WO2008025280A1 - Procédé et système d'authentification - Google Patents

Procédé et système d'authentification Download PDF

Info

Publication number
WO2008025280A1
WO2008025280A1 PCT/CN2007/070473 CN2007070473W WO2008025280A1 WO 2008025280 A1 WO2008025280 A1 WO 2008025280A1 CN 2007070473 W CN2007070473 W CN 2007070473W WO 2008025280 A1 WO2008025280 A1 WO 2008025280A1
Authority
WO
WIPO (PCT)
Prior art keywords
authentication
cscf entity
mode
hss
authentication mode
Prior art date
Application number
PCT/CN2007/070473
Other languages
English (en)
French (fr)
Inventor
Shundi Wang
Qian Xie
Original Assignee
Huawei Technologies Co., Ltd.
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Huawei Technologies Co., Ltd. filed Critical Huawei Technologies Co., Ltd.
Publication of WO2008025280A1 publication Critical patent/WO2008025280A1/zh

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities

Definitions

  • the present invention relates to network security technologies, and in particular, to an authentication method and an authentication system. Background of the invention
  • IMS Internet Protocol Multimedia Subsystem
  • the current 3rd Generation Mobile Communications Standardization Partnership Project (3GPP) protocol and the Telecom Internet Convergence Service and Protocol (TISPAN) protocol in the Advanced Network clearly specify the authentication method for terminal access.
  • 3GPP protocol authentication and authentication can be performed through the IP Multimedia Subsystem Authentication and Key Agreement (IMS-AKA) method or the Early IMS User (Early-IMS) method, and whether the session initiation protocol (SIP) message is used.
  • IMS-AKA IP Multimedia Subsystem Authentication and Key Agreement
  • Early-IMS Early IMS User
  • SIP session initiation protocol
  • the present invention provides an authentication method, which aims to be able to integrate multiple authentication methods.
  • the present invention also provides an authentication system capable of integrating multiple authentication modes.
  • An authentication method comprising:
  • the call session control function CSCF entity receives the registration request initiated by the UE, determines the recommended authentication mode and sends it to the home subscriber server HSS, and the HSS selects the authentication according to the user subscription authentication mode saved by itself and the received authentication mode. Right mode and notify the CSCF entity;
  • the CSCF entity determines the authentication mode used according to the authentication mode selected by the HSS to authenticate the UE.
  • the authentication system in the present invention includes: a call session control function CSCF entity and a home subscriber server, where
  • the CSCF entity is configured to receive a registration request sent by the UE, determine a recommended authentication mode, and send the recommended authentication mode to the HSS, receive the selected authentication mode from the HSS, determine an authentication mode used, and perform authentication on the UE. Obtain the results of this authentication;
  • the HSS is used to save the user subscription authentication mode and receive the establishment from the CSCF entity.
  • the authentication method selects the selected authentication method according to the suggested authentication method and the user subscription authentication method, and sends it to the CSCF entity.
  • the CSCF entity and the HSS negotiate according to actual capabilities, and select an authentication mode used from multiple authentication modes to perform authentication.
  • the S-CSCF entity and the HSS support multiple authentication modes, the most suitable authentication mode is selected according to the capabilities of the two parties and the needs of the operator, thereby comprehensively integrating multiple authentication modes, effectively solving the present problem.
  • the UE cannot be authenticated due to the inability to integrate multiple authentication methods.
  • FIG. 1 is an exemplary flowchart of an authentication method in an embodiment of the present invention
  • FIG. 3 is a flowchart of a successful authentication method in an NBA mode or an Early-IMS mode according to Embodiment 1 of the present invention
  • FIG. 4 is a flowchart of a successful authentication method in an HTTP digest authentication mode or an IMS-AKA mode according to Embodiment 1 of the present invention
  • FIG. 5 is a flowchart of an authentication method in Embodiment 2 of the present invention.
  • FIG. 6 is a schematic diagram of an authentication system in an embodiment of the present invention. Mode for carrying out the invention
  • the present invention is an authentication method.
  • the basic idea is that the S-CSCF entity and the HSS determine the authentication mode through negotiation, and authenticate the user according to the determined authentication mode.
  • the network entity participating in the authentication in the embodiment of the present invention includes a CSCF entity and an HSS.
  • Figure 1 shows an exemplary flowchart of an authentication method in an embodiment of the present invention. Referring to FIG. 1, the method includes:
  • step 101 the UE initiates a registration request, and the CSCF entity determines the recommended authentication mode and sends the recommended authentication mode to the HSS.
  • the HSS selects the selected authentication mode according to the user subscription authentication mode saved by itself and the received suggestion authentication mode, and Notifying the CSCF entity of the selected selected authentication method;
  • the CSCF entity determines the authentication mode used according to the selected authentication mode of the HSS, and authenticates the UE to obtain the current authentication result.
  • a proxy call session control function (P-CSCF) entity for implementing UE connection with a network side
  • I-CSCF inquiry call session control function
  • S-CSCF Authentication Service Call Session Control Function
  • a maximum security principle when the UE does not explicitly specify the authentication mode, the security authentication mode is selected. If the authentication fails, the access of the UE is denied.
  • the maximum authorization principle when the UE does not explicitly specify the authentication mode. In the right mode, the authentication mode without the authentication challenge message is preferentially selected. After the authentication of the preferential authentication mode fails, the authentication method that requires the authentication challenge message is used for re-authentication, and the authentication fails again. When the access of the UE is denied.
  • the authentication method is determined by using the maximum security principle, and when the HSS selects the authentication mode, in addition to considering the authentication mode and the recommended authentication mode of the subscription, the authentication mode of the authentication parameter may also be considered as a consideration. factor.
  • the HSS determines the priority for the selected authentication mode, and the S-CSCF entity authenticates by using the authentication mode with the highest priority.
  • FIG. 2 shows a signaling flow chart of the authentication method in this embodiment. Referring to Figure 2, the method includes:
  • the UE sends a registration request (REGISTER) message carrying the user identifier to the P-CSCF entity, requesting registration to the network, and the P-CSCF entity acquires the access network information according to the received registration request message, and The obtained access network information is carried in the registration request message and sent to the I-CSCF.
  • REGISTER registration request
  • the I-CSCF entity obtains the Internet Protocol Multimedia Public Identifier (IMPU) and the Internet Protocol Multimedia Private Identifier (IMPI) of the user from the received registration request message, and carries the IMPU and the IMPI to the user authorization request (
  • the UAR message is sent to the HSS; the HSS obtains the user data according to the received UAR message, determines the S-CSCF entity that performs the authentication, and carries the user data and the S-CSCF entity name in the User Authorization Response (UAA) message. , sent to the I-CSCF entity.
  • UAA User Authorization Response
  • the I-CSCF entity parses the registration request message, and obtains the IMPU from the TO header field of the message; then, the I-CSCF entity determines whether the Authorization header field exists in the registration request message, and if so, the Authorization header field Username (username M ⁇ is IMPI, otherwise, the information in IMPU is removed as "sip:" or "sips:” prefix, as IMPI.
  • the HSS parses the IMPU and the IMPI from the received UAR message, and uses the parsed two parameters as an index to search for the corresponding user data.
  • the S-CSCF entity that authenticates the user is determined, and the capability information of the S-CSCF entity including the supported authentication algorithm and the like is acquired from the HSS itself.
  • the I-CSCF entity obtains the S-CSCF entity name from the received UAA message, and sends a registration request message carrying the user identifier and the authentication field to the S-CSCF entity to request authentication of the UE. .
  • the S-CSCF entity determines the suggested authentication mode according to the received registration request message, and sends the message to the HSS through a multimedia authentication request (MAR) message.
  • MAR multimedia authentication request
  • the determining logic of the recommended authentication mode is preset in the S-CSCF entity. After receiving the registration request message, the S-CSCF entity parses the received message, and according to whether the registration request message carries the Authorization header field and the authentication Determine the recommended authentication method by determining the parameter values of the algorithm, whether to perform integrity protection, and so on.
  • Table 1 and Table 2 show the determination logic of the proposed authentication mode in the S-CSCF entity under the TISPAN protocol and the 3GPP protocol, respectively. See Tables 1 and 2, where AKAvl-MD5 and MD5 are authentication modes, UNKNOWN indicates non-IMS-AKA authentication mode, and labels 1, 2, 3, etc. indicate the preferred order of suggested authentication methods.
  • AKAvl-MD5 Yes AKAvl-MD5 Yes 1.
  • AKAvl-MD5 is AKAvl-MD5 No 1.
  • AKAvl-MD5 MD5 has 1.
  • MD5 is MD5 no 1.
  • the registration request message When the recommended authentication mode is determined according to the logic in Table 1, for example, the registration request message carries the Authorization header field, the parameter value that does not carry the authentication algorithm, and the integrity protection is not required, and the S-CSCF entity determines the recommended authentication mode. For: UNKNOW, MD5 and NBA.
  • the recommended authentication mode is determined according to the logic in Table 2
  • the registration request message carries the Authorization header field, the parameter value that does not carry the authentication algorithm, and does not require integrity protection
  • the S-CSCF entity determines the recommended authentication mode. For: AKAvl-MD5, MD5 and NBA.
  • the recommended authentication mode is determined, if the recommended authentication mode is one, the recommended authentication mode is packaged into an attribute value pair (AVP) of the authentication algorithm item (SIP-Auth-Data-Item). And the AVP is carried in the MAR message and sent to the HSS. If the recommended authentication mode is more than one type, the preferred recommended authentication mode, that is, the recommended authentication mode labeled 1 is packaged into the authentication algorithm item. The remaining recommended authentication methods are respectively packaged into a private authentication algorithm item (Private-SIP-Auth-Data-Item), and the two AVPs are carried in the MAR message and sent to the HSS.
  • AVP attribute value pair
  • the purpose of using the two AVPs to carry the proposed authentication method is as follows:
  • the recommended authentication mode information can be extracted from the SIP-Auth-Data-Item. Avoid interoperability between HSS and S-CSCF entities due to the failure of HSS to obtain the recommended authentication method.
  • step 207 the HSS selects an authentication mode according to the received MAR message, the user subscription authentication mode saved by itself, and the authentication mode for obtaining the authentication parameter.
  • the HSS pre-stores the user's subscription authentication method in the user subscription authentication mode set. Moreover, the HSS also saves the authentication method currently capable of obtaining the authentication parameter in the authentication mode set in which the authentication parameter can be obtained.
  • the HSS locally generates authentication parameters such as random numbers or subscription data for authentication, so the above three methods always exist in the authentication of the available authentication parameters.
  • the HSS can obtain the authentication parameters only after the IP address is reported by the General Packet Radio Service Gateway Support Node (GGSN).
  • GGSN General Packet Radio Service Gateway Support Node
  • the HSS parses the suggested authentication mode from the S-CSCF entity and synthesizes it into a set of suggested authentication modes. Then, the HSS collects the intersection of the recommended authentication mode set, the user subscription authentication mode set, and the authentication mode that can obtain the authentication parameter, according to the strength of the authentication algorithm, such as security, and the difficulty of the user through authentication. Etc., prioritize the selected authentication methods existing in the intersection, and use the selected authentication method with the highest priority as the preferred authentication method, and treat the other selected authentication methods as non- Preferred authentication method.
  • the HSS carries the selected authentication mode and the authentication parameter in a Multimedia Authentication Response (MAA) message and sends it to the S-CSCF entity.
  • MAA Multimedia Authentication Response
  • the HSS After determining the selected authentication mode, the HSS carries the preferred authentication mode information in the SIP-Auth-Data-Item in this step, and carries the non-preferred authentication mode information in the Private-SIP-Auth-Data.
  • the authentication parameter corresponding to the preferred authentication mode is sent to the S-CSCF entity through the MAA message.
  • the S-CSCF entity determines the authentication mode used according to the received MAA message, and authenticates the UE according to the authentication mode to obtain an authentication result.
  • the S-CSCF entity does not parse the content in the Private-SIP-Auth-Data-Item, and the parsed authentication mode is used as a subsequent step, whether the non-preferred authentication mode is carried in the MAA message.
  • the authentication mode determined by the S-CSCF entity is a direct authentication mode such as the NBA mode or the Early-IMS mode
  • the authentication is performed according to the procedure specified by the authentication mode, and when the authentication fails, the UE registration is rejected.
  • Figure 3 shows a flow chart of a successful authentication method in NBA mode or Early-IMS mode.
  • the direct authentication process includes:
  • step 301 the S-CSCF entity authenticates the UE according to the registration request message from the I-CSCF entity and the MAA message from the HSS, and determines the authentication result. If the authentication result is successful, the step is performed. 302; Otherwise, the UE-side network is notified by the I-CSCF entity and the P-CSCF entity to reject the access.
  • the S-CSCF entity obtains the authentication parameter from the received registration request message, and performs the authentication parameter in the registration request message and the authentication parameter in the MAA message according to the authentication mode indicated by the MAA message. Comparison. If the two are consistent, the authentication is determined to be successful; otherwise, the authentication is determined to be unsuccessful.
  • the authentication mode is the NBA mode
  • the authentication parameter is the access location information that the UE subscribes to.
  • the authentication mode is the Early-IMS mode
  • the authentication parameter is the IP address of the UE.
  • the S-CSCF entity sends a server allocation request (SAR) message to the HSS requesting user data; the HSS carries the user data in a server allocation response (SAA) message and sends it to the S-CSCF entity.
  • SAR server allocation request
  • SAA server allocation response
  • the S-CSCF entity sends a 200 OK message indicating that the authentication succeeds to the UE through the I-CSCF entity and the P-CSCF entity.
  • FIG. 4 shows a flow chart of a successful authentication method in the IMS-AKA mode or the HTTP digest authentication mode.
  • the indirect authentication process includes:
  • the S-CSCF entity sends an authentication challenge message, that is, a 401 message, to the UE through the I-CSCF entity and the P-CSCF entity, and notifies the UE to report the authentication comparison amount.
  • the UE uses the calculated response (RES) as an authentication comparison amount and carries it in the registration request message, and sends it to the I-CSCF entity through the P-CSCF entity.
  • RES calculated response
  • the HSS carries the random number RAND, the sequence number (SQN), and the authentication token (AUTN) in the MAA message, and the S-CSCF entity passes the random number through the authentication challenge message. And the SQN is sent to the UE.
  • the UE calculates the authentication comparison amount RES according to the initial key K saved by itself and the received random number, SQN and AUTN, and sends the authentication comparison message to the I-CSCF entity through the registration request message.
  • the I-CSCF entity obtains the IMPU and the IMPI of the user from the received registration request message, and carries the IMPU and the IMPI in the UAR message and sends the message to the HSS.
  • the HSS obtains the user data according to the received UAR message. And carrying the user data and the S-CSCF entity name in the UAA message and sending it to the I-CSCF entity.
  • step 408-409 the I-CSCF entity sends a registration request message carrying the RES from the UE to the S-CSCF entity, and the S-CSCF entity authenticates the UE. If the authentication succeeds, step 410 is performed; Otherwise, the UE network side is notified by the I-CSCF entity and the P-CSCF entity to reject the access.
  • the HSS carries the random number RAND, the sequence number (SQN), and the authentication token (AUTN) in the MAA message, and the S-CSCF entity passes the random number through the authentication challenge message.
  • the SQN is sent to the UE.
  • the UE calculates the authentication ratio according to the initial key K saved by itself and the received random number, SQN and AUTN.
  • the contest RES is sent to the S-CSCF entity through a registration request message. After receiving the RES, the S-CSCF entity compares with the expected response (XRES) saved by itself, and if the two are consistent, it determines that the authentication is successful; otherwise, it determines that the authentication fails. After receiving the RES, the S-CSCF entity compares with the expected response (XRES) saved by itself, and if the two are consistent, it determines that the authentication is successful; otherwise, it determines that the authentication fails.
  • XRES expected response
  • the S-CSCF entity sends a SAR message to the HSS requesting user data; the HSS carries the user data in the SAA message and sends it to the S-CSCF entity.
  • the S-CSCF entity sends a 200 OK message indicating successful authentication to the UE through the I-CSCF entity and the P-CSCF entity.
  • the S-CSCF entity determines the proposed authentication mode and provides it to the HSS according to the authentication capability and the judgment logic supported by the S-CSCF entity.
  • the HSS according to the proposed authentication mode from the S-CSCF entity, itself The user authentication mode of the saved user opening account and the authentication mode of the authentication parameter are selected, one or more authentication modes are selected, and the preferred authentication mode is carried in the AVP and the extended AVP, and the indication is given to The S-CSCF does not process these extended AVPs and will not report an error. Therefore, in this embodiment, the S-CSCF entity and the HSS determine the authentication modes supported by both parties through negotiation, and the multiple authentication modes are better merged, so that the CSCF entity and the HSS with different authentication capabilities are mixed. It can communicate smoothly in a networking environment.
  • the authentication mode is determined by using the maximum authorization principle, and the HSS selects the authentication mode and the recommended authentication mode in addition to the contract authentication mode, and also obtains the authentication mode of the authentication parameter as a consideration. .
  • the HSS determines the priority for the selected authentication mode, and the S-CSCF entity first uses the authentication with the highest priority. The method performs authentication. After the authentication fails, the authentication mode of the authentication challenge message is selected to perform authentication again, and in the case that the authentication fails again, the registration request of the UE is rejected.
  • Fig. 5 is a flow chart showing the authentication method in this embodiment.
  • the method includes: In steps 501-502, the UE sends a registration request message carrying a user identifier to the P-CSCF entity, requesting registration to the network, and the P-CSCF entity acquires the registration request message according to the received The network access information is carried in the registration request message and sent to the I-CFCS.
  • the I-CSCF entity obtains the user's IMPU and IMPI from the received registration request message, carries the IMPU and the IMPI in the UAR message, and sends the message to the HSS; the HSS receives the UAR message to obtain the user data, The S-CSCF entity that performs the authentication is determined, and the user data and the S-CSCF entity name are carried in the UAA message and sent to the I-CSCF entity.
  • the I-CSCF entity obtains the S-CSCF entity name from the received UAA message, and sends a registration request message carrying the user identifier and the authentication field to the S-CSCF entity, requesting to authenticate the UE. .
  • step 506 the S-CSCF entity determines the recommended authentication mode according to the received registration request message, and sends the message to the HSS through the MAR message.
  • the recommended authentication mode is determined, if the recommended authentication mode is one, the recommended authentication mode is packaged into the AVP of the SIP-Auth-Data-Item, and the AVP is carried in the MAR message, and sent.
  • the preferred recommended authentication mode that is, the recommended authentication mode labeled 1 is packaged into the authentication algorithm item, and the remaining recommended authentication methods are packaged into Private- In the SIP-Auth-Data-Item, the two AVPs are carried in the MAR message and sent to the HSS.
  • step 507 the HSS saves the user's signature according to the received MAR message.
  • the authentication method is selected according to the authentication method and the authentication method for obtaining the authentication parameters.
  • the HSS also adopts the method similar to Embodiment 1 to select the authentication mode. Specifically, the HSS extracts the set of the recommended authentication mode set, the set of the user authentication mode, and the authentication mode that can obtain the authentication parameter, and according to the strength of the authentication algorithm, the selected one of the intersection exists.
  • the authentication mode performs priority ordering, and the selected authentication mode with the highest priority is used as the preferred authentication mode, and the other selected authentication methods are used as the non-preferred authentication mode.
  • the preferred authentication mode in this embodiment is an authentication mode in which the authentication challenge message is not required to be sent.
  • step 508 the HSS carries all the selected authentication modes and authentication parameters in the MAA message and sends them to the S-CSCF entity.
  • the HSS After determining the selected authentication mode, the HSS carries the preferred authentication mode information in the SIP-Auth-Data-Item in this step, and carries the non-preferred authentication mode information in the Private-SIP-Auth-Data.
  • the authentication parameter corresponding to the preferred authentication mode is sent to the S-CSCF entity through the MAA message. Since the S-CSCF entity parses all AVPs in the MAA message under the maximum authorization principle, the M AA message here includes both SIP-Auth-Data-Item and Private-SIP-Auth-Data-Item. .
  • the S-CSCF entity determines the authentication mode used according to the received MAA message, and authenticates the UE according to the authentication mode, and determines whether the authentication is successful. If yes, the final authentication is performed. The result of the right is successful; otherwise, the authentication method of re-authentication is determined according to the MAA message, the authentication is performed again, and the final authentication result is obtained.
  • the S-CSCF entity parses the preferred authentication mode and the non-preferred authentication mode from the MAA message.
  • the S-CSCF entity then uses the preferred authentication method for authentication. Since the preferred authentication method here is a direct authentication method that does not need to issue an authentication challenge message, the authentication can be performed according to steps 301 to 306 shown in FIG. 3. After the direct authentication fails, in this embodiment, the authentication challenge message needs to be sent from the non-preferred authentication mode, and the priority is compared. A high authentication mode is performed, and re-authentication is performed in accordance with steps 401 to 412 shown in FIG.
  • the final authentication result in this embodiment is successful, and the UE is allowed to register; when the re-authentication fails, the final authentication result in this embodiment is a failure, and the UE registration is rejected. .
  • the S-CSCF entity and the HSS negotiate to determine the authentication modes supported by the two, and can combine multiple authentication modes and support the CSCF entities with different authentication capabilities in the hybrid networking. Interworking of HSS. Moreover, in order to improve the success rate of the authentication of the UE that subscribes to the multiple authentication modes, the S-CSCF entity first selects the preferred authentication mode from the selected authentication modes provided by the HSS, and the preferred authentication mode The method does not need to send an authentication challenge message, and then uses the preferred authentication mode to perform authentication, and in the case that the authentication fails, the authentication mode that needs to deliver the authentication challenge message is selected for re-authentication. It can be seen that the authentication opportunity given by the network side to the UE in the embodiment is increased compared with the embodiment 1.
  • the new authentication mode when it is necessary to extend the new authentication mode, only a slight change is made to the logic of determining the authentication mode in the S-CSCF entity, and the user authentication mode set and the authentication in the HSS are available.
  • the content of the parameter authentication mode set can be modified according to the actual situation, without adding a new authentication mechanism and a new interface, the operation is simple and convenient, and easy to implement.
  • FIG. 6 shows a schematic diagram of an authentication system in an embodiment of the present invention.
  • the system includes: a CSCF entity and an HSS.
  • the CSCF entity is configured to receive the registration request sent by the UE, determine the recommended authentication mode, and send the recommended authentication mode to the HSS, receive the selected authentication mode from the HSS, determine the authentication mode used, and perform authentication on the UE.
  • the HSS is configured to save the user subscription authentication mode, receive the suggested authentication mode from the CSCF entity, and select the selected authentication mode according to the suggested authentication mode and the user subscription authentication mode, and Send to the CSCF entity.
  • the HSS can also save the available authentication for selecting the selected authentication method.
  • the authentication method of the parameter the authentication method of the parameter.
  • the CSCF entity includes: a P-CSCF entity, an I-CSCF entity, and an S-CSCF entity.
  • the P-CSCF entity is configured to receive a registration request from the UE, send the registration request to the I-CSCF entity, receive an authentication result from the I-CSCF entity, and send the authentication result to the UE;
  • the P-CSCF entity may also receive an authentication challenge message from the I-CSCF entity, and send the authentication challenge message to the UE.
  • the I-CSCF entity is configured to receive a registration request from the P-CSCF entity, request the HSS to start authentication, receive the S-CSCF entity name from the HSS, send the registration request to the S-CSCF entity, and receive the S-CSCF from the S-CSCF.
  • the authentication result of the entity is sent to the P-CSCF entity.
  • the I-CSCF entity may also receive an authentication challenge message from the S-CSCF entity, and send the authentication challenge message to the P-CSCF. entity.
  • the S-CSCF entity is configured to save the preset suggestion mode determining logic, receive the registration request from the I-CSCF entity, determine the suggested authentication mode according to the suggested authentication mode determining logic, and send the recommended authentication mode to the HSS, and receive the HSS from the HSS.
  • the selected authentication mode selects the authentication mode used from the selected authentication mode, authenticates the UE, obtains the authentication result and sends it to the I-CSCF entity; in addition, the S-CSCF entity
  • the authentication challenge message may also be sent to the I-CSCF entity to indicate that the UE submits the authentication related data.
  • the S-CSCF entity determines the authentication mode used after negotiating with the HSS. In this way, when the S-CSCF entity and the HSS support multiple authentication modes, the most suitable authentication mode is selected according to the capabilities of the two parties and the needs of the operator, thereby comprehensively integrating multiple authentication modes to ensure the hybrid group.
  • the network CSCF entity and the HSS communicate smoothly.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Computer Security & Cryptography (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Mobile Radio Communication Systems (AREA)
  • Telephonic Communication Services (AREA)

Description

一种鉴权方法以及鉴权系统
技术领域
本发明涉及网络安全技术， 尤其涉及一种鉴权方法以及鉴权系统。 发明背景
在电子与通信技术的快速发展趋势下 , 人们在分别通过固定网络和 移动网络获得良好的服务后， 又提出了将上述两种网络相融合的需求。 在这种形势下， 作为下一代网络的核心技术的因特网协议 ( IP ) 多媒体 子系统（IMS )应运而生。 IMS能够支持固定网络和移动网络用户的接 入， 并使得固定网络和移动网络之间的界限淡化至消失。 从用户的角度 而言， IMS使得利用用户设备（UE )等终端来访问、 创建、 消费和分享 数字内容成为可能。
目前的第三代移动通信标准化伙伴项目 （ 3GPP )协议和高级网络中 的电信因特网融合业务及协议 ( TISPAN )协议都明确规定了终端接入的 鉴权方式。 在 3GPP协议中， 可以通过 IP多媒体子系统鉴权和密钥协商 ( IMS-AKA )方式或早期 IMS用户 （ Early-IMS )方式进行鉴权和认证， 并且通过会话发起协议 ( SIP ) 消息中是否携带有授权 ( Authorization ) 头域来确定使用何种鉴权方式；在 TISPAN协议中，可以通过 IMS-AKA 方式、超级文本传输协议摘要鉴权 ( HTTP Digest )方式或网络接入子系 统绑定认证 ( NBA )方式进行鉴权和认证， 并且在服务呼叫会话控制功 i ( S-CSCF )实体能够识别的情况下， 直接将鉴权方式指示给归属用户 服务器（HSS ), 在 S-CSCF实体无法识别的情况下， 由 HSS决定鉴权 方式。 可见， 3GPP协议并未采纳 HTTP摘要鉴权方式和 NBA方式， 而 TISPAN协议并未提及 Early-IMS方式，并且每种鉴权方式相互独立。 当 具有不同鉴权能力的呼叫会话控制功能（CSCF ) 实体与 HSS混合组网 时， 由于无法将所有的鉴权方式进行融合， CSCF实体与 HSS间无法正 常互通， 即 S-CSCF实体可能无法支持 HSS所指示的鉴权方式， 从而无 法对 UE进行鉴权。 因此， 现有的鉴权方法无法融合多种鉴权方式， 限 制了混合组网的灵活性， 网络服务的质量较低， 用户体验较差。 发明内容
为了解决现有技术中无法融合多种鉴权方式而导致无法对 UE进行 鉴权的问题， 本发明提供一种鉴权方法， 目的在于能够融合多种鉴权方 式。
并且，为了解决现有技术中无法融合多种鉴权方式而导致无法对 UE 进行鉴权的问题，本发明还提供一种鉴权系统，能够融合多种鉴权方式。
一种鉴权方法， 其包括：
A.呼叫会话控制功能 CSCF实体接收 UE发起的注册请求， 确定建 议鉴权方式并发送给归属用户服务器 HSS， HSS根据自身保存的用户签 约鉴权方式以及接收到的建议鉴权方式，选定鉴权方式，并通知给 CSCF 实体；
B. CSCF实体根据 HSS选定的鉴权方式确定所使用的鉴权方式，对 UE进行鉴权。
本发明中的鉴权系统包括： 呼叫会话控制功能 CSCF实体和归属用 户服务器， 其中，
所述 CSCF实体用于接收 UE发出的注册请求， 确定建议鉴权方式 并发送给 HSS,接收来自于 HSS的被选定的鉴权方式，确定所使用的鉴 权方式， 对 UE进行鉴权， 获得本次鉴权结果；
所述 HSS用于保存用户签约鉴权方式，接收来自于 CSCF实体的建 议鉴权方式， 根据建议鉴权方式和用户签约鉴权方式选择出被选定的鉴 权方式， 并发送给 CSCF实体。
本发明实施例在对 UE进行鉴权时 , CSCF实体与 HSS才 据实际能 力进行协商， 从多种鉴权方式中选择出所使用的鉴权方式， 进行鉴权。 这样， 在 S-CSCF实体和 HSS支持多种鉴权方式时， 根据双方的能力和 运营商的需要来选择最为合适的鉴权方式， 从而全面地融合了多种鉴权 方式， 有效解决了现有技术中由于无法融合多种鉴权方式而导致无法对 UE进行鉴权的问题。 附图简要说明
图 1为本发明实施例中鉴权方法的示例性流程图；
图 2为本发明实施例 1中鉴权方法的流程图；
图 3为本发明实施例 1中 NBA方式或者 Early-IMS方式下成功的鉴 权方法流程图；
图 4为本发明实施例 1中 HTTP摘要鉴权方式或者 IMS-AKA方式 下成功的鉴权方法流程图；
图 5为本发明实施例 2中鉴权方法的流程图；
图 6为本发明实施例中鉴权系统的示意图。 实施本发明的方式
为使本发明的目的、技术方案更加清楚明白， 以下参照附图并举实 施例， 对本发明做进一步的详细说明。
本发明为一种鉴权方法， 其基本思想是： S-CSCF实体与 HSS通过 协商来确定鉴权方式， 并按照所确定的鉴权方式对用户进行鉴权。
本发明实施例中参与鉴权的网络实体包括 CSCF实体以及 HSS。 图 1 示出了本发明实施例中鉴权方法的示例性流程图， 参见图 1， 该方法 包括：
在步骤 101中， UE发起注册请求， CSCF实体确定建议鉴权方式并 发送给 HSS, HSS根据自身保存的用户签约鉴权方式以及接收到的建议 鉴权方式选择被选定的鉴权方式， 并将选择出的被选定的鉴权方式通知 给 CSCF实体；
在步骤 102中， CSCF实体根据 HSS的被选定的鉴权方式确定所使 用的鉴权方式， 对 UE进行鉴权， 获得本次鉴权结果。
在本发明的 CSCF实体中， 包括用于实现 UE与网络侧连接的代理 呼叫会话控制功能（P-CSCF )实体、用于获取用户能力数据的查询呼叫 会话控制功能 （I-CSCF ) 实体和执行鉴权的服务呼叫会话控制功能 ( S-CSCF) 实体。
本发明实施例的鉴权方法中， 存在两种原则： 最大安全原则和最大 授权原则。 在最大安全原则下， 当 UE未明确指定鉴权方式时， 则选择 安全性最好的鉴权方式， 如果鉴权失败则拒绝 UE的接入； 在最大授权 原则下， 当 UE未明确指定鉴权方式时， 优先选择无需鉴权挑战消息的 鉴权方式， 当优先选择的鉴权方式鉴权失败后， 再利用需要鉴权挑战消 息的鉴权方式进行再次鉴权， 并在再次鉴权失败时， 拒绝 UE的接入。 下面通过实施例来伴细说明本发明实施例中的技术方案。
实施例 1
本实施例中采用最大安全原则确定鉴权方式，并且 HSS在选择鉴权 方式时， 除了考虑签约的鉴权方式和建议鉴权方式之外， 还将可获得鉴 权参数的鉴权方式作为考虑因素。 另外， HSS在选择了鉴权方式后， 为 所选择的鉴权方式确定优先级， S-CSCF 实体利用优先级最高的鉴权方 式进行鉴权。 图 2示出了本实施例中鉴权方法的信令流程图。 参见图 2, 该方法 包括：
在步骤 201〜202中， UE向 P-CSCF实体发送携带有用户标识的注 册请求（REGISTER )消息， 请求注册到网络中， P-CSCF实体根据接收 到的注册请求消息获取接入网信息 , 并将获取到的接入网信息携带于注 册请求消息中， 发送给 I-CSCF。
在步骤 203〜204中， I-CSCF实体从接收到的注册请求消息中获得 用户的因特网协议多媒体公有标识 （IMPU )和因特网协议多媒体私有 标识（ IMPI )， 将 IMPU和 IMPI携带于用户授权请求（ UAR ) 消息中 , 发送给 HSS； HSS根据接收到的 UAR消息获取用户数据 , 确定执行鉴 权的 S-CSCF实体， 并将用户数据和 S-CSCF实体名称携带于用户授权 响应 （ UAA ) 消息中， 发送给 I-CSCF实体。
这里， I-CSCF实体对注册请求消息进行解析， 从该消息的 TO头域 中获取 IMPU ; 然后， I-CSCF 实体判断注册请求消息中是否存在 Authorization 头域， 如果存在， 则将 Authorization 头域中的用户名 ( username M乍为 IMPI,否则 ,将 IMPU中的信息去掉 "sip: "或者 "sips: " 前缀后， 作为 IMPI。
由于 HSS中预先保存有 IMPU、 IMPI以及用户数据的对应关系， 则 HSS在从接收到的 UAR消息中解析出 IMPU和 IMPI后 ,以解析出的这 两个参数为索引， 查找对应的用户数据。 在找到用户数据的情况下， 确 定为该用户鉴权的 S-CSCF实体， 并从 HSS自身获取包括所支持的鉴权 算法等在内的 S-CSCF实体的能力信息。
在步骤 205中， I-CSCF实体从接收到的 UAA消息中获取 S-CSCF 实体名称， 并向该 S-CSCF实体发送携带有用户标识以及鉴权字段的注 册请求消息 , 请求对 UE进行鉴权。 在步骤 206 中， S-CSCF实体根据接收到的注册请求消息确定建议 鉴权方式， 并通过多媒体鉴权请求（MAR ) 消息发送给 HSS。
S-CSCF 实体中预先设置了建议鉴权方式的确定逻辑， 在接收到注 册请求消息后， S-CSCF 实体对接收到的消息进行解析， 并根据该注册 请求消息是否携带 Authorization头域、 鉴权算法的参数值、 是否进行完 整性保护等预先设置的确定因素， 确定建议鉴权方式。 表 1和表 2分别 示出了 TISPAN协议和 3GPP协议下 S-CSCF实体中建议鉴权方式的确 定逻辑。 参见表 1和表 2, 其中 AKAvl-MD5以及 MD5均为鉴权方式， UNKNOWN表示非 IMS- AKA鉴权方式， 并且标号 1、 2、 3等表示建议 鉴权方式的优选顺序。
是否携带 鉴权算法 是否有
建议鉴权方式
Authorization 参数值 完整性保护
是 AKAvl-MD5 有 1. AKAvl-MD5 是 AKAvl-MD5 无 拒绝
是 MD5 有 1. MD5 是 MD5 无 1. MD5
1. AKAvl-MD5 是 无 有 2. MD5
1. UNKNOWN 是 无 无 2. MD5
3. NBA
1. UNKNOWN
2. Early IMS 否 \ \
3. NBA
4. HTTP-Digest 表 1
是否携带 鉴权算法 是否有
建议鉴权方式
Authorization 参数值 完整性保护
是 AKAvl-MD5 有 1. AKAvl-MD5 是 AKAvl-MD5 无 1. AKAvl-MD5 是 MD5 有 1. MD5 是 MD5 无 1. MD5
1. AKAvl-MD5 是 无 有 2. MD5
1. AKAvl-MD5 是 无 无 2. MD5
3. NBA
1、 Early IMS 否 \ \ 2、 NBA
3、 HTTP-Digest 表 2
当按照表 1中的逻辑来确定建议鉴权方式时， 例如注册请求消息中 携带了 Authorization头域、 未携带鉴权算法的参数值、 无需完整性保护 时， S-CSCF实体确定建议鉴权方式为： UNKNOW、 MD5和 NBA。 当 按照表 2中的逻辑来确定建议鉴权方式时， 例如注册请求消息中携带了 Authorization 头域、 未携带鉴权算法的参数值、 无需完整性保护时， S-CSCF实体确定建议鉴权方式为： AKAvl-MD5、 MD5和 NBA。
在确定了建议鉴权方式后， 如果建议鉴权方式为 1种， 则将该建议 鉴权方式打包到鉴权算法项（ SIP-Auth-Data-Item )这一属性值对（ AVP ) 中， 并将该 AVP携带于 MAR消息中， 发送给 HSS; 如果建议鉴权方式 多于 1种， 则将优选的建议鉴权方式， 即标号为 1的建议鉴权方式打包 到鉴权算法项中， 将其余的建议鉴权方式分别打包到私有鉴权算法项 ( Private-SIP-Auth-Data-Item ) 中 , 并将两个 AVP携带于 MAR消息中 , 发送给 HSS。上述采用两个 AVP携带建议鉴权方式的目的在于： 当 HSS 无法识别 Private-SIP-Auth-Data-Item时， 只需从 SIP-Auth-Data-Item中 取出建议鉴权方式信息即可，从而避免因 HSS无法获得建议鉴权方式而 导致 HSS与 S-CSCF实体间的互通阻碍。 当然， 这里也可以仅发送标号为 1的建议鉴权方式， 而不发送其他 建议鉴权方式。
在步骤 207中 , HSS根据接收到的 MAR消息、 自身保存的用户签 约鉴权方式以及可获得鉴权参数的鉴权方式， 选定鉴权方式。
为了保证 HSS选定鉴权方式， HSS预先将该用户的签约鉴权方式保 存于用户签约鉴权方式集中。 并且， HSS还将目前能够获得鉴权参数的 鉴权方式保存于可获得鉴权参数的鉴权方式集中。对于 IMS-AKA方式、 HTTP摘要鉴权方式以及 NBA方式， HSS在本地生成用于鉴权的随机数 或签约数据等鉴权参数， 因此上述三种方式一直存在于可获得鉴权参数 的鉴权方式集中； 而对于 Early-IMS方式， 只有在通用分组无线业务网 关支持节点 （GGSN )上报了 IP地址后， HSS才能够获取到鉴权参数。
本步骤中， HSS接收到 MAR消息后， 从中解析出来自 S-CSCF实 体的建议鉴权方式， 合成为建议鉴权方式集。 然后， HSS对建议鉴权方 式集、 用户签约鉴权方式集和可获得鉴权参数的鉴权方式集取交集， 按 照鉴权算法的强弱， 例如安全性、 用户通过鉴权的难易程度等， 对该交 集中存在的被选定的鉴权方式进行优先级排序， 并将优先级最高的被选 定的鉴权方式作为首选鉴权方式， 将其他被选定的鉴权方式作为非首选 鉴权方式。
在步骤 208中， HSS将被选定的鉴权方式以及鉴权参数携带于多媒 体鉴权响应 ( MAA ) 消息中， 发送给 S-CSCF实体。
HSS在确定了被选定的鉴权方式后， 在本步骤中将首选鉴权方式信 息携带于 SIP- Auth-Data-Item 中， 将非首选鉴权方式信息携带于 Private-SIP-Auth-Data-Item 中， 连同首选鉴权方式对应的鉴权参数， 通 过 MAA消息发送给 S-CSCF实体。 当然， 在本实施例中也可以仅发送 首选鉴权方式。 在步骤 209 ~ 210中， S-CSCF实体根据接收到的 MAA消息确定所 使用的鉴权方式， 并按照该鉴权方式对 UE进行鉴权， 获得鉴权结果。
本实施例中，无论 MAA消息中是否携带有非首选鉴权方式， S-CSCF 实体都不解析 Private-SIP-Auth-Data-Item中的内容， 并将解析出的鉴权 方式作为后续步骤中使用的鉴权方式。
当 S-CSCF实体所确定的鉴权方式为诸如 NBA方式或者 Early-IMS 方式等直接鉴权方式时， 按照该鉴权方式规定的流程进行鉴权， 并在鉴 权失败时， 拒绝 UE注册。 图 3示出了 NBA方式或者 Early-IMS方式下 成功的鉴权方法流程图。 参见图 3， 该直接鉴权流程包括：
在步骤 301中， S-CSCF实体 ^据来自于 I-CSCF实体的注册请求消 息和来自于 HSS的 MAA消息， 对 UE进行鉴权， 确定鉴权结果， 如果 鉴权结果为成功， 则执行步骤 302; 否则， 通过 I-CSCF实体和 P-CSCF 实体通知 UE网络侧拒绝接入。
本步骤中， S-CSCF 实体从接收到的注册请求消息中获取到鉴权参 数， 根据 MAA消息所指示的鉴权方式， 将注册请求消息中的鉴权参数 和 MAA消息中的鉴权参数进行比较。如果两者一致， 则判定鉴权成功； 反之， 则判定鉴权失败。 例如： 当鉴权方式为 NBA方式时， 鉴权参数 为 UE签约的接入位置信息； 当鉴权方式为 Early-IMS方式时， 鉴权参 数为 UE的 IP地址。
在步骤 302 ~ 303 中， S-CSCF 实体向 HSS 发送服务器分配请求 ( SAR )消息， 请求用户数据； HSS将用户数据携带于服务器分配响应 ( SAA ) 消息， 发送给 S-CSCF实体。
在步骤 304 ~ 306中， S-CSCF实体通过 I-CSCF实体和 P-CSCF实体， 将表明鉴权成功的 200 OK消息发送给 UE。
当 S-CSCF实体所确定的鉴权方式为诸如 IMS-AKA方式或者 HTTP 摘要鉴权方式等非直接鉴权方式时 , 按照该鉴权方式规定的流程进行鉴 权， 并在鉴权失败时， 拒绝 UE注册。 图 4示出了 IMS-AKA方式或者 HTTP摘要鉴权方式下成功的鉴权方法流程图。 参见图 4, 该非直接鉴 权流程包括：
在步骤 401 ~ 403中， S-CSCF实体通过 I-CSCF实体和 P-CSCF实体， 将鉴权挑战消息， 即 401消息发送给 UE, 通知 UE上报鉴权比较量。
在步骤 404 ~ 406中， UE将计算出的响应 （RES )作为鉴权比较量 并携带于注册请求消息中， 通过 P-CSCF实体发送给 I-CSCF实体。
在 IMS-AKA和 HTTP摘要鉴权方式下， HSS在 MAA消息中携带 有随机数 RAND、 序列号 （SQN ) 以及鉴权令牌 ( AUTN ), S-CSCF实 体通过鉴权挑战消息将该随机数和 SQN发送给 UE。 UE根据自身保存 的初始密钥 K以及接收到的随机数、 SQN和 AUTN, 计算出鉴权比较 量 RES , 通过注册请求消息发送给 I-CSCF实体。
在步骤 406 ~ 407中， I-CSCF实体从接收到的注册请求消息中获得 用户的 IMPU和 IMPI, 将 IMPU和 IMPI携带于 UAR消息中 , 发送给 HSS; HSS 根据接收到的 UAR 消息获取用户数据， 并将用户数据和 S-CSCF实体名称携带于 UAA消息中， 发送给 I-CSCF实体。
在步骤 408 ~ 409中， I-CSCF实体将携带有来自于 UE的 RES的注 册请求消息发送给 S-CSCF实体， S-CSCF实体对 UE进行鉴权， 如果鉴 权成功， 则执行步骤 410; 否则， 通过 I-CSCF实体和 P-CSCF实体通知 UE网络侧拒绝接入。
在 IMS-AKA或者 HTTP摘要鉴权方式下， HSS在 MAA消息中携 带有随机数 RAND, 序列号 （SQN ) 以及鉴权令牌（AUTN ), S-CSCF 实体通过鉴权挑战消息将该随机数和 SQN发送给 UE。 UE根据自身保 存的初始密钥 K以及接收到的随机数、 SQN和 AUTN, 计算出鉴权比 较量 RES, 通过注册请求消息发送给 S-CSCF实体。 S-CSCF实体接收 到 RES后， 与自身保存的期望响应 （XRES )相比较， 如果两者一致， 则判定鉴权成功； 否则， 判定鉴权失败。 S-CSCF实体接收到 RES后， 与自身保存的期望响应 （XRES )相比较， 如果两者一致， 则判定鉴权 成功； 否则， 判定鉴权失败。
在步骤 410〜411中， S-CSCF实体向 HSS发送 SAR消息， 请求用 户数据； HSS将用户数据携带于 SAA消息， 发送给 S-CSCF实体。
在步骤 412 ~ 412中， S-CSCF实体通过 I-CSCF实体和 P-CSCF实体， 将表明鉴权成功的 200 OK消息发送给 UE。
至此完成本实施例中的鉴权流程。
在本实施例的最大安全原则下， S-CSCF 实体根据自身所支持的鉴 权能力以及判断逻辑， 确定建议鉴权方式并提供给 HSS， HSS根据来自 S-CSCF 实体的建议鉴权方式、 自身保存的用户开户时的用户签约鉴权 方式以及可获得鉴权参数的鉴权方式， 选定一个或者多个鉴权方式， 并 将首选鉴权方式携带在 AVP和经过扩展的 AVP中 , 指示给 S-CSCF实 不会对这些扩展 AVP 进行处理， 并且不会报错。 因此， 本实施例中 S-CSCF实体和 HSS通过协商来确定双方均支持的鉴权方式， 较好地将 多种鉴权方式融合在一起， 使得具有不同鉴权能力的 CSCF实体和 HSS 在混合组网环境下能够顺利互通。
实施例 2
本实施例采用最大授权原则确定鉴权方式，并且 HSS在选择鉴权方 式时， 除了考虑签约的鉴权方式和建议鉴权方式之外， 还将可获得鉴权 参数的鉴权方式作为考虑因素。 另外， HSS在选择了鉴权方式后， 为所 选择的鉴权方式确定优先级， S-CSCF 实体首先利用优先级最高的鉴权 方式进行鉴权， 在鉴权失败后， 选择下发鉴权挑战消息的鉴权方式再次 进行鉴权， 并在再次鉴权失败的情况下， 拒绝 UE的注册请求。
图 5示出了本实施例中鉴权方法的流程图。 参见图 5， 该方法包括： 在步骤 501 ~ 502中， UE向 P-CSCF实体发送携带有用户标识的注 册请求消息， 请求注册到网络中， P-CSCF 实体 据接收到的注册请求 消息获取接入网信息 , 并将获取到的接入网信息携带于注册请求消息 中， 发送给 I-CFCS。
在步骤 503 ~ 504中， I-CSCF实体从接收到的注册请求消息中获得 用户的 IMPU和 IMPI, 将 IMPU和 IMPI携带于 UAR消息中 , 发送给 HSS; HSS 接收到的 UAR 消息获取用户数据， 确定执行鉴权的 S-CSCF实体， 并将用户数据和 S-CSCF实体名称携带于 UAA消息中， 发送给 I-CSCF实体。
在步骤 505中， I-CSCF实体从接收到的 UAA消息中获取 S-CSCF 实体名称， 并向该 S-CSCF实体发送携带有用户标识以及鉴权字段的注 册请求消息， 请求对 UE进行鉴权。
在步骤 506 中， S-CSCF实体根据接收到的注册请求消息确定建议 鉴权方式， 并通过 MAR消息发送给 HSS。
在确定了建议鉴权方式后， 如果建议鉴权方式为 1种， 则将该建议 鉴权方式打包到 SIP- Auth-Data-Item这一 AVP中， 并将该 AVP携带于 MAR消息中， 发送给 HSS; 如果建议鉴权方式多于 1种， 则将优选的 建议鉴权方式， 即标号为 1的建议鉴权方式打包到鉴权算法项中， 将其 余的建议鉴权方式打包到 Private-SIP- Auth-Data-Item中 , 并将两个 AVP 携带于 MAR消息中， 发送给 HSS。
上述步骤 501至 506的操作与实施例中的步骤 201至 206完全相同。 在步骤 507中， HSS根据接收到的 MAR消息、 自身保存的用户签 约鉴权方式以及可获得鉴权参数的鉴权方式， 选定鉴权方式。
本步骤中， HSS也采用类似实施例 1的方式来选定鉴权方式。 具体 而言， HSS对建议鉴权方式集、 用户签约鉴权方式集和可获得鉴权参数 的鉴权方式集取交集， 按照鉴权算法的强弱， 对该交集中存在的被选定 的鉴权方式进行优先级排序， 并将优先级最高的被选定的鉴权方式作为 首选鉴权方式， 将其他被选定的鉴权方式作为非首选鉴权方式。 通常情 况下， 本实施例中的首选鉴权方式为无需下发鉴权挑战消息的鉴权方 式。
在步骤 508中， HSS将全部被选定的鉴权方式以及鉴权参数携带于 MAA消息中， 发送给 S-CSCF实体。
HSS在确定了被选定的鉴权方式后， 在本步骤中将首选鉴权方式信 息携带于 SIP- Auth-Data-Item 中， 将非首选鉴权方式信息携带于 Private-SIP-Auth-Data-Item 中， 连同首选鉴权方式对应的鉴权参数， 通 过 MAA消息发送给 S-CSCF实体。 由于在最大授权原则下， S-CSCF实 体对 MAA消息中的全部 AVP进行解析 , 因此， 这里的 M AA消息中既 包括 SIP- Auth-Data-Item, 又包括 Private-SIP-Auth-Data-Item。
在步骤 509 ~ 510中， S-CSCF实体根据接收到的 MAA消息确定所 使用的鉴权方式， 并按照该鉴权方式对 UE进行鉴权， 并判断鉴权是否 成功， 如果是， 则最终鉴权结果为成功； 否则， 根据 MAA消息确定再 次鉴权的鉴权方式， 进行再次鉴权， 并获得最终鉴权结果。
本实施例中， S-CSCF实体从 MAA消息中解析出首选鉴权方式和非 首选鉴权方式。 而后， S-CSCF 实体利用首选鉴权方式进行鉴权。 由于 这里的首选鉴权方式为无需下发鉴权挑战消息的直接鉴权方式 , 因此可 以按照图 3所示的步骤 301至 306来执行鉴权。 当直接鉴权失败后， 本 实施例中从非首选鉴权方式中选择需要下发鉴权挑战消息、 且优先级较 高的鉴权方式， 并按照图 4所示的步骤 401至 412来执行再次鉴权。 当直接鉴权或者再次鉴权成功时 , 本实施例中的最终鉴权结果为成 功， 允许 UE注册； 当再次鉴权失败时， 本实施例中的最终鉴权结果为 失败， 则拒绝 UE注册。
至此， 完成本实施例中的鉴权流程。
在本实施例的最大授权原则下， S-CSCF实体和 HSS经过协商确定 两者均支持的鉴权方式， 能够融合多种鉴权方式并支持混合组网时具有 不同鉴权能力的 CSCF实体与 HSS的互通。 并且， 为了能够提高签约多 种鉴权方式的 UE通过鉴权的成功率， 则 S-CSCF实体首先从 HSS提供 的被选定的鉴权方式中选出首选鉴权方式， 且该首选鉴权方式无需下发 鉴权挑战消息， 然后利用该首选鉴权方式进行鉴权， 并在鉴权失败的情 况下， 选择需要下发鉴权挑战消息的鉴权方式进行再次鉴权。 可见， 本 实施例中网络侧给予 UE的鉴权机会较实施例 1而言有所增加。
综合上述两个实施例，在需要扩展新的鉴权方式时，只需对 S-CSCF 实体中确定鉴权方式的逻辑稍加改变以及将 HSS 中的用户签约鉴权方 式集和可获得鉴权参数的鉴权方式集的内容按照实际情况进行修改即 可， 而无需增加新的鉴权机制和新的接口， 操作简单方便， 易于实现。
本发明还提供了一种鉴权系统， 用于执行上述的鉴权流程。 图 6示 出了本发明实施例中鉴权系统的示意图。 参见图 6， 该系统包括： CSCF 实体和 HSS。 其中， CSCF实体用于接收 UE发出的注册请求， 确定建 议鉴权方式并发送给 HSS,接收来自于 HSS的被选定的鉴权方式，确定 所使用的鉴权方式， 对 UE进行鉴权， 获得本次鉴权结果； HSS用于保 存用户签约鉴权方式， 接收来自于 CSCF实体的建议鉴权方式， 根据建 议鉴权方式和用户签约鉴权方式选择出被选定的鉴权方式， 并发送给 CSCF实体。 HSS还可以保存用于选择被选定的鉴权方式的可获得鉴权 参数的鉴权方式。
这里 CSCF实体包括： P-CSCF实体、 I-CSCF实体和 S-CSCF实体。 其中， P-CSCF实体用于接收来自于 UE的注册请求，将该注册请求 发送给 I-CSCF实体， 接收来自于 I-CSCF实体的鉴权结果， 并将该鉴权 结果发送给 UE; 另外， P-CSCF实体还可以接收来自于 I-CSCF实体的 鉴权挑战消息， 将该鉴权挑战消息发送给 UE。
I-CSCF实体用于接收来自于 P-CSCF实体的注册请求， 请求 HSS 开始鉴权， 接收来自于 HSS 的 S-CSCF 实体名称， 将注册请求发送给 S-CSCF实体，接收来自于 S-CSCF实体的鉴权结果，将该鉴权结果发送 给 P-CSCF实体； 另外， I-CSCF实体还可以接收来自于 S-CSCF实体的 鉴权挑战消息， 将该鉴权挑战消息发送给 P-CSCF实体。
S-CSCF 实体用于保存预先设置的建议鉴权方式确定逻辑， 接收来 自于 I-CSCF实体的注册请求， 根据建议鉴权方式确定逻辑来确定建议 鉴权方式并发送给 HSS,接收来自于 HSS的被选定的鉴权方式，从被选 定的鉴权方式中选择所使用的鉴权方式， 对 UE进行鉴权， 获得鉴权结 果并发送给 I-CSCF实体； 另外， S-CSCF实体还可以向 I-CSCF实体下 发鉴权挑战消息， 指明 UE提交鉴权相关数据。
无论上述的鉴权方法还是鉴权系统， S-CSCF实体都在与 HSS协商 后确定所使用的鉴权方式。 这样， 在 S-CSCF实体和 HSS支持多种鉴权 方式时， 根据双方的能力和运营商的需要来选择最为合适的鉴权方式， 从而全面地融合了多种鉴权方式， 保证了混合组网时 CSCF实体与 HSS 的顺利互通。
以上所述仅为本发明的较佳实施例而已， 并不用以限制本发明， 凡 在本发明的精神和原则之内， 所做的任何修改、 等同替换、 改进等， 均 应包含在本发明的保护范围之内。

Claims

权利要求书
1、 一种鉴权方法， 其特征在于， 该方法包括：
A.呼叫会话控制功能 CSCF实体接收用户设备 UE发起的注册请求， 确定建议鉴权方式并发送给归属用户服务器 HSS， HSS根据自身保存的 用户签约鉴权方式以及接收到的建议鉴权方式， 选定鉴权方式， 并通知 给 CSCF实体；
B. CSCF实体 HSS选定的鉴权方式确定所使用的鉴权方式， 对 UE进行鉴权。
2、如权利要求 1所述的方法， 其特征在于， 所述 CSCF实体为服务 呼叫会话功能 S-CSCF实体， 步骤 A所述确定建议鉴权方式为：
S-CSCF 实体根据预先设置的建议鉴权方式的确定逻辑以及预先设 置的确定因素， 确定建议鉴权方式， 并为所确定的建议鉴权方式确定优 选顺序。
3、 如权利要求 2所述的方法， 其特征在于， 所述确定因素包括： 注 册请求是否携带授权头域、 鉴权算法的参数值和是否进行完整性保护。
4、 如权利要求 2所述的方法， 其特征在于， 步骤 A所述 HSS选定 鉴权方式为：
HSS将接收到的建议鉴权方式放入建议鉴权方式集， 将自身保存的 用户签约鉴权方式放入用户签约鉴权方式集， 并获取建议鉴权方式集和 用户签约鉴权方式集的交集， 将交集中的鉴权方式作为被选定的鉴权方 式， 并为所选定的鉴权方式确定优先级。
5、如权利要求 4所述的方法， 其特征在于， 所述将交集中的鉴权方 式作为被选定的鉴权方式之前， 进一步包括：
将当前能够获得鉴权参数的鉴权方式放入可获得鉴权参数的鉴权方 式集， 对建议鉴权方式集和用户签约鉴权方式集的交集与所述可获得鉴 权参数的鉴权方式集取交集。
6、如权利要求 4所述的方法，其特征在于，步骤 A所述发送给 HSS 为： S-CSCF 实体将优选顺序最高的建议鉴权方式携带于多媒体鉴权请 求 MAR消息的鉴权算法项中， 发送给 HSS。
7、 如权利要求 6所述的方法， 其特征在于， 所述发送给 HSS之前， 进一步包括： S-CSCF 实体将除优选顺序最高的建议鉴权方式之外的其 他建议鉴权方式分别携带于所述 MAR消息的至少一个私有鉴权算法项 中。
8、 如权利要求 6或 7所述的方法， 其特征在于， 步骤 A所述通知 给 CSCF实体为： HSS将优先级最高的被选定的鉴权方式携带于多媒体 鉴权响应 MAA消息的鉴权算法项中， 发送给 S-CSCF实体。
9、 如权利要求 8所述的方法， 其特征在于， 所述发送给 S-CSCF实 体之前， 进一步包括： HSS将除优先级最高的被选定的鉴权方式之外的 其他被选定的鉴权方式分别携带于所述 MAA消息的至少一个私有鉴权 算法项中。
10、 如权利要求 8所述的方法， 其特征在于， 步骤 B所述确定所使 用的鉴权方式为： S-CSCF 实体将优先级最高的被选定的鉴权方式作为 所使用的鉴权方式。
11、 如权利要求 9所述的方法， 其特征在于， 步骤 B所述确定所使 用的鉴权方式为： S-CSCF 实体将优先级最高的被选定的鉴权方式作为 所使用的鉴权方式。
12、 一种鉴权系统， 其特征在于， 所述系统包括：
CSCF实体，用于接收 UE发出的注册请求，确定建议鉴权方式并发 送给 HSS,接收来自于 HSS的被选定的鉴权方式，确定所使用的鉴权方 式， 对 UE进行鉴权， 获得本次鉴权结果；
HSS, 用于保存用户签约鉴权方式， 接收来自于 CSCF实体的建议 鉴权方式， 根据建议鉴权方式和用户签约鉴权方式选择出被选定的鉴权 方式， 并发送给 CSCF实体。
13、如权利要求 12所述的系统，其特征在于，所述 CSCF实体包括： P-CSCF实体， 用于接收来自于 UE的注册请求， 将该注册请求发送给 I-CSCF实体， 接收来自于 I-CSCF实体的鉴权结果， 并将该鉴权结果发 送给 UE;
I-CSCF实体， 用于接收来自于 P-CSCF实体的注册请求， 请求 HSS 开始鉴权， 接收来自于 HSS 的 S-CSCF 实体名称， 将注册请求发送给 S-CSCF实体，接收来自于 S-CSCF实体的鉴权结果，将该鉴权结果发送 给 P-CSCF实体；
S-CSCF 实体， 用于保存预先设置的建议鉴权方式确定逻辑， 接收 来自于 I-CSCF实体的注册请求， 根据建议鉴权方式确定逻辑来确定建 议鉴权方式并发送给 HSS,接收来自于 HSS的被选定的鉴权方式，从被 选定的鉴权方式中选择所使用的鉴权方式， 对 UE进行鉴权， 获得鉴权 结果并发送给 I-CSCF实体。
14、 如权利要求 12所述的系统， 其特征在于， 所述 HSS进一步用 于保存可获得鉴权参数的鉴权方式， 该可获得鉴权参数的鉴权方式用于 选择所述被选定的鉴权方式。
PCT/CN2007/070473 2006-08-24 2007-08-14 Procédé et système d'authentification WO2008025280A1 (fr)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN2006101211382A CN101132279B (zh) 2006-08-24 2006-08-24 一种鉴权方法以及鉴权系统
CN200610121138.2 2006-08-24

Publications (1)

Publication Number Publication Date
WO2008025280A1 true WO2008025280A1 (fr) 2008-03-06

Family

ID=39129412

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2007/070473 WO2008025280A1 (fr) 2006-08-24 2007-08-14 Procédé et système d'authentification

Country Status (2)

Country Link
CN (1) CN101132279B (zh)
WO (1) WO2008025280A1 (zh)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN111148102A (zh) * 2019-12-31 2020-05-12 京信通信系统（中国）有限公司 网络鉴权方法、装置、计算机设备和存储介质

Families Citing this family (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101883362B (zh) * 2010-06-29 2015-09-16 中兴通讯股份有限公司 一种实现鉴权的方法和装置
CN103581112B (zh) * 2012-07-20 2016-12-21 中国移动通信集团浙江有限公司 用户交换机接入网际协议多媒体子系统网络的鉴权方法和装置
CN104243422A (zh) * 2013-06-19 2014-12-24 中兴通讯股份有限公司 用户终端接入ims网络的注册实现方法及ims
CN104283681B (zh) * 2013-07-08 2018-02-06 华为技术有限公司 一种对用户的合法性进行验证的方法、装置及系统
CN105429988B (zh) * 2015-11-30 2018-08-24 东莞酷派软件技术有限公司 基于多业务的ims注册方法和ims注册系统
CN110881020B (zh) * 2018-09-06 2021-07-23 大唐移动通信设备有限公司 一种用户签约数据的鉴权方法及数据管理网元
CN112929321B (zh) * 2019-12-05 2023-02-03 北京金山云网络技术有限公司 一种鉴权方法、装置及终端设备
CN114079960B (zh) * 2020-08-21 2023-11-21 中国移动通信集团重庆有限公司 网络接入异常的处理方法、装置、计算设备和存储介质
CN114884666A (zh) * 2021-01-22 2022-08-09 华为技术有限公司 认证方法及通信装置

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1753363A (zh) * 2004-09-23 2006-03-29 华为技术有限公司 网络侧选择鉴权方式的方法
CN1801706A (zh) * 2005-01-07 2006-07-12 华为技术有限公司 一种ip多媒体子系统网络鉴权系统及方法

Family Cites Families (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP3983035B2 (ja) * 2001-11-19 2007-09-26 富士通株式会社 ユーザ端末認証プログラム
CN100349495C (zh) * 2005-03-25 2007-11-14 北京北方烽火科技有限公司 一种lcs系统中自适应分级鉴权算法

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1753363A (zh) * 2004-09-23 2006-03-29 华为技术有限公司 网络侧选择鉴权方式的方法
CN1801706A (zh) * 2005-01-07 2006-07-12 华为技术有限公司 一种ip多媒体子系统网络鉴权系统及方法

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
ZHANG P. AND HE D.: "The Security Policy of IP Multimedia Subsystem in 3G", CHINA DATA COMMUNICATIONS, no. 11, 2003, pages 70 - 74 *

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN111148102A (zh) * 2019-12-31 2020-05-12 京信通信系统（中国）有限公司 网络鉴权方法、装置、计算机设备和存储介质
CN111148102B (zh) * 2019-12-31 2024-01-30 京信网络系统股份有限公司 网络鉴权方法、装置、计算机设备和存储介质

Also Published As

Publication number Publication date
CN101132279A (zh) 2008-02-27
CN101132279B (zh) 2011-05-11

Similar Documents

Publication Publication Date Title
WO2008025280A1 (fr) Procédé et système d'authentification
EP1879324B1 (en) A method for authenticating user terminal in ip multimedia sub-system
US8613058B2 (en) Systems, methods and computer program products for providing additional authentication beyond user equipment authentication in an IMS network
US7822407B2 (en) Method for selecting the authentication manner at the network side
KR101343039B1 (ko) 인증 시스템, 방법 및 장치
WO2011079522A1 (zh) 一种认证方法、系统和装置
WO2007016847A1 (fr) Procédé de mise en œuvre d’enregistrement initial du sous-système multimédia du protocole internet
WO2006125359A1 (fr) Procede d'implementation de la securite de domaine d'acces d'un sous-systeme multimedia ip
US7600116B2 (en) Authentication of messages in a communication system
US9032483B2 (en) Authenticating a communication device and a user of the communication device in an IMS network
JP2017502624A (ja) ｗｅｂＲＴＣのための装置、システム、及び方法
WO2006072209A1 (fr) Procede de negociation d'une cle dans un sous-systeme multimedia ip
US20040043756A1 (en) Method and system for authentication in IP multimedia core network system (IMS)
WO2007022800A1 (en) Method and apparatus for providing access security in a communications network
WO2006072219A1 (fr) Systeme d'authentification d'un reseau de sous-systeme multimedia ip et procede associe
WO2014201904A1 (zh) 用户终端接入ims网络的注册实现方法及ims
WO2011035579A1 (zh) Wapi终端接入ims网络的认证方法、系统和终端
WO2008089699A1 (fr) Procédé et système d'authentification d'un terminal utilisateur dans un réseau ims
WO2009146749A1 (en) Charging for services in a communication network
EP2449743B1 (en) Method and apparatus for use in an ip multimedia subsystem
WO2007098669A1 (fr) Procédé, système et dispositif d'authentification de terminal d'utilisateur
WO2011147258A1 (zh) 一种实现卡鉴权的方法、系统及用户设备
WO2006133624A1 (fr) Procédé d’enregistrement dans un sous-système ip multimédia
WO2010108357A1 (zh) 一种策略控制方法及系统
WO2009074063A1 (fr) Procédé et appareil de choix du motif d'autorisation pour qu'un ue accède à un ims

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 07800949

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

NENP Non-entry into the national phase

Ref country code: RU

122 Ep: pct application non-entry in european phase

Ref document number: 07800949

Country of ref document: EP

Kind code of ref document: A1