CN1946024A - 一种业务分组认证的方法和系统 - Google Patents

Abstract

本发明提供了一种业务分组认证的方法和系统，属于网络通信领域。为了解决现有技术中对用户的认证比较繁琐且影响业务切换速度的问题，本发明提供了一种业务分组认证的方法，包括保存用户的分组信息及认证标识，用户发送接入业务请求，收到用户的请求后，检查所述的认证标识，如果已通过认证，下发业务数据并进行计费；否则，获取用户的认证信息，请求内容提供商进行认证，认证通过后，下发该业务的数据并进行计费，同时将所述认证标识设置为通过认证。本发明还提供了一种业务分组认证的系统，包括用户设备和接入设备。本发明将业务认证对于切换频道的影响降到最低，提高了用户体验，同时简化了用户的认证操作，减少了用户身份信息被窃取的可能性。

Description

一种业务分组认证的方法和系统

技术领域

本发明涉及网络通信领域，特别涉及一种业务分组认证的方法和系统。

背景技术

随着Internet网络的不断发展，网络中交互的各种数据、语音和视频信息越来越多，另外新兴的电子商务、网上会议、网上拍卖、视频点播、远程教学等服务也逐渐兴起。这些服务对信息的安全性、有偿性、网络带宽提出了要求。

随着IPTV、VoD、交互式游戏等应用的发展，如何更好地实现资源发现和点对多点的IP传输成为现代网络应用的焦点。组播技术作为一种有效的IP传输解决方案在很多方面逐渐显示出其特有的优势。

IETF MBONED是一个专门研究在Internet上开展大规模组播业务部署的工作组，特别是研究组播业务中的用户接入控制问题，指出有效的用户接入控制可以减少非法用户对于运营商网络资源的非法占用，保证合法用户的QoS和运营商的有效收益，是关系到开展商用组播业务的关键问题。其中，工作组文稿draft-ietf-mboned-rac-issues-03描述了目前IGMP/MLD协议在用户接入控制方面的天生缺陷，无法提供任何用户接入认证操作，不满足部署大规模商用组播业务的要求。并进一步指出对于大规模的组播业务，需要具有以下能力：

1)追踪用户动作的能力和计费能力；

2)网络接入控制和内容接入控制；

3)NSP和CP间共享信息的方法(可选，当NSP和CP分离时)。

工作组文稿draft-ietf-mboned-maccnt-req-04明确地提出了采用AAA(AuthenticationAuthorization and Accounting，认证、授权和计费)架构来进行组播用户接入控制，以便对用户进行精确计费；同时防止网络资源被非法用户浪费，保证合法用户的QoS；并给出了大型商业组播业务网络对于AAA的具体需求；基于以上需求，在工作组文稿draft-ietf-mboned-multiaaa-framework-01中给出了组播AAA框架，如图1中所示。

在现有框架中，将运营商分为NSP(Network Service Provider，网络业务提供商)和CP(Context Provider，内容提供商)两类，NSP负责提供基本的网络接入功能，需要对用户是否有权限访问网络资源负责；而CP则是具体业务的提供者，一般自己没有传输网，用户需要通过NSP提供的网络接入到CP的业务中，而CP负责对用户访问业务的权限进行控制。本文中我们所提到的用户接入认证都是指业务层面的接入认证过程。

一方面，组播业务，特别是IPTV业务对于快速切换有特别的要求，在实现时，应该考虑到一切可能影响到切换速度的因素，尽可能地加以避免，达到与传统电视相同级别的切换速度，以提高用户体验。

另一方面，随着Internet日益渗透到人们的日常生活中，经常上网的用户可能会定制非常多的业务；出于商业保护的目的，CP会要求用户在每次访问自己的业务时都进行认证；每次都需要输入用户名和密码等身份认证信息，这对于用户来说是个很繁琐的事情。

如图2所示，基于Diameter的组播安全架构，其消息交互的流程如下：

1)终端用户向ER/BRAS发送接入Join消息(用户的身份认证信息按照现有认证技术发送给ER/BRAS)。

2)ER/BRAS根据用户的身份信息，向NSP中的AAA Server发送授权请求消息。

3)NSP的AAA Server充当Relay Agent(中继代理)，将授权请求消息发送给下一个AAA Server，直到最终到达CP的AAA Server。

4)CP的AAA Server根据本地信息对用户进行认证。

5)认证通过，CP的AAA Server向中间NSP的AAA Server发送授权信息，信息中包括和用户计费相关的测量策略信息(比如按时长计费、按流量计费、QoS要求等)。

6)中间NSP的AAA Server将以上授权信息中继给用户所在的NSP的AAA Server。

7)用户所在的NSP的AAA Server将授权信息发送给ER/BRAS。

8)ER/BRAS建立组播路由。

9)ER/BRAS将收到的组播节目内容流发送给用户，同时向本NSP的AAA Server发送AccountingStart(计费开始)消息，开始对用户的点播进行统计。

10)以上Accounting Start消息通过中间NSP的AAA Server中继到CP的AAA Server。

11)每隔一段时间，ER/BRAS向本NSP的AAA Server发送Accounting interim(中间计费)消息，消息最终被中继到CP的AAA Server(可选)。

12)当用户不再想收看组播节目时，发送leave消息给ER/BRAS。

13)ER/BRAS收到Leave消息后，向本NSP的AAA Server发送Accounting Stop(停止计费)消息，停止对用户进行统计，NSP的AAA Server可以将此消息中继给下一个NSP的AAA Server，也可以重新产生一个Accounting record summary(记录总费用)消息。

14)中间NSP的AAA Server将以上消息中继给CP的AAA Server。

现有的IPTV解决方案中，为了加快用户的切换速度，往往采用ER/BRAS提前加入组播组的方法，以减小加入组播树的操作对切换产生的影响。

在没有引入AAA机制对组播业务进行用户控制前，ER/BRAS在收到用户设备发出的Join消息后，只要ER/BRAS已经加入到用户请求的组播树中，就能直接将组播数据下发给用户。引入AAA架构后，相应地也增加了一些消息交互，主要是ER/BRAS和CP AAA Server间的授权请求和授权消息。特别是当NSP和CP分离时，消息必须通过NSP AAA Server中继才能到达CP AAA Server；当用户进行频道切换时，实际就是在完成“退出旧的组播组、加入新的组播组”的过程。对每次加入组播组的操作需要进行认证，这样认证过程对于切换速度是有影响的。

发明内容

本发明提供了一种分组认证方法和系统，目的是在不影响用户收看组播节目的情况下尽可能减小认证过程对于频道切换的影响，提高用户体验；在用户使用多业务时，通过一次认证简化用户的操作。所述技术方案如下：

本发明提供了一种业务分组认证的方法，所述方法包括以下步骤：

步骤A：在接入设备上保存用户的分组信息及认证标识；

步骤B：用户向所述接入设备发送接入业务请求；

步骤C：所述接入设备收到用户的接入业务请求后，检查所述业务是否在用户分组中，如果在，检查所述业务的认证标识，如果所述标识为通过认证，则下发所述业务数据并进行计费；如果所述标识为未通过认证，则获取所述业务对应的认证信息，请求内容提供商进行认证，所述接入业务请求中的业务认证通过后，建立组播路由，同时将所述认证标识设置为通过认证。

本发明还提供了一种业务分组认证的系统，所述系统包括用户设备、接入设备；

所述用户设备是机顶盒或者个人电脑，用于发起接入业务的请求，提供用户的身份信息；

所述接入设备，用于根据所述用户的接入业务请求判断是否需要认证，如果需要，则发起认证操作，存储用户分组信息及认证标识，并依据所述分组信息进行分组认证处理，认证通过后修改认证标识为通过认证。

本发明的技术方案带来的有益效果是：

通过分组认证方法将认证对于切换频道的影响降到最低，提高用户体验。

通过分组认证方法简化用户的认证操作，用户只需要输入一次用户信息，就可以完成所有业务的认证。

减少了用户身份信息在用户和接入设备(ER/BRAS/DSLAM(Digital Subscriber AccessMultiplexer，数字用户线接入复用器))间的传送次数，减少了用户身份信息被窃取的可能性。

附图说明

图1是现有技术中组播AAA框架的示意图；

图2是现有技术中基于AAA的安全组播架构的消息交互示意图；

图3是本发明实施例1提供的业务分组认证方法流程图；

图4是本发明实施例1中与图3对应的信息交互示意图；

图5是本发明实施例1中获取用户身份信息的信息交互示意图；

图6是本发明实施例2中用户指定分组的信息交互示意图；

图7是本发明实施例3提供的业务分组认证系统示意图。

具体实施方式

下面结合附图和具体实施例对本发明作进一步说明，但不作为对本发明的限定。

本发明基于“以带宽换时间”的思想，提供了一种业务分组认证方法和系统，当用户第一次申请接入分组中的业务时，同时完成分组中多个业务的认证操作。这样以后用户在这些业务间进行切换时就不必再进行认证操作。

实施例1

本发明以用户切换组播节目为例进行说明，参见图3所示，分组认证方法包括以下步骤：

步骤301：用户在接入设备上保存节目分组信息。该接入设备可以是缘路由器ER、宽带远程接入服务器BRAS或数字用户线接入复用器DSLAM，本实施例选择ER或BRAS。

步骤302：用户向ER/BRAS发送接入Join请求消息。

步骤303：当ER/BRAS接收到用户发出的Join消息时，根据本地保存信息自动判断此次接入的节目是否在用户节目分组中，是执行步骤304，否则执行步骤309。

步骤304：分析该分组的认证状态。如果该组未认证，执行步骤305，如果该分组已认证，执行步骤308。

步骤305：ER/BRAS获取认证信息，该认证信息包括业务个数、业务代码及代码对应的身份信息；其中身份信息为用户的身份标识，可以是用户名和密码等。在得到用户请求节目的认证信息后，依次向NSP AAA Server发出授权请求消息，NSP AAA Server将授权请求信息发送给CP。

步骤306：CP收到授权请求信息后，根据本地信息对用户进行认证，认证通过后发送授权信息给NSP AAA Server，通过NSP AAA Server将授权信息发送给ER/BRAS。

步骤307：ER/BRAS接收到对应的授权信息后，建立组播路由，修改分组认证状态为已认证，然后执行步骤308。

步骤308：向用户下发组播节目，然后结束。

步骤309：按普通的方法进行认证并下发节目。

参见图4，是与图3对应的信息交互示意图，给出了设定分组后的认证过程，为简便起见，图中省略了CP的AAA Server。对于用户业务的授权请求，最终是要发送给CP的AAA Server的；在现有的AAA架构中，NSP AAA Server可能和CP AAA Server是同一的，也可能是分离的。在分离情况下NSP AAA Server可以充当CP AAA Server的代理或中继等功能，这些和IETF的相关工作组的研究工作有关，不影响本发明的实施。

在图4中，在ER/BRAS上保存了用户的分组信息。一开始，用户想收看节目1，发出Join请求，ER/BRAS检查本地信息，发现节目1所在的分组没有通过CP认证，通过现有技术(PPP、PPPoE认证、Web认证或802.1x认证等)得到节目1对应的认证信息(如：用户名和密码)，触发ER/BRAS向NSP AAA Server发送节目1的授权请求信息(同时使用本地存放的节目2的认证信息，向NSP AAA Server发送节目2的授权请求信息)；当ER/BRAS从NSP AAA Server接收到节目1授权信息后，认为用户通过了节目1的认证，于是建立组播路由，向用户下发节目1的数据，同时开始对节目1进行计费；当业务2的授权信息到达并建立组播路由后，本分组认证完成，ER/BRAS设置已经认证标志；过了一段时间后，用户想收看节目2，先退出节目1，然后再次发送接入节目2的Join请求，此时ER/BRAS检查本地信息，发现节目2已经认证通过了，就直接向用户发送节目2的数据，并开始为节目2计费。这样通过适当地提前消息，使用户在从节目1切换到节目2的过程中不需要进行认证消息交互。

需要说明的是：

1)用户接收业务1和对业务2进行授权请求没有严格的时序要求，属于完全独立的操作，可以并行完成；实现时为了尽可能提高用户体验，只要用户在Join消息中请求的业务完成了认证，ER/BRAS就立刻向用户发送组播节目。

2)考虑到并不是所有用户都希望使用分组认证，可以在认证协议中增加分组认证标志位，由用户端设备指定是否需要分组认证。此时，ER/BRAS在分析分组状态前需要先判断标志。

3)ER/BRAS获取用户节目对应的身份信息的方式可能有：用户从Web网站、语音或短信平台注册业务分组信息的同时注册业务对应的身份信息，并在ER/BRAS上保存用户业务对应的身份信息；或者通过扩展认证协议，使ER/BRAS能够一次向用户获取多个业务对应的身份信息(这种方式下获取信息后也可以考虑在ER/BRAS上保存供后续使用)。现有的接入认证技术主要有PPP、PPPoE、Web认证和802.1x认证，以PPP为例说明如何扩展认证协议支持传送多个用户身份信息。其他认证方式只是扩展的协议不同，思想是一样的。在协议中新增三条消息(消息名仅仅作为范例)，用于在用户终端和接入设备间一次传送用户的多个身份信息：

消息1(RequestMultiAuthInfo)：消息由接入设备发送给用户终端，指示需要用户提供哪些业务的身份信息，消息中包含：业务个数，业务代码1，业务代码2，…，业务代码N。

消息2(RegisterMultiAuthInfo)：消息由用户终端发送给接入设备，消息中包含：业务个数，业务代码1，身份信息1，业务代码2，身份信息2…，业务代码N，身份信息N。

消息3(RegisterReport)：消息由接入设备发送给用户终端，指示用户发送身份信息操作的结果，消息中包含：成功标志和失败信息描述(仅在失败时才有)。

参见图5，消息发送过程为：

步骤501：接入设备向用户设备发送RequestMultiAuthInfo消息，此消息为可选。

步骤502：用户设备在接收到RequestMultiAuthInfo消息后或当用户某些业务的身份信息发生变化时，向接入设备发送RegisterMultiAuthInfo消息。

步骤503：接入设备接收到RequestMultiAuthInfo消息后，向用户设备发送RegisterReport消息确认接收结果，同时记录用户消息中的身份信息。

本发明只要求ER/BRAS通过某种方法能获取到这些身份信息，但不限定获取信息的方法。

4)对于分组认证，虽然在ER/BRAS上保存了用户各节目的认证信息，为了安全起见，至少要求用户提供一次认证信息，确保用户是合法用户。实现时也可能考虑在ER/BRAS上不存放这些信息，此时要求扩充现有认证协议，以实现在同一个消息中传送多个业务对应的身份信息(对于采用Challenge方式，由于需要根据AAA Server发送的Challenge值实时计算Challenge-Password，不适用)。当ER/BRAS上存放有用户各节目的身份信息时，在一些认证技术中需要代理用户完成一些计算，比如CHAP-MD5方式下需要使用用户密码和AAA Server发送的Challenge值计算出Challenge-Password。

5)图2中用户向ER/BRAS提供用户名和密码的过程依赖于具体的认证技术(PPPoE认证、Web认证或802.1x认证等)，可能存在多次消息交互。

6)图4中忽略了Accounting Stop(停止计费)等消息和Leave(退出)过程，这部分可以参照图2中的信令流。

本发明中主要列举了组播业务的分组认证情形；对于非组播业务，其分组认证的实现思想是一样的，只是消息的内容和接入设备的某些处理(比如：非组播业务不需要处理组播路由)可能出现不同，但不影响本发明的实质。

实施例2

本实施例接入设备仍以ER或BRAS为例。对于节目的分组方法，可以划分为两大类：

1)用户指定节目分组：用户可以根据自己的喜好将多个组播节目捆绑在一个分组中，这些节目可能来自同一个CP，也可能由多个CP分别提供；用户通过NSP提供的Web页面、语音或短信平台向所在NSP的AAA Server或网管系统注册自己的组播频道分组信息；然后这些信息由AAA Server或网管系统下发给ER/BRAS，ER/BRAS在收到这些信息后完成初始化的操作。分组信息中可以包括分组号、组播业务代码、用户身份信息(可选)等信息。以用户通过Web页面向网管系统注册/取消分组信息、网管系统下发分组信息给ER/BRAS为例进行说明，图6中给出了相应的交互流程：

步骤601：用户通过Web Site页面向网管系统注册分组信息。

步骤602：网管系统收到注册分组信息后，通过Web Site页面向用户发送确认收到信息。

步骤603：网管系统向ER/BRAS发送增加分组信息请求。

步骤604：ER/BRAS收到上述增加分组信息后，向网管发送确认信息，并进行分组状态初始化。

当用户想取消分组信息是，执行以下步骤：

步骤601′：用户通过Web Site页面向网管系统发送取消分组信息。

步骤602′：网管系统收到取消分组信息后，通过Web Site页面向用户发送确认收到信息。

步骤603′：网管系统向ER/BRAS发送删除分组信息请求。

步骤604′：ER/BRAS收到上述删除分组信息后，向网管发送确认信息，并进行删除该分组。

2)自动分组：指网络中的设备根据用户的节目点播情况智能化地提取出分组信息，不需要用户的干预，按照收集信息的设备又可以细分为两种方式：

一种方式是网络侧自动分组：ER/BRAS在用户进行节目认证时，自动地按照预先设定的策略统计用户的点播情况，动态地对统计数据进行分析，按一定条件选择出Top N的节目记录在用户的节目分组中。比如：按点播次数排序、按用户收看总时长排序、按时间段内点播次数排序、按时间段内收看总时长排序、按最近点播时间排序等方式。这种策略可以在NSP的策略服务器上进行设定，然后下发到ER/BRAS。一开始，用户认证时采用普通的认证方式，只是其点播节目的信息会被ER/BRAS记录下来进行分析，产生一个用户的节目分组；对于以后认证时落入在分组中的节目都采用分组认证方式认证；对于其他节目，仍然沿用普通的认证方式。但是，每次用户认证的操作都会对统计数据产生影响，因此节目分组是动态变化的。

另一种方式是用户侧自动分组：由用户设备(如机顶盒、PC等)统计用户的点播情况并动态分析后，将分组信息发送给ER/BRAS。其统计分析策略和ER/BRAS一样，其策略下发的方式可能不同，比如可以在NSP的Web页面上提供统计策略供用户下载。

实施例3

参见图7，一种业务分组认证的系统，该系统包括：

用户设备：发起接入业务的请求，提供用户的身份认证信息，可以是机顶盒、PC等设备。

接入设备：负责作为AAA Client(客户)和用户代理，用于根据用户的接入业务请求判断是否需要认证，如果需要，则发起认证操作，存储用户分组信息及认证标识，并依据分组信息进行分组认证处理，认证通过后修改认证标识为通过认证。

其中，上述接入设备可以是ER/BRAS/DSLAM。

另外，该系统还包括：

Web站点：可选，作为用户向系统中设置分组信息的接口，Web站点可以用NSP提供的语音或短信业务平台来替代。在自动分组方案中，不需要在系统中设置Web站点。

网管系统：可选，负责将用户注册的节目分组信息传送给所述接入设备(ER/BRAS/DSLAM)，其他的替代方案中有可能是NSP的AAA Server或其他设备。在自动分组方案中，不需要在系统中实现网管系统。

以上所述的实施例，只是本发明较优选的具体实施方式的一种，本领域的技术人员在本发明技术方案范围内进行的通常变化和替换都应包含在本发明的保护范围内。

Claims (13)

1.一种业务分组认证的方法，其特征在于，所述方法包括以下步骤：

步骤A：在接入设备上保存用户的分组信息及认证标识；

步骤B：用户向所述接入设备发送接入业务请求；

步骤C：所述接入设备收到用户的接入业务请求后，检查所述业务是否在用户分组中，如果在，检查所述业务的认证标识，如果所述标识为通过认证，则下发所述业务数据并进行计费；如果所述标识为未通过认证，则获取所述业务对应的认证信息，请求内容提供商进行认证，所述接入业务请求中的业务认证通过后，建立组播路由，同时将所述认证标识设置为通过认证。

2.如权利要求1所述的业务分组认证的方法，其特征在于，所述接入设备包括边缘路由器、宽带远程接入服务器或数字用户线接入复用器。

3.如权利要求1所述的业务分组认证的方法，其特征在于，所述步骤C中的请求内容提供商进行认证的步骤具体包括：

请求内容提供商对所述发送接入业务请求中的业务进行认证；或请求内容提供商对所述分组信息中的所有业务进行认证。

4.如权利要求1所述的业务分组认证的方法，其特征在于，所述步骤C中的获取所述业务对应的认证信息的步骤包括：

接入设备向用户发送请求消息，请求用户提供认证信息，所述认证信息包括业务个数、业务代码及代码对应的身份信息，所述身份信息为用户名和密码；

用户收到接入设备的请求后，发送响应消息，所述响应消息携带业务个数、业务代码及每个代码所对应的身份信息；

接入设备收到用户的响应消息后，向用户发送确认消息，并记录所述响应消息中的身份信息。

5.如权利要求1所述的业务分组认证的方法，其特征在于，所述步骤A中的分组信息是用户将多个组播业务捆绑在一个分组中进行注册生成的信息，所述分组信息包括分组号、组播业务代码。

6.如权利要求5所述的业务分组认证的方法，其特征在于，所述分组信息还包括身份信息。

7.如权利要求6所述的业务分组认证的方法，其特征在于，所述步骤C中的获取所述业务对应的认证信息的步骤是直接从所述分组信息中获取。

8.如权利要求1所述的业务分组认证的方法，其特征在于，所述步骤A中的分组信息是接入设备根据用户的业务点播情况按照预先设定的策略提取获得的，所述策略包括：按业务使用次数排序、按用户使用业务总时长排序、按时间段内业务使用次数排序、按时间段内使用业务总时长排序或按最近使用业务时间排序。

9.一种业务分组认证的系统，其特征在于，所述系统包括用户设备、接入设备；

所述用户设备是机顶盒或者个人电脑，用于发起接入业务的请求，提供用户的身份信息；

所述接入设备，用于根据所述用户的接入业务请求判断是否需要认证，如果需要，则发起认证操作，存储用户分组信息及认证标识，并依据所述分组信息进行分组认证处理，认证通过后修改认证标识为通过认证。

10、如权利要求9所述的业务分组认证的系统，其特征在于，所述接入设备是缘路由器、宽带远程接入服务器或数字用户线接入复用器。

11.如权利要求9所述的业务分组认证的系统，其特征在于，所述系统还包括Web站点，用于用户向系统中设置分组信息的接口。

12.如权利要求9所述的业务分组认证的系统，其特征在于，所述系统还包括网络业务提供商提供的语音或短信业务平台，用于用户向系统中设置分组信息的接口。

13.如权利要求9所述的业务分组认证的系统，其特征在于，所述系统还包括网管系统或AAA服务器，用于将用户注册的分组信息传送给所述接入设备。

Images