CN105591748A - 一种认证方法和装置 - Google Patents

Abstract

本发明提供一种认证方法和装置，该方法包括：接入设备接收来自终端设备的互联网密钥交换IKE协商报文，所述IKE协商报文携带所述终端设备的用户名信息；所述接入设备利用所述用户名信息，查询预先配置的用户名信息与密码信息之间的对应关系，得到所述用户名信息对应的密码信息；所述接入设备利用所述用户名信息和密码信息对所述终端设备进行认证。通过本发明的技术方案，减少报文交互的数量，简化SA协商过程，简化终端设备的配置。

Description

一种认证方法和装置

技术领域

本发明涉及通信技术领域，尤其是涉及一种认证方法和装置。

背景技术

IPsec(IPSecurity，IP安全)是三层隧道加密协议，为互联网上传输的数据提供了高质量的、基于密码学的安全保证，是一种实现三层VPN(VirtualPrivateNetwork，虚拟专用网络)的安全技术。IPsec通过在特定通信方之间建立通道，来保护通信方之间传输的数据，该通道通常称为IPsec隧道。

在使用IPsec保护数据之前，需要先建立一个SA(SecurityAssociation，安全联盟)，该SA可以手工创建或者动态建立，IKE(InternetKeyExchange，互联网密钥交换)协议给出了一种动态建立SA的方式。IKE协议建立在由ISAKMP(InternetSecurityAssociationandKeyManagementProtocol，互联网安全联盟和密钥管理协议)定义的框架上，为IPsec提供自动协商交换密钥、建立SA的服务，能够简化IPsec的使用和管理，简化IPsec的配置和维护。

当在终端设备和接入设备之间建立IPsec隧道时，则SA协商过程包括如下三个过程。第一过程为主模式协商过程，在该过程中，终端设备与接入设备进行IKE协商，并得到IKESA。第二过程为传输协商过程，在该过程中，接入设备向终端设备发送认证通知报文，要求终端设备输入用户名和密码；终端设备向接入设备返回携带有用户名和密码的认证请求报文；接入设备将携带有用户名和密码的认证请求报文发送给RADIUS(RemoteAuthenticationDial-InUserService，远程认证拨号用户服务)服务器，RADIUS服务器利用用户名和密码对终端设备进行认证；如果认证通过，则接入设备接收来自该RADIUS服务器的认证通过报文，并进行第三过程。第三过程为快速模式协商过程，在该过程中，终端设备与接入设备进行IPsec协商，得到IPsecSA。

在上述传输协商过程中，涉及多个报文的交互，会浪费网络带宽。

发明内容

本发明提供一种认证方法，所述方法包括以下步骤：

接入设备接收来自终端设备的互联网密钥交换IKE协商报文，所述IKE协商报文携带所述终端设备的用户名信息；

所述接入设备利用所述用户名信息，查询预先配置的用户名信息与密码信息之间的对应关系，得到所述用户名信息对应的密码信息；

所述接入设备利用所述用户名信息和密码信息对所述终端设备进行认证。

本发明提供一种认证方法，所述方法包括以下步骤：

终端设备接收用户输入的用户名信息和密码信息，并将所述密码信息作为密钥；所述终端设备向接入设备发送携带所述用户名信息的互联网密钥交换IKE协商报文，以使所述接入设备得到所述用户名信息对应的密码信息，将所述密码信息作为密钥，并利用所述用户名信息和密码信息对所述终端设备进行认证。

本发明提供一种认证装置，应用在接入设备上，所述认证装置包括：

接收模块，用于接收来自终端设备的互联网密钥交换IKE协商报文，所述IKE协商报文携带所述终端设备的用户名信息；

获得模块，用于利用所述用户名信息，查询预先配置的用户名信息与密码信息之间的对应关系，得到所述用户名信息对应的密码信息；

认证模块，用于利用所述用户名信息和密码信息对所述终端设备进行认证。

本发明提供一种认证装置，应用在终端设备上，所述认证装置包括：接收模块，用于接收用户输入的用户名信息和密码信息，并将所述密码信息作为密钥；发送模块，用于向接入设备发送携带所述用户名信息的互联网密钥交换IKE协商报文，以使所述接入设备得到所述用户名信息对应的密码信息，将所述密码信息作为密钥，并利用所述用户名信息和密码信息对所述终端设备进行认证。

基于上述技术方案，本发明实施例中，通过在IKE协商报文中携带终端设备的用户名信息，使得接入设备可以直接利用用户名信息得到对应的密码信息，不需要终端设备向接入设备发送携带有用户名和密码的认证请求报文，减少报文交互的数量，简化SA协商过程，同时也简化了终端设备的配置。

附图说明

图1是本发明实施例的应用场景示意图；

图2是本发明一种实施方式中的认证方法的流程图；

图3是本发明一种实施方式中的接入设备的硬件结构图；

图4是本发明一种实施方式中的认证装置的结构图；

图5是本发明一种实施方式中的终端设备的硬件结构图；

图6是本发明一种实施方式中的认证装置的结构图。

具体实施方式

针对现有技术中存在的问题，本发明实施例中提出一种认证方法，该方法应用于包括接入设备、终端设备和RADIUS服务器的系统中，且用于在SA协商过程中对终端设备进行认证。以图1为本发明实施例的应用场景示意图，该系统中可以包括终端设备1、接入设备1和RADIUS服务器1。

在上述应用场景下，如图2所示，该认证方法可以包括以下步骤：

步骤201，终端设备接收用户输入的用户名信息和密码信息，并将该密码信息作为密钥。其中，对于密钥的使用，将在后续步骤中进行说明。

步骤202，终端设备向接入设备发送携带用户名信息的IKE协商报文。

步骤203，接入设备接收来自终端设备的携带用户名信息的IKE协商报文。

本发明实施例中，在SA协商过程的主模式协商过程中，终端设备在向接入设备发送IKE协商报文时，可以在该IKE协商报文中添加本终端设备的用户名信息。接入设备在接收到来自终端设备的携带用户名信息的IKE协商报文之后，可以从该IKE协商报文中获得该终端设备的用户名信息。

本发明实施例中，通过对现有的IKE协商报文进行改进，使得IKE协商报文中包括用于承载终端设备的用户名信息的特定载荷字段(如REPLY(回应)载荷字段)。基于此，终端设备可以在IKE协商报文的特定载荷字段中添加本终端设备的用户名信息。而且，接入设备从IKE协商报文中获得终端设备的用户名信息的过程，具体包括但不限于如下方式：接入设备解析IKE协商报文的特定载荷字段中承载的内容，获得终端设备的用户名信息。

步骤204，接入设备利用获得的用户名信息，查询预先配置的用户名信息与密码信息之间的对应关系，得到该用户名信息对应的密码信息。

本发明实施例中，在接入设备本地或者内网数据库中预先配置了用户名信息与密码信息之间的对应关系。接入设备在获得用户名信息之后，通过利用该用户名信息查询接入设备本地或者内网数据库中配置的用户名信息与密码信息之间的对应关系，可以得到该用户名信息对应的密码信息。

本发明实施例中，接入设备在得到该用户名信息对应的密码信息之后，还可以将密码信息作为密钥，以使接入设备配置的密钥与终端设备配置的密钥相同。其中，终端设备将用户输入的与用户名信息对应的密码信息作为密钥。

本发明实施例中，接入设备在利用获得的用户名信息，查询预先配置的用户名信息与密码信息之间的对应关系时，如果没有得到该用户名信息对应的密码信息，则接入设备终止与终端设备的SA协商过程，即SA协商失败。

步骤205，接入设备利用用户名信息和密码信息对终端设备进行认证。

本发明实施例中，接入设备利用用户名信息和密码信息对终端设备进行认证的过程，具体可以包括但不限于如下方式：接入设备向RADIUS服务器发送携带有该用户名信息和密码信息的认证请求报文。RADIUS服务器利用该用户名信息和密码信息对终端设备进行认证。如果认证通过，则RADIUS服务器向接入设备发送认证通过报文，由接入设备接收来自RADIUS服务器的认证通过报文。如果认证失败，则RADIUS服务器向接入设备发送认证失败报文，由接入设备接收来自RADIUS服务器的认证失败报文。

在一种具体应用中，在主模式协商过程中，一共包括三对消息。

第一对消息完成了SA交换，它是一个协商确认双方IKE安全策略的过程。第一对消息包括终端设备向接入设备发送的用于协商SA交换的请求报文(称为第一条协商报文)，接入设备向终端设备发送的用于协商SA交换的响应报文(称为第二条协商报文)。该第一条协商报文的内容包括终端设备支持的IKE策略，该IKE策略包括但不限于加密算法、hash算法、D-H组、认证方式、SA生存时间等。接入设备在收到第一条协商报文后，如果接入设备支持第一条协商报文中携带的IKE策略，则向终端设备发送第二条协商报文，该第二条协商报文的内容是接入设备和终端设备均支持的IKE策略。

第二对消息完成了密钥交换，通过交换Diffie-Hellman公共值和辅助数据(如：随机数)，最终双方计算生成一系列共享密钥(例如，认证密钥、加密密钥以及用于生成IPsec密钥参数的密钥材料)，并使其中的加密密钥和认证密钥对后续的IKE消息提供安全保障。第二对消息包括终端设备向接入设备发送的用于进行密钥交换的请求报文(称为第三条协商报文)，接入设备向终端设备发送的用于进行密钥交换的响应报文(称为第四条协商报文)。

第三对消息完成了ID信息和验证数据的交换，并进行双方身份的认证。第三对消息包括终端设备向接入设备发送的用于进行ID信息和验证数据交换的请求报文(称为第五条协商报文)，接入设备向终端设备发送的用于进行ID信息和验证数据交换的响应报文(称为第六条协商报文)。

赘述。

基于上述主模式协商过程，本发明实施例中，上述过程中所描述的IKE协商报文具体包括：用于协商SA交换的请求报文(即第一条协商报文)，或者用于进行密钥交换的请求报文(即第三条协商报文)。

本发明实施例中，终端设备基于自身的密钥(即用户输入的密码信息)以及第二对消息得到的密钥材料，得到一个用于对后续报文(如第五条协商报文)进行加密处理的加密密钥，并利用该加密密钥对后续报文进行加密处理。此外，接入设备基于获得的密钥(即用户名信息对应的密码信息)以及第二对消息得到的密钥材料，得到一个用于对后续报文(如第六条协商报文)进行加密处理的加密密钥，并利用该加密密钥对后续报文进行加密处理。

本发明实施例中，接入设备利用用户名信息和密码信息对终端设备进行认证的过程，具体可以包括但不限于如下方式：接入设备在接收到IKE协商报文时，利用用户名信息和密码信息对终端设备进行认证；如果对终端设备的认证成功，则接入设备向终端设备发送针对IKE协商报文的响应报文；如果对终端设备的认证失败，则接入设备终止与终端设备的SA协商过程。或者，接入设备在完成主模式协商之后，利用用户名信息和密码信息对终端设备进行认证；如果对终端设备的认证成功，则接入设备与终端设备进行快速模式协商过程；如果对终端设备的认证失败，则接入设备终止与所述终端设备的SA协商过程。

针对方式一、接入设备在接收到携带有终端设备的用户名信息的IKE协商报文之后，并不会立即向终端设备发送针对该IKE协商报文的响应报文，而是先执行对终端设备进行认证的过程。在对终端设备进行认证之后，如果对终端设备的认证成功(即接入设备收到认证通过报文)，则接入设备向终端设备发送针对IKE协商报文的响应报文。如果对终端设备的认证失败(即接入设备收到认证失败报文)，则接入设备终止与终端设备的SA协商过程，即SA协商失败。基于该方式，在对终端设备的认证失败时，可以减少报文的交互数量。

针对方式二、接入设备在接收到携带有终端设备的用户名信息的IKE协商报文之后，立即向终端设备发送针对该IKE协商报文的响应报文，先不执行对终端设备进行认证的过程，而是等到完成主模式协商之后，才利用用户名信息和密码信息对终端设备进行认证。基于该方式，可以兼容现有的实现方式。

本发明实施例中，由于终端设备将用户输入的密码信息作为密钥，使得终端设备只需要维护一个密钥(密码信息)即可，不需要单独维护密钥和密码信息。而且，即使攻击者对终端设备进行攻击，向接入设备发送携带该终端设备的用户名信息的IKE协商报文，由于攻击者没有密钥，也无法对后续IKE协商报文进行解析，SA协商过程会失败，从而保证SA协商过程的安全。

基于上述技术方案，本发明实施例中，通过在IKE协商报文中携带终端设备的用户名信息，使得接入设备可以直接利用用户名信息得到对应的密码信息，不需要终端设备向接入设备发送携带有用户名和密码的认证请求报文，减少报文交互的数量，简化SA协商过程，同时也简化了终端设备的配置。

基于与上述方法同样的发明构思，本发明实施例还提供一种认证装置，该认证装置应用在接入设备上。该认证装置可通过软件实现，也可通过硬件或者软硬件结合的方式实现。以软件实现为例，作为一个逻辑意义上的装置，是通过其所在的接入设备的处理器将非易失性存储器中对应的计算机程序指令读取到内存中运行形成的。从硬件层面而言，如图3所示，为本发明提出的认证装置所在的接入设备的一种硬件结构图，除了图3所示的处理器、网络接口、内存以及非易失性存储器外，接入设备还可以包括其他硬件，如负责处理报文的转发芯片等；从硬件结构上来讲，该接入设备还可能是分布式设备，可能包括多个接口卡，以便在硬件层面进行报文处理的扩展。

如图4所示，为本发明提出的认证装置的结构图，所述认证装置具体包括：

接收模块11，用于接收来自终端设备的互联网密钥交换IKE协商报文，所述IKE协商报文携带所述终端设备的用户名信息；

获得模块12，用于利用所述用户名信息，查询预先配置的用户名信息与密码信息之间的对应关系，得到所述用户名信息对应的密码信息；

认证模块13，用于利用所述用户名信息和密码信息对终端设备进行认证。

本发明实施例中，所述IKE协商报文具体为用于协商安全联盟SA交换的请求报文，或者用于进行密钥交换的请求报文。

所述获得模块12，还用于将所述密码信息作为密钥，以使所述接入设备配置的密钥与所述终端设备配置的密钥相同，所述终端设备将用户输入的与所述用户名信息对应的密码信息作为密钥。

所述认证模块13，具体用于在接收到所述IKE协商报文时，利用所述用户名信息和密码信息对终端设备进行认证；如果对所述终端设备的认证成功，则向所述终端设备发送针对所述IKE协商报文的响应报文；如果对所述终端设备的认证失败，则终止与所述终端设备的SA协商过程；或者，在完成主模式协商之后，利用所述用户名信息和密码信息对所述终端设备进行认证。

其中，本发明装置的各个模块可以集成于一体，也可以分离部署。上述模块可以合并为一个模块，也可以进一步拆分成多个子模块。

基于与上述方法同样的发明构思，本发明实施例还提供一种认证装置，该认证装置应用在终端设备上。该认证装置可通过软件实现，也可通过硬件或者软硬件结合的方式实现。以软件实现为例，作为一个逻辑意义上的装置，是通过其所在的终端设备的处理器将非易失性存储器中对应的计算机程序指令读取到内存中运行形成的。从硬件层面而言，如图5所示，为本发明提出的认证装置所在的终端设备的一种硬件结构图，除了图5所示的处理器、网络接口、内存以及非易失性存储器外，终端设备还可以包括其他硬件，如负责处理报文的转发芯片等；从硬件结构上来讲，该终端设备还可能是分布式设备，可能包括多个接口卡，以便在硬件层面进行报文处理的扩展。

如图6所示，为本发明提出的认证装置的结构图，所述认证装置具体包括：

接收模块21，用于接收用户输入的用户名信息和密码信息，并将所述密码信息作为密钥；发送模块22，用于向接入设备发送携带所述用户名信息的互联网密钥交换IKE协商报文，以使所述接入设备得到所述用户名信息对应的密码信息，将所述密码信息作为密钥，并利用所述用户名信息和密码信息对所述终端设备进行认证。本发明实施例中，所述IKE协商报文具体为用于协商安全联盟SA交换的请求报文，或者用于进行密钥交换的请求报文。

通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到本发明可借助软件加必需的通用硬件平台的方式来实现，当然也可以通过硬件，但很多情况下前者是更佳的实施方式。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本发明各个实施例所述的方法。本领域技术人员可以理解附图只是一个优选实施例的示意图，附图中的模块或流程并不一定是实施本发明所必须的。

本领域技术人员可以理解实施例中的装置中的模块可以按照实施例描述进行分布于实施例的装置中，也可以进行相应变化位于不同于本实施例的一个或多个装置中。上述实施例的模块可以合并为一个模块，也可进一步拆分成多个子模块。上述本发明实施例序号仅仅为了描述，不代表实施例的优劣。

以上公开的仅为本发明的几个具体实施例，但是，本发明并非局限于此，任何本领域的技术人员能思之的变化都应落入本发明的保护范围。

Claims (12)

1.一种认证方法，其特征在于，所述方法包括以下步骤：

接入设备接收来自终端设备的互联网密钥交换IKE协商报文，所述IKE协商报文携带所述终端设备的用户名信息；

所述接入设备利用所述用户名信息，查询预先配置的用户名信息与密码信息之间的对应关系，得到所述用户名信息对应的密码信息；

所述接入设备利用所述用户名信息和密码信息对所述终端设备进行认证。

2.根据权利要求1所述的方法，其特征在于，所述IKE协商报文具体为用于协商安全联盟SA交换的请求报文，或者用于进行密钥交换的请求报文。

3.根据权利要求1所述的方法，其特征在于，所述方法进一步包括：

所述接入设备将所述密码信息作为密钥，以使所述接入设备配置的密钥与所述终端设备配置的密钥相同，所述终端设备将用户输入的与所述用户名信息对应的密码信息作为密钥。

4.根据权利要求1所述的方法，其特征在于，所述接入设备利用所述用户名信息和密码信息对终端设备进行认证的过程，具体包括：

所述接入设备在接收到所述IKE协商报文时，利用所述用户名信息和密码信息对终端设备进行认证；如果对所述终端设备的认证成功，则所述接入设备向所述终端设备发送针对所述IKE协商报文的响应报文；如果对所述终端设备的认证失败，则所述接入设备终止与所述终端设备的SA协商过程；或者，

所述接入设备在完成主模式协商之后，利用所述用户名信息和密码信息对所述终端设备进行认证。

5.一种认证方法，其特征在于，所述方法包括以下步骤：

终端设备接收用户输入的用户名信息和密码信息，并将所述密码信息作为密钥；

所述终端设备向接入设备发送携带所述用户名信息的互联网密钥交换IKE协商报文，以使所述接入设备得到所述用户名信息对应的密码信息，将所述密码信息作为密钥，并利用所述用户名信息和密码信息对所述终端设备进行认证。

6.根据权利要求5所述的方法，其特征在于，所述IKE协商报文具体为用于协商安全联盟SA交换的请求报文，或者用于进行密钥交换的请求报文。

7.一种认证装置，其特征在于，应用在接入设备上，所述认证装置包括：

接收模块，用于接收来自终端设备的互联网密钥交换IKE协商报文，所述IKE协商报文携带所述终端设备的用户名信息；

获得模块，用于利用所述用户名信息，查询预先配置的用户名信息与密码信息之间的对应关系，得到所述用户名信息对应的密码信息；

认证模块，用于利用所述用户名信息和密码信息对所述终端设备进行认证。

8.根据权利要求7所述的装置，其特征在于，所述IKE协商报文具体为用于协商安全联盟SA交换的请求报文，或者用于进行密钥交换的请求报文。

9.根据权利要求7所述的装置，其特征在于，

所述获得模块，还用于将所述密码信息作为密钥，以使所述接入设备配置的密钥与所述终端设备配置的密钥相同，所述终端设备将用户输入的与所述用户名信息对应的密码信息作为密钥。

10.根据权利要求7所述的装置，其特征在于，

所述认证模块，具体用于在接收到所述IKE协商报文时，利用所述用户名信息和密码信息对终端设备进行认证；如果对所述终端设备的认证成功，则向所述终端设备发送针对所述IKE协商报文的响应报文；如果对所述终端设备的认证失败，则终止与所述终端设备的SA协商过程；或者，在完成主模式协商之后，利用所述用户名信息和密码信息对所述终端设备进行认证。

11.一种认证装置，其特征在于，应用在终端设备上，所述认证装置包括：

接收模块，用于接收用户输入的用户名信息和密码信息，并将所述密码信息作为密钥；

发送模块，用于向接入设备发送携带所述用户名信息的互联网密钥交换IKE协商报文，以使所述接入设备得到所述用户名信息对应的密码信息，将所述密码信息作为密钥，并利用所述用户名信息和密码信息对所述终端设备进行认证。

12.根据权利要求11所述的装置，其特征在于，所述IKE协商报文具体为用于协商安全联盟SA交换的请求报文，或者用于进行密钥交换的请求报文。