Claims (21)
1. Способ осуществления аутентификации услуг высокоскоростной передачи пакетных данных, включающий в себя следующие шаги:1. A method for authenticating high-speed packet data services, including the following steps:
А. аутентифицирующий объект выполняет аутентификацию терминала пользователя, устанавливая физическое соединение с сетью доступа AN посредством механизма аутентификации основанного на модуле идентификации пользователя UIM, и использует пользовательскую информацию, сохраненную в UIM самого терминала пользователя в качестве идентификатора пользователя;A. the authentication entity authenticates the user terminal by establishing a physical connection to the access network AN through an authentication mechanism based on the UIM user identification module, and uses the user information stored in the UIM of the user terminal itself as the user identifier;
Б. аутентифицирующий объект, в соответствии с указанным идентификатором пользователя, получает второе случайное число для аутентификации терминала пользователя и второй аутентифицирующий номер, соответствующий второму случайному числу, отличающийся тем, что второй аутентифицирующий номер вычисляют посредством общих секретных данных SSD данного терминала пользователя, сохраненных на сетевой стороне;B. the authentication object, in accordance with the specified user identifier, receives a second random number for authenticating the user terminal and a second authentication number corresponding to the second random number, characterized in that the second authentication number is calculated using the shared secret data of the SSD of the user terminal stored on the network side;
В. указанный терминал пользователя получает первый аутентифицирующий номер вычислением на основе второго случайного числа и самостоятельно сохраненных SSD; аутентифицирующий объект сравнивает первый аутентифицирующий номер со вторым аутентифицирующим номером; при их совпадении аутентификация терминала пользователя аутентифицирующим объектом проходит успешно, в противном случае аутентификация не происходит.B. said user terminal receives a first authentication number by calculation based on a second random number and self-stored SSDs; an authentication entity compares the first authentication number with the second authentication number; if they match, the authentication of the user terminal by the authenticating object is successful, otherwise authentication does not occur.
2. Способ по п.1, отличающийся тем, что указанный аутентифицирующий объект является предварительно сконфигурированным сервером аутентификации или центром аутентификации в беспроводной системе мобильной связи.2. The method according to claim 1, characterized in that the authentication object is a pre-configured authentication server or authentication center in a wireless mobile communication system.
3. Способ по п.2, отличающийся тем, что если аутентифицирующий объект является центром аутентификации в системе беспроводной мобильной связи, то указанное второе случайное число генерируют в центре аутентификации AuC системы беспроводной мобильной связи, и указанные SSD сохраняют в HLR/AuC на сетевой стороне, где HLR - домашний регистр местоположения.3. The method according to claim 2, characterized in that if the authentication object is an authentication center in a wireless mobile communication system, then said second random number is generated in the AuC authentication center of the wireless mobile communication system, and said SSDs are stored in the HLR / AuC on the network side where HLR is the home location register.
4. Способ по п.2, отличающийся тем, что если аутентифицирующий объект является предварительно сконфигурированным сервером, то указанное второе случайное число генерируют на сервере аутентификации, и указанные SSD сохраняют в HLR/AuC на сетевой стороне или на данном сервере аутентификации.4. The method according to claim 2, characterized in that if the authentication object is a pre-configured server, then the specified second random number is generated on the authentication server, and these SSDs are stored in HLR / AuC on the network side or on this authentication server.
5. Способ по п.1, далее включающий в себя: после неудачи при аутентификации на шаге В: аутентифицирующий объект уведомляет HLR на сетевой стороне о результате аутентификации, и HLR выясняет, является ли данная аутентификация первичной; если да, то происходит обновление SSD, а затем выполнение шага В, в противном случае аутентификация не происходит.5. The method according to claim 1, further comprising: after the authentication failure in step B: the authentication entity notifies the HLR on the network side of the authentication result, and the HLR determines whether this authentication is primary; if so, then the SSD is updated, and then step B is completed, otherwise authentication does not occur.
6. Способ по п.1, далее включающий в себя: после неудачи при аутентификации на шаге В: происходит обновление SSD, затем выполнение шага В.6. The method according to claim 1, further comprising: after authentication failure in step B: the SSD is updated, then step B is completed.
7. Способ по п.5 или 6, отличающийся тем, что процесс обновления SSD включает в себя7. The method according to claim 5 or 6, characterized in that the SSD update process includes
Г1. HLR генерирует случайное число SSD-обновления и вычисляет аутентифицирующий номер, соответствующий этому случайному числу SSD-обновления;G1. The HLR generates a random number of SSD updates and calculates an authentication number corresponding to this random number of SSD updates;
Г2. терминал пользователя вновь вычисляет свои собственные SSD на основе указанного случайного числа SSD-обновления посредством исходного алгоритма системы для SSD-генерирования, а затем вычисляет аутентифицирующий номер, соответствующий случайному числу SSD-обновления, на основе вновь вычисленных SSD;G2. the user terminal again calculates its own SSDs based on the specified random number of SSD updates by the original system algorithm for SSD generation, and then calculates an authentication number corresponding to the random number of SSD updates based on the newly calculated SSDs;
Г3. оценка посредством сравнения согласования аутентифицирующего числа, вычисленного терминалом пользователя, и аутентифицирующего числа, вычисленного в HLR; если они согласованы, происходит обновление SSD на стороне терминала пользователя, в противном случае SSD-обновление не происходит.G3. estimation by comparing the agreement of the authentication number calculated by the user terminal and the authentication number calculated in the HLR; if they are agreed, the SSD is updated on the side of the user terminal; otherwise, the SSD update does not occur.
8. Способ по п.7, отличающийся тем, что шаг Г1 далее включает в себя8. The method according to claim 7, characterized in that step G1 further includes
Г11. HLR отправляет случайное число SSD-обновления (RADNSSD) и соответствующее аутентифицирующее число аутентифицирующему объекту;G11. The HLR sends a random SSD update number (RADNSSD) and the corresponding authentication number to the authenticating entity;
Г12. аутентифицирующий объект отправляет в AN сообщение Access-Challenge, содержащее сообщение EAP-Request/UIM/Update с RADNSSD.G12. the authenticating entity sends an Access-Challenge message containing an EAP-Request / UIM / Update message with RADNSSD to the AN.
Г13. AN отправляет сообщение EAP-Request/UIM/Update на терминал пользователя.G13. AN sends an EAP-Request / UIM / Update message to the user terminal.
9. Способ по п.8, отличающийся тем, что шаг Г2 включает в себя9. The method according to claim 8, characterized in that step G2 includes
Г21. после получения сообщения EAP-Request/UIM/Update, отправленного AN, терминал пользователя вычисляет новые SSD с использованием RADNSSD, случайным образом генерирует случайное число RANDBS, вычисляет аутентифицирующий номер AUTHBS, соответствующий RANDBS, на основе новых SSD, а затем отправляет RANDBS в AN посредством сообщения ЕАР-Response/UIM/Challenge;G21. after receiving an EAP-Request / UIM / Update message sent by AN, the user terminal calculates new SSDs using RADNSSD, randomly generates a random number of RANDBS, calculates the authentication number AUTHBS corresponding to RANDBS based on the new SSDs, and then sends RANDBS to AN by EAP-Response / UIM / Challenge messages;
Г22. AN отправляет сообщение EAP-Response/UIM/Challenge аутентифицирующему объекту; аутентифицирующий объект получает случайное число RANDBS запроса базовой станции и соответствующий аутентифицирующий номер запроса AUTHBS посредством взаимодействия с HLR, при этом указанный AUTHBS получен посредством вычисления на основе RANDBS и самостоятельно сохраненных SSD;G22. AN sends an EAP-Response / UIM / Challenge message to the authenticating entity; the authentication entity receives a random number of RANDBS requests from the base station and the corresponding authentication number of the AUTHBS request by interacting with the HLR, wherein said AUTHBS is obtained by computing based on RANDBS and self-stored SSDs;
Г23. аутентифицирующий объект отправляет в AN сообщение Access-Challenge, содержащее EAP-Request/UIM/Challenge с аутентифицирующим номером AUTHBS; после получения этого сообщения AN отправляет это сообщение на терминал пользователя.G23. the authentication entity sends an Access-Challenge message containing an EAP-Request / UIM / Challenge with the authentication number AUTHBS to the AN; after receiving this message, AN sends this message to the user terminal.
10. Способ по п.8, отличающийся тем, что шаг Г3 включает в себя10. The method according to claim 8, characterized in that the step G3 includes
Г31. после получения сообщения EAP-Request/UIM/Challenge терминал пользователя оценивает посредством сравнения согласован ли выделенный из него AUTHBS с AUTHBS, вычисленным им самим; если он согласован, происходит обновление SSD на стороне терминала, терминал пользователя успешно проходит аутентификацию аутентифицирующим объектом и отправляет сообщение ЕАР-Response/UIM/Success в AN;G31. after receiving the EAP-Request / UIM / Challenge message, the user terminal evaluates by comparing whether the selected AUTHBS is consistent with the AUTHBS calculated by himself; if it is agreed, the SSD is updated on the terminal side, the user terminal successfully authenticates with the authentication object and sends an EAP-Response / UIM / Success message to AN;
Г32. после получения этого сообщения AN отправляет аутентифицирующему объекту сообщение EAP-Response/UIM/Success, содержащее атрибуты соответствующего RADIUS; после получения этого сообщения аутентифицирующий объект обновляет SSD пользователя.G32. after receiving this message, the AN sends an EAP-Response / UIM / Success message containing the attributes of the corresponding RADIUS to the authenticating entity; after receiving this message, the authentication entity updates the user's SSD.
11. Способ по п.7, отличающийся тем, что указанные собственные SSD на шаге Г2 вычислены на основе указанного случайного числа SSD-обновления, электронного серийного номера ESN и A-key.11. The method according to claim 7, characterized in that said native SSDs in step G2 are calculated based on the specified random number of SSD updates, electronic serial number ESN and A-key.
12. Способ по п.1, отличающийся тем, что шаг А включает в себя12. The method according to claim 1, characterized in that step A includes
A1. AN отправляет запрос аутентификации на терминал пользователя;A1. AN sends an authentication request to the user terminal;
А2. после получения этого запроса аутентификации терминал пользователя считывает пользовательскую информацию, сохраненную в UIM, берет эту пользовательскую информацию в качестве собственного идентификатора пользователя и затем отправляет указанную пользовательскую информацию аутентифицирующему объекту через AN.A2. after receiving this authentication request, the user terminal reads the user information stored in the UIM, takes this user information as its own user identifier, and then sends the specified user information to the authentication object through AN.
13. Способ по п.11, отличающийся тем, что указанная AN соединена с терминалом пользователя посредством расширенного протокола аутентификации ЕАР или протокола аутентификации запроса CHAP.13. The method according to claim 11, characterized in that said AN is connected to a user terminal via an extended EAP authentication protocol or CHAP request authentication protocol.
14. Способ по п.12, отличающийся тем, при направлении запроса аутентификации посредством ЕАР, отправка запроса аутентификации терминалу пользователя по AN на шаге A1 происходит посредством сообщения ЕАР-Request/Identity; и14. The method according to p. 12, characterized in that when sending an authentication request via EAP, sending the authentication request to the user terminal by AN in step A1 occurs through the EAP-Request / Identity message; and
шаг А2 включает в себяstep A2 includes
А21. указанный терминал пользователя отправляет идентификатор пользователя в AN посредством сообщения ЕАР-Request/Identity;A21. said user terminal sends the user identifier to the AN through an EAP-Request / Identity message;
А22. после получения этого сообщения AN отправляет сообщение на основанный на UIM сервер аутентификации, авторизации и учета U-AAA посредством сообщения Access-Request, инициируя запрос аутентификации к U-ААА.A22. upon receipt of this message, the AN sends a message to the UIM-based authentication, authorization and accounting server of the U-AAA via the Access-Request message, initiating an authentication request to the U-AAA.
15. Способ по п.1, отличающийся тем, что шаг Б далее включает в себя: U-ААА отправляет терминалу пользователя по AN полученное второе случайное число для аутентификации терминала пользователя.15. The method according to claim 1, characterized in that step B further includes: U-AAA sends to the user terminal via AN the received second random number for authentication of the user terminal.
16. Способ по п.15, отличающийся тем, что шаг отправки второго случайного числа на терминал пользователя посредством AN на шаге Б включает в себя16. The method according to clause 15, wherein the step of sending the second random number to the user terminal by the AN in step B includes
Б1. аутентифицирующий объект вкладывает указанное второе случайное число в сообщение EAP-Request/UIM/Challenge и отправляет это сообщение в AN посредством сообщения Access-Challenge;B1. an authentication entity embeds said second random number in an EAP-Request / UIM / Challenge message and sends this message to the AN through an Access-Challenge message;
Б2. после получения сообщения Access-Challenge, отправленного из аутентифицирующего объекта, AN выделяет сообщение ЕАР-Request/UIM/Challenge из сообщения Access-Challenge и отправляет выделенное сообщение на терминал пользователя.B2. after receiving the Access-Challenge message sent from the authentication entity, the AN selects the EAP-Request / UIM / Challenge message from the Access-Challenge message and sends the highlighted message to the user terminal.
17. Способ по п.1, отличающийся тем, что шаг В далее включает в себя после получения первого аутентифицирующего номера посредством вычисления терминал пользователя отправляет первый аутентифицирующий номер аутентифицирующему объекту по AN.17. The method according to claim 1, characterized in that step B further includes, after obtaining the first authentication number by calculation, the user terminal sends the first authentication number to the authenticating entity via AN.
18. Способ по п.17, отличающийся тем, что шаг отправки терминалом пользователя первого аутентифицирующего номера аутентифицирующему объекту по AN на шаге В включает в себя18. The method according to 17, characterized in that the step of sending by the user terminal the first authentication number to the authenticating entity by AN in step B includes
В1. терминал пользователя отправляет первый аутентифицирующий номер в AN посредством сообщения EAP-Response/UIM/Challenge;IN 1. the user terminal sends the first authentication number to the AN through an EAP-Response / UIM / Challenge message;
В2. AN вкладывает полученное сообщение EAP-Response/UIM/Challenge в сообщение Access-Request и отправляет это сообщение с вложением аутентифицирующему объекту.IN 2. AN attaches the received EAP-Response / UIM / Challenge message to the Access-Request message and sends this message with an attachment to the authenticating entity.
19. Способ по п.1, далее включающий в себя при выполнении шага В: аутентифицирующий объект уведомляет терминал пользователя по AN о том, что аутентификация успешна/неудачна.19. The method according to claim 1, further including when performing step B: the authentication object notifies the user terminal by AN that the authentication is successful / unsuccessful.
20. Способ по п.5, отличающийся тем, что между указанным аутентифицирующим объектом и HLR установлена связь посредством протокола ANSI-41D.20. The method according to claim 5, characterized in that between the specified authentication object and the HLR, communication is established using the ANSI-41D protocol.
21. Способ по п.1, отличающийся тем, что указанная AN включает в себя беспроводную локальную сеть WLAN.21. The method according to claim 1, characterized in that said AN includes a wireless local area network WLAN.