CN102065423B - 节点接入认证方法、接入认证节点、接入节点和通信系统 - Google Patents

Abstract

本发明公开了一种节点接入认证方法、接入认证节点、接入节点和通信系统。该节点接入认证方法包括：接入认证节点接收接入节点发送的接入请求信息，接入请求信息包括认证扩展报头和认证码，认证扩展报头和认证码封装在下一代互联网协议IPv6数据包中，其中，认证扩展报头包括算法字段，认证码为根据算法字段对应的算法、接入节点内配置的共享密钥以及IPv6数据包中除认证码之外的信息，按照第一计算方法计算得到；接入认证节点将接收到的IPv6数据包封装在认证请求信息中，并将认证请求信息发送给身份验证、授权和计账AAA服务器，由AAA服务器对接入节点进行认证。本发明技术方案可应用于6LowPAN网络中，在IP层实现对节点的接入认证，可有效提高网络通信的安全性。

Description

节点接入认证方法、接入认证节点、接入节点和通信系统

技术领域

本发明涉及通信技术，尤其涉及一种节点接入认证方法、接入认证节点、接入节点和通信系统。

背景技术

随着通信技术的发展进步，无线网络，特别是无线传感器网络也得到了快速发展，其中，美国电气和电子工程师协会(Institute of Electrical andElectronic Engineers，IEEE)802.15.4标准是面向无线局域网的物理层和媒介接入控制(Media Access Control，MAC)层的协议，而无线传感器网络就是该标准的主要应用对象，由于无线传感器网络需要庞大的IP地址资源，现有互联网协议(Internet Protocol Version4，IPv4)无法满足无线传感器网络通信所需的大量IP地址，而下一代互联网协议(InternetProtocol Version6，IPv6)则可有效解决IP地址不足的协议，其中，低功耗个人域网之上的IPv6(IPv6 over Low-Power Wireless Personal AreaNetworks，6LowPAN)是专门针对IPv6在IEEE 802.15.4标准上实现的技术，因此，6LowPAN可以将IPv6应用到无线传感器网络中，解决无线传感器网络的IP地址资源不足问题。

6LowPAN技术是通过在IPv6网络层和IEEE 802.15.4的MAC层之间加入一个适配层的方式，将IPv6应用于广阔的无线传感器网络中，其中，适配层是6LowPAN网络的核心层，6LowPAN提供的基本功能均由该适配层实现，包括：链路层的分片和重组、头部压缩、组播支持、网络拓扑构建和地址分配以及MAC层路由，解决了将IPv6应用于6LowPAN网络时诸如链路层分片、头部压缩以及组播支持等问题。6LowPAN网络具有报文长度小、低功耗及低带宽等特点，且无线传感器网络中的各无线传感器移动节点一般是由电池供电，其能量有限，因此，6LowPAN刚好可满足无线传感器网络能耗要求较低的需要，满足无线传感器网络中各无线传感器移动节点的可靠通信。

目前，6LowPAN网络的安全主要由IEEE 802.15.4标准提供的MAC层安全机制来保证，其仅能提供链路层的安全，而没有考虑IP层安全解决方案，现有技术中并没有解决6LowPAN网络在IP层端到端之间的通信安全的机制。无线传感器网络中，移动节点的接入认证是确保通信安全的首要保证，因此，如何对移动节点的接入进行认证是6LowPAN网络中需要解决的技术问题。

图1为现有基于NAI的HMIPv6认证中实现移动节点认证的流程示意图。现有基于网络访问标识符(Network Access Identifier，NAI)的层次移动IPv6(Hierarchy Mobile IPv6，HMIPv6)认证中，涉及到对移动节点的接入认证，其主要是在HMIPv6环境下对HMIPv6移动信令进行扩展，是在互联网工程任务组(The Internet Engineering Task Force，IETF)移动IPv6的认证协议(Authentication Protocol for Mobile IPv6，RFC4285)的基础上增加新的认证选项，以实现对移动节点的接入认证及对HMIPv6移动信令的保护。如图1所示，移动节点的认证流程主要包括：

步骤100、移动节点发送绑定更新(Binding Update，BU)到家乡代理，包含有移动节点标识符选项、消息重传防护选项以及认证选项；

步骤200、家乡代理对该移动节点进行认证，其中，家乡代理集成有身份验证、授权和计账(Authentication Authorization Accounting，AAA)客户端功能，这样，家乡代理就可以通过AAA认证服务器完成对移动节点的认证；

步骤300、家乡代理对移动节点认证完毕后，发送绑定确认(BindingAcknowledgement，BA)到移动节点，包含移动节点的标识符选项、消息重传防护选项以及认证选项。

以上，现有基于NAI标识的移动节点认证，是基于NAI标识，对移动信令进行扩展，增加认证选项的方式，实现了对移动节点的认证，以及对HMIPv6移动信令的保护，由于RFC4285中不考虑消息长度的问题，可以在认证选项之前加入其它选项，而6LowPAN网络的控制消息要小于链路的最大传输单元(Maximum Transmission Unit，MTU)，因此，6LowPAN网络中要严格控制消息的长度，若6LowPAN网络中控制消息长度大于MTU，将会导致消息传输录井中各移动节点对消息的分片和重组，增加网络开销，无法适应于6LowPAN网络低能耗的要求。

综上，现有6LowPAN网络中没有提供IP层端到端之间的通信安全机制，且现有的基于NAI的HMIPv6认证中实现移动节点认证的方式直接应用于6LowPAN网络时，易导致6LowPAN网络开销增大，不适用于6LowPAN网络低能耗的要求。

发明内容

本发明提供一种节点接入认证方法、接入认证节点、接入节点和通信系统，可有效解决6LowPAN网络中端与端之间通信安全性问题，提高6LowPAN网络中移动节点通信的安全性。

本发明提供一种节点接入认证方法，包括：

接入认证节点接收接入节点发送的接入请求信息，所述接入请求信息包括认证扩展报头和认证码，所述认证扩展报头和认证码封装在下一代互联网协议IPv6数据包中，其中，所述认证扩展报头包括算法字段，所述认证码为根据所述算法字段对应的算法、所述接入节点内配置的共享密钥以及所述IPv6数据包中除认证码之外的信息，按照第一计算方法计算得到；

所述接入认证节点将接收到的所述IPv6数据包封装在认证请求信息中，并将所述认证请求信息发送给身份验证、授权和计账AAA服务器，由所述AAA服务器对所述接入节点进行认证。

本发明提供一种接入认证节点，包括：

请求接收模块，用于接收接入节点发送的接入请求信息，所述接入请求信息包括认证扩展报头和认证码，所述认证扩展报头和认证码封装在IPv6数据包中，其中，所述认证扩展报头包括算法字段，所述认证码为根据所述算法字段对应的算法、所述接入节点内配置的共享密钥以及所述IPv6数据包中除认证码之外的信息，按照第一计算方法计算得到；

认证请求模块，用于将接收的所述IPv6数据包封装在认证请求信息中，并将所述认证请求信息发送给AAA服务器，由所述AAA服务器对所述接入节点进行认证。

本发明提供一种节点接入认证方法，包括：

接入节点向接入认证节点发送接入请求信息，由所述接入认证节点根据所述接入请求信息对接入节点的接入进行认证，其中，所述接入请求信息包括认证扩展报头和认证码，所述认证扩展报头和认证码封装在IPv6数据包中，所述认证扩展报头包括算法字段，所述认证码为根据所述算法字段对应的算法、所述接入节点内配置的共享密钥以及所述IPv6数据包中除认证码之外的信息，按照第一计算方法计算得到；

所述接入节点接收所述接入认证节点返回的接入应答消息，以确定所述接入节点是否接入成功。

本发明提供一种接入节点，包括：

请求发送模块，用于向接入认证节点发送接入请求信息，由所述接入认证节点根据所述接入请求信息对接入节点的接入进行认证，其中，所述接入请求信息包括认证扩展报头和认证码，所述认证扩展报头和认证码封装在IPv6数据包中，所述认证扩展报头包括算法字段，所述认证码为根据所述算法字段对应的算法、所述接入节点内配置的共享密钥以及所述IPv6数据包中除认证码之外的信息，按照第一计算方法计算得到；

应答接收模块，用于接收所述接入认证节点返回的接入应答消息，以确定所述接入节点是否接入成功。

本发明提供一种通信系统，包括：

接入节点，用于向接入认证节点发送接入请求信息，所述接入请求信息包括认证扩展报头和认证码，所述认证扩展报头和认证码封装在IPv6数据包中，所述认证扩展报头包括算法字段，所述认证码为根据所述算法字段对应的算法、所述接入节点内配置的共享密钥以及所述IPv6数据包中除认证码之外的信息，按照第一计算方法计算得到；

接入认证节点，用于接收所述接入请求信息，将接收的所述IPv6数据包封装在认证请求信息中，并将所述认证请求信息发送给AAA服务器，由所述AAA服务器对所述接入节点进行认证。

本发明提供的节点接入认证方法、接入认证节点、接入节点和通信系统，通过在IPv6数据包中增加扩展认证报头，并由接入认证节点通过AAA服务器对接入节点的认证请求进行认证，从而可在6LowPAN网络中实现IP层端到端的认证，可有效保证无线传感器网络中移动节点通信的安全性和可靠性；同时，本实施例通过在IPv6数据包中增加扩展认证报头的方式，可有效保证控制消息的长度，在实现IP层认证的同时，可有效保证消息传输的网络开销，满足6LowPAN网络的低能耗要求。

附图说明

图1为现有基于NAI的HMIPv6认证中实现移动节点认证的流程示意图；

图2为本发明节点接入认证方法实施例一的流程示意图；

图3为本发明实施例应用的无线传感器网络的分布结构示意图；

图4为本发明节点接入认证方法实施例二的流程示意图；

图5为本发明节点接入认证方法实施例三的流程示意图：

图6为本发明节点接入认证方法实施例四的流程示意图；

图7为本发明实施例中扩展认证报头的格式示意图；

图8为本发明实施例中封装有扩展认证报头和认证码的IPv6数据包格式示意图；

图9为本发明接入认证节点实施例一的结构示意图；

图10为本发明接入认证节点实施例二的结构示意图；

图11为本发明接入节点实施例一的结构示意图；

图12为本发明接入节点实施例二的流程示意图；

图13为本发明通信系统实施例的结构示意图。

具体实施方式

为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

图2为本发明节点接入认证方法实施例一的流程示意图。本实施例节点接入认证方法中，接入认证节点可对接入节点的接入请求进行处理，具体地，如图2所示，该方法可包括如下步骤：

步骤101、接入认证节点接收接入节点发送的接入请求信息，所述接入请求信息包括认证扩展报头和认证码，所述认证扩展报头和认证码封装在IPv6数据包中；

其中，所述认证扩展报头包括算法字段，所述认证码为根据所述算法字段对应的算法、所述接入节点内配置的共享密钥以及所述IPv6数据包中除认证码之外的信息，按照第一计算方法计算得到，该认证码计算具体可包括以下步骤：首先，通过算法字段对应的算法对共享密钥和IPv6数据包中除认证码之外的信息进行计算得到第一计算值；然后，通过第一计算方法对所述第一计算值进行计算，最终得到认证码。

步骤102、接入认证节点将接收的所述IPv6数据包封装在认证请求信息中，并将所述认证请求信息发送给AAA服务器，由所述AAA服务器对所述接入节点进行认证。

本实施例中，接入认证节点为无线传感器网络中的全功能设备(FullFunction Device，FFD)，其硬件资源丰富，具有IEEE 802.15.4协议的所有功能；同时，该接入认证节点集成有AAA客户端功能，可以与AAA服务器通信，从而可通过AAA服务器对无线传感器网络中的接入节点进行认证。接入节点可以是无线传感器网络中的精简功能设备(Reduced Function Device，RFD)，其仅具备IEEE 802.15.4协议的部分功能，且不具有路由转发功能，只能与FFD节点通信，或者，该接入节点也可以是无线传感器网络中的普通FFD，相对于接入认证节点而言，其不具备AAA客户端功能。

图3为本发明实施例应用的无线传感器网络的分布结构示意图。本实施例中，无线传感器网络中的一定区域内，仅有一个接入认证节点，其它接入节点向无线传感器网络中发送数据时，必须通过该接入认证节点进行转发，即其它接入节点仅能与接入认证节点通信，为便于对无线传感器网络中各节点的描述，如图3所示，可将无线传感器网络中的不同区域称为簇A，各簇中可具有FFD节点A1，即接入认证节点，亦可称之为簇首节点；普通FFD节点A2和RFD节点A3，均为接入节点，其中，普通FFD节点A2可直接与簇首节点通信，而RFD节点A3可通过普通FFD节点A2与簇首节点通信。

本实施例中，接入节点可通过在IPv6数据包中增加扩展认证报头，并由接入认证节点，即簇首节点通过AAA服务器对其接入网络进行认证，从而可在6LowPAN网络中实现网络层，即IP层的认证，实现网络中端到端的认证，可有效对进入6LowPAN网络中的移动节点进行认证，确保网络通信的安全性和可靠性。

本实施例中，通过在IPv6数据包中增加扩展认证报头，报头的长度一定，且报头的长度可限定在较小的字节内，从而可有效保证通信中控制消息的长度，确保6LowPAN网络中控制消息长度不大于MTU长度，以保证6LowPAN网络通信时的网络开销，满足6LowPAN网络的低能耗要求。

本实施例中，AAA服务器在对接入认证节点发送的认证请求信息后，即可对接入节点进行认证，其具体认证过程与现有AAA服务器对节点的认证方式相同或类似，均是通过设定的算法来确定接入节点发送的认证码是否与其本身计算出的认证码是否相同，是则说明该接入节点是在AAA服务器内注册或登记过的节点，是合法节点，AAA服务器对其认证成功，否则该接入节点为非法节点，认证失败。具体地，AAA服务器对接入节点进行认证可包括如下步骤：

步骤1021、AAA服务器按照第一计算方法，将AAA服务器内配置的共享密钥替换接入节点内配置的共享密钥，计算得到新认证码；

步骤1022、AAA服务器判断计算得到的新认证码是否与IPv6数据包中的认证码相同，是则接入节点认证成功，否则接入节点认证失败。

当接入节点认证完成后，即可将认证结果通知接入认证节点，并由接入认证节点通知接入节点，以告知接入节点是否认证成功或认证失败，若认证成功，则接入节点可接入网络，并通过接入认证节点向网络中发送数据，否则，接入节点无法接入网络，也无法通过接入认证节点向网络中发送数据。

本领域技术人员可以理解的是，接入节点和AAA服务器内均预先配置有进行认证所述的共享密钥，这样，通过将共享密钥和其它信息一起，采用设定的算法即可确认接入节点是否为合法的节点。

综上，本发明实施例节点接入认证方法，通过在IPv6数据包中增加扩展认证报头，并由接入认证节点通过AAA服务器对接入节点的认证请求进行认证，从而可在6LowPAN网络中实现IP层端到端的认证，可有效保证无线传感器网络中移动节点通信的安全性和可靠性；同时，本实施例通过在IPv6数据包中增加扩展认证报头的方式，可有效保证控制消息的长度，在实现IP层认证的同时，可有效保证消息传输的网络开销，满足6LowPAN网络的低能耗要求。

图4为本发明节点接入认证方法实施例二的流程示意图。在上述图2所示实施例技术方案的基础上，如图4所示，本实施例接入认证方法还可包括如下步骤：

步骤103、接入认证节点接收所述AAA服务器返回的认证回复信息，所述认证回复信息包括：所述AAA服务器为根据所述认证请求信息中的信息，并按照第二计算方法计算得到的临时密钥；

步骤104、接入认证节点按照所述第一计算方法，将所述认证回复信息中的临时密钥替换所述接入节点内配置的共享密钥，计算得到临时认证码；

步骤105、接入认证节点向所述接入节点返回接入应答消息，由所述接入节点根据所述接入应答消息对所述临时认证码进行验证，以确定所述接入节点是否接入成功，其中，所述接入应答消息为将封装在所述请求认证信息中的所述IPv6数据包中的认证码替换成所述临时认证码后的消息。

本实施例中，为进一步地提高接入节点接入认证的安全性和可靠性，AAA服务器在对接入节点认证成功后，可计算临时密钥，并将临时密钥发送给接入认证节点，接入认证节点可通过该临时密钥重新计算得到临时认证码，将该临时认证码发送给接入节点；接入节点接收到接入认证节点返回的接入应答消息后，即可采用与AAA服务器相同的计算方法重新计算新的临时密钥，并根据重新计算的新的临时密钥计算新的临时认证码，判断新的临时认证码是否与接入认证节点返回的临时认证码相同，是则说明接入节点认证成功，可接入网络进行数据发送，否则，说明接入节点认证失败，无法接入网络。

本实施例中，所述的认证扩展报头还可包括认证类型字段，所述认证类型字段可包括接入认证类型和数据传输类型，其中，接入认证类型用于表示接入节点在数据传输前，向接入认证节点发送接入请求，请求加入网络；数据传输类型用于表示接入节点已经接入网络成功，用于向网络中发送数据，这样，接入认证节点即可根据认证类型字段来判断接入节点发送的信息是何种类型的信息，以确定是对接入节点接入网络进行认证，还是对接入节点的数据进行处理，以将数据转发到网络中去。

具体地，接入认证节点接收到接入节点发送的信息后，可包括如下步骤：

判断认证扩展报头的认证类型字段对应的认证类型，该认证类型为接入认证类型时，接入节点将接收的IPv6数据包封装在认证请求信息中，并发送给AAA服务器，由AAA服务器对接入节点进行认证，否则，该认证类型为数据传输类型时，接入认证节点可对接收到的IPv6数据包中的数据进行处理，具体而言，可将IPv6数据包中的数据转发到网络中去。

本实施例中，所述的扩展认证报头还可包括有效时间字段，该有效时间字段存储有认证有效的有效时间，该认证有效时间表示接入节点在接入认证成功后，可在该认证有效时间内不需再重新认证，从而可避免接入节点的频繁认证，减少短时间内因频繁接入认证而导致网络开销较大，能耗较高的问题，以满足无线传感器网络的低能耗要求。具体地，AAA服务器对接入认证节点认证完毕后，可设置有效时间，并在认证回复信息中，将该有效时间替换认证扩展字段内的有效时间字段对应的有效时间，并返回给接入认证节点；接入认证节点可存储该有效时间，同时在返回到接入节点的接入应答消息中也包括该有效时间，则接入节点在该有效时间，需要向网络中发送数据时，可不需要向接入认证节点进行认证请求，即可将扩展认证报头的认证类型字段设置为数据传输类型，直接进行数据发送；同时，接入认证节点接收到接入节点的数据后，在该有效时间内，可将接入节点发送的数据转发到网络中去，而接入节点发送的数据时间超过该有效时间后，可拒绝转发数据，并通知接入节点进行接入认证，以避免不安全节点非法传送数据，以保证网络通信的安全性和可靠性。

图5为本发明节点接入认证方法实施例三的流程示意图。本实施例接入节点认证方法中，接入节点可通过向接入认证节点发送接入请求信息，以便接入认证节点通过AAA服务器实现对其接入请求进行认证，具体地，如图5所示，接入节点进行认证时可包括如下步骤：

步骤201、接入节点向接入认证节点发送接入请求信息，由所述接入认证节点根据所述接入请求信息对接入节点的接入进行认证；

其中，所述接入请求信息包括扩展认证报头和认证码，所述扩展认证报头和认证码封装在IPv6数据包中，所述扩展认证报头包括算法字段，所述认证码为根据所述算法字段对应的算法、所述接入节点内配置的共享密钥以及所述IPv6数据包中除认证码之外的信息，按照第一计算方法计算得到。

步骤202、接入节点接收所述接入认证节点返回的接入应答消息，以确定所述接入节点是否接入成功。

本实施例中，所述接入认证节点根据所述接入请求信息对接入节点的接入进行认证具体可包括：

所述接入认证节点将接收的所述IPv6数据包封装在认证请求信息中，并将所述认证请求信息发送给AAA服务器，由所述AAA服务器对所述接入节点进行认证；

所述接入认证节点根据所述AAA服务器返回的认证回复消息，向所述接入节点返回应答消息。

为保证接入节点认证的可靠性，进一步地，本实施例中所述认证回复消息包括：所述AAA服务器为根据所述认证请求信息中的信息，并按照第二计算方法计算得到的临时密钥；

所述应答消息包括：所述接入认证节点按照所述第一计算方法，将所述认证回复信息中的临时密钥替换所述接入节点内配置的共享密钥计算得到临时认证码，其中，所述应答消息为将封装在所述请求认证信息中的所述IPv6数据包中的认证码替换成所述临时认证码后的消息；

所述接入节点接收所述接入认证节点返回的应答消息，以确定所述接入节点是否接入成功包括：

所述接入节点根据所述应答消息和第二计算方法计算得到新临时密钥，并根据所述第一计算方法，将所述新临时密钥替换所述接入节点内配置的共享密钥计算得到新临时认证码；

判断所述新临时认证码是否与所述应答消息中的临时认证码相同，是则所述接入节点接入成功，否则，所述接入节点接入失败。

此外，本实施例中，所述扩展认证报头可包括认证类型字段，所述认证类型字段包括接入认证类型和数据传输类型；

所述接入节点接入网络时，所述接入节点向所述接入认证节点发送认证类型字段为接入认证类型的接入请求信息，或者，所述接入节点接入成功并发送数据时，向所述接入认证节点发送认证类型字段为数据传输认证字段类型的接入请求信息。

所述的扩展认证报头还可包括有效时间字段，该有效时间字段存储有认证有效的有效时间，该认证有效时间表示接入节点在接入认证成功后，可在该认证有效时间内不需再重新认证，从而可避免接入节点的频繁认证，以减少短时间内因频繁接入认证而导致网络开销较大，能耗较高的问题，可有效满足无线传感器网络的低能耗要求，其中，AAA服务器对接入认证节点认证完毕后，可设置有效时间，并在认证回复信息中，将该有效时间替换认证扩展字段内的有效时间字段对应的有效时间，返回给接入认证节点，并由接入认证节点再通过应答消息返回给接入节点。这样，在该有效时间内，接入节需要向网络中发送数据时，可不需要向接入认证节点进行认证请求，即可将扩展认证报头的认证类型字段设置为数据传输类型，直接进行数据传输。

本实施例接入节点的认证流程可与上述本发明实施例的接入认证节点的认证流程配合，并通过AAA服务器对接入节点的接入请求进行认证，具体认证实现过程可参考上述本发明方法实施例的说明。

为对本发明有更好的了解，下面将以接入节点、接入认证节点和AAA服务器之间协同对接入节点的认证过程实例进行说明。

图6为本发明节点接入认证方法实施例四的流程示意图。本实施例接入节点需要发送数据时，可首先通过接入认证节点对其接入进行认证，以确保网络安全性和可靠性，避免不可靠节点的接入，具体地，如图6所示，本实施例方法可包括如下步骤：

步骤301、接入节点向接入认证节点发送接入请求信息，其中，该接入请求信息为A类扩展认证报头。

图7为本发明实施例中扩展认证报头的格式示意图。本实施例中，该接入请求信息中的扩展认证报头的格式可参见图7所示，包括有下一个报头字段、认证类型字段、算法字段、保留字段、有效时间字段和随机数字段，其中：

下一个报头字段占一个字节，标识IPv6上层协议，如传输控制协议(Transmission Control Protocol，TCP)/用户数据包协议(User DatagramProtocol，UDP)/第六版互联网控制信息协议(Internet Control MessageProtocol Version 6，ICMPv6)，或者其他扩展报头。

认证类型字段占一个比特，0表示接入认证类型，为A类扩展认证报头，1表示数据传输类型，为B类扩展认证报头。

算法字段占三个比特，表示消息摘要的具体算法，例如，001表示哈希运算消息认证码(keyed-Hash Message Authentication Code，HMAC)-安全哈希算法(Secure Hash Algorithm，SHA)1。

保留字段占四个比特，为备用字段。

有效时间字段占2个字节，以毫秒为单位，表示该次认证有效的有效时间。

本实施例中，接入节点的认证扩展报头中，认证类型字段为0，表示是A类认证扩展报头；算法字段设置为001，表示采用HMAC-SHA1算法；有效时间字段为0，有效时间默认为0；随机数字段为接入节点设置的4字节随机数；接入节点可按如下第一计算方法计算得到认证码：

认证码＝First(32，HMAC-SHA1(接入节点内配置的共享密钥+从IPv6报头到载荷结束的所有内容))。

其中，First()函数表示取HMAC-SHA1计算结果的前若干比特。需要注意的是IPv6报头的跳数限制(Hop Limit)字段在传输过程中会改变，所以在计算认证码之前要把IPv6数据包中的该字段全部设为0。

HMAC算法是一种执行“校验和”的算法。它通过对数据进行“求和”来检查数据是否被更改。在发送数据以前，HMAC算法对数据块和双方约定的密钥进行“散列操作”，以生成称为“摘要”的信息，附加在待发送的数据块中；当数据和摘要到达其目的地时，就使用HMAC算法来生成另一个校验和，如果两个信息相匹配，那么数据未被做任何篡改。常用的HMAC算法包括HMAC-SHA1算法和HMAC-消息摘要算法第五版(Message Digest Algorithm，MD5)算法，本实施例采用HMAC-SHA1算法，实际应用中也可以采用HMAC-MD5算法或者其它算法，在此并不做限制。

图8为本发明实施例中封装有扩展认证报头和认证码的IPv6数据包格式示意图。本实施例中，接入认证节点是将扩展认证报头和计算得到的认证码封装在IPv6数据包中，具体地，是在普通的IPv6数据包中，扩展得到本发明实施例中的扩展认证报头，且该扩展认证报头的共8个字节，不需要压缩，而认证码的长度为4个字节，可以看出，该认证所需的信息占用字节少，不会增加认证时的网络开销，且扩展认证报头确认后长度不会改变。封装了扩展认证报头和认证码的IPv6数据包格式可参见图8所示，且在6LowPAN网络采用报头压缩算法时，该扩展认证报头可处于未压缩报头的位置。

本实施例中，在接入节点发送接入请求信息前，网络中的接入认证节点，也即簇首节点会向其所在区域内的所有节点发送信息，以表明自己是簇首节点，其它节点在向网络中发送数据时，必须通过簇首节点才能发送到网络中去；同时，接入认证节点还配置有AAA客户端功能，以便通过AAA服务器对接入节点接入网络进行认证。

步骤302、接入认证节点向AAA服务器发送认证请求信息。

其中，该认证请求信息封装了从接入节点接收的IPv6数据包，同时还封装有接入节点的64位扩展唯一标识(64-bit Extended Unique Identifier，EUI-64)标识、自身节点的EUI-64标识以及产生的随机数，该认证请求信息也可称为AAA认证请求信息，并通过安全通道发送给AAA服务器。此外，为避免IPv6报头的跳数限制字段内容发生变化，在认证请求信息中将IPv6数据包中的跳数限制字段全设置为0，以保证AAA服务器在进行认证码计算时的准确性。

步骤303、AAA服务器根据该认证请求信息，对接入节点进行认证。

AAA服务器按照接入节点计算认证码的方法，采用HMC-SHA1算法和自身配置的共享密钥重新计算得到新的认证码，并与IPv6数据包中接入节点计算的认证码进行比较，若相同，则说明接入节点是合法的节点，AAA服务器对接入节点的认证成功，否则，接入节点是非法节点，接入节点认证失败；

步骤304、AAA服务器对接入节点认证成功后，计算临时密钥，并设置有效时间，封装在认证回复消息中，通过安全通道返回认证回复消息给接入认证节点；

其中，临时密钥的可通过第二计算方法得到，具体如下：

临时密钥＝First(96，HMAC-SHA1(AAA服务器内配置的共享密钥+接入认证节点产生的随机数+接入节点的EUI-64标识+接入认证节点的EUI-64标识))。

有效时间可根据实际需要而设置合适的时间大小。

步骤305、接入认证节点根据AAA服务器返回的认证回复消息，计算得到临时认证码；

具体地，接入认证节点获得AAA服务器返回的临时密钥后，可将扩展认证报头类型字段设为1，表示为B类扩展认证报头；然后将AAA服务器设置的有效时间填充在扩展认证报头的有效时间字段内；且接入认证节点产生一个4字节的随机数，填充在该B类扩展认证报头的随机数字段。并按照如下方法计算得到临时认证码：

临时认证码＝First(32，HMAC-SHA1(临时密钥+从IPv6报头到载荷结束的所有内容))。

步骤306、接入认证节点向接入节点返回接入应答消息。

该应答消息中封装有的IPv6数据包中，扩展认证报头为步骤305中所述的扩展认证报头。

步骤307、接入节点接收到接入应答消息后，采用与AAA服务器计算临时密钥相同的计算方法，重新计算得到新的临时密钥，并根据该新的临时密钥重新计算新的临时认证码，以对接入节点是否接入成功进行判断。

具体地，接入节点接收到应答消息后，可采用与AAA服务器计算临时密钥相同的计算方法，重新计算得到新的临时密钥，并根据该新的临时密钥，与步骤305中接入认证节点计算临时认证码相同的方法，采用该新的临时密钥计算得到新的临时认证码。判断该新的临时认证码与应到消息中的临时认证码是否相同，是则接入节点接入成功，可发送数据，否则，接入失败，需要执行步骤301，重新进行认证。

步骤308、接入节点接入成功后，向接入认证节点发送数据，以进行数据传输。

具体地，该数据传输时，接入节点发送的IPv6数据包中的扩展认证报头为B类扩展认证报头，这样，接入认证节点根据该B类扩展认证报头，即可确认接入节点是接入成功的节点，可将其发送的数据传输到网络中去。

本实施例中，接入节点接入成功后，可在扩展认证报头有效时间字段对应的有效时间内，向接入认证节点发送B类扩展认证报头，而不需要频繁的向接入认证节点发送认证请求，使接入认证节点需要不断地向AAA服务器进行接入认证，从而可避免在较短的时间内频繁进行接入节点的认证，降低接入节点接入认证的网络开销。

图9为本发明接入认证节点实施例一的结构示意图。如图9所示，本实施例接入认证节点可包括请求接收模块11和认证请求模块12，其中：

请求接收模块11，用于接收接入节点发送的接入请求信息，所述接入请求信息包括扩展认证报头和认证码，所述扩展认证报头和认证码封装在IPv6数据包中，其中，所述扩展认证报头包括算法字段，所述认证码为根据所述算法字段对应的算法、所述接入节点内配置的共享密钥以及所述IPv6数据包中除认证码之外的信息，按照第一计算方法计算得到；

认证请求模块12，用于将接收的所述IPv6数据包封装在认证请求信息中，并将所述认证请求信息发送给AAA服务器，由所述AAA服务器对所述接入节点进行认证。

本实施例接入认证节点可接收接入节点发送的接入请求，并通过AAA服务器对接入节点的接入进行认证，其具体实现过程可参见上述本发明方法实施例的说明，在此不再赘述。

图10为本发明接入认证节点实施例二的结构示意图。在上述图9所示实施例技术方案的基础上，如图10所示，本实施例接入认证节点还可包括认证回复接收模块13、临时认证码计算模块14和接入应答模块15，其中：

认证回复接收模块13，用于接收所述AAA服务器返回的认证回复信息，所述认证回复信息包括：所述AAA服务器为根据所述认证请求信息中的信息，并按照第二计算方法计算得到的临时密钥；

临时认证码计算模块14，用于按照所述第一计算方法，将所述认证回复信息中的临时密钥替换所述接入节点内配置的共享密钥，计算得到临时认证码；

接入应答模块15，用于向所述接入节点返回接入应答消息，由所述接入节点根据所述接入应答消息对所述临时认证码进行验证，以确定所述接入节点是否接入成功，其中，所述接入应答消息为将封装在所述请求认证信息中的所述IPv6数据包中的认证码替换成所述临时认证码后的消息。

本实施例中，接入节点发送的接入请求信息中，扩展认证报头中还可包括认证类型字段，所述认证类型字段包括接入认证类型和数据传输类型；相应地，如图10所示，本实施例接入认证节点还可包括认证类型判断模块16和数据处理模块17，其中：

认证类型判断模块16，用于判断所述接入请求信息中扩展认证报头的认证类型字段对应的认证类型；

所述的认证请求模块12具体可用于所述认证类型为接入认证类型时，所述接入节点将接收的所述IPv6数据包封装在认证请求信息中，并发送给AAA服务器；

数据处理模块17，用于所述认证类型为数据传输类型时，对所述IPv6数据包中的数据进行处理。

图11为本发明接入节点实施例一的结构示意图。如图11所示，本实施例接入节点可包括请求发送模块21和应答接收模块22，其中：

请求发送模块21，用于向接入认证节点发送接入请求信息，由所述接入认证节点根据所述接入请求信息对接入节点的接入进行认证，其中，所述接入请求信息包括扩展认证报头和认证码，所述扩展认证报头和认证码封装在IPv6数据包中，所述扩展认证报头包括算法字段，所述认证码为根据所述算法字段对应的算法、所述接入节点内配置的共享密钥以及所述IPv6数据包中除认证码之外的信息，按照第一计算方法计算得到；

应答接收模块22，用于接收所述接入认证节点返回的接入应答消息，以确定所述接入节点是否接入成功。

本实施例接入节点在向网络发送数据前，可通过向接入认证节点发送接入请求信息，由接入认证节点通过AAA服务器对接入节点进行认证，以确保网络通信的安全性和可靠性，其具体实现过程可参见上述本发明方法实施例的说明，在此不再赘述。

图12为本发明接入节点实施例二的流程示意图。本实施例中，所述的接入应答消息可包括：接入认证节点按照所述第一计算方法，将AAA服务器返回的认证回复信息中的临时密钥替换所述接入节点内配置的共享密钥计算得到临时认证码，其中，所述应答消息为将封装在所述请求认证信息中的所述IPv6数据包中的认证码替换成所述临时认证码后的消息，所述临时密钥为所述AAA服务器根据所述接入认证节点发送的认证请求信息，按照第二计算方法计算得到的临时密钥。相应地，在上述图11所示实施例技术方案的基础上，如图12所示，本实施例接入节点还可包括认证码计算模块23和认证判断模块24，其中：

认证码计算模块23，用于根据所述接入应答消息和第二计算方法计算得到新临时密钥，并根据所述第一计算方法，将所述新临时密钥替换所述接入节点内配置的共享密钥计算得到新临时认证码；

认证判断模块24，用于判断所述新临时认证码是否与所述应答消息中的临时认证码相同，是则所述接入节点接入成功，否则，所述接入节点接入失败。

本实施例中，所述的扩展认证报头还可包括认证类型字段，所述认证类型字段包括接入认证类型和数据传输类型；相应地，如图12所示，本实施例接入节点还可包括数据发送模块25，其中：

上述的请求发送模块21，具体可用于所述接入节点接入网络时，向所述接入认证节点发送认证类型字段为接入认证类型的接入请求信息；

数据发送模块25，可用于所述接入节点接入成功并发送数据时，向所述接入认证节点发送认证类型字段为数据传输认证字段类型的接入请求信息。

本实施例中，所述的扩展认证报头还可包括有效时间字段，所述有效时间字段存储有认证有效时间；

上述的数据发送模块25具体可用于在所述有效时间内，直接向网络中发送数据。

图13为本发明通信系统实施例的结构示意图。如图13所示，本实施例通信系统可包括接入认证节点10、接入节点20和AAA服务器30，其中：

接入节点20，用于向接入认证节点10发送接入请求信息，所述接入请求信息包括扩展认证报头和认证码，所述扩展认证报头和认证码封装在IPv6数据包中，所述扩展认证报头包括算法字段，所述认证码为根据所述算法字段对应的算法、所述接入节点内配置的共享密钥以及所述IPv6数据包中除认证码之外的信息，按照第一计算方法计算得到；

接入认证节点10，用于接收所述接入请求信息，将接收的所述IPv6数据包封装在认证请求信息中，并将所述认证请求信息发送给AAA服务器30；

AAA服务器30，用于对所述接入节点20进行认证。

本实施例中，所述的接入节点20和接入认证节点10可为上述本发明实施例提供的接入节点和接入认证节点，其中，接入认证节点集成有AAA客户端功能，可直接与AAA服务器30通信，以便通过AAA服务器对接入节点的接入进行认证，接入节点20和接入认证节点10的具体结构和功能可参考上述本发明实施例的说明，在此不再赘述。

本领域普通技术人员可以理解：实现上述方法实施例的全部或部分步骤可以通过程序指令相关的硬件来完成，前述的程序可以存储于一计算机可读取存储介质中，该程序在执行时，执行包括上述方法实施例的步骤；而前述的存储介质包括：ROM、RAM、磁碟或者光盘等各种可以存储程序代码的介质。

最后应说明的是：以上实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的精神和范围。

Claims (19)

1.一种节点接入认证方法，其特征在于，包括：

接入认证节点接收接入节点发送的接入请求信息，所述接入请求信息包括认证扩展报头和认证码，所述认证扩展报头和认证码封装在下一代互联网协议IPv6数据包中，其中，所述认证扩展报头包括算法字段，所述认证码为根据所述算法字段对应的算法、所述接入节点内配置的共享密钥以及所述IPv6数据包中除认证码之外的信息，按照第一计算方法计算得到；

所述接入认证节点将接收到的所述IPv6数据包封装在认证请求信息中，并将所述认证请求信息发送给身份验证、授权和计账AAA服务器，由所述AAA服务器对所述接入节点进行认证。

2.根据权利要求1所述的节点接入认证方法，其特征在于，所述认证扩展报头包括随机数字段，所述随机数字段内存储有所述接入节点产生的随机数；

所述IPv6数据包中除认证码之外的信息中，包括所述认证扩展报头的随机数字段对应的随机数。

3.根据权利要求1所述的节点接入认证方法，其特征在于，所述AAA服务器对所述接入节点进行认证包括：

按照所述第一计算方法，将所述AAA服务器内配置的共享密钥替换所述接入节点内配置的共享密钥，计算得到新认证码；

判断所述新认证码是否与所述IPv6数据包中的认证码相同，是则所述接入节点认证成功，否则所述接入节点认证失败。

4.根据权利要求1、2或3所述的节点接入认证方法，其特征在于，还包括：

所述接入认证节点接收所述AAA服务器返回的认证回复信息，且所述认证回复信息包括：所述AAA服务器为根据所述认证请求信息中的信息，并按照第二计算方法计算得到的临时密钥；

所述接入认证节点按照所述第一计算方法，将所述认证回复信息中的临时密钥替换所述接入节点内配置的共享密钥，计算得到临时认证码；

所述接入认证节点向所述接入节点返回接入应答消息，由所述接入节点根据所述接入应答消息对所述临时认证码进行验证，以确定所述接入节点是否接入成功，其中，所述接入应答消息为将封装在所述请求认证信息中的所述IPv6数据包中的认证码替换成所述临时认证码后的消息。

5.根据权利要求1所述的节点接入认证方法，其特征在于，所述认证扩展报头包括认证类型字段，所述认证类型字段包括接入认证类型和数据传输类型；

所述接入认证节点将认证请求信息发送给AAA服务器之前还包括：

判断所述认证扩展报头的认证类型字段对应的认证类型，所述认证类型为接入认证类型时，所述接入认证节点将接收的所述IPv6数据包封装在认证请求信息中，并发送给AAA服务器，否则，所述认证类型为数据传输类型时，对所述IPv6数据包中的数据进行处理。

6.根据权利要求5所述的节点接入认证方法，其特征在于，所述AAA服务器返回的认证回复信息中包括：有效时间；

所述节点接入认证方法还包括：

所述接入认证节点接收的接入请求信息中，所述扩展认证报头的认证类型字段为数据传输类型时，判断所述接入请求信息的发送时间是否超出所述有效时间，是则通知所述接入节点重新进行接入认证；否则，对所述IPv6数据包中的数据进行处理。

7.一种接入认证节点，其特征在于，包括：

请求接收模块，用于接收接入节点发送的接入请求信息，所述接入请求信息包括认证扩展报头和认证码，所述认证扩展报头和认证码封装在IPv6数据包中，其中，所述认证扩展报头包括算法字段，所述认证码为根据所述算法字段对应的算法、所述接入节点内配置的共享密钥以及所述IPv6数据包中除认证码之外的信息，按照第一计算方法计算得到；

认证请求模块，用于将接收的所述IPv6数据包封装在认证请求信息中，并将所述认证请求信息发送给AAA服务器，由所述AAA服务器对所述接入节点进行认证。

8.根据权利要求7所述的接入认证节点，其特征在于，还包括：

认证回复接收模块，用于接收所述AAA服务器返回的认证回复信息，所述认证回复信息包括：所述AAA服务器为根据所述认证请求信息中的信息，并按照第二计算方法计算得到的临时密钥；

临时认证码计算模块，用于按照所述第一计算方法，将所述认证回复信息中的临时密钥替换所述接入节点内配置的共享密钥，计算得到临时认证码；

接入应答模块，用于向所述接入节点返回接入应答消息，由所述接入节点根据所述接入应答消息对所述临时认证码进行验证，以确定所述接入节点是否接入成功，其中，所述接入应答消息为将封装在所述请求认证信息中的所述IPv6数据包中的认证码替换成所述临时认证码后的消息。

9.根据权利要求7所述的接入认证节点，其特征在于，所述认证扩展报头包括认证类型字段，所述认证类型字段包括接入认证类型和数据传输类型；

所述接入认证节点还包括：

认证类型判断模块，用于判断所述接入请求信息中认证扩展报头的认证类型字段对应的认证类型；

所述认证请求模块，具体用于所述认证类型为接入认证类型时，将接收的所述IPv6数据包封装在认证请求信息中，并发送给AAA服务器；

数据处理模块，用于所述认证类型为数据传输类型时，对所述IPv6数据包中的数据进行处理。

10.一种节点接入认证方法，其特征在于，包括：

接入节点向接入认证节点发送接入请求信息，由所述接入认证节点根据所述接入请求信息对接入节点的接入进行认证，其中，所述接入请求信息包括认证扩展报头和认证码，所述认证扩展报头和认证码封装在IPv6数据包中，所述认证扩展报头包括算法字段，所述认证码为根据所述算法字段对应的算法、所述接入节点内配置的共享密钥以及所述IPv6数据包中除认证码之外的信息，按照第一计算方法计算得到；

所述接入节点接收所述接入认证节点返回的接入应答消息，以确定所述接入节点是否接入成功。

11.根据权利要求10所述的节点接入认证方法，其特征在于，所述接入认证节点根据所述接入请求信息对接入节点的接入进行认证包括：

所述接入认证节点将接收的所述IPv6数据包封装在认证请求信息中，并将所述认证请求信息发送给AAA服务器，由所述AAA服务器对所述接入节点进行认证；

所述接入认证节点根据所述AAA服务器返回的认证回复消息，向所述接入节点返回接入应答消息。

12.根据权利要求11所述的节点接入认证方法，其特征在于，所述认证回复消息包括：所述AAA服务器为根据所述认证请求信息中的信息，并按照第二计算方法计算得到的临时密钥；

所述接入应答消息包括：所述接入认证节点按照所述第一计算方法，将所述认证回复信息中的临时密钥替换所述接入节点内配置的共享密钥计算得到临时认证码，其中，所述应答消息为将封装在所述请求认证信息中的所述IPv6数据包中的认证码替换成所述临时认证码后的消息；

所述接入节点接收所述接入认证节点返回的应答消息，以确定所述接入节点是否接入成功包括：

所述接入节点根据所述接入应答消息和第二计算方法计算得到新临时密钥，并根据所述第一计算方法，将所述新临时密钥替换所述接入节点内配置的共享密钥计算得到新临时认证码；

判断所述新临时认证码是否与所述应答消息中的临时认证码相同，是则所述接入节点接入成功，否则，所述接入节点接入失败。

13.根据权利要求10所述的节点接入认证方法，其特征在于，所述认证扩展报头包括认证类型字段，所述认证类型字段包括接入认证类型和数据传输类型；

所述接入节点接入网络时，所述接入节点向所述接入认证节点发送认证类型字段为接入认证类型的接入请求信息，或者，所述接入节点接入成功并发送数据时，向所述接入认证节点发送认证类型字段为数据传输认证字段类型的接入请求信息。

14.根据权利要求10所述的节点接入认证方法，其特征在于，所述扩展认证报头包括有效时间字段，所述有效时间字段存储有认证有效的有效时间；

所述接入认证节点返回的应答消息中，包含有有效时间，且所述有效时间为所述扩展认证报头的有效时间段对应的时间；

所述节点接入认证方法还包括：

在所述有效时间内，直接发送数据。

15.一种接入节点，其特征在于，包括：

请求发送模块，用于向接入认证节点发送接入请求信息，由所述接入认证节点根据所述接入请求信息对接入节点的接入进行认证，其中，所述接入请求信息包括认证扩展报头和认证码，所述认证扩展报头和认证码封装在IPv6数据包中，所述认证扩展报头包括算法字段，所述认证码为根据所述算法字段对应的算法、所述接入节点内配置的共享密钥以及所述IPv6数据包中除认证码之外的信息，按照第一计算方法计算得到；

应答接收模块，用于接收所述接入认证节点返回的接入应答消息，以确定所述接入节点是否接入成功。

16.根据权利要求15所述的接入节点，其特征在于，所述接入应答消息包括：所述接入认证节点按照所述第一计算方法，将AAA服务器返回的认证回复信息中的临时密钥替换所述接入节点内配置的共享密钥计算得到临时认证码，其中，所述应答消息为将封装在所述请求认证信息中的所述IPv6数据包中的认证码替换成所述临时认证码后的消息，所述临时密钥为所述AAA服务器根据所述接入认证节点发送的认证请求信息，按照第二计算方法计算得到的临时密钥；

所述接入节点还包括：

认证码计算模块，用于根据所述接入应答消息和第二计算方法计算得到新临时密钥，并根据所述第一计算方法，将所述新临时密钥替换所述接入节点内配置的共享密钥计算得到新临时认证码；

认证判断模块，用于判断所述新临时认证码是否与所述接入应答消息中的临时认证码相同，是则所述接入节点接入成功，否则，所述接入节点接入失败。

17.根据权利要求15所述的接入节点，其特征在于，所述认证扩展报头包括认证类型字段，所述认证类型字段包括接入认证类型和数据传输类型；

所述请求发送模块，具体用于所述接入节点接入网络时，向所述接入认证节点发送认证类型字段为接入认证类型的接入请求信息；

所述接入节点还包括：

数据发送模块，用于所述接入节点接入成功并发送数据时，向所述接入认证节点发送认证类型字段为数据传输类型的接入请求信息。

18.根据权利要求17所述的接入节点，其特征在于，所述认证扩展报头包括有效时间字段，所述有效时间字段存储有认证有效时间；

所述数据发送模块还用于在所述有效时间内，直接向网络中发送数据。

19.一种通信系统，其特征在于，包括：

接入节点，用于向接入认证节点发送接入请求信息，所述接入请求信息包括认证扩展报头和认证码，所述认证扩展报头和认证码封装在IPv6数据包中，所述认证扩展报头包括算法字段，所述认证码为根据所述算法字段对应的算法、所述接入节点内配置的共享密钥以及所述IPv6数据包中除认证码之外的信息，按照第一计算方法计算得到；

接入认证节点，用于接收所述接入请求信息，将接收的所述IPv6数据包封装在认证请求信息中，并将所述认证请求信息发送给AAA服务器，由所述AAA服务器对所述接入节点进行认证。

Images