CN101621505B

CN101621505B - 接入认证方法及系统、终端

Info

Publication number: CN101621505B
Application number: CN200810128218.XA
Authority: CN
Inventors: 金新海
Original assignee: ZTE Corp
Current assignee: ZTE Corp
Priority date: 2008-06-30
Filing date: 2008-06-30
Publication date: 2014-04-30
Anticipated expiration: 2028-06-30
Also published as: CN101621505A

Abstract

本发明公开了接入认证方法、系统和终端，上述方法包括：终端向业务应用服务器进行认证，在认证成功后，向核心网进行认证；终端接收核心网发送的鉴权挑战值，向业务应用服务器发送鉴权认证请求，并在鉴权认证请求中携带鉴权挑战值的挑战参数；终端接收业务服务器生成的鉴权认证结果，将鉴权认证结果发送到核心网，完成接入认证。通过上述技术方案，能够实现终端向IP多媒体子系统的鉴权接入。

Description

接入认证方法及系统、终端

技术领域

本发明涉及通信领域，并且特别地，涉及一种接入认证方法及系统、终端。

背景技术

IP多媒体子系统(IP multimedia subsystem，简称为IMS)的接入认证机制的实现是整个IMS安全方案实施的第一步，是保证IMS系统安全的关键。

目前，PC软件终端的使用场景不仅是作为一个呼叫终端接人到IMS网络中，同时还具有状态呈现、即时消息、通讯录以及其他功能。在这样的应用场景下，软件终端如果要在整个IMS网络中使用，就必须同时通过IMS网络的鉴权认证以及IMS中业务应用服务器(Application Server，简称为AS)的鉴权认证，在IMS系统中，AS是IMS的应用服务器，是上层应用系统，通常终端接入到核心网是通过会话初始化协议(Session Initiation Protocol，简称为SIP)的REGISTER消息注册的，通过返回的鉴权方式进行鉴权接人认证，认证成功后终端需要通过发送XCAP消息到应用服务器获取个人相关的用户信息，之后的这个过程也必须通过AS的鉴权接人认证。

在UE的接人认证发送到IMS网络中时，需要终端能够提供IP多媒体私有标示(IM Private Identity，简称为IMPI)以及密钥等参数。如果是一个硬件终端，那么它的应用场景一般是固定的账户，所以，硬件终端在使用前输入相关的用户参数即可使用；作为PC客户端来说，可以修改配置文件，设置好自己需要的IP多媒体公有标示(IM Public Identity，简称为IMPU)、IMPI、KI、OP等等必备参数后，通过终端的登录界面输入自己账户密码后，便可以通过IMS网络的鉴权认证，便接人到IMS网络。

但是作为一个软件终端，为保证它的统一性，通常的配置只能是固定的，是用户共用的，不可能为不同的用户去定制一套不同的配置文件，这样很难推广软件终端的使用，然而，目前尚未提出解决软件终端鉴权的技术方案。

发明内容

考虑到软件终端无法鉴权的问题而做出本发明，为此，本发明的主要目的在于提供一种接入认证方法、系统和终端，以解决相关技术中的上述问题。

根据本发明的一个方面，提供了一种接入认证方法，用于终端向IP多媒体子系统进行接入认证。

根据本发明实施例的接入认证方法包括：终端向业务应用服务器进行认证，在认证成功后，向核心网进行认证；终端接收核心网发送的鉴权挑战值，向业务应用服务器发送鉴权认证请求，并在鉴权认证请求中携带鉴权挑战值的挑战参数；终端接收业务服务器生成的鉴权认证结果，将鉴权认证结果发送到核心网，完成接入认证。

其中，上述业务服务器生成的鉴权认证结果具体为：业务应用服务器向归属用户服务器系统或者数据库查询终端的鉴权信息；业务应用服务器根据终端的鉴权信息和挑战参数生成鉴权认证结果。

其中，上述终端的鉴权信息至少包括：终端的IMPI、密钥。

根据本发明的另一方面，提供了一种接入认证方法，用于终端向IP多媒体子系统进行接入认证。

根据本发明实施例的接入认证方法包括：终端向业务应用服务器进行认证；在认证成功后，终端接收业务应用户服务器返回的终端的鉴权信息；终端向核心网进行认证，并接收核心网发送的鉴权挑战值；终端根据鉴权信息和鉴权挑战值生成鉴权认证结果，并将鉴权认证结果返回到核心网，进行接入认证。

此外，在上述终端接收业务应用户服务器发送的鉴权信息之前，进一步包括：业务应用服务器向归属用户服务器系统或者数据库查询终端的鉴权信息。

其中，上述终端的鉴权信息至少包括：终端的IMPI、密钥。

根据本发明的再一方面，提供了一种终端，用于向IP多媒体子系统进行接入认证。

根据本发明实施例的终端包括：第一认证模块，用于向业务应用服务器进行认证，在认证成功后，向核心网进行认证；第一接收模块，用于在接收核心网发送的鉴权挑战值，发送模块，用于向业务应用服务器发送鉴权认证请求，并在鉴权认证请求中携带鉴权挑战值的挑战参数；第二接收模块，用于接收业务服务器生成的鉴权认证结果；第二认证模块，用于将鉴权认证结果发送到核心网，完成接入认证。

根据本法明的再一方面，提供了一种接入认证系统，用于终端向IP多媒体子系统进行接入认证，该系统包括上述终端，并且还包括业务应用服务器，用于向归属用户服务器系统或者数据库查询终端的鉴权信息，并根据终端的鉴权信息和鉴权挑战值的认证生成参数生成鉴权认证结果。

根据本发明的再一方面，提供了另一种终端，用于向IP多媒体子系统进行接入认证。

根据本发明实施例的终端包括：第一认证模块，用于向业务应用服务器进行认证；第一接收模块，用于在认证成功后，接收业务应用户服务器返回的终端的鉴权信息；第二认证模块，用于向核心网进行认证，接收核心网发送的鉴权挑战值，根据鉴权信息和鉴权挑战值生成鉴权认证结果，并将鉴权认证结果返回到核心网，进行接入认证。

根据发明的再一方面，提供了一种接入认证系统，用于终端向IP多媒体子系统进行接入认证，该系统包括上述终端，并且还包括业务应用服务器，用于向归属用户服务器系统或者数据库查询终端的鉴权信息。

借助于本发明的技术方案，能够实现终端向IP多媒体子系统的鉴权接入。

本发明的其它特征和优点将在随后的说明书中阐述，并且，部分地从说明书中变得显而易见，或者通过实施本发明而了解。本发明的目的和其他优点可通过在所写的说明书、权利要求书、以及附图中所特别指出的结构来实现和获得。

附图说明

附图用来提供对本发明的进一步理解，并且构成说明书的一部分，与本发明的实施例一起用于解释本发明，并不构成对本发明的限制。在附图中：

图1是根据本发明方法实施例一的接入认证方法的流程图；

图2是根据本发明方法实施例一的终端接入方法的信令流程图；

图3是根据本发明方法实施例二的接入认证方法的流程图；

图4是根据本发明方法实施例二的终端接入方法的信令流程图；

图5是根据本发明装置实施例一的终端的框图；

图6是根据本发明系统实施例一的接入认证系统的框图；

图7是根据本发明装置实施例二的终端的框图；

图8是根据本发明系统实施例二的接入认证系统的框图。

具体实施方式

以下结合附图对本发明的优选实施例进行说明，应当理解，此处所描述的优选实施例仅用于说明和解释本发明，并不用于限定本发明。

一般来说，PC客户端接入到IMS网络都会使用状态呈现、即时消息、甚至是企业的相关服务器上完成统一通讯的功能，所以，PC软件客户端在实际的使用过程中都需要完成到AS的鉴权认证。作为IMS核心网络系统的一部分，AS与IMS系统是可以信任的并且是有访问修改用户数据的功能的实体。

方法实施例一

根据本发明的实施例，提供了一种接入认证方法，用于终端向IP多媒体子系统进行接入认证，图1是根据本发明方法实施例一的接入认证方法的流程图，如图1所示，包括：

步骤S102，终端向业务应用服务器进行认证，在认证成功后，向核心网进行认证；

步骤S104，终端接收核心网发送的鉴权挑战值，向业务应用服务器发送鉴权认证请求，并在鉴权认证请求中携带鉴权挑战值的挑战参数；

步骤S106，终端接收业务服务器生成的鉴权认证结果，将鉴权认证结果发送到核心网，完成接入认证。

其中，在步骤S106中，业务服务器生成的鉴权认证结果具体为：

业务应用服务器向归属用户服务器系统或者数据库查询终端的鉴权信息，其中，终端的鉴权信息至少包括：终端的IMPI、密钥；

业务应用服务器根据终端的鉴权信息和挑战参数生成鉴权认证结果。

在上述技术方案中，使用户不需要接触到IMPI、密钥等参数，就能够自动完成到IMS核心网络的鉴权。同时也将IMPI、密钥等等用户私有鉴权参数远离了PC软件终端的配置文件，从而达到了PC终端的配置文件的统一性。

下面，结合附图，对上述技术方案进行详细说明。

图2是根据本发明方法实施例一的终端接入方法的信令流程图，如图2所示，包括以下步骤：

步骤1-步骤4，UE向应用服务器AS进行鉴权登陆认证，具体为，向AS发送XCAP(REGISTER)认证消息，并接收AS返回的401消息和200消息，并完成认证；

步骤5，UE向IMS核心网发起注册流程；

步骤6，IMS核心网返回401挑战，包含realm、qop、nonce、opaque参数；

步骤7-10，UE终端向AS服务器索要核心网鉴权的RES，；其中，步骤7中，终端向AS发送XCAP(GET RES)消息，将401挑战中的nonce等参数传给AS，在步骤S7之后，终端接收AS的401消息，并再次向AS发送XCAP(GET RES)消息，在步骤210中，AS根据向HSS查询的IMPI、密钥等等参数结合UE发送的401挑战参数，生成RES，返回到终端；

步骤11-12，UE注册到核心网。

方法实施例二

根据本发明实施例提供了一种接入鉴权方法，用于终端向IP多媒体子系统进行接入认证。在方法实施例一的技术方案中，鉴权的算法以及用户的参数都由服务端生成，但是，在本实施例中，由AS将该用户的IMPI、密钥等鉴权参数直接传递给终端UE，由UE直接完成到IMS核心网络的鉴权接人流程。下面，对上述方案进行详细说明。

图3是根据本发明方法实施例二的接入认证方法的流程图，如图3所示，包括以下处理：

步骤S302，终端向业务应用服务器进行认证；

步骤S304，在认证成功后，终端接收业务应用户服务器返回的终端的鉴权信息；

步骤S306，终端向核心网进行认证，并接收核心网发送的鉴权挑战值；

步骤S308，终端根据鉴权信息和鉴权挑战值生成鉴权认证结果，并将鉴权认证结果返回到核心网，进行接入认证。

步骤S304之前，进一步包括：业务应用服务器向归属用户服务器系统或者数据库查询终端的鉴权信息，其中，终端的鉴权信息至少包括：终端的IMPI、密钥。

下面，结合附图，对上述技术方案进行详细说明，如图4所示，包括以下处理：

步骤1-4，UE终端向AS进行鉴权接入认证发送XCAP(RESGISTER)消息进行认证，并接收AS返回的401消息，认证成功后，AS向UE返回200消息，该消息中携带有该用户的IMPI/IMPU/密钥等等鉴权所需要的参数；

步骤5-8，UE终端发起到IMS核心网络的注册流程，向IMS发送REGISTER消息，并接收IMS返回的401消息和200消息，以完成认证。

装置实施例一

在本实施例中，提供了一种终端，用于向IP多媒体子系统进行接入认证。图5是根据本发明装置实施例一的终端的框图，如图5所示，包括第一认证模块50、第一接收模块52、第二接收模块54、第二认证模块56，下面，对上述模块进行详细说明：

第一认证模块50，用于向业务应用服务器进行认证，在认证成功后，向核心网进行认证；

第一接收模块52，用于在接收核心网发送的鉴权挑战值，发送模块，用于向业务应用服务器发送鉴权认证请求，并在鉴权认证请求中携带鉴权挑战值的挑战参数；

第二接收模块54，用于接收业务服务器生成的鉴权认证结果；

第二认证模块56，用于将鉴权认证结果发送到核心网，完成接入认证。

系统实施例一

根据本发明的实施例，提供了一种接入认证系统，用于终端向IP多媒体子系统进行接入认证，包括终端60，图6是根据本发明系统实施例一的接入认证系统的框图，如图6所示，上述系统还包括：

业务应用服务器62，用于向归属用户服务器系统或者数据库查询终端的鉴权信息，并根据终端的鉴权信息和鉴权挑战值的认证生成参数生成鉴权认证结果。

装置实施例二

根据本发明的实施例，提供了一种终端，用于向IP多媒体子系统进行接入认证，图7是根据本发明装置实施例二的终端的框图，包括第一认证模块70、第一接收模块72、第二认证模块74，下面对上述模块进行详细说明：

第一认证模块70，用于向业务应用服务器进行认证；

第一接收模块72，用于在认证成功后，接收业务应用户服务器返回的终端的鉴权信息；

第二认证模块74，用于向核心网进行认证，接收核心网发送的鉴权挑战值，根据鉴权信息和鉴权挑战值生成鉴权认证结果，并将鉴权认证结果返回到核心网，进行接入认证。

系统实施例二

根据本发明的实施例，提供了一种接入认证系统，用于终端向IP多媒体子系统进行接入认证，包括终端80，图8是根据本发明系统实施例二的接入认证系统的框图，如图8所示，上述系统还包括：

业务应用服务器82，用于向归属用户服务器系统或者数据库查询终端的鉴权信息。

综上所述，借助于本发明的技术方案，能够实现终端向IP多媒体子系统的鉴权接入。

以上所述仅为本发明的优选实施例而已，并不用于限制本发明，对于本领域的技术人员来说，本发明可以有各种更改和变化。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims

1.一种接入认证方法，用于终端向IP多媒体子系统进行接入认证，其特征在于，所述方法包括：

所述终端向业务应用服务器进行认证，在认证成功后，向核心网进行认证；

所述终端接收所述核心网发送的鉴权挑战值，向所述业务应用服务器发送鉴权认证请求，并在所述鉴权认证请求中携带所述鉴权挑战值的挑战参数；

所述终端接收所述业务服务器生成的鉴权认证结果，将所述鉴权认证结果发送到所述核心网，完成接入认证，其中，所述业务服务器生成的鉴权认证结果具体为：所述业务应用服务器向归属用户服务器系统或者数据库查询所述终端的鉴权信息；所述业务应用服务器根据所述终端的鉴权信息和所述挑战参数生成所述鉴权认证结果。

2.根据权利要求1所述的方法，其特征在于，所述终端的鉴权信息至少包括：所述终端的IMPI、密钥。

3.一种接入认证方法，用于终端向IP多媒体子系统进行接入认证，其特征在于，所述方法包括：

所述终端向业务应用服务器进行认证；

在认证成功后，所述终端接收所述业务应用户服务器返回的所述终端的鉴权信息，其中，在所述终端接收所述业务应用户服务器发送的所述鉴权信息之前，进一步包括：所述业务应用服务器向归属用户服务器系统或者数据库查询所述终端的鉴权信息；

所述终端向核心网进行认证，并接收所述核心网发送的鉴权挑战值；

所述终端根据所述鉴权信息和所述鉴权挑战值生成鉴权认证结果，并将所述鉴权认证结果返回到所述核心网，进行接入认证。

4.根据权利要求3所述的方法，其特征在于，所述终端的鉴权信息至少包括：所述终端的IMPI、密钥。

5.一种终端，用于向IP多媒体子系统进行接入认证，其特征在于，所述终端包括：

第一认证模块，用于向业务应用服务器进行认证，在认证成功后，向核心网进行认证；

第一接收模块，用于在接收所述核心网发送的鉴权挑战值；

发送模块，用于向所述业务应用服务器发送鉴权认证请求，并在所述鉴权认证请求中携带所述鉴权挑战值的挑战参数；

第二接收模块，用于接收所述业务服务器生成的鉴权认证结果，其中，所述业务服务器生成的鉴权认证结果具体为：所述业务应用服务器向归属用户服务器系统或者数据库查询所述终端的鉴权信息；所述业务应用服务器根据所述终端的鉴权信息和所述挑战参数生成所述鉴权认证结果；

第二认证模块，用于将所述鉴权认证结果发送到所述核心网，完成接入认证。

6.一种接入认证系统，用于终端向IP多媒体子系统进行接入认证，其特征在于，包括权利要求5所述的终端，所述系统还包括：

业务应用服务器，用于向归属用户服务器系统或者数据库查询所述终端的鉴权信息，并根据所述终端的鉴权信息和所述鉴权挑战值的认证生成参数生成所述鉴权认证结果。

7.一种终端，用于向IP多媒体子系统进行接入认证，其特征在于，所述终端包括：

第一认证模块，用于向业务应用服务器进行认证；

第一接收模块，用于在认证成功后，接收所述业务应用户服务器返回的所述终端的鉴权信息，其中，在端接收所述业务应用户服务器发送的所述鉴权信息之前，进一步包括：所述业务应用服务器向归属用户服务器系统或者数据库查询所述终端的鉴权信息；

第二认证模块，用于向核心网进行认证，接收所述核心网发送的鉴权挑战值，根据所述鉴权信息和所述鉴权挑战值生成鉴权认证结果，并将所述鉴权认证结果返回到所述核心网，进行接入认证。

8.一种接入认证系统，用于终端向IP多媒体子系统进行接入认证，其特征在于，包括权利要求7所述的终端，所述系统还包括：

业务应用服务器，用于向归属用户服务器系统或者数据库查询所述终端的鉴权信息。