CN103428694A - 一种分离终端单点登录组合鉴权方法和系统 - Google Patents

一种分离终端单点登录组合鉴权方法和系统 Download PDF

Info

Publication number
CN103428694A
CN103428694A CN201210151486XA CN201210151486A CN103428694A CN 103428694 A CN103428694 A CN 103428694A CN 201210151486X A CN201210151486X A CN 201210151486XA CN 201210151486 A CN201210151486 A CN 201210151486A CN 103428694 A CN103428694 A CN 103428694A
Authority
CN
China
Prior art keywords
authentication
session
random number
module
once2
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN201210151486XA
Other languages
English (en)
Inventor
夏正雪
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
ZTE Corp
Original Assignee
ZTE Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by ZTE Corp filed Critical ZTE Corp
Priority to CN201210151486XA priority Critical patent/CN103428694A/zh
Publication of CN103428694A publication Critical patent/CN103428694A/zh
Pending legal-status Critical Current

Links

Images

Abstract

本发明公开了一种分离终端单点登录组合鉴权方法和系统，RP将OpenID中的BA重定向到OP，OP生成Session Id并推送给BA；AA根据获得的Session Id与OP进行通信，OP指示AA进行SDALS认证，AA与IdPDALS认证后，OP根据获取到的与AA之间的会话密钥K1和AA的认证结果，生成随机数Nonce2发送给AA；AA将Session Id、获取到的会话密钥K1，以及收到的随机数Nonce2发送给BA；BA根据Session Id、会话密钥K1，以及随机数Nonce2向OP及RP进行OpenID认证。本发明实现了在未部署GBA且分离终端场景下的单点登录，进而可使用多种多样的WEB业务。

Description

一种分离终端单点登录组合鉴权方法和系统
技术领域
本发明涉及移动通信系统的场景互通领域，尤其涉及一种分离终端单点登录组合鉴权方法和系统。
背景技术
目前，第三代合作伙伴计划(3rd Generation Partnership Project，简称为3GPP)组织中具有如下研究项目：利用会话初始协议摘要(简称为SIP Digest)认证机制实现在非通用集成电路卡(简称为UICCless)环境下的统一IP多媒体系统(IP Multimedia Subsystem，简称为IMS)终端访问应用服务器(Application Server，简称为AS)的单点登录(SSO，Single Sign On)功能。
其中，一种在SSO_APS(应用支持子层)中的SSO架构可以实现上述功能。该SSO架构通常由统一IMS终端、用户归属服务器(简称为HSS)、AS和身份鉴权提供者实体(简称为IdP)组成。IMS终端与IdP通过SSOb接口连接、IMS终端与AS通过SSOa接口连接、IdP与HSS通过SSOh接口连接。IdP用于与IMS终端利用SIP Digest认证机制进行交互、验证身份，并且鉴权AS，同时IdP与IMS终端有一个共享密钥K0；HSS中存储描述用户信息的签约文件，同时HSS还兼有产生鉴权信息的功能；AS为IMS终端提供网络服务业务。
在该SSO架构的实现方案中，针对运营商未部署一般引导架构(简称为GBA)、同时IMS终端不具有UICCless的场景下，利用SIP Digest认证机制对IMS终端进行鉴权，实现该IMS终端对AS应用服务器的SSO功能。其相关技术概述如下：
IMS终端向AS发送一个认证请求；AS重定向该认证请求到一个统一鉴权中心，即IdP，该重定向信息流中包含IMS终端和AS的私有身份标识符；IdP依据接收到的AS私有身份标识符对AS进行鉴权，保存对AS的鉴权结果，同时判断是否存在IdP和该IMS终端的共享密钥K0，若存在，则该IMS终端已鉴权过，不需要再次鉴权，直接执行后续步骤；否则，需要利用SIPDigest认证机制对该IMS终端进行鉴权，包括：IdP从HSS取得SIP Digest鉴权向量以及基于IP多媒体私有标识(简称为IMPI)的用户终端信息内容；IdP产生一个随机数nonce，并且储存该nonce和从HSS下载的H(A1)；IdP使用SIP Digest认证机制向IMS终端发送一个401鉴权挑战；IMS终端产生一个随机数cnonce和生成H(A1)，进而产生共享密钥K0，利用参数计算响应值response；IMS终端对鉴权挑战向IdP发送一个响应，在IdP中完成对IMS终端的鉴权，并产生共享密钥K0；IdP再次产生一个随机数nonce1，利用nonce1和共享密钥K0产生密钥K1，IdP利用共享密钥K0对密钥K1和AS的鉴权结果进行加密，利用AS和IdP的共享密钥Ka，i加密密钥K1和对IMS终端的鉴权结果)；IdP将上述加密的信息通过IMS终端重定向到AS；IMS终端解密获得AS的鉴权结果，并产生共享密钥K1；信息被重定向到AS；AS解密信息，获得IMS终端的鉴权结果和密钥K1；此时IMS终端和AS之间拥有共享密钥K1，从而两者后续的通信可以安全的进行。
另外，OpenID(开放身份联盟)也定义了自身架构和规范，用于实现对Web业务的访问，其架构主要包括三个实体：UE、OpenID身份提供实体(OpenID Provider，简称为OP)、服务依赖提供商(简称为RP)。
该OpenID架构是利用每个终端用户在OP处注册时分发的用户标识符，当UE访问支持OpenID的服务依赖提供商RP时，只需将该用户标识符输入，RP对该用户标识符进行标准化；接着RP利用发现机制，以及用户标识符获得OP的终点统一资源定位符(Uniform/Universal Resource Locator，简称为URL)；RP和OP之间进行关联，使得OP和RP之间建立共享密钥，该密钥使得OP标记后续的消息，使得RP识别后续的消息，该关联过程是可选的，当OP和RP两者处于不同的移动网络运营商(Mobile Network Operator，简称为MNO)网络时，该过程产生的共享密钥对消息的安全传输是很重要的；RP请求OP对该UE进行认证；OP根据UE的授权信息确立是否其被授权执行OpenID认证和期望被授权使用，OP依据UE的授权信息，完成对OpenID用户的认证过程，并且根据认证结果产生认证断言返回给RP；RP对该断言进行确认操作，来决定是否为该UE提供服务。
在TR33.924中，描述了一种GBA和OpenID融合后的分离终端(简称为split terminal)的场景，所谓分离终端，即网络认证的实体和浏览器不位于同一终端上。在分离终端场景中，传统的UE被分成了浏览代理(BrowsingAgent，简称为BA)，例如，位于个人电脑上浏览器，和认证代理(AuthenticatingAgent，简称为AA)，该AA位于可以直接访问SIM卡的设备上，例如移动终端或UE。
对于在非UICC环境下的分离终端，由于不能使用GBA架构进行鉴权认证，针对该类IMS终端，在SSO_APS中设计了利用SIP Digest机制实现SSO功能的架构，且在TR33.914中也已有该架构和OpenID架构融合互通的架构，但现有技术中存在的问题是：目前还没有针对分离终端场景下对终端进行鉴权认证的具体解决方案。
发明内容
本发明解决的技术问题是提供一种分离终端单点登录组合鉴权方法和系统，实现在未部署GBA且分离终端场景下的单点登录，进而可以使用WEB业务。
为解决上述技术问题，本发明提供了一种分离终端单点登录组合鉴权方法，
服务依赖提供商(RP)将开放身份联盟(OpenID)中的浏览代理(BA)重定向到OpenID提供实体(OP)，所述OP生成会话标识(Session Id)并推送给所述BA；
认证代理(AA)根据获得的所述Session Id与所述OP进行通信，所述OP指示所述AA进行SDALS认证，所述AA与身份鉴权提供者实体(IdP)SDALS认证后，所述OP根据获取到的与所述AA之间的会话密钥K1和AA的认证结果，生成随机数Nonce2发送给所述AA；所述AA将Session Id、获取到的会话密钥K1，以及收到的所述随机数Nonce2发送给所述BA；
所述BA根据所述Session Id、会话密钥K1，以及随机数Nonce2向所述OP及所述RP进行OpenID认证。
进一步地，所述OP收到所述RP的重定向请求时，生成所述Session Id，并向BA发送响应消息，所述响应消息中携带生成的所述Session Id；
所述BA通过本地连接将所述Session Id发送给所述AA。
进一步地，所述AA收到所述Session Id时，向所述OP发起HTTP请求消息，携带所述Session Id和支持SDALS认证方法的标识；
所述AS/OP向所述AA返回HTTP响应消息，指示所述AA进行SDALS认证。
进一步地，所述OP向AA发送HTTP响应消息，将生成的所述随机数Nonce2发送给所述AA；
所述AA通过本地接口将所述SessionID、所述Nonce2及所述会话密钥K1发送给所述BA。
进一步地，所述OpenID认证，具体包括：
所述BA向所述OP发起授权请求，携带所述Session Id、所述Nonce2以及所述会话密钥K1；
所述OP验证比较所述Session Id、以及所述随机数Nonce2和会话密钥K1，确认所述BA和所述AA认证通过；
所述OP将所述BA重定向到所述RP，携带认证断言；
所述RP检查所述认证断言，确认所述BA认证通过。
进一步地，所述本地接口包括蓝牙、Wifi。
本发明还提供了一种分离终端单点登录组合鉴权系统，所述系统包括：AA中的代理认证处理模块和认证信息传递模块，RP中的访问处理模块和断言认证模块，BA中的代理认证请求模块和认证发起模块，以及OP中的认证处理模块和随机数生成模块，
所述访问处理模块用于，收到OpenID中的BA的访问请求时，将所述BA重定向给OP；
所述认证处理模块用于，收到RP重定向的BA时，生成Session Id并推送给BA；指示所述AA进行SDALS认证；以及，对所述Session Id、会话密钥K1，以及随机数Nonce2进行验证，产生认证断言并重定向给所述RP；
所述代理认证请求模块用于，将收到的所述Session Id发送给所述AA；
所述代理认证处理模块用于，根据获得的所述Session Id与所述OP进行通信，并根据所述OP的指示与IdP进行SDALS认证；
所述随机数生成模块用于，根据获取到的与所述AA之间的会话密钥K1和AA的认证结果，生成随机数Nonce2发送给所述AA；
所述认证信息传递模块用于，将Session Id、获取到的会话密钥K1，以及收到的所述随机数Nonce2发送给所述BA；
所述认证发起模块用于，根据所述Session Id、会话密钥K1，以及随机数Nonce2向所述OP及所述RP进行OpenID认证；
所述断言认证模块用于，检查所述OP重定向的认证断言，对BA进行认证。
进一步地，所述认证处理模块收到所述RP的重定向请求时，生成所述Session Id，并向所述BA发送响应消息，所述响应消息中携带生成的所述Session Id；
所述代理认证请求模块用于，通过本地连接将所述Session Id发送给所述代理认证处理模块。
进一步地，所述代理认证处理模块用于，收到所述Session Id时，向所述OP发起HTTP请求消息，携带所述Session Id和支持SDALS认证方法的标识；
所述认证处理模块用于，向所述AA返回HTTP响应消息，指示所述AA进行SDALS认证。
进一步地，所述随机数生成模块用于，向所述AA发送HTTP响应消息，将生成的所述随机数Nonce2发送给所述AA；
所述认证信息传递模块用于，通过本地接口将所述SessionID、所述Nonce2及所述会话密钥K1发送给所述BA；
所述认证发起模块用于，向所述OP发起HTTP授权请求，携带所述Session Id、会话密钥K1，以及随机数Nonce2，向所述OP及所述RP发起OpenID认证。
本发明中，OP/AS通过Session Id来关联AA和BA，并指示AA进行SDALS认证，在AA通过SDALS认证后，再根据会话密钥K1和随机数Nonce2来验证BA和AA的关联以及认证结果。本发明实现了在未部署GBA且分离终端场景下的单点登录，进而可使用多种多样的WEB业务。
附图说明
此处所说明的附图用来提供对本发明的进一步理解，构成本申请的一部分，本发明的示意性实施例及其说明用于解释本发明，并不构成对本发明的不当限定。在附图中：
图1为SSO架构和OpenID架构融合互通的架构图；
图2为SSO架构和OpenID架构在分离终端场景下的架构图；
图3为本发明实施例的IMS分离终端单点登录方法的流程示意图；
图4为本发明实施例的IMS分离终端单点登录系统的组成示意图。
具体实施方式
图1所示为SSO架构和OpenID架构融合互通的架构图，其中，OpenID提供商实体(OP)和SSO_APS中SSO架构上的应用服务器(AS)实体作为一个实体，本发明中称为OP/AS或者OP(下文中如无特殊说明，OP、AS、OP/AS均指相同的含义)；UE为IMS终端；RP对应于IMS终端要访问的融合系统的OpenID的最终应用服务器；IdP作为用户认证中心，用于完成SSO_APS中SSO架构中对UE的认证。
图2所示分离终端场景下的架构示意图，其中UE被分为BA和AA，两者不在同一物理实体上，如BA位于个人电脑上，AA位于移动终端上。BA和AA可能通过本地接口进行通信，如蓝牙、Wifi等等。
针对图2所示场景下的分离终端，本实施方式提供一种分离终端单点登录组合鉴权方法，主要包括如下步骤：
步骤1，RP将OpenID中的BA重定向到OP/AS，OP/AS生成Session Id(会话标识)并推送给BA；
步骤2，AA根据获得的Session Id与OP/AS进行通信，OP/AS指示AA进行SDALS认证(即TR33.914中SSO_APS的SSO架构实现的认证方法)，AA与IdP进行SDALS认证后，OP/AS根据获取到的OP/AS和AA之间的会话密钥K1和AA的认证结果生成随机数Nonce2发送给AA；AA将SessionId、获取到的会话密钥K1，以及收到的随机数Nonce2发送给BA；
步骤3，BA根据Session Id、会话密钥K1，以及随机数Nonce2向OP/AS及RP进行OpenID认证。
进一步地，上述的步骤1，又分为如下步骤：
步骤1.1，BA向RP发送访问请求，请求消息中携带OpenID标识；
步骤1.2，RP将BA重定向到OP；
步骤1.3，OP生成Session Id，并向BA发送响应消息，消息中携带生成的Session Id；
步骤1.4，BA将Session Id发送给AA。
进一步地，上述的步骤2，又分为如下步骤：
步骤2.1，AA向OP发起HTTP请求消息，消息中携带OP生成的SessionId和表明AA支持SDALS认证方法的标识；
步骤2.2，OP指示AA进行SDALS认证。
步骤2.3，AA和IdP(SSO Server)之间进行SDALS认证过程；
步骤2.4，经过SDALS认证后，AA获取到会话密钥K1以及OP/AS的认证结果OP_Auth；
步骤2.5，SDALS认证后，OP/AS获取到会话密钥K1以及AA的认证结果UE_Auth，并生成随机数Nonce2；
步骤2.6，OP/AS向AA发送HTTP响应消息，消息中携带随机数Nonce2；
步骤2.7，AA将SessionID和Nonce2||K1发送给BA。
进一步地，上述的步骤3，又分为如下步骤：
步骤3.1，BA向OP发起授权请求，请求消息中携带OP生成的Session Id和随机数Nonce2以及会话密钥K1；
步骤3.2，OP验证比较Session Id和Nonce2以及会话密钥K1，确认AA和BA认证通过；
步骤3.3，OP将BA重定向到RP，重定向消息中携带认证断言；
步骤3.4，RP检查断言，确认BA认证通过，向BA提供服务。
为使本发明的目的、技术方案和优点更加清楚明白，下文中将结合附图对本发明的实施例进行详细说明。需要说明的是，在不冲突的情况下，本申请中的实施例及实施例中的特征可以相互任意组合。
图3为本发明实施例的IMS分离终端单点登录方法的示意流程，具体流程描述如下：
步骤301：BA向RP发送访问请求，请求消息中携带OpenID标识；
步骤302：RP标准化OpenID标识，并检索OP/AS地址；
步骤303(可选)：RP和OP/AS之间建立共享密钥；
步骤304：RP将BA重定向到OP/AS；
步骤305：OP/AS生成Session Id；
步骤306：OP/AS向BA发送HTTP响应，响应消息中携带Session Id；
步骤307：BA通过本地接口安全地将Session Id发送给AA；
步骤308：AA向OP/AS发送HTTP请求消息，消息中携带AA支持SDALS认证方法和Session Id；
步骤309：OP/AS对AA的HTTP请求作出响应，指示AA进行SDALS认证；
步骤310：AA和IdP(SSO Server)之间进行SDALS认证过程；
步骤311：经过SDALS认证后，AA获取到会话密钥K1以及OP/AS的认证结果OP_Auth；IdP通过AA将把对会话密钥K1和认证结果UE_Auth加密后产生的信息重定向到OP/AS，OP/AS也获取到会话密钥K1以及AA的认证结果UE_Auth，并生成随机数Nonce2；
步骤312：OP/AS向AA发送HTTP响应消息，消息中携带随机数Nonce2；
步骤313：AA通过本地接口安全地将SessionID和Nonce2||K1发送给BA；
步骤314：BA向OP/AS发送HTTP授权请求，请求消息中携带SessionId和Nonce2||K1；
步骤315：OP/AS验证比较Session Id和Nonce2||K1，确认AA和BA认证通过；
步骤316：OP/AS将BA重定向到RP，重定向消息中携带认证断言；
步骤317：RP检查断言，确认认证通过后，向BA提供服务。
此外，本发明实施例中还提供了一种系统，如图4所示，该系统主要包括：AA中的代理认证处理模块和认证信息传递模块，RP中的访问处理模块和断言认证模块，BA中的代理认证请求模块和认证发起模块，以及OP中的认证处理模块和随机数生成模块，其中，
所述访问处理模块用于，收到OpenID中的BA的访问请求时，将所述BA重定向给OP；
所述认证处理模块用于，收到RP重定向的BA时，生成Session Id并推送给BA；指示所述AA进行SDALS认证；以及，对所述Session Id、会话密钥K1，以及随机数Nonce2进行验证，产生认证断言并重定向给所述RP；
所述代理认证请求模块用于，将收到的所述Session Id发送给所述AA；
所述代理认证处理模块用于，根据获得的所述Session Id与所述OP进行通信，并根据所述OP的指示与IdP进行SDALS认证；
所述随机数生成模块用于，根据获取到的与所述AA之间的会话密钥K1和AA的认证结果，生成随机数Nonce2发送给所述AA；
所述认证信息传递模块用于，将Session Id、获取到的会话密钥K1，以及收到的所述随机数Nonce2发送给所述BA；
所述认证发起模块用于，根据所述Session Id、会话密钥K1，以及随机数Nonce2向所述OP及所述RP进行OpenID认证；
所述断言认证模块用于，检查所述OP重定向的认证断言，对BA进行认证。
进一步地，所述认证处理模块收到所述RP的重定向请求时，生成所述Session Id，并向所述BA发送响应消息，所述响应消息中携带生成的所述Session Id；
所述代理认证请求模块用于，通过本地连接将所述Session Id发送给所述代理认证处理模块。
进一步地，所述代理认证处理模块用于，收到所述Session Id时，向所述OP发起HTTP请求消息，携带所述Session Id和支持SDALS认证方法的标识；
所述认证处理模块用于，向所述AA返回HTTP响应消息，指示所述AA进行SDALS认证。
进一步地，所述随机数生成模块用于，向所述AA发送HTTP响应消息，将生成的所述随机数Nonce2发送给所述AA；
所述认证信息传递模块用于，通过本地接口将所述SessionID、所述Nonce2及所述会话密钥K1发送给所述BA；
所述认证发起模块用于，向所述OP发起HTTP授权请求，携带所述Session Id、会话密钥K1，以及随机数Nonce2，向所述OP及所述RP发起OpenID认证。
以上仅为本发明的优选实施案例而已，并不用于限制本发明，本发明还可有其他多种实施例，在不背离本发明精神及其实质的情况下，熟悉本领域的技术人员可根据本发明做出各种相应的改变和变形，但这些相应的改变和变形都应属于本发明所附的权利要求的保护范围。
显然，本领域的技术人员应该明白，上述的本发明的各模块或各步骤可以用通用的计算装置来实现，它们可以集中在单个的计算装置上，或者分布在多个计算装置所组成的网络上，可选地，它们可以用计算装置可执行的程序代码来实现，从而，可以将它们存储在存储装置中由计算装置来执行，并且在某些情况下，可以以不同于此处的顺序执行所示出或描述的步骤，或者将它们分别制作成各个集成电路模块，或者将它们中的多个模块或步骤制作成单个集成电路模块来实现。这样，本发明不限制于任何特定的硬件和软件结合。

Claims (10)

1.一种分离终端单点登录组合鉴权方法，其特征在于，
服务依赖提供商(RP)将开放身份联盟(OpenID)中的浏览代理(BA)重定向到OpenID提供实体(OP)，所述OP生成会话标识(Session Id)并推送给所述BA；
认证代理(AA)根据获得的所述Session Id与所述OP进行通信，所述OP指示所述AA进行SDALS认证，所述AA与身份鉴权提供者实体(IdP)SDALS认证后，所述OP根据获取到的与所述AA之间的会话密钥K1和AA的认证结果，生成随机数Nonce2发送给所述AA；所述AA将Session Id、获取到的会话密钥K1，以及收到的所述随机数Nonce2发送给所述BA；
所述BA根据所述Session Id、会话密钥K1，以及随机数Nonce2向所述OP及所述RP进行OpenID认证。
2.如权利要求1所述的方法，其特征在于，
所述OP收到所述RP的重定向请求时，生成所述Session Id，并向BA发送响应消息，所述响应消息中携带生成的所述Session Id；
所述BA通过本地连接将所述Session Id发送给所述AA。
3.如权利要求1所述的方法，其特征在于，
所述AA收到所述Session Id时，向所述OP发起HTTP请求消息，携带所述Session Id和支持SDALS认证方法的标识；
所述AS/OP向所述AA返回HTTP响应消息，指示所述AA进行SDALS认证。
4.如权利要求3所述的方法，其特征在于，
所述OP向AA发送HTTP响应消息，将生成的所述随机数Nonce2发送给所述AA；
所述AA通过本地接口将所述SessionID、所述Nonce2及所述会话密钥K1发送给所述BA。
5.如权利要求3所述的方法，其特征在于，所述OpenID认证，具体包括：
所述BA向所述OP发起授权请求，携带所述Session Id、所述Nonce2以及所述会话密钥K1；
所述OP验证比较所述Session Id、以及所述随机数Nonce2和会话密钥K1，确认所述BA和所述AA认证通过；
所述OP将所述BA重定向到所述RP，携带认证断言；
所述RP检查所述认证断言，确认所述BA认证通过。
6.如权利要求2或4所述的方法，其特征在于，
所述本地接口包括蓝牙、Wifi。
7.一种分离终端单点登录组合鉴权系统，其特征在于，所述系统包括：AA中的代理认证处理模块和认证信息传递模块，RP中的访问处理模块和断言认证模块，BA中的代理认证请求模块和认证发起模块，以及OP中的认证处理模块和随机数生成模块，
所述访问处理模块用于，收到OpenID中的BA的访问请求时，将所述BA重定向给OP；
所述认证处理模块用于，收到RP重定向的BA时，生成Session Id并推送给BA；指示所述AA进行SDALS认证；以及，对所述Session Id、会话密钥K1，以及随机数Nonce2进行验证，产生认证断言并重定向给所述RP；
所述代理认证请求模块用于，将收到的所述Session Id发送给所述AA；
所述代理认证处理模块用于，根据获得的所述Session Id与所述OP进行通信，并根据所述OP的指示与IdP进行SDALS认证；
所述随机数生成模块用于，根据获取到的与所述AA之间的会话密钥K1和AA的认证结果，生成随机数Nonce2发送给所述AA；
所述认证信息传递模块用于，将Session Id、获取到的会话密钥K1，以及收到的所述随机数Nonce2发送给所述BA；
所述认证发起模块用于，根据所述Session Id、会话密钥K1，以及随机数Nonce2向所述OP及所述RP进行OpenID认证；
所述断言认证模块用于，检查所述OP重定向的认证断言，对BA进行认证。
8.如权利要求7所述的系统，其特征在于，
所述认证处理模块收到所述RP的重定向请求时，生成所述Session Id，并向所述BA发送响应消息，所述响应消息中携带生成的所述Session Id；
所述代理认证请求模块用于，通过本地连接将所述Session Id发送给所述代理认证处理模块。
9.如权利要求7或8所述的系统，其特征在于，
所述代理认证处理模块用于，收到所述Session Id时，向所述OP发起HTTP请求消息，携带所述Session Id和支持SDALS认证方法的标识；
所述认证处理模块用于，向所述AA返回HTTP响应消息，指示所述AA进行SDALS认证。
10.如权利要求9所述的系统，其特征在于，
所述随机数生成模块用于，向所述AA发送HTTP响应消息，将生成的所述随机数Nonce2发送给所述AA；
所述认证信息传递模块用于，通过本地接口将所述SessionID、所述Nonce2及所述会话密钥K1发送给所述BA；
所述认证发起模块用于，向所述OP发起HTTP授权请求，携带所述Session Id、会话密钥K1，以及随机数Nonce2，向所述OP及所述RP发起OpenID认证。
CN201210151486XA 2012-05-16 2012-05-16 一种分离终端单点登录组合鉴权方法和系统 Pending CN103428694A (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201210151486XA CN103428694A (zh) 2012-05-16 2012-05-16 一种分离终端单点登录组合鉴权方法和系统

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201210151486XA CN103428694A (zh) 2012-05-16 2012-05-16 一种分离终端单点登录组合鉴权方法和系统

Publications (1)

Publication Number Publication Date
CN103428694A true CN103428694A (zh) 2013-12-04

Family

ID=49652717

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201210151486XA Pending CN103428694A (zh) 2012-05-16 2012-05-16 一种分离终端单点登录组合鉴权方法和系统

Country Status (1)

Country Link
CN (1) CN103428694A (zh)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN108667785A (zh) * 2017-04-01 2018-10-16 金联汇通信息技术有限公司 基于Open ID的网络身份服务的系统和方法
CN109547472A (zh) * 2018-12-24 2019-03-29 中国科学院数据与通信保护研究教育中心 一种可隐藏用户登录轨迹的单点登录方法

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101552673A (zh) * 2009-04-30 2009-10-07 用友软件股份有限公司 使用OpenID账号登录单点登录系统的方法
CN101656608A (zh) * 2008-08-21 2010-02-24 北京亿企通信息技术有限公司 一种在即时通信工具中单点登录Web端的方法及系统
US20100077469A1 (en) * 2008-09-19 2010-03-25 Michael Furman Single Sign On Infrastructure

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101656608A (zh) * 2008-08-21 2010-02-24 北京亿企通信息技术有限公司 一种在即时通信工具中单点登录Web端的方法及系统
US20100077469A1 (en) * 2008-09-19 2010-03-25 Michael Furman Single Sign On Infrastructure
CN101552673A (zh) * 2009-04-30 2009-10-07 用友软件股份有限公司 使用OpenID账号登录单点登录系统的方法

Non-Patent Citations (2)

* Cited by examiner, † Cited by third party
Title
3GPP ORGANIZATIONAL PARTNERS: ""Single Sign On（SSO） application security for Common IP Multimedia Subsystem（SIP） Digest"", 《3GPP TR 33.804 V11.0.0》 *
3GPP ORGANIZATIONAL PARTNERSHIP: ""Identity management and Generic Authentication Architecture（GAA） internetworking"", 《3GPP TR 33.924 V10.1.0》 *

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN108667785A (zh) * 2017-04-01 2018-10-16 金联汇通信息技术有限公司 基于Open ID的网络身份服务的系统和方法
CN108667785B (zh) * 2017-04-01 2020-11-27 金联汇通信息技术有限公司 基于Open ID的网络身份服务的系统和方法
CN109547472A (zh) * 2018-12-24 2019-03-29 中国科学院数据与通信保护研究教育中心 一种可隐藏用户登录轨迹的单点登录方法

Similar Documents

Publication Publication Date Title
EP2005702B1 (en) Authenticating an application
EP3120591B1 (en) User identifier based device, identity and activity management system
US8543814B2 (en) Method and apparatus for using generic authentication architecture procedures in personal computers
EP3750342B1 (en) Mobile identity for single sign-on (sso) in enterprise networks
US9025769B2 (en) Method of registering smart phone when accessing security authentication device and method of granting access permission to registered smart phone
CN101621801A (zh) 无线局域网的认证方法、系统及服务器、终端
US11711693B2 (en) Non-3GPP device access to core network
US11917416B2 (en) Non-3GPP device access to core network
CN114158046B (zh) 一键登录业务的实现方法和装置
CN103428694A (zh) 一种分离终端单点登录组合鉴权方法和系统
US9485654B2 (en) Method and apparatus for supporting single sign-on in a mobile communication system
WO2021079023A1 (en) Inter-mobile network communication security
CN101742507B (zh) 一种WAPI终端访问Web应用站点的系统及方法
CN103095649A (zh) 一种ims单点登录的组合鉴权方法及系统
HOLTMANNS et al. Identity Management in Mobile Communication Systems

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
WD01 Invention patent application deemed withdrawn after publication

Application publication date: 20131204

WD01 Invention patent application deemed withdrawn after publication