CN116567625A - 设备鉴权方法、装置、终端及网络功能 - Google Patents

Abstract

本申请公开了一种设备鉴权方法、装置、终端及网络功能，属于通信技术领域，本申请实施例的设备鉴权方法包括：第一终端接收网络侧发送的第一认证相关信息，并将所述第一认证相关信息发送给第二终端；所述第一终端接收所述第二终端发送的第二认证相关信息，并将所述第二认证相关信息发送给所述网络侧。

Description

设备鉴权方法、装置、终端及网络功能

技术领域

本申请属于通信技术领域，具体涉及一种设备鉴权方法、装置、终端及网络功能。

背景技术

相关技术中，网络侧无法获知网关后的设备的情况，在特定的一些场景，例如个人物联网场景下，个人物联网网关可以是智能家居场景中的网关，也可以是可穿戴设备场景中的手机等，在网关后的通信设备通过网关接入5G网络时，5G网络可能需要识别该设备，并对其鉴权。然而，由于网关后的通信设备类型多种多样，在通信设备不支持非接入层(Non-Access Stratum，NAS)协议过程时，5G网络无法对其进行鉴权。

发明内容

本申请实施例提供一种设备鉴权方法、装置、终端及网络功能，能够解决如何对不支持NAS协议过程的设备进行鉴权的问题。

第一方面，提供了一种设备鉴权方法，包括：

第一终端接收网络侧发送的第一认证相关信息，并将所述第一认证相关信息发送给第二终端；

所述第一终端接收所述第二终端发送的第二认证相关信息，并将所述第二认证相关信息发送给所述网络侧。

第二方面，提供了一种设备鉴权方法，包括：

第一网络功能接收第二网络功能发送的指示信息，所述指示信息中包含以下至少一项：第一终端的相关信息，第二终端的相关信息，停止鉴权指示，鉴权指示；

所述第一网络功能根据所述指示信息执行或停止执行第一操作，所述第一操作包含：

向第一终端发送第一认证相关信息，所述第一认证相关信息用于所述第一终端发送给所述第二终端；

所述第一网络功能接收所述第一终端发送的第二认证相关信息，所述第二认证相关信息为第一终端从所述第二终端接收的；

所述第一网络功能将所述第二认证相关信息发送给第三网络功能。

第三方面，提供了一种设备鉴权方法，包括：

第二网络功能向第一网络功能发送指示信息，所述指示信息中包含以下至少一项：第一终端的相关信息，第二终端的相关信息，停止鉴权指示，鉴权指示；

所述指示信息用于所述第一网络功能执行或停止执行向第一终端发送第一认证相关信息，所述第一认证相关信息用于所述第一终端发送给所述第二终端。

第四方面，提供了一种设备鉴权方法，包括：

第三网络功能执行第二终端与所述第三网络功能间的认证过程，所述第二终端通过第一终端与所述第三网络功能执行所述认证过程。

第五方面，提供了一种设备鉴权方法，包括：

第二终端完成与第一终端之间的认证过程；

所述第二终端接收到来自第一终端的第一认证相关信息后，向所述第一终端发送携带第一标识的第二认证相关信息，其中，所述第一标识用于与网络侧执行认证过程。

第六方面，提供了一种设备鉴权装置，包括：

第一收发模块，用于接收网络侧发送的第一认证相关信息，并将所述第一认证相关信息发送给第二终端；

第二收发模块，用于接收所述第二终端发送的第二认证相关信息，并将所述第二认证相关信息发送给所述网络侧。

第七方面，提供了一种设备鉴权装置，包括：

第三收发模块，用于接收第二网络功能发送的指示信息，所述指示信息中包含以下至少一项：第一终端的相关信息，第二终端的相关信息，停止鉴权指示，鉴权指示；

第四收发模块，用于根据所述指示信息执行或停止执行第一操作，所述第一操作包含：

向第一终端发送第一认证相关信息，所述第一认证相关信息用于所述第一终端发送给所述第二终端；

接收所述第一终端发送的第二认证相关信息，所述第二认证相关信息为第一终端从所述第二终端接收的；

将所述第二认证相关信息发送给第三网络功能。

第八方面，提供了一种设备鉴权装置，包括：

第五收发模块，用于向第一网络功能发送指示信息，所述指示信息中包含以下至少一项：第一终端的相关信息，第二终端的相关信息，停止鉴权指示，鉴权指示；

所述指示信息用于所述第一网络功能执行或停止执行向第一终端发送第一认证相关信息，所述第一认证相关信息用于所述第一终端发送给所述第二终端。

第九方面，提供了一种设备鉴权装置，包括：

第一处理模块，用于执行第二终端与所述第三网络功能间的认证过程，所述第二终端通过第一终端与所述第三网络功能执行所述认证过程。

第十方面，提供了一种设备鉴权装置，包括：

第二处理模块，用于完成与第一终端之间的认证过程；

第六收发模块，用于接收到来自第一终端的第一认证相关信息，向所述第一终端发送携带第一标识的第二认证相关信息，其中，所述第一标识用于与网络侧执行认证过程。

第十一方面，提供了一种终端，该终端包括处理器和存储器，所述存储器存储可在所述处理器上运行的程序或指令，所述程序或指令被所述处理器执行时实现如第一方面或第五方面所述的方法的步骤。

第十二方面，提供了一种终端，包括处理器及通信接口，其中，所述通信接口用于接收网络侧发送的第一认证相关信息，并将所述第一认证相关信息发送给第二终端；接收所述第二终端发送的第二认证相关信息，并将所述第二认证相关信息发送给所述网络侧。

或者，所述处理器用于完成与第一终端之间的认证过程；所述通信接口用于接收到来自第一终端的第一认证相关信息后，向所述第一终端发送携带第一标识的第二认证相关信息，其中，所述第一标识用于与网络侧执行认证过程。

第十三方面，提供了一种网络功能，该网络功能包括处理器和存储器，所述存储器存储可在所述处理器上运行的程序或指令，所述程序或指令被所述处理器执行时实现如第二方面、第三方面或第四方面所述的方法的步骤。

第十四方面，提供了一种网络功能，包括处理器及通信接口，其中，所述通信接口用于接收第二网络功能发送的指示信息，所述指示信息中包含以下至少一项：第一终端的相关信息，第二终端的相关信息，停止鉴权指示，鉴权指示；根据所述指示信息执行或停止执行第一操作，所述第一操作包含：向第一终端发送第一认证相关信息，所述第一认证相关信息用于所述第一终端发送给所述第二终端；接收所述第一终端发送的第二认证相关信息，所述第二认证相关信息为第一终端从所述第二终端接收的；将所述第二认证相关信息发送给第三网络功能；

或者，所述通信接口用于向第一网络功能发送指示信息，所述指示信息中包含以下至少一项：第一终端的相关信息，第二终端的相关信息，停止鉴权指示，鉴权指示；所述指示信息用于所述第一网络功能执行或停止执行向第一终端发送第一认证相关信息，所述第一认证相关信息用于所述第一终端发送给所述第二终端；

或者，所述处理器用于执行第二终端与所述第三网络功能间的认证过程，所述第二终端通过第一终端与所述第三网络功能执行所述认证过程。

第十五方面，提供了一种设备鉴权系统，包括：终端及网络侧，所述终端包括第一终端和第二终端，所述网络侧包括第一网络功能、第二网络功能和第三网络功能，所述终端可用于执行如第一方面或第五方面所述的设备鉴权方法的步骤，所述网络侧可用于执行如第二方面、第三方面或第四方面所述的设备鉴权方法的步骤。

第十六方面，提供了一种可读存储介质，所述可读存储介质上存储程序或指令，所述程序或指令被处理器执行时实现如第一方面、第二方面、第三方面、第四方面或第五方面所述的方法的步骤。

第十七方面，提供了一种芯片，所述芯片包括处理器和通信接口，所述通信接口和所述处理器耦合，所述处理器用于运行程序或指令，实现如第一方面、第二方面、第三方面、第四方面或第五方面所述的方法的步骤。

第十八方面，提供了一种计算机程序/程序产品，所述计算机程序/程序产品被存储在存储介质中，所述计算机程序/程序产品被至少一个处理器执行以实现如第一方面、第二方面、第三方面、第四方面或第五方面所述的方法的步骤。

在本申请实施例中，第一终端接收网络侧发送的第一认证相关信息，并将所述第一认证相关信息发送给第二终端，所述第一终端接收所述第二终端发送的第二认证相关信息，并将所述第二认证相关信息发送给所述网络侧，从而实现通过第一终端(如个人物联网网关)对第二终端(如非3GPP终端，即不支持NAS协议过程的设备)进行鉴权。

附图说明

图1表示本申请实施例可应用的一种通信系统的结构图；

图2表示本申请实施例的设备鉴权方法的流程示意图之一；

图3表示本申请实施例的设备鉴权方法的流程示意图之二；

图4表示本申请实施例的设备鉴权方法的流程示意图之三；

图5表示本申请实施例的设备鉴权方法的流程示意图之四；

图6表示本申请实施例的设备鉴权方法的流程示意图之五；

图7表示本申请实施例的设备鉴权装置的模块示意图之一；

图8表示本申请实施例的设备鉴权装置的模块示意图之二；

图9表示本申请实施例的通信设备的结构框图；

图10表示本申请实施例的终端的结构框图；

图11表示本申请实施例的设备鉴权装置的模块示意图之三；

图12表示本申请实施例的设备鉴权装置的模块示意图之四；

图13表示本申请实施例的设备鉴权装置的模块示意图之五；

图14表示本申请实施例的网络功能的结构框图之一；

图15表示本申请实施例的网络功能的结构框图之二。

具体实施方式

下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚描述，显然，所描述的实施例是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员所获得的所有其他实施例，都属于本申请保护的范围。

本申请的说明书和权利要求书中的术语“第一”、“第二”等是用于区别类似的对象，而不用于描述特定的顺序或先后次序。应该理解这样使用的术语在适当情况下可以互换，以便本申请的实施例能够以除了在这里图示或描述的那些以外的顺序实施，且“第一”、“第二”所区别的对象通常为一类，并不限定对象的个数，例如第一对象可以是一个，也可以是多个。此外，说明书以及权利要求中“和/或”表示所连接对象的至少其中之一，字符“/”一般表示前后关联对象是一种“或”的关系。

值得指出的是，本申请实施例所描述的技术不限于长期演进型(Long TermEvolution，LTE)/LTE的演进(LTE-Advanced，LTE-A)系统，还可用于其他无线通信系统，诸如码分多址(Code Division Multiple Access，CDMA)、时分多址(Time DivisionMultiple Access，TDMA)、频分多址(Frequency Division Multiple Access，FDMA)、正交频分多址(Orthogonal Frequency Division Multiple Access，OFDMA)、单载波频分多址(Single-carrier Frequency Division Multiple Access，SC-FDMA)和其他系统。本申请实施例中的术语“系统”和“网络”常被可互换地使用，所描述的技术既可用于以上提及的系统和无线电技术，也可用于其他系统和无线电技术。以下描述出于示例目的描述了新空口(New Radio，NR)系统，并且在以下大部分描述中使用NR术语，但是这些技术也可应用于NR系统应用以外的应用，如第6代(6^th Generation，6G)通信系统。

需要说明的是，本申请中，网络侧也可以称为网络侧设备。

图1示出本申请实施例可应用的一种无线通信系统的框图。无线通信系统包括终端11和网络侧设备12。其中，终端11可以是手机、平板电脑(Tablet Personal Computer)、膝上型电脑(Laptop Computer)或称为笔记本电脑、个人数字助理(Personal DigitalAssistant，PDA)、掌上电脑、上网本、超级移动个人计算机(ultra-mobile personalcomputer，UMPC)、移动上网装置(Mobile Internet Device，MID)、增强现实(augmentedreality，AR)/虚拟现实(virtual reality，VR)设备、机器人、可穿戴式设备(WearableDevice)、车载设备(VUE)、行人终端(PUE)、智能家居(具有无线通信功能的家居设备，如冰箱、电视、洗衣机或者家具等)、游戏机、个人计算机(personal computer，PC)、柜员机或者自助机等终端侧设备，可穿戴式设备包括：智能手表、智能手环、智能耳机、智能眼镜、智能首饰(智能手镯、智能手链、智能戒指、智能项链、智能脚镯、智能脚链等)、智能腕带、智能服装等。需要说明的是，在本申请实施例并不限定终端11的具体类型。网络侧设备12可以包括接入网设备或核心网设备，其中，接入网设备12也可以称为无线接入网设备、无线接入网(Radio Access Network,RAN)、无线接入网功能或无线接入网单元。接入网设备12可以包括基站、WLAN接入点或WiFi节点等，基站可被称为节点B、演进节点B(eNB)、接入点、基收发机站(Base Transceiver Station，BTS)、无线电基站、无线电收发机、基本服务集(BasicService Set，BSS)、扩展服务集(Extended Service Set，ESS)、家用B节点、家用演进型B节点、发送接收点(Transmitting Receiving Point，TRP)或所述领域中其他某个合适的术语，只要达到相同的技术效果，所述基站不限于特定技术词汇，需要说明的是，在本申请实施例中仅以NR系统中的基站为例进行介绍，并不限定基站的具体类型。核心网设备可以包含但不限于如下至少一项：核心网节点、核心网功能、移动管理实体(Mobility ManagementEntity，MME)、接入移动管理功能(Access and Mobility Management Function，AMF)、会话管理功能(Session Management Function，SMF)、用户平面功能(User Plane Function，UPF)、策略控制功能(Policy Control Function，PCF)、策略与计费规则功能单元(Policyand Charging Rules Function，PCRF)、边缘应用服务发现功能(Edge ApplicationServer Discovery Function，EASDF)、统一数据管理(Unified Data Management，UDM)，统一数据仓储(Unified Data Repository，UDR)、归属用户服务器(Home SubscriberServer，HSS)、集中式网络配置(Centralized network configuration，CNC)、网络存储功能(Network Repository Function，NRF)，网络开放功能(Network Exposure Function，NEF)、本地NEF(Local NEF，或L-NEF)、绑定支持功能(Binding Support Function，BSF)、应用功能(Application Function，AF)等。需要说明的是，在本申请实施例中仅以NR系统中的核心网设备为例进行介绍，并不限定核心网设备的具体类型。

为使本领域技术人员能够更好地理解本申请实施例，先进行如下说明。

个人物联网(Personal IoT Network，PIN)：

PIN是一个由至少一个PIN元素(PIN Element，PINE)构成的组，其中至少一个PIN元素为一个终端(User Equipment，UE)。PIN元素之间彼此通信。两个PIN元素可以通过它们之间的直接连接进行通信，也可以通过通信网络进行间接通信。

一个PIN元素可以为一个3GPP设备(例如UE)或一个非3GPP设备。非3GPP设备指未使用3GPP定义的凭证的设备，不支持3GPP定义的NAS协议的设备，或者不支持3GPP接入技术(如3G/4G/5G空口技术)而只支持非3GPP接入技术(如WiFi，固网，蓝牙等接入技术)的设备。

一个PIN中可以有一个或多个具有网关能力的PIN元素(PIN Element WithGateway Capability，PEGC)。该PIN中的PIN元素互相之间可以直接交互通信或者通过PEGC进行通信。该PIN中的PIN元素和该PIN外的其他设备或应用服务器可以通过PEGC进行通信。PEGC的设备可以是不同类型的设备，例如，PEGC可以是智能家居场景中的网关，也可以是可穿戴设备场景中，作为可穿戴设备的网关的手机。

下面结合附图，通过一些实施例及其应用场景对本申请实施例提供的设备鉴权方法进行详细地说明。

如图2所示，本申请实施例提供了一种设备鉴权方法，包括：

步骤201：第一终端接收网络侧发送的第一认证相关信息，并将所述第一认证相关信息发送给第二终端。

上述第一终端为个人物联网中具有网关能力的终端，第二终端为非3GPP设备或者为个人物联网设备。可选地，上述第一终端也可以为家庭网关。

上述第一终端和第二终端之间建立有直连连接，所述直连连接包括以下一项：

非3GPP连接；

旁链路PC5/Sidelink连接；

WiFi连接；

蓝牙连接。

上述网络侧也可描述为第一网络功能，或者，能实现第一网络功能的设备，该第一网络功能可具体为接入和移动性管理功能(Access and Mobility Management Function，AMF)或会话管理功能(Session Management Function，SMF)。例如，上述第一认证相关信息由AMF或SMF发出，上述第二认证相关信息从第二终端发出后到达AMF或SMF。

步骤202：所述第一终端接收所述第二终端发送的第二认证相关信息，并将所述第二认证相关信息发送给所述网络侧。

本申请实施例中，第一终端接收网络侧发送的第一认证相关信息，并将所述第一认证相关信息发送给第二终端，所述第一终端接收所述第二终端发送的第二认证相关信息，并将所述第二认证相关信息发送给所述网络侧，从而实现通过第一终端(如个人物联网网关)对第二终端(如非3GPP终端，即不支持NAS协议过程的设备)进行鉴权的目的。

可选地，所述第一终端接收网络侧发送的第一认证相关信息之前，还执行以下至少一项：

所述第一终端与所述第二终端之间的认证过程；

所述第一终端为所述第二终端配置第一IP地址。

可选地，所述第一认证相关信息未做安全保护。

可选地，本申请实施例的方法，还包括：

在所述第一终端接收到所述网络侧发送的所述第一认证相关信息时，所述第一终端停止发起或停止执行所述第一终端与所述第二终端之间的认证过程。

具体的，在所述第一终端接收到所述网络侧发送的所述第一认证相关信息时，如果所述第一终端正在执行所述第一终端与所述第二终端之间的认证过程，则可继续执行本次认证过程，并在执行完本次认证过程后，停止执行或发起所述第一终端与所述第二终端之间的认证过程。

可选地，所述第一终端将所述第二认证相关信息发送给所述网络侧之后，还包括：

所述第一终端向所述第二终端发送第二IP地址，或者，所述第一终端不再执行为所述第二终端配置IP地址的操作。

可选地，所述第二IP地址为所述网络侧指示的，或者，所述第二IP地址为所述第二终端选择的。

这里，第二IP地址可以与第一IP地址相同。

可选地，所述第一认证相关信息或所述第二认证相关信息为使用可扩展的身份验证协议EAP协议的信息。

例如，上述第一认证相关信息可以具体为使用可扩展的身份验证协议请求-身份EAP-req/Identity消息，上述第二认证相关信息可以具体为EAP-res/Identity消息。

可选地，本申请实施例中，所述第一终端接收的所述网络侧发送的所述第一认证相关信息通过第一非接入层NAS消息承载，所述第一终端向所述网络侧发送的所述第二认证相关信息通过第二非接入层NAS消息承载；

所述第一终端向所述第二终端发送的所述第一认证相关信息不通过非接入层NAS消息承载，所述第一终端接收的所述第二终端发送的所述第二认证相关信息不通过非接入层NAS消息承载。

可选地，所述第一终端向所述第二终端发送的所述第一认证相关信息通过直连传输链路层协议或网络密钥交换协议IKE传输，所述第一终端接收的所述第二终端发送的所述第二认证相关信息通过直连传输链路层协议或网络密钥交换协议IKE传输。

例如，第一终端接收到的第一认证相关信息承载在NAS消息上，第一终端接收到的第二认证相关信息和向第二终端发送的第一认证相关信息承载在直连传输链路层协议上(数据报文的最外层IP协议栈之下的协议层，比如LAN网络二层协议，蓝牙连接二层协议，PC5协议)。

可选地，所述第一NAS消息中携带有所述第二终端的相关信息。

可选地，所述第二终端的相关信息包括以下至少一项：

控制面标识信息，例如，网络侧为第二终端分配的标识或第一终端为第二终端分配的标识，或第二终端配置的标识；

用户面标识信息。

所述用户面标识信息包括以下至少一项：

IP地址，该IP地址可具体为网络侧分配的或者为第一终端分配的；

IP地址和端口号；

MAC地址；

所述第一终端与所述第二终端的直连连接信息，可选地，该直连连接信息包括第一终端与第二终端的直连连接标识，比如MAC层之下的标识连接的信息，Link ID，Transaction ID等。

可选地，所述第一终端与所述第二终端之间的认证过程通过以下至少一项协议消息承载：

直连传输链路层协议(层2协议)；

网络密钥交换协议IKE，这里，可以先完成层2的认证再完成层3的通过IKE协议承载的认证。

本申请实施例中，第一终端接收网络侧发送的第一认证相关信息，并将所述第一认证相关信息发送给第二终端，所述第一终端接收所述第二终端发送的第二认证相关信息，并将所述第二认证相关信息发送给所述网络侧，从而实现通过第一终端(如个人物联网网关)对第二终端(如非3GPP终端，即不支持NAS协议过程的设备)进行鉴权的目的。

如图3所示，本申请实施例还提供了一种设备鉴权方法，包括：

步骤301：第一网络功能接收第二网络功能发送的指示信息，所述指示信息中包含以下至少一项：第一终端的相关信息，第二终端的相关信息，停止鉴权指示，鉴权指示。

上述第一网络功能也可描述为第一网元，该第一网络功能可具体为接入和移动性管理功能(Access and Mobility Management Function，AMF)或会话管理功能(SessionManagement Function，SMF)。

上述第二网络功能也可描述为第二网元，比如，该第二网络功能为网络开放功能(Network Exposure Function，NEF)或应用功能(Application Function，AF)。

上述第一终端为个人物联网中具有网关能力的终端，第二终端为非3GPP设备或者为个人物联网设备。可选地，上述第一终端也可以为家庭网关。

上述第一终端和第二终端之间建立有直连连接，所述直连连接包括以下一项：

非3GPP连接；

旁链路PC5/Sidelink连接；

WiFi连接；

蓝牙连接。

这里，第一网络功能根据该第一终端的相关信息和第二终端的相关信息中的至少一项，确定第一终端的标识信息。

步骤302：所述第一网络功能根据所述指示信息执行或停止执行第一操作。

例如，所述指示信息包含停止鉴权指示，则第一网络功能停止执行第一操作，或者，所述指示信息包含鉴权指示，则第一网络功能执行所述第一操作。

其中，所述第一操作包含：

向第一终端发送第一认证相关信息，所述第一认证相关信息用于所述第一终端发送给所述第二终端。

所述第一网络功能接收所述第一终端发送的第二认证相关信息，所述第二认证相关信息为第一终端从所述第二终端接收的。

所述第一网络功能将所述第二认证相关信息发送给第三网络功能。

这里的第三网络功能可具体为统一数据管理实体(Unified Data Management，UDM)、鉴权服务功能(Authentication Server Function，AUSF)或为验证、授权和记账(Authentication、Authorization、Accounting，AAA)设备。

本申请实施例中，第一网络功能接收第二网络功能发送的指示信息，以使所述第一网络功能能够根据所述指示信息，向第一终端发送第一认证相关信息，所述第一认证相关信息用于所述第一终端发送给所述第二终端，所述第一网络功能接收所述第一终端发送的第二认证相关信息，所述第二认证相关信息为第一终端从所述第二终端接收的，所述第一网络功能将所述第二认证相关信息发送给第三网络功能，从而实现了对第二终端(如非3GPP终端，即不支持NAS协议过程的设备)进行鉴权的目的。

可选地，在所述第一网络功能执行所述第一操作的情况下，所述第一网络功能还执行以下至少一项：

指示所述第三网络功能停止密钥派生或停止发送密钥信息；

停止发送密钥信息给所述第一终端。

可选地，本申请实施例的方法，在所述第一网络功能执行所述第一操作的情况下，还包括：

所述第一网络功能转发所述第二终端和所述第三网络功能之间的后续认证相关信息，所述后续认证相关信息用于执行所述第二终端和所述第三网络功能之间的认证。

可选地，所述第二终端的相关信息包括以下至少一项：

控制面标识信息；

用户面标识信息。

可选地，所述用户面标识信息包括以下至少一项：

IP地址；

IP地址和端口号；

MAC地址；

所述第一终端与所述第二终端的直连连接信息。

需要说明的是，该第二终端的相关信息已在上述第一终端侧的方法实施例中进行详细说明，此处不再赘述。

可选地，所述第一网络功能向所述第一终端发送的所述第一认证相关信息通过第一NAS消息承载，所述第一网络功能接收的所述第一终端发送的第二认证相关信息通过第二NAS消息承载。

可选地，所述第一NAS消息中携带有所述第二终端的相关信息。

可选地，所述第一认证相关信息或所述第二认证相关信息为EAP协议的信息。

可选地，所述第一认证相关信息用于请求第一终端的标识。

本申请实施例中，第一网络功能接收第二网络功能发送的指示信息，所述第一网络功能根据所述指示信息，执行或停止执行第一操作，例如，向第一终端发送第一认证相关信息，所述第一认证相关信息用于所述第一终端发送给所述第二终端，所述第一网络功能接收所述第一终端发送的第二认证相关信息，所述第二认证相关信息为第一终端从所述第二终端接收的，所述第一网络功能将所述第二认证相关信息发送给第三网络功能，从而实现了对第二终端(如非3GPP终端，即不支持NAS协议过程的设备)进行鉴权的目的。

如图4所示，本申请实施例还提供了一种设备鉴权方法，包括：

步骤401：第二网络功能向第一网络功能发送指示信息，所述指示信息中包含以下至少一项：第一终端的相关信息，第二终端的相关信息，停止鉴权指示，鉴权指示；

所述指示信息用于所述第一网络功能执行或停止执行向第一终端发送第一认证相关信息，所述第一认证相关信息用于所述第一终端发送给所述第二终端。

例如，所述指示信息中包含停止鉴权指示，则该指示信息用于第一网络功能停止执行向第一终端发送第一认证相关信息，又例如，所述指示信息中包含停止鉴权至少，则该指示信息用于第一网络功能执行向第一终端发送第一认证相关信息。

这里，第二网络功能向第一网络功能发送指示信息，以便于第一网络功能根据该指示信息确定第一终端的标识信息，从而向第一终端发送第一认证相关信息，并使得第一终端将该第一认证相关信息发送给第二终端。

本申请实施例中，上述第二网络功能为网络开放功能(Network ExposureFunction，NEF)或应用功能(Application Function，AF)。

上述第一终端为个人物联网中具有网关能力的终端，第二终端为非3GPP设备或者为个人物联网设备。可选地，上述第一终端也可以为家庭网关。

上述第一终端和第二终端之间建立有直连连接，所述直连连接包括以下一项：

非3GPP连接；

旁链路PC5/Sidelink连接；

WiFi连接；

蓝牙连接。

本申请实施例中，第二网络功能向第一网络功能发送指示信息，以便于第一网络功能根据该指示信息确定第一终端的标识信息，从而向第一终端发送第一认证相关信息，并使得第一终端将该第一认证相关信息发送给第二终端，以便于完成对第二终端(如非3GPP终端，即不支持NAS协议过程的设备)进行鉴权的目的。

可选地，所述第二认证相关信息为EAP的信息。

该第二认证相关信息已在上述实施例中进行详细描述，此处不再赘述。

本申请实施例中，第二网络功能向第一网络功能发送指示信息，以便于第一网络功能根据该指示信息确定第一终端的标识信息，从而向第一终端发送第一认证相关信息，并使得第一终端将该第一认证相关信息发送给第二终端，以便于完成对第二终端(如非3GPP终端，即不支持NAS协议过程的设备)进行鉴权的目的。

如图5所示，本申请实施例还提供了一种设备鉴权方法，包括：

步骤501：第三网络功能执行第二终端与所述第三网络功能间的认证过程，所述第二终端通过第一终端与所述第三网络功能执行所述认证过程。

上述第一终端为个人物联网中具有网关能力的终端，第二终端为非3GPP设备或者为个人物联网设备。可选地，上述第一终端也可以为家庭网关。

上述第一终端和第二终端之间建立有直连连接，所述直连连接包括以下一项：

非3GPP连接；

旁链路PC5/Sidelink连接；

WiFi连接；

蓝牙连接。

这里的第三网络功能可具体为统一数据管理实体(Unified Data Management，UDM)、鉴权服务功能(Authentication Server Function，AUSF)或为验证、授权和记账(Authentication、Authorization、Accounting，AAA)设备。

本申请实施例中，第三网络功能执行第二终端与所述第三网络功能间的认证过程，所述第二终端通过第一终端与所述第三网络功能执行所述认证过程，从而实现对第二终端(如非3GPP终端，即不支持NAS协议过程的设备)进行鉴权的目的。

可选地，所述第三网络功能在所述认证过程中或在所述认证过程成功后执行以下至少一项：

停止密钥派生；

停止发送密钥信息给所述第一网络功能。

可选地，所述第三网络功能在执行所述认证过程之前，还包括：

所述第三网络功能接收第一网络功能发送的第二认证相关信息，所述第二认证相关信息为所述第一网络功能从第一终端接收的，以及所述第一终端从第二终端接收的。

具体的，第一终端将第一认证相关信息发送给第二终端后，第二终端向第一终端发送第二认证相关信息，第一终端接收到第二终端发送的第二认证相关信息后，将该第二认证相关信息发送给第一网络功能，第一网络功能将该第二认证相关信息发送给第三网络功能。

可选地，所述第三网络功能执行所述第二终端与所述第三网络功能间的认证过程，包括：

所述第三网络功能基于以下至少一项，选择或使用EAP协议执行所述认证过程：

第一网络功能的信息，如第三网络功能基于来自SMF而非AMF的信息；

所述第二认证相关信息，如该第二认证相关信息使用EAP协议发送。

可选地，本申请实施例的方法，还包括：

所述第三网络功能接收来自第一网络功能的指示，所述第三网络功能根据所述指示在所述认证过程中或在所述认证过程成功后执行以下至少一项：

停止密钥派生；

停止发送密钥信息给所述第一网络功能；

所述指示包括以下至少一项：

第一网络功能的信息，与停止密钥派生或发送密钥信息相关的指示，所述第二认证相关信息。

可选地，所述第二认证相关信息为EAP协议的信息。

可选地，所述选择或使用EAP协议执行所述认证过程，包括：

在所述第二认证相关信息为EAP协议的信息时，选择EAP协议执行所述认证过程。

本申请实施例中，第三网络功能执行第二终端与所述第三网络功能间的认证过程，所述第二终端通过第一终端与所述第三网络功能执行所述认证过程，从而实现对第二终端(如非3GPP终端，即不支持NAS协议过程的设备)进行鉴权的目的。

如图6所示，本申请实施例还提供了一种设备鉴权方法，包括：

步骤601：第二终端完成与第一终端之间的认证过程。

步骤602：所述第二终端接收到来自第一终端的第一认证相关信息后，向所述第一终端发送携带第一标识的第二认证相关信息，其中，所述第一标识用于与网络侧执行认证过程。

本申请实施例中，上述第一终端为个人物联网中具有网关能力的终端，第二终端为非3GPP设备或者为个人物联网设备。可选地，上述第一终端也可以为家庭网关。

上述第一终端和第二终端之间建立有直连连接，所述直连连接包括以下一项：

非3GPP连接；

旁链路PC5/Sidelink连接；

WiFi连接；

蓝牙连接。

本申请实施例中，第二终端完成与第一终端之间的认证过程后，接收到来自第一终端的第一认证相关信息，向所述第一终端发送携带第一标识的第二认证相关信息，以便于后续网络侧基于该第一标识执行对第二终端的认证过程，从而实现对第二终端(如非3GPP终端，即不支持NAS协议过程的设备)进行鉴权的目的。

可选地，本申请实施例的方法，还包括：

所述第二终端在与网络侧执行认证的过程中或成功完成与网络侧的认证过程后停止密钥派生。

可选地，本申请实施例的方法，还包括：

所述第二终端使用第二标识完成与所述第一终端之间的认证过程。

该第二标识可以与第一标识相同，也可以不同。

可选地，本申请实施例的方法，还包括：

所述第二终端基于所述第一认证相关信息的安全保护情况，使用所述第一标识。

可选地，所述第二终端基于所述第一认证相关信息的安全保护情况，使用所述第一标识，包括：

在所述第一认证相关信息为做安全保护时，所述第二终端使用所述第一标识。

可选地，所述第一认证相关信息用于请求第一终端的标识。

本申请实施例中，第二终端完成与第一终端之间的认证过程后，接收到来自第一终端的第一认证相关信息，向所述第一终端发送携带第一标识的第二认证相关信息，以便于后续网络侧基于该第一标识执行对第二终端的认证过程，从而实现对第二终端(如非3GPP终端，即不支持NAS协议过程的设备)进行鉴权的目的。

本申请实施例提供的设备鉴权方法，执行主体可以为设备鉴权装置。本申请实施例中以设备鉴权装置执行设备鉴权方法为例，说明本申请实施例提供的设备鉴权装置。

如图7所示，本申请实施例提供了一种设备鉴权装置700，应用于第一终端，包括：

第一收发模块701，用于接收网络侧发送的第一认证相关信息，并将所述第一认证相关信息发送给第二终端；

第二收发模块702，用于接收所述第二终端发送的第二认证相关信息，并将所述第二认证相关信息发送给所述网络侧。

可选地，本申请实施例的装置，还包括：

第三处理模块，用于在第一收发模块接收网络侧发送的第一认证相关信息之前，还执行以下至少一项：

所述第一终端与所述第二终端之间的认证过程；

所述第一终端为所述第二终端配置第一IP地址。

可选地，所述第一认证相关信息未做安全保护。

可选地，本申请实施例的装置，还包括：

第四处理模块，用于在所述第一终端接收到所述网络侧发送的所述第一认证相关信息时，所述第一终端停止发起或停止执行所述第一终端与所述第二终端之间的认证过程。

可选地，本申请实施例的装置，还包括：

第五处理模块，用于第二收发模块将所述第二认证相关信息发送给所述网络侧之后，所述第一终端向所述第二终端发送第二IP地址，或者，所述第一终端不再执行为所述第二终端配置IP地址的操作。

可选地，所述第二IP地址为所述网络侧指示的，或者，所述第二IP地址为所述第二终端选择的。

可选地，所述第一认证相关信息或所述第二认证相关信息为使用可扩展的身份验证协议EAP协议的信息。

可选地，所述第一终端接收的所述网络侧发送的所述第一认证相关信息通过第一非接入层NAS消息承载，所述第一终端向所述网络侧发送的所述第二认证相关信息通过第二非接入层NAS消息承载；

所述第一终端向所述第二终端发送的所述第一认证相关信息不通过非接入层NAS消息承载，所述第一终端接收的所述第二终端发送的所述第二认证相关信息不通过非接入层NAS消息承载。

可选地，所述第一终端向所述第二终端发送的所述第一认证相关信息通过直连传输链路层协议或网络密钥交换协议IKE传输，所述第一终端接收的所述第二终端发送的所述第二认证相关信息通过直连传输链路层协议或网络密钥交换协议IKE传输。

可选地，所述第一NAS消息中携带有所述第二终端的相关信息。

可选地，所述第二终端的相关信息包括以下至少一项：

控制面标识信息；

用户面标识信息。

可选地，所述用户面标识信息包括以下至少一项：

IP地址；

IP地址和端口号；

MAC地址；

所述第一终端与所述第二终端的直连连接信息。

可选地，所述第一终端与所述第二终端之间的认证过程通过以下至少一项协议消息承载：

直连传输链路层协议；

网络密钥交换协议IKE。

可选地，所述第一终端和所述第二终端之间建立有直连连接，所述直连连接包括以下一项：

非3GPP连接；

旁链路PC5连接；

WiFi连接；

蓝牙连接。

可选地，所述第一终端为个人物联网中具有网关能力的终端，所述第二终端为非3GPP设备或者为个人物联网设备。

本申请实施例中，第一终端接收网络侧发送的第一认证相关信息，并将所述第一认证相关信息发送给第二终端，所述第一终端接收所述第二终端发送的第二认证相关信息，并将所述第二认证相关信息发送给所述网络侧，从而实现通过第一终端(如个人物联网网关)对第二终端(如非3GPP终端，即不支持NAS协议过程的设备)进行鉴权的目的。

如图8所示，本申请实施例还提供了一种设备鉴权装置800，应用于第二终端，该装置包括：

第二处理模块801，用于第二终端完成与第一终端之间的认证过程；

第六收发模块802，用于所述第二终端接收到来自第一终端的第一认证相关信息后，向所述第一终端发送携带第一标识的第二认证相关信息，其中，所述第一标识用于与网络侧执行认证过程。

可选地，本申请实施例的装置，还包括：

第六处理模块，用于所述第二终端在与网络侧执行认证的过程中或成功完成与网络侧的认证过程后停止密钥派生。

可选地，本申请实施例的装置，还包括：

第七处理模块，用于使用第二标识完成与所述第一终端之间的认证过程。

可选地，本申请实施例的装置，还包括：

第八处理模块，用于基于所述第一认证相关信息的安全保护情况，使用所述第一标识。

可选地，所述第八处理模块用于在所述第一认证相关信息为做安全保护时，所述第二终端使用所述第一标识。

可选地，所述第一认证相关信息用于请求第一终端的标识。

本申请实施例中，第二终端完成与第一终端之间的认证过程后，接收到来自第一终端的第一认证相关信息，向所述第一终端发送携带第一标识的第二认证相关信息，以便于后续网络侧基于该第一标识执行对第二终端的认证过程，从而实现对第二终端(如非3GPP终端，即不支持NAS协议过程的设备)进行鉴权的目的。

本申请实施例中的设备鉴权装置可以是电子设备，例如具有操作系统的电子设备，也可以是电子设备中的部件，例如集成电路或芯片。该电子设备可以是终端，也可以为除终端之外的其他设备。示例性的，终端可以包括但不限于上述所列举的终端11的类型，其他设备可以为服务器、网络附属存储器(Network Attached Storage，NAS)等，本申请实施例不作具体限定。

本申请实施例提供的设备鉴权装置能够实现图2或图6的方法实施例实现的各个过程，并达到相同的技术效果，为避免重复，这里不再赘述。

可选的，如图9所示，本申请实施例还提供一种通信设备900，包括处理器901和存储器902，存储器902上存储有可在所述处理器901上运行的程序或指令，例如，该通信设备900为第一终端时，该程序或指令被处理器901执行时实现上述应用于第一终端的设备鉴权方法实施例的各个步骤，且能达到相同的技术效果。该通信设备900为第二终端时，该程序或指令被处理器901执行时实现上述应用于第二终端的设备鉴权方法实施例的各个步骤，且能达到相同的技术效果。该通信设备900为网络功能(如第一网络功能、第二网络功能或第三网络功能)时，该程序或指令被处理器901执行时实现上述应用于网络功能的设备鉴权方法实施例的各个步骤，且能达到相同的技术效果，为避免重复，这里不再赘述。

本申请实施例还提供一种终端，包括处理器和通信接口，通信接口用于接收网络侧发送的第一认证相关信息，并将所述第一认证相关信息发送给第二终端；接收所述第二终端发送的第二认证相关信息，并将所述第二认证相关信息发送给所述网络侧。

本申请实施例还提供了一种终端，包括处理器和通信接口，处理器用于完成与第一终端之间的认证过程；通信接口用于接收到来自第一终端的第一认证相关信息后，向所述第一终端发送携带第一标识的第二认证相关信息，其中，所述第一标识用于与网络侧执行认证过程。

该终端实施例与上述终端侧方法实施例对应，上述方法实施例的各个实施过程和实现方式均可适用于该终端实施例中，且能达到相同的技术效果。具体地，图10为实现本申请实施例的一种终端的硬件结构示意图。

该终端1000包括但不限于：射频单元1001、网络模块1002、音频输出单元1003、输入单元1004、传感器1005、显示单元1006、用户输入单元1007、接口单元1008、存储器1009以及处理器1010等中的至少部分部件。

本领域技术人员可以理解，终端1000还可以包括给各个部件供电的电源(比如电池)，电源可以通过电源管理系统与处理器1010逻辑相连，从而通过电源管理系统实现管理充电、放电、以及功耗管理等功能。图10中示出的终端结构并不构成对终端的限定，终端可以包括比图示更多或更少的部件，或者组合某些部件，或者不同的部件布置，在此不再赘述。

应理解的是，本申请实施例中，输入单元1004可以包括图形处理单元(GraphicsProcessing Unit，GPU)10041和麦克风10042，图形处理器10041对在视频捕获模式或图像捕获模式中由图像捕获装置(如摄像头)获得的静态图片或视频的图像数据进行处理。显示单元1006可包括显示面板10061，可以采用液晶显示器、有机发光二极管等形式来配置显示面板10061。用户输入单元1007包括触控面板10071以及其他输入设备10072中的至少一种。触控面板10071，也称为触摸屏。触控面板10071可包括触摸检测装置和触摸控制器两个部分。其他输入设备10072可以包括但不限于物理键盘、功能键(比如音量控制按键、开关按键等)、轨迹球、鼠标、操作杆，在此不再赘述。

本申请实施例中，射频单元1001接收来自网络侧设备的下行数据后，可以传输给处理器1010进行处理；另外，射频单元1001可以向网络侧设备发送上行数据。通常，射频单元1001包括但不限于天线、放大器、收发信机、耦合器、低噪声放大器、双工器等。

存储器1009可用于存储软件程序或指令以及各种数据。存储器1009可主要包括存储程序或指令的第一存储区和存储数据的第二存储区，其中，第一存储区可存储操作系统、至少一个功能所需的应用程序或指令(比如声音播放功能、图像播放功能等)等。此外，存储器1009可以包括易失性存储器或非易失性存储器，或者，存储器1009可以包括易失性和非易失性存储器两者。其中，非易失性存储器可以是只读存储器(Read-Only Memory，ROM)、可编程只读存储器(Programmable ROM，PROM)、可擦除可编程只读存储器(Erasable PROM，EPROM)、电可擦除可编程只读存储器(Electrically EPROM，EEPROM)或闪存。易失性存储器可以是随机存取存储器(Random Access Memory，RAM)，静态随机存取存储器(Static RAM，SRAM)、动态随机存取存储器(Dynamic RAM，DRAM)、同步动态随机存取存储器(SynchronousDRAM，SDRAM)、双倍数据速率同步动态随机存取存储器(Double Data Rate SDRAM，DDRSDRAM)、增强型同步动态随机存取存储器(Enhanced SDRAM，ESDRAM)、同步连接动态随机存取存储器(Synch link DRAM，SLDRAM)和直接内存总线随机存取存储器(DirectRambus RAM，DRRAM)。本申请实施例中的存储器1009包括但不限于这些和任意其它适合类型的存储器。

处理器1010可包括一个或多个处理单元；可选的，处理器1010集成应用处理器和调制解调处理器，其中，应用处理器主要处理涉及操作系统、用户界面和应用程序等的操作，调制解调处理器主要处理无线通信信号，如基带处理器。可以理解的是，上述调制解调处理器也可以不集成到处理器1010中。

在本申请的一实施例中，射频单元1001，用于接收网络侧发送的第一认证相关信息，并将所述第一认证相关信息发送给第二终端；接收所述第二终端发送的第二认证相关信息，并将所述第二认证相关信息发送给所述网络侧。

可选地，处理器1010用于执行以下至少一项：

所述第一终端与所述第二终端之间的认证过程；

所述第一终端为所述第二终端配置第一IP地址。

可选地，所述第一认证相关信息未做安全保护。

可选地，处理器1010用于在所述第一终端接收到所述网络侧发送的所述第一认证相关信息时，停止发起或停止执行所述第一终端与所述第二终端之间的认证过程。

可选地，处理器1010用于通过射频单元向所述第二终端发送第二IP地址，或者，所述不再执行为所述第二终端配置IP地址的操作。

可选地，所述第二IP地址为所述网络侧指示的，或者，所述第二IP地址为所述第二终端选择的。

可选地，所述第一认证相关信息或所述第二认证相关信息为使用可扩展的身份验证协议EAP协议的信息。

可选地，所述第一终端接收的所述网络侧发送的所述第一认证相关信息通过第一非接入层NAS消息承载，所述第一终端向所述网络侧发送的所述第二认证相关信息通过第二非接入层NAS消息承载；

所述第一终端向所述第二终端发送的所述第一认证相关信息不通过非接入层NAS消息承载，所述第一终端接收的所述第二终端发送的所述第二认证相关信息不通过非接入层NAS消息承载。

可选地，所述第一终端向所述第二终端发送的所述第一认证相关信息通过直连传输链路层协议或网络密钥交换协议IKE传输，所述第一终端接收的所述第二终端发送的所述第二认证相关信息通过直连传输链路层协议或网络密钥交换协议IKE传输。

可选地，所述第一NAS消息中携带有所述第二终端的相关信息。

可选地，所述第二终端的相关信息包括以下至少一项：

控制面标识信息；

用户面标识信息。

可选地，所述用户面标识信息包括以下至少一项：

IP地址；

IP地址和端口号；

MAC地址；

所述第一终端与所述第二终端的直连连接信息。

可选地，所述第一终端与所述第二终端之间的认证过程通过以下至少一项协议消息承载：

直连传输链路层协议；

网络密钥交换协议IKE。

可选地，所述第一终端和所述第二终端之间建立有直连连接，所述直连连接包括以下一项：

非3GPP连接；

旁链路PC5连接；

WiFi连接；

蓝牙连接。

可选地，所述第一终端为个人物联网中具有网关能力的终端，所述第二终端为非3GPP设备或者为个人物联网设备。

在本申请的又一实施例中，处理器1010用于完成与第一终端之间的认证过程；射频单元1001用于接收到来自第一终端的第一认证相关信息后，向所述第一终端发送携带第一标识的第二认证相关信息，其中，所述第一标识用于与网络侧执行认证过程。

可选地，处理器1010用于在与网络侧执行认证的过程中或成功完成与网络侧的认证过程后停止密钥派生。

可选地，处理器1010用于使用第二标识完成与所述第一终端之间的认证过程。

可选地，处理器1010用于基于所述第一认证相关信息的安全保护情况，使用所述第一标识。

可选地，处理器1010用于在所述第一认证相关信息为做安全保护时，所述第二终端使用所述第一标识。

可选地，所述第一认证相关信息用于请求第一终端的标识。

本申请实施例中，第一终端接收网络侧发送的第一认证相关信息，并将所述第一认证相关信息发送给第二终端，所述第一终端接收所述第二终端发送的第二认证相关信息，并将所述第二认证相关信息发送给所述网络侧，从而实现通过第一终端(如个人物联网网关)对第二终端(如非3GPP终端，即不支持NAS协议过程的设备)进行鉴权的目的。

如图11所示，本申请实施例还提供了一种设备鉴权装置1100，应用于第一网络功能，该装置包括：

第三收发模块1101，用于接收第二网络功能发送的指示信息，所述指示信息中包含以下至少一项：第一终端的相关信息，第二终端的相关信息，停止鉴权指示，鉴权指示；

第四收发模块1102，用于根据所述指示信息执行或停止执行第一操作，所述第一操作包含：

向第一终端发送第一认证相关信息，所述第一认证相关信息用于所述第一终端发送给所述第二终端；

接收所述第一终端发送的第二认证相关信息，所述第二认证相关信息为第一终端从所述第二终端接收的；

将所述第二认证相关信息发送给第三网络功能。

可选地，本申请实施例的装置，还包括：

第九处理模块用于在第四收发模块执行所述第一操作的情况下，执行以下至少一项：

指示所述第三网络功能停止密钥派生或停止发送密钥信息；

停止发送密钥信息给所述第一终端。

可选地，本申请实施例的装置，还包括：

第一转发模块，用于在第四收发模块执行所述第一操作的情况下，转发所述第二终端和所述第三网络功能之间的后续认证相关信息，所述后续认证相关信息用于执行所述第二终端和所述第三网络功能之间的认证。

可选地，所述第二终端的相关信息包括以下至少一项：

控制面标识信息；

用户面标识信息。

可选地，所述用户面标识信息包括以下至少一项：

IP地址；

IP地址和端口号；

MAC地址；

所述第一终端与所述第二终端的直连连接信息。

可选地，所述第一网络功能向所述第一终端发送的所述第一认证相关信息通过第一NAS消息承载，所述第一网络功能接收的所述第一终端发送的第二认证相关信息通过第二NAS消息承载。

可选地，所述第一NAS消息中携带有所述第二终端的相关信息。

可选地，所述第一认证相关信息或所述第二认证相关信息为EAP协议的信息。

可选地，所述第一认证相关信息用于请求第一终端的标识。

本申请实施例中，第一网络功能接收第二网络功能发送的指示信息，以使所述第一网络功能能够根据所述指示信息，向第一终端发送第一认证相关信息，所述第一认证相关信息用于所述第一终端发送给所述第二终端，所述第一网络功能接收所述第一终端发送的第二认证相关信息，所述第二认证相关信息为第一终端从所述第二终端接收的，所述第一网络功能将所述第二认证相关信息发送给第三网络功能，从而实现了对第二终端(如非3GPP终端，即不支持NAS协议过程的设备)进行鉴权的目的。

如图12所示，本申请实施例还提供了一种设备鉴权装置1200，应用于第二网络功能，该装置包括：

第五收发模块1201，用于向第一网络功能发送指示信息，所述指示信息中包含以下至少一项：第一终端的相关信息，第二终端的相关信息，停止鉴权指示，鉴权指示；

所述指示信息用于所述第一网络功能执行或停止执行向第一终端发送第一认证相关信息，所述第一认证相关信息用于所述第一终端发送给所述第二终端。

可选地，本申请实施例的装置，还包括：第一确定模块，用于确定所述指示信息。

可选地，所述第一认证相关信息为EAP的信息。

本申请实施例中，第二网络功能向第一网络功能发送指示信息，以便于第一网络功能根据该指示信息确定第一终端的标识信息，从而向第一终端发送第一认证相关信息，并使得第一终端将该第一认证相关信息发送给第二终端，以便于完成对第二终端(如非3GPP终端，即不支持NAS协议过程的设备)进行鉴权的目的。

如图13所示，本申请实施例还提供了一种设备鉴权装置1300，应用于第三网络功能，包括：

第一处理模块1301，用于执行第二终端与所述第三网络功能间的认证过程，所述第二终端通过第一终端与所述第三网络功能执行所述认证过程。

可选地，所述第三网络功能在所述认证过程中或在所述认证过程成功后执行以下至少一项：

停止密钥派生；

停止发送密钥信息给所述第一网络功能。

可选地，本申请实施例的装置，还包括：

第七收发模块，用于接收第一网络功能发送的第二认证相关信息，所述第二认证相关信息为所述第一网络功能从第一终端接收的，以及所述第一终端从第二终端接收的。

可选地，所述第一处理模块用于基于以下至少一项，选择或使用EAP协议执行所述认证过程：

第一网络功能的信息；

所述第二认证相关信息。

可选地，所述第二认证相关信息为EAP协议的信息。

可选地，本申请实施例的方法，还包括：

第八收发模块，用于接收来自第一网络功能的指示；

第十处理模块，用于根据所述指示在所述认证过程中或在所述认证过程成功后执行以下至少一项：

停止密钥派生；

停止发送密钥信息给所述第一网络功能；

所述指示包括以下至少一项：

第一网络功能的信息，与停止密钥派生或发送密钥信息相关的指示，所述第二认证相关信息。

可选地，所述第一处理模块用于在所述第二认证相关信息为EAP协议的信息时，选择EAP协议执行所述认证过程。

本申请实施例中，第三网络功能执行第二终端与所述第三网络功能间的认证过程，所述第二终端通过第一终端与所述第三网络功能执行所述认证过程，从而实现对第二终端(如非3GPP终端，即不支持NAS协议过程的设备)进行鉴权的目的。

本申请实施例还提供一种网络功能(也可描述为网络侧设备)，包括处理器和通信接口，通信接口用于接收第二网络功能发送的指示信息，所述指示信息中包含以下至少一项：第一终端的相关信息，第二终端的相关信息，停止鉴权指示，鉴权指示；根据所述指示信息执行或停止执行第一操作，所述第一操作包含：向第一终端发送第一认证相关信息，所述第一认证相关信息用于所述第一终端发送给所述第二终端；接收所述第一终端发送的第二认证相关信息，所述第二认证相关信息为第一终端从所述第二终端接收的；将所述第二认证相关信息发送给第三网络功能。

或者，所述通信接口用于向第一网络功能发送指示信息，所述指示信息中包含以下至少一项：第一终端的相关信息，第二终端的相关信息，停止鉴权指示，鉴权指示；所述指示信息用于所述第一网络功能执行或停止执行向第一终端发送第一认证相关信息，所述第一认证相关信息用于所述第一终端发送给所述第二终端。

或者，所述处理器用于执行第二终端与所述第三网络功能间的认证过程，所述第二终端通过第一终端与所述第三网络功能执行所述认证过程。

该网络功能实施例与上述网络功能方法实施例对应，上述方法实施例的各个实施过程和实现方式均可适用于该网络功能实施例中，且能达到相同的技术效果。

具体地，本申请实施例还提供了一种网络功能(即上述第一网络功能、第二网络功能或第三网络功能)，如图14所示，该网络功能1400包括：天线141、射频装置142、基带装置143、处理器144和存储器145。天线141与射频装置142连接。在上行方向上，射频装置142通过天线141接收信息，将接收的信息发送给基带装置143进行处理。在下行方向上，基带装置143对要发送的信息进行处理，并发送给射频装置142，射频装置142对收到的信息进行处理后经过天线141发送出去。

以上实施例中网络功能执行的方法可以在基带装置143中实现，该基带装置143包括基带处理器。

基带装置143例如可以包括至少一个基带板，该基带板上设置有多个芯片，如图14所示，其中一个芯片例如为基带处理器，通过总线接口与存储器145连接，以调用存储器145中的程序，执行以上方法实施例中所示的网络设备操作。

该网络功能还可以包括网络接口146，该接口例如为通用公共无线接口(commonpublic radio interface，CPRI)。

具体地，本发明实施例的网络功能1400还包括：存储在存储器145上并可在处理器144上运行的指令或程序，处理器144调用存储器145中的指令或程序执行图11、12或13所示各模块执行的方法，并达到相同的技术效果，为避免重复，故不在此赘述。

具体地，本申请实施例还提供了一种网络功能(上述第一网络功能、第二网络功能或第三网络功能)。如图15所示，该网络功能1500包括：处理器1501、网络接口1502和存储器1503。其中，网络接口1502例如为通用公共无线接口(common public radio interface，CPRI)。

具体地，本发明实施例的网络功能1500还包括：存储在存储器1503上并可在处理器1501上运行的指令或程序，处理器1501调用存储器1503中的指令或程序执行图11、12或13所示各模块执行的方法，并达到相同的技术效果，为避免重复，故不在此赘述。

本申请实施例还提供一种可读存储介质，所述可读存储介质上存储有程序或指令，该程序或指令被处理器执行时实现上述设备鉴权方法实施例的各个过程，且能达到相同的技术效果，为避免重复，这里不再赘述。

其中，所述处理器为上述实施例中所述的终端中的处理器。所述可读存储介质，包括计算机可读存储介质，如计算机只读存储器ROM、随机存取存储器RAM、磁碟或者光盘等。

本申请实施例另提供了一种芯片，所述芯片包括处理器和通信接口，所述通信接口和所述处理器耦合，所述处理器用于运行程序或指令，实现上述设备鉴权方法实施例的各个过程，且能达到相同的技术效果，为避免重复，这里不再赘述。

应理解，本申请实施例提到的芯片还可以称为系统级芯片，系统芯片，芯片系统或片上系统芯片等。

本申请实施例另提供了一种计算机程序/程序产品，所述计算机程序/程序产品被存储在存储介质中，所述计算机程序/程序产品被至少一个处理器执行以实现上述设备鉴权方法实施例的各个过程，且能达到相同的技术效果，为避免重复，这里不再赘述。

本申请实施例还提供了一种设备鉴权系统，包括：终端及网络侧，所述终端包括第一终端和第二终端，所述网络侧包括第一网络功能、第二网络功能和第三网络功能，所述终端可用于执行如上所述的应用于第一终端或第二终端的设备鉴权方法的步骤，所述网络侧中的各个网络功能可用于执行如上所述的应用于第一网络功能、第二网络功能或第三网络功能的设备鉴权方法的步骤。

需要说明的是，在本文中，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者装置不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者装置所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括该要素的过程、方法、物品或者装置中还存在另外的相同要素。此外，需要指出的是，本申请实施方式中的方法和装置的范围不限按示出或讨论的顺序来执行功能，还可包括根据所涉及的功能按基本同时的方式或按相反的顺序来执行功能，例如，可以按不同于所描述的次序来执行所描述的方法，并且还可以添加、省去、或组合各种步骤。另外，参照某些示例所描述的特征可在其他示例中被组合。

通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到上述实施例方法可借助软件加必需的通用硬件平台的方式来实现，当然也可以通过硬件，但很多情况下前者是更佳的实施方式。基于这样的理解，本申请的技术方案本质上或者说对现有技术做出贡献的部分可以以计算机软件产品的形式体现出来，该计算机软件产品存储在一个存储介质(如ROM/RAM、磁碟、光盘)中，包括若干指令用以使得一台终端(可以是手机，计算机，服务器，空调器，或者网络设备等)执行本申请各个实施例所述的方法。

上面结合附图对本申请的实施例进行了描述，但是本申请并不局限于上述的具体实施方式，上述的具体实施方式仅仅是示意性的，而不是限制性的，本领域的普通技术人员在本申请的启示下，在不脱离本申请宗旨和权利要求所保护的范围情况下，还可做出很多形式，均属于本申请的保护之内。

Claims (47)

1.一种设备鉴权方法，其特征在于，包括：

第一终端接收网络侧发送的第一认证相关信息，并将所述第一认证相关信息发送给第二终端；

所述第一终端接收所述第二终端发送的第二认证相关信息，并将所述第二认证相关信息发送给所述网络侧。

2.根据权利要求1所述的方法，其特征在于，所述第一终端接收网络侧发送的第一认证相关信息之前，还执行以下至少一项：

所述第一终端与所述第二终端之间的认证过程；

所述第一终端为所述第二终端配置第一IP地址。

3.根据权利要求1所述的方法，其特征在于，所述第一认证相关信息未做安全保护。

4.根据权利要求1所述的方法，其特征在于，还包括：

在所述第一终端接收到所述网络侧发送的所述第一认证相关信息时，所述第一终端停止发起或停止执行所述第一终端与所述第二终端之间的认证过程。

5.根据权利要求1所述的方法，其特征在于，所述第一终端将所述第二认证相关信息发送给所述网络侧之后，还包括：

所述第一终端向所述第二终端发送第二IP地址，或者，所述第一终端不再执行为所述第二终端配置IP地址的操作。

6.根据权利要求5所述的方法，其特征在于，所述第二IP地址为所述网络侧指示的，或者，所述第二IP地址为所述第二终端选择的。

7.根据权利要求1所述的方法，其特征在于，所述第一认证相关信息或所述第二认证相关信息为使用可扩展的身份验证协议EAP协议的信息。

8.根据权利要求1所述的方法，其特征在于，

所述第一终端接收的所述网络侧发送的所述第一认证相关信息通过第一非接入层NAS消息承载，所述第一终端向所述网络侧发送的所述第二认证相关信息通过第二非接入层NAS消息承载；

所述第一终端向所述第二终端发送的所述第一认证相关信息不通过非接入层NAS消息承载，所述第一终端接收的所述第二终端发送的所述第二认证相关信息不通过非接入层NAS消息承载。

9.根据权利要求1所述的方法，其特征在于，所述第一终端向所述第二终端发送的所述第一认证相关信息通过直连传输链路层协议或网络密钥交换协议IKE传输，所述第一终端接收的所述第二终端发送的所述第二认证相关信息通过直连传输链路层协议或网络密钥交换协议IKE传输。

10.根据权利要求8所述的方法，其特征在于，所述第一NAS消息中携带有所述第二终端的相关信息。

11.根据权利要求10所述的方法，其特征在于，所述第二终端的相关信息包括以下至少一项：

控制面标识信息；

用户面标识信息。

12.根据权利要求11所述的方法，其特征在于，所述用户面标识信息包括以下至少一项：

IP地址；

IP地址和端口号；

MAC地址；

所述第一终端与所述第二终端的直连连接信息。

13.根据权利要求2所述的方法，其特征在于，所述第一终端与所述第二终端之间的认证过程通过以下至少一项协议消息承载：

直连传输链路层协议；

网络密钥交换协议IKE。

14.根据权利要求1所述的方法，其特征在于，所述第一终端和所述第二终端之间建立有直连连接，所述直连连接包括以下一项：

非3GPP连接；

旁链路PC5连接；

WiFi连接；

蓝牙连接。

15.根据权利要求1所述的方法，其特征在于，所述第一终端为个人物联网中具有网关能力的终端，所述第二终端为非3GPP设备或者为个人物联网设备。

16.一种设备鉴权方法，其特征在于，包括：

第一网络功能接收第二网络功能发送的指示信息，所述指示信息中包含以下至少一项：第一终端的相关信息，第二终端的相关信息，停止鉴权指示，鉴权指示；

所述第一网络功能根据所述指示信息执行或停止执行第一操作，所述第一操作包含：

向第一终端发送第一认证相关信息，所述第一认证相关信息用于所述第一终端发送给所述第二终端；

所述第一网络功能接收所述第一终端发送的第二认证相关信息，所述第二认证相关信息为第一终端从所述第二终端接收的；

所述第一网络功能将所述第二认证相关信息发送给第三网络功能。

17.根据权利要求16所述的方法，其特征在于，在所述第一网络功能执行所述第一操作的情况下，所述第一网络功能还执行以下至少一项：

指示所述第三网络功能停止密钥派生或停止发送密钥信息；

停止发送密钥信息给所述第一终端。

18.根据权利要求16所述的方法，其特征在于，在所述第一网络功能执行所述第一操作的情况下，还包括：

所述第一网络功能转发所述第二终端和所述第三网络功能之间的后续认证相关信息，所述后续认证相关信息用于执行所述第二终端和所述第三网络功能之间的认证。

19.根据权利要求16所述的方法，其特征在于，所述第二终端的相关信息包括以下至少一项：

控制面标识信息；

用户面标识信息。

20.根据权利要求19所述的方法，其特征在于，所述用户面标识信息包括以下至少一项：

IP地址；

IP地址和端口号；

MAC地址；

所述第一终端与所述第二终端的直连连接信息。

21.根据权利要求16所述的方法，其特征在于，所述第一网络功能向所述第一终端发送的所述第一认证相关信息通过第一NAS消息承载，所述第一网络功能接收的所述第一终端发送的第二认证相关信息通过第二NAS消息承载。

22.根据权利要求21所述的方法，其特征在于，所述第一NAS消息中携带有所述第二终端的相关信息。

23.根据权利要求16所述的方法，其特征在于，所述第一认证相关信息或所述第二认证相关信息为EAP协议的信息。

24.根据权利要求16所述的方法，其特征在于，所述第一认证相关信息用于请求第一终端的标识。

25.一种设备鉴权方法，其特征在于，包括：

第二网络功能向第一网络功能发送指示信息，所述指示信息中包含以下至少一项：第一终端的相关信息，第二终端的相关信息，停止鉴权指示，鉴权指示；

所述指示信息用于所述第一网络功能执行或停止执行向第一终端发送第一认证相关信息，所述第一认证相关信息用于所述第一终端发送给所述第二终端。

26.根据权利要求25所述的方法，其特征在于，所述第一认证相关信息为EAP的信息。

27.一种设备鉴权方法，其特征在于，包括：

第三网络功能执行第二终端与所述第三网络功能间的认证过程，所述第二终端通过第一终端与所述第三网络功能执行所述认证过程。

28.根据权利要求27所述的方法，其特征在于，所述第三网络功能在所述认证过程中或在所述认证过程成功后执行以下至少一项：

停止密钥派生；

停止发送密钥信息给第一网络功能。

29.根据权利要求27所述的方法，其特征在于，所述第三网络功能在执行所述认证过程之前，还包括：

所述第三网络功能接收第一网络功能发送的第二认证相关信息，所述第二认证相关信息为所述第一网络功能从第一终端接收的，以及所述第一终端从第二终端接收的。

30.根据权利要求29所述的方法，其特征在于，所述第三网络功能执行所述第二终端与所述第三网络功能间的认证过程，包括：

所述第三网络功能基于以下至少一项，选择或使用EAP协议执行所述认证过程：

第一网络功能的信息；

所述第二认证相关信息。

31.根据权利要求27或29所述的方法，其特征在于，还包括：

所述第三网络功能接收来自第一网络功能的指示，所述第三网络功能根据所述指示在所述认证过程中或在所述认证过程成功后执行以下至少一项：

停止密钥派生；

停止发送密钥信息给所述第一网络功能；

所述指示包括以下至少一项：

第一网络功能的信息，与停止密钥派生或发送密钥信息相关的指示，所述第二认证相关信息。

32.根据权利要求29或31所述的方法，其特征在于，所述第二认证相关信息为EAP协议的信息。

33.根据权利要求30所述的方法，其特征在于，所述选择或使用EAP协议执行所述认证过程，包括：

在所述第二认证相关信息为EAP协议的信息时，选择EAP协议执行所述认证过程。

34.一种设备鉴权方法，其特征在于，包括：

第二终端完成与第一终端之间的认证过程；

所述第二终端接收到来自第一终端的第一认证相关信息后，向所述第一终端发送携带第一标识的第二认证相关信息，其中，所述第一标识用于与网络侧执行认证过程。

35.根据权利要求34所述的方法，其特征在于，还包括：

所述第二终端在与网络侧执行认证的过程中或成功完成与网络侧的认证过程后停止密钥派生。

36.根据权利要求34所述的方法，其特征在于，还包括：

所述第二终端使用第二标识完成与所述第一终端之间的认证过程。

37.根据权利要求34所述的方法，其特征在于，还包括：

所述第二终端基于所述第一认证相关信息的安全保护情况，使用所述第一标识。

38.根据权利要求37所述的方法，其特征在于，所述第二终端基于所述第一认证相关信息的安全保护情况，使用所述第一标识，包括：

在所述第一认证相关信息为做安全保护时，所述第二终端使用所述第一标识。

39.根据权利要求34所述的方法，其特征在于，所述第一认证相关信息用于请求第一终端的标识。

40.一种设备鉴权装置，其特征在于，包括：

第一收发模块，用于接收第一网络功能发送的第一认证相关信息，并将所述第一认证相关信息发送给第二终端；

第二收发模块，用于接收所述第二终端发送的第二认证相关信息，并将所述第二认证相关信息发送给所述第一网络功能。

41.一种设备鉴权装置，其特征在于，包括：

第三收发模块，用于接收第二网络功能发送的指示信息，所述指示信息中包含以下至少一项：第一终端的相关信息，第二终端的相关信息，停止鉴权指示，鉴权指示；

第四收发模块，用于根据所述指示信息执行或停止执行第一操作，所述第一操作包含：

向第一终端发送第一认证相关信息，所述第一认证相关信息用于所述第一终端发送给所述第二终端；

接收所述第一终端发送的第二认证相关信息，所述第二认证相关信息为第一终端从所述第二终端接收的；

将所述第二认证相关信息发送给第三网络功能。

42.一种设备鉴权装置，其特征在于，包括：

第五收发模块，用于向第一网络功能发送指示信息，所述指示信息中包含以下至少一项：第一终端的相关信息，第二终端的相关信息，停止鉴权指示，鉴权指示；

所述指示信息用于所述第一网络功能执行或停止执行向第一终端发送第一认证相关信息，所述第一认证相关信息用于所述第一终端发送给所述第二终端。

43.一种设备鉴权装置，其特征在于，包括：

第一处理模块，用于执行第二终端与第三网络功能间的认证过程，所述第二终端通过第一终端与所述第三网络功能执行所述认证过程。

44.一种设备鉴权装置，其特征在于，包括：

第二处理模块，用于完成与第一终端之间的认证过程；

第六收发模块，用于接收到来自第一终端的第一认证相关信息，向所述第一终端发送携带第一标识的第二认证相关信息，其中，所述第一标识用于与网络侧执行认证过程。

45.一种终端，其特征在于，包括处理器和存储器，所述存储器存储可在所述处理器上运行的程序或指令，所述程序或指令被所述处理器执行时实现如权利要求1至15任一项所述的设备鉴权方法的步骤，或者，实现如权利要求34至39任一项所述的设备鉴权方法的步骤。

46.一种网络功能，其特征在于，包括处理器和存储器，所述存储器存储可在所述处理器上运行的程序或指令，所述程序或指令被所述处理器执行时实现如权利要求16至24任一项所述的设备鉴权方法的步骤，或者，实现如权利要求25至26任一项所述的设备鉴权方法的步骤，或者，实现如权利要求27至33任一项所述的设备鉴权方法的步骤。

47.一种可读存储介质，其特征在于，所述可读存储介质上存储程序或指令，所述程序或指令被处理器执行时实现如权利要求1至15任一项所述的设备鉴权方法的步骤，或者，实现如权利要求16至24任一项所述的设备鉴权方法的步骤，或者，实现如权利要求25至26任一项所述的设备鉴权方法的步骤，或者，实现如权利要求27至33任一项所述的设备鉴权方法的步骤，或者，实现如权利要求34至39任一项所述的设备鉴权方法的步骤。