CN101267365A - 设备接入通信网络的认证方法、系统及设备 - Google Patents

Abstract

本发明实施例公开了一种设备接入通信网络的认证方法和系统。根据该认证方法和系统，认证管理节点接收来自于请求节点的认证请求，然后认证管理节点把该认证请求传递给作为认证服务器客户端的认证节点；认证启动后，认证节点与请求节点之间通过认证管理节点进行认证消息的交互。在该认证方法和系统中，认证管理节点对所有请求节点的认证过程进行统一处理，有利于对认证情况的管理。并且，认证管理节点、认证节点和认证服务器的架构与传统认证架构一致，可充分支持现有的成熟认证机制。本发明实施例还公开了一种认证管理节点设备，用于管理无线接入网络中各节点的认证过程，有利于对认证情况的统一管理和监控。

Description

设备接入通信网络的认证方法、系统及设备

技术领域

本发明涉及通信领域，尤其涉及设备接入通信网络的认证技术。

背景技术

WPAN(wireless personal area network，无线个人域网络)，是相对于无线广域网(WWAN)、无线城域网(WMAN)、无线局域网(WLAN)等无线网络而言的一个概念，指由近距离范围内的设备组成的网络，典型的通信距离为10米。WPAN内的设备可以使用蓝牙(Bluetooth)、超宽带(UWB)或ZigBee等技术进行通信。

WPAN的网络结构相对复杂，包括星形、树形和网状(mesh)等多种网络结构。多跳、自组织是WPAN的主要特征。WPAN内的设备包括三种：协调者、路由节点和末端节点。其中，协调者是WPAN内的中心管理者，其功能包括WPAN的建立、设备间通信以及安全的管理，具有较强的存储能力和信息处理能力；路由节点的功能包括建立路由和转发数据；末端节点一般为用户设备，是信息和业务到达的终点。

WPAN中包括父节点和子节点：设备加入WPAN时，第一个与该设备建立连接的节点就是该设备的父节点，该设备就是相应的子节点；父节点会为子节点分配一个网络地址，子节点会保存父节点的网络地址；WPAN中一个父节点可以拥有多个子节点，但一个子节点只能拥有一个父节点。父节点和子节点都是相对的概念，同一设备可以是某一设备的父节点同时又是另一设备的子节点。

在WPAN、WLAN(无线局域网)等无线接入网与移动通信网络的融合中，一个基本的业务就是认证，即用户通过这些无线接入网络接入移动通信网络时，移动通信网络对用户身份的合法性进行验证的过程。认证完成后，移动通信网络才能对用户访问网络资源进行授权，并进行计费管理。

认证系统主要包含三个功能实体：认证服务器，通常是AAA服务器(认证、授权和计费服务器)，用于执行认证功能，一般位于移动通信网络；认证器(Authenticator)，用于传递认证请求和认证消息，是认证服务器的客户端，一般是网关或网络接入点；请求者(Supplicant)，即请求接入移动通信网络的设备。该认证系统的认证过程通常为：a)请求者发出认证请求，认证过程开始；b)认证器向认证服务器转发认证请求；c)认证器向请求者传递来自认证服务器的认证消息，例如身份标识请求信息；d)请求者发出相应的应答信息；e)认证器向认证服务器传递来自请求者的应答信息；f)认证服务器根据应答信息对请求者身份进行验证；g)认证服务器发出认证结果；h)认证器向请求者转发认证结果。上述过程中，c～f步骤一般涉及多次认证消息的交互。

在认证框架上，通常采用Diameter或RADIUS(远端用户拨入认证服务)与EAP(可扩展的认证协议)相结合的认证框架，其中Diameter和RADIUS都是认证系统的核心协议，定义了基本的消息格式并提供了可靠传输的机制；EAP提供了一种支持多种认证方法的标准机制，通过其在Diameter或RADIUS协议上的应用扩展能够增强认证系统的安全性；EAP只代表一种协议框架，本身没有定义任何认证方法，实际中会采用某种基于EAP的认证算法如EAP-SIM、EAP-AKA等完成认证。其中EAP-SIM是基于GSM SIM(SubscriberIdentity Module，客户识别模块)卡的认证算法，EAP-AKA是基于3G的AKA(Authentication and Key Agreement，认证和密钥协商)的认证算法。

在一次认证过程中，包括了请求者和认证器的认证消息交互、以及认证器和认证服务器之间的认证消息交互。具体来说，在认证服务器和认证器之间，由Diameter或RADIUS协议来承载EAP数据包；在请求者和认证器之间，可以由接入网络定义的安全传输协议来承载EAP数据包，如WLAN中使用的EAPOL协议。在实体功能要求上，认证服务器和认证器需要支持Diameter或RADIUS协议，认证服务器和请求者需要支持EAP算法。

以WLAN和3G网络互通的认证系统为例，包括请求者(即WLAN终端)、认证器802.1X AP(即WLAN接入点)和认证服务器。WLAN终端和WLAN接入点之间采用基于802.1X框架的EAPOL协议，WLAN接入点和认证服务器之间采用RADIUS协议，EAP数据包由这两种协议进行承载。

802.1X框架只适用于终端设备到接入点之间的点到点连接方式，WLAN的终端设备到WLAN接入点通常是星形网络，因此符合点到点的连接要求。而WPAN往往存在多种拓扑结构，终端设备与接入点之间往往是多跳的，所以上述WLAN的认证系统并不能直接应用于WPAN。

WPAN内部存在简单的认证机制，例如在Zigbee网络的实体认证(EntityAuthentication)机制中，WPAN中的两个设备可以利用地址、密钥等信息进行相互认证，但这种机制也只能应用于点到点的消息认证。

现有技术中还有一种设备以多跳方式接入移动通信网络的认证方法及系统。该认证系统包括请求者、认证者、主要认证者和认证服务器。认证过程为：认证者接收请求者的认证请求；认证者根据认证请求创建一个状态(即保存上一跳地址并记录认证请求者地址)；认证者向主要认证者转发认证请求，主要认证者向认证服务器转发认证请求；认证服务器生成认证信息，并通过主要认证者将该信息转发给认证者；认证者根据认证信息进行认证。在公开号为US20060236377(2006年10月19日公开)的美国专利申请中，还可以发现更多与上述技术方案相关的信息。

根据上述技术方案，作为认证者的设备都是WLAN终端设备，并且作为认证者或主要认证者的前提是已经通过了认证服务器的认证。而WPAN中，除终端设备以外的其他设备一般都不具有移动通信网络能够识别的身份标识(如UMTS用户识别卡USIM)，从而不能通过移动通信网络的认证。因此，在WPAN与移动通信网络的融合过程中，需要建立一套新的认证机制。

发明内容

本发明实施例提供了一种认证方法、系统及设备，以解决请求认证的终端设备与认证器之间为多跳时的认证问题。

本发明实施例提供了一种设备接入通信网络的认证方法，包括：认证管理节点接收认证请求；认证管理节点向认证节点传递所述认证请求；认证节点与请求节点之间通过认证管理节点进行认证消息的交互。

本发明实施例还提供了一种设备接入通信网络的认证系统，其包括：请求节点和认证节点，请求节点用于发送认证请求和认证消息；还包括：认证管理节点，用于接收所述认证请求并向认证节点传递该认证请求，和在请求节点与认证节点的认证消息交互过程中传递认证消息；所述认证节点在认证管理节点与认证服务器之间传递认证消息。

本发明实施例还提供了一种无线接入网络中的认证管理节点设备，用于管理无线接入网络中的节点的认证过程，包括：接收单元，用于接收认证消息；封装单元，用于封装来自认证节点的认证消息；解封装单元，用于解封装来自请求节点的认证消息；发送单元，用于将所述封装单元封装后的认证消息发送给请求节点，将解封装单元解封装后的认证消息发送给认证节点。

依据本发明实施例，请求节点通过认证管理节点与认证节点之间进行消息交互，使认证管理节点可以对各节点的认证进行统一处理，有利于对认证流程的管理，解决了请求节点与认证管理节点之间为多跳时的认证问题。并且，本发明实施例的认证管理节点、认证节点和认证服务器的架构与传统认证架构一致，可充分支持现有的成熟认证机制。

附图说明

图1为依据本发明的一个实施例的认证系统简化图；

图2为图1所示的认证系统的认证流程示意图；

图3为图2中请求节点向认证管理节点传递认证请求的示意图；

图4为请求节点与认证服务器之间进行认证消息交互过程的示意图；

图5为依据本发明一个实施例的认证管理节点设备结构简化图。

具体实施方式

为使本发明的目的、技术方案和优点更加清楚，下面以WPAN网络为例，结合附图对本发明作进一步的详细描述。

图1为依据本发明的一个实施例的认证系统简化图，包括请求节点、中继节点1、中继节点2、认证管理节点、认证节点和认证服务器。

请求节点是认证请求的发起者，一般是移动通信网络能够识别的终端设备，例如UE(用户设备)，请求节点支持相关认证协议，例如EAP-SIM、EAP-AKA。认证管理节点负责对认证消息进行封装或解封装等处理，传递处理后的认证消息，还可以制定并管理认证通道的安全策略，还可以记录WPAN内所有请求节点的认证结果，以便于对无线接入网络内的各节点进行集中监控。考虑到WPAN内的协调者的强大处理能力以及其作为中心管理者的地位，优选协调者作为认证管理节点。

请求节点与认证管理节点之间可以有一个或多个中继节点，由具体的网络拓扑结构决定。中继节点通常为WPAN内的路由节点，用于转发认证消息。认证消息对中继节点是透明的，因此中继节点只需要经过WPAN的网内认证就可以保证安全性。中继节点支持WPAN中已有的点到点的认证机制，例如实体认证机制。

认证节点作为认证服务器的客户端，用于处理和转发认证消息。认证节点支持认证服务器使用的认证协议，如Diameter协议或RADIUS协议，还支持认证管理节点使用的认证协议，并且支持这两种协议的报文转换。认证节点可以是WPAN的网关。

认证服务器位于移动通信网络，用于执行认证算法并验证请求节点的身份。认证服务器可以是Diameter服务器或RADIUS服务器。

认证管理节点、认证节点和认证服务器三者的关系符合现有认证系统中由请求者、认证者和认证服务器构成的认证框架。也就是说，认证节点相当于认证者，而从认证节点的角度看，认证请求发自认证管理节点，认证管理节点相当于现有认证系统中的请求者。

图2为图1所示的认证系统的认证流程示意图，具体为：

201、请求节点沿预设的认证通道向认证管理节点传递认证请求；

202、认证管理节点收到认证请求后向认证节点传递；

203、认证管理节点、认证节点和认证服务器三者之间按照一定的协议进行认证消息的交互，例如EAP-SIM协议或EAP-AKA协议；同时，认证管理节点与请求节点之间通过预设的认证通道进行认证消息的交互，其中包括认证服务器产生认证结果并通过认证节点传递给认证管理节点；

204、认证管理节点记录认证结果；

205、认证管理节点通知请求节点认证结果。

其中，步骤201又具体包括如图3所示的若干步骤：

301、请求节点向中继节点1发出认证请求，该认证请求由WPAN定义的协议报文承载，报文中包含认证报文标识(表明该报文用于认证)、请求节点地址以及代表本次认证过程的标识。

302、中继节点1识别认证请求，转入认证状态，并记录请求节点和上一跳节点的地址。该记录可以通过建立认证路由表来实现。由于请求节点和上一跳节点相同，因此本步骤中，只需要记录请求节点地址。当本实施例中的中继节点处于认证状态时，暂停处理其他业务，接收和处理与本次认证过程相关的认证消息。

303、中继节点1向中继节点2转发认证请求；如果中继节点1的下一跳节点就是认证管理节点，则不存在中继节点2；

304、中继节点2识别认证请求，转入认证状态，并记录请求节点和上一跳节点的地址，例如建立包含请求节点地址和中继节点1地址的认证路由表；

305、中继节点2向认证管理节点转发认证请求；

306、认证管理节点识别认证请求，记录请求节点和上一跳节点的地址，例如建立包含请求节点地址和中继节点2地址的认证路由表，并为请求节点创建认证信息存储空间，该存储空间用于保存请求节点地址、认证结果(包括认证成功或认证失败)以及授权信息；

307、认证管理节点制定安全策略，例如预设的密钥算法。

需要说明的是，在预设认证通道时，优选的是，相邻节点都呈父子关系，即从请求节点到认证管理节点的方向上，下一跳节点都是上一跳节点的父节点。例如，中继节点1是请求节点的父节点，中继节点2是中继节点1的父节点，认证管理节点是中继节点2的父节点。由于子节点存储有父节点的地址，并且父节点唯一，因此在子节点向父节点传递消息时，不需要进行建立路由的过程，相对于其他随机的认证通道而言，有利于消息的快速传递，并且安全性和稳定性好。当相邻节点之间不呈父子关系时，请求节点在发出认证请求之前需要查找路由表，如果没有到达认证管理节点的路由表项，则请求节点需要建立到达认证管理节点的路由，在建立路由过程中，每个上一跳节点需要选择下一跳节点并记录下一跳节点的地址，以使后续进行认证消息交互时，可以遵循同样的路径。

另外，中继节点1和中继节点2都是经过了认证管理节点认证的节点。请求节点与认证管理节点之间也可能没有中继节点，则请求节点直接向认证管理节点发送认证请求，并且不需要步骤302、303、304和305。

其中，步骤203的详细步骤如图4所示：

本实施例中，认证管理节点、认证节点和认证服务器之间采用EAP-AKA认证协议。

401、认证节点向认证管理节点发送EAP请求，请求获得身份标识；

402、认证管理节点将EAP请求数据包封装到WPAN认证报文中，并按安全策略进行加密；

403、认证管理节点通过预设的认证通道向请求节点传递封装后的WPAN认证报文，中间可能有中继节点的转发；

404、请求节点收到WPAN认证报文后进行解密和解封装，识别EAP请求数据包，并根据EAP请求把含有身份标识信息的EAP应答数据包封装到WPAN认证报文中，按照安全策略加密；

405、请求节点沿认证通道把封装后的WPAN认证报文传递给认证管理节点，中间可能有中继节点的转发；

406、认证管理节点将收到的WPAN认证报文进行解密和解封装，取出身份标识信息；

407、认证管理节点将含有身份标识信息的EAP应答(认证信息应答)传递给认证节点；

408、认证节点将EAP应答转发给认证服务器；

409、认证服务器向认证节点发送含有AKA挑战信息的EAP请求(认证信息请求)；

410、认证节点向认证管理实体转发EAP请求；

411、认证管理节点将EAP请求数据包封装到WPAN认证报文中，并按安全策略进行加密；

412、认证管理节点通过预设的认证通道向请求节点传递封装后的WPAN认证报文，中间可能有中继节点的转发；

413、请求节点收到WPAN认证报文后进行解密和解封装，识别EAP请求数据包，并根据EAP请求把含有AKA应答信息的EAP应答数据包封装到WPAN认证报文中，按照安全策略加密；

414、请求节点沿认证通道把封装后的WPAN认证报文传递给认证管理节点，中间可能有中继节点的转发；

415、认证管理节点将收到的WPAN认证报文进行解密和解封装，取出AKA应答信息；

416、认证管理节点将含有AKA应答信息的EAP应答传递给认证节点；

417、认证节点将EAP应答转发给认证服务器；

418和419、认证服务器发送认证结果，例如认证成功时返回EAP成功信息，并通过认证节点把EAP成功信息传递给认证管理节点。

步骤401至417中，认证节点传递给认证管理节点的各个认证消息中包含的信息可以统称为请求信息，例如EAP请求中的信息、AKA挑战信息；而请求节点传递给认证管理节点的各个认证消息包含的信息可以统称为应答信息，例如身份标识信息、AKA应答信息。

本发明实施例还提供了一种无线接入网络中的认证管理节点设备，用于管理无线接入网络中各节点的认证过程，包括封装和解封装认证消息，传递认证消息，还可以包括制定和管理认证通道的安全策略。如图5所示，该认证管理节点设备包括发送单元501、封装单元502、接收单元503和解封装单元504。

在认证过程中，接收单元503接收到来自于请求节点的认证请求后，发送单元502将该认证请求通过认证节点传递给认证服务器；认证服务器接收到认证请求后生成认证消息，该认证消息包含认证服务器的请求信息，通过认证节点传递给认证管理节点的接收单元503，接收到所述认证消息后，封装单元502将该认证消息进行封装，然后由发送单元501发送给请求节点；请求节点收到该消息后向认证管理节点设备返回一个封装的认证消息，该认证消息包含请求节点的应答信息，该消息被认证管理节点设备的接收单元503接收后，由解封装单元进行解封装，提取出信息并由发送单元501通过认证节点传递给认证服务器。

该认证管理设备还可以包括认证结果存储单元505，在接收单元503接收到认证服务器通过认证节点传来的认证结果后，存储该认证结果。

在本发明实施例中，选取一个固定的节点作为认证管理节点，对WPAN内所有请求节点的认证进行集中处理和管理，有利于对认证情况的管理和监控；并且，认证管理节点、认证节点和认证服务器构成的认证系统架构与传统的认证架构一致，可以充分支持现有的成熟认证机制，对移动通信网络的改动较小，可移植性和可扩展性较强。另外，预设请求节点与认证管理节点之间的认证通道，简化了请求节点和认证管理节点之间建立路由的过程，优选的父子关系的节点形成的认证通道更有利于保障网络的安全性和稳定性。

附图和相关描述只是为了说明本发明的原理，并非用于限定本发明的保护范围，例如，本发明也可以适用于与WPAN具有类似拓扑结构的无线网络。因此，凡在本发明的精神和原则之内所作的任何修改、等同替换、改进等，均包含在本发明的保护范围内。

Claims (13)

1. 一种设备接入通信网络的认证方法，其特征在于，包括：

认证管理节点接收认证请求；

认证管理节点向认证节点传递所述认证请求；

认证节点与请求节点之间通过认证管理节点进行认证消息的交互。

2. 根据权利要求1所述的设备接入通信网络的认证方法，其特征在于：

所述认证请求由请求节点通过预设的认证通道传递给认证管理节点；

在所述进行认证消息交互时，请求节点与认证管理节点之间通过所述预设的认证通道传递认证消息。

3. 根据权利要求2所述的设备接入通信网络的认证方法，其特征在于，所述的认证通道为包括请求节点、中继节点和认证管理节点的无线链路。

4. 根据权利要求2所述的设备接入通信网络的认证方法，其特征在于，所述的认证通道内，上一跳节点存储有下一跳节点的地址。

5. 根据权利要求1所述的设备接入通信网络的认证方法，其特征在于，所述的认证管理节点为无线个人域网络内的协调者。

6. 根据权利要求2所述的设备接入通信网络的认证方法，其特征在于，所述认证消息包括封装后的请求信息；

请求节点收到所述封装的请求信息后，将该信息解封装，并将应答信息封装后沿所述认证通道传递给认证管理节点。

7. 根据权利要求1至6所述的设备接入通信网络的认证方法，其特征在于，所述认证消息的交互包括认证节点向认证管理节点传递认证结果，所述认证结果由认证服务器产生；该认证方法还包括：

认证管理节点记录该认证结果，并将该认证结果通知给请求节点。

8. 一种设备接入通信网络的认证系统，其包括：请求节点和认证节点，请求节点用于发送认证请求和认证消息；其特征在于，还包括：

认证管理节点，用于接收所述认证请求并向认证节点传递该认证请求，和在请求节点与认证节点的认证消息交互过程中传递认证消息；

所述认证节点在认证管理节点与认证服务器之间传递认证消息。

9. 根据权利要求8所述的设备接入通信网络的认证系统，其特征在于，还包括中继节点，用于把来自于请求节点的认证请求传递给认证管理节点，和传递认证管理节点与请求节点之间的认证消息。

10. 根据权利要求8所述的设备接入通信网络的认证系统，其特征在于，所述请求节点与认证管理节点之间通过预设的认证通道传递所述认证请求和认证消息。

11. 根据权利要求8所述的设备接入通信网络的认证系统，其特征在于，所述认证消息包括认证结果，该认证结果由认证服务器产生；所述认证管理节点还用于记录所述认证结果。

12. 一种无线接入网络中的认证管理节点设备，用于管理无线接入网络中的节点的认证过程，其特征在于，包括：

接收单元，用于接收认证消息；

封装单元，用于封装来自认证节点的认证消息；

解封装单元，用于解封装来自请求节点的认证消息；

发送单元，用于将所述封装单元封装后的认证消息发送给请求节点，将解封装单元解封装后的认证消息发送给认证节点。

13. 根据权利要求12所述的认证管理节点设备，其特征在于，接收单元还用于接收来自于认证节点的认证结果，所述认证管理节点设备还包括：

认证结果存储单元，用于存储所述认证结果。

Images