WO2009155807A1 - 预认证的方法、认证系统和装置 - Google Patents

预认证的方法、认证系统和装置 Download PDF

Info

Publication number
WO2009155807A1
WO2009155807A1 PCT/CN2009/071572 CN2009071572W WO2009155807A1 WO 2009155807 A1 WO2009155807 A1 WO 2009155807A1 CN 2009071572 W CN2009071572 W CN 2009071572W WO 2009155807 A1 WO2009155807 A1 WO 2009155807A1
Authority
WO
WIPO (PCT)
Prior art keywords
authentication
visited network
terminal
aaa server
information
Prior art date
Application number
PCT/CN2009/071572
Other languages
English (en)
French (fr)
Inventor
潘云波
Original Assignee
华为技术有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 华为技术有限公司 filed Critical 华为技术有限公司
Priority to EP09768732A priority Critical patent/EP2282564A4/en
Publication of WO2009155807A1 publication Critical patent/WO2009155807A1/zh
Priority to US12/979,085 priority patent/US8407474B2/en

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0807—Network architectures or network communication protocols for network security for authentication of entities using tickets, e.g. Kerberos
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0815—Network architectures or network communication protocols for network security for authentication of entities providing single-sign-on or federations
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0869—Network architectures or network communication protocols for network security for authentication of entities for achieving mutual authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H04W12/062—Pre-authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W36/00—Hand-off or reselection arrangements
    • H04W36/0005—Control or signalling for completing the hand-off
    • H04W36/0011—Control or signalling for completing the hand-off for data sessions of end-to-end connection
    • H04W36/0033—Control or signalling for completing the hand-off for data sessions of end-to-end connection with transfer of context information
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W36/00—Hand-off or reselection arrangements
    • H04W36/14—Reselecting a network or an air interface
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W8/00—Network data management
    • H04W8/26—Network addressing or numbering for mobility support

Definitions

  • the present invention relates to the field of mobile communications, and in particular, to a method, an authentication system, and an apparatus for pre-authentication.
  • MN Mobile Node, also known as mobile terminal
  • the MN will inevitably switch, that is, the MN's network access point changes with the MN's movement.
  • the switch can be divided into 2 Layer switching and Layer 3 switching, where Layer 3 switching can be divided into intra-domain handovers (the old Attach Point and the new Attach Point are within the same AAA (Authentication ⁇ Authorization and Accounting) server jurisdiction. ) and inter-domain switching (the old Attach Point and the new Attach Point are in different AAA jurisdictions), a complete Layer 3 handover process consists of the following steps: The MN leaves the original Attach Point and switches to the new Attach Point. Perform a new network access certification and establish a corresponding configuration relationship at the new Attach Point.
  • the interrupt or delay generated by the handover is reduced by means of fast re-authentication.
  • Fast re-authentication inherits the authorization or configuration information generated by the previous authentication in the identity authentication process of both parties. Since there is no need to regenerate the authorization and configuration information, the interaction required for fast re-authentication and the work done are less than ordinary. Certification saves certification time.
  • the fast re-authentication is mainly applied in the 3-layer intra-domain handover. The specific process is as follows:
  • the MN When the MN first performs the network access authentication, it will jointly generate information for fast re-authentication with HAAA (Home AAA, the home AAA server, that is, the AAA server with which the MN is contracted), and the information may include an ID dedicated to fast re-authentication and Key, etc.
  • HAAA Home AAA, the home AAA server, that is, the AAA server with which the MN is contracted
  • the information may include an ID dedicated to fast re-authentication and Key, etc.
  • HAAA sends the fast re-authentication information to the VAAA of the visited network (Visit AAA, visit the domain AAA server, that is, the AAA server of the visited network when the MN is in the field);
  • the MN will provide fast re-authentication information to the VAAA of the visited network through the new Attach Point, and the VAAA re-authenticates the MN according to the fast re-authentication information pre-sent by the HAAA.
  • the fast re-authentication mode when the MN performs handover, the cost of the VAAA and HAAA on the link after the handover and the number of interactions between the two are reduced.
  • the fast re-authentication mode requires an existing security relationship between the MN and the VAAA.
  • the fast re-authentication method does not apply to the Layer 3 layer because the new VAAA does not exist with the MN. Inter-domain switching.
  • the embodiment of the present invention provides a pre-authentication method, an authentication system, and a device.
  • the technical solution is as follows:
  • the embodiment of the invention provides a method for pre-authentication, and the method includes:
  • the terminal When the terminal enters the visited network outside the home network, the terminal acquires the identity information of the visited network; the terminal selects the first pre-authentication key material corresponding to the visited network according to the identity information of the visited network.
  • the first authentication ticket corresponding to the visited network the first authentication ticket carries the first pre-authentication key material; the authentication, authorization, and accounting AAA server of the visited network and the terminal according to the first The pre-authentication key materials authenticate each other.
  • the embodiment of the invention further provides a method for pre-authentication, the method comprising:
  • the terminal When the terminal enters the visited network outside the home network, the terminal acquires the identity information of the visited network; and generates a second pre-authentication key according to the identity information of the visited network;
  • the terminal and the authentication, authorization, and accounting of the visited network AAA server perform identity authentication according to the second pre-authentication key.
  • An embodiment of the present invention provides an authentication system, where the authentication system includes an authentication, authorization, and accounting AAA server of the terminal and the visited network:
  • the terminal is configured to: when entering a visited network other than the home network, acquire identity information of the visited network, select a first pre-authentication key material corresponding to the visited network according to the identity information of the visited network, and the And accessing the first authentication ticket corresponding to the network, where the first authentication ticket carries the first pre-authentication key material, and performs identity authentication on the AAA server of the visited network according to the pre-authentication key material;
  • the AAA server of the visited network is configured to perform identity authentication on the terminal according to the first pre-authentication key material.
  • the embodiment of the invention provides a terminal device, where the terminal specifically includes:
  • An obtaining module configured to acquire identity information of the visited network when the terminal enters a visited network other than the home network
  • a selection module configured to select, according to the identity information of the visited network acquired by the acquiring module, the first pre-authentication key material corresponding to the visited network and the first authentication ticket corresponding to the visited network, the first authentication ticket Carrying the first pre-authentication key material;
  • the first authentication module is configured to perform identity authentication on the AAA server of the visited network according to the first pre-authentication key material selected by the selection module.
  • the embodiment of the present invention provides an AAA server for the authentication, authorization, and accounting of the visited network.
  • the AAA server of the visited network specifically includes a key acquisition module, configured to receive the first authentication information and the first authentication ticket sent by the terminal. After obtaining the first pre-authentication key material from the first authentication ticket;
  • a second generating module configured to generate second authentication information by using a rule that is the same as the first authentication information generated by the terminal, according to the first pre-authentication key material acquired by the key obtaining module;
  • a second determining module configured to determine whether the second authentication information generated by the second generating module is the same as the first authentication information sent by the terminal, and if yes, the AAA server of the visited network authenticates the terminal a third generation module, configured to generate third authentication information;
  • the third sending module is configured to send the third authentication information generated by the third generating module to the terminal.
  • An embodiment of the present invention further provides an authentication system, where the authentication system includes an authentication, authorization, and accounting AAA server of the terminal and the visited network:
  • the terminal is configured to: when entering a visited network other than the home network, acquire identity information of the visited network, generate a second pre-authentication key according to the identity information of the visited network, and according to the pre-authentication key pair
  • the AAA server of the visited network performs identity authentication
  • the AAA server of the visited network is configured to perform identity authentication on the terminal according to the second pre-authentication key.
  • the embodiment of the invention further provides a terminal device, where the terminal specifically includes:
  • An obtaining module configured to acquire identity information of the visited network when the terminal enters a visited network other than the home network
  • a first generating module configured to generate a second pre-authentication key according to the identity information of the visited network acquired by the acquiring module;
  • the first authentication module is configured to perform identity authentication on the AAA server of the visited network according to the second pre-authentication key generated by the first generation module.
  • the embodiment of the present invention further provides an AAA server device for the authentication, authorization, and accounting of the visited network, where the AAA server of the visited network specifically includes:
  • a second generating module configured to: after receiving the first authentication information sent by the terminal, generate the second authentication information according to the same rule that the terminal generates the first authentication information according to the pre-authentication key sent by the home AAA server;
  • a second determining module configured to determine whether the second authentication information generated by the second generating module is the same as the first authentication information sent by the terminal, and if yes, the AAA server of the visited network authenticates the terminal a third generation module, configured to generate third authentication information;
  • the second sending module is configured to send the third authentication information generated by the third generating module to the terminal.
  • the MN When the MN enters the visited network outside the home network, the MN performs network access authentication on the AAA server of the visited network according to the obtained authentication information, so that the AAA server of the visited network does not need to visit the HAAA when switching between domains. Authentication reduces the delay between inter-domain handovers.
  • Embodiment 1 is a flowchart of a method for pre-authentication provided by Embodiment 1 of the present invention
  • Embodiment 2 is a flowchart of another method for pre-authentication provided by Embodiment 2 of the present invention.
  • FIG. 3 is a schematic structural diagram of an authentication system according to Embodiment 3 of the present invention.
  • FIG. 4 is a schematic structural diagram of a terminal in an authentication system according to Embodiment 3 of the present invention.
  • FIG. 5 is a schematic structural diagram of an AAA server that visits a network in an authentication system according to Embodiment 3 of the present invention
  • FIG. 6 is a schematic structural diagram of an authentication system according to Embodiment 4 of the present invention
  • FIG. 7 is a schematic structural diagram of a terminal in an authentication system according to Embodiment 4 of the present invention.
  • FIG. 8 is a schematic structural diagram of an AAA server that visits a network in an authentication system according to Embodiment 4 of the present invention. detailed description
  • a trust relationship is established in advance between the MN and the AAA server of the visited network, thereby reducing the time required for the new network access authentication.
  • the HAAA sends an authentication ticket (Ticket) that can be used to access the visited network outside the home network, and the ticket includes the certificate issued by the HAAA, and is performed by the MN and the visited network.
  • an embodiment of the present invention provides a method for pre-authentication, which specifically includes:
  • the MN accesses the initial network access device, and performs access authentication to the HAAA through the network access device.
  • the access authentication can be performed directly to the HAAA.
  • the MN authenticates to the HAAA through the VAAA in the visited network.
  • the access authentication process is The prior art is not described here.
  • the HAAA determines whether the MN supports fast pre-authentication according to the AAA profile (AAA description information) of the pre-stored MN, and if yes, performs the following 102 to 113, where the AAA profile is in advance Stored in HAAA, including the identity of the MN, the services that the MN can enjoy, and restrictions (for example, whether the MN supports fast re-authentication).
  • AAA profile AAA description information
  • the network access device of the network where the MN is located determines whether there is a potential visited network around the network, that is, whether there are other networks with overlapping overlays. If yes, execute 103; otherwise, execute 117.
  • the network access device can determine whether there is a potential visited network around the network according to the underlying technology, for example, the perception of the surrounding signals and the planning of the network deployment.
  • the process is a prior art, and the current network access device can Do it, no longer detailed here.
  • the network access device sends a notification message to the HAAA according to the AAA protocol, where the notification message carries the identity information of the potential visited network.
  • the HAAA After receiving the notification message sent by the network access device, the HAAA generates a pre-authentic key material (pre-auth-key-file). For example, the RAAA may randomly select a set of data that meets the encryption requirement of the encryption algorithm as the pre- Auth-key-file.
  • the HAAA further includes:
  • the HAAA determines whether there is a security relationship between the home network and the visited network according to the identity information of the potential visited network in the notification message. If yes, the HAAA generates the pre-authentication key material; otherwise, the information between the home network and the visited network cannot be performed. Interaction.
  • the HAAA extracts the identity information of the potential visited network carried in the notification message, and encrypts the pre-authentication key material and related parameters according to the security relationship between the home network and each visited network to generate corresponding ticket key information.
  • the security relationship between the home network and the potential visiting network can be the home network and the potential visiting network.
  • the pre-shared key between the home network and the potential visited network or the public and private key of the potential visited network is represented by Kh-t in the pre-shared key between the pre-shared key and the potential visited network. Correct.
  • the parameters for generating the ticket key information include at least the following information: HAAA label (HAAA label), Target VAAA label (potential VAAA identifier), MN- ID (MN identity), MN profile (MN material) and lifetime (validity), where each message represents the following meaning: HAAA label and Target VAAA label are identity information that can identify the home network and the potential visited network, respectively; MN-ID indicates the identity of the MN; MN profile indicates the basic information of the MN and which service the MN can obtain; lifetime indicates the validity period of the ticket, and the ticket secret generated by encrypting the pre-auth-key-file and related parameters according to Kh-t
  • the key information is specifically expressed as follows:
  • Kh-t pre-auth-key-file, HAAA label, Target VAAA label, MN-ID, MN profile, lifetime
  • the HAAA sends the pre-authentication key material pre-auth-key-file, the authentication ticket ticket, and the identity information of the corresponding potential visited network to the MN.
  • the HAAA may encrypt the pre-auth-key-file, the ticket, and the identity information of the corresponding potential visited network through the key pair between the HAAA and the MN, and send the encrypted data. To the MN.
  • the MN When the MN enters the visited network outside the home network, the MN acquires the identity information of the visited network.
  • the MN can obtain the identity information of the visited network from the MAC (Media Access Control) message broadcasted by the network device in the newly visited visited network.
  • MAC Media Access Control
  • the MN selects a corresponding authentication ticket ticket according to the identity information of the visited network, and generates first authentication information according to the pre-authentication key material pre-auth-key-file.
  • the MN may perform the operation on the selected parameter according to the pre-auth-key-file to generate the first authentication information, and the parameter may be a randomly selected set of data.
  • the MN sends the generated first authentication information and the selected authentication ticket Ticket to the VAAAo of the visited network.
  • the MN after transmitting the first authentication information and the ticket to the VAAA, the MN also sends a parameter for generating the first authentication information to the VAAA.
  • the VAAA After receiving the ticket sent by the MN, the VAAA obtains the pre-authentication key material from the authentication ticket Ticket.
  • the specific process of obtaining pre-authentication key material from Ticket is as follows:
  • the pre-auth-key-file is obtained by decrypting the ticket key information in the ticket according to the HAAA label in the ticket and selecting the corresponding key.
  • the VAAA generates the second authentication information according to the same rule that the MN generates the first authentication information according to the pre-auth-key-file.
  • the VAAA determines whether the generated second authentication information is the same as the first authentication information sent by the MN. If the two are the same, it indicates that the VAAA authenticates the MN, and executes 114; otherwise, the process ends.
  • the VAAA of the visited network generates third authentication information, and then sends the third authentication information to the MN.
  • the process of generating the third authentication information by the VAAA is similar to the process of generating the first authentication information by the MN, and calculating the selected parameters according to the pre-auth-key-file to generate the third authentication information, where the parameter may be a randomly selected set of data.
  • VAAA also sends the selected parameters to the MN while sending the third authentication information.
  • the MN After receiving the third authentication information sent by the VAAA, the MN generates the fourth authentication information according to the same rule that the VAAA generates the third authentication information, and determines whether the fourth authentication information is the same as the third authentication information generated by the MN, and if yes, Indicates that the MN passes the authentication of VAAA, and executes 116; otherwise, it ends.
  • the MN can continue to exchange information with VAAA.
  • 102 to 107 are generated during the process of the MN performing EAP (Extensible Authentication Protocol) authentication to the HAAA, and there is no order with 101. For the convenience of description, it is placed. The back of 101.
  • EAP Extensible Authentication Protocol
  • the pre-authentication key material and the authentication ticket including the pre-authentication key material are sent to the MN by the HAAA, and the pre-authentication key is used when visiting the network outside the MN authentication network.
  • the material and the authentication ticket are sent to the VAAA in the visited network.
  • the VAAA performs network authentication on the MN according to the authentication ticket, so that it does not need to authenticate to the HAAA, which reduces the consumption on the VAAA to HAAA link and reduces the inter-domain handover. Delay.
  • an embodiment of the present invention provides another method for pre-authentication, which specifically includes:
  • the MN accesses the initial network access device, and performs access authentication to the HAAA through the network access device.
  • the process of the MN performing the access authentication is the same as that described in Embodiment 1, and details are not described herein again.
  • the network access device of the network where the MN is located determines whether there is a potential visited network around the network, and if yes, performs 203; otherwise, performs 214;
  • the network access device sends a notification message to the HAAA according to the AAA protocol, where the notification message carries the identity information of the potential visited network.
  • the MN and the HAAA After the access authentication is completed, the MN and the HAAA generate a root key (pre-auth-root-key) according to the AAAkey, the HAAA identity information, and the MN identity (MN-ID), respectively.
  • the AAA key is the pre-auth-root-key generated by the HAAA based on the pre-shared key between the MN and the AAA and the subkey derived from the AAA key in the access authentication process.
  • Pre-auth-root-key prf (MN-ID, HAAA label, AAA key), prf represents the key generation function.
  • the HAAA sends the MN-ID and the corresponding pre-authentication key pre-auth-key to the corresponding VAAA.
  • the MN generates a pre-authentication key pre-auth-key according to the Target VAAA label and the pre-auth-root-key, and generates first authentication information according to the pre-authentication key pre-auth-key, and the generated first authentication information is generated. Send to VAAA.
  • the method for generating the first authentication information by the MN according to the pre-auth-key is the same as that described in Embodiment 1, and is not described here again, and after the MN sends the pre-auth-key and the first authentication information to the VAAA, The parameter that generates the first authentication information is also sent to the VAAA.
  • the VAAA After receiving the first authentication information sent by the MN, the VAAA generates the second authentication information by using the same rule as the first authentication information generated by the MN according to the pre-authentication key sent by the HAAA and the parameter for generating the first authentication information sent by the MN. .
  • the VAAA determines whether the generated second authentication information is the same as the first authentication information sent by the MN. If yes, it indicates that the VAAA authenticates the MN, and performs 211; otherwise, ends.
  • the VAAA generates third authentication information, and then sends the third authentication information to the MN.
  • the MN After receiving the third authentication information sent by the VAAA, the MN generates a fourth authentication message according to the same rule as the third authentication information generated by the VAAA, and determines whether the fourth authentication information generated by the MN is the same as the third authentication information, and if yes, It indicates that the MN passes the authentication of VAAA, and performs 213; otherwise, it ends.
  • the MN can continue to interact with the Target VAAA.
  • 214 Process according to the process of intra-domain handover, which is a prior art and will not be described here.
  • 202 to 203 are sent in the process of performing EAP authentication by the MN to the HAAA, and there is no sequence with 201. For convenience of description, it is placed behind 201.
  • the MN pre-authentication key is sent to the VAAA in the visited network outside the home network through the HAAA.
  • the VAAA performs access authentication on the MN according to the pre-authentication key received in advance, so that the MN is in the MN.
  • the network access authentication can be performed directly on the VAAA of the visited network, so that it is not necessary to perform authentication to the HAAA, which reduces the consumption on the VAAA to HAAA link and reduces the handover delay.
  • an embodiment of the present invention provides an authentication system, where the authentication system includes a terminal 301 and a visited network.
  • AAA server 302
  • the terminal 301 is configured to: when entering a visited network other than the home network, obtain the identity information of the visited network, and select the first pre-authentication key material corresponding to the visited network and the first authentication corresponding to the visited network according to the identity information of the visited network.
  • the first authentication ticket carries the first pre-authentication key material, and performs identity authentication on the AAA server 302 of the visited network according to the first pre-authentication key material;
  • the AAA server 302 of the visited network is configured to perform identity authentication on the terminal 301 according to the first pre-authentication key material.
  • the foregoing terminal 301 may specifically include:
  • the obtaining module 3011 is configured to acquire the identity information of the visited network when the terminal 301 enters the visited network other than the home network;
  • the selecting module 3012 is configured to select, according to the identity information of the visited network acquired by the obtaining module 3011, the first pre-authentication key material corresponding to the visited network and the first authentication ticket corresponding to the visited network, where the first authentication ticket carries the first pre-authentication Key material
  • the first authentication module 3013 is configured to perform identity authentication on the AAA server 302 of the visited network according to the first pre-authentication key material selected by the selection module 3012.
  • the first authentication module 3013 may specifically include:
  • a first generating unit configured to generate first authentication information according to the first pre-authentication key material selected by the selecting module 3012, where the first sending unit is configured to select the first authentication information generated by the first generating unit and the selecting module 3012
  • the first authentication ticket is sent to the AAA server 302 of the visited network;
  • a fourth generating unit configured to generate fourth authentication information according to a rule that the third authentication information is generated by the AAA server 302 of the visited network after receiving the third authentication information
  • a first determining unit configured to determine whether the fourth authentication information generated by the fourth generating unit is the same as the third authentication information, If yes, the terminal 301 passes the authentication of the AAA server 302 of the visited network;
  • the AAA server 302 of the visited network may specifically include:
  • the key obtaining module 3021 is configured to: after receiving the first authentication information and the first authentication ticket sent by the terminal 301, obtain the first pre-authentication key material from the first authentication ticket;
  • the second generation module 3022 is configured to generate second authentication information according to the first pre-authentication key material acquired by the key acquisition module 3021 by using the same rule as the terminal 301 generating the first authentication information.
  • the second determining module 3023 is configured to determine whether the second authentication information generated by the second generating module 3022 is the same as the first authentication information sent by the terminal 301, and if yes, the AAA server 302 of the visited network passes the authentication of the terminal 301.
  • the third generation module 3024 is configured to generate third authentication information.
  • the third sending module 3025 is configured to send the third authentication information generated by the third generating module 3024 to the terminal 301. Further, the above authentication system further includes a network access device 303 and a home AAA server 304:
  • the network access device 303 is configured to determine, before the terminal 301 enters the visited network, whether there is a potential visited network around the network where the terminal 301 is located, and if yes, send the identity information of the potential visited network to the home AAA server 304;
  • the home AAA server 304 is configured to: after receiving the identity information of the potential visited network sent by the network access device 303, generate a pre-authentication key material, and use the security relationship between the home network and the visited network to pre-authenticate the key material. And the relevant parameters are encrypted to generate the ticket key information, and the identity information of the home AAA server 304, the identity information of the visited network, and the ticket key information are used as the authentication ticket, and then the pre-authentication key material and the authentication ticket, and the corresponding potential The identity information of the visited network is sent to the terminal 301.
  • the pre-authentication key material generated by the home AAA server 304 may include multiple potentials after receiving the identity information of the potential visited network sent by the network access device 303, because there may be multiple potential visited networks.
  • the pre-authentication key material of the network is visited, and the first pre-authentication key material in the embodiment of the present invention is only a pre-authentication key material of a visited network in the pre-authentication key material.
  • the pre-authentication key material and related parameters are encrypted according to the security relationship between the home network and the visited network
  • the ticket key information may also include the ticket key information of the plurality of potential visited networks;
  • the identity information of the 304, the identity information of the visited network, and the ticket key information are used as the authentication ticket of the plurality of potential visited networks in the authentication ticket, and the authentication ticket in the embodiment of the present invention is only the authentication of a visited network in the authentication ticket. bill.
  • the home AAA server when the terminal performs the initial network access authentication, the home AAA server sends the pre-authentication key material and the authentication ticket including the pre-authentication key to the terminal, so that the terminal can directly enter the visited network outside the home network.
  • Network access authentication is performed on the AAA server of the visited network, so that it is no longer necessary to go to the home AAA server for identification.
  • the license reduces the consumption of the AAA server on the visited network to the home AAA server link, reducing the handover delay.
  • an embodiment of the present invention further provides an authentication system, where the authentication system includes a terminal 401 and an AAA server 402 of the visited network:
  • the terminal 401 is configured to: when entering a visited network other than the home network, acquire identity information of the visited network, generate a second pre-authentication key according to the identity information of the visited network, and access the AAA server of the visited network according to the second pre-authentication key. 402 for identity authentication;
  • the AAA server 402 of the visited network is configured to perform identity authentication on the terminal 401 according to the second pre-authentication key.
  • the terminal 401 may specifically include:
  • the obtaining module 4011 is configured to acquire the identity information of the visited network when the terminal 401 enters the visited network other than the home network;
  • the first generating module 4012 is configured to generate a second pre-authentication key according to the identity information of the visited network acquired by the obtaining module 4011.
  • the first authentication module 4013 is configured to perform identity authentication on the AAA server 402 of the visited network according to the second pre-authentication key generated by the first generation module 4012.
  • the foregoing first authentication module 4013 may specifically include:
  • a first generating unit configured to generate first authentication information according to the second pre-authentication key generated by the first generation module, where the first sending unit is configured to send the first authentication information generated by the first generation module to the AAA of the visited network Server 402;
  • a fourth generating unit configured to generate fourth authentication information according to a rule that the third authentication information is generated by the AAA server 402 of the visited network after receiving the third authentication information
  • the first determining unit is configured to determine whether the fourth authentication information generated by the fourth generating unit is the same as the third authentication information, and if yes, the terminal 401 passes the authentication of the AAA server 402 of the visited network.
  • the AAA server 402 of the visited network may specifically include:
  • the second generation module 4021 is configured to: after receiving the first authentication information sent by the terminal, generate the second authentication information according to the same rule that the terminal 401 generates the first authentication information according to the pre-authentication key sent by the home AAA server 404; Before the terminal 401 enters the visited network outside the home network, the home AAA server 404 sends a pre-authentication key to the AAA server 402 of the visited network, where all the potential visited networks exist around the network where the terminal 401 is located. Pre-authentication key. After receiving the first authentication information sent by the terminal, the second generation module 4021 of the AAA server 402 of the visited network selects the pre-authentication key corresponding to the pre-authentication key sent by the home AAA server 404, and then selects according to the pre-authentication key. The pre-authentication key is used to generate the first authentication information with the terminal 401. The same rule generates the second authentication information.
  • the second determining module 4022 is configured to determine whether the second authentication information generated by the second generating module 4021 is the same as the first authentication information sent by the terminal 401, and if yes, the AAA server 402 of the visited network passes the authentication of the terminal 401; a third generating module 4023, configured to generate third authentication information;
  • the second sending module 4024 is configured to send the third authentication information generated by the third generating module 4023 to the terminal 401. Further, the above authentication system further includes a network access device 403 and a home AAA server 404:
  • the network access device 403 is configured to determine, before the terminal 401 enters the visited network, whether there is a potential visited network around the network where the terminal 401 is located, and if yes, send the identity information of the potential visited network to the home AAA server 404;
  • the home AAA server 404 is configured to generate the root key, the AAA key according to the identifier of the terminal 401, the identity information of the home AAA server 404, and the AAA key, after receiving the identity information of the potential visited network sent by the network access device 403.
  • the root key may contain multiple root keys of the potential visited network, and the pre-authentication key generated according to the identity information of the potential visited network sent by the network access device 403 and the root key may contain multiple potential
  • the second pre-authentication key in the embodiment of the present invention is only the pre-authentication key.
  • Pre-authentication key a visited network.
  • the terminal 401 is further configured to generate a root key according to the identifier of the terminal 401, the identity information of the home AAA server 404, and the AAA key after entering the visited network.
  • the home AAA server sends the terminal pre-authentication key to the AAA server of the visited network outside the home network.
  • the AAA server of the visited network performs the terminal according to the pre-authentication key received in advance.
  • Access authentication enables the terminal to perform network access authentication directly on the AAA server of the visited network when accessing the visited network outside the home network, thereby eliminating the need to go to the home AAA server for authentication, and reducing the AAA server in the visited network to the hometown.
  • the consumption of this link on the AAA server reduces the handover delay.
  • the embodiments of the present invention can be implemented by software, and the corresponding software can be stored in a readable storage medium, for example, a hard disk, a floppy disk or an optical disk of a computer.

Description

预认证的方法、 认证系统和装置 技术领域
本发明涉及移动通信领域， 特别涉及一种预认证的方法、 认证系统和装置。 背景技术 说
随着通信技术的发展， 现代通信对移动通信要求越来越高， 当前的移动通信要求 MN (Mobile Node, 移动节点， 又称为移动终端）在移动或漫游场景下可以正常地通信。
在移动场景下， MN将不可避免地发生切换， 即指 MN的网络接入点 （Attach Point) 随着 MN的移动而发生变化， 根据切换前后 Attach Po书int的相对位置， 切换可以分为 2层切 换和 3层切换， 其中， 3层切换又可以分为域内切换（旧的 Attach Point与新的 Attach Point 在同一个 AAA ( Authentication^ Authorization and Accounting, 认证、 授权和计费） 服务器 管辖范围内）和域间切换（旧的 Attach Point与新的 Attach Point在不同的 AAA管辖范围内）， 一个完整的 3层切换过程包含以下几个步骤: MN离开原来的 Attach Point切换到新的 Attach Point, 进行新的入网认证， 在新的 Attach Point处建立相应的配置关系。
MN从原来的 Attach Point切换到新的 Attach Point需要耗费一段时间，在这段时间里通 信将出现暂时的中断或者延时， 对一些对实时性要求很高的业务 （例如即时通信） 而言， 中断或延时越短越好。但是在实际应用中， 由于目前采用的认证方式需要 MN与 AAA之间 进行多轮交互， 并且 MN在外地时， 依然需要在家乡进行认证， 导致进行新的入网认证需 要花费较长的时间， 从而使切换产生的中断或延时超出了即时业务所能承受的极限。
现有技术中， 通过快速重认证的方式减少切换产生的中断或延时。 快速重认证在双方 的身份认证过程中， 将以前认证所产生的授权或配置信息继承下来， 由于无需重新生成授 权及配置信息， 因此快速重认证所需的交互及所做的工作少于普通的认证， 因而节省了认 证时间。 快速重认证主要应用在 3层域内切换中， 具体过程如下：
MN在初次进行入网认证时， 将与 HAAA (Home AAA, 家乡 AAA服务器， 即 MN与 之签约的 AAA服务器）共同产生用于快速重认证的信息， 该信息可以包括专用于快速重认 证的 ID及密钥等；
HAAA将快速重认证的信息发送给拜访网络的 VAAA ( Visit AAA, 拜访域 AAA服务 器， 即 MN在外地时所处拜访网络的 AAA服务器）； 当 MN的位置发生变化进入拜访网络时， MN将通过新的 Attach Point向拜访网络的 VAAA提供快速重认证的信息， VAAA根据 HAAA预先发送的快速重认证的信息对 MN作 重认证。
快速重认证方式在 MN进行切换时，减少了切换后的 VAAA与 HAAA在链路上的开销 以及两者之间的交互次数。 但是， 快速重认证方式需要 MN与 VAAA之间有现成的安全关 系， 但是在域间切换场景下， 由于新的 VAAA与 MN之间不存在该安全关系， 因此快速重 认证方式不适用于 3层的域间切换。
在实现本发明的过程中， 发明人发现上述现有技术中至少存在以下缺点：
在 MN进行域间切换时， 需要切换后的 VAAA到 HAAA上进行认证， 切换产生的时延 长。 发明内容
为了减少域间切换的延时时间， 本发明实施例提供了一种预认证的方法、 认证系统和 装置。 所述技术方案如下：
本发明实施例提供了一种预认证的方法， 所述方法包括：
当终端进入家乡网络以外的拜访网络时， 所述终端获取所述拜访网络的身份信息； 所述终端根据所述拜访网络的身份信息， 选择所述拜访网络对应的第一预认证密钥材 料和所述拜访网络对应的第一认证票据， 所述第一认证票据携带所述第一预认证密钥材料； 所述拜访网络的认证、授权和计费 AAA服务器和所述终端根据所述第一预认证密钥材 料互相进行身份认证。
本发明实施例还提供了一种预认证的方法， 所述方法包括：
当终端进入家乡网络以外的拜访网络时， 所述终端获取所述拜访网络的身份信息； 根据所述拜访网络的身份信息生成第二预认证密钥；
所述终端和所述拜访网络的认证、授权和计费 AAA服务器根据所述第二预认证密钥互 相进行身份认证。
本发明实施例提供了一种认证系统， 所述认证系统包括终端和拜访网络的认证、 授权 和计费 AAA服务器：
所述终端， 用于当进入家乡网络以外的拜访网络时， 获取所述拜访网络的身份信息， 根据所述拜访网络的身份信息选择所述拜访网络对应的第一预认证密钥材料和所述拜访网 络对应的第一认证票据， 所述第一认证票据携带所述第一预认证密钥材料， 并根据所述预 认证密钥材料对所述拜访网络的 AAA服务器进行身份认证； 所述拜访网络的 AAA服务器，用于根据所述第一预认证密钥材料对所述终端进行身份 认证。
本发明实施例提供了一种终端装置， 所述终端具体包括：
获取模块， 用于当所述终端进入所述家乡网络以外的拜访网络时， 获取所述拜访网络 的身份信息；
选择模块， 用于根据所述获取模块获取的拜访网络的身份信息， 选择所述拜访网络对 应的第一预认证密钥材料和所述拜访网络对应的第一认证票据， 所述第一认证票据携带所 述第一预认证密钥材料；
第一认证模块， 用于根据所述选择模块选择的第一预认证密钥材料， 对所述拜访网络 的 AAA服务器进行身份认证。
本发明实施例提供一种拜访网络的认证、 授权和计费 AAA服务器， 所述拜访网络的 AAA服务器具体包括- 密钥获取模块， 用于收到终端发送的第一认证信息和第一认证票据后， 从所述第一认 证票据中获取第一预认证密钥材料；
第二生成模块， 用于根据所述密钥获取模块获取的第一预认证密钥材料， 采用与所述 终端生成第一认证信息相同的规则生成第二认证信息；
第二判断模块， 用于判断所述第二生成模块生成的第二认证信息与所述终端发送的第 一认证信息是否相同， 如果是， 则所述拜访网络的 AAA服务器对所述终端的认证通过； 第三生成模块， 用于生成第三认证信息；
第三发送模块， 用于将所述第三生成模块生成的第三认证信息发送给所述终端。
本发明实施例还提供了一种认证系统， 所述认证系统包括终端和拜访网络的认证、 授 权和计费 AAA服务器：
所述终端， 用于当进入家乡网络以外的拜访网络时， 获取所述拜访网络的身份信息， 根据所述拜访网络的身份信息生成第二预认证密钥， 并根据所述预认证密钥对所述拜访网 络的 AAA服务器进行身份认证；
所述拜访网络的 AAA服务器，用于根据所述第二预认证密钥对所述终端进行身份认证。 本发明实施例还提供了一种终端装置， 所述终端具体包括：
获取模块， 用于当所述终端进入家乡网络以外的拜访网络时， 获取拜访网络的身份信 息；
第一生成模块， 用于根据所述获取模块获取的拜访网络的身份信息生成第二预认证密 钥； 第一认证模块， 用于根据所述第一生成模块生成的第二预认证密钥对所述拜访网络的 AAA服务器进行身份认证。
本发明实施例还提供了一种拜访网络的认证、授权和计费 AAA服务器装置， 所述拜访 网络的 AAA服务器具体包括：
第二生成模块， 用于收到终端发送的第一认证信息后， 根据家乡 AAA服务器发送的预 认证密钥， 采用与所述终端生成第一认证信息相同的规则生成第二认证信息；
第二判断模块， 用于判断所述第二生成模块生成的第二认证信息与所述终端发送的第 一认证信息是否相同， 如果是， 则所述拜访网络的 AAA服务器对所述终端的认证通过； 第三生成模块， 用于生成第三认证信息；
第二发送模块， 用于将所述第三生成模块生成的第三认证信息发送给所述终端。 本发明实施例提供的技术方案的有益效果是：
本发明实施例通过 MN在进入家乡网络以外的拜访网络时， 根据获取的认证信息在拜 访网络的 AAA服务器上进行入网认证， 从而在域间切换时不需要拜访网络的 AAA服务器 再到 HAAA上进行认证， 减少了域间切换的时延。 附图说明
图 1是本发明实施例 1提供的预认证的方法的流程图；
图 2是本发明实施例 2提供的另一种预认证的方法的流程图；
图 3是本发明实施例 3提供的认证系统的结构示意图；
图 4是本发明实施例 3提供的认证系统中终端的结构示意图；
图 5是本发明实施例 3提供的认证系统中拜访网络的 AAA服务器的结构示意图； 图 6是本发明实施例 4提供的认证系统的结构示意图；
图 7是本发明实施例 4提供的认证系统中终端的结构示意图；
图 8是本发明实施例 4提供的认证系统中拜访网络的 AAA服务器的结构示意图。 具体实施方式
为使本发明的目的、 技术方案和优点更加清楚， 下面将结合附图对本发明实施方式作 进一步地详细描述。
本发明实施例通过在 MN与拜访网络的 AAA服务器之间预先建立起信任关系，从而减 少新的入网认证所需的时间。 实施例 1
本实施例中， HAAA在对 MN进行接入认证的同时向它下发可用于访问家乡网络以外 的拜访网络的认证票据 （Ticket), 该 Ticket中含有由 HAAA签发的， 由 MN与拜访网络作 相互认证时使用的信任状以及相关的参数， 这样 MN在进入该拜访网络后， 就可以通过该 Ticket与该网络的 VAAA进行接入认证。
参见图 1， 本发明实施例提供了一种预认证的方法， 具体包括：
101： MN接入初始的网络接入设备， 通过网络接入设备向 HAAA执行接入认证。 当 MN所在的网络为家乡网络时， 可以直接向 HAAA进行接入认证； 当 MN所在的网 络为家乡网络以外的拜访网络时， MN通过拜访网络中的 VAAA向 HAAA进行认证， 接入 认证过程为现有技术， 此处不再赘述。
进一步地， 在接入认证过程中， HAAA会根据预先存储的 MN的 AAA profile ( AAA 描述信息）判断 MN是否支持快速预认证，如果是，则执行下述 102至 113，其中， AAA profile 是预先存储在 HAAA里面的， 包含 MN的身份， MN所能享受的服务以及限制（例如， MN 是否支持快速重认证） 等信息。
102： MN所在网络的网络接入设备判断该网络周围是否存在潜在的拜访网络， 即是否 存在其它覆盖重叠的网络， 如果是， 则执行 103 ; 否则， 执行 117。
其中， 网络接入设备可以根据底层技术， 例如， 对周围信号的感知以及网络部署时的 规划， 判断该网络周围是否存在潜在的拜访网络， 该过程为现有技术， 目前的网络接入设 备可以做到， 此处不再详述。
103： 网络接入设备根据 AAA协议向 HAAA发送通知消息， 该通知消息中携带潜在的 拜访网络的身份信息。
104： HAAA 收到网络接入设备发送的通知消息后， 生成预认证密钥材料 ( pre-auth-key-file ) , 例如， 可以随机选取一组符合加密算法对密钥要求的数据作为 pre-auth-key-file。
进一歩地， HAAA收到网络接入设备发送的通知消息后还包括：
HAAA根据通知消息中的潜在的拜访网络的身份信息判断家乡网络与拜访网络之间是 否存在安全关系， 如果是， 则 HAAA生成预认证密钥材料； 否则， 家乡网络与拜访网络之 间不能进行信息交互。
105： HAAA提取通知消息携带的潜在的拜访网络的身份信息， 根据家乡网络与各个拜 访网络之间的安全关系对预认证密钥材料及相关参数进行加密生成相应的票据密钥信息。
其中， 家乡网络与潜在的拜访网络之间的安全关系可以为家乡网络与潜在的拜访网络 之间的预共享密钥， 或者为潜在的拜访网络的公私钥对， 本实施例中， 以 Kh-t表示家乡网 络与潜在拜访网络之间的预共享密钥或者潜在的拜访网络的公私钥对。
上述用于生成票据密钥信息的参数中除了 pre-auth-key-file夕卜， 相关参数至少包含以下 几项信息： HAAA label (HAAA标识）、 Target VAAA label (潜在的 VAAA标识）、 MN-ID (MN标识）、 MN profile (MN材料）禾 D lifetime (有效期）， 其中， 每项信息表示的含义如 下： HAAA label和 Target VAAA label分别是能标识家乡网络和潜在的拜访网络的身份信息； MN-ID表示 MN的标识； MN profile表示 MN的基本信息以及 MN可以获得哪种服务； lifetime表示 Ticket的有效期， 根据 Kh-t对 pre-auth-key-file及相关参数进行加密生成的票 据密钥信息具体表示如下：
Kh-t (pre-auth-key-file, HAAA label, Target VAAA label, MN-ID, MN profile, lifetime),
106： HAAA将 HAAA本身的身份信息、 潜在的拜访网络的身份信息和相应的票据密 钥信息作为 MN进入家乡网络以外的网络的认证票据 （Ticket), 即 Ticket={HAAA label, Target VAAA label, Kh-t (pre-auth-key-file, HAAA label, Target VAAA label, MN-ID, MN profile, lifetime) }。
107： HAAA将预认证密钥材料 pre-auth-key-file、认证票据 Ticket以及相应的潜在的拜 访网络的身份信息发送给 MN。
进一步地， 为了保证以上信息的安全性， HAAA可以通过 HAAA与 MN之间的密钥对 pre-auth-key-file、 Ticket以及相应的潜在拜访网络的身份信息进行加密， 将加密后的数据发 送给 MN。
108： 当 MN进入家乡网络以外的拜访网络时， MN获取该拜访网络的身份信息。 其中， MN可以从新进入的拜访网络中的网络设备广播的 MAC (Media Access Control, 媒体访问控制） 消息中获取拜访网络的身份信息， 该过程为现有技术， 此处不再详述。
109： MN根据拜访网络的身份信息选择相应的认证票据 Ticket, 并根据预认证密钥材 料 pre-auth-key-file生成第一认证信息。
其中， MN可以根据 pre-auth-key-file对选取的参数进行运算生成第一认证信息， 参数 可以为随机选取的一组数据等。
110： MN将生成的第一认证信息和选出的认证票据 Ticket —起发送给拜访网络的 VAAAo
进一步地， MN在将第一认证信息和 Ticket发送给 VAAA后， 还将生成第一认证信息 的参数发送给 VAAA。
111： VAAA收到 MN发送的 Ticket后， 从认证票据 Ticket中获取预认证密钥材料。 从 Ticket中获取预认证密钥材料的具体过程如下：
根据 Ticket中的 HAAA label选择相应的密钥对 Ticket中的票据密钥信息进行解密得到 pre-auth-key-file。
112： VAAA根据 pre-auth-key-file采用与 MN生成第一认证信息相同的规则生成第二认 证信息。
113： VAAA判断生成的第二认证信息与 MN发送的第一认证信息是否相同， 如果两者 相同， 则表明 VAAA对 MN的认证通过， 执行 114; 否则， 结束。
114： 拜访网络的 VAAA生成第三认证信息， 然后将第三认证信息发送给 MN。
其中， VAAA生成第三认证信息的过程与 MN 生成第一认证信息的过程类似， 根据 pre-auth-key-file对选取的参数进行运算生成第三认证信息， 参数可以为随机选取的一组数 据等， VAAA在发送第三认证信息的同时也将选取的参数发送给 MN。
115： MN收到 VAAA发送的第三认证信息后，根据 VAAA生成第三认证信息相同的规 则生成第四认证信息， 判断第四认证信息与 MN生成的第三认证信息是否相同， 如果是， 则表明 MN对 VAAA的认证通过， 执行 116; 否则， 结束。
116： 认证通过， MN可以与 VAAA继续进行信息交互。
117： 按域内切换的流程处理， 该过程为现有技术， 此处不再赘述。
本实施例中， 102至 107是在 MN进行向 HAAA进行 EAP ( Extensible Authentication Protocol, 可扩展的身份验证协议） 认证的过程中发生的， 与 101并无先后顺序， 为了描述 方便， 将其放在了 101的后面。
本实施例通过在 MN进行初次入网认证的同时， 由 HAAA向它下发预认证密钥材料和 包含预认证密钥材料的认证票据， 在 MN认证网络以外的拜访网络时， 将预认证密钥材料 和认证票据发送给拜访网络中的 VAAA, VAAA根据认证票据对 MN进行入网认证， 从而 不需要再到 HAAA进行认证， 减少了在 VAAA至 HAAA这段链路上的消耗， 降低了域间 切换的时延。
实施例 2
本实施例中， 在 HAAA对 MN进行 EAP认证结束后， HAAA和 MN根据认证产生的 AAA key (AAA密钥） 生成根密钥， 然后 HAAA再根据根密钥生成预认证密钥， 并将该预 认证密钥发送给潜在的拜访网络的 VAAA； 当 MN进入家乡网络以外的拜访网络时， 首先 根据根密钥生成预认证密钥， 然后根据该预认证密钥向拜访网络的 VAAA进行接入认证。 参见图 2， 本发明实施例提供了另一种预认证的方法， 具体包括：
201： MN接入初始的网络接入设备， 通过网络接入设备向 HAAA执行接入认证。 MN进行接入认证的过程与实施例 1中所述相同， 此处不再赘述。
202： MN所在网络的网络接入设备判断该网络周围是否存在潜在的拜访网络，如果是， 则执行 203 ; 否则， 执行 214;
203： 网络接入设备根据 AAA协议向 HAAA发送通知消息， 该通知消息中携带潜在的 拜访网络的身份信息。
204： 接入认证完成后， MN和 HAAA分别根据 AAAkey、 HAAA的身份信息、 MN的 标识 （MN-ID ) 生成根密钥 ( pre-auth-root-key ) o
其中， AAA key是在接入认证过程中， HAAA根据 MN与 AAA之间的预共享密钥产 生的 EMSK及由其派生的子密钥， 生成的 pre-auth-root-key如下：
pre-auth-root-key =prf (MN-ID, HAAA label, AAA key), prf表示密钥生成函数。
205： HAAA根据网络接入设备发送的通知消息中携带的潜在的拜访网络的身份信息和 pre-auth-root-key生成予页认证密钢 (pre-auth-key), 即 pre-auth-key=prf ( pre-auth-root-key, Target VAAA label ) o
206： HAAA将 MN-ID和相应的预认证密钥 pre-auth-key发送给相应的 VAAA。
207:当 MN进入家乡网络以外的拜访网络时，获取该拜访网络的身份信息（Target VAAA label )。
208： MN根据 Target VAAA label和 pre-auth-root-key生成预认证密钥 pre-auth-key， 并 根据预认证密钥 pre-auth-key生成第一认证信息， 将生成的第一认证信息发送到 VAAA。
其中， MN根据 pre-auth-key生成第一认证信息的方法与实施例 1中所述相同， 此处不 再赘述， 并且 MN在将 pre-auth-key和第一认证信息发送给 VAAA后， 还要将生成第一认 证信息的参数发送给 VAAA。
209： VAAA收到 MN发送的第一认证信息后， 根据 HAAA发送的预认证密钥和 MN 发送的生成第一认证信息的参数， 采用与 MN生成第一认证信息相同的规则生成第二认证 信息。
210： VAAA判断生成的第二认证信息与 MN发送的第一认证信息是否相同， 如果是， 则表明 VAAA对 MN的认证通过， 执行 211 ; 否则， 结束。
211： VAAA生成第三认证信息， 然后将第三认证信息发送给 MN。
212： MN收到 VAAA发送的第三认证信息后，根据与 VAAA生成第三认证信息相同的 规则生成第四认证消息， 判断 MN生成的第四认证信息与第三认证信息是否相同， 如果是， 则表明 MN对 VAAA的认证通过， 执行 213 ; 否则， 结束。
213： 认证通过， MN可以与 Target VAAA继续进行信息交互。 214： 按域内切换的流程处理， 该过程为现有技术， 此处不再赘述。
本实施例中， 202 至 203是在 MN向 HAAA进行 EAP认证的过程中发送的，与 201 并 无先后顺序， 为了描述方便， 将其放在了 201的后面。
本实施例通过 HAAA预先向家乡网络以外的拜访网络中的 VAAA发送 MN预认证密 钥， 在 MN进入该网络后， VAAA根据预先收到的预认证密钥对 MN进行接入认证， 使得 MN在进入家乡网络以外的拜访网络时可以直接在该拜访网络的 VAAA上进行入网认证， 从而不需要再到 HAAA进行认证， 减少了在 VAAA至 HAAA这段链路上的消耗， 降低了 切换时延。
实施例 3
参见图 3， 本发明实施例提供了一种认证系统， 该认证系统包括终端 301和拜访网络的
AAA服务器 302:
终端 301， 用于当进入家乡网络以外的拜访网络时， 获取拜访网络的身份信息， 根据拜 访网络的身份信息选择该拜访网络对应的第一预认证密钥材料和该拜访网络对应的第一认 证票据， 第一认证票据携带第一预认证密钥材料， 并根据第一预认证密钥材料对拜访网络 的 AAA服务器 302进行身份认证；
拜访网络的 AAA服务器 302，用于根据第一预认证密钥材料对终端 301进行身份认证。 参见图 4， 上述终端 301可以具体包括：
获取模块 3011， 用于当终端 301进入家乡网络以外的拜访网络时， 获取拜访网络的身 份信息；
选择模块 3012，用于根据获取模块 3011获取的拜访网络的身份信息选择该拜访网络对 应的第一预认证密钥材料和该拜访网络对应的第一认证票据， 第一认证票据携带第一预认 证密钥材料；
第一认证模块 3013， 用于根据选择模块 3012选择的第一预认证密钥材料， 对拜访网络 的 AAA服务器 302进行身份认证。
进一歩地， 上述第一认证模块 3013可以具体包括：
第一生成单元，用于根据选择模块 3012选择的第一预认证密钥材料生成第一认证信息； 第一发送单元， 用于将第一生成单元生成的第一认证信息和选择模块 3012选择的第一 认证票据发送给拜访网络的 AAA服务器 302;
第四生成单元，用于在收到第三认证信息后，根据拜访网络的 AAA服务器 302生成第 三认证信息相同的规则生成第四认证信息；
第一判断单元， 用于判断第四生成单元生成的第四认证信息与第三认证信息是否相同， 如果是， 则终端 301对拜访网络的 AAA服务器 302的认证通过；
参见图 5， 上述拜访网络的 AAA服务器 302可以具体包括：
密钥获取模块 3021， 用于收到终端 301发送的第一认证信息和第一认证票据后， 从第 一认证票据中获取第一预认证密钥材料；
第二生成模块 3022， 用于根据密钥获取模块 3021获取的第一预认证密钥材料， 采用与 终端 301生成第一认证信息相同的规则生成第二认证信息；
第二判断模块 3023，用于判断第二生成模块 3022生成的第二认证信息与终端 301发送 的第一认证信息是否相同，如果是，则拜访网络的 AAA服务器 302对终端 301的认证通过； 第三生成模块 3024， 用于生成第三认证信息；
第三发送模块 3025， 用于将第三生成模块 3024生成的第三认证信息发送给终端 301。 进一步地， 上述认证系统还包括网络接入设备 303和家乡 AAA服务器 304:
网络接入设备 303， 用于在终端 301进入拜访网络之前， 判断终端 301所在的网络周围 是否存在潜在的拜访网络， 如果是， 则向家乡 AAA服务器 304发送潜在的拜访网络的身份 信息；
家乡 AAA服务器 304， 用于收到网络接入设备 303发送的潜在的拜访网络的身份信息 后， 生成预认证密钥材料， 并根据家乡网络与拜访网络之间的安全关系对预认证密钥材料 以及相关参数进行加密生成票据密钥信息， 将家乡 AAA服务器 304的身份信息、拜访网络 的身份信息和票据密钥信息作为认证票据， 然后将预认证密钥材料和认证票据， 以及相应 的潜在的拜访网络的身份信息发送给终端 301。
其中， 由于潜在的拜访网络可能有多个， 所以家乡 AAA服务器 304在收到网络接入设 备 303 发送的潜在的拜访网络的身份信息后， 生成的预认证密钥材料中可能包含多个潜在 的拜访网络的预认证密钥材料， 而本发明实施例中的第一预认证密钥材料只是预认证密钥 材料中一个拜访网络的预认证密钥材料。
相应地， 根据家乡网络与拜访网络之间的安全关系对预认证密钥材料以及相关参数进 行加密生成票据密钥信息中可能也包含多个潜在的拜访网络的票据密钥信息； 将家乡 AAA 服务器 304 的身份信息、 拜访网络的身份信息和票据密钥信息作为认证票据中可能也包含 多个潜在的拜访网络的认证票据， 而本发明实施例中的认证票据只是认证票据中一个拜访 网络的认证票据。
本实施例通过在终端进行初次入网认证的同时， 由家乡 AAA服务器向它下发预认证密 钥材料和包含预认证密钥的认证票据， 使得终端在进入家乡网络以外的拜访网络时， 可以 直接在拜访网络的 AAA服务器上进行入网认证， 从而不需要再到家乡 AAA服务器进行认 证，减少了在拜访网络的 AAA服务器至家乡 AAA服务器链路上的消耗， 降低了切换时延。 实施例 4
参见图 6， 本发明实施例还提供了一种认证系统， 该认证系统包括终端 401和拜访网络 的 AAA服务器 402:
终端 401， 用于当进入家乡网络以外的拜访网络时， 获取拜访网络的身份信息， 根据拜 访网络的身份信息生成第二预认证密钥，并根据第二预认证密钥对拜访网络的 AAA服务器 402进行身份认证；
拜访网络的 AAA服务器 402， 用于根据第二预认证密钥对终端 401进行身份认证。 参见图 7， 上述终端 401可以具体包括：
获取模块 4011， 用于当终端 401进入家乡网络以外的拜访网络时， 获取拜访网络的身 份信息；
第一生成模块 4012，用于根据获取模块 4011获取的拜访网络的身份信息生成第二预认 证密钥；
第一认证模块 4013，用于根据第一生成模块 4012生成的第二预认证密钥对拜访网络的 AAA服务器 402进行身份认证。
进一步地， 上述第一认证模块 4013可以具体包括：
第一生成单元， 用于根据第一生成模块生成的第二预认证密钥生成第一认证信息； 第一发送单元，用于将第一生成模块生成的第一认证信息发送给拜访网络的 AAA服务 器 402;
第四生成单元， 用于在收到第三认证信息后， 根据所述拜访网络的 AAA服务器 402 生成所述第三认证信息相同的规则生成第四认证信息；
第一判断单元， 用于判断第四生成单元生成的第四认证信息与第三认证信息是否相同， 如果是， 则终端 401对拜访网络的 AAA服务器 402的认证通过。
参见图 8， 上述拜访网络的 AAA服务器 402可以具体包括：
第二生成模块 4021， 用于收到终端发送的第一认证信息后， 根据家乡 AAA服务器 404 发送的预认证密钥， 采用与终端 401生成第一认证信息相同的规则生成第二认证信息； 其中， 终端 401进入家乡网络以外的拜访网络之前， 家乡 AAA服务器 404向拜访网络 的 AAA服务器 402发送预认证密钥，所述预认证密钥中终端 401所在的网络周围存在的所 有潜在的拜访网络的预认证密钥。 拜访网络的 AAA服务器 402的第二生成模块 4021收到 终端发送的第一认证信息后，首先家乡 AAA服务器 404发送的预认证密钥中选择出自己对 应的预认证密钥， 然后再根据选择出的预认证密钥， 采用与终端 401 生成第一认证信息相 同的规则生成第二认证信息。
第二判断模块 4022，用于判断第二生成模块 4021生成的第二认证信息与终端 401发送 的第一认证信息是否相同，如果是，则拜访网络的 AAA服务器 402对终端 401的认证通过； 第三生成模块 4023， 用于生成第三认证信息；
第二发送模块 4024， 用于将第三生成模块 4023生成的第三认证信息发送给终端 401。 进一步地， 上述认证系统还包括网络接入设备 403和家乡 AAA服务器 404:
网络接入设备 403， 用于在终端 401进入拜访网络之前， 判断终端 401所在的网络周围 是否存在潜在的拜访网络， 如果是， 则向家乡 AAA服务器 404发送潜在的拜访网络的身份 信息；
家乡 AAA服务器 404， 用于收到网络接入设备 403发送的潜在的拜访网络的身份信息 后，根据终端 401的标识、家乡 AAA服务器 404的身份信息和 AAA密钥生成根密钥， AAA 密钥为家乡 AAA服务器 404对终端 401进行可扩展的身份验证协议 EAP认证产生的密钥 材料； 根据网络接入设备 403发送的潜在的拜访网络的身份信息和根密钥生成预认证密钥， 然后将预认证密钥发送给拜访网络的 AAA服务器 402; 其中， 由于潜在的拜访网络可能有 多个，所以家乡 AAA服务器 404在收到网络接入设备 403发送的潜在的拜访网络的身份信 息后， 生成的根密钥中可能包含多个潜在的拜访网络的根密钥， 而根据网络接入设备 403 发送的潜在的拜访网络的身份信息和根密钥生成的预认证密钥可能包含多个潜在的拜访网 络的预认证密钥， 本发明实施例中的第二预认证密钥只是预认证密钥中一个拜访网络的预 认证密钥。
相应地， 终端 401还用于当进入拜访网络之后， 根据终端 401的标识、家乡 AAA服务 器 404的身份信息和 AAA密钥生成根密钥。
本实施例通过家乡 AAA服务器预先向家乡网络以外的拜访网络的 AAA服务器发送终 端预认证密钥， 在终端进入该拜访网络后， 拜访网络的 AAA服务器根据预先收到的预认证 密钥对终端进行接入认证， 使得终端在进入家乡网络以外的拜访网络时可以直接在该拜访 网络的 AAA服务器上进行入网认证， 从而不需要再到家乡 AAA服务器进行认证， 减少了 在拜访网络的 AAA服务器至家乡 AAA服务器这段链路上的消耗， 降低了切换时延。
本发明实施例可以通过软件实现， 相应的软件可以存储到可读取的存储介质中， 例如， 计算机的硬盘、 软盘或光盘中。
以上仅为本发明的较佳实施例， 并不用以限制本发明， 凡在本发明的精神和原则之内， 所作的任何修改、 等同替换、 改进等， 均应包含在本发明的保护范围之内。

Claims

权 利 要 求 书
1. 一种预认证的方法， 其特征在于， 所述方法包括：
当终端进入家乡网络以外的拜访网络时， 所述终端获取所述拜访网络的身份信息； 所述终端根据所述拜访网络的身份信息， 选择所述拜访网络对应的第一预认证密钥材料 和所述拜访网络对应的第一认证票据， 所述第一认证票据携带所述第一预认证密钥材料； 所述拜访网络的认证、 授权和计费 AAA服务器和所述终端根据所述第一预认证密钥材 料互相进行身份认证。
2. 根据权利要求 1所述的预认证的方法， 其特征在于， 所述拜访网络的 AAA服务器和 所述终端根据所述第一预认证密钥材料互相进行身份认证， 具体包括- 所述终端根据所述第一预认证密钥材料生成第一认证信息， 然后将所述第一认证信息和 所述第一认证票据发送给所述拜访网络的 AAA服务器；
所述拜访网络的 AAA服务器收到所述第一认证信息和所述第一认证票据后， 从所述第 一认证票据中获取所述第一预认证密钥材料， 根据所述第一预认证密钥材料采用与所述终端 生成所述第一认证信息相同的规则生成第二认证信息， 判断所述第二认证信息与所述第一认 证信息是否相同， 如果是， 则所述拜访网络的 AAA服务器对所述终端的认证通过；
所述拜访网络的 AAA服务器生成第三认证信息， 然后将所述第三认证信息发送给所述 终端；
所述终端在收到所述第三认证信息后， 根据所述拜访网络的 AAA服务器生成所述第三 认证信息相同的规则生成第四认证信息， 判断所述第三认证信息与所述第四认证信息是否相 同， 如果是， 则所述终端对所述拜访网络的 AAA服务器的认证通过。
3. 根据权利要求 2所述的预认证的方法， 其特征在于， 所述方法还包括：
在所述终端进入所述拜访网络之前， 所述终端所在网络中的网络接入设备判断所述网络 周围是否存在潜在的拜访网络， 如果是， 则向家乡 AAA服务器发送所述潜在的拜访网络的 身份信息；
所述家乡 AAA服务器收到所述潜在的拜访网络的身份信息后， 生成预认证密钥材料， 并根据所述家乡网络与所述潜在的拜访网络之间的安全关系对所述预认证密钥材料以及相关 参数进行加密生成票据密钥信息， 将所述家乡 AAA服务器的身份信息、 所述潜在的拜访网 络的身份信息和所述票据密钥信息作为认证票据， 然后将所述预认证密钥材料、 所述认证票 据和所述潜在的拜访网络的身份信息发送给所述终端；
相应地， 所述终端根据所述拜访网络的身份信息， 选择所述拜访网络对应的第一预认证 密钥材料和所述拜访网络对应的第一认证票据， 具体为：
所述终端根据所述拜访网络的身份信息， 从所述预认证密钥材料中选择所述拜访网络对 应的第一预认证密钥材料以及从所述认证票据中选择所述拜访网络对应的第一认证票据。
4. 根据权利要求 3所述的预认证的方法， 其特征在于， 所述相关参数至少包含所述家乡 AAA服务器的身份信息、所述潜在的拜访网络的身份信息、 所述终端的标识、所述终端的基 本信息和所述认证票据的有效期限。
5. 根据权利要求 3所述的预认证方法， 其特征在于， 所述从所述第一认证票据中获取所 述第一预认证密钥材料， 具体包括：
所述拜访网络的 AAA服务器根据所述家乡网络与所述拜访网络之间的安全关系对所述 第一认证票据中的票据密钥信息进行解密得到所述第一预认证密钥材料。
6. 根据权利要求 3或 5所述的预认证方法， 其特征在于， 所述安全关系为所述家乡网络 与所述拜访网络之间的预共享密钥， 或者为所述拜访网络的公私钥对。
7. 一种预认证的方法， 其特征在于， 所述方法包括：
当终端进入家乡网络以外的拜访网络时， 所述终端获取所述拜访网络的身份信息； 根据所述拜访网络的身份信息生成第二预认证密钥；
所述终端和所述拜访网络的认证、 授权和计费 AAA服务器根据所述第二预认证密钥互 相进行身份认证。
8. 根据权利要求 7所述的预认证的方法，其特征在于，所述终端和所述拜访网络的 AAA 服务器根据所述预认证密钥互相进行身份认证， 具体包括：
所述终端根据所述第二预认证密钥生成第一认证信息， 然后将所述第一认证信息发送给 所述拜访网络的 AAA服务器；
所述拜访网络的 AAA服务器收到所述第一认证信息后，根据家乡 AAA服务器发送的预 认证密钥采用与所述终端生成所述第一认证信息相同的规则生成第二认证信息， 判断所述第 二认证信息与所述终端发送的所述第一认证信息是否相同， 如果是， 则所述拜访网络的 AAA 服务器对所述终端的认证通过；
所述拜访网络的 AAA服务器生成第三认证信息， 然后将所述第三认证信息发送给所述 终端；
所述终端在收到所述第三认证信息后， 根据与所述拜访网络的 AAA服务器生成所述第 三认证信息相同的规则生成第四认证信息， 判断所述第三认证信息与所述第四认证信息是否 相同， 如果是， 则所述终端对所述拜访网络的 AAA服务器的认证通过。
9. 根据权利要求 8所述的预认证的方法， 其特征在于， 所述方法还包括：
在所述终端进入所述拜访网络之前， 所述终端所在网络中的网络接入设备判断所述网络 周围是否存在潜在的拜访网络， 如果是， 则向家乡 AAA服务器发送所述潜在的拜访网络的 身份信息；
所述家乡 AAA服务器收到所述潜在的拜访网络的身份信息后， 根据所述终端的标识、 所述家乡 AAA的身份信息和 AAA密钥生成根密钥， 所述 AAA密钥为所述家乡 AAA服务 器对所述终端进行可扩展的身份验证协议 EAP认证产生的密钥材料； 所述家乡 AAA服务器 根据所述潜在的拜访网络的身份信息和所述根密钥生成预认证密钥， 然后将所述预认证密钥 发送给所述拜访网络的 AAA服务器；
所述终端根据所述终端的标识、 所述家乡 AAA服务器的身份信息和 AAA密钥生成根 密钥； 当所述终端进入所述拜访网络时， 所述终端获取所述拜访网络的身份信息， 根据所述 拜访网络的身份信息和所述根密钥生成所述第二预认证密钥。
10. 一种认证系统， 其特征在于， 所述认证系统包括终端和拜访网络的认证、 授权和计 费 AAA服务器：
所述终端， 用于当进入家乡网络以外的拜访网络时， 获取所述拜访网络的身份信息， 根 据所述拜访网络的身份信息选择所述拜访网络对应的第一预认证密钥材料和所述拜访网络对 应的第一认证票据， 所述第一认证票据携带所述第一预认证密钥材料， 并根据所述预认证密 钥材料对所述拜访网络的 AAA服务器进行身份认证；
所述拜访网络的 AAA服务器， 用于根据所述第一预认证密钥材料对所述终端进行身份 认证。
11. 根据权利要求 10所述的认证系统， 其特征在于， 所述认证系统还包括网络接入设备 和家乡 AAA服务器：
所述网络接入设备， 用于在所述终端进入所述拜访网络之前， 判断所述终端所在的网络 周围是否存在潜在的拜访网络， 如果是， 则向所述家乡 AAA服务器发送所述潜在的拜访网 络的身份信息；
所述家乡 AAA服务器， 用于收到所述网络接入设备发送的身份信息后， 生成预认证密 钥材料， 并根据所述家乡网络与所述潜在的拜访网络之间的安全关系对所述预认证密钥材料 以及相关参数进行加密生成票据密钥信息， 将所述家乡 AAA服务器的身份信息、 所述潜在 的拜访网络的身份信息和所述票据密钥信息作为认证票据， 然后将所述预认证密钥材料和所 述认证票据， 以及所述潜在的拜访网络的身份信息发送给所述终端。
12. 一种终端装置， 其特征在于， 所述终端具体包括：
获取模块， 用于当所述终端进入所述家乡网络以外的拜访网络时， 获取所述拜访网络的 身份信息；
选择模块， 用于根据所述获取模块获取的拜访网络的身份信息， 选择所述拜访网络对应 的第一预认证密钥材料和所述拜访网络对应的第一认证票据， 所述第一认证票据携带所述第 一预认证密钥材料；
第一认证模块， 用于根据所述选择模块选择的第一预认证密钥材料， 对所述拜访网络的 AAA服务器进行身份认证。
13. 根据权利要求 12所述的终端装置， 其特征在于， 所述第一认证模块具体包括： 第一生成单元， 用于根据所述选择模块选择的第一预认证密钥材料生成第一认证信息； 第一发送单元， 用于将所述第一生成单元生成的第一认证信息和所述选择模块选择的第 一认证票据发送给所述拜访网络的 AAA服务器；
第四生成单元， 用于在收到第三认证信息后， 根据所述拜访网络的 AAA服务器生成所 述第三认证信息相同的规则生成第四认证信息；
第一判断单元， 用于判断所述第四生成单元生成的第四认证信息与所述第三认证信息是 否相同， 如果是， 则所述终端对所述拜访网络的 AAA服务器的认证通过。
14.一种拜访网络的认证、 授权和计费 AAA服务器， 其特征在于， 所述拜访网络的 AAA 服务器具体包括：
密钥获取模块， 用于收到终端发送的第一认证信息和第一认证票据后， 从所述第一认证 票据中获取第一预认证密钥材料；
第二生成模块， 用于根据所述密钥获取模块获取的第一预认证密钥材料， 采用与所述终 端生成第一认证信息相同的规则生成第二认证信息；
第二判断模块， 用于判断所述第二生成模块生成的第二认证信息与所述终端发送的第一 认证信息是否相同， 如果是， 则所述拜访网络的 AAA服务器对所述终端的认证通过；
第三生成模块， 用于生成第三认证信息；
第三发送模块， 用于将所述第三生成模块生成的第三认证信息发送给所述终端。
15. 一种认证系统， 其特征在于， 所述认证系统包括终端和拜访网络的认证、 授权和计 费 AAA服务器：
所述终端， 用于当进入家乡网络以外的拜访网络时， 获取所述拜访网络的身份信息， 根 据所述拜访网络的身份信息生成第二预认证密钥， 并根据所述预认证密钥对所述拜访网络的 AAA服务器进行身份认证；
所述拜访网络的 AAA服务器， 用于根据所述第二预认证密钥对所述终端进行身份认证。
16. 根据权利要求 15所述的认证系统， 其特征在于， 所述认证系统还包括网络接入设备 和家乡 AAA服务器：
所述网络接入设备， 用于在所述终端进入所述拜访网络之前， 判断所述终端所在的网络 周围是否存在潜在的拜访网络如果是， 则向所述家乡 AAA服务器发送所述潜在的拜访网络 的身份信息；
所述家乡 AAA服务器， 用于收到所述网络接入设备发送的潜在的拜访网络的身份信息 后， 根据所述终端的标识、所述家乡 AAA服务器的身份信息和 AAA密钥生成根密钥， 所述 AAA密钥为所述家乡 AAA服务器对所述终端进行可扩展的身份验证协议 EAP认证产生的 密钥材料； 根据所述网络接入设备发送的潜在的拜访网络的身份信息和所述根密钥生成预认 证密钥， 然后将所述预认证密钥发送给所述拜访网络的 AAA服务器。
17. 一种终端装置， 其特征在于， 所述终端具体包括：
获取模块，用于当所述终端进入家乡网络以外的拜访网络时， 获取拜访网络的身份信息; 第一生成模块，用于根据所述获取模块获取的拜访网络的身份信息生成第二预认证密钥; 第一认证模块， 用于根据所述第一生成模块生成的第二预认证密钥对所述拜访网络的 AAA服务器进行身份认证。 18 根据权利要求 17所述的终端装置， 其特征在于， 所述第一认证模块具体包括： 第一生成单元， 用于根据所述第一生成模块生成的第二预认证密钥生成第一认证信息； 第一发送单元， 用于将所述第一生成模块生成的第一认证信息发送给所述拜访网络的 AAA服务器；
第四生成单元， 用于在收到第三认证信息后， 根据所述拜访网络的 AAA服务器生成所 述第三认证信息相同的规则生成第四认证信息；
第一判断单元， 用于判断所述第四生成单元生成的第四认证信息与所述第三认证信息是 否相同， 如果是， 则所述终端对所述拜访网络的 AAA服务器的认证通过。
19 一种拜访网络的认证、 授权和计费 AAA服务器装置， 其特征在于， 所述拜访网络的 AAA服务器具体包括：
第二生成模块， 用于收到终端发送的第一认证信息后， 根据家乡 AAA服务器发送的预 认证密钥， 采用与所述终端生成第一认证信息相同的规则生成第二认证信息；
第二判断模块， 用于判断所述第二生成模块生成的第二认证信息与所述终端发送的第一 认证信息是否相同， 如果是， 则所述拜访网络的 AAA服务器对所述终端的认证通过；
第三生成模块， 用于生成第三认证信息；
第二发送模块， 用于将所述第三生成模块生成的第三认证信息发送给所述终端。
PCT/CN2009/071572 2008-06-25 2009-04-29 预认证的方法、认证系统和装置 WO2009155807A1 (zh)

Priority Applications (2)

Application Number Priority Date Filing Date Title
EP09768732A EP2282564A4 (en) 2008-06-25 2009-04-29 PRIOR AUTHENTICATION METHOD, AUTHENTICATION SYSTEM AND AUTHENTICATION APPARATUS
US12/979,085 US8407474B2 (en) 2008-06-25 2010-12-27 Pre-authentication method, authentication system and authentication apparatus

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN200810127098.1 2008-06-25
CN2008101270981A CN101616407B (zh) 2008-06-25 2008-06-25 预认证的方法和认证系统

Related Child Applications (1)

Application Number Title Priority Date Filing Date
US12/979,085 Continuation US8407474B2 (en) 2008-06-25 2010-12-27 Pre-authentication method, authentication system and authentication apparatus

Publications (1)

Publication Number Publication Date
WO2009155807A1 true WO2009155807A1 (zh) 2009-12-30

Family

ID=41444001

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2009/071572 WO2009155807A1 (zh) 2008-06-25 2009-04-29 预认证的方法、认证系统和装置

Country Status (4)

Country Link
US (1) US8407474B2 (zh)
EP (1) EP2282564A4 (zh)
CN (1) CN101616407B (zh)
WO (1) WO2009155807A1 (zh)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102946603A (zh) * 2012-10-31 2013-02-27 重庆市电力公司 电力云系统中基于社交特性的统一身份认证方法

Families Citing this family (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101616407B (zh) 2008-06-25 2011-04-27 华为技术有限公司 预认证的方法和认证系统
CN102355663B (zh) * 2011-06-30 2014-08-20 北京交通大学 基于分离机制网络的可信域间快速认证方法
CN102869000B (zh) * 2012-09-17 2015-05-20 北京交通大学 一种分离机制移动性管理系统的认证授权方法
WO2016032975A1 (en) * 2014-08-28 2016-03-03 Cryptography Research, Inc. Generating a device identification key from a base key for authentication with a network
CN106302324A (zh) * 2015-05-20 2017-01-04 北京神州泰岳软件股份有限公司 域内设备的用户认证方法及装置
US10701070B2 (en) * 2018-05-23 2020-06-30 Verum Securitas, Inc. Personalized security system

Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20020037708A1 (en) * 2000-09-22 2002-03-28 Roke Manor Research Limited Access authentication system
WO2007056313A2 (en) * 2005-11-07 2007-05-18 Cisco Technology, Inc. Allowing network access for proxy mobile ip cases for nodes that do not support chap authentication
US20070256120A1 (en) * 2006-04-26 2007-11-01 Cisco Technology, Inc. System and method for implementing fast reauthentication
CN101094063A (zh) * 2006-07-19 2007-12-26 中兴通讯股份有限公司 一种游牧终端接入软交换网络系统的安全交互方法
CN101094066A (zh) * 2006-06-19 2007-12-26 华为技术有限公司 一种移动ip密钥的产生及分发方法
CN101222319A (zh) * 2007-01-10 2008-07-16 华为技术有限公司 一种移动通信系统中密钥分发方法和系统

Family Cites Families (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7792527B2 (en) * 2002-11-08 2010-09-07 Ntt Docomo, Inc. Wireless network handoff key
CN1265676C (zh) * 2004-04-02 2006-07-19 华为技术有限公司 一种实现漫游用户使用拜访网络内业务的方法
US7602918B2 (en) * 2005-06-30 2009-10-13 Alcatel-Lucent Usa Inc. Method for distributing security keys during hand-off in a wireless communication system
CN100456726C (zh) * 2007-03-15 2009-01-28 北京安拓思科技有限责任公司 基于wapi的互联网接入认证的实现方法
CN101079891B (zh) 2007-06-15 2010-12-15 清华大学 基于无线局域网安全标准wapi的无线交换网络重认证方法
CN101616407B (zh) 2008-06-25 2011-04-27 华为技术有限公司 预认证的方法和认证系统

Patent Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20020037708A1 (en) * 2000-09-22 2002-03-28 Roke Manor Research Limited Access authentication system
WO2007056313A2 (en) * 2005-11-07 2007-05-18 Cisco Technology, Inc. Allowing network access for proxy mobile ip cases for nodes that do not support chap authentication
US20070256120A1 (en) * 2006-04-26 2007-11-01 Cisco Technology, Inc. System and method for implementing fast reauthentication
CN101094066A (zh) * 2006-06-19 2007-12-26 华为技术有限公司 一种移动ip密钥的产生及分发方法
CN101094063A (zh) * 2006-07-19 2007-12-26 中兴通讯股份有限公司 一种游牧终端接入软交换网络系统的安全交互方法
CN101222319A (zh) * 2007-01-10 2008-07-16 华为技术有限公司 一种移动通信系统中密钥分发方法和系统

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
See also references of EP2282564A4 *

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102946603A (zh) * 2012-10-31 2013-02-27 重庆市电力公司 电力云系统中基于社交特性的统一身份认证方法
CN102946603B (zh) * 2012-10-31 2015-12-02 重庆市电力公司 电力云系统中基于社交特性的统一身份认证方法

Also Published As

Publication number Publication date
US20110107099A1 (en) 2011-05-05
EP2282564A1 (en) 2011-02-09
EP2282564A4 (en) 2011-09-14
US8407474B2 (en) 2013-03-26
CN101616407B (zh) 2011-04-27
CN101616407A (zh) 2009-12-30

Similar Documents

Publication Publication Date Title
CN111835520B (zh) 设备认证的方法、服务接入控制的方法、设备及存储介质
US8327143B2 (en) Techniques to provide access point authentication for wireless network
AU2008302172B2 (en) Virtual subscriber identity module
JP4741664B2 (ja) 認証及びプライバシーに対する方法及び装置
JP4804983B2 (ja) 無線端末、認証装置、及び、プログラム
JP5043006B2 (ja) 無線通信システムにおけるハンドオフ中にセキュリティ・キーを配布する方法
JP4546240B2 (ja) チャレンジ／レスポンス方式によるユーザー認証方法及びシステム
WO2017028593A1 (zh) 网络接入设备接入无线网络接入点的方法、网络接入设备、应用程序服务器和非易失性计算机可读存储介质
US20080178274A1 (en) System for using an authorization token to separate authentication and authorization services
US20020120844A1 (en) Authentication and distribution of keys in mobile IP network
US20110004754A1 (en) Method And Apparatuses For Authentication And Reauthentication Of A User With First And Second Authentication Procedures
CN109075973B (zh) 一种使用基于id的密码术进行网络和服务统一认证的方法
EP1999567A2 (en) Proactive credential distribution
CN103416082A (zh) 用于使用安全元件对远程站进行认证的方法
JP2012502548A (ja) 認証能力のセキュアなネゴシエーション
WO2009155807A1 (zh) 预认证的方法、认证系统和装置
WO2018076564A1 (zh) 车辆通信中的隐私保护方法及隐私保护装置
WO2015100974A1 (zh) 一种终端认证的方法、装置及系统
Shrestha et al. Kerberos based authentication for inter-domain roaming in wireless heterogeneous network
US20120254615A1 (en) Using a dynamically-generated symmetric key to establish internet protocol security for communications between a mobile subscriber and a supporting wireless communications network
US9307406B2 (en) Apparatus and method for authenticating access of a mobile station in a wireless communication system
JP7312279B2 (ja) モバイルネットワークアクセスシステム、方法、記憶媒体及び電子機器
CN102694779A (zh) 组合认证系统及认证方法
WO2010094185A1 (zh) 安全切换方法及系统
TW200920067A (en) Key management system and method for wireless networks

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 09768732

Country of ref document: EP

Kind code of ref document: A1

WWE Wipo information: entry into national phase

Ref document number: 2009768732

Country of ref document: EP

NENP Non-entry into the national phase

Ref country code: DE