CN102209066B - 网络认证的方法和设备 - Google Patents

Abstract

本发明公开了一种网络认证的方法和设备，该方法包括：认证客户端获得至少一个待认证客户端的身份标识；所述认证客户端根据获得到的身份标识向认证设备发送认证报文，并接收所述认证设备对所述至少一个客户端的认证结果；所述认证客户端根据所述认证结果向自身以外的所述至少一个待认证客户端转发认证信息。本发明实现了大规模网络节点的高效认证。

Description

网络认证的方法和设备

技术领域

本发明涉及通信领域，尤其涉及一种网络认证的方法和设备。

背景技术

现有通信网络认证机制多为一对一的认证方式，用户节点与对应的归属服务器节点间保存共享的密钥K。用户节点接入网络时需要与对应的归属服务器节点进行交互认证，主要包括用户节点向归属服务器发送携带共享密钥K的认证请求，归属服务器查询存储的用户节点对应的密钥，若查询得到的密钥与认证请求中携带的密钥K相同，则归属服务器判断认证通过。由于采用这种一对一的方式，认证设备对用户的每次认证都只能确定该用户个体的身份。但是，当网络中有同一类型的用户具有大规模的数量时，现有通信网络中一对一的认证方案将占用大量网络资源，增加网络负担。

现有的传感器网络认证机制，是指一个节点加入传感器网络中，传感器网络中已有节点对此新加入节点的认证机制，或者是传感器网络中的节点间通信前的相互认证。传感器网络内的节点之间的认证可以通过私有协议实现。现有技术中，如果传感器网络内的节点需要与外部网络(例如核心网)通信，需要通过具有与外部网络进行通信能力的节点实现，该节点通常为传感器网络中的网关设备。但是，现有技术还没有提供传感器网络中的大规模网络节点进行外部网络认证的机制。

发明内容

本发明实施例提供了一种网络认证的方法和设备，以实现大规模网络节点的高效认证。

本发明实施例提供了一种网络认证的方法，包括：

认证客户端获得至少一个待认证客户端的身份标识；

所述认证客户端根据获得到的身份标识向认证设备发送认证报文，并接收所述认证设备对所述至少一个客户端的认证结果；

所述认证客户端根据所述认证结果向自身以外的所述至少一个待认证客户端转发认证信息。

一种认证客户端，包括：

标识获得单元，用于获得至少一个待认证客户端的身份标识；

收发单元，用于根据所述标识获得单元获得到的身份标识向认证设备发送认证报文，并接收所述认证设备对所述至少一个客户端的认证结果；

转发单元，用于根据所述收发单元接收的认证结果向自身以外的所述至少一个待认证客户端转发认证信息。

一种认证设备，包括：

接收单元，用于接收认证客户端发送的认证报文；

查找单元，用于查找是否存储有与所述认证客户端对应的通信密钥；

获得单元，用于当所述查找单元的查找结果为是时，根据所述认证报文获得与所述认证客户端对应的至少一个客户端的身份标识，并根据所述认证客户端的通信密钥和所述至少一个客户端的身份标识获得会话密钥和认证向量；

发送单元，用于向所述认证客户端发送所述获得单元获得的认证向量。

与现有技术相比，本发明实施例至少具有以下优点：

本发明实施例中，通过具有与认证设备通信能力的认证客户端将认证组内完成组内其他客户端的认证，实现同一类型的用户具有大规模的数量时向认证设备的统一认证，节省网络资源，同时提供了传感器网络中的大规模网络节点进行外部网络认证的机制。

附图说明

图1是本发明实施例一提供的网络认证的方法的流程示意图；

图2是本发明实施例二提供的网络认证的方法的应用场景示意图；

图3是本发明实施例二提供的网络认证的方法的流程示意图；

图4是本发明实施例二提供的网络认证的方法中密钥产生示意图；

图5是本发明实施例二提供的网络认证的方法中密钥产生示意图；

图6是本发明实施例三提供的认证客户端的结构示意图；

图7是本发明实施例四提供的认证设备的结构示意图。

具体实施方式

本发明实施例的核心思想是：通过具有与认证设备通信能力的认证客户端将认证组内完成组内其他客户端的认证。

本发明实施例一提供了一种网络认证的方法，如图1所示，包括：

步骤101，认证客户端获得至少一个待认证客户端的身份标识；

步骤102，所述认证客户端根据获得到的身份标识向认证设备发送认证报文，并接收所述认证设备对所述至少一个客户端的认证结果；

步骤103，所述认证客户端根据所述认证结果向自身以外的所述至少一个待认证客户端转发认证信息。

本发明实施例提供的网络认证的方法中，认证客户端作为其他待认证客户端向认证设备进行认证的代理设备存在，其中认证客户端与其他待认证客户端可以属于同一认证组，也可以为相互独立的设备。后一种情况下，其他待认证客户端在经过认证客户端的认证后，通过认证客户端向认证设备进行认证，此时其他认证客户端并不限于与认证客户端同认证组内的设备。

本发明实施例二提供一种网络认证的方法，如图2所示，该方法应用的系统中包括一个认证组A和一个归属节点HomeA(认证设备)。该认证组A内包括7个节点(客户端)UE1，UE2，......，UE7，认证组A中具有可以与归属节点HomeA通信的U7，U8(认证客户端)。认证组A内7个节点的身份信息都放在HomeA上，HomeA上还存储有认证组A的认证组标识信息和UE1至UE7各节点与认证组A的对应关系。例如，认证组A具体可以为感知网络，在感知网络内部，使用感知网络中的具体协议来进行交互。并且，U1，U2，......，U6节点不具备与核心网络进行通讯的能力，U7，U8为感知网络对外通讯的汇聚接口，即U7，U8上既有集合中的通讯协议，也有网络侧使用的通讯协议，U7，U8上保存有与网络通信的通信密钥K，该密钥可以相同也可以不同，通过该密钥可以与网络侧进行通讯。HomeA中维护同样的密钥K。由于U1，U2，......，U6与网络侧没有通讯的能力，因此HomeA中不保存相关的密钥信息。

需要说明的是，U7、U8上保存的通信密钥K可以为U7、U8各自与网络通信的通信密钥K，此时U7、U8上保存的通信密钥K可以相同也可以不同；U7、U8上保存的通信密钥K还可以是与认证组A对应的密钥K，此时U7、U8上保存的通信密钥K相同。HomeA中存储的密钥K与上述两种情况对应，可以是与U7、U8对应的密钥K，也可以是与认证组A对应的密钥K。本实施例中以前一种情况为例进行说明。

这种情况下，U7，U8就相当于感知网络内部节点U1，U2，......，U6与核心网络HomeA之间的代理。因此，HomeA对U1，U2，......，U6节点的认证是委托U7，U8来完成的。当U7，U8完成与感知网络中节点的双向认证之后，U7，U8就可以代表感知网络与核心网络侧进行认证。

具体的，如图3所示，该方法包括以下步骤：

步骤301，选择认证组A内的U7作为认证节点。

图2所示的场景中，认证组A内所有节点都可以通过私有协议相互通信。认证组A根据组内物理环境、节点利用率等条件，按照一定的原则选取U7或U8作为认证节点代表全组进行网络接入认证。例如，若U7的节点利用率较低，则可以选择U7作为认证节点。认证组A也可以同时选择U7与U8作为认证节点，此时认证组A内的其他节点分别选择U7或U8作为认证节点，其中将U7作为认证节点的节点不能再将U8作为认证节点，反之亦然。

本应用场景中以U7作为认证节点为例进行说明。

步骤302，U7获得认证组A内的其他节点的身份标识。

本实施例中，选择U7作为认证节点后，认证组A内的其他需要认证的节点将自己的身份标识发送到认证节点U7。具体的，认证组A内的其他需要认证的节点可以根据协议构成结构化逻辑层次，将自己的身份标识利用结构化逻辑层次传送给U7。该结构化逻辑层次具体可以为树形结构，其中U7为树根。当然，对于其他有益于提高子密钥传送效率的逻辑结构同样可以适用，本实施例对此并不限制。

步骤303，U7向HomeA发送认证报文。

具体的，U7获得其他节点的身份标识后，为了增加节点身份标识的安全性，对节点的身份标识进行加密，具体的，U7可以使用自身通信密钥K加密获得的节点的身份标识。例如，如果U7，U8具有专门的通信网的ID，如叫IMSI1，IMSI2，那么在与HomeA进行通信的时候，直接用K将ID列表进行加密，与IMSI1或者IMSI2一起发送，如：IMSI1，SK{U1||U2||...||SQNMS}，其中，SK{}代表用K加密，SQNMS用于防止抗重放攻击。如果U7，U8没有专门的通信网的ID，在与HomeA进行认证通信时，将发送集合的标识，例如：A，然后用K将ID列表进行加密，如果U7和U8具有不同的密钥，那么还需要携带U7，U8的ID，这样的消息内容即为：A，SK{U1||U2||...||SQNMS，U7/U8}，，其中，SK{}代表用K加密，SQNMS用于防止抗重放攻击。

步骤304，HomeA接收U7的认证请求，向U7发送认证向量。

具体的，HomeA接收到U7发送的认证请求后，查找U7对应的通信密钥K。查找成功后，根据该密钥K获取认证请求中携带的身份标识信息，并进一步根据K和ID列表计算会话密钥CK/IK和认证向量。计算流程可以基于AKA的计算流程。在计算认证向量、期待回复和加密密钥的时候加入对ID列表的Hash。如图4所示，其中，由于HASH函数具有单向性，因此不同的ID列表必然会产生不同的Hash值，而f1，f2，f3函数又保证了根据不同的输入可以产生不同的结果。因此，不同的ID列表即会导致生成的认证向量不同，从而保证了对ID列表的认证功能。由于AKA协议使用的是MILENAGE算法集，要求每个输入参数均为128bit，所以此处要对ID列表进行Hash操作，使得最终输入进算法的参数是128位的。另外，为了保证对算法的修改尽量的小，因此，将Hash(U1||U2||...)与SQN||AMF||SQN||AMF相异或，然后再将结果作为输入产生密钥，如图5所示。

步骤305，U7根据认证向量获取会话密钥，并将会话密钥向认证组A内的其他设备发送。

具体的，U7根据认证向量对HomeA进行认证，认证通过后，计算出对应的响应，并发送给HomeA进行双向认证。U7还根据认证向量计算对应的CK/IK，将计算得到的会话密钥CK向需要认证的节点发送。

步骤306，认证组A内的客户端根据获取的会话密钥进行通信。

具体的，需要认证的节点利用CK将用户数据加密并传输。

本发明实施例中，当所述认证组内有多个认证客户端同时向所述认证设备进行认证时，例如通过U7、U8同时向所述认证设备进行认证时，U7、U8进行认证时彼此携带的身份标识相互不同，互相没有重复。

通过采用本发明实施例提供的方法，通过具有与认证设备通信能力的认证客户端将认证组内完成组内其他客户端的认证，实现同一类型的用户具有大规模的数量时向认证设备的统一认证，节省网络资源，同时提供了传感器网络中的大规模网络节点进行外部网络认证的机制。

本发明实施例三提供一种认证客户端，如图6所示，包括：

标识获得单元11，用于获得至少一个待认证客户端的身份标识；

收发单元12，用于根据所述标识获得单元11获得到的身份标识向所述认证设备发送认证报文，并接收所述认证设备对所述至少一个客户端的认证结果；

转发单元13，用于根据所述收发单元12接收的认证结果向自身以外的所述至少一个待认证客户端转发认证信息。

还包括：

第一认证单元14，用于对自身以外的待认证客户端进行认证。

还包括：

第二认证单元15，用于对所述认证设备发送的认证向量进行认证；

计算单元16，用于所述第二认证单元15的认证通过时，根据所述认证向量计算会话密钥；

所述转发单元13还用于：将所述计算单元16得到的会话密钥向所述认证客户端以外的客户端转发。

所述收发单元12还用于：

使用自身通信密钥加密所述获得到的身份标识，通过所述认证报文携带加密后的身份标识向所述认证设备发送。

本发明实施例四提供一种认证设备，如图7所示，包括：

接收单元21，用于接收认证客户端发送的认证报文；

查找单元22，用于查找是否存储有与所述认证客户端对应的通信密钥；

获得单元23，用于当所述查找单元22的查找结果为是时，根据所述认证报文获得与所述认证客户端对应的至少一个客户端的身份标识，并根据所述认证客户端的通信密钥和所述至少一个客户端的身份标识获得会话密钥和认证向量；

发送单元24，用于向所述认证客户端发送所述获得单元23获得的认证向量。

还包括：

存储单元25，用于存储认证客户端与通信密钥的对应关系、以及客户端与客户端所属认证组的对应关系；

判断单元26，用于根据所述存储单元25存储的客户端与客户端所属认证组的对应关系判断所述至少一个客户端是否与所述认证客户端属于同一认证组。

通过采用本发明实施例提供的设备，通过具有与认证设备通信能力的认证客户端将认证组内完成组内其他客户端的认证，实现同一类型的用户具有大规模的数量时向认证设备的统一认证，节省网络资源，同时提供了传感器网络中的大规模网络节点进行外部网络认证的机制。

通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到本发明可借助软件加必需的通用硬件平台的方式来实现，当然也可以通过硬件，但很多情况下前者是更佳的实施方式。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本发明各个实施例所述的方法。

本领域技术人员可以理解附图只是一个优选实施例的示意图，附图中的模块或流程并不一定是实施本发明所必须的。

本领域技术人员可以理解实施例中的装置中的模块可以按照实施例描述进行分布于实施例的装置中，也可以进行相应变化位于不同于本实施例的一个或多个装置中。上述实施例的模块可以合并为一个模块，也可以进一步拆分成多个子模块。

上述本发明实施例序号仅仅为了描述，不代表实施例的优劣。

以上公开的仅为本发明的几个具体实施例，但是，本发明并非局限于此，任何本领域的技术人员能思之的变化都应落入本发明的保护范围。

Claims (12)

1.一种网络认证的方法，其特征在于，包括：

认证客户端获得多个待认证客户端的身份标识；

所述认证客户端根据获得到的身份标识向认证设备发送认证报文，并接收所述认证设备对所述多个待认证客户端的认证结果；

所述认证客户端根据所述认证结果向自身以外的所述多个待认证客户端转发认证信息；

其中，所述认证报文包含获得的多个待认证客户端的身份标识。

2.如权利要求1所述的方法，其特征在于，所述认证客户端获得多个待认证客户端的身份标识之前，还包括：

所述认证客户端对自身以外的待认证客户端进行认证；

认证通过后，所述认证客户端获得通过认证的客户端的身份标识。

3.如权利要求1所述的方法，其特征在于，所述接收所述认证设备对所述多个待认证客户端的认证结果之前，还包括：

所述认证设备接收所述认证报文，查找与所述认证客户端对应的通信密钥；

如果查找成功，所述认证设备获得所述多个待认证客户端的身份标识；

所述认证设备根据所述多个待认证客户端的身份标识和所述认证客户端的通信密钥计算会话密钥和认证向量，并向所述认证客户端发送所述认证向量。

4.如权利要求3所述的方法，其特征在于，所述认证客户端根据所述认证结果向自身以外的所述多个待认证客户端转发认证信息包括：

所述认证客户端根据所述认证向量对所述认证设备进行认证；

认证通过后，所述认证客户端向所述认证设备发送认证响应，并将根据所述认证向量计算得到的会话密钥向自身以外的所述多个待认证客户端转发。

5.如权利要求3所述的方法，其特征在于，所述认证设备获得所述多个待认证客户端的身份标识之后，还包括：

所述认证设备判断所述多个待认证客户端是否与所述认证客户端属于同一认证组；

如果判断结果为是，所述认证设备执行根据所述多个待认证客户端的身份标识和所述认证客户端的通信密钥计算会话密钥和认证向量的步骤。

6.如权利要求1所述的方法，其特征在于，所述认证客户端根据获得到的身份标识向所述认证设备发送认证报文包括：

所述认证客户端使用自身通信密钥加密所述获得到的身份标识，通过所述认证报文携带加密后的身份标识向所述认证设备发送。

7.一种认证客户端，其特征在于，包括：

标识获得单元，用于获得多个待认证客户端的身份标识；

收发单元，用于根据所述标识获得单元获得到的身份标识向认证设备发送认证报文，并接收所述认证设备对所述多个待认证客户端的认证结果；

转发单元，用于根据所述收发单元接收的认证结果向自身以外的所述多个待认证客户端转发认证信息；

其中，所述认证报文包含获得的多个待认证客户端的身份标识。

8.如权利要求7所述的认证客户端，其特征在于，还包括：

第一认证单元，用于对自身以外的待认证客户端进行认证。

9.如权利要求7所述的认证客户端，其特征在于，还包括：

第二认证单元，用于对所述认证设备发送的认证向量进行认证；

计算单元，用于所述第二认证单元的认证通过时，根据所述认证向量计算会话密钥；

所述转发单元还用于：将所述计算单元得到的会话密钥向所述认证客户端以外的所述多个待认证客户端转发。

10.如权利要求7所述的认证客户端，其特征在于，所述收发单元还用于：

使用自身通信密钥加密所述获得到的身份标识，通过所述认证报文携带加密后的身份标识向所述认证设备发送。

11.一种认证设备，其特征在于，包括：

接收单元，用于接收认证客户端发送的认证报文；

查找单元，用于查找是否存储有与所述认证客户端对应的通信密钥；

获得单元，用于当所述查找单元的查找结果为是时，根据所述认证报文获得与所述认证客户端对应的多个客户端的身份标识，并根据所述认证客户端的通信密钥和所述多个客户端的身份标识获得会话密钥和认证向量；

发送单元，用于向所述认证客户端发送所述获得单元获得的认证向量；

其中，所述认证报文包含所述认证客户端获得的多个待认证客户端的身份标识。

12.如权利要求11所述的设备，其特征在于，还包括：

存储单元，用于存储认证客户端与通信密钥的对应关系、以及客户端与客户端所属认证组的对应关系；

判断单元，用于根据所述存储单元存储的客户端与客户端所属认证组的对应关系判断所述多个待认证客户端是否与所述认证客户端属于同一认证组。