CN111818014B - 一种实现二次认证功能的网络侧aaa设计方法及系统 - Google Patents

Abstract

本发明涉及无线通信技术领域，本发明公开了一种实现二次认证功能的网络侧AAA设计方法及系统，本发明将标准AAA分为定制AAA和二次认证增强设备两个部分，定制AAA负责计费与通信，二次认证增强设备负责终端接入数据业务网络的鉴权与授权。定制AAA能够对接多个二次认证增强设备，对于具有不同安全防护等级的终端，定制AAA根据终端标识将认证信息转发给对应的二次认证增强设备，以满足不同用户的安全需求。本发明既满足了二次认证增强功能需要，又最大限度地适应了现有产业链的发展现状，有利于二次认证增强功能的落地推广。

Description

一种实现二次认证功能的网络侧AAA设计方法及系统

技术领域

本发明涉及无线通信技术领域，尤其涉及一种实现二次认证功能的网络侧AAA设计方法及系统。

背景技术

在5G移动通信系统中，3GPP定义了终端接入业务数据网的二次认证，即当核心网对终端的主认证鉴权通过后，随后在为终端建立数据通道之前，将根据终端用户签约信息可选地发起二次认证请求，终端接收到请求后需要通过二次认证之后才能建立数据通道连接到数据网络。负责二次认证功能的5G网络侧设备为AAA(Authentication、Authorization、Accounting)服务器，遵循可扩展身份认证协议EAP(ExtensibleAuthentication Protocol)，由NAS信令承载，是一种5G内生安全控制机制，能够有效防止非授权用户对数据网络的访问；3GPP提出二次认证的初衷是为了使垂直行业用户在5G网络中拥有自主的接入鉴权控制能力，在行业应用方面有着更为广泛的应用场景，但目前3GPP并未对二次认证在终端和网络侧的详细实现方式进行任何约定。

对于特殊行业用户或具有高安全需求的垂直行业用户而言，3GPP提出的5G二次认证机制在网络侧AAA的设计，距离满足高安全需求的垂直行业用户安全需求方面，还有一定差距：

(1)现有产业链缺乏对国产化的灵活支撑考虑：现有公开认证协议和算法往往不能满足这些高安全需求行业用户的安全防护要求，不同行业用户需要根据自己的安全需求，根据具体情况在二次认证流程中采用各种国产化私有的认证协议和密码算法，相应地需要在AAA中对二次认证所涉及的设备模块进行改造。由于安全保密管理规定等原因，在同一个AAA服务器上实现不同安全等级的认证协议和算法以满足所有行业用户的高安全需求是不现实的，因此直接在AAA服务器上进行认证协议和密码算法的增强将导致AAA服务器设备厂商需要为不同行业用户定制专用设备，形成一系列的AAA，增加厂商的研发管理维护成本，不符合设备厂商产品化开发生成的模式。

(2)不满足运营商部署运维的需求：一系列定制化的AAA，也会导致运营商对其入网测试、部署、运维方式发生重大改变，不利于面向特殊行业用户或具有高安全需求的垂直行业用户的二次认证增强功能获得运营商的支持，并在现有移动通信网中的落地实现与推广。

发明内容

为了解决上述问题，本发明提出一种实现二次认证功能的网络侧AAA设计方法及系统，本发明将标准AAA的功能一分为二，其中鉴权(Authentication)和授权(Authorization)功能形成二次认证增强设备，计费(Accounting)功能作为定制AAA，两者之间定义通信接口，协同完成网络侧二次认证增强功能。定制AAA的开发、生产、部署与运维模式与标准AAA保持一致，二次认证增强设备则遵循相应安全管理规定，不同安全需求的终端用户配置实现了不同认证协议和密码算法的二次认证增强设备，这样既满足二次认证增强功能需要，又最大限度地适应了现有产业链的发展现状，有利于二次认证增强功能的落地推广。

本发明的一种实现二次认证功能的网络侧AAA设计方法，包括：

将标准AAA分为定制AAA和二次认证增强设备两个部分，所述定制AAA负责计费与通信，所述二次认证增强设备负责终端接入数据业务网络的鉴权与授权，所述定制AAA与所述二次认证增强设备之间定义通信接口；

当所述定制AAA接收到来自终端的EAP数据包后，将消息直接转发给所述二次认证增强设备，由所述二次认证增强设备进行后续处理并返回结果给所述定制AAA，再由所述定制AAA通过会话管理功能SMF将EAP数据包发送给终端。

进一步的，所述定制AAA对所述二次认证增强设备的访问引入了双向认证机制，所述双向认证机制包括以下步骤：

S11.所述定制AAA向所述二次认证增强设备发起接入请求；

S12.所述二次认证增强设备接收到来自所述定制AAA的接入请求之后，计算认证挑战信息，然后发送给所述定制AAA；

S13.所述定制AAA接收到来自所述二次认证增强设备的认证挑战信息后，对所述二次认证增强设备进行认证，并计算应答信息返回给所述二次认证增强设备；

S14.所述二次认证增强设备接收到来自所述定制AAA的应答后，对所述定制AAA进行认证，并返回认证结果。

进一步的，所述定制AAA和所述二次认证增强设备对来自终端的EAP数据包的处理过程如下所述：

S21.所述定制AAA从SMF接收到来自终端的EAP数据包；

S22.所述定制AAA根据终端标识索引查询其安全防护等级并选择相应的二次认证增强设备；

S23.所述定制AAA通知所述二次认证增强设备进行处理；

S24.所述二次认证增强设备将处理结果返回给所述定制AAA；

S25.所述定制AAA将处理结果返回给SMF。

进一步的，当所述定制AAA通知所述二次认证增强设备处理来自终端的EAP数据包时，需要发送的信息包括EAP报文中的编码、标识、长度和数据；当所述二次认证增强设备将结果返回给所述定制AAA时，需要发送的信息包括能够用于组成EAP报文的编码、标识、长度和数据。

进一步的，所述定制AAA能够对接多个所述二次认证增强设备，对于具有不同安全防护等级的终端，所述定制AAA根据终端标识将认证信息转发给对应的所述二次认证增强设备，以满足不同用户的安全需求。

进一步的，所述定制AAA中存储了所有终端设备的安全防护等级信息以及所有所述二次认证增强设备的安全防护等级，用于在接收到来自终端的EAP数据包时选择相应的二次认证增强设备。

进一步的，对于具有不同安全防护等级的终端的处理流程包括以下步骤：

S31.所述定制AAA从SMF接收到来自终端的EAP数据包；

S32.所述定制AAA根据终端标识索引查询终端安全防护等级信息表获取终端安全防护等级k；

S33.所述定制AAA查询二次认证增强设备信息表获取安全防护等级为k的二次认证增强设备x；

S34.所述定制AAA通知所述二次认证增强设备x进行处理；

S35.所述定制AAA将处理结果返回给SMF。

进一步的，所述定制AAA能够直接或通过用户面功能UPF连接到SMF，且与SMF之间的通信接口跟标准AAA与SMF之间的接口保持一致。

本发明的一种实现二次认证功能的网络侧AAA的系统，包括定制AAA和至少一个二次认证增强设备，所述定制AAA在二次认证过程中负责通信功能，为所述二次认证增强设备提供通信通道，在SMF和所述二次认证增强设备之间转发EAP数据包；所述二次认证增强设备负责终端接入数据业务网络的鉴权与授权，所述定制AAA与所述二次认证增强设备之间定义通信接口。

本发明的有益效果在于：

本发明将标准AAA服务器的功能一分为二，其中鉴权和授权功能形成二次认证增强设备，完成定制认证协议和密码算法的网络侧处理；计费功能作为定制AAA，并提供二次认证通信管道；两者之间定义专用通信接口，协同完成网络侧二次认证增强功能。本发明在结构设计上采取了通信功能与安全功能解耦的方式，有益效果体现在：

(1)在符合产业链规则的情况下提供了对二次认证进行国产化安全增强的灵活支撑：在结构设计上采取了通信功能与安全功能解耦的方式，鉴权协议及算法的替换由安全厂商实现，并且改动局限于二次认证增强设备中，其替换过程不影响AAA厂商负责的定制AAA设备，最大限度减少了对标准AAA的改造，其开发、生产、部署与运维模式可与标准AAA保持一致，二次认证增强设备属于安全设备，其开发、生产、部署与运维模式遵照相关安全管理规定，运维方式简单，权责分明。

(2)便于运营商部署运维：定制AAA的开发、生产、部署与运维模式可与标准AAA保持一致，因此运营商只负责部署运维定制AAA，型号单一，并且同一个定制AAA可以访问多个实现了不同定制鉴权算法和认证协议的二次认证增强设备，充分利用了设备能力，降低运营商成本的同时，能够满足尽可能多的垂直行业用户的安全需求。

附图说明

图1网络侧实现二次认证增强功能的结构组成示意图；

图2网络侧实现二次认证增强功能的系统流程图；

图3支持多种安全防护等级的处理流程图。

具体实施方式

为了对本发明的技术特征、目的和效果有更加清楚的理解，现说明本发明的具体实施方式。应当理解，此处所描述的具体实施例仅用以解释本发明，并不用于限定本发明，即所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明的实施例，本领域技术人员在没有做出创造性劳动的前提下所获得的所有其他实施例，都属于本发明保护的范围。

3GPP提出的5G二次认证遵循可扩展身份认证协议EAP，底层由NAS信令承载，其中终端作为被认证端(Peer)，5G核心网网元SMF(会话管理功能)作为认证端(Authenticator)，AAA作为认证服务器(Server)。在二次认证过程中，SMF从NAS信令中将来自终端的EAP数据包提取出来转发给AAA服务器，AAA服务器接收到EAP数据包之后进行处理，将结果封装成EAP数据包返回给SMF，再由SMF通过NAS信令转发给终端。

为实现网络侧的二次认证增强功能，本专利提出将标准AAA分为定制AAA和二次认证增强设备两个部分，其中定制AAA负责计费与通信功能，二次认证增强设备负责终端接入数据业务网络的鉴权与授权，定制AAA与二次认证增强设备之间定义通信接口。当定制AAA接收到来自终端的EAP数据包后，将消息直接转发给二次认证增强设备，由二次认证增强设备采用定制认证协议和算法进行后续处理并返回结果给定制AAA，再由定制AAA通过SMF将EAP数据包发送给终端。定制AAA和二次认证增强设备之间可以是一对多的对应关系，对于具有不同安全防护等级的终端，定制AAA将根据终端标识将认证信息转发给对应的二次认证增强设备，以满足不同用户的安全需求。

(1)功能结构组成

本专利提出的一种实现二次认证功能的网络侧AAA设计方法及系统在结构上采取了通信与安全功能解耦的方式，将标准AAA服务器分为定制AAA和二次认证增强设备两个部分，如图1所示。

其中定制AAA在二次认证过程中负责通信功能，为二次认证增强设备提供通信通道，在SMF网元和二次认证增强设备之间转发EAP数据包。二次认证增强设备实现了定制认证协议和密码算法，在二次认证过程中负责安全功能，当接收到来自定制AAA的EAP消息后完成安全相关处理并向定制AAA返回结果。定制AAA可以直接或通过UPF(User PlaneFunction，用户面功能)连接到SMF，其与SMF之间的通信接口跟标准AAA与SMF之间的接口保持一致，定制AAA与二次认证增强设备之间定义专用协议进行通信，协同完成网络侧的二次认证增强功能。

(2)系统交互流程

定制AAA和二次认证增强设备之间通过定义专用通信协议进行通信，为了防止安全功能部分遭受到非法攻击，定制AAA对二次认证增强设备的访问引入了双向认证机制。在二次认证过程中，当定制AAA从SMF接收到来自终端的EAP数据包时，通知二次认证增强设备进行处理，并将得到的处理结果返回给SMF，具体交互流程如图2所示。

图2中1.a到1.d表示定制AAA和二次认证增强设备之间的双向认证过程，仅在定制AAA连接到二次认证增强设备时执行，2到6表示网络侧二次认证增强功能对来自终端的EAP数据包的处理过程，每接收到一个EAP数据包就会执行一次。其中定制AAA与二次认证增强设备之间的双向认证过程如下所述：

1.a.定制AAA向二次认证增强设备发起接入请求；

1.b.二次认证增强设备接收到来自定制AAA的接入请求之后，计算认证挑战信息，然后发送给定制AAA；

1.c.定制AAA接收到来自二次认证增强设备的认证挑战后，对二次认证增强设备进行认证，并计算应答信息返回给二次认证增强设备；

1.d.二次认证增强设备接收到来自定制AAA的应答后，对定制AAA进行认证，并返回认证结果。

网络侧二次认证增强功能对来自终端的EAP数据包的处理过程如下所述：

2.定制AAA从SMF接收到来自终端的EAP数据包；

3.定制AAA根据终端标识索引查询其安全防护等级并选择相应的二次认证增强设备；

4.定制AAA通知二次认证增强设备进行处理；

5.二次认证增强设备将处理结果返回给定制AAA；

6.定制AAA将处理结果返回给SMF。

当定制AAA通知二次认证增强设备处理来自终端的EAP数据包时需要发送的信息包括EAP报文中的编码(Code)、标识(Identifier)、长度(Length)和数据(Data)。当二次认证增强设备完成定制认证协议和算法处理将结果返回给定制AAA时需要发送的信息包括能够用于组成EAP报文的编码(Code)、标识(Identifier)、长度(Length)和数据(Data)。

(3)支持多种安全防护等级

本专利提出的一种实现二次认证功能的网络侧AAA设计方法及系统中，一个定制AAA可以连接到多个二次认证增强设备，每个二次认证增强设备中实现了不同定制认证协议和密码算法，具有不同安全防护等级。不同垂直行业用户的终端设备在接入数据业务网络进行二次认证时可以共用同一个定制AAA，由定制AAA根据终端安全防护等级选择通知相应的二次认证增强设备进行处理，具体实现流程如图3所示。

其中二次认证增强设备可以在系统建设规划之初预先设置，也可以在后期运行过程中根据用户使用需求动态新增部署。定制AAA中存储了所有终端设备的安全防护等级信息以及所有二次认证增强设备的安全防护等级，用于在接收到来自终端的EAP数据包时选择相应的二次认证增强设备。具体处理流程如下所示：

1.定制AAA从SMF接收到来自终端的EAP数据包；

2.定制AAA根据终端标识索引查询终端安全防护等级信息表获取终端安全防护等级k；

3.定制AAA查询二次认证增强设备信息表获取安全防护等级为k的二次认证增强设备x；

4.定制AAA通知二次认证增强设备x进行处理；

5.定制AAA将处理结果返回给SMF。

以上所述仅是本发明的优选实施方式，应当理解本发明并非局限于本文所披露的形式，不应看作是对其他实施例的排除，而可用于各种其他组合、修改和环境，并能够在本文所述构想范围内，通过上述教导或相关领域的技术或知识进行改动。而本领域人员所进行的改动和变化不脱离本发明的精神和范围，则都应在本发明所附权利要求的保护范围内。

Claims (6)

1.一种实现二次认证功能的网络侧AAA设计方法，其特征在于，包括：

将标准AAA分为定制AAA和二次认证增强设备两个部分，所述定制AAA负责计费与通信，所述二次认证增强设备负责终端接入数据业务网络的鉴权与授权，所述定制AAA与所述二次认证增强设备之间定义通信接口；

当所述定制AAA接收到来自终端的EAP数据包后，将消息直接转发给所述二次认证增强设备，由所述二次认证增强设备进行后续处理并返回结果给所述定制AAA，再由所述定制AAA通过会话管理功能SMF将EAP数据包发送给终端；

所述定制AAA能够对接多个所述二次认证增强设备，对于具有不同安全防护等级的终端，所述定制AAA根据终端标识将认证信息转发给对应的所述二次认证增强设备，以满足不同用户的安全需求；

所述定制AAA中存储了所有终端设备的安全防护等级信息以及所有所述二次认证增强设备的安全防护等级，用于在接收到来自终端的EAP数据包时选择相应的二次认证增强设备；

对于具有不同安全防护等级的终端的处理流程包括以下步骤：

S31.所述定制AAA从SMF接收到来自终端的EAP数据包；

S32.所述定制AAA根据终端标识索引查询终端安全防护等级信息表获取终端安全防护等级k；

S33.所述定制AAA查询二次认证增强设备信息表获取安全防护等级为k的二次认证增强设备x；

S34.所述定制AAA通知所述二次认证增强设备x进行处理；

S35.所述定制AAA将处理结果返回给SMF。

2.根据权利要求1所述的一种实现二次认证功能的网络侧AAA设计方法，其特征在于，所述定制AAA对所述二次认证增强设备的访问引入了双向认证机制，所述双向认证机制包括以下步骤：

S11.所述定制AAA向所述二次认证增强设备发起接入请求；

S12.所述二次认证增强设备接收到来自所述定制AAA的接入请求之后，计算认证挑战信息，然后发送给所述定制AAA；

S13.所述定制AAA接收到来自所述二次认证增强设备的认证挑战信息后，对所述二次认证增强设备进行认证，并计算应答信息返回给所述二次认证增强设备；

S14.所述二次认证增强设备接收到来自所述定制AAA的应答后，对所述定制AAA进行认证，并返回认证结果。

3.根据权利要求2所述的一种实现二次认证功能的网络侧AAA设计方法，其特征在于，所述定制AAA和所述二次认证增强设备对来自终端的EAP数据包的处理过程如下所述：

S21.所述定制AAA从SMF接收到来自终端的EAP数据包；

S22.所述定制AAA根据终端标识索引查询其安全防护等级并选择相应的二次认证增强设备；

S23.所述定制AAA通知所述二次认证增强设备进行处理；

S24.所述二次认证增强设备将处理结果返回给所述定制AAA；

S25.所述定制AAA将处理结果返回给SMF。

4.根据权利要求3所述的一种实现二次认证功能的网络侧AAA设计方法，其特征在于，当所述定制AAA通知所述二次认证增强设备处理来自终端的EAP数据包时，需要发送的信息包括EAP报文中的编码、标识、长度和数据；当所述二次认证增强设备将结果返回给所述定制AAA时，需要发送的信息包括能够用于组成EAP报文的编码、标识、长度和数据。

5.根据权利要求1所述的一种实现二次认证功能的网络侧AAA设计方法，其特征在于，所述定制AAA能够直接或通过用户面功能UPF连接到SMF，且与SMF之间的通信接口跟标准AAA与SMF之间的接口保持一致。

6.根据权利要求1～5任一项所述的一种实现二次认证功能的网络侧AAA设计方法的系统，其特征在于，包括定制AAA和至少一个二次认证增强设备，所述定制AAA在二次认证过程中负责通信功能，为所述二次认证增强设备提供通信通道，在SMF和所述二次认证增强设备之间转发EAP数据包；所述二次认证增强设备负责终端接入数据业务网络的鉴权与授权，所述定制AAA与所述二次认证增强设备之间定义通信接口。

Images