CN114363029B - 差异化网络接入认证方法、装置、设备及介质 - Google Patents

Abstract

本公开实施例提供了一种差异化网络接入认证方法、装置、设备及介质，涉及通信技术领域。该方法包括：获取终端设备上报的网络标识，网络标识包括专网切片标识S‑NSSAI；根据网络标识以及预设对应关系，确定对应的安全认证算法，预设对应关系包括网络标识与安全认证算法的映射关系；调用安全认证算法，以对终端设备进行安全认证。根据本公开实施例的技术方案，能够为具有不同安全性需求的各行业以及行业内不同安全需求的企业提供具有差异化、可定制的安全认证。

Description

差异化网络接入认证方法、装置、设备及介质

技术领域

本公开涉及通信技术领域，具体而言，涉及一种差异化网络接入认证方法、装置、电子设备及计算机可读介质。

背景技术

目前，5G移动通信网络已经具备了认证授权、隐私保护、数据安全传输等安全特性，具有良好的安全通信能力。

在一种技术方案中，5G核心网对于手机类终端的UICC(Universal IntegratedCircuit Card，通用集成电路卡)的认证算法采用AES算法进行安全认证。然而，这种技术方案中，针对不同行业用户的安全需求考虑不足，各运营商的认证算法比较单一，缺乏对用户差异化认证需求的灵活控制。

因此，如何为具有不同安全性需求的各行业提供具有差异化、可定制的安全认证成为了亟待解决的技术难题。

需要说明的是，在上述背景技术部分公开的信息仅用于加强对本公开的背景的理解，因此可以包括不构成对本领域普通技术人员已知的现有技术的信息。

发明内容

本公开实施例的目的在于提供一种差异化网络接入认证方法、装置、电子设备及计算机可读介质，进而至少在一定程度上实现为具有不同安全性需求的各行业提供具有差异化、可定制的安全认证。

本公开的其他特性和优点将通过下面的详细描述变得显然，或部分地通过本公开的实践而习得。

根据本公开实施例的第一方面，提供了一种差异化网络接入认证方法，包括：获取终端设备上报的网络标识，所述网络标识包括专网切片标识S-NSSAI；根据所述网络标识以及预设对应关系，确定对应的安全认证算法，所述预设对应关系包括所述网络标识与安全认证算法的映射关系；调用所述安全认证算法，以对所述终端设备进行安全认证。

根据第一方面，在示例实施例中，所述方法应用于统一数据管理UDM网元，所述UDM网元中设置有多级安全策略，所述网络标识还包括数据网络名称DNN以及安全策略等级，所述根据所述网络标识以及预设对应关系，确定对应的安全认证算法，包括：根据所述安全策略等级，确定对应的所述预设对应关系，其中，所述多级安全策略中的一级安全策略对应的预设对应关系为所述S-NSSAI与安全认证算法的映射关系，二级安全策略对应的所述预设对应关系为所述S-NSSAI与所述DNN两者与安全认证算法的映射关系；根据网络标识从所述预设对应关系中查找对应的安全认证算法。

根据第一方面，在示例实施例中，所述专网切片标识包括：服务类型标识SST和切片分量标识SD，所述方法还包括：从所述网络标识中提取所述SST和所述SD；根据所述SST和所述SD确定所述终端设备对应的所述专网切片标识。

根据第一方面，在示例实施例中，同一所述S-NSSAI对应一个或多个所述DNN，所述DNN用于表示同一所述S-NSSAI下的不同企业数据网络的标识信息，所述方法还包括：根据所述S-NSSAI与所述DNN，识别所述终端设备对应的专网切片内要接入的企业数据网络。

根据第一方面，在示例实施例中，所述调用所述安全认证算法，包括：根据所述对应的安全认证算法的标识信息，从安全认证算法库中调用对应的安全认证算法接口；通过所述安全认证算法接口，生成对应的第一认证向量。

根据第一方面，在示例实施例中，所述对所述终端设备进行安全认证，包括：通过认证服务器功能AUSF网元接收在所述终端设备侧生成的第二认证向量；通过所述AUSF网元对所述第二认证向量与所述第一认证向量进行比较，根据比较结果对所述终端设备进行安全认证。

根据第一方面，在示例实施例中，所述获取终端设备上报的网络标识，包括：通过AMF接入及移动性管理功能网元接收终端设备上报的注册请求信息，所述注册请求信息包含所述终端设备的网络标识；通过AUSF网元接收所述AMF网元发送的认证请求数据，所述认证请求数据包含所述终端设备的网络标识；从所述认证请求数据中获取所述终端设备的网络标识，所述网络标识包括所述专网切片标识、所述DNN信息以及所述安全策略等级。

根据本公开实施例的第二方面，提供了一种差异化网络接入认证装置，包括：标识获取模块，用于获取终端设备上报的网络标识，所述网络标识包括专网切片标识；认证算法确定模块，用于根据所述网络标识以及预设对应关系，确定对应的安全认证算法，所述预设对应关系包括所述网络标识与安全认证算法的映射关系；安全认证模块，用于调用所述安全认证算法，以对所述终端设备进行安全认证。

根据第二方面，在示例实施例中，所述方法应用于统一数据管理UDM网元，所述UDM网元中设置有多级安全策略，所述网络标识还包括数据网络名称DNN以及安全策略等级，所述认证算法确定模块还用于：根据所述安全策略等级，确定对应的所述预设对应关系，其中，所述多级安全策略中的一级安全策略对应的预设对应关系为所述S-NSSAI与安全认证算法的映射关系，二级安全策略对应的所述预设对应关系为所述S-NSSAI与所述DNN两者与安全认证算法的映射关系；根据网络标识从所述预设对应关系中查找对应的安全认证算法。

根据第二方面，在示例实施例中，所述专网切片标识包括：服务类型标识SST和切片分量标识SD，所述装置还包括：第一识别模块，用于从所述网络标识中提取所述SST和所述SD；根据所述SST和所述SD确定所述终端设备对应的所述专网切片标识。

根据第二方面，在示例实施例中，同一所述S-NSSAI对应一个或多个所述DNN，所述DNN用于表示同一所述S-NSSAI下的不同企业数据网络的标识信息，所述装置还包括：第二识别模块，用于根据所述S-NSSAI与所述DNN，识别所述终端设备对应的专网切片内要接入的企业数据网络。

根据第二方面，在示例实施例中，所述安全认证模块还用于：根据所述对应的安全认证算法的标识信息，从安全认证算法库中调用对应的安全认证算法接口；通过所述安全认证算法接口，生成对应的第一认证向量。

根据第二方面，在示例实施例中，所述安全认证模块还用于：通过认证服务器功能AUSF网元接收在所述终端设备侧生成的第二认证向量；通过所述AUSF网元对所述第二认证向量与所述第一认证向量进行比较，根据比较结果对所述终端设备进行安全认证。

根据第二方面，在示例实施例中，所述标识获取模块还用于：通过AMF接入及移动性管理功能网元接收终端设备上报的注册请求信息，所述注册请求信息包含所述终端设备的网络标识；通过AUSF网元接收所述AMF网元发送的认证请求数据，所述认证请求数据包含所述终端设备的网络标识；从所述认证请求数据中获取所述终端设备的网络标识，所述网络标识包括所述专网切片标识、所述DNN信息以及所述安全策略等级。

根据本公开实施例的第三方面，提供了一种计算机可读介质，其上存储有计算机程序，所述程序被处理器执行时实现如上述实施例第一方面中所述的差异化网络接入认证方法。

根据本公开实施例的第四方面，提供一种电子设备，包括：一个或多个处理器；存储装置，用于存储一个或多个程序，当所述一个或多个程序被所述一个或多个处理器执行时，使得所述一个或多个处理器实现如上述实施例第一方面所述的差异化网络接入认证方法。

本公开实施例提供的技术方案可以包括以下有益效果：

在本公开的一些实施例中，一方面，根据终端用户上报的专网切片标识来识别终端对应的专网切片，并根据预先设置的不同专网切片与安全认证算法之间的对应关系，选择对应的差异化网络接入认证算法，能够实现接入一个UDM(Unified Data Management，统一数据管理)网元的多个网络切片的接入认证算法的定制化配置，满足不同安全等级的专网用户差异化的安全需求，从而能够为具有不同安全性需求的各行业提供具有差异化、可定制的安全认证；另一方面，根据预先设置的不同专网切片及DNN标识与安全认证算法之间的对应关系，选择对应的差异化网络接入认证算法，能够实现接入一个行业切片的不同企业用户的接入认证算法的定制化配置，满足不同安全等级的专网用户差异化的安全需求。

应当理解的是，以上的一般描述和后文的细节描述仅是示例性和解释性的，并不能限制本公开。

附图说明

此处的附图被并入说明书中并构成本说明书的一部分，示出了符合本公开的实施例，并与说明书一起用于解释本公开的原理。显而易见地，下面描述中的附图仅仅是本公开的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。在附图中：

图1示出了实施本公开的一些示例实施例的差异化网络接入认证方法的应用场景的示意图；

图2示出了根据本公开的一些示例实施例的差异化网络接入认证方法的流程示意图；

图3示出了根据本公开的一些示例实施例的基于预定认证框架的差异化网络接入认证方法的流程示意图；

图4示出了实施本公开的另一些示例实施例的差异化网络接入认证方法的的流程示意图；

图5示出了根据本公开的一实施例的差异化网络接入认证装置的结构示意图；

图6示出本公开示例性实施例中电子设备的结构示意图。

具体实施方式

现在将参考附图更全面地描述示例实施方式。然而，示例实施方式能够以多种形式实施，且不应被理解为限于在此阐述的范例；相反，提供这些实施方式使得本公开将更加全面和完整，并将示例实施方式的构思全面地传达给本领域的技术人员。

此外，所描述的特征、结构或特性可以以任何合适的方式结合在一个或更多实施例中。在下面的描述中，提供许多具体细节从而给出对本公开的实施例的充分理解。然而，本领域技术人员将意识到，可以实践本公开的技术方案而没有特定细节中的一个或更多，或者可以采用其它的方法、组元、装置、步骤等。在其它情况下，不详细示出或描述公知方法、装置、实现或者操作以避免模糊本公开的各方面。

附图中所示的方框图仅仅是功能实体，不一定必须与物理上独立的实体相对应。即，可以采用软件形式来实现这些功能实体，或在一个或多个硬件模块或集成电路中实现这些功能实体，或在不同网络和/或处理器装置和/或微控制器装置中实现这些功能实体。

附图中所示的流程图仅是示例性说明，不是必须包括所有的内容和操作/步骤，也不是必须按所描述的顺序执行。例如，有的操作/步骤还可以分解，而有的操作/步骤可以合并或部分合并，因此实际执行的顺序有可能根据实际情况改变。

图1示出了实施本公开的一些示例实施例的差异化网络接入认证方法的网络架构的示意图。

参照图1所示，该应用场景100可以包括网络设备110、终端设备120以及核心网130，核心网130包括：UDM(Unified Data Management，统一数据管理)网元，网络设备110可以是与终端设备120(或称为通信终端、用户终端)通信的设备。网络设备110可以为特定的地理区域提供通信覆盖，并且可以与位于该覆盖区域内的终端设备进行通信。可选地，该网络设备110可以是LTE(Long Term Evolution，长期演进)系统中的演进型基站(Evolutional Node B，eNB或eNodeB)，或者是5G网络中的网络设备例如基站等。

该应用场景100还包括位于网络设备110覆盖范围内的至少一个终端设备120。终端设备120为4G无线网络或5G无线网络中的用户终端。需要说明的是，终端设备120可以为工业设备、监控摄像头、巡检机器人、便携式计算机、智能手机、车载终端和平板电脑等。

下面，将结合附图对本公开的示例实施例中的技术方案进行详细的说明。

图2示出了根据本公开的一些示例实施例的差异化网络接入认证方法的流程示意图。本公开实施例提供的差异化网络接入认证方法的执行主体可以是具有计算能力的计算设备，例如UDM网元。该差异化网络接入认证方法包括步骤S210至步骤S230，下面结合附图对示例实施例中的差异化网络接入认证方法进行详细的说明。

参考图2所示，在步骤S210中，获取终端设备上报的网络标识，网络标识包括专网切片标识。

在示例实施例中，网络标识包括专网切片标识，专网切片标识为S-NSSAI(SingleNetwork Slice Selection Assistance Information，单网络切片选择辅助信息)，专网切片标识用于识别对应的网络切片。

在示例实施例中，UDM网元从AUSF(Authentication Server Function，认证服务器功能)网元中获取终端设备上报的网络标识。例如，通过AMF网元接收终端设备上报的注册请求信息，注册请求信息包含终端设备的网络标识；AMF网元接收到终端设备的注册请求信息后，向AUSF网元发送认证请求数据；通过AUSF网元接收AMF网元发送的认证请求数据，从认证请求数据中获取终端设备的网络标识。

在示例实施例中，专网切片标识包括服务类型标识SST和切片分量标识SD，SST用于指示S-NSSAI的切片服务类型，切片分量SD是补充切片/服务类型的可选信息，从网络标识中提取SST和SD；根据SST以及SD，确定终端设备对应的专网切片标识。

专网切片的类型可以包括高清视频切片类型、移动电话切片类型、物联网切片类型等。需要说明的是，专网切片的类型还可以为其他适当的行业类型例如无人驾驶车辆切片类型、智能电网切片类型等，这同样在本公开的保护范围内。

在步骤S220中，根据网络标识以及预设对应关系，确定对应的安全认证算法，预设对应关系包括网络标识与安全认证算法的映射关系。

在一些示例实施例中，网络标识包括S-NSSAI，预设对应关系包括S-NSSAI与安全认证算法的映射关系表，根据S-NSSAI从该映射关系表中查找对应的安全认证算法。

在另一些示例实施例中，所述网络标识还包括DNN(Data Network Name，数据网络名称)以及安全策略等级，安全策略等级中的一级安全策略对应的预设对应关系为S-NSSAI与安全认证算法的映射关系，二级安全策略对应的所述预设对应关系为所述S-NSSAI与所述DNN信息两者与安全认证算法的映射关系。

进一步地，在示例实施例中，根据网络标识以及预设对应关系，确定对应的安全认证算法，包括：根据安全策略等级，确定对应的预设对应关系；根据网络标识从预设对应关系中查找对应的安全认证算法。

在示例实施例中，安全认证算法即为认证向量生成算法可以包括：AES算法、SM4算法、3DES算法。需要说明的是，安全认证算法也可以包括其他适当的算法例如Tuak算法等，这同样在本公开的保护范围内。

进一步地，根据专网切片标识，从预设对应关系表中查询对应的安全认证算法。举例而言，将专网切片标识与预设对应关系表中的对应字段中的字段值进行匹配，基于匹配结果确定对应的安全认证算法。

在步骤S230中，调用安全认证算法，以对终端设备进行安全认证。

在示例实施例中，调用安全认证算法生成对应的第一认证向量，将第一认证向量与终端设备侧生成的第二认证向量进行比较，根据比较结果对终端设备进行安全认证。在终端设备侧，根据专网切片的类型采用相同的安全认证算法生成第二认证向量。

举例而言，根据所确定的专网切片对应的安全认证算法的标识信息，从安全认证算法库中调用对应的安全认证算法接口；通过安全认证算法接口，生成对应的第一认证向量，通过AUSF网元接收在终端设备侧生成的第二认证向量；通过AUSF网元对第二认证向量与第一认证向量进行比较，若第二认证向量与第一认证向量相等，则确定认证成功。

根据图2的示例实施例中的技术方案，一方面，根据终端用户上报的专网切片标识来识别终端对应的专网切片，并根据预先设置的不同专网切片与安全认证算法之间的对应关系，选择对应的差异化网络接入认证算法，能够实现接入一个UDM网元的多个网络切片的接入认证算法的定制化配置，满足不同安全等级的专网用户差异化的安全需求，从而能够为具有不同安全性需求的各行业及行业内企业用户提供具有差异化、可定制的安全认证；另一方面，根据预先设置的不同专网切片及DNN标识与安全认证算法之间的对应关系，选择对应的差异化网络接入认证算法，能够实现接入一个行业切片的不同企业用户的接入认证算法的定制化配置，满足不同安全等级的专网用户差异化的安全需求。

图3示出了根据本公开的一些示例实施例的基于预定认证框架的差异化网络接入认证方法的流程示意图。

该认证框架可以包括：基站110、终端设备120以及核心网130。核心网130包括：AMF(Access and Mobility Management Function，接入及移动性管理功能)网元132、AUSF(Authentication Server Function，认证服务器功能)网元134以及UDM(Unified DataManagement，统一数据管理)网元136。

需要说明的是，该认证框架可以为EAP-AKA认证框架，也可以为其他适当的认证框架例如5G-AKA算法框架，认证算法框架可以采用MILENGE算法框架，本公开对此不进行特殊限定。

进一步地，在示例实施例中，在UDM网元136中增加切片识别模块1362，策略查询模块1364以及算法选择模块1366。其中：

切片识别单元1362：从AUSF网元134接收到的数据(Nudm_UE Authentication_Get消息)中获取终端设备120的网络标识，网络标识包括专网切片标识S-NSSAI、DNN(DataNetwork Name，数据网络名称)以及安全策略等级，并根据所获取的专网切片标识S-NSSAI，来识别该专网切片标识S-NSSAI对应于PLMN(Public Land Mobile Network，公共陆地移动网)中的哪一个专网切片，根据DNN，识别终端设备对应的专网切片内要接入的企业数据网络，其中，一个专网切片对应一个或多个企业数据网络，即一个专网切片对应一个或多个DNN。

策略查询模块1364：根据识别出的网络标识以及安全策略等级，查询不同专网切片对应的安全认证算法即安全认证向量生成算法如AES算法、SM4算法、3DES算法等。例如，从图3的切片标识与安全认证算法的对应关系表中查询与专网切片标识对应的安全认证算法。

在图3的示例实施例中，UDM网元中设置有多级安全策略，安全策略等级中的一级安全策略对应的预设对应关系为S-NSSAI与安全认证算法的映射关系，二级安全策略对应的所述预设对应关系为S-NSSAI与DNN信息两者与安全认证算法的映射关系。进一步地，在示例实施例中，根据安全策略等级，确定对应的预设对应关系；根据网络标识从预设对应关系中查找对应的安全认证算法。

算法选择模块1366：根据策略查询模块1364的查询结果，为终端设备120选择该专网切片对应的安全认证算法，调用安全算法库中相应的安全算法接口，生成相应的认证认证向量。

根据图3的示例实施例中的技术方案，在核心网UDM网元中增加切片识别模块、策略查询模块、算法选择模块以及相应安全算法库，通过对行业专网用户接入的专网切片标识进行识别，进而选择该专网切片对应的安全接入认证算法，在UDM网元内完成识别和选择，不改变算法框架及5G信令流程。一方面，能够实现提供差异化认证保护，完全复用一张5G物理网络的虚拟/共享专网；另一方面，不同切片底层算法不同，后续派生密钥也不同，大大增强了专网切片间隔离强度。

下面，结合图3对基于该认证框架的差异化网络接入认证方法进行详细的说明。

在步骤S10中，UE发送NAS消息：注册请求(包含S-NSSAI)。

在示例实施例中，终端设备120向网络侧AMF132发送NAS(Non-Access Stratum，非接入层)消息，NAS消息中包括注册请求，注册请求中包括切片网络标识S-NSSAI。

在步骤S20中，AMF132向AUSF134发送认证请求(包含SUPI、S-NSSAI)。

在示例实施例中，在移动通信中网络运营商通常给每个SIM卡分配一个(唯一的)标识；这个标识在4G就是IMSI(国际移动用户识别码)，在5G网络中就是SUPI(SubscriptionPermanent Identifier，用户永久标识)。

在步骤S30中，AUSF134向UDM 136发送认证请求(包含SUPI、S-NSSAI)。

在步骤S40中，进行算法选择。

在示例实施例中，算法选择模块1366：根据策略查询模块1364的查询结果，为终端设备120选择该专网切片对应的安全认证算法。

在本示例实施例中，UDM网元中设置有多级安全策略，安全策略等级中的一级安全策略对应的预设对应关系为S-NSSAI与安全认证算法的映射关系，二级安全策略对应的预设对应关系为S-NSSAI与DNN信息两者与安全认证算法的映射关系。进一步地，根据安全策略等级，确定对应的预设对应关系；根据网络标识从预设对应关系中查找对应的安全认证算法。

在步骤S50中，生成认证向量RES。

在步骤S60中，终端设备生成相应的认证向量RES*。

在示例实施例中，在终端设备侧，根据专网切片的标识信息采用与网络侧相同的安全认证算法生成第二认证向量。在终端设备侧，需提前预置行业切片的安全算法，根据预置的安全认证算法生成相应的认证向量RES*。

在步骤S70中，比较认证向量RES*与认证向量RES，若相等则认证成功。

在步骤S80中，AMF回复认证完成。

在示例实施例中，AMF132向终端设备回复认证完成消息。

根据图3的示例实施例中的技术方案，一方面，能够满足不同安全需求的行业专网建设，为不同行业用户灵活选择自己的差异化网络接入认证算法提供了可行机制，支撑运营商为不同行业用户在同一张5G物理网络上组建多个安全等级的5G专网；另一方面，实现简单，不改变信令流程，在UDM网元内完成行业用户的识别和选择，不改变5G信令流程；再一方面，不影响公网用户，在UDM增加行业定制的安全算法，对目前公网用户没有影响；又一方面，对只访问一个数据网络的工业设备，也可以根据切片标识+DNN信息进行安全算法的选择，实现同一切片内企业级的安全算法差异化，提高安全性。

图4示出了实施本公开的另一些示例实施例的差异化网络接入认证方法的的流程示意图。

参照图4所示，在步骤S405中，获取专网切片标识S-NSSAI、DNN、策略等级。

在示例实施例中，从AUSF网元134接收到的数据(Nudm_UE Authentication_Get消息)中获取终端设备120的专网切片标识S-NSSAI、DNN、策略等级。

在步骤S410中，识别策略等级及专网切片、DNN信息。

在示例实施例中，UDM网元中设置有多级安全策略，识别终端设备上报的策略等级。进一步地，识别专网切片标识S-NSSAI对应于PLMN中的哪一个专网切片，根据DNN，识别终端设备对应的专网切片内要接入的企业数据网络，其中，一个专网切片对应一个或多个企业数据网络，即一个专网切片对应一个或多个DNN。

在步骤S415中，根据策略等级，查询对应的算法策略表。

在示例实施例中，安全策略等级中的一级安全策略对应的预设对应关系为S-NSSAI与安全认证算法的映射关系，二级安全策略对应的所述预设对应关系为S-NSSAI与DNN信息两者与安全认证算法的映射关系。

在示例实施例中，根据安全策略等级，确定对应的预设对应关系即算法策略表；根据网络标识从预设对应关系中查找对应的安全认证算法。

在步骤S420中，确定策略等级的值。

在示例实施例中，根据安全策略等级，确定对应的预设对应关系即算法策略表；根据网络标识从预设对应关系中查找对应的安全认证算法。例如，策略等级为1，则进行至步骤S425；策略等级为2，则进行至步骤S440。

在步骤S425中，确定切片标识与安全认证算法的对应表。

在步骤S430中，确定切片标识的值。

在步骤S435中，调用安全算法库内切片对应的算法接口。

在示例实施例中，根据切片标识的值调用安全算法库内切片对应的算法接口，例如专网切片标识的值为1，则调用安全算法库内切片1对应的算法接口。

在步骤S440中，确定切片标识+DNN与安全认证算法的对应表。

在步骤S445中，确定切片标识的值以及DNN的值。

在步骤S450中，调用安全算法库内切片以及DNN对应的算法接口。

在示例实施例中，根据切片标识的值以及DNN的值调用安全算法库内切片对应的算法接口例如专网切片标识的值为1以及DNN的值为1，则调用安全算法库内切片1与DNN1对应的算法接口。

根据图4的示例实施例中的技术方案，根据用户上报的专网切片标识来识别网络切片，并根据不同切片安全策略，选择对应的差异化网络接入认证算法，实现接入一个UDM的多个网络切片的接入认证算法的定制化配置，满足不同安全等级的专网用户差异化的安全需求，能够为具有不同安全性需求的各行业以及行业内不同安全需求的企业提供具有差异化、可定制的安全认证。对只访问一个数据网络的工业设备，也可以根据切片标识+DNN信息进行安全算法的选择，实现同一切片内企业级的安全算法差异化，提高安全性。

需要注意的是，上述附图仅是根据本公开示例性实施方式的方法所包括的处理的示意性说明，而不是限制目的。易于理解，上述附图所示的处理并不表明或限制这些处理的时间顺序。另外，也易于理解，这些处理可以是例如在多个模块中同步或异步执行的。

以下介绍本公开的装置实施例，可以用于执行本公开上述的差异化网络接入认证方法。

图5示出了根据本公开的一实施例的差异化网络接入认证装置的结构示意图。

参照图5所示，差异化网络接入认证装置500包括：标识获取模块510，用于获取终端设备上报的网络标识，所述网络标识包括专网切片标识；认证算法确定模块520，用于根据所述网络标识以及预设对应关系，确定对应的安全认证算法，所述预设对应关系包括所述网络标识与安全认证算法的映射关系；安全认证模块530，用于调用所述安全认证算法，以对所述终端设备进行安全认证。

在示例实施例中，所述方法应用于统一数据管理功能UDM网元，所述UDM网元中设置有多级安全策略，所述网络标识还包括数据网络名称DNN以及安全策略等级，所述认证算法确定模块520还用于：根据所述安全策略等级，确定对应的所述预设对应关系，其中，所述多级安全策略中的一级安全策略对应的预设对应关系为所述S-NSSAI与安全认证算法的映射关系，二级安全策略对应的所述预设对应关系为所述S-NSSAI与所述DNN两者与安全认证算法的映射关系；根据网络标识从所述预设对应关系中查找对应的安全认证算法。

在示例实施例中，所述专网切片标识包括：服务类型标识SST和切片分量标识SD，所述装置510还包括：第一识别模块，用于从所述网络标识中提取所述SST和所述SD；根据所述SST和所述SD确定所述终端设备对应的所述专网切片标识。

在示例实施例中，同一所述S-NSSAI对应一个或多个所述DNN，所述DNN用于表示同一所述S-NSSAI下的不同企业数据网络的标识信息，所述装置510还包括：第二识别模块，用于根据所述S-NSSAI与所述DNN，识别所述终端设备对应的专网切片内要接入的企业数据网络。

在示例实施例中，所述安全认证模块530还用于：根据所述对应的安全认证算法的标识信息，从安全认证算法库中调用对应的安全认证算法接口；通过所述安全认证算法接口，生成对应的第一认证向量。

在示例实施例中，所述安全认证模块530还用于：通过认证服务器功能AUSF网元接收在所述终端设备侧生成的第二认证向量；通过所述AUSF网元对所述第二认证向量与所述第一认证向量进行比较，根据比较结果对所述终端设备进行安全认证。

在示例实施例中，所述标识获取模块510还用于：通过AMF接入及移动性管理功能网元接收终端设备上报的注册请求信息，所述注册请求信息包含所述终端设备的网络标识；通过AUSF网元接收所述AMF网元发送的认证请求数据，所述认证请求数据包含所述终端设备的网络标识；从所述认证请求数据中获取所述终端设备的网络标识，所述网络标识包括所述专网切片标识、所述DNN信息以及所述安全策略等级。

由于本公开的示例实施例的差异化网络接入认证装置的各个功能模块与上述差异化网络接入认证方法的示例实施例的步骤对应，因此对于本公开网络设备实施例中未披露的细节，请参照本公开上述的差异化网络接入认证方法的实施例。

应当注意，尽管在上文详细描述中提及了用于动作执行的设备的若干模块或者单元，但是这种划分并非强制性的。实际上，根据本公开的实施方式，上文描述的两个或更多模块或者单元的特征和功能可以在一个模块或者单元中具体化。反之，上文描述的一个模块或者单元的特征和功能可以进一步划分为由多个模块或者单元来具体化。

此外，尽管在附图中以特定顺序描述了本公开中方法的各个步骤，但是，这并非要求或者暗示必须按照该特定顺序来执行这些步骤，或是必须执行全部所示的步骤才能实现期望的结果。附加的或备选的，可以省略某些步骤，将多个步骤合并为一个步骤执行，以及/或者将一个步骤分解为多个步骤执行等。

通过以上的实施方式的描述，本领域的技术人员易于理解，这里描述的示例实施方式可以通过软件实现，也可以通过软件结合必要的硬件的方式来实现。因此，根据本公开实施方式的技术方案可以以软件产品的形式体现出来，该软件产品可以存储在一个非易失性存储介质(可以是CD-ROM，U盘，移动硬盘等)中或网络上，包括若干指令以使得一台计算设备(可以是核心网中的UDM)执行根据本公开实施方式的方法。

在本公开示例性实施方式中，还提供了一种能够实现上述方法的计算机存储介质。其上存储有能够实现本说明书上述方法的程序产品。在一些可能的实施例中，本公开的各个方面还可以实现为一种程序产品的形式，其包括程序代码，当上述程序产品在终端设备上运行时，上述程序代码用于使上述终端设备执行本说明书上述“示例性方法”部分中描述的根据本公开各种示例性实施方式的步骤。

上述程序产品可以采用便携式紧凑盘只读存储器(CD-ROM)并包括程序代码，并可以在终端设备，例如个人电脑上运行。然而，本公开的程序产品不限于此，在本文件中，可读存储介质可以是任何包含或存储程序的有形介质，该程序可以被指令执行系统、装置或者器件使用或者与其结合使用。

上述程序产品可以采用一个或多个可读介质的任意组合。可读介质可以是可读信号介质或者可读存储介质。可读存储介质例如可以为但不限于电、磁、光、电磁、红外线、或半导体的系统、装置或器件，或者任意以上的组合。可读存储介质的更具体的例子(非穷举的列表)包括：具有一个或多个导线的电连接、便携式盘、硬盘、随机存取存储器(RAM)、只读存储器(ROM)、可擦式可编程只读存储器(EPROM或闪存)、光纤、便携式紧凑盘只读存储器(CD-ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合。

计算机可读信号介质可以包括在基带中或者作为载波一部分传播的数据信号，其中承载了可读程序代码。这种传播的数据信号可以采用多种形式，包括但不限于电磁信号、光信号或上述的任意合适的组合。可读信号介质还可以是可读存储介质以外的任何可读介质，该可读介质可以发送、传播或者传输用于由指令执行系统、装置或者器件使用或者与其结合使用的程序。

可读介质上包含的程序代码可以用任何适当的介质传输，包括但不限于无线、有线、光缆、RF等等，或者上述的任意合适的组合。

可以以一种或多种程序设计语言的任意组合来编写用于执行本公开操作的程序代码，上述程序设计语言包括面向对象的程序设计语言—诸如Java、C++等，还包括常规的过程式程序设计语言—诸如“C”语言或类似的程序设计语言。程序代码可以完全地在用户计算设备上执行、部分地在用户设备上执行、作为一个独立的软件包执行、部分在用户计算设备上部分在远程计算设备上执行、或者完全在远程计算设备或服务器上执行。

此外，在本公开的示例性实施例中，还提供了一种能够实现上述方法的电子设备。

所属技术领域的技术人员能够理解，本公开的各个方面可以实现为系统、方法或程序产品。因此，本公开的各个方面可以具体实现为以下形式，即：完全的硬件实施方式、完全的软件实施方式(包括固件、微代码等)，或硬件和软件方面结合的实施方式，这里可以统称为“电路”、“模块”或“系统”。

下面参照图6来描述根据本公开的这种实施方式的电子设备600。图6显示的电子设备600仅仅是一个示例，不应对本公开实施例的功能和使用范围带来任何限制。

如图6所示，电子设备600以通用计算设备的形式表现。电子设备600的组件可以包括但不限于：上述至少一个处理单元610、上述至少一个存储单元620、连接不同系统组件(包括存储单元620和处理单元610)的总线630。

其中，上述存储单元存储有程序代码，上述程序代码可以被上述处理单元610执行，使得上述处理单元610执行本说明书上述“示例性方法”部分中描述的根据本公开各种示例性实施方式的步骤。例如，上述处理单元610可以执行如图2中所示的：步骤S210，获取终端设备上报的网络标识，网络标识包括专网切片标识；步骤S220，根据网络标识以及预设对应关系，确定对应的安全认证算法，预设对应关系包括网络标识与安全认证算法的映射关系；步骤S230，调用安全认证算法，以对终端设备进行安全认证。

示例性的，上述处理单元610还可以执行如上述方式实施例中的差异化网络接入认证方法。

存储单元620可以包括易失性存储单元形式的可读介质，例如随机存取存储单元(RAM)6201和/或高速缓存存储单元6202，还可以进一步包括只读存储单元(ROM)6203。

存储单元620还可以包括具有一组(至少一个)程序模块6205的程序/实用工具6204，这样的程序模块6205包括但不限于：操作系统、一个或者多个应用程序、其它程序模块以及程序数据，这些示例中的每一个或某种组合中可能包括网络环境的实现。

总线630可以为表示几类总线结构中的一种或多种，包括存储单元总线或者存储单元控制器、外围总线、图形加速端口、处理单元或者使用多种总线结构中的任意总线结构的局域总线。

电子设备600也可以与一个或多个外部设备690(核心网其他网元)通信，还可与一个或者多个使得用户能与该电子设备600交互的设备通信，和/或与使得该电子设备600能与一个或多个其它计算设备进行通信的任何设备(例如路由器、调制解调器等等)通信。这种通信可以通过输入/输出(I/O)接口650进行。并且，电子设备600还可以通过网络适配器660与一个或者多个网络(例如局域网(LAN)，广域网(WAN)和/或公共网络，例如因特网)通信。如图所示，网络适配器660通过总线630与电子设备600的其它模块通信。应当明白，尽管图中未示出，可以结合电子设备600使用其它硬件和/或软件模块，包括但不限于：微代码、设备驱动器、冗余处理单元、外部磁盘驱动阵列、RAID系统、磁带驱动器以及数据备份存储系统等。

通过以上的实施方式的描述，本领域的技术人员易于理解，这里描述的示例实施方式可以通过软件实现，也可以通过软件结合必要的硬件的方式来实现。因此，根据本公开实施方式的技术方案可以以软件产品的形式体现出来，该软件产品可以存储在一个非易失性存储介质(可以是CD-ROM，U盘，移动硬盘等)中或网络上，包括若干指令以使得一台计算设备(可以是个人计算机、服务器、终端装置、或者网络设备等)执行根据本公开实施方式的方法。

此外，上述附图仅是根据本公开示例性实施例的方法所包括的处理的示意性说明，而不是限制目的。易于理解，上述附图所示的处理并不表明或限制这些处理的时间顺序。另外，也易于理解，这些处理可以是例如在多个模块中同步或异步执行的。

本领域技术人员在考虑说明书及实践这里公开的发明后，将容易想到本公开的其他实施例。本申请旨在涵盖本公开的任何变型、用途或者适应性变化，这些变型、用途或者适应性变化遵循本公开的一般性原理并包括本公开未公开的本技术领域中的公知常识或惯用技术手段。说明书和实施例仅被视为示例性的，本公开的真正范围和精神由权利要求指出。

Claims (9)

1.一种差异化网络接入认证方法，其特征在于，所述方法应用于统一数据管理UDM网元，所述UDM网元中设置有多级安全策略，所述方法包括：

获取终端设备上报的网络标识，所述网络标识包括专网切片标识S-NSSAI，所述网络标识还包括数据网络名称DNN以及安全策略等级，所述DNN用于表示同一所述S-NSSAI下的不同企业数据网络的标识信息；

根据所述安全策略等级，确定对应的预设对应关系，其中，所述多级安全策略中的一级安全策略对应的预设对应关系为所述S-NSSAI与安全认证算法的映射关系，二级安全策略对应的所述预设对应关系为所述S-NSSAI与所述DNN两者与安全认证算法的映射关系；

根据网络标识从所述预设对应关系中查找对应的安全认证算法；

调用所述安全认证算法，以对所述终端设备进行安全认证。

2.根据权利要求1所述的方法，其特征在于，所述专网切片标识包括：服务类型标识SST和切片分量标识SD，所述方法还包括：

从所述网络标识中提取所述SST和所述SD；

根据所述SST和所述SD确定所述终端设备对应的所述专网切片标识。

3.根据权利要求1所述的方法，其特征在于，同一所述S-NSSAI对应一个或多个所述DNN，所述方法还包括：

根据所述S-NSSAI与所述DNN，识别所述终端设备对应的专网切片内要接入的企业数据网络。

4.根据权利要求1所述的方法，其特征在于，所述调用所述安全认证算法，包括：

根据所述对应的安全认证算法的标识信息，从安全认证算法库中调用对应的安全认证算法接口；

通过所述安全认证算法接口，生成对应的第一认证向量。

5.根据权利要求4所述的方法，其特征在于，所述对所述终端设备进行安全认证，包括：

通过认证服务器功能AUSF网元接收在所述终端设备侧生成的第二认证向量；

通过所述AUSF网元对所述第二认证向量与所述第一认证向量进行比较，根据比较结果对所述终端设备进行安全认证。

6.根据权利要求1所述的方法，其特征在于，所述获取终端设备上报的网络标识，包括：

通过AMF接入及移动性管理功能网元接收终端设备上报的注册请求信息，所述注册请求信息包含所述终端设备的网络标识；

通过AUSF网元接收所述AMF网元发送的认证请求数据，所述认证请求数据包含所述终端设备的网络标识；

从所述认证请求数据中获取所述终端设备的网络标识，所述网络标识包括所述专网切片标识、所述DNN信息以及所述安全策略等级。

7.一种差异化网络接入认证装置，其特征在于，所述装置应用于统一数据管理UDM网元，所述UDM网元中设置有多级安全策略，所述装置包括：

标识获取模块，用于获取终端设备上报的网络标识，所述网络标识包括专网切片标识S-NSSAI，所述网络标识还包括数据网络名称DNN以及安全策略等级，所述DNN用于表示同一所述S-NSSAI下的不同企业数据网络的标识信息；

认证算法确定模块，用于根据所述安全策略等级，确定对应的预设对应关系，其中，所述多级安全策略中的一级安全策略对应的预设对应关系为所述S-NSSAI与安全认证算法的映射关系，二级安全策略对应的所述预设对应关系为所述S-NSSAI与所述DNN两者与安全认证算法的映射关系；根据网络标识从所述预设对应关系中查找对应的安全认证算法；

安全认证模块，用于调用所述安全认证算法，以对所述终端设备进行安全认证。

8.一种计算机可读介质，其上存储有计算机程序，其特征在于，所述程序被处理器执行时实现如权利要求1至6中任一项所述的差异化网络接入认证方法。

9.一种电子设备，其特征在于，包括：

一个或多个处理器；

存储装置，用于存储一个或多个程序，当所述一个或多个程序被所述一个或多个处理器执行时，使得所述一个或多个处理器实现如权利要求1至6中任一项所述的差异化网络接入认证方法。