CN101483867B - 无线应用协议业务中用户身份验证方法、相关设备及系统 - Google Patents

Abstract

本发明公开了一种无线应用协议业务中用户身份验证方法、相关设备及系统，以提高WAP业务用户身份验证的有效性及用户信息的安全性，该方法包括：移动信息管理平台接收无线应用协议网关发来的加密后的用户标识信息，所述加密后的用户标识信息由所述网关基于加密信息，对发起无线应用协议业务请求的用户的加密前的用户标识信息进行加密得到的；并基于所述加密信息，对接收到的加密后的用户标识信息进行解密；以及根据解密后的用户标识信息，验证所述用户是否为无线应用协议业务的合法用户。

Description

无线应用协议业务中用户身份验证方法、相关设备及系统

技术领域

本发明涉及移动通信领域中的无线应用协议业务，尤其涉及无线应用协议业务中用户身份验证的方法、系统、无线应用协议网关及移动信息管理平台。

背景技术

随着移动通信的发展，无线应用协议(WAP，Wireless Application Protocol)业务也得到极大促进。

图1为WAP业务流程的网络结构图，结合该图可知，现有技术中，WAP业务的流程为：

用户终端向通用分组无线业务(GPRS，General Packet Radio Service)网络侧的网关GPRS支持节点(GGSN，Gateway GPRS Support Node)发起到MISC的http Get请求消息，该请求消息包含该用户终端所使用的移动IP地址；

GGSN接收到该http Get请求消息后，将该http Get请求消息发送给WAP网关；

WAP网关接收到该http Get请求消息后，查询存储有IP地址与用户号码信息对应关系的数据库，基于该http Get请求消息包含的IP地址，获取该用户终端对应的用户号码信息；获取用户号码信息后，WAP网关在该http Get消息包头插入X-Up-Calling-Line-ID字段，将该用户号码信息以明文方式保存在该字段内，合成新的http Get请求消息，并发送给移动信息管理平台(MISC，Mobile Internet Service Center)。其中X-Up-Calling-Line-ID字段是MISC处理WAP业务的身份认证信息。

MISC接收到该新的http Get请求消息后，解析该请求消息，分离出用户号码信息，再判断该用户号码信息对应的用户是否为WAP业务的签约用户，如果是，则该用户WAP业务的身份验证通过，否则该用户WAP业务的身份验证失败。

由于在新的http Get请求消息中，用户号码是以明文方式保存在X-Up-Calling-Line-ID字段中的，因此可能产生如下问题：

1、在发起http访问请求时，非法用户可能通过get或connect等方式，在http Get请求消息的消息头中，插入伪造的X-Up-Calling-Line-ID字段，并携带伪造的WAP业务签约用户对应的用户号码信息来通过身份验证，从而使得非法用户也可能通过身份验证，降低了身份验证的有效性。

2、由于用户号码信息以明文方式传送，非法用户可在MISC和WAP网关通信的网络上截获该用户号码信息，导致WAP业务用户的身份信息泄露，降低了WAP业务中用户信息的安全性。

为避免上述问题，业界提出在MISC和WAP网关之间进行防火墙IP地址限制管理，但是这样非法用户还是可以通过在WAP网关局域网内模拟WAP网关请求，来在http Get请求消息的消息头中插入伪造的X-Up-Calling-Line-ID字段，携带伪造的WAP业务签约用户对应的用户号码信息来通过身份验证，从而使得非法用户还是能够通过身份验证，降低了身份验证的有效性。

发明内容

本发明实施例提供一种WAP业务中用户身份认证方法、相关设备及系统，以提高WAP业务用户身份验证的有效性及用户信息的安全性。

本发明实施例提供了一种WAP业务中用户身份认证方法，包括：MISC接收WAP网关发来的加密后的用户标识信息，所述加密后的用户标识信息由所述网关基于加密信息，对发起WAP业务请求的用户的加密前的用户标识信息进行加密得到的；并基于所述加密信息，对接收到的加密后的用户标识信息进行解密；以及根据解密后的用户标识信息，验证所述用户是否为WAP业务的合法用户。

本发明实施例提供了一种MISC，包括：标识信息接收单元，用于接收WAP网关发来的加密后的用户标识信息，所述加密后的用户标识信息由所述网关基于加密信息，对发起WAP业务请求的用户的加密前的用户标识信息进行加密得到的；标识信息解密单元，用于基于所述加密信息，对标识信息接收单元接收到的加密后的用户标识信息进行解密；用户身份验证单元，用于根据标识信息解密单元解密后的用户标识信息，验证所述用户是否为WAP业务的合法用户。

本发明实施例提供了一种WAP网关，包括：标识信息加密单元，用于基于加密信息，对发起WAP业务请求的用户的用户标识信息进行加密；标识信息发送单元，用于将标识信息加密单元加密得到的用户标识信息，发送给MISC。

本发明实施例提供了一种WAP业务中用户身份认证系统，包括：WAP网关，用于基于加密信息，对发起WAP业务请求的用户的加密前的用户标识信息进行加密，并发送加密得到的加密后的用户标识信息；MISC，用于接收WAP网关发来的加密后的用户标识信息；并基于所述加密信息，对接收到的加密后的用户标识信息进行解密；以及根据解密后的用户标识信息，验证所述用户是否为WAP业务的合法用户。

本发明实施例由WAP网关将发起WAP业务请求的用户对应的用户标识信息进行加密后发送给MISC，然后MISC对用户标识信息进行解密，再根据解密后得到的用户标识信息，来验证用户是否为WAP业务的合法用户，使得非法用户难以采用伪造用户标识信息的方式，来通过WAP业务用户身份验证，提高了WAP业务用户身份验证的有效性；而且由于用户标识信息已加密，使得WAP网关与MISC之间传递的用户标识信息很难泄露，保证了用户信息的安全。

附图说明

图1为WAP业务流程的网络结构图；

图2为本发明实施例提出的WAP业务用户身份验证方法的流程图；

图3为本发明第一实施例的实施过程示意图；

图4为本发明实施例提出的WAP业务用户身份验证系统的结构示意图。

具体实施方式

针对背景技术提及的问题，本发明实施例提出：由WAP网关将发起WAP业务请求的用户对应的用户标识信息进行加密后发送给MISC，然后MISC对用户标识信息进行解密，再根据解密后得到的用户标识信息，来验证用户是否为WAP业务的合法用户，以避免现有技术的各类问题，提高WAP业务用户身份验证的有效性及用户信息的安全性。

下面结合说明书附图来详细阐述本方案：

图2为本发明实施例提出的WAP业务用户身份验证方法的流程图，由该图可知，本发明实施例进行WAP业务用户身份验证的流程为：

步骤1，MISC接收WAP网关发来的用户标识信息，所述用户标识信息由所述网关基于加密信息，对发起WAP业务请求的用户的用户标识信息进行加密得到的；

所述用户标识信息可以为发起WAP业务请求的用户的身份标识信息，包括用户号码等。

由于用户标识信息通常承载于WAP访问请求消息中，例如http get请求消息由WAP网关发送给MISC，因此WAP网关可以通过如下方式对用户标识信息进行加密：

1、直接加密用户标识信息，然后将加密得到的用户标识信息承载于WAP访问请求消息中，发送给MISC；

2、先将用户标识信息承载于WAP访问请求消息中，再将该请求消息加密，来实现对用户标识信息的加密，然后再将加密后的请求消息发送给MISC。

步骤2，MISC基于所述加密信息，对接收到的用户标识信息进行解密；

步骤3，MISC根据解密后的用户标识信息，验证所述用户是否为无线应用协议业务的合法用户。

上述WAP网关加密、以及MISC解密使用的加密信息可以包括算法信息，此时WAP网关使用该算法对用户标识信息进行加密，即可得到加密后的该用户标识信息。该加密信息也可以包括算法信息及密钥信息，此时WAP网关可以依据该算法，使用密钥对用户标识信息进行加密。除了包括密钥信息及算法信息或包括算法信息外，加密信息通常还包括有效期信息，用于判断密钥信息及算法信息是否还在有效期内等。

其中可以针对不同的安全级别选择不同的加密信息进行加密，这样可以在安全级别较高时，选择破译难度较大的加密信息进行加密、解密处理；在安全级别较低时，选择破译难度较低的加密信息进行加密、解密处理。因为使用破译难度较大的加密信息进行加密、解密，通常需要消耗较大的成本，例如时间、处理资源等，而通过针对不同的安全级别选择合适的加密信息进行加密、解密，则有效地平衡了安全级别与加密成本的关系。

以加密信息包含算法及密钥为例，在不同的安全级别下，算法可以包括例如高级加密标准加密算法、基于RC4的加密算法等；以及密钥可以选择多种密钥，例如在安全级别较高时，选择长度较大的密钥，在安全级别较低时，选择长度较小的密钥等。

此外要使MISC正确解密WAP加密的用户标识信息，WAP网关与MISC均需获得上述加密信息，才能应用该加密信息进行加密、解密处理。本发明实施例提出如下几种方式达到该目的：

1、MISC与WAP网关双方预先协商确定加密信息，然后各自获取该加密信息，进行加密、解密；

例如双方预先协商用于加密、解密的密钥信息及算法信息，该密钥信息及算法信息可以由双方分别各自获取，这样MISC与WAP网关间就可以不进行该密钥信息及算法信息的传递，减少密钥信息及算法信息被泄露的可能性，提高了安全度。

2、WAP网关确定加密信息，使用该加密信息来加密，并将该加密信息发送给MISC；

3、MISC确定加密信息，将该加密信息发送给WAP网关，通知WAP网关使用该加密信息来加密，并在接收到WAP网关发来的加密用户标识信息后，使用该加密信息对加密后的用户标识信息进行解密。

上述方式仅是较佳方式，实际上还有其他多种方式使得WAP网关及MISC获得一致的加密信息，来成功实现加密及解密，例如可以由第三方指定加密信息，然后分别发送给WAP网关及MISC。

此外，在MISC与WAP网关传递加密信息时，为安全起见，可以通过密文方式传送加密信息，也可以通过校验信息的方式对加密信息进行校验。

以加密信息内包含密钥信息、算法信息及有效期信息，WAP网关作为客户端，MISC作为服务器端为例，所述密文方式为：

WAP网关预先获取MISC的公钥，预先获取的方式可以包括人工预装在WAP网关、WAP网关从网络侧下载安装，或者WAP网关从MISC获取等方式。

WAP使用该公钥对加密信息进行加密，并将加密后的加密信息发送给MISC；

MISC确定自身支持该密钥后，应用自身保存的私钥解密接收的加密信息，获取相应的密钥信息、算法信息及有效期信息等。

以MISC向WAP网关发送加密信息为例，所述校验信息方式为：

MISC向WAP网关发送该加密信息，以及依据一定的校验规则对该加密信息进行计算得到的校验信息；

WAP网关接收到校验信息及加密信息后，根据相同的校验规则，对接收的加密信息进行计算得到校验信息，然后比较计算出的校验信息及接收的校验信息是否一致，以判断接收的加密信息是否有效。

下面将以用户号码信息作为用户标识信息、将用户标识信息承载于用户http Get请求消息中及直接加密用户标识信息为例，具体阐述上述方案：

图3为本发明第一实施例的实施过程示意图，由该图及图1可知，该实施例实施过程具体包括：

步骤101，WAP网关根据GGSN发来的http Get请求消息，获取用户号码信息；

其具体过程为：WAP网关根据GGSN发来的http Get请求消息内的移动IP地址，查询存储在数据库的移动IP地址与用户号码信息的对应关系，获取该IP地址对应的用户号码信息，其中该IP地址与用户号码信息由WAP网关从预先接收的radius请求消息(该消息包含该IP地址及用户号码信息)中提取出来并保存在自身数据库中。

步骤102，WAP网关根据加密信息，对用户号码信息进行加密；

所述WAP网关可以但不限于通过下述方式获取加密信息，以加密信息包括密钥信息及算法信息为例：

MISC确定密钥及算法，并将确定的密钥信息、算法信息及相应的校验信息发送给WAP网关；

WAP网关依据双方协商的校验规则，对接收的密钥信息及算法信息进行计算，得到计算出的校验信息；

WAP网关比较接收的校验信息及计算出的校验信息，来确定接收的密钥信息及算法信息是否有效，例如可以在两个校验信息一致时，认为接收的密钥信息及算法信息有效，可以用于用户号码信息的加密；否则无效，再进行相应处理，例如通知MISC重传等。

步骤103，WAP网关在GGSN发来的http Get请求消息中，插入X-Up-Calling-Line-ID字段，该字段包含加密后的用户号码信息；

WAP网关还可以在该消息加入用于说明该消息中的用户号码信息已被加密的加密标识信息，该加密标识信息可以也包含在X-Up-Calling-Line-ID字段。

当然，在该消息中加入加密标识信息是可选的，例如MISC默认发来的httpGet请求消息内的用户标识信息已加密，则无需加入该加密标识信息。

下述步骤假设该消息中的X-Up-Calling-Line-ID字段携带加密标识信息。

步骤104，MISC接收到该http Get请求消息后，解析出加密标识信息及用户号码信息；并根据加密标识信息判断用户号码信息是否被加密；如果加密，转到步骤105，否则转到步骤106；

步骤105，MISC根据WAP网关加密用户号码信息使用的加密信息，对用户号码信息解密，并根据解密后的用户号码信息，验证该用户号码信息对应的用户是否为WAP业务的合法用户，过程结束；

步骤106，MISC根据解析出的用户号码信息，验证该用户号码信息对应的用户是否为WAP业务的合法用户。

另外，本发明实施例还可以通过对承载有用户标识信息的WAP访问请求消息进行加密、解密，来实现对用户标识信息进行加密、解密。

例如在WAP网关获取到用户号码信息后，在接收到的http Get请求消息中，插入X-Up-Calling-Line-ID字段，得到新的http Get请求消息，该字段包含未加密的用户号码信息；然后WAP网关基于加密信息，对新的http Get请求消息进行加密，以实现对用户号码信息的加密，再将加密后的http Get请求消息发送给MISC；MISC在接收到该加密后的http Get请求消息后，基于该加密信息，解密http Get请求消息，并从解密后的http Get请求消息中解析出用户号码信息，以及根据解析出的用户号码信息，验证该用户号码信息对应的用户是否为WAP业务的合法用户。

本发明实施例还提出了WAP业务中用户身份验证的系统及相关设备，请参照图4，为本发明实施例提出的WAP业务用户身份验证系统的结构示意图，由该图可知，本发明实施例提出的身份验证系统包括：

WAP网关10，用于基于加密信息，对发起无线应用协议业务请求的用户的用户标识信息进行加密，并将加密得到的用户标识信息发送给MISC 20；

MISC 20，用于接收WAP网关10发来的用户标识信息；并基于所述加密信息，对接收到的用户标识信息进行解密；以及根据解密后的用户标识信息，验证所述用户是否为无线应用协议业务的合法用户。

其中WAP网关10具体包括：

标识信息加密单元11，用于基于加密信息，对发起无线应用协议业务请求的用户的用户标识信息进行加密；

标识信息发送单元12，用于将标识信息加密单元11加密得到的用户标识信息，发送给MISC 20。

MISC 20具体包括：

标识信息接收单元21，用于接收无线应用协议网关10发来的用户标识信息，所述用户标识信息由所述网关10基于加密信息，对发起无线应用协议业务请求的用户的用户标识信息进行加密得到的；

标识信息解密单元22，用于基于所述加密信息，对标识信息接收单元21接收的用户标识信息进行解密；

用户身份验证单元23，用于根据标识信息解密单元22解密后的用户标识信息，验证所述用户是否为无线应用协议业务的合法用户。

本发明实施例由WAP网关将发起WAP业务的用户对应的用户标识信息进行加密后发送给MISC，然后MISC对用户标识信息进行解密，再根据解密后得到的用户标识信息，来验证用户是否为WAP业务的合法用户，使得非法用户难以采用伪造用户标识信息的方式，来通过WAP业务用户身份验证，提高了WAP业务用户身份验证的有效性；而且由于用户标识信息已加密，使得WAP网关与MISC之间传递的用户标识信息很难泄露，保证了用户信息的安全。

本发明实施例通过以密文方式、校验方式等多种方式来在WAP网关及MISC之间传递加密信息，有效地防止了加密信息的泄露，提高了加密信息传递的安全生，进一步提高了WAP业务用户身份验证的有效性及保证了用户信息的安全。

本发明实施例由WAP网关及MISC通过协商、信息交互等方式来获得加密信息，提高了加密信息渠道来源的多样性，满足不同的实际应用的需要，提高了方案应用的灵活性，有利于方案的推广使用。

本发明实施例基于不同的安全级别，可以应用不同的加密信息，来对用户标识信息进行加密、解密，这样不仅满足了不同安全级别的加密需要，而且有效的对安全级别及加密成本进行了平衡。

显然，本领域的技术人员可以对本发明进行各种改动和变型而不脱离本发明的精神和范围。这样，倘若本发明的这些修改和变型属于本发明权利要求及其等同技术的范围之内，则本发明也意图包含这些改动和变型在内。

Claims (12)

1.一种无线应用协议业务中用户身份验证方法，其特征在于，包括：

移动信息管理平台接收无线应用协议网关发来的加密后的用户标识信息，所述加密后的用户标识信息由所述网关基于加密信息，对发起无线应用协议业务请求的用户的加密前的用户标识信息进行加密得到的；并

基于所述加密信息，对接收到的加密后的用户标识信息进行解密；以及

根据解密后的用户标识信息，验证所述用户是否为无线应用协议业务的合法用户。

2.如权利要求1所述的方法，其特征在于，所述加密后的用户标识信息承载在无线应用协议访问请求消息中；

所述方法还包括移动信息管理平台从所述请求消息中解析出加密后的用户标识信息的步骤。

3.如权利要求1所述的方法，其特征在于，所述加密信息为移动信息管理平台与所述网关预先协商的加密信息。

4.如权利要求1所述的方法，其特征在于，还包括步骤：

移动信息管理平台向所述网关发送所述加密信息，通知所述网关基于接收到的该加密信息加密用户标识信息。

5.如权利要求4所述的方法，其特征在于，还包括步骤：

移动信息管理平台向所述网关发送校验信息，通知所述网关基于接收到的该校验信息校验接收到的该加密信息是否正确。

6.如权利要求1所述的方法，其特征在于，还包括步骤：

移动信息管理平台接收所述网关发送的、对用户标识信息进行加密的加密信息。

7.如1～6任一项权利要求所述的方法，其特征在于，所述加密信息包括算法信息或者包括密钥信息及其算法信息。

8.如权利要求7所述的方法，其特征在于，所述加密信息使用密文方式表示。

9.如权利要求2所述的方法，其特征在于，通过对承载有用户标识信息的无线应用协议访问请求消息进行加密、解密，实现对用户标识信息进行加密、解密。

10.一种移动信息管理平台，其特征在于，包括：

标识信息接收单元，用于接收无线应用协议网关发来的加密后的用户标识信息，所述加密后的用户标识信息由所述网关基于加密信息，对发起无线应用协议业务请求的用户的加密前的用户标识信息进行加密得到的；

标识信息解密单元，用于基于所述加密信息，对标识信息接收单元接收到的加密后的用户标识信息进行解密；

用户身份验证单元，用于根据标识信息解密单元解密后的用户标识信息，验证所述用户是否为无线应用协议业务的合法用户。

11.一种无线应用协议网关，其特征在于，包括：

标识信息加密单元，用于基于加密信息，对发起无线应用协议业务请求的用户的用户标识信息进行加密；

标识信息发送单元，用于将标识信息加密单元加密得到的用户标识信息，发送给移动信息管理平台。

12.一种无线应用协议业务用户身份验证系统，其特征在于，包括：

无线应用协议网关，用于基于加密信息，对发起无线应用协议业务请求的用户的加密前的用户标识信息进行加密，并发送加密得到的加密后的用户标识信息；

移动信息管理平台，用于接收无线应用协议网关发来的加密后的用户标识信息；并基于所述加密信息，对接收到的加密后的用户标识信息进行解密；以及根据解密后的用户标识信息，验证所述用户是否为无线应用协议业务的合法用户。

Images