WO2010063190A1 - 协商认证方式的方法、装置和系统 - Google Patents

协商认证方式的方法、装置和系统 Download PDF

Info

Publication number
WO2010063190A1
WO2010063190A1 PCT/CN2009/073790 CN2009073790W WO2010063190A1 WO 2010063190 A1 WO2010063190 A1 WO 2010063190A1 CN 2009073790 W CN2009073790 W CN 2009073790W WO 2010063190 A1 WO2010063190 A1 WO 2010063190A1
Authority
WO
WIPO (PCT)
Prior art keywords
authentication
terminal
mode supported
authentication mode
authentication server
Prior art date
Application number
PCT/CN2009/073790
Other languages
English (en)
French (fr)
Inventor
张伟
Original Assignee
华为终端有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 华为终端有限公司 filed Critical 华为终端有限公司
Priority to EP09178046A priority Critical patent/EP2200358A3/en
Priority to US12/631,112 priority patent/US20100146262A1/en
Publication of WO2010063190A1 publication Critical patent/WO2010063190A1/zh

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • H04L63/205—Network architectures or network communication protocols for network security for managing network security; network security policies in general involving negotiation or determination of the one or more network security mechanisms to be used, e.g. by negotiation between the client and the server or between peers or by selection according to the capabilities of the entities involved

Definitions

  • the present invention relates to the field of wireless communications, and in particular, to a method, apparatus, and system for negotiating an authentication method.
  • WiMAX Worldwide Interoperability for Microwave Access
  • IEEE 802.16 Institute of Electrical and Electronics Engineering 802.16 specification. High-speed connection and long-distance coverage of the Internet, with quality of service (QoS) guarantee, high transmission rate, rich business, safe and reliable, and support for high-speed mobile.
  • WiMAX uses Orthogonal Frequency Division Multiplexing (OFDM), Orthogonal Frequency Division Multiple Access (OFDMA), Multiple Input Multiple Output (OFDM), which represents the future direction of communication technology development. Advanced technologies such as MIMO).
  • OFDM Orthogonal Frequency Division Multiplexing
  • OFDMA Orthogonal Frequency Division Multiple Access
  • OFDM Multiple Input Multiple Output
  • Advanced technologies such as MIMO).
  • the network elements involved in the authentication include a mobile station (MS), a base station (Base Station, BS), a gateway (GW, GW), and an authentication, authentication, and accounting (AAA) server.
  • MS mobile station
  • BS Base Station
  • GW gateway
  • AAA authentication, authentication, and accounting
  • SBC basic capabilities of the network access
  • the MS and the GW will perform an authentication policy negotiation, that is, the two parties adopt the Extensible Authentication Protocol (EAP) authentication or RSA authentication or not.
  • EAP Extensible Authentication Protocol
  • RSA RSA authentication
  • EAP itself supports multiple authentication methods, such as the currently widely used scalable authentication protocol-transport layer security ( EAP- Transport Layer Security, EAP- TLS), Extensible Authentication Protocol - EAP-TTLS, EAP-Authentication and Key Agreement (EAP-AKA), Extensible Authentication Protocol-User Identity Identification Module (EAP-SIM), etc.
  • EAP-TTLS a secure tunnel can be established in the authentication, and Challenge Handshake Authentication Protocol (CHP) and MS-CHAPv MS-CHAPv2 authentication can also be performed in the secure tunnel.
  • CHP Challenge Handshake Authentication Protocol
  • MS-CHAPv MS-CHAPv2 authentication can also be performed in the secure tunnel.
  • the authentication parties need to determine the common authentication mode for subsequent authentication.
  • the terminal such as MS
  • the network side such as GW or AAA server
  • the terminal uses the manual authentication mode and the corresponding configuration of the tunnel method.
  • the configuration operation cannot guarantee the correctness.
  • various commercial terminals and GWs or AAA servers
  • the embodiment of the present invention provides a method for negotiating an authentication mode.
  • the dynamic authentication of the terminal and the network side before authentication determines the authentication mode supported by both the terminal and the network side, thereby eliminating the pre-authentication configuration process and enhancing the terminals of different vendors. Interoperability with the network side.
  • the embodiment of the invention further provides an apparatus and system for negotiating an authentication mode.
  • a method for negotiating an authentication method including: sending a first negotiation request of an authentication mode supported by a terminal to an authentication server, so that the authentication server according to the authentication mode supported by the authentication server and the terminal in the first negotiation request
  • the supported authentication mode determines the authentication mode supported by both parties and sends the authentication mode.
  • the authentication mode supported by the two parties sent by the authentication server is received.
  • a method for negotiating an authentication method comprising: receiving a second negotiation request that is sent by an authentication server and carrying an authentication mode supported by the authentication server; and the authentication server supported by the terminal and the authentication server in the second negotiation request Supported authentication methods to determine the recognition of both parties
  • the authentication mode is sent to the authentication server.
  • a terminal comprising: a sending unit, configured to send a first negotiation request that carries an authentication mode supported by the terminal to an authentication server, so that the authentication server is configured according to an authentication method supported by the authentication server and the first negotiation request
  • the authentication mode supported by the terminal determines the authentication mode supported by both parties and sends the authentication mode
  • the receiving unit is connected to the sending unit, and is configured to receive the authentication mode supported by the two sides sent by the authentication server.
  • a base station comprising: a receiving unit, configured to receive a basic capability request message that is sent by the terminal and that is supported by the terminal, and a first negotiation that is sent by the authentication server and that carries the authentication mode supported by the two parties And an encapsulating unit, configured to encapsulate an authentication mode supported by the terminal into the first negotiation request, and to encapsulate an authentication mode supported by the two parties in the first negotiation response to a basic capability response And a sending unit, configured to send the first negotiation request to the authentication server, and send a basic capability response message including an authentication mode supported by the two parties to the terminal.
  • An authentication server comprising: a receiving unit, configured to receive a first negotiation request that is sent by the terminal and that is supported by the terminal, and a determining unit, configured to be used according to the authentication mode supported by the authentication server and the first negotiation request
  • the authentication mode supported by the terminal determines the authentication mode supported by both parties; and the sending unit is configured to send the authentication mode supported by the two parties to the end.
  • a system for negotiating an authentication method comprising: a terminal, a base station, and an authentication server that are sequentially connected, where the terminal is configured to send a first negotiation request that carries an authentication mode supported by the terminal to an authentication server, so that the authentication server supports the authentication server according to its own support.
  • the authentication mode and the authentication mode supported by the terminal in the first negotiation request determine the authentication mode supported by both parties and send the same; and receive the authentication mode supported by the authentication server.
  • a terminal comprising: a receiving unit, configured to receive a second negotiation request that is sent by an authentication server and that carries a first authentication mode supported by the authentication server; a determining unit, configured to use, according to the authentication mode supported by the terminal itself, The first recognition supported by the authentication server in the second negotiation request The authentication mode is used to determine the authentication mode supported by both parties.
  • the sending unit is configured to send the authentication mode supported by the two parties to the authentication server.
  • An authentication server comprising: a sending unit, configured to send a second negotiation request that carries the first authentication mode supported by the authentication server to the terminal, so that the terminal according to the authentication mode supported by the terminal itself and the first The first authentication mode supported by the authentication server in the second negotiation request determines the authentication mode supported by both parties; and the receiving unit is configured to receive the authentication mode supported by the two parties.
  • a system for negotiating an authentication method comprising: a connected terminal and an authentication server, where the terminal is configured to receive a second negotiation request that is sent by the authentication server and that carries the first authentication mode supported by the authentication server; The authentication mode and the first authentication mode supported by the authentication server in the second negotiation request determine an authentication mode supported by both parties; and send the authentication mode supported by both parties to the authentication server.
  • the terminal and the authentication server mutually determine the authentication mode supported by both parties before the authentication, thereby determining the common use of the subsequent authentication.
  • the authentication mode ensures that users and other people can participate in the authentication, ensuring the normal operation of the authentication, and also enabling the interworking between the terminals of different vendors and the devices on the network side.
  • FIG. 1 is a flowchart of a method for negotiating an authentication method in a first embodiment of the present invention
  • FIG. 2 is a flow chart of a method for negotiating an authentication mode in a second embodiment of the present invention
  • FIG. 3 is a flowchart of a method for negotiating an authentication mode in a third embodiment of the present invention
  • FIG. 4 is a schematic structural diagram of a terminal according to a fourth embodiment of the present invention.
  • FIG. 5 is a schematic structural diagram of a base station according to a fifth embodiment of the present invention.
  • FIG. 6 is a schematic structural diagram of an authentication server according to a sixth embodiment of the present invention.
  • FIG. 7 is a schematic structural diagram of a terminal according to an eighth embodiment of the present invention.
  • FIG. 8 is a schematic structural diagram of an authentication server according to a ninth embodiment of the present invention.
  • FIG. 9 is a schematic structural diagram of a system for negotiating an authentication method according to a tenth embodiment of the present invention. detailed description
  • a first embodiment of the present invention provides a method for negotiating an authentication method, as shown in FIG. 1.
  • Step 101 The terminal sends a first negotiation request that carries the authentication mode supported by the terminal to the authentication server, where the step is such that the authentication server supports the authentication mode supported by the terminal and the authentication mode supported by the terminal in the first negotiation request. Determine the authentication methods supported by both parties and send them to the end
  • Step 102 The terminal receives the authentication mode supported by the two sides sent by the authentication server.
  • the method for negotiating the authentication method in the embodiment of the present invention determines a common authentication method to be used for subsequent authentication, thereby avoiding human participation, thereby ensuring the normal progress of the authentication process.
  • a second embodiment of the present invention provides a method for negotiating an authentication mode. As shown in FIG. 2, it is a flow chart of interaction between a terminal, a base station, and an authentication server.
  • Step 201 The terminal sends a basic capability request message carrying an authentication mode supported by the terminal to the current base station serving the terminal.
  • Step 202 The base station encapsulates the authentication mode supported by the terminal into the first negotiation request.
  • Step 203 The base station sends the encapsulated first negotiation request to the authentication server.
  • Step 204 After receiving the first negotiation request, the authentication server determines the authentication mode supported by both parties according to the authentication mode supported by the authentication server and the authentication mode supported by the terminal in the first negotiation request.
  • the authentication server determines the authentication mode supported by both parties, based on whether the terminal passes the user authentication.
  • the terminal contains a digital certificate.
  • the WIMAX terminal is used as an example, and the terminal also includes frequency information for communication when first used.
  • the interaction between the terminal and the authentication server takes the method of device authentication.
  • the terminal adopts device authentication for the first time, it uses the digital certificate to communicate with the authentication server at the pre-stored frequency point, and opens an account (opens the user name and User account information such as password) and the required business.
  • the authentication of the terminal and the authentication server is user authentication, and the authentication mode is more secure than the device authentication when the terminal is first used.
  • the authentication server determines what kind of authentication method should be supported by both parties.
  • the authentication server selects the authentication mode corresponding to the device authentication from the authentication mode supported by the terminal and the authentication mode supported by the terminal.
  • EAP-TLS is an authentication method corresponding to device authentication.
  • the authentication server can select the authentication mode corresponding to the device authentication. Negotiate the results for use in subsequent certification processes.
  • the authentication method corresponding to user authentication is
  • EAP-TTLS EAP-AKA and EAP-SIM.
  • the authentication server can select one authentication mode as the authentication mode used by the authentication process.
  • Step 205 The authentication server sends a first negotiation response to the base station.
  • Step 206 After receiving the first negotiation response, the base station encapsulates the authentication mode supported by the two parties in the first negotiation response into the basic capability response message.
  • Step 207 The base station sends the encapsulated basic capability response message to the terminal.
  • the method for negotiating the authentication mode provided in this embodiment is performed during the capability negotiation between the terminal and the base station. Before the capability negotiation between the terminal and the base station, a process of network initialization including ranging and ranging between the terminal and the base station is further included.
  • the terminal in this embodiment may be specifically a mobile station, and the authentication mode supported by the mobile station is included in the basic capability request and sent to the base station. After the base station performs re-encapsulation, it is carried in the terminal status change request and sent to the authentication server. Similarly, after the authentication server determines the authentication methods supported by both parties, The terminal state change response carries the authentication mode supported by both parties and sends it to the base station. The base station re-encapsulates the authentication mode supported by both parties into the basic capability response message, and sends the basic capability response message to the mobile station. After the above authentication mode negotiation is completed, a subsequent authentication process may be performed.
  • the authentication mode supported by the terminal and the authentication mode supported by the terminal and the authentication server are represented by a Type-Length-Value (TLV) triplet. Further, you can use the value of the Boolean type of the content field in the TLV, taking Table 1 as an example -
  • the length of the TLV is 1 or 2 bytes, and each bit can be defined in advance to correspond to an authentication method. If the bit is set to 1, the authentication method is supported, for example, if Bit#0 is set to 1, Indicates that the EAP-TLS method is supported.
  • the MS carries the TLV in the basic capability request message and reports it to the BS.
  • the BS then sends the terminal status change request to the authentication server (the authentication server can be specifically set in the gateway GW).
  • the GW can select an authentication method supported by the MS at this time, and send the message to the BS through the terminal status change response message, and the BS sends the basic capability response message to the MS.
  • EAP-TTLS is an authentication method that can perform tunnel authentication.
  • the tunnel is used to transmit data such as user names and passwords to be encrypted. If the authentication mode supported by the terminal and the authentication mode supported by the terminal and the authentication server are used in this authentication mode, the TLV shown in the following table needs to be defined in the tunnel authentication:
  • Type Length Value One or two bytes to be determined each represents a tunnel authentication method. If set to 1, the terminal supports this authentication method, such as:
  • Bit#0 is set to 1
  • the method for negotiating the tunnel authentication is similar to the method for negotiating the authentication method in the embodiment corresponding to Table 1, and is not described here.
  • the method for negotiating the authentication method in the embodiment of the present invention increases the carrying mode authentication mode and the terminal and the authentication server support in the capability negotiation process before the authentication between the terminal, the base station, and the authentication server.
  • the TLV of the authentication mode implements dynamic negotiation of the authentication mode of the terminal and the authentication server before the authentication process, so that subsequent authentication can be smoothly performed.
  • a fourth embodiment of the present invention provides a terminal, as shown in Fig. 4, including a transmitting unit and a receiving unit that are connected to each other.
  • the sending unit is configured to send a first negotiation request that carries the authentication mode supported by the terminal to the authentication server, so that the authentication server supports the authentication mode supported by the terminal according to the authentication mode supported by the authentication server and the first negotiation request. In this way, determine the authentication method supported by both parties and send it.
  • the receiving unit is configured to receive an authentication manner that is supported by the two sides that are sent by the authentication server.
  • the sending unit is configured to send a basic capability request message of the authentication mode supported by the terminal to the current base station serving the terminal, and the base station encapsulates the authentication mode supported by the terminal into the first negotiation request. Afterwards, the first negotiation request is sent to the authentication server.
  • the receiving unit is specifically configured to receive a basic capability response message that is sent by the base station and includes an authentication mode supported by the two parties.
  • the authentication mode supported by the two parties in the basic capability response message after the base station receives the first negotiation response that is sent by the authentication server and carries the authentication mode supported by the two parties, The authentication mode supported by the two parties in the first negotiation response is encapsulated into the Basic ability response message.
  • the negotiated authentication mode in this embodiment is performed during the capability negotiation between the terminal and the base station.
  • the process of network initialization including ranging and ranging between the terminal and the base station is further included.
  • the terminal in this embodiment may be specifically a mobile station, and the authentication mode supported by the mobile station is included in the basic capability request and sent to the base station.
  • the base station After the base station performs re-encapsulation, it is carried in the terminal state change request and sent to the authentication server.
  • the authentication server determines the authentication mode supported by both parties
  • the authentication mode that is supported by both parties is carried by the terminal state change response and sent to the base station.
  • the base station re-encapsulates the authentication mode supported by both parties into the basic capability response message, and sends the basic capability response message to the mobile station. After the above authentication method is negotiated, the subsequent authentication process can be performed.
  • the authentication mode supported by the terminal and the authentication mode supported by the two parties may be represented by a type-length-content triplet.
  • the authentication mode supported by the terminal and the authentication mode supported by the two parties may be represented by a type-length-content triplet.
  • the terminal in the foregoing embodiment initiates the negotiation of the first negotiation request to the authentication server on the network side, so that the authentication server on the network side selects the authentication mode supported by both parties according to the authentication mode supported by the terminal and the authentication mode supported by the terminal.
  • the subsequent authentication is performed normally, without manual configuration, and the interworking between the terminal and the network is also guaranteed.
  • a fifth embodiment of the present invention provides a base station, as shown in FIG. 5, including a receiving unit, a packaging unit, and a transmitting unit that are sequentially connected to each other.
  • the receiving unit is configured to receive a basic capability request message that is sent by the terminal and that is supported by the terminal, and a first negotiation response that is sent by the authentication server and that carries the authentication mode supported by the two parties.
  • the encapsulating unit is configured to encapsulate the authentication mode supported by the terminal into the first negotiation request, and encapsulate the authentication mode supported by the two parties in the first negotiation response into a basic capability response message.
  • the sending unit is configured to send the first negotiation request to the authentication server, and send a basic capability response message including an authentication mode supported by the two parties to the terminal.
  • the negotiation authentication mode in this embodiment is performed in the process of capability negotiation between the terminal and the base station. Before the capability negotiation of the capability negotiation between the terminal and the base station, the process of network initialization including ranging and ranging between the terminal and the base station is further included.
  • the terminal in this embodiment may be specifically a mobile station, and the authentication mode supported by the mobile station is included in the basic capability request and sent to the base station.
  • the base station After the base station performs re-encapsulation, it is carried in the terminal state change request and sent to the authentication server.
  • the authentication server determines the authentication mode supported by both parties
  • the authentication mode that is supported by both parties is carried by the terminal state change response and sent to the base station.
  • the base station re-encapsulates the authentication mode supported by both parties into the basic capability response message, and sends the basic capability response message to the mobile station. After the above authentication method is negotiated, the subsequent authentication process can be performed.
  • the current base station served by the base station in the foregoing embodiment is configured to re-encapsulate the authentication mode supported by the terminal to the first negotiation response, and send the authentication mode to the authentication server, so that the authentication server can be authenticated according to the terminal. And the authentication method supported by the authentication server itself, select the authentication method suitable for the terminal and the authentication server, and prepare for the subsequent authentication process.
  • a sixth embodiment of the present invention provides an authentication server, as shown in Fig. 6, comprising a receiving unit, a decision unit, and a transmitting unit that are sequentially connected to each other.
  • the receiving unit is configured to receive a first negotiation request that is sent by the terminal and is supported by the terminal.
  • the determining unit is configured to determine an authentication mode supported by both parties according to the authentication mode supported by the authentication server and the authentication mode supported by the terminal in the first negotiation request.
  • the sending unit is configured to send the authentication mode supported by the two parties to the terminal.
  • the above decision unit includes a judging unit and a determining unit.
  • the determining unit is configured to determine whether the terminal passes user authentication and device authentication; The determining unit is configured to: when the terminal passes the user authentication, determine that the authentication mode supported by both parties is the authentication mode corresponding to the user authentication;
  • the determining unit is further configured to: when the terminal passes the device authentication and fails the user authentication, determines that the authentication mode supported by the two parties is the authentication mode corresponding to the device authentication.
  • the authentication server determines the authentication mode supported by both parties, based on whether the terminal passes the user authentication.
  • the terminal contains a digital certificate.
  • the WIMAX terminal is used as an example, and the terminal also includes frequency information for communication when first used.
  • the interaction between the terminal and the authentication server takes the method of device authentication.
  • the terminal adopts device authentication for the first time, it uses the digital certificate to communicate with the authentication server at the pre-stored frequency, and opens an account (opening user account information such as user name and password) and the required service.
  • the authentication of the terminal and the authentication server is user authentication, and the authentication mode is more secure than the device authentication when the terminal is first used.
  • the authentication server determines what kind of authentication method should be supported by both parties.
  • the authentication server selects the authentication mode corresponding to the device authentication from the authentication mode supported by the terminal and the authentication mode supported by the terminal.
  • EAP-TLS is an authentication method corresponding to device authentication.
  • the authentication server can select the authentication mode corresponding to the device authentication. Negotiate the results for use in subsequent certification processes.
  • the terminal When the terminal communicates with the authentication server after restarting after the first use, it can be considered that the terminal and the authentication server adopt the mode of user authentication.
  • the authentication methods corresponding to user authentication include EAP-TTLS, EAP-AKA, and EAP-SIM.
  • the authentication server can select one authentication mode as the authentication mode used by the authentication process.
  • the authentication method supported by the device is represented by the Type-Length-Value (TLV) triplet.
  • TLV Type-Length-Value
  • the authentication server may be specifically configured in a network device such as a gateway.
  • the authentication server determines, according to the authentication mode supported by the terminal and the authentication mode supported by the authentication server, and whether the terminal passes the user authentication, and determines the terminal and the authentication server should select during the authentication process.
  • the authentication mode is used to pave the way for the authentication communication between the two, and the negotiation process does not need to be manually configured.
  • a seventh embodiment of the present invention provides a system for negotiating an authentication method.
  • the terminal includes a terminal, a base station, and an authentication server.
  • the terminal is configured to send a first negotiation request that carries the authentication mode supported by the terminal to the authentication server, where the authentication server determines the two parties according to the authentication mode supported by the terminal and the authentication mode supported by the terminal in the first negotiation request. Both support authentication methods are sent.
  • the terminal receives the authentication mode supported by the two sides sent by the authentication server.
  • the above negotiated authentication mode is performed during the capability negotiation between the terminal and the base station.
  • the process of initializing the network including the ranging between the terminal and the base station is further included.
  • the authentication server determines the authentication mode supported by both parties, depending on whether the terminal passes the user authentication.
  • the terminal contains a digital certificate.
  • the WIMAX terminal is used as an example, and the terminal also includes frequency information for communication when first used.
  • the interaction between the terminal and the authentication server takes the method of device authentication.
  • the terminal adopts device authentication for the first time, it uses the digital certificate to communicate with the authentication server at the pre-stored frequency, and opens an account (opening user account information such as user name and password) and the required service.
  • the authentication of the terminal and the authentication server is user authentication, and the authentication mode is more secure than the device authentication when the terminal is first used.
  • the authentication server determines whether the terminal should determine the authentication mode supported by both parties according to whether the terminal is powered on for the first time.
  • the authentication server selects the authentication mode corresponding to the device authentication from the authentication mode supported by the terminal and the authentication mode supported by the terminal.
  • EAP-TLS is an authentication method corresponding to device authentication.
  • the authentication server can select the authentication mode corresponding to the device authentication. Negotiate the results for use in subsequent certification processes.
  • the terminal When the terminal communicates with the authentication server after restarting after the first use, it can be considered that the terminal and the authentication server adopt the mode of user authentication.
  • the authentication methods corresponding to user authentication include EAP-TTLS. EAP-AKA and EAP-SIM.
  • the authentication server can select one authentication mode as the authentication mode used by the authentication process.
  • the terminal in this embodiment may be specifically a mobile station, and the authentication mode supported by the mobile station may be included in the basic capability request and sent to the current base station serving the mobile station.
  • the base station After the base station performs re-encapsulation, it is carried in the terminal status change request and sent to the authentication server.
  • the authentication server determines the authentication mode supported by both parties
  • the authentication mode that is supported by both parties is carried by the terminal state change response and sent to the base station.
  • the base station re-encapsulates the authentication mode supported by both parties into the basic capability response message, and sends the basic capability response message to the mobile station. After the above-mentioned authentication method is completed, the subsequent authentication process can be performed.
  • the type of the authentication method supported by the terminal and the authentication mode supported by the terminal and the authentication server may be represented by the type-length-content triplet TLV.
  • TLV type-length-content triplet
  • a third embodiment of the present invention provides a method for negotiating an authentication method, as shown in FIG. Step 301: The terminal receives a second negotiation request that is sent by the authentication server and carries an authentication mode supported by the authentication server.
  • Step 302 The terminal determines, according to the authentication mode supported by the terminal and the authentication mode supported by the authentication server in the second negotiation request, the authentication mode supported by the terminal.
  • Step 303 The terminal sends the authentication mode supported by the two parties to the authentication server.
  • the negotiation authentication mode in this embodiment is different from the negotiation authentication mode in the first embodiment and the second embodiment.
  • the negotiation authentication mode in this embodiment is performed after the basic capability negotiation is completed, that is, in the EAP authentication process.
  • the negotiated authentication mode is performed after the terminal identity is transmitted between the terminal and the authentication server, and is performed before the EAP authentication data interaction.
  • the terminal identity identifier is transmitted before the negotiation authentication mode of the embodiment, and the authentication server requests the terminal to upload the user identifier, so that the authentication server verifies the identity of the terminal and the user according to the identifier.
  • the method for negotiating the authentication method in the embodiment of the present invention is performed in the EAP authentication process, and the common authentication mode to be used for subsequent authentication is determined, thereby avoiding human participation, thereby ensuring the normal progress of the authentication process.
  • the second negotiation request is an extensible authentication protocol request.
  • the authentication mode supported by both parties is carried in the scalable authentication protocol response and sent to the authentication server.
  • the authentication mode supported by both the terminal and the authentication server may be represented by a type-value, and may further be represented by a boolean type numerical value of the numeric field in the type-value. , as shown in Table 3 below.
  • the Type can be defined as EAP-TYPE-NEGO to distinguish it from other EAP authentication methods (such as EAP-TTLS authentication mode).
  • EAP-TTLS EAP-TTLS
  • the Type-Data area is type data corresponding to the EAP-TTLS authentication mode.
  • the length of the Type-Data area is variable and can be one byte or two bytes. The length is determined according to the result negotiated by the terminal and the authentication server.
  • the length of the Type-Data area is one byte. At this time, this one byte represents the authentication method. Refer to the definition of Value in Table 1, that is, each bit represents an authentication method. When an authentication method is used, the bit position of the authentication mode is one. Otherwise, Zero. For example, if bit 0 represents EAP-TLS, bit 0 is set to one when the authentication mode negotiated by the terminal and the authentication server is EAP-TLS.
  • the length of the Data area is two bytes.
  • each bit in the first byte represents an authentication mode (as described above), and each bit of the second byte represents a tunneling method.
  • the bit 0 in the second byte area of the Type-Data area represents the CHAP tunnel authentication, and when the tunnel authentication authentication mode of the EAP-TTLS negotiated by the terminal and the authentication server is CHAP, Bit 0 is set to one.
  • the authentication server can know whether the terminal is powered on for the first time through communication with the terminal, and whether the terminal has passed the user authentication.
  • the authentication between the terminal and the authentication server uses a digital certificate built in when the terminal is issued.
  • the authentication server can determine that the terminal and the authentication server should use the authentication mode corresponding to the device authentication. If the terminal communicates with the authentication server any time except for the first power-on and the authentication server communication, the terminal at this time should have passed the device authentication, and the data related to the user authentication is obtained from the authentication server, and the authentication server can be obtained. User authentication is performed between. Therefore, in addition to the first power-on of the terminal and the communication of the authentication server, the authentication of the terminal and the authentication server should be the authentication mode corresponding to the user authentication.
  • the authentication server can determine whether the terminal is currently using user authentication or device authentication, and the authentication server can be used in multiple authentication modes corresponding to user authentication or device authentication. Select one and send it to the terminal. For example, when the authentication server confirms that the communication between the current terminal and the terminal uses user authentication, the authentication server may select one of the authentication methods corresponding to the user authentication, such as EAP-TTLS, EAP-A A, EAP-SIM, etc., as the first An authentication method, such as EAP-TTLS, is sent to the terminal. At this time, after receiving the EAP-TTLS authentication mode sent by the authentication server, the terminal compares the authentication mode supported by the authentication server.
  • EAP-TTLS authentication methods corresponding to the user authentication
  • the authentication server gives a confirmation result, that is, the authentication server and the terminal support. The way of certification.
  • the terminal finds that the authentication mode supported by the terminal is different from the authentication mode sent by the authentication server, the terminal continues to request the authentication server to send the second authentication mode supported by the terminal. According to the request, the authentication server continues to send the authentication mode supported by the other authentication server to the terminal to wait for the terminal to judge, until the terminal confirms that the authentication mode supported by the authentication server is the same as the authentication mode supported by the terminal, and the terminal sends the support. The authentication method is answered by the authentication server.
  • the method for negotiating the authentication mode in the embodiment of the present invention adds a negotiation authentication mode in the initial stage of the authentication process, and the authentication server initiates a message that the terminal confirms the commonly supported authentication mode, and the terminal responds to the message and determines that both parties support the message.
  • the dynamic negotiation of the authentication mode can still be performed before the authentication is performed, so that the subsequent authentication is more targeted, and different from the prior art, the manual participation is required, and the interoperability between the terminals and the network side between different vendors is realized. .
  • An eighth embodiment of the present invention provides a terminal, as shown in FIG. 7, including a receiving unit, a decision unit, and a transmitting unit that are sequentially connected.
  • the receiving unit is configured to receive a second negotiation request that is sent by the authentication server and that carries the first authentication mode supported by the authentication server.
  • the determining unit is configured to determine an authentication mode supported by both parties according to the authentication mode supported by the terminal and the first authentication mode supported by the authentication server in the second negotiation request.
  • the sending unit is configured to send the authentication mode supported by the two parties to the authentication server.
  • the above decision unit further includes a determination unit and a determination unit.
  • the determining unit is configured to determine whether the first authentication mode supported by the authentication server is the same as the authentication mode supported by the terminal itself.
  • the determining unit is connected to the determining unit, and is configured to: when the first authentication mode supported by the authentication server is the same as the authentication mode supported by the terminal, confirm that the authentication mode supported by the two parties is the terminal The authentication method supported by itself.
  • the sending unit is connected to the determining unit, and is configured to send, when the first authentication mode supported by the authentication server is different from the authentication mode supported by the terminal, to the authentication server to request the authentication server to support The second authentication method is requested.
  • the receiving unit is further configured to receive a second authentication mode supported by the authentication server that is sent by the authentication server according to the request;
  • the determining unit is further configured to determine whether the second authentication mode supported by the authentication server is the same as the authentication mode supported by the terminal itself;
  • the determining unit is connected to the determining unit, and is configured to: when the second authentication mode supported by the authentication server is the same as the authentication mode supported by the terminal, confirm that the authentication mode supported by the two parties is the terminal The authentication method supported by itself.
  • the terminal in this embodiment may be specifically a mobile station, and the authentication server may be specifically configured in the gateway.
  • the terminal in the embodiment of the present invention after the authentication server initiates the message that the terminal confirms the commonly supported authentication mode, responds to the message and determines the authentication mode supported by both parties, and can still perform the authentication mode before the authentication is performed.
  • the dynamic negotiation makes the subsequent authentication more targeted, and is different from the prior art, requiring manual participation, and achieving interoperability between terminals and networks on different vendors.
  • a ninth embodiment of the present invention provides an authentication server, as shown in FIG. 8, including a connected transmitting unit and a receiving unit.
  • the sending unit is configured to send a second negotiation request that carries the first authentication mode supported by the authentication server to the terminal, so that the terminal performs the authentication according to the authentication mode supported by the terminal and the second negotiation request.
  • the first authentication method supported by the server determines the authentication mode supported by both parties.
  • the receiving unit is configured to receive an authentication mode that is sent by the terminal and supported by the two parties.
  • the receiving unit is further configured to receive, by the terminal, a request for requesting the second authentication mode supported by the authentication server;
  • the sending unit is further configured to send, according to the request, a second authentication mode supported by the authentication server to the terminal.
  • the authentication server provided by the embodiment provides the terminal with other authentication methods supported by the authentication server to ensure that the authentication method is the same as that supported by the terminal, thereby further ensuring the success of the dynamic negotiation. Conducted, prepared for the follow-up negotiation process.
  • a tenth embodiment of the present invention provides a system for negotiating an authentication mode. As shown in FIG. 9, the system includes a terminal and an authentication server.
  • the terminal is configured to receive a second negotiation request that is sent by the authentication server and that carries the first authentication mode supported by the authentication server, and is supported by the authentication server supported by the terminal and the authentication server in the second negotiation request.
  • the first authentication mode determines the authentication mode supported by both parties; and sends the authentication mode supported by both parties to the authentication server.
  • the terminal finds that the authentication mode supported by the terminal is different from the first authentication mode sent by the authentication server, the terminal continues to request the authentication server to send the second authentication mode supported by the terminal. According to the request, the authentication server continues to send the authentication mode supported by the other authentication server to the terminal to wait for the terminal to judge, until the terminal confirms that the authentication mode supported by the authentication server is the same as the authentication mode supported by the terminal, and the terminal sends the support. The authentication method is answered by the authentication server.
  • the authentication server initiates a message that the terminal confirms the commonly supported authentication mode, and the terminal responds to the message and determines the authentication mode supported by both parties, which can still be performed before the authentication is performed.
  • the dynamic negotiation of the authentication mode makes the subsequent authentication more targeted, and is different from the prior art in that manual participation is required, and the interoperability between the terminals and the network side between different vendors is realized.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Mobile Radio Communication Systems (AREA)

Description

协商认证方式的方法、 装置和系统
本申请要求于 2008 年 12 月 4 日提交中国专利局、 申请号为 200810218044.6, 发明名称为 "协商认证方式的方法、 装置和系统" 的中国 专利申请的优先权， 其全部内容通过引用结合在本申请中。
技术领域
本发明涉及无线通信领域， 尤其涉及一种协商认证方式的方法、 装置和 系统。
背景技术
微波接入全球互操作性 （ Worldwide Interoperability for Microwave Access, WiMAX) 是基于美国电气与电子工程师协会 （Institute of Electrical and Electronics Engineering, IEEE) 802.16规范的一项新兴宽带无线接入技 术， 它能提供面向互联网的高速连接和远距离覆盖， 具有服务质量 （Quality of Service, QoS ) 保障、 传输速率高、 业务丰富、 安全可靠、 支持高速移动 等优点。 WiMAX采用了代表未来通信技术发展方向的正交频分复用 ( Orthogonal Frequency Division Multiplexing , OFDM ) 、 正交频分多址 ( Orthogonal Frequency Division Multiple Access， OFDMA ) 、 多进多出 (Multiple Input Multiple Output, MIMO) 等先进技术。
WiMAX 的安全接入是通过认证来完成的。 认证涉及的网元有移动台 ( Mobile Station, MS ) ， 基站 ( Base Station , BS ) ， 网关 ( Gateway , GW ) ， 认证、 鉴权、 计费 ( Authentication Authorization Accounting , AAA) 服务器。 在入网的基本能力 ( SSBasicCapabilities, SBC ) 协商中， MS与 GW将进行认证策略 (Authorization policy)协商， 即双方采用可扩展认 证 1 "办议 (Extensible Authentication Protocol, EAP) 认证或 RSA认证或不支 持认证。 对于符合 IEEE802.16e规范的设备来说， 如果 MS与 GW都支持认 证， 那么双方将采用 EAP认证。 EAP本身支持多种认证方式， 如当前广泛 使用的可扩展认证协议 -传输层安全 （EAP- Transport Layer Security, EAP- TLS ) 、 可扩展认证协议-隧道传输层安全 （EAP- Tunnel Transport Layer Security， EAP-TTLS ) 、 可扩展认证协议-认证密钥协议 （ EAP- Authentication and Key Agreement, EAP-AKA) 、 可扩展认证协议-用户身份 鉴别模件 (EAP- Subscriber Identification Module, EAP-SIM) 等。 而且， 对 于一些认证方式如 EAP-TTLS, 认证中可以建立安全隧道， 在安全隧道中还 可以进行挑战握手认证协议 (Challenge Handshake Authentication Protocol, CHAP) 、 MS-CHAPv MS-CHAPv2认证。
认证双方需要确定共同的认证方式进行后续的认证， 目前终端 (如 MS) 与网络侧 (如 GW或 AAA服务器)采用人工进行认证方式、 隧道方法的相应 配置。 但由于用户不是专业人员， 其配置操作无法保证正确性。 并且目前各 种商用终端和 GW (或 AAA服务器)都实现了各种主要的 EAP认证方式， 如 果终端 MS与网络侧设备 (GW或 AAA)是不同厂商的， 则终端与网络侧设备 之间的互联互通性将无法实现。
发明内容
本发明实施例提供一种协商认证方式的方法， 通过在认证前终端和网络 侧的动态协商， 确定终端和网络侧双方都支持的认证方式， 从而免除认证前 的配置过程， 增强不同厂家的终端与网络侧的互联互通性。
本发明实施例还提供一种协商认证方式的装置和系统。
根据上述目的， 本发明实施例的技术方案是这样实现的：
一种协商认证方式的方法， 包括： 发送携带终端支持的认证方式的第一 协商请求到认证服务器， 以使所述认证服务器根据自身支持的认证方式和所 述第一协商请求中的所述终端支持的认证方式， 确定双方都支持的认证方式 并发送； 接收所述认证服务器发送的所述双方都支持的认证方式。
一种协商认证方式的方法， 包括： 接收认证服务器发送的携带所述认证 服务器支持的认证方式的第二协商请求； 根据终端自身支持的认证方式和所 述第二协商请求中的所述认证服务器支持的认证方式， 确定双方都支持的认 证方式； 将所述双方都支持的认证方式发送给所述认证服务器。
一种终端， 包括： 发送单元， 用于发送携带所述终端支持的认证方式的 第一协商请求到认证服务器， 以使所述认证服务器根据自身支持的认证方式 和所述第一协商请求中的所述终端支持的认证方式， 确定双方都支持的认证 方式并发送； 接收单元， 与所述发送单元相连， 用于接收所述认证服务器发 送的所述双方都支持的认证方式。
一种基站， 包括： 接收单元， 用于接收终端发送的携带终端支持的认证 方式的基本能力请求消息， 以及用于接收所述认证服务器发送的携带所述双 方都支持的认证方式的第一协商应答； 封装单元， 用于将所述终端支持的认 证方式封装到所述第一协商请求中， 以及用于将所述第一协商应答中的所述 双方都支持的认证方式封装到基本能力应答消息中； 发送单元， 用于将所述 第一协商请求发送到所述认证服务器， 以及用于发送包含所述双方都支持的 认证方式的基本能力应答消息给所述终端。
一种认证服务器， 包括： 接收单元， 用于接收终端发送的携带终端支持 的认证方式的第一协商请求； 决策单元， 用于根据所述认证服务器自身支持 的认证方式和所述第一协商请求中的所述终端支持的认证方式， 确定双方都 支持的认证方式； 发送单元， 用于发送所述双方都支持的认证方式给所述终 而。
一种协商认证方式的系统， 包括依次连接的终端、 基站和认证服务器， 所述终端， 用于发送携带终端支持的认证方式的第一协商请求到认证服务 器， 以使所述认证服务器根据自身支持的认证方式和所述第一协商请求中的 所述终端支持的认证方式， 确定双方都支持的认证方式并发送； 并接收所述 认证服务器发送的所述双方都支持的认证方式。
一种终端， 包括： 接收单元， 用于接收认证服务器发送的携带所述认证 服务器支持的第一认证方式的第二协商请求； 决策单元， 用于根据所述终端 自身支持的认证方式和所述第二协商请求中的所述认证服务器支持的第一认 证方式， 确定双方都支持的认证方式； 发送单元， 用于将所述双方都支持的 认证方式发送给所述认证服务器。
一种认证服务器， 包括： 发送单元， 用于发送携带所述认证服务器支持 的第一认证方式的第二协商请求给终端， 以使所述终端根据所述终端自身支 持的认证方式和所述第二协商请求中的所述认证服务器支持的第一认证方 式， 确定双方都支持的认证方式； 接收单元， 用于接收所述终端发送的所述 双方都支持的认证方式。
一种协商认证方式的系统， 包括连接的终端和认证服务器， 所述终端， 用于接收认证服务器发送的携带所述认证服务器支持的第一认证方式的第二 协商请求； 根据所述终端自身支持的认证方式和所述第二协商请求中的所述 认证服务器支持的第一认证方式， 确定双方都支持的认证方式； 并将所述双 方都支持的认证方式发送给所述认证服务器。
从上述方案可以看出， 本发明实施例提供的协商认证方式的方法、 装置 和系统， 终端和认证服务器之间通过在认证前协商双方都支持的认证方式， 从而确定后续认证要使用的共同的认证方式， 避免用户等人为参与， 保证认 证的正常进行， 并且也能实现不同厂商的终端与网络侧设备的互通。
附图说明
图 1是本发明第一实施例中协商认证方式的方法流程图；
图 2是本发明第二实施例中协商认证方式的方法交互流程图； 图 3是本发明第三实施例中协商认证方式的方法流程图；
图 4是本发明第四实施例的终端的结构示意图；
图 5是本发明第五实施例的基站的结构示意图；
图 6是本发明第六实施例的认证服务器的结构示意图；
图 7是本发明第八实施例的终端的结构示意图；
图 8是本发明第九实施例的认证服务器的结构示意图；
图 9是本发明第十实施例的协商认证方式的系统的结构示意图。 具体实施方式
为使本发明的目的、 技术方案和优点更加清楚， 下面结合附图对本发明 实施例作进一步的详细描述。
本发明的第一实施例提供了一种协商认证方式的方法， 如图 1所示。 步骤 101 : 终端发送携带终端支持的认证方式的第一协商请求到认证服 务器， 此步骤使得所述认证服务器根据自身支持的认证方式和所述第一协商 请求中的所述终端支持的认证方式， 确定双方都支持的认证方式并发送给终
4
而。
步骤 102: 该终端接收所述认证服务器发送的所述双方都支持的认证方 式。
综上所述， 采用本发明实施例的协商认证方式的方法， 确定了后续认证 要使用的共同的认证方式， 避免人为参与， 从而保证认证过程的正常进行。
本发明的第二实施例提供了一种协商认证方式的方法， 如图 2所示， 是 终端、 基站和认证服务器之间的交互流程图。
步骤 201 : 终端发送携带终端支持的认证方式的基本能力请求消息给为 所述终端服务的当前基站。
步骤 202: 基站将所述终端支持的认证方式封装到第一协商请求中。 歩骤 203 : 基站将封装好的第一协商请求发送给所述认证服务器。 步骤 204: 认证服务器收到第一协商请求后， 根据自身支持的认证方式 和所述第一协商请求中的所述终端支持的认证方式， 确定双方都支持的认证 方式。
其中， 认证服务器确定双方都支持的认证方式， 根据的是终端是否通过 用户验证。 当终端首次发放时， 终端中包含数字证书， 如以 WIMAX终端 为例， 终端中还包括初次使用时通信的频点信息。 当终端首次开机上电时， 终端和认证服务器的交互采取设备认证的方法。 当终端采取设备认证首次运 行， 在预存的频点上使用数字证书与认证服务器通信， 开户 （开通用户名和 密码等用户账户信息） 和需要的业务。
当终端被重启后， 由于终端已经有用户名和密码等用户账户信息， 此时 终端和认证服务器的认证采用的是用户认证， 认证方式的安全程度高于终端 首次使用时的设备认证。
认证服务器根据终端是否是首次上电， 判断应该和终端确定怎样的一种 双方都支持的认证方式。
当终端是首次使用时， 认证服务器从终端支持的认证方式、 和自己支持 的认证方式中， 选择与设备认证对应的认证方式。 如 EAP-TLS是一种与设 备认证对应的认证方式， 当终端支持的认证方式和自己支持的认证方式中都 有这种认证方式时， 认证服务器可以选择这种和设备认证对应的认证方式作 为协商结果， 以供后续的认证过程使用。
当终端在首次使用后经过重新启动后和认证服务器通信， 可以认为终端 和认证服务器采取的是用户认证的方式。 与用户认证对应的认证方式有
EAP-TTLS. EAP-AKA和 EAP-SIM等。 当终端支持的认证方式和认证服务 器支持的认证方式中都有以上几种认证方式时， 认证服务器可从中选择一种 认证方式作为认证过程使用的认证方式。
步骤 205: 认证服务器发送第一协商应答给基站。
歩骤 206: 基站收到第一协商应答后， 将所述第一协商应答中的所述双 方都支持的认证方式封装到所述基本能力应答消息中。
歩骤 207: 基站发送封装好的基本能力应答消息给终端。
本实施例提供的协商认证方式的方法在终端和基站之间的能力协商的过 程中进行。 在终端和基站之间的能力协商之前， 还包括终端和基站之间的包 括测距等入网初始化的流程。
本实施例的终端具体可以是移动台， 移动台支持的认证方式包含在基本 能力请求中发送给基站。 基站进行重新封装后， 携带在终端状态改变请求中 发给认证服务器。 同样的， 认证服务器确定双方都支持的认证方式后， 通过 终端状态改变应答将双方都支持的认证方式携带其中， 发送给基站。 基站将 此双方都支持的认证方式重新封装到基本能力应答消息中， 并把这个基本能 力应答消息发送给移动台。 当上述的认证方式协商完成后， 可以进行后续的 认证过程。
具体地， 终端支持的认证方式和终端、 认证服务器都支持的认证方式釆 用类型 -长度 -内容 （Type-Length- Value, TLV ) 三元组表示。 更进一歩， 可 通过 TLV中的内容字段的布尔类型的数值表示， 以表 1为例-
Figure imgf000009_0001
该 TLV的长度为 1个或两个字节， 其每位可以事先定义与一种认证方 式相对应， 若该位置 1， 即表示支持该种认证方法， 如： 若 Bit#0置 1， 则 表示支持 EAP-TLS方法。 在能力协商中， MS在基本能力请求消息中携带 该 TLV， 上报给 BS， BS再通过终端状态改变请求发送给认证服务器 （认 证服务器具体可以设置在网关 GW中） 。 GW此时可以选取与 MS共同支持 的某种认证方法， 通过终端状态改变应答消息发送给 BS， BS再通过基本能 力应答消息发送给 MS。
EAP-TTLS是一种可以进行隧道认证的认证方式， 其中隧道用于传送用 户名、 密码等需加密的数据。 如果采用这种认证方式传送终端支持的认证方 式和终端、 认证服务器都支持的认证方式， 则还需要在隧道认证中定义如下 表所示的 TLV:
Type Length Value 待定 1个或 2个字节 每位代表一种隧道认证方法， 如果置 1， 则表明 终端支持此认证方法， 如：
B麵： CHAP
Bit#l : MSCHAPvl
Bit#l : MSCHAPv2
表 2
在上表中， 若 Bit#0置 1， 则表示支持 CHAP方法。 隧道认证的协商方 法和表 1对应的实施例中的协商认证方式的方法相似， 此处不再赘述。
综上所述， 釆用本发明实施例的协商认证方式的方法， 通过在终端、 基 站和认证服务器间在进行认证之前的能力协商过程中， 增加携带终端认证方 式和终端和认证服务器都支持的认证方式的 TLV， 实现终端和认证服务器 在认证过程之前的认证方式的动态协商， 使后续的认证能顺利进行。
本发明的第四实施例提供了一种终端， 如图 4所示， 包括互相连接的发 送单元和接收单元。
其中发送单元用于发送携带所述终端支持的认证方式的第一协商请求到 认证服务器， 以使所述认证服务器根据自身支持的认证方式和所述第一协商 请求中的所述终端支持的认证方式， 确定双方都支持的认证方式并发送。
接收单元用于接收所述认证服务器发送的所述双方都支持的认证方式。 具体的， 该发送单元用于发送携带终端支持的认证方式的基本能力请求 消息给为所述终端服务的当前基站， 所述基站将所述终端支持的认证方式封 装到所述第一协商请求中后， 发送所述第一协商请求到所述认证服务器。
接收单元具体用于接收由基站发送的包含所述双方都支持的认证方式的 基本能力应答消息。
其中， 所述基本能力应答消息中的所述双方都支持的认证方式， 由所述 基站接收到所述认证服务器发送的携带所述双方都支持的认证方式的第一协 商应答后， 将所述第一协商应答中的所述双方都支持的认证方式封装到所述 基本能力应答消息中。
本实施例中的协商认证方式在终端和基站之间的能力协商的过程中进 行。 在终端和基站之间的能力协商的能力协商之前， 还包括终端和基站之间 的包括测距等入网初始化的流程。
本实施例的终端具体可以是移动台， 移动台支持的认证方式包含在基本 能力请求中发送给基站。 基站进行重新封装后， 携带在终端状态改变请求中 发给认证服务器。 同样的， 认证服务器确定双方都支持的认证方式后， 通过 终端状态改变应答将双方都支持的认证方式携带其中， 发送给基站。 基站将 此双方都支持的认证方式重新封装到基本能力应答消息中， 并把这个基本能 力应答消息发送给移动台。 当上述的认证方式协商完成后， 可以进行后续的 认证过程。
该实施例中， 终端支持的认证方式和双方都支持的认证方式可以通过类 型 -长度 -内容三元组表示， 具体可参考表 1和表 2对应的实施例， 此处不再 赘述。
上述实施例中的终端通过向网络侧的认证服务器发起协商第一协商请 求， 使得网络侧的认证服务器根据自身支持的认证方式和终端上报的自身支 持的认证方式选择双方都支持的认证方式， 保证后续的认证的正常进行， 无 需手工配置， 并也能保证终端与网络侧的互通。
本发明的第五实施例提供了一种基站， 如图 5所示， 包括依次互相连接 的接收单元、 封装单元和发送单元。
其中， 接收单元用于接收终端发送的携带终端支持的认证方式的基本能 力请求消息， 以及用于接收所述认证服务器发送的携带所述双方都支持的认 证方式的第一协商应答。
封装单元用于将所述终端支持的认证方式封装到所述第一协商请求中， 以及用于将所述第一协商应答中的所述双方都支持的认证方式封装到基本能 力应答消息中。 发送单元用于将所述第一协商请求发送到所述认证服务器， 以及用于发 送包含所述双方都支持的认证方式的基本能力应答消息给所述终端。
本实施例的协商认证方式在终端和基站之间的能力协商的过程中进行。 在终端和基站之间的能力协商的能力协商之前， 还包括终端和基站之间的包 括测距等入网初始化的流程。
本实施例的终端具体可以是移动台， 移动台支持的认证方式包含在基本 能力请求中发送给基站。 基站进行重新封装后， 携带在终端状态改变请求中 发给认证服务器。 同样的， 认证服务器确定双方都支持的认证方式后， 通过 终端状态改变应答将双方都支持的认证方式携带其中， 发送给基站。 基站将 此双方都支持的认证方式重新封装到基本能力应答消息中， 并把这个基本能 力应答消息发送给移动台。 当上述的认证方式协商完成后， 可以进行后续的 认证过程。
上述实施例中的基站为所述终端服务的当前基站， 通过将终端发送的终 端支持的认证方式重新封装到第一协商应答中， 并发送给认证服务器， 使得 认证服务器能够根据终端支持的认证方式和认证服务器自身支持的认证方 式， 选择适合终端和认证服务器的认证方式， 为后续的认证过程做好了准 备。
本发明的第六实施例提供了一种认证服务器， 如图 6所示， 包括依次互 相连接的接收单元、 决策单元和发送单元。
接收单元用于接收终端发送的携带终端支持的认证方式的第一协商请 求。
决策单元用于根据所述认证服务器自身支持的认证方式和所述第一协商 请求中的所述终端支持的认证方式， 确定双方都支持的认证方式。
发送单元用于发送所述双方都支持的认证方式给所述终端。
进一歩的， 上述决策单元包括判断单元和确定单元。
所述判断单元用于判断所述终端是否通过用户认证和设备认证； 所述确定单元用于当所述终端通过用户认证时， 确定双方都支持的认证 方式为所述用户认证对应的认证方式；
所述确定单元还用于当所述终端通过设备认证、 未通过用户认证时， 确 定双方都支持的认证方式为所述设备认证对应的认证方式。
其中， 认证服务器确定双方都支持的认证方式， 根据的是终端是否通过 用户验证。 当终端首次发放时， 终端中包含数字证书， 如以 WIMAX终端 为例， 终端中还包括初次使用时通信的频点信息。 当终端首次开机上电时， 终端和认证服务器的交互采取设备认证的方法。 当终端采取设备认证首次运 行， 在预存的频点上使用数字证书与认证服务器通信， 开户 （开通用户名和 密码等用户账户信息） 和需要的业务。
当终端被重启后， 由于终端已经有用户名和密码等用户账户信息， 此时 终端和认证服务器的认证采用的是用户认证， 认证方式的安全程度高于终端 首次使用时的设备认证。
认证服务器根据终端是否是首次上电， 判断应该和终端确定怎样的一种 双方都支持的认证方式。
当终端是首次使用时， 认证服务器从终端支持的认证方式、 和自己支持 的认证方式中， 选择与设备认证对应的认证方式。 如 EAP-TLS是一种与设 备认证对应的认证方式， 当终端支持的认证方式和自己支持的认证方式中都 有这种认证方式时， 认证服务器可以选择这种和设备认证对应的认证方式作 为协商结果， 以供后续的认证过程使用。
当终端在首次使用后经过重新启动后和认证服务器通信， 可以认为终端 和认证服务器采取的是用户认证的方式。 与用户认证对应的认证方式有 EAP-TTLS, EAP-AKA和 EAP-SIM等。 当终端支持的认证方式和认证服务 器支持的认证方式中都有以上几种认证方式时， 认证服务器可从中选择一种 认证方式作为认证过程使用的认证方式。
在终端和认证服务器之间传递的终端支持的认证方式和终端、 认证服务 器都支持的认证方式， 采用类型 -长度 -内容 （Type-Length-Value, TLV) 三 元组表示。 具体三元组的定义和传递过程， 可参考表 1 和表 2对应的实施 例。 该认证服务器具体可以设置在网关等网络设备中。
综上所述， 本发明实施例的认证服务器， 根据终端传递的终端支持的认 证方式和认证服务器自身支持的认证方式， 以及终端是否通过用户认证， 确 定终端和认证服务器在认证过程中应选择的认证方式， 为后续两者之间的认 证通信进行了铺垫， 并且该协商过程无需手工配置， 也保证了终端与网络侧 的互通。
本发明的第七实施例提供了一种协商认证方式的系统， 如图 2所示， 包 括依次连接的终端、 基站和认证服务器。
其中， 终端用于发送携带终端支持的认证方式的第一协商请求到认证服 务器， 所述认证服务器根据自身支持的认证方式和所述第一协商请求中的所 述终端支持的认证方式， 确定双方都支持的认证方式并发送。
所述终端接收所述认证服务器发送的所述双方都支持的认证方式。 上述协商认证方式在终端和基站之间的能力协商的过程中进行。 在终端 和基站之间的能力协商之前， 还包括终端和基站之间的包括测距等入网初始 化的流程。
在上述协商认证方式的方法中， 认证服务器确定双方都支持的认证方 式， 根据终端是否通过用户验证。 当终端首次发放时， 终端中包含数字证 书， 如以 WIMAX终端为例， 终端中还包括初次使用时通信的频点信息。 当终端首次开机上电时， 终端和认证服务器的交互采取设备认证的方法。 当 终端采取设备认证首次运行， 在预存的频点上使用数字证书与认证服务器通 信， 开户 （开通用户名和密码等用户账户信息） 和需要的业务。
当终端被重启后， 由于终端己经有用户名和密码等用户账户信息， 此时 终端和认证服务器的认证采用的是用户认证， 认证方式的安全程度高于终端 首次使用时的设备认证。 认证服务器根据终端是否是首次上电， 判断应该和终端确定怎样的一种 双方都支持的认证方式。
当终端是首次使用时， 认证服务器从终端支持的认证方式、 和自己支持 的认证方式中， 选择与设备认证对应的认证方式。 如 EAP-TLS是一种与设 备认证对应的认证方式， 当终端支持的认证方式和自己支持的认证方式中都 有这种认证方式时， 认证服务器可以选择这种和设备认证对应的认证方式作 为协商结果， 以供后续的认证过程使用。
当终端在首次使用后经过重新启动后和认证服务器通信， 可以认为终端 和认证服务器采取的是用户认证的方式。 与用户认证对应的认证方式有 EAP-TTLS. EAP-AKA和 EAP-SIM等。 当终端支持的认证方式和认证服务 器支持的认证方式中都有以上几种认证方式时， 认证服务器可从中选择一种 认证方式作为认证过程使用的认证方式。
本实施例的终端具体可以是移动台， 移动台支持的认证方式可以包含在 基本能力请求中发送给为该移动台服务的当前基站。 基站进行重新封装后， 携带在终端状态改变请求中发给认证服务器。 同样的， 认证服务器确定双方 都支持的认证方式后， 通过终端状态改变应答将双方都支持的认证方式携带 其中， 发送给基站。 基站将此双方都支持的认证方式重新封装到基本能力应 答消息中， 并把这个基本能力应答消息发送给移动台。 当上述的认证方式协 商完成后， 可以进行后续的认证过程。
关于终端支持的认证方式和终端和认证服务器都支持的认证方式在传递 中的表示方式， 可使用类型 -长度 -内容三元组 TLV表示， 具体可参照方法 实施例中表 1和表 2对应的实例的说明， 此处不再赘述。
综上所述， 采用本发明实施例的协商认证方式的系统， 终端、 基站和认 证服务器间在进行认证之前的能力协商过程中， 增加了携带终端认证方式和 终端和认证服务器都支持的认证方式的 TLV， 实现终端和认证服务器在认 证过程之前的认证方式的动态协商， 使后续的认证能顺利进行。 本发明的第三实施例提供了一种协商认证方式的方法， 如图 3所示。 歩骤 301， 终端接收认证服务器发送的携带所述认证服务器支持的认证 方式的第二协商请求。
步骤 302， 终端根据终端自身支持的认证方式和所述第二协商请求中的 所述认证服务器支持的认证方式， 确定双方都支持的认证方式。
步骤 303， 终端将所述双方都支持的认证方式发送给所述认证服务器。 本实施例中的协商认证方式不同于第一实施例和第二实施例中的协商认 证方式， 本实施例中的协商认证方式在基本能力协商完成后进行， 即在 EAP认证流程中实现。
具体的， 该协商认证方式在终端和认证服务器之间传递终端身份标识 后， 并且在 EAP认证数据交互之前进行。 在本实施例的协商认证方式之前 进行的终端身份标识的传递， 是认证服务器要求终端上传用户标识， 以便认 证服务器根据该标识校验终端和用户的身份。
综上所述， 釆用本发明实施例的协商认证方式的方法， 在 EAP认证流 程中进行， 确定了后续认证要使用的共同的认证方式， 避免人为参与， 从而 保证认证过程的正常进行。
上述实施例的协商认证方式的方法中， 第二协商请求为可扩展认证协议 请求。 双方都支持的认证方式携带在可扩展认证协议应答中发送给所述认证 服务器。
在上述可扩展认证协议请求和可扩展认证协议应答中， 终端和认证服务 器双方都支持的认证方式可以通过类型 -数值表示， 进一步可以通过所述类 型-数值中的数值字段的布尔类型的数值表示， 如下表 3所示。
Type Type-Data
表 3
表 3中， 可以将 Type定义为 EAP-TYPE-NEGO， 以区别于其他 EAP认 证方式 （如 EAP-TTLS认证方式等） 。 对于 EAP认证方式， 以 EAP-TTLS 为例， Type-Data区域是 EAP-TTLS认证方式对应的类型数据。 在上面表 3 中， Type-Data区域的长度不定， 可以为一个字节， 也可为两个字节。 具体 根据终端和认证服务器协商的结果确定其长度。
当协商中 EAP认证方式是在其认证过程中不需要建立安全隧道时， Type-Data区域的长度为一个字节。 此时这一个字节表示认证方式的方法， 可参照表 1中 Value的定义方式， 即每位代表一种认证方法， 当用到某种认 证方式时， 代表该认证方式的比特位置一， 否则置零。 例如如果在比特位 0 代表 EAP-TLS, 当终端和认证服务器协商的认证方式为 EAP-TLS时， 比特 位 0置一。
当协商中 EAP认证方式是在其认证过程中需要建立安全隧道时， Type-
Data区域的长度为两个字节。 例如使用 EAP-TTLS 的认证方式， 在第一个 字节的每位代表一种认证方式 （如前所述） ， 而第二个字节的每位代表代表 一种隧道方法。 例如对于 EAP-TTLS的认证方式， 在 Type-Data区域的第二 个字节区域的比特位 0代表 CHAP隧道认证， 则当终端和认证服务器协商 的 EAP-TTLS的隧道认证认证方式为 CHAP时， 比特位 0置一。
在本实施例具体的认证过程中， 认证服务器通过和终端的通信可以知道 终端是否是首次上电， 了解终端是否己经通过用户认证。 当终端是首次上电 和认证服务器通信时， 终端和认证服务器之间的认证使用的是终端发放时就 内置的数字证书， 认证服务器可以判断终端和认证服务器应该使用设备认证 对应的认证方式。 而如果终端是除首次上电和认证服务器通信外的任何一次 和认证服务器通信， 则这时的终端应该是已经通过了设备认证， 从认证服务 器获取了和用户认证相关的数据， 可以和认证服务器之间进行用户认证。 因 此除了终端首次上电和认证服务器的通信外， 终端和认证服务器地认证应该 是用户认证对应的认证方式。
由于认证服务器可以判断终端当前与其的通信使用的是用户认证还是设 备认证， 因此认证服务器可以从用户认证或设备认证对应的多种认证方式中 选择一种， 发送给终端。 例如， 当认证服务器确认本次和终端的通信使用的 是用户认证时， 认证服务器可以从 EAP-TTLS、 EAP-A A、 EAP-SIM等和 用户认证对应的认证方式中选择一种， 作为第一认证方式， 例如 EAP- TTLS , 发送给终端。 此时， 终端收到认证服务器发送的 EAP-TTLS认证方 式后， 对比自身支持的认证方式， 如果自己支持的认证方式也是 EAP- TTLS , 则给认证服务器一个确认结果， 即认证服务器和终端都支持的认证 方式。 但如果终端发现自身支持的认证方式和认证服务器发送的认证方式不 同， 则终端会继续请求认证服务器发送其支持的第二认证方式。 认证服务器 根据该请求， 继续发送给终端另一种认证服务器支持的认证方式等待终端判 断， 直到终端确认认证服务器发送的其支持的认证方式与自身支持的认证方 式相同， 终端会发送这个双方都支持的认证方式给认证服务器作为应答。
综上所述， 本发明实施例的协商认证方式的方法， 在认证过程的初期增 加协商认证的方式， 认证服务器发起终端确认共同支持的认证方式的消息， 终端响应该消息并确定双方都支持的认证方式， 仍然能够在认证进行之前进 行认证方式的动态协商， 使得后续的认证更有针对性， 且有别于现有技术中 的需要人工参与， 并实现不同厂家间终端和网络侧的互通性。
本发明第八实施例提供了一种终端， 如图 7所示， 包括依次连接的接收 单元、 决策单元和发送单元。
接收单元用于接收认证服务器发送的携带所述认证服务器支持的第一认 证方式的第二协商请求。
决策单元用于根据所述终端自身支持的认证方式和所述第二协商请求中 的所述认证服务器支持的第一认证方式， 确定双方都支持的认证方式。
发送单元用于将所述双方都支持的认证方式发送给所述认证服务器。 上述决策单元进一步包括判断单元和确定单元。
所述判断单元用于判断所述认证服务器支持的第一认证方式与所述终端 自身支持的认证方式是否相同。 所述确定单元， 与所述判断单元相连， 用于当所述认证服务器支持的第 一认证方式与所述终端自身支持的认证方式相同时， 确认所述双方都支持的 认证方式为所述终端自身支持的认证方式。
所述发送单元， 与所述判断单元相连， 还用于当所述认证服务器支持的 第一认证方式与所述终端自身支持的认证方式不同时， 向所述认证服务器发 送要求所述认证服务器支持的第二认证方式的请求。
所述接收单元， 还用于接收所述认证服务器根据所述请求发送的所述认 证服务器支持的第二认证方式；
所述判断单元， 还用于判断所述认证服务器支持的第二认证方式与所述 终端自身支持的认证方式是否相同；
所述确定单元， 与所述判断单元相连， 用于当所述认证服务器支持的第 二认证方式与所述终端自身支持的认证方式相同时， 确认所述双方都支持的 认证方式为所述终端自身支持的认证方式。
本实施例的终端具体可以是移动台， 认证服务器具体可以设置在网关 中。
综上所述， 采用本发明实施例的终端， 在认证服务器发起终端确认共同 支持的认证方式的消息后， 响应该消息并确定双方都支持的认证方式， 仍然 能够在认证进行之前进行认证方式的动态协商， 使得后续的认证更有针对 性， 且有别于现有技术中的需要人工参与， 并实现不同厂家间终端和网络侧 的互通性。
本发明第九实施例提供了一种认证服务器， 如图 8所示， 包括连接的发 送单元和接收单元。
发送单元用于发送携带所述认证服务器支持的第一认证方式的第二协商 请求给终端， 以使所述终端根据所述终端自身支持的认证方式和所述第二协 商请求中的所述认证服务器支持的第一认证方式， 确定双方都支持的认证方 式。 接收单元用于接收所述终端发送的所述双方都支持的认证方式。
接收单元， 还用于接收所述终端发送的要求所述认证服务器支持的第二 认证方式的请求；
所述发送单元， 还用于根据所述请求， 将所述认证服务器支持的第二认 证方式发送给所述终端。
本实施例提供的认证服务器， 在终端提出再次提供认证服务器支持的认 证方法后， 为终端提供认证服务器支持的其他认证方法， 以保证其与终端支 持的认证方法相同， 进一步保障了动态协商的成功进行， 为后续的协商过程 做好了准备。
本发明第十实施例提供了一种协商认证方式的系统， 如图 9所示， 包括 终端和认证服务器。
其中， 终端用于接收认证服务器发送的携带所述认证服务器支持的第一 认证方式的第二协商请求； 根据所述终端自身支持的认证方式和所述第二协 商请求中的所述认证服务器支持的第一认证方式， 确定双方都支持的认证方 式； 并将所述双方都支持的认证方式发送给所述认证服务器。
如果终端发现自身支持的认证方式和认证服务器发送的第一认证方式不 同， 则终端会继续请求认证服务器发送其支持的第二认证方式。 认证服务器 根据该请求， 继续发送给终端另一种认证服务器支持的认证方式等待终端判 断， 直到终端确认认证服务器发送的其支持的认证方式与自身支持的认证方 式相同， 终端会发送这个双方都支持的认证方式给认证服务器作为应答。
综上所述， 采用本发明实施例的协商认证方式的系统， 认证服务器发起 终端确认共同支持的认证方式的消息， 终端响应该消息并确定双方都支持的 认证方式， 仍然能够在认证进行之前进行认证方式的动态协商， 使得后续的 认证更有针对性， 且有别于现有技术中的需要人工参与， 并实现不同厂家间 终端和网络侧的互通性。
显然， 本领域的技术人员可以对本发明进行各种改动和变型而不脱离本 发明的精神和范围。 这样， 倘若本发明的这些修改和变型属于本发明权利要 求及其等同技术的范围之内， 则本发明也意图包含这些改动和变型在内。

Claims

权利要求书
1、 一种协商认证方式的方法， 其特征在于， 包括- 发送携带终端支持的认证方式的第一协商请求到认证服务器， 以使所述 认证服务器根据自身支持的认证方式和所述第一协商请求中的所述终端支持 的认证方式， 确定双方都支持的认证方式并发送；
接收所述认证服务器发送的所述双方都支持的认证方式。
2、 根据权利要求 1所述的方法， 其特征在于， 所述发送携带终端支持 的认证方式的第一协商请求到认证服务器包括：
发送携带终端支持的认证方式的基本能力请求消息给为所述终端服务的 当前基站， 由所述基站将所述终端支持的认证方式封装到所述第一协商请求 中后， 并发送所述第一协商请求到所述认证服务器。
3、 根据权利要求 2所述的方法， 其特征在于， 所述接收所述认证服务 器发送的所述双方都支持的认证方式包括：
接收由所述基站发送的包含所述双方都支持的认证方式的基本能力应答 消息； 所述基本能力应答消息中的所述双方都支持的认证方式， 由所述基站 从所述认证服务器接收到携带所述双方都支持的认证方式的第一协商应答 后， 将所述第一协商应答中的所述双方都支持的认证方式封装到所述基本能 力应答消息中。
4、 根据权利要求 3所述的方法， 其特征在于，
所述第一协商请求为终端状态改变请求；
所述第一协商应答为终端状态改变应答。
5、 根据权利要求 1-4任一项所述的方法， 其特征在于， 所述终端支持 的认证方式和所述双方都支持的认证方式通过类型 -长度 -内容三元组表示。
6、 根据权利要求 5所述的方法， 其特征在于， 所述终端支持的认证方 式和所述双方都支持的认证方式， 进一歩通过所述三元组中的内容字段的布 尔类型的数值表示。
7、 一种协商认证方式的方法， 其特征在于， 包括- 接收认证服务器发送的携带所述认证服务器支持的认证方式的第二协商 请求；
根据终端自身支持的认证方式和所述第二协商请求中的所述认证服务器 支持的认证方式， 确定双方都支持的认证方式；
将所述双方都支持的认证方式发送给所述认证服务器。
8、 根据权利要求 7所述的方法， 其特征在于，
所述第二协商请求为可扩展认证协议请求；
所述双方都支持的认证方式携带在可扩展认证协议应答中发送给所述认 证服务器。
9、 根据权利要求 7-8所述的方法， 其特征在于， 所述认证服务器支持 的认证方式和所述双方都支持的认证方式通过类型 -数值表示。
10、 根据权利要求 9所述的方法， 其特征在于， 所述认证服务器支持的 认证方式和所述双方都支持的认证方式， 进一步通过所述类型 -数值中的数 值字段的布尔类型的数值表示。
11、 一种终端， 其特征在于， 包括：
发送单元， 用于发送携带所述终端支持的认证方式的第一协商请求到认 证服务器， 以使所述认证服务器根据自身支持的认证方式和所述第一协商请 求中的所述终端支持的认证方式， 确定双方都支持的认证方式并发送； 接收单元， 与所述发送单元相连， 用于接收所述认证服务器发送的所述 双方都支持的认证方式。
12、 根据权利要求 11所述的终端， 其特征在于，
所述发送单元， 具体用于发送携带终端支持的认证方式的基本能力请求 消息给为所述终端服务的当前基站， 由所述基站将所述终端支持的认证方式 封装到所述第一协商请求中后， 发送所述第一协商请求到所述认证服务器。
13、 根据权利要求 12所述的终端， 其特征在于， 所述接收单元， 具体用于接收由所述基站发送的包含所述双方都支持的 认证方式的基本能力应答消息；
其中， 所述基本能力应答消息中的所述双方都支持的认证方式， 由所述 基站接收到所述认证服务器发送的携带所述双方都支持的认证方式的第一协 商应答后， 将所述第一协商应答中的所述双方都支持的认证方式封装到所述 基本能力应答消息中。
14、 一种基站， 其特征在于， 包括- 接收单元， 用于接收终端发送的携带终端支持的认证方式的基本能力请 求消息， 以及用于接收所述认证服务器发送的携带所述双方都支持的认证方 式的第一协商应答；
封装单元， 用于将所述终端支持的认证方式封装到所述第一协商请求 中， 以及用于将所述第一协商应答中的所述双方都支持的认证方式封装到基 本能力应答消息中；
发送单元， 用于将所述第一协商请求发送到所述认证服务器， 以及用于 发送包含所述双方都支持的认证方式的基本能力应答消息给所述终端。
15、 一种认证服务器， 其特征在于， 包括：
接收单元， 用于接收终端发送的携带终端支持的认证方式的第一协商请 求；
决策单元， 用于根据所述认证服务器自身支持的认证方式和所述第一协 商请求中的所述终端支持的认证方式， 确定双方都支持的认证方式；
发送单元， 用于发送所述双方都支持的认证方式给所述终端。
16、 根据权利要求 15所述的认证服务器， 其特征在于， 所述决策单元 包括判断单元和确定单元，
所述判断单元用于判断所述终端是否通过用户认证和设备认证； 所述确定单元用于当所述终端通过用户认证时， 确定双方都支持的认证 方式为所述用户认证对应的认证方式； 所述确定单元还用于当所述终端通过设备认证、 未通过用户认证时， 确 定双方都支持的认证方式为所述设备认证对应的认证方式。
17、 一种协商认证方式的系统， 其特征在于， 包括依次连接的终端、 基 站和认证服务器， 其特征在于，
所述终端， 用于发送携带终端支持的认证方式的第一协商请求到认证服 务器， 以使所述认证服务器根据自身支持的认证方式和所述第一协商请求中 的所述终端支持的认证方式， 确定双方都支持的认证方式并发送； 并接收所 述认证服务器发送的所述双方都支持的认证方式。
18、 一种终端， 其特征在于， 包括：
接收单元， 用于接收认证服务器发送的携带所述认证服务器支持的第一 认证方式的第二协商请求；
决策单元， 用于根据所述终端自身支持的认证方式和所述第二协商请求 中的所述认证服务器支持的第一认证方式， 确定双方都支持的认证方式； 发送单元， 用于将所述双方都支持的认证方式发送给所述认证服务器。
19、 根据权利要求 18所述的终端， 其特征在于， 所述决策单元包括判 断单元和确定单元，
所述判断单元， 用于判断所述认证服务器支持的第一认证方式与所述终 端自身支持的认证方式是否相同；
所述确定单元， 与所述判断单元相连， 用于当所述认证服务器支持的第 一认证方式与所述终端自身支持的认证方式相同时， 确认所述双方都支持的 认证方式为所述终端自身支持的认证方式：
所述发送单元， 与所述判断单元相连， 还用于当所述认证服务器支持的 第一认证方式与所述终端自身支持的认证方式不同时， 向所述认证服务器发 送要求所述认证服务器支持的第二认证方式的请求。
20、 根据权利要求 19所述的终端， 其特征在于，
所述接收单元， 还用于接收所述认证服务器根据所述请求发送的所述认 证服务器支持的第二认证方式；
所述判断单元， 还用于判断所述认证服务器支持的第二认证方式与所述 终端自身支持的认证方式是否相同；
所述确定单元， 与所述判断单元相连， 用于当所述认证服务器支持的第 二认证方式与所述终端自身支持的认证方式相同时， 确认所述双方都支持的 认证方式为所述终端自身支持的认证方式。
21、 一种认证服务器， 其特征在于， 包括- 发送单元， 用于发送携带所述认证服务器支持的第一认证方式的第二协 商请求给终端， 以使所述终端根据所述终端自身支持的认证方式和所述第二 协商请求中的所述认证服务器支持的第一认证方式， 确定双方都支持的认证 方式；
接收单元， 用于接收所述终端发送的所述双方都支持的认证方式。
22、 根据权利要求 21所述的认证服务器， 其特征在于，
所述接收单元， 还用于接收所述终端发送的要求所述认证服务器支持的 第二认证方式的请求；
所述发送单元， 还用于根据所述请求， 将所述认证服务器支持的第二认 证方式发送给所述终端。
23、 一种协商认证方式的系统， 包括连接的终端和认证服务器， 其特征 在于，
所述终端， 用于接收认证服务器发送的携带所述认证服务器支持的第一 认证方式的第二协商请求： 根据所述终端自身支持的认证方式和所述第二协 商请求中的所述认证服务器支持的第一认证方式， 确定双方都支持的认证方 式； 并将所述双方都支持的认证方式发送给所述认证服务器。
PCT/CN2009/073790 2008-12-04 2009-09-07 协商认证方式的方法、装置和系统 WO2010063190A1 (zh)

Priority Applications (2)

Application Number Priority Date Filing Date Title
EP09178046A EP2200358A3 (en) 2008-12-04 2009-12-04 Method, device and system for negotiating authentication mode
US12/631,112 US20100146262A1 (en) 2008-12-04 2009-12-04 Method, device and system for negotiating authentication mode

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN200810218044.6 2008-12-04
CN 200810218044 CN101753533A (zh) 2008-12-04 2008-12-04 协商认证方式的方法、装置和系统

Related Child Applications (1)

Application Number Title Priority Date Filing Date
US12/631,112 Continuation US20100146262A1 (en) 2008-12-04 2009-12-04 Method, device and system for negotiating authentication mode

Publications (1)

Publication Number Publication Date
WO2010063190A1 true WO2010063190A1 (zh) 2010-06-10

Family

ID=42232880

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2009/073790 WO2010063190A1 (zh) 2008-12-04 2009-09-07 协商认证方式的方法、装置和系统

Country Status (2)

Country Link
CN (1) CN101753533A (zh)
WO (1) WO2010063190A1 (zh)

Families Citing this family (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101932083B (zh) * 2010-08-06 2014-12-31 中兴通讯股份有限公司 选择隧道建立模式的方法、终端、服务器及系统
CN108738019B (zh) * 2017-04-25 2021-02-05 华为技术有限公司 融合网络中的用户认证方法及装置
WO2022067831A1 (zh) * 2020-09-30 2022-04-07 华为技术有限公司 一种建立安全通信方法及装置

Citations (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1501656A (zh) * 2002-11-19 2004-06-02 华为技术有限公司 一种选择802.1x认证方式的方法
CN1567868A (zh) * 2003-07-02 2005-01-19 华为技术有限公司 基于以太网认证系统的认证方法
CN1835436A (zh) * 2005-03-14 2006-09-20 华为技术有限公司 一种通用鉴权框架及一种实现鉴权的方法
CN1848994A (zh) * 2005-04-11 2006-10-18 华为技术有限公司 一种实现微波接入全球互操作系统鉴权的方法
CN101009919A (zh) * 2006-01-24 2007-08-01 华为技术有限公司 一种基于移动网络端到端通信的认证方法
CN101022460A (zh) * 2007-03-06 2007-08-22 华为技术有限公司 一种认证方法和系统
CN101188608A (zh) * 2006-11-16 2008-05-28 华为技术有限公司 协商网络认证方式的方法

Patent Citations (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1501656A (zh) * 2002-11-19 2004-06-02 华为技术有限公司 一种选择802.1x认证方式的方法
CN1567868A (zh) * 2003-07-02 2005-01-19 华为技术有限公司 基于以太网认证系统的认证方法
CN1835436A (zh) * 2005-03-14 2006-09-20 华为技术有限公司 一种通用鉴权框架及一种实现鉴权的方法
CN1848994A (zh) * 2005-04-11 2006-10-18 华为技术有限公司 一种实现微波接入全球互操作系统鉴权的方法
CN101009919A (zh) * 2006-01-24 2007-08-01 华为技术有限公司 一种基于移动网络端到端通信的认证方法
CN101188608A (zh) * 2006-11-16 2008-05-28 华为技术有限公司 协商网络认证方式的方法
CN101022460A (zh) * 2007-03-06 2007-08-22 华为技术有限公司 一种认证方法和系统

Also Published As

Publication number Publication date
CN101753533A (zh) 2010-06-23

Similar Documents

Publication Publication Date Title
US9391776B2 (en) Method and system for authenticating peer devices using EAP
US20100146262A1 (en) Method, device and system for negotiating authentication mode
US8543814B2 (en) Method and apparatus for using generic authentication architecture procedures in personal computers
JP4865805B2 (ja) 異なる認証証明書をサポートするための方法および機器
US7707412B2 (en) Linked authentication protocols
WO2019017837A1 (zh) 网络安全管理的方法及装置
US8595485B2 (en) Security management method and system for WAPI terminal accessing IMS network
US8881305B2 (en) Methods and apparatus for maintaining secure connections in a wireless communication network
WO2010130121A1 (zh) 一种第三代网络的接入方法及系统
WO2018191854A1 (zh) 接入固定网络的方法和接入网关网元
WO2010083671A1 (zh) 一种网络安全的http协商的方法及其相关装置
US20110035592A1 (en) Authentication method selection using a home enhanced node b profile
US20080137863A1 (en) Method and system for using a key management facility to negotiate a security association via an internet key exchange on behalf of another device
WO2011091771A1 (zh) 中继节点的认证方法、装置及系统
WO2011127774A1 (zh) 一种用户终端接入互联网方式的控制方法及装置
US11388145B2 (en) Tunneling data traffic and signaling over secure etls over wireless local area networks
WO2009074050A1 (fr) Procede, systeme et appareil d'authentification de dispositif de point d'acces
JP2008236754A (ja) 移動通信ネットワークと移動通信ネットワークにおける移動ノードの認証を遂行する方法及び装置
US7715562B2 (en) System and method for access authentication in a mobile wireless network
WO2014048373A1 (zh) 无线信息传输方法和设备
WO2012151905A1 (zh) 网络切换方法及装置
KR20050109685A (ko) 휴대 인터넷 시스템에서 단말기 인증과 공존하는 확장된인증 프로토콜 기반의 사용자 인증 방법 및 시스템
WO2010063190A1 (zh) 协商认证方式的方法、装置和系统
WO2012113225A1 (zh) 安全访问wapi网络的方法、装置及系统
CA2708898C (en) Methods and apparatus for maintaining secure connections in a wireless communication network

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 09829974

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 09829974

Country of ref document: EP

Kind code of ref document: A1