CN102255904B - 一种通信网络以及对终端的认证方法 - Google Patents

Abstract

一种通信网络以及对终端的认证方法，所述通信网络包括核心网、接入和汇聚网络以及终端，进一步包括接入服务器、认证服务器和短信息网关。本发明的优点在于，通过采用认证服务器和短信息网关对用户进行二次认证。认证服务器的基于用户身份的鉴权功能保证了一部分终端可以通过对身份信息的鉴权直接通过认证，降低了网络的负荷，而认证服务器通过所连接的短信息网关同时又给身份鉴权不通过的终端提供了包含动态认证信息的短信，通过对终端发送的用户名和密码进行校验完成接入认证，从而提高了终端最终认证成功的概率。

Description

一种通信网络以及对终端的认证方法

技术领域

本发明涉及通讯与计算机技术领域，尤其涉及一种通信网络以及对终端的认证方法。

背景技术

随着国内移动运营商对固移融合（FMC）网络的推进，基于固定宽带网络如城域网接入的终端或客户端要求具有移动网络的接入和访问能力，同时又能够接入原有的固定宽带网络。需要将移动通信网络广泛使用的用户识别模块引入到宽带接入终端或客户端上，使得这些终端或客户端能够使用用户识别模块中的身份和鉴权能力，完成到固定和移动网络的统一认证。

另一方面，现有客户端接入宽带网络，一般是基于用户名和密码形式的认证，安全性不是很高。而移动通信网络中使用的用户识别模块，内置了用户身份和密钥，该密钥同时存储在网络中。基于用户识别模块内的密钥和鉴权算法完成接入认证，相比通过用户名和密码方式，具有更高的安全性和可靠性。

使用用户识别模块完成认证时，客户端软件需要和用户识别模块交互，一般通过AT指令完成，从目前现网的运行来看，存在AT指令执行失败的情况。而且客户端和认证服务器之间的鉴权运算，由于传输链路或程序运行的异常，也存在失败的异常。对于用户名和密码方式的认证，同样如此。

发明内容

本发明所要解决的技术问题是，提供一种通信网络以及认证终端的方法，能够提高终端在登录网络进行接入认证的认证成功率。

为了解决上述问题，本发明提供了一种通信网络，包括核心网、接入和汇聚网络以及终端，进一步包括接入服务器、认证服务器和短信息网关；所述终端包括认证模块；终端通过接入与汇聚网络同接入服务器连接，接入服务器进一步与认证服务器连接，接入服务器还与核心网连接；短信息网关和认证服务器连接，认证服务器对终端通过接入服务器发送的基于身份（IMSI）的鉴权信息或者对其发送的用户名和密码信息进行认证，短信息网关用于在认证服务器对终端基于身份的鉴权失败情况下，认证服务器向短信息网关发送包含用户名和密码的认证信息，由短信息网关向终端发送含有此认证信息的短信。

作为可选的技术方案，进一步包括入口服务器，所述入口服务器同接入与汇聚网络连接，所述入口服务器同接入服务器连接，用于通过接入与汇聚网络向终端推送认证页面，并获取终端发送的认证信息，以及将获取的认证信息发送至接入服务器。

作为可选的技术方案，所述认证信息包括用户名和密码。

作为可选的技术方案，所述终端进一步包括用户识别模块。

一种上述通信网络对终端的认证方法，包括如下步骤：（a）终端通过接入与汇聚网络接入至接入服务器；（b）接入服务器调用认证服务器对终端的身份信息进行鉴权，若鉴权通过则执行步骤（d），若鉴权不通过，则继续执行步骤（c）；（c）认证服务器对终端经由接入服务器发送的认证信息进行认证，若认证通过则执行步骤（d），若认证不通过，则继续执行步骤（e）；（d）接入服务器允许终端通过接入与汇聚网络接入至核心网；（e）接入服务器禁止终端通过接入与汇聚网络接入至核心网。

作为可选的技术方案，步骤（c）进一步包括：（c1）认证服务器生成认证信息，并向短信息网关发送此认证信息；（c2）短信息网关生成含有认证信息的短信发送到终端的认证模块；（c3）终端的认证模块将短信息中包含的认证信息发送至认证服务器；（c4）认证服务器将步骤（c3）中收到的认证信息与步骤（c1）中的认证信息进行比对，两者一致则执行步骤（d），否则执行步骤（e）。

作为可选的技术方案，所述通信网络进一步包括入口服务器，所述入口服务器同接入与汇聚网络连接，所述入口服务器同接入服务器连接，步骤（c3）进一步包括：（c311）终端向入口服务器发送访问请求；（c312）入口服务器向终端推送认证页面；（c313）终端的使用者将步骤（c2）中获得的认证信息输入至认证页面；（c314）终端的认证模块将已输入认证信息的认证页面发送至入口服务器；（c315）入口服务器提取认证页面上的认证信息，并发送至接入服务器；（c316）接入服务器将收到的认证信息发送至认证服务器。

作为可选的技术方案，步骤（c3）进一步包括：（c321）认证服务器向短信息网关发送认证信息后，通过接入服务器向终端发出认证请求；（c322）终端的认证模块收到认证请求后，将所收到短信息中包含的认证信息通过接入服务器发送至认证服务器。

作为可选的技术方案，所述步骤（b）进一步包括：（b1）终端的认证模块发出接入请求，由接入和汇聚网络传送到接入服务器；（b2）接入服务器收到接入请求后和终端的认证模块交互，以获取终端的身份信息；（b3）接入服务器向认证服务器发起接入请求，包含终端的身份信息；（b4）认证服务器通过接入服务器向终端发起鉴权请求；（b5）终端的认证模块收到鉴权请求消息后进行认证计算，将鉴权计算结果通过接入服务器发送至认证服务器，由认证服务器检查鉴权计算结果。

作为可选的技术方案，所述终端进一步包括用户识别模块，步骤（b5）中的认证计算通过用户识别模块完成。

作为可选的技术方案，所述终端可以直接将带有身份信息的接入请求发送给接入服务器，所述步骤（b2）可省略。

本发明的优点在于，通过采用认证服务器和短信息网关对用户进行二次认证，认证服务器的对基于用户身份（IMSI）的鉴权功能保证了一部分终端可以通过对身份信息的鉴权直接通过认证，降低了网络的负荷，而认证服务器通过所连接的短信息网关同时又给身份鉴权不通过的终端提供了包含动态认证信息的短信，通过对终端发送的用户名和密码进行校验完成接入认证，从而提高了终端最终认证成功的概率。

附图说明

附图1所示是本发明的具体实施方式所述通信网络的网络架构示意图。

附图2所示是本发明的具体实施方式所述认证方法的实施步骤示意图。

附图3所示是附图1中步骤S22的一种可选实施过程的信令图。

附图4所示是附图1中步骤S23的一种可选实施过程的信令图。

附图5所示为附图4中步骤S233采用入口服务器转发认证信息的实施过程信令图。

附图6是本发明的一个实施例，对应于认证信息由认证服务器动态生成，并和入口服务器交互的情况。

附图7是本发明的一个实施例，对应于认证信息由认证服务器动态生成，且未和入口服务器交互的情况。

具体实施方式

接下来结合附图对本发明所述的一种通信网络以及对终端的认证方法的具体实施方式做出详细说明。

附图1所示是本具体实施方式所述通信网络的网络架构示意图，包括核心网10、接入和汇聚网络11、终端19、接入服务器12、认证服务器13、短信息网关14以及入口服务器15。

所述终端19包括认证模块191和用户识别模块192，其中用户识别模块192为可选模块。认证模块191在认证过程中同接入和汇聚网络11以及接入服务器12交互，完成对终端19的接入认证。而用户识别模块192单独用于存储用户的身份和鉴权信息（包括IMSI、鉴权密钥、鉴权算法），用户的身份信息也可以集成在认证模块191中，在终端19中利用用户识别模块192可以使认证模块191的功能更为专一，提高终端的运算效率和可靠性。

终端19通过接入与汇聚网络11同接入服务器12连接，接入服务器12进一步与认证服务器13连接，接入服务器12还与核心网10连接。以上是本具体实施方式所述通信网络的主架构，终端19能够通过接入与汇聚网络11和接入服务器12连接至核心网10，但是接入服务器12是否赋予终端19的接入权限，要进一步通过认证服务器13来进行认证。

短信息网关14和认证服务器13连接，并且均与核心网10连接，认证服务器13对终端19通过接入服务器12发送的鉴权信息或者用户名和密码信息进行认证，短信息网关14用于在认证服务器13对终端19鉴权失败的情况下，向终端19和认证服务器13发送含有认证信息的短信。

认证服务器13的对用户的鉴权功能保证了一部分终端可以通过基于身份信息的鉴权直接通过认证，降低了网络的负荷，而与认证服务器13连接的短信息网关14同时又给鉴权不通过的终端提供了包含动态认证信息的短信，通过对终端发送的用户名和密码进行校验完成接入认证，从而提高了终端最终认证成功的概率。

入口服务器15是可选组件，同接入与汇聚网络11连接，所述入口服务器15同接入服务器12连接。入口服务器15的作用在于通过接入与汇聚网络11向终端19推送认证页面，并获取终端19输入的认证信息，以及将获取的认证信息发送至接入服务器12。向终端19推送认证页面的优点在于可以使终端19的接入过程更为人性化。

附图2所示是本具体实施方式所述认证方法的实施步骤示意图，包括：步骤S21，终端通过接入与汇聚网络接入至接入服务器；步骤S22，认证服务器调用认证服务器对终端进行基于身份信息的鉴权，若鉴权通过则执行步骤S24，若鉴权不通过，则继续执行步骤S23；步骤S23，认证服务器对终端发送的认证信息进行认证，若认证通过则执行步骤S24，若认证不通过，则继续执行步骤S25；步骤S24，接入服务器允许终端通过接入与汇聚网络接入至核心网；步骤S25，接入服务器禁止终端通过接入与汇聚网络接入至核心网。

以上步骤的实施请同时参考附图1所示的网络架构示意图。

参考附图1，步骤S21中，终端19通过接入与汇聚网络11接入至接入服务器12，本步骤中的终端与接入与汇聚网络11，以及接入与汇聚网络11与接入服务器12之间的连接关系可以是无线连接也可以有线连接，即接入与汇聚网络即可以是有线网络，也可以是无线网络。

继续参考附图1，步骤S22中，认证服务器13通过接入服务器12对终端19的身份信息进行鉴权。若鉴权通过则执行步骤S24，若鉴权不通过，则继续执行步骤S23。步骤S24是接入服务器12允许终端19通过接入与汇聚网络11接入至核心网10，鉴权通过意味着认证过程完毕。步骤S23以及后续步骤是在鉴权不通过的情况下进一步采用短信的方式传递用户名和密码等动态认证信息。这样设置两步认证方法，保证一部分终端可以通过对身份信息的鉴权直接通过认证，降低了网络的负荷，同时又给鉴权不通过的终端提供了提供了包含动态认证信息的短信，通过短信息提供的用户名和密码进行认证，从而提高了终端认证的成功率。

附图3所示，并仍然参考附图1，是步骤S22的一种可选实施过程的信令图，包括如下步骤：步骤S221，终端19的认证模块191发出接入请求，由接入和汇聚网络11传送到接入服务器12；步骤S222，接入服务器12收到接入请求后和终端19的认证模块191交互，以获取终端19的身份信息；步骤S223，接入服务器12向认证服务器13发起接入请求，包含终端19的身份信息；步骤S224，认证服务器13通过接入服务器12向终端19的认证模块191发起鉴权请求；步骤S225，终端19的认证模块191收到消息后，通过用户识别模块192完成进行鉴权计算，这种鉴权计算是基于用户身份信息（IMSI），是移动通讯领域所公知的安全技术。用户识别模块中保存有用户身份信息、密钥和鉴权算法，密钥和算法由运营商预先配置在用户识别模块和核心网的鉴权中心或认证服务器中，用户识别模块利用认证服务器传递的鉴权随机数和模块中所配置的密钥、鉴权算法完成鉴权运算；步骤S226，认证模块191将鉴权运算结果通过接入服务器12转发到认证服务器13；步骤S227，认证服务器13检查鉴权结果，返回成功或拒绝的接入响应。由于接入和汇聚网络11只承担数据转发的功能，基于简洁的考虑，在附图3中省略了接入和汇聚网络11。以上是步骤S22的一种可选的实现方法，在其他的具体实施方式中，也可以是终端在步骤S221中直接将用户的身份信息发送至接入服务器12，而不必等待步骤S222中由接入服务器12和用户交互获取身份信息。

继续参考附图1，步骤S23中，认证服务器对终端发送的认证信息进行认证，若认证通过则执行步骤S24，若认证不通过，则继续执行步骤S25。认证服务器13调用短信息网关14，意味着认证服务器13在鉴权失败的情况下发起短信认证的过程，如果终端19发送的认证信息经认证服务器13认证通过，则仍然可以允许终端19接入至核心网10，只有本步骤对认证信息的校验亦失败之后，接入服务器12才会最终拒绝终端19的认证请求。终端19发送的认证信息可以是在认证服务器13发起短信认证之后，由短信息网关14发送至终端19的动态认证信息，也可以是预先同步配置在终端19和认证服务器13上的静态认证信息。本具体实施方式中所述认证信息包括用户名和密码。在其他实施方式中，可以根据需要灵活设置认证信息的形式，例如可以是经过压缩运算的字符串，也可以进一步包含验证码等。

附图4所示，并仍然参考附图1，是步骤S23的一种可选实施过程的信令图，本实施过程是对应于认证信息是由认证服务器13动态生成并通过短信息网关14发送至终端19这一情况，包括如下步骤：步骤S231，认证服务器产生认证信息，并发送到短信息网关；步骤S232，短信息网关14将包含认证信息的短信投递到终端；步骤S233，终端19的认证模块191将所述认证信息发送至认证服务器13；步骤S234，认证服务器13将步骤S231中产生的认证信息与步骤S233中从终端19收到的认证信息进行比对，两者一致则执行步骤S24，否则执行步骤S25。认证信息是由认证服务器13动态生成的优点在于动态信息具有较高的安全性。

在其他的实施方式中，若认证信息已经预先配置在终端19和认证服务器13上，则上述过程的步骤S231和S232可以省略，终端19不必等待收取含有认证信息的短息，在鉴权失败后直接输入认证信息，此方式提高了对终端19的认证效率。

附图1所示的通信网络进一步包括入口服务器，所述入口服务器15同接入与汇聚网络11连接，所述入口服务器15同接入服务器12连接，本具体实施方式中采用入口服务器15通过接入与汇聚网络11向终端19推送认证页面，并获取终端19输入的认证信息，以及将获取的认证信息发送至接入服务器12。

附图5所示为步骤S233中采用入口服务器15推送认证页面的实施过程信令图，本具体实施方式的步骤S233进一步包括：步骤S2331，终端19发送业务请求，被接入服务器重定向到入口服务器15，终端19向入口服务器15发送访问请求；步骤S2332，入口服务器15向终端19的认证模块191推送认证页面；步骤S2333，终端19的使用者将步骤S232中获得的认证信息输入至认证页面；步骤S2334，终端19的认证模块191将已输入认证信息的认证页面发送至入口服务器15；步骤S2335，入口服务器15提取认证页面上的认证信息，并发送至接入服务器12；步骤S2336，接入服务器12将收到的认证信息发送至认证服务器13。采用入口服务器15向终端19推送认证页面的优点在于可以使终端19的接入过程更为人性化，提高认证过程的可操作性和成功率。

在其他的实施方式中，也可以不使用入口服务器15，在此情况下，终端19的身份认证过程可以由认证服务器13发起。步骤S233中不采用入口服务器15推送认证页面，而由认证服务器13发起的身份认证实施过程应当包括如下两个步骤：认证服务器13通过短信息网关14向终端19发送含有认证信息的短信后，通过接入服务器12向终端19发出认证请求；终端19的认证模块191收到认证请求后，将所收到短信息中包含的认证信息通过接入服务器12发送至认证服务器13。以上过程的优点在于不必使用入口服务器15，且认证过程简单迅速。

接下来结合附图给出本发明的认证终端全过程的两个实施例。

实施例1，参考附图6，对应于认证信息由认证服务器13动态生成，并和入口服务器15交互的情况。

实施例2，参考附图7，对应于认证信息认证服务器13动态生成，并未和入口服务器15交互的情况。

以上所述仅是本发明的优选实施方式，应当指出，对于本技术领域的普通技术人员，在不脱离本发明原理的前提下，还可以做出若干改进和润饰，这些改进和润饰也应视为本发明的保护范围。

Claims (10)

1.一种通信网络，包括核心网、接入和汇聚网络以及终端，其特征在于，进一步包括接入服务器、认证服务器和短信息网关；所述终端包括认证模块，认证模块在认证过程中同接入和汇聚网络以及接入服务器交互，完成对终端的接入认证；

终端通过接入与汇聚网络同接入服务器连接，接入服务器进一步与认证服务器连接，接入服务器还与核心网连接；

短信息网关和认证服务器连接，认证服务器对终端通过接入服务器发送的基于身份（IMSI）的鉴权信息或者对其发送的用户名和密码信息进行认证； 短信息网关用于在认证服务器对终端基于身份鉴权失败的情况下，认证服务器向短信息网关发送包含用户名和密码的认证信息，由短信息网关向终端发送含有此认证信息的短信息。

2.根据权利要求1所述的通信网络，其特征在于，进一步包括入口服务器，所述入口服务器同接入与汇聚网络连接，所述入口服务器同接入服务器连接，用于通过接入与汇聚网络向终端推送认证页面，并获取终端发送的认证信息，以及将获取的认证信息发送至接入服务器。

3.根据权利要求1所述的通信网络，其特征在于，所述认证信息包括用户名和密码。

4.根据权利要求1所述的通信网络，其特征在于，所述终端进一步包括用户识别模块。

5.一种权利要求1所述通信网络对终端的认证方法，其特征在于，包括如下步骤：

（a）终端通过接入与汇聚网络接入至接入服务器；

（b）认证服务器通过接入服务器对终端进行基于身份信息的鉴权，若鉴权通过则执行步骤（d），若鉴权不通过，则继续执行步骤（c）；

（c）认证服务器对终端经由接入服务器发送的认证信息进行认证，步骤（c）进一步包括：（c1）认证服务器生成认证信息，并向短信息网关发送此认证信息；

（c2）短信息网关生成含有此认证信息的短信息并发送到终端；

（c3）终端的认证模块将此短信息中包含的认证信息发送至认证服务器；

（c4）认证服务器将步骤（c3）中收到的认证信息与步骤（c1）中的认证信息进行比对，两者一致则执行步骤（d），否则执行步骤（e）；

（d）接入服务器允许终端通过接入与汇聚网络接入至核心网；

（e）接入服务器禁止终端通过接入与汇聚网络接入至核心网。

6.根据权利要求5所述的对终端的认证方法，其特征在于，所述通信网络进一步包括入口服务器，所述入口服务器同接入与汇聚网络连接，所述入口服务器同接入服务器连接，步骤（c3）进一步包括：

（c311）终端向入口服务器发送访问请求；

（c312）入口服务器向终端推送认证页面；

（c313）终端的使用者将步骤（c2）中获得的认证信息输入至认证页面；

（c314）终端的认证模块将已输入认证信息的认证页面发送至入口服务器；

（c315）入口服务器提取认证页面上的认证信息，并发送至接入服务器；

（c316）接入服务器将收到的认证信息发送至认证服务器。

7.根据权利要求5所述的对终端的认证方法，其特征在于，步骤（c3）进一步包括：

（c321）认证服务器向短信息网关发送认证信息后，通过接入服务器向终端发出认证请求；

（c322）终端的认证模块收到认证请求后，将所收到短信息中包含的认证信息通过接入服务器发送至认证服务器。

8.根据权利要求5所述的对终端的认证方法，其特征在于，所述步骤（b）进一步包括：

（b1）终端的认证模块发出接入请求，由接入和汇聚网络传送到接入服务器；

（b2）接入服务器收到接入请求后和终端的认证模块交互，以获取终端的身份信息；

（b3）接入服务器向认证服务器发起接入请求，包含终端的身份信息；

（b4）认证服务器通过接入服务器向终端发起鉴权请求；

（b5）终端的认证模块收到鉴权请求消息后进行认证计算，将鉴权计算结果通过接入服务器发送至认证服务器，由认证服务器检查鉴权计算结果。

9.根据权利要求5所述的对终端的认证方法，其特征在于，所述步骤（b）进一步包括：

（b0）所述终端直接将接入请求发送给接入服务器，所述接入请求中包含终端的身份信息；

（b3）接入服务器向认证服务器发起接入请求，包含终端的身份信息；

（b4）认证服务器通过接入服务器向终端发起鉴权请求；

（b5）终端的认证模块收到鉴权请求消息后进行认证计算，将鉴权计算结果通过接入服务器发送至认证服务器，由认证服务器检查鉴权计算结果。

10.根据权利要求8或9所述的对终端的认证方法，其特征在于，所述终端进一步包括用户识别模块，步骤（b5）中的认证计算通过用户识别模块完成。