CN102056170A - 一种移动终端用户认证鉴权方法及系统 - Google Patents

Abstract

本发明公开了一种移动终端用户认证鉴权方法及系统，其中，该方法包括：A、用户认证鉴权中心接收多媒体网关转发的包含移动终端用户的用户帐号和密码的认证鉴权请求，解析出该用户的移动终端号码；B、用户认证鉴权中心根据移动终端号码获得对应的鉴权序列号组，并根据鉴权序列号组与用户帐号对应的鉴权序列号进行认证；C、根据认证结果进行移动终端用户的鉴权。本发明对认证用户账号和移动终端用户的手机号分别设定鉴权序列号组，认证鉴权时对上述用户帐号和手机号对应的鉴权序列号进行比较，从而实现用户认证和后续鉴权，具备普遍适用性，并且安全性高，可以解决现有技术中用户认证鉴权方法的适用性或安全性差的缺陷。

Description

一种移动终端用户认证鉴权方法及系统

技术领域

本发明涉及通信领域中业务支撑技术，具体地，涉及一种移动终端用户认证鉴权方法及系统。

背景技术

用户认证鉴权技术是电信运营支撑领域普遍使用的技术。用户认证鉴权技术的核心是对用户账号和密码值对进行验证和授权的过程。在实际使用中，为提高用户认证鉴权的安全性，一般会在用户账号和密码值对之外，采取辅助的认证鉴权方法。

现有技术中常用的辅助认证鉴权方法有如下几种：

1.附加验证码的方法，即认证鉴权中心在用户账号和密码值对验证成功后，随机生成一组验证码，通过给用户事先登记在系统中的手机号码发短信，将验证码通知用户，再由用户输入该验证码进行二次验证，以保证用户身份的正确性。

2.CA不对称加密的方法，即为每一个注册用户分配一对不对称密钥，并事先下发密钥对和加解密插件，安装在用户终端中。要求用户和认证鉴权中心之间的认证鉴权交换数据使用这对密钥进行加密，通过用户和认证鉴权中心不对称加解密，保证双方身份的正确性。

除上述的通用的方法外，在特定的业务领域或使用环境下，还有一些其他的认证方法：

3.申请号为“200610140940.6”的中国专利申请文件中公开了一种“验证鉴权序列号”的用户认证鉴权方法，包括：在HLR/AUC产生鉴权参数信息时，在鉴权参数信息中加入HLR/AUC标识信息；用户卡从接收到的鉴权参数信息中解析出HLR/AUC标识；找出对应HLR/AUC标识的本地鉴权序列号组，比较鉴权参数信息中的鉴权序列号和本地鉴权序列号组中相应的鉴权序列号，判断鉴权序列号是否属于可接受的范围。

4.申请号为“200810114362”，的中国专利申请文件中公开了一种“针对机顶盒和电子节目指南系统”的用户认证鉴权方法，包括：接收用户识别卡返回的复位信息；获取用户识别卡中的用户鉴权信息；向电子节目指南发送用户鉴权信息进行首页请求；携带用户鉴权信息向鉴权中心发送业务鉴权认证请求；接收鉴权认证结果。

上述现有的几种用户认证鉴权方法存在着如下缺陷：

1、对最普遍适用的用户账号和密码值对进行验证和授权方法容易泄密，安全性较差，一般需要在此基础上增加辅助方法。

2、附加验证码、CA不对称加密等方法，存在使用局限性，对不需要用户注册的业务环境，并不适用。另外，CA不对称加密方法，需要用户终端支持加解密插件的安装，复杂度要求较高，不适用于移动终端用户的认证鉴权。

3、其他如“验证鉴权序列号”或“针对机顶盒和电子节目指南系统”的认证鉴权方法对网络设备或用户终端设备提出了特定的要求，要求这些设备在传递用户认证信息时，附加特殊参数信息，用于用户认证。因此，其普遍适用性受到了较大的限制。

发明内容

本发明的第一目的是针对现有技术中用户认证鉴权方法的适用性或安全性差的缺陷，提出一种移动终端用户认证鉴权方法，以实现提高认证鉴权的适用性和安全性。

本发明的第二目的是针对现有技术中用户认证鉴权方法的适用性或安全性差的缺陷，提出一种移动终端用户认证鉴权系统，以实现提高认证鉴权的适用性和安全性。

为实现上述第一目的，根据本发明的一个方面，提供了一种移动终端用户认证鉴权方法，包括：A、用户认证鉴权中心接收多媒体网关转发的包含移动终端用户的用户帐号和密码的认证鉴权请求，解析出用户的移动终端号码；B、用户认证鉴权中心根据移动终端号码获得对应的鉴权序列号组，并根据鉴权序列号组与用户帐号对应的鉴权序列号进行认证；C、根据认证结果进行移动终端用户的鉴权。

优选地，移动终端号码对应的鉴权序列号组可以为移动终端号码归属区域的序列号；用户帐号对应的鉴权序列号可以为移动终端的国际移动设备身份码(International Mobile Equipment Identity，简称IMEI)标识序列号。

优选地，移动终端号码为用户手机号，多媒体网关包括短信网关、彩信网关。

步骤B可以包括：用户认证鉴权中心根据用户手机号获得对应的鉴权序列号组；比较用户手机号对应的鉴权序列号组与用户帐号对应的鉴权序列号，判断用户手机号对应的鉴权序列号是否在可接收范围内；当用户手机号对应的鉴权序列号在可接收范围内时，用户认证成功。

为实现上述第二目的，根据本发明的另一个方面，提供了一种移动终端用户认证鉴权系统，包括：多媒体网关，用于接收移动终端用户发送的包含用户帐号和密码的认证鉴权请求；并返回对应的认证鉴权结果通知消息；用户认证鉴权中心，用于根据认证鉴权请求，解析出用户的移动终端号码，获得对应的鉴权序列号组，并根据鉴权序列号组与用户帐号对应的鉴权序列号进行认证，根据认证结果进行移动终端用户的鉴权，向多媒体网关返回认证鉴权结果通知消息。

优选地，用户认证鉴权中心可以包括特服服务模块及用户认证鉴权模块，其中：

特服服务模块，用于根据认证鉴权请求，提取用户认证鉴权的用户帐户和密码，解析用户的移动终端号码，生成包含用户帐号、密码和移动终端号码的用户认证鉴权请求；接收用户认证鉴权模块返回的认证鉴权结果，生成认证鉴权结果通知消息，发送给多媒体网关；

用户认证鉴权模块，用于接收特服服务模块发送的用户认证鉴权请求，比较移动终端号码的鉴权序列号组与用户帐号对应的鉴权序列号是否在可接收范围，并根据认证结果进行移动终端用户的鉴权，返回认证鉴权结果通知消息。

本发明各实施例的移动终端用户认证鉴权方法及系统，对认证用户账号和发送认证鉴权申请的移动终端用户的手机号分别设定鉴权序列号组，认证鉴权时对上述用户帐号和手机号对应的鉴权序列号进行比较，从而实现用户认证，本发明对用户移动终端固有的手机号进行二次验证，弥补了单纯的用户账号/密码认证技术防伪性差的缺陷，提高了移动终端认证鉴权的实用性；同时，用户移动终端的手机号，又是移动运营商各业务系统普遍可获知的信息，使本发明实现时不需要依赖特殊的终端或网络设备，具备普遍适用性。

本发明的其它特征和优点将在随后的说明书中阐述，并且，部分地从说明书中变得显而易见，或者通过实施本发明而了解。本发明的目的和其他优点可通过在所写的说明书、权利要求书、以及附图中所特别指出的结构来实现和获得。

下面通过附图和实施例，对本发明的技术方案做进一步的详细描述。

附图说明

附图用来提供对本发明的进一步理解，并且构成说明书的一部分，与本发明的实施例一起用于解释本发明，并不构成对本发明的限制。在附图中：

图1为根据本发明移动终端用户认证鉴权方法实施例一流程图；

图2为根据本发明移动终端用户认证鉴权方法实施例二信令流程图；

图3为根据本发明移动终端用户认证鉴权系统实施例结构示意图。

具体实施方式

以下结合附图对本发明的优选实施例进行说明，应当理解，此处所描述的优选实施例仅用于说明和解释本发明，并不用于限定本发明。

实施例一

图1为根据本发明移动终端用户认证鉴权方法实施例一流程图。如图1所示，本实施例包括：

步骤S102：用户认证鉴权中心接收多媒体网关转发的包含移动终端用户的用户帐号和密码的认证鉴权请求，解析出用户的移动终端号码，如用户手机号；

步骤S104：用户认证鉴权中心根据移动终端号码获得对应的鉴权序列号组，并根据鉴权序列号组与用户帐号对应的鉴权序列号进行认证；

步骤S106：根据认证结果进行移动终端用户的鉴权。

本实施例中，对认证用户账号和移动终端用户的手机号分别设定鉴权序列号组，认证鉴权时对上述用户帐号和手机号对应的鉴权序列号进行比较，从而实现用户认证，本发明对用户移动终端固有的手机号进行二次验证，弥补了单纯的用户账号/密码认证技术防伪性差的缺陷，提高了移动终端认证鉴权的实用性；同时，用户移动终端的手机号，又是移动运营商各业务系统普遍可获知的信息，使本发明实现时不需要依赖特殊的终端或网络设备，具备普遍适用性。

实施例二

图2为根据本发明移动终端用户认证鉴权方法实施例二信令流程图。图2可以同时作为本发明移动终端用户认证鉴权系统的实施例解析示意图。如图2所示，本实施例包括：

步骤1，用户A向认证鉴权中心发送认证鉴权请求短信，该请求短信中包含用户账号(本实施例为移动终端用户的IMEI)和密码以及特服号码(用于标识该请求用于认证鉴权)；

步骤2，短信网关根据特服号码对该请求短信进行转发，发送到用户认证鉴权中心的特服服务模块；

步骤3，特服服务模块从用户认证鉴权请求短信中解析出用户发送短信的移动终端号码，本实例例为手机号；

步骤4，特服服务模块把该用户的手机号、用户账号和密码合成为一用户鉴权请求；

步骤5，特服服务模块把用户鉴权请求发送到用户认证鉴权模块；

步骤6，用户认证鉴权模块首先验证用户账号和密码，如果验证成功执行步骤7，否则直接返回验证失败的信息给用户(具体返回失败信息的过程类似步骤10-12，图2中为示出)；

步骤7，在用户账号和密码验证通过后，用户认证鉴权模块查询用户手机号对应的鉴权序列号组，该鉴权序列号组可以为手机号归属区域的序列号，具体参见下表一：

表一移动终端手机号(手机号段)对应的鉴权序列号组

手机号段	号段分配的地市序	地市所属省的序列
				列号组	号组
139000XXXXX	550	551
			138000XXXXX	660	200
137000XXXXX	220	220
			158000XXXXX	766	200
135000XXXXX	932	931
				……	……

如第一个139000XXXXX对应的鉴权序列号即为551550，每一个手机号码都可以对应一个鉴权序列号组，本实施例只分配到地市，具体应用时还可以具体到地市的某个区等，以便于后续认证是否属于可接收的范围；

步骤8，比较用户手机号对应的鉴权序列号和用户账号对应的鉴权序列号，用户帐号对应的鉴权序列号可以为该移动终端用户的IMEI标识序列号，具体参见下表二：

表二用户帐号对应的鉴权序列号

如终端IMEI为820055000304389对应的鉴权序列号为551550，每个用户帐号都可以对应一个鉴权序列号；

根据表一和表二，判断用户手机号对应的鉴权序列号是否在可接收范围内，如用户手机号鉴权序列号组为××，表示归属于陕西省A市B县C区，用户帐号对应的鉴权序列号为××，表示该终端属于陕西省A市B县。可以事先设定如果两个序列号属于同一省同一市的即为可接收的范围判断认证成功，否则不可接收，认证失败；

步骤9，用户身份认证完毕后，进行用户鉴权，如根据用户身份鉴权是否享有某项业务的优惠等；

步骤10，用户认证鉴权模块将认证鉴权结果反馈给特服服务模块；

步骤11，特服服务模块把认证鉴权结果生成认证鉴权结果通知短信；

步骤12，特服服务模块发送用户认证鉴权结果通知短信；

步骤13，短信网关把用户认证鉴权结果通知短信发送到用户终端上。

至此，用户通过短信进行的移动终端认证鉴权的流程结束。本实施例针对移动终端用户的认证鉴权提出了一种普遍适用的方法，由于该方法对终端侧和网络侧设备没有特殊要求，不需要认证用户进行事先注册，同时又满足提高用户账号/密码值对验证安全性的需要。

本领域技术人员应当知道，图2实施例以短信网关为例发送短信(或短消息)，但具体应用是还可能是彩信网关等其他多媒体网关，并且用户也可以发送彩信等多媒体消息，以通过多媒体网关转发该消息给用户认证鉴权中心。本实施例以用户帐号的鉴权序列号为移动终端用户的IMEI标识序列号为例，具体实现时，用户帐号还可能是其他类型，如通用用户识别模组(Universal Subscriber Identity Module，简称USIM)卡的智能卡识别序列号码(Integrated Circuit Card Identification，简称ICCID)或国际移动用户识别码(International Mobile Subscriber Identifier，简称IMSI)号码，上网笔记本(移动上网终端)的序列号，向用户发放实体卡账号等，均可作为用户账号，其对应的鉴权序列号也可以是对应区域标识号码(省、市等分销区的序列号码)。

本发明上述各方法实施例在用户帐号和密码值对验证之后，还采用对用户移动终端固有的手机号鉴权序列号进行二次验证的方法，弥补了单纯的用户账号/密码认证技术防伪性差的缺陷，提高了移动终端认证鉴权的实用性；同时，用户移动终端的手机号，又是移动运营商各业务系统普遍可获知的信息，使实现时不需要依赖特殊的终端或网络设备，具备普遍适用性。

实施例三

根据本发明实施例，提供了一种移动终端用户认证鉴权系统。图2是本发明认证鉴权系统的第一实施例，通过图2实施例可以比较清晰的知道系统各组成部分之间的交互关系以及功能，下面通过图3实施例对系统的整体构架进行举例说明。

图3是本发明认证鉴权系统的第二实施例，如图3，本实施例系统包括：

多媒体网关，用于接收移动终端用户发送的包含用户帐号和密码的认证鉴权请求；并接收用户认证鉴权中心返回的认证鉴权结果通知消息；

用户认证鉴权中心，用于根据认证鉴权请求，解析出用户的移动终端号码，获得对应的鉴权序列号组，并根据鉴权序列号组与用户帐号对应的鉴权序列号进行认证，根据认证结果进行移动终端用户的鉴权，向多媒体网关返回认证鉴权结果通知消息。

优选地，用户认证鉴权中心可以包括特服服务模块及用户认证鉴权模块：

特服服务模块，用于根据认证鉴权请求，提取用户认证鉴权的用户帐户和密码，解析用户的移动终端号码，生成包含用户帐号、密码和移动终端号码的用户认证鉴权请求；接收用户认证鉴权模块返回的认证鉴权结果，生成认证鉴权结果通知消息，发送给多媒体网关；具体内部交互可参见图2实施例信令图；

用户认证鉴权模块，用于接收特服服务模块发送的用户认证鉴权请求，比较移动终端号码的鉴权序列号组与用户帐号对应的鉴权序列号是否在可接收范围，并根据认证结果进行移动终端用户的鉴权，返回认证鉴权结果通知消息；具体内部交互可参见图2实施例信令图。

本实施例可以与方法实施例具有相同的有益效果，并且本实施例对系统的整体结构进行了细化。

本发明能有多种不同形式的具体实施方式，上面以图1-图3为例结合附图对本发明的技术方案作举例说明，这并不意味着本发明所应用的具体实例只能局限在特定的流程或实施例结构中，本领域的普通技术人员应当了解，上文所提供的具体实施方案只是多种优选用法中的一些示例，任何通过移动终端用户的移动终端号码的鉴权序列号与用户帐号的鉴权序列号进行认证鉴权的实施方式均应在本发明技术方案所要求保护的范围之内。

本领域普通技术人员可以理解：实现上述方法实施例的全部或部分步骤可以通过程序指令相关的硬件来完成，前述的程序可以存储于一计算机可读取存储介质中，该程序在执行时，执行包括上述方法实施例的步骤；而前述的存储介质包括：ROM、RAM、磁碟或者光盘等各种可以存储程序代码的介质。

最后应说明的是：以上所述仅为本发明的优选实施例而已，并不用于限制本发明，尽管参照前述实施例对本发明进行了详细的说明，对于本领域的技术人员来说，其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (10)

1.一种移动终端用户认证鉴权方法，其特征在于，包括：

A、用户认证鉴权中心接收多媒体网关转发的包含移动终端用户的用户帐号和密码的认证鉴权请求，解析出所述用户的移动终端号码；

B、所述用户认证鉴权中心根据所述移动终端号码获得对应的鉴权序列号组，并根据所述鉴权序列号组与用户帐号对应的鉴权序列号进行认证；

C、根据认证结果进行所述移动终端用户的鉴权。

2.根据权利要求1所述的方法，其特征在于，所述A之后还包括：

所述用户认证鉴权中心将所述移动终端用户的用户帐号、移动终端号码、密码合成一用户认证鉴权请求进行后续认证和鉴权。

3.根据权利要求1所述的方法，其特征在于，所述A之后还包括：

验证所述用户帐号和密码，并在验证通过后，执行所述B。

4.根据权利要求1所述的方法，其特征在于，所述A之前还包括：

所述移动终端用户发送包含特服号码的所述认证鉴权请求；

所述多媒体网关接收所述认证鉴权请求，根据所述特服号码向所述用户认证鉴权中心转发所述认证鉴权请求。

5.根据权利要求1-4中任一项所述的方法，其特征在于，所述移动终端号码包括所述用户手机号；所述多媒体网关包括短信网关、彩信网关；所述用户帐号包括USIM卡的ICCID号码或IMSI号码、移动终端的序列号。

6.根据权利要求5所述的方法，其特征在于，所述移动终端号码对应的鉴权序列号组为所述移动终端号码归属区域的序列号；

所述用户帐号对应的鉴权序列号为所述移动终端的IMEI标识序列号。

7.根据权利要求5所述的方法，其特征在于，所述B包括：

所述用户认证鉴权中心根据所述用户手机号获得对应的鉴权序列号组；

比较所述用户手机号对应的鉴权序列号组与用户帐号对应的鉴权序列号，判断所述用户手机号对应的鉴权序列号是否在预设的可接收范围；

当所述用户手机号对应的鉴权序列号在所述可接收范围内时，所述用户认证成功。

8.根据权利要求5所述的方法，其特征在于，所述C之后还包括：

所述用户认证鉴权中心根据鉴权结果生成认证鉴权结果通知消息，并返回所述多媒体网关；

所述多媒体网关将所述认证鉴权结果通知消息发送至所述用户的移动终端。

9.一种移动终端用户认证鉴权系统，其特征在于，包括：

多媒体网关，用于接收移动终端用户发送的包含用户帐号和密码的认证鉴权请求；并返回对应的认证鉴权结果通知消息；

用户认证鉴权中心，用于根据所述认证鉴权请求，解析出所述用户的移动终端号码，获得对应的鉴权序列号组，并根据所述鉴权序列号组与用户帐号对应的鉴权序列号进行认证，根据认证结果进行所述移动终端用户的鉴权，向所述多媒体网关返回所述认证鉴权结果通知消息。

10.根据权利要求9所述的系统，其特征在于，所述用户认证鉴权中心包括特服服务模块及用户认证鉴权模块，其中：

所述特服服务模块，用于根据所述认证鉴权请求，提取用户认证鉴权的用户帐户和密码，解析所述用户的移动终端号码，生成包含所述用户帐号、密码和移动终端号码的用户认证鉴权请求；接收所述用户认证鉴权模块返回的认证鉴权结果，生成认证鉴权结果通知消息，发送给所述多媒体网关；

所述用户认证鉴权模块，用于接收所述特服服务模块发送的用户认证鉴权请求，比较所述移动终端号码的鉴权序列号组与用户帐号对应的鉴权序列号是否在可接收范围，并根据认证结果进行所述移动终端用户的鉴权，返回所述认证鉴权结果通知消息。

Images