WO2006072219A1 - Systeme d'authentification d'un reseau de sous-systeme multimedia ip et procede associe - Google Patents

Systeme d'authentification d'un reseau de sous-systeme multimedia ip et procede associe Download PDF

Info

Publication number
WO2006072219A1
WO2006072219A1 PCT/CN2006/000019 CN2006000019W WO2006072219A1 WO 2006072219 A1 WO2006072219 A1 WO 2006072219A1 CN 2006000019 W CN2006000019 W CN 2006000019W WO 2006072219 A1 WO2006072219 A1 WO 2006072219A1
Authority
WO
WIPO (PCT)
Prior art keywords
authentication
cscf
unit
message
calculation
Prior art date
Application number
PCT/CN2006/000019
Other languages
English (en)
French (fr)
Inventor
Jie Xu
Original Assignee
Huawei Technologies Co., Ltd.
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Huawei Technologies Co., Ltd. filed Critical Huawei Technologies Co., Ltd.
Publication of WO2006072219A1 publication Critical patent/WO2006072219A1/zh

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L65/00—Network arrangements, protocols or services for supporting real-time applications in data packet communication
    • H04L65/40—Support for services or applications
    • H04L65/4061—Push-to services, e.g. push-to-talk or push-to-video
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/80—Wireless
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L65/00—Network arrangements, protocols or services for supporting real-time applications in data packet communication
    • H04L65/10—Architectures or entities
    • H04L65/1016—IP multimedia subsystem [IMS]

Definitions

  • the present invention relates to the field of BP multimedia subsystems, and in particular to an IP multimedia subsystem network authentication system and method. Background of the invention
  • the EP Multimedia Subsystem (IMS) network defines the AKAvl-MD5 algorithm to authenticate users in the standard protocol.
  • IMS IMS User Identification
  • IMS User Identity Module
  • SIM Subscriber Identity Module
  • GPRS General Packet Radio Service
  • TR 3rd Generation Partnership Organization
  • IMSI International Mobile Subscriber Identity
  • MSISDN International Integrated Services Digital Network Number
  • Step 101 The MS initiates an access request to the GPRS support node (GGSN) of the GPRS network, where the access request message carries an IMSI or MSISDN, GGSN. Give the MS a user IP address, etc.
  • GGSN GPRS support node
  • Step 102 After receiving the access request, the GGSN notifies the user EP address and the IMSI through its own Gi interface, or notifies the user of the MS network by the user DP address and the MSISDN.
  • HSS HSS
  • Step 103 The MS sends a registration request to the Serving Call Session Control Function (S-CSCF) of the IMS network, where the registration request message carries the MS private subscriber identity (MH) and the access IP address of the MS.
  • S-CSCF Serving Call Session Control Function
  • the IMPI is a parameter that the MS itself has, and the registration request message carries the parameter.
  • Step 104 The S-CSCF queries the HSS according to the received IMPI to query the corresponding IMSI or MSISDN, and then finds the corresponding user IP address.
  • the HSS saves the IMSI and ⁇ of the MS, or saves the MSISDN and IMPI of the MS, and correspondingly establishes the correspondence between the MSI or the MSISDN and the IMPI.
  • Step S105 The S-CSCF determines whether the access IP address of the MS' carried in the registration request message is the same as the user IP address saved by the HSS found in the step 104. If yes, the authentication is determined to be successful, and the MS is successfully registered; otherwise, If the authentication fails, the MS registration failure is notified.
  • This method of simply judging the user's legitimacy using the user's IP address is only a [primary security measure. In fact, no authentication algorithm is executed.
  • the illegal terminal only needs to use the same IP address as the user saved in the HSS.
  • the IP address initiates the registration request, and the IMPI corresponding to the IP address in the registration request message can easily access the IMS network, which causes economic loss to the user who is impersonated.
  • the MS network requires the MS.
  • the access IP address must be the public IP address, because: If the access IP address is a private IP address, the IMS network will translate the address. The translated address is likely to be different from the access IP address of the MS.
  • the translated address is inconsistent with the user IP address found by the HSS in step 104, which causes the MS' registration to fail. Therefore, the method requires that the access IP address must be a public network address, and the existing IP address resource is limited. In this case, its application is bound to be limited. Summary of the invention
  • the main purpose of the present invention is to provide an IMS network authentication system and method, so as to implement an IMS network to authenticate an MS that only supports a traditional authentication algorithm, thereby avoiding economic loss of the user and ensuring MS authentication. success.
  • An IMS network authentication system comprising: an MS, a CSCF supporting only a traditional authentication algorithm, and an authentication unit supporting at least a traditional authentication algorithm, where
  • An authentication unit configured to perform an authentication calculation by using a traditional authentication algorithm, and send an authentication calculation result and an authentication necessary parameter to the CSCF;
  • the MS is configured to perform authentication calculation by using a traditional authentication algorithm according to the necessary parameters for authentication sent by the CSCF, and send the result of the authentication calculation to the CSCF;
  • the CSCF is configured to forward the authentication necessary parameters sent by the authentication unit to the MS, and compare the authentication calculation results from the authentication unit and the MS. If the two are consistent, the authentication is successful; otherwise, the authentication fails.
  • the authentication unit includes: an authentication calculation unit and an authentication forwarding unit, and an interface supporting the authentication related signaling and data is added to the authentication forwarding unit, where the authentication forwarding unit is connected through the interface
  • the authentication calculation unit wherein
  • An authentication calculation unit configured to perform an authentication calculation by using a traditional authentication algorithm, and send an authentication calculation result and an authentication necessary parameter to the authentication forwarding unit;
  • the authentication forwarding unit is configured to forward the authentication calculation result and the authentication necessary parameter sent by the authentication calculation unit to the CSCF.
  • the CSCF includes:
  • the CSCF is used to transmit the result of the evaluation sent by the MS to the CSCF, and the authentication necessary parameters sent by the CSCF are transmitted to the MS;
  • the CSCF is used to transmit the result of the sound weight calculation of the MS sent by the proxy CSCF to Serving the CSCF, and transmitting the authentication necessary parameters sent by the serving CSCF to the proxy CSCF;
  • the serving CSCF is configured to pass the authentication necessary parameters sent by the authentication unit to the interrogating CSCF, and receive the authentication sent by the save authentication unit.
  • the calculation result and the result of the authentication calculation of the MS transmitted from the inquiry CSCF are received, and then the authentication unit and the MS's authentication calculation result are compared.
  • An MS network authentication method performed in an IMS network authentication system where the IMS network authentication system includes an MS, a CSCF that supports only a traditional authentication algorithm, and an authentication unit that supports at least a conventional authentication algorithm, and is characterized in that , the method includes:
  • the authentication unit uses the traditional authentication algorithm to perform the authentication calculation according to the saved authentication parameters, and sends the authentication calculation result and the authentication necessary parameters to the CSCF, and then the CSCF sends the necessary parameters for authentication to the MS;
  • the MS After receiving the necessary parameters for authentication, the MS uses the traditional authentication algorithm to perform authentication calculation according to the necessary parameters of the authentication and the authentication parameters saved by itself, and sends the authentication calculation result to the CSCF;
  • the CSCF determines whether the authentication calculation result sent by the authentication unit and the MS is consistent. If the agreement is successful, the authentication is successful; otherwise, the authentication fails. .
  • the authentication unit includes an authentication calculation unit and an authentication forwarding unit, wherein the authentication unit performs the authentication calculation as: the authentication calculation unit performs the authentication i-calculation, and the authentication unit in step A
  • the weight calculation result and the authentication necessary parameter are sent to the CSCF: the authentication calculation unit sends the authentication calculation result and the authentication necessary parameter to the authentication forwarding unit, and then sends the authentication to the CSCF.
  • the method further includes: the MS sends a registration request message to the CSCF, and after receiving the registration request message, the CSCF sends an acquisition authentication set message to the authentication unit, and the authentication unit receives the acquisition authentication set message, and detects The MS only supports the traditional authentication algorithm and goes to step.
  • the conventional authentication algorithm is: CAVE algorithm of CDMA system. After the authentication unit sends the authentication calculation result and the authentication necessary parameter to the CSCF, and the CSCF sends the necessary parameters for the authentication to the MS, the method further includes:
  • the CSCF sends a request re-registration message to the MS. After receiving the request re-registration message, the MS sends a registration request message to the CSCF, and then the CSCF receives the registration request message.
  • the authentication parameter saved by the authentication unit in step A and the authentication parameter saved in the MS in step B include an SSD.
  • the method further includes the steps of: updating the SSD, the step of updating the SSD includes: a, the authentication unit calculates the SSD, and then sends a message requesting re-registration to the MS., and sends the SSD update random number to the MS;
  • the MS calculates and saves the base station query result according to the self-generated base station query random number, and then initiates a registration request to the CSCF, where the registration request message carries the base station query random number, and the CSCF requests the authentication unit after receiving the registration request message.
  • the authentication unit calculates the base station query result according to the base station query random number, and returns the base station query result and the authentication calculation result to the MS;
  • the MS determines whether the base station query result calculated by itself and the base station query result returned by the authentication unit are consistent. If yes, the SSD is updated according to the SSD update random number, and the authentication calculation result is calculated according to the SSD and the authentication random number. The result of the weight calculation is sent to the CSCF;
  • the CSCF determines whether the authentication calculation result sent by the MS and the authentication unit is consistent. If yes, the authentication unit is notified that the authentication is successful, and then the authentication unit updates the saved SSD; otherwise, the process ends.
  • Step a The authentication unit sends the SSD update random number to the MS: the authentication unit carries the SSD update random number in the logout message and sends the message to the CSCF, and then the CSCF delivers the logoff message carrying the SSD update random number to the MS. . :
  • Step a The authentication unit sends the SSD update random number to the MS: the authentication unit carries the SSD update random number in the multimedia authentication response message and sends the message to the CSCF, and then the CSCF Sending the multimedia authentication response message carrying the SSD update random number to the MS, and after the step - a, the authentication unit sends the message requesting re-registration to the MS, and before sending the SSD update random number to the MS, the method further includes:
  • the MS sends a registration request message to the CSCF, and after receiving the registration request message, the CSCF sends a multimedia authentication request message to the authentication unit, and the authentication unit sends the SSD update random number through the multimedia authentication response message after receiving the authentication request message.
  • the CSCF sends a registration request message to the CSCF, and after receiving the registration request message, the CSCF sends a multimedia authentication request message to the authentication unit, and the authentication unit sends the SSD update random number through the multimedia authentication response message after receiving the authentication request message.
  • the conventional authentication algorithm is: A3 or A8 algorithm of the GSM system.
  • the authentication necessary parameter is an authentication random number.
  • the present invention does not change the network equipment of the original circuit domain, and only the authentication unit transmits the necessary parameters for authentication to the MS through the CSCF, and the authentication algorithm is still implemented on the MS and the authentication unit.
  • the IMS network entity is not required to support the traditional authentication algorithm, and the device is implemented.
  • the invention is independent of the access IP address of the MS, and the authentication of the IMS network is implemented by the traditional authentication algorithm, thereby ensuring the reliability and success rate of the authentication.
  • FIG. 1 is a schematic diagram of an Early IMS process for authenticating a GPRS user by an IMS network
  • FIG. 2 is a composition diagram 1 of an IMS network authentication system provided by the present invention
  • FIG. 3 is a component diagram 2 of an IMS network authentication system provided by the present invention.
  • FIG. 5 is a diagram of an MS network pair initiated by a terminal provided by the present invention only supporting a UIM card.
  • FIG. 6 is a network-initiated IMS network provided by the present invention that only supports UIM cards.
  • FIG. 7 is a message flow sequence diagram of a specific embodiment 1 of a network-initiated SSD update
  • FIG. 8 is a message flow sequence diagram of a second embodiment of a network-initiated SSD update
  • FIG. 9 is a sequence diagram of a message flow of an MS network providing authentication for a GSM user supporting only an SM card according to the present invention.
  • FIG. 2 is a composition diagram of an IMS network authentication system provided by the present invention. As shown in FIG. 2, the system mainly includes:
  • MS21 further used in the system to receive the authentication necessary parameters sent by the CSCF22, and send the authentication calculation result calculated by the traditional authentication algorithm to the authentication parameter according to the authentication and the authentication parameter saved by itself.
  • CSCF22 further used in the system to receive the authentication necessary parameters sent by the CSCF22, and send the authentication calculation result calculated by the traditional authentication algorithm to the authentication parameter according to the authentication and the authentication parameter saved by itself.
  • the MS 21 only supports the conventional authentication algorithm.
  • the conventional authentication algorithm in the present invention refers to the CAVE algorithm of the CDMA system, or the A3 or A8 algorithm of the GSM system.
  • the CSCF 22 is further used in the system to transmit the authentication necessary parameters sent by the authentication unit 23 to the MS 21, and is used for receiving and saving the authentication calculation result sent by the authentication unit 23 and receiving the authentication calculation result of the MS 21 And comparing the authentication calculation results of the authentication unit 23 and the MS 21;
  • the authentication unit 23 is configured to calculate an authentication calculation result by using a traditional authentication algorithm according to the authentication parameter saved by itself, and is further used in the system to send the authentication calculation result and the authentication necessary parameter to the CSCF 22.
  • the authentication unit 23 in the present invention supports at least a conventional authentication algorithm and other authentication algorithms. '
  • the authentication process may be initiated by the MS 21 or by the authentication unit 23.
  • the CSCF 22 is further configured to: after receiving the registration request message sent by the MS21, send an acquisition authentication set message to the authentication unit 23, where the authentication unit 23 is further configured to receive the After obtaining the authentication set message, if it detects that the MS only supports the traditional authentication algorithm, it will 006 000019
  • the necessary parameters of the weight and the calculation result of the calculation calculated by itself are sent to the CSCF 22; when the authentication process is initiated by the authentication unit 23, the authentication unit 23 actively takes the authentication necessary parameters saved by itself and the authentication calculated by itself. The result of the calculation is sent to the CSCF 22.
  • the MS When the MS opens an account, it reports to the authentication unit 23 whether it only supports the traditional authentication algorithm.
  • the 5 weight unit 23 saves the MS identifier that only supports the traditional authentication algorithm.
  • FIG. 3 is a second diagram of the composition of the IMS network authentication system provided by the present invention, as shown in FIG. 3, compared with FIG. 2:
  • the authentication unit 23 includes: an authentication calculation unit 231 and an authentication forwarding unit 232, wherein: the authentication calculation unit 231 is configured to calculate an authentication calculation result by using a traditional authentication 10 algorithm according to the authentication parameter saved by itself. The system further uses the authentication calculation result and the authentication necessary parameter saved by itself to the authentication forwarding unit 232.
  • the authentication calculation unit 231 can be located in a home location register (HLR); the authentication calculation unit 231 supports at least a conventional authentication algorithm, and can also support other authentication algorithms.
  • HLR home location register
  • the authentication forwarding unit 232 is further used in the system to transmit the authentication necessary parameters and the authentication calculation result sent by the authentication calculation unit 231 to the CSCF 22.
  • the authentication forwarding unit 232 can be located in the HSS.
  • the CSCF 22 is further configured to: after receiving the registration request message sent by the MS 21, send an acquisition authentication set message to the authentication forwarding unit 232, and the authentication forwarding unit 232 receives the acquisition authentication. After the message is set, if it is detected that the MS only supports the traditional authentication 20 weight algorithm, the acquisition authentication set message is sent to the authentication calculation unit 231.
  • the CSCF 22 includes: a proxy CSCF (P-CSCF) 221, an I-CSCF 222, and an S-CSCF 223, where: ' ' ' '
  • P-CSCF221 In this system, it is further used to receive the authentication necessary parameters sent by the I-CSCF 222, and pass the authentication necessary parameters to the MS 21, and at the same time, to receive the identification of the MS 21 issued by the MS 21 Calculate the result of the weight, and pass the result of the authentication calculation to the I-CSCF222;
  • the I-CSCF 222 is further configured to receive the authentication necessary parameter sent by the S-CSCF 223, and transmit the authentication necessary parameter to the P-CSCF 221, and receive the authentication calculation result of the MS 21 transmitted by the P-CSCF 221. Passing the result of the authentication calculation to the S-CSCF 223;
  • the S-CSCF 223 is further used in the system to transmit the authentication necessary parameter sent by the authentication unit 23 to the I-CSCF 222, and receives and saves the authentication calculation result transmitted by the authentication unit 23 and receives the I-CSCF 222.
  • the result of the authentication calculation of the coming MS 21 is then compared with the authentication calculation result of the authentication unit 23 and the MS 21.
  • the present invention needs to newly add a network interface on the authentication forwarding unit 232.
  • the mobile application part (MAP) signaling is run on the network port, and the MAP protocol is followed to perform the authentication with the authentication calculation unit 231.
  • the exchange of weight-related signaling and data enables the implementation of traditional authentication algorithms in the IMS domain.
  • the authentication forwarding unit 232 acts as a circuit domain visit location register (VLR).
  • CDMA Code Division Multiple Access
  • GSM Global Mobile Telecommunications
  • the IMS network To implement the traditional authentication algorithm in the IMS domain, the IMS network must be able to pass the key parameters that implement the traditional authentication algorithm.
  • the specific implementation process is:
  • the key parameters supported by the UIM card's traditional authentication algorithm, CAVE are: authentication key (AJ « ey ), electronic serial number (ESN), IMSI, and a random number (Rand). among them:
  • A-Key already exists in the MS and authentication calculation unit 231, and is not required or allowed to be transmitted in the IMS network.
  • the IMPI of MS is established - the corresponding relationship.
  • the MPI of the authentication forwarding unit 232 MS finds the corresponding ESN and MSI, and the ESN and I SI N2006/000019 is filled in the authentication related message sent to the authentication calculation unit 231.
  • Rand has corresponding parameters in the Protocol Initiation Protocol (SEP) supported by the IMS network.
  • SEP Protocol Initiation Protocol
  • the key parameters supported by the traditional authentication algorithm supported by the SM card namely the A3 or A8 algorithm are: authentication key (Ki), MSI and a random number (Rand), where:
  • the IMSI can be saved in the authentication forwarding unit 232 of the IMS network when the MS is opened, and establishes a ⁇ correspondence relationship with the IMPI of the MS.
  • the authentication forwarding unit 232 finds the corresponding MSI according to the MPI of the MS, and fills the IMSI into the authentication related message sent to the authentication calculation unit 231.
  • Rand has corresponding parameters in the SEP supported by the IMS network.
  • A-Key does not directly participate in the CAVE algorithm, but participates in the CAVE algorithm by the shared encrypted data (SSD) generated by it.
  • SSD shared encrypted data
  • SIP signaling registration request (REGISTER) message, 401 Unauthorized message, 200 response (OK) message, 403 Forbidden message, NOTIFY message;
  • Diameter signaling Multimedia Authentication (MAR) message, Multimedia Authentication Response (MAA) message:, 'Server Assignment Request CSAR' message, ' ⁇ : 'Server assignment 'sound' should (SAA) message, logout (RTR) ) message, logout response (RTA) message;
  • MAR Multimedia Authentication
  • MAA Multimedia Authentication Response
  • MAP signaling authentication request (AUTHREQ) message, authentication request response (autoeq) Message, authentication status report (ASREPORT) message, authentication status report response (asreport) message, base station query (BSCHALL) message, base station query response (bschall) message, authentication indication, (AUTHDIR) message, authentication indication response ( autMir ) message, authentication request (MAP_SE D_AUTHENTICATION_INPO Request) message, authentication request response (MAP_SEND_AUTHENTiCATION_ INFO Response) message.
  • All the messages sent by the MS to the S-CSCF mentioned in the following description are transmitted to the S-CSCF via the P-CSCF and the I-CSCF. Similarly, all messages sent by the S-CSCF to the MS are via the I-CSCF. And the P-CSCF is passed to the MS.
  • FIG. 4 is a flow chart of authentication performed by the MS network provided by the present invention. As shown in FIG. 4, the specific steps are as follows:
  • Step 401 The authentication unit uses the traditional authentication algorithm to perform authentication calculation according to the saved authentication parameter, and sends the authentication calculation result and the authentication necessary parameter to the CSCF.
  • Step 402 After receiving the authentication calculation result and the authentication necessary parameter sent by the authentication unit, the CSCF saves the authentication calculation result, and sends the authentication necessary parameter to the MS.
  • Step 403 After receiving the necessary parameters for authentication, the MS calculates the authentication calculation result by using the traditional authentication algorithm according to the authentication necessary parameter and the authentication parameter saved by itself, and sends the authentication calculation result to the authentication unit.
  • Step 404 After receiving the authentication calculation result sent by the MS, the authentication unit determines whether the authentication calculation result sent by the authentication unit and the MS is consistent, and if yes, determines that the authentication is passed; otherwise, determines that the authentication fails.
  • the authentication unit may include an authentication calculation unit and an authentication forwarding unit.
  • the setting authentication calculation unit is located in the HLR, and the authentication forwarding unit is located in the HSS.
  • FIG. 5 is a timing diagram of a message flow for authenticating a CDMA user that only supports a ⁇ 1 ⁇ card by the terminal-initiated MS network provided by the present invention, as shown in FIG. 5, and the specific steps are as follows: Step 501: The MS initiates a registration request to the S-CSGF of the MS network by using a registration request message, where the registration request message has a defect. . ⁇ '
  • Step 502 After receiving the registration request message, the S-CSCF sends a MAR message to the HSS to obtain an authentication set, where the MAR message carries an IMPI.
  • Step 503 After receiving the MAR message, the HSS detects that the MS only supports the traditional authentication algorithm according to the IMPI carried by the MAR message, and then finds the ESN and IMSI corresponding to the IMH in itself, and then sends a request to the HLR.
  • AUTHREQ AUTHREQ
  • the authentication request message carries MSI and ESN, but does not have a unique query result parameter: AUTHR parameter.
  • the network administrator or the like configures the authentication algorithm information supported by the MS to the HSS, that is, the HSS stores the correspondence between the MS identifier and the authentication algorithm supported by the MS.
  • the MS identifier may be IMPI, etc., after which the HSS may be based on The MS identifier queries whether the MS supports only the traditional authentication algorithm.
  • Step 504 After receiving the authentication request message, the HLR detects that the AUTHR parameter is not included in the authentication-purification message, and the HLR saves the SSD and the random number according to the self: RA DU and the ESN and IMSI carried in the authentication request message.
  • the HLR uses the CAVE algorithm to calculate a unique query result: AUTHU, then return an authentication request response (authreq) message to the HSS to instruct the HSS to initiate a unique query request with an authentication set in the response request message: Unique query random number: RANDU and unique query results: AUTHU.
  • Step 505 After receiving the authentication request response message, the HSS converts the authentication set carried by the authentication request response message: RANDU and AUTHU, and respectively maps to an authentication set of the IMS domain: RAND and XRES, and RAND and The XRES is returned to the S-CSCF through the MAA message. ⁇ ..
  • Step 506 After receiving the .MAA message, save the unique query result XRES of the 'HLR carried by the MAA message, and return a 401 unauthorised message to the MS to instruct the MS to perform authentication, the 401 is not authorized.
  • the message has RAND.
  • Step 507 After receiving the 401 unauthorized message, the MS calculates the unique query result by using the CAVE algorithm according to the RAND of the .401 non-authorization message, and combining the saved SSD, ESN and IMSI, and the unique query result. The result is filled in the RES parameter of the SIP signaling, and the S-CSCF of the IMS network is notified by a new registration request message.
  • Step 508 After receiving the registration request message, the S-CSCF determines whether the unique query result carried in the RES parameter of the registration request message is consistent with the unique query result of the 4 ⁇ on the HLR message received in the MAA message received in step 506. If yes, it is considered that the authentication is passed, the authentication of the SAR message is reported to the HSS and the user subscription data is requested to be downloaded, and step 509 is performed; otherwise, the authentication is not passed, the HSS authentication failure is notified by the MAR message, and the response is returned to the MS. 403 Forbidden message, this process ends.
  • Step 509 After receiving the SAR message, the HSS sends an authentication status report message to the HLR, where the unique query report (UCREPORT) parameter in the authentication status report message indicates success, indicating that the unique query is successful.
  • UREPORT unique query report
  • Step 510 After receiving the authentication status report message indicating that the unique query is successful, the HLR returns an authentication status report response message with no parameters to the HSS to indicate that the authentication is passed. .
  • Step 511 After receiving the authentication status report response message indicating that the authentication is passed, the HSS updates the unauthenticated and unregistered information in the user status information of the saved MS to the authentication success and the registration success information, and passes the information.
  • the SAA message returns user subscription data to the S-CSCF.
  • Step 512 After receiving the SAA message, the S-CSCF returns a 200 response message to the MS, indicating that the user is successfully registered.
  • Step 601 The HLR sends an authentication indication message to the HSS, where the authentication indication message has an authentication set:: a unique query random number RANDU and a unique query result AUTHU to instruct the HSS to initiate a unique query request.
  • the authentication indication message has an authentication set:: a unique query random number RANDU and a unique query result AUTHU to instruct the HSS to initiate a unique query request.
  • Step 602 After receiving the authentication indication message, the HSS converts the authentication set carried by the authentication indication message: RANDU and AUTHU, respectively, and maps to an authentication set of the IMS domain: RAND and XRES, and saves the RAM) And XRES, and notify the S-CSCF to log off the user through the RTR message.
  • the HSS converts the authentication set carried by the authentication indication message: RANDU and AUTHU, respectively, and maps to an authentication set of the IMS domain: RAND and XRES, and saves the RAM) And XRES, and notify the S-CSCF to log off the user through the RTR message.
  • Step 603 After receiving the RTR message, the S-CSCF notifies the MS to re-register through a notification message.
  • Step 604 After receiving the notification message, the MS returns a 200 response message to the S-CSCF.
  • Step 605 After receiving the 200 response message, the S-CSCF returns an RTA message to the HSS, where the RTA message is a response message of the RTR message in step 602.
  • Step 606 After receiving the RTA message, the HSS returns an authentication indication response message with no parameters to the HLR, where the authentication indication response message is a response message of the authentication indication message in step 601.
  • Step 607 After receiving the notification message requesting re-registration, the MS sends a registration request message to the S-CSCF, where the registration request message does not have an authentication-related parameter.
  • Step 608 After receiving the registration request message, the S-CSCF sends an MAR message to the HSS to obtain the ⁇ right set.
  • Step 609 After receiving the MAR message, the HSS returns a MAA message to the S-CSCF, where
  • the MAA message carries the RAND and XRES saved in step 602.
  • Step 610 After receiving the MAA message, the S-CSCF saves the unique query result XRES of the HLR with the MAA message, and returns a 401 ⁇ unauthorized message to the “MS.
  • the unauthorized message has a unique query random. Number RAND.
  • Step 611 After receiving the 401 unauthorized message, the MS according to the A_Key saved by itself, the MS according to the A_Key saved by itself,
  • the SSD, ESN and IMSI use the CAVE algorithm to calculate the unique query result RES, and carry the unique query result RES in the registration request message and send it to the S-CSCF.
  • Step 612 After receiving the registration request message, the S-CSCF determines whether the unique query result of the MS on the registration request message is consistent with the unique query result of the HLR on the MAA message received in step 610. If yes, it indicates that the unique query is passed, and the S-CSCF sends a SAR message to the HSS to indicate that the authentication succeeds and requests the user to sign the subscription data, and step 613 is performed; otherwise, the S-CSCF sends a MAR message to the HSS to indicate that the authentication fails, and The 403 forbidden message is returned to the MS, and the process ends.
  • Step 613 After receiving the SAR message, the HSS sends an authentication status report message to the HLR, where the unique query result report (UCREPORT) parameter in the authentication status report message indicates success, indicating that the unique query is successful.
  • UREPORT unique query result report
  • Step 614 After receiving the authentication status report message indicating that the unique query is successful, the HLR learns that the unique query is successful, and then returns an authentication status report response message with no parameters to the HSS, indicating that the authentication succeeds.
  • Step 615 After receiving the authentication status report response message indicating that the authentication is successful, the HSS updates the unauthenticated and unregistered information in the user status information of the saved MS to the authentication success and the registration success information, and The S-CSCF returns an SAA message with user subscription data.
  • Step 616 After receiving the SAA message, the S-CSCF returns a 200 response message to the MS, indicating that the user is successfully registered.
  • Step 701 The HLR initiates an SSD update request to the HSS by using an authentication indication message, where the SSD update request message carries the random number RANDSSD required for the SSD update, and the unique query random number RAKDU and the unique query result AUTHU. Meanwhile, the HLR saves according to itself.
  • the A-Key, RANDSSD, and the ESN and IMSI of the MS calculate the SSD.
  • Step 702 After receiving the authentication indication message, the HSS saves the unique query random number RANDU and the unique query operation result AUTHU carried by the authentication indication message, and notifies the S-CSCF to cancel the user through the RTR message, where the RITL message carries HLR reported random number RANDSSDo
  • the RTR message is a message formulated by the DIAMETER protocol.
  • the DIAMETER protocol needs to be extended, and parameters supporting RANDSSD are added to the RTR message.
  • Step 703 After receiving the RTR message, the S-CSCF notifies the MS to re-register through a notification message, and the request (Require) parameter in the notification message indicates that the MS is required to initiate an SSD update, and the notification message has a random number required for the SSD update.
  • RANDSSD specifically, RANDSSD is carried in the Authorization parameter.
  • Step 704 The MS returns a 200 response message to the S-CSCF.
  • Step 705 S-CSCF returns a message to the RTA HSS, RTA message is a response message in step 502 in the RTR message.
  • Step 706 After receiving the RTA message, the HSS returns an authentication indication response message with no parameters to the HLR, and the enhancement indication response message is a response message of the authentication indication message in step 701.
  • Step 707 Since the network requests the MS to perform SSD update, the MS first authenticates the network, 'At this time, the MS generates a base station to query the random number RANDBS, according to the RANDBS and the 'self-preserved' SSD, ESN and IMSI, Using the CAVE algorithm to calculate: the base station query result, and save the base station query result, and then initiate a re-registration request to the S-CSCF through the registration request message, the registration request message carries the MH, and the base station queries the random number RANDBS, to instruct the MS network to perform base station inquiry.
  • the S-CSCF receives the registration request message with the RANDBS, and sends the RANDBS to the HSS through the MAR message, which has the parameter IMPI in the MAR message, and passes the SIP authentication mechanism in the MAR message (SIP- The Authentication-Scheme parameter indicates that the HSS initiates a base station query, where the RANDBS is carried in the SIP-Authorization parameter.
  • Step 709 After receiving the MAR message, the HSS finds the corresponding ESN and IMSI according to the IMPI carried by the MAR message, and then sends a base station query message to the HLR, where the base station query message carries ESN, and RANDBS.
  • Step 710 After receiving the base station query message, the HLR calculates the base station query result AUTHBS according to the saved parameter SSD and the ESN, MSI, and RANDBS carried in the base station query message, and returns the AUTHBS to the base station query response message. HSS.
  • Step 711 After receiving the base station query response message, the HSS returns a base station query result AUTHBS to the S-CSCF by using the MAA message, where the MAA message carries a unique query random number RA DU and a unique query result AUTHU to request the S-CSCF at the same time. Make a unique query to the MS.
  • Step 712 After receiving the MAA message, the S-CSCF saves the unique query result AUTHU of the HLR with the MAA message, and returns a 401 unauthorized message to the MS, where the 401 unauthorized message carries the base station query result ALUMTS, and There is a unique query random number RANDU to inform the MS that a unique query needs to be performed after the SSD update is completed.
  • the MS After receiving the 401 unauthorized message, the MS determines the HLR of the 401 unauthorized message.
  • the calculated base station query result A ⁇ THBS. Whether it is the base station query result obtained from the body calculation in step 707. Match, if yes, update the SSD in the MS using the CAVE algorithm according to its saved A-Key, RANDSSD, ESN and IMSI, and then execute with the new SSD
  • the unique query operation uses the CAVE algorithm to calculate the unique query result AUTHU, and carries the AUTHU in the newly sent registration request message to the S-CSCF, and performs step 71 4 ; otherwise, the authentication is not passed, and the process ends.
  • the MS may also initiate a registration request to the MS network through the registration request message, the registration request message.
  • the result of the authentication calculation is not carried in to indicate that the network authentication has not passed and needs to be re-authenticated.
  • Step 714 After receiving the registration request message, the S-CSCF determines whether the AUTHU reported by the MS with the registration request message is the same as the AUTHU reported by the HLR in the MAA message received in step 712, and if so, the unique After the query passes, the S-CSCF sends a SAR message to the HSS to indicate that the authentication succeeds and requests to download the user subscription data, and performs step 715; otherwise, the S-CSCF sends a MAR message to the HSS to indicate that the authentication fails, and returns a 403 forbidden message to the MS. , the process ends. '
  • Step 715 After receiving the SAR message, the HSS reports the unique query success information and the SSD update success information to the HLR through the authentication status report message, where the unique query result report (UCREPORT) parameter indicates success, and the SSD update result report (SSDUPRPT) The parameter indicates success.
  • UREPORT unique query result report
  • SSDUPRPT SSD update result report
  • Step 716 After receiving the authentication status report message indicating that the unique query is successful and the SSD update is successful, the HLR learns that the SSD update is successful, and the SSD calculated in step 701 refreshes the current SSD saved by itself, and then returns to the HSS without any The authentication status report response message of the parameter indicates that the authentication succeeds.
  • Step 717 ⁇ HSS.
  • the unauthenticated unregistered information in the user status information of the MS saved by itself is updated to .
  • FIG. 8 is a timing diagram of the message flow of the embodiment. As shown in FIG. 8, the specific steps are as follows:
  • Steps 801 and 804 806 are the same as steps 701 and 704 706.
  • Step 802 is: After receiving the authentication indication message, the HSS notifies the S-CSCF to cancel the user through the RTR message, and the RTR message does not need to carry the random number RANDSSD.
  • step 803 and 703 The difference between step 803 and 703 is that the notification message does not carry the random number RANDSSD.
  • the parameters supporting RANDSSD in the notification message are optional.
  • Steps 807 ⁇ 810 are:
  • Step 807 The MS initiates a registration request to the S-CSCF by using a registration request message, where the registration request message carries a PL
  • Step 808 After receiving the registration request message, the S-CSCF sends an MAR message to the HSS to obtain an authentication set, where the MAR message carries the E DPL.
  • Step 809 After receiving the MAR message, the HSS sends a MAA message to the S-CSCF, where the MAA message carries a random number RANDSSD to instruct the S-CSCF to initiate an SSD update process to the MS.
  • Step 810 After receiving the MAA message, the S-CSCF sends a 401 unauthorised message to the MS.
  • the 401 unauthorized message carries a random number RANDSSD to notify the MS to initiate the SSD 'update process.
  • Step 811 822 is the same as steps 707-718 of FIG.
  • Steps 901 to 902 are the same as steps 501 and 502;
  • Step 903 is: after receiving the MAR message, the HSS finds the MSI corresponding to the IMPI according to the IMPI carried by the MAR message, and then sends an authentication request 5 (MAP_SEND_AUTHENTICATION_INFO Request) message to the HLR.
  • the authentication request message carries an MSI;
  • the key parameters in the A3/A8 algorithm do not include the ESN
  • the IMPI carried by the MAR message retrieves the IMSI instead of the IMSI and the ESN
  • the authentication request message 10 sent by the HLR only needs to carry the MSI.
  • the authentication request message and the authentication request response message of the GSM system are different from those of the CDMA system.
  • Step 904 is: After receiving the authentication request message, the HLR detects that the authentication request message does not have an authentication challenge result parameter: the AUTHR parameter, and the HLR carries the IMSI carried by the Ki, RAND, and the authentication request message. Using the A3 or A8 algorithm to calculate the result of the authentication pick: SRES, and then return the message to the HSS (MAP_SEND_AUTHENTICATION_INFO Response) message with the authentication 4 in the authentication request response message The result of the tactics SRES and the authentication challenge random number RAND;
  • Step 905 is different from step 505 in that: after receiving the authentication request response message, the HSS only maps the authentication set parameter SRES carried in the authentication request response message to the authentication 20 set parameter X ES of the MS domain. Because: In the GSM system, the authentication challenge random number RAND and the RAND of the MS network do not need to be converted;
  • Step 906 After the S-CSCF receives the MAA message, save the MAA message carrying
  • Step 907 After receiving the 401 unauthorized message, the MS carries the unauthorized message according to the 401.
  • Step 908 After receiving the registration request message, the S-CSCF determines whether the authentication challenge result in the RES parameter of the registration request message and the authentication challenge result reported by the HLR message in the MAA message received in step 906 are If yes, if the authentication is passed, report the authentication to the HSS through the SA message and request to download the user subscription data, and perform step 909; otherwise, the authentication is not passed, and the HSS authentication failure is notified by the MAR message, and the MS is notified to the MS. Returns 403 forbidden message, this process ends.
  • Step 909 is: after receiving the SAR message, the HSS returns an SAA message with user subscription data to the S-CSCF;
  • Step 910 is the same as step 512.
  • the message flow shown in FIG. 9 does not include steps 509 and 510 shown in FIG. 5, and it should be noted that: In the authentication algorithm A3 or A8 of the GSM system, Ki is directly involved in the operation.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Multimedia (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Mobile Radio Communication Systems (AREA)

Description

N2006/000019 一种 IP多媒体子系统网络鉴权系统及方法 技术领域
本发明涉及 BP多媒体子系统领域， 具体涉及一种 IP多媒体子系统 网络鉴权系统及方法。 发明背景
目前， EP 多媒体子系统 （IMS ) 网络在标准协议中定义采用 AKAvl-MD5算法对用户进行鉴权,用户要想使用 MS'网络提供的服务， 就必须具有支持此算法^ IMS用户识别（ISIM )卡。 ^由于用户识别模 块（UIM )卡或用户识别模块 ( SIM )卡只支持传统的鉴权算法， 而不 支持 AKAvl-MD5算法， 因此， 那些使用 UIM卡或 SM卡的用户无法 通过 IMS域的鉴权。
为了使只能使用 SM卡的通用分组无线业务（ GPRS )用户能够接 入 IMS网络， 第三代合作伙伴组织 （3GPP )制定的 .MS标准协议技术 报告 ( TR ) 33.878中定义了一种名为 Early IMS的过程。 它通过将为移 动台（ MS )分配的用户 IP地址和 MS的国际移动用户识別标识（ IMSI ) 或移动台国际综合业务数字网号码（MSISDN )进行绑定， 使得只支持 SM卡的 GPRS用户能够接入 IMS网络，如图 1所示，其具体步骤如下： 步驟 101: MS向 GPRS网络的网关 GPRS支持节点（ GGSN )发起 接入请求， 该接入请求消息中带有 IMSI或 MSISDN、 GGSN给 MS分 ^的用户 IP地址等。
■ 步骤 102: GGSN收到接入请求后， 通过自身的 Gi接口将用户 EP 地址和 IMSI,或将用户 DP地址和 MSISDN通知 MS网络的归属用户服 务器（HSS ),
系。
步驟 103: MS向 IMS网络的服务呼叫会话控制功能（S-CSCF )发 起注册请求， 该注册请求消息中带有 MS私有用户标识（MH )和 MS 的接入 IP地址。
IMPI是 MS自身具有的参数， 且注册请求消息带有该参数。
步驟 104: S-CSCF根据接收到的 IMPI向 HSS查询与之对应的 IMSI 或 MSISDN, 进而查找到对应的用户 IP地址。
在 MS开户时,. HSS保存 MS的 IMSI和 ΓΜΡΙ,或保存 MS的 MSISDN 和 IMPI, 并对应建立 MSI或 MSISDN与 IMPI的对应关系。
步驟 105: S-CSCF判断注册请求消息中携带的 MS'的接入 IP地址 和步骤 104中查到的 HSS保存的用户 IP地址是否一致， 若是， 判定鉴 权通过， 通知 MS注册成功； 否则， 判定鉴权没通过， 通知 MS注册失 败。
这种简单地使用用户 IP地址对用户进行合法性判断的方法只是一 种 [艮初级的安全措施， 实际上没有执行任何鉴权算法， 非法终端只要使 用与 HSS中保存的用户 IP ^址相同的 IP地址发起注册請求， 且在注册 请求消息中带有与该 IP地址对应的 IMPI, 就可以很容易地接入 IMS网 络， 这样会对被假冒.的用户造成经济损失； 另外， MS网络要求 MS的 接入 IP地址必须为公网 IP地址， 因为： 若接入 IP地址是私网 IP地址， 那么 IMS网络会对其进行地址转换， 转换后的地址与 MS的接入 IP地 址很可能不同， 这样转换后的地址与步骤 104中 HSS查找到的用户 IP 地址就会不一致，从而导致 MS'注册失败, 所以该方法要求接入 IP地址 必须为公网 ΓΡ地址， 在现有 IP地址资源有限的情况下， 其应用必然会 受到限制。 发明内容
有鉴于此，本发明的主要目的在于提供一种 IMS网络鉴权系统及方 法， 以实现 IMS网络对只支持传统鉴权算法的 MS进行鉴权， 以避免用 户的经济损失， 同时保证 MS鉴权成功。
为达到上述目的， 本发明的技术方案是这样实现的：
一种 IMS网络鉴权系统, 包括： 只支持传统鉴权算法的 MS、 CSCF 和至少支持传统鉴权算法的鉴权单元， 其中，
鉴权单元， 用于利用传统鉴权算法进行鉴权计算， 并将鉴权计算结 果和鉴权必要参数发送给 CSCF;
MS,用于根据 CSCF发来的鉴权必要参数，利用传统鉴权算法进行 鉴权计算， 并将鉴权计算结果发送给 CSCF;
CSCF, 用于将鉴权单元发来的鉴权必要参数转发给 MS, 并比较来 自鉴权单元和 MS的鉴权计算结果,若两者一致， 判定鉴权成功； 否则， 判定鉴权失败。
所述鉴权单元包括： 鉴权计算单元和鉴权转发单元， 且在所述鉴权 转发单元上增加支持鉴权相关信令和数据的接口， 所述鉴权转发单元通 过所述接口连接到所述鉴权计算单元， 其中，
鉴权计算单元， 用于利用传统鉴权算法进行鉴权计算, 并将鉴权计 算结果和鉴权必要参数发送给鉴权转发单元；
鉴权转发单元， 用于将鉴权计算单元发来的鉴权计算结果和鉴权必 要参数转发给 CSCF。
所述 CSCF包括：
代理 CSCF,用于将 MS发来的鉴杈计算结果传递给问讯 CSCF,将 问讯 CSCF发来的鉴权必要参数传递给 MS;
问讯 CSCF, 用于将代理 CSCF发来的 MS的聲权计算结果传递给 服务 CSCF, 将服务 CSCF发来的鉴权必要参数传递给代理 CSCF; 服务 CSCF , 用于将鉴权单元发来的鉴权必要参数传递给问讯 CSCF, 接收^保存鉴权单元发来的鉴权计算结果以及接收问讯 CSCF 传递来的 MS的鉴权计算结果， 然后将鉴权单元和 MS的鉴权计算结果 进行比较。
一种在 IMS网络鉴权系统中进行的 MS网络鉴权方法， 所述 IMS 网络鉴权系统包括只支持传统鉴权算法的 MS、 CSCF和至少支持传统鉴 权算法的鉴权单元， 其特征在于， 该方法包括：
A、 鉴权单元根据自身保存的鉴权参数， 利用传统鉴权算法进行鉴 权计算， 并将鉴权计算结果和鉴权必要参数发送至 CSCF, 之后 CSCF 将鉴权必要参数发送给 MS;
B、 MS收到鉴权必要参数后，根据该鉴权必要参数和自身保存的鉴 权参数， 利用传统鉴权算法进行鉴权计算， 并将鉴权计算结果发送给 CSCF;
C、 CSCF判断鉴权单元和 MS发来的鉴权计算结果是否一致，若一 致， 判定鉴权成功； 否则， 判定鉴权失败。 .
所述鉴权单元包括鉴权计算单元和鉴权转发单元，其中步骤 A所述 鉴权单元进行鉴权计算为： 鉴权计算单元进行鉴权 i十算， 步骤 A所述鉴 权单元将鉴权计算结果和鉴权必要参数发送至 CSCF为：鉴权计算单元 将鉴权计算结果和鉴权必要参数先发送至鉴权转发单元， 再由鉴权转发 单元发送至 CSCF。
所述步骤 A之前进一步包括: MS向 CSCF发送注册请求消息， CSCF 收到该注册请求消息后 向鉴权单元发送获取鉴权集消息， 鉴权单元收 到获取鉴权集消息后，且检测到 MS只支持传统鉴权算法，转至步驟入。
所述传统鉴权算法为： CDMA系统的 CAVE算法。 步骤 A所述鉴权单元将鉴权计算结果和鉴权必要参数发送至 CSCF 之后、 CSCF将鉴权必要参数发送给 MS之前， 进一步包括：
CSCF向 MS发送要求重注册消息， MS收到该要求重注册消息后， 向 CSCF发送注册请求消息， 之后 CSCF接收该注册请求消息。
步驟 A所述鉴权单元保存的鉴权参数和步骤 B所述 MS保存的鉴权 参数包括 SSD。
所述方法进一步'包括更新 SSD的步骤，所述更新 SSD的步骤包括： a、 鉴权单元计算 SSD, 然后向 MS.发送要求重新注册的消息， 并 将 SSD更新随机数发送给 MS;
" b、 MS根据自身产生的基站查询随机数计算并保存基站查询结果， 然后向 CSCF发起注册请求， 该注册请求消息中带有基站查询随机数， CSCF收到注册请求消息后要求鉴权单元进行基站查询， 之后鉴权单元 根据基站查询随机数计算基站查询结果， 将该基站查询结果和鉴权计算 结果返回给 MS ;
c、 MS判断自身计算得到的基站查询结果和鉴权单元返回的基站查 询结果是否一致，若是，根据 SSD更新随机数更新 SSD,并根据此 SSD 和鉴权随机数计算鉴权计算结果， 将鉴权计算结果发送给 CSCF;
d、 CSCF判断 MS和鉴权单元发来的鉴权计算结果是否一致，若是， 通知鉴权单元鉴权成功， 之后鉴权单元更新自身保存的 SSD; 否则， 本 流程结束。
步驟 a所述鉴权单元将 SSD更新随机数发送给 MS为：鉴权单元将 SSD更新随机数携带在注销消息中发送至 CSCF, 之后 CSCF将该携带 SSD更新随机数的注销消息传递给 MS。 . ：
步骤 a所述鉴权单元将 SSD更新随机数发送给 MS为：鉴权单元将 SSD更新随机数携带在多媒体鉴权响应消息中发送至 CSCF ,之后 CSCF 将该携带 SSD更新随机数的多媒体鉴权响应消息发送给 MS, 同时' - 步骤 a所述鉴权单元向 MS发送要求重新注册的消息之后、 向 MS 发送 SSD更新随机数之前， 进一步包括：
MS向 CSCF发送注册请求消息， CSCF收到该注册请求消息后向鉴 权单元发送多媒体鉴权请求消息， 鉴权单元收到该鉴权请求消息后将 SSD更新随机数通过多媒体鉴权响应消息发送给 CSCF。
所述传统鉴权算法为： GSM系统的 A3或 A8算法。
所述鉴权必要参数为鉴权随机数。
与现有技术相比， 本发明对原有电路域的网络设备没有改动， 只需 鉴权单元将鉴权必要参数通过 CSCF传递给 MS,而鉴权算法仍然在 MS 和鉴权单元上实现， 不需 IMS网络实体支持传统鉴权算法， 实现筒单， 同时本发明与 MS的接入 IP地址无关， 通过传统鉴权算法实现 IMS网 络的鉴权， 保证了鉴权的可靠性和成功率。 附图简要说明
图 1为 IMS网络对 GPRS用户进行鉴权的 Early IMS过程示意图； 图 2为本发明提供的 IMS网络鉴权系统的组成图一；
图 3为本发明提供的 IMS网络鉴权系统的组成图二；
图 4为本发明提供的 MS网格进行赛权的流程图；
图 5 为本发明提供的终端发起的 MS 网络对只支持 UIM 卡的
CDMA用户进行鉴权的消息流程时序图；
图 6 为本发明提供的网络发起的 IMS 网络对只支持 UIM 卡的
CDMA用户进行鉴权的消息流程时^图.； , .
图 7为网络发起的 SSD更新的具体实施例一的消息流程时序图； 图 8为网络发起的 SSD更新的具体实施例二的消息流程时序图； 图 9为本发明提供的 MS网络对只支持 SM卡的 GSM用户进行鉴 权的消息流程时序图。 . 实施本发明的方式 - 下面结合附图及具体实施例对本发明再作进一步详细的说明。
图 2是本发明提供的 IMS网络鉴权系统的组成图， 如图 2所示， 该 系统主要包括：
MS21: 在本系綵中进一步用于接收 CSCF22发来的鉴权必要参数， 并将根据该鉴权必要参数和自身保存的鉴权参数， 利用传统鉴权算法计 算出的鉴权计算结果发送给 CSCF22。
MS21只支持传统鉴权算法，本发明中的传统鉴权算法指 CDMA系 统的 CAVE算法， 或 GSM系统的 A3或 A8算法。
CSCF22: 在本系统中进一步用于将鉴权单元 23发来的鉴权必要参 数传递给 MS21 , 同时用于接收并保存鉴权单元 23发来的鉴权计算结果 以及接收 MS21的鉴权计算结果，并将鉴权单元 23和 MS21的鉴权计算 结果进行比较；
鉴权单元 23: 用于根据自身保存的鉴权参数， 利用传统鉴权算法计 算出鉴权计算结果， 在本系统中进一步用于将该鉴权计算结果和鉴权必 要参数发送给 CSCF22。
本发明中的鉴权单元 23 至少支持传统鉴权算法， 也可以支持其它 鉴权算法。 '
鉴权流程可由 MS21发起， 也可由鉴权单元 23发起。 在由 MS21 发起鉴权流程时， CSCF22进一步用于， 在收到 MS21 ,发来的注册请求 消息后，向鉴权单元 23发送获取鉴权集消息，鉴权单元 23进一步用于， 收到该获取鉴权集消息后， 若检测到 MS只支持传统鉴权算法， 则将鉴 006 000019 权必要参数和自身计算出的鉴权计算结果发送给 CSCF22; 在由鉴权单 元 23发起鉴权流程时， 鉴权单元 23主动将自身保存的鉴权必要参数和 自身计算出的鉴权计算结果发送给 CSCF22。
' MS开户时， 向鉴权单元 23上报自身是否只支持传统鉴权算法， 鉴
5 权单元 23保存只支持传统鉴权算法的 MS标识。
图 3是本发明提供的 IMS网络鉴权系统的组成图二， 如图 3所示， 与图 2相比：
鉴权单元 23包括： 鉴权计算单元 231和鉴权转发单元 232, 其中： 鉴权计算单元 231: 用于根据自身保存的鉴权参数， 利用传统鉴权 10 算法计算出鉴权计算结果， 在本系统中进一步用于将该鉴权计算结果和 自身保存的鉴权必要参数发送给鉴权转发单元 232。
鉴权计算单元 231可位于归属位置寄存器（HLR ) 中； 鉴权计算单 元 231至少支持传统鉴权算法， 也可以支持其它鉴权算法。
鉴权转发单元 232: 在本系统中进一步用于将鉴权计算单元 231发 15 送来的鉴权必要参数和鉴权计算结果传递给 CSCF22。
鉴权转发单元 232可位于 HSS中。
在由 MS21发起鉴权流程时， CSCF22进一步用于， 在收到 MS21 发来的注册请求消息后 , 向鉴权转发单元 232发送获取鉴权集消息， 鉴 权转发单元 232收到该获取鉴权集消息后， 若检测到 MS只支持传統鉴 20 权算法， 则向鉴权计算单元 231发送获取鉴权集消息。
CSCF 22包括：代理 CSCF( P-CSCF )221、 I-CSCF222和 S-CSCF223 , 其中： ' ' '
' . ' - . P-CSCF221: 在本系统中进一步用乎接收 I-CSCF222发送来的鉴权 必要参数， 并将该鉴权必要参数传递给 MS21 , 同时用于接收 MS21发 25 ' 来的鉴权计算结果， 并将该鉴权计算结果传递给 I-CSCF222; I-CSCF222:.在本系统中进一步用于接收 S-CSCF223发送来的鉴权 必要参数， 将该鉴权必要参数传递给 P-CSCF221 , 并接收 P-CSCF221 传递来的 MS21的鉴权计算结果,将该鉴权计算结果传递给 S-CSCF223;
S-CSCF223:在本系统中进一步用于将鉴权单元 23发送来的鉴权必 要参数传递给 I-CSCF222,并接收和保存鉴权单元 23传递来的鉴权计算 结果以及接收 I-CSCF222发来的 MS21的鉴权计算结果， 然后将鉴权单 元 23和 MS21的鉴权计算结果进行比较。
由图 3可以看出， 本发明需要在鉴权转发单元 232上新增加一个网 络接口， 该网 矣口上运行移动应用部分（ MAP )信令， 遵循 MAP协 议，以与鉴权计算单元 231进行鉴权相关信令和数据的交换，从而在 IMS 域实现传统鉴权算法。 通过这个网络接口， 鉴权转发单元 232充当电路 域拜访位置寄存器（VLR ) 的地位。
对于码分多址（ CDMA )系统，该新增网络接口遵循 CDMA的 MAP 协议 TIA/EIA-41D; 对于全球移 通信（ GSM ) 系统， 该新增接口遵循 GSM的 MAP协议 TS 29.002ο
要在 IMS域实现传统鉴权算法， IMS网络必须能够传递实现传统鉴 权算法的关键参数， 具体实现过程是：
一、 对于 CDMA系统， 其 UIM卡支持的传统鉴权算法即 CAVE算 法中的关键参数有： 鉴权密钥 （AJ« ey )、 电子序列号（ESN )、 IMSI和 一个随机数（Rand ), 其中：
1、 A— Key在 MS和鉴权计算单元 231 中已经存在， 不需要也不允 许在 IMS网络中传递。
MS的 IMPI建立起——对应关系。 当 MS发起鉴权流程时， 鉴权转发单 元 232 MS的 MPI查找到对应的 ESN和 MSI,并将该 ESN和 I SI N2006/000019 填入到发送给鉴权计算单元 231的鉴权相关消息中。
3、 Rand在 IMS网络支持的^舌发起协议（SEP ) 中已有对应参数。 二、 对于 GSM系统，.其 SM卡支持的传统鉴权算法即 A3或 A8 算法中的关键参数有：鉴权密钥（Ki )、 MSI和一个随机数（Rand ), 其 中：
1、 Ki在 MS和鉴权计算单元 231中已经存在， 不需要也不允许在 IMS网络中传递。
2、 IMSI可在 MS开户时保存在 IMS网络的鉴权转发单元 232中， 并与 MS的 IMPI建立起一^ ^对应.关系。 当 MS发起鉴权流程时， 鉴权 转发单元 232根据 MS的 MPI查找到对应的 MSI, 并将该 IMSI填入 到发送给鉴权计算单元 231的鉴权相关消息中。
3、 Rand在 IMS网络支持的 SEP中已有对应参数。
通过上述过程，传统鉴权算法的关键参数已经具备在 MS网络中传 递的基石出。
需要注意的是， 在 CDMA系统中， A— Key并不直接参与 CAVE算 法， 而是由由其生成的共享加密数据 ( SSD )参与 CAVE算法。
以下是本发明提供的 MS 网络进行鉴权的具体实施例， 为便于理 解， 将具体实施例中的信令消息罗列如下：
SIP信令： 注册请求（ REGISTER )消息， 401未授权 ( Unauthorized ) 消息， 200 响应（ OK )消息， 403禁止（ Forbidden )消息，通知（ NOTIFY ) 消息；
Diameter信令： 多媒体鉴权（ MAR )消息， 多媒体鉴权响应（ MAA ) 消息:，'服务器指配请求 CSAR ) 消息, '·: '服务器指配 '响'应 ( SAA ) 消息， 注销 （RTR ) 消息， 注销响应 （RTA ) 消息；
MAP信令： 鉴权请求（ AUTHREQ )消息， 鉴权请求响应（autoeq ) 消息， 鉴权状态报告（ASREPORT )消息， 鉴权状态报告响应（asreport ) 消息， 基站查询（BSCHALL )消息， 基站查询响应（bschall )消息， 鉴 权指示，（AUTHDIR ) 消息， 鉴权指示响应 （autMir ) 消息， 鉴权请求 ( MAP_SE D_AUTHENTICATION_INPO Request ) 消息， 鉴权请求响 应 （MAP_SEND—AUTHENTiCATION— INFO Response ) 消息。
在以下描述中提到的 .MS向 S-CSCF发送的所有消息都是经 P-CSCF 和 I-CSCF传递给 S-CSCF的， 同样 S-CSCF向 MS发送的所有消息都是 经 I-CSCF和 P-CSCF传递给 MS的。
图 4是本发明提供的 MS网络进行鉴权的流程图， 如图 4所示， 其 具体步骤如下：
步骤 401: 鉴权单元根据自身保存的鉴权参数， 利用传统鉴权算法 进行鉴权计算， 并将鉴权计算结果和鉴权必要参数发送给 CSCF。
步骤 402: CSCF收到鉴权单元发来的鉴权计算结果和鉴权必要参数 后， 保存该鉴权计算结果， 并将鉴权必要参数发送给 MS。
步驟 403: MS收到该鉴权必要参数后，根据该鉴权必要参数和自身 保存的鉴权参数， 利用传统鉴权算法计算鉴权计算结果， 并将鉴权计算 结果发送给鉴权单元。
步骤 404: 鉴权单元收到 MS发来的鉴权计算结果后， 判断鉴权单 元和 MS发来的鉴权计算结果是否一致， 若是， 判定鉴权通过； 否则， 判定鉴权失败。
在具体应用中， 鉴权单元可包括鉴权计算单元和鉴权转发单元， 以 下具体实施例中， 设定鉴权计算单元位于 HLR中， 鉴权转发单元位于 HSS中。
图 5 是本发明提供的终端发起的 MS 网络对只支持 Ό1Μ卡的 CDMA用户进行鉴权的消息流程时序图，如图 5所示，其具体步骤如下： 步骤 501: MS通过注册请求消息向 MS网络的 S-CSGF发起注册 请求， 该注册请求消息中带有 ΓΜΡΙ。 .· '
步骤 502: S-CSCF接收到注册请求消息后， 向 HSS发送 MAR消息 以获取鉴权集， 该 MAR消息中带有 IMPI。
步骤 503： HSS接收到 MAR消息后，根据该 MAR消息带有的 IMPI 检测到 MS只支持传统鉴权算法，然后在自身查找到该 IMH对应的 ESN 和 IMSI, 然后向 HLR发送鉴 ^又请求 ( AUTHREQ ) 消息， 该鉴权请求 消息中带有 MSI和 ESN, 但不带有独特查询结果参数： AUTHR参数。
MS开户时，由网络管理员等将 MS支持的鉴权算法信息配置到 HSS 上， 即 HSS保存有 MS标识与 MS支持的鉴权算法的对应关系， MS标 识可以是 IMPI等， 此后 HSS可根据 MS标识查询 MS是否只支持传统 鉴权算法。
步驟 504: HLR接收到鉴权请求消息后， 检测到该鉴权 -清求消息中 不带 AUTHR参数， 则 HLR根据自身保存的 SSD和随机数： RA DU 以及鉴权请求消息携带的 ESN和 IMSI, 利用 CAVE算法计算出独特查 询结果： AUTHU, 然后向 HSS返回鉴权请求响应（authreq ) 消息以指 示 HSS发起独特查询请求，该鉴权请求响应消息中带有鉴权集： 独特查 询随机数： RANDU和独特查询结果： AUTHU。
步驟 505: HSS接收到鉴权请求响应消息后， 将该鉴权请求响应消 息携带的鉴权集： RANDU和 AUTHU进行转换， 分别映射为 IMS域的 鉴权集： RAND和 XRES, 并将 RAND和 XRES通过 MAA消息返回给 S-CSCF。 ■ .·
步骤 506: .· S-CSC¾F:接收到. MAA消息后， 保存该 MAA消息携带的 /' HLR的独特查询结果 XRES, 并向 MS返回 401未授权消息以指示 MS 进行鉴权， 该 401未授权消息中带有 RAND。 ■ 步骤 507: MS收到 401未授权消息后，.根据该 .401未'授权消息带有 的 RAND, 并结合自身保存的 SSD、 ESN和 IMSI, 利用 CAVE算法计 算出独特查询结果， 将该独特查询结果填入 SIP信令的 RES参数中， 并 通过新的注册请求消息通知 IMS网络的 S-CSCF。
步驟 508: S-CSCF 收到注册请求消息后， 判断该注册请求消息的 RES参数中带有的独特查询结果和步骤 506中收到的 MAA消息带有的 HLR上 4艮的独特查询结果是否一致， 若是， 认为鉴权通过， 通过 SAR 消息向 HSS报告鉴权已通过并要求下载用户签约数据， 执行步骤 509; 否则， 认为鉴权没通过， 通过 MAR消息通知 HSS鉴权失败， 并向 MS 返回 403禁止消息， 本流程结束。
步驟 509: HSS接收到 SAR消息后， 向 HLR发送鉴权状态报告消 息， 该鉴权状态报告消息中的独特查询报告 ( UCREPORT )参数指示成 功, 以表明独特查询成功。
. 步骤 510: HLR接收到指示独特查询成功的鉴权状态报告消息后， 向 HSS返回一个不带任何参数的鉴权状态报告响应消息，以表明鉴权通 过。 .
步骤 511: HSS接收到指示鉴权通过的鉴权状态报告响应消息后， 将自身保存的 MS的用户状态信息中的未鉴权、 未注册信息对应更新为 鉴权成功、注册成功信息， 并通过 SAA消息向 S-CSCF返回用户签约数 据。
步骤 512: S-CSCF接收到 SAA消息后， 向 MS返回 200响应消息， 表明用户注册成功。
J- ' '".图， 5.：是由终端侧主动发起的对只 '支持 ϋΜ '卡的 DMA用.户进行鉴 权的消息流程，在实际应用中， 网络侧也可能主动发起对只支持 UIM卡 的 CDMA用户进行鉴权的消息流程， 如图 6所示， 其具体步骤如下： 步驟 601： HLR向 HSS发送鉴权指示消息， 该鉴权指示消息带有鉴 权集:：'独特查询随机数 RANDU和独特查询结果 AUTHU, 以指示 HSS 发起独特查询请求。 ■
步骤 602: HSS收到鉴权指示消息后,. 将该鉴权指示消息携带的鉴 权集: RANDU和 AUTHU进行转换,分别映射为 IMS域的鉴权集: RAND 和 XRES, 并保存该 RAM)和 XRES, 并通过 RTR消息通知 S-CSCF注 销用户。
步骤 603: S-CSCF收到 RTR消息后， 通过通知消息通知 MS进行 重注册。
步驟 604: MS收到通知消息后， 向 S-CSCF返回 200响应消息。 步驟 605: S-CSCF收到 200响应消息后， 向 HSS返回 RTA消息， RTA消息是步驟 602中 RTR消息的响应消息。
步骤 606: HSS收到 RTA消息后， 向 HLR返回不带任何参数的鉴 权指示响应消息， 鉴权指示响应消息是步骤 601中鉴权指示消息的响应 消息。
• 步骤 607: MS收到要求进行重注册的通知消息之后， 向 S-CSCF发 送注册请求消息， 该注册请求消息中不带有鉴权相关参数。
步骤 608: S-CSCF收到注册请求消息后， 向 HSS发送 MAR消息， 以获取餮权集。
步骤 609: HSS收到 MAR消息后 , 向 S-CSCF返回 MAA消息 , 该
MAA消息带有步驟 602中保存的 RAND和 XRES。
步骤 610: S-CSCF收到 MAA消息后， 保存该 MAA消息带有的 HLR的独特查询结果 XRES, 并向 "MS返回 401·未授权消息， 该 .401,未 授权消息中带有独特查询随机数 RAND。
步驟 611: MS收到 401未授权消息后， 根据自身保存的 A_Key、
、 \ SSD、 ESN和 IMSI利用 CAVE算法计算出独特查询结果 RES， 并将该 独特查询结果 RES携带在注册请求消息中发送给 S-CSCF。
步驟 612: S-CSCF收到注册请求消息后， 判断该注册请求消息带有 的 MS上寺艮的独特查询结果和步骤 610中收到的 MAA消息中的 HLR上 艮的独特查询结果是否一致， 若是， 则表示独特查询通过， S-CSCF 向 HSS发送 SAR消息， 以表明鉴权成功并要求下载用户签约数据， 执行 步骤 613; 否则， S-CSCF向 HSS发送 MAR消息以表明鉴权失败， 并向 MS返回 403禁止消息， 本流程结束。
步骤 613: HSS收到 SAR消息后， 向 HLR发送鉴权状态报告消息， 该鉴权状态报告消息中的独特查询结果报告 ( UCREPORT )参数指示成 功， 以表明独特查询成功。
步骤 614: HLR收到指示独特查询成功的鉴权状态报告消息后， 得 知独特查询成功，然后向 HSS返回不带任何参数的鉴权状态报告响应消 息， 表示鉴权成功。
步驟 615: HSS收到指示鉴权成功的鉴权状态报告响应消息后， 将 自身保存的 MS的用户状态信息中的未鉴权、 未注册信息对应更新为鉴 权成功、 注册成功信息， 并向 S-CSCF返回带有用户签约数据的 SAA消 息。
步驟 616: S-CSCF收到 SAA消息后， 向 MS返回 200响应消息， 表明用户注册成功。
由于在 CAVE算法中， A— Key并不直接参与运算，而是由通过 A— Key 计算出的 SSD来参与运算，而 MS中的 SSD和 HLR中的 SSD有可能出. 现不^ ^致的情况， 因此网絡侧需要发起 SSD的更新流程。 ' ' .' ·■ 图 Ί是网络侧主动发起 SSD更新的具体实施例一的消息流程时序 图， 如图 7所示， 其具体步骤如下： 步驟 701: HLR通过鉴权指示消息向 HSS发起 SSD更新请求， 该 SSD更新请求消息中带有 SSD更新所需的随机数 RANDSSD以及独特 查询随机数 RAKDU和独特查询结果 AUTHU; 同时， HLR根据自身保 存的 A— Key、 RANDSSD以及 MS的 ESN和 IMSI计算出 SSD。
步骤 702: HSS接收到鉴权指示消息后， 保存该鉴权指示消息带有 的独特查询随机数 RANDU和独特查询操作结果 AUTHU, 并通过 RTR 消息通知 S-CSCF注销用户， 该 RITL消息中带有 HLR上报的随机数 RANDSSDo
RTR 消息是由 DIAMETER协议制定的消息， 在这里， 需扩展 DIAMETER协议， 在 RTR消息中增加支持 RANDSSD的参数。
步驟 703: S-CSCF接收到 RTR消息后， 通过通知消息通知 MS进 行重注册， 通知消息中的请求（Require )参数指示要求 MS发起 SSD更 新， 且通知消息中带有 SSD 更新所需的随机数 RANDSSD, 具体地， RANDSSD携带在 Authorization参数中。
步驟 704: MS向 S-CSCF返回 200响应消息。
步骤 705: S-CSCF向 HSS返回 RTA消息， RTA消息是步驟 502中 RTR消息的响应消息。
—步驟 706: HSS收到 RTA消息后， 向 HLR返回不带任何参数的鉴 权指示响应消息， 養权指示响应消息是步驟 701中鉴权指示消息的响应 消息。
■ 步骤 707: 由于网 ^^求 MS进行 SSD更新， MS会先对网络进行 鉴权， '此时 MS产生一个基站查询随机数 RANDBS， 根据该 RANDBS 和'自身保存的' SSD、 ESN和 IMSI, .利用 CAVE算法计算出.: 个基站查 询结果， 并保存该基站查询结果， 然后通过注册请求消息向 S-CSCF发 起重注册请求，该注册请求消息中带有 MH, 同时带有基站查询随机数 RANDBS, 以指示 MS网络进行基站查询。
' -步驟 708: S-CSCF接收到带有 RANDBS 的注册请求消息， 通过 MAR消息将 RANDBS发送给 HSS,该 MAR消息中同时带有参数 IMPI, 并且在 MAR消息中通过 SIP鉴权机制 ( SIP-Authentication-Scheme )参 数指示 HSS发起基站查询， 其中， RANDBS携带在 SIP-Authorization 参数中。
步驟 709: HSS接收到 MAR消息后，根据该 MAR消息带有的 IMPI 查找到对应的 ESN和 IMSI， 然后向 HLR发送基站查询消息， 该基站查 询消息中带有 ESN、 和 RANDBS。
步驟 710: HLR收到基站查询消息后，根据自身保存的参数 SSD以 及该基站查询消息携带的 ESN、 MSI和 RANDBS, 利用 CAVE算法计 算得到基站查询结果 AUTHBS， 将该 AUTHBS通过基站查询响应消息 返回给 HSS。
步骤 711 : HSS接收到基站查询响应消息后， 通过 MAA 消息向 S-CSCF返回基站查询结果 AUTHBS, 该 MAA消息中同时带有独特查 询随机数 RA DU和独特查询结果 AUTHU,以要求 S-CSCF同时对 MS 进行独特查询。
步骤 712: S-CSCF接收到 MAA消息后， 保存该 MAA消息带有的 HLR的独特查询结果 AUTHU, 并向 MS返回 401未授权消息， 该 401 未授权消息中带有基站查询结果 AUTHBS, 同时带有独特查询随机数 RANDU, 以告知 MS在 SSD更新完毕之后需要进行独特查询。
H 713: MS收到: 401未授权消息后，判断该 401未授权消息带有 的 HLR '计算出的基站奎询结果 :A¥THBS .是否与步驟 707中自：身计算得 到的基站查询结果相匹配，若是，则根据自身保存的 A—Key、RANDSSD、 ESN和 IMSI利用 CAVE算法更新 MS中的 SSD,然后用新的 SSD执行 独特查询操作， 利用 CAVE算法计算出独特查询结果 AUTHU, 并将该 AUTHU携带在新发送的注册请求消息中带给 S-CSCF, 执行步骤 714； . 否则 认为鉴权没通过， 本流程结束。 - 在这里， 在 MS判定 HLR计算出的基站查询结果 AUTHBS与步骤 707中自身计算得到的基站查询结果不匹配时', MS也可能重新通过注册 请求消息向 MS网络发起注册请求，该注册请求消息中不携带鉴权计算 结果以表明网络鉴权没通过、 需要重新进行鉴权。
步骤 714: S-CSCF收到注册请求消息后， .判断该注册奇求消息带有 的 MS上报的 AUTHU和步骤 712中收到的 MAA消息中的 HLR上报的 AUTHU是否一致， 若是， 则表示独特查询通过， S-CSCF向 HSS发送 SAR消息以表明鉴权成功并要求下载用户签约数据， 执行步驟 715; 否 则， S-CSCF向 HSS发送 MAR消息以表明鉴权失败，并向 MS返回 403 禁止消息， 本流程结束。 '
步骤 715: HSS接收到 SAR消息后， 通过鉴权状态报告消息将独特 查询成功信息和 SSD更新成功信息报告给 HLR, 其中， 独特查询结果 报告 ( UCREPORT )参数指示成功， SSD更新结果报告 ( SSDUPRPT ) 参数指示成功。
步骤 716: HLR接收到指示独特查询成功和 SSD更新成功的鉴权状 态报告消息后， 得知 SSD更新成功， 以步骤 701中计算出的 SSD刷新 自身保存的当前 SSD,然后向 HSS返回不带任何参数的鉴权状态报告响 应消息， 表示鉴权成功。
' 步骤 717·: HSS.接收到指示鉴权成功的鉴权状态报告'响应消息后， 将自身保存的' MS的用户状态信息中的未鉴权:、未注册信息对应更新为 ., 鉴权成功、注册成功信息， 并通过 SAA消息向 S-CSCF返回用户签约数 据。 步驟 718: S-CSCF接收到 SAA消息后， 向 MS返回 200响应消息， 表明用户注册成功。 ' .
在 SSD更新的流程中， 也可以不扩展 DIAMETER协议， 即在图 7 所示流程图的步驟 702中的 RTR消息中不携带告知 MS需要进行 SSD 更新的随机数 RANDSSD, 而是在 MS发起重注册请求时通过 401未授 权消息来告知， 图 8为本实施例的消息流程时序图， 如图 8所示， 具体 步骤如下：
步骤 801、 804 806与步骤 701、 704 706相同。
步驟 802 为： HSS接收到鉴权指示消息后， 通过 RTR消息通知 S-CSCF注销用户 , 该 RTR消息中不需带有随机数 RANDSSD。
步驟 803与 703的区别在于： 通知消息不带有随机数 RANDSSD。 在这里， 通知消息中的支持 RANDSSD的参数是可选的。
步骤 807〜810为：
步驟 807: MS通过注册请求消息向 S-CSCF发起注册请求， 该注册 请求消息中带有 PL
步骤 808: S-CSCF接收到注册请求消息后， 向 HSS发送 MAR消息 以获取鉴权集， 该 MAR消息中带有 E DPL
. 步驟 809: HSS接收到 MAR消息后， 向 S-CSCF发送 MAA消息， 该 MAA消息中带有随机数 RANDSSD,以指示 S-CSCF对 MS发起 SSD 更新流程„ ,
步骤 810: S-CSCF接收到 MAA消息后， 向 MS发送 401未授权消 息，.该 401未授权消息中带有随机数 RANDSSD,, 以通知 MS发起 SSD '更新流程。'：
步骤 811 822与图 7的步骤 707~718相同。
在 IMS网络中， 实现对只支持 SIM卡的 GSM用户进行鉴权的消息 000019 流程， 如图 9所示， 该图所示消息流程与图 5相比：
步驟 901~902与步驟 501^502相同；
步骤 903为： HSS接收到 MAR消息后， 根据该 MAR消息带有的 IMPI, 在自身查找到该 IMPI对应的 MSI, 然后向 HLR发送鉴权请求 5 ( MAP— SEND— AUTHENTICATION— INFO Request ) 消息， 该鉴权请求 消息带有 MSI;
这里， 由于 GSM的传统鉴权算法： A3/ A8算法中的关键参数不包 括 ESN，所以 HSS接收到 MAR消息后，通过该 MAR消息携带的 IMPI 检索到的是 IMSI而不是 IMSI和 ESN, 且向 HLR发送的鉴权请求消息 10 只需带有 MSI。 另外需注意， GSM系统的鉴权奇求消息和鉴权请求响 应消息与 CDMA系统的不同。
步骤 904为： HLR接收到鉴权请求消息后， 检测到该鉴权请求消息 不带有鉴权挑战结果参数： AUTHR参数， 则 HLR根据自身保存的 Ki、 RAND和鉴权请求消息带有的 IMSI, 利用 A3或 A8算法计算出鉴权挑 15 战 结 果 ： SRES , 然 后 向 HSS 返 回 鉴 权倩 求 响 应 ( MAP— SEND— AUTHENTICATION—INFO Response )消息，该鉴权请求 响应消息中带有鉴权 4兆战结果 SRES和鉴权挑战随机数 RAND;
步驟 905与步骤 505的区别在于： HSS接收到鉴权请求响应消息后， 只将该鉴权请求响应消息携带的鉴权集参数 SRES映射为 MS域的鉴权 20 集参数 X ES即可， 这是因为： 在 GSM系统中鉴权挑战随机数 RAND 与 MS网络的 RAND—致， 不必再进行转换；
' 步骤 906为： S-CSCF接收到 MAA消息后， 保存该 MAA消息携带
■ 、 的. HLR的鉴权挑战结果 XRESV"并向 MS返回' 401未授权消息以指示
•MS进行鉴权， 该 401未授权消息中带有 RAND。
25 步骤 907: MS收到 401未授权消息后，根据该 401未授权消息带有
\ 、 的 RAND, 并结合自身保存的 Ki、 IMSI, 利用 A3或 A8算法计算出鉴 权挑战结果， 将该鉴权挑战结果填入 SIP信令的 RES参数中， 并通过新 的注册请求消息通知 IMS网络的 S-CSCF。
步驟 908: S-CSCF 收到注册请求消息后， 判断该注册清求消息的 RES参数中带有的鉴权挑战结果和步骤 906中收到的 MAA消息带有的 HLR上报的鉴权挑战结果是否一致， 若是， 认为鉴权通过， 通过 SA 消息向 HSS报告鉴权已通过并要求下载用户签约数据， 执行步骤 909; 否则， 认为鉴权没通过， 通过 MAR消息通知 HSS鉴权失败， 并向 MS 返回 403禁止消息， 本流程结束。
步骤 909为： HSS接收到 SAR消息后， 向 S-CSCF返回带有用户签 约数据的 SAA消息；
步骤 910与步驟 512相同。
这里, 图 9所示消息流程不包括图 5所示的步驟 509和 510, 另外 需注意的是： 在 GSM系统的鉴权算法 A3或 A8中， Ki是直接参与运算 的。
以上所述仅为本发明的过程及方法实施例， 并不用以限制本发明 , 凡在本发明的精神和原则之内所做的任何修改、 等同替换、 改进等， 均 应包含在本发明的保护范围之内。

Claims

权利要求书
1、 一种 IP多媒体子系统 MS网络鉴权系统， 其特征在于， 包括： 只支持传统鉴权算法的移动台 MS、 呼叫会话控制功能 CSCF和至少支 持传统鉴权算法的鉴权单元， 其中，
鉴权单元， 用于利用传统鉴权算法进行鉴权计算， 并将鉴权计算结 果和鉴权必要参数发送给 CSCF;
MS,用于根据 CSCF发来的鉴权必要参数，利用传统鉴权算法进行 鉴权计算， 并将鉴权计算结果发送给 CSCF;
CSCF, 用于将鉴权单元发来的鉴权必要参数转发给 MS, 并比较来 自鉴权单元和 MS的鉴权计算结果,若两者一致， 判定鉴权成功； 否则， 判定鉴权失败。
2、 如权利要求 1 所述的系统， 其特征在于， 所述鉴权单元包括： 鉴权计算单元和鉴权转发单元， 且在所述鉴权转发单元上增加支持鉴权 相关信令和数据的接口， 所述鉴权转发单元通过所述接口连接到所述鉴 权计算单元， 其中，
鉴权计算单元， 用于利用传统鉴权算法进行鉴权计算， 并将鉴权计 算结果和鉴权必要参数发送给鉴权转发单元；
鉴权转发单元， 用于将鉴权计算单元发来的鉴权计算结果和鉴权必 要参数转发给 CSCF。
3、 如权利要求 1所述的系统， 其特征在于， 所述 CSCF包括： 代理 CSCF,用于将 MS发来的鉴杯计算结果传递给问讯 CSCF,将 问讯 CSCF发来的鉴权必要参数传递给 MS;
问讯 CSCF, 用于将代理 CSCF发来的 MS的鉴权计算结果传递给 服务 CSCF， 将服务 CSCF发来的鉴权必要参数传递给代理 CSCF; 服务 CSCF , 用于将鉴权单元发来的鉴权必要参数传递给问讯 CSCF, 接收和保存鉴权单元发来的鉴权计算结果以及接收问讯 CSCF 传递来的 MS的鉴权计算结果， 然后将鉴权单元和 MS的鉴权计算结果 进行比较。
4、一种在 IMS网絡鉴权系统中进行的 MS网络鉴权方法，所述 IMS 网络鉴权系统包括只支持传统鉴权算法的 MS、 CSCF和至少支持传统鉴 权算法的鉴权单元， 其特征在于， 该方法包括：
A、 鉴权单元根据自身保存的鉴权参数， 利用传统鉴权算法进行鉴 权计算， 并将鉴权计算结果和鉴权必要参数发送至 CSCF, 之后 CSCF 将鉴权必要参数发送给 MS; ,
B、 MS收到鉴权必要参数后，根据该鉴权必要参数和自身保存的鉴 权参数， 利用传统鉴权算法进行鉴权计算， 并将鉴权计算结果发送给 CSCF;
C、 CSCF判断鉴权单元和 MS发来的鉴权计算结果是否一致，若一 致， 判定鉴权成功； 否则， 判定鉴权失败。
5、 如权利要求 4所述的方法， 其特征在于， 所述鉴权单元包括鉴 权计算单元和鉴权转发单元， 其中步骤 A所述鉴权单元进行鉴权计算 为： 鉴权计算单元进行鉴权计算， 步驟 A所述鉴权单元将鉴权计算结果 和鉴权必要参数发送至 CSCF为：鉴权计算单元将鉴权计算结果和鉴权 必要参数先发送至鉴权转发单元， 再由鉴权转发单元发送至 CSCF。
6、 如权利要求 4所述的方法， 其特征在于， 所述步骤 A之前进一 步包括： MS向 CSCF发送注册请求消息， CSCF收到该注册请求消息后， 向鉴权单元发送获取鉴权集消息， 鉴权单元收到获取鉴权集消 '息后，'且 检测到 MS只支持传统鉴权算法， 转至步骤 A。
7、 如权利要求 4所述的方法， 其特征在于， 所述传统鉴权算法为： 码分多址 CDMA系统的 CAVE算法。
• 8、 如权利要求 7所述的方法， 其特征在于， 步骤 A所述鉴权单元 将鉴权计算结果和鉴权必要参数发送至 CSCF之后、 CSCF将鉴权必要 参数发送给 MS之前， 进一步包括：
CSCF向 MS发送要求重注册消息， MS收到该要求重注册消息后， 向 CSCF发送注册请求消息， 之后 CSCF接收该注册请求消息。
9、 如权利要求 7所述的方法， 其特征在于， 步骤 A所述鉴权单元 保存的鉴权参数和步驟 B所述 MS保存的鉴权参数包括共享加密数据 SSD。
10、 如权利要求 9所述的方法， 其特征在于， 所述方法进一步包括 更新 SSD的步骤， 所述更新 SSD的步骤包括：
a、 鉴权单元计算 SSD, 然后向 MS发送要求重新注册的消息， 并 将 SSD更新随机数发送给 MS; ·
b、 MS根据自身产生的基站查询随机数计算并保存基站查询结果， 然后向 CSCF发起注册请求， 该注册请求消息中带有基站查询随机数， CSCF收到注册请求消息后要求鉴权单元进行基站查询， 之后鉴权单元 根据基站查询随机数计算基站查询结果， 将该基站查询结果和鉴权计算 结果返回给 MS ;
c、 MS判断自身计算得到的基站查询结果和鉴权单元返回的基站查 询结果是否一致，若是，根据 SSD更新随机数更新 SSD,并根据此 SSD 和鉴权随机数计算鉴权计算结果， 将鉴权计算结果发送给 CSCF;
■ d、 CSCF判断 MS和鉴权单元发来的鉴权计算结果是否一致，若是， 通知鉴权单元鉴权成功、, 之后鉴权单元更新自身'保存的 SSD; .否则， 本 流程结束。
11、如权利要求 10所述的方法， 其特征在于， 步骤 a所述鉴权单元 将 SSD更新随机数发送给 MS为： 鉴权单元将 SSD更新随机数携带在 注销消息中发送至 CSCF, 之后 CSCF'将该携带 SSD更新随机数的注销 消息传递给 MS。 -
12、如权利要求 10所述的方法，其特征在于， 步驟 a所述鉴权单元 将 SSD更新随机数发送给 MS为： 鉴权单元将 SSD更新随机数携带在 多媒体鉴权响应消息中发送至 CSCF , 之后 CSCF将该携带 SSD更新随 机数的多媒体鉴权响应消息发送给 MS, 同时，
步骤 a所述鉴权单元向 MS发送要求重新注册的消息之后、 向 MS 发送 SSD更新随机数之前， 进一步包括:
MS向 CSCF发送注册请求消息， CSCF收到该注册请求消息后向鉴 权单元发送多媒体鉴权请求消息， 鉴权单元收到该鉴权请求消息后将 SSD更新随机数通过多媒体鉴权响应消息发送给 CSCFo
13、如权利要求 4所述的方法，其特征在于， 所述传统鉴权算法为： 全球移动通信 GSM系统的 A3或 A8算法。
14、 如权利要求 4所述的方法， 其特征在于， 所述鉴权必要参数为 鉴权随机数。
PCT/CN2006/000019 2005-01-07 2006-01-09 Systeme d'authentification d'un reseau de sous-systeme multimedia ip et procede associe WO2006072219A1 (fr)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN200510006629.8 2005-01-07
CN 200510006629 CN1801706B (zh) 2005-01-07 2005-01-07 一种ip多媒体子系统网络鉴权系统及方法

Publications (1)

Publication Number Publication Date
WO2006072219A1 true WO2006072219A1 (fr) 2006-07-13

Family

ID=36647421

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2006/000019 WO2006072219A1 (fr) 2005-01-07 2006-01-09 Systeme d'authentification d'un reseau de sous-systeme multimedia ip et procede associe

Country Status (2)

Country Link
CN (1) CN1801706B (zh)
WO (1) WO2006072219A1 (zh)

Families Citing this family (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101132279B (zh) * 2006-08-24 2011-05-11 华为技术有限公司 一种鉴权方法以及鉴权系统
CN101043526B (zh) * 2007-04-30 2010-08-04 华为技术有限公司 在ims网络中处理消息的方法、装置及系统
CN103701780A (zh) * 2013-12-13 2014-04-02 大唐移动通信设备有限公司 一种鉴权方法和系统
CN105636034A (zh) * 2014-10-30 2016-06-01 南京悠信网络科技有限公司 一种用户设备的鉴权方法及装置
CN105682153A (zh) * 2014-11-18 2016-06-15 中兴通讯股份有限公司 从lte回落到cs域时ssd更新方法、移动交换中心及通信系统
CN108632991B (zh) * 2017-03-16 2021-02-23 中国移动通信集团公司 一种VoLTE用户注册方法、MME及终端
CN109962878B (zh) * 2017-12-14 2021-04-16 大唐移动通信设备有限公司 一种ims用户的注册方法及装置
CN114928842A (zh) * 2019-03-01 2022-08-19 华为技术有限公司 一种认证结果更新的方法和通信装置

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20030159067A1 (en) * 2002-02-21 2003-08-21 Nokia Corporation Method and apparatus for granting access by a portable phone to multimedia services
WO2003105436A1 (de) * 2002-06-07 2003-12-18 Siemens Aktiengesellschaft Verfahren und vorrichtung zur authentifizierung eines teilnehmers für die inanspruchnahme von diensten in einem wireless lan (wlan)
WO2004019641A1 (de) * 2002-08-16 2004-03-04 Siemens Aktiengesellschaft Verfahren zum authentifizieren eines nutzers eines kommunikationsendgeräts beim registrieren in einem und bei nutzung von einem dienstnetz
DE10238928A1 (de) * 2002-08-22 2004-03-11 Siemens Ag Verfahren zur Authentifizierung eines Nutzers eines Kommunikationsendgerätes bei Nutzung eines Dienstnetzes

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20030159067A1 (en) * 2002-02-21 2003-08-21 Nokia Corporation Method and apparatus for granting access by a portable phone to multimedia services
WO2003105436A1 (de) * 2002-06-07 2003-12-18 Siemens Aktiengesellschaft Verfahren und vorrichtung zur authentifizierung eines teilnehmers für die inanspruchnahme von diensten in einem wireless lan (wlan)
WO2004019641A1 (de) * 2002-08-16 2004-03-04 Siemens Aktiengesellschaft Verfahren zum authentifizieren eines nutzers eines kommunikationsendgeräts beim registrieren in einem und bei nutzung von einem dienstnetz
DE10238928A1 (de) * 2002-08-22 2004-03-11 Siemens Ag Verfahren zur Authentifizierung eines Nutzers eines Kommunikationsendgerätes bei Nutzung eines Dienstnetzes

Also Published As

Publication number Publication date
CN1801706B (zh) 2010-04-28
CN1801706A (zh) 2006-07-12

Similar Documents

Publication Publication Date Title
US8213901B2 (en) Subscriber identities
EP1879324B1 (en) A method for authenticating user terminal in ip multimedia sub-system
ES2371109T3 (es) Sistema y aparato para usuarios de cs móvil para acceder a la red de ims y el método de registro para el acceso.
US20170111953A1 (en) Connecting a circuit-switched wireless access network to an ip multimedia subsystem
US9882943B2 (en) Method of access provision
CN101573934B (zh) 在通信网络中的鉴别
KR101343039B1 (ko) 인증 시스템, 방법 및 장치
WO2006128373A1 (fr) Procede pour l'authentification de domaine im pour le module d'identification d'utilisateur de terminal et systeme associe
US20110276798A1 (en) Security management method and system for wapi terminal accessing ims network
JP6330916B2 (ja) ｗｅｂＲＴＣのためのシステム及び方法
WO2006072219A1 (fr) Systeme d'authentification d'un reseau de sous-systeme multimedia ip et procede associe
WO2007003140A1 (fr) Procede d'authentification de sous-systeme multimedia sous protocole ip
US7526642B2 (en) Controlling delivery of certificates in a mobile communication system
WO2009124445A1 (zh) 一种实现用户注册的方法
US20110173687A1 (en) Methods and Arrangements for an Internet Multimedia Subsystem (IMS)
WO2017092229A1 (zh) 基于多业务的ims注册方法和ims注册系统
WO2009074050A1 (fr) Procede, systeme et appareil d'authentification de dispositif de point d'acces
WO2008025280A1 (fr) Procédé et système d'authentification
CN100459804C (zh) 终端接入第二系统网络时进行鉴权的装置、系统及方法
CN101997828A (zh) 网际协议多媒体子系统网络重注册的方法、设备及网络
WO2008089699A1 (fr) Procédé et système d'authentification d'un terminal utilisateur dans un réseau ims
WO2011035579A1 (zh) Wapi终端接入ims网络的认证方法、系统和终端
WO2010108357A1 (zh) 一种策略控制方法及系统
EP3782342A1 (en) Rcs authentication
WO2013037251A1 (zh) Ils网络的ue在ims网络中的认证方法和系统

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application
NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 06705442

Country of ref document: EP

Kind code of ref document: A1

WWW Wipo information: withdrawn in national office

Ref document number: 6705442

Country of ref document: EP