CN101964976B - 终端鉴权方法以及基站 - Google Patents

Abstract

本发明公开了一种终端鉴权方法以及基站，该方法包括：在基站和终端进行会话建立流程时，基站从终端获取终端的硬件标识符，根据硬件标识符构造鉴权请求消息，并将鉴权请求消息发送给网络鉴权实体；基站接收来自网络鉴权实体的鉴权响应消息，并根据鉴权响应消息确定鉴权结果。本发明减少了空口的开销。

Description

终端鉴权方法以及基站

技术领域

本发明涉及通信领域，具体而言，涉及一种终端鉴权方法以及基站。

背景技术

码分多址(Code Division Multiple Access，简称为CDMA)20001x数据传输优化(Evolution Data Only，简称为EV-DO)系统提供两级的鉴权，一级鉴权是在接入侧，对接入终端的合法性进行验证，并返回网络侧业务处理标识：国际移动用户识别码(InternationalMobie Subscriber Identity，简称为IMSI)；一级鉴权在网络侧，用于对拨号上网用户的合法性进行验证，并分配用户上网的网络协议(Internet Protocol，简称为IP)地址。

EV-DO接入侧的鉴权方式是终端在完成会话建立和空口属性配置协商后，下次空口连接时触发接入鉴权，接入鉴权流程是在空口建立完毕之后，基站发起点对点协议(Point to Point Protocol，简称为PPP)建链流程，首先，进行链路控制协议(Link ControlProtocol，简称为LCP)协商PPP链路的鉴权方式、转义方式以及报文头压缩方式等，基站与终端间的LCP双向协商确认后，LCP协商完成，PPP链路建立。基站发出竞争握手验证协议(ChallengeHandshake Authentication Protocol，简称为CHAP)请求携带鉴权码启动鉴权流程，终端接收到CHAP鉴权请求后，根据请求消息里的鉴权码对终端内配置的密码进行加密，并将网络接入标识(NetworkAccess Identifier，简称为NAI)和密文密码信息通过CHAP响应消息带给基站，基站接收到这些信息后构造Radius报文发送给接入网络(Access Network，简称为AN)认证授权计费(Authentication、Authorization and Accounting，简称为AAA)实体进行用户名和密码的校验，如果AN AAA校验通过，则返回鉴权成功，否则返回鉴权失败。基站接收鉴权结果后，通过CHAP消息将结果通知终端，完成接入鉴权的整个流程后，基站发起PPP的拆链。

图1是根据相关技术的接入鉴权的流程图，如图1所示，鉴权流程包括如下的步骤S101至步骤S109：

步骤S101，终端进行会话建立流程，基站为终端指派单点广播接入终端标识(Unicast Access Termination Identifier，简称为UATI)并获取硬件标识信息。

步骤S102，终端与基站间进行空口属性的配置协商流程，指定空口各层协议子类型以及协议相关参数。

步骤S103，终端与基站进行空口连接建立，完成业务信道的建立。

步骤S104，基站发起与终端的PPP建链流程，基站发出LCP配置请求要求对终端进行CHAP鉴权，终端接收LCP配置请求后，也发出LCP配置请求并应答基站的LCP配置请求，双向LCP协商完成后，PPP建链完成。

步骤S105，基站发出CHAP挑战消息给终端，该CHAP挑战消息里携带有鉴权码。

步骤S106，终端接收到CHAP挑战消息后，解析鉴权码，并用鉴权码对终端写入的密码进行加密，并发出CHAP响应消息，该CHAP响应消息中携带有终端放号的用户名和加密密码信息。

步骤S107，基站接收到消息后，解析CHAP响应消息中的用户名和加密密码信息，并将这些信息和鉴权码一同编码成Radius报文格式的接入请求消息，发送给AN AAA。

步骤S108，AN AAA接收到接入请求消息后，解析接入请求消息中的用户名和加密密码等信息，根据用户名和密码检索本地或者异地数据库，确认用户是否放号以及密码是否正确，如果验证通过，则响应接入接受消息，并携带为终端分配的IMSI信息，否则响应接入拒绝消息；

步骤S109，基站接收到AN AAA响应后，根据响应结果向终端回应CHAP成功或者CHAP失败。

步骤S110，基站发起与终端的PPP拆链流程。

从上述描述可以看出：这种鉴权方式终端和基站建PPP链路，只是为了CHAP的认证流程，CHAP流程结束后PPP就拆链了，PPP的建链过程终端和基站之间会进行多次的交互，占用少量空口资源，如果无线信号不稳定，还会导致PPP建链失败，影响鉴权的时间和成功率。另外，已商用的部分用于特殊环境的定制终端，不支持对终端的用户名和密码的设置或者不支持接入侧的CHAP鉴权协商，按照现有的机制终端将无法完成鉴权流程并接入EV-DO网络进行数据业务。

发明内容

针对相关技术进行终端鉴权时，在无线信号不稳定的情况下会导致PPP建链失败，影响鉴权的时间和成功率，以及按照现有的机制终端可能会无法完成鉴权流程并接入EV-DO网络进行数据业务的问题而提出本发明，为此，本发明的主要目的在于提供一种改进的终端鉴权方案，以解决上述问题。

根据本发明的一个方面，提供了一种终端鉴权方法。

根据本发明的终端鉴权方法包括：在基站和终端进行会话建立流程时，基站从终端获取终端的硬件标识符，根据硬件标识符构造鉴权请求消息，并将鉴权请求消息发送给网络鉴权实体；基站接收来自网络鉴权实体的鉴权响应消息，并根据鉴权响应消息确定鉴权结果。

优选地，在基站从终端获取终端的硬件标识符之后，上述方法还包括：基站保存终端的硬件标识符。

优选地，在基站从终端获取终端的硬件标识符之后，上述方法还包括：基站与终端进行空口属性的配置协商流程，在配置协商流程结束之后，终端释放空口连接，并在终端再次建立连接时，基站发起接入鉴权流程。

优选地，在基站将鉴权请求消息发送给网络鉴权实体之后，上述方法还包括：网络鉴权实体接收来自基站的鉴权请求消息，并解析鉴权请求消息中的硬件标识符；网络鉴权实体根据硬件标识符检索本地或者异地数据库，对硬件标识符进行验证；如果验证通过，则网络鉴权实体向基站发送鉴权成功消息的鉴权响应消息，并在其中携带为这个终端分配的IMSI信息；如果验证不通过，则网络鉴权实体向基站发送鉴权失败消息的鉴权响应消息。

优选地，基站根据鉴权响应消息确定鉴权结果包括：如果鉴权响应消息为鉴权成功消息，则基站确定鉴权成功，并保存鉴权成功消息中携带的IMSI信息；如果鉴权响应消息为鉴权失败消息，则基站确定鉴权失败，并释放终端的连接。

优选地，网络鉴权实体为接入网络认证授权计费实体或存储实体。

根据本发明的另一个方面，提供了一种基站。

根据本发明的基站包括：建立模块，用于与终端进行会话建立流程；获取模块，用于在建立模块与终端进行会话建立流程时，从终端获取终端的硬件标识符；构造模块，用于根据获取模块获取的硬件标识符构造鉴权请求消息；发送模块，用于将构造模块构造的鉴权请求消息发送给网络鉴权实体；接收模块，用于接收来自网络鉴权实体的鉴权响应消息；确定模块，用于根据鉴权响应消息确定鉴权结果。

优选地，上述基站还包括：保存模块，用于保存终端的硬件标识符。

优选地，上述基站还包括：配置模块，用于与终端进行空口属性的配置协商流程；发起模块，用于在配置模块配置的配置协商流程结束之后，且终端释放空口连接、再次建立连接时，发起接入鉴权流程。

优选地，确定模块包括：第一确定子模块，用于在鉴权响应消息为鉴权成功消息的情况下，确定鉴权成功；保存子模块，用于在第一确定子模块确定鉴权成功的情况下，保存鉴权成功消息中携带的IMSI信息；第二确定子模块，用于在鉴权响应消息为鉴权失败消息的情况下，确定鉴权失败；释放子模块，用于在第二确定子模块确定鉴权失败的情况下，释放终端的连接。

通过本发明，在终端进行会话建立流程时，基站根据从终端获取的硬件标识符构造鉴权请求消息，并将鉴权请求消息发送给网络鉴权实体，然后，根据接收来自网络鉴权实体的鉴权响应消息确定鉴权结果，解决了相关技术进行终端鉴权时，在无线信号不稳定的情况下会导致PPP建链失败，影响鉴权的时间和成功率，以及按照现有的机制终端可能会无法完成鉴权流程并接入EV-DO网络进行数据业务的问题，而且减少了空口的开销。

附图说明

此处所说明的附图用来提供对本发明的进一步理解，构成本申请的一部分，本发明的示意性实施例及其说明用于解释本发明，并不构成对本发明的不当限定。在附图中：

图1是根据相关技术的接入鉴权方法的流程图；

图2是根据本发明实施例的接入鉴权方法的流程图；

图3是根据本发明实施例的接入鉴权方法的详细流程图；

图4是根据本发明实施例的基站系统进行优化鉴权的流程图；

图5是根据本发明实施例的网络鉴权实体的鉴权的流程图；

图6是根据本发明实施例的基站的结构框图；

图7是根据本发明实施例的基站的具体结构框图。

具体实施方式

功能概述

考虑到相关技术进行终端鉴权时，在无线信号不稳定的情况下会导致PPP建链失败，影响鉴权的时间和成功率，以及按照现有的机制终端可能会无法完成鉴权流程并接入EV-DO网络进行数据业务的问题，本发明实施例提供了一种改进的终端鉴权方案，该方案涉及CDMA2000 1xEV-DO系统中无线侧对终端的接入鉴权技术(即，针对接入侧的鉴权)，接入鉴权的目的是对终端的合法性进行校验，并返回在网络侧标识用户的IMSI信息，用于用户在网络侧的鉴权和计费功能。该终端鉴权优化方法提供了一种更便捷和快速方式提供对终端的认证以及反馈网络业务需要的相关信息。

需要说明的是，在不冲突的情况下，本申请中的实施例及实施例中的特征可以相互组合。下面将参考附图并结合实施例来详细说明本发明。

方法实施例

根据本发明的实施例，提供了一种接入鉴权方法。图2是根据本发明实施例的接入鉴权方法的流程图，如图2所示，该方法包括如下的步骤S202至步骤S204：

步骤S202，在终端进行会话建立流程时，基站从终端获取终端的硬件标识符，根据硬件标识符构造鉴权请求消息，并将鉴权请求消息发送给网络鉴权实体。然后，基站保存终端的硬件标识符。即，基站系统在进行接入鉴权流程时，不发起与终端的PPP建链流程，直接取会话建立阶段终端通知基站的硬件标识符构造鉴权消息报文发给网络鉴权实体。

具体地，在基站从终端获取终端的硬件标识符之后，基站与终端进行空口属性的配置协商流程，在配置协商流程结束之后，终端释放空口连接，并在终端再次建立连接时，基站发起接入鉴权流程，根据硬件标识符构造鉴权请求消息，并将鉴权请求消息发送给网络鉴权实体。

此后，是网络鉴权实体提供依据终端的硬件标识号进行终端身份验证以及分配IMSI标识的功能。具体地，网络鉴权实体接收来自基站的鉴权请求消息，并解析鉴权请求消息中的硬件标识符；网络鉴权实体根据硬件标识符检索本地或者异地数据库，对硬件标识符进行验证；如果验证通过，则网络鉴权实体向基站发送鉴权成功消息的鉴权响应消息，并在其中携带为这个终端分配的IMSI信息；如果验证不通过，则网络鉴权实体向基站发送鉴权失败消息的鉴权响应消息。

步骤S204，基站接收来自网络鉴权实体的鉴权响应消息，并根据鉴权响应消息确定鉴权结果。

具体地，如果鉴权响应消息为鉴权成功消息，则基站确定鉴权成功，并保存鉴权成功消息中携带的IMSI信息；如果鉴权响应消息为鉴权失败消息，则基站确定鉴权失败，并释放终端的连接。

需要说明的是，上述的网络鉴权实体可以是AN AAA或其它类型的存储实体。

通过该实施例，提出了一种不需要基站和终端建立PPP链路就能完成鉴权流程的优化方法，该方法解决了上述特殊终端的需求，也减少了空口的开销，加快了鉴权的流程。

下面将结合实例对本发明实施例的提供的优化后的鉴权方式进行详细阐述。

图3是根据本发明实施例的接入鉴权方法的详细流程图，如图3所示，包括如下的步骤S301至步骤S305：

步骤S301，终端进行会话建立流程，基站为终端指派UATI并获取终端的硬件标识信息。

步骤S302，终端与基站进行空口属性的配置协商流程，指定空口各层协议子类型以及协议相关参数。

步骤S303，终端与基站进行空口连接建立，完成业务信道的建立。

步骤S304，基站将保存的终端硬件标识信息构造鉴权请求消息发送给网络鉴权实体，这个网络鉴权实体可以是AN AAA或者是其他类型的存储实体，根据实际网络构架来确定。

步骤S305，网络鉴权实体根据鉴权请求消息的硬件标识符，检索本地或者异地数据库，验证用户是否合法，如果验证通过，则回应鉴权接受消息，并携带为终端分配的IMSI信息，否则回应鉴权拒绝消息。

图4是根据本发明实施例的基站系统进行优化鉴权的流程图，如图4所示，包括以下的步骤S401至步骤S403：

步骤S401，在鉴权流程启动后，基站获取保存的硬件标识符信息。

步骤S402，基站根据硬件标识符的类型，对硬件标识符的值进行编码转换，转换成网络鉴权实体能够解析的格式。

步骤S403，构造鉴权请求消息，携带编码后的硬件标识符，发送给网络鉴权实体。

图5是根据本发明实施例的网络鉴权实体的鉴权的流程图，如图5所示，包括以下的步骤S501至步骤S507：

步骤S501，网络鉴权实体接收鉴权请求消息。

步骤S502，网络鉴权实体解码鉴权请求消息，从中提取用户标识信息。

步骤S503，网络鉴权实体使用用户标识信息检索本地或者异地数据库。

步骤S504，判断是否检索到相关信息，如果判断结果为是，则进行到步骤S505，如果判断结果为否，则进行到步骤S507。

步骤S505，如果网络鉴权实体检索到用户标识信息，则取出其对应的IMSI或者根据一定算法生成相应的IMSI信息。

步骤S506，构造并向基站发送鉴权接受消息(即，鉴权成功消息)。

步骤S507，构造鉴权拒绝消息(即，鉴权失败消息)，并将鉴权拒绝消息反馈给基站。

装置实施例

根据本发明的实施例，提供了一种基站，该基站可以用于实现上述的终端鉴权方法。图6是根据本发明实施例的基站的结构框图，如图6所示，该基站包括：建立模块2，获取模块4，构造模块6，发送模块8，接收模块0，确定模块1，下面对上述结构进行描述。

建立模块2，用于与终端进行会话建立流程；获取模块4，连接至建立模块2，用于在建立模块2与终端进行会话建立流程时，从终端获取终端的硬件标识符；构造模块6，连接至获取模块4，用于根据获取模块4获取的硬件标识符构造鉴权请求消息；发送模块8，连接至构造模块6，用于将构造模块6构造的鉴权请求消息发送给网络鉴权实体；接收模块0，用于接收来自网络鉴权实体的鉴权响应消息；确定模块1，连接至接收模块0，用于根据接收模块0接收的鉴权响应消息确定鉴权结果。

图7是根据本发明实施例的基站的具体结构框图，如图7所示，该基站还包括：保存模块3，配置模块5，发起模块7，下面对上述结构进行描述。

保存模块3，连接至获取模块4，用于保存获取模块4获取的终端的硬件标识符；配置模块5，用于与终端进行空口属性的配置协商流程；发起模块7，连接至配置模块5，用于在配置模块5配置的配置协商流程结束之后，且终端释放空口连接、再次建立连接时，发起接入鉴权流程。

进一步地，确定模块1包括：第一确定子模块12，保存子模块14，第二确定子模块16，释放子模块18，下面对上述结构进行描述。

第一确定子模块12，用于在鉴权响应消息为鉴权成功消息的情况下，确定鉴权成功；保存子模块14，连接至第一确定子模块12，用于在第一确定子模块12确定鉴权成功的情况下，保存鉴权成功消息中携带的IMSI信息；第二确定子模块16，用于在鉴权响应消息为鉴权失败消息的情况下，确定鉴权失败；释放子模块18，连接至第二确定子模块16，用于在第二确定子模块16确定鉴权失败的情况下，释放终端的连接。

综上所述，通过本发明的上述实施例，提供了一种改进的终端鉴权方案，该方案涉及CDMA2000 1xEV-DO系统中无线侧对终端的接入鉴权技术(即，针对接入侧的鉴权)，接入鉴权的目的是对终端的合法性进行校验，并返回在网络侧标识用户的IMSI信息，用于用户在网络侧的鉴权和计费功能。该终端鉴权优化方法提供了一种更便捷和快速方式提供对终端的认证以及反馈网络业务需要的相关信息，也减少了空口的开销，加快了鉴权的流程。

显然，本领域的技术人员应该明白，上述的本发明的各模块或各步骤可以用通用的计算装置来实现，它们可以集中在单个的计算装置上，或者分布在多个计算装置所组成的网络上，可选地，它们可以用计算装置可执行的程序代码来实现，从而，可以将它们存储在存储装置中由计算装置来执行，或者将它们分别制作成各个集成电路模块，或者将它们中的多个模块或步骤制作成单个集成电路模块来实现。这样，本发明不限制于任何特定的硬件和软件结合。

以上所述仅为本发明的优选实施例而已，并不用于限制本发明，对于本领域的技术人员来说，本发明可以有各种更改和变化。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (10)

1.一种终端鉴权方法，其特征在于，包括：

在基站和终端进行会话建立流程时，所述基站从所述终端获取所述终端的硬件标识符，根据所述硬件标识符构造鉴权请求消息，并将所述鉴权请求消息发送给网络鉴权实体；

所述基站接收来自所述网络鉴权实体的鉴权响应消息，并根据所述鉴权响应消息确定鉴权结果。

2.根据权利要求1所述的方法，其特征在于，在所述基站从所述终端获取所述终端的硬件标识符之后，所述方法还包括：

所述基站保存所述终端的所述硬件标识符。

3.根据权利要求1所述的方法，其特征在于，在所述基站从所述终端获取所述终端的硬件标识符之后，所述方法还包括：

所述基站与所述终端进行空口属性的配置协商流程，在所述配置协商流程结束之后，所述终端释放空口连接，并在所述终端再次建立连接时，所述基站发起接入鉴权流程。

4.根据权利要求1所述的方法，其特征在于，在所述基站将所述鉴权请求消息发送给网络鉴权实体之后，所述方法还包括：

所述网络鉴权实体接收来自所述基站的鉴权请求消息，并解析所述鉴权请求消息中的所述硬件标识符；

所述网络鉴权实体根据所述硬件标识符检索本地或者异地数据库，对所述硬件标识符进行验证；

如果验证通过，则所述网络鉴权实体向所述基站发送鉴权成功消息的所述鉴权响应消息，并在其中携带为这个终端分配的IMSI信息；如果验证不通过，则所述网络鉴权实体向所述基站发送鉴权失败消息的所述鉴权响应消息。

5.根据权利要求4所述的方法，其特征在于，所述基站根据所述鉴权响应消息确定鉴权结果包括：

如果所述鉴权响应消息为所述鉴权成功消息，则所述基站确定鉴权成功，并保存所述鉴权成功消息中携带的所述IMSI信息；

如果所述鉴权响应消息为所述鉴权失败消息，则所述基站确定鉴权失败，并释放所述终端的连接。

6.根据权利要求1至5中任一项所述的方法，其特征在于，所述网络鉴权实体为接入网络认证授权计费实体或存储实体。

7.一种基站，其特征在于，包括：

建立模块，用于与终端进行会话建立流程；

获取模块，用于在所述建立模块与所述终端进行会话建立流程时，从所述终端获取所述终端的硬件标识符；

构造模块，用于根据所述获取模块获取的所述硬件标识符构造鉴权请求消息；

发送模块，用于将所述构造模块构造的所述鉴权请求消息发送给网络鉴权实体；

接收模块，用于接收来自所述网络鉴权实体的鉴权响应消息；

确定模块，用于根据所述鉴权响应消息确定鉴权结果。

8.根据权利要求7所述的基站，其特征在于，还包括：

保存模块，用于保存所述终端的所述硬件标识符。

9.根据权利要求7所述的基站，其特征在于，还包括：

配置模块，用于与所述终端进行空口属性的配置协商流程；

发起模块，用于在所述配置模块配置的所述配置协商流程结束之后，且所述终端释放空口连接、再次建立连接时，发起接入鉴权流程。

10.根据权利要求7所述的基站，其特征在于，所述确定模块包括：

第一确定子模块，用于在所述鉴权响应消息为鉴权成功消息的情况下，确定鉴权成功；

保存子模块，用于在所述第一确定子模块确定鉴权成功的情况下，保存所述鉴权成功消息中携带的IMSI信息；

第二确定子模块，用于在所述鉴权响应消息为鉴权失败消息的情况下，确定鉴权失败；

释放子模块，用于在所述第二确定子模块确定鉴权失败的情况下，释放所述终端的连接。