CN1801704B - 用户接入核心网的方法和系统 - Google Patents

Abstract

本发明涉及无线通信，尤其涉及一种用户接入核心网的方法和系统。一种用户接入核心网的方法和系统，通过分别由接入网和核心网独立鉴权的两级鉴权认证，即接入网完成设备鉴权认证，核心网完成用户和业务的鉴权认证，使用户方便接入核心网实现网络运营；所述方法应用在一种实现用户接入核心网的系统中，所述系统包括接入网和核心网；以及为所述接入网和核心网实现通信连接通信接口；认证服务器，鉴权请求接入的用户或用户请求的业务，以及，和/或鉴权用户的设备；本发明所述方法和系统适用于不同标准体系间的核心网和接入网的网络运营。

Description

用户接入核心网的方法和系统 

技术领域

本发明涉及无线通信，尤其涉及一种用户接入核心网的方法和系统。 

背景技术

IEEE 802.16定义了BWA(Broadband Wireless Access，固定宽带无线接入)的无线城域网标准。标准针对不同频段定义了不同的物理层技术，标准的应用范围主要面向住宅、SOHO(Small office，小型办公室/家庭办公室)、远程工作者以及SME(Small enterprise小企业用户市场)。 

IEEE 802.16 MAC(Media Access Control，媒体接入控制层)支持很不利的用户环境，能够应付在每个信道上可能有成百上千个用户的应用环境，支持连续式和突发式等不同的业务量，它具有ATM(Asynchronous TransferMode，异步传输模式)汇聚子层和分组汇聚子层，通过将多个高层数据单元经过汇聚子层处理后封装成一个MAC PDU(Protocol Data Unit，协议数据单元)发送，可以实现对ATM、IP(Internet Protocol，因特网协议)和以太网业务的协议透明性。 

WiMAX(Worldwide Interoperability Microwave Access，微波接入全球互通)为世界微波接入互操作性行业组织，旨在提升IEEE 802.16、IEEE 802.16d、IEEE 802.16e系列空中接口协议在全球的推广和应用，本文中所指的WiMAX均指满足IEEE 802.16空中接口协议的网络实体。 

IEEE 802.16系统如果组成蜂窝网络的话，则必须要考虑网络运营的问题，需要考虑运营商对终端用户以及业务的鉴权认证过程。目前协议定义的是针对基站和终端设备之间的鉴权认证过程，例如WiMAX空中接口协议IEEE802.16/IEEE 80216e里定义的鉴权认证机制解决的是接入网的鉴权认证问题， 就是定义了BS(Base Station，基站)和用户的设备SS(Subscribe Station，用户站)或MSS(Mobile Subscribe Station，移动台)设备之间的认证机制，通过目前IEEE 802.16d里定义的基于RSA算法的数字证书认证方式、IEEE802.16e新增加定义的基于RSA(Rivest，Shamir and Adelman，一种公开密钥加密算法)算法的EAP-TLS(EAP：Extensible Authentication Protocol，可扩展的认证协议；TLS：Transport Level Security，传输层安全)认证方式和基于SIM(Subscriber Information Module，用户信息模块)的EAP-SIM认证方式进行认证，其中：EAP-TLS是有数字证书的私有密钥方案，EAP-SIM是基于共享密钥的方案。在WiMAX里，空中接口加密机制，是通过目前定义的接入网鉴权认证以后，通过密钥分发机制使得MSS/SS和BS获得空中接口加密密钥。 

现有的缺点在于：WiMAX空中接口协议中定义的认证仅指接入网的认证，没有涉及核心网的认证，具体说就是没有对用户或者说业务级的鉴权认证机制，但是如果缺乏有效的核心网认证，IEEE 802.16系统的用户无法接入核心网，实现网络运营。 

上述缺点的也限制了不同标准体系间的核心网和接入网、不同设备厂家的接入网和核心网和不同接入网和核心网的运营商之间的互通运营。 

发明内容

本发明为解决现有技术的不足，提供一种用户接入核心网的方法和系统，通过分别由接入网和核心网独立鉴权的两级鉴权认证，即接入网完成设备鉴权认证，核心网完成用户和业务的鉴权认证，使用户接入核心网实现网络运营，所述方法通过下列步骤实现： 

a、用户向接入网发送设备鉴权信息请求设备鉴权； 

b、接入网根据所述设备鉴权信息进行设备鉴权，如果设备鉴权通过则接入该用户，继续步骤c；否则拒绝接入该用户； 

c、该用户通过接入网向核心网发送用户鉴权信息请求用户鉴权； 

d、核心网根据所述用户鉴权信息进行用户鉴权，如果用户鉴权通过则接入该用户，否则拒绝该用户。 

所述的方法还包括：用户在发送用户鉴权信息的同时或通过用户鉴权之后，通过接入网向核心网发送业务鉴权信息，核心网根据该用户签约的业务信息鉴权进行业务鉴权，如果业务鉴权通过则向该用户提供所请求的业务；否则拒绝提供所请求的业务。 

所述步骤a和步骤b符合IEEE 802.16协议。 

所述的方法还包括接入网或核心网为每一个用户生成业务密钥并对应发送给用户的步骤，所述业务密钥用以加解密该用户和接入网之间传输的数据。 

所述步骤b中还包括：接入网对应每个通过设备鉴权的用户生成该用户的所述业务密钥。 

所述步骤d中还包括：核心网对应每个通过用户鉴权的用户生成该用户的所述业务密钥，并通过接入网将该密钥业务转发给该用户。 

所述的方法还包括步骤：独立于接入网和核心网的安全中心为每一个用户生成业务密钥，并发送给接入网和对应的用户，该安全中心与接入网通过接口实现通信连接。 

所述方法还包括下列步骤：接入网对应每一个通过设备鉴权的用户，生成一个第一密钥，并将该第一密钥转发给用户；核心网对应每一个通过用户鉴权的用户，生成一个第二密钥，并将该第二密钥经接入网转发给用户；以及，接入网和用户分别利用所述第一密钥和第二密钥生成一个业务密钥，所述业务密钥用以加解密该用户和接入网之间传输的数据。 

基于同一构思的一种实现用户接入核心网的系统，包括接入网和核心网，所述接入网和核心网通过通信接口实现通信连接；接入网接收用户发送的设备鉴权信息，根据所述设备鉴权信息进行设备鉴权，如果设备鉴权通过则接入该用户，否则拒绝接入该用户；通过设备鉴权的用户通过所述通信接口请求核心网进行用户鉴权和/或业务鉴权，该核心网通过该通信接口接入通过用户鉴权的用户或和/向通过业务鉴权的用户提供请求的业务。 

所述通信接口为物理接口或逻辑接口。 

所述系统还包括核心网认证服务器，通过接口连接所述核心网，执行用户鉴权和/或业务鉴权。 

该方案具备下列有益的技术效果： 

1、本发明所述方法和系统，通用于无线通信网络中所有区分了接入网和核心网的通信网络的两级鉴权，实现了接入网设备的鉴权认证和运营商对用户和业务的认证鉴权，适用于不同标准体系间的核心网和接入网、为不同设备厂家的接入网和核心网、运营不同接入网和核心网的运营商之间网络运营提供安全保障，使网络运营更为灵活可靠。 

2、使用本发明所述方法和系统，可以充分利用了已有接入网和核心网的机制，做到了互相无缝配合。 

3、特别是该方法应用到宽带用户接入核心网时，充分利用了WiMAX空中接口协议定义的接入网的空中接口方案，减小运营商的投资运营成本，保护了运营商的利益。 

附图说明

图1为实施例一所述系统结构图； 

图2WiRAN接入WCDMA的核心网SGSN的连接示意图； 

图3为本发明所述方法流程图。 

具体实施方式

下面结合附图以IEEE 802.16系统接入核心网为例详细说明本发明所述方法和系统。 

虽然WiMAX在其协议中已经定义了两种空中接口的加密和鉴权机制，一种是有数字证书的私有密钥方案，一种是基于共享密钥的EAP-SIM方案。但是这两种方案并不涉及核心网级用户及业务的鉴权认证，为了保证系统的可靠运营，系统必须考虑与已有核心网的兼容，为了不对各自协议有更改，也 为了更好的保证互通性，本发明提供一种两级鉴权认证的方案来解决这个问题，第一级为设备鉴权认证，利用目前协议定义的鉴权认证机制实现接入网级的鉴权认证，即完成BS和SS/MSS设备之间的鉴权认证；第二级为用户或业务鉴权认证，利用运营商已有的核心网，如NGN(Next Generation Network，下一代网络)、2G(Second Generation，第二代移动通信系统)、3G(ThirdGeneration，第三代移动通信系统)等已有的核心网级的鉴权认证机制，完成核心网级的鉴权认证，即完成最终用户和业务级的鉴权认证，实现用户接入核心网进行业务，上述思路可以应用在实施例一所述的系统中。 

实施例一：一种实现用户接入核心网的系统 

如图1所示，图中WiRAN(WiMAX Radio Access Network)为WiMAX接入网的统称，WiRAN和核心网之间通过接口实现通信连接，IEEE 802.16系统用户通过WiRAN与核心网之间的接口接入到核心网。RAN AAA(Radio AccessNetwork Authentication，Authorization and Accounting，接入网认证、授权和计费)为接入网侧鉴权认证服务器，完成接入网设备和用户设备之间的相互鉴权认证；AAA(Authentication，Authorization and Accounting，认证、授权和计费)为核心网侧的鉴权认证服务器，完成对用户和业务的鉴权认证。RAN AAA是一个逻辑实体，既可以存在于WiRAN之中，也可以与核心网AAA放在一起，或者可以作为单独的一个功能实体，放置于接入网附近，图中各实体之间的接口根据实际情况为逻辑接口或物理接口。为保证各功能实体之间的信令交互，需要对各功能实体之间的接口进行功能完善： 

1、WiRAN-RAN AAA之间的接口，主要完成以下功能： 

-识别并交互MSS/SS的设备鉴权请求； 

-对终端返回一个标识，用以通知MSS/SS设备鉴权是否通过。 

2、WiRAN和核心网之间的接口，主要完成以下功能： 

-识别并交互MSS/SS的用户或业务请求及鉴权消息； 

-在WiRAN侧适配核心网的用户面协议栈，用作数据传输。 

3、WiRAN-WiRAN之间的接口，在WiRAN间切换时进行信令交互，在源WiRAN与目标WiRAN之间交换MSS/SS和核心网之间的消息，其中： 

-目标WiRAN到源WiRAN信息包括：用户的信息、安全层包等； 

-源WiRAN到目标WiRAN信息包括：会话层配置参数、核心网相关设备的地址等。 

下面以WiMAX接入WCDMA PS(Packet Switch，包交换，通常所说的分组域)核心网为例详细说明各接口的功能： 

将WiMAX接入网接到WCDMA(Wideband Code Division MultipleAccess)核心网的SGSN(Serving GPRS Support Node，服务GPRS支持节点)设备上，系统结构如图2所示，鉴权认证过程分为两个步骤： 

步骤一、WiRAN完成对SS/MSS设备的鉴权认证，验证其是否有权限接入到WiMAX接入网络中； 

步骤二、CN(Core Network，核心网)与SS/MSS完成鉴权和认证，这个过程与已有核心网定义一致，可以不作更改； 

如果用户的鉴权通过，由CN给WiRAN下发加密和完整性模式控制，要求WiRAN对空中接口传输的数据进行加密和完整性保护，这时WiRAN对这个消息不做实质的处理，直接给CN回复成功响应就可以了，根据WiMAX本身的空中接口协议(IEEE 802.16d/IEEE 802.16e)生成相关密钥完成空中接口的加密。 

为保证各功能实体之间的信令交互，需要对接口完善下列功能： 

1、WiRAN-RAN AAA之间的接口，主要完成以下功能： 

-识别并交互MSS/SS的设备鉴权请求消息； 

例如：MSS/SS通过空中接口发送PKM REQ(鉴权认证请求消息)到WiRAN的基站侧，在终端发送的鉴权认证请求消息里携带终端的数字证书等鉴权认证相关的身份信息，基站收到这些信息以后，将这些信息通过与RANAAA的交互，并将鉴权认证的结果和后续空中接口数据加密的密钥信息通过 空中接口消息，如PKM RSP(鉴权认证响应消息)反馈给终端。 

-对鉴权通过的终端在PKM RSP消息里返回一个标识； 

该标识标明了终端是否已经通过接入网级的鉴权认证，如果通过了，则将在此基础上会完成后续的与核心网的信令接口的连接建立，如用于GTP-U/SCTP接口的链接建立。在接入网鉴权认证完成以后，接着完成核心网侧的鉴权认证，为此需要在接入网和核心网之间建立信令连接，在这里为了和WCDMA的SGSN适配，考虑接口使用IP协议传输，因此需要建立信令面的SCTP链接和业务面的GTP-U链接。 

2、WiRAN和SGSN之间的接口，主要完成以下功能： 

-SCTP：在接入网鉴权认证通过的基础上，进行核心网级的鉴权认证，即业务级的鉴权认证； 

-GTP-U：在WiRAN侧适配SGSN的用户面协议栈，用作数据传输。 

3、WiRAN-WiRAN之间的接口，在WiRAN间切换时进行信令交互，在源WiRAN与目标WiRAN之间交换MSS和SGSN之间的消息。 

-目标WiRAN到源WiRAN信息包括：用户的信息、安全层包等； 

-源WiRAN到目标WiRAN信息包括：会话层配置参数、SGSN地址等。 

通过上述系统将用户接入核心网时，可以通过如图3所示的步骤完成用户的接入鉴权： 

步骤一、设备鉴权： 

由RAN AAA认证服务器完成接入网设备之间的鉴权认证，包括SS/MSS对基站的鉴权以及基站对SS/MSS的鉴权。SS/MSS在初始接入到网络(如用户开机时)时，SS/MSS把设备鉴权认证信息发送到WiRAN，WiRAN判断需要对SS/MSS进行设备鉴权认证，通过与RAN AAA的接口把相应信息发送给RAN AAA，RAN AAA对鉴权认证信息进行处理，并把结果返回给WiRAN，WiRAN根据结果完成必要的处理后，把结果通知SS/MSS。 

设备鉴权认证可以由用户发起，也可以由网络发起，接入网接入通过鉴 权的用户，拒绝没有通过鉴权的用户，并将鉴权结果返回给用户。 

步骤二、用户或业务鉴权： 

用户在通过步骤一的鉴权后，可以将用户或业务的鉴权请求通过接入网转发给核心网。具体为：在用户有业务需求接入核心网时，SS/MSS把业务或者用户鉴权认证信息通过WiRAN发送到核心网AAA，核心网AAA根据用户鉴权认证信息完成对用户或业务的鉴权认证，并把结果通过WiRAN发送给SS/MSS。 

用户或业务的鉴权认证可以对用户或业务单独进行，也可以同时进行；鉴权认证的发起可以为用户或核心网，核心网接入通过鉴权的用户并为其提供所请求的业务。 

下面以实施例二详细说明鉴权用户并接入核心网的流程： 

实施例二：WiMAX两级鉴权认证流程和密钥分发过程： 

首先，接入网要对用户设备的合法性进行鉴权认证，具体包括步骤S11～S14： 

S11：SS/MSS请求接入网进行设备鉴权认证； 

鉴权认证可以由SS/MSS发起，也可以由网络发起。如果由SS/MSS发起，在初始接入到网络，例如：用户开机时，SS/MSS把设备鉴权认证信息发送到WiRAN的BS侧，设备鉴权认证信息通过例如PKM_REQ空中接口消息来传递。 

S12：RAN AAA鉴权SS/MSS的设备； 

WiRAN和用户之间完成设备的鉴权认证，通过与RAN AAA的接口把相应鉴权认证请求信息发送给RAN AAA；由RAN AAA具体执行鉴权，RAN AAA中对应存储有鉴权用户设备所需要的信息，SS/MSS设备的鉴权认证请求信息中包括用户的设备信息，如果SS/MSS鉴权认证请求中的设备信息与RANAAA中对应存储的信息相匹配，则该用户鉴权通过，否则，鉴权失败。 

上述两个步骤S11和S12可以采用很多方式，如基于RSA的数字证书认证方法、EAP-TLS，或者EAP-SIM方式，不同的鉴权认证方式所需的信息是不 同的，例如：采用目前的基于RSA的数字证书认证机制，认证信息被封装在数字证书中，如果数字证书由制造商签发，在设备出厂之前已经安装在设备上面；如果数字证书由运营商签发，RAN AAA中对应存储有解密数字证书的公钥信息和用以验证设备的认证信息。 

RAN AAA单独设置时，可以根据用户数的多少在接入网附近设置多个，而且如网络不关心对用户设备的鉴权认证时，可以不需要其中的RAN AAA，用一个实体对用户或业务进行鉴权即可完成整个鉴权认证过程，RAN AAA的功能也可以在接入网的基站中实现，不用单独设置。 

S13：RAN AAA将鉴权结果返回给WiRAN； 

S14：WiRAN将鉴权结果通知SS/MSS，并根据结果进行后续处理，如果鉴权认证成功则允许接入该用户；如果鉴权认证失败则拒绝接入该用户。 

步骤二、由AAA认证服务器对用户或业务进行鉴权认证： 

对于通过设备鉴权的用户，如果需要使用核心网提供的业务，还需要通过核心网的鉴权认证，具体包括步骤S15～S18： 

S15：用户请求CN进行用户鉴权或业务鉴权； 

当用户需要使用核心网络提供的业务时，首先需要通过核心网的鉴权认证过程，证明其有使用业务的权利。鉴权认证的发起方可以为用户或核心网。当由用户发起时，用户可以在有业务需求接入核心网时，SS/MSS把业务或者用户鉴权认证信息通过WiRAN发送到核心网AAA。 

S16：核心网将接收到的用户或业务鉴权认证请求送入核心网AAA认证服务器； 

S17：核心网AAA认证服务器根据用户鉴权认证信息完成对用户或业务的鉴权认证； 

AAA认证服务器中存储有签约每个用户的用户信息和签约的业务信息，AAA认证服务器根据用户身份将保存的信息与用户发送的鉴权认证信息进行对比，如果一致则鉴权通过，否则鉴权失败。如果核心网鉴权认证采用兼容 3GPP的3G核心网的EAP-SIM认证方式，这些鉴权认证信息包括SIM卡的国际用户身份标识信息。 

S18：核心网AAA认证服务器将用户或业务鉴权结果通过WiRAN返回给请求的SS/MSS； 

对用户的鉴权认证表明用户是否有权利使用网络提供的服务；对业务的鉴权认证表明用户是否有权利使用网络提供的这项业务，用户或业务的鉴权认证可以对用户或业务单独进行，也可以同时进行。 

步骤三、为通过两级鉴权认证的用户下发加密业务数据的密钥： 

鉴权通过之后，为进一步保证只有合法用户才能授权使用签约业务，业务数据应该采取一定的加密措施，加密用的密钥应该经是用户和核心网都可以认知的，因此，本发明所述的方法还可以进一步包括步骤S19和步骤S110： 

S19：为每一个合法用户对应生成业务密钥； 

S110：将生成的业务密钥下发给用户和用户的交换设备。 

本发明提供的鉴权认证机制，可以灵活运用下面所述的多种加密方案用于空中接口数据传输的加密，可以在上述步骤二或步骤三中，或者，完成上步骤二和步骤三以后，生成空中接口业务密钥下发给SS/MSS： 

1、AAA产生密钥用于通过空中接口传输的数据的加解密； 

具体实现方式可以是：AAA服务器对通过设备鉴权的每一个SS/MSS，按照一定算法对生成业务密钥，将该业务密钥送入接入网的基站，基站对应该SS/MSS保存后再转发给SS/MSS，基站和SS/MSS利用该业务密钥实现空中接口的加密。如果是基于RSA的数字证书的认证方法，基站将该业务密钥利用公钥加密后发送，SS/MSS收到后利用私钥解密后保存。 

2、RAN AAA产生密钥用于通过空中接口传输的数据的加解密； 

具体实现方式可以是：RAN AAA服务器对通过用户或业务鉴权的每一个SS/MSS按照一定算法对生成业务密钥，将该业务密钥送入接入网的基站，基站对应该SS/MSS保存后再转发给SS/MSS。 

3、AAA和RAN AAA协作产生密钥，如由AAA和RAN AAA分别产生一个密钥，在AAA或RAN AAA中根据一定的算法，由这两个密钥共同产生一个新的密钥，用于通过空中接口传输的数据的加解密； 

具体实现方式可以是：在基站和SS/MSS中，利用通过上述两种方法分别得到的两个密钥，按照特定的算法用这两个密钥再生成业务密钥，用于通过空中接口传输的数据的加解密。 

4、独立于RAN AAA和AAA的其他密钥提供服务器，例如与接入网通过接口实现通信的安全中心产生业务密钥，用于通过空中接口传输的数据的加解密。 

综上所述，在WiRAN侧完全采用目前IEEE 802.16d/e的协议规定进行接入网和用户设备之间的鉴权认证和加密；而在核心网侧，则采用运营商核心网已有的鉴权认证方式完成核心网对用户和业务的鉴权认证，通过这两级认证，保证了用户顺利的接入核心网进行网络运营。 

以上所述仅是本发明的优选实施方式，应当指出，本发明所述的两级鉴权方法和系统结构可以通用于无线通信网络中所有区分了接入网和核心网的通信网络的两级鉴权，适用于不同标准体系间的核心网和接入网、为不同设备厂家的接入网和核心网，运营不同接入网和核心网的运营商之间，实现了接入网设备的鉴权认证和运营商对用户和业务的认证鉴权，使网络运营更为灵活可靠。对于本技术领域的普通技术人员来说，在不脱离本发明原理的前提下，还可以作出若干改进和润饰，这些改进和润饰也应视为本发明的保护范围。 

Claims (12)

1.一种用户接入核心网的实现方法，其特征在于，包括下列步骤：

a、用户向接入网发送设备鉴权信息请求设备鉴权；

b、接入网根据所述设备鉴权信息进行设备鉴权，如果设备鉴权通过则接入该用户，继续步骤c；否则拒绝接入该用户；

c、该用户通过接入网向核心网发送用户鉴权信息请求用户鉴权；

d、核心网根据所述用户鉴权信息进行用户鉴权，如果用户鉴权通过则接入该用户，否则拒绝该用户。

2.如权利要求1所述的方法，其特征在于：用户在发送用户鉴权信息的同时或在通过用户鉴权之后，通过接入网向核心网发送业务鉴权信息，核心网根据该用户签约的业务信息进行业务鉴权，如果业务鉴权通过则向该用户提供所请求的业务；否则拒绝提供所请求的业务。

3.如权利要求1所述的方法，其特征在于，所述接入网和用户之间使用IEEE 802.16协议定义的设备鉴权机制进行设备鉴权。

4.如权利要求1所述的方法，其特征在于，还包括步骤：接入网或核心网为每一个用户生成业务密钥并对应发送给用户，所述业务密钥用以加解密该用户和接入网之间传输的数据。

5.如权利要求4所述的方法，其特征在于，所述步骤b中还包括：接入网在用户通过设备鉴权之后，对应该用户生成所述业务密钥。

6.如权利要求4所述的方法，其特征在于，所述步骤d中还包括：核心网在用户通过用户鉴权之后，对应该用户生成所述业务密钥，并通过接入网将该业务密钥转发给该用户。

7.如权利要求1所述的方法，其特征在于，还包括步骤：独立于接入网和核心网的安全中心为每一个用户生成业务密钥，并发送给接入网和对应的用户，该安全中心与接入网通过接口实现通信连接。

8.如权利要求1所述的方法，其特征在于，所述方法还包括下列步骤：

接入网对应每一个通过设备鉴权的用户，生成一个第一密钥，并将该第一密钥转发给用户；

核心网对应每一个通过用户鉴权的用户，生成一个第二密钥，并将该第二密钥经接入网转发给用户；以及

接入网和用户分别利用所述第一密钥和第二密钥生成业务密钥，所述业务密钥用以加解密该用户和接入网之间传输的数据。

9.一种实现用户接入核心网的系统，包括接入网和核心网，其特征在于：所述接入网和核心网通过通信接口实现通信连接；接入网接收用户发送的设备鉴权信息，根据所述设备鉴权信息进行设备鉴权，如果设备鉴权通过则接入该用户，否则拒绝接入该用户；通过设备鉴权的用户通过所述通信接口请求核心网进行用户鉴权和/或业务鉴权，该核心网通过该通信接口接入通过用户鉴权的用户，和/或向通过业务鉴权的用户提供请求的业务。

10.如权利要求9所述的系统，其特征在于：所述通信接口为物理接口或逻辑接口。

11.如权利要求9所述的系统，其特征在于：所述系统还包括核心网认证服务器，通过接口通信连接所述核心网，执行用户鉴权和/或业务鉴权。

12.如权利要求9所述的系统，其特征在于：所述系统还包括接入网认证服务器，位于接入网侧或核心网侧，通过接口通信连接该接入网，对用户设备进行设备鉴权。

Images