CN101431508A

CN101431508A - 一种网络认证方法、系统及装置

Info

Publication number: CN101431508A
Application number: CNA2007101662273A
Authority: CN
Inventors: 郑若滨
Original assignee: Huawei Technologies Co Ltd
Current assignee: Huawei Technologies Co Ltd
Priority date: 2007-11-06
Filing date: 2007-11-06
Publication date: 2009-05-13
Anticipated expiration: 2027-11-06
Also published as: CN101431508B

Abstract

本发明公开了一种网络认证方法，通过在认证者与AAA服务器之间引入AAA代理装置，以EAP－MD5方式获取申请者的用户名，并随机生成MD5挑战字；以EAP－MD5方式获取被挑战的用户密码；将获取的用户名、被挑战的用户密码和随机生成的MD5挑战字以CHAP方式提交AAA服务器进行认证；接收AAA服务器返回的CHAP方式的认证结果，并转换为EAP－MD5方式通知申请者，从而实现了在不改动原有网络AAA服务器的情况下，使网络支持新型的EAP－MD5认证。本发明同时公开了一种网络认证系统及AAA代理装置。

Description

一种网络认证方法、系统及装置

技术领域

本发明涉及认证技术领域，特别涉及一种网络认证方法、系统及装置。

背景技术

目前，在现有需要认证的网络中，通常采用挑战握手认证协议(CHAP，Challenge Handshake Authentication Protocol)对网络的用户进行认证。CHAP认证的基本过程是：网络中的认证者先发送一个随机挑战信息给用户，用户根据此挑战信息和共享的密钥信息，使用单向哈希(HASH)函数计算出响应值，然后发送给认证服务器，认证服务器也进行相同的计算，验证自己的计算结果和接收到的响应值是否一致；如一致则认证通过，否则认证失败。这种认证方法的优点在于密钥信息不需要在通信信道中发送，而且每次认证所交换的信息都不一样，可以很有效地避免监听攻击。

然而，可扩展认证协议(EAP，Extensible Authentication Protocol)以其可扩展特性和更强的安全性，逐渐流行起来，其中使用信息-摘要算法5(MD5，Message-Digest Algorithm 5)的EAP-MD5认证方式成为了未来的发展趋势。

EAP-MD5认证架构如图1所示，包括：申请者(Suppliant)101、认证者(Authenticator)102和AAA Server 103。申请者101和认证者102间的EAP-MD5消息交互由层3(L3，Layer3)认证协议，如网络接入认证承载协议(PANA，Protocol for Carrying Authentication for Network Access)和层2(L2，Layer2)认证协议，如802.1x、802.1af或私钥管理协议(PKM，PrivacyKey Management)承载，在AAA服务器103和认证者102间的CHAP消息交互由AAA协议承载。

申请者101，申请对认证者所属网络的访问许可，关联于一组在认证协议范围内证明其自身身份的设备或证书；它可能是便携式电脑、个人数字助理、移动电话、计算机或路由器等连接在网络上的终端设备。

认证者102，作为认证代理，通过与申请者101进行L2和L3认证协议交互，并代理申请者101与AAA服务器103间进行的AAA认证协议，如半径(RADIUS)协议或直径(Diameter)协议的认证过程，为关联于申请者101的设备提供接入认证和授权。认证者102可以集成于接入节点(AN，Access Node)中。

AAA服务器103，负责对申请者101提供的认证材料进行认证，并向申请者101返回认证的结果和授权的参数。

现有大部分网络中的AAA服务器只支持CHAP认证，不支持EAP-MD5认证，若要现有只支持CHAP认证的网络能够实现EAP-MD5认证，就必须将AAA服务器更换为支持EAP-MD5认证的AAA服务器，而AAA服务器是网络的心脏，更换AAA服务器将可能导致全网的瘫痪；而且，更换AAA服务器的成本相当高，对于保护网络运营商的投资来说是相当不利的。

发明内容

本发明实施例提供一种网络认证系统，无须AAA服务器对EAP-MD5认证的支持，也可实现EAP-MD5认证；

本发明实施例提供一种AAA代理装置，无须AAA服务器对EAP-MD5认证的支持，也可实现EAP-MD5认证；

本发明实施例提供一种网络认证方法，无须AAA服务器对EAP-MD5认证的支持，也可实现EAP-MD5认证；

为达到上述目的，本发明的技术方案具体是这样实现的：

一种网络认证系统，包括认证授权计费AAA代理装置和认证授权计费AAA服务器；

所述AAA代理装置，接收认证者以EAP-MD5方式发来的申请者的认证信息，并转换为CHAP方式提交AAA服务器进行认证；接收AAA服务器返回的CHAP方式的认证结果，并转换为EAP-MD5方式向认证者发送；

所述AAA服务器，根据以CHAP方式从AAA代理装置接收到的认证信息，对申请者进行认证；并以CHAP方式向AAA代理装置返回认证结果。

一种AAA代理装置，该装置包括：认证者连接模块、转换模块和AAA连接模块；

所述认证者连接模块，接收认证者以EAP-MD5方式发来的申请者的认证信息，并将其向转换模块发送；接收转换模块发来的EAP-MD5方式的认证结果，并将其向认证者发送；

所述转换模块，接收认证者连接模块发来的EAP-MD5方式的申请者的认证信息，并将其转换为CHAP方式向AAA连接模块发送；接收AAA连接模块发来的CHAP方式的认证结果，并将其转换为EAP-MD5方式向认证者连接模块发送；

所述AAA连接模块，接收转换模块发来的CHAP方式的认证信息，并将其向AAA服务器发送；接收AAA服务器发来的CHAP方式的认证结果，并将其向转换模块发送。

一种网络认证方法，该方法包括：

以EAP-MD5方式获取申请者的认证信息，并转换为CHAP方式提交AAA服务器进行认证；接收AAA服务器返回的CHAP方式的认证结果，并转换为EAP-MD5方式通知申请者。

由上述的技术方案可见，本发明实施例在认证者与AAA服务器之间引入AAA代理装置(AAA Proxy)，实现了承载于AAA协议的EAP-MD5认证与CHAP认证之间的转换，从而既不用改动原有网络的AAA服务器，又能支持新型的支持EAP-MD5认证的网络终端，避免了更换AAA服务器可能导致的网络问题，且保护了网络运营商已有的网络投资。

附图说明

图1为现有EAP-MD5认证系统结构图；

图2为本发明实施例的EAP-MD5认证系统结构图；

图3为本发明实施例的AAA代理装置的结构图；

图4为本发明实施例的EAP-MD5认证方法流程图。

具体实施方式

为使本发明的目的、技术方案及优点更加清楚明白，以下参照附图并举实施例，对本发明进一步详细说明。

本发明实施例主要是在认证者与AAA服务器之间引入AAA代理装置，实现承载于AAA协议的EAP-MD5认证与CHAP认证之间的转换，从而既不用改动原有网络的AAA服务器，又能支持新型的支持EAP-MD5认证的网络终端。

图2为本发明实施例的EAP-MD5认证系统结构图；

如图所示，该认证系统包括：AAA代理装置203和AAA服务器204；

其中，申请者201支持EAP-MD5认证；认证者202支持EAP-MD5认证；AAA服务器204支持CHAP认证。

所述AAA代理装置203，接收认证者202以EAP-MD5方式发来的申请者的认证信息，并转换为CHAP方式提交AAA服务器204进行认证；接收AAA服务器204返回的CHAP方式的认证结果，并转换为EAP-MD5方式向认证者202发送；

所述AAA服务器204，根据以CHAP方式从AAA代理装置203接收到的认证信息，对申请者201进行认证；并以CHAP方式向AAA代理装置203返回认证结果。

所述系统中进一步包括认证者202；

所述认证者202，与申请者201进行认证启动握手过程，向申请者201发送EAP请求/身份(EAP-Request/Identity)消息；接收申请者201通过EAP应答/身份(EAP-Response/Identity)消息返回的user name，并将该消息向AAA代理装置203转发；接收AAA代理装置203通过EAP请求/MD5挑战字(EAP-Request/MD5 Challenge)消息发来的MD5挑战字，并将该消息向申请者201转发；接收申请者201通过EAP应答/MD5挑战字(EAP-Response/MD5 Challenge)消息发来的用user name对应的用户密码和MD5 Challenge做MD5运算后的结果，即被挑战的用户密码(Challenged-Password)，并将该消息向AAA代理装置203转发；接收AAA代理装置203发来的EAP-成功(EAP-Success)或EAP-失败(EAP-Failure)消息，并将该消息向申请者201转发。

所述AAA代理装置203，接收认证者202通过EAP-Response/Identity消息发来的user name，随机生成一个MD5挑战字(MD5 Challenge)，并将该MD5挑战字通过EAP-Request/MD5 Challenge消息向认证者202发送；接收认证者202通过EAP-Response/MD5 Challenge消息发来的Challenged-Password，做EAP-MD5到CHAP的转换，将EAP Response消息转换为CHAP Response消息；将MD5 Challenge转换为CHAP Challenge，将CHAP Challenge、Challenged-Password和user name通过CHAP Response消息向AAA服务器204发送；接收AAA服务器204发来认证结果，即CHAPSuccess消息或CHAP Failure消息；将CHAP Success消息转换为EAP-Success消息；将CHAP Failure转换为EAP-Failure消息；将EAP-Success消息或EAP-Failure消息向认证者202转发。

所述AAA服务器204，接收AAA代理装置203通过CHAP Response消息发来的CHAP Challenge、Challenged-Password和user name，对这些信息进行认证，判断申请者201是否合法；如果合法，则向AAA代理装置203返回CHAP Success消息；否则向AAA代理装置203返回CHAP Failure消息。

所述申请者201，用于申请网络认证，与认证者202进行认证启动握手过程，接收认证者202发来的EAP请求/身份(EAP-Request/Identity)消息，通过EAP应答/身份(EAP-Response/Identity)消息将用户名(user name)向认证者202发送；接收认证者202通过EAP请求/MD5挑战字(EAP-Request/MD5 Challenge)消息发来的MD5挑战字；将与user name对应的用户密码和MD5 Challenge做MD5算法，生成被挑战的用户密码(Challenged-Password)，并将Challenged-Password通过EAP应答/MD5挑战字(EAP-Response/MD5 Challenge)消息发送给认证者202；接收认证者202发来的EAP-Success或EAP-Failure消息。

在以上认证系统中，AAA代理装置可以继承于IP边缘节点中，也可以独立作为一台设备连接于AAA服务器与认证者之间。

其中，AAA代理装置203的具体结构如图3所示。AAA代理装置203包括：认证者连接模块301、转换模块305和AAA连接模块304；

所述认证者连接模块301，接收认证者202以EAP-MD5方式发来的申请者201的认证信息，并将其向转换模块305发送；接收转换模块305发来的EAP-MD5方式的认证结果，并将其向认证者202发送；

所述转换模块305，接收认证者连接模块301发来的EAP-MD5方式的申请者201的认证信息，并将其转换为CHAP方式向AAA连接模块304发送；接收AAA连接模块304发来的CHAP方式的认证结果，并将其转换为EAP-MD5方式向认证者连接模块301发送；

所述AAA连接模块304，接收转换模块305发来的CHAP方式的认证信息，并将其向AAA服务器204发送；接收AAA服务器204发来的CHAP方式的认证结果，并将其向转换模块305发送。

所述转换模块305进一步包括：挑战字生成单元302和转换单元303

所述挑战字生成单元302，接收认证者连接模块301发来的生成MD5挑战字的指令，随机生成MD5 Challenge，并将生成的MD5 Challenge向认证者连接模块301发送；

所述转换单元303，接收认证者连接模块301发来的user name和EAP-Response/MD5 Challenge消息，将EAP-Response/MD5 Challenge消息转换为CHAP Response消息，并将EAP-Response/MD5 Challenge消息中的MD5 Challenge转换为CHAP Challenge；将CHAP Challenge、user name和EAP-Response/MD5 Challenge消息中的Challenged-Password通过CHAPResponse消息发送给AAA连接模块304；接收AAA连接模块304发来的CHAP Success消息，将其转换为EAP-Success消息，并向认证者连接模块301发送；接收AAA连接模块304发来的CHAP Failure消息，将其转换为EAP-Failure消息，并并向认证者连接模块301发送；

所述认证者连接模块301，接收认证者202通过EAP-Response/Identity消息发来的user name，将该消息中的user name向转换模块303发送，并向挑战字生成模块302发送生成MD5挑战字的指令；接收挑战字生成模块302发来的MD5 Challenge，将该MD5 Challenge通过EAP-Request/MD5Challenge消息向认证者202发送；接收认证者202通过EAP-Response/MD5Challenge消息发来的被挑战的用户密码，并将该消息转发给转换单元303；接收转换单元303发来的EAP-Success消息或EAP-Failure消息，并向认证者202转发；

所述AAA连接模块304，接收转换单元303发来的CHAP Response消息，并将其发送给AAA服务器204；接收AAA服务器204发来的CHAPSuccess消息，并向转换单元303转发；接收AAA服务器204发来的CHAPFailure消息，并向转换单元303转发。

在以上的认证系统中，认证的流程如图4所示，其具体步骤为：

步骤401，认证启动握手；

申请者和认证者启动认证过程，具体的过程依具体承载的L2/L3认证协议而定；这里不做详述。

步骤402，认证者向申请者发送EAP-Request/Identity消息；该消息通过L2/L3认证协议承载。

步骤403，申请者向认证者返回EAP-Response/Identity消息，消息中包括需要认证的设备的user name信息；该消息通过L2/L3认证协议承载。

步骤404，认证者将EAP-Response/Identity消息转发给AAA代理装置；该消息通过AAA认证协议承载；如图中所示的Access-Request消息。

步骤405，AAA代理装置接收到EAP-Response/Identity消息后，随机生成MD5 Challenge，并将该MD5 Challenge通过EAP-Request/MD5 Challenge消息向认证者发送；该消息通过AAA认证协议承载；如图中所示的Access-Challenge消息。

步骤406，认证者将EAP-Request/MD5 Challenge消息转发给申请者；该消息通过L2/L3认证协议承载。

步骤407，申请者收到通过EAP-Request/MD5 Challenge消息发来的MD5 Challenge后，将user name对应的用户密码和MD5 Challenge作为输入，进行MD5运算，生成Challenged-Password，并将Challenged-Password通过EAP-Response/MD5 Challenge消息发送给认证者；该消息通过L2/L3认证协议承载。

步骤408，认证者将EAP-Response/MD5 Challenge消息转发给AAA代理装置；该消息通过AAA认证协议承载；如图中所示的Access-Request消息。

步骤409，AAA代理装置进行EAP-MD5到CHAP的转换，将EAPResponse消息转换为CHAP Response消息；将MD5 Challenge转换为CHAPChallenge，将CHAP Challenge、Challenged-Password和user name通过CHAPResponse消息向AAA服务器204发送；该消息通过AAA认证协议承载；如图中所示的Access-Request消息。

步骤410，AAA服务器根据接收到的CHAP Challenge、Challenged-Password和user name对申请者进行认证，判断申请者是否合法，如果合法，则向AAA代理装置返回CHAP Success消息，如果不合法，则向AAA代理装置返回CHAP Failure消息。该消息通过AAA认证协议承载；如图中所示，CHAP Success消息由Access-Accept消息承载，CHAP Failure消息由Access-Reject消息承载。

步骤411，AAA代理装置做CHAP到EAP-MD5的转换，若收到的CHAPSuccess消息，则将CHAP Success消息转换为EAP-Success消息；若收到的CHAP Failure消息，则将CHAP Failure消息转换为EAP-Failure消息，并将转换后的EAP-Success消息或EAP-Failure消息向认证者发送。该消息通过AAA认证协议承载；如图中所示，EAP-Success消息由Access-Accept消息承载，EAP-Failure消息由Access-Reject消息承载。

步骤412，认证者将EAP-Success消息或EAP-Failure消息向申请者发送，完成认证过程。该消息通过L2/L3认证协议承载。

以上认证过程中，申请者和认证者之间用于承载的L2和L3认证协议中，L2认证协议可以采用如802.1x、802.1af或私钥管理协议(PKM，PrivacyKey Management)等；L3认证协议可以采用PANA或支持EAP的动态主机配置协议(DHCP，Dynamic Host Configuration Protocol)等。

认证者和AAA代理装置之间、AAA代理装置和AAA服务器之间用于承载的AAA认证协议，可以采用RADIUS协议或Diameter协议等。

由上述的实施例可见，本发明的这种在认证者与AAA服务器之间引入AAA代理装置，实现承载于AAA协议的EAP-MD5认证与CHAP认证之间的转换，从而既不用改动原有网络的AAA服务器，又能支持新型的支持EAP-MD5认证的网络终端，避免了更换AAA服务器可能导致的网络问题，且保护了固网运营商已有的网络投资。

所应理解的是，以上所述仅为本发明的较佳实施方式而已，并不用于限定本发明的保护范围，凡在本发明的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims

1、一种网络认证系统，其特征是，包括认证授权计费AAA代理装置和认证授权计费AAA服务器；

2、如权利要求1所述的网络认证系统，其特征是，所述AAA代理装置进一步包括：认证者连接模块、转换模块和AAA连接模块；

3、一种AAA代理装置，其特征是，该装置包括：认证者连接模块、转换模块和AAA连接模块；

4、如权利要求3所述的AAA代理装置，其特征是，所述转换模块进一步包括：挑战字生成单元和转换单元；

所述认证者连接模块，接收认证者发来的用户名，将用户名向转换单元发送，并向挑战字生成单元发送生成MD5挑战字的指令；接收挑战字生成单元发来的MD5挑战字，将该MD5挑战字向认证者发送；接收认证者发来的被挑战的用户密码，并将该被挑战的用户密码转发给转换单元；接收转换单元发来的EAP-成功消息或EAP-失败消息，并向认证者转发；

所述挑战字生成单元，接收认证者连接模块发来的生成MD5挑战字的指令，生成MD5挑战字，并将生成的MD5挑战字向认证者连接模块和转换单元发送；

所述转换单元，接收认证者连接模块发来的用户名和被挑战的用户密码；接收挑战字生成单元发来的MD5挑战字；将MD5挑战字转换为CHAP挑战字；将CHAP挑战字、被挑战的用户密码和用户名通过CHAP应答消息发送给AAA连接模块；若接收到AAA连接模块发来的CHAP成功消息，则将其转换为EAP-成功消息，并向认证者连接模块发送；若接收到AAA连接模块发来的CHAP失败消息，则将其转换为EAP-失败消息，并向认证者连接模块发送；

所述AAA连接模块，接收转换单元发来的CHAP应答消息，并将其发送给AAA服务器；接收AAA服务器发来的CHAP成功消息或CHAP失败消息，并向转换单元转发。

5、一种网络认证方法，其特征是，该方法包括：

6、如权利要求5所述的网络认证方法，其特征是，所述以EAP-MD5方式获取申请者的认证信息，并转换为CHAP方式提交AAA服务器进行认证，包括：

以EAP-MD5方式获取申请者的用户名，并随机生成MD5挑战字；以EAP-MD5方式获取被挑战的用户密码；将获取的用户名、被挑战的用户密码和随机生成的MD5挑战字以CHAP方式提交AAA服务器进行认证。

7、如权利要求6所述的网络认证方法，其特征是，所述以EAP-MD5方式获取申请者的用户名包括：接收认证者发来的EAP-应答/身份消息，从该消息中获取申请者的用户名。

8、如权利要求6所述的网络认证方法，其特征是，所述以EAP-MD5方式获取被挑战的用户密码包括：将所述随机生成的MD5挑战字通过EAP请求/MD5挑战字消息向认证者发送；通过认证者返回的EAP应答/MD5挑战字消息中获取被挑战的用户密码。

9、如权利要求6所述的网络认证方法，其特征是，所述将获取的用户名、被挑战的用户密码和随机生成的MD5挑战字以CHAP方式提交AAA服务器进行认证，包括：将MD5挑战字转换为CHAP挑战字，将用户名、被挑战的用户密码和CHAP挑战字通过CHAP应答消息向AAA服务器发送。

10、如权利要求5所述的网络认证方法，其特征是，所述接收AAA服务器返回的CHAP方式的认证结果，并转换为EAP-MD5方式通知申请者，包括：接收AAA服务器返回的CHAP成功消息或CHAP失败消息，将CHAP成功消息转换为EAP-成功消息，或将CHAP失败消息转换为EAP-失败消息，通过认证者转发给申请者。