CN114095928A - 认证系统和方法 - Google Patents

Abstract

本发明提供一种认证系统。认证系统可包括一核心网络和一用户设备。用户设备可传送注册请求至核心网络，以进行安全认证。核心网络可根据来自用户设备的注册请求，选取一可扩展认证协定‑隧道传输层安全(EAP‑TTLS)方法，进行认证安全认证。

Description

认证系统和方法

技术领域

本发明的实施例主要涉及一认证技术，特别涉及在5G网络，使用可扩展认证协定-隧道传输层安全(Extensible Authentication Protocol-Tunneled Transport LayerSecurity，EAP-TTLS)方法来进行用户设备和网络端的安全认证的认证技术。

背景技术

在目前第三代合作伙伴计划(3^rd-Generation Partnership Project，3GPP)中针对5G新无线(New Radio，NR)移动通信的规范下，会采用严谨的认证程序来确认使用者是否可合法地存取网络资源。

然而，由于在3GPP的规范中，将可使用非授权频谱(Unlicensed Spectrum)来存取5G NR网络，因此，在用户装置和网络端的安全认证，一种更弹性又可兼顾安全性的认证方法将是值得注意的课题。

发明内容

有鉴于上述现有技术的问题，本发明的实施例提供了一种认证系统和方法。

根据本发明的一实施例提供了一种认证系统。认证系统可包括一核心网络和一用户设备。用户设备可传送注册请求至核心网络，以进行安全认证。核心网络可根据来自用户设备的注册请求，选取一可扩展认证协定-隧道传输层安全(EAP-TTLS)方法，进行认证安全认证。

根据本发明的一实施例，核心网络可包括一安全锚功能装置、一认证服务器功能装置和一统一数据管理装置。安全锚功能装置可接收注册请求，以及根据注册请求产生一认证请求。认证服务器功能装置可从安全锚功能装置接收认证请求。统一数据管理装置可从认证服务器功能装置接收认证请求，并根据认证请求，选取EAP-TTLS方法，进行安全认证。

根据本发明的一实施例，核心网络可根据EAP-TTLS方法传送一凭证数据给用户设备。用户设备可根据凭证数据对网络端进行认证。当用户设备根据凭证数据成功地认证网络端时，用户设备传送一认证数据给核心网络。认证数据可包括一帐号和一密码。核心网络可根据认证数据对用户设备进行认证。当上述核心网络根据认证数据成功地认证用户设备时，即表示安全认证成功。

根据本发明的一实施例，核心网络可根据注册请求对应的一订阅永久标识符(SUPI)，判断是否选取EAP-TTLS方法进行认证安全认证。

根据本发明的一实施例提供了一种认证方法。上述认证方法适用一认证系统。上述认证方法的步骤可包括：通过上述认证系统的一用户设备，传送一注册请求至上述认证系统的一核心网络，以进行一安全认证；以及通过上述核心网络，根据上述注册请求，选取一可扩展认证协定-隧道传输层安全(EAP-TTLS)方法，进行上述安全认证。

关于本发明其他附加的特征与优点，本领域技术人员，在不脱离本发明的构思和范围内，当可根据本案实施方法中所公开的认证系统和方法，做些许的变动与润饰而得到。

附图说明

图1是显示根据本发明的一实施例所述的一用户设备110的方框图。

图2是根据本发明一实施例所述的无线通信系统200的示意图。

图3A-3B是根据本发明一实施例所述的认证方法的流程图。

图4是根据本发明一实施例所述的认证方法的流程图。

附图标记说明：

110、210：用户设备

111：基频信号处理装置

112：无线射频信号处理装置

113：处理器

114：存储器装置

200：无线通信系统

220：基地台

230：5G核心网络

231：安全锚功能装置

232：认证服务器功能装置

233：统一数据管理装置

240：网际网络

S301～S321、S410～S420：步骤

具体实施方式

本章节所叙述的是实施本发明的较佳方式，目的在于说明本发明的构思而非用以限定本发明的保护范围，本发明的保护范围当视权利要求所界定者为准。

图1是显示根据本发明的一实施例所述的一用户设备110的方框图。如图1所示，用户设备110可包括至少一基频信号处理装置111、一无线射频(radio frequency，RF)信号处理装置112、一处理器113、一存储器装置114，以及包括至少一天线的天线模块。注意地是，在图1中所示的方框图，仅为了方便说明本发明的实施例，但本发明并不以图1为限。

根据本发明一实施例，用户设备110可是一智能手机、一个人数据助理(personaldata assistant，PDA)、一呼叫器、一笔记本电脑、一台式电脑、一无线手持装置，或任何具有无线通信接口的运算装置。

无线射频信号处理装置112可经由天线接收射频信号，且对所接收的射频信号进行处理，以将所接收的射频信号转换为基频信号，以供基频信号处理装置111来使用；或者无线射频信号处理装置112亦可从基频信号处理装置111接收基频信号，并将所接收的基频信号转换为射频信号，并将此射频信号传送至一同级通信装置(peer communicationdevice)。无线射频信号处理装置112可包含多个硬件元件以进行无线信号频率的转换。举例来说：无线射频信号处理装置112可包含一功率放大器(power amplifier)、一混波器(mixer)、一模拟数字转换器(analog-to-digital convertor，ADC)、一数字模拟转换器(digital-to-analog convertor，DAC)等等。

基频信号处理装置111更用以处理基频信号以取得由一同级通信装置所传送的信息或数据。基频信号处理装置111还包含多个硬件元件用以处理基频信号。

处理器113可用以控制基频信号处理装置111和无线射频信号处理装置112的操作。根据本发明一实施例，处理器113亦可用以执行对应基频信号处理装置111和无线射频信号处理装置112的软件模块的程序码。当程序码执行时，伴随着一数据结构的特定数据的程序码可称作一处理器逻辑单元(processor logic unit)或一堆叠实例(stackinstance)。因此，处理器113可视为包含多个处理器逻辑单元，每一处理器逻辑单元用以执行对应软件模块的一或多个特定功能或任务。

存储装置114可用以存储用户设备110的软件和固件程序码、系统数据、使用者数据等。存储装置114可是一易失性存储器(volatile memory)(例如：随机存取存储器(Random Access Memory,RAM))，或一非易失性存储器(non-volatile memory)(例如：快闪存储器(flash memory)、只读存储器(Read Only Memory,ROM))、一硬盘或上述存储装置的组合。

根据本发明一实施例，无线射频信号处理装置112和基频信号处理装置111可共同视为一无线模块，可用以和一无线网络进行传输，以依照一预定义的无线存取技术(RadioAccess Technology,RAT)提供无线传输服务。注意地是，在一些实施例中，用户设备110还可扩张为包含多个天线且/或多个无线模块，本发明并不以图1所示的架构为限。

图2是根据本发明一实施例所述的无线通信系统200的示意图。如图2所示，无线通信系统200可包括一用户设备210、一基地台220(例如：一gNB)、一5G核心网络(corenetwork)230和一网际网络(或数据网络)240。此外，如图2所示，5G核心网络230可包含一安全锚功能(Security Anchor Function，SEAF)装置231、一认证服务器功能(Authentication Server Function，AUSF)装置232和一统一数据管理(Unified DataManagement，UDM)装置233。注意地是，在图2中所示的示意图，仅为了方便说明本发明的实施例，但本发明并不以图2为限。5G核心网络230亦包含其他装置和元件。此外，图1所示的用户设备110可应用于用户设备210。此外，注意地是，在本发明的核心网络是以5G核心网络来做说明，但本发明并不以此为限。任何与5G核心网络有类似架构的核心网络都可适用本发明的实施例。

根据本发明的一实施例，当用户设备210要和网络端进行一安全认证时，5G核心网络230可采用一可扩展认证协定-隧道传输层安全(Extensible AuthenticationProtocol-Tunneled Transport Layer Security，EAP-TTLS)方法来进行认证安全认证。底下将会有更详细的说明。

图3A-3B是根据本发明一实施例所述的认证方法的流程图。底下将搭配图2来做说明。

在步骤S301，当用户设备210要和网络端进行安全认证时，5G核心网络230的安全锚功能装置231可从基地台220接收到来自用户设备210的一注册请求(RegistrationRequest)。根据本发明一实施例，注册请求可包含对应用户设备210的一用户隐藏识别符(Subscription Concealed Identifier，SUCI)。

在步骤S302，5G核心网络230的安全锚功能装置231可根据接收到的注册请求产生一认证请求(Authentication Request)，并将认证请求传送给认证服务器功能装置232。根据本发明一实施例，步骤S302的认证请求可包含对应用户设备210的SUCI和一服务网络名称(serving network name，SN-name)。

在步骤S303，认证服务器功能装置232根据来自安全锚功能装置231的认证请求，传送一认证请求给统一数据管理装置233。根据本发明一实施例，步骤S303的认证请求可包含对应用户设备210的SUCI和服务网络名称。

在步骤S304，数据管理装置233可根据认证请求判断是否选取EAP-TTLS方法，进行认证安全认证。具体来说，可通过用户识别符解隐藏功能(Subscription Identifier De-concealing Function，SIDF)对认证请求中对应用户设备210的SUCI进行解密，以取得对应用户设备210的用户永久标识符(Subscription Permanent Identifier，SUPI)。接着，数据管理装置233可根据对应用户设备210的SUPI判断是否选取EAP-TTLS方法来进行后续认证安全认证的流程。根据本发明一实施例，若数据管理装置233根据对应用户设备210的SUPI判断无法选取EAP-TTLS方法来进行后续认证安全认证的流程，数据管理装置233可选取其他现有的认证方法来进行认证(例如：3GPP TS33.501所使用的方法)，例如：可扩展认证协定-认证和金钥协议(Extensible Authentication Protocol–Authentication and KeyAgreement’，EAP-AKA’)、5G-AKA和可扩展认证协定-传输层安全(ExtensibleAuthentication Protocol-Transport Layer Security，EAP-TLS)。在图3A中，数据管理装置233选取EAP-TTLS方法来进行后续认证安全认证的流程。根据本发明一实施例，可在数据管理装置233中预先设定对于对应无安装通用用户识别模块(universal subscriberidentity module，USIM)的用户设备的SUPI会采用EAP-TTLS方法来进行安全认证。

在步骤S305，数据管理装置233会传送一认证回应(Authentication Response)给认证服务器功能装置232。根据本发明一实施例，步骤S305的认证回应可包含对应用户设备210的SUPI，以及指示选取EAP-TTLS方法的一指示符。

在步骤S306，认证服务器功能装置232会根据从数据管理装置233接收到的认证回应，选取EAP-TTLS方法作为认证方法，以及传送一认证回应给安全锚功能装置231。根据本发明一实施例，步骤S306的认证回应可包含EAP-类型＝EAP-TTLS(TTLS Start)的信息。

在步骤S307，安全锚功能装置231接收到来自认证服务器功能装置232的认证回应后，安全锚功能装置231会传送一认证请求给用户设备210。根据本发明一实施例，步骤S307的认证请求可包含EAP-类型＝EAP-TTLS(TTLS Start)的信息，以及下一代无线存取网络的金钥集识别符(Key Set Identifier for Next Generation Radio Access Network，ngKSI)和反投标下间结构(Anti-Bidding down Between Architecture，ABBA)参数。

在步骤S308，用户设备210接收到来自安全锚功能装置231的认证请求后，用户设备210会回复一认证回应给安全锚功能装置231。根据本发明一实施例，步骤S308的认证回应可包含EAP-类型＝EAP-TTLS(TTLS client_hello)的信息。

在步骤S309，安全锚功能装置231接收到来自用户设备210的认证回应后，安全锚功能装置231会传送一认证请求给认证服务器功能装置232。根据本发明一实施例，步骤S309的认证请求可包含EAP-类型＝EAP-TTLS(TTLS client_hello)的信息。

在步骤S310，认证服务器功能装置232接收到来自安全锚功能装置231的认证请求后，认证服务器功能装置232会传送一认证回应给安全锚功能装置231。根据本发明一实施例，步骤S310的认证回应可包含EAP-类型＝EAP-TTLS的信息以及一凭证数据，其中凭证数据可包含server_hello、server_certificate、server_key_exchange、certificate_request和server_hellodone的信息。

在步骤S311，安全锚功能装置231接收到来自认证服务器功能装置232的认证回应后，安全锚功能装置231会传送一认证请求给用户设备210。根据本发明一实施例，步骤S311的认证请求可包含EAP-类型＝EAP-TTLS的信息、凭证数据以及ngKSI和ABBA参数，其中凭证数据可包含server_hello、server_certificate、server_key_exchange、certificate_request和server_hellodone的信息。

在步骤S312，用户设备210接收到来自安全锚功能装置231的认证请求后，用户设备210会根据接收到的认证请求所包含的信息对网络端进行认证。当用户设备210根据接收到的认证请求所包含的信息无法认证网络端时，即表示用户设备210和网络端间的安全认证失败。

在步骤S313，当用户设备210根据接收到的认证请求所包含的信息成功地认证网络端时，用户设备210将会回复一认证回应给安全锚功能装置231。根据本发明一实施例，步骤S313的认证回应可包含EAP-类型＝EAP-TTLS的信息以及一认证数据。根据本发明一实施例，认证数据可包括一帐号和一密码。特别说明地是，由于在此实施例中采用EAP-TTLS方法来进行用户设备210和网络端的安全认证，因此，相较于EAP-TLS方法，将可不需要在用户设备210安装凭证。也就是说，用户设备210将仅须提供认证数据(例如：帐号和密码)给网络端来进行安全认证，而不需要提供凭证数据给网络端。此外，相较于基于使用者身分模块(Subscriber Identity Module，SIM)卡进行认证的EAP-AKA’和5G-AKA方法，EAP-TTLS方法不需要安装SIM卡即可进行认证。

在步骤S314，安全锚功能装置231接收到来自用户设备210的认证回应后，安全锚功能装置231会传送一认证请求给认证服务器功能装置232。根据本发明一实施例，步骤S314的认证请求可包含EAP-类型＝EAP-TTLS的信息以及用户设备210提供的认证数据。

在步骤S315，认证服务器功能装置232接收到来自安全锚功能装置231的认证请求后，认证服务器功能装置232可根据接收到的认证请求所包含的信息(即用户设备210提供的认证数据)对用户设备210进行认证。当认证服务器功能装置232根据认证请求所包含的信息，无法成功地认证用户设备210时，即表示用户设备210和网络端间的安全认证失败。

在步骤S316，当认证服务器功能装置232可根据认证请求所包含的信息，成功地认证用户设备210时，认证服务器功能装置232将会传送一认证回应给安全锚功能装置231。根据本发明一实施例，步骤S316的认证回应可包含EAP-类型＝EAP-TTLS的信息，以及change_cipher_spec和setver_finished的信息。

在步骤S317，安全锚功能装置231接收到来自认证服务器功能装置232的认证回应后，安全锚功能装置231会传送一认证请求给用户设备210。根据本发明一实施例，步骤S317的认证请求可包含EAP-类型＝EAP-TTLS的信息、change_cipher_spec和setver_finished的信息，以及ngKSI和ABBA参数。

在步骤S318，用户设备210接收到来自安全锚功能装置231的认证请求后，用户设备210会回复一认证回应给安全锚功能装置231。根据本发明一实施例，步骤S318的认证回应仅包含EAP-类型＝EAP-TTLS的信息。

在步骤S319，安全锚功能装置231接收到来自用户设备210的认证回应后，安全锚功能装置231会传送一认证请求给认证服务器功能装置232。根据本发明一实施例，步骤S319的认证请求仅包含EAP-类型＝EAP-TTLS的信息。

在步骤S320，认证服务器功能装置232接收到来自安全锚功能装置231的认证请求后，会传送一认证回应给安全锚功能装置231。根据本发明一实施例，步骤S320的认证回应可包含EAP成功的信息、一锚金钥(anchorkey)和对应用户设备210的SUPI。

在步骤S321，安全锚功能装置231接收到来自认证服务器功能装置232的认证回应后，安全锚功能装置231会传送EAP成功的信息以及ngKSI和ABBA参数给用户设备210。即表示用户设备210和网络端间的安全认证完成。

图4是根据本发明一实施例所述的认证方法的流程图。此认证方法可应用于认证系统200。如图4所示，在步骤S410，认证系统200的用户设备传送一注册请求至认证系统200的5G核心网络，以进行一安全认证。

在步骤S420，认证系统200的5G核心网络根据用户设备的注册请求，选取一可扩展认证协定-隧道传输层安全(EAP-TTLS)方法，进行认证安全认证。

根据本发明的实施例，认证方法的步骤S410还包括，通过认证系统200的5G核心网络的一安全锚功能装置接收注册要求，以及根据注册请求产生一认证请求。认证方法的步骤S420还包括，通过认证系统200的5G核心网络的一认证服务器功能装置，从安全锚功能装置接收认证请求，以及通过认证系统200的5G核心网络的一统一数据管理装置，从认证服务器功能装置接收认证请求，并根据认证请求，选取EAP-TTLS方法，以进行认证安全认证。

根据本发明的实施例，在认证方法中，认证系统200的5G核心网络可根据EAP-TTLS方法传送一凭证数据给认证系统200的用户设备。用户设备可根据凭证数据对网络端进行认证。当用户设备根据凭证数据无法认证网络端时，即表示用户设备和网络端间的安全认证失败。当用户设备根据凭证数据成功地认证网络端时，用户设备可传送一认证数据给5G核心网络。根据本发明一实施例，认证数据可包括一帐号和一密码。5G核心网络可根据用户设备提供的认证数据对用户设备进行认证。当5G核心网络根据认证数据无法成功地认证用户设备证时，即表示用户设备和网络端的安全认证失败。当5G核心网络根据认证数据可成功地认证用户设备时，即表示用户设备和网络端的安全认证成功。

根据本发明的实施例，在认证方法的步骤S420，5G核心网络可根据注册请求对应的一订阅永久标识符(SUPI)，判断是否选取EAP-TTLS方法进行安全认证。若5G核心网络判断无法选取EAP-TTLS方法来进行后续认证安全认证的流程，5G核心网络可选取其他现有的认证方法来进行认证(例如：3GPPTS33.501所使用的方法)，例如：可扩展认证协定-认证和金钥协议(Extensible Authentication Protocol–Authentication and KeyAgreement’，EAP-AKA’)、5G-AKA和可扩展认证协定-传输层安全(ExtensibleAuthentication Protocol-Transport Layer Security，EAP-TLS)。

根据本发明提出的认证方法，将可采用EAP-TTLS方法来进行用户设备和网络端的安全认证。因此，根据本发明提出的认证方法，将可使得在5G NR通信，用户设备和网络端的安全认证过程中，可采用更方便且弹性的作法来进行用户设备和网络端的安全认证。

本说明书中以及权利要求中的序号，例如“第一”、“第二”等等，仅为了方便说明，彼此之间并没有顺序上的先后关系。

本发明的说明书所公开的方法和演算法的步骤，可直接通过执行一处理器直接应用在硬件以及软件模块或两者的结合上。一软件模块(包括执行指令和相关数据)和其它数据可存储在数据存储器中，像是随机存取存储器(RAM)、快闪存储器(flash memory)、记忆体(ROM)、可擦除可编程只读存储器(EPROM)、电可擦除可编程只读存储器(EEPROM)、暂存器、硬盘、便携式硬盘、光盘只读存储器(CD-ROM)、DVD或在此领域现有技术中任何其它电脑可读取的存储媒体格式。一存储媒体可耦接至一机器装置，举例来说，像是电脑/处理器(为了说明的方便，在本说明书以处理器来表示)，上述处理器可通过来读取信息(像是程序码)，以及写入信息至存储媒体。一存储媒体可整合一处理器。一特殊应用集成电路(ASIC)包括处理器和存储媒体。一用户设备则包括一特殊应用集成电路。换句话说，处理器和存储媒体以不直接连接用户设备的方式，包含于用户设备中。此外，在一些实施例中，任何适合电脑程序的产品包括可读取的存储媒体，其中可读取的存储媒体包括和一或多个所公开实施例相关的程序码。在一些实施例中，电脑程序的产品可包括封装材料。

以上段落使用多种层面描述。显然的，本文的启示可以多种方式实现，而在范例中公开的任何特定架构或功能仅为一代表性的状况。根据本文的启示，任何本领域技术人员应理解在本文公开的各层面可独立实际操作或两种以上的层面可以合并实际操作。

虽然本公开已以实施例公开如上，然其并非用以限定本公开，任何本领域技术人员，在不脱离本公开的构思和范围内，当可作些许的变动与润饰，因此本发明的保护范围当视权利要求所界定者为准。

Claims (18)

1.一种认证系统，包括：

一核心网络，根据一注册请求，选取一可扩展认证协定-隧道传输层安全方法，进行认证一安全认证；以及

一用户设备，传送上述注册请求至上述核心网络，以进行上述安全认证。

2.如权利要求1所述的认证系统，其中上述核心网络包括：

一安全锚功能装置，接收上述注册请求，以及根据上述注册请求产生一认证请求；

一认证服务器功能装置，从上述安全锚功能装置接收上述认证请求；以及

一统一数据管理装置，从上述认证服务器功能装置接收上述认证请求，并根据上述认证请求，选取上述可扩展认证协定-隧道传输层安全方法，进行上述安全认证。

3.如权利要求1所述的认证系统，其中上述核心网络根据上述可扩展认证协定-隧道传输层安全方法传送一凭证数据给上述用户设备。

4.如权利要求3所述的认证系统，其中上述用户设备根据上述凭证数据对网络端进行认证。

5.如权利要求4所述的认证系统，其中当上述用户设备根据上述凭证数据成功地认证网络端时，上述用户设备传送一认证数据给上述核心网络。

6.如权利要求5所述的认证系统，上述认证数据包括一帐号和一密码。

7.如权利要求5所述的认证系统，其中上述核心网络根据上述认证数据对上述用户设备进行认证。

8.如权利要求7所述的认证系统，其中当上述核心网络根据上述认证数据成功地认证上述用户设备时，即表示上述安全认证成功。

9.如权利要求1所述的认证系统，其中上述核心网络根据上述注册请求对应的一订阅永久标识符，判断是否选取上述可扩展认证协定-隧道传输层安全方法进行认证上述安全认证。

10.一种认证方法，适用一认证系统，包括：

通过上述认证系统的一用户设备，传送一注册请求至上述认证系统的一核心网络，以进行一安全认证；以及

通过上述核心网络，根据上述注册请求，选取一可扩展认证协定-隧道传输层安全方法，进行上述安全认证。

11.如权利要求10所述的认证方法，还包括：

通过上述核心网络的一安全锚功能装置，接收上述注册请求，以及根据上述注册请求产生一认证请求；

通过上述核心网络的一认证服务器功能装置，从上述安全锚功能装置接收上述认证请求；以及

通过上述核心网络的一统一数据管理装置，从上述认证服务器功能装置接收上述认证请求，并根据上述认证请求，选取上述可扩展认证协定-隧道传输层安全方法，进行上述安全认证。

12.如权利要求10所述的认证方法，其中上述核心网络根据上述可扩展认证协定-隧道传输层安全方法传送一凭证数据给上述用户设备。

13.如权利要求12所述的认证方法，还包括：

通过上述用户设备根据上述凭证数据对网络端进行认证。

14.如权利要求13所述的认证方法，还包括：

当上述用户设备根据上述凭证数据成功地认证网络端时，通过上述用户设备传送一认证数据给上述核心网络。

15.如权利要求14所述的认证方法，上述认证数据包括一帐号和一密码。

16.如权利要求14所述的认证方法，还包括：

通过上述核心网络根据上述认证数据对上述用户设备进行认证。

17.如权利要求16所述的认证方法，还包括：

当上述核心网络根据上述认证数据成功地认证上述用户设备时，即表示上述安全认证成功。

18.如权利要求10所述的认证方法，还包括：

通过上述核心网络根据上述注册请求对应的一订阅永久标识符，判断是否选取上述可扩展认证协定-隧道传输层安全方法进行认证上述安全认证。

Images