WO2006047956A1 - Cadre d'authentification general et procede de mise a jour des informations de description de securite utilisateur dans le bsf - Google Patents

Cadre d'authentification general et procede de mise a jour des informations de description de securite utilisateur dans le bsf Download PDF

Info

Publication number
WO2006047956A1
WO2006047956A1 PCT/CN2005/001845 CN2005001845W WO2006047956A1 WO 2006047956 A1 WO2006047956 A1 WO 2006047956A1 CN 2005001845 W CN2005001845 W CN 2005001845W WO 2006047956 A1 WO2006047956 A1 WO 2006047956A1
Authority
WO
WIPO (PCT)
Prior art keywords
bsf
hss
uss
user
guss
Prior art date
Application number
PCT/CN2005/001845
Other languages
English (en)
French (fr)
Inventor
Yingxin Huang
Xiaoqin Duan
Wenlin Zhang
Original Assignee
Huawei Technologies Co., Ltd.
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Huawei Technologies Co., Ltd. filed Critical Huawei Technologies Co., Ltd.
Publication of WO2006047956A1 publication Critical patent/WO2006047956A1/zh

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities

Definitions

  • the present invention relates to the field of third generation wireless communication technologies, and in particular to a general authentication framework and a method for updating user security description information in a BSF. Background of the invention
  • the universal authentication framework is a general structure used by various application service entities to complete the verification of the user identity, and the universal authentication framework can be used to check and verify the users of the application service.
  • Identity may be a multicast/broadcast service, a user certificate service, an information immediate service, or an agent service.
  • FIG. 1 shows the structure of the general authentication framework.
  • the universal authentication framework is typically comprised of a User Terminal (UE) 101, an entity (BSF) 102 that performs User Identity Initial Check Verification, a User Home Network Server (HSS) 103, and a Network Application Entity (NAF) 104.
  • the BSF 102 is configured to perform identity mutual authentication with the user terminal 101, and simultaneously generate a shared key of the BSF 102 and the UE 101.
  • the HSS 103 stores a profile file for describing user information, where the profile includes a general authentication framework.
  • the core authentication part also includes user security related description information related to the GBA, wherein the user security description information related to a certain service in the universal authentication framework is called USS (User Security Setting), and universal The user security description information related to all services in the authentication framework is called GUSS (GBA User Security Settings), and USS is an element in GUSS.
  • HSS 103 also has the function of generating authentication vector information.
  • a user When a user needs to use a certain service, if it knows that it needs to first authenticate to the BSF, it will directly contact the BSF for mutual authentication. Otherwise, the user will first use the NAF corresponding to the service. Contact, if the NAF uses the universal authentication framework, and finds that the requesting user has not yet authenticated to the BSF, the requesting user is notified to the BSF for mutual authentication to verify the identity.
  • the process of verifying the identity of the user to the BSF is:
  • the UE sends an authentication request to the BSF, where the authentication request message includes the permanent identity of the user, and after receiving the authentication request from the user, the BSF requests the HSS for the authentication vector of the user.
  • the information and the user security description information, the request message also includes the permanent identity of the user terminal, and the HSS finds the profile file of the user according to the user identity of the user terminal and generates an authentication vector, and then the HSS returns the BSF to the BSF.
  • Weight vector and GUSS Since each group of authentication vectors can only be used once, the HSS can return the authentication vector information that is used only once for the BSF.
  • the HSS usually returns multiple sets of authentication vector information to the BSF.
  • the BSF performs mutual authentication by performing an authentication and key agreement protocol (AKA) with the UE based on the obtained authentication vector information.
  • AKA authentication and key agreement protocol
  • the UE and the BSF authenticate each other and simultaneously generate a shared key Ks, and the BSF defines an expiration date for the key Ks to update the key Ks.
  • the BSF assigns a session transaction identifier (B-TID) to the UE, the B-TID is associated with Ks, and the expiration date of the B-TID, the user's permanent identity, the key Ks, and the key Ks locally.
  • B-TID session transaction identifier
  • the information is saved in association, and then the B-TID is sent to the UE, and the message also includes the expiration date of the Ks.
  • the shared key Ks is used as the root key and does not leave the user's UE and BSF.
  • the key derived from Ks will be used.
  • the UE After receiving the B-TID, the UE sends a connection request to the NAF.
  • the B-TID is carried in the request message, and the user side calculates the derived key Ks-NAF according to the Ks.
  • the NAF first queries whether the B-TID is carried by the user. If the NAF cannot query the B-TID locally, the NAF queries the BSF, and the request for the inquiry carries the NAF identifier and the B. -TID. If the NAF receives unqueried information from the BSF, then Notify the user to the BSF for authentication and authentication.
  • the NAF receives the success response message from the BSF, it considers that the UE is a BSF-authenticated legitimate user, and the NAF and the UE also share the Ks-derived key Ks-NAF.
  • the NAF and the UE perform communication protection through Ks-NAF in the subsequent communication process.
  • the above successful response includes the B-TID required by the NAF, the derived key Ks_NAF corresponding to the B-TID, and the expiration date set by the BSF for the key.
  • the NAF can request one or more USSs at the same time according to the service type of the application.
  • the BSR After the BSF queries the B-TID and processes the key information related to the B-TID, the BSR sends the related USS to the NAF according to the local policy and the request information of the NAF.
  • the NAF instructs the BSF to query the B-TID, and indicates that the USS needs to be related to the user certificate service of the user. That is, the operator's policy, after the NAF is entitled to receive, carries the USS in the returned success message, and the NAF saves the received USS information.
  • the USS of the user certificate service includes information such as the certificate level that the user can apply for. The information is set when the user subscribes to the service. The NAF determines whether the user can generate and send the certificate requested by the user according to the information.
  • the HSS After the HSS returns the authentication vector information and the USS to the BSF, the HSS is not responsible for updating the information that has been sent, that is, the HSS does not send the updated USS to the BSF. Therefore, when the information ordered by the user changes, the BSF cannot be known in time. Therefore, it is impossible for NAF to obtain the updated USS in time, which will cause problems in the business process between the UE and the NAF, and the satisfaction of the user. decline.
  • the user certificate service originally ordered by the user is only a primary certificate, and cannot be used for advanced applications such as digital signature.
  • the user modifies the order information and upgrades to the advanced certificate, since the HSS does not actively send the modified USS or GUSS to the BSF, Then, if the Ks does not expire or the BSF has the authentication vector information that can be used without applying for the new authentication vector information to the HSS, the user saves the USS in the BSF. Or GUSS will not be updated for a long time. Therefore, the user can only apply the primary certificate service.
  • the HSS When the BSF requests the HSS for a user's USS or GUSS, the HSS maintains a session connection with the BSF for the user and maintains state information related to the session. That is, between HSS and BSF, HSS maintains a session connection for each user. In the process of session connection, if the user's subscription information changes, HSS will proactively notify the BSF. If you wish to terminate a session connection, the BSF needs to send a message to the HSS to terminate the session, otherwise the HSS will maintain the session connection.
  • the session connection for the user must be maintained between the HSS and the BSF, which not only seriously burdens the BSF and the HSS, but also Extremely wasteful of resources. Because users do not frequently update USS or GUSS, 99% of the resources maintained are idle. However, if the user frequently uses various services in the universal authentication framework, the maintained session connection is basically not terminated, which is unbearable for both BSF and HSS. Summary of the invention
  • a main object of the present invention is to provide a method for updating user security description information in a BSF, which ensures that user security description information in the BSF can be updated in time and save resources.
  • Another main object of the present invention is to provide an architecture for three general authentication frameworks to facilitate updating user security description information in the BSF while providing operators with multiple application options.
  • the user home network server HSS After receiving the request from the BSF for the authentication vector information of a certain user and the user security description information GUSS related to all services in the universal authentication framework, the user home network server HSS generates the authentication vector information and requests the BSF. After the GUSS identifier is sent to the BSF, the authentication vector information of the user and the GUSS requested by the BSF are returned to the BSF; when the user security description information related to one or several services in the universal authentication framework is updated by the USS Afterwards, the HSS determines whether the GUSS to which the USS belongs has been identified as being sent to the BSF, and if yes, sends a message that the user security description information is updated to the BSF, and the BSF performs an update operation, otherwise no processing is performed.
  • the method further comprises:
  • the element in the USS that affects the user's service is identified as needing notification
  • the HSS After the USS is updated, the HSS first determines whether the updated element in the USS has been identified as requiring notification. If yes, it determines whether the GUSS to which the USS belongs has been identified as being sent to the BSF, and continues the subsequent processing. Otherwise, Do the processing.
  • the method further includes: preset timing time, when the HSS identifies the GUSS requested by the BSF as being sent to the BSF, and starts timing, if the HSS has not received the BSF request after the timing time arrives.
  • preset timing time when the HSS identifies the GUSS requested by the BSF as being sent to the BSF.
  • the message that the user security description information is sent by the HSS includes the specific content of the updated USS.
  • the BSF performs the update operation as follows: The BSF determines whether there is a GUSS belonging to the USS in the local area. If yes, the original USS information is deleted, and the updated USS is saved. Otherwise, the message is ignored.
  • the message that the user security description information is sent by the HSS includes: notifying the BSF to update the information of the USS;
  • the process of the BSF performing the update operation is: the BSF determines whether there is a GUSS to which the USS belongs, and if not, ignores the message; if yes, requests the updated USS from the HSS, and the HSS restarts the GUSS requested by the BSF.
  • the updated USS is sent to the BSF, and the BSF deletes the original USS information and saves the updated USS.
  • the message that the user security description information is sent by the HSS includes: the identity of the updated user and the updated USS information;
  • the BSF performs the update operation as follows: The BSF determines whether there is a GUSS to which the updated USS belongs, and if so, deletes the original USS information and saves the updated USS. Otherwise, the message is ignored or not processed. .
  • the message updated by the user security description information sent by the HSS includes one or more updated user identity identifiers
  • the BSF performs the update operation as follows: The BSF determines whether there is a GUSS to which the USS corresponding to the identifier belongs, and if not, ignores the message; if yes, requests the updated USS from the HSS, and the HSS restarts. After the timed time of the BSS requested by the BSF has been sent to the BSF, the BSF requests the updated USS to the BSF. The BSF deletes the original USS information, saves the updated USS, or does not process.
  • the method further includes: when the BSF sends the USS to the NAF, the association saves the identifier of the NAF and the USS of the request; after the BSF updates the USS, sends a message that the user security description information is updated to the NAF, and the NAF performs the update. operating.
  • the message that the user security description information sent by the BSF is updated includes the specific content of the updated USS.
  • the NAF performs the update operation as follows: The NAF deletes the original USS information, and saves and enables the updated USS.
  • the message that the user security description information sent by the BSF is updated includes: Know that NAF updates the USS information;
  • the NAF performs the update operation as follows: The NAF requests the updated USS from the BSF. After the BSF sends the updated USS to the NAF, the NAF deletes the original USS information, and saves and enables the updated uss.
  • the method further comprises:
  • the NAF After receiving the notification of the USS update from the user, the NAF actively requests the BSF to update the USS of the user, and the request includes information related to its own existing version;
  • the BSF determines whether the version of the USS saved by itself is newer than the existing version in the NAF. If yes, it directly returns the updated USS to the NAF. Otherwise, after requesting the HSS to update the USS, The updated USS is returned to the NAF;
  • the NAF After receiving the above return information, the NAF deletes the original USS information and saves and enables the updated USS.
  • the method further comprises: after the HSS restarts, sending a notification to the BSF that it has restarted, and the BSF determines whether it needs to perform an operation of updating the USS.
  • the user home network server HSS consists of an entity having functions for performing a basic authentication function and for providing user security description information related to the universal authentication framework.
  • the user home network server HSS is composed of an entity HSS-B having a basic authentication function and an entity HSS-G having user security description information related to the universal authentication framework, and Said HSS-G communicates directly with BSF and HSS-B;
  • the HSS-G After receiving the request vector information and GUSS request from the BSF from the BSF, the HSS-G requests the HSS-B for the authentication vector information of the user, and the HSS-B sends the authentication vector information generated by itself to the HSS.
  • the HSS-G identifies the GUSS of the user that it has saved as being sent to the BSF, and then returns the authentication vector information obtained from the HSS-B and the GUSS of the user saved by itself to the BSF;
  • the HSS-G determines whether the GUSS to which the USS belongs has been identified as being sent to the BSF, and if yes, sends a message to the BSF to update the user security description information.
  • the BSF performs the update operation, otherwise it does not process it.
  • the user home network server HSS is composed of an entity HSS-B having a basic authentication function and an entity HSS-G having user security description information related to the universal authentication framework, and the HSS- B communicates directly with BSF and HSS-G;
  • the HSS-B When the HSS-B receives the request for authentication information from the BSF and the GUSS request from the BSF, it requests the user's GUSS from the HSS-G, and the HSS-G identifies the GUSS of the user that it has saved as being sent to the BSF. After being sent to the HSS-B, the HSS-B returns the authentication vector information generated by itself and the GUSS obtained from the HSS-G to the BSF;
  • the HSS-G determines whether the GUSS to which the USS belongs has been identified as being sent to the BSF, and if so, sends the user security description information update to the BSF through the HSS-B. The message is executed by the BSF, otherwise it will not be processed.
  • the user home network server HSS is composed of an entity HSS-B having basic authentication information, and an entity HSS-G having user security description information related to the universal authentication framework, and the HSS- B and HSS-G communicate directly with the BSF;
  • the HSS-B After receiving the request from the BSF for requesting the authentication vector information of a certain user, the HSS-B returns the authentication vector information generated by itself to the BSF;
  • the HSS-G After receiving the request from the BSF for the GUSS of the user, the HSS-G identifies the GUSS of the user as being sent to the BSF, and then returns the GUSS to the BSF;
  • a general authentication framework includes a user terminal 101, an entity BSF 102 performing a user identity initial check verification, and a network service application entity NAF 104.
  • the universal authentication framework further includes: an entity HSS-B 103b having a basic authentication function, And an entity HSS-G 103a having user security description information related to a general authentication framework, wherein
  • the HSS-G 103a is configured to directly receive the request for the authentication vector information and the GUSS of the user from the BSF 102; or, to identify the GUSS of the user that is saved by itself as being sent to the BSF; or, The authentication vector information obtained from the HSS-B and the GUSS saved by itself and identified as being sent to the BSF are returned to the BSF; or used to determine whether the update of one or several USS needs to notify the BSF, and is judged After the notification is required, the BSF is directly sent a message for updating the user security description information;
  • the HSS-B 103b is configured to receive authentication vector information requesting a user from the HSS-G 103a, generate authentication vector information, and return the generated authentication vector information to the HSS-G 103a.
  • a general authentication framework includes a user terminal 101, an entity BSF 102 performing a user identity initial check verification, and a network service application entity NAF 104.
  • the universal authentication framework further includes: an entity HSS-B 103b having basic authentication information, And an entity HSS-G 103a having user security description information related to a general authentication framework, wherein
  • the HSS-B 103b is configured to directly receive the request for authentication vector information and GUSS from the BSF 102 to request a user; or, send the GUSS obtained from the HSS-G 103a and the authentication vector information generated by itself to the BSF;
  • the HSS-G 103a is configured to receive a request from the HSS-B 103b to request a GUSS of a certain user, identify the GUSS of the user saved by itself as being sent to the BSF, and then send the GUSS to the HSS-B 103b. Or, it is used to determine whether the update of one or several USS needs to notify the BSF, and after determining that the notification is needed, the message of the user security description information update is sent to the BSF through the HSS-B 103b.
  • a general authentication framework includes a user terminal 101, an entity BSF 102 performing a user identity initial check verification, and a network service application entity NAF 104.
  • the universal authentication framework further includes: an entity HSS-B 103b having base authentication information, And an entity HSS-G 103a having user security description information related to a general authentication framework, wherein
  • the HSS-B 103b is configured to directly receive the authentication vector information of the requesting user from the BSF 102, and send the authentication vector information generated by itself to the BSF;
  • the HSS-G 103a is configured to directly receive a request from the BSF 102 for requesting a user GUSS, and after identifying the GUSS of the user saved as being sent to the BSF, returning the GUSS that has been identified as being sent to the BSF to the BSF Or, it is used to determine whether the update of one or several USS needs to notify the BSF, and after determining that the notification is needed, directly send the user security update information update message to the BSF.
  • the HSS After the HSS receives the request for the authentication vector information and the user security description information of the user from the BSF, the HSS generates the authentication vector information, and identifies the user security description information requested by the BSF as being sent to the BSF. The authentication vector information of the user and the user security description information requested by the BSF are returned to the BSF.
  • the HSS determines whether the GUSS to which the updated USS belongs has been identified as being sent to the BSF. If yes, send a message that the user security description information is updated to the BSF, and the BSF performs an update operation, otherwise the processing is not performed.
  • the application of the invention ensures that the user security description information in the BSF can be updated in time, saves resources, prevents possible errors in the business process, and improves user satisfaction.
  • the present invention also provides three general authentication frameworks, which not only facilitates updating the user security description information in the BSF, but also provides operators with various options to facilitate the application of the operator.
  • FIG. 1 is a schematic structural diagram of a general authentication framework of the prior art
  • FIG. 2 is a flow chart showing the process of updating user security description information in the BSF to which the present invention is applied;
  • FIG. 3 is a schematic diagram showing the structure of a general authentication framework to which the first embodiment of the present invention is applied;
  • FIG. 4 is a schematic diagram showing the structure of a general authentication framework to which the second embodiment of the present invention is applied;
  • FIG. 5 is a diagram showing an application of the present invention.
  • Fig. 2 is a flow chart showing the process of updating user security description information in the BSF to which the present invention is applied.
  • Step 201 In order to use a certain service, the UE sends an authentication request to the BSF.
  • Step 202 After receiving the foregoing request, the BSF requests the HSS for the authentication vector information and the GUSS of the user.
  • Step 203 The HSS generates the authentication vector information, and after finding the GUSS of the user, identifies the GUSS as being sent to the BSF. For example, the sent identifier is “Yes”, and the unsent identifier is “No”.
  • the HSS in order to prevent the flag from being always "yes", if the HSS has not received the BSF requesting the information of the GUSS identified as "Yes" for a predetermined period of time, the identity of the GUSS is re-identified as "no". The reason why this can be done is because if the user is in the activity of frequently using the general authentication framework business, then he must constantly perform authentication. When the BSF local authentication data is used up, the request is made to the HSS. Trigger the process of requesting authentication vector information and GUSS, so if HSS is in a long period of time Neither has received the BSF requesting authentication vector information for the user, and the user can be considered to be inactive. Therefore, the HSS can automatically change "yes” to "no” to avoid triggering unnecessary processes. This length of time can be set by the operator according to the operation.
  • Step 204 The HSS returns the authentication vector information and the GUSS of the user to the BSF.
  • Step 206 The UE sends a service request including a B-TID to the NAF.
  • Step 207 After determining that the local B-TID is not available, the NAF queries the BSF.
  • the query information includes the B-TID of the user and the identifier of the USS required by the NAF.
  • the NAF may require one USS or multiple USSs.
  • Step 208 After the BSF finds the B-TID, generates related key information, and returns the relevant key information and the USS to the NAF according to the local policy, that is, the preset of the operator, and the requested NAF.
  • the logo is saved in association with the USS.
  • Step 209 The NAF to the BSF confirms the identity of the user and obtains relevant information, and then performs normal service communication with the user.
  • Step 210 Update one or several USSs of the user.
  • the HSS needs to determine if the BSF needs to be notified. Because some elements of the USS have a great impact on the user's business, some of the changes to the element have no impact on the user's business. Therefore, changes to all elements in the USS are usually not required to notify the BSF. Therefore, the elements in the USS are generally identified. If the change of the element affects the user's business, the element must be notified with the BSF identifier, such as "need notification".
  • the HSS first It is determined whether the updated element has been identified as "need notification”, if not, no processing is performed, and if so, it is determined whether the GUSS to which the USS belongs has been identified as "Yes", and if so, step 211 is performed. Otherwise, no processing will be done.
  • Step 211 The HSS sends a message for updating the user security description information to the BSF, by the BSF. Perform an update operation.
  • the BSF determines whether there is a GUSS to which the USS belongs. If yes, step 214 is performed; otherwise, the Message.
  • the BSF determines whether there is a GUSS to which the USS belongs, and if so, performs step 212, if not, ignores Drop the message.
  • Step 212 The BSF requests the updated user security description information from the HSS.
  • Step 213 The HSS restarts the timing of the "Yes" flag of the GUSS requested by the BSF, and then sends the updated USS in the GUSS to the BSF.
  • Step 214 The BSF deletes the original USS information and saves the updated USS.
  • Step 215 After the BSF updates the USS, the user sends a message indicating that the user security description information is updated to the NAF. If the update message includes the specific content of the updated USS, the specific content received by the NAF deletes the original USS information, and is saved and enabled. The updated USS ends; if the update message includes only the information notifying the NAF to update the USS, after the NAF receives the message, step 216 is performed.
  • Step 216 The NAF requests the updated user security description information from the BSF.
  • Step 217 after receiving the message containing the specific content of the USS, the NAF deletes the original
  • the user security description information in the BSF is guaranteed to be updated in time, and resources are saved, and the user security description information in the NAF is also updated in time.
  • a batch operation may also be performed, that is, when there are multiple user letters in the HSS
  • the updated user ID and the updated USS may be carried in the message, or only all updated user identifiers may be carried.
  • the BSF may, according to its own situation, or Request the USS of the user it needs to update, or do not process it.
  • the user knows that his order information has been updated, that is, after the USS update, when the user requests the service from the NAF, the NAF is explicitly instructed to update the USS saved by itself.
  • the NAF actively requests the BSF for the new USS, and the request includes information related to its own existing version; after receiving the above request, the BSF determines whether the version of the USS saved by itself is more than the existing version in the NAF. If yes, return the updated USS to the NAF. Otherwise, after requesting the HSS to update the USS, return the updated USS to the NAF. After receiving the above return information, the NAF deletes the original information and saves it. Enable the updated USS.
  • the user security description information in the NAF may not be actively updated, but when the NAF returns to the BSF to query the B-TID of the user, the new USS is sent to the NAF.
  • This approach does not require any additional information and processes, but the delay is relatively large.
  • the HSS may be restarted in some very special cases. After the HSS restarts, it sends a notification to the BSF that it has restarted. The BSF decides whether it needs to perform the update of the USS.
  • the present invention also provides several general authentication frameworks, which are specifically described below.
  • FIG. 3 is a schematic diagram showing the structure of a general authentication framework to which the first embodiment of the present invention is applied.
  • the universal authentication framework of the embodiment includes a user terminal 101, a BSF 10 2 and a NAF 104, wherein the universal authentication framework further includes: an entity (HSS-B) 103b having a basic authentication function, and having The entity (HSS-G) 103a of the user security description information related to the universal authentication framework, and the HSS-G 103a communicates directly with the BSF 102 and the HSS-B 103b, respectively.
  • the HSS-G 103a is configured to directly receive the request for the authentication vector information and the GUSS of the user from the BSF 102; or, to identify the GUSS of the user that is saved by itself as being sent to the BSF; or, The authentication vector information obtained from the HSS-B and the GUSS saved by itself and identified as being sent to the BSF are returned to the BSF; or used to determine whether the update of one or several USS needs to notify the BSF, and is judged After the notification is required, the BSF is sent a message that the user security description information is updated;
  • the HSS-B 103b is configured to receive authentication vector information requesting a user from the HSS-G 103a, generate authentication vector information, and return the generated authentication vector information to the HSS-G 103a.
  • FIG. 4 is a schematic structural diagram of a general authentication framework to which Embodiment 2 of the present invention is applied.
  • the universal authentication framework in this embodiment includes a user terminal 101, a BSF 102, and an NAF 104, wherein the universal authentication framework further includes: an entity (HSS-B) 103b having a basic authentication function, and having a universal The entity of the user security description information (HSS-G) 103a related to the authentication framework, and the HSS-B 103b communicates directly with the BSF 102 and the HSS-G 103a, respectively.
  • the specific process is:
  • the HSS-B 103b is configured to directly receive the request for authentication vector information and GUSS of the user from the BSF 102; or, send the GUSS obtained from the HSS-G 103a and the authentication vector information generated by itself to the BSF;
  • the HSS-G 103a is configured to receive a request from the HSS-B 103b to request a GUSS of a certain user, identify the GUSS of the user saved by itself as being sent to the BSF, and then send the GUSS to the HSS-B 103b. Or, it is used to determine whether the update of one or several USS needs to notify the BSF, and after determining that the notification is needed, the message of the user security description information update is sent to the BSF through the HSS-B 103b.
  • FIG. 5 is a schematic structural diagram of a general authentication framework to which the third embodiment of the present invention is applied.
  • the universal authentication framework in this embodiment includes a user terminal 101, a BSF 102, and a NAF 104,
  • the universal authentication framework further includes: an entity (HSS-B) 103b having a basic authentication function, and an entity (HSS-G) 103a having user security description information related to the universal authentication framework, and
  • the HSS-B 103b and HSS-G 103a communicate directly with the BSF 102, respectively.
  • the specific process is:
  • the HSS-B 103b is configured to directly receive the authentication vector information of the requesting user from the BSF 102, and send the authentication vector information generated by itself to the BSF;
  • the HSS-G 103a is configured to directly receive a request from the BSF 102 for requesting a user GUSS, and after identifying the GUSS of the user saved as being sent to the BSF, returning the GUSS that has been identified as being sent to the BSF to the BSF Or, it is used to determine whether the update of one or several USS needs to notify the BSF, and after determining that the notification is needed, directly send the user security update information update message to the BSF.
  • the HSS-G 103a sends the GUSS that has been identified as being sent to the BSF to the BSF, The timing is started, or the timing of restarting the GUSS of the one or several USSs is restarted after the update of the USS is determined.
  • the HSS can be composed of one entity as shown in Figure 1, or by Figure 3.
  • the multiple entity components shown in 4, 5, that is, the functions for completing the basic authentication function and for providing user security description information related to the universal authentication framework may be on the same entity or on different entities.
  • the method for updating the user security description information in the BSF in FIG. 2 is applicable not only to the general authentication framework shown in FIG. 1, but also to the general authentication framework shown in FIGS. 3, 4, and 5.
  • Step 203 described in FIG. 2 correspondingly becomes: After receiving the request for authentication information of a certain user and the GUSS from the BSF, the HSS-G requests the user from the HSS-B. Authentication vector information, HSS-B will generate its own authentication vector information After being sent to the HSS-G, the HSS-G identifies the GUSS of the user that has been saved as being sent to the BSF, and then returns the authentication vector information acquired from the HSS-B and the GUSS of the user saved by itself to the BSF; Step 210 correspondingly becomes: When one or several USSs are updated and need to notify the BSF, it is determined by the HSS-G whether the GUSS to which the updated USS belongs has been identified as "Yes", and if so, the user security is sent to the BSF.
  • the information describing the information update is performed by the BSF, otherwise the processing is not performed; the step 211 is correspondingly changed to: the HSS-G sends a message that the user security description information is updated to the BSF; Step 213 correspondingly becomes: HSS-G restarts the GUSS After the "yes" of the identified time, the updated USS in the GUSS is sent directly to the BSF.
  • the step 203 described in FIG. 2 correspondingly becomes: when the HSS-B receives the request for authentication information of a certain user and the GUSS from the BSF, requests the user from the HSS-G.
  • the GUSS, HSS-G identifies the GUSS of the user saved by itself as sent to the BSF, and sends it to the HSS-B.
  • the HSS-B returns the authentication vector information generated by itself and the GUSS obtained from the HSS-G to the BSF.
  • Step 211 correspondingly becomes: When one or several USSs are updated and need to notify the BSF, it is determined by the HSS-G whether the GUSS to which the updated USS belongs has been identified as being sent to the BSF, and if so, through the HSS-B Sending a message to the BSF to update the user security description information, and performing an update operation by the BSF, otherwise the processing is not performed; Step 213 correspondingly becomes: After the HSS-G restarts the "Yes" of the GUSS, the updated time in the GUSS is updated. The USS is sent to the BSF via HSS-B.
  • the HSS-B needs to undertake the transit function; when the authentication is performed, it can be done by the HSS-B alone without having any influence on the HSS-G.
  • the step 203 described in FIG. 2 correspondingly becomes: when the HSS-B receives a request from the BSF for requesting authentication vector information of a certain user, it generates the self.
  • the authentication vector information is returned to the BSF; after receiving the request from the BSF for requesting a user GUSS, the HSS-G identifies the GUSS of the user that has been saved as being sent to the BSF, and then returns the GUSS to the BSF;
  • Step 211 correspondingly becomes: When one or several USS updates and needs to notify the BSF, it is determined by the HSS-G whether the GUSS to which the updated USS belongs has been identified as "Yes", and the subsequent processing is continued; : HSS-G restarts the updated USS in GUSS to the BSF after restarting the "YES" of the GUSS.
  • the update of the USS can be done by the HSS-G alone; when the authentication is performed, it can be done separately by the HSS-B, and the two entities do not affect each other.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Mobile Radio Communication Systems (AREA)

Description

通用鉴权框架及更新 BSF中用户安全描述信息的方法 技术领域
本发明涉及第三代无线通信技术领域， 特别是涉及通用鉴权框架及 更新 BSF中用户安全描述信息的方法。 发明背景
在第三代无线通信标准中， 通用鉴权框架是多种应用业务实体使用 的一个用于完成对用户身份进行验证的通用结构， 应用通用鉴权框架可 实现对应用业务的用户进行检查和验证身份。 上述多种应用业务可以是 多播 /广播业务、 用户证书业务、 信息即时提供业务等， 也可以是代理业 务。
图 1所示为通用鉴权框架的结构示意图。 通用鉴权框架通常由用户 终端 （UE ) 101、 执行用户身份初始检查验证的实体（BSF ) 102、 用户 归属网络服务器（HSS ) 103和网络应用实体（NAF ) 104组成。 BSF 102 用于与用户终端 101进行身份互验证， 同时生成 BSF 102与 UE 101的 共享密钥； HSS 103中存储有用于描述用户信息的描述（Profile )文件， 该 Profile中包括通用鉴权框架中的核心鉴权部分（ GBA )，还包括与 GBA 相关的用户安全相关的描述信息， 其中， 与通用鉴权框架中某一个业务 相关的用户安全描述信息称为 USS ( User Security Setting ), 与通用鉴权 框架中所有业务相关的用户安全描述信息称为 GUSS( GBA User Security Settings ), USS是 GUSS中的元素。 同时 HSS 103还兼有产生鉴权矢量 信息的功能。
用户需要使用某种业务时 ,如果其知道需要首先到 BSF进行互鉴权， 则直接与 BSF联系进行互鉴权，否则，用户会首先和该业务对应的 NAF 联系， 如果该 NAF使用通用鉴权框架， 并且发现发出请求的用户还未 到 BSF进行互鉴权， 则通知发出请求的用户到 BSF进行互鉴权以验证 身份。
用户到 BSF验证身份的过程是： UE向 BSF发出鉴权请求， 该鉴权 请求消息中包括用户的永久身份标识， BSF接到来自用户的鉴权请求后， 向 HSS请求该用户的鉴权矢量信息及用户安全描述信息，该请求消息中 也包含了该用户终端的永久身份标识 , HSS根据该用户终端的用户身份 标识查找到该用户的 profile文件并且生成鉴权矢量， 之后 HSS给 BSF 返回鉴权矢量及 GUSS。 由于每组鉴权矢量只能使用一次， 因此 HSS可 以给 BSF返回只够一次使用的鉴权矢量信息，但从节省接口信令资源的 角度考虑， HSS通常都会给 BSF返回多组鉴权矢量信息以供多次鉴权使 用。 BSF根据所获取的鉴权矢量信息与 UE之间执行鉴权和密钥协商协 议 ( AKA )进行互鉴权。 鉴权成功后， UE和 BSF之间互相认证了身份 并且同时生成了共享密钥 Ks, BSF为该密钥 Ks定义一个有效期限， 以 便密钥 Ks进行更新。 之后， BSF分配一个会话事务标识（B-TID )给 UE, 该 B-TID与 Ks相关联， 并在本地对该 B-TID、 用户的永久身份标 识、 密钥 Ks及密钥 Ks的有效期限等信息进行关联保存， 然后再将该 B-TID发送给 UE, 该消息中同时包含了 Ks的有效期限。
共享密钥 Ks是作为根密钥来使用的， 不会离开用户的 UE和 BSF, 当用户和 NAF通信时， 将使用由 Ks衍生出的密钥。
UE收到这个 B-TID后， 重新向 NAF发出连接请求， 该请求消息中 携带了该 B-TID, 同时用户侧根据 Ks计算出衍生密钥 Ks—NAF。 NAF 收到请求后，先在本地查询是否有用户携带的该 B-TID,如果 NAF不能 在本地查询到该 B-TID, 则向 BSF进行查询， 该清求查询消息中携带了 NAF标识和 B-TID。 如果 NAF接收到来自 BSF的未查询到的信息， 则 通知用户到 BSF进行认证鉴权。 如果 NAF收到来自 BSF的成功响应消 息后，就认为该 UE是经过 BSF认证的合法用户， 同时 NAF和 UE也共 享了由 Ks衍生的密钥 Ks— NAF。 NAF和 UE在后面的通信过程中通过 Ks— NAF进行通信保护。 上述成功的响应中包括 NAF所需的 B-TID, 与 该 B-TID对应的衍生密钥 Ks— NAF，以及 BSF为该密钥设置的有效期限。
在 NAF向 BSF查询 B-TID的消息中同时， 根据用户请求应用的业 务类型指示出自身需要的 USS, NAF可以同时请求一个或者多个 USS。 如果 BSF查询到该 B-TID并处理完毕与该 B-TID相关的密钥信息后， 则根据本地策略及 NAF的请求信息将相关的 USS发送给 NAF。
例如，假设用户请求的是用户证书业务， 即 NAF执行证书服务器的 功能， 那么 NAF在向 BSF查询 B-TID的同时， 指示自身需要与该用户 的用户证书业务相关的 USS, BSF根据本地策略， 即运营商的策略， 认 为该 NAF有权得到后， 在返回的成功消息中携带 USS, NAF将接收到 的 USS信息保存。 用户证书业务的 USS中包括用户可以申请证书等级 等信息， 这些信息是用户定购该业务时制定的， NAF则根据这些信息确 定是否能够给用户生成并发送该用户请求的证书。
在 HSS给 BSF返回鉴权矢量信息及 USS后， HSS并不负责更新这 些已经发送出去的信息， 即 HSS并不将已更新的 USS发送给 BSF。 因 而当用户定购的信息发生变化后， BSF是不能够及时知道的，因此， NAF 也不可能及时得到更新的 USS,这样将导致 UE和 NAF之间的业务过程 出现问题， 而使用户的满意度下降。 例如， 用户原来定购的用户证书业 务只是初级证书， 不能用于数字签名等高级应用， 当用户修改其定购信 息升级到高级证书后， 由于 HSS并不主动将修改后的 USS或 GUSS发 送给 BSF, 则在 Ks没有到期或者 BSF还有能够使用的鉴权矢量信息而 不需要向 HSS申请新鉴权矢量信息的情况下，用户保存在 BSF内的 USS 或 GUSS就会很长时间得不到更新。 因而， 该用户还只能应用初级证书 业务。
对于上述情况， 现有的解决方法是： .
当 BSF向 HSS请求某个用户的 USS或 GUSS时， HSS就维持与 BSF 之间的针对该用户的会话连接， 同时维护该会话相关的状态信息。 即在 HSS与 BSF之间 , HSS为每一个用户维持一个会话连接。在会话连接存 在的过程中， 如果用户的签约信息发生了变化， HSS会主动通知 BSF。 如果希望终止某个会话连接， 则 BSF需要发送一条消息给 HSS来终止 该会话， 否则 HSS将一直维护该会话连接。
上述方法的缺陷是显而易见的：要保证 HSS将用户的签约变化信息 及时通知给 BSF, 就必须在 HSS与 BSF之间维持针对该用户的会话连 接， 这样， 不但严重加重 BSF和 HSS的负担， 而且对资源极度浪费。 因为用户并不是经常更新 USS或 GUSS的， 所以所维持的会话中有 99 %的资源处于空闲状态。 而如果用户经常使用通用鉴权框架中的各种业 务， 则该维持的会话连接基本没有被终止的情况，这样对于 BSF和 HSS 而言都是无法忍受的。 发明内容
有鉴于此，本发明的一个主要目的是提供一种更新 BSF中的用户安 全描述信息的方法， 保证 BSF 中的用户安全描述信息能够及时得到更 新， 且节省资源。
本发明的另一主要目的是提供三种通用鉴权框架的架构， 便于更新 BSF中的用户安全描述信息， 同时给运营商提供多种应用选择。
为达到上述目的， 本发明的技术方案是这样实现的：
一种更新执行用户身份初始检查验证实体 BSF中的用户安全描述信 息的方法， 该方法包括以下步骤：
用户归属网络服务器 HSS接收到来自 BSF的请求某用户的鉴权矢 量信息和与通用鉴权框架中所有业务相关的用户安全描述信息 GUSS的 请求后， 生成鉴权矢量信息， 并将 BSF所请求的 GUSS标识为已发送给 BSF后，再将该用户的鉴权矢量信息及 BSF所请求的 GUSS返回给 BSF; 当与通用鉴权框架中某个或某几个业务相关的用户安全描述信息 USS更新后， HSS判断该 USS所属的 GUSS是否已被标识为发送给 BSF, 如果是， 则发送用户安全描述信息更新的消息给 BSF, 由 BSF执行更新 操作， 否则不做处理。
较佳地， 该方法进一步包括：
将对用户业务有影响的 USS中的元素标识为需要通知；
当 USS更新后， HSS首先判断该 USS中的更新的元素是否已被标 识为需要通知，如果是，则再判断该 USS所属的 GUSS是否已被标识为 发送给 BSF, 并继续后续处理， 否则不做处理。
较佳地， 该方法进一步包括： 预设定时时间， 当 HSS将 BSF所请 求的 GUSS标识为已发送给 BSF后，开始计时， 若在所述定时时间到达 后， HSS仍未收到 BSF请求已标识为发送给 BSF的 GUSS的信息， 则 将该 GUSS的标识变为未发送给 BSF。
较佳地， 所述 HSS发送的用户安全描述信息更新的消息中包括， 已 更新的 USS的具体内容；
所述 BSF执行更新操作的过程为： BSF判断本地是否有该 USS所 属的 GUSS, 如果有， 则删除原有 USS信息，保存该更新的 USS， 否则， 忽略掉该消息。
较佳地， 所述 HSS发送的用户安全描述信息更新的消息中包括， 通 知 BSF更新 USS的信息； 所述 BSF执行更新操作的过程为： BSF判断本地是否有该 USS所 属的 GUSS, 如果没有， 则忽略掉该消息； 如果有， 则向 HSS请求已更 新的 USS, HSS重新启动 BSF请求的 GUSS的已发送给 BSF的标识的 定时时间后， 将该已更新的 USS发送给 BSF, BSF删除原有 USS信息， 保存该已更新的 USS。
较佳地， 所述 HSS发送的用户安全描述信息更新的消息中包括， 一 个以上更新了的用户的身份标识和更新的 USS的信息；
所述 BSF执行更新操作的过程为： BSF判断本地是否有更新的 USS 所属的 GUSS,如果有，则或者删除原有 USS信息，保存该更新的 USS, 否则， 忽略掉该消息， 或者不做处理。
较佳地， 所述 HSS发送的用户安全描述信息更新的消息中包括， 一 个以上更新了的用户身份标识；
所述 BSF执行更新操作的过程为： BSF判断本地是否有这些标识所 对应的 USS所属的 GUSS, 如果没有， 则忽略掉该消息； 如果有， 则或 者向 HSS请求已更新的 USS, HSS重新启动 BSF请求的 GUSS的已发 送给 BSF的标识的定时时间后， 将 BSF请求的且已更新的 USS发送给 BSF, BSF删除原有 USS信息， 保存该已更新的 USS, 或者不做处理。
较佳地， 该方法进一步包括： BSF将 USS发送给 NAF时， 关联保 存该 NAF的标识和其请求的 USS; BSF更新完毕 USS后， 发送用户安 全描述信息更新的消息给 NAF, 由 NAF执行更新操作。
较佳地， 所述 BSF发送的用户安全描述信息更新的消息中包括， 已 更新的 USS的具体内容；
所述 NAF执行更新操作的过程为： NAF删除原有 USS信息， 保存 并启用该更新的 USS。
较佳地， 所述 BSF发送的用户安全描述信息更新的消息中包括， 通 知 NAF更新 USS的信息；
所述 NAF执行更新操作的过程为： NAF向 BSF请求已更新的 USS, BSF将该已更新的 USS发送给 NAF后， NAF删除原有 USS信息，保存 并启用该已更新的 uss。
较佳地， 该方法进一步包括：
NAF接收到来自用户的 USS更新的通知后， 主动向 BSF请求该用 户已更新的 USS, 且该请求中包含与自身现有版本相关的信息；
BSF接收到上述请求后，判断自身保存的该 USS的版本是否比 NAF 中现有的版本新， 如果是， 则直接给 NAF返回已更新的 USS, 否则， 向 HSS请求更新该 USS后， 再将该更新的 USS返回给 NAF;
NAF接收到上述返回信息后，删除原有 USS信息，保存并启用该已 更新的 USS。
较佳地， 该方法进一步包括： HSS重新启动后， 向 BSF发送自身重 新启动过的通知， 由 BSF决定自身是否需要执行更新 USS的操作。
较佳地， 所述用户归属网络服务器 HSS由一个实体构成， 该实体具 有用于完成基础鉴权功能和用于提供与通用鉴权框架有关的用户安全 描述信息的功能。
较佳地，所述用户归属网络月艮务器 HSS是由具有基础鉴权功能的实 体 HSS-B , 和具有与通用鉴权框架有关的用户安全描述信息的实体 HSS-G共同构成， 且所述 HSS-G与 BSF和 HSS-B分别直接通信；
当 HSS-G接收到来自 BSF的请求某用户的鉴权矢量信息和 GUSS 的请求后， 向 HSS-B请求该用户的鉴权矢量信息， HSS-B将自身生成的 鉴权矢量信息发送给 HSS-G后， HSS-G将自身保存的该用户的 GUSS 标识为已发送给 BSF后， 再将从 HSS-B获取的鉴权矢量信息和自身保 存的该用户的 GUSS返回给 BSF; 当某个或某几个 USS更新且需要通知 BSF时，由 HSS-G判断该 USS 所属的 GUSS是否已被标识为发送给 BSF，如果是， 则给 BSF发送用户 安全描述信息更新的消息， 由 BSF执行更新操作， 否则不做处理。
较佳地，所述用户归属网络服务器 HSS是由具有基础鉴权功能的实 体 HSS-B , 和具有与通用鉴权框架有关的用户安全描述信息的实体 HSS-G共同构成， 且所述 HSS-B与 BSF和 HSS-G分别直接通信；
当 HSS-B接收到来自 BSF的请求某用户的鉴权矢量信息和 GUSS 的请求后， 向 HSS-G请求该用户的 GUSS, HSS-G将自身保存的该用户 的 GUSS标识为已发送给 BSF后， 发送给 HSS-B， HSS-B将自身生成 的鉴权矢量信息和从 HSS-G获取的 GUSS返回给 BSF;
当某个或某几个 USS更新且需要通知 BSF时，由 HSS-G判断该 USS 所属的 GUSS是否已被标识为发送给 BSF, 如果是， 则通过 HSS-B给 BSF发送用户安全描述信息更新的消息， 由 BSF执行更新操作， 否则不 做处理。
较佳地，所述用户归属网络服务器 HSS是由具有基础鉴权信息的实 体 HSS-B , 和具有与通用鉴权框架有关的用户安全描述信息的实体 HSS-G共同构成， 且所述 HSS-B和 HSS-G分别直接与 BSF通信；
当 HSS-B接收到来自 BSF的请求某用户的鉴权矢量信息的请求后， 将自身生成的鉴权矢量信息返回给 BSF;
当 HSS-G接收到来自 BSF的请求某用户的 GUSS的请求后， 将自 身保存的该用户的 GUSS标识为已发送给 BSF后，再将该 GUSS返回给 BSF;
当某个或某几个 USS更新且需要通知 BSF时，由 HSS-G判断该 USS 所属的 GUSS是否已被标识为发送给 BSF,如果是， 则给 BSF发送用户 安全描述信息更新的消息， 由 BSF执行更新操作， 否则不做处理。 一种通用鉴权框架， 包括用户终端 101、 执行用户身份初始检查验 证的实体 BSF 102和网络业务应用实体 NAF 104, 该通用鉴权框架还包 括： 具有基础鉴权功能的实体 HSS-B 103b, 和具有与通用鉴权框架有关 的用户安全描述信息的实体 HSS-G 103a, 其中，
所述 HSS-G 103a,用于直接接收来自 BSF 102的请求某用户的鉴权 矢量信息和 GUSS的请求； 或者， 用于将自身保存的该用户的 GUSS标 识为已发送给 BSF; 或者，将从 HSS-B获取的鉴权矢量信息和自身保存 的、 且已标识为发送给 BSF的 GUSS返回给 BSF; 或者， 用于判断某个 或某几个 USS的更新是否需要通知 BSF, 并在判断出需要通知后， 直接 给 BSF发送用户安全描述信息更新的消息；
所述 HSS-B 103b, 用于接收来自 HSS-G 103a请求某个用户的鉴权 矢量信息， 生成鉴权矢量信息， 并将所生成鉴权矢量信息返回给 HSS-G 103a。
一种通用鉴权框架, 包括用户终端 101、 执行用户身份初始检查验 证的实体 BSF 102和网絡业务应用实体 NAF 104, 该通用鉴权框架还包 括： 具有基础鉴权信息的实体 HSS-B 103b， 和具有与通用鉴权框架有关 的用户安全描述信息的实体 HSS-G 103a, 其中，
所述 HSS-B 103b,用于直接接收来自 BSF 102的请求某用户的鉴权 矢量信息和 GUSS的请求； 或者， 将从 HSS-G 103a获取的 GUSS、 和自 身生成的鉴权矢量信息发送给 BSF；
所述 HSS-G 103a,用于接收来自 HSS-B 103b请求某个用户的 GUSS 的请求， 将自身保存的该用户的 GUSS标识为已发送给 BSF后，再将该 GUSS发送给 HSS-B 103b; 或者， 用于判断某个或某几个 USS的更新 是否需要通知 BSF, 并在判断出需要通知后， 通过 HSS-B 103b给 BSF 发送用户安全描述信息更新的消息。 一种通用鉴权框架， 包括用户终端 101、 执行用户身份初始检查验 证的实体 BSF 102和网络业务应用实体 NAF 104, 该通用鉴权框架还包 括： 具有基 鉴权信息的实体 HSS-B 103b， 和具有与通用鉴权框架有关 的用户安全描述信息的实体 HSS-G 103a, 其中，
所述 HSS-B 103b,用于直接接收来自 BSF 102的请求某用户的鉴权 矢量信息， 将自身生成的鉴权矢量信息发送给 BSF;
所述 HSS-G 103a, 用于直接接收来自 BSF 102的请求某用户 GUSS 的请求，将自身保存的该用户的 GUSS标识为已发送给 BSF后 , 将已标 识为发送给 BSF的 GUSS返回给 BSF; 或者， 用于判断某个或某几个 USS 的更新是否需要通知 BSF, 并在判断出需要通知后， 直接给 BSF 发送用户安全描述信息更新的消息。
本发明在 HSS接收到来自 BSF的请求某用户的鉴权矢量信息和用 户安全描述信息的请求后， 生成鉴权矢量信息， 并将 BSF所请求的用户 安全描述信息标识为已发送给 BSF后， 再将该用户的鉴权矢量信息及 BSF所请求的用户安全描述信息返回给 BSF;当某个或某几个 USS更新 后， HSS判断该更新的 USS所属的 GUSS是否已被标识为发送给 BSF, 如果是， 则发送用户安全描述信息更新的消息给 BSF, 由 BSF执行更新 操作， 否则不做处理。 应用本发明， 保证了 BSF中的用户安全描述信息 能够及时得到更新， 且节省了资源， 防止了业务过程可能出现的错误， 提高了用户的满意度。
同时，本发明还提供了三种通用鉴权框架的架构，不仅便于更新 BSF 中的用户安全描述信息， 而且给运营商提供了多种选择， 方便了运营商 的应用。 附图简要说明
图 1所示为现有技术的通用鉴权框架的结构示意图；
图 2所示为应用本发明的更新 BSF中的用户安全描述信息的流程示 意图；
图 3所示为应用本发明的实施例一的通用鉴权框架结构示意图； 图 4所示为应用本发明的实施例二的通用鉴权框架结构示意图； 图 5所示为应用本发明的实施例三的通用鉴权框架结构示意图。 实施本发明的方式
为使本发明的技术方案更加清楚， 下面结合附图对本发明再做进一 步伴细说明。
图 2所示为应用本发明的更新 BSF中的用户安全描述信息的流程示 意图。
步骤 201 , 为了使用某种业务， UE向 BSF发送鉴权请求。
步骤 202, BSF接收到上述请求后， 向 HSS请求该用户的鉴权矢量 信息及 GUSS。
步驟 203, HSS生成鉴权矢量信息， 并找到该用户的 GUSS后， 将 该 GUSS标识为已发送给 BSF， 例如将已发送的标识为 "是"， 将未发 送的标识为 "否"。
而且， 为了防止该标志位永远为 "是"， 如果在一段预设的时间内， HSS一直未收到 BSF请求该已标识为 "是" 的 GUSS的信息, 则将该 GUSS的标识重新标识为 "否"。 之所以可以这样做是因为， 如果用户处 于经常使用通用鉴权框架业务的活动中， 那么他必然需要经常进行鉴 权， 当 BSF本地的鉴权资料用光后, 就会向 HSS进行请求， 从而触发 请求鉴权矢量信息及 GUSS的过程， 所以， 如果在一段较长时间内 HSS 都没有收到 BSF为该用户请求鉴权矢量信息，可以认为该用户目前处于 未活动状态， 因而， 这时 HSS可以自动将 "是" 变为 "否"， 以免触发 不必要的流程。 这个时间长度可以由运营商根据运营的情况来设置。
步骤 204, HSS将该用户的鉴权矢量信息及 GUSS返回给 BSF。 步骤 205 , BSF和 UE执行 AKA协议进行互鉴权，鉴权成功后， BSF 给用户分配 B-TID。
步骤 206, UE向 NAF发送包含 B-TID的业务请求。
步骤 207, NAF确定本地没有该 B-TID后， 向 BSF进行查询， 该查 询信息中包含了用户的 B-TID及 NAF需要的 USS的标识， NAF可能需 要一个 USS也可能需要多个 USS。
步骤 208, BSF查找到该 B-TID后， 产生相关的密钥信息， 并且才艮 据本地的策略， 即运营商的预先设置， 给 NAF返回相关的密钥信息及 USS, 并将请求的 NAF的标识和 USS关联保存。
步骤 209， NAF到 BSF确认用户的身份并取得相关信息后与用户进 行正常的业务通信。
步骤 210, 用户的某个或某几个 USS进行更新。
这时 HSS需要确定是否需要通知 BSF。 因为 USS中有些元素的变 更对用户业务的影响很大， 但有些元素的变更对用户业务没有影响， 因 而， 通常并不是 USS中的所有元素的变更都需要通知 BSF。 因此， 一般 会对 USS 中的元素进行标识， 凡是元素的变更会对用户业务产生影响 的， 将该元素后附带需要通知 BSF的标识， 如 "need notification" , 这 样， 当 USS更新后， HSS首先判断该更新的元素是否已被标识为 "need notification" , 如果不是则不做处理， 如果是， 则再判断该 USS 所属的 GUSS是否已被标识为 "是"， 如果是， 则执行步骤 211 , 否则不做处理。
步骤 211 , HSS发送用户安全描述信息更新的消息给 BSF, 由 BSF 执行更新操作。
上述用户安全描述信息更新的消息中如果包含具体的已更新的 USS 内容， 则 BSF接收到该消息后， 判断本地是否有该 USS所属的 GUSS, 如果有， 则执行步骤 214， 否则， 忽略掉该消息。
上述用户安全描述信息更新的消息中如果只包括通知 BSF更新 USS 的信息，则 BSF接收到该消息后，判断本地是否有该 USS所属的 GUSS , 如果有， 则执行步骤 212, 如果没有， 则忽略掉该消息。
这是因为，在某些时候用户可能已经处于非活动状态而 BSF也已将 其信息删除了， 但 HSS设置的时间相对比较长， 这种情况下， HSS直接 携带已更新的 USS是没有用的， 反而增大了需要携带的信息量。
步骤 212, BSF向 HSS请求已更新的用户安全描述信息。
步骤 213 , HSS重新启动 BSF请求的 GUSS的 "是" 标识的定时时 间， 之后将该 GUSS中的已更新的 USS发送给 BSF。
步骤 214, BSF删除原有 USS信息， 保存该已更新的 USS。
步骤 215, BSF更新完毕 USS后， 发送用户安全描述信息更新的消 息给 NAF, 如果该更新消息中包含已更新的 USS的具体内容， 则 NAF 接收到的具体内容删除原有 USS信息，保存并启用该更新的 USS，结束； 如果该更新消息中仅包括通知 NAF更新 USS的信息，则 NAF接收到该 消息后， 执行步骤 216。
步骤 216, NAF向 BSF请求已更新的用户安全描述信息。
步骤 217, NAF接收到包含 USS 的具体内容的消息后， 删除原有
USS信息， 保存并启用该更新的 uss。
至此， 保证了 BSF中的用户安全描述信息能够及时得到更新， 且节 省了资源， 而且， 对于 NAF中的用户安全描述信息也实现了及时更新。
对于步骤 211 , 还可以进行批处理操作， 即当 HSS中有多个用户信 息都更新后， 可以在该条消息中携带所有更新了的用户的身份标识和更 新了的 USS, 或者仅携带所有更新了的用户身份标识， BSF在收到这些 标识后， 根据自身情况， 或者请求其需要的用户的 USS进行更新， 或者 不做处理。
对于更新 NAF中的用户安全描述信息， 还有一种方法， 具体如下： 用户知道自己的定购信息已经更新， 即自身的 USS 更新后， 在向 NAF请求业务时， 就明确指示 NAF更新自身保存的 USS， 此时， NAF 就主动向 BSF请求新的 USS, 该请求中包含与自身现有版本相关的信 息； BSF接收到上述请求后，判断自身保存的该 USS的版本是否比 NAF 中现有的版本新， 如果是， 则给 NAF返回已更新的 USS, 否则， 向 HSS 请求更新该 USS后， 再将该已更新的 USS返回给 NAF; NAF接收到上 述返回信息后， 删除原有信息， 保存并启用该已更新的 USS。
再有，也可以不主动更新 NAF中的用户安全描述信息，而是当 NAF 再次到 BSF来查询用户的 B-TID时， 再将新的 USS发送给 NAF。 这种 方式不需要任何额外的信息和流程， 但延迟相对比较大。
另外， HSS可能在某些极特殊的情况下重新启动， HSS重新启动后 向 BSF发送自身重新启动过的通知， 由 BSF决定自身是否需要执行更 新 USS的操作。
本发明还提供了几种通用鉴权框架， 具体说明如下。
图 3所示为应用本发明的实施例一的通用鉴权框架结构示意图。 本 实施例宁的通用鉴权框架中包括用户终端 101、 BSF 102和 NAF 104, 其中， 该通用鉴权框架中还包括： 具有基础鉴权功能的实体（HSS-B ) 103b ,和具有与通用鉴权框架有关的用户安全描述信息的实体（ HSS-G ) 103a,且所述 HSS-G103a与 BSF 102和 HSS-B 103b分别直接进行通信。 具体通信过程为： 所述 HSS-G 103a,用于直接接收来自 BSF 102的请求某用户的鉴权 矢量信息和 GUSS的请求； 或者， 用于将自身保存的该用户的 GUSS标 识为已发送给 BSF; 或者，将从 HSS-B获取的鉴权矢量信息和自身保存 的、 且已标识为发送给 BSF的 GUSS返回给 BSF; 或者， 用于判断某个 或某几个 USS 的更新是否需要通知 BSF, 并在判断出需要通知后， 给 BSF发送用户安全描述信息更新的消息；
所述 HSS-B 103b, 用于接收来自 HSS-G 103a请求某个用户的鉴权 矢量信息， 生成鉴权矢量信息， 并将所生成鉴权矢量信息返回给 HSS-G 103a。
图 4所示为应用本发明的实施例二的通用鉴权框架结构示意图。 本 实施例中的通用鉴权框架中包括用户终端 101、 BSF 102和 NAF 104, 其中， 该通用鉴权框架中还包括： 具有基础鉴权功能的实体（HSS-B ) 103b ,和具有与通用鉴权框架有关的用户安全描述信息的实体（ HSS-G ) 103a,且所述 HSS-B 103b与 BSF 102和 HSS-G 103a分别直接进行通信。 具体过程为：
所述 HSS-B 103b,用于直接接收来自 BSF 102的请求某用户的鉴权 矢量信息和 GUSS的请求； 或者， 将从 HSS-G 103a获取的 GUSS、和自 身生成的鉴权矢量信息发送给 BSF;
所述 HSS-G 103a,用于接收来自 HSS-B 103b请求某个用户的 GUSS 的请求，将自身保存的该用户的 GUSS标识为已发送给 BSF后 ,再将该 GUSS发送给 HSS-B 103b; 或者， 用于判断某个或某几个 USS的更新 是否需要通知 BSF, 并在判断出需要通知后， 通过 HSS-B 103b给 BSF 发送用户安全描述信息更新的消息。
图 5所示为应用本发明的实施例三的通用鉴权框架结构示意图。 本 实施例中的通用鉴权框架中包括用户终端 101、 BSF 102和 NAF 104, 其中， 该通用鉴权框架中还包括： 具有基础鉴权功能的实体（HSS-B ) 103b,和具有与通用鉴权框架有关的用户安全描述信息的实体（ HSS-G ) 103a，且所述 HSS-B 103b和 HSS-G 103a分别直接与 BSF 102进行通信。 具体过程为：
所述 HSS-B 103b,用于直接接收来自 BSF 102的请求某用户的鉴权 矢量信息， 将自身生成的鉴权矢量信息发送给 BSF;
所述 HSS-G 103a, 用于直接接收来自 BSF 102的请求某用户 GUSS 的请求，将自身保存的该用户的 GUSS标识为已发送给 BSF后， 将已标 识为发送给 BSF的 GUSS返回给 BSF; 或者， 用于判断某个或某几个 USS 的更新是否需要通知 BSF, 并在判断出需要通知后， 直接给 BSF 发送用户安全描述信息更新的消息。
当然， 对于图 3、 4、 5所示通用鉴权框架， 如果对于已标识为发送 给 BSF的 GUSS存在定时时间， 则 HSS-G 103a将已标识为发送给 BSF 的 GUSS发送给 BSF后， 重新启动该定时时间， 或者， 判断出某个或某 几个 USS的更新需要通知 BSF后， 重新启动该某个或某几个 USS所属 GUSS的定时时间。
由此可见， HSS既可以由图 1所示的一个实体构成， 也可以由图 3、
4、 5所示的多个实体构成， 即用于完成基础鉴权功能和用于提供与通用 鉴权框架有关的用户安全描述信息的功能可以在同一实体上也可以在 不同的实体上。
图 2所述更新 BSF中的用户安全描述信息的方法不但适用于图 1所 示通用鉴权框架， 同样适用于图 3、 4、 5所示的通用鉴权框架。
针对图 3所示通用鉴权框架， 图 2所述步骤 203相应变为： HSS-G 接收到来自 BSF的请求某用户的鉴权矢量信息和 GUSS的请求后， 向 HSS-B请求该用户的鉴权矢量信息， HSS-B将自身生成的鉴权矢量信息 发送给 HSS-G后， HSS-G将自身保存的该用户的 GUSS标识为已发送 给 BSF后 , 再将从 HSS-B获取的鉴权矢量信息和自身保存的该用户的 GUSS返回给 BSF; 步骤 210相应变为： 当某个或某几个 USS更新且需 要通知 BSF时， 由 HSS-G判断该更新 USS所属的 GUSS是否已被标识 为 "是"，如果是， 则给 BSF发送用户安全描述信息更新的消息， 由 BSF 执行更新操作， 否则不做处理； 步骤 211相应变为： 由 HSS-G发送用户 安全描述信息更新的消息给 BSF; 步骤 213相应变为： HSS-G重新启动 GUSS的 "是"标识的定时时间后， 将 GUSS中的已更新的 USS直接发 送给 BSF。
这样， 更新 USS时， 就可以由 HSS-G单独完成， 而不必对 HSS-B 产生任何影响； 进行鉴权时， 则需要 HSS-G承担中转功能。
针对图 4所示通用鉴权框架，图 2所述步骤 203相应变为：当 HSS-B 接收到来自 BSF的请求某用户的鉴权矢量信息和 GUSS的请求后， 向 HSS-G请求该用户的 GUSS, HSS-G将自身保存的该用户的 GUSS标识 为已发送给 BSF后，发送给 HSS-B, HSS-B将自身生成的鉴权矢量信息 和从 HSS-G获取的 GUSS返回给 BSF; 步骤 211相应变为： 当某个或某 几个 USS更新且需要通知 BSF时， 由 HSS-G判断该更新 USS所属的 GUSS是否已被标识为发送给 BSF，如果是，则通过 HSS-B给 BSF发送 用户安全描述信息更新的消息， 由 BSF执行更新操作， 否则不做处理； 步骤 213相应变为： HSS-G重新启动 GUSS的 "是"标识的定时时间后， 将 GUSS中的已更新的 USS通过 HSS-B发送给 BSF。
这样， 更新 USS时， 需要由 HSS-B承担中转功能； 进行鉴权时， 就可以由 HSS-B单独完成， 而不必对 HSS-G产生任何影响。
针对图 5所示通用鉴权框架，图 2所述步骤 203相应变为：当 HSS-B 接收到来自 BSF的请求某用户的鉴权矢量信息的请求后，将自身生成的 鉴权矢量信息返回给 BSF; 当 HSS-G接收到来自 BSF 的请求某用户 GUSS的请求后，将自身保存的该用户的 GUSS标识为已发送给 BSF后， 再将该 GUSS返回给 BSF;. 步骤 211相应变为： 当某个或某几个 USS 更新且需要通知 BSF时， 由 HSS-G判断该更新 USS所属的 GUSS是否 已被标识 "是"， 并继续后续处理； 步驟 213相应变为： HSS-G重新启 动 GUSS的 "是"标识的定时时间后，将 GUSS中的已更新的 USS直接 发送给 BSF。
这样， 更新 USS时， 可以由 HSS-G单独完成； 进行鉴权时， 可以 由 HSS-B单独完成， 两个实体互不影响。
以上所述仅为本发明的较佳实施例而已， 并不用以限制本发明， 凡 在本发明的精神和原则之内， 所作的任何修改、 等同替换、 改进等， 均 应包含在本发明的保护范围之内。

Claims

权利要求书
1、 一种更新执行用户身份初始检查验证实体 BSF中的用户安全描 述信息的方法， 其特征在于， 该方法包括以下步骤：
用户归属网络服务器 HSS接收到来自 BSF的请求某用户的鉴权矢 量信息和与通用鉴权框架中所有业务相关的用户安全描述信息 GUSS的' 请求后， 生成鉴权矢量信息， 并将 BSF所请求的 GUSS标识为已发送给 BSF后，再将该用户的鉴权矢量信息及 BSF所请求的 GUSS返回给 BSF; 当与通用鉴权框架中某个或某几个业务相关的用户安全描述信息 USS更新后， HSS判断该 USS所属的 GUSS是否已被标识为发送给 BSF, —如果是 则发送用户安全描述信息更新的消—息给—BSF, 由 BSF执行更新 操作， 否则不做处理。
2、 根据权利要求 1所述的方法, 其特征在于， 该方法进一步包括: 将对用户业务有影响的 USS中的元素标识为需要通知；
当 USS更新后， HSS首先判断该 USS中的更新的元素是否已被标 识为需要通知，如果是， 则再判断该 USS所属的 GUSS是否已被标识为 发送给 BSF, 并继续后续处理， 否则不做处理。
3、根据权利要求 1或 2所述的方法， 其特征在于， 该方法进一步包 括：预设定时时间 ,当 HSS将 BSF所请求的 GUSS标识为已发送给 BSF 后， 开始计时， 若在所述定时时间到达后， HSS仍未收到 BSF请求已标 识为发送给 BSF的 GUSS的信息， 则将该 GUSS的标识变为未发送给 BSF。
4、 根据权利要求 3所述的方法， 其特征在于，
所述 HSS发送的用户安全描述信息更新的消息中包括， 已更新的 USS的具体内容； 所述 BSF执行更新操作的过程为： BSF判断本地是否有该 USS所 属的 GUSS，如果有， 则删除原有 USS信息，保存该更新的 USS, 否贝1 J , 忽略掉该消息。
5、 根据权利要求 3所述的方法， 其特征在于，
所述 HSS发送的用户安全描述信息更新的消息中包括， 通知 BSF 更新 USS的信息；
所述 BSF执行更新操作的过程为： BSF判断本地是否有该 USS所 属的 GUSS, 如果没有， 则忽略掉该消息； 如果有， 则向 HSS请求已更 新的 USS, HSS重新启动 BSF请求的 GUSS的已发送给 BSF的标识的 定时时间后， 将该已更新的 USS发送给 BSF, BSF删除原有 USS信息， 保存该已更新的 USS。
6、 t权利要求 3所述的方法， 其特征在于， 所述 HSS发送的用 户安全描述信息更新的消息中包括， 一个以上更新了的用户的身份标识 和更新的 USS的信息；
所述 BSF执行更新操作的过程为： BSF判断本地是否有更新的 USS 所属的 GUSS,如果有，则或者删除原有 USS信息，保存该更新的 USS, 否则， 忽略掉该消息， 或者不做处理。
7、 据权利要求 3所述的方法， 其特征在于， 所述 HSS发送的用 户安全描述信息更新的消息中包括， 一个以上更新了的用户身份标识； 所述 BSF执行更新操作的过程为： BSF判断本地是否有这些标识所 对应的 USS所属的 GUSS, 如果没有， 则忽略掉该消息； 如果有， 则或 者向 HSS请求已更新的 USS, HSS重新启动 BSF请求的 GUSS的已发 送给 BSF的标识的定时时间后， 将 BSF请求的且已更新的 USS发送给 BSF, BSF删除原有 USS信息， 保存该已更新的 USS, 或者不做处理。
8、 居权利要求 3所述的方法， 其特征在于， 该方法进一步包括： BSF将 USS发送给 NAF时， 关联保存该 NAF的标识和其请求的 USS; BSF更新完毕 USS后， 发送用户安全描述信息更新的消息给 NAF, 由 NAF执行更新操作。
9、 根据权利要求 8所述的方法， 其特征在于，
所述 BSF发送的用户安全描述信息更新的消息中包括， 已更新的 USS的具体内容；
所述 NAF执行更新操作的过程为： NAF删除原有 USS信息， 保存 并启用该更新的 USS。
10、 根据权利要求 8所述的方法， 其特征在于，
所述 BSF发送的用户安全描述信息更新的消息中包括， 通知 NAF 更新 USS的信息；
所述 NAF执行更新操作的过程为： NAF向 BSF请求已更新的 USS， BSF将该已更新的 USS发送给 NAF后， NAF删除原有 USS信息，保存 并启用该已更新的 USS。
11、才艮据权利要求 3所述的方法， 其特征在于， 该方法进一步包括： NAF接收到来自用户的 USS更新的通知后， 主动向 BSF请求该用 户已更新的 USS, 且该请求中包含与自身现有版本相关的信息；
BSF接收到上述请求后，判断自身保存的该 USS的版本是否比 NAF 中现有的版本新， 如果是， 则直接给 NAF返回已更新的 USS, 否则， 向 HSS请求更新该 USS后， 再将该更新的 USS返回给 NAF;
NAF接收到上述返回信息后， 删除原有 USS信息， 保存并启用该 已更新的 USS。
12、根据权利要求 3所述的方法， 其特征在于， 该方法进一步包括： HSS重新启动后， 向 BSF发送自身重新启动过的通知， 由 BSF决定自 身是否需要执行更新 USS的操作。
13、 根据权利要求 1所述的方法， 其特征在于， 所述用户归属网络 服务器 HSS由一个实体构成，该实体具有用于完成基 鉴权功能和用于 提供与通用鉴权框架有关的用户安全描述信息的功能。
14、 根据权利要求 1所述的方法， 其特征在于， 所述用户归属网络 服务器 HSS是由具有基础鉴权功能的实体 HSS-B,和具有与通用鉴权框 架有关的用户安全描述信息的实体 HSS-G共同构成， 且所述 HSS-G与 BSF和 HSS-B分别直接通信；
当 HSS-G接收到来自 BSF的请求某用户的鉴权矢量信息和 GUSS 的请求后， 向 HSS-B请求该用户的鉴权矢量信息， HSS-B将自身生成的 鉴权矢量信息发送给 HSS-G后， HSS-G将自身保存的该用户的 GUSS 标识为已发送给 BSF后， 再将从 HSS-B获取的鉴权矢量信息和自身保 存的该用户的 GUSS返回给 BSF;
当某个或某几个 USS更新且需要通知 BSF时，由 HSS-G判断该 USS 所属的 GUSS是否已被标识为发送给 BSF，如果是， 则给 BSF发送用户 安全描述信息更新的消息， 由 BSF执行更新操作， 否则不做处理。
15、 根据权利要求 1所述的方法， 其特征在于， 所述用户归属网络 服务器 HSS是由具有基础鉴权功能的实体 HSS-B,和具有与通用鉴权框 架有关的用户安全描述信息的实体 HSS-G共同构成， 且所述 HSS-B与 BSF和 HSS-G分别直接通信；
当 HSS-B接收到来自 BSF的请求某用户的鉴权矢量信息和 GUSS 的请求后， 向 HSS-G请求该用户的 GUSS, HSS-G将自身保存的该用户 的 GUSS标识为已发送给 BSF后， 发送给 HSS-B, HSS-B将自身生成 的鉴权矢量信息和从 HSS-G获取的 GUSS返回给 BSF;
当某个或某几个 USS更新且需要通知 BSF时，由 HSS-G判断该 USS 所属的 GUSS是否已被标识为发送给 BSF, 如果是， 则通过 HSS-B给 BSF发送用户安全描述信息更新的消息， 由 BSF执行更新操作， 否则不 做处理。
16、 根据权利要求 1所述的方法， 其特征在于， 所述用户归属网络 服务器 HSS是由具有基础鉴权信息的实体 HSS-B,和具有与通用鉴权框 架有关的用户安全描述信息的实体 HSS-G共同构成， 且所述 HSS-B和 HSS-G分别直接与 BSF通信；
当 HSS-B接收到来自 BSF的请求某用户的鉴权矢量信息的请求后， 将自身生成的鉴权矢量信息返回给 BSF;
当 HSS-G接收到来自 BSF的请求某用户的 GUSS的请求后， 将自 身保存的该用户的 GUSS标识为已发送给 BSF后 ,再将该 GUSS返回给 BSF;
当某个或某几个 USS更新且需要通知 BSF时，由 HSS-G判断该 USS 所属的 GUSS是否已被标识为发送给 BSF,如果是， 则给 BSF发送用户 安全描述信息更新的消息， 由 BSF执行更新操作， 否则不做处理。
17、 一种通用鉴权框架， 包括用户终端 （101 )、 执行用户身份初始 检查验证的实体 BSF ( 102 )和网络业务应用实体 NAF ( 104 )， 其特征 在于，该通用鉴权框架还包括：具有基 ^鉴权功能的实体 HSS-B( 103b ), 和具有与通用鉴权框架有关的用户安全描述信息的实体 HSS-G ( 103a ), 其中，
所述 HSS-G ( 103a ), 用于直接接收来自 BSF ( 102 ) 的请求某用户 的鉴权矢量信息和 GUSS 的请求； 或者， 用于将自身保存的该用户的 GUSS标识为已发送给 BSF; 或者， 将从 HSS-B获取的鉴权矢量信息和 自身保存的、 且已标识为发送给 BSF的 GUSS返回给 BSF; 或者， 用于 判断某个或某几个 USS的更新是否需要通知 BSF,并在判断出需要通知 后， 直接给 BSF发送用户安全描述信息更新的消息； 所述 HSS-B (103b), 用于接收来自 HSS-G ( 103a)请求某个用户 的鉴权矢量信息， 生成鉴权矢量信息， 并将所生成鉴权矢量信息返回给 HSS-G ( 103a
18、 一种通用鉴权框架， 包括用户终端 （101)、 执行用户身份初始 检查睑证的实体 BSF ( 102 )和网络业务应用实体 NAF ( 104 ), 其特征 在于，该通用鉴权框架还包括：具有基础鉴权信息的实体 HSS-B( 103b), 和具有与通用鉴权框架有关的用户安全描述信息的实体 HSS-G ( 103a), 其中，
所述 HSS-B ( 103b), 用于直接接收来自 BSF ( 102) 的请求某用户 的鉴权矢量信息和 GUSS 的请求； 或者， 将从 HSS-G ( 103a)获取的 GUSS, 和自身生成的鉴权矢量信息发送给 BSF;
所述 HSS-G ( 103a), 用于接收来自 HSS-B ( 103b)请求某个用户 的 GUSS的请求， 将自身保存的该用户的 GUSS标识为已发送给 BSF 后， 再将该 GUSS发送给 HSS-B (103b); 或者， 用于判断某个或某几 个 USS的更新是否需要通知 BSF，并在判断出需要通知后，通过 HSS-B ( 103b)给 BSF发送用户安全描述信息更新的消息。
19、 一种通用鉴权框架， 包括用户终端 （101)、 执行用户身份初始 检查验证的实体 BSF ( 102)和网络业务应用实体 NAF ( 104), 其特征 在于，该通用鉴权框架还包括：具有基础鉴权信息的实体 HSS-B( 103b), 和具有与通用鉴权框架有关的用户安全描述信息的实体 HSS-G ( 103a), 其中，
所述 HSS-B ( 103b), 用于直接接收来自 BSF (102) 的请求某用户 的鉴权矢量信息， 将自身生成的鉴权矢量信息发送给 BSF;
所述 HSS-G (103a), 用于直接接收来自 BSF ( 102) 的请求某用户 GUSS的请求， 将自身保存的该用户的 GUSS标识为已发送给 BSF后， 将已标识为发送给 BSF的 GUSS返回给 BSF; 或者，用于判断某个或某 几个 USS 的更新是否需要通知 BSF, 并在判断出需要通知后， 直接给. BSF发送用户安全描述信息更新的消息。
PCT/CN2005/001845 2004-11-05 2005-11-04 Cadre d'authentification general et procede de mise a jour des informations de description de securite utilisateur dans le bsf WO2006047956A1 (fr)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN200410088581.5 2004-11-05
CNB2004100885815A CN100525186C (zh) 2004-11-05 2004-11-05 通用鉴权框架及更新bsf中用户安全描述信息的方法

Publications (1)

Publication Number Publication Date
WO2006047956A1 true WO2006047956A1 (fr) 2006-05-11

Family

ID=36318891

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2005/001845 WO2006047956A1 (fr) 2004-11-05 2005-11-04 Cadre d'authentification general et procede de mise a jour des informations de description de securite utilisateur dans le bsf

Country Status (2)

Country Link
CN (1) CN100525186C (zh)
WO (1) WO2006047956A1 (zh)

Families Citing this family (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101102186B (zh) 2006-07-04 2012-01-04 华为技术有限公司 通用鉴权框架推送业务实现方法
CN101552987B (zh) * 2008-03-31 2011-11-16 华为技术有限公司 防止认证向量被滥用的方法、装置和系统
CN102378179B (zh) * 2008-03-31 2014-02-19 华为技术有限公司 防止认证向量被滥用的方法、装置和系统
CN101772020B (zh) * 2009-01-05 2011-12-28 华为技术有限公司 鉴权处理方法和系统、3gpp认证授权计费服务器及用户设备
EP2425644B1 (en) 2009-05-01 2017-11-22 Nokia Technologies Oy Systems, methods, and apparatuses for facilitating authorization of a roaming mobile terminal
CN102026150B (zh) * 2009-09-14 2016-01-20 中兴通讯股份有限公司 一种m2m设备归属网络运营商变更的方法和系统
CN102036222B (zh) * 2009-09-25 2015-05-13 中兴通讯股份有限公司 一种m2m设备归属网络运营商变更的方法和系统
CN102547700B (zh) * 2010-12-30 2015-06-03 中兴通讯股份有限公司 认证方法及系统

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2002013150A1 (en) * 2000-08-04 2002-02-14 De La Rue International Limited System and methods for monitoring items
CN1464668A (zh) * 2002-06-27 2003-12-31 深圳市中兴通讯股份有限公司上海第二研究所 一种在通信系统中实现定位业务的方法
CN1479493A (zh) * 2002-08-31 2004-03-03 深圳市中兴通讯股份有限公司 一种接入系统

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2002013150A1 (en) * 2000-08-04 2002-02-14 De La Rue International Limited System and methods for monitoring items
CN1464668A (zh) * 2002-06-27 2003-12-31 深圳市中兴通讯股份有限公司上海第二研究所 一种在通信系统中实现定位业务的方法
CN1479493A (zh) * 2002-08-31 2004-03-03 深圳市中兴通讯股份有限公司 一种接入系统

Also Published As

Publication number Publication date
CN100525186C (zh) 2009-08-05
CN1770686A (zh) 2006-05-10

Similar Documents

Publication Publication Date Title
US8275355B2 (en) Method for roaming user to establish security association with visited network application server
US7941121B2 (en) Method for verifying the validity of a user
WO2006047956A1 (fr) Cadre d'authentification general et procede de mise a jour des informations de description de securite utilisateur dans le bsf
WO2006000152A1 (fr) Procede pour la gestion d'equipement d'utilisateur d'acces au reseau au moyen de l'architecture d'authentification generique
EP1705828B1 (en) A method of obtaining the user identification for the network application entity
WO2008006306A1 (fr) Procédé et dispositif de dérivation d'une clé interface locale
WO2007051423A1 (fr) Systeme et procede de communication pour l’entree et la sortie du mode repos d’un terminal
WO2010000185A1 (zh) 一种网络认证的方法、装置、系统及服务器
WO2007093115A1 (fr) Structure d'authentification combinée et son procédé de réalisation
WO2006097041A1 (fr) Forme d'authentification generale et procede pour mettre en place l'authentification
WO2018233726A1 (zh) 网络切片的认证方法及相应装置、系统和介质
WO2007022731A1 (fr) Procede, systeme et equipement de negociation de cle de cryptage dans une trame de verification universelle amelioree
US8213364B2 (en) Method for releasing a high rate packet data session
WO2010015134A1 (zh) 协议配置选项传输方法及系统、用户终端
WO2020057585A1 (zh) 接入认证
WO2022001832A1 (zh) 5g鉴权方法、5g开户方法和系统、电子设备，及计算机可读存储介质
WO2007041933A1 (fr) Procédé de mise à jour de clés secrètes contrôlées et appareil idoine
WO2005104432A1 (fr) Procede permettant de supprimer l'identificateur de trafic de session ainsi que des informations correspondantes
WO2007025484A1 (fr) Procede de negociation de mise a jour pour cle d'autorisation et dispositif associe
WO2006081742A1 (fr) Méthode pour effectuer l’unification des informations utilisateur et l’authentification de l’extrémité utilisateur
WO2009129729A1 (zh) 位置业务的实现方法、系统及csn
WO2007095806A1 (fr) Système d'authentification générale et procédé d'accès à la fonction d'application de réseau du système
WO2008006309A1 (fr) Procédé appareil de détermination du type de service d'une demande de clé
WO2011095001A1 (zh) 一种由移动终端主动发起的数据通道建立方法及asn系统
KR101465838B1 (ko) 부트스트랩된 어플리케이션 인증을 제공하는 장치 및 방법

Legal Events

Date Code Title Description
AK Designated states

Kind code of ref document: A1

Designated state(s): AE AG AL AM AT AU AZ BA BB BG BR BW BY BZ CA CH CN CO CR CU CZ DE DK DM DZ EC EE EG ES FI GB GD GE GH GM HR HU ID IL IN IS JP KE KG KM KN KP KR KZ LC LK LR LS LT LU LV LY MA MD MG MK MN MW MX MZ NA NG NI NO NZ OM PG PH PL PT RO RU SC SD SE SG SK SL SM SY TJ TM TN TR TT TZ UA UG US UZ VC VN YU ZA ZM ZW

AL Designated countries for regional patents

Kind code of ref document: A1

Designated state(s): GM KE LS MW MZ NA SD SL SZ TZ UG ZM ZW AM AZ BY KG KZ MD RU TJ TM AT BE BG CH CY CZ DE DK EE ES FI FR GB GR HU IE IS IT LT LU LV MC NL PL PT RO SE SI SK TR BF BJ CF CG CI CM GA GN GQ GW ML MR NE SN TD TG

121 Ep: the epo has been informed by wipo that ep was designated in this application
NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 05806960

Country of ref document: EP

Kind code of ref document: A1