CN111669750B

CN111669750B - 一种pdu会话二次验证的方法及装置

Info

Publication number: CN111669750B
Application number: CN201910169812.1A
Authority: CN
Inventors: 衣强; 龙水平
Original assignee: Huawei Technologies Co Ltd
Current assignee: Huawei Technologies Co Ltd
Priority date: 2019-03-07
Filing date: 2019-03-07
Publication date: 2021-08-03
Anticipated expiration: 2039-03-07
Also published as: WO2020177616A1; CN111669750A

Abstract

本申请提供一种5G场景下的用户和外部网络业务之间认证的方案。具体实施方式为会话管理功能实体SMF接收接入与移动管理功能实体AMF发送的PDU会话建立请求，PDU会话请求由终端设备进行完整性保护，SMF接收到以后对会话建立请求进行完整性验证。此后，若SMF验证终端设备中的签约信息成功，则SMF与外部服务器建立通信，且SMF向所述外部服务器发送验证成功信息，最终SMF建立所述PDU会话。

Description

一种PDU会话二次验证的方法及装置

技术领域

本申请涉及通信技术领域，尤其涉及通信技术安全领域。

背景技术

第三代合作伙伴计划(3rd Generation Partnership Project，3GPP)在第五代移动通信系统(5th generation mobile networks,5G)的第一阶段提出二次认证的方案，用来实现用户设备(User Equipment，UE)和外部数据网络之间的认证。

其方案是在(Protocol Data Unit，PDU)会话建立过程中，基于可扩展认证协议(Extensible Authentication Protocol，EAP)的方式实现终端与外部数据网络的认证，采用的认证方案标准目前没有规定。

在目前的技术方案中，终端设备中需要业务相关的凭证，才能实现在二次认证过程中使用该凭证实现外部数据网络对用户身份的认证。

然而，并不是所有业务都可以实现在终端上预置凭证，对于没有在终端预置业务，常见的认证方式是第三方业务通过短信验证码来验证用户身份(登陆及注册过程均可使用)，然而在5G的PDU会话建立过程中并未考虑该过程如何实现。

另外，即使使用短信验证码的认证方式，仍存在很大风险，短信如容易被劫持、被转告他人、手机中木马病毒等导致短信验证码泄露，造成用户账号泄露的风险，因此短信验证码方式并不是最佳验证方案。

现有技术也没有给出在没有预置凭证的情况下，在用户注册并设置用户名及密码后，如何登陆第三方业务的方案。

因此，对于没有在终端预置凭证的业务，5G没有实现用户和外部网络业务之间认证的方案。

发明内容

本申请实施例提供一种PDU会话的二次认证的方法及装置，提供一种在5G环境下实现用户和外部网络业务之间的认证方法。

第一方面，本申请提供一种协议数据单元PDU会话认证的方法，包括会话管理功能实体SMF接收接入与移动管理功能实体AMF发送的PDU会话建立请求，在接收到会话建立请求之后，SMF验证所述会话建立请求的完整性保护；进一步，SMF验证终端设备中的签约信息成功，SMF与外部服务器建立通信，SMF向所述外部服务器发送验证成功信息，SMF建立所述PDU会话。通过上述方法，

结合第一方面，在第一种可能的实施方式中，PDU会话建立请求中携带终端设备标识码。

结合第一方面的第一种可能的实施方式，在第二种可能的实施方式中，SMF验证终端设备中的签约信息成功，进一步包括SMF获取终端设备的标识码，SMF比较终端设备签约信息中标识码与终端标识码相同，则签约信息验证成功。

结合第一方面的第一种可能的实现方式和第二种可能的实现方式，在第三种可能的实施方式中，SMF验证终端设备中的签约信息成功，进一步包括SMF验证终端设备的签约信息与本地策略一致；或SMF验证终端设备以已经被相同外部网络认证。

结合第一方面，在第四种可能的实施方式中，PDU会话建立请求中不携带终端设备标识码，SMF验证终端设备中的签约信息成功，进一步包括SMF从统一数据管理UDM获取终端设备标识码；SMF向所述外部服务器发送所述终端设备标识码。

结合第一方面，在第五种可能的实施方式中，SMF验证会话建立请求的完整性保护，包括会话建立请求中携带终端设备的标识码，终端设备的标识码由完整性保护密钥进行完整性保护；所完整性密钥包括S-NSSAI，PDU会话编号，数字网络名称DNN中的一项或多项。

第二方面，本申请提供一种协议数据单元PDU会话认证的方法，包括：

终端设备登录外部网络，然后终端设备接收所述外部网络服务器发送验证信息，终端设备通过会话管理功能实体SMF向外部网络服务器发送会话建立请求，会话请求携带终端设备标识,终端设备对所述终端设备标识进行完整性保护，终端设备建立所述PDU会话。

结合第二方面，在第一种可能的实施方式中，在终端设备向会话管理功能实体SMF发送会话建立请求之前，其特征在于，所述终端设备接收所述外部网络验证信息，所述会话建立请求携带所述外部网络验证信息。

第三方面，本申请提供一种会话管理功能实体SMF，包括接收器，用于接收接入与移动管理功能实体AMF发送的PDU会话建立请求；安全单元，用于验证会话建立请求的完整性，安全单元还用于验证终端设备中的签约信息是否成功，验证签约信息成功后，SMF与外部服务器建立通信；发送器，用于向外部服务器发送验证成功信息，进而SMF建立PDU会话。

结合第三方面，在第一种可能的实施方式中，PDU会话建立请求中携带终端设备标识码。

结合第三方面或第三方面的第一种可能的实施方式，在第二种可能的实施方式中，SMF验证终端设备中的签约信息成功，进一步包括SMF获取所述终端设备的标识码；SMF比较终端设备签约信息中标识码与终端标识码是否相同，若相同，则签约信息验证成功。

结合第三方面或第三方面的第一种可能的实施方式，在第三种可能的实施方式中，SMF验证终端设备中的签约信息成功，进一步包括SMF验证所述终端设备的签约信息与本地策略一致；或，SMF验证终端设备已经被相同外部网络认证过。

结合第三方面的第三种可能的实施方式，在第四种可能的实施方式中，PDU会话建立请求中不携带终端设备标识码，所SMF验证终端设备中的签约信息成功，进一步包括SMF从统一数据管理UDM获取终端设备标识码以及SMF向外部服务器发送终端设备标识码。

结合第三方面，在第五种可能的实施方式中，SMF验证所述会话建立请求的完整性保护，包括会话建立请求中携带终端设备的标识码，终端设备的标识码由完整性保护密钥进行完整性保护，其中，完整性密钥包括S-NSSAI，PDU会话编号，数字网络名称DNN中的一项或多项。

第四方面，本申请提供一种终端设备，包括处理器，用于登录外部网络；接收器，用于接收外部网络服务器发送验证信息；发送器，通过会话管理功能实体SMF向外部网络服务器发送会话建立请求，会话请求携带终端设备标识,终端设备对终端设备标识进行完整性保护；终端设备建立所述PDU会话。

结合第四方面，在第一种可能的实施方式中，在发送器向会话管理功能实体SMF发送会话建立请求之前，接收器接收用户输入的外部网络验证信息，会话建立请求携带外部网络验证信息。

第五方面，本申请提供一种一种计算机可读存储介质，计算机存储介质存储有程序指令，程序指令当被计算机执行时使所述计算机执行如上述第一方面和第二方面可能的实施方式。

通过实施本申请的上述实施方式，在5G领域中建立了一种实现用户和外部网络业务之间的认证方法。

附图说明

为了更清楚地说明本申请实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍。

图1(a)是本申请实施例提供的一种PDU会话的二次验证方法示意图；

图1(b)是本申请实施例提供的一种终端设备登录外部网络的界面示意图；

图1(c)是本申请实施例提供的另一种终端设备登录外部网络的界面示意图；

图2(a)是本申请实施例提供的另一种PDU会话的二次验证方法示意图；

图2(b)是本申请实施例提供的又一种PDU会话的二次验证方法示意图；

图3是本申请实施例提供的一种会话管理功能实体结构示意图；

图4是本申请实施例提供的一种会话管理功能实体结构示意图。

具体实施方式

下面将结合附图，对本申请中的技术方案进行描述。

以下实施例中所使用的术语只是为了描述特定实施例的目的，而并非旨在作为对本申请的限制。如在本申请的说明书和所附权利要求书中所使用的那样，单数表达形式“一个”、“一种”、“所述”、“上述”、“该”和“这一”旨在也包括例如“一个或多个”这种表达形式，除非其上下文中明确地有相反指示。还应当理解，在本申请实施例中，“一个或多个”是指一个、两个或两个以上；“和/或”，描述关联对象的关联关系，表示可以存在三种关系；例如，A和/或B，可以表示：单独存在A，同时存在A和B，单独存在B的情况，其中A、B可以是单数或者复数。字符“/”一般表示前后关联对象是一种“或”的关系。

在本说明书中描述的参考“一个实施例”或“一些实施例”等意味着在本申请的一个或多个实施例中包括结合该实施例描述的特定特征、结构或特点。由此，在本说明书中的不同之处出现的语句“在一个实施例中”、“在一些实施例中”、“在其他一些实施例中”、“在另外一些实施例中”等不是必然都参考相同的实施例，而是意味着“一个或多个但不是所有的实施例”，除非是以其他方式另外特别强调。术语“包括”、“包含”、“具有”及它们的变形都意味着“包括但不限于”，除非是以其他方式另外特别强调。

本申请实施例中的终端设备可以指用户设备、接入终端、用户单元、用户站、移动站、移动台、远方站、远程终端、移动设备、用户终端、终端、无线通信设备、用户代理或用户装置。终端设备还可以是蜂窝电话、无绳电话、会话启动协议(Session InitiationProtocol，SIP)电话、无线本地环路(Wireless Local Loop，WLL)站、个人数字处理(Personal Digital Assistant，PDA)、具有无线通信功能的手持设备、计算设备或连接到无线调制解调器的其它处理设备、车载设备、可穿戴设备，未来5G网络中的终端设备或者未来演进的公用陆地移动通信网络(Public Land Mobile Network，PLMN)中的终端设备等，本申请实施例对此并不限定。

图1(a)为本申请提供的一种实施例，用于说明终端设备建立PDU会话过程中，进行二次验证的过程。具体内容如下：

S101终端设备100触发PDU会话建立流程，终端设备100对PDU会话建立请求进行完整性保护。

在终端设备100触发PDU会话建立流程前，当终端设备100连接到外部网络时，终端设备发起注册过程，向网络发送注册请求。注册过程中，终端设备和运营商网络之间完成相互认证过程。在认证成功后，终端设备和外部网络之间建立非接入层(Non Accessstratum，NAS)层上下文。

具体的，如图1(b)所示，终端设备呈现界面101，界面101为外部网络应用(Application，APP)的界面，用于提示用户输入用户手机号码。外部网络APP在NAS层建立PDU会话。

终端设备对PDU会话建立请求进行完整性保护，以便会话管理功能实体SMF可以验证完整性保护结构，达到SMF验证终端设备的效果。

完整性保护通过验证整完整性保护密钥Kint来进行，其中Kint基于一定函数进行推演，函数在相应标准中已有定义，在此不再赘述。其中，生成Kint的参数是可选的，可以包括S-NSSAI、PDU session ID、DNN中的任意一项或多项。

在本申请中，界面101是外部网络的APP或验证网站的界面。用户可以选择使用手机号码，即通用共有身份签约标识(Generic Public Subscription Identifier，GPSI)或者社交软件账号注册或登录。

S102会话管理功能实体SMF向移动管理功能实体(Access and MobilityManagement Function，AMF)发送PDU会话建立请求。

在用户在界面101中输入手机号码后，外部网络APP在NAS层建立PDU会话，用户的手机号码在PDU会话建立请求中携带。进一步的，PDU会话建立请求中还携带终端设备的签约永久标识SUPI,其中SUPI的具体形式可以是国际移动用户识别码(IMSI)。

S103AMF将PDU会话建立请求发送到网络对应的SMF，漫游网络的V-SMF或者归属网络的H-SMF,当不存在漫游网络时，则不存在V-SMF。

具体的，SMF向AMF请求完整性保护密钥Kint，用于验证完整性，从而验证终端设备。

在另一种可能的实施方式中，AMF保存有用于推到完整性保护密钥Kint的函数，AMF将推导函数发送给SMF，由SMF根据推导函数生成完整性保护密钥Kint，验证终端设备。

S104SMF对PDU会话建立请求进行验证。

具体的，SMF可以根据接收到的PDU会话建立请求中携带的SUPI获得终端设备的签约信息，SMF获得相应签约信息后，比较终端设备的GPSI和签约信息中的GPSI是否相同，若相同，则通过验证，执行步骤S105，若不同，则终止验证过程，指示验证不通过。

当SMF对PDU会话建立请求进行完整性验证时，SMF应在完整性验证通过并且终端设备上传的GPSI与签约信息重点GPSI同时满足时，才可以指示认证通过。若两者有任意一项验证不通过，则SMF终止验证过程或指示未认证。

S105SMF向服务器发送验证信息。

具体的，SMF与外部服务器通过N4接口建立通信，SMF向服务器发送验证信息。

S106服务器向SMF返回成功响应。

S107SMF完成PDU会话建立流程。

PDU会话建立过程属于现有技术，在此不再赘述。

S108终端设备通过APP设置用户名密码。

具体的，如图1(c)所示，在PDU会话建立后，终端设备100呈现界面102，界面102用于提示用户设置用户名及密码，用于下一次登录外部网络。

在另一种实施例中，当用户登录外部网络APP时，终端设备100呈现界面102，用户登录APP输入用户名和密码，APP触发NAS层建立PDU会话，用户输入的用户名和密码在PDU会话建立请求中携带。SMF通过N4接口将用户名和密码发送给外部服务器，外部服务器验证用户名和密码从而验证用户，在验证成功后，外部服务器向SMF返回成功响应消息。

进一步的，用户登录外部网络APP可以不仅仅通过用户名和密码，也可以通过人像或者指纹等生物信息进行登录，本申请对此不作限制。

在上述实施例的基础上，如图2(a)所示，在PDU会话建立的过程中，实现APP登录或注册的过程，用户可以不输入GPSI，此时，终端设备103呈现界面103，显示一键注册/登录的按钮，提示用户进行一键登录。由于用户不需要输入GPSI，因此SMF没有验证完整性的操作，SMF是通过UDM获取用户的CPSI和认证通过指示发送给服务器。

具体的，结合图2(b)可知：

S201SMF从UDM获取终端设备的GPSI。

S202SMF向服务器发送验证信息。

具体的SMF和服务器建立N4会话，SMF通过N4会话，将GPSI和认证通过指示发送给服务器。

进一步的，此时，默认终端设备可以发送PDU会话建立请求，终端设备已经通过网络侧认证，因此可以将认证通过指示信息发送给外部网络。

可选的，若SMF验证PDU会话建立请求的完整性，则在认证通过后，才获取GPSI，并发送将GPSI和认证通过指示给服务器。

上述SMF验证完整性方法与上述实施例相同，不再赘述。

在上述实施例的基础上，本申请提供一种基于可扩展认证协议(ExtensibleAuthentication Protocol，EAP)过程实现认证的方法。

与上述实施例相同，终端设备向SMF发送PDU会话建立请求，PDU会话建立请求携带GPSI，SMF与外部服务器通过N4接口建立会话，通过N4会话将GPSI传递至外部服务器。

其中，N4接口为在5G中，SMF与用户面功能(user plane function，UPF)的接口，在标准中已有定义，在此不再赘述。

外部服务器在接收到GPSI后，向对应GPSI的终端设备发送短信验证码，终端设备收到短信验证码后，发起EAP认证过程。

当终端设备收到短信验证码后，终端设备通过EAP响应，将验证码信息发送给外部服务器，外部服务器在验证验证码信息成功后，向SMF返回成功响应的信息。

在上述实施方式的基础上，SMF完成PDU会话的建立。进一步的，上述实施例中提到的外部网络服务器可以具体为DN-AAA服务器。

图3为本申请提供的一种会话管理功能实体SMF300结构示意图.如图3所示,会话管理功能实体SMF300包括接收器301，安全单元302，发送器303以及存储器304。其中接收器301用于向AMF发送PDU会话建立请求，以及当SMF验证终端设备的签约信息成功后，向外部服务器发送验证成功信息。

此外，接收器301还用于接收终端设备的标识码，终端设备的标识码可以为SUPI，SUPI的具体形式可以为IMSI。

安全单元302用于验证终端设备发送的签约信息，当验证签约信息成功后，SMF则与外部服务器建立通信。

在另外一些实施例中，当SMF 300接收到终端设备的用户名和密码时，安全单元302进行验证，验证成功后，与外部服务器建立通信。

进一步的，安全单元302还用于验证PDU会话建立请求的完整性，从而达到SMF 300验证终端设备的效果。

发送器303用于在安全单元302验证PDU会话建立请求完整性以及验证终端设备的签约信息后，将认证信息发送给外部服务器。

图4为本申请提供的一种终端设备400的结构示意图，终端设备400包括处理器401，接收器402、发送器403和存储器404。处理器401用于向用户提供接收登录外部网路APP的验证信息的接口，以及当用户输入验证信息后，触发NAS层建立PDU会话。

接收器402用于接收外部服务器发送的短信验证码。

发送器403用于在终端设备400验证短信验证码成功后，向SMF返回成功响应的消息。

在本申请的另一实施例中提供一种计算机程序产品，当该计算机程序产品在计算机上运行时，图1(a)-图2(b)中任一所示实施例的方法得以实现。

在本申请的另一实施例中提供一种计算机可读存储介质，该计算机可读存储介质存储有计算机程序，该计算机程序被计算机执行时实现图1(a)-图2(b)中任一所示实施例的方法。

以上所述，仅为本申请的具体实施方式，但本申请的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本申请揭露的技术范围内，可轻易想到各种等效的修改或替换，这些修改或替换都应涵盖在本申请的保护范围之内。因此，本申请的保护范围应以权利要求的保护范围为准。

Claims

1.一种协议数据单元PDU会话认证的方法，其特征在于，所述方法包括：

会话管理功能实体SMF接收接入与移动管理功能实体AMF发送的PDU会话建立请求；

所述SMF验证所述会话建立请求的完整性；

所述SMF验证终端设备中的签约信息成功，所述SMF与外部服务器建立通信；

所述SMF向所述外部服务器发送验证成功信息；

所述SMF建立所述PDU会话。

2.根据权利要求1所述的方法，其特征在于，所述PDU会话建立请求中携带终端设备标识码。

3.根据权利要求1或2所述的方法，其特征在于，所述SMF验证终端设备中的签约信息成功，进一步包括：

所述SMF获取所述终端设备的标识码；

所述SMF比较所述终端设备签约信息中标识码与终端标识码相同，所述签约信息验证成功。

4.根据权利要求1或2所述的方法，其特征在于，所述SMF验证终端设备中的签约信息成功，进一步包括：

所述SMF验证所述终端设备的签约信息与本地策略一致；或，

所述SMF验证所述终端设备以已经被相同外部网络认证。

5.根据权利要求1所述的方法，其特征在于，所述PDU会话建立请求中不携带终端设备标识码，所述SMF验证终端设备中的签约信息成功，进一步包括：

所述SMF从统一数据管理UDM获取终端设备标识码；

所述SMF向所述外部服务器发送所述终端设备标识码。

6.根据权利要求1所述的方法，其特征在于，所述SMF验证所述会话建立请求的完整性，包括：

所述会话建立请求中携带终端设备的标识码，所述终端设备的标识码由完整性保护密钥进行完整性保护；

所述完整性密钥包括S-NSSAI，PDU会话编号，数字网络名称DNN中的一项或多项。

7.一种协议数据单元PDU会话认证的方法，其特征在于，所述方法包括：

终端设备登录外部网络；

所述终端设备接收所述外部网络服务器发送验证信息；

所述终端设备通过会话管理功能实体SMF向外部网络服务器发送会话建立请求，会话请求携带终端设备标识,所述终端设备对所述终端设备标识进行完整性保护；

所述终端设备建立所述PDU会话。

8.根据权利要求7所述的方法，其特征在于，在所述终端设备向会话管理功能实体SMF发送会话建立请求之前，其特征在于，所述终端设备接收所述外部网络验证信息，所述会话建立请求携带所述外部网络验证信息。

9.一种会话管理功能实体SMF，其特征在于，包括：

接收器，用于接收接入与移动管理功能实体AMF发送的PDU会话建立请求；

安全单元，用于验证所述会话建立请求的完整性；

所述安全单元验证终端设备中的签约信息成功，所述SMF与外部服务器建立通信；

发送器，用于向所述外部服务器发送验证成功信息；

所述SMF建立所述PDU会话。

10.根据权利要求9所述的SMF，其特征在于，所述PDU会话建立请求中携带终端设备标识码。

11.根据权利要求9或10所述的SMF，其特征在于，所述SMF验证终端设备中的签约信息成功，进一步包括：

所述SMF获取所述终端设备的标识码；

12.根据权利要求9或10所述的SMF，其特征在于，所述SMF验证终端设备中的签约信息成功，进一步包括：

所述SMF验证所述终端设备的签约信息与本地策略一致；或，

所述SMF验证所述终端设备以已经被相同外部网络认证。

13.根据权利要求12所述的SMF，其特征在于，所述PDU会话建立请求中不携带终端设备标识码，所述SMF验证终端设备中的签约信息成功，进一步包括：

所述SMF从统一数据管理UDM获取终端设备标识码；

所述SMF向所述外部服务器发送所述终端设备标识码。

14.根据权利要求9所述的SMF，其特征在于，所述SMF验证所述会话建立请求的完整性保护，包括：

15.一种终端设备，其特征在于，所述终端设备包括：

处理器，用于处理登录外部网络验证信息；

接收器，用于接收所述外部网络服务器发送验证信息；

发送器，用于通过会话管理功能实体SMF向外部网络服务器发送会话建立请求，所述会话请求携带终端设备标识,所述终端设备对所述终端设备标识进行完整性保护；

所述终端设备建立PDU会话。

16.根据权利要求15所述的终端设备，其特征在于，在所述发送器向会话管理功能实体SMF发送会话建立请求之前，其特征在于，所述接收器接收所述外部网络验证信息，所述会话建立请求携带所述外部网络验证信息。

17.一种计算机可读存储介质，其特征在于，所述计算机存储介质存储有程序指令，所述程序指令当被计算机执行时使所述计算机执行如权利要求1-8任一项所述的方法。