WO2009074050A1 - Procede, systeme et appareil d'authentification de dispositif de point d'acces - Google Patents

Description

认证接入点设备的方法、 系统和装置 本申请要求于 2007年 11月 20日提交中国专利局、 申请号为

2007101246545、 发明名称为"认证接入点设备的方法、 系统和装置"的中国专 利申请的优先权， 其全部内容通过引用结合在本申请中。

说

技术领域

本发明涉及通信技术领域， 尤其涉及一种认证接入点设备的方法、 系统和 装置。

书 背景技术

家庭基站是一种家用的微型基站， 移动用户可以在家庭， 办公场所等热点 覆盖区域布置这种基站， 通过 Internet接入移动通信网络， 来获得无线通信服 务。 家庭基站的引入， 解决了无线数据业务中空口资源瓶颈问题， 使得用户可 以享用到高速率、 高带宽的网络服务。

由于家庭基站通过 Internet或其他 IP网络接入， 因此公众陆地移动通信 网 （PLMN, Public Land Mobile-communication Network )需要对家庭基站进 行认证。 认证一般基于家庭基站上插入的用户身份模块 （ SIM, Subscriber Identity Module )或 UMTS用户身份模块 （ USIM , UMTS Subscriber Identity Module )卡进行。 但是仅仅执行这种基于 SIM/USIM的认证是不够的。 这是因 为如果认证仅仅基于 SIM/USIM卡进行，那么任何一个公网上的设备只要能获 得 SIM/USIM卡， 就可以通过对 SIM/USIM的认证接入到 PLMN网络内部。 为了防止公网上的设备可能发起的这种恶意攻击， 需要对家庭基站设备进行认 证， 保证接入 PLMN网络内部的设备确实是一个家庭基站设备。 发明内容

本发明的实施例提供认证接入点设备的方法、 系统和相应的装置， 以解决 认证过程中的恶意攻击问题。 为达到上述目的， 一方面， 本发明的实施例提供一种认证接入点设备的方 法， 该方法包括：

接收该接入点设备发送的验证信息；

根据所述验证信息认证该接入点设备。

另一方面， 本发明的实施例还提供一种认证接入点设备的系统， 包括： 接入点设备， 用于向所述网络侧发送验证信息；

安全网关， 用于根据所述验证信息认证所述接入点设备。

另一方面， 本发明的实施例还提供一种接入点设备， 该接入点设备包括： 保存单元， 用于保存验证密钥和接入点设备的设备身份， 或用于保存验证 接入点设备需要的证书， 并提供给计算单元和发送单元；

计算单元， 根据保存单元提供的验证密钥和设备身份， 或根据保存单元提 供的证书计算证明， 并将该证明提供给发送单元；

发送单元， 用于发送所述设备身份和证明， 或用于发送所述证书和证明。 另一方面， 本发明的实施例还提供一种安全网关， 该安全网关包括： 接收单元， 用于接收接入点设备发送的验证信息；

认证单元， 用于根据所述验证信息认证接入点设备， 或与保存接入点设备 信息的服务器交互认证接入点设备。

另一方面， 本发明的实施例还提供一种保存接入点设备信息的服务器， 该 服务器包括：

接收单元， 用于接收安全网关发送的密钥请求；

保存单元， 用于保存验证密钥和接入点设备的设备身份， 并根据接收单元 接接收的密钥请求获取相应的验证密钥提供给发送单元；

发送单元， 用于将保存单元提供的验证密钥发送给安全网关。

另一方面， 本发明的实施例还提供另一种保存接入点设备信息的服务器， 该服务器包括：

接收单元， 用于接收安全网关发送的密钥请求；

保存单元， 用于保存验证密钥和接入点设备的设备身份， 并根据接收单元 接接收的密钥请求获取相应的验证密钥提供给衍生单元；

衍生单元， 用于根据保存单元提供的验证密钥生成衍生密钥， 并提供给发 送单元；

发送单元， 用于将衍生单元提供的衍生密钥发送给安全网关。

另一方面， 本发明的实施例还提供另一种保存接入点设备信息的服务器， 该服务器包括：

接收单元， 用于接收安全网关发送的认证接入点设备需要的参数， 并提供 呆存单元和认证单元；

保存单元， 用于保存验证密钥和接入点设备的设备身份， 并根据接收单元 接接收的参数获取相应的验证密钥， 设备身份和 /或 IKE交互过程交互的随机 值提供给认证单元；

认证单元， 用于根据所述接收单元和保存单元提供的参数认证接入点设 备， 并通知发送单元发送认证结果；

发送单元， 用于根据认证单元的指示发送认证结果。

与现有技术相比， 本发明的实施例具有以下优点：

通过接收接入点设备发送的验证信息， 来认证接入点设备， 从而解决认证 过程中的恶意攻击问题。 附图说明

图 1是本发明实施例一中认证接入点设备的系统的示意图；

图 2是本发明实施例二中认证接入点设备的系统的示意图；

图 3是本发明实施例三中认证接入点设备的系统的示意图；

图 4是本发明实施例四中认证接入点设备的系统的示意图；

图 5是本发明实施例五中认证接入点设备的示意图；

图 6是本发明实施例六中安全网关的示意图；

图 7是本发明实施例七中一种保存接入点设备信息的服务器的示意图； 图 8是本发明实施例八中另一种保存接入点设备信息的服务器的示意图； 图 9是本发明实施例九中又一种保存接入点设备信息的服务器的示意图。 具体实施方式

本发明实施例提供了一种认证接入点设备的方法， 包括： 接收所述接入点设备发送的验证信息；

根据该验证信息认证所述接入点设备。

本发明实施例通过接收接入点设备发送的验证信息， 来认证接入点设备， 从而解决现有技术中缺少对接入点设备进行认证的办法所带来的问题。

需要说明的是， 家庭基站设备实际上是一个接入点设备（Access Point, AP )。 家庭基站只是接入点设备的一种应用方式。 本发明的各实施例可以用来 认证各种 AP设备， 而并不仅限于家庭基站这种应用方式。

AP在接入 PLMN网络时，需要和 PLMN网络的安全网关之间建立安全隧 道。 建立安全隧道的方法可以采用网络密钥交换（IKE ) v2协议。 PLMN网络 对 AP设备的认证可以在建立安全隧道的过程中完成。

若釆用这种方式， 则在 AP设备中保存密钥 K和设备身份 IDap;在 PLMN 网络中有保存 AP信息的服务器，该服务器上也保存 AP的设备身份 IDap和密 钥！^ 不同的 AP设备使用不同设备身份 IDap, 且一般情况下使用不同的密钥 K。该保存 AP信息的服务器可以与安全网关或 AAA服务器处于同一个实体中， 或作为一个单独的实体。 当 AP和 PLMN网络的安全网关建立安全隧道时， 该 AP上报其设备身份 IDap以及根据 IDap, 密钥 K和其他参数计算得到的证明； 安全网关验证该 AP设备是否合法。

若安全网关与保存 AP信息的服务器不在同一个实体中， 则安全网关可以 和保存 AP信息的服务器进行交互， 验证该 AP设备是否合法。 在验证 AP设 备时， 安全网关可以向保存 AP信息的服务器请求密钥 K, 或者获得一个根据 密钥 K推演得到的密钥 K'。 安全网关利用 Κ或者 K'验证 ΑΡ是否合法。

安全网关也可以将 ΑΡ上报的设备身份 IDa 和证明发送给保存 AP信息的 服务器， 必要时将相关参数一起发送给保存 AP信息的服务器。 保存 AP信息 的服务器验证 AP设备是否合法， 并将验证结果发送给安全网关。

其中， AP上报的身份 IDa 以及证明可以携带在 IKEv2协议的 CP载荷中 传递， 或者分别携带在 CP载荷和 V载荷中传递。 上述方案的一个具体实施例是如图 1所示的实施例一， 该实施例为一个认 证接入点设备的系统， 该系统包括： 接入点 AP101和安全网关 102,该 AP 101中保存密钥 K和设备身份 IDap, 该安全网关 102自身作为保存 AP信息的服务器， 也保存 AP的设备身份 IDap 和密钥 K;

在步骤 S11中， AP101获得安全网关 102的 IP地址；

在步骤 S 12中， API 01和安全网关 102进行 IKE SA INIT交换，协商 IKE SA。 AP101发送其支持的安全关联信息 （SAil )、 DH交换值（ KEi )和 nonce ( Ni )给安全网关 102;

在步骤 S13中， 安全网关 102选择 IKE SA的安全关联， 将选择结果发送 给 AP101 , DH交换值（KEr )、 nonce ( Nr )也一起发送给 AP101。 这一步结 束后， 安全网关 102和 AP101协商完成 IKE SA。 其中， 为了完成对 AP设备 的认证， 安全网关 102在这条消息中携带 CP载荷， 向 AP请求其版本信息。

在步骤 S14中， AP101和安全网关 102开始进行 IPsec安全关联的协商。 在安全关联的协商过程中， AP101和安全网关 102利用 EAP AKA/SIM进行交 互认证。 API 01发送 AP的身 ( ID of AP,根据 AP中插入的 USIM卡中的 IMSI 推导出来 NAI格式的身份，与前述 AP的设备身份 IDap不同）、证书请求（ CERT REQUEST, 请求安全网关的证书）、 内网 IP地址请求（携带在 CP载荷中， 用 于请求安全网关给其分配运维管理域的内网 IP地址， 可选）、 AP支持的安全 关联信息 （SAi2 )和策略选择符（TSi, TSr )。

其中， 为了完成对 AP设备的认证， AP101还在该步骤携带 CP载荷和 /或 V载荷作为安全网关 102在步骤 S13中发送的 CP载荷的响应。 AP101利用其 保存的 IDap、 密钥 K以及其他参数计算得到证明。 IDap和证明可以携带在 CP 载荷中发送； 也可以将 IDap携带在 CP载荷中发送， 将证明携带在 V载荷中 发送； 还可以将 IDap和证明分别携带在两个不同的 CP载荷中发送。 当证明和 IDap一起携带在 CP载荷中发送时， 安全网关 102需要区分 CP载荷中哪些是 IDa 部分， 哪些是证明部分。 一种简单的区分方法是将 IDa 载荷和证明载荷 使用某个特殊的标识符分隔开来。 当 IDap 和证明分别携带在两个不同的 CP 载荷中发送时， 安全网关需要区分两个 CP载荷中哪个携带了 IDap, 哪个携带 了证明。 附图 1中描述的是 IDap和证明分别携带在 CP载荷和 V载荷中发送 的情况。 计算证明的参数包括： 验证密钥， 设备身份和 /或 IKE交互过程交互的随 机值， 具体地， 计算证明的参数可以是： 验证密钥， 或者是验证密钥和接入点 设备身份， 或者是验证密钥和 IKE交互过程交互的随机值， 或者是验证密钥以 及接入点设备身份， 以及 IKE交互过程交互的随机值获取证明。 计算证明的方 法可以是： 证明 = KDF ( IDap, K, Ni, Nr ); 或证明 = KDF ( IDap, KDF ( K, ID of SG ), Ni, Nr )。 其中， KDF (参数 1 , 参数 2, …）表示计算证明的算法， ID of SG是安全网关的身份。

在步骤 S15中，安全网关 102认证 AP设备是否合法。 因为在本实施例中， 安全网关 102自身就作为保存 AP信息的服务器， 因此该安全网关 102可以单 独认证 AP设备。 认证方法为：

安全网关 102根据保存的密钥 K或根据密钥 K推演得到的密钥 K' = KDF ( K, ... )认证 AP设备是否合法。 安全网关 102可以釆用和 AP101相同的方 式计算证明，并将计算得到的证明和 AP101发送的证明比较，如果两者相同则 说明 AP设备合法。

本实施例中， 通过在 AP101和安全网关 102共同保存密钥 K和！ Dap, 并 利用现有流程， 在步骤 S13中由安全网关 102向 AP101请求版本信息， AP101 则在步骤 S14中响应相关参数， 使得安全网关 102可以认证该 AP设备。 该系 统在运行时对现有流程影响较小， 能比较方便地实现对 AP设备的认证。 上述方案的另一个具体实施例是如图 2所示的实施例二， 该实施例为一个 认证接入点设备的系统， 该系统包括：

接入点 AP201、 安全网关 202和保存 AP信息的服务器 203 , 该 AP 201中 保存密钥 K和设备身份 IDap, 该保存 AP信息的服务器 203也保存 AP的设备 身份 IDap和密钥 K。该保存 AP信息的服务器 203与安全网关 202不在同一个 实体中， 但保存 AP信息的服务器 203可以与 AAA服务器处于同一个实体中。

在步骤 S21中， AP201获得安全网关 202的 IP地址；

在步骤 S22中， AP201和安全网关 202进行 IKE SA INIT交换，协商 IKE SA。 AP201发送其支持的安全关联信息 （SAil )、 DH交换值（KEi )和 nonce ( Ni )给安全网关 202; 在步骤 S23中， 安全网关 202选择 IKE SA的安全关联， 将选择结果发送 给 AP201 , DH交换值（KEr )、 nonce ( Nr )也一起发送给 AP201。 这一步结 束后， 安全网关 202和 AP201协商完成 IKE SA。 其中， 为了完成对 AP设备 的认证， 安全网关 202在这条消息中携带 CP载荷， 向 AP请求其版本信息。

在步骤 S24中 , AP201和安全网关 202开始进行 IPsec安全关联的协商。 在安全关联的协商过程中， AP201和安全网关 202利用 EAP AKA/SIM进行交 互认证。 AP201发送 AP的身 ( ID of AP ,根据 AP中插入的 USIM卡中的 IMSI 推导出来 NAI格式的身份，与前述 AP的设备身份 IDap不同）、证书请求（ CERT REQUEST, 请求安全网关的证书）、 内网 IP地址请求（携带在 CP载荷中， 用 于请求安全网关给其分配运维管理域的内网 IP地址， 可选）、 AP支持的安全 关联信息 （SAi2 )和策略选择符（TSi, TSr )。

其中， 为了完成对 AP设备的认证， AP201还在该步骤携带 CP载荷和 /或 V载荷作为安全网关 202在步骤 S23中发送的 CP载荷的响应。 AP201利用其 保存的 IDap、 密钥 K以及其他参数计算得到证明。 IDap和证明可以携带在 CP 载荷中发送； 也可以将 IDap携带在 CP载荷中发送， 将证明携带在 V载荷中 发送； 还可以将 IDap和证明分别携带在两个不同的 CP载荷中发送。 当证明和 IDap一起携带在 CP载荷中发送时， 安全网关 202需要区分 CP载荷中哪些是 IDa 部分， 哪些是证明部分。 一种简单的区分方法是将 IDa 载荷和证明载荷 使用某个特殊的标识符分隔开来。 当 IDap 和证明分别携带在两个不同的 CP 载荷中发送时， 安全网关需要区分两个 CP载荷中哪个携带了 IDap, 哪个携带 了证明。 附图 2中描述的是 IDap和证明携带在同一个 CP载荷中发送的情况。

计算证明的参数包括： 验证密钥， 设备身份和 /或 IKE交互过程交互的随 机值， 具体地， 计算证明的参数可以是： 验证密钥， 或者是验证密钥和接入点 设备身份， 或者是验证密钥和 IKE交互过程交互的随机值， 或者是验证密钥以 及接入点设备身份， 以及 IKE交互过程交互的随机值获取证明。 计算证明的方 法可以是： 证明 = KDF ( IDap, K, Ni, Nr ); 或证明 = KDF ( IDap, KDF ( K, ID of SG ), Ni, Nr )。 其中， KDF (参数 1 , 参数 2 , …）表示计算证明的算法， ID of SG是安全网关的身份。

在步骤 S25中，安全网关 202认证 AP设备是否合法。 因为在本实施例中， 安全网关 202 自身没有保存 AP信息， 因此该安全网关 202与保存 AP信息的 服务器 203交互认证 AP设备。 认证方法为：

安全网关 202向保存 AP信息的服务器 203请求密钥 K或根据密钥 K推演 得到的密钥 K' = KDF ( K, ... )。 保存 AP信息的服务器 203将密钥 K或者 K' 发送给安全网关 202。安全网关 202利用密钥 K或者 K'认证 AP设备是否合法。 安全网关 202可以釆用和 AP201相同的方式计算证明，并将计算得到的证明和 AP201发送的证明比较， 如果两者相同则说明 AP设备合法。

安全网关 202与保存 AP信息的服务器 203交互认证 AP设备还可以通过 以下方法进行：

安全网关 202将 AP201发来的设备身份 IDap, 证明以及其他参数发送给 保存 AP信息的服务器 203。保存 AP信息的服务器 203认证 AP设备是否合法， 并将认证结果发送给安全网关 202。 保存 AP信息的服务器 203 可以釆用和 AP201相同的方式计算证明， 并将计算得到的证明和 AP201发送的证明比较， 如果两者相同则说明 AP设备合法。

本实施例中，通过在 AP201和保存 AP信息的服务器 203共同保存密钥 K 和 IDap, 在步骤 S23中由安全网关 202向 AP201请求版本信息， AP201则在 步骤 S24中响应相关参数，使得安全网关 202可以和保存 AP信息的服务器 203 交互认证该 AP设备。 该系统在运行时对现有流程影响较小， 且不需要对安全 网关本身进行大的升级， 实现相对简单。 该实施例所述方案也能比较方便地实 现对 AP设备的认证。 除了在建立安全隧道的过程中对 AP设备进行认证之外， PLMN网络还可 以利用 IKEv2协议中规定的信息交换过程对 AP设备进行认证。

若釆用这种方式， 则在 AP设备中保存密钥 K和设备身份 IDap;在 PLMN 网络中有保存 AP信息的服务器，该服务器上也保存 AP的设备身份 IDap和密 钥 K。 不同的 AP设备使用不同设备身份 IDap , 且一般情况下使用不同的密钥 K。该保存 AP信息的服务器可以与安全网关或 AAA服务器处于同一个实体中， 或者保存 AP信息的服务器是 AAA服务器的一个功能单元， 或作为一个单独 的实体。 当 AP和安全网关建立 IPsec隧道后， AP利用 IKEv2协议中规定的信 息交换过程上报其设备身份 IDap以及根据 IDap, 密钥 K和其他参数计算得到 的证明； 安全网关验证该 AP设备是否合法。

若安全网关与保存 AP信息的服务器不在同一个实体中， 则安全网关可以 和保存 AP信息的服务器进行交互， 验证该 AP设备是否合法。 在验证 AP设 备时， 安全网关可以向保存 AP信息的服务器请求密钥 K, 或者获得一个根据 密钥 K推演得到的密钥 K'。 安全网关利用 Κ或者 K'验证 ΑΡ是否合法。

安全网关也可以将 ΑΡ上报的设备身份 IDa 和证明发送给保存 AP信息的 服务器， 必要时将相关参数一起发送给保存 AP信息的服务器。 保存 AP信息 的服务器验证 AP设备是否合法， 并将验证结果发送给安全网关。

其中， AP上报的身份 IDa 以及证明可以携带在 IKEv2协议的 CP载荷中 传递， 或者分别携带在 CP载荷和 V载荷中传递。 上述方案的一个具体实施例是如图 3所示的实施例三， 该实施例为一个认 证接入点设备的系统， 该系统包括：

接入点 AP301、 安全网关 302和 AAA服务器 303 , 该 AP 301中保存密钥 K和设备身份 IDap,该 AAA服务器 303作为保存 AP信息的服务器也保存 AP 的设备身份 IDa 和密钥 K。

在步骤 S31中， AP301和安全网关 302建立 IPsec隧道；

在步骤 S32中，安全网关 302利用 IKEv2协议中规定的信息交换过程发送 IKE消息给 AP301 , 消息中携带 CP载荷， 向 AP301请求其版本信息。

在步骤 S33中， AP301携带 CP载荷和 /或 V载荷作为对安全网关 302在步 骤 S32中发送的 CP载荷的响应。 AP301利用其保存的 IDap、密钥 K以及其他 参数计算得到证明。 IDap和证明可以携带在 CP载荷中发送； 也可以将 IDap 携带在 CP载荷中发送， 将证明携带在 V载荷中发送； 还可以将 IDap和证明 分别携带在两个不同的 CP载荷中发送。 当证明和 IDap—起携带在 CP载荷中 发送时，安全网关 302需要区分 CP载荷中哪些是 IDap部分，哪些是证明部分。 一种简单的区分方法是将 IDap载荷和证明载荷使用某个特殊的标识符分隔开 来。 当 IDap和证明分别携带在两个不同的 CP载荷中发送时， 安全网关 302 需要区分两个 CP载荷中哪个携带了 IDap, 哪个携带了证明。 附图 3中描述的 是 IDap和证明分别携带在两个不同的 CP载荷中发送的情况。

计算证明的参数包括： 验证密钥， 设备身份和 /或 IKE交互过程交互的随 机值， 具体地， 计算证明的参数可以是： 验证密钥， 或者是验证密钥和接入点 设备身份， 或者是验证密钥和 IKE交互过程交互的随机值， 或者是验证密钥以 及接入点设备身份， 以及 IKE交互过程交互的随机值获取证明。 计算证明的方 法可以是： 证明 = KDF ( IDap, K, IKE key ); 或证明 = KDF ( IDap, KDF ( K, ID of SG ), IKE key )。 其中， KDF (参数 1 , 参数 2, ... )表示计算证明的算 法， ID of SG是安全网关的身份， IKE key是 IKE协商结束后， AP和安全网 关之间共享的 IKE SA所包含的密钥。 IKE key为 IKE过程中基于 IKE交互过 程交互的随机值生成的密钥。

在步骤 S34中，安全网关 302认证 AP设备是否合法。 因为在本实施例中， 安全网关 302 自身没有保存 AP信息， 因此该安全网关 302与保存 AP信息的 服务器， 即 AAA服务器 303交互认证 AP设备。 认证方法为：

安全网关 302向 AAA服务器 303请求密钥 K或根据密钥 K推演得到的密 钥 K' = KDF ( K, ... )。 AAA服务器 303将密钥 K或者 K'发送给安全网关 302。 安全网关 302利用密钥 K或者 K，认证 AP设备是否合法。安全网关 302可以釆 用和 AP301相同的方式计算证明， 并将计算得到的证明和 AP301发送的证明 比较， 如果两者相同则说明 AP设备合法。

安全网关 302与 AAA服务器 303交互认证 AP设备还可以通过以下方法 进行：

安全网关 302将 AP301发来的设备身份 IDap, 证明以及其他参数发送给 AAA服务器 303。 AAA服务器 303认证 AP设备是否合法， 并将认证结果发 送给安全网关 302。 AAA服务器 303可以采用和 AP301相同的方式计算证明， 并将计算得到的证明和 AP301发送的证明比较，如果两者相同则说明 AP设备 合法。

本实施例中， 通过在 AP301和 AAA服务器 303共同保存密钥 K和 IDap, 并利用 IKEv2协议中规定的信息交换流程， 在步骤 S32中由安全网关 302向 AP301请求版本信息， AP301 则在步骤 S33 中响应相关参数， 使得安全网关 302可以和 AAA服务器 303交互认证该 AP设备。该系统在运行时利用现有协 议规定的流程完成对 AP设备的认证，且不需要对安全网关本身进行大的升级， 实现相对简单。 该实施例所述方案也能比较方便地实现对 AP设备的认证。 上面描述的实施例中， 都是基于共享密钥机制对 AP设备进行认证。 实际 上还可以基于证书机制对 AP设备进行认证。 AP的证书可以在证书载荷中携 带， AP 利用证书计算证明。 计算方法可以是利用证书对消息进行签名操作。 并将签名的结果作为证明。 证明可以携带在证书载荷中传递。 安全网关验证 AP证书的合法性； 并利用证书验证证明是否正确， 具体方法可以是安全网关 利用证书验证签名是否正确。

基于证书机制对 AP设备进行认证的一个具体实施例是如图 4所示的实施 例四， 该实施例为一个认证接入点设备的系统， 该系统包括：

接入点 AP401、 安全网关 402, 该 AP 401中保存 AP的证书。

在步骤 S41中， AP401和安全网关 402建立 IPsec隧道；

在步骤 S42中，安全网关 402利用 IKEv2协议中规定的信息交换过程发送 IKE消息给 AP401 , 消息中携带证书请求载荷， 向 AP301请求其证书信息。

在步骤 S43中， AP401将其证书和证明发送给安全网关。 证书携带在证书 载荷中发送。 证明携带在 CP载荷或 V载荷中发送。 证明的计算方式可以是 AP利用证书对消息进行签名操作， 将获得的签名作为证明。 附图 4中描述的 是证明携带在 V载荷中的情况。

在步骤 S44中， 安全网关 402验证 AP的证书的合法性。 安全网关根据证 书验证证明是否正确， 具体方法可以是安全网关 402利用证书验证签名是否正 确。

本实施例中， 通过利用 IKEv2 协议中规定的信息交换流程， 在步骤 S42 中由安全网关 402向 AP401请求证书信息， AP401则在步骤 S43中响应相关 参数， 使得安全网关 402可以认证该 AP设备。 该系统在运行时利用现有协议 规定的流程完成对 AP设备的认证， 且不需要对安全网关本身进行大的升级， 实现相对简单。 该实施例所述方案也能比较方便地实现对 AP设备的认证。 上述实施例中均是利用现有的 IKEv2 协议中规定的相关流程来具体实现 本发明目的。 目前的 IKEv2协议要求上述验证信息的发送需要基于网络侧的请 求， 因此在接入点设备在发送验证信息之前， 需要网络侧向该接入点设备请求 验证信息。但同领域技术人员可以知道， 如果对 IKEv2协议中信息交互双方的 能力进行增强， 也可以让接入点设备在没有接收请求的情况下主动发送验证信 息。 因此， 从实现本发明的目的这个角度来看， 网络侧向接入点设备请求验证 信息并非是必不可少的步骤。

此外，当网络侧对接入点设备的认证不在 IKEv2协议规定的流程中完成设 备认证， 而在其他流程中或釆用专门的流程来认证设备的话， 也可能由接入点 设备主动向网络侧发送验证信息， 而并不需要网络侧先向接入点设备请求验证 信息。 根据上面的说明， 除上述实施例所述方案外， 还可以通过其他途径对 AP 设备进行认证。 例如， AP需要从 PLMN网络中的某个设备或某些设备下载相 应的配置信息才能正常工作， PLMN网络对 AP设备的认证可以在下载配置信 息的过程中完成。

具体来说， AP和 PLMN网络的安全网关建立安全隧道后 , AP将和 PLMN 网络的服务器建立连接， 并从服务器下载相关的配置信息。 PLMN网络可以在 AP和服务器进行交互时对 AP设备进行认证。 如： AP和服务器之间可能需要 建立 TLS连接， 那么 AP可以和服务器在建立 TLS连接时进行设备认证。 当 设备认证基于共享密钥时， TLS连接釆用基于共享密钥的方式建立， 当设备认 证基于证书时， TLS连接可以釆用基于证书的方式建立。 步骤简要描述如下：

AP与为其提供服务的网管系统之间发起安全连接的建立；

在建立安全连接的过程中， AP利用自身保存的设备身份 IDap、 证书或密 钥 K , 与网管系统进行设备认证；

设备认证成功后， AP和为其提供服务的网管系统之间完成安全连接的建 立。 本发明的实施例五提供了一种接入点设备， 如图 5所示， 该设备包括： 保存单元 501 , 用于保存验证密钥和接入点设备的设备身份， 或用于保存 验证接入点设备需要的证书， 并提供给计算单元 502和发送单元 503;

计算单元 502, 根据保存单元 501提供的验证密钥和设备身份， 或根据保 存单元 501提供的证书计算证明， 并将该证明提供给发送单元 503;

发送单元 503 , 用于发送所述设备身份和证明， 或用于发送所述证书和证 明。

其中， 计算单元 502计算证明的方法， 可以参照前面实施例中的方法。 若 在建立安全隧道的过程中，或利用 IKEv2协议规定的信息交换流程对接入点设 备进行认证， 则发送单元 503将在相应的载荷中携带设备身份和证明， 或证书 和证明。 具体携带方法可以参照前面实施例中的方案。 本发明的实施例六提供了一种安全网关， 如图 6所示， 该安全网关包括： 接收单元 601 , 用于接收接入点设备发送的验证信息；

认证单元 602, 用于根据该验证信息认证接入点设备， 或与保存接入点设 备信息的服务器交互认证接入点设备。

具体地， 接收单元 601接收的验证信息包括： 设备身份和证明， 其中， 证 明是接入点设备根据验证密钥， 或者根据验证密钥和接入点设备身份， 或者根 据验证密钥和 IKE交互过程交互的随机值，或者根据验证密钥以及接入点设备 身份， 以及 IKE交互过程交互的随机值获取的。 其中， 向接入点设备请求验证 信息和接收接入点设备发送的验证信息可以在建立安全隧道的过程中， 或利用 IKEv2协议规定的信息交换流程完成。当存在保存接入点设备信息的服务器时， 该安全网关的认证单元 602可以通过与保存接入点设备信息的服务器交互认证 接入点设备； 在某些情况下， 该安全网关也可以单独认证接入点设备。 具体实 现方案可以参照前面的实施例。 本发明的实施例七提供了一种保存接入点设备信息的服务器，如图 7所示， 该服务器包括：

接收单元 701 , 用于接收安全网关发送的密钥请求；

保存单元 702, 用于保存验证密钥和接入点设备的设备身份， 并根据接收 单元 701接收的密钥请求获取相应的验证密钥提供给发送单元 703; 发送单元 703 , 用于将保存单元 702提供的验证密钥发送给安全网关。 进一步， 如图 8所示， 本发明的实施例八提供了另一种保存接入点设备信 息的服务器， 此时， 相对于实施例 7 , 该服务器还包括衍生单元 704 , 具体地， 接收单元 701 , 用于接收安全网关发送的密钥请求；

保存单元 702, 用于保存验证密钥和接入点设备的设备身份， 并根据接收 单元 701接收的密钥请求获取相应的验证密钥提供给衍生单元 704;

衍生单元 704, 用于根据保存单元 702提供的验证密钥生成衍生密钥， 并 提供给发送单元 703 ;

发送单元 703 , 用于将衍生单元 704提供的衍生密钥发送给安全网关。 本发明的实施例九提供了又一种保存接入点设备信息的服务器，如图 9所 示， 该服务器包括：

接收单元 701 , 用于接收安全网关发送的认证接入点设备需要的参数， 并 提供给保存单元 702和认证单元 705;

保存单元 702, 用于保存验证密钥和接入点设备的设备身份， 并根据接收 单元 701接收的参数获取相应的验证密钥， 设备身份和 /或 IKE交互过程交互 的随机值提供给认证单元 705;

认证单元 705 , 用于根据所述接收单元 701和保存单元 702提供的参数认 证接入点设备， 并通知发送单元 703发送认证结果；

发送单元 703 , 用于根据认证单元 705的指示发送认证结果。

本发明实施例提供的保存接入点设备信息的服务器可以和安全网关或 AAA服务器位于同一个实体中， 或作为一个单独的实体。

与现有技术相比， 本发明的实施例具有以下优点：

通过向接入点设备请求验证信息， 来认证接入点设备， 从而解决现有技术 中缺少对接入点设备进行认证的办法所带来的问题。 通过以上的实施方式的描述， 本领域的技术人员可以清楚地了解到本发明 可借助软件加必需的通用硬件平台的方式来实现， 当然也可以通过硬件， 但艮 多情况下前者是更佳的实施方式。 基于这样的理解， 本发明的技术方案本质上 或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来。 该计算机 软件产品可以保存在一个保存介质中， 包括若干指令用以使得一台网络设备执 行本发明各个实施例所述的方法。

以上公开的仅为本发明的几个具体实施例， 但是， 本发明并非局限于此， 任何本领域的技术人员能思之的变化都应落入本发明的保护范围。

Claims

权 利 要 求 书

1、 一种认证接入点设备的方法， 其特征在于， 包括：

接收所述接入点设备发送的验证信息；

根据所述验证信息认证所述接入点设备。

2、 如权利要求 1所述的认证接入点设备的方法， 其特征在于，

所述验证信息具体为： 所述接入点设备的设备身份， 以及所述接入点设备 根据验证密钥获取的证明。

3、 如权利要求 2所述的认证接入点设备的方法， 其特征在于，

所述接入点设备发送的证明由所述接入点设备根据方法一获取；

所述方法一具体为： 根据验证密钥， 或者根据所述验证密钥和接入点设备 身份， 或者根据所述验证密钥和 IKE交互过程交互的随机值， 或者根据所述验 证密钥以及所述接入点设备身份， 以及所述 IKE交互过程交互的随机值获取。

4、 如权利要求 3所述的认证接入点设备的方法， 其特征在于，

所述根据所述验证信息认证所述接入点设备具体为： 根据所述方法一获取 证明， 并比较该证明与所述接入点设备发送的证明是否相同。

5、 如权利要求 4所述的认证接入点设备的方法， 其特征在于，

当所述验证密钥保存在保存接入点设备信息的服务器中时， 所述根据所述 验证信息验证所述接入点设备具体为：

向所述保存接入点设备信息的服务器请求并获取验证密钥或根据该验证 密钥获取的衍生密钥， 根据所述方法一获取证明， 并比较该证明与所述接入点 设备发送的证明是否相同； 或者，

将所述设备身份、证明以及其他用于验证的参数发送给所述保存接入点设 备信息的服务器； 接收所述保存接入点设备信息的服务器发送的该服务器根据 所述方法一获取证明， 验证所述接入点设备的认证结果。

6、 如权利要求 5所述的认证接入点设备的方法， 其特征在于，

所述保存接入点设备信息的服务器与 AAA服务器位于同一实体中；或者， 所述保存接入点设备信息的服务器位于所述 AAA服务器中。

7、 如权利要求 1-6所述的认证接入点设备的方法， 其特征在于， 所述接入点设备发送的设备身份， 以及所述接入点设备计算得到的证明携 带在同一个 CP载荷中； 或者

所述接入点设备发送的设备身份， 以及所述接入点设备计算得到的证明携 带在不同的 CP载荷中； 或者

所述接入点设备发送的设备身份携带在 CP载荷中， 所述接入点设备计算 得到的证明携带在 V载荷中。

8、 如权利要求 1 所述认证接入点设备的方法， 其特征在于， 所述验证信 息具体为： 所述接入点设备的证书以及根据该证书获取的证明。

9、 如权利要求 8所述的认证接入点设备的方法， 其特征在于， 所述接入 点设备发送的证书携带在证书载荷中， 所述证明携带在 CP载荷或 V载荷中。

10、 如权利要求 8或 9所述的认证接入点设备的方法， 其特征在于， 所述 计算证明的方法为： 利用所述证书对消息进行签名操作， 将签名的结果作为证 明。

11、如权利要求 1-10中任意权利要求所述的认证接入点设备的方法，其特 征在于， 所述接收接入点设备发送的验证信息之前还包括：

向所述接入点设备请求验证信息。

12、如权利要求 1-11任意一项所述的认证接入点设备的方法，其特征在于， 所述接收所述接入点设备发送的验证信息是在和所述接入点设备建立安 全隧道的过程中完成； 或者，

所述接收所述接入点设备发送的验证信息是利用 IKEv2 协议中规定的信 息交换过程完成。

13、 一种认证接入点设备的系统， 其特征在于， 包括： 接入点设备和安全 网关；

所述接入点设备向所述网络侧发送验证信息；

所述安全网关根据所述验证信息认证所述接入点设备。

14、 如权利要求 13所述的认证接入点设备的系统， 其特征在于， 所述验证信息具体为： 所述接入点设备的设备身份， 以及所述接入点设备 根据验证密钥获取的证明；

所述安全网关根据所述验证信息认证所述接入点设备具体为： 安全网关根 据方法二认证所述接入点设备； 保存的验证密钥， 接入点设备身份和 /或 IKE 交互过程交互的随机值认证所述接入点设备； 或者，

所述系统还包括保存接入点设备信息的服务器， 所述安全网关根据所述验 证信息认证所述接入点设备具体为： 所述安全网关从保存接入点设备信息的服 务器获取验证密钥或衍生密钥，并根据所述方法二验证所述接入点设备，或者， 所述安全网关将所述验证信息发送给保存接入点设备信息的服务器， 并接收保 存接入点设备信息的服务器根据所述方法二验证所述接入点设备的验证结果； 所述方法二具体为：根据验证密钥，或者根据验证密钥和接入点设备身份， 或者根据验证密钥和 IKE交互过程交互的随机值，或者根据验证密钥以及接入 点设备身份， 以及 IKE交互过程交互的随机值获取证明， 并比较该证明与所述 接入点设备发送的证明是否相同。

15、 如权利要求 13所述的认证接入点设备的系统， 其特征在于， 所述验证信息具体为： 接入点设备的证书以及根据该证书获取的证明。

16、 一种接入点设备， 其特征在于， 包括：

保存单元， 用于保存验证密钥和接入点设备的设备身份， 或用于保存验证 接入点设备需要的证书， 并提供给计算单元和发送单元；

计算单元， 根据保存单元提供的验证密钥和设备身份， 或根据保存单元提 供的证书计算证明， 并将该证明提供给发送单元；

发送单元， 用于发送所述设备身份和证明， 或用于发送所述证书和证明。

17、 一种安全网关， 其特征在于， 包括：

接收单元， 用于接收接入点设备发送的验证信息；

认证单元， 用于根据所述验证信息认证接入点设备， 或与保存接入点设备 信息的服务器交互认证接入点设备。

18、 一种保存接入点设备信息的服务器， 其特征在于， 包括：

接收单元， 用于接收安全网关发送的密钥请求；

保存单元， 用于保存验证密钥和接入点设备的设备身份， 并根据接收单元 接接收的密钥请求获取相应的验证密钥提供给发送单元；

发送单元， 用于将保存单元提供的验证密钥发送给安全网关。

19、 一种保存接入点设备信息的服务器， 其特征在于， 包括： 接收单元， 用于接收安全网关发送的密钥请求；

保存单元， 用于保存验证密钥和接入点设备的设备身份， 并根据接收单元 接接收的密钥请求获取相应的验证密钥提供给衍生单元；

衍生单元， 用于根据保存单元提供的验证密钥生成衍生密钥， 并提供给发 送单元；

发送单元， 用于将衍生单元提供的衍生密钥发送给安全网关。

20、 一种保存接入点设备信息的服务器， 其特征在于， 包括：

接收单元， 用于接收安全网关发送的认证接入点设备需要的参数， 并提供 呆存单元和认证单元；

保存单元， 用于保存验证密钥和接入点设备的设备身份， 并根据接收单元 接接收的参数获取相应的验证密钥， 设备身份和 /或 IKE交互过程交互的随机 值提供给认证单元；

认证单元， 用于根据所述接收单元和保存单元提供的参数认证接入点设 备， 并通知发送单元发送认证结果；

发送单元， 用于根据认证单元的指示发送认证结果。