WO2020147854A1 - 认证方法、装置、系统以及存储介质 - Google Patents

认证方法、装置、系统以及存储介质 Download PDF

Info

Publication number
WO2020147854A1
WO2020147854A1 PCT/CN2020/072947 CN2020072947W WO2020147854A1 WO 2020147854 A1 WO2020147854 A1 WO 2020147854A1 CN 2020072947 W CN2020072947 W CN 2020072947W WO 2020147854 A1 WO2020147854 A1 WO 2020147854A1
Authority
WO
WIPO (PCT)
Prior art keywords
message
user identification
identifier
configuration information
encryption mode
Prior art date
Application number
PCT/CN2020/072947
Other languages
English (en)
French (fr)
Inventor
谢振华
Original Assignee
中兴通讯股份有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 中兴通讯股份有限公司 filed Critical 中兴通讯股份有限公司
Publication of WO2020147854A1 publication Critical patent/WO2020147854A1/zh

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/02—Protecting privacy or anonymity, e.g. protecting personally identifiable information [PII]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication

Definitions

  • the embodiments of the present invention relate to the field of communications, for example, to an authentication method, device, system and storage medium.
  • the 3rd Generation Partnership Project (3GPP, 3rd Generation Partnership Project) formulated the specification for user identification hiding. That is, the terminal obtains the public key of the home network in advance through other methods (for example, pre-written into the Universal Subscriber Identity Module (USIM) card), and the terminal uses the public key of the home network to encrypt the user identity and transfer it to the home network , The home network uses the private key corresponding to the public key to decrypt the user identification in the plain text, and then queries the user-related information based on the user identification in the plain text.
  • USIM Universal Subscriber Identity Module
  • the generated ciphertext user ID may be very large in size, and the attacker can generate a huge size of fake ciphertext user ID and send it to the network, making the data traffic at the relevant interface of the home network very large. This reduces the data forwarding efficiency of related interfaces and affects the authentication processing capability of the home network for normal users.
  • the embodiments of the present invention provide an authentication method, device, system and storage medium, which can improve the authentication processing capability of the home network for normal users.
  • the embodiment of the present invention provides an authentication method, including:
  • the first message includes: a hidden user identification, the hidden user identification includes encrypted information and any one of the following: a plaintext encryption mode identification; a plaintext encryption mode identification and a plaintext Key ID;
  • the embodiment of the present invention provides an authentication method, including any one of the following:
  • the embodiment of the present invention provides an authentication device, including:
  • the first receiving module is configured to receive the first message of the first node; wherein, the first message includes: a hidden user identification, and the hidden user identification includes encrypted information and any one of the following: an encryption mode identification in plain text; Clear text encryption mode identification and clear text key identification;
  • the determining module is configured to determine whether to forward the first message of the first node according to the hidden user identification and user identification configuration information.
  • the embodiment of the present invention provides an authentication device, including:
  • the second receiving module is used to execute any of the following:
  • the fourth message includes: a hidden user identification, and the hidden user identification includes encrypted information and any one of the following: a plaintext encryption mode identification; a plaintext encryption mode identification and a plaintext Key ID;
  • Sending module used to execute any of the following:
  • the third message includes part or all of user identification configuration information
  • An embodiment of the present invention provides an authentication device, including a processor and a computer-readable storage medium.
  • the computer-readable storage medium stores instructions. When the instructions are executed by the processor, any one of the foregoing is implemented. Authentication method.
  • the embodiment of the present invention provides a computer-readable storage medium on which a computer program is stored, and when the computer program is executed by a processor, any one of the above authentication methods is implemented.
  • the embodiment of the present invention provides an authentication system, including:
  • the first network function is used to receive the first message of the first node; wherein, the first message includes: a hidden user identification, and the hidden user identification includes encrypted information and any one of the following: an encryption mode identification in plain text; The encryption mode identification of the plaintext and the key identification of the plaintext; determine whether to forward the first message of the first node according to the hidden user identification and user identification configuration information.
  • the embodiment of the present invention includes: receiving a first message from a first node; wherein, the first message includes: a hidden user identification, and the hidden user identification includes encrypted information and any one of the following: an encryption mode identification of a plain text; a plain text
  • the encryption mode identification and the plaintext key identification determine whether to forward the first message of the first node according to the hidden user identification and user identification configuration information.
  • the embodiment of the present invention determines whether to forward the first message based on the user identification configuration information, which improves the authentication processing capability of the home network for normal users.
  • Fig. 1 is a flowchart of an authentication method proposed by an embodiment of the present invention
  • Example 2 is a flowchart of the authentication method proposed in Example 1 of the embodiment of the present invention.
  • Example 3 is a flowchart of the authentication method proposed in Example 2 of the embodiment of the present invention.
  • Example 4 is a flowchart of the authentication method proposed in Example 3 of the embodiment of the present invention.
  • Example 5 is a flowchart of the authentication method proposed in Example 4 of the embodiment of the present invention.
  • FIG. 6 is a schematic diagram of the structural composition of an authentication device according to another embodiment of the present invention.
  • FIG. 7 is a schematic diagram of the structural composition of an authentication device provided by another embodiment of the present invention.
  • an embodiment of the present invention provides an authentication method, including:
  • Step 100 Receive a first message from a first node; where the first message includes: a hidden user identification, and the hidden user identification includes encrypted information and any one of the following: a plaintext encryption mode identification; a plaintext encryption mode ID and plaintext key ID.
  • the first message may be a registration request message.
  • the encrypted information is obtained by encrypting part or all of the user identification information in the plaintext.
  • Step 101 Determine whether to forward the first message of the first node according to the hidden user identification and user identification configuration information.
  • the user identification configuration information includes at least one of the following: a user identification encryption mode identification list; a user identification encryption key identification list; maximum size information; maximum size information corresponding to each encryption mode identification.
  • determining whether to forward the first message according to the hidden user identification and user identification configuration information includes:
  • the first message is rejected: the encryption mode identifier is not in the user identifier encryption mode identifier list; the key identifier is not in the user identifier encryption key identifier list; partially or The size of all the hidden user identities is larger than the maximum size information, wherein the part or all of the hidden user identities include at least the encrypted information; the size of some or all of the hidden user identities is larger than the size of the maximum size information.
  • determining whether to forward the first message according to the hidden user identification and user identification configuration information includes:
  • the first message is forwarded when at least one of the following conditions is met: the encryption mode identifier is in the user identifier encryption mode identifier list; the key identifier is in the user identifier encryption key identifier list; part or The size of all the hidden user identities is less than or equal to the maximum size information, wherein the part or all of the hidden user identities include at least the encrypted information; the size of some or all of the hidden user identities is less than Or equal to the maximum size information corresponding to the encryption mode identifier, wherein the part or all of the hidden user identifier includes at least the encryption information.
  • the method before receiving the first message, the method further includes:
  • said obtaining part or all of user identification configuration information includes any one of the following:
  • Receiving and forwarding the fourth message of the second node receiving the fifth message, and sending the fifth message to the second node, the fifth message including part or all of the user identification configuration information.
  • a sixth message from the third node is received, where the sixth message includes part or all of the user identification configuration information.
  • the second message is a user identity configuration information acquisition request (such as a user identity configuration request (Identifier Configuration Request) message), and the third message is a user identity configuration information acquisition response (such as a user identity configuration response (Identifier Configuration Response message), the fourth message is a registration request (such as a registration request (Registration Request) message), the fifth message is a registration response (such as a registration response (Authentication Request) message), and the sixth message may be Any message, such as a registration request (such as a registration request message).
  • the embodiment of the present invention determines whether to forward the first message based on the user identification configuration information, which improves the authentication processing capability of the home network for normal users.
  • Another embodiment of the present invention provides an authentication method, including any one of the following:
  • the first message includes: a hidden user ID, the hidden user ID includes encrypted information and any one of the following: a plaintext encryption mode ID; a plaintext encryption mode ID and a plaintext Send a first response, the first response includes part or all of the user identification configuration information.
  • the process includes:
  • Step 201 The Security Edge Protection Proxy (SEPP, Security Edge Protection Proxy) 1 (SEPP1) of the visited network sends a user identification configuration information acquisition request to the Security Edge Protection Proxy 2 (SEPP2) of the home network, such as sending an Identifier Configuration Request message.
  • SEPP Security Edge Protection Proxy
  • SEPP2 Security Edge Protection Proxy 2
  • Step 202 SEPP2 forwards the user identification configuration information acquisition request to the subscription data management function (for example, authorization service function (AUSF, Authentication Server Function) or unified data management (UDM, Unified Data Management)).
  • the subscription data management function for example, authorization service function (AUSF, Authentication Server Function) or unified data management (UDM, Unified Data Management)
  • Step 203 The subscriber data management function sends a user identification configuration information acquisition response to SEPP2, such as sending an Identifier Configuration Response message.
  • the user identification configuration information acquisition response includes user identification configuration information
  • the user identification configuration information includes at least one of the following: user identification encryption mode identification list; user identification encryption key identification list; maximum size information; each encryption mode identification The corresponding maximum size information.
  • Step 204 SEPP2 forwards the user identification configuration information acquisition response to SEPP1.
  • Step 205 The mobile terminal in the visited network where SEPP1 is located initiates a registration request, such as sending a Registration Request message.
  • the registration request will be forwarded to the home network.
  • the mobile terminal's home network is the network where SEPP2 is located.
  • the request message will reach SEPP2 through SEPP1.
  • the registration request carries a hidden user ID.
  • the hidden user ID includes encrypted information and a plaintext encryption mode ID, and may include a key ID.
  • the encrypted information is obtained by encrypting part of the information of the plaintext user identification.
  • Step 206 SEPP1 determines whether to forward the registration request of the mobile terminal according to the hidden user identification and user identification configuration information.
  • the registration request is rejected: the encryption mode identifier is not in the user identifier encryption mode identifier list; the key identifier is not in the user identifier encryption key identifier list
  • the size of part or all of the hidden user identification is larger than the maximum size information, wherein the part or all of the hidden user identification at least contains the encrypted information; the size of some or all of the hidden user identification is greater than The maximum size information corresponding to the encryption mode identifier, wherein the part or all of the hidden user identifier includes at least the encryption information.
  • the registration request is forwarded: the encryption mode identifier is in the user identifier encryption mode identifier list; the key identifier is in the user identifier encryption key identifier list; part or all
  • the size of the hidden user identification is less than or equal to the maximum size information, wherein the part or all of the hidden user identification includes at least the encrypted information; the size of part or all of the hidden user identification is less than or equal to The maximum size information corresponding to the encryption mode identifier, wherein the part or all of the hidden user identifier includes at least the encryption information.
  • the process includes:
  • Step 301 The Security Edge Protection Proxy (SEPP, Security Edge Protection Proxy) 1 (SEPP1) of the visited network sends a user identification configuration information acquisition request to the Security Edge Protection Proxy 2 (SEPP2) of the home network, for example, an Identifier Configuration Request message.
  • SEPP Security Edge Protection Proxy
  • SEPP2 Security Edge Protection Proxy 2
  • Step 302 SEPP2 sends a user identification configuration information acquisition response to SEPP1.
  • the user identification configuration information acquisition response includes user identification configuration information
  • the user identification configuration information includes at least one of the following: user identification encryption mode identification list; user identification encryption key identification list; maximum size information; each encryption mode identification The corresponding maximum size information.
  • Step 303 The mobile terminal in the visited network where SEPP1 is located initiates a registration request, such as sending a Registration Request message, and the registration request is forwarded to the home network.
  • the home network of this mobile terminal is the network where SEPP2 is located.
  • the request message will reach SEPP2 through SEPP1.
  • the registration request carries a hidden user ID.
  • the hidden user ID includes encrypted information and a plaintext encryption mode ID, and may include a key ID.
  • the encrypted information is obtained by encrypting part of the information of the plaintext user identification.
  • Step 304 SEPP1 determines whether to forward the registration request of the mobile terminal according to the hidden user identification and user identification configuration information.
  • the registration request is rejected: the encryption mode identifier is not in the user identifier encryption mode identifier list; the key identifier is not in the user identifier encryption key identifier list
  • the size of part or all of the hidden user identification is larger than the maximum size information, wherein the part or all of the hidden user identification at least contains the encrypted information; the size of part or all of the hidden user identification is greater than The maximum size information corresponding to the encryption mode identifier, wherein the part or all of the hidden user identifier includes at least the encryption information.
  • the registration request is forwarded: the encryption mode identifier is in the user identifier encryption mode identifier list; the key identifier is in the user identifier encryption key identifier list; part or all
  • the size of the hidden user identification is less than or equal to the maximum size information, wherein part or all of the hidden user identification includes the encrypted information; and the size of part or all of the hidden user identification is less than or equal to the maximum size information.
  • Step 401 SEPP2 forwards the user identification configuration information acquisition request to the subscription data management function (such as AUSF or UDM).
  • the subscription data management function such as AUSF or UDM.
  • Step 402 The subscriber data management function sends a user identification configuration information acquisition response to SEPP2, for example, sends an Identifier Configuration Response message.
  • the user identification configuration information acquisition response includes user identification configuration information
  • the user identification configuration information includes at least one of the following: user identification encryption mode identification list; user identification encryption key identification list; maximum size information; each encryption mode identification The corresponding maximum size information.
  • Step 403 The mobile terminal in the visited network where SEPP1 is located initiates a registration request, such as sending a Registration Request message, and the registration request is forwarded to the home network.
  • the mobile terminal's home network is the network where SEPP2 is located.
  • the request message will reach SEPP2 through SEPP1.
  • the registration request carries a hidden user ID.
  • the hidden user ID includes encrypted information and a plaintext encryption mode ID, and may include a key ID.
  • the encrypted information is obtained by encrypting part of the information of the plaintext user identification.
  • Step 404 SEPP2 determines whether to forward the registration request of the mobile terminal according to the hidden user identification and user identification configuration information.
  • the registration request is rejected: the encryption mode identifier is not in the user identifier encryption mode identifier list; the key identifier is not in the user identifier encryption key identifier list
  • the size of part or all of the hidden user identification is larger than the maximum size information, wherein the part or all of the hidden user identification at least contains the encrypted information; the size of some or all of the hidden user identification is greater than The maximum size information corresponding to the encryption mode identifier, wherein the part or all of the hidden user identifier includes at least the encryption information.
  • the registration request is forwarded: the encryption mode identifier is in the user identifier encryption mode identifier list; the key identifier is in the user identifier encryption key identifier list; part or all
  • the size of the hidden user identification is less than or equal to the maximum size information, wherein the part or all of the hidden user identification at least contains the encrypted information; the size of part or all of the hidden user identification is less than or equal to The maximum size information corresponding to the encryption mode identifier, wherein the part or all of the hidden user identifier includes at least the encryption information.
  • the process includes:
  • steps 501 to 504 are optional steps.
  • Step 501 The mobile terminal 1 in the visited network where the core network control function (such as Access Management Function (AMF)) is located initiates a registration request, such as sending a Registration Request message.
  • the registration request will be forwarded to the home network.
  • the home network of the mobile terminal 1 is the network where the subscription data management function (such as AUSF or UDM) is located, and the registration request message will reach the core network control function.
  • the registration request carries a hidden user ID.
  • the hidden user ID includes encrypted information and a plaintext encryption mode ID, and may include a key ID.
  • the encrypted information is obtained by encrypting part of the information of the plaintext user identification.
  • Step 502 The core network control function forwards the registration request to the subscription data management function.
  • Step 503 The subscription data management function sends a registration response to the core network control function, for example, sends an Authentication Request message.
  • the registration response includes user identification configuration information
  • the user identification configuration information includes at least one of the following: user identification encryption mode identification list; user identification encryption key identification list; maximum size information; maximum size corresponding to each encryption mode identification information.
  • Step 504 The core network control function sends a registration response message to the mobile terminal 1, without carrying user identification configuration information, and completes the network access process of the mobile terminal 1.
  • Step 505 the core network control function (such as AMF) obtains the user identification configuration information through steps 501 to 504, or obtains the user identification configuration through the push of the network management server (that is, the network management server sends the user identification configuration information to the core network control function) information.
  • the mobile terminal 2 in the visited network where the core network control function (such as AMF) is located initiates a registration request, such as sending a Registration Request message, and the registration request is forwarded to the home network.
  • the home network of the mobile terminal 2 is In the network where the subscription data management function (such as AUSF or UDM) is located, the registration request message will reach the core network control function.
  • the registration request carries a hidden user ID.
  • the hidden user ID includes encrypted information and a plaintext encryption mode ID, and may include a key ID.
  • the encrypted information is obtained by encrypting part of the information of the plaintext user identification.
  • Step 506 The core network control function determines whether to forward the registration request of the mobile terminal 2 according to the hidden user identification and user identification configuration information.
  • the registration request is rejected: the encryption mode identifier is not in the user identifier encryption mode identifier list; the key identifier is not in the user identifier encryption key identifier list
  • the size of part or all of the hidden user identification is larger than the maximum size information, wherein the part or all of the hidden user identification at least contains the encrypted information; the size of some or all of the hidden user identification is greater than The maximum size information corresponding to the encryption mode identifier, wherein the part or all of the hidden user identifier includes at least the encryption information.
  • the registration request is forwarded: the encryption mode identifier is in the user identifier encryption mode identifier list; the key identifier is in the user identifier encryption key identifier list; part or all
  • the size of the hidden user identification is less than or equal to the maximum size information, wherein the part or all of the hidden user identification includes at least the encrypted information; the size of part or all of the hidden user identification is less than or equal to The maximum size information corresponding to the encryption mode identifier, wherein the part or all of the hidden user identifier includes at least the encryption information.
  • an authentication device for example, the security boundary protection agent 1 of the visited network or the security boundary protection agent 2 of the home network or the core network control function, etc.
  • the receiving module 601 is configured to receive the first message of the first node; wherein, the first message includes: a hidden user identification, and the hidden user identification includes encrypted information and any one of the following: an encryption mode identification of a plain text; a plain text The encryption mode identification and the plaintext key identification; the determining module 602 is configured to determine whether to forward the first message of the first node according to the hidden user identification and user identification configuration information.
  • the encrypted information is obtained by encrypting part or all of the user identification information in the plaintext.
  • the user identification configuration information includes at least one of the following: a user identification encryption mode identification list; a user identification encryption key identification list; maximum size information; maximum size information corresponding to each encryption mode identification.
  • the determining module 602 is specifically configured to:
  • the first message is rejected: the encryption mode identifier is not in the user identifier encryption mode identifier list; the key identifier is not in the user identifier encryption key identifier list; partially or The size of all the hidden user identities is larger than the maximum size information, wherein, some or all of the hidden user identities include at least the encrypted information; part or all of the hidden user identities are larger than the encrypted information.
  • the determining module 602 is specifically configured to:
  • the first message is forwarded when at least one of the following conditions is met: the encryption mode identifier is in the user identifier encryption mode identifier list; the key identifier is in the user identifier encryption key identifier list; part or The size of all the hidden user identifications is less than or equal to the maximum size information, wherein the part or all of the hidden user identifications at least include the encrypted information; the size of some or all of the hidden user identifications is less than or Equal to the maximum size information corresponding to the encryption mode identifier, wherein the part or all of the hidden user identifier at least includes the encryption information.
  • it further includes:
  • the obtaining module 603 is configured to obtain part or all of the user identification configuration information.
  • said obtaining part or all of user identification configuration information includes any one of the following:
  • Receiving and forwarding the fourth message of the second node receiving the fifth message, and sending the fifth message to the second node, the fifth message including part or all of the user identification configuration information.
  • a sixth message from the third node is received, where the sixth message includes part or all of the user identification configuration information.
  • the second message is a user identity configuration information acquisition request (such as a user identity configuration request (Identifier Configuration Request) message), and the third message is a user identity configuration information acquisition response (such as a user identity configuration response (Identifier Configuration Response message), the fourth message is a registration request (such as a registration request (Registration Request) message), the fifth message is a registration response (such as a registration response (Authentication Request) message), and the sixth message may be Any message, such as a registration request (such as a registration request message).
  • the embodiment of the present invention determines whether to forward the first message based on the user identification configuration information, which improves the authentication processing capability of the home network for normal users.
  • an authentication device for example, a security boundary protection agent 2 of a home network or a subscription data management function
  • an authentication device for example, a security boundary protection agent 2 of a home network or a subscription data management function
  • the second receiving module 701 is configured to execute any one of the following:
  • a third message is received; wherein, the third message includes: part or all of user identification configuration information.
  • the sending module 702 is used to execute any one of the following:
  • the third message includes: part or all of user identification configuration information.
  • the third message includes: part or all of user identification configuration information.
  • Another embodiment of the present invention provides an authentication device, including a processor and a computer-readable storage medium.
  • the computer-readable storage medium stores instructions. When the instructions are executed by the processor, any of the foregoing is implemented.
  • An authentication method An authentication method.
  • Another embodiment of the present invention provides a computer-readable storage medium on which a computer program is stored, and when the computer program is executed by a processor, the steps of any of the above authentication methods are implemented.
  • Another embodiment of the present invention provides an authentication system, including:
  • the first network function is used to receive the first message of the first node; wherein, the first message includes: a hidden user identification, and the hidden user identification includes encrypted information and any one of the following: an encryption mode identification in plain text; The encryption mode identification of the plaintext and the key identification of the plaintext; determine whether to forward the first message of the first node according to the hidden user identification and user identification configuration information.
  • the first network function is also used to:
  • the first network function is specifically used to implement the obtaining of part or all of the user identification configuration information in any one of the following ways:
  • Receiving and forwarding the fourth message of the second node receiving the fifth message, and sending the fifth message to the second node, the fifth message including part or all of the user identification configuration information.
  • a sixth message from the third node is received, where the sixth message includes part or all of the user identification configuration information.
  • the authentication system further includes: a second network function; or a second network function and a third network function; or a third node; wherein the second network function is used to perform any one of the following:
  • the third network function is used for receiving and forwarding the second message; receiving and forwarding the third message; wherein the third message includes part or all of user identification configuration information.
  • the third node is configured to send a sixth message, where the sixth message includes part or all of user identification configuration information.
  • the user identification configuration information includes at least one of the following: a user identification encryption mode identification list; a user identification encryption key identification list; maximum size information; maximum size information corresponding to each encryption mode identification.
  • the first network function is specifically configured to implement the determination of whether to forward the first message according to the hidden user identification and user identification configuration information in the following manner:
  • the first message is rejected: the encryption mode identifier is not in the user identifier encryption mode identifier list; the key identifier is not in the user identifier encryption key identifier list; partially or The size of all the hidden user identities is larger than the maximum size information, wherein, some or all of the hidden user identities include at least the encrypted information; part or all of the hidden user identities are larger than the encrypted information.
  • the first network function is specifically configured to implement the determination of whether to forward the first message according to the hidden user identification and user identification configuration information in the following manner:
  • the first message is forwarded when at least one of the following conditions is met: the encryption mode identifier is in the user identifier encryption mode identifier list; the key identifier is in the user identifier encryption key identifier list; part or The size of all the hidden user identifications is less than or equal to the maximum size information, wherein the part or all of the hidden user identifications at least include the encrypted information; the size of some or all of the hidden user identifications is less than or Equal to the maximum size information corresponding to the encryption mode identifier, wherein the part or all of the hidden user identifier at least includes the encryption information.
  • the first network function is a virtualized network element, for example, any one of the following: the security boundary protection agent of the visited network 1, the security boundary protection agent of the home network, the core network control function, and the network management server.
  • the second network function is a virtualized network element, such as a subscription data management function
  • the third network function is a virtualized network element, such as a security boundary protection agent 2 of the home network.
  • Computer storage media includes both volatile and nonvolatile implemented in any method or technology for storing information such as computer readable instructions, data structures, program modules, or other data Sex, removable and non-removable media.
  • Computer storage media include, but are not limited to, Random Access Memory (RAM), Read-Only Memory (ROM), and Electrically Erasable Programmable Read-Only Memory (EEPROM) , Flash memory or other memory technology, compact disc read-only memory (CD-ROM), digital versatile disc (Digital Video Disc, DVD) or other optical disc storage, magnetic cartridges, magnetic tapes, disk storage or other magnetic A storage device, or any other medium that can be used to store desired information and can be accessed by a computer.
  • communication media usually contain computer readable instructions, data structures, program modules, or other data in a modulated data signal such as carrier waves or other transmission mechanisms, and may include any information delivery media .

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Mobile Radio Communication Systems (AREA)

Abstract

本发明实施例公开了一种认证方法、装置、系统以及存储介质，所述认证方法包括：接收第一节点的第一消息；其中，所述第一消息包括：隐藏的用户标识，所述隐藏的用户标识包括加密信息和以下之一：明文的加密模式标识；明文的加密模式标识和明文的密钥标识；根据所述隐藏的用户标识和用户标识配置信息确定是否转发所述第一节点的第一消息。

Description

认证方法、装置、系统以及存储介质
本申请要求在2019年01月18日提交中国专利局、申请号为201910049495.X的中国专利申请的优先权，该申请的全部内容通过引用结合在本申请中。
技术领域
本发明实施例涉及通信领域，例如涉及一种认证方法、装置、系统以及存储介质。
背景技术
第三代合作伙伴计划(3GPP，3rd Generation Partnership Project)制定了用户标识隐藏的规范。即终端预先通过其他方式获取归属网的公钥(比如预先写进全球用户识别模块(USIM，Universal Subscriber Identity Module)卡中)，终端使用归属网的公钥对用户标识进行加密后传递给归属网，归属网使用与该公钥对应的私钥解密后获得明文的用户标识，再基于明文的用户标识查询用户相关的信息。
基于相关的用户标识隐藏技术，产生的密文用户标识可能会尺寸非常大，攻击者可以规模产生巨大尺寸的假密文用户标识发送给网络，使得归属网的相关接口处的数据流量非常大，从而降低相关接口的数据转发效率，影响归属网对正常用户的认证处理能力。
发明内容
本发明实施例提供了一种认证方法、装置、系统以及存储介质，能够提高归属网对正常用户的认证处理能力。
本发明实施例提供了一种认证方法，包括：
接收第一节点的第一消息；其中，所述第一消息包括：隐藏的用户标识，所述隐藏的用户标识包括加密信息和以下任意一个：明文的加密模式标识；明文的加密模式标识和明文的密钥标识；
根据所述隐藏的用户标识和用户标识配置信息确定是否转发所述第一节点的第一消息。
本发明实施例提供了一种认证方法，包括以下任意一个：
接收第二消息；发送第三消息；其中，所述第三消息包括部分或全部用户 标识配置信息；
接收并转发第二消息；接收并转发第三消息；其中，所述第三消息包括部分或全部用户标识配置信息；
接收第二节点的第四消息；其中，所述第四消息包括：隐藏的用户标识，所述隐藏的用户标识包括加密信息和以下任意一个：明文的加密模式标识；明文的加密模式标识和明文的密钥标识；发送第五消息，所述第五消息包括部分或全部所述用户标识配置信息。
本发明实施例提供了一种认证装置，包括：
第一接收模块，用于接收第一节点的第一消息；其中，所述第一消息包括：隐藏的用户标识，所述隐藏的用户标识包括加密信息和以下任意一个：明文的加密模式标识；明文的加密模式标识和明文的密钥标识；
确定模块，用于根据所述隐藏的用户标识和用户标识配置信息确定是否转发所述第一节点的第一消息。
本发明实施例提供了一种认证装置，包括：
第二接收模块，用于执行以下任意一个：
接收第二消息；
接收第三消息；其中，所述第三消息包括部分或全部用户标识配置信息；
接收第二节点的第四消息；其中，所述第四消息包括：隐藏的用户标识，所述隐藏的用户标识包括加密信息和以下任意一个：明文的加密模式标识；明文的加密模式标识和明文的密钥标识；
发送模块，用于执行以下任意一个：
发送第三消息；其中，第三消息包括部分或全部用户标识配置信息；
转发第三消息；其中，所述第三消息包括部分或全部用户标识配置信息；
发送第五消息，所述第五消息包括部分或全部所述用户标识配置信息；
发送第六消息，所述第六消息包括部分或全部用户标识配置信息。
本发明实施例提供了一种认证装置，包括处理器和计算机可读存储介质，所述计算机可读存储介质中存储有指令，当所述指令被所述处理器执行时，实现上述任一种认证方法。
本发明实施例提供了一种计算机可读存储介质，其上存储有计算机程序，所述计算机程序被处理器执行时实现上述任一种认证方法。
本发明实施例提供了一种认证系统，包括：
第一网络功能，用于接收第一节点的第一消息；其中，所述第一消息包括：隐藏的用户标识，所述隐藏的用户标识包括加密信息和以下任意一个：明文的加密模式标识；明文的加密模式标识和明文的密钥标识；根据所述隐藏的用户标识和用户标识配置信息确定是否转发所述第一节点的第一消息。
本发明实施例包括：接收第一节点的第一消息；其中，所述第一消息包括：隐藏的用户标识，所述隐藏的用户标识包括加密信息和以下任意一个：明文的加密模式标识；明文的加密模式标识和明文的密钥标识；根据所述隐藏的用户标识和用户标识配置信息确定是否转发所述第一节点的第一消息。本发明实施例基于用户标识配置信息确定是否转发第一消息，提高了归属网对正常用户的认证处理能力。
附图说明
图1为本发明一个实施例提出的认证方法的流程图；
图2为本发明实施例示例1提出的认证方法的流程图；
图3为本发明实施例示例2提出的认证方法的流程图；
图4为本发明实施例示例3提出的认证方法的流程图；
图5为本发明实施例示例4提出的认证方法的流程图；
图6为本发明另一个实施例提出的认证装置的结构组成示意图；
图7为本发明另一个实施例提出的认证装置的结构组成示意图。
具体实施方式
下文中将结合附图对本发明实施例进行详细说明。需要说明的是，在不冲突的情况下，本发明实施例及实施例中的特征可以相互任意组合。
在附图的流程图示出的步骤可以在诸如一组计算机可执行指令的计算机系统中执行。并且，虽然在流程图中示出了逻辑顺序，但是在某些情况下，可以以不同于此处的顺序执行所示出或描述的步骤。
参见图1，本发明一个实施例提出了一种认证方法，包括：
步骤100、接收第一节点的第一消息；其中，所述第一消息包括：隐藏的用户标识，所述隐藏的用户标识包括加密信息和以下任意一个：明文的加密模式标识；明文的加密模式标识和明文的密钥标识。
在本发明实施例中，第一消息可以是注册请求消息。
在本发明实施例中，加密信息是对明文的用户标识的部分或全部信息进行加密得到。
步骤101、根据所述隐藏的用户标识和用户标识配置信息确定是否转发所述第一节点的第一消息。
在本发明实施例中，用户标识配置信息包括以下至少之一：用户标识加密模式标识列表；用户标识加密密钥标识列表；最大尺寸信息；每一个加密模式标识对应的最大尺寸信息。
在本发明实施例中，根据隐藏的用户标识和用户标识配置信息确定是否转发第一消息包括：
当满足以下条件至少之一时，拒绝所述第一消息：所述加密模式标识不在所述用户标识加密模式标识列表中；所述密钥标识不在所述用户标识加密密钥标识列表中；部分或全部所述隐藏的用户标识的尺寸大于所述最大尺寸信息，其中，所述部分或全部所述隐藏的用户标识至少包含所述加密信息；部分或全部所述隐藏的用户标识的尺寸大于所述加密模式标识对应的最大尺寸信息，其中，所述部分或全部所述隐藏的用户标识至少包含所述加密信息。
在本发明实施例中，根据隐藏的用户标识和用户标识配置信息确定是否转发第一消息包括：
当满足以下条件至少之一时，转发所述第一消息：所述加密模式标识在所述用户标识加密模式标识列表中；所述密钥标识在所述用户标识加密密钥标识列表中；部分或全部所述隐藏的用户标识的尺寸小于或等于所述最大尺寸信息，其中，所述部分或全部所述隐藏的用户标识至少包含所述加密信息；部分或全部所述隐藏的用户标识的尺寸小于或等于所述加密模式标识对应的最大尺寸信息，其中，所述部分或全部所述隐藏的用户标识至少包含所述加密信息。
在本发明另一个实施例中，接收第一消息之前，该方法还包括：
获取部分或全部所述用户标识配置信息。
也可以通过预先配置的方式配置部分或全部所述用户标识配置信息。
其中，所述获取部分或全部用户标识配置信息包括以下任意一种：
发送第二消息；接收第三消息；其中，所述第三消息包括部分或全部所述用户标识配置信息。
接收并转发第二节点的第四消息；接收第五消息，向所述第二节点发送所述第五消息，所述第五消息包括部分或全部所述用户标识配置信息。
接收第三节点的第六消息，所述第六消息包括部分或全部所述用户标识配 置信息。
在本发明实施例中，第二消息为用户标识配置信息获取请求(如用户标识配置请求(Identifier Configuration Request)消息)，所述第三消息为用户标识配置信息获取响应(如用户标识配置响应(Identifier Configuration Response)消息)，所述第四消息为注册请求(如注册请求(Registration Request)消息)，所述第五消息为注册响应(如注册响应(Authentication Request)消息)，第六消息可以是任意消息，如注册请求(如注册请求消息)。
本发明实施例基于用户标识配置信息确定是否转发第一消息，提高了归属网对正常用户的认证处理能力。
本发明另一个实施例提出了一种认证方法，包括以下任意一个：
接收第二消息；发送第三消息；其中，所述第三消息包括部分或全部用户标识配置信息。
接收并转发第二消息；接收并转发第三消息；其中，所述第三消息包括部分或全部用户标识配置信息。
接收第二节点的第一消息；其中，所述第一消息包括：隐藏的用户标识，所述隐藏的用户标识包括加密信息和以下任意一个：明文的加密模式标识；明文的加密模式标识和明文的密钥标识；发送第一响应，所述第一响应包括部分或全部所述用户标识配置信息。
发送第六消息，所述第六消息包括部分或全部用户标识配置信息。
下面通过具体示例说明上述方法的具体实现过程，所列举的例子不用于限定本发明实施例的认证方法的保护范围。
示例1
参见图2，该流程包括：
步骤201、拜访网的安全边界保护代理(SEPP，Security Edge Protection Proxy)1(SEPP1)向归属网的安全边界保护代理2(SEPP2)发送用户标识配置信息获取请求，比如发送Identifier Configuration Request消息。
步骤202、SEPP2向签约数据管理功能(比如授权服务功能(AUSF，Authentication Server Function)或统一数据管理(UDM，Unified Data Management))转发用户标识配置信息获取请求。
步骤203、签约用户数据管理功能向SEPP2发送用户标识配置信息获取响应，比如发送Identifier Configuration Response消息。
本步骤中，用户标识配置信息获取响应包括用户标识配置信息，用户标识 配置信息包括以下至少之一：用户标识加密模式标识列表；用户标识加密密钥标识列表；最大尺寸信息；每一个加密模式标识对应的最大尺寸信息。
步骤204、SEPP2转发用户标识配置信息获取响应给SEPP1。
步骤205、SEPP1所在的拜访网中的移动终端发起注册请求，比如发送Registration Request消息，该注册请求会被转发往归属网，该实施例中，此移动终端的归属网为SEPP2所在的网络，注册请求消息会通过SEPP1到达SEPP2。
本步骤中，注册请求携带隐藏的用户标识，隐藏的用户标识中包含加密信息和明文的加密模式标识，可能包含密钥标识。加密信息对明文用户标识的部分信息进行加密得到。
步骤206、SEPP1根据所述隐藏的用户标识和用户标识配置信息确定是否转发移动终端的注册请求。
本步骤中，当满足以下条件至少之一时，拒绝所述注册请求：所述加密模式标识不在所述用户标识加密模式标识列表中；所述密钥标识不在所述用户标识加密密钥标识列表中；部分或全部所述隐藏的用户标识的尺寸大于所述最大尺寸信息，其中，所述部分或全部所述隐藏的用户标识至少包含所述加密信息；部分或全部所述隐藏的用户标识尺寸大于所述加密模式标识对应的最大尺寸信息，其中，所述部分或全部所述隐藏的用户标识至少包含所述加密信息。
当满足以下条件至少之一时，转发所述注册请求：所述加密模式标识在所述用户标识加密模式标识列表中；所述密钥标识在所述用户标识加密密钥标识列表中；部分或全部所述隐藏的用户标识的尺寸小于或等于所述最大尺寸信息，其中，所述部分或全部所述隐藏的用户标识至少包含所述加密信息；部分或全部所述隐藏的用户标识尺寸小于或等于所述加密模式标识对应的最大尺寸信息，其中，所述部分或全部所述隐藏的用户标识至少包含所述加密信息。
示例2
参见图3，该流程包括：
步骤301、拜访网的安全边界保护代理(SEPP，Security Edge Protection Proxy)1(SEPP1)向归属网的安全边界保护代理2(SEPP2)发送用户标识配置信息获取请求，比如发送Identifier Configuration Request消息。
步骤302、SEPP2向SEPP1发送用户标识配置信息获取响应。
本步骤中，用户标识配置信息获取响应包括用户标识配置信息，用户标识配置信息包括以下至少之一：用户标识加密模式标识列表；用户标识加密密钥标识列表；最大尺寸信息；每一个加密模式标识对应的最大尺寸信息。
步骤303、SEPP1所在的拜访网中的移动终端发起注册请求，比如发送Registration Request消息，该注册请求会被转发往归属网，该实施例中，此移动终端的归属网为SEPP2所在的网络，注册请求消息会通过SEPP1到达SEPP2。
本步骤中，注册请求携带隐藏的用户标识，隐藏的用户标识中包含加密信息和明文的加密模式标识，可能包含密钥标识。加密信息对明文用户标识的部分信息进行加密得到。
步骤304、SEPP1根据所述隐藏的用户标识和用户标识配置信息确定是否转发移动终端的注册请求。
本步骤中，当满足以下条件至少之一时，拒绝所述注册请求：所述加密模式标识不在所述用户标识加密模式标识列表中；所述密钥标识不在所述用户标识加密密钥标识列表中；部分或全部所述隐藏的用户标识的尺寸大于所述最大尺寸信息，其中，所述部分或全部所述隐藏的用户标识至少包含所述加密信息；部分或全部所述隐藏的用户标识尺寸大于所述加密模式标识对应的最大尺寸信息，其中，所述部分或全部所述隐藏的用户标识至少包含所述加密信息。
当满足以下条件至少之一时，转发所述注册请求：所述加密模式标识在所述用户标识加密模式标识列表中；所述密钥标识在所述用户标识加密密钥标识列表中；部分或全部所述隐藏的用户标识的尺寸小于或等于所述最大尺寸信息，其中，所述部分或全部所述隐藏的用户标识包含所述加密信息；部分或全部所述隐藏的用户标识尺寸小于或等于所述加密模式标识对应的最大尺寸信息，其中，所述部分或全部所述隐藏的用户标识包含所述加密信息。
示例3
参见图4，该流程包括：
步骤401、SEPP2向签约数据管理功能(比如AUSF或UDM)转发用户标识配置信息获取请求。
步骤402、签约用户数据管理功能向SEPP2发送用户标识配置信息获取响应，比如发送Identifier Configuration Response消息。
本步骤中，用户标识配置信息获取响应包括用户标识配置信息，用户标识配置信息包括以下至少之一：用户标识加密模式标识列表；用户标识加密密钥标识列表；最大尺寸信息；每一个加密模式标识对应的最大尺寸信息。
步骤403、SEPP1所在的拜访网中的移动终端发起注册请求，比如发送Registration Request消息，该注册请求会被转发往归属网，该实施例中，此移动终端的归属网为SEPP2所在的网络，注册请求消息会通过SEPP1到达SEPP2。
本步骤中，注册请求携带隐藏的用户标识，隐藏的用户标识中包含加密信息和明文的加密模式标识，可能包含密钥标识。加密信息对明文用户标识的部分信息进行加密得到。
步骤404、SEPP2根据所述隐藏的用户标识和用户标识配置信息确定是否转发移动终端的注册请求。
本步骤中，当满足以下条件至少之一时，拒绝所述注册请求：所述加密模式标识不在所述用户标识加密模式标识列表中；所述密钥标识不在所述用户标识加密密钥标识列表中；部分或全部所述隐藏的用户标识的尺寸大于所述最大尺寸信息，其中，所述部分或全部所述隐藏的用户标识至少包含所述加密信息；部分或全部所述隐藏的用户标识尺寸大于所述加密模式标识对应的最大尺寸信息，其中，所述部分或全部所述隐藏的用户标识至少包含所述加密信息。
当满足以下条件至少之一时，转发所述注册请求：所述加密模式标识在所述用户标识加密模式标识列表中；所述密钥标识在所述用户标识加密密钥标识列表中；部分或全部所述隐藏的用户标识的尺寸小于或等于所述最大尺寸信息，其中，所述部分或全部所述隐藏的用户标识至少包含所述加密信息；部分或全部所述隐藏的用户标识尺寸小于或等于所述加密模式标识对应的最大尺寸信息，其中，所述部分或全部所述隐藏的用户标识至少包含所述加密信息。
示例4
参见图5，该流程包括：
以下步骤501～504为可选步骤。
步骤501、核心网控制功能(比如接入管理功能(AMF，Access Management))所在的拜访网中的移动终端1发起注册请求，比如发送Registration Request消息，该注册请求会被转发往归属网，该实施例中，此移动终端1的归属网为签约数据管理功能(比如AUSF或UDM)所在的网络，注册请求消息会到达核心网控制功能。
本步骤中，注册请求携带隐藏的用户标识，隐藏的用户标识中包含加密信息和明文的加密模式标识，可能包含密钥标识。加密信息对明文用户标识的部分信息进行加密得到。
步骤502、核心网控制功能转发注册请求给签约数据管理功能。
步骤503、签约数据管理功能发送注册响应给核心网控制功能，比如发送Authentication Request消息。
本步骤中，注册响应包括用户标识配置信息，用户标识配置信息包括以下 至少之一：用户标识加密模式标识列表；用户标识加密密钥标识列表；最大尺寸信息；每一个加密模式标识对应的最大尺寸信息。
步骤504、核心网控制功能发送注册响应消息给移动终端1，不携带用户标识配置信息，完成此移动终端1的网络接入过程。
步骤505、核心网控制功能(比如AMF)通过步骤501～504获得了用户标识配置信息，或者通过网管服务器的推送(即网管服务器将用户标识配置信息发送给核心网控制功能)获得了用户标识配置信息。核心网控制功能(比如AMF)所在的拜访网中的移动终端2发起注册请求，比如发送Registration Request消息，该注册请求会被转发往归属网，该实施例中，此移动终端2的归属网为签约数据管理功能(比如AUSF或UDM)所在的网络，注册请求消息会到达核心网控制功能。
本步骤中，注册请求携带隐藏的用户标识，隐藏的用户标识中包含加密信息和明文的加密模式标识，可能包含密钥标识。加密信息对明文用户标识的部分信息进行加密得到。
步骤506、核心网控制功能根据所述隐藏的用户标识和用户标识配置信息确定是否转发移动终端2的注册请求。
本步骤中，当满足以下条件至少之一时，拒绝所述注册请求：所述加密模式标识不在所述用户标识加密模式标识列表中；所述密钥标识不在所述用户标识加密密钥标识列表中；部分或全部所述隐藏的用户标识的尺寸大于所述最大尺寸信息，其中，所述部分或全部所述隐藏的用户标识至少包含所述加密信息；部分或全部所述隐藏的用户标识尺寸大于所述加密模式标识对应的最大尺寸信息，其中，所述部分或全部所述隐藏的用户标识至少包含所述加密信息。
当满足以下条件至少之一时，转发所述注册请求：所述加密模式标识在所述用户标识加密模式标识列表中；所述密钥标识在所述用户标识加密密钥标识列表中；部分或全部所述隐藏的用户标识的尺寸小于或等于所述最大尺寸信息，其中，所述部分或全部所述隐藏的用户标识至少包含所述加密信息；部分或全部所述隐藏的用户标识尺寸小于或等于所述加密模式标识对应的最大尺寸信息，其中，所述部分或全部所述隐藏的用户标识至少包含所述加密信息。
参见图6，本发明另一个实施例提出了一种认证装置(例如，拜访网的安全边界保护代理1、或归属网的安全边界保护代理2、或核心网控制功能等)，包括：第一接收模块601，用于接收第一节点的第一消息；其中，所述第一消息包括：隐藏的用户标识，所述隐藏的用户标识包括加密信息和以下任意一个：明文的加密模式标识；明文的加密模式标识和明文的密钥标识；确定模块602，用 于根据所述隐藏的用户标识和用户标识配置信息确定是否转发所述第一节点的第一消息。
在本发明实施例中，加密信息是对明文的用户标识的部分或全部信息进行加密得到。
在本发明实施例中，用户标识配置信息包括以下至少之一：用户标识加密模式标识列表；用户标识加密密钥标识列表；最大尺寸信息；每一个加密模式标识对应的最大尺寸信息。
在本发明实施例中，确定模块602具体用于：
当满足以下条件至少之一时，拒绝所述第一消息：所述加密模式标识不在所述用户标识加密模式标识列表中；所述密钥标识不在所述用户标识加密密钥标识列表中；部分或全部所述隐藏的用户标识的尺寸大于所述最大尺寸信息，其中，所述部分或全部所述隐藏的用户标识至少包含所述加密信息；部分或全部所述隐藏的用户标识尺寸大于所述加密模式标识对应的最大尺寸信息，其中，所述部分或全部所述隐藏的用户标识至少包含所述加密信息。
在本发明实施例中，确定模块602具体用于：
当满足以下条件至少之一时，转发所述第一消息：所述加密模式标识在所述用户标识加密模式标识列表中；所述密钥标识在所述用户标识加密密钥标识列表中；部分或全部所述隐藏的用户标识的尺寸小于或等于所述最大尺寸信息，其中，所述部分或全部所述隐藏的用户标识至少包含所述加密信息；部分或全部所述隐藏的用户标识尺寸小于或等于所述加密模式标识对应的最大尺寸信息，其中，所述部分或全部所述隐藏的用户标识至少包含所述加密信息。
在本发明另一个实施例中，还包括：
获取模块603，用于获取部分或全部所述用户标识配置信息。
其中，所述获取部分或全部用户标识配置信息包括以下任意一种：
发送第二消息；接收第三消息；其中，所述第三消息包括部分或全部所述用户标识配置信息。
接收并转发第二节点的第四消息；接收第五消息，向所述第二节点发送所述第五消息，所述第五消息包括部分或全部所述用户标识配置信息。
接收第三节点的第六消息，所述第六消息包括部分或全部所述用户标识配置信息。
在本发明实施例中，第二消息为用户标识配置信息获取请求(如用户标识配置请求(Identifier Configuration Request)消息)，所述第三消息为用户标识 配置信息获取响应(如用户标识配置响应(Identifier Configuration Response)消息)，所述第四消息为注册请求(如注册请求(Registration Request)消息)，所述第五消息为注册响应(如注册响应(Authentication Request)消息)，第六消息可以是任意消息，如注册请求(如注册请求消息)。
本发明实施例基于用户标识配置信息确定是否转发第一消息，提高了归属网对正常用户的认证处理能力。
参见图7，本发明另一个实施例提出了一种认证装置(例如，归属网的安全边界保护代理2、或签约数据管理功能)，包括：
第二接收模块701，用于执行以下任意一个：
接收第二消息。
接收第三消息；其中，所述第三消息包括：部分或全部用户标识配置信息。
接收第二节点的第四消息；其中，所述第四消息包括：隐藏的用户标识，所述隐藏的用户标识包括加密信息和以下任意一个：明文的加密模式标识；明文的加密模式标识和明文的密钥标识。
发送模块702，用于执行以下任意一个：
发送所述第三消息；其中，所述第三消息包括：部分或全部用户标识配置信息。
转发所述第三消息；其中，所述第三消息包括：部分或全部用户标识配置信息。
发送第五消息，所述第五消息包括部分或全部所述用户标识配置信息。
发送第六消息，所述第六消息包括部分或全部用户标识配置信息。
本发明另一个实施例提出了一种认证装置，包括处理器和计算机可读存储介质，所述计算机可读存储介质中存储有指令，当所述指令被所述处理器执行时，实现上述任一种认证方法。
本发明另一个实施例提出了一种计算机可读存储介质，其上存储有计算机程序，所述计算机程序被处理器执行时实现上述任一种认证方法的步骤。
本发明另一个实施例提出了一种认证系统，包括：
第一网络功能，用于接收第一节点的第一消息；其中，所述第一消息包括：隐藏的用户标识，所述隐藏的用户标识包括加密信息和以下任意一个：明文的加密模式标识；明文的加密模式标识和明文的密钥标识；根据所述隐藏的用户标识和用户标识配置信息确定是否转发所述第一节点的第一消息。
在本发明实施例中，所述第一网络功能还用于：
获取部分或全部所述用户标识配置信息。
在本发明实施例中，所述第一网络功能具体用于采用以下任意一种方式实现所述获取部分或全部用户标识配置信息：
发送第二消息；接收第三消息；其中，所述第三消息包括部分或全部所述用户标识配置信息。
接收并转发第二节点的第四消息；接收第五消息，向所述第二节点发送所述第五消息，所述第五消息包括部分或全部所述用户标识配置信息。
接收第三节点的第六消息，所述第六消息包括部分或全部所述用户标识配置信息。
所述认证系统还包括：第二网络功能；或者第二网络功能和第三网络功能；或第三节点；其中，所述第二网络功能，用于执行以下任意一个：
接收第二消息；发送所述第三消息；其中，所述第三消息包括部分或全部用户标识配置信息。
接收第二节点的第四消息；发送第五消息，所述第五消息包括部分或全部所述用户标识配置信息。
所述第三网络功能，用于接收并转发第二消息；接收并转发所述第三消息；其中，所述第三消息包括部分或全部用户标识配置信息。
所述第三节点，用于发送第六消息，所述第六消息包括部分或全部用户标识配置信息。
其中，所述用户标识配置信息包括以下至少之一：用户标识加密模式标识列表；用户标识加密密钥标识列表；最大尺寸信息；每一个加密模式标识对应的最大尺寸信息。
其中，所述第一网络功能具体用于采用以下方式实现所述根据隐藏的用户标识和用户标识配置信息确定是否转发第一消息：
当满足以下条件至少之一时，拒绝所述第一消息：所述加密模式标识不在所述用户标识加密模式标识列表中；所述密钥标识不在所述用户标识加密密钥标识列表中；部分或全部所述隐藏的用户标识的尺寸大于所述最大尺寸信息，其中，所述部分或全部所述隐藏的用户标识至少包含所述加密信息；部分或全部所述隐藏的用户标识尺寸大于所述加密模式标识对应的最大尺寸信息，其中，所述部分或全部所述隐藏的用户标识至少包含所述加密信息。
其中，所述第一网络功能具体用于采用以下方式实现所述根据隐藏的用户 标识和用户标识配置信息确定是否转发第一消息：
当满足以下条件至少之一时，转发所述第一消息：所述加密模式标识在所述用户标识加密模式标识列表中；所述密钥标识在所述用户标识加密密钥标识列表中；部分或全部所述隐藏的用户标识的尺寸小于或等于所述最大尺寸信息，其中，所述部分或全部所述隐藏的用户标识至少包含所述加密信息；部分或全部所述隐藏的用户标识尺寸小于或等于所述加密模式标识对应的最大尺寸信息，其中，所述部分或全部所述隐藏的用户标识至少包含所述加密信息。
在本发明实施例中，第一网络功能即虚拟化网元，例如以下任意一个：拜访网的安全边界保护代理1、归属网的安全边界保护代理2、核心网控制功能、网管服务器。
第二网络功能即虚拟化网元，例如签约数据管理功能，第三网络功能即虚拟化网元，例如归属网的安全边界保护代理2。
本领域普通技术人员可以理解，上文中所公开方法中的全部或某些步骤、系统、装置中的功能模块/单元可以被实施为软件、固件、硬件及其适当的组合。在硬件实施方式中，在以上描述中提及的功能模块/单元之间的划分不一定对应于物理组件的划分；例如，一个物理组件可以具有多个功能，或者一个功能或步骤可以由若干物理组件合作执行。某些组件或所有组件可以被实施为由处理器，如数字信号处理器或微处理器执行的软件，或者被实施为硬件，或者被实施为集成电路，如专用集成电路。这样的软件可以分布在计算机可读介质上，计算机可读介质可以包括计算机存储介质(或非暂时性介质)和通信介质(或暂时性介质)。如本领域普通技术人员公知的，术语计算机存储介质包括在用于存储信息(诸如计算机可读指令、数据结构、程序模块或其他数据)的任何方法或技术中实施的易失性和非易失性、可移除和不可移除介质。计算机存储介质包括但不限于随机存取存储器(Random Access Memory，RAM)、只读存储器(Read-Only Memory，ROM)、带电可擦可编程只读存储器(Electrically Erasable Programmable Read-Only Memory，EEPROM)、闪存或其他存储器技术、光盘只读存储器(Compact Disc Read-Only Memory，CD-ROM)、数字多功能盘(Digital Video Disc，DVD)或其他光盘存储、磁盒、磁带、磁盘存储或其他磁存储装置、或者可以用于存储期望的信息并且可以被计算机访问的任何其他的介质。此外，本领域普通技术人员公知的是，通信介质通常包含计算机可读指令、数据结构、程序模块或者诸如载波或其他传输机制之类的调制数据信号中的其他数据，并且可包括任何信息递送介质。

Claims (18)

  1. 一种认证方法，包括：
    接收第一节点的第一消息；其中，所述第一消息包括隐藏的用户标识，所述隐藏的用户标识包括加密信息和以下之一：明文的加密模式标识；明文的加密模式标识和明文的密钥标识；
    根据所述隐藏的用户标识和用户标识配置信息确定是否转发所述第一节点的第一消息。
  2. 根据权利要求1所述的认证方法，在所述接收第一节点的第一消息之前，还包括：
    获取部分或全部用户标识配置信息。
  3. 根据权利要求2所述的认证方法，其中，所述获取部分或全部用户标识配置信息包括以下之一：
    发送第二消息；接收第三消息；其中，所述第三消息包括所述部分或全部用户标识配置信息；
    接收并转发第二节点的第四消息；接收第五消息，向所述第二节点发送所述第五消息，其中，所述第五消息包括所述部分或全部用户标识配置信息；
    接收第三节点的第六消息，其中，所述第六消息包括所述部分或全部用户标识配置信息。
  4. 根据权利要求3所述的认证方法，其中，所述第二消息为用户标识配置信息获取请求消息，所述第三消息为用户标识配置信息获取响应消息，所述第四消息为注册请求消息，所述第五消息为注册响应消息。
  5. 根据权利要求1所述的认证方法，其中，所述用户标识配置信息包括以下至少之一：
    用户标识加密模式标识列表；
    用户标识加密密钥标识列表；
    最大尺寸信息；
    每一个加密模式标识对应的最大尺寸信息。
  6. 根据权利要求5所述的认证方法，其中，所述根据所述隐藏的用户标识和用户标识配置信息确定是否转发所述第一消息包括：
    在满足以下条件中的至少之一的情况下，拒绝所述第一消息：
    所述明文的加密模式标识不在所述用户标识加密模式标识列表中；
    所述明文的密钥标识不在所述用户标识加密密钥标识列表中；
    部分或全部隐藏的用户标识的尺寸大于所述最大尺寸信息，其中，所述部分或全部隐藏的用户标识至少包含所述加密信息；
    部分或全部隐藏的用户标识的尺寸大于所述明文的加密模式标识对应的最大尺寸信息，其中，所述部分或全部隐藏的用户标识至少包含所述加密信息。
  7. 根据权利要求5所述的认证方法，其中，所述根据所述隐藏的用户标识和用户标识配置信息确定是否转发所述第一消息包括：
    在满足以下条件中的至少之一的情况下，转发所述第一消息：
    所述明文的加密模式标识在所述用户标识加密模式标识列表中；
    所述明文的密钥标识在所述用户标识加密密钥标识列表中；
    部分或全部隐藏的用户标识的尺寸小于或等于所述最大尺寸信息，其中，所述部分或全部隐藏的用户标识至少包含所述加密信息；
    部分或全部隐藏的用户标识的尺寸小于或等于所述加密模式标识对应的最大尺寸信息，其中，所述部分或全部隐藏的用户标识至少包含所述加密信息。
  8. 一种认证方法，包括以下之一：
    接收第二消息；发送第三消息；其中，所述第三消息包括部分或全部用户标识配置信息；
    接收并转发第二消息；接收并转发第三消息；其中，所述第三消息包括部分或全部用户标识配置信息；
    接收第二节点的第四消息；其中，所述第四消息包括：隐藏的用户标识，所述隐藏的用户标识包括加密信息和以下之一：明文的加密模式标识；明文的加密模式标识和明文的密钥标识；发送第五消息，其中，所述第五消息包括部分或全部用户标识配置信息；
    发送第六消息，其中，所述第六消息包括部分或全部用户标识配置信息。
  9. 一种认证装置，包括：
    第一接收模块，设置为接收第一节点的第一消息；其中，所述第一消息包括：隐藏的用户标识，所述隐藏的用户标识包括加密信息和以下之一：明文的加密模式标识；明文的加密模式标识和明文的密钥标识；
    确定模块，设置为根据所述隐藏的用户标识和用户标识配置信息确定是否转发所述第一节点的第一消息。
  10. 一种认证装置，包括：
    第二接收模块，设置为执行以下之一：
    接收第二消息；
    接收第三消息；其中，所述第三消息包括：部分或全部用户标识配置信息；
    接收第二节点的第四消息；其中，所述第四消息包括：隐藏的用户标识，所述隐藏的用户标识包括加密信息和以下之一：明文的加密模式标识；明文的加密模式标识和明文的密钥标识；
    发送模块，设置为执行以下之一：
    转发所述第二消息；
    发送所述第三消息；
    转发所述第三消息；
    发送第五消息，其中，所述第五消息包括部分或全部用户标识配置信息；
    发送第六消息，其中，所述第六消息包括部分或全部用户标识配置信息。
  11. 一种认证装置，包括处理器和计算机可读存储介质，所述计算机可读存储介质中存储有指令，当所述指令被所述处理器执行时，实现如权利要求1～8任一项所述的认证方法。
  12. 一种计算机可读存储介质，存储有计算机程序，所述计算机程序被处理器执行时实现如权利要求1～8任一项所述的认证方法。
  13. 一种认证系统，包括：
    第一网络功能，设置为接收第一节点的第一消息；其中，所述第一消息包括：隐藏的用户标识，所述隐藏的用户标识包括加密信息和以下之一：明文的加密模式标识；明文的加密模式标识和明文的密钥标识；根据所述隐藏的用户标识和用户标识配置信息确定是否转发所述第一节点的第一消息。
  14. 根据权利要求13所述的认证系统，其中，所述第一网络功能还设置为：
    获取部分用户标识配置信息或全部用户标识配置信息。
  15. 根据权利要求14所述的认证系统，其中，所述第一网络功能是设置为通过以下方式之一获取部分或全部用户标识配置信息：
    发送第二消息；接收第三消息；其中，所述第三消息包括所述部分或全部用户标识配置信息；
    接收并转发第二节点的第四消息；接收第五消息，向所述第二节点发送所述第五消息，其中，所述第五消息包括所述部分或全部用户标识配置信息；
    接收第三节点的第六消息，其中，所述第六消息包括所述部分或全部用户标识配置信息；
    所述认证系统还包括：第二网络功能；或者第二网络功能和第三网络功能；或者第三节点；其中，所述第二网络功能，设置为执行以下之一：
    接收所述第二消息；发送所述第三消息；
    接收所述第二节点的所述第四消息；发送所述第五消息；
    所述第三网络功能，设置为接收并转发所述第二消息；接收并转发所述第三消息；
    所述第三节点，设置为发送所述第六消息。
  16. 根据权利要求13所述的认证系统，其中，所述用户标识配置信息包括以下至少之一：
    用户标识加密模式标识列表；
    用户标识加密密钥标识列表；
    最大尺寸信息；
    每一个加密模式标识对应的最大尺寸信息。
  17. 根据权利要求16所述的认证系统，其中，所述第一网络功能是设置为通过以下方式根据所述隐藏的用户标识和用户标识配置信息确定是否转发所述第一消息：
    在满足以下条件中的至少之一的情况下，拒绝所述第一消息：
    所述明文的加密模式标识不在所述用户标识加密模式标识列表中；
    所述明文的密钥标识不在所述用户标识加密密钥标识列表中；
    部分或全部隐藏的用户标识的尺寸大于所述最大尺寸信息，其中，所述部分或全部隐藏的用户标识至少包含所述加密信息；
    部分或全部隐藏的用户标识尺寸大于所述明文的加密模式标识对应的最大尺寸信息，其中，所述部分或全部隐藏的用户标识至少包含所述加密信息。
  18. 根据权利要求16所述的认证系统，其中，所述第一网络功能是设置为通过以下方式根据所述隐藏的用户标识和用户标识配置信息确定是否转发所述第一消息：
    在满足以下条件中的至少之一的情况下，转发所述第一消息：
    所述明文的加密模式标识在所述用户标识加密模式标识列表中；
    所述明文的密钥标识在所述用户标识加密密钥标识列表中；
    部分或全部隐藏的用户标识的尺寸小于或等于所述最大尺寸信息，其中，所述部分或全部隐藏的用户标识至少包含所述加密信息；
    部分或全部隐藏的用户标识尺寸小于或等于所述明文的加密模式标识对应的最大尺寸信息，其中，所述部分或全部隐藏的用户标识至少包含所述加密信息。
PCT/CN2020/072947 2019-01-18 2020-01-19 认证方法、装置、系统以及存储介质 WO2020147854A1 (zh)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN201910049495.X 2019-01-18
CN201910049495.XA CN110536291A (zh) 2019-01-18 2019-01-18 一种认证方法、装置和系统

Publications (1)

Publication Number Publication Date
WO2020147854A1 true WO2020147854A1 (zh) 2020-07-23

Family

ID=68659261

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2020/072947 WO2020147854A1 (zh) 2019-01-18 2020-01-19 认证方法、装置、系统以及存储介质

Country Status (2)

Country Link
CN (1) CN110536291A (zh)
WO (1) WO2020147854A1 (zh)

Families Citing this family (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN110536291A (zh) * 2019-01-18 2019-12-03 中兴通讯股份有限公司 一种认证方法、装置和系统
CN110611719B (zh) * 2019-10-16 2022-04-19 四川虹美智能科技有限公司 一种消息推送方法、服务器和系统

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101166177A (zh) * 2006-10-18 2008-04-23 大唐移动通信设备有限公司 一种非接入层初始信令传送的方法及系统
CN101473668A (zh) * 2006-06-19 2009-07-01 交互数字技术公司 用于对初始信令消息中的原始用户标识进行安全保护的方法和设备
CN101541000A (zh) * 2002-10-11 2009-09-23 松下电器产业株式会社 用户识别信息保护方法、系统及移动终端和家乡域服务器
CN110536291A (zh) * 2019-01-18 2019-12-03 中兴通讯股份有限公司 一种认证方法、装置和系统

Family Cites Families (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101789865B (zh) * 2010-03-04 2011-11-30 深圳市华信安创科技有限公司 一种用于加密的专用服务器及加密方法
CN102131188B (zh) * 2010-09-01 2013-12-04 华为技术有限公司 用户身份信息传输的方法、用户设备、网络侧设备及系统

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101541000A (zh) * 2002-10-11 2009-09-23 松下电器产业株式会社 用户识别信息保护方法、系统及移动终端和家乡域服务器
CN101473668A (zh) * 2006-06-19 2009-07-01 交互数字技术公司 用于对初始信令消息中的原始用户标识进行安全保护的方法和设备
CN101166177A (zh) * 2006-10-18 2008-04-23 大唐移动通信设备有限公司 一种非接入层初始信令传送的方法及系统
CN110536291A (zh) * 2019-01-18 2019-12-03 中兴通讯股份有限公司 一种认证方法、装置和系统

Also Published As

Publication number Publication date
CN110536291A (zh) 2019-12-03

Similar Documents

Publication Publication Date Title
US11228442B2 (en) Authentication method, authentication apparatus, and authentication system
US20190182654A1 (en) Preventing covert channel between user equipment and home network in communication system
CN109803251B (zh) 用于通信系统中的隐私管理实体选择的方法和装置
US20130291071A1 (en) Method and Apparatus for Authenticating a Communication Device
CN111147421B (zh) 一种基于通用引导架构gba的认证方法及相关设备
KR20210116508A (ko) 스테이션에 대한 고유 식별자 처리 개선
US11909869B2 (en) Communication method and related product based on key agreement and authentication
KR20210035925A (ko) 비밀 식별자를 사용하는 사용자 장비에 관련된 동작
JP7453388B2 (ja) サービスアプリケーションとの暗号化された通信のための通信ネットワーク内のアンカキー生成および管理のための方法、デバイス、ならびにシステム
US20210385728A1 (en) Protected pre-association device identification
EP2845404A1 (en) Network application function authorisation in a generic bootstrapping architecture
WO2020147854A1 (zh) 认证方法、装置、系统以及存储介质
US20220337408A1 (en) Method, Device, and System for Application Key Generation and Management in a Communication Network for Encrypted Communication with Service Applications
CN117041955A (zh) 签约数据更新方法、装置、节点和存储介质
CN106537962B (zh) 无线网络配置、接入和访问方法、装置及设备
TW202308363A (zh) 用於板載處理之使用者裝備與通訊網路間之認證技術
US11381387B2 (en) Proof-of-presence indicator
US11956627B2 (en) Securing user equipment identifier for use external to communication network
CN115499825B (zh) 基于二次鉴权的5g报文头增强方法、设备和存储介质
US20240056815A1 (en) Secure identification of applications in communication network
US20240137764A1 (en) User Equipment Authentication and Authorization Procedure for Edge Data Network
US20210385729A1 (en) Unsolicited handling of unique identifier for stations
US20240007444A1 (en) Network exposure function (nef) for suci-based ue-initiated service authorization
WO2022174399A1 (en) User equipment authentication and authorization procedure for edge data network
WO2023223118A1 (en) Subscription identification in networks

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 20741273

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

32PN Ep: public notification in the ep bulletin as address of the adressee cannot be established

Free format text: NOTING OF LOSS OF RIGHTS PURSUANT TO RULE 112(1) EPC (EPO FORM 1205A DATED 01/12/2021)

122 Ep: pct application non-entry in european phase

Ref document number: 20741273

Country of ref document: EP

Kind code of ref document: A1