑战认证(Authentication and KeyAgreement/Subscriber Identity Module-challenge，AKA/SIM-challenge)，在这里不需要再次请求终端的标识，因为中间节点不会对终端的标识做出修改，这是因为终端的标识是在IKEv2安全隧道上传输的。

106、PDG响应自己的标识、证书和认证(Authentication，AUTH)参数给终端，同时完成了子安全联盟的协商。这条消息还包括了来自3GPP AAAServer的扩展认证(Extensible Authentication Protocol，EAP)消息(即：扩展认证请求/密钥协商挑战请求消息)，该EAP消息触发启动EAP over IKEv2流程。

107、终端检查认证的参数并且响应认证的challenge(挑战)，在这里IKEv2消息的唯一负荷就是EAP(扩展认证协议)消息。

108、PDG把扩展认证响应(EAP-Response)/密钥协商挑战(AKAChallenge)或者扩展认证请求/密钥协商挑战请求(EAP-Response/SIM-Challenge)消息发送给3GPP AAA Server。

109、所有的检查成功以后，发送EAP成功和密钥材料给PDG。这里的密钥材料包括了在认证阶段生成的共享密钥(Master Session Key，MSK)。如果PDG和3GPPAAA Server是diameter协议(一种新的认证计费协议)，共享密钥封装在扩展认证主会话密钥(EAP-Master-Session-Key，EAP-MSK)参数中。然后执行：a)PDG发送包含W-APN和空的EAP AVP的授权请求给3GPP AAAServer；b)3GPP AAA Server检查终端的签约信息，决定是否被授权建立隧道；c)3GPP AAA Server发送结果响应给PDG。

110、PDG使用MSK生成认证(Authentication Protocol，AUTH)参数，来认证IKE SA INIT阶段的消息。前述的策略协商和DH交换两个消息不会认证，是因为没有可用的密钥材料。EAP交互中会产生一个共享密钥，共享密钥可以用来产生AUTH参数。

111、扩展认证协议成功的(EAP Success)消息通过IKEv2(因特网密钥协商)传到终端。

112、终端把自己生成的共享密钥作为输入，生成AUTH参数，认证第一阶段IKE SA INIT消息，然后终端把这些AUTH参数送给PDG。

113、PDG检查从终端收到的AUTH参数的正确性，并且计算AUTH参数对第二阶段的IKE SA INIT消息进行认证，并将配置的载荷、AUTH参数、安全联盟、其余的IKEv2参数和IKEv2协商终结一起发送给终端。终端标识信息(如：远程IP参数、IMSI参数或/和MSISDN参数)会随着该消息的configurationpayload(配置载荷信息)送下来。

114、PDG发送RADIUS消息给3GPP AAA-Server，该消息中包含终端的标识，如：终端远程IP参数、国际移动终端标识号(International Mobile SubscriberIdentity，IMSI)参数或/和移动手机号码(Mobile Subscriber IndentificationNumber，MSISDN)参数。

115、3GPP AAA-Server回复应答消息。

116、3GPP AAA-Server发送远程用户拨号认证系统(Remote AuthenticationDial in User Service，RADIUS)消息给HSS。该消息中包含终端远程IP参数、IMSI参数或/和MSISDN参数。

117、HSS回复应答消息。

118、假如PDG检测到旧的因特网密钥协商安全联盟(Internet KeyExchange Authentication Safety，IKE SA)存在，删除该IKE SA，并发送INFORMATIONAL(通告)消息交互，携带Delete(删除)载荷，发送给终端，终端同样也删除旧的IKE SA。

119、经过PDG和3GPP AAA-Server交互完成分组数据协议(Packet DataProtocol，PDP)激活。具体包括步骤：

1)终端通过PDG接入通用分组无线业务网络(General Packet RadioService，GPRS)，由PDG对终端标识，如IMSI、MSISDN进行认证，并为终端分配网络层标识(比如IP地址)。

2)PDG通过RADIUS(远程终端拨号认证系统)消息将IMSI、MSISDN和IP地址的对应关系发送到HSS，由HSS保存该MSISDN、IMSI和IP地址的对应关系。在下面的描述中，将上述过程中保存在HSS的标识称为认证标识。

120、执行注册请求认证，完成终端注册。具体为：

1)终端发起注册请求，由呼叫会话控制功能设备(Call Session ControlFunction，CSCF)的代理呼叫会话控制功能设备(Proxy-CSCF代理CSCF，P-CSCF)将该请求转发给服务呼叫会话控制功能设备(Serving-CSCF，S-CSCF)，所述注册请求的消息携带终端的源标识。

2)S-CSCF依据注册请求消息中的终端源标识信息，查询该终端是否已注册，若未注册，则通过Cx接口的媒体认证请求(Media Authentication Req，MAR)/媒体认证应答(Media Authentication Answer，MAA)过程从HSS获取与该终端标识对应的认证标识。此处，由于HSS静态配置有终端标识与IMSI的对应关系，并保存有从PDG获得IMSI和认证标识的对应关系，故可通过私有终端标识获得认证标识。

3)S-CSCF将注册请求消息中携带的源标识，和从HSS获得的认证标识进行比较，如果二者相同则通过注册认证。

121、注册过程完成后，S-CSCF会保存终端标识和认证标识的对应关系。对于终端发出的任何非注册请求，S-CSCF都要比较非注册请求中携带的源标识与S-CSCF保存的认证标识是否相同，如果不同则拒绝该非注册请求。

以上无线Early IMS机制的实施，进一步可以包括如下前提条件：

1)S-CSCF通过比较认证标识与P-CSCF接收的注册请求的源标识判断注册请求是否合法。认证标识为终端真实标识，因此要求P-CSCF接收到的注册请求的源标识也必须是终端的真实标识。即需要接入网络具备防止终端仿冒标识的能力。

2)需要PDG支持与HSS交互，将通过接入认证的终端的标识与认证标识之间对应关系送往HSS。

以上是本发明实施例提供的终端接入IMS的方法详细描述。本发明实施例还提供一种通信系统，参见图2，包括HSS23和呼叫会话控制功能设备CSCF23，其中：

所述HSS23，用于接收所述网络服务器22发送的终端标识信息，保存所述标识信息；

所述呼叫会话控制功能设备CSCF24，用于将发起注册请求的终端的标识信息与HSS23获得的终端标识信息进行对比，认证所述的终端。

进一步的，

所述所述的通信系统还包括：PDG21，用于向网络服务器22发送消息，所述的消息包括终端标识信息；

网络服务器22，用于接收来自PDG21的终端标识信息，向HSS23发送所述的终端标识信息，所述网络服务器的包括：3GPP AAA Server；

参见图3，所述CSCF24还包括第一处理单元241和第二处理单元242，其中：

所述第一处理单元241，用于接收终端的注册请求消息，将所述的注册请求消息发送给第二处理单元242，所述的请求消息包括终端标识信息；

所述第二处理单元242，用于接收来自所述第一处理单元241的终端标识信息和来自HSS的终端标识信息，根据来自所述第一处理单元241的终端标识信息与从来自所述HSS的终端标识信息进行对比，对所述发送注册请求消息的终端进行认证。

进一步的，

所述CSCF24进一步包括第三处理单元243，用于保存发送注册请求消息的终端的标识信息和来自HSS的获取终端标识信息的对应关系。

以上，所述的标识信息包括终端IP地址、IMSI和/或MSISDN中的一种或任意组合。

本发明实施例还提供一种呼叫会话控制单元，参见图4，包括第一处理单元41和第二处理单元42，其中：

所述第一处理单元41，用于接收终端的注册请求消息，将所述的注册请求消息发送给第二处理单元42，所述的请求消息包括终端标识信息；

所述第二处理单元42，用于接收来自所述第一处理单元41的终端标识信息，来自HSS的终端标识信息，根据来自所述第一处理单元41的终端标识信息与从来自所述HSS的终端标识信息进行对比，对所述发送注册请求消息的终端进行认证。

进一步的，

所述呼叫会话控制单元进一步包括第三处理单元43，用于保存发送注册请求消息的终端的标识信息和来自HSS的获取终端标识信息的对应关系。

所述的标识信息包括：终端IP地址、IMSI和/或MSISDN。

以上对本发明实施例所提供的一种IP多媒体子系统IMS的终端接入认证的方法、通信系统及相关设备进行了详细介绍，对于本领域的一般技术人员，依据本发明实施例的思想，在具体实施方式及应用范围上均会有改变之处，综上所述，本说明书实施例的内容不应理解为对本发明的限制。

Claims (12)

1、一种IP多媒体子系统IMS的终端接入认证的方法，其特征在于，包括：

用户归属服务器HSS收集终端标识信息，保存该终端标识信息；

当终端向呼叫会话控制功能设备CSCF发起注册请求时，所述呼叫会话控制功能设备CSCF获取来自所述终端的标识信息，获取来自所述HSS的终端标识信息，根据所述发起注册请求的终端的标识信息与所述HSS获得的终端标识信息进行对比，如果相同则认证通过。

2、如权利要求1所述的IP多媒体子系统IMS的终端接入认证的方法，其特征在于，用户归属服务器HSS收集终端标识信息的步骤之前还包括：

分组数据网关PDG获取终端标识信息；

分组数据网关PDG向网络服务器发送所述终端标识信息；

网络服务器向IMS网络的用户归属服务器HSS发送所述终端标识信息。

3、如权利要求2所述的IP多媒体子系统IMS的终端接入认证的方法，其特征在于，所述的PDG向网络服务器发送消息之后，进一步包括：

网络服务器向PDG回复应答消息。

4、如权利要求2所述的终端接入IMS的方法，其特征在于，所述的网络服务器向IMS网络的用户归属服务器HSS发送消息之后，进一步包括：

HSS向网络服务器回复应答消息。

5、如权利要求1、2、3或4所述的IP多媒体子系统IMS的终端接入认证的方法，其特征在于，所述的标识信息包括：终端IP地址、国际移动终端标识号IMSI、国际移动终端标识号MSISDN中的一种或任意组合。

6、如权利要求1至5中任一项IP多媒体子系统IMS的终端接入认证的方法，其特征在于，所述网络服务器的类型包括：3GPP AAA Server。

7、一种通信系统，其特征在于，包括用户归属服务器HSS和呼叫会话控制功能设备CSCF，其中：

用户归属服务器HSS，用于获取终端标识信息，并保存该终端标识信息；

呼叫会话控制功能设备CSCF，用于接收发起注册请求的终端的标识信息，接收来自所述HSS的终端标识信息，根据所述发起注册请求的终端的标识信息与所述HSS获得的终端标识信息进行对比，如果相同则认证通过。

8、如权利要求7所述的通信系统，其特征在于，所述通信系统进一步包括：

PDG，用于向网络服务器发送终端标识信息；

网络服务器，用于接收来自PDG的终端标识信息，向IMS网络的用户归属服务器HSS发送所述终端标识信息。

9、如权利要求7所述的通信系统，其特征在于，所述CSCF包括第一处理单元和第二处理单元，其中：

第一处理单元，用于接收终端的注册请求消息，将所述的注册请求消息发送给第二处理单元，所述的请求消息包括终端标识信息；

第二处理单元，用于接收来自所述第一处理单元的终端标识信息，接收来自HSS的终端标识信息，根据来自所述第一处理单元的终端标识信息与从来自所述HSS的终端标识信息进行对比，对所述发送注册请求消息的终端进行认证。

10、如权利要求9所述的通信系统，其特征在于，所述CSCF进一步包括：

第三处理单元，用于保存发送注册请求消息的终端的标识信息和来自HSS的获取终端标识信息的对应关系。

11、一种呼叫会话控制单元，其特征在于，包括第一处理单元和第二处理单元，其中：

第一处理单元，用于接收终端的注册请求消息，将所述的注册请求消息发送给第二处理单元，所述的请求消息包括终端标识信息；

第二处理单元，用于接收来自所述第一处理单元的终端标识信息，来自HSS的终端标识信息，根据来自所述第一处理单元的终端标识信息与从来自所述HSS的终端标识信息进行对比，如果相同则认证通过。

12、如权利要求11所述的呼叫会话控制单元，其特征在于，所述呼叫会话控制单元进一步包括：

第三处理单元，用于保存发送注册请求消息的终端的标识信息和来自HSS的获取终端标识信息的对应关系。

Images