CN101998406B

CN101998406B - 基于wlan接入认证的业务访问方法

Info

Publication number: CN101998406B
Application number: CN200910169685.1A
Authority: CN
Inventors: 刘利军; 王静; 兰建明; 邵春菊; 段翔; 魏冰
Original assignee: China Mobile Communications Group Co Ltd
Current assignee: China Mobile Communications Group Co Ltd
Priority date: 2009-08-31
Filing date: 2009-08-31
Publication date: 2013-01-16
Anticipated expiration: 2029-08-31
Also published as: CN101998406A

Abstract

本申请提供了一种基于WLAN接入认证的业务访问方法，该方法包括：在终端进行WLAN接入认证过程中，WLAN门户服务器向已通过WLAN接入认证的终端发送Cookie；终端请求访问应用系统的业务，与应用系统关联的业务认证中心根据终端中的Cookie，确定终端已通过WLAN接入认证；所述关联的业务认证中心通过Cookie向WLAN门户服务器发出请求，由WLAN门户服务器提供终端身份令牌；所述关联的业务认证中心将获得的终端身份令牌发送给应用系统；以及应用系统根据终端身份令牌向终端提供业务访问。通过以上方法，终端在通过WLAN接入认证后无需业务认证就能访问多个应用系统提供的业务，改善了用户体验，减轻了应用系统的系统开销。

Description

基于WLAN接入认证的业务访问方法

技术领域

本申请涉及无线通信领域，尤其涉及一种基于WLAN接入认证的业务访问方法。

背景技术

随着无线通信技术的发展和社会信息化程度的提高，一方面，经由WLAN(Wireless Local Area Network，即无线局域网)对提供增值业务的应用系统的访问需求日益增加，另一方面，能够提供业务访问的应用系统也越来越多。

图1示出了一种WLAN接入认证系统1的结构，可包括终端11、接入点(Access Point，简称AP)12、接入控制点(Access Controller，简称AC)13、接入认证服务器14和门户(Portal)服务器15。在系统1中，接入点12可提供终端11的无线接入。接入控制点13对终端11接入WLAN的过程进行控制。接入控制点13、接入认证服务器14和门户服务器15协同完成对终端11的接入认证。本申请人的第200610169785.0号未决中国专利申请(公开号为CN 101212297A)中详细描述了这种WLAN接入认证方法，该申请的全部内容并入本文作为参考，此处不再赘述。

图2示出了一种单点登录系统2，使终端通过一次业务认证便能访问多个应用系统的业务。系统2可包括应用系统、业务认证中心和终端数据库。应用系统可分为一级应用系统21和二级应用系统22，并分别与一级业务认证中心23和二级业务认证中心24关联。应用系统可通过关联的业务认证中心获取所需的终端身份令牌，并根据终端身份令牌向终端提供业务访问。每个二级业务认证中心24与记录有多个终端信息的终端数据库25关联。在本申请人尚未公开的第200810116578.8号中国专利申请中详细描述了这种单点登录方法，该申请的全部内容并入本文作为参考，此处不再赘述。

但是，由于上述WLAN接入认证与单点登录系统的业务认证彼此独立，终端通过WLAN接入认证后，仍需要进行至少一次业务认证才能访问应用系统提供的业务。这样的重复认证不仅影响了用户体验，而且由于应用系统需要维护业务认证所需的终端数据而增加了系统开销。

发明内容

为了克服现有技术中的重复认证问题，根据本申请的一个实施方案，提供了一种基于WLAN接入认证的业务访问方法，该方法包括：在终端进行WLAN接入认证过程中，WLAN门户服务器向已通过WLAN接入认证的终端发送Cookie；终端请求访问应用系统的业务，与应用系统关联的业务认证中心根据终端中的Cookie，确定终端已通过WLAN接入认证；所述关联的业务认证中心通过Cookie向WLAN门户服务器发出请求，由WLAN门户服务器提供终端身份令牌；所述关联的业务认证中心将获得的终端身份令牌发送给应用系统；以及应用系统根据终端身份令牌向终端提供业务访问。

通过以上方法，终端通过WLAN接入认证后，无需业务认证就能访问多个应用系统提供的业务，改善了用户体验，减轻了应用系统的系统开销。

附图说明

图1为一种WLAN接入认证系统的结构示意图；

图2为一种单点登录系统的结构示意图；

图3为根据本申请第一实施方案的基于WLAN接入认证的业务访问方法的流程图；

图4为根据本申请第二实施方案的基于WLAN接入认证的业务访问方法的流程图；

图5为根据本申请第三实施方案的基于WLAN接入认证的业务访问方法的流程图；

图6为根据本申请第四实施方案的基于WLAN接入认证的业务访问方法的流程图；

图7为本申请一个具体应用场景的基于WLAN接入认证的业务访问方法的处理流程图。

具体实施方式

根据本申请，在终端发起访问某个应用系统业务的请求时，如果终端已经通过了WLAN接入认证，则应用系统能够通过WLAN门户服务器获取终端身份令牌，根据终端身份令牌为终端提供业务访问，而不必进行业务认证。本领域技术人员能够理解，终端身份令牌是应用系统为终端提供业务访问所需的信息，可包括例如终端的MSISDN(Mobile Station international ISDN number，即移动台国际ISDN号码)、计费信息等。

在现有的WLAN接入方法中，门户服务器可向终端发送接入认证结果页面。根据本申请的一个实施方案，门户服务器在终端通过WLAN接入认证时，除了向终端发送接入认证结果页面之外，还可向终端发送Cookie。Cookie是一个保存在终端的文本文件，由门户服务器向终端发送的Cookie的内容可包括接入认证通过标志。接入认证通过标志可以是能够确定终端已通过WLAN接入认证的各种信息，作为一个非限制性实例，可以是WLAN门户服务器标识，例如门户服务器的名称或地址等。此外，门户服务器向终端发送的Cookie还可包括该终端的终端标识索引。在本申请中，终端标识是可唯一确定终端身份的识别码，例如终端的MSISDN，而终端标识索引指的是门户服务器能够通过其确定终端标识的信息。作为一个实施例，门户服务器中设置有终端标识表，其中每个终端标识与一个终端标识索引相对应，这样，门户服务器可根据终端标识索引，通过查找终端标识表获取对应的终端标识。可以理解，门户服务器可在终端进行WLAN接入认证的过程中获取终端标识，因此，门户服务器可在每次获取终端标识之后，在终端标识表中添加终端标识与终端标识索引的对应关系。

因此，已通过WLAN接入认证的终端中保存有包含接入认证通过标志和终端标识索引的Cookie。可以理解，门户服务器可以将Cookie随接入认证结果页面发送给终端，也可以在发送接入认证结果页面之前或之后单独地向终端发送Cookie。

下面参照图3至图6，详细描述根据本申请基于WLAN接入认证的业务访问方法，其中，提供业务访问的系统采用如图2所示的两级架构。图3至图6所示的方法的第一步骤(图3中的步骤301、图4中的步骤401、图5中的步骤501和图6中的步骤601)均为如上所述的门户服务器向已通过WLAN接入认证的终端发送Cookie的步骤。可以理解，在终端向应用系统发出业务访问请求后，应用系统可检查在该应用系统中是否已有终端身份令牌，若有，则可直接为终端提供业务访问。因此，只有在应用系统中没有请求业务访问的终端的终端身份令牌的情况下，才会执行如图3至图6所示方法的第一步骤之后的各个步骤。

在如图3所示的根据本申请第一实施方案的方法中，在步骤301之后，当终端发起对应用系统业务的访问请求时，与该应用系统相关联的业务认证中心可根据终端中的Cookie判断终端是否通过了WLAN接入认证(步骤302)。这时，应用系统将业务访问请求重定向至与该应用系统关联的业务认证中心，例如，如果终端想要访问的是一级应用系统的业务，则由与该一级应用系统相关联的一级业务认证中心判断该终端是否通过WLAN接入认证；如果终端想要访问的是二级应用系统的业务，则由与该二级应用系统相关联的二级业务认证中心判断该终端是否通过WLAN接入认证。如上所述，Cookie例如可包含接入认证通过标志和终端标识索引，因此，业务认证中心例如可根据终端中的Cookie所包含的接入认证通过标志，确定该终端已通过了WLAN接入认证。

然后，业务认证中心可通过Cookie向门户服务器发出请求，由门户服务器提供终端身份令牌(步骤303)。业务认证中心接收到终端身份令牌之后，将之发送给应用系统(步骤304)，应用系统可根据终端身份令牌向终端提供业务访问(步骤305)。可以理解，在业务认证中心向应用系统发送终端身份令牌的步骤304中，业务认证中心也可以先将终端身份令牌发送给终端，再由终端发送给应用系统，以便于应用系统向该终端提供所需的业务访问。

可以理解，可在业务认证中心与门户服务器之间以及业务认证中心与应用系统之间建立安全传输信道来进行终端标识和终端身份令牌的传输。作为一个示例，在进行终端标识和终端身份令牌传输时，可在业务认证中心与门户服务器之间以及业务认证中心与应用系统之间建立VPN(Virtual Private Network，即虚拟专用网)，例如SSL安全隧道。

根据如图4所示的本申请的第二实施方案，在步骤401后，业务认证中心可根据终端中的Cookie确定终端已通过WLAN接入认证(步骤402)，业务认证中心可从Cookie中取得终端标识索引，向门户服务器发送终端标识索引来请求终端身份令牌(步骤403)。如上所述，门户服务器向终端发送的Cookie可包括该终端的终端标识索引，并且门户服务器配置并维护有记录有终端标识索引与终端标识对应关系的终端标识表。因此，门户服务器可根据接收自业务认证中心的终端标识索引，通过例如查找终端标识表来获取对应的终端标识，根据终端标识向终端归属的二级业务认证中心请求提供终端身份令牌，并将获得的终端身份令牌发送给提出请求的业务认证中心(步骤404)。业务认证中心在获得终端身份令牌后，将其发送给应用系统(步骤405)，应用系统则可根据终端身份令牌向终端提供业务访问(步骤406)。

如上所述，每个二级业务认证中心均与记录有多个终端信息的终端数据库关联。在本申请中，终端“归属”于某个二级业务认证中心，指的是终端的信息记录在与该二级业务认证中心关联的终端数据库中。在向终端归属的二级业务认证中心请求提供终端身份令牌之前，门户服务器可判断终端归属于具体哪个二级业务认证中心。本领域技术人员可以采用通过各种现有方法，使得门户服务器可根据终端标识来确定该终端所归属的二级业务认证中心，本申请对此不再详细描述。在门户服务器向终端归属的二级业务认证中心请求终端身份令牌时，可将终端标识发送给该二级业务认证中心。这样，二级业务认证中心可根据终端标识获取对应的终端身份令牌并将其发送给门户服务器。本领域技术人员可以理解，二级业务认证中心可根据终端标识，采用各种现有方式，查找关联的终端数据库来获取终端身份令牌，这里也不再赘述。

作为图4所示方法的一种可选方案，图5示出了根据本申请第三实施方案的方法，其中，门户服务器可存储终端身份令牌，并且，门户服务器可对之前描述的记录有终端标识索引与终端标识对应关系的终端标识表进行扩展，在其中记录存储的终端身份令牌与终端标识的对应关系。这样，门户服务器可根据终端标识，通过查找扩展的终端标识表，来获取对应的终端身份令牌。下面详细描述图5所示方法的具体步骤。

首先，门户服务器向已通过WLAN接入认证的终端发送Cookie(步骤501)，之后，业务认证中心可根据终端中的Cookie确定请求业务访问的终端已通过WLAN接入认证(步骤502)，并将从Cookie中取得终端标识索引发送给门户服务器以请求终端身份令牌(步骤503)。在图5所示方法的步骤504中，门户服务器可根据接收的终端标识索引获取对应的终端标识，并可根据终端标识来判断门户服务器本地是否存储有所对应的终端身份令牌。可以理解，门户服务器可通过查找上述扩展的终端标识表来判断是否存储有对应的终端身份令牌。)。如果门户服务器本地存储有对应的终端身份令牌，则可将终端身份令牌发送给业务认证中心(步骤505)；另一方面，如果门户服务器本地未存储对应的终端身份令牌，则可根据终端标识请求终端归属的二级业务认证中心提供终端身份令牌，在获得终端身份令牌后，除了将其发送给请求该终端身份令牌的业务认证中心之外，还将终端身份令牌存储在门户服务器本地(步骤506)。在业务认证中心获得的终端身份令牌后，将其发送给应用系统(步骤507)，应用系统则可根据终端身份令牌向终端提供业务访问(步骤508)。可以理解，门户服务器可在每次存储终端身份令牌时，对扩展的终端标识表中的终端身份令牌与终端标识的对应关系进行更新。

可以理解，在图4和图5所示的方法中，可在业务认证中心与门户服务器之间、门户服务器与终端归属的二级业务认证中心之间以及业务认证中心与应用系统之间建立安全传输信道来进行终端标识和终端身份令牌的传输。作为一个示例，在进行终端标识和终端身份令牌传输时，可在业务认证中心与门户服务器之间、门户服务器与终端归属的二级业务认证中心之间以及业务认证中心与应用系统之间建立VPN，例如SSL安全隧道。

在以上参照图3至图5描述的方法中，业务认证中心通过门户服务器获取终端身份令牌后，将其发送给应用系统。作为一种选择，业务认证中心可存储所获取的终端身份令牌，例如，配置终端身份令牌表，并为每个终端身份令牌设置对应的终端身份令牌编号。图6示出了根据这一实施方案的方法，在终端的WLAN接入认证过程中，门户服务器为已通过WLAN接入认证的终端发送Cookie(步骤601)。接着，在业务认证中心根据终端中的Cookie确定终端已通过WLAN接入认证(步骤602)，门户服务器接收到业务认证中心的提供终端身份令牌的请求并向业务认证中心发送终端身份令牌(步骤603)之后，业务认证中心不直接向应用系统发送终端身份令牌，而是将终端身份令牌进行存储，例如，存储在终端身份令牌表中，并为其设置对应的终端身份令牌编号。因此，业务认证中心向应用系统发送的是终端身份令牌编号(步骤604)而并非直接发送终端身份令牌。应用系统在接收到终端身份令牌编号后，可与业务认证中心建立安全传输信道，向业务认证中心提供终端身份令牌编号，由业务认证中心从终端身份令牌表中查找到对应的终端身份令牌，再经由上述安全传输信道将终端身份令牌发送给应用系统(步骤605)。作为一个示例，可在业务认证中心与应用系统之间建立VPN来传输终端身份令牌，例如SSL安全隧道。应用系统得到终端身份令牌后，可根据终端身份令牌向终端提供业务访问(步骤606)。

如之前描述过的那样，业务认证中心可以将终端身份令牌经由终端发送给应用系统，以便于应用系统向该终端提供所需的业务访问。但是通常情况下，业务认证中心与终端之间的传输信道以及终端与应用系统之间的传输信道安全性较差，因此，传输终端身份令牌可能会产生终端身份令牌被窃取的安全隐患。而根据图6所示的方法，业务认证中心经由终端向应用系统发送的信息只是终端身份令牌编号，而终端身份令牌是在安全传输信道中进行传输的，因而改善了安全性。

为了便于理解，下面参照图7，以一个示例性的具体应用场景来说明根据本申请实施例的基于WLAN接入认证的业务访问方法的详细处理过程。

在如图7所示的具体示例中，应用系统A与业务认证中心1相关联，其中，应用系统A可以是一级应用系统或二级应用系统，与之相应，业务认证中心1可以是一级业务认证中心或二级业务认证中心。二级业务认证中心2与记录有终端a的信息的终端数据库B相关联，换言之，终端a归属于二级业务认证中心2。门户服务器P在终端a通过WLAN接入认证时，向终端a发送包含接入认证通过标志和终端标识索引的Cookie，并具有存储终端身份令牌的能力。如图7所示的具体示例的处理流程如下：

步骤701：终端a向应用系统A发起业务访问请求；

步骤702：应用系统A检查是否具有终端a的终端身份令牌，如果有，则跳转到步骤718；

步骤703：应用系统A将终端a的业务访问请求重定向至业务认证中心1；

步骤704：业务认证中心1根据终端a中的Cookie是否具有接入认证通过标志，判断终端a是否已通过WLAN接入认证，若未通过WLAN接入认证，则执行终端a的WLAN接入认证过程；

步骤705：业务认证中心1与门户服务器P建立安全传输信道，向门户服务器P发送从Cookie中取得的终端标识索引来请求终端身份令牌；

步骤706：门户服务器P通过终端标识索引对应的终端标识，检查在其本地是否存储有终端a的终端身份令牌，若有，则执行步骤712；

步骤707：门户服务器P与二级业务认证中心2建立安全传输信道，向二级业务认证中心2发出终端身份令牌请求；

步骤708：二级业务认证中心2向终端数据库B发出终端身份令牌请求；

步骤709：终端数据库B向二级业务认证中心2发送终端身份令牌；

步骤710：二级业务认证中心2通过步骤707建立的安全传输信道将终端身份令牌发送给门户服务器P；

步骤711：门户服务器P将获取的终端身份令牌存储在其本地；

步骤712：门户服务器P通过步骤705中建立的安全传输信道将终端身份令牌发送给业务认证中心1；

步骤713：业务认证中心1存储获取的终端身份令牌，为终端身份令牌设置终端身份令牌编号；

步骤714：业务认证中心1将终端a的业务访问请求重定向至应用系统A，在此过程中向应用系统A发送终端身份令牌编号；

步骤715：应用系统A与业务认证中心1建立安全传输信道，向业务认证中心1发送终端身份令牌编号以请求终端身份令牌；

步骤716：业务认证中心1根据终端身份令牌编号获取终端身份令牌；

步骤717：业务认证中心1通过步骤715中建立的安全传输信道向应用系统A发送终端身份令牌；

步骤718：应用系统A根据终端身份令牌为终端a提供业务访问。

以上参照附图对本申请的示例性的实施方案进行了描述。本领域技术人员应该理解，上述实施方案仅仅是为了说明的目的而所举的示例，而不是用来进行限制，凡在本申请的教导和权利要求保护范围下所作的任何修改、等同替换等，均应包含在本申请要求保护的范围内。

Claims

1.一种基于WLAN接入认证的业务访问方法，包括：

在终端进行WLAN接入认证过程中，WLAN门户服务器向已通过WLAN接入认证的终端发送Cookie；

终端请求访问应用系统的业务，与应用系统关联的业务认证中心根据终端中的Cookie，确定终端已通过WLAN接入认证；

所述关联的业务认证中心通过Cookie向WLAN门户服务器发出请求，由WLAN门户服务器提供终端身份令牌；

所述关联的业务认证中心将获得的终端身份令牌发送给应用系统；以及

应用系统根据终端身份令牌向终端提供业务访问，

其中，WLAN门户服务器配置并维护终端标识表，终端标识表记录有终端标识索引与终端标识的对应关系，所述关联的业务认证中心通过Cookie向WLAN门户服务器发出请求，由WLAN门户服务器提供终端身份令牌的步骤包括：

所述关联的业务认证中心从Cookie中得到的终端标识索引，向WLAN门户服务器发送终端标识索引；

WLAN门户服务器根据终端标识索引通过查询终端标识表获取终端标识，根据终端标识请求终端归属的二级业务认证中心提供终端身份令牌，将获得的终端身份令牌发送给所述关联的业务认证中心。

2.如权利要求1所述的方法，其中，由WLAN门户服务器向已通过WLAN接入认证的终端发送的Cookie包括接入认证通过标志和终端标识索引。

3.如权利要求1所述的方法，其中，WLAN门户服务器能够存储终端身份令牌，终端标识表进一步包括终端身份令牌与终端标识的对应关系。

4.如权利要求3所述的方法，所述关联的业务认证中心通过Cookie向WLAN门户服务器发出请求，由WLAN门户服务器提供终端身份令牌的步骤包括：

所述关联的业务认证中心从Cookie中得到终端标识索引，向WLAN门户服务器发送终端标识索引；

WLAN门户服务器根据终端标识索引通过查询终端标识表获取终端标识，若WLAN门户服务器本地未存储有终端标识对应的终端身份令牌，则WLAN门户服务器根据终端标识请求终端归属的二级业务认证中心提供终端身份令牌，将获取的终端身份令牌存储在WLAN门户服务器本地、并发送给所述关联的业务认证中心；若WLAN门户服务器本地存储有终端标识对应的终端身份令牌，则WLAN门户服务器将终端身份令牌发送给所述关联的业务认证中心。

5.如权利要求1或3所述的方法，其中，在WLAN门户服务器与终端归属的二级业务认证中心之间建立安全传输信道来传输终端身份令牌。

6.如权利要求1所述的方法，其中，在业务认证中心与WLAN门户服务器之间以及业务认证中心与应用系统之间建立安全传输信道来传输终端身份令牌。

7.如权利要求1所述的方法，其中，业务认证中心能够存储终端身份令牌，以及能够为每个终端身份令牌设置对应的终端身份令牌编号，所述关联的业务认证中心将获得的终端身份令牌发送给应用系统的步骤进一步包括：

所述关联的业务认证中心向应用系统发送终端身份令牌编号；

应用系统经由安全传输信道，请求所述关联的业务认证中心根据终端身份令牌编号提供对应的终端身份令牌。