CN101656963A - 网络身份管理方法与系统 - Google Patents

Abstract

一种网络身份管理方法与系统，用以实现一个暂时身份代码与真实身份代码的管理机制，可同时达成匿名、计费、以及授权等功能。上述方法与系统使用短期凭证及相对应的公开/私密金钥对来保护一个可付费的暂时身份代码，可避免暂时身份代码被冒用的风险。使用者对受访网络传来的计费方式声明产生签章。此程序加入现有的以传输层安全标准为基础的认证方法，可达成不可否认的付费机制，可用于多个网络业者的环境，降低网络业者集成的难度。上述方法与系统的认证过程不需要电子凭证废止机制，因此可缩短认证时间。

Description

网络身份管理方法与系统

技术领域

本发明是有关于一种网络身份管理方法与系统，且特别是有关于一种不可追踪的网络身份管理方法与系统。

背景技术

目前有许多无线技术，例如全球微波互联网络(WorldwideInteroperability for Microwave Access，WiMAX)和无线局域网络(WirelessLocal Area Network，WLAN)都使用延伸认证协议(ExtensibleAuthentication Protocol，EAP)架构。图1为已知的包含三个角色的EAP认证模型示意图，其中移动装置101相当于请求装置角色(supplicant)，存取点(access point，AP)102相当于认证装置角色(authenticator)，认证授权计费服务器(authentication，authorization and accounting server，简称为AAA服务器)103相当于认证服务器角色(authentication server)。当使用者想用移动装置101连接网络，必须提供身份代码(identification，ID)给存取点102，然后存取点102将身份代码传送至AAA服务器103，以进行使用者的身份认证、授权、计费等事宜。

图1的认证模型假设三个角色都位在同一个网络业者(network operator)或同一个因特网服务供应者(Internet service provider，ISP)所经营的同一个网络，其实EAP可应用在跨网域网络(inter-domain network)，如图2所示。图2有三个网络，分别是使用者最初建立账号的原网络(home network)230、使用者想连接的受访网络(visited network)210、以及位于上述两个网络之间的代理网络(proxy network)220。以上三个网络各由不同的网络业者或ISP所经营。举例来说，原网络是使用者家中的网络，而受访网络是使用者办公室的网络。

当使用者想连接受访网络210，必须用移动装置201提供身份代码给受访网络210的存取点211。受访网络210没有使用者的身份数据，原网络230才有，因此存取点211必须将身份代码一路传送至原网络230的AAA服务器231以进行认证、授权、计费等事宜。受访网络210的存取点211、AAA服务器212、以及代理网络220的AAA服务器221只是居中转送封包，并不参与移动装置201和AAA服务器231之间的认证过程。

随着隐私(privacy)越来越受重视，使用者普遍希望在不受信任的网络环境可以用暂时身份代码(temporary ID)以避免上网位置及隐私(例如上了什么网站)暴露。上述不受信任的网络环境，可以泛指原网络以外的所有受访网络，尤其在公共无线局域网络环境，会有恶意的假存取点存在，让隐私问题更加重要。

同一个网域中的隐私问题可以用延伸认证协议通道传输层安全标准(Extensible Authentication Protocol-Tunneled Transport LayerSecurity，EAP-TTLS)或保护延伸认证协议(Protected ExtensibleAuthentication Protocol，PEAP)等协议解决，但是在图2的跨网域环境，现有的EAP就不尽理想。为了隐私问题，移动装置201可以用匿名的暂时身份代码和延伸认证协议传输层安全标准(Extensible AuthenticationProtocol-Transport Layer Security，EAP-TLS)或EAP-TTLS，和原网络的AAA服务器231建立安全通道(secure tunnel)，然后将经过加密(encrypted)的真实身份代码传送给AAA服务器231作认证。但是这样一来，居中的受访网络AAA服务器212无法解读经过加密的使用者真实身份代码，因此没办法作计费和授权。

因为EAP架构无法同时提供隐私、计费、及授权，因此因特网工程任务小组(Internet Engineering Task Force，IETF)提出RFC 4372标准来解决这问题。在这标准中，引进了可付费使用者身份代号(Chargeable UserIdentity，CUI)，在EAP封包中新增一字段来携带一个可供ISP收费用的暂时身份代号。然而CUI还是有一些问题，例如CUI只能暂时使用，若是长时间使用，还是可以用来识别使用者。只有发行使用者真实身份代号的原网络ISP知道CUI与真实身份代号如何对应，因此CUI必须以明文(plain text)形式传递，才能让受访网络的业者用CUI来向使用者的原网络ISP收费。这主要是由于EAP尚缺少有效管理CUI的机制。

发明内容

本发明提供一种网络身份管理方法与系统，用以管理使用者的暂时身份代码以及真实身份代码，可同时达成匿名、计费、以及授权等功能。

本发明提出一种网络身份管理方法，包括下列步骤。首先，移动装置向身份管理服务器(ID management server，IMS)申请第一短期凭证(certificate)。此第一短期凭证包括移动装置的使用者的暂时身份代码。然后移动装置使用暂时身份代码登入认证装置所属的受访网络，并且使用第一短期凭证和认证装置建立安全通道。移动装置通过安全通道使用受访网络，移动装置的网络封包皆经由认证装置转发。

本发明还提出一种网络身份管理系统，包括移动装置、认证装置、以及身份管理服务器。移动装置向身份管理服务器申请第一短期凭证。此第一短期凭证包括移动装置的使用者的暂时身份代码。移动装置使用暂时身份代码登入认证装置所属的受访网络，并且使用第一短期凭证和认证装置建立安全通道。移动装置通过安全通道使用受访网络，移动装置的网络封包皆经由认证装置转发。

本发明的网络身份管理方法与系统实现了一个暂时身份代码与真实身份代码的管理机制，可同时达成匿名、计费、以及授权等功能。此外，本发明可保护暂时身份代码不受冒用，可避免计费方面的风险，可以降低网络业者集成的难度，而且可对使用者作快速认证。

为让本发明的上述特征和优点能更明显易懂，下文特举较佳实施例，并配合所附图式，作详细说明如下。

附图说明

图1是已知的包含三个角色的EAP认证模型示意图。

图2是已知的AAA跨网络应用示意图。

图3是依照本发明一实施例的网络身份管理方法流程图。

[主要元件标号说明]

101：移动装置              102：存取点

103：AAA服务器             201：移动装置

210：受访网络              211：存取点

212：AAA服务器             220：代理网络

221：AAA服务器             230：原网络

231：AAA服务器             301：移动装置

310：受访网络           311：存取点

312：AAA服务器          320：原网络

321：AAA服务器          322：身份代码记录服务器

323：身份管理服务器      S301-S313：流程步骤

具体实施方式

图3绘示依照本发明一实施例的网络身份管理系统，与其执行的网络身份管理方法流程。本实施例的网络身份管理系统包括移动装置301、存取点(认证装置)311、AAA服务器(也可以称为计费服务器)312、321、身份代码记录服务器(ID recorder，IDR)322、以及身份管理服务器(identity managementserver，IMS)323。以上六个网络设备通过网络相连，其中存取点311和AAA服务器312属于受访网络310，AAA服务器321、身份代码记录服务器322、以及身份管理服务器323属于使用者最初建立账号的原网络320。原网络320和受访网络310由不同的网络业者或ISP所经营。

移动装置301是使用者用来连接网络的装置，可以是移动电话、个人数字助理(personal digital assistant，PDA)、笔记本型计算机，或其它可连接有线或无线网络的移动电子产品。存取点311的作用是认证使用者的身份，并且转发移动装置301的所有网络封包。在本实施例中，移动装置301连接无线网络，所以用存取点311来认证使用者。在本发明其它实施例中，移动装置301也可以连接有线网络，此时可将存取点311置换为具有相同认证功能的其它认证装置，例如交换器(switch)或路由器(router)。

受访网络310使用AAA服务器312来计费，原网络320使用AAA服务器321来确认使用者身份并且计费。身份代码记录服务器322是用来记录使用者的暂时身份代码和真实身份代码的对应关系。身份管理服务器323是用来发行使用者的短期凭证。以下逐步说明图3的网络身份管理方法流程。

首先，在步骤S301，使用者想连接受访网络310之前，可以通过移动装置301向原网络320的身份管理服务器323申请短期凭证。这个短期凭证包括使用者的暂时身份代码，这个暂时身份代码可让使用者匿名使用受访网络310，而且此暂时身份代码可用来付费。移动装置301可提供使用者原有的长期凭证向身份管理服务器323申请短期凭证，或提供使用者的真实身份代码和密码向身份管理服务器323申请短期凭证。

长期凭证和短期凭证的差别在于有效时间。长期凭证的有效时间较长，例如一年或两年；短期凭证的有效时间较短，例如半天或一天。短期凭证需要定期重新申请，或在每次使用受访网络之前重新申请。长期凭证是传统公开金钥架构(public key infrastructure，PKI)认证方法使用的凭证，在这架构中，双方除了互相认证外，还要去特定的服务器查询凭证废止清单(certificate revocation lis t，CRL)，以确定对方的凭证还有效。短期凭证用完即丢，有效期短，所以相对安全，可达到不可追踪的匿名效果。而且因为短期凭证的有效期很短，认证时不需要查询凭证废止清单，可以简化管理和维护。

移动装置301申请短期凭证之后，在步骤S302，身份管理服务器323将使用者的暂时身份代码以及真实身份代码存入身份代码记录服务器322，以备查询。

接下来，在步骤S303，移动装置301使用短期凭证内的暂时身份代码，经由存取点311登入受访网络310。存取点311通过使用者申请的短期凭证认证移动装置301。存取点311也自备一个短期凭证以供移动装置301认证。存取点311自备的短期凭证可由受访网络310的AAA服务器312定期发放给存取点311(即认证装置)，或是由存取点311定期向AAA服务器312申请。然后移动装置301和存取点311使用延伸认证协议传输层安全标准(以下简称EAP-TLS)建立一个加密的安全通道。步骤S303类似传统的EAP-TLS认证过程，但有两个主要区别。其一是认证程序从移动装置和AAA服务器之间移到移动装置和存取点之间，也就是说本实施例的存取点311支持EAP-TLS的认证程序，如此可减少网络传递时间。其二是使用短期凭证，而不用传统的长期凭证。短期凭证因为有效时间很短，没有被破解盗用之虞，认证的双方可以直接采信，不需要查询凭证废止清单，如此可以去除骨干网络的传输时间，进而减少认证延迟。

建立安全通道后，在步骤S304，存取点311传送费用消息至移动装置301，以告知使用受访网络310的费用计算方式。步骤S304是让使用者和受访网络310协商使用费率。例如移动装置301接收费用消息后，可以显示一个说明计费方式的对话盒，询问使用者是否接受。移动装置301也可以在上述对话盒同时显示多种计费方式，供使用者选择或拒绝。

在步骤S305，当使用者接受受访网络310的使用费率之后，移动装置301传送一个响应的使用消息至存取点311。这个使用消息包括使用者的短期凭证以及数字签章，表示使用者接受受访网络310的费用计算方式。存取点311可利用使用者的短期凭证其中的公开金钥来验证使用者的数字签章，验证通过后就能确认使用者的身份。存取点311验证过使用者的数字签章之后，如步骤S307所示，使用者已经可通过移动装置301和存取点311之间的安全通道使用受访网络310。步骤S306中，则是通过存取点311传送使用消息至AAA服务器312，AAA服务器312验证过使用者的数字签章后，则可开始根据使用消息建立使用记录，记录使用者使用受访网络310的时间与费用。

之后，受访网络310的AAA服务器312可以和原网络320的AAA服务器321进行上述费用的清算(settlement)，如步骤S308至S313所示。步骤S308至S313的清算可以是在线清算(online settlement)或离线清算(off-linesettlement)。在线清算是在移动装置301使用受访网络310时同时进行，而离线清算是在移动装置301注销受访网络310之后进行。离线清算可以定期进行，例如一天一次或一月一次。

如步骤S308，AAA服务器312将上述使用消息传送至AAA服务器321。移动装置301在使用者同意受访网络310的使用费率后，会产生使用者的数字签章送出，因此使用者无法否认使用过受访网络310。如此受访网络310不需要和原网络320之间有直接的漫游协议，也可以向原网络计费。

接下来，在步骤S309，AAA服务器321接收使用消息，其中的短期凭证包括使用者的公开金钥，AAA服务器321使用这个公开金钥验证使用者的数字签章。如果数字签章没通过验证，AAA服务器321在步骤S310-1回复失败消息至AAA服务器312。

如果数字签章通过验证，AAA服务器321在步骤S311根据使用者的暂时身份代码向身份代码记录服务器322查询使用者的真实身份代码。如果查询到真实身份代码，就确认了使用者的身份。接下来，AAA服务器321在步骤S312使用真实身份代码建立使用记录，然后在步骤S310-2回复成功消息至AAA服务器312。

在步骤S313，受访网络310的AAA服务器312收到成功消息之后，可以向原网络320的AAA服务器321收取受访网络310的使用费用。存取点311可根据移动装置301送出的使用消息记录使用者使用受访网络310的时间，然后AAA服务器312可自存取点311取得使用者的暂时身份代码以及使用受访网络310的时间与费用，藉以向AAA服务器321要求收费。AAA服务器321已经在步骤S312建立对应的使用记录，而且可以向身份代码记录服务器322查询暂时身份代码和真实身份代码的对应关系，用以检查AAA服务器312提供的计费方式是否正确。由于受访网络业者要有使用者的暂时身份代码与数字签章才能用来计费，避免了冒用身份代码和浮报费用等风险。

综上所述，本发明的网络身份管理方法与系统实现了一个暂时身份代码与真实身份代码的管理机制，可同时达成匿名、计费、以及授权等功能。

本发明使用短期凭证及相对应的公开/私密金钥对(public/private keypair)来保护一个可付费的暂时身份代码，可避免此暂时身份代码被冒用的风险。

在本发明中，使用者对受访网络传来的使用费说明消息产生数字签章。此程序加入现有的EAP-TLS架构认证方法，可以达成不可否认的付费机制，可用于多个网络业者的跨网域网络。同时这些业者不需有一对一的商业协议(business agreement)，可以降低网络业者集成的难度。

本发明提出的网络身份管理方法和系统不需要查询电子凭证废止清单，这使得认证程序只发生在使用者的移动装置和认证装置(例如无线局域网络的存取点)之间，因此不会增加认证时间，有利于因特网电话(Voice overInternet Protocol，VoIP)或多媒体串流(multimedia streaming)的实时服务。

虽然本发明已以较佳实施例揭露如上，然其并非用以限定本发明，任何所属技术领域中具有通常知识者，在不脱离本发明的精神和范围内，当可作些许的更动与润饰，因此本发明的保护范围当视所附的权利要求范围所界定者为准。

Claims (24)

1.一种网络身份管理方法，包括：

移动装置向身份管理服务器申请第一短期凭证，该第一短期凭证包括该移动装置的使用者的暂时身份代码；

该移动装置使用该暂时身份代码登入认证装置所属的受访网络，并且使用该第一短期凭证和该认证装置建立安全通道；以及

该移动装置通过该安全通道使用该受访网络，该移动装置的网络封包皆经由该认证装置转发。

2.根据权利要求1所述的网络身份管理方法，其中该移动装置使用长期凭证向该身份管理服务器申请该第一短期凭证，该长期凭证的有效时间大于该第一短期凭证的有效时间，该长期凭证在验证时需要查询凭证废止清单，而该第一短期凭证在验证时不需要查询该凭证废止清单。

3.根据权利要求1所述的网络身份管理方法，其中该移动装置使用该使用者的真实身份代码和一密码向该身份管理服务器申请该第一短期凭证。

4.根据权利要求1所述的网络身份管理方法，其中在建立该安全通道时，该认证装置通过该第一短期凭证认证该移动装置，该移动装置通过该认证装置的第二短期凭证认证该认证装置。

5.根据权利要求4所述的网络身份管理方法，其中该认证装置的该第二短期凭证是由第一计费服务器定期发放给该认证装置，或由该认证装置定期向该第一计费服务器申请。

6.根据权利要求1所述的网络身份管理方法，其中该移动装置和该认证装置使用延伸认证协议传输层安全标准建立该安全通道。

7.根据权利要求1所述的网络身份管理方法，还包括：

建立该安全通道后，该移动装置传送使用消息至该认证装置，该使用消息包括该第一短期凭证以及该使用者的数字签章；

该认证装置验证该数字签章后，传送该使用消息至第一计费服务器；以及

该第一计费服务器接收该使用消息，验证该数字签章，并且根据该使用消息建立第一使用记录。

8.根据权利要求7所述的网络身份管理方法，其中该移动装置传送该使用消息的步骤包括：

该认证装置传送费用消息至该移动装置，告知使用该受访网络的费用计算方式；以及

该移动装置传送该使用消息至该认证装置，表示接受该费用计算方式。

9.根据权利要求7所述的网络身份管理方法，还包括：

该第一计费服务器传送该使用消息至第二计费服务器；

该第二计费服务器接收该使用消息，使用该第一短期凭证验证该数字签章；

若该数字签章未通过验证，该第二计费服务器回复失败消息至该第一计费服务器；以及

若该数字签章通过验证，该第二计费服务器根据该使用消息建立第二使用记录，并且回复成功消息至该第一计费服务器。

10.根据权利要求9所述的网络身份管理方法，其中该第二计费服务器验证该数字签章的步骤、该第二计费服务器回复该失败消息的步骤、该第二计费服务器建立该第二使用记录的步骤、以及该第二计费服务器回复该成功消息的步骤都是离线进行。

11.根据权利要求9所述的网络身份管理方法，还包括：

该移动装置申请该第一短期凭证之后，该身份管理服务器将该暂时身份代码以及该使用者的真实身份代码存入身份代码记录服务器；以及

该第二计费服务器接收该使用消息之后，根据该暂时身份代码向该身份代码记录服务器查询该真实身份代码，并且使用该真实身份代码建立该第二使用记录。

12.根据权利要求11所述的网络身份管理方法，还包括：

该认证装置根据该使用消息记录该使用者使用该受访网络的时间；以及

该第一计费服务器自该认证装置取得该暂时身份代码以及该使用者使用该受访网络的时间与费用，藉以向该第二计费服务器收费；

其中该第二计费服务器、该身份管理服务器、以及该身份代码记录服务器属于该使用者的原网络，该认证装置以及该第一计费服务器属于该受访网络，该原网络和该受访网络由不同网络业者经营。

13.一种网络身份管理系统，包括：

移动装置；

认证装置；以及

身份管理服务器；其中

该移动装置向该身份管理服务器申请第一短期凭证，该第一短期凭证包括该移动装置的使用者的暂时身份代码；

该移动装置使用该暂时身份代码登入该认证装置所属的受访网络，并且使用该第一短期凭证和该认证装置建立安全通道；

该移动装置通过该安全通道使用该受访网络，该移动装置的网络封包皆经由该认证装置转发。

14.根据权利要求13所述的网络身份管理系统，其中该移动装置使用长期凭证向该身份管理服务器申请该第一短期凭证，该长期凭证的有效时间大于该第一短期凭证的有效时间，该长期凭证在验证时需要查询凭证废止清单，而该第一短期凭证在验证时不需要查询该凭证废止清单。

15.根据权利要求13所述的网络身份管理系统，其中该移动装置使用该使用者的真实身份代码和一密码向该身份管理服务器申请该第一短期凭证。

16.根据权利要求13所述的网络身份管理系统，其中在建立该安全通道时，该认证装置通过该第一短期凭证认证该移动装置，该移动装置通过该认证装置的第二短期凭证认证该认证装置。

17.根据权利要求16所述的网络身份管理系统，其中该认证装置的该第二短期凭证是由第一计费服务器定期发放给该认证装置，或由该认证装置定期向该第一计费服务器申请。

18.根据权利要求13所述的网络身份管理系统，其中该移动装置和该认证装置使用延伸认证协议传输层安全标准建立该安全通道。

19.根据权利要求13所述的网络身份管理系统，还包括第一计费服务器，其中，建立该安全通道后，该移动装置传送使用消息至该认证装置，该使用消息包括该第一短期凭证以及该使用者的数字签章；该认证装置验证该数字签章后，传送该使用消息至该第一计费服务器；该第一计费服务器接收该使用消息，验证该数字签章，并且根据该使用消息建立第一使用记录。

20.根据权利要求19所述的网络身份管理系统，其中该认证装置传送费用消息至该移动装置，告知使用该受访网络的费用计算方式，然后该移动装置传送该使用消息至该认证装置，表示接受该费用计算方式。

21.根据权利要求19所述的网络身份管理系统，还包括第二计费服务器，其中该第一计费服务器传送该使用消息至该第二计费服务器；该第二计费服务器接收该使用消息，并使用该第一短期凭证验证该数字签章；若该数字签章未通过验证，该第二计费服务器回复失败消息至该第一计费服务器；若该数字签章通过验证，该第二计费服务器根据该使用消息建立第二使用记录，并且回复成功消息至该第一计费服务器。

22.根据权利要求21所述的网络身份管理系统，其中该第二计费服务器以离线方式验证该数字签章、回复该失败消息或该成功消息、并且建立该第二使用记录。

23.根据权利要求21所述的网络身份管理系统，还包括身份代码记录服务器；该移动装置申请该第一短期凭证之后，该身份管理服务器将该暂时身份代码以及该使用者的真实身份代码存入该身份代码记录服务器；该第二计费服务器接收该使用消息之后，根据该暂时身份代码向该身份代码记录服务器查询该真实身份代码，并且使用该真实身份代码建立该第二使用记录。

24.根据权利要求23所述的网络身份管理系统，其中该认证装置根据该使用消息记录该使用者使用该受访网络的时间；该第一计费服务器自该认证装置取得该暂时身份代码以及该使用者使用该受访网络的时间与费用，藉以向该第二计费服务器要求收费；该第二计费服务器、该身份管理服务器、以及该身份代码记录服务器属于该使用者的原网络，该认证装置以及该第一计费服务器属于该受访网络，该原网络和该受访网络由不同网络业者经营。

Images