WO2023216083A1 - 认证方法、装置、介质和芯片 - Google Patents

认证方法、装置、介质和芯片 Download PDF

Info

Publication number
WO2023216083A1
WO2023216083A1 PCT/CN2022/091815 CN2022091815W WO2023216083A1 WO 2023216083 A1 WO2023216083 A1 WO 2023216083A1 CN 2022091815 W CN2022091815 W CN 2022091815W WO 2023216083 A1 WO2023216083 A1 WO 2023216083A1
Authority
WO
WIPO (PCT)
Prior art keywords
entity
user equipment
proxy
target entity
key
Prior art date
Application number
PCT/CN2022/091815
Other languages
English (en)
French (fr)
Inventor
梁浩然
陆伟
Original Assignee
北京小米移动软件有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 北京小米移动软件有限公司 filed Critical 北京小米移动软件有限公司
Priority to PCT/CN2022/091815 priority Critical patent/WO2023216083A1/zh
Priority to CN202280001673.1A priority patent/CN117378231A/zh
Publication of WO2023216083A1 publication Critical patent/WO2023216083A1/zh

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
    • H04W12/041—Key generation or derivation
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/10—Integrity
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W76/00—Connection management
    • H04W76/10—Connection setup

Definitions

  • the present disclosure relates to the field of communication technology, and specifically, to an authentication method, device, medium and chip.
  • 3GPP 3rd Generation Partnership Project
  • AKMA Application-based key management Method
  • the user device can interact with the application function AF (Application Function) entity based on AKMA to determine the access rights of the user device to the application function AF entity in order to establish a secure session with the application function AF entity, which will increase The load of the application function AF entity reduces the efficiency of the AF entity.
  • application function AF Application Function
  • the present disclosure provides an authentication method, device, medium and chip.
  • an authentication method is provided, applied to user equipment, and the method includes:
  • the application session establishment request message is used to instruct the first proxy entity to determine the relationship between the user equipment and the user device according to the first permission request parameter.
  • the target entity has the first communication authority; the first entity includes an untrusted entity that provides application functions outside the 3GPP operator domain, and the first proxy entity includes an untrusted entity that provides authentication outside the 3GPP operator domain.
  • a functional entity, the first proxy entity provides the authentication proxy function for the first entity;
  • identity authentication is performed through the first proxy entity.
  • an authentication method is provided, applied to a first proxy entity, and the method includes:
  • the application session establishment request message includes a first permission request parameter, and the application session establishment request message is used to instruct the first proxy entity to determine the Whether the user equipment and the target entity have first communication rights.
  • the target entity is the entity requesting communication determined by the user equipment from one or more first entities.
  • the first entities include non-available entities outside the 3GPP operator domain. A trustworthy entity that provides application functions, the first proxy entity includes an untrusted entity that provides authentication functions outside the 3GPP operator domain, and the first proxy entity provides authentication proxy functions for the first entity;
  • an application session establishment response message is sent to the user equipment, and identity authentication is performed on the user equipment.
  • an authentication method is provided, applied to the second entity, and the method includes:
  • the first key request message includes a second permission request parameter
  • the second permission request parameter is the first key request message sent by the first proxy entity according to the user equipment.
  • the first permission request parameters are used to instruct the first proxy entity to determine whether the user equipment and the target entity have the first communication permission according to the first permission request parameters.
  • the target entity The entity requesting communication is determined by the user equipment from one or more first entities.
  • the first entity includes an untrusted entity that provides application functions outside the 3GPP operator domain.
  • the first proxy entity includes 3GPP An untrusted entity outside the operator's domain that provides authentication functions, and the first proxy entity provides the authentication proxy function for the first entity;
  • an authentication method is provided, applied to a third entity, and the method includes:
  • the third key request message includes a third permission request parameter
  • the third permission request parameter is a parameter determined by the second entity according to the second permission request parameter.
  • the second permission request parameter is a parameter determined by the first proxy entity according to the first permission request parameter sent by the user equipment
  • the first permission request parameter is used to indicate that the first proxy entity determines the first permission request parameter based on the first permission request parameter.
  • the parameter determines whether the user equipment and the target entity have first communication rights.
  • the target entity is the entity requesting communication determined by the user equipment from one or more first entities.
  • the first entity includes a 3GPP operator. An untrusted entity outside the domain that provides application functions.
  • the first proxy entity includes an untrusted entity outside the 3GPP operator domain that provides authentication functions.
  • the first proxy entity provides authentication proxy functions for the first entity. ;
  • a third key response message is sent to the second entity according to the third pending key information, where the third key response message includes the third pending key information.
  • an authentication method is provided, applied to a first entity, where the first entity is one or more; the method includes:
  • the authentication result notification message is used to indicate that the target entity and the user equipment have communication permissions, and the first entity includes 3GPP An untrusted entity outside the operator domain that provides application functions.
  • the first proxy entity includes an untrusted entity that provides authentication functions outside the 3GPP operator domain.
  • the first proxy entity provides authentication for the first entity. Agent function.
  • an authentication device applied to user equipment, and the device includes:
  • a target entity determination module configured to determine a target entity requesting communication from one or more first entities
  • a parameter determination module configured to determine first permission request parameters according to the target entity
  • the first message sending module is configured to send an application session establishment request message to the first proxy entity according to the first permission request parameter; the application session establishment request message is used to instruct the first proxy entity to The permission request parameter determines whether the user equipment and the target entity have the first communication permission; the first entity includes an untrusted entity that provides application functions outside the 3GPP operator domain, and the first proxy entity includes the 3GPP operator An untrusted entity outside the business domain that provides authentication functions, and the first proxy entity provides the authentication proxy function for the first entity;
  • a first message receiving module configured to determine whether the user equipment and the target entity have first communication permissions in response to receiving an application session establishment response message sent by the first proxy entity;
  • the authentication module is configured to perform identity authentication through the first proxy entity when the user equipment and the target entity have first communication permissions.
  • an authentication device applied to a first proxy entity, and the device includes:
  • the first proxy receiving module is configured to receive an application session establishment request message sent by the user equipment; the application session establishment request message includes a first permission request parameter, and the application session establishment request message is used to indicate the first proxy entity Determine whether the user equipment and the target entity have the first communication permission according to the first permission request parameter.
  • the target entity is the entity requesting communication determined by the user equipment from one or more first entities.
  • the first The entity includes an untrusted entity that provides application functions outside the 3GPP operator domain, and the first proxy entity includes an untrusted entity that provides authentication functions outside the 3GPP operator domain.
  • the first proxy entity is the first The entity provides authentication proxy functions;
  • a first agent determination module configured to determine whether the user equipment and the target entity have a first communication permission according to the first permission request parameter
  • the first proxy sending module is configured to send an application session establishment response message to the user equipment when the user equipment and the target entity have first communication permissions, and perform identity authentication on the user equipment.
  • an authentication device applied to a second entity, and the device includes:
  • the second receiving module is configured to receive the first key request message sent by the first proxy entity; the first key request message includes a second permission request parameter, and the second permission request parameter is the first proxy entity. Parameters determined by the entity based on the first permission request parameter sent by the user equipment. The first permission request parameter is used to instruct the first proxy entity to determine whether the user equipment and the target entity have the third permission request parameter based on the first permission request parameter.
  • a communication permission, the target entity is the entity requesting communication determined by the user equipment from one or more first entities, the first entity includes an untrusted entity that provides application functions outside the 3GPP operator domain, The first proxy entity includes an untrusted entity that provides authentication functions outside the 3GPP operator domain, and the first proxy entity provides the authentication proxy function for the first entity;
  • a second key acquisition module configured to acquire the first pending key information according to the second permission request parameter
  • the second sending module is configured to send a first key response message to the first proxy entity according to the first pending key information.
  • an authentication device applied to a third entity, and the device includes:
  • the third receiving module is configured to receive a third key request message sent by the second entity; the third key request message includes a third permission request parameter, and the third permission request parameter is the second key request message sent by the second entity according to Parameters determined by second permission request parameters.
  • the second permission request parameters are parameters determined by the first proxy entity according to the first permission request parameters sent by the user equipment.
  • the first permission request parameters are used to indicate the third permission request parameter.
  • a proxy entity determines whether the user equipment and the target entity have the first communication permission according to the first permission request parameter.
  • the target entity is the entity requesting communication determined by the user equipment from one or more first entities.
  • the first entity includes an untrusted entity that provides application functions outside the 3GPP operator domain, and the first proxy entity includes an untrusted entity that provides authentication functions outside the 3GPP operator domain.
  • the first proxy entity is the The above-mentioned first entity provides authentication proxy function;
  • a third determination module configured to determine whether the user equipment and the target entity have the first communication permission according to the third permission request parameter
  • a third key module configured to obtain third pending key information when the user equipment and the target entity have the first communication authority
  • a third sending module is configured to send a third key response message to the second entity according to the third pending key information, where the third key response message includes the third pending key information.
  • an authentication device applied to a first entity, where the first entity is one or more; the device includes:
  • the first communication module is configured to communicate with the user equipment in response to receiving an authentication result notification message sent by the first proxy entity; the authentication result notification message is used to indicate that the target entity and the user equipment have communication permissions.
  • the first entity includes an untrusted entity that provides application functions outside the 3GPP operator domain
  • the first proxy entity includes an untrusted entity that provides authentication functions outside the 3GPP operator domain.
  • the first proxy entity An authentication proxy function is provided for the first entity.
  • an authentication device including:
  • Memory used to store instructions executable by the processor
  • the processor is configured to execute the steps of the authentication method provided by the first aspect of the present disclosure.
  • an authentication device including:
  • Memory used to store instructions executable by the processor
  • the processor is configured to execute the steps of the authentication method provided in the second aspect of the present disclosure.
  • an authentication device including:
  • Memory used to store instructions executable by the processor
  • the processor is configured to execute the steps of the authentication method provided in the third aspect of this disclosure.
  • an authentication device including:
  • Memory used to store instructions executable by the processor
  • the processor is configured to execute the steps of the authentication method provided in the fourth aspect of this disclosure.
  • an authentication device including:
  • Memory used to store instructions executable by the processor
  • the processor is configured to execute the steps of the authentication method provided in the fifth aspect of the present disclosure.
  • a computer-readable storage medium on which computer program instructions are stored.
  • the steps of the authentication method provided by the first aspect of the present disclosure are implemented. .
  • a computer-readable storage medium on which computer program instructions are stored.
  • the steps of the authentication method provided in the second aspect of the present disclosure are implemented. .
  • a computer-readable storage medium on which computer program instructions are stored.
  • the steps of the authentication method provided by the third aspect of the present disclosure are implemented. .
  • a computer-readable storage medium on which computer program instructions are stored.
  • the steps of the authentication method provided in the fourth aspect of the present disclosure are implemented. .
  • a computer-readable storage medium on which computer program instructions are stored.
  • the steps of the authentication method provided in the fifth aspect of the present disclosure are implemented. .
  • a chip including: a processor and an interface; the processor is configured to read instructions to execute the steps of the authentication method provided in the first aspect of the present disclosure.
  • a chip including: a processor and an interface; the processor is configured to read instructions to execute the steps of the authentication method provided in the second aspect of the present disclosure.
  • a chip including: a processor and an interface; the processor is configured to read instructions to execute the steps of the authentication method provided in the third aspect of the present disclosure.
  • a chip including: a processor and an interface; the processor is configured to read instructions to execute the steps of the authentication method provided in the fourth aspect of the present disclosure.
  • a chip including: a processor and an interface; the processor is configured to read instructions to execute the steps of the authentication method provided in the fifth aspect of the present disclosure.
  • the technical solution provided by the embodiments of the present disclosure may include the following beneficial effects: determine the target entity requesting communication from one or more first entities; determine the first permission request parameter according to the target entity; determine the first permission request parameter according to the first permission request parameter Send an application session establishment request message to the first proxy entity; in response to receiving the application session establishment response message sent by the first proxy entity, determine whether the user equipment and the target entity have the first communication permission; when the user equipment and the target entity have the first communication permission In the case of communication permission, identity authentication is performed through the first proxy entity.
  • the application session establishment request message is used to instruct the first proxy entity to determine whether the user equipment and the target entity have the first communication permission according to the first permission request parameter; the first entity includes an untrusted provision application outside the 3GPP operator domain.
  • the first proxy entity includes an untrusted entity that provides authentication functions outside the 3GPP operator domain, and the first proxy entity provides the authentication proxy function for the first entity.
  • the first proxy entity is used to determine whether the user equipment and the first entity have the first communication authority, and if the user equipment has the first communication authority, the identity of the user equipment is It is verified that part of the functions of the first entity can be implemented through the first proxy entity, thereby reducing the load of the first entity and improving the efficiency of the first entity, and the user equipment can communicate with one or more third entities through the unified first proxy entity.
  • the authority authentication and identity authentication of one entity also reduces the complexity of user equipment authentication and improves the efficiency of user equipment.
  • FIG. 1 is a schematic diagram of a communication system applicable to embodiments of the present disclosure according to an exemplary embodiment.
  • Figure 2 is a schematic diagram of a 5G communication system according to an exemplary embodiment.
  • Figure 3 is a flow chart of an authentication method according to an exemplary embodiment.
  • Figure 4 is a flow chart of an authentication method according to an exemplary embodiment.
  • Figure 5 is a flow chart of an authentication method according to an exemplary embodiment.
  • Figure 6 is a flow chart of an authentication method according to an exemplary embodiment.
  • Figure 7 is a flow chart of an authentication method according to an exemplary embodiment.
  • Figure 8 is a flow chart of an authentication method according to an exemplary embodiment.
  • Figure 9 is a flow chart of an authentication method according to an exemplary embodiment.
  • Figure 10 is a flow chart of an authentication method according to an exemplary embodiment.
  • Figure 11 is a flow chart of an authentication method according to an exemplary embodiment.
  • Figure 12 is a flow chart of an authentication method according to an exemplary embodiment.
  • Figure 13 is a block diagram of an authentication device according to an exemplary embodiment.
  • Figure 14 is a block diagram of an authentication device according to an exemplary embodiment.
  • Figure 15 is a block diagram of an authentication device according to an exemplary embodiment.
  • Figure 16 is a block diagram of an authentication device according to an exemplary embodiment.
  • Figure 17 is a block diagram of an authentication device according to an exemplary embodiment.
  • Figure 18 is a block diagram of an authentication device according to an exemplary embodiment.
  • Figure 19 is a block diagram of an authentication device according to an exemplary embodiment.
  • Figure 20 is a block diagram of an authentication device according to an exemplary embodiment.
  • plural refers to two or more than two, and other quantifiers are similar; "at least one of the following” or similar expressions refers to these Any combination of items, including any combination of single items (items) or plural items (items).
  • at least one of a, b, or c can mean: a, b, c, a-b, a-c, b-c, or a-b-c, where a, b, c can be single or multiple ;
  • “And/or” is an association relationship that describes related objects, indicating that there can be three kinds of relationships.
  • a and/or B can mean: A alone exists, A and B exist simultaneously, and B alone exists. situation, where A and B can be singular or plural.
  • the user equipment can interact with the application function AF (Application Function) entity based on AKMA to determine the user equipment's access rights to the application function AF entity, so as to establish a secure session with the application function AF entity.
  • application function AF Application Function
  • message interaction caused by multiple user equipments will increase the load of the application function AF entity and reduce the efficiency of the application function AF entity.
  • the UE directly communicates with the AF. Interaction to determine access rights will also reduce efficiency for the UE.
  • the present disclosure provides an authentication method, device, medium and chip.
  • Embodiments of the present disclosure may be applied to 4G (the 4th Generation, fourth generation) network systems, such as Long Term Evolution (LTE) systems, or may also be applied to 5G (the 5th Generation, fifth generation) Network systems, such as access networks using New Radio Access Technology (New RAT); Cloud Radio Access Network (CRAN) and other communication systems.
  • 4G the 4th Generation, fourth generation
  • 5G the 5th Generation, fifth generation
  • New RAT New Radio Access Technology
  • CRAN Cloud Radio Access Network
  • FIG. 1 is a schematic diagram of a communication system to which an embodiment of the present disclosure is applicable according to an exemplary embodiment. It should be noted that the embodiment of the present disclosure is not limited to the system shown in FIG. 1 .
  • the communication system in FIG. 1 The entity can be hardware, functionally divided software, or a combination of the above two structures.
  • the entities shown in Figure 1 can be entities in any communication network architecture, and the communication network can be a 4G network, a 5G network, a 6G network, etc.
  • the communication system may include: a first entity 101, a second entity 102, a third entity 103, a first proxy entity 110 and a user equipment 160, where the first entity 101 may be one or more,
  • the first entity 101 may include: first entity 1011, first entity 1012, ..., first entity 101n, etc.
  • the first proxy entity 110 may be connected to the one or more first entities 101 (for example, through a wired network, a wireless network, or a combination of both), the first proxy entity may be connected to the second entity, and the first proxy entity 110 may be connected to the second entity.
  • the second entity may be connected to the third entity, and the user equipment may be connected to the first proxy entity and the third entity.
  • the first entity 101 may include an entity that provides an application function
  • the first proxy entity 110 may include an entity that provides an authentication proxy function
  • the second entity 102 may include an entity that provides a network opening function
  • the third entity 110 may include an entity that provides an authentication proxy function.
  • the third entity 103 may include an entity that provides AKMA authorization and application key derivation functions.
  • the third entity 103 may be a functional entity that provides an AKMA anchor function and authenticates communication permissions between the user equipment and the first entity.
  • the first entity may include an untrusted entity that provides application functions outside the 3GPP operator domain
  • the first proxy entity may include an untrusted entity that provides authentication functions outside the 3GPP operator domain.
  • the proxy entity provides authentication proxy functions for the first entity, which may include one or more first entities.
  • the first entity may include: an application function AF (Application Function) entity or an application server SCS/AS (Services Capability Server/Application Server); the first proxy entity may include an authentication proxy AP (AKMA Authentication Proxy) entity; the second The entity may include: Network Exposure Function (NEF) entity or Service Capability Exposure Function (SCEF) entity; the third entity may include: AKMA Anchor Function AAnF (AKMA Anchor Function) entity.
  • NEF Network Exposure Function
  • SCEF Service Capability Exposure Function
  • FIG 2 is a schematic diagram of a 5G communication system according to an exemplary embodiment.
  • the communication system is a specific application of the communication system shown in Figure 1 in the 5G network.
  • the communication system may include an AF entity. 1010, AP entity 1100, NEF entity 1020, UE (User Equipment) 1600.
  • Figure 3 shows an authentication method according to an exemplary embodiment, which can be applied to user equipment in the above communication system. As shown in Figure 3, the method may include:
  • the user equipment determines the target entity requesting communication from one or more first entities.
  • the first entity may include an entity that provides application functions, such as an application function AF entity.
  • the user equipment can determine the AF entity requesting communication according to the user functional requirements.
  • the user equipment determines the first permission request parameter according to the target entity.
  • the first target entity identifier of the target entity may be first obtained, and the first permission parameter may be determined based on the first target entity identifier.
  • the first target entity identifier may include one or more of the target entity's FQDN (Fully Qualified Domain Name), IP (Internet Protocol) address, and port number (PortNumber).
  • FQDN Full Qualified Domain Name
  • IP Internet Protocol
  • PortNumber Port Number
  • the first permission request parameter can be obtained according to the first target entity identification and the user equipment identification characterizing the identity of the user equipment.
  • the user equipment identification may include a key identification A-KID corresponding to the user equipment.
  • the key identification A-KID may be sent according to the hardware information of the user equipment and the communication system when the user equipment registers to access the communication system. Generated from the registration information, the key identification A-KID can uniquely identify a user equipment in the communication system.
  • the first target entity identifier and the key identifier A-KID corresponding to the user equipment may be used as the first permission request parameter.
  • the user equipment sends an application session establishment request message to the first proxy entity according to the first permission request parameter.
  • the application session establishment request message may be used to instruct the first proxy entity to determine whether the user equipment and the target entity have the first communication permission according to the first permission request parameter.
  • the first proxy entity is connected to one or more first entities.
  • a unified first proxy entity may be set up in a trust domain or an edge node, and the first proxy entity may be connected to each first entity in the trust domain or the edge node.
  • an application session establishment request message eg, Application Session Establishment Request message
  • the first entity may include an untrusted entity that provides application functions outside the 3GPP operator domain
  • the first proxy entity may include an untrusted entity that provides authentication functions outside the 3GPP operator domain.
  • the proxy entity provides authentication proxy functions for the first entity, which may include one or more first entities.
  • the user equipment may be pre-configured with a proxy domain name (eg, FQDN) of the first proxy entity. Through the FQDN, the user equipment may interact with the first proxy entity for message interaction or data transmission.
  • FQDN proxy domain name
  • the user equipment determines whether the user equipment and the target entity have the first communication permission.
  • the user equipment may determine that the user equipment and the target entity have the first communication permission upon receiving the application session establishment response message.
  • the user equipment does not receive the application session establishment response message within the preset time, it can be determined that the user equipment and the target entity do not have the first communication permission.
  • the user equipment may determine that the user equipment and the target entity have the first communication permission after receiving an application session establishment response message, and the application session establishment response message contains success indication information.
  • the application session establishment response message received by the user equipment does not contain success indication information, or contains failure indication information, it can be determined that the user equipment and the target entity do not have the first communication permission.
  • the success indication information may be any preset indication information.
  • the user equipment may determine that the user equipment and the target entity have the first communication permission when receiving an application session establishment response message and the application session establishment response message does not contain failure indication information.
  • the application session establishment response message received by the user equipment contains failure indication information, it can be determined that the user equipment and the target entity do not have the first communication permission.
  • the failure indication information can be any preset error code.
  • the user equipment may generate an entity key K AF corresponding to the target entity based on the FQDN of the target entity, and perform identity authentication with the first proxy entity based on the entity key K AF .
  • the user equipment's identity authentication method can refer to the implementation in related technologies.
  • the identity authentication can be performed based on the entity key information corresponding to the target entity, or the identity authentication can be performed based on the user key information corresponding to the user equipment and the target entity.
  • the entity key information is used for identity authentication, and this disclosure does not limit this.
  • a target entity requesting communication from one or more first entities; determine a first permission request parameter based on the target entity; and send an application session establishment request message to the first proxy entity based on the first permission request parameter. ;
  • determine whether the user equipment and the target entity have the first communication permission in the case that the user equipment and the target entity have the first communication permission, through the first proxy entity Perform identity authentication.
  • the application session establishment request message is used to instruct the first proxy entity to determine whether the user equipment and the target entity have the first communication permission according to the first permission request parameter; the first entity includes an untrusted provision application outside the 3GPP operator domain.
  • the first proxy entity includes an untrusted entity that provides authentication functions outside the 3GPP operator domain, and the first proxy entity provides the authentication proxy function for the first entity.
  • the first proxy entity is used to determine whether the user equipment and the first entity have the first communication authority, and if the user equipment has the first communication authority, the identity of the user equipment is It is verified that part of the functions of the first entity can be implemented through the first proxy entity, thereby reducing the load of the first entity and improving the efficiency of the first entity, and the user equipment can communicate with one or more third entities through the unified first proxy entity.
  • the authority authentication and identity authentication of one entity also reduces the complexity of user equipment authentication and improves the efficiency of user equipment.
  • the above-mentioned first communication permission may include one or more of the following:
  • the user device has access permissions to the target entity.
  • Permission 2 The user device has access permission to the first proxy entity.
  • the first proxy entity has proxy authority over the target entity.
  • the target entity has the permission to obtain the user ID of the user device.
  • the user equipment and the target entity have the first communication permission when it is determined that the user equipment has access permission to the target entity; it can also be determined that the user equipment has access permission to the first proxy entity, and the first proxy entity In the case of having proxy authority for the target entity, it is determined that the user equipment and the target entity have the first communication authority; it may also be determined that the user equipment has access authority for the target entity, the user equipment has access authority for the first proxy entity, and the first agent When the entity has proxy authority for the target entity, it is determined that the user equipment and the target entity have the first communication authority.
  • having the first communication permission between the user equipment and the target entity may include: the user equipment has access permission to the first proxy entity, and the first proxy entity has proxy permission to the target entity; for example, between the first proxy entity and the target entity If the FQDN of the target entity is the same, the first communication authority can be used.
  • the user equipment having the first communication permission with the target entity may include: the user equipment has access permission to the target entity, and the user equipment has access permission to the first proxy entity, and the first proxy entity has access permission to the target entity.
  • the entity has proxy rights; for example, the first communication rights may be used where the first proxy entity has a different FQDN than the target entity.
  • the above-mentioned first entity may include: an untrusted application function AF entity outside the 3GPP operator domain, or an untrusted application server SCS/AS entity outside the 3GPP operator domain; the above-mentioned first proxy entity may include A non-trusted authentication proxy AP entity outside the 3GPP operator domain.
  • the user equipment can communicate with the AF entity outside the operator's domain through the AP.
  • the user equipment can communicate with the target entity.
  • the user equipment may communicate with the target entity directly, or may communicate with the target entity through the first proxy entity, for example, the first proxy entity forwards the communication message between the user equipment and the target entity.
  • the user equipment may also determine whether the proxy domain name of the first proxy entity is the same as the first domain name of the target entity. If the proxy domain name is different from the first domain name, case, communication can be made with the target entity.
  • the proxy domain name is the same as the first domain name, it can be further determined through the secure session between the user equipment and the proxy entity whether the user equipment and the target entity have the second communication permission; in the case of having the second communication permission, Can communicate with the target entity.
  • the above proxy domain name may be the fully qualified domain name FQDN corresponding to the first proxy entity
  • the first domain name may be the fully qualified domain name FQDN corresponding to the target entity.
  • the first proxy entity and the target entity may use the same FQDN but different IP addresses or port numbers.
  • the above-mentioned first communication permission can represent that the user equipment has access permission to the FQDN.
  • it can be further determined through the secure session between the user equipment and the proxy entity whether the user equipment and the target entity have second communication rights. .
  • Figure 4 shows an authentication method according to an exemplary embodiment, which can be applied to user equipment. As shown in Figure 4, the method may include:
  • the user equipment After successful identity authentication through the first proxy entity, the user equipment establishes a secure session with the first proxy entity.
  • the security session may be a TLS (Transport Layer Security) session, through which confidentiality and data integrity can be achieved for communications between the user equipment and the first proxy entity.
  • TLS Transport Layer Security
  • the user equipment obtains the proxy domain name of the first proxy entity and the first domain name of the target entity.
  • the proxy domain name may be the fully qualified domain name FQDN corresponding to the first proxy entity, and the first domain name may be the fully qualified domain name FQDN corresponding to the target entity.
  • the user equipment determines whether the user equipment and the target entity have the second communication permission through the secure session.
  • the user equipment can communicate with the target entity directly or communicate with the target entity through the first proxy entity, for example, the first proxy entity forwards the communication message between the user equipment and the target entity.
  • determining whether the user equipment and the target entity have the second communication permission through the secure session in step S404 above may include the following steps:
  • the user equipment sends a target entity service request message to the first proxy entity through the above secure session.
  • the target entity service request message may include a second target entity identity, which is a protected entity identity obtained by the user equipment according to the first target entity identity; the target entity service request message is used to indicate the third target entity identity.
  • a proxy entity determines whether the user equipment and the target entity have the second communication authority according to the second target entity identification.
  • the above-mentioned second target entity identity is an identity determined after protecting the first target entity identity corresponding to the target entity according to the requirements of a secure session (such as a TLS session).
  • the first target entity identity can also be directly used as the second target entity identity, and the second target entity identity can be transmitted through a secure session to protect the first target entity identity. Prevent entity identification from being tampered with during transmission.
  • the user equipment determines whether the user equipment and the target entity have the second communication permission.
  • the user equipment may determine that the user equipment and the target entity have the second communication permission upon receiving the target entity service response message.
  • the user equipment does not receive the target entity service response message within the preset time, it can be determined that the user equipment and the target entity do not have the second communication permission.
  • the user equipment may determine that the user equipment and the target entity have the second communication permission after receiving the target entity service response message, and the target entity service response message contains success indication information.
  • the target entity service response message received by the user equipment does not contain success indication information, or contains failure indication information, it can be determined that the user equipment and the target entity do not have the second communication permission.
  • the success indication information may be any preset indication information.
  • the user equipment may determine that the user equipment and the target entity have the second communication permission when receiving the target entity service response message and the target entity service response message does not contain failure indication information.
  • the target entity service response message received by the user equipment contains failure indication information, it can be determined that the user equipment and the target entity do not have the second communication permission.
  • the failure indication information can be any preset error code.
  • the failure indication information can be any preset error code.
  • the user equipment can determine whether the user equipment and the target entity have the second communication permission through the secure session.
  • the above-mentioned second communication permission may include one or more of the following permissions:
  • the user device has access permissions to the target entity.
  • the first proxy entity has proxy authority over the target entity.
  • the target entity has the permission to obtain the user ID of the user device.
  • Figure 5 shows an authentication method according to an exemplary embodiment, which can be applied to the first proxy entity in the above communication system. As shown in Figure 5, the method may include:
  • the first proxy entity receives an application session establishment request message sent by the user equipment.
  • the application session establishment request message includes a first permission request parameter.
  • the application session establishment request message is used to instruct the first proxy entity to determine whether the user equipment and the target entity have the first communication permission according to the first permission request parameter.
  • the target entity is the user equipment.
  • the entity requesting communication is determined from one or more first entities.
  • the first entity may include an untrusted entity outside the 3GPP operator domain that provides application functions.
  • the first proxy entity may include an untrusted entity outside the 3GPP operator domain.
  • the first proxy entity provides authentication proxy functions for the first entity.
  • the first entity may include one or more.
  • the first proxy entity determines whether the user equipment and the target entity have the first communication permission according to the first permission request parameter.
  • the first proxy entity is used to determine whether the user equipment and the first entity have the first communication authority, and if the user equipment has the first communication authority, the identity of the user equipment is It is verified that part of the functions of the first entity can be implemented through the first proxy entity, thereby reducing the load of the first entity and improving the efficiency of the first entity, and the user equipment can communicate with one or more third entities through the unified first proxy entity.
  • the authority authentication and identity authentication of one entity also reduces the complexity of user equipment authentication and improves the efficiency of user equipment.
  • the first proxy entity may determine whether the user equipment and the target entity have the first communication permission by interacting with the key request message of the second entity. For example, the following steps could be included:
  • the first proxy entity determines the second permission request parameter according to the first permission request parameter.
  • the first permission request parameter and the proxy entity identifier corresponding to the first proxy entity may be used as the second permission request parameter.
  • the first permission request parameter includes the first target entity identification of the target entity and the key identification A-KID corresponding to the user equipment
  • the second permission request parameter may include the first target entity identification and the key identification A-KID.
  • the first permission request parameter may be used as the second permission request parameter.
  • the first proxy entity sends a first key request message to the second entity.
  • the second entity may include an entity that provides network opening functions.
  • the first key request message may include the above-mentioned second permission request parameter.
  • the first proxy entity receives the first key response message sent by the second entity.
  • the first key response message may include first pending key information, and the first pending key information is key information obtained by the second entity according to the second permission request parameter.
  • the first pending key information may include the application key K AF corresponding to the target entity.
  • the first pending key information may include the application key K AF and the key validity time K AF expiration time corresponding to the target entity.
  • the first key response message may also include a first user identification of the user equipment.
  • the first user identification may be any identification used to characterize the user equipment. For example, it may be a universal public identification number corresponding to the user equipment.
  • User ID GPSI Generic Public Subscription Identifier
  • the first proxy entity determines whether the user equipment and the target entity have the first communication authority based on the first pending key information.
  • the first pending key information includes the application key K AF corresponding to the target entity
  • the first pending key information does not include the application key K AF corresponding to the target entity, or the first pending key information does not include the valid application key K AF , or the application key K AF is not received within the preset time.
  • the first proxy entity can determine whether the user equipment and the target entity have the first communication permission by interacting with the second entity.
  • the first proxy entity in the case where the first proxy entity stores the communication permission policy of the user equipment, it may be directly determined according to the first permission request parameter whether the user equipment and the target entity have the first communication permission.
  • the first proxy entity sends an application session establishment response message to the user equipment, and performs identity authentication on the user equipment.
  • the first proxy entity may indicate that the user equipment and the target entity have the first communication permission by sending the application session establishment response message; conversely, by not sending the application session establishment response message, the first proxy entity may indicate that the user equipment and the target entity have the first communication permission. Does not have first communication authority.
  • the first proxy entity may include success indication information in the application session establishment response message, through which the user equipment and the target entity have the first communication permission; conversely, through the success indication information in the application session
  • the establishment response message does not contain success indication information, indicating that the user equipment and the target entity do not have the first communication authority.
  • the success indication information may be any preset indication information.
  • the first proxy entity when the user equipment and the target entity do not have the first communication permission, may include failure indication information in the application session establishment response message, indicating that the user equipment and the target entity do not have the first communication permission.
  • a communication permission conversely, when the user equipment and the target entity have the first communication permission, the first proxy entity can indicate that the user equipment and the target entity have the first communication permission by not including the failure indication information in the application session establishment response message. Communication permissions.
  • authentication of communication rights between the user equipment and the first entity can be implemented based on the first proxy entity, thereby reducing the problem of excessive load caused by the first entity performing rights authentication.
  • the above-mentioned first communication permission may include one or more of the following:
  • the user device has access permissions to the target entity
  • Permission 2 The user device has access permission to the first proxy entity
  • the first proxy entity has proxy authority over the target entity.
  • the target entity has the permission to obtain the user ID of the user device.
  • the above-mentioned first entity may include: an untrusted application function AF entity outside the 3GPP operator domain, or an untrusted application server SCS/AS entity outside the 3GPP operator domain;
  • the above-mentioned first proxy entity may include A non-trusted authentication proxy AP entity outside the 3GPP operator domain;
  • the above-mentioned second entity may include: a network opening function NEF entity or a service capability opening function SCEF entity.
  • the first proxy entity when the first proxy entity successfully performs identity authentication on the user equipment, the first proxy entity may send an authentication result notification message to the target entity.
  • the authentication result notification message is used to indicate that the target entity and the user equipment have communication permissions.
  • the authentication result notification message may also include the first user identification corresponding to the user equipment.
  • the first proxy entity may pass The authentication result notification message sends the first user identification to the target entity.
  • the first user identity may be any identity used to characterize the user equipment, for example, it may be the general public user identity GPSI corresponding to the user equipment.
  • the first proxy entity can verify the communication authority between the user equipment and the first entity, and instruct the user equipment to communicate with the first entity if the user equipment and the first entity have communication authority.
  • the first proxy entity when the first proxy entity successfully authenticates the user equipment, the first proxy entity may obtain the proxy domain name of the first proxy entity and the first domain name of the target entity; when the proxy domain name and the first domain name are When the domain names are different, an authentication result notification message is sent to the target entity to indicate that the target entity has communication permission or can communicate with the user equipment.
  • the first proxy entity temporarily does not send the authentication result notification message to the target entity; it first waits to see whether the user equipment and the target entity have the second communication permission, and then determines whether the user equipment and the target entity have the second communication permission. After the entity has the second communication authority, it sends an authentication result notification message to the target entity.
  • the first proxy entity may further determine whether the user equipment and the target entity have the second communication permission according to the target entity service request message sent by the user equipment.
  • the above proxy domain name may be the fully qualified domain name FQDN corresponding to the first proxy entity
  • the first domain name may be the fully qualified domain name FQDN corresponding to the target entity.
  • the first proxy entity and the target entity may use the same FQDN but different IP addresses or port numbers.
  • the above-mentioned first communication permission can represent that the user equipment has access permission to the FQDN.
  • it can be further determined through the secure session between the user equipment and the proxy entity whether the user equipment and the target entity have second communication rights. .
  • Figure 6 shows an authentication method according to an exemplary embodiment, which can be applied to the first proxy entity. As shown in Figure 6, the method may include:
  • the first proxy entity After the identity authentication of the user equipment is successful, the first proxy entity establishes a secure session with the user equipment.
  • the security session may be a TLS (Transport Layer Security) session, through which confidentiality and data integrity can be achieved for the communication between the first proxy entity and the user device.
  • TLS Transport Layer Security
  • the first proxy entity receives the target entity service request message sent by the user equipment through the secure session.
  • the target entity service request message includes a second target entity identity.
  • the second target entity identity is a protected entity identity obtained by the user equipment according to the first target entity identity of the target entity.
  • the target entity service request message is the user equipment when determining the first agent.
  • a message sent when the entity's proxy domain name is the same as the first domain name of the target entity.
  • the first proxy entity determines whether the user equipment and the target entity have the second communication permission according to the second target entity identifier.
  • the second target entity identifier when the second target entity identifier is the same as the first target entity identifier, it may be determined that the user equipment and the target entity have the second communication permission.
  • the first proxy entity may determine whether the user equipment and the target entity have the second identity by interacting with the second entity's key request message. Communication permissions. For example, the following steps could be included:
  • the first proxy entity sends a second key request message to the second entity.
  • the first proxy entity receives the second key response message sent by the second entity.
  • the first proxy entity determines whether the user equipment and the target entity have the second communication permission according to the second key response message.
  • the second key request message may include the key identification A-KID, the second target entity identification and the proxy entity identification corresponding to the first proxy entity; the second key request message may be used to instruct the second entity according to The second key request message determines whether the user equipment and the target entity have second communication rights.
  • the second key request message may include an authorization indication parameter.
  • the authorization indication parameter may be used to instruct the second entity to determine whether the user equipment and the target entity have the second communication permission according to the second key request message.
  • the second key response message may also include an authorization indication parameter, which is used to indicate that the second key response message is a response to the second key request message.
  • the second key response message may also include an authorization result parameter.
  • the authorization result parameter can be used to indicate authorization success or authorization failure.
  • the first proxy entity determines whether the user equipment and the target entity have the second communication permission according to the authorization result parameter. For example, when the authorization result parameter is authorization successful, it can be determined that the user equipment and the target entity have the second communication permission; conversely, when the authorization result parameter is authorization failure, or the second key response message does not include In the case of authorization result parameters, it can be determined that the user equipment and the target entity do not have the second communication permission.
  • the first proxy entity sends the target entity service response message to the user equipment.
  • the target entity service response message is used to indicate whether the user equipment and the target entity have the second communication permission.
  • the first proxy entity may indicate that the user equipment and the target entity have the second communication permission by sending the target entity service response message; conversely, by not sending the target entity service response message, the first proxy entity may indicate that the user equipment and the target entity have the second communication permission. Does not have secondary communication authority.
  • the first proxy entity may include success indication information in the target entity service response message, through which the user equipment and the target entity have the second communication permission; conversely, through the success indication information in the target entity
  • the service response message does not contain success indication information, indicating that the user equipment and the target entity do not have the second communication permission.
  • the success indication information may be any preset indication information.
  • the first proxy entity when the user equipment and the target entity do not have the second communication permission, may include failure indication information in the target entity service response message, indicating that the user equipment and the target entity do not have the second communication permission.
  • second communication permission conversely, when the user equipment and the target entity have the second communication permission, the first proxy entity may indicate that the user equipment and the target entity have the second communication permission by not including the failure indication information in the target entity service response message.
  • the failure indication information can be any preset error code.
  • the first proxy entity can determine whether the user device and the target entity have the second communication permission through the secure session, and send the permission authentication result to the target device.
  • the above-mentioned second communication permission may include one or more of the following permissions:
  • the user device has access permissions to the target entity.
  • the first proxy entity has proxy authority over the target entity.
  • the target entity has the permission to obtain the user ID of the user device.
  • the first proxy entity may send an authentication result notification message to the target entity.
  • the authentication result notification message is used to indicate that the target entity and the user equipment have communication permissions.
  • the authentication result notification message may also include the first user identification corresponding to the user equipment.
  • the first proxy entity may pass The authentication result notification message sends the first user identification to the target entity.
  • the first user identity may be any identity used to characterize the user equipment, for example, it may be the general public user identity GPSI corresponding to the user equipment.
  • the first proxy entity can verify the second communication permission between the user equipment and the first entity through the secure session, further improving the reliability of the authentication, and indicate that when the user equipment and the first entity have the second communication permission
  • the user equipment communicates with the first entity.
  • Figure 7 shows an authentication method according to an exemplary embodiment, which can be applied to the second entity. As shown in Figure 7, the method may include:
  • the second entity receives the first key request message sent by the first proxy entity.
  • the first key request message includes a second permission request parameter
  • the second permission request parameter is a parameter determined by the first proxy entity according to the first permission request parameter sent by the user equipment
  • the first permission request parameter is used to indicate the first proxy
  • the entity determines whether the user equipment and the target entity have the first communication permission according to the first permission request parameter.
  • the target entity is the entity requesting communication determined by the user equipment from one or more first entities.
  • the first entity may include outside the 3GPP operator domain. An untrusted entity that provides application functions.
  • the first proxy entity may include an untrusted entity that provides authentication functions outside the 3GPP operator domain.
  • the first proxy entity provides authentication proxy functions for the first entity.
  • the first entity Can include one or more.
  • the second entity obtains the first pending key information according to the second permission request parameter.
  • the second entity can determine whether the user equipment and the target entity have the first communication permission by interacting with the third entity's key request message, and obtain the first pending key information. For example, the following steps could be included:
  • the second entity determines the third permission request parameter according to the second permission request parameter.
  • the second entity sends a third key request message to the third entity according to the third permission request parameter.
  • the third key request message may include a third permission request parameter.
  • the second entity receives the third key response message sent by the third entity.
  • the third key response message includes third pending key information
  • the third pending key information is a secret key obtained when the third entity determines that the user equipment and the target entity have the first communication permission according to the third permission request parameter. key information.
  • the second entity obtains the first pending key information based on the third pending key information.
  • the second entity can obtain the first pending key information by interacting with the third entity.
  • the second entity may include an entity that provides network opening functions
  • the third entity may include an entity that provides AKMA authorization and application key derivation functions.
  • the above-mentioned second permission request parameters may include the proxy entity identification corresponding to the first proxy entity, and the second entity may determine the permission to serve the first proxy entity according to a preset policy (such as configuration parameters).
  • Third entity may include the proxy entity identification corresponding to the first proxy entity, and the second entity may determine the permission to serve the first proxy entity according to a preset policy (such as configuration parameters).
  • the above-mentioned second permission request parameters may include the key identification A-KID corresponding to the user equipment, the first target entity identification corresponding to the target entity, and the proxy entity identification corresponding to the first proxy entity; the second entity may The second permission request parameter serves as the third permission request parameter.
  • the third pending key information includes entity key information corresponding to the target entity; the second entity may use the entity key information corresponding to the target entity as the first pending key information.
  • the entity key information corresponding to the target entity may include the application key K AF corresponding to the target entity.
  • the entity key information corresponding to the target entity may include the application key K AF and the key validity time K AF expiration time corresponding to the target entity.
  • the third key response message may also include a second user identification of the user equipment, and the second entity may determine the first user identification based on the second user identification; and based on the first pending key information and the first The user identifies and sends a first key response message to the first proxy entity.
  • the first pending key information and the first user identification may be included in the first key response message.
  • the second user identity may be an identity that characterizes the user equipment within the 3GPP operator domain; the first user identity may be an identity that characterizes the user equipment outside the 3GPP operator domain.
  • the second user identification may be a user permanent identification SUPI (Subscription Permanent Identifier) corresponding to the user equipment; the first user identification may be a general public user identification GPSI (Generic Public Subscription Identifier) corresponding to the user equipment.
  • the second entity may determine the first user identity corresponding to the second user identity according to the preset identity correspondence relationship; the preset identity correspondence relationship includes the correspondence relationship between the second user identity and the first user identity.
  • the second entity can obtain the first user identification corresponding to the user equipment by interacting with the third entity.
  • the second entity when the second entity stores the user equipment communication permission policy, it can directly determine whether the user equipment and the target entity have the first communication permission according to the second permission request parameter, and obtain the first pending permission. Key information.
  • the second entity sends a first key response message to the first proxy entity according to the first pending key information.
  • the first key response message may include first pending key information, so that the first proxy entity determines whether the user equipment and the target entity have the first communication authority based on the first pending key information.
  • the second entity can determine whether the user equipment and the target entity have the first communication permission, and notify the first proxy entity through the first pending key information.
  • the first communication permission includes one or more of the following:
  • the user device has access rights to the target entity
  • the user equipment has access rights to the first proxy entity
  • the first proxy entity has proxy authority over the target entity
  • the target entity has access to the user's device's user ID.
  • the above-mentioned first entity may include: an untrusted application function AF entity outside the 3GPP operator domain, or an untrusted application server SCS/AS entity outside the 3GPP operator domain;
  • the above-mentioned first proxy entity may include A non-trusted authentication proxy AP entity outside the 3GPP operator domain;
  • the above-mentioned second entity may include: a network opening function NEF entity or a service capability opening function SCEF entity.
  • Figure 8 shows an authentication method according to an exemplary embodiment, which can be applied to the second entity. As shown in Figure 8, after sending the first key response message to the first proxy entity, the method may further include:
  • the second entity receives the second key request message sent by the first proxy entity.
  • the second key request message is a message sent by the first proxy entity to the second entity when it is determined that the second target entity identity is different from the first target entity identity corresponding to the target entity; the second target entity identity is the user equipment The protected entity identity obtained according to the first target entity identity of the target entity.
  • the second entity determines whether the user equipment and the target entity have the second communication permission according to the second key request message.
  • the second entity may determine whether the user equipment and the target entity have the second communication permission by interacting with the key request message of the third entity. For example, the following steps could be included:
  • the second entity sends a fourth key request message to the third entity.
  • the second entity receives the fourth key response message sent by the third entity.
  • the second entity determines whether the user equipment and the target entity have the second communication permission according to the fourth key response message.
  • the second key request message may include the key identification A-KID, the second target entity identification and the proxy entity identification corresponding to the first proxy entity; the fourth key request message may also include the key identification A-KID, The second target entity identifier and the proxy entity identifier.
  • the fourth key request message may be used to instruct the third entity to determine whether the user equipment and the target entity have the second communication permission based on the key identification A-KID, the second target entity identification and the proxy entity identification.
  • both the second key request message and the fourth key request message may include an authorization indication parameter, and the authorization indication parameter may be used to instruct the third entity to determine the relationship between the user equipment and the target entity according to the fourth key request message. Whether it has secondary communication permission.
  • the second key response message may also include an authorization indication parameter, which is used to indicate that the second key response message is a response to the second key request message;
  • the fourth key response message may also include an authorization An indication parameter is used to characterize that the fourth key response message is a response to the fourth key request message.
  • the fourth key response message may also include an authorization result parameter.
  • the authorization result parameter can be used to indicate authorization success or authorization failure.
  • the second entity sends a second key response message to the first proxy entity.
  • the second key response message is used to notify the first proxy entity whether the user equipment and the target entity have second communication permissions.
  • the second entity may also generate a second key response message according to the authorization result parameter in the fourth key response message, for example, include the authorization result parameter in the second key response message, so that , the authorization result parameter can be forwarded to the first proxy entity, so that the first proxy entity determines whether the user equipment and the target entity have the second communication permission according to the authorization result parameter.
  • the fourth key response message may also include a second user identification corresponding to the user equipment.
  • the second entity may determine the first user identification based on the second user identification; and provide the first user identification information to the first agent based on the first user identification.
  • the entity sends a second key response message.
  • the first user identification may be included in the second key response message.
  • the second user identity may be an identity that characterizes the user equipment within the 3GPP operator domain; the first user identity may be an identity that characterizes the user equipment outside the 3GPP operator domain.
  • the second user identification may be a user permanent identification SUPI (Subscription Permanent Identifier) corresponding to the user equipment; the first user identification may be a general public user identification GPSI (Generic Public Subscription Identifier) corresponding to the user equipment.
  • the second entity may determine the first user identity corresponding to the second user identity according to the preset identity correspondence relationship; the preset identity correspondence relationship includes the correspondence relationship between the second user identity and the first user identity.
  • the second communication permission includes one or more of the following:
  • the user device has access rights to the target entity
  • the first proxy entity has proxy authority over the target entity
  • the target entity has access to the user's device's user ID.
  • the above-mentioned third entity may include: AKMA anchor function AAnF entity.
  • Figure 9 shows an authentication method according to an exemplary embodiment, which can be applied to a third entity. As shown in Figure 9, the method may include:
  • the third entity receives the third key request message sent by the second entity.
  • the third key request message includes a third permission request parameter
  • the third permission request parameter is a parameter determined by the second entity according to the second permission request parameter
  • the second permission request parameter is a third permission request parameter sent by the first proxy entity according to the user equipment.
  • the first permission request parameter is used to instruct the first proxy entity to determine whether the user equipment and the target entity have the first communication permission according to the first permission request parameter.
  • the target entity is the user equipment from one or more third
  • the entity requesting communication is determined in one entity.
  • the first entity may include an untrusted entity that provides application functions outside the 3GPP operator domain.
  • the first proxy entity may include an untrusted entity that provides authentication functions outside the 3GPP operator domain.
  • the first proxy entity provides the authentication proxy function for the first entity, and the first entity may include one or more.
  • the third entity determines whether the user equipment and the target entity have the first communication permission according to the third permission request parameter.
  • the third permission request parameter may include the proxy entity identification corresponding to the first proxy entity. After receiving the third permission request parameter, the third entity can determine whether the third entity has the permission to serve the first proxy entity according to the preset policy.
  • the preset policy may include preconfigured parameters.
  • the process may be terminated and no longer checks whether the user equipment and the target entity have the first communication authority.
  • the third entity can send a failure indication to the second entity so that the second entity can perform corresponding failure processing; or, the third entity can directly stop processing without sending any message.
  • the third permission request parameter includes the key identification A-KID corresponding to the user equipment, the first target entity identification of the target entity, and the proxy entity identification corresponding to the first proxy entity.
  • the method of determining whether the user equipment and the target entity have the first communication permission includes one or more of the following:
  • Method 1 Determine whether the user equipment has access rights to the target entity according to the key identification A-KID and the first target entity identification.
  • Method 2 Determine whether the user equipment has access rights to the first proxy entity according to the key identification A-KID and the proxy entity identification.
  • Method 3 Determine whether the first proxy entity has proxy authority for the target entity based on the proxy entity identifier and the first target entity ID.
  • Method 4 Determine whether the target entity has the right to obtain the user ID of the user device according to the key identification A-KID and the second target entity identification.
  • Method 5 Determine whether the user device has the authority to use AKMA based on the key identification A-KID.
  • the third entity may determine that the user equipment and the target entity have access rights to both the first proxy entity and the target entity, and the first proxy entity has proxy rights to the target entity.
  • One communication authority may determine that the user equipment and the target entity have access rights to both the first proxy entity and the target entity, and the first proxy entity has proxy rights to the target entity.
  • the third entity may determine that the user equipment and the target entity have the first communication permission after determining that the user equipment has access permissions to the target entity and the first proxy entity has proxy permissions to the target entity.
  • the third entity obtains the third pending key information.
  • the third pending key information can be obtained according to the entity key information corresponding to the target entity.
  • the entity key information corresponding to the target entity may include the application key K AF corresponding to the target entity.
  • the entity key information corresponding to the target entity may include the application key K AF and the key validity time K AF expiration time corresponding to the target entity.
  • the third entity sends a third key response message to the second entity according to the third pending key information.
  • the third key response message may include third pending key information, so that the second entity obtains the first pending key information based on the third pending key information, and sends the first pending key information to the first Proxy entity.
  • the first proxy entity may determine whether the user equipment and the target entity have the first communication authority according to the first pending key information.
  • the third key response message may include the third pending key information.
  • the third entity can determine whether the user equipment and the target entity have the first communication permission, and notify the second entity through the third pending key information.
  • the third key response message may also include the second user identification of the user equipment.
  • the third entity may obtain the second user identification corresponding to the user equipment; and based on the third pending key information and The second user identification is the third key response message sent to the second entity.
  • the third entity may also send the third pending key information and the second user identification corresponding to the user equipment to the second entity through the third key response message when it is determined that the target entity has the authority to obtain the user identification.
  • the second user identity may be an identity that characterizes the user equipment in the 3GPP operator domain; for example, the second user identity may be the user permanent identity SUPI corresponding to the user equipment.
  • the above-mentioned first entity may include: an untrusted application function AF entity outside the 3GPP operator domain, or an untrusted application server SCS/AS entity outside the 3GPP operator domain;
  • the above-mentioned first proxy entity may include A non-trusted authentication proxy AP entity outside the 3GPP operator domain;
  • the above-mentioned second entity may include: a network opening function NEF entity or a service capability opening function SCEF entity;
  • the above-mentioned third entity may include: an AKMA anchor function AAnF entity.
  • Figure 10 shows an authentication method according to an exemplary embodiment, which can be applied to a third entity. As shown in Figure 10, after sending the third key response message to the second entity, the method may further include:
  • the third entity receives the fourth key request message sent by the second entity.
  • the third entity determines whether the user equipment and the target entity have the second communication permission according to the fourth key request message.
  • the third entity sends a fourth key response message to the second entity.
  • the fourth key response message is used to notify the second entity whether the user equipment and the target entity have the second communication permission.
  • the fourth key request message may include the proxy entity identification corresponding to the first proxy entity.
  • the third entity may determine whether the third entity has the authority to serve the first proxy entity according to the preset policy.
  • the preset policy may include preconfigured parameters.
  • the process may be terminated and no longer checks whether the user equipment and the target entity have the first communication authority.
  • the third entity can send a failure indication to the second entity so that the second entity can perform corresponding failure processing; or, the third entity can directly stop processing without sending any message.
  • the fourth key request message may include a key identifier A-KID, a second target entity identifier and a proxy entity identifier corresponding to the first proxy entity.
  • the second target entity identifier is the user equipment according to the third target entity identifier.
  • a protected entity identity obtained by a target entity identity; the method of determining whether the user equipment and the target entity have the second communication permission in step S1002 above may include one or more of the following:
  • Method 6 Determine whether the user device has access rights to the target entity based on the key identification A-KID and the second target entity identification;
  • Method 7 Determine whether the first proxy entity has proxy authority for the target entity based on the proxy entity identifier and the second target entity ID.
  • Method 8 Determine whether the target entity has the right to obtain the user identification of the user device according to the key identification A-KID and the second target entity identification.
  • the third entity may determine that the user equipment and the target entity have the second communication permission after determining that the user equipment has access permission to the target entity and the first proxy entity has proxy permission to the target entity.
  • the fourth key request message includes an authorization indication parameter, and the authorization indication parameter is used to instruct the third entity to determine whether the user equipment and the target entity have the second communication permission according to the fourth key request message.
  • the fourth key response message may also include an authorization indication parameter, which is used to indicate that the fourth key response message is a response to the fourth key request message.
  • the fourth key response message may also include an authorization result parameter.
  • the authorization result parameter can be used to indicate authorization success or authorization failure.
  • the third entity may determine the value of the authorization result parameter based on whether the user equipment and the target entity have the second communication permission. For example, when the third entity determines that the user equipment and the target entity have the second communication permission, the third entity can set the authorization result parameter to authorization success (for example, 1); when it determines that the user equipment and the target entity do not have the second communication permission, In this case, the value of the authorization result parameter can be set to authorization failure (for example, 0).
  • the third entity may indicate that the user equipment and the target entity do not have the second communication permission by not including the authorization result information in the fourth key response message.
  • the authorization result information may not be included in the fourth key response message; conversely, when it is determined that the user equipment and the target entity have the second communication permission, the authorization result information may not be included in the fourth key response message. In the case of communication permission, the authorization result information may be included in the fourth key response message.
  • the fourth key response message may also include a second user identification corresponding to the user equipment.
  • the third entity may send a fourth key response message to the second entity according to the second user identification corresponding to the user equipment.
  • the second user identity may be a user permanent identity SUPI corresponding to the user equipment.
  • Figure 11 shows an authentication method according to an exemplary embodiment, which can be applied to the first entity. As shown in Figure 11, the method may also include:
  • the first entity receives the authentication result notification message sent by the first proxy entity.
  • the first entity communicates with the user equipment in response to receiving the authentication result notification message sent by the first proxy entity.
  • the authentication result notification message is used to indicate that the target entity and the user equipment have communication permissions, the first proxy entity is connected to the first entity, and both the first entity and the first proxy entity are untrusted functions outside the 3GPP operator domain. entity.
  • the first entity can wait for the user equipment to initiate communication; the first entity can also actively initiate communication with the user equipment, which is not limited in this disclosure.
  • the authentication result notification message includes the first user identification of the user equipment.
  • the first user identifier may be an identifier characterizing the user equipment outside the 3GPP operator domain.
  • the first user identity is the general public user identity GPSI corresponding to the user equipment.
  • the first entity includes: an untrusted application function AF entity outside the 3GPP operator domain, or an untrusted application server SCS/AS entity outside the 3GPP operator domain; and the first proxy entity includes an untrusted application function AF entity outside the 3GPP operator domain.
  • the non-trusted authentication proxy AP entity includes: an untrusted application function AF entity outside the 3GPP operator domain, or an untrusted application server SCS/AS entity outside the 3GPP operator domain; and the first proxy entity includes an untrusted application function AF entity outside the 3GPP operator domain.
  • the non-trusted authentication proxy AP entity is not-trusted authentication proxy AP entity.
  • the first entity can determine whether the user equipment and the first entity have the first communication authority according to the authentication result notification message of the first proxy entity, thereby reducing the load of the first entity and improving the efficiency of the first entity.
  • Figure 12 illustrates an authentication method according to an exemplary embodiment. As shown in Figure 12, the method may include:
  • the user equipment sends an application session establishment request message to the first proxy entity.
  • the application session establishment request message may include a first permission request parameter
  • the first permission request parameter may include the key identification A-KID of the user device and the first target entity identification Target AF ID of the target entity.
  • the target entity may be an entity requesting communication determined by the user equipment from one or more first entities.
  • the user equipment can obtain the key identification A-KID through a preset functional entity in the communication system.
  • the preset functional entity may include an Authentication Service Function AUSF (Authentication Server Function) entity.
  • AUSF Authentication Server Function
  • the first proxy entity In response to receiving the application session establishment request message, the first proxy entity sends a first key request message to the second entity.
  • the first key request message may include a second permission request parameter.
  • the first proxy entity may receive an application session establishment request message sent by the user device, and determine the second permission request parameter according to the first permission request parameter in the application session establishment request message.
  • the second permission request parameter includes the key identification A-KID, The first target entity identification Target AF ID and the proxy entity identification of the first proxy entity.
  • the second entity In response to receiving the first key request message, the second entity sends a third key request message to the third entity.
  • the third key request message may include a third permission request parameter.
  • the second entity may receive the first key request message sent by the first proxy entity, and determine the third permission request parameter according to the second permission request parameter in the first key request message.
  • the second permission request parameter can be directly used as the third permission request parameter.
  • the second permission request parameter includes the key identification A-KID, the first target entity identification Target AF ID and the proxy entity identification of the first proxy entity
  • the key identification A-KID the first target entity identification can be The entity identifier Target AF ID and the proxy entity identifier of the first proxy entity are used as the third permission request parameters.
  • the third entity can authenticate the communication permissions of the user equipment and the target entity based on the preset permission policy to determine whether the user equipment and the target entity have the first communication permission, for example:
  • the method by which the third entity determines whether the user equipment and the target entity have the first communication permission may include one or more of the following:
  • Method 1 Determine whether the user equipment has access rights to the target entity according to the key identification A-KID and the first target entity identification.
  • Method 2 Determine whether the user equipment has access rights to the first proxy entity according to the key identification A-KID and the proxy entity identification.
  • Method 3 Determine whether the first proxy entity has proxy authority for the target entity based on the proxy entity identifier and the first target entity ID.
  • Method 4 Determine whether the target entity has the right to obtain the user ID of the user device according to the key identification A-KID and the second target entity identification.
  • Method 5 Determine whether the user device has the authority to use AKMA based on the key identification A-KID.
  • the third entity may determine that the user equipment and the target entity have the first communication permission after determining that the user equipment has access permission to the target entity and the first proxy entity has proxy permission to the target entity. For example, the third entity may determine whether the user equipment and the target entity have the first communication permission through the following steps:
  • step S12 If it is determined that the first proxy entity does not have proxy authority for the target entity, it is directly determined that the user equipment and the target entity do not have the first communication authority, and step S12 is no longer performed. On the contrary, if it is determined that the first proxy entity has proxy authority for the target entity, then step S12 is continued.
  • step S13 If it is determined that the user equipment does not have access rights to the target entity, it is directly determined that the user equipment and the target entity do not have the first communication rights, and step S13 is no longer performed. On the contrary, if it is determined that the user device has access rights to the target entity, then step S13 continues.
  • the user equipment When it is determined that the user equipment has the authority to use AKMA, it may be determined that the user equipment and the target entity have the first communication authority. On the contrary, when it is determined that the user equipment does not have the authority to use AKMA, it may be determined that the user equipment and the target entity do not have the first communication authority.
  • the third pending key information may include entity key information corresponding to the target entity.
  • the entity key information corresponding to the target entity may include the application key K AF corresponding to the target entity.
  • the entity key information corresponding to the target entity may include the application key K AF and the key validity time K AF expiration time corresponding to the target entity.
  • the third entity sends a third key response message to the second entity according to the third pending key information.
  • the third key response message may include the application key K AF and the key validity time K AF expiration time corresponding to the target entity.
  • the third key response message may also include a second user identification of the user equipment, and the second user identification may be an identification characterizing the user equipment within the 3GPP operator domain; for example, the second user identification
  • the identity may be the user permanent identity SUPI corresponding to the user equipment.
  • the second entity sends the first key response message to the first proxy entity according to the third key response message.
  • the first key response message may include the application key K AF and the key validity time K AF expiration time corresponding to the target entity.
  • the second entity may obtain the first user identification (for example, GPSI) according to the second user identification (for example, SUPI), and perform the first The key response message contains the first user ID.
  • the first user identification for example, GPSI
  • the first proxy entity sends an application session establishment response message to the user equipment.
  • the first proxy entity When the first proxy entity obtains the application key K AF in the first key response message, it can determine that the user equipment and the target entity have the first communication permission. At this time, the first proxy entity can send the application session to the user equipment. Create a response message.
  • the user equipment performs identity authentication through the first proxy entity.
  • the user equipment may perform identity authentication through the first proxy entity when it is determined that the user equipment and the target entity have the first communication authority. For example, the user equipment may generate an entity key K AF corresponding to the target entity based on the FQDN of the target entity, and perform identity authentication with the first proxy entity based on the entity key K AF .
  • the first proxy entity sends an authentication result notification message to the target entity.
  • the first proxy entity may include the first user identification in the authentication result notification message. So that the target application can obtain the identification information of the user device.
  • the first proxy entity when the first proxy entity successfully performs identity authentication on the user equipment, the first proxy entity may send an authentication result notification message to the target entity (execute step S1209a and no longer continue to execute steps S1209b and subsequent steps). ).
  • the first proxy entity when the first proxy entity successfully authenticates the user equipment, the first proxy entity may obtain the proxy domain name of the first proxy entity and the first domain name of the target entity; when the proxy domain name and the first domain name are If the domain names are different, an authentication result notification message is sent to the target entity (step S1209a is executed, and steps S1209b and subsequent steps are not continued), so as to indicate that the target entity has communication permissions or communicates with the user equipment.
  • the first proxy entity may temporarily not send the authentication result notification message to the target entity; first, it waits to see whether the user equipment and the target entity have the second communication permission, After it is determined that the user equipment and the target entity have the second communication permission, an authentication result notification message is sent to the target entity. That is, step S1209a is not executed, and steps S1209b and subsequent steps are continued.
  • the user equipment establishes a secure session with the first proxy entity.
  • the secure session may include a TLS session.
  • the user equipment sends a target entity service request message to the first proxy entity.
  • the target entity service request message includes a second target entity identity
  • the second target entity identity is a protected entity identity obtained by the user equipment according to the first target entity identity of the target entity.
  • the target entity service request message may include the key identification A-KID and the second target entity identification.
  • the second target entity identifier when the second target entity identifier is the same as the first target entity identifier, it can be determined that the user equipment and the target entity have the second communication permission, and then the authentication result notification message can be sent to the target entity and the user The device sends the target entity service response message. That is to say, steps S1211a and S1218 are executed without executing steps S1211b to S1217.
  • the first proxy entity may determine whether the user equipment and the target entity have the second identity by interacting with the second entity's key request message. Communication permissions. That is, step S1211a is not executed, and steps S1211b and subsequent steps are continued.
  • the first proxy entity sends an authentication result notification message to the target entity.
  • the first proxy entity sends a second key request message to the second entity.
  • the second key request message may include the key identification A-KID, the second target entity identification, and the proxy entity identification corresponding to the first proxy entity; the second key request message may be used to indicate the third The two entities determine whether the user equipment and the target entity have the second communication permission according to the second key request message.
  • the second key request message may also include an authorization indication parameter.
  • the authorization indication parameter may be used to instruct the second entity to determine whether the user equipment and the target entity have second communication permissions based on the second key request message. .
  • the second entity sends a fourth key request message to the third entity according to the second key request message.
  • the fourth key request message may include the key identification A-KID, the second target entity identification, and the proxy entity identification corresponding to the first proxy entity.
  • the fourth key request message may also include an authorization indication parameter.
  • the authorization indication parameter may be used to instruct the third entity to determine whether the user equipment and the target entity have the second communication permission according to the fourth key request message. .
  • the third entity determines whether the user equipment and the target entity have the second communication permission according to the fourth key request message.
  • the method for the third entity to determine whether the user equipment and the target entity have the second communication permission may include one or more of the following:
  • Method 6 Determine whether the user device has access rights to the target entity based on the key identification A-KID and the second target entity identification;
  • Method 7 Determine whether the first proxy entity has proxy authority for the target entity based on the proxy entity identifier and the second target entity ID.
  • Method 8 Determine whether the target entity has the right to obtain the user identification of the user device according to the key identification A-KID and the second target entity identification.
  • the third entity may determine that the user equipment and the target entity have the second communication permission after determining that the user equipment has access permission to the target entity and the first proxy entity has proxy permission to the target entity.
  • the third entity sends a fourth key response message to the fourth entity.
  • the fourth key response message is used to notify the second entity whether the user equipment and the target entity have the second communication permission.
  • the fourth key response message may also include a second user identification of the user equipment, and the second user identification may be an identification characterizing the user equipment within the 3GPP operator domain; for example, the second user identification
  • the identity may be the user permanent identity SUPI corresponding to the user equipment.
  • the fourth key response message may also include an authorization result parameter.
  • the third entity may include the authorization result parameter in the fourth key response message when determining whether the user equipment and the target entity have the second communication permission.
  • the second entity sends a second key response message to the first proxy entity according to the fourth key response message.
  • the second entity may obtain the first user identification (for example, GPSI) according to the second user identification (for example, SUPI), and perform the second user identification on the second user equipment.
  • the key response message contains the first user ID.
  • the second entity may also include the authorization result parameter in the second key response message.
  • the first proxy entity sends an authentication result notification message to the target entity.
  • the first proxy entity may send an authentication result notification message to the target entity based on the second key response message. For example, the first proxy entity determines that the user equipment and the target entity have second communication based on the second key response message. If the authorization is granted, an authentication result notification message can be sent to the target entity.
  • the second key response message may include an authorization result parameter
  • the first proxy entity may determine based on the authorization result parameter that the user equipment and the target entity have the second communication permission.
  • the first proxy entity may include the first user identification in the authentication result notification message. So that the target application can obtain the identification information of the user device.
  • the first proxy entity sends the target entity service response message to the user equipment.
  • the target entity service response message is used to indicate whether the user equipment and the target entity have the second communication permission.
  • the first proxy entity may send a target entity service response message to the user equipment according to the second key response message.
  • the first proxy entity determines that the user equipment is connected to the user equipment according to the authorization result parameters in the second key response message. If the target entity has the second communication authority, the target entity sends a target entity service response message to the user equipment.
  • the above-mentioned first entity may include: an untrusted application function AF entity outside the 3GPP operator domain, or an untrusted application server SCS/AS entity outside the 3GPP operator domain;
  • the above-mentioned first proxy entity may include A non-trusted authentication proxy AP entity outside the 3GPP operator domain;
  • the above-mentioned second entity may include: a network opening function NEF entity or a service capability opening function SCEF entity;
  • the above-mentioned third entity may include: an AKMA anchor point function AAnF entity.
  • the first proxy entity is used to determine whether the user equipment and the first entity have communication permissions, and if the user equipment has the first communication permissions, the identity verification of the user equipment is performed.
  • Part of the functions of the first entity can be implemented through the first proxy entity, thereby reducing the load of the first entity and improving the efficiency of the first entity.
  • the user equipment can communicate with one or more first entities through the unified first proxy entity.
  • the authority authentication and identity authentication also reduce the complexity of user equipment authentication and improve the efficiency of user equipment.
  • FIG 13 is a block diagram of an authentication device 1300 according to an exemplary embodiment.
  • the authentication device can be applied to user equipment.
  • the device 1300 may include:
  • the target entity determination module 1301 is configured to determine the target entity requesting communication from one or more first entities
  • the parameter determination module 1302 is configured to determine the first permission request parameter according to the target entity
  • the first message sending module 1303 is configured to send an application session establishment request message to the first proxy entity according to the first permission request parameter; the application session establishment request message is used to instruct the first proxy entity to based on the first permission request parameter.
  • An entity that provides authentication functions, and the first proxy entity provides authentication proxy functions for the first entity;
  • the first message receiving module 1304 is configured to determine whether the user equipment and the target entity have the first communication permission in response to receiving the application session establishment response message sent by the first proxy entity;
  • the authentication module is configured to perform identity authentication through the first proxy entity when the user equipment and the target entity have first communication permissions.
  • the parameter determination module 1302 is configured to use the first target entity identification of the target entity and the key identification A-KID corresponding to the user equipment as the first permission request parameter.
  • the first communication permission includes one or more of the following:
  • the user device has access rights to the target entity
  • the user equipment has access rights to the first proxy entity
  • the first proxy entity has proxy authority for the target entity
  • the target entity has access to the user's device's user ID.
  • Figure 14 is a block diagram of an authentication device 1300 according to an exemplary embodiment. As shown in Figure 14, the device may also include:
  • the user communication module 1305 is configured to establish a secure session with the first proxy entity after successful identity authentication through the first proxy entity; obtain the proxy domain name of the first proxy entity and the first domain name of the target entity; If the proxy domain name is the same as the first domain name, determine whether the user equipment and the target entity have the second communication permission through the secure session; if it is determined that the user equipment and the target entity have the second communication permission, Communicate with this target entity.
  • the user communication module 1305 is configured to send a target entity service request message to the first proxy entity through the secure session;
  • the target entity service request message includes a second target entity identifier, and the second target entity identifier is a protected entity identity obtained by the user equipment based on the first target entity identity, and the target entity service request message is used to instruct the first proxy entity to determine whether the user equipment and the target entity have the same relationship based on the second target entity identity.
  • Second communication permission in response to receiving the target entity service response message sent by the first proxy entity, determine whether the user equipment and the target entity have the second communication permission.
  • the second communication permission includes one or more of the following:
  • the user device has access rights to the target entity
  • the first proxy entity has proxy authority for the target entity
  • the target entity has access to the user's device's user ID.
  • the first message receiving module 1304 is configured to, upon receiving the application session establishment response message, determine that the user equipment and the target entity have the first communication permission; or, upon receiving the application session establishment response message, If the session establishment response message contains success indication information, it is determined that the user equipment and the target entity have the first communication authority.
  • the first entity includes: an untrusted application function AF entity outside the 3GPP operator domain, or an untrusted application server SCS/AS entity outside the 3GPP operator domain; the first proxy entity includes an untrusted application function AF entity outside the 3GPP operator domain The non-trusted authentication proxy AP entity.
  • Figure 15 is a block diagram of an authentication device 1500 according to an exemplary embodiment.
  • the authentication device can be applied to the first proxy entity.
  • the device 1500 may include:
  • the first proxy receiving module 1501 is configured to receive an application session establishment request message sent by the user equipment; the application session establishment request message includes a first permission request parameter, and the application session establishment request message is used to instruct the first proxy entity according to the first permission request parameter.
  • a permission request parameter determines whether the user equipment and the target entity have the first communication permission.
  • the target entity is the entity that the user equipment determines to request communication from one or more first entities.
  • the first entity includes those outside the 3GPP operator domain.
  • An untrusted entity that provides application functions the first proxy entity includes an untrusted entity that provides authentication functions outside the 3GPP operator domain, and the first proxy entity provides authentication proxy functions for the first entity;
  • the first agent determination module 1502 is configured to determine whether the user equipment and the target entity have the first communication permission according to the first permission request parameter;
  • the first proxy sending module 1503 is configured to send an application session establishment response message to the user equipment and perform identity authentication on the user equipment when the user equipment and the target entity have first communication permissions.
  • the first permission request parameter includes the first target entity identification of the target entity and the key identification A-KID corresponding to the user equipment.
  • the first communication permission includes one or more of the following:
  • the user device has access rights to the target entity
  • the user equipment has access rights to the first proxy entity
  • the first proxy entity has proxy authority for the target entity
  • the target entity has access to the user's device's user ID.
  • the first agent determination module 1502 is configured to determine a second permission request parameter according to the first permission request parameter; send a first key request message to the second entity; the first key request message includes the The second permission request parameter; receiving the first key response message sent by the second entity; the first key response message includes first pending key information, and the first pending key information is the second entity according to the third The key information obtained by the second permission request parameter; based on the first pending key information, it is determined whether the user equipment and the target entity have the first communication permission.
  • the first proxy determination module 1502 is configured to use the first permission request parameter and the proxy entity identification corresponding to the first proxy entity as the second permission request parameter.
  • the first agent determination module 1502 is configured to determine that the user equipment and the target entity have the first communication authority when the first pending key information includes entity key information corresponding to the target entity. .
  • the first proxy sending module 1503 is configured to send an authentication result notification message to the target entity when the identity authentication of the user equipment is successful; the authentication result notification message is used to indicate that the target entity and The user device has communication permissions.
  • the first proxy sending module 1503 is configured to obtain the proxy domain name of the first proxy entity and the first domain name of the target entity; when the proxy domain name is different from the first domain name, send the proxy domain name to the target entity.
  • the entity sends an authentication result notification message.
  • the first proxy sending module 1503 is configured to send the authentication result notification message to the target entity through the authentication result notification message when the first key response message includes the first user identification corresponding to the user equipment. First user ID.
  • the first user identity is a general public user identity GPSI corresponding to the user equipment.
  • Figure 16 is a block diagram of an authentication device 1500 according to an exemplary embodiment. As shown in Figure 16, the device may also include:
  • the first proxy communication module 1504 is configured to establish a secure session with the user equipment after successful identity authentication of the user equipment; receive a target entity service request message sent by the user equipment through the secure session; the target entity service The request message includes a second target entity identity.
  • the second target entity identity is a protected entity identity obtained by the user equipment according to the first target entity identity of the target entity.
  • the target entity service request message is for the user equipment in determining the third target entity identity.
  • the second communication permission includes one or more of the following:
  • the user device has access rights to the target entity
  • the first proxy entity has proxy authority for the target entity
  • the target entity has access to the user's device's user ID.
  • the first proxy communication module 1504 is configured to determine that the user equipment and the target entity have the second communication permission when the second target entity identity is the same as the first target entity identity.
  • the first agent communication module 1504 is configured to send a second key request message to the second entity when the second target entity identity is different from the first target entity identity; the second secret key request message is sent to the second entity.
  • the key request message includes the key identification A-KID, the second target entity identification and the proxy entity identification corresponding to the first proxy entity; the second key request message is used to instruct the second entity to determine that the user equipment is connected to the Whether the target entity has the second communication authority; receiving the second key response message sent by the second entity; and determining whether the user equipment and the target entity have the second communication authority according to the second key response message.
  • the second key request message further includes an authorization indication parameter, which is used to instruct the second entity to determine whether the user equipment and the target entity have second communication permissions based on the second key request message.
  • the first agent determination module 1502 is configured to send an authentication result notification message to the target entity when it is determined according to the second key response message that the user equipment and the target entity have second communication permissions. ;
  • the authentication result notification message is used to indicate that the target entity has communication permission with the user equipment.
  • the first agent determination module 1502 is configured to send the authentication result notification message to the target entity through the authentication result notification message when the second key response message includes the first user identification corresponding to the user equipment.
  • the first user ID is configured to send the authentication result notification message to the target entity through the authentication result notification message when the second key response message includes the first user identification corresponding to the user equipment. The first user ID.
  • the first user identity is a general public user identity GPSI corresponding to the user equipment.
  • the first pending key information includes the application key K AF and the key validity time.
  • the second entity includes: a network opening function NEF entity or a service capability opening function SCEF entity.
  • the first entity includes: an untrusted application function AF entity outside the 3GPP operator domain, or an untrusted application server SCS/AS entity outside the 3GPP operator domain; the first proxy entity includes an untrusted application function AF entity outside the 3GPP operator domain The non-trusted authentication proxy AP entity.
  • FIG 17 is a block diagram of an authentication device 1700 according to an exemplary embodiment.
  • the authentication device can be applied to the second entity.
  • the device 1700 may include:
  • the second receiving module 1701 is configured to receive a first key request message sent by the first proxy entity; the first key request message includes a second permission request parameter, and the second permission request parameter is based on the first proxy entity's request. Parameters determined by the first permission request parameter sent by the user equipment. The first permission request parameter is used to instruct the first proxy entity to determine whether the user equipment and the target entity have the first communication permission according to the first permission request parameter.
  • the target entity The entity is the entity that the user equipment determines to request communication from one or more first entities.
  • the first entity includes an untrusted entity that provides application functions outside the 3GPP operator domain.
  • the first proxy entity includes the 3GPP operator. An untrusted entity outside the domain that provides authentication functions, and the first proxy entity provides authentication proxy functions for the first entity;
  • the second key acquisition module 1702 is configured to obtain the first pending key information according to the second permission request parameter
  • the second sending module 1703 is configured to send a first key response message to the first proxy entity according to the first pending key information.
  • the second key acquisition module 1702 is configured to determine a third permission request parameter according to the second permission request parameter; send a third key request message to the third entity according to the third permission request parameter; receive The third key response message sent by the third entity; the third key response message includes third pending key information, the third pending key information is the third entity determining the user according to the third permission request parameter
  • the key information obtained when the device and the target entity have the first communication authority; the first pending key information is obtained according to the third pending key information.
  • the first communication permission includes one or more of the following:
  • the user device has access rights to the target entity
  • the user equipment has access rights to the first proxy entity
  • the first proxy entity has proxy authority for the target entity
  • the target entity has access to the user's device's user ID.
  • the second permission request parameter includes the key identification A-KID corresponding to the user equipment, the first target entity identification corresponding to the target entity, and the proxy entity identification corresponding to the first proxy entity; the second key acquisition Module 1702 is configured to use the second permission request parameter as the third permission request parameter.
  • the third undetermined key information includes entity key information corresponding to the target entity; the second key acquisition module 1702 is configured to use the entity key information corresponding to the target entity as the first undetermined key information. key information.
  • the entity key information includes application key K AF and key validity time.
  • the third key response message also includes a second user identification corresponding to the user equipment; the second sending module 1703 is configured to determine the first user identification according to the second user identification; according to the first to-be-determined The key information and the first user identification are used to send a first key response message to the first proxy entity.
  • the first user identity is the general public user identity GPSI corresponding to the user equipment; the second user identity is the user permanent identity SUPI corresponding to the user equipment.
  • the second key acquisition module 1702 is configured to receive the second key response message sent by the first proxy entity after sending the first key response message to the first proxy entity according to the first pending key information.
  • a key request message; the second key request message is a message sent by the first proxy entity to the second entity when it is determined that the second target entity identity is different from the first target entity identity corresponding to the target entity; the The second target entity identification is a protected entity identification obtained by the user equipment according to the first target entity identification of the target entity; determine whether the user equipment and the target entity have second communication permissions according to the second key request message; and
  • the first proxy entity sends a second key response message; the second key response message is used to notify the first proxy entity whether the user equipment and the target entity have second communication permissions.
  • the second communication permission includes one or more of the following:
  • the user device has access rights to the target entity
  • the first proxy entity has proxy authority for the target entity
  • the target entity has access to the user's device's user ID.
  • the second key request message includes the key identification A-KID, the second target entity identification and the proxy entity identification corresponding to the first proxy entity; the second key acquisition module 1702 is configured to provide The third entity sends a fourth key request message; the fourth key request message includes the key identification A-KID, the second target entity identification and the proxy entity identification; receives the fourth key sent by the third entity Response message: determine whether the user equipment and the target entity have the second communication permission according to the fourth key response message.
  • both the second key request message and the fourth key request message include an authorization indication parameter, and the authorization indication parameter is used to instruct the third entity to determine the user equipment and the user equipment according to the fourth key request message. Whether the target entity has secondary communication permissions.
  • the third entity includes: AKMA anchor point function AAnF entity.
  • the first entity includes: an untrusted application function AF entity outside the 3GPP operator domain, or an untrusted application server SCS/AS entity outside the 3GPP operator domain;
  • the first proxy entity includes an untrusted application function AF entity outside the 3GPP operator domain A non-trusted authentication proxy AP entity;
  • the second entity includes: a network opening function NEF entity or a service capability opening function SCEF entity.
  • Figure 18 is a block diagram of an authentication device 1800 according to an exemplary embodiment.
  • the authentication device can be applied to a third entity.
  • the device 1800 may include:
  • the third receiving module 1801 is configured to receive a third key request message sent by the second entity; the third key request message includes a third permission request parameter, and the third permission request parameter is the second entity according to the second Parameters determined by permission request parameters.
  • the second permission request parameters are parameters determined by the first proxy entity based on the first permission request parameters sent by the user equipment.
  • the first permission request parameters are used to indicate that the first proxy entity is determined based on the first permission request parameters.
  • the permission request parameter determines whether the user equipment and the target entity have the first communication permission.
  • the target entity is the entity that the user equipment determines to request communication from one or more first entities.
  • the first entity includes an entity outside the 3GPP operator domain. An untrusted entity that provides application functions.
  • the first proxy entity includes an untrusted entity that provides authentication functions outside the 3GPP operator domain.
  • the first proxy entity provides authentication proxy functions for the first entity;
  • the third determination module 1802 is configured to determine whether the user equipment and the target entity have the first communication permission according to the third permission request parameter;
  • the third key module 1803 is configured to obtain the third pending key information when the user equipment and the target entity have the first communication authority;
  • the third sending module 1804 is configured to send a third key response message to the second entity according to the third pending key information.
  • the third permission request parameter includes the key identification A-KID corresponding to the user equipment, the first target entity identification of the target entity, and the proxy entity identification corresponding to the first proxy entity; the third determination module 1802, Configured to determine whether the user equipment and the target entity have the first communication permission through one or more of the following:
  • the key identification A-KID and the second target entity identification it is determined whether the target entity has acquisition authority for the user identification of the user equipment.
  • the third key module 1803 is configured to obtain the third pending key information according to the entity key information corresponding to the target entity.
  • the third sending module 1804 is configured to send the third pending key information and the user equipment to the second entity through a third key response message when it is determined that the target entity has the authority to obtain the user identity.
  • the second user identity is a user permanent identity SUPI corresponding to the user equipment.
  • the third determination module 1802 is also configured to receive a fourth key request message sent by the second entity after sending the third key response message to the second entity; according to the fourth key request message Determine whether the user equipment and the target entity have second communication rights; send a fourth key response message to the second entity; the fourth key response message is used to notify the second entity whether the user equipment and the target entity Has second communication authority.
  • the fourth key request message includes the key identification A-KID, a second target entity identification and a proxy entity identification corresponding to the first proxy entity.
  • the second target entity identification is the user equipment according to the target entity.
  • the protected entity identity obtained by the first target entity identity;
  • the third determination module 1802 is configured to determine whether the user equipment and the target entity have the second communication permission through one or more of the following:
  • the key identification A-KID and the second target entity identification it is determined whether the target entity has acquisition authority for the user identification of the user equipment.
  • the fourth key request message includes an authorization indication parameter
  • the authorization indication parameter is used to instruct the third entity to determine whether the user equipment and the target entity have the second communication permission according to the fourth key request message.
  • the third determination module 1802 is configured to, when it is determined that the target entity has the authority to obtain the user identity, send a fourth key response to the second entity according to the second user identity corresponding to the user equipment. information.
  • the second user identity is a user permanent identity SUPI corresponding to the user equipment.
  • the first entity includes: an untrusted application function AF entity outside the 3GPP operator domain, or an untrusted application server SCS/AS entity outside the 3GPP operator domain;
  • the first proxy entity includes an untrusted application function AF entity outside the 3GPP operator domain A non-trusted authentication proxy AP entity;
  • the second entity includes: a network opening function NEF entity or a service capability opening function SCEF entity;
  • the third entity includes: an AKMA anchor point function AAnF entity.
  • Figure 19 is a block diagram of an authentication device 1900 according to an exemplary embodiment.
  • the authentication device can be applied to the first entity.
  • the device 1900 may include:
  • the first communication module 1901 is configured to communicate with the user equipment in response to receiving an authentication result notification message sent by the first proxy entity; the authentication result notification message is used to indicate that the target entity and the user equipment have communication permissions, the The first proxy entity is connected to the first entity, and both the first entity and the first proxy entity are untrusted functional entities outside the 3GPP operator domain.
  • the authentication result notification message includes the first user identification of the user equipment.
  • the first user identity is a general public user identity GPSI corresponding to the user equipment.
  • the first entity includes: an untrusted application function AF entity outside the 3GPP operator domain, or an untrusted application server SCS/AS entity outside the 3GPP operator domain; the first proxy entity includes an untrusted application function AF entity outside the 3GPP operator domain The non-trusted authentication proxy AP entity.
  • Figure 20 is a block diagram of an authentication device according to an exemplary embodiment.
  • the authentication device 2000 may be a terminal device, such as a mobile phone, a computer, a digital broadcast terminal, a messaging device, a game console, a tablet device, a medical device, a fitness device, a personal digital assistant, etc.; the authentication device 2000 may also be It is a server, such as a local server or a cloud server; the authentication device 2000 can also be the user equipment shown in Figure 1, and the authentication device 2000 can also be any network entity in the communication system shown in Figure 1, such as the first entity , the first proxy entity, the second entity or the third entity.
  • the apparatus 2000 may include one or more of the following components: a processing component 2002, a memory 2004, and a communications component 2006.
  • Processing component 2002 generally controls the overall operations of device 2000, such as operations associated with display, phone calls, data communications, camera operations, and recording operations.
  • the processing component 2002 may include one or more processors 2020 to execute instructions to complete all or part of the steps of the above authentication method.
  • processing component 2002 may include one or more modules that facilitate interaction between processing component 2002 and other components.
  • processing component 2002 may include a multimedia module to facilitate interaction between the multimedia component and processing component 2002.
  • Memory 2004 is configured to store various types of data to support operations at device 2000. Examples of such data include instructions for any application or method operating on device 2000, contact data, phonebook data, messages, pictures, videos, etc.
  • Memory 2004 may be implemented by any type of volatile or non-volatile storage device, or a combination thereof, such as static random access memory (SRAM), electrically erasable programmable read-only memory (EEPROM), erasable programmable read-only memory (EEPROM), Programmable read-only memory (EPROM), programmable read-only memory (PROM), read-only memory (ROM), magnetic memory, flash memory, magnetic or optical disk.
  • SRAM static random access memory
  • EEPROM electrically erasable programmable read-only memory
  • EEPROM erasable programmable read-only memory
  • EPROM Programmable read-only memory
  • PROM programmable read-only memory
  • ROM read-only memory
  • magnetic memory flash memory, magnetic or optical disk.
  • Communication component 2006 is configured to facilitate wired or wireless communication between apparatus 2000 and other devices.
  • Device 2000 may access a wireless network based on a communication standard, such as WiFi, 2G or 3G, or a combination thereof.
  • the communication component 2006 receives broadcast signals or broadcast related information from an external broadcast management system via a broadcast channel.
  • the communications component 2006 also includes a near field communications (NFC) module to facilitate short-range communications.
  • NFC near field communications
  • the NFC module can be implemented based on radio frequency identification (RFID) technology, infrared data association (IrDA) technology, ultra-wideband (UWB) technology, Bluetooth (BT) technology and other technologies.
  • RFID radio frequency identification
  • IrDA infrared data association
  • UWB ultra-wideband
  • Bluetooth Bluetooth
  • apparatus 2000 may be configured by one or more application specific integrated circuits (ASICs), digital signal processors (DSPs), digital signal processing devices (DSPDs), programmable logic devices (PLDs), field programmable Gate array (FPGA), controller, microcontroller, microprocessor or other electronic components are implemented for performing the above authentication method.
  • ASICs application specific integrated circuits
  • DSPs digital signal processors
  • DSPDs digital signal processing devices
  • PLDs programmable logic devices
  • FPGA field programmable Gate array
  • controller microcontroller, microprocessor or other electronic components are implemented for performing the above authentication method.
  • the above device 2000 can also be a part of an independent electronic device.
  • the electronic device can be an integrated circuit (Integrated Circuit, IC) or a chip, where the integrated circuit can be It is an IC or a collection of multiple ICs; the chip can include but is not limited to the following types: GPU (Graphics Processing Unit, graphics processor), CPU (Central Processing Unit, central processing unit), FPGA (Field Programmable Gate) Array, programmable logic array), DSP (Digital Signal Processor, digital signal processor), ASIC (Application Specific Integrated Circuit, application-specific integrated circuit), SOC (System on Chip, SoC, system on a chip or system-level chip), etc.
  • GPU Graphics Processing Unit, graphics processor
  • CPU Central Processing Unit, central processing unit
  • FPGA Field Programmable Gate
  • DSP Digital Signal Processor
  • ASIC Application Specific Integrated Circuit
  • SOC System on Chip, SoC, system on a chip or system-level chip
  • the above integrated circuit or chip can be used to execute executable instructions (or codes) to implement the above authentication method.
  • the executable instructions can be stored in the integrated circuit or chip, or can be obtained from other devices or devices.
  • the integrated circuit or chip includes a processor, a memory, and an interface for communicating with other devices.
  • the executable instructions can be stored in the processor, and when the executable instructions are executed by the processor, the above authentication method is implemented; or, the integrated circuit or chip can receive the executable instructions through the interface and transmit them to the processor for execution, to implement the above authentication method.
  • a non-transitory computer-readable storage medium including instructions, such as a memory 2004 including instructions, which can be executed by the processor 2020 of the device 2000 to complete the above authentication method is also provided.
  • the non-transitory computer-readable storage medium may be ROM, random access memory (RAM), CD-ROM, magnetic tape, floppy disk, optical data storage device, etc.
  • a computer program product comprising a computer program executable by a programmable device, the computer program having a function for performing the above when executed by the programmable device.
  • the code portion of the authentication method is also provided, the computer program product comprising a computer program executable by a programmable device, the computer program having a function for performing the above when executed by the programmable device.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Mobile Radio Communication Systems (AREA)
  • Telephonic Communication Services (AREA)

Abstract

本公开涉及一种认证方法、装置、介质和芯片。该方法包括：从一个或多个第一实体中，确定请求通信的目标实体；根据该目标实体确定第一权限请求参数；根据该第一权限请求参数向第一代理实体发送应用会话建立请求消息；响应于接收到第一代理实体发送的应用会话建立响应消息，确定用户设备与目标实体是否具有第一通信权限；在用户设备与目标实体具有第一通信权限的情况下，通过第一代理实体进行身份认证。其中，该应用会话建立请求消息用于指示第一代理实体根据第一权限请求参数确定用户设备与目标实体是否具有第一通信权限；第一实体包括提供应用功能的实体，第一代理实体包括提供认证功能的实体，该第一代理实体为该第一实体提供认证代理功能。

Description

认证方法、装置、介质和芯片 技术领域
本公开涉及通信技术领域，具体地，涉及一种认证方法、装置、介质和芯片。
背景技术
在无线通信系统中，3GPP(3rd Generation Partnership Project，第三代合作伙伴项目)定义了用户设备(User Equipment，UE)与应用功能之间的会话安全保护功能，并且提出了基于应用的密钥管理方法，简称为AKMA(Authentication and Key Management for Applications based on 3GPP credentials，基于3GPP凭证的应用认证和密钥管理)。
在相关技术中，用户设备可以基于AKMA与应用功能AF(Application Function)实体进行消息交互，确定该用户设备对该应用功能AF实体的访问权限，以便与应用功能AF实体建立安全会话，这会增加应用功能AF实体的负荷，降低AF实体的效率。
发明内容
为克服相关技术中存在的上述问题，本公开提供一种认证方法、装置、介质和芯片。
根据本公开实施例的第一方面，提供一种认证方法，应用于用户设备，所述方法包括：
从一个或多个第一实体中，确定请求通信的目标实体；
根据所述目标实体确定第一权限请求参数；
根据所述第一权限请求参数向第一代理实体发送应用会话建立请求消息；所述应用会话建立请求消息用于指示所述第一代理实体根据所述第一权限请求参数确定所述用户设备与所述目标实体是否具有第一通信权限；所述第一实体包括3GPP运营商域外的非可信的提供应用功能的实体，所述第一代理实体包括3GPP运营商域外的非可信的提供认证功能的实体，所述第一代理实体为所述第一实体提供认证代理功能；
响应于接收到所述第一代理实体发送的应用会话建立响应消息，确定所述用户设备与所述目标实体是否具有第一通信权限；
在所述用户设备与所述目标实体具有第一通信权限的情况下，通过所述第一代理实体进行身份认证。
根据本公开实施例的第二方面，提供一种认证方法，应用于第一代理实体，所述方法包括：
接收用户设备发送的应用会话建立请求消息；所述应用会话建立请求消息包括第一权限请求参数，所述应用会话建立请求消息用于指示所述第一代理实体根据第一权限请求参数确定所述用户设备与目标实体是否具有第一通信权限，所述目标实体为所述用户设备从一个或多个第一实体中确定的请求通信的实体，所述第一实体包括3GPP运营商域外的非可信的提供应用功能的实体，所述第一代理实体包括3GPP运营商域外的非可信的提供认证功能的实体，所述第一代理实体为所述第一实体提供认证代理功能；
根据所述第一权限请求参数确定所述用户设备与所述目标实体是否具有第一通信权限；
在所述用户设备与所述目标实体具有第一通信权限的情况下，向用户设备发送应用会话建立响应消息，以及，对所述用户设备进行身份认证。
根据本公开实施例的第三方面，提供一种认证方法，应用于第二实体，所述方法包括：
接收第一代理实体发送的第一密钥请求消息；所述第一密钥请求消息包括第二权限请 求参数，所述第二权限请求参数为所述第一代理实体根据所述用户设备发送的第一权限请求参数确定的参数，所述第一权限请求参数用于指示所述第一代理实体根据第一权限请求参数确定所述用户设备与目标实体是否具有第一通信权限，所述目标实体为所述用户设备从一个或多个第一实体中确定的请求通信的实体，所述第一实体包括3GPP运营商域外的非可信的提供应用功能的实体，所述第一代理实体包括3GPP运营商域外的非可信的提供认证功能的实体，所述第一代理实体为所述第一实体提供认证代理功能；
根据所述第二权限请求参数获取第一待定密钥信息；
根据所述第一待定密钥信息向所述第一代理实体发送的第一密钥响应消息。
根据本公开实施例的第四方面，提供一种认证方法，应用于第三实体，所述方法包括：
接收第二实体发送的第三密钥请求消息；所述第三密钥请求消息包括第三权限请求参数，所述第三权限请求参数为所述第二实体根据第二权限请求参数确定的参数，所述第二权限请求参数为第一代理实体根据所述用户设备发送的第一权限请求参数确定的参数，所述第一权限请求参数用于指示所述第一代理实体根据第一权限请求参数确定所述用户设备与目标实体是否具有第一通信权限，所述目标实体为所述用户设备从一个或多个第一实体中确定的请求通信的实体，所述第一实体包括3GPP运营商域外的非可信的提供应用功能的实体，所述第一代理实体包括3GPP运营商域外的非可信的提供认证功能的实体，所述第一代理实体为所述第一实体提供认证代理功能；
根据所述第三权限请求参数，确定所述用户设备与所述目标实体是否具有第一通信权限；
在所述用户设备与所述目标实体具有第一通信权限的情况下，获取第三待定密钥信息；
根据所述第三待定密钥信息，向所述第二实体发送第三密钥响应消息，所述第三密钥响应消息包括所述第三待定密钥信息。
根据本公开实施例的第五方面，提供一种认证方法，应用于第一实体，所述第一实体为一个或多个；所述方法包括：
响应于接收到第一代理实体发送的认证结果通知消息，与用户设备进行通信；所述认证结果通知消息用于指示所述目标实体与所述用户设备具有通信权限，所述第一实体包括3GPP运营商域外的非可信的提供应用功能的实体，所述第一代理实体包括3GPP运营商域外的非可信的提供认证功能的实体，所述第一代理实体为所述第一实体提供认证代理功能。
根据本公开实施例的第六方面，提供一种认证装置，应用于用户设备，所述装置包括：
目标实体确定模块，被配置为从一个或多个第一实体中，确定请求通信的目标实体；
参数确定模块，被配置为根据所述目标实体确定第一权限请求参数；
第一消息发送模块，被配置为根据所述第一权限请求参数向第一代理实体发送应用会话建立请求消息；所述应用会话建立请求消息用于指示所述第一代理实体根据所述第一权限请求参数确定所述用户设备与所述目标实体是否具有第一通信权限；所述第一实体包括3GPP运营商域外的非可信的提供应用功能的实体，所述第一代理实体包括3GPP运营商域外的非可信的提供认证功能的实体，所述第一代理实体为所述第一实体提供认证代理功能；
第一消息接收模块，被配置为响应于接收到所述第一代理实体发送的应用会话建立响应消息，确定所述用户设备与所述目标实体是否具有第一通信权限；
认证模块，被配置为在所述用户设备与所述目标实体具有第一通信权限的情况下，通过所述第一代理实体进行身份认证。
根据本公开实施例的第七方面，提供一种认证装置，应用于第一代理实体，所述装置包括：
第一代理接收模块，被配置为接收用户设备发送的应用会话建立请求消息；所述应用会话建立请求消息包括第一权限请求参数，所述应用会话建立请求消息用于指示所述第一 代理实体根据第一权限请求参数确定所述用户设备与目标实体是否具有第一通信权限，所述目标实体为所述用户设备从一个或多个第一实体中确定的请求通信的实体，所述第一实体包括3GPP运营商域外的非可信的提供应用功能的实体，所述第一代理实体包括3GPP运营商域外的非可信的提供认证功能的实体，所述第一代理实体为所述第一实体提供认证代理功能；
第一代理确定模块，被配置为根据所述第一权限请求参数确定所述用户设备与所述目标实体是否具有第一通信权限；
第一代理发送模块，被配置为在所述用户设备与所述目标实体具有第一通信权限的情况下，向用户设备发送应用会话建立响应消息，以及，对所述用户设备进行身份认证。
根据本公开实施例的第八方面，提供一种认证装置，应用于第二实体，所述装置包括：
第二接收模块，被配置为接收第一代理实体发送的第一密钥请求消息；所述第一密钥请求消息包括第二权限请求参数，所述第二权限请求参数为所述第一代理实体根据所述用户设备发送的第一权限请求参数确定的参数，所述第一权限请求参数用于指示所述第一代理实体根据第一权限请求参数确定所述用户设备与目标实体是否具有第一通信权限，所述目标实体为所述用户设备从一个或多个第一实体中确定的请求通信的实体，所述第一实体包括3GPP运营商域外的非可信的提供应用功能的实体，所述第一代理实体包括3GPP运营商域外的非可信的提供认证功能的实体，所述第一代理实体为所述第一实体提供认证代理功能；
第二密钥获取模块，被配置为根据所述第二权限请求参数获取第一待定密钥信息；
第二发送模块，被配置为根据所述第一待定密钥信息向所述第一代理实体发送的第一密钥响应消息。
根据本公开实施例的第九方面，提供一种认证装置，应用于第三实体，所述装置包括：
第三接收模块，被配置为接收第二实体发送的第三密钥请求消息；所述第三密钥请求消息包括第三权限请求参数，所述第三权限请求参数为所述第二实体根据第二权限请求参数确定的参数，所述第二权限请求参数为第一代理实体根据所述用户设备发送的第一权限请求参数确定的参数，所述第一权限请求参数用于指示所述第一代理实体根据第一权限请求参数确定所述用户设备与目标实体是否具有第一通信权限，所述目标实体为所述用户设备从一个或多个第一实体中确定的请求通信的实体，所述第一实体包括3GPP运营商域外的非可信的提供应用功能的实体，所述第一代理实体包括3GPP运营商域外的非可信的提供认证功能的实体，所述第一代理实体为所述第一实体提供认证代理功能；
第三确定模块，被配置为根据所述第三权限请求参数，确定所述用户设备与所述目标实体是否具有第一通信权限；
第三密钥模块，被配置为在所述用户设备与所述目标实体具有第一通信权限的情况下，获取第三待定密钥信息；
第三发送模块，被配置为根据所述第三待定密钥信息，向所述第二实体发送第三密钥响应消息，所述第三密钥响应消息包括所述第三待定密钥信息。
根据本公开实施例的第十方面，提供一种认证装置，应用于第一实体，所述第一实体为一个或多个；所述装置包括：
第一通信模块，被配置为响应于接收到第一代理实体发送的认证结果通知消息，与用户设备进行通信；所述认证结果通知消息用于指示所述目标实体与所述用户设备具有通信权限，所述第一实体包括3GPP运营商域外的非可信的提供应用功能的实体，所述第一代理实体包括3GPP运营商域外的非可信的提供认证功能的实体，所述第一代理实体为所述第一实体提供认证代理功能。
根据本公开实施例的第十一方面，提供一种认证装置，包括：
处理器；
用于存储处理器可执行指令的存储器；
其中，所述处理器被配置为执行本公开第一方面所提供的认证方法的步骤。
根据本公开实施例的第十二方面，提供一种认证装置，包括：
处理器；
用于存储处理器可执行指令的存储器；
其中，所述处理器被配置为执行本公开第二方面所提供的认证方法的步骤。
根据本公开实施例的第十三方面，提供一种认证装置，包括：
处理器；
用于存储处理器可执行指令的存储器；
其中，所述处理器被配置为执行本公开第三方面所提供的认证方法的步骤。
根据本公开实施例的第十四方面，提供一种认证装置，包括：
处理器；
用于存储处理器可执行指令的存储器；
其中，所述处理器被配置为执行本公开第四方面所提供的认证方法的步骤。
根据本公开实施例的第十五方面，提供一种认证装置，包括：
处理器；
用于存储处理器可执行指令的存储器；
其中，所述处理器被配置为执行本公开第五方面所提供的认证方法的步骤。
根据本公开实施例的第十六方面，提供一种计算机可读存储介质，其上存储有计算机程序指令，该计算机程序指令被处理器执行时实现本公开第一方面所提供的认证方法的步骤。
根据本公开实施例的第十七方面，提供一种计算机可读存储介质，其上存储有计算机程序指令，该计算机程序指令被处理器执行时实现本公开第二方面所提供的认证方法的步骤。
根据本公开实施例的第十八方面，提供一种计算机可读存储介质，其上存储有计算机程序指令，该计算机程序指令被处理器执行时实现本公开第三方面所提供的认证方法的步骤。
根据本公开实施例的第十九方面，提供一种计算机可读存储介质，其上存储有计算机程序指令，该计算机程序指令被处理器执行时实现本公开第四方面所提供的认证方法的步骤。
根据本公开实施例的第二十方面，提供一种计算机可读存储介质，其上存储有计算机程序指令，该计算机程序指令被处理器执行时实现本公开第五方面所提供的认证方法的步骤。
根据本公开实施例的第二十一方面，提供一种芯片，包括：处理器和接口；所述处理器用于读取指令以执行本公开第一方面所提供的认证方法的步骤。
根据本公开实施例的第二十二方面，提供一种芯片，包括：处理器和接口；所述处理器用于读取指令以执行本公开第二方面所提供的认证方法的步骤。
根据本公开实施例的第二十三方面，提供一种芯片，包括：处理器和接口；所述处理器用于读取指令以执行本公开第三方面所提供的认证方法的步骤。
根据本公开实施例的第二十四方面，提供一种芯片，包括：处理器和接口；所述处理器用于读取指令以执行本公开第四方面所提供的认证方法的步骤。
根据本公开实施例的第二十五方面，提供一种芯片，包括：处理器和接口；所述处理器用于读取指令以执行本公开第五方面所提供的认证方法的步骤。
本公开的实施例提供的技术方案可以包括以下有益效果：从一个或多个第一实体中，确定请求通信的目标实体；根据该目标实体确定第一权限请求参数；根据该第一权限请求参数向第一代理实体发送应用会话建立请求消息；响应于接收到第一代理实体发送的应用会话建立响应消息，确定用户设备与目标实体是否具有第一通信权限；在用户设备与目标实体具有第一通信权限的情况下，通过第一代理实体进行身份认证。其中，该应用会话建立请求消息用于指示第一代理实体根据第一权限请求参数确定用户设备与目标实体是否具有第一通信权限；该第一实体包括3GPP运营商域外的非可信的提供应用功能的实体，该第一代理实体包括3GPP运营商域外的非可信的提供认证功能的实体，该第一代理实体为该第一实体提供认证代理功能。这样，针对3GPP运营商域外的非可信的第一实体，通过第一代理实体确定用户设备与第一实体是否具有第一通信权限，并在具有第一通信权限的情况下进行用户设备的身份验证，可以将第一实体的一部分功能通过第一代理实体实现，从而降低第一实体的负荷，提高第一实体的效率，并且，用户设备通过统一的第一代理实体实现与一个或多个第一实体的权限认证与身份认证，也降低了用户设备进行认证的复杂度，提高了用户设备的效率。
应当理解的是，以上的一般描述和后文的细节描述仅是示例性和解释性的，并不能限制本公开。
附图说明
此处的附图被并入说明书中并构成本说明书的一部分，示出了符合本公开的实施例，并与说明书一起用于解释本公开的原理。
图1是根据一示例性实施例示出的一种本公开实施例适用的通信系统的示意图。
图2是根据一示例性实施例示出的一种5G通信系统的示意图。
图3是根据一示例性实施例示出的一种认证方法的流程图。
图4是根据一示例性实施例示出的一种认证方法的流程图。
图5是根据一示例性实施例示出的一种认证方法的流程图。
图6是根据一示例性实施例示出的一种认证方法的流程图。
图7是根据一示例性实施例示出的一种认证方法的流程图。
图8是根据一示例性实施例示出的一种认证方法的流程图。
图9是根据一示例性实施例示出的一种认证方法的流程图。
图10是根据一示例性实施例示出的一种认证方法的流程图。
图11是根据一示例性实施例示出的一种认证方法的流程图。
图12是根据一示例性实施例示出的一种认证方法的流程图。
图13是根据一示例性实施例示出的一种认证装置的框图。
图14是根据一示例性实施例示出的一种认证装置的框图。
图15是根据一示例性实施例示出的一种认证装置的框图。
图16是根据一示例性实施例示出的一种认证装置的框图。
图17是根据一示例性实施例示出的一种认证装置的框图。
图18是根据一示例性实施例示出的一种认证装置的框图。
图19是根据一示例性实施例示出的一种认证装置的框图。
图20是根据一示例性实施例示出的一种认证装置的框图。
具体实施方式
这里将详细地对示例性实施例进行说明，其示例表示在附图中。下面的描述涉及附图时，除非另有表示，不同附图中的相同数字表示相同或相似的要素。以下示例性实施例中所描述的实施方式并不代表与本公开相一致的所有实施方式。相反，它们仅是与如所附权利要求书中所详述的、本公开的一些方面相一致的装置和方法的例子。
需要说明的是，本公开中所有获取信号、信息或数据的动作都是在遵照所在地国家相应的数据保护法规政策的前提下，并获得由相应装置所有者给予授权的情况下进行的。
在本公开中，使用的术语如“第一”、“第二”等是用于区别类似的对象，而不必理解为特定的顺序或先后次序。另外，在未作相反说明的情况下，在参考附图的描述中，不同附图中的同一标记表示相同的要素。
在本公开的描述中，除非另有说明，“多个”是指两个或多于两个，其它量词与之类似；“以下至少一项(个)”或其类似表达，是指的这些项中的任意组合，包括单项(个)或复数项(个)的任意组合。例如，a，b，或c中的至少一项(个)，可以表示：a，b，c，a-b，a-c，b-c，或a-b-c，其中a，b，c可以是单个，也可以是多个；“和/或”是一种描述关联对象的关联关系，表示可以存在三种关系，例如，A和/或B，可以表示：单独存在A，同时存在A和B，单独存在B这三种情况，其中A，B可以是单数或者复数。
在本公开实施例中尽管在附图中以特定的顺序描述操作，但是不应将其理解为要求按照所示的特定顺序或是串行顺序来执行这些操作，或是要求执行全部所示的操作以得到期望的结果。在特定环境中，多任务和并行处理可能是有利的。
在相关技术中，用户设备可以基于AKMA与应用功能AF(Application Function)实体进行消息交互，确定该用户设备对该应用功能AF实体的访问权限，以便与应用功能AF实体建立安全会话。但是，由于多个用户设备引起的消息交互会增加应用功能AF实体的负荷，降低应用功能AF实体的效率，并且，在网络中存在多个应用功能AF实体的情况下，UE直接与AF进行消息交互以确定访问权限，对于UE来讲，也会降低效率。
为了解决上述问题，本公开提供了一种认证方法、装置、介质和芯片。
下面首先介绍本公开实施例的实施环境。
本公开的实施例可以应用于4G(the 4th Generation，第四代)网络系统，例如长期演进(Long Term Evolution，LTE)系统，或者，也可以应用于在5G(the 5th Generation，第五代)网络系统，如采用新型无线入技术(New Radio Access Technology，New RAT)的接入网；云无线接入网(Cloud Radio Access Network，CRAN)等通信系统。
图1是根据一示例性实施例示出的一种本公开实施例适用的通信系统的示意图，需要说明的是，本公开实施例并不限于图1所示的系统中，此外，图1中的实体可以是硬件，也可以是从功能上划分的软件或者以上二者结合后的结构。图1中所示的实体可以是任意通信网络架构中的实体，该通信网络可以是4G网络、5G网络或6G网络等。
如图1所示，该通信系统可以包括：第一实体101、第二实体102、第三实体103、第一代理实体110和用户设备160，其中，第一实体101可以为一个或多个，例如，该第一实体101可以包括：第一实体1011、第一实体1012、……、第一实体101n等。第一代理实体110可以与该一个或多个第一实体101相连接(例如，通过有线网络、无线网络或二者的结合相连接)，该第一代理实体可以与第二实体相连接，该第二实体可以与第三实体相连接，该用户设备可以与第一代理实体和第三实体相连接。
在一些实施例中，该第一实体101可以包括提供应用功能的实体，该第一代理实体110可以包括提供认证代理功能的实体，该第二实体102可以包括提供网络开放功能的实体，该第三实体103可以包括提供AKMA授权及应用密钥推演功能的实体，例如该第三实体103可以是提供AKMA锚点功能并对用户设备与第一实体的通信权限进行认证的功能实体。
在一些实施例中，第一实体可以包括3GPP运营商域外的非可信的提供应用功能的实 体，第一代理实体可以包括3GPP运营商域外的非可信的提供认证功能的实体，该第一代理实体为第一实体提供认证代理功能，该第一实体可以包括一个或多个。
示例地，第一实体可以包括：应用功能AF(Application Function)实体或应用服务器SCS/AS(Services Capability Server/Application Server)；第一代理实体可以包括认证代理AP(AKMA Authentication Proxy)实体；第二实体可以包括：网络开放功能NEF(Network Exposure Function)实体或业务能力开放功能SCEF(Service Capability Exposure Function)实体；第三实体可以包括：AKMA锚点功能AAnF(AKMA Anchor Function)实体。
图2是根据一示例性实施例示出的一种5G通信系统的示意图，如图2所示，该通信系统是图1所示通信系统在5G网络中的具体应用，该通信系统可以包括AF实体1010、AP实体1100、NEF实体1020、UE(User Equipment，用户设备)1600。
图3是根据一示例性实施例示出的一种认证方法，可以应用于上述通信系统中的用户设备。如图3所示，该方法可以包括：
S301、用户设备从一个或多个第一实体中，确定请求通信的目标实体。
示例地，该第一实体可以包括提供应用功能的实体，例如应用功能AF实体。用户设备可以根据用户功能需求确定请求通信的AF实体。
S302、用户设备根据该目标实体确定第一权限请求参数。
在一些实施例中，可以首先获取目标实体的第一目标实体标识，根据该第一目标实体标识确定第一权限参数。
示例地，该第一目标实体标识可以包括目标实体的FQDN(Fully Qualified Domain Name，全限定域名)、IP(Internet Protocol，网际互连协议)地址和端口号(PortNumber)中的一项或多项。
在一些实施例中，可以根据该第一目标实体标识和表征用户设备身份的用户设备标识，获取该第一权限请求参数。
其中，该用户设备标识可以包括用户设备对应的密钥标识A-KID，该密钥标识A-KID可以是用户设备在注册接入该通信系统时，根据用户设备的硬件信息和通信系统发送的注册信息生成的，该密钥标识A-KID可以在该通信系统中唯一标识一个用户设备。
示例地，可以将该第一目标实体标识和该用户设备对应的密钥标识A-KID，作为该第一权限请求参数。
S303、用户设备根据该第一权限请求参数向第一代理实体发送应用会话建立请求消息。
其中，该应用会话建立请求消息可以用于指示第一代理实体根据该第一权限请求参数确定用户设备与目标实体是否具有第一通信权限。
在一些实施例中，第一代理实体与一个或多个第一实体相连接。示例地，可以在一个信任域或一个边缘节点中设置统一的第一代理实体，该第一代理实体可以与该信任域或该边缘节点中的每个第一实体相连接。在用户设备请求与该信任域或该边缘节点中的目标实体通信的情况下，可以想该第一代理实体发送应用会话建立请求消息(例如Application Session Establishment Request message)。
在一些实施例中，第一实体可以包括3GPP运营商域外的非可信的提供应用功能的实体，第一代理实体可以包括3GPP运营商域外的非可信的提供认证功能的实体，该第一代理实体为第一实体提供认证代理功能，该第一实体可以包括一个或多个。
在一些实施例中，用户设备可以预先配置了第一代理实体的代理域名(例如FQDN)，通过该FQDN，用户设备可以与第一代理实体进行消息交互或数据传输。
S304、用户设备响应于接收到第一代理实体发送的应用会话建立响应消息，确定用户设备与目标实体是否具有第一通信权限。
在一些实施例中，用户设备可以在接收到该应用会话建立响应消息的情况下，确定用 户设备与目标实体具有第一通信权限。
反之，若用户设备在预设时间内未接收到该应用会话建立响应消息，则可以确定用户设备与目标实体不具有第一通信权限。
在另一些实施例中，用户设备可以在接收到应用会话建立响应消息，且该应用会话建立响应消息中包含成功指示信息的情况下，确定用户设备与目标实体具有第一通信权限。
反之，若用户设备接收到的该应用会话建立响应消息中未包含成功指示信息，或者包含失败指示信息，则可以确定用户设备与目标实体不具有第一通信权限。该成功指示信息可以是预先设置的任意指示信息。
在另外一些实施例中，用户设备可以在接收到应用会话建立响应消息，且该应用会话建立响应消息中不包含失败指示信息的情况下，确定用户设备与目标实体具有第一通信权限。
反之，若用户设备接收到的该应用会话建立响应消息中包含失败指示信息，则可以确定用户设备与目标实体不具有第一通信权限。该失败指示信息可以是预先设置的任意错误码。
S305、在用户设备与目标实体具有第一通信权限的情况下，用户设备通过第一代理实体进行身份认证。
示例地，用户设备可以根据目标实体的FQDN生成该目标实体对应的实体密钥K AF，并根据该实体密钥K AF与第一代理实体进行身份认证。
需要说明的是，用户设备进行身份认证的方式可以参考相关技术中的实现，例如可以根据目标实体对应的实体密钥信息进行身份认证，也可以根据用户设备对应的用户密钥信息和目标实体对应的实体密钥信息进行身份认证，本公开对此不作限定。
采用上述方法，从一个或多个第一实体中，确定请求通信的目标实体；根据该目标实体确定第一权限请求参数；根据该第一权限请求参数向第一代理实体发送应用会话建立请求消息；响应于接收到第一代理实体发送的应用会话建立响应消息，确定用户设备与目标实体是否具有第一通信权限；在用户设备与目标实体具有第一通信权限的情况下，通过第一代理实体进行身份认证。其中，该应用会话建立请求消息用于指示第一代理实体根据第一权限请求参数确定用户设备与目标实体是否具有第一通信权限；该第一实体包括3GPP运营商域外的非可信的提供应用功能的实体，该第一代理实体包括3GPP运营商域外的非可信的提供认证功能的实体，该第一代理实体为该第一实体提供认证代理功能。这样，针对3GPP运营商域外的非可信的第一实体，通过第一代理实体确定用户设备与第一实体是否具有第一通信权限，并在具有第一通信权限的情况下进行用户设备的身份验证，可以将第一实体的一部分功能通过第一代理实体实现，从而降低第一实体的负荷，提高第一实体的效率，并且，用户设备通过统一的第一代理实体实现与一个或多个第一实体的权限认证与身份认证，也降低了用户设备进行认证的复杂度，提高了用户设备的效率。
在一些实施例中，上述第一通信权限可以包括以下一项或多项：
权限一、用户设备对目标实体具有访问权限。
权限二、用户设备对第一代理实体具有访问权限。
权限三、第一代理实体对目标实体具有代理权限。
权限四、目标实体对用户设备的用户标识具有获取权限。
示例地，可以在确定用户设备对目标实体具有访问权限的情况下，确定用户设备与目标实体具有第一通信权限；也可以在确定用户设备对第一代理实体具有访问权限，且第一代理实体对目标实体具有代理权限的情况下，确定用户设备与目标实体具有第一通信权限；也可以在确定用户设备对目标实体具有访问权限、用户设备对第一代理实体具有访问权限，且第一代理实体对目标实体具有代理权限的情况下，确定用户设备与目标实体具有第一通 信权限。
在一些实施例中，用户设备与目标实体具有第一通信权限可以包括：用户设备对第一代理实体具有访问权限，且第一代理实体对目标实体具有代理权限；例如，在第一代理实体与目标实体的FQDN相同的情况下，可以使用该第一通信权限。
在另一些实施例中，用户设备与目标实体具有第一通信权限可以包括：用户设备对目标实体具有访问权限，和，用户设备对第一代理实体具有访问权限，和，第一代理实体对目标实体具有代理权限；例如，在第一代理实体与目标实体的FQDN不同的情况下，可以使用该第一通信权限。
在一些实施例中，上述第一实体可以包括：3GPP运营商域外的非可信应用功能AF实体、或者、3GPP运营商域外的非可信应用服务器SCS/AS实体；上述第一代理实体可以包括3GPP运营商域外的非可信认证代理AP实体。
这样，用户设备可以通过AP与运营商域外的AF实体进行通信。
在一些实施例中，在通过第一代理实体进行身份认证成功之后，用户设备即可以与目标实体进行通信。
示例地，用户设备可以直接与目标实体通信，也可以通过第一代理实体与目标实体进行通信，例如通过第一代理实体转发用户设备与目标实体之间的通信消息。
在另一些实施例中，在通过第一代理实体进行身份认证成功之后，用户设备还可以确定第一代理实体的代理域名与目标实体的第一域名是否相同，在代理域名与第一域名不同的情况下，可以与目标实体进行通信。
反之，在代理域名与第一域名相同的情况下，可以通过用户设备与代理实体之间的安全会话进一步确定用户设备与目标实体是否具有第二通信权限；在具有第二通信权限的情况下，可以与目标实体进行通信。
需要说明的是，上述代理域名可以为该第一代理实体对应的全限定域名FQDN，第一域名可以为该目标实体对应的全限定域名FQDN。在某些场景下，第一代理实体与目标实体可以使用相同的FQDN，而使用不同的IP地址或端口号，在该场景下，上述第一通信权限能够表征用户设备对该FQDN具有访问权限，但并不一定能够表征用户设备对IP地址或端口号对应的目标实体具有访问权限，此时，可以通过用户设备与代理实体之间的安全会话进一步确定用户设备与目标实体是否具有第二通信权限。
图4是根据一示例性实施例示出的一种认证方法，可以应用于用户设备。如图4所示，该方法可以包括：
S401、在用户设备与目标实体具有第一通信权限的情况下，用户设备通过第一代理实体进行身份认证。
S402、在通过第一代理实体进行身份认证成功之后，用户设备与第一代理实体建立安全会话。
示例地，该安全会话可以是TLS(Transport Layer Security，传输层安全性)会话，通过TLS会话可以对用户设备与第一代理实体之间的通信实现保密性和数据完整性。
S403、用户设备获取第一代理实体的代理域名和目标实体的第一域名。
在一些实施例中，该代理域名可以为该第一代理实体对应的全限定域名FQDN，该第一域名可以为该目标实体对应的全限定域名FQDN。
S404、在代理域名与第一域名相同的情况下，用户设备通过安全会话确定用户设备与目标实体是否具有第二通信权限。
S405、在确定用户设备与目标实体具有第二通信权限的情况下，用户设备与目标实体进行通信。
同样地，用户设备可以直接与目标实体通信，也可以通过第一代理实体与目标实体进 行通信，例如通过第一代理实体转发用户设备与目标实体之间的通信消息。
这样，通过对第一通信权限和第二通信权限的认证，在第一代理实体与目标实体的FQDN相同的情况下，也可以确定该用户设备对目标实体具有访问权限，从而进一步增强安全性。
在一些实施例中，上述S404步骤中通过安全会话确定用户设备与目标实体是否具有第二通信权限，可以包括以下步骤：
首先，用户设备通过上述安全会话，向第一代理实体发送目标实体服务请求消息。
示例地，该目标实体服务请求消息可以包括第二目标实体标识，该第二目标实体标识为用户设备根据第一目标实体标识获取的受保护的实体标识；该目标实体服务请求消息用于指示第一代理实体根据第二目标实体标识确定用户设备与目标实体是否具有第二通信权限。
在一些实施例中，上述第二目标实体标识为根据安全会话(例如TLS会话)的要求，对目标实体对应的第一目标实体标识进行保护后确定的标识。
在另一些实施例中，也可以直接将该第一目标实体标识作为该第二目标实体标识，将该第二目标实体标识通过安全会话进行传输，以实现对第一目标实体标识的保护，以避免实体标识在传输过程中被篡改。
然后，用户设备响应于接收到第一代理实体发送的目标实体服务响应消息，确定用户设备与目标实体是否具有第二通信权限。
在一些实施例中，用户设备可以在接收到该目标实体服务响应消息的情况下，确定用户设备与目标实体具有第二通信权限。
反之，若用户设备在预设时间内未接收到该目标实体服务响应消息，则可以确定用户设备与目标实体不具有第二通信权限。
在另一些实施例中，用户设备可以在接收到目标实体服务响应消息，且该目标实体服务响应消息中包含成功指示信息的情况下，确定用户设备与目标实体具有第二通信权限。
反之，若用户设备接收到的该目标实体服务响应消息中未包含成功指示信息，或者包含失败指示信息，则可以确定用户设备与目标实体不具有第二通信权限。该成功指示信息可以是预先设置的任意指示信息。
在另外一些实施例中，用户设备可以在接收到目标实体服务响应消息，且该目标实体服务响应消息中不包含失败指示信息的情况下，确定用户设备与目标实体具有第二通信权限。
反之，若用户设备接收到的该目标实体服务响应消息中包含失败指示信息，则可以确定用户设备与目标实体不具有第二通信权限。该失败指示信息可以是预先设置的任意错误码。该失败指示信息可以是预先设置的任意错误码。
这样，用户设备可以通过安全会话确定用户设备与目标实体是否具有第二通信权限。
在一些实施例中，上述第二通信权限可以包括以下权限中的一项或多项：
权限六、用户设备对目标实体具有访问权限。
权限七、第一代理实体对目标实体具有代理权限。
权限八、目标实体对用户设备的用户标识具有获取权限。
这样，可以通过用户设备与第一代理实体之间的安全会话，确定用户设备与目标实体是否具有第二通信权限，进一步提高认证的可靠性。
图5是根据一示例性实施例示出的一种认证方法，可以应用于上述通信系统中的第一代理实体。如图5所示，该方法可以包括：
S501、第一代理实体接收用户设备发送的应用会话建立请求消息。
其中，应用会话建立请求消息包括第一权限请求参数，应用会话建立请求消息用于指 示第一代理实体根据第一权限请求参数确定用户设备与目标实体是否具有第一通信权限，目标实体为用户设备从一个或多个第一实体中确定的请求通信的实体，第一实体可以包括3GPP运营商域外的非可信的提供应用功能的实体，第一代理实体可以包括3GPP运营商域外的非可信的提供认证功能的实体，该第一代理实体为第一实体提供认证代理功能，该第一实体可以包括一个或多个。
S502、第一代理实体根据第一权限请求参数确定用户设备与目标实体是否具有第一通信权限。
这样，针对3GPP运营商域外的非可信的第一实体，通过第一代理实体确定用户设备与第一实体是否具有第一通信权限，并在具有第一通信权限的情况下进行用户设备的身份验证，可以将第一实体的一部分功能通过第一代理实体实现，从而降低第一实体的负荷，提高第一实体的效率，并且，用户设备通过统一的第一代理实体实现与一个或多个第一实体的权限认证与身份认证，也降低了用户设备进行认证的复杂度，提高了用户设备的效率。
在一些实施例中，第一代理实体可以通过与第二实体的密钥请求消息交互确定用户设备与目标实体是否具有第一通信权限。例如，可以包括以下步骤：
首先，第一代理实体根据第一权限请求参数确定第二权限请求参数。
在一些实施例中，可以将第一权限请求参数和第一代理实体对应的代理实体标识，作为第二权限请求参数。示例地，若第一权限请求参数包括目标实体的第一目标实体标识和用户设备对应的密钥标识A-KID，则第二权限请求参数可以包括第一目标实体标识、密钥标识A-KID和第一代理实体对应的代理实体标识。
在另一些实施例中，可以将该第一权限请求参数作为第二权限请求参数。
其次，第一代理实体向第二实体发送第一密钥请求消息。
示例地，该第二实体可以包括提供网络开放功能的实体。该第一密钥请求消息可以包括上述第二权限请求参数。
再次，第一代理实体接收第二实体发送的第一密钥响应消息。
该第一密钥响应消息可以包括第一待定密钥信息，第一待定密钥信息为第二实体根据第二权限请求参数获取的密钥信息。
在一些实施例中，该第一待定密钥信息可以包括目标实体对应的应用密钥K AF。
在另一些实施例中，该第一待定密钥信息可以包括目标实体对应的应用密钥K AF和密钥有效时间K AF expiration time。
在一些实施例中，该第一密钥响应消息还可以包括用户设备的第一用户标识，该第一用户标识可以是用于表征用户设备的任意标识，例如，可以是用户设备对应的通用公共用户标识GPSI(Generic Public Subscription Identifier)。
最后，第一代理实体根据第一待定密钥信息，确定用户设备与目标实体是否具有第一通信权限。
示例地，在该第一待定密钥信息包括目标实体对应的应用密钥K AF的情况下，可以确定用户设备与目标实体具有第一通信权限。反之，在该第一待定密钥信息不包括目标实体对应的应用密钥K AF，或者，该第一待定密钥信息不包括有效的应用密钥K AF，或者，在预设时间内未收到该第一待定密钥信息的情况下，可以确定用户设备与目标实体不具有第一通信权限。
这样，第一代理实体通过与第二实体进行交互，可以确定用户设备与目标实体是否具有第一通信权限。
在另一些实施例中，在该第一代理实体存储有用户设备通信权限策略的情况下，可以直接根据第一权限请求参数确定用户设备与目标实体是否具有第一通信权限。
S503、在用户设备与目标实体具有第一通信权限的情况下，第一代理实体向用户设备 发送应用会话建立响应消息，以及，对用户设备进行身份认证。
在一些实施例中，第一代理实体可以通过发送该应用会话建立响应消息，指示用户设备与目标实体具有第一通信权限；反之，通过不发送该应用会话建立响应消息，指示用户设备与目标实体不具有第一通信权限。
在另一些实施例中，第一代理实体可以在该应用会话建立响应消息中包含成功指示信息，通过该成功指示信息，指示用户设备与目标实体具有第一通信权限；反之，通过在该应用会话建立响应消息中不包含成功指示信息，指示用户设备与目标实体不具有第一通信权限。其中该成功指示信息可以是预先设置的任意指示信息。
在另外一些实施例中，在用户设备与目标实体不具有第一通信权限的情况下，第一代理实体可以在该应用会话建立响应消息中包含失败指示信息，指示用户设备与目标实体不具有第一通信权限；反之，在用户设备与目标实体具有第一通信权限的情况下，第一代理实体可以通过在该应用会话建立响应消息中不包含失败指示信息，指示用户设备与目标实体具有第一通信权限。
采用上述方法，可以基于第一代理实体实现对用户设备与第一实体的通信权限的认证，从而可以减少第一实体进行权限认证引起的负荷过高的问题。
在一些实施例中，上述第一通信权限可以包括以下一项或多项：
权限一、用户设备对目标实体具有访问权限；
权限二、用户设备对第一代理实体具有访问权限；
权限三、第一代理实体对目标实体具有代理权限。
权限四、目标实体对用户设备的用户标识具有获取权限。
在一些实施例中，上述第一实体可以包括：3GPP运营商域外的非可信应用功能AF实体、或者、3GPP运营商域外的非可信应用服务器SCS/AS实体；上述第一代理实体可以包括3GPP运营商域外的非可信认证代理AP实体；上述第二实体可以包括：网络开放功能NEF实体或业务能力开放功能SCEF实体。
在一些实施例中，在第一代理实体对用户设备进行身份认证成功的情况下，第一代理实体可以向目标实体发送认证结果通知消息。
其中，该认证结果通知消息用于指示目标实体与用户设备具有通信权限。
进一步地，该认证结果通知消息还可以包括用户设备对应的第一用户标识，示例地，在第一密钥响应消息中包括用户设备对应的第一用户标识的情况下，第一代理实体可以通过认证结果通知消息，向目标实体发送第一用户标识。
需要说明的是，该第一用户标识可以是用于表征用户设备的任意标识，例如，可以为用户设备对应的通用公共用户标识GPSI。
这样，第一代理实体可以对用户设备与第一实体的通信权限进行验证，在用户设备与第一实体具有通信权限的情况下，指示用户设备与第一实体进行通信。
在另一些实施例中，在第一代理实体对用户设备进行身份认证成功的情况下，第一代理实体可以获取第一代理实体的代理域名和目标实体的第一域名；在代理域名与第一域名不同的情况下，向目标实体发送认证结果通知消息，以便指示目标实体与用户设备具有通信权限或者进行通信。
反之，在代理域名与第一域名相同的情况下，第一代理实体则暂时不向目标实体发送认证结果通知消息；先等待用户设备与目标实体是否具有第二通信权限，在确定用户设备与目标实体具有第二通信权限后，再向目标实体发送认证结果通知消息。
示例地，第一代理实体可以根据用户设备发送的目标实体服务请求消息，进一步确定用户设备与目标实体是否具有第二通信权限。
同样需要说明的是，上述代理域名可以是该第一代理实体对应的全限定域名FQDN， 第一域名可以是该目标实体对应的全限定域名FQDN。在某些场景下，第一代理实体与目标实体可以使用相同的FQDN，而使用不同的IP地址或端口号，在该场景下，上述第一通信权限能够表征用户设备对该FQDN具有访问权限，但并不一定能够表征用户设备对IP地址或端口号对应的目标实体具有访问权限，此时，可以通过用户设备与代理实体之间的安全会话进一步确定用户设备与目标实体是否具有第二通信权限。
图6是根据一示例性实施例示出的一种认证方法，可以应用于第一代理实体。如图6所示，该方法可以包括：
S601、在对用户设备进行身份认证成功之后，第一代理实体与用户设备建立安全会话。
示例地，该安全会话可以是TLS(Transport Layer Security，传输层安全性)会话，通过TLS会话可以对第一代理实体与用户设备之间的通信实现保密性和数据完整性。
S602、第一代理实体通过安全会话，接收用户设备发送的目标实体服务请求消息。
目标实体服务请求消息包括第二目标实体标识，第二目标实体标识为用户设备根据目标实体的第一目标实体标识获取的受保护的实体标识，目标实体服务请求消息为用户设备在确定第一代理实体的代理域名与目标实体的第一域名相同的情况下发送的消息。
S603、第一代理实体根据第二目标实体标识确定用户设备与目标实体是否具有第二通信权限。
在一些实施例中，在第二目标实体标识与第一目标实体标识相同的情况下，可以确定用户设备与目标实体具有第二通信权限。
在另一些实施例中，在第二目标实体标识与第一目标实体标识不同的情况下，第一代理实体可以通过与第二实体的密钥请求消息交互确定用户设备与目标实体是否具有第二通信权限。例如，可以包括以下步骤：
首先，第一代理实体向第二实体发送第二密钥请求消息。
其次，第一代理实体接收第二实体发送的第二密钥响应消息。
最后，第一代理实体根据第二密钥响应消息确定用户设备与目标实体是否具有第二通信权限。
示例地，该第二密钥请求消息可以包括密钥标识A-KID、第二目标实体标识和第一代理实体对应的代理实体标识；该第二密钥请求消息可以用于指示第二实体根据第二密钥请求消息确定用户设备与目标实体是否具有第二通信权限。
在一些实施例中，该第二密钥请求消息可以包括授权指示参数。该授权指示参数可以用于指示第二实体根据第二密钥请求消息确定用户设备与目标实体是否具有第二通信权限。同样地，该第二密钥响应消息也可以包括授权指示参数，用于表征该第二密钥响应消息是对该第二密钥请求消息的响应。
在一些实施例中，该第二密钥响应消息还可以包括授权结果参数。该授权结果参数可以用于指示授权成功或授权失败。第一代理实体根据该授权结果参数确定用户设备与目标实体是否具有第二通信权限。示例地，在该授权结果参数为授权成功的情况下，可以确定用户设备与目标实体具有第二通信权限；反之，在该授权结果参数为授权失败，或者，该第二密钥响应消息未包括授权结果参数的情况下，可以确定用户设备与目标实体不具有第二通信权限。
S604、第一代理实体向用户设备发送目标实体服务响应消息。
目标实体服务响应消息用于指示用户设备与目标实体是否具有第二通信权限。
在一些实施例中，第一代理实体可以通过发送该目标实体服务响应消息，指示用户设备与目标实体具有第二通信权限；反之，通过不发送该目标实体服务响应消息，指示用户设备与目标实体不具有第二通信权限。
在另一些实施例中，第一代理实体可以在该目标实体服务响应消息中包含成功指示信 息，通过该成功指示信息，指示用户设备与目标实体具有第二通信权限；反之，通过在该目标实体服务响应消息中不包含成功指示信息，指示用户设备与目标实体不具有第二通信权限。其中该成功指示信息可以是预先设置的任意指示信息。
在另外一些实施例中，在用户设备与目标实体不具有第二通信权限的情况下，第一代理实体可以在该目标实体服务响应消息中包含失败指示信息，指示用户设备与目标实体不具有第二通信权限；反之，在用户设备与目标实体具有第二通信权限的情况下，第一代理实体可以通过在该目标实体服务响应消息中不包含失败指示信息，指示用户设备与目标实体具有第二通信权限。该失败指示信息可以是预先设置的任意错误码。
这样，第一代理实体可以通过安全会话确定用户设备与目标实体是否具有第二通信权限，并将权限认证结果发送至目标设备。
在一些实施例中，上述第二通信权限可以包括以下权限中的一项或多项：
权限六、用户设备对目标实体具有访问权限。
权限七、第一代理实体对目标实体具有代理权限。
权限八、目标实体对用户设备的用户标识具有获取权限。
这样，可以通过用户设备与第一代理实体之间的安全会话，确定用户设备与目标实体是否具有第二通信权限，进一步提高认证的可靠性。
在一些实施例中，在根据第二密钥响应消息确定用户设备与目标实体具有第二通信权限的情况下，第一代理实体可以向目标实体发送认证结果通知消息。
其中，该认证结果通知消息用于指示目标实体与用户设备具有通信权限。
进一步地，该认证结果通知消息还可以包括用户设备对应的第一用户标识，示例地，在第二密钥响应消息中包括用户设备对应的第一用户标识的情况下，第一代理实体可以通过认证结果通知消息，向目标实体发送第一用户标识。
需要说明的是，该第一用户标识可以是用于表征用户设备的任意标识，例如，可以为用户设备对应的通用公共用户标识GPSI。
这样，第一代理实体可以通过安全会话对用户设备与第一实体的第二通信权限进行验证，进一步提高认证的可靠性，并在用户设备与第一实体具有第二通信权限的情况下，指示用户设备与第一实体进行通信。
图7是根据一示例性实施例示出的一种认证方法，可以应用于第二实体。如图7所示，该方法可以包括：
S701、第二实体接收第一代理实体发送的第一密钥请求消息。
其中，第一密钥请求消息包括第二权限请求参数，第二权限请求参数为第一代理实体根据用户设备发送的第一权限请求参数确定的参数，第一权限请求参数用于指示第一代理实体根据第一权限请求参数确定用户设备与目标实体是否具有第一通信权限，目标实体为用户设备从一个或多个第一实体中确定的请求通信的实体，第一实体可以包括3GPP运营商域外的非可信的提供应用功能的实体，第一代理实体可以包括3GPP运营商域外的非可信的提供认证功能的实体，该第一代理实体为第一实体提供认证代理功能，该第一实体可以包括一个或多个。
S702、第二实体根据第二权限请求参数获取第一待定密钥信息。
在一些实施例中，第二实体可以通过与第三实体的密钥请求消息交互确定用户设备与目标实体是否具有第一通信权限，并获取该第一待定密钥信息。例如，可以包括以下步骤：
首先，第二实体根据第二权限请求参数确定第三权限请求参数。
其次，第二实体根据该第三权限请求参数向第三实体发送第三密钥请求消息。示例地，第三密钥请求消息中可以包括第三权限请求参数。
再次，第二实体接收第三实体发送的第三密钥响应消息。示例地，第三密钥响应消息 包括第三待定密钥信息，第三待定密钥信息为第三实体根据第三权限请求参数确定用户设备与目标实体具有第一通信权限的情况下获取的密钥信息。
最后，第二实体根据第三待定密钥信息，获取第一待定密钥信息。
这样，第二实体通过与第三实体进行交互，可以获取第一待定密钥信息。
在一些实施例中，上述第二实体可以包括提供网络开放功能的实体，上述第三实体可以包括提供AKMA授权及应用密钥推演功能的实体。
在一些实施例中，上述第二权限请求参数可以包括第一代理实体对应的代理实体标识，第二实体可以根据预先设置的策略(例如配置参数)确定具有为该第一代理实体服务的权限的第三实体。
在一些实施例中，上述第二权限请求参数可以包括用户设备对应的密钥标识A-KID、目标实体对应的第一目标实体标识和第一代理实体对应的代理实体标识；第二实体可以将第二权限请求参数作为第三权限请求参数。
在一些实施例中，第三待定密钥信息包括目标实体对应的实体密钥信息；第二实体可以将目标实体对应的实体密钥信息作为第一待定密钥信息。
在一些实施例中，该目标实体对应的实体密钥信息中可以包括目标实体对应的应用密钥K AF。
在另一些实施例中，该目标实体对应的实体密钥信息中可以包括目标实体对应的应用密钥K AF和密钥有效时间K AF expiration time。
在一些实施例中，该第三密钥响应消息还可以包括用户设备的第二用户标识，第二实体可以根据第二用户标识确定第一用户标识；并根据第一待定密钥信息和第一用户标识，向第一代理实体发送第一密钥响应消息。例如，可以在第一密钥响应消息中包括该第一待定密钥信息和该第一用户标识
在一些实施例中，该第二用户标识可以是在3GPP运营商域内表征该用户设备的标识；该第一用户标识可以是3GPP运营商域外表征该用户设备的标识。示例地，该第二用户标识可以是用户设备对应的用户永久标识SUPI(Subscription Permanent Identifier)；该第一用户标识可以是用户设备对应的通用公共用户标识GPSI(Generic Public Subscription Identifier)。
该第二实体可以根据预设标识对应关系，确定第二用户标识对应的第一用户标识；该预设标识对应关系包括第二用户标识与第一用户标识的对应关系。
这样，第二实体通过与第三实体进行交互，可以获取用户设备对应的第一用户标识。
在另一些实施例中，在该第二实体存储有用户设备通信权限策略的情况下，可以直接根据第二权限请求参数确定用户设备与目标实体是否具有第一通信权限，并获取该第一待定密钥信息。
S703、第二实体根据第一待定密钥信息向第一代理实体发送第一密钥响应消息。
示例地，该第一密钥响应消息可以包括第一待定密钥信息，以便第一代理实体根据第一待定密钥信息，确定用户设备与目标实体是否具有第一通信权限。
这样，第二实体可以确定用户设备与目标实体是否具有第一通信权限，并通过第一待定密钥信息通知第一代理实体。
在一些实施例中，第一通信权限包括以下一项或多项：
用户设备对目标实体具有访问权限；
用户设备对第一代理实体具有访问权限；
第一代理实体对目标实体具有代理权限
目标实体对用户设备的用户标识具有获取权限。
在一些实施例中，上述第一实体可以包括：3GPP运营商域外的非可信应用功能AF实 体、或者、3GPP运营商域外的非可信应用服务器SCS/AS实体；上述第一代理实体可以包括3GPP运营商域外的非可信认证代理AP实体；上述第二实体可以包括：网络开放功能NEF实体或业务能力开放功能SCEF实体。
图8是根据一示例性实施例示出的一种认证方法，可以应用于第二实体。如图8所示，在向第一代理实体发送第一密钥响应消息之后，该方法还可以包括：
S801、第二实体接收第一代理实体发送的第二密钥请求消息。
第二密钥请求消息为第一代理实体在确定在第二目标实体标识与目标实体对应的第一目标实体标识不同的情况下，向第二实体发送的消息；第二目标实体标识为用户设备根据目标实体的第一目标实体标识获取的受保护的实体标识。
S802、第二实体根据第二密钥请求消息确定用户设备与目标实体是否具有第二通信权限。
在一些实施例中，第二实体可以通过与第三实体的密钥请求消息交互确定用户设备与目标实体是否具有第二通信权限。例如，可以包括以下步骤：
首先，第二实体向第三实体发送第四密钥请求消息。
其次，第二实体接收第三实体发送的第四密钥响应消息。
最后，第二实体根据第四密钥响应消息确定用户设备与目标实体是否具有第二通信权限。
示例地，第二密钥请求消息可以包括密钥标识A-KID、第二目标实体标识和第一代理实体对应的代理实体标识；第四密钥请求消息也可以包括密钥标识A-KID、第二目标实体标识和代理实体标识。该第四密钥请求消息可以用于指示第三实体根据密钥标识A-KID、第二目标实体标识和代理实体标识，确定用户设备与目标实体是否具有第二通信权限。
在一些实施例中，第二密钥请求消息和第四密钥请求消息可以均包括授权指示参数，该授权指示参数可以用于指示第三实体根据第四密钥请求消息确定用户设备与目标实体是否具有第二通信权限。同样地，该第二密钥响应消息也可以包括授权指示参数，用于表征该第二密钥响应消息是对该第二密钥请求消息的响应；该第四密钥响应消息也可以包括授权指示参数，用于表征该第四密钥响应消息是对该第四密钥请求消息的响应。
在一些实施例中，该第四密钥响应消息还可以包括授权结果参数。该授权结果参数可以用于指示授权成功或授权失败。
S803、第二实体向第一代理实体发送第二密钥响应消息。
第二密钥响应消息用于通知第一代理实体用户设备与目标实体是否具有第二通信权限。
在一些实施例中，该第二实体也可以将根据第四密钥响应消息中的授权结果参数生成第二密钥响应消息，例如，在第二密钥响应消息中包含该授权结果参数，这样，可以将该授权结果参数转发至第一代理实体，以便第一代理实体根据该授权结果参数确定用户设备与目标实体是否具有第二通信权限。
在一些实施例中，该第四密钥响应消息还可以包括用户设备对应的第二用户标识，第二实体可以根据第二用户标识确定第一用户标识；并根据第一用户标识向第一代理实体发送第二密钥响应消息。例如，可以在第二密钥响应消息中包括该第一用户标识。
在一些实施例中，该第二用户标识可以是在3GPP运营商域内表征该用户设备的标识；该第一用户标识可以是3GPP运营商域外表征该用户设备的标识。示例地，该第二用户标识可以是用户设备对应的用户永久标识SUPI(Subscription Permanent Identifier)；该第一用户标识可以是用户设备对应的通用公共用户标识GPSI(Generic Public Subscription Identifier)。
第二实体可以根据预设标识对应关系，确定第二用户标识对应的第一用户标识；该预 设标识对应关系包括第二用户标识与第一用户标识的对应关系。
在一些实施例中，第二通信权限包括以下一项或多项：
用户设备对目标实体具有访问权限；
第一代理实体对目标实体具有代理权限；
目标实体对用户设备的用户标识具有获取权限。
在一些实施例中，上述第三实体可以包括：AKMA锚点功能AAnF实体。
图9是根据一示例性实施例示出的一种认证方法，可以应用于第三实体。如图9所示，该方法可以包括：
S901、第三实体接收第二实体发送的第三密钥请求消息。
其中，第三密钥请求消息包括第三权限请求参数，第三权限请求参数为第二实体根据第二权限请求参数确定的参数，第二权限请求参数为第一代理实体根据用户设备发送的第一权限请求参数确定的参数，第一权限请求参数用于指示第一代理实体根据第一权限请求参数确定用户设备与目标实体是否具有第一通信权限，目标实体为用户设备从一个或多个第一实体中确定的请求通信的实体，第一实体可以包括3GPP运营商域外的非可信的提供应用功能的实体，第一代理实体可以包括3GPP运营商域外的非可信的提供认证功能的实体，该第一代理实体为第一实体提供认证代理功能，该第一实体可以包括一个或多个。
S902、第三实体根据第三权限请求参数，确定用户设备与目标实体是否具有第一通信权限。
在一些实施例中，该第三权限请求参数可以包括第一代理实体对应的代理实体标识。第三实体接收到第三权限请求参数后，可以根据预设策略确定第三实体是否具有为第一代理实体服务的权限。该预设策略可以包括预先配置的参数。
在确定第三实体具有为第一代理实体服务的权限的情况下，根据该第三权限请求参数，确定用户设备与目标实体是否具有第一通信权限。
反之，在确定第三实体不具有为第一代理实体服务的权限的情况下，可以终止流程，不再检查不再用户设备与目标实体是否具有第一通信权限。此时，第三实体可以向第二实体发送失败指示，以便第二实体进行相应的失败处理；或者，第三实体也直接停止处理，不发送任何消息。
在一些实施例中，第三权限请求参数包括用户设备对应的密钥标识A-KID、目标实体的第一目标实体标识和第一代理实体对应的代理实体标识。在本步骤中，确定用户设备与目标实体是否具有第一通信权限的方式包括以下一项或多项：
方式一、根据密钥标识A-KID和第一目标实体标识，确定用户设备对目标实体是否具有访问权限。
方式二、根据密钥标识A-KID和代理实体标识，确定用户设备对第一代理实体是否具有访问权限。
方式三、根据代理实体标识和第一目标实体标识，确定第一代理实体对目标实体是否具有代理权限。
方式四、根据密钥标识A-KID和第二目标实体标识，确定目标实体对用户设备的用户标识是否具有获取权限。
方式五、根据密钥标识A-KID确定用户设备是否具有使用AKMA的权限。
在一些实施例中，第三实体可以在确定用户设备对第一代理实体和目标实体均具有访问权限，且第一代理实体对目标实体具有代理权限的情况下，确定用户设备与目标实体具有第一通信权限。
在另一些实施例中，第三实体可以在确定用户设备对目标实体均具有访问权限，且第一代理实体对目标实体具有代理权限的情况下，确定用户设备与目标实体具有第一通信权 限。
S903、第三实体在用户设备与目标实体具有第一通信权限的情况下，获取第三待定密钥信息。
示例地，可以根据目标实体对应的实体密钥信息，获取第三待定密钥信息。
在一些实施例中，该目标实体对应的实体密钥信息中可以包括目标实体对应的应用密钥K AF。
在另一些实施例中，该目标实体对应的实体密钥信息中可以包括目标实体对应的应用密钥K AF和密钥有效时间K AF expiration time。
S904、第三实体根据第三待定密钥信息向第二实体发送第三密钥响应消息。
示例地，第三密钥响应消息可以包括第三待定密钥信息，以便第二实体根据该第三待定密钥信息获取第一待定密钥信息，并将第一待定密钥信息发送至第一代理实体。第一代理实体可以根据第一待定密钥信息确定用户设备与目标实体是否具有第一通信权限。所述第三密钥响应消息可以包括所述第三待定密钥信息。
这样，第三实体可以确定用户设备与目标实体是否具有第一通信权限，并通过第三待定密钥信息通知第二实体。
在一些实施例中，该第三密钥响应消息还可以包括用户设备的第二用户标识，示例地，第三实体可以获取用户设备对应的第二用户标识；并根据第三待定密钥信息和第二用户标识，向第二实体发送的第三密钥响应消息。
第三实体也可以在确定目标实体具有获取用户标识的权限的情况下，通过第三密钥响应消息，向第二实体发送第三待定密钥信息和用户设备对应的第二用户标识。
在一些实施例中，该第二用户标识可以是在3GPP运营商域内表征该用户设备的标识；示例地，该第二用户标识可以是用户设备对应的用户永久标识SUPI。
在一些实施例中，上述第一实体可以包括：3GPP运营商域外的非可信应用功能AF实体、或者、3GPP运营商域外的非可信应用服务器SCS/AS实体；上述第一代理实体可以包括3GPP运营商域外的非可信认证代理AP实体；上述第二实体可以包括：网络开放功能NEF实体或业务能力开放功能SCEF实体；上述第三实体可以包括：AKMA锚点功能AAnF实体。
图10是根据一示例性实施例示出的一种认证方法，可以应用于第三实体。如图10所示，在向第二实体发送第三密钥响应消息之后，该方法还可以包括：
S1001、第三实体接收第二实体发送的第四密钥请求消息。
S1002、第三实体根据第四密钥请求消息，确定用户设备与目标实体是否具有第二通信权限。
S1003、第三实体向第二实体发送第四密钥响应消息。
其中，第四密钥响应消息用于通知第二实体用户设备与目标实体是否具有第二通信权限。
在一些实施例中，第四密钥请求消息可以包括第一代理实体对应的代理实体标识。第三实体接收到第四密钥请求消息后，可以根据预设策略确定第三实体是否具有为第一代理实体服务的权限。该预设策略可以包括预先配置的参数。
在确定第三实体具有为第一代理实体服务的权限的情况下，根据第四密钥请求消息，确定用户设备与目标实体是否具有第二通信权限。
反之，在确定第三实体不具有为第一代理实体服务的权限的情况下，可以终止流程，不再检查不再用户设备与目标实体是否具有第一通信权限。此时，第三实体可以向第二实体发送失败指示，以便第二实体进行相应的失败处理；或者，第三实体也直接停止处理， 不发送任何消息。
在一些实施例中，第四密钥请求消息可以包括密钥标识A-KID、第二目标实体标识和第一代理实体对应的代理实体标识，第二目标实体标识为用户设备根据目标实体的第一目标实体标识获取的受保护的实体标识；上述S1002步骤确定用户设备与目标实体是否具有第二通信权限的方式可以包括以下一项或多项：
方式六、根据密钥标识A-KID和第二目标实体标识，确定用户设备对目标实体是否具有访问权限；
方式七、根据代理实体标识和第二目标实体标识，确定第一代理实体对目标实体是否具有代理权限。
方式八、根据密钥标识A-KID和第二目标实体标识，确定目标实体对用户设备的用户标识是否具有获取权限。
在一些实施例中，第三实体可以在确定用户设备对目标实体具有访问权限，且第一代理实体对目标实体具有代理权限的情况下，确定用户设备与目标实体具有第二通信权限。
在一些实施例中，第四密钥请求消息包括授权指示参数，授权指示参数用于指示第三实体根据第四密钥请求消息确定用户设备与目标实体是否具有第二通信权限。同样地，该第四密钥响应消息也可以包括授权指示参数，用于表征该第四密钥响应消息是对该第四密钥请求消息的响应。
在一些实施例中，该第四密钥响应消息还可以包括授权结果参数。该授权结果参数可以用于指示授权成功或授权失败。示例地，第三实体可以根据用户设备与目标实体是否具有第二通信权限，确定该授权结果参数的取值。例如，第三实体在确定用户设备与目标实体具有第二通信权限的情况下，可以将该授权结果参数设置为授权成功(例如1)；在确定用户设备与目标实体不具有第二通信权限的情况下，可以将该授权结果参数的取值设置为授权失败(例如0)。
在另一些实施例中，第三实体可以通过在第四密钥响应消息不包含该授权结果信息以指示用户设备与目标实体不具有第二通信权限。例如，在第三实体确定用户设备与目标实体不具有第二通信权限的情况下，可以在第四密钥响应消息中不包含该授权结果信息；反之，在确定用户设备与目标实体具有第二通信权限的情况下，可以在第四密钥响应消息中包含该授权结果信息。
在一些实施例中，该第四密钥响应消息还可以包括用户设备对应的第二用户标识。示例地，第三实体可以在确定所述目标实体具有获取用户标识的权限的情况下，根据用户设备对应的第二用户标识，向第二实体发送第四密钥响应消息。该第二用户标识可以是用户设备对应的用户永久标识SUPI。
图11是根据一示例性实施例示出的一种认证方法，可以应用于第一实体。如图11所示，该方法还可以包括：
S1101、第一实体接收到第一代理实体发送的认证结果通知消息。
S1102、第一实体响应于接收到第一代理实体发送的认证结果通知消息，与用户设备进行通信。
其中，该认证结果通知消息用于指示目标实体与用户设备具有通信权限，第一代理实体与第一实体相连接，第一实体和第一代理实体均为3GPP运营商域外的非可信的功能实体。
需要说明的是，第一实体可以等待用户设备发起通信；第一实体也可以主动与用户设备发起通信，本公开对此不作限定。
在一些实施例中，认证结果通知消息包括用户设备的第一用户标识。该第一用户标识可以是3GPP运营商域外表征该用户设备的标识。示例地，该第一用户标识为该用户设备 对应的通用公共用户标识GPSI。
在一些实施例中，第一实体包括：3GPP运营商域外的非可信应用功能AF实体、或者、3GPP运营商域外的非可信应用服务器SCS/AS实体；第一代理实体包括3GPP运营商域外的非可信认证代理AP实体。
这样，第一实体可以根据第一代理实体的认证结果通知消息，确定用户设备与第一实体是否具有第一通信权限，从而可以降低第一实体的负荷，提高第一实体的效率。
图12是根据一示例性实施例示出的一种认证方法，如图12所示，该方法可以包括：
S1201、用户设备向第一代理实体发送应用会话建立请求消息。
示例地，该应用会话建立请求消息可以包括第一权限请求参数，该第一权限请求参数可以包括用户设备的密钥标识A-KID和目标实体的第一目标实体标识Target AF ID。该目标实体可以是用户设备从一个或多个第一实体中确定的请求通信的实体。
在一些实施例中，用户设备可以通过通信系统中的预设功能实体获取密钥标识A-KID，该预设功能实体可以包括鉴权服务功能AUSF(Authentication Server Function)实体
S1202、第一代理实体响应于接收到该应用会话建立请求消息，向第二实体发送第一密钥请求消息。
其中，该第一密钥请求消息可以包括第二权限请求参数。
在一些实施例中，第一代理实体可以接收用户设备发送的应用会话建立请求消息，根据该应用会话建立请求消息中的第一权限请求参数确定第二权限请求参数。
示例地，在第一权限请求参数包括用户设备的密钥标识A-KID和目标实体的第一目标实体标识Target AF ID的情况下，可以确定第二权限请求参数包括密钥标识A-KID、第一目标实体标识Target AF ID和该第一代理实体的代理实体标识。
S1203、第二实体响应于接收到该第一密钥请求消息，向第三实体发送第三密钥请求消息。
其中，该第三密钥请求消息可以包括第三权限请求参数。
在一些实施例中，第二实体可以接收第一代理实体发送的第一密钥请求消息，根据该第一密钥请求消息中的第二权限请求参数确定第三权限请求参数。
示例地，可以直接将第二权限请求参数作为第三权限请求参数。例如，在第二权限请求参数包括密钥标识A-KID、第一目标实体标识Target AF ID和该第一代理实体的代理实体标识的情况下，可以将密钥标识A-KID、第一目标实体标识Target AF ID和该第一代理实体的代理实体标识作为该第三权限请求参数。
S1204、第三实体在根据第三密钥请求消息确定用户设备与目标实体具有第一通信权限的情况下，获取第三待定密钥信息。
其中，该第三实体可以基于预设权限策略对用户设备和目标实体的通信权限进行认证，以确定用户设备与目标实体是否具有第一通信权限，示例地：
在一些实施例中，第三实体确定用户设备与目标实体是否具有第一通信权限的方式可以包括以下一项或多项：
方式一、根据密钥标识A-KID和第一目标实体标识，确定用户设备对目标实体是否具有访问权限。
方式二、根据密钥标识A-KID和代理实体标识，确定用户设备对第一代理实体是否具有访问权限。
方式三、根据代理实体标识和第一目标实体标识，确定第一代理实体对目标实体是否具有代理权限。
方式四、根据密钥标识A-KID和第二目标实体标识，确定目标实体对用户设备的用户标识是否具有获取权限。
方式五、根据密钥标识A-KID确定用户设备是否具有使用AKMA的权限。
在另一些实施例中，第三实体可以在确定用户设备对目标实体均具有访问权限，且第一代理实体对目标实体具有代理权限的情况下，确定用户设备与目标实体具有第一通信权限。示例地，第三实体可以通过以下步骤确定用户设备与目标实体是否具有第一通信权限：
S11、根据代理实体标识和第一目标实体标识，确定第一代理实体对目标实体是否具有代理权限。
若确定第一代理实体对目标实体不具有代理权限，则直接确定用户设备与目标实体不具有第一通信权限，不再执行S12步骤。反之，若确定第一代理实体对目标实体具有代理权限，则继续执行是S12步骤。
S12、根据密钥标识A-KID和第一目标实体标识，确定用户设备对目标实体是否具有访问权限。
若确定用户设备对目标实体不具有访问权限，则直接确定用户设备与目标实体不具有第一通信权限，不再执行S13步骤。反之，若确定用户设备对目标实体具有访问权限，则继续执行是S13步骤。
S13、根据密钥标识A-KID确定用户设备是否具有使用AKMA的权限。
在确定用户设备具有使用AKMA的权限的情况下，可以确定用户设备与目标实体具有第一通信权限。反之，在确定用户设备不具有使用AKMA的权限的情况下，可以确定用户设备与目标实体不具有第一通信权限。
需要说明的是，该第三待定密钥信息可以包括目标实体对应的实体密钥信息。
在一些实施例中，该目标实体对应的实体密钥信息中可以包括目标实体对应的应用密钥K AF。
在另一些实施例中，该目标实体对应的实体密钥信息中可以包括目标实体对应的应用密钥K AF和密钥有效时间K AF expiration time。
S1205、第三实体根据第三待定密钥信息向第二实体发送第三密钥响应消息。
示例地，该第三密钥响应消息中可以包括目标实体对应的应用密钥K AF和密钥有效时间K AF expiration time。
在一些实施例中，该第三密钥响应消息还可以包括用户设备的第二用户标识，该第二用户标识可以是在3GPP运营商域内表征该用户设备的标识；示例地，该第二用户标识可以是用户设备对应的用户永久标识SUPI。
S1206、第二实体根据第三密钥响应消息，向第一代理实体发送第一密钥响应消息。
示例地，该第一密钥响应消息中可以包括目标实体对应的应用密钥K AF和密钥有效时间K AF expiration time。
在第三密钥响应消息包括用户设备的第二用户标识(例如SUPI)的情况下，第二实体可以根据第二用户标识(例如SUPI)获取第一用户标识(例如GPSI)，并在第一密钥响应消息中包含该第一用户标识。
S1207、第一代理实体向用户设备发送应用会话建立响应消息。
第一代理实体获取该第一密钥响应消息中的应用密钥K AF的情况下，可以确定用户设备与目标实体具有第一通信权限，此时，第一代理实体可以向用户设备发送应用会话建立响应消息。
S1208、用户设备通过第一代理实体进行身份认证。
用户设备可以在确定用户设备与目标实体具有第一通信权限的情况下，通过第一代理实体进行身份认证。示例地，用户设备可以根据目标实体的FQDN生成该目标实体对应的实体密钥K AF，并根据该实体密钥K AF与第一代理实体进行身份认证。
S1209a、第一代理实体向目标实体发送认证结果通知消息。
在第一密钥响应消息中包括用户设备的第一用户标识(例如SUPI)的情况下，第一代理实体可以在该认证结果通知消息中包括该第一用户标识。以便目标应用获取用户设备的标识信息。
在一些实施例中，在第一代理实体对用户设备进行身份认证成功的情况下，第一代理实体可以向目标实体发送认证结果通知消息(执行该S1209a步骤，不再继续执行S1209b及之后的步骤)。
在另一些实施例中，在第一代理实体对用户设备进行身份认证成功的情况下，第一代理实体可以获取第一代理实体的代理域名和目标实体的第一域名；在代理域名与第一域名不同的情况下，向目标实体发送认证结果通知消息(执行该S1209a步骤，不再继续执行S1209b及之后的步骤)，以便指示目标实体与用户设备具有通信权限或者进行通信。
在另一些实施例中，在代理域名与第一域名相同的情况下，第一代理实体可以则暂时不向目标实体发送认证结果通知消息；先等待用户设备与目标实体是否具有第二通信权限，在确定用户设备与目标实体具有第二通信权限后，再向目标实体发送认证结果通知消息。也就是不执行S1209a步骤，继续执行S1209b及之后的步骤。
S1209b、用户设备与第一代理实体建立安全会话。
该安全会话可以包括TLS会话。
S1210、用户设备向第一代理实体发送目标实体服务请求消息。
其中，该目标实体服务请求消息包括第二目标实体标识，第二目标实体标识为用户设备根据目标实体的第一目标实体标识获取的受保护的实体标识。
在一些实施例中，该目标实体服务请求消息可以包括密钥标识A-KID和第二目标实体标识。
在一些实施例中，在第二目标实体标识与第一目标实体标识相同的情况下，可以确定用户设备与目标实体具有第二通信权限，则可以向目标实体发送认证结果通知消息，并向用户设备发送目标实体服务响应消息。也就是执行该S1211a和S1218步骤，无需执行S1211b步骤至S1217步骤。
在另一些实施例中，在第二目标实体标识与第一目标实体标识不同的情况下，第一代理实体可以通过与第二实体的密钥请求消息交互确定用户设备与目标实体是否具有第二通信权限。也就是不执行S1211a步骤，继续执行S1211b及之后的步骤。
S1211a、第一代理实体向目标实体发送认证结果通知消息。
S1211b、第一代理实体向第二实体发送第二密钥请求消息。
在一些实施例中，该第二密钥请求消息可以包括密钥标识A-KID、第二目标实体标识和第一代理实体对应的代理实体标识；该第二密钥请求消息可以用于指示第二实体根据第二密钥请求消息确定用户设备与目标实体是否具有第二通信权限。
在一些实施例中，该第二密钥请求消息还可以包括授权指示参数，该授权指示参数可以用于指示第二实体根据第二密钥请求消息确定用户设备与目标实体是否具有第二通信权限。
S1213、第二实体根据第二密钥请求消息向第三实体发送第四密钥请求消息。
在一些实施例中，第四密钥请求消息可以包括密钥标识A-KID、第二目标实体标识和第一代理实体对应的代理实体标识。
在一些实施例中，该第四密钥请求消息也可以包括授权指示参数，该授权指示参数可以用于指示第三实体根据第四密钥请求消息确定用户设备与目标实体是否具有第二通信权限。
S1214、第三实体根据第四密钥请求消息，确定用户设备与目标实体是否具有第二通 信权限。
示例地，第三实体确定用户设备与目标实体是否具有第二通信权限的方式可以包括以下一项或多项：
方式六、根据密钥标识A-KID和第二目标实体标识，确定用户设备对目标实体是否具有访问权限；
方式七、根据代理实体标识和第二目标实体标识，确定第一代理实体对目标实体是否具有代理权限。
方式八、根据密钥标识A-KID和第二目标实体标识，确定目标实体对用户设备的用户标识是否具有获取权限。
在一些实施例中，第三实体可以在确定用户设备对目标实体具有访问权限，且第一代理实体对目标实体具有代理权限的情况下，确定用户设备与目标实体具有第二通信权限。
S1215、第三实体向第四实体发送第四密钥响应消息。
其中，第四密钥响应消息用于通知第二实体用户设备与目标实体是否具有第二通信权限。
在一些实施例中，该第四密钥响应消息还可以包括用户设备的第二用户标识，该第二用户标识可以是在3GPP运营商域内表征该用户设备的标识；示例地，该第二用户标识可以是用户设备对应的用户永久标识SUPI。
在一些实施例中，该第四密钥响应消息还可以包括授权结果参数。示例地，第三实体可以在确定用户设备与目标实体是否具有第二通信权限的情况下，在第四密钥响应消息中包含该授权结果参数。
S1216、第二实体根据该第四密钥响应消息向第一代理实体发送第二密钥响应消息。
在第四密钥响应消息包括用户设备的第二用户标识(例如SUPI)的情况下，第二实体可以根据第二用户标识(例如SUPI)获取第一用户标识(例如GPSI)，并在第二密钥响应消息中包含该第一用户标识。
在第四密钥响应消息包括授权结果参数的情况下，第二实体也可以在第二密钥响应消息中包括该授权结果参数。
S1217、第一代理实体向目标实体发送认证结果通知消息。
示例地，第一代理实体可以根据该第二密钥响应消息向目标实体发送认证结果通知消息，例如，第一代理实体在根据该第二密钥响应消息确定用户设备与目标实体具有第二通信权限的情况下，可以向目标实体发送认证结果通知消息。
在一些实施例中，该第二密钥响应消息中可以包括授权结果参数，第一代理实体可以根据该授权结果参数确定用户设备与目标实体具有第二通信权限。
在第二密钥响应消息包括用户设备的第一用户标识(例如SUPI)的情况下，第一代理实体可以在该认证结果通知消息中包括该第一用户标识。以便目标应用获取用户设备的标识信息。
S1218、第一代理实体向用户设备发送目标实体服务响应消息。
该目标实体服务响应消息用于指示用户设备与目标实体是否具有第二通信权限。
示例的，第一代理实体可以根据该第二密钥响应消息向用户设备发送目标实体服务响应消息，例如，第一代理实体在根据第二密钥响应消息中的授权结果参数，确定用户设备与目标实体具有第二通信权限的情况下向用户设备发送目标实体服务响应消息。
在一些实施例中，上述第一实体可以包括：3GPP运营商域外的非可信应用功能AF实体、或者、3GPP运营商域外的非可信应用服务器SCS/AS实体；上述第一代理实体可以包括3GPP运营商域外的非可信认证代理AP实体；上述第二实体可以包括：网络开放功能NEF实体或业务能力开放功能SCEF实体；上述第三实体可以包括：AKMA锚点功能AAnF 实体。
这样，针对3GPP运营商域外的非可信的第一实体，通过第一代理实体确定用户设备与第一实体是否具有通信权限，并在具有第一通信权限的情况下进行用户设备的身份验证，可以将第一实体的一部分功能通过第一代理实体实现，从而降低第一实体的负荷，提高第一实体的效率，并且，用户设备通过统一的第一代理实体实现与一个或多个第一实体的权限认证与身份认证，也降低了用户设备进行认证的复杂度，提高了用户设备的效率。
图13是根据一示例性实施例示出的一种认证装置1300的框图，该认证装置可以应用于用户设备。如图13所示，该装置1300可以包括：
目标实体确定模块1301，被配置为从一个或多个第一实体中，确定请求通信的目标实体；
参数确定模块1302，被配置为根据该目标实体确定第一权限请求参数；
第一消息发送模块1303，被配置为根据该第一权限请求参数向第一代理实体发送应用会话建立请求消息；该应用会话建立请求消息用于指示该第一代理实体根据该第一权限请求参数确定该用户设备与该目标实体是否具有第一通信权限；该第一实体包括3GPP运营商域外的非可信的提供应用功能的实体，该第一代理实体包括3GPP运营商域外的非可信的提供认证功能的实体，该第一代理实体为该第一实体提供认证代理功能；
第一消息接收模块1304，被配置为响应于接收到该第一代理实体发送的应用会话建立响应消息，确定该用户设备与该目标实体是否具有第一通信权限；
认证模块，被配置为在该用户设备与该目标实体具有第一通信权限的情况下，通过该第一代理实体进行身份认证。
可选地，该参数确定模块1302，被配置为将该目标实体的第一目标实体标识和该用户设备对应的密钥标识A-KID作为该第一权限请求参数。
可选地，该第一通信权限包括以下一项或多项：
该用户设备对该目标实体具有访问权限；
该用户设备对该第一代理实体具有访问权限；
该第一代理实体对该目标实体具有代理权限；
目标实体对用户设备的用户标识具有获取权限。
图14是根据一示例性实施例示出的一种认证装置1300的框图，如图14所示，该装置还可以包括：
用户通信模块1305，被配置为在通过该第一代理实体进行身份认证成功之后，与该第一代理实体建立安全会话；获取该第一代理实体的代理域名和该目标实体的第一域名；在该代理域名与该第一域名相同的情况下，通过该安全会话确定该用户设备与该目标实体是否具有第二通信权限；在确定该用户设备与该目标实体具有第二通信权限的情况下，与该目标实体进行通信。
可选地，该用户通信模块1305，被配置为通过该安全会话，向该第一代理实体发送目标实体服务请求消息；该目标实体服务请求消息包括第二目标实体标识，该第二目标实体标识为该用户设备根据该第一目标实体标识获取的受保护的实体标识，该目标实体服务请求消息用于指示该第一代理实体根据该第二目标实体标识确定该用户设备与该目标实体是否具有第二通信权限；响应于接收到该第一代理实体发送的目标实体服务响应消息，确定该用户设备与该目标实体是否具有第二通信权限。
可选地，该第二通信权限包括以下一项或多项：
该用户设备对该目标实体具有访问权限；
该第一代理实体对该目标实体具有代理权限；
该目标实体对用户设备的用户标识具有获取权限。
可选地，该第一消息接收模块1304，被配置为在接收到该应用会话建立响应消息的情况下，确定该用户设备与该目标实体具有第一通信权限；或者，在接收到该应用会话建立响应消息，且该会话建立响应消息中包含成功指示信息的情况下，确定该用户设备与该目标实体具有第一通信权限。
可选地，该第一实体包括：3GPP运营商域外的非可信应用功能AF实体、或者、3GPP运营商域外的非可信应用服务器SCS/AS实体；该第一代理实体包括3GPP运营商域外的非可信认证代理AP实体。
图15是根据一示例性实施例示出的一种认证装置1500的框图，该认证装置可以应用于第一代理实体。如图15所示，该装置1500可以包括：
第一代理接收模块1501，被配置为接收用户设备发送的应用会话建立请求消息；该应用会话建立请求消息包括第一权限请求参数，该应用会话建立请求消息用于指示该第一代理实体根据第一权限请求参数确定该用户设备与目标实体是否具有第一通信权限，该目标实体为该用户设备从一个或多个第一实体中确定的请求通信的实体，该第一实体包括3GPP运营商域外的非可信的提供应用功能的实体，该第一代理实体包括3GPP运营商域外的非可信的提供认证功能的实体，该第一代理实体为该第一实体提供认证代理功能；
第一代理确定模块1502，被配置为根据该第一权限请求参数确定该用户设备与该目标实体是否具有第一通信权限；
第一代理发送模块1503，被配置为在该用户设备与该目标实体具有第一通信权限的情况下，向用户设备发送应用会话建立响应消息，以及，对该用户设备进行身份认证。
可选地，该第一权限请求参数包括该目标实体的第一目标实体标识和该用户设备对应的密钥标识A-KID。
可选地，该第一通信权限包括以下一项或多项：
该用户设备与该目标实体具有访问权限；
该用户设备对该第一代理实体具有访问权限；
该第一代理实体对该目标实体具有代理权限；
该目标实体对用户设备的用户标识具有获取权限。
可选地，该第一代理确定模块1502，被配置为根据该第一权限请求参数确定第二权限请求参数；向第二实体发送第一密钥请求消息；该第一密钥请求消息包括该第二权限请求参数；接收该第二实体发送的第一密钥响应消息；该第一密钥响应消息包括第一待定密钥信息，该第一待定密钥信息为该第二实体根据该第二权限请求参数获取的密钥信息；根据该第一待定密钥信息，确定该用户设备与该目标实体是否具有第一通信权限。
可选地，该第一代理确定模块1502，被配置为将该第一权限请求参数和该第一代理实体对应的代理实体标识，作为该第二权限请求参数。
可选地，该第一代理确定模块1502，被配置为在该第一待定密钥信息包括该目标实体对应的实体密钥信息的情况下，确定该用户设备与该目标实体具有第一通信权限。
可选地，该第一代理发送模块1503，被配置为在对该用户设备进行身份认证成功的情况下，向该目标实体发送认证结果通知消息；该认证结果通知消息用于指示该目标实体与该用户设备具有通信权限。
可选地，该第一代理发送模块1503，被配置为获取该第一代理实体的代理域名和该目标实体的第一域名；在该代理域名与该第一域名不同的情况下，向该目标实体发送认证结果通知消息。
可选地，该第一代理发送模块1503，被配置为在该第一密钥响应消息中包括用户设备对应的第一用户标识的情况下，通过该认证结果通知消息，向该目标实体发送该第一用户标识。
可选地，该第一用户标识为该用户设备对应的通用公共用户标识GPSI。
图16是根据一示例性实施例示出的一种认证装置1500的框图，如图16所示，该装置还可以包括：
第一代理通信模块1504，被配置为在对该用户设备进行身份认证成功之后，与该用户设备建立安全会话；通过该安全会话，接收该用户设备发送的目标实体服务请求消息；该目标实体服务请求消息包括第二目标实体标识，该第二目标实体标识为用户设备根据该目标实体的第一目标实体标识获取的受保护的实体标识，该目标实体服务请求消息为该用户设备在确定该第一代理实体的代理域名与该目标实体的第一域名相同的情况下发送的消息；根据该第二目标实体标识确定该用户设备与该目标实体是否具有第二通信权限；向该用户设备发送目标实体服务响应消息；该目标实体服务响应消息用于指示该用户设备与该目标实体是否具有第二通信权限。
可选地，该第二通信权限包括以下一项或多项：
该用户设备对该目标实体具有访问权限；
该第一代理实体对该目标实体具有代理权限；
该目标实体对用户设备的用户标识具有获取权限。
可选地，该第一代理通信模块1504，被配置为在该第二目标实体标识与该第一目标实体标识相同的情况下，确定该用户设备与该目标实体具有第二通信权限。
可选地，该第一代理通信模块1504，被配置为在该第二目标实体标识与该第一目标实体标识不同的情况下，向第二实体发送第二密钥请求消息；该第二密钥请求消息包括该密钥标识A-KID、该第二目标实体标识和该第一代理实体对应的代理实体标识；该第二密钥请求消息用于指示该第二实体确定该用户设备与该目标实体是否具有第二通信权限；接收该第二实体发送的第二密钥响应消息；根据该第二密钥响应消息确定该用户设备与该目标实体是否具有第二通信权限。
可选地，该第二密钥请求消息还包括授权指示参数，该授权指示参数用于指示该第二实体根据该第二密钥请求消息确定该用户设备与该目标实体是否具有第二通信权限。
可选地，该第一代理确定模块1502，被配置为在根据该第二密钥响应消息确定该用户设备与该目标实体具有第二通信权限的情况下，向该目标实体发送认证结果通知消息；该认证结果通知消息用于指示该目标实体与该用户设备具有通信权限。
可选地，该第一代理确定模块1502，被配置为在该第二密钥响应消息中包括该用户设备对应的第一用户标识的情况下，通过该认证结果通知消息，向该目标实体发送该第一用户标识。
可选地，该第一用户标识为该用户设备对应的通用公共用户标识GPSI。
可选地，在该第一待定密钥信息包括应用密钥K AF和密钥有效时间。
可选地，该第二实体包括：网络开放功能NEF实体或业务能力开放功能SCEF实体。
可选地，该第一实体包括：3GPP运营商域外的非可信应用功能AF实体、或者、3GPP运营商域外的非可信应用服务器SCS/AS实体；该第一代理实体包括3GPP运营商域外的非可信认证代理AP实体。
图17是根据一示例性实施例示出的一种认证装置1700的框图，该认证装置可以应用于第二实体。如图17所示，该装置1700可以包括：
第二接收模块1701，被配置为接收第一代理实体发送的第一密钥请求消息；该第一密钥请求消息包括第二权限请求参数，该第二权限请求参数为该第一代理实体根据该用户设备发送的第一权限请求参数确定的参数，该第一权限请求参数用于指示该第一代理实体根据第一权限请求参数确定该用户设备与目标实体是否具有第一通信权限，该目标实体为该用户设备从一个或多个第一实体中确定的请求通信的实体，该第一实体包括3GPP运营商 域外的非可信的提供应用功能的实体，该第一代理实体包括3GPP运营商域外的非可信的提供认证功能的实体，该第一代理实体为该第一实体提供认证代理功能；
第二密钥获取模块1702，被配置为根据该第二权限请求参数获取第一待定密钥信息；
第二发送模块1703，被配置为根据该第一待定密钥信息向该第一代理实体发送第一密钥响应消息。
可选地，该第二密钥获取模块1702，被配置为根据该第二权限请求参数确定第三权限请求参数；根据该第三权限请求参数向第三实体发送第三密钥请求消息；接收该第三实体发送的第三密钥响应消息；该第三密钥响应消息包括第三待定密钥信息，该第三待定密钥信息为该第三实体根据该第三权限请求参数确定该用户设备与该目标实体具有第一通信权限的情况下获取的密钥信息；根据该第三待定密钥信息，获取该第一待定密钥信息。
可选地，该第一通信权限包括以下一项或多项：
该用户设备与该目标实体具有访问权限；
该用户设备对该第一代理实体具有访问权限；
该第一代理实体对该目标实体具有代理权限；
该目标实体对用户设备的用户标识具有获取权限。
可选地，该第二权限请求参数包括该用户设备对应的密钥标识A-KID、目标实体对应的第一目标实体标识和该第一代理实体对应的代理实体标识；该第二密钥获取模块1702，被配置为将该第二权限请求参数作为该第三权限请求参数。
可选地，该第三待定密钥信息包括该目标实体对应的实体密钥信息；该第二密钥获取模块1702，被配置为将该目标实体对应的实体密钥信息作为该第一待定密钥信息。
可选地，该实体密钥信息包括应用密钥K AF和密钥有效时间。
可选地，该第三密钥响应消息还包括该用户设备对应的第二用户标识；该第二发送模块1703，被配置为根据该第二用户标识确定第一用户标识；根据该第一待定密钥信息和该第一用户标识，向该第一代理实体发送第一密钥响应消息。
可选地，该第一用户标识为该用户设备对应的通用公共用户标识GPSI；该第二用户标识为该用户设备对应的用户永久标识SUPI。
可选地，该第二密钥获取模块1702，被配置为在根据该第一待定密钥信息向该第一代理实体发送第一密钥响应消息之后，接收第一代理实体发送的第二密钥请求消息；该第二密钥请求消息为该第一代理实体在确定在第二目标实体标识与该目标实体对应的第一目标实体标识不同的情况下，向第二实体发送的消息；该第二目标实体标识为该用户设备根据目标实体的第一目标实体标识获取的受保护的实体标识；根据该第二密钥请求消息确定该用户设备与该目标实体是否具有第二通信权限；向该第一代理实体发送第二密钥响应消息；该第二密钥响应消息用于通知该第一代理实体该用户设备与该目标实体是否具有第二通信权限。
可选地，该第二通信权限包括以下一项或多项：
该用户设备对该目标实体具有访问权限；
该第一代理实体对该目标实体具有代理权限；
该目标实体对用户设备的用户标识具有获取权限。
可选地，该第二密钥请求消息包括该密钥标识A-KID、第二目标实体标识和该第一代理实体对应的代理实体标识；该第二密钥获取模块1702，被配置为向第三实体发送第四密钥请求消息；该第四密钥请求消息包括该密钥标识A-KID、该第二目标实体标识和该代理实体标识；接收该第三实体发送的第四密钥响应消息；根据该第四密钥响应消息确定该用户设备与该目标实体是否具有第二通信权限。
可选地，该第二密钥请求消息和该第四密钥请求消息均包括授权指示参数，该授权指 示参数用于指示该第三实体根据该第四密钥请求消息确定该用户设备与该目标实体是否具有第二通信权限。
可选地，该第三实体包括：AKMA锚点功能AAnF实体。
可选地，该第一实体包括：3GPP运营商域外的非可信应用功能AF实体、或者、3GPP运营商域外的非可信应用服务器SCS/AS实体；该第一代理实体包括3GPP运营商域外的非可信认证代理AP实体；该第二实体包括：网络开放功能NEF实体或业务能力开放功能SCEF实体。
图18是根据一示例性实施例示出的一种认证装置1800的框图，该认证装置可以应用于第三实体。如图18所示，该装置1800可以包括：
第三接收模块1801，被配置为接收第二实体发送的第三密钥请求消息；该第三密钥请求消息包括第三权限请求参数，该第三权限请求参数为该第二实体根据第二权限请求参数确定的参数，该第二权限请求参数为第一代理实体根据该用户设备发送的第一权限请求参数确定的参数，该第一权限请求参数用于指示该第一代理实体根据第一权限请求参数确定该用户设备与目标实体是否具有第一通信权限，该目标实体为该用户设备从一个或多个第一实体中确定的请求通信的实体，该第一实体包括3GPP运营商域外的非可信的提供应用功能的实体，该第一代理实体包括3GPP运营商域外的非可信的提供认证功能的实体，该第一代理实体为该第一实体提供认证代理功能；
第三确定模块1802，被配置为根据该第三权限请求参数，确定该用户设备与该目标实体是否具有第一通信权限；
第三密钥模块1803，被配置为在该用户设备与该目标实体具有第一通信权限的情况下，获取第三待定密钥信息；
第三发送模块1804，被配置为根据该第三待定密钥信息，向该第二实体发送第三密钥响应消息。
可选地，该第三权限请求参数包括该用户设备对应的密钥标识A-KID、目标实体的第一目标实体标识和该第一代理实体对应的代理实体标识；该第三确定模块1802，被配置为通过以下一项或多项，确定该用户设备与该目标实体是否具有第一通信权限：
根据该密钥标识A-KID和该第一目标实体标识，确定该用户设备对该目标实体是否具有访问权限；
根据该密钥标识A-KID和该代理实体标识，确定该用户设备对该第一代理实体是否具有访问权限；
根据该代理实体标识和该第一目标实体标识，确定该第一代理实体对该目标实体是否具有代理权限；
根据密钥标识A-KID和第二目标实体标识，确定目标实体对用户设备的用户标识是否具有获取权限。
可选地，该第三密钥模块1803，被配置为根据该目标实体对应的实体密钥信息，获取该第三待定密钥信息。
可选地，该第三发送模块1804，被配置为在确定目标实体具有获取用户标识的权限的情况下，通过第三密钥响应消息，向第二实体发送第三待定密钥信息和用户设备对应的第二用户标。。
可选地，该第二用户标识为该用户设备对应的用户永久标识SUPI。
可选地，第三确定模块1802，还被配置为在向该第二实体发送第三密钥响应消息之后，接收该第二实体发送的第四密钥请求消息；根据第四密钥请求消息确定该用户设备与该目标实体是否具有第二通信权限；向该第二实体发送第四密钥响应消息；该第四密钥响应消息用于通知该第二实体该用户设备与该目标实体是否具有第二通信权限。
可选地，该第四密钥请求消息包括该密钥标识A-KID、第二目标实体标识和该第一代理实体对应的代理实体标识，该第二目标实体标识为该用户设备根据目标实体的第一目标实体标识获取的受保护的实体标识；
该第三确定模块1802，被配置为通过以下一项或多项，确定该用户设备与该目标实体是否具有第二通信权限：
根据该密钥标识A-KID和该第二目标实体标识，确定该用户设备对该目标实体是否具有访问权限；
根据该代理实体标识和该第二目标实体标识，确定该第一代理实体对该目标实体是否具有代理权限；
根据密钥标识A-KID和第二目标实体标识，确定目标实体对用户设备的用户标识是否具有获取权限。
可选地，该第四密钥请求消息包括授权指示参数，该授权指示参数用于指示该第三实体根据该第四密钥请求消息确定该用户设备与该目标实体是否具有第二通信权限。
可选地，该第三确定模块1802，被配置为在确定目标实体具有获取用户标识的权限的情况下，根据该用户设备对应的第二用户标识，向该第二实体发送第四密钥响应消息。
可选地，该第二用户标识为该用户设备对应的用户永久标识SUPI。
可选地，该第一实体包括：3GPP运营商域外的非可信应用功能AF实体、或者、3GPP运营商域外的非可信应用服务器SCS/AS实体；该第一代理实体包括3GPP运营商域外的非可信认证代理AP实体；该第二实体包括：网络开放功能NEF实体或业务能力开放功能SCEF实体；该第三实体包括：AKMA锚点功能AAnF实体。
图19是根据一示例性实施例示出的一种认证装置1900的框图，该认证装置可以应用于第一实体。如图19所示，该装置1900可以包括：
第一通信模块1901，被配置为响应于接收到第一代理实体发送的认证结果通知消息，与用户设备进行通信；该认证结果通知消息用于指示该目标实体与该用户设备具有通信权限，该第一代理实体与该第一实体相连接，该第一实体和该第一代理实体均为3GPP运营商域外的非可信的功能实体。
可选地，该认证结果通知消息包括该用户设备的第一用户标识。
可选地，该第一用户标识为该用户设备对应的通用公共用户标识GPSI。
可选地，该第一实体包括：3GPP运营商域外的非可信应用功能AF实体、或者、3GPP运营商域外的非可信应用服务器SCS/AS实体；该第一代理实体包括3GPP运营商域外的非可信认证代理AP实体。
关于上述实施例中的装置，其中各个模块执行操作的具体方式已经在有关该方法的实施例中进行了详细描述，此处将不做详细阐述说明。
图20是根据一示例性实施例示出的一种认证装置的框图。示例地，该认证装置2000可以是终端设备，例如移动电话，计算机，数字广播终端，消息收发设备，游戏控制台，平板设备，医疗设备，健身设备，个人数字助理等；该认证装置2000也可以是服务器，，例如本地服务器或云服务器；该认证装置2000也可以是图1所示的用户设备、该认证装置2000也可以是图1所示通信系统中的任一网络实体，例如第一实体、第一代理实体、第二实体或第三实体。
参照图20，该装置2000可以包括以下一个或多个组件：处理组件2002，存储器2004，以及通信组件2006。
处理组件2002通常控制装置2000的整体操作，诸如与显示，电话呼叫，数据通信，相机操作和记录操作相关联的操作。处理组件2002可以包括一个或多个处理器2020来执行指令，以完成上述的认证方法的全部或部分步骤。此外，处理组件2002可以包括一个 或多个模块，便于处理组件2002和其他组件之间的交互。例如，处理组件2002可以包括多媒体模块，以方便多媒体组件和处理组件2002之间的交互。
存储器2004被配置为存储各种类型的数据以支持在装置2000的操作。这些数据的示例包括用于在装置2000上操作的任何应用程序或方法的指令，联系人数据，电话簿数据，消息，图片，视频等。存储器2004可以由任何类型的易失性或非易失性存储设备或者它们的组合实现，如静态随机存取存储器(SRAM)，电可擦除可编程只读存储器(EEPROM)，可擦除可编程只读存储器(EPROM)，可编程只读存储器(PROM)，只读存储器(ROM)，磁存储器，快闪存储器，磁盘或光盘。
通信组件2006被配置为便于装置2000和其他设备之间有线或无线方式的通信。装置2000可以接入基于通信标准的无线网络，如WiFi，2G或3G，或它们的组合。在一个示例性实施例中，通信组件2006经由广播信道接收来自外部广播管理系统的广播信号或广播相关信息。在一个示例性实施例中，所述通信组件2006还包括近场通信(NFC)模块，以促进短程通信。例如，在NFC模块可基于射频识别(RFID)技术，红外数据协会(IrDA)技术，超宽带(UWB)技术，蓝牙(BT)技术和其他技术来实现。
在示例性实施例中，装置2000可以被一个或多个应用专用集成电路(ASIC)、数字信号处理器(DSP)、数字信号处理设备(DSPD)、可编程逻辑器件(PLD)、现场可编程门阵列(FPGA)、控制器、微控制器、微处理器或其他电子元件实现，用于执行上述认证方法。
上述装置2000除了可以是独立的电子设备外，也可以是独立电子设备的一部分，例如在一种实施例中，该电子设备可以是集成电路(Integrated Circuit，IC)或芯片，其中该集成电路可以是一个IC，也可以是多个IC的集合；该芯片可以包括但不限于以下种类：GPU(Graphics Processing Unit，图形处理器)、CPU(Central Processing Unit，中央处理器)、FPGA(Field Programmable Gate Array，可编程逻辑阵列)、DSP(Digital Signal Processor，数字信号处理器)、ASIC(Application Specific Integrated Circuit，专用集成电路)、SOC(System on Chip，SoC，片上系统或系统级芯片)等。上述的集成电路或芯片中可以用于执行可执行指令(或代码)，以实现上述认证方法。其中该可执行指令可以存储在该集成电路或芯片中，也可以从其他的装置或设备获取，例如该集成电路或芯片中包括处理器、存储器，以及用于与其他的装置通信的接口。该可执行指令可以存储于该处理器中，当该可执行指令被处理器执行时实现上述认证方法；或者，该集成电路或芯片可以通过该接口接收可执行指令并传输给该处理器执行，以实现上述认证方法。
在示例性实施例中，还提供了一种包括指令的非临时性计算机可读存储介质，例如包括指令的存储器2004，上述指令可由装置2000的处理器2020执行以完成上述认证方法。例如，所述非临时性计算机可读存储介质可以是ROM、随机存取存储器(RAM)、CD-ROM、磁带、软盘和光数据存储设备等。
在另一示例性实施例中，还提供一种计算机程序产品，该计算机程序产品包含能够由可编程的装置执行的计算机程序，该计算机程序具有当由该可编程的装置执行时用于执行上述认证方法的代码部分。
本领域技术人员在考虑说明书及实践本公开后，将容易想到本公开的其它实施方案。本申请旨在涵盖本公开的任何变型、用途或者适应性变化，这些变型、用途或者适应性变化遵循本公开的一般性原理并包括本公开未公开的本技术领域中的公知常识或惯用技术手段。说明书和实施例仅被视为示例性的，本公开的真正范围和精神由下面的权利要求指出。
应当理解的是，本公开并不局限于上面已经描述并在附图中示出的精确结构，并且可以在不脱离其范围进行各种修改和改变。本公开的范围仅由所附的权利要求来限制。

Claims (68)

  1. 一种认证方法，其特征在于，应用于用户设备，所述方法包括：
    从一个或多个第一实体中，确定请求通信的目标实体；
    根据所述目标实体确定第一权限请求参数；
    根据所述第一权限请求参数向第一代理实体发送应用会话建立请求消息；所述应用会话建立请求消息用于指示所述第一代理实体根据所述第一权限请求参数确定所述用户设备与所述目标实体是否具有第一通信权限；所述第一实体包括3GPP运营商域外的非可信的提供应用功能的实体，所述第一代理实体包括3GPP运营商域外的非可信的提供认证功能的实体，所述第一代理实体为所述第一实体提供认证代理功能；
    响应于接收到所述第一代理实体发送的应用会话建立响应消息，确定所述用户设备与所述目标实体是否具有第一通信权限；
    在所述用户设备与所述目标实体具有第一通信权限的情况下，通过所述第一代理实体进行身份认证。
  2. 根据权利要求1所述的方法，其特征在于，所述根据所述目标实体确定第一权限请求参数包括：
    将所述目标实体的第一目标实体标识和所述用户设备对应的密钥标识A-KID作为所述第一权限请求参数。
  3. 根据权利要求1所述的方法，其特征在于，所述第一通信权限包括以下一项或多项：
    所述用户设备对所述目标实体具有访问权限；
    所述用户设备对所述第一代理实体具有访问权限；
    所述第一代理实体对所述目标实体具有代理权限；
    所述目标实体对所述用户设备的用户标识具有获取权限。
  4. 根据权利要求1所述的方法，其特征在于，在通过所述第一代理实体进行身份认证成功之后，所述方法还包括：
    与所述第一代理实体建立安全会话；
    获取所述第一代理实体的代理域名和所述目标实体的第一域名；
    在所述代理域名与所述第一域名相同的情况下，通过所述安全会话确定所述用户设备与所述目标实体是否具有第二通信权限；
    在确定所述用户设备与所述目标实体具有第二通信权限的情况下，与所述目标实体进行通信。
  5. 根据权利要求4所述的方法，其特征在于，所述通过所述安全会话确定所述用户设备与所述目标实体是否具有第二通信权限包括：
    通过所述安全会话，向所述第一代理实体发送目标实体服务请求消息；所述目标实体服务请求消息包括第二目标实体标识，所述第二目标实体标识为所述用户设备根据所述第一目标实体标识获取的受保护的实体标识，所述目标实体服务请求消息用于指示所述第一代理实体根据所述第二目标实体标识确定所述用户设备与所述目标实体是否具有第二通信权限；
    响应于接收到所述第一代理实体发送的目标实体服务响应消息，确定所述用户设备 与所述目标实体是否具有第二通信权限。
  6. 根据权利要求4所述的方法，其特征在于，所述第二通信权限包括以下一项或多项：
    所述用户设备对所述目标实体具有访问权限；
    所述第一代理实体对所述目标实体具有代理权限；
    所述目标实体对所述用户设备的用户标识具有获取权限。
  7. 根据权利要求1所述的方法，其特征在于，所述响应于接收到所述第一代理实体发送的应用会话建立响应消息，确定所述用户设备与所述目标实体是否具有第一通信权限包括：
    在接收到所述应用会话建立响应消息的情况下，确定所述用户设备与所述目标实体具有第一通信权限；或者，
    在接收到所述应用会话建立响应消息，且所述会话建立响应消息中包含成功指示信息的情况下，确定所述用户设备与所述目标实体具有第一通信权限。
  8. 根据权利要求1至7中任一项所述的方法，其特征在于，所述第一实体包括：3GPP运营商域外的非可信应用功能AF实体、或者、3GPP运营商域外的非可信应用服务器SCS/AS实体；所述第一代理实体包括3GPP运营商域外的非可信认证代理AP实体。
  9. 一种认证方法，其特征在于，应用于第一代理实体，所述方法包括：
    接收用户设备发送的应用会话建立请求消息；所述应用会话建立请求消息包括第一权限请求参数，所述应用会话建立请求消息用于指示所述第一代理实体根据第一权限请求参数确定所述用户设备与目标实体是否具有第一通信权限，所述目标实体为所述用户设备从一个或多个第一实体中确定的请求通信的实体，所述第一实体包括3GPP运营商域外的非可信的提供应用功能的实体，所述第一代理实体包括3GPP运营商域外的非可信的提供认证功能的实体，所述第一代理实体为所述第一实体提供认证代理功能；
    根据所述第一权限请求参数确定所述用户设备与所述目标实体是否具有第一通信权限；
    在所述用户设备与所述目标实体具有第一通信权限的情况下，向用户设备发送应用会话建立响应消息，以及，对所述用户设备进行身份认证。
  10. 根据权利要求9所述的方法，其特征在于，所述第一权限请求参数包括所述目标实体的第一目标实体标识和所述用户设备对应的密钥标识A-KID。
  11. 根据权利要求9所述的方法，其特征在于，所述第一通信权限包括以下一项或多项：
    所述用户设备对所述目标实体具有访问权限；
    所述用户设备对所述第一代理实体具有访问权限；
    所述第一代理实体对所述目标实体具有代理权限；
    所述目标实体对所述用户设备的用户标识具有获取权限。
  12. 根据权利要求9所述的方法，其特征在于，所述根据所述第一权限请求参数确定所述用户设备与所述目标实体是否具有第一通信权限包括：
    根据所述第一权限请求参数确定第二权限请求参数；
    向第二实体发送第一密钥请求消息；所述第一密钥请求消息包括所述第二权限请求参数；所述第二实体包括提供网络开放功能的实体；
    接收所述第二实体发送的第一密钥响应消息；所述第一密钥响应消息包括第一待定密钥信息，所述第一待定密钥信息为所述第二实体根据所述第二权限请求参数获取的密钥信息；
    根据所述第一待定密钥信息，确定所述用户设备与所述目标实体是否具有第一通信权限。
  13. 根据权利要求12所述的方法，其特征在于，所述根据所述第一权限请求参数确定第二权限请求参数包括：
    将所述第一权限请求参数和所述第一代理实体对应的代理实体标识，作为所述第二权限请求参数。
  14. 根据权利要求12所述的方法，其特征在于，所述根据所述第一待定密钥信息，确定所述用户设备与所述目标实体是否具有第一通信权限包括：
    在所述第一待定密钥信息包括所述目标实体对应的实体密钥信息的情况下，确定所述用户设备与所述目标实体具有第一通信权限。
  15. 根据权利要求12所述的方法，其特征在于，在对所述用户设备进行身份认证成功的情况下，所述方法还包括：
    向所述目标实体发送认证结果通知消息；所述认证结果通知消息用于指示所述目标实体与所述用户设备具有通信权限。
  16. 根据权利要求15所述的方法，其特征在于，所述向所述目标实体发送认证结果通知消息包括：
    获取所述第一代理实体的代理域名和所述目标实体的第一域名；
    在所述代理域名与所述第一域名不同的情况下，向所述目标实体发送认证结果通知消息。
  17. 根据权利要求15所述的方法，其特征在于，所述向所述目标实体发送认证结果通知消息包括：
    在所述第一密钥响应消息中包括用户设备对应的第一用户标识的情况下，通过所述认证结果通知消息，向所述目标实体发送所述第一用户标识。
  18. 根据权利要求17所述的方法，其特征在于，所述第一用户标识为所述用户设备对应的通用公共用户标识GPSI。
  19. 根据权利要求9所述的方法，其特征在于，在对所述用户设备进行身份认证成功之后，所述方法还包括：
    与所述用户设备建立安全会话；
    通过所述安全会话，接收所述用户设备发送的目标实体服务请求消息；所述目标实体服务请求消息包括第二目标实体标识，所述第二目标实体标识为用户设备根据所述目标实体的第一目标实体标识获取的受保护的实体标识，所述目标实体服务请求消息为所 述用户设备在确定所述第一代理实体的代理域名与所述目标实体的第一域名相同的情况下发送的消息；
    根据所述第二目标实体标识确定所述用户设备与所述目标实体是否具有第二通信权限；
    向所述用户设备发送目标实体服务响应消息；所述目标实体服务响应消息用于指示所述用户设备与所述目标实体是否具有第二通信权限。
  20. 根据权利要求19所述的方法，其特征在于，所述第二通信权限包括以下一项或多项：
    所述用户设备对所述目标实体具有访问权限；
    所述第一代理实体对所述目标实体具有代理权限；
    所述目标实体对所述用户设备的用户标识具有获取权限。
  21. 根据权利要求19所述的方法，其特征在于，所述根据所述第二目标实体标识确定所述用户设备与所述目标实体是否具有第二通信权限包括：
    在所述第二目标实体标识与所述第一目标实体标识相同的情况下，确定所述用户设备与所述目标实体具有第二通信权限。
  22. 根据权利要求19所述的方法，其特征在于，所述根据所述第二目标实体标识确定所述用户设备与所述目标实体是否具有第二通信权限包括：
    在所述第二目标实体标识与所述第一目标实体标识不同的情况下，向第二实体发送第二密钥请求消息；所述第二密钥请求消息包括所述密钥标识A-KID、所述第二目标实体标识和所述第一代理实体对应的代理实体标识；所述第二密钥请求消息用于指示所述第二实体确定所述用户设备与所述目标实体是否具有第二通信权限；
    接收所述第二实体发送的第二密钥响应消息；
    根据所述第二密钥响应消息确定所述用户设备与所述目标实体是否具有第二通信权限。
  23. 根据权利要求22所述的方法，其特征在于，所述第二密钥请求消息还包括授权指示参数，所述授权指示参数用于指示所述第二实体根据所述第二密钥请求消息确定所述用户设备与所述目标实体是否具有第二通信权限。
  24. 根据权利要求22所述的方法，其特征在于，在根据所述第二密钥响应消息确定所述用户设备与所述目标实体具有第二通信权限的情况下，所述方法还包括：
    向所述目标实体发送认证结果通知消息；所述认证结果通知消息用于指示所述目标实体与所述用户设备具有通信权限。
  25. 根据权利要求24所述的方法，其特征在于，所述向所述目标实体发送认证结果通知消息包括：
    在所述第二密钥响应消息中包括所述用户设备对应的第一用户标识的情况下，通过所述认证结果通知消息，向所述目标实体发送所述第一用户标识。
  26. 根据权利要求25所述的方法，其特征在于，所述第一用户标识为所述用户设备对应的通用公共用户标识GPSI。
  27. 根据权利要求12所述的方法，其特征在于，在所述第一待定密钥信息包括应用密钥K AF和密钥有效时间。
  28. 根据权利要求12所述的方法，其特征在于，所述第二实体包括：网络开放功能NEF实体或业务能力开放功能SCEF实体。
  29. 根据权利要求9至28中任一项所述的方法，其特征在于，所述第一实体包括：3GPP运营商域外的非可信应用功能AF实体、或者、3GPP运营商域外的非可信应用服务器SCS/AS实体；所述第一代理实体包括3GPP运营商域外的非可信认证代理AP实体。
  30. 一种认证方法，其特征在于，应用于第二实体，所述方法包括：
    接收第一代理实体发送的第一密钥请求消息；所述第一密钥请求消息包括第二权限请求参数，所述第二权限请求参数为所述第一代理实体根据所述用户设备发送的第一权限请求参数确定的参数，所述第一权限请求参数用于指示所述第一代理实体根据第一权限请求参数确定所述用户设备与目标实体是否具有第一通信权限，所述目标实体为所述用户设备从一个或多个第一实体中确定的请求通信的实体，所述第一实体包括3GPP运营商域外的非可信的提供应用功能的实体，所述第一代理实体包括3GPP运营商域外的非可信的提供认证功能的实体，所述第一代理实体为所述第一实体提供认证代理功能；
    根据所述第二权限请求参数获取第一待定密钥信息；
    根据所述第一待定密钥信息向所述第一代理实体发送的第一密钥响应消息。
  31. 根据权利要求30所述的方法，其特征在于，所述根据所述第二权限请求参数获取第一待定密钥信息包括：
    根据所述第二权限请求参数确定第三权限请求参数；
    根据该第三权限请求参数向第三实体发送第三密钥请求消息；所述第三实体包括提供AKMA授权及应用密钥推演功能的实体；
    接收所述第三实体发送的第三密钥响应消息；所述第三密钥响应消息包括第三待定密钥信息，所述第三待定密钥信息为所述第三实体根据所述第三权限请求参数确定所述用户设备与所述目标实体具有第一通信权限的情况下获取的密钥信息；
    根据所述第三待定密钥信息，获取所述第一待定密钥信息。
  32. 根据权利要求31所述的方法，其特征在于，所述第一通信权限包括以下一项或多项：
    所述用户设备对所述目标实体具有访问权限；
    所述用户设备对所述第一代理实体具有访问权限；
    所述第一代理实体对所述目标实体具有代理权限；
    所述目标实体对所述用户设备的用户标识具有获取权限。
  33. 根据权利要求31所述的方法，其特征在于，所述第二权限请求参数包括所述用户设备对应的密钥标识A-KID、目标实体对应的第一目标实体标识和所述第一代理实体对应的代理实体标识；所述根据所述第二权限请求参数确定第三权限请求参数包括：
    将所述第二权限请求参数作为所述第三权限请求参数。
  34. 根据权利要求31所述的方法，其特征在于，所述第三待定密钥信息包括所述目标实体对应的实体密钥信息；所述根据所述第三待定密钥信息，获取所述第一待定密钥信息包括：
    将所述目标实体对应的实体密钥信息作为所述第一待定密钥信息。
  35. 根据权利要求34所述的方法，其特征在于，所述实体密钥信息包括应用密钥K AF和密钥有效时间。
  36. 根据权利要求31所述的方法，其特征在于，所述第三密钥响应消息还包括所述用户设备对应的第二用户标识；所述根据所述第一待定密钥信息向所述第一代理实体发送的第一密钥响应消息包括：
    根据所述第二用户标识确定第一用户标识；
    根据所述第一待定密钥信息和所述第一用户标识，向所述第一代理实体发送的第一密钥响应消息。
  37. 根据权利要求36所述的方法，其特征在于，所述第一用户标识为所述用户设备对应的通用公共用户标识GPSI；所述第二用户标识为所述用户设备对应的用户永久标识SUPI。
  38. 根据权利要求30所述的方法，其特征在于，在根据所述第一待定密钥信息向所述第一代理实体发送的第一密钥响应消息之后，所述方法还包括：
    接收第一代理实体发送的第二密钥请求消息；所述第二密钥请求消息为所述第一代理实体在确定在第二目标实体标识与所述目标实体对应的第一目标实体标识不同的情况下，向第二实体发送的消息；所述第二目标实体标识为所述用户设备根据目标实体的第一目标实体标识获取的受保护的实体标识；
    根据所述第二密钥请求消息确定所述用户设备与所述目标实体是否具有第二通信权限；
    向所述第一代理实体发送的第二密钥响应消息；所述第二密钥响应消息用于通知所述第一代理实体所述用户设备与所述目标实体是否具有第二通信权限。
  39. 根据权利要求38所述的方法，其特征在于，所述第二通信权限包括以下一项或多项：
    所述用户设备对所述目标实体具有访问权限；
    所述第一代理实体对所述目标实体具有代理权限；
    所述目标实体对所述用户设备的用户标识具有获取权限。
  40. 根据权利要求38所述的方法，其特征在于，所述第二密钥请求消息包括所述密钥标识A-KID、第二目标实体标识和所述第一代理实体对应的代理实体标识；所述根据所述第二密钥请求消息确定所述用户设备与所述目标实体是否具有第二通信权限包括：
    向第三实体发送第四密钥请求消息；所述第四密钥请求消息包括所述密钥标识A-KID、所述第二目标实体标识和所述代理实体标识；
    接收所述第三实体发送的第四密钥响应消息；
    根据所述第四密钥响应消息确定所述用户设备与所述目标实体是否具有第二通信权限。
  41. 根据权利要求40所述的方法，其特征在于，所述第二密钥请求消息和所述第四密钥请求消息均包括授权指示参数，所述授权指示参数用于指示所述第三实体根据所述第四密钥请求消息确定所述用户设备与所述目标实体是否具有第二通信权限。
  42. 根据权利要求31所述的方法，其特征在于，所述第三实体包括：AKMA锚点功能AAnF实体。
  43. 根据权利要求30至42中任一项所述的方法，其特征在于，所述第一实体包括：3GPP运营商域外的非可信应用功能AF实体、或者、3GPP运营商域外的非可信应用服务器SCS/AS实体；所述第一代理实体包括3GPP运营商域外的非可信认证代理AP实体；所述第二实体包括：网络开放功能NEF实体或业务能力开放功能SCEF实体。
  44. 一种认证方法，其特征在于，应用于第三实体，所述方法包括：
    接收第二实体发送的第三密钥请求消息；所述第三密钥请求消息包括第三权限请求参数，所述第三权限请求参数为所述第二实体根据第二权限请求参数确定的参数，所述第二权限请求参数为第一代理实体根据所述用户设备发送的第一权限请求参数确定的参数，所述第一权限请求参数用于指示所述第一代理实体根据第一权限请求参数确定所述用户设备与目标实体是否具有第一通信权限，所述目标实体为所述用户设备从一个或多个第一实体中确定的请求通信的实体，所述第一实体包括3GPP运营商域外的非可信的提供应用功能的实体，所述第一代理实体包括3GPP运营商域外的非可信的提供认证功能的实体，所述第一代理实体为所述第一实体提供认证代理功能；
    根据所述第三权限请求参数，确定所述用户设备与所述目标实体是否具有第一通信权限；
    在所述用户设备与所述目标实体具有第一通信权限的情况下，获取第三待定密钥信息；
    根据所述第三待定密钥信息，向所述第二实体发送第三密钥响应消息，所述第三密钥响应消息包括所述第三待定密钥信息。
  45. 根据权利要求44所述的方法，其特征在于，所述第三权限请求参数包括所述用户设备对应的密钥标识A-KID、目标实体的第一目标实体标识和所述第一代理实体对应的代理实体标识；所述根据所述第三权限请求参数，确定所述用户设备与所述目标实体是否具有第一通信权限包括以下一项或多项：
    根据所述密钥标识A-KID和所述第一目标实体标识，确定所述用户设备对所述目标实体是否具有访问权限；
    根据所述密钥标识A-KID和所述代理实体标识，确定所述用户设备对所述第一代理实体是否具有访问权限；
    根据所述代理实体标识和所述第一目标实体标识，确定所述第一代理实体对所述目标实体是否具有代理权限；
    根据所述密钥标识A-KID和所述第二目标实体标识，确定所述目标实体对所述用户设备的用户标识是否具有获取权限。
  46. 根据权利要求44所述的方法，其特征在于，所述获取第三待定密钥信息包括：
    根据所述目标实体对应的实体密钥信息，获取所述第三待定密钥信息。
  47. 根据权利要求44所述的方法，其特征在于，所述根据所述第三待定密钥信息，向所述第二实体发送第三密钥响应消息包括：
    在确定所述目标实体具有获取用户标识的权限的情况下，通过第三密钥响应消息，向所述第二实体发送第三待定密钥信息和所述用户设备对应的第二用户标识。
  48. 根据权利要求47所述的方法，其特征在于，所述第二用户标识为所述用户设备对应的用户永久标识SUPI。
  49. 根据权利要求44所述的方法，其特征在于，在向所述第二实体发送第三密钥响应消息之后，所述方法还包括：
    接收所述第二实体发送的第四密钥请求消息；
    根据所述第四密钥请求消息确定所述用户设备与所述目标实体是否具有第二通信权限；
    向所述第二实体发送第四密钥响应消息；所述第四密钥响应消息用于通知所述第二实体所述用户设备与所述目标实体是否具有第二通信权限。
  50. 根据权利要求49所述的方法，其特征在于，所述第四密钥请求消息包括所述密钥标识A-KID、第二目标实体标识和所述第一代理实体对应的代理实体标识，所述第二目标实体标识为所述用户设备根据目标实体的第一目标实体标识获取的受保护的实体标识；所述根据第四密钥请求消息确定所述用户设备与所述目标实体是否具有第二通信权限包括以下一项或多项：
    根据所述密钥标识A-KID和所述第二目标实体标识，确定所述用户设备对所述目标实体是否具有访问权限；
    根据所述代理实体标识和所述第二目标实体标识，确定所述第一代理实体对所述目标实体是否具有代理权限；
    根据所述密钥标识A-KID和所述第二目标实体标识，确定所述目标实体对所述用户设备的用户标识是否具有获取权限。
  51. 根据权利要求49所述的方法，其特征在于，所述第四密钥请求消息包括授权指示参数，所述授权指示参数用于指示所述第三实体根据所述第四密钥请求消息确定所述用户设备与所述目标实体是否具有第二通信权限。
  52. 根据权利要求49所述的方法，其特征在于，所述向所述第二实体发送第四密钥响应消息包括：
    在确定所述目标实体具有获取用户标识的权限的情况下，根据所述用户设备对应的第二用户标识，向所述第二实体发送第四密钥响应消息。
  53. 根据权利要求52所述的方法，其特征在于，所述第二用户标识为所述用户设备对应的用户永久标识SUPI。
  54. 根据权利要求49所述的方法，其特征在于，在根据所述第四密钥请求消息确定所述用户设备与所述目标实体是否具有第二通信权限之前，所述方法还包括：
    根据预设策略确定所述第三实体是否具有为第一代理实体服务的权限；
    所述根据所述第四密钥请求消息确定所述用户设备与所述目标实体是否具有第二通信权限包括：
    在所述第三实体是否具有为第一代理实体服务的权限的情况下，根据所述第四密钥请求消息确定所述用户设备与所述目标实体是否具有第二通信权限。
  55. 根据权利要求44所述的方法，其特征在于，在根据所述第三权限请求参数，确定所述用户设备与所述目标实体是否具有第一通信权限之前，所述方法还包括：
    根据预设策略确定所述第三实体是否具有为第一代理实体服务的权限；
    所述根据所述第三权限请求参数，确定所述用户设备与所述目标实体是否具有第一通信权限包括：
    在所述第三实体是否具有为第一代理实体服务的权限的情况下，根据所述第三权限请求参数，确定所述用户设备与所述目标实体是否具有第一通信权限。
  56. 根据权利要求44至55中任一项所述的方法，其特征在于，所述第一实体包括：3GPP运营商域外的非可信应用功能AF实体、或者、3GPP运营商域外的非可信应用服务器SCS/AS实体；所述第一代理实体包括3GPP运营商域外的非可信认证代理AP实体；所述第二实体包括：网络开放功能NEF实体或业务能力开放功能SCEF实体；所述第三实体包括：AKMA锚点功能AAnF实体。
  57. 一种认证方法，其特征在于，应用于第一实体，所述第一实体为一个或多个；所述方法包括：
    响应于接收到第一代理实体发送的认证结果通知消息，与用户设备进行通信；所述认证结果通知消息用于指示所述目标实体与所述用户设备具有通信权限，所述第一实体包括3GPP运营商域外的非可信的提供应用功能的实体，所述第一代理实体包括3GPP运营商域外的非可信的提供认证功能的实体，所述第一代理实体为所述第一实体提供认证代理功能。
  58. 根据权利要求57所述的方法，其特征在于，所述认证结果通知消息包括所述用户设备的第一用户标识。
  59. 根据权利要求58所述的方法，其特征在于，所述第一用户标识为所述用户设备对应的通用公共用户标识GPSI。
  60. 根据权利要求57至59中任一项所述的方法，其特征在于，所述第一实体包括：3GPP运营商域外的非可信应用功能AF实体、或者、3GPP运营商域外的非可信应用服务器SCS/AS实体；所述第一代理实体包括3GPP运营商域外的非可信认证代理AP实体。
  61. 一种认证装置，其特征在于，应用于用户设备，所述装置包括：
    目标实体确定模块，被配置为从一个或多个第一实体中，确定请求通信的目标实体；
    参数确定模块，被配置为根据所述目标实体确定第一权限请求参数；
    第一消息发送模块，被配置为根据所述第一权限请求参数向第一代理实体发送应用会话建立请求消息；所述应用会话建立请求消息用于指示所述第一代理实体根据所述第一权限请求参数确定所述用户设备与所述目标实体是否具有第一通信权限；所述第一实体包括3GPP运营商域外的非可信的提供应用功能的实体，所述第一代理实体包括3GPP 运营商域外的非可信的提供认证功能的实体，所述第一代理实体为所述第一实体提供认证代理功能；
    第一消息接收模块，被配置为响应于接收到所述第一代理实体发送的应用会话建立响应消息，确定所述用户设备与所述目标实体是否具有第一通信权限；
    认证模块，被配置为在所述用户设备与所述目标实体具有第一通信权限的情况下，通过所述第一代理实体进行身份认证。
  62. 一种认证装置，其特征在于，应用于第一代理实体，所述装置包括：
    第一代理接收模块，被配置为接收用户设备发送的应用会话建立请求消息；所述应用会话建立请求消息包括第一权限请求参数，所述应用会话建立请求消息用于指示所述第一代理实体根据第一权限请求参数确定所述用户设备与目标实体是否具有第一通信权限，所述目标实体为所述用户设备从一个或多个第一实体中确定的请求通信的实体，所述第一实体包括3GPP运营商域外的非可信的提供应用功能的实体，所述第一代理实体包括3GPP运营商域外的非可信的提供认证功能的实体，所述第一代理实体为所述第一实体提供认证代理功能；
    第一代理确定模块，被配置为根据所述第一权限请求参数确定所述用户设备与所述目标实体是否具有第一通信权限；
    第一代理发送模块，被配置为在所述用户设备与所述目标实体具有第一通信权限的情况下，向用户设备发送应用会话建立响应消息，以及，对所述用户设备进行身份认证。
  63. 一种认证装置，其特征在于，应用于第二实体，所述装置包括：
    第二接收模块，被配置为接收第一代理实体发送的第一密钥请求消息；所述第一密钥请求消息包括第二权限请求参数，所述第二权限请求参数为所述第一代理实体根据所述用户设备发送的第一权限请求参数确定的参数，所述第一权限请求参数用于指示所述第一代理实体根据第一权限请求参数确定所述用户设备与目标实体是否具有第一通信权限，所述目标实体为所述用户设备从一个或多个第一实体中确定的请求通信的实体，所述第一实体包括3GPP运营商域外的非可信的提供应用功能的实体，所述第一代理实体包括3GPP运营商域外的非可信的提供认证功能的实体，所述第一代理实体为所述第一实体提供认证代理功能；
    第二密钥获取模块，被配置为根据所述第二权限请求参数获取第一待定密钥信息；
    第二发送模块，被配置为根据所述第一待定密钥信息向所述第一代理实体发送的第一密钥响应消息。
  64. 一种认证装置，其特征在于，应用于第三实体，所述装置包括：
    第三接收模块，被配置为接收第二实体发送的第三密钥请求消息；所述第三密钥请求消息包括第三权限请求参数，所述第三权限请求参数为所述第二实体根据第二权限请求参数确定的参数，所述第二权限请求参数为第一代理实体根据所述用户设备发送的第一权限请求参数确定的参数，所述第一权限请求参数用于指示所述第一代理实体根据第一权限请求参数确定所述用户设备与目标实体是否具有第一通信权限，所述目标实体为所述用户设备从一个或多个第一实体中确定的请求通信的实体，所述第一实体包括3GPP运营商域外的非可信的提供应用功能的实体，所述第一代理实体包括3GPP运营商域外的非可信的提供认证功能的实体，所述第一代理实体为所述第一实体提供认证代理功能；
    第三确定模块，被配置为根据所述第三权限请求参数，确定所述用户设备与所述目标实体是否具有第一通信权限；
    第三密钥模块，被配置为在所述用户设备与所述目标实体具有第一通信权限的情况下，获取第三待定密钥信息；
    第三发送模块，被配置为根据所述第三待定密钥信息，向所述第二实体发送第三密钥响应消息，所述第三密钥响应消息包括所述第三待定密钥信息。
  65. 一种认证装置，其特征在于，应用于第一实体，所述装置包括：
    第一通信模块，被配置为响应于接收到第一代理实体发送的认证结果通知消息，与用户设备进行通信；所述认证结果通知消息用于指示所述目标实体与所述用户设备具有通信权限，所述第一实体包括3GPP运营商域外的非可信的提供应用功能的实体，所述第一代理实体包括3GPP运营商域外的非可信的提供认证功能的实体，所述第一代理实体为所述第一实体提供认证代理功能。
  66. 一种认证装置，其特征在于，所述装置包括：
    处理器；
    用于存储处理器可执行指令的存储器；
    其中，所述处理器被配置为执行权利要求1至8中任一项所述方法的步骤，或者，所述处理器被配置为执行权利要求9至29中任一项所述方法的步骤，或者，所述处理器被配置为执行权利要求30至43中任一项所述方法的步骤，或者，所述处理器被配置为执行权利要求44至56中任一项所述方法的步骤，或者，所述处理器被配置为执行权利要求57至60中任一项所述方法的步骤。
  67. 一种计算机可读存储介质，其上存储有计算机程序指令，其特征在于，所述计算机程序指令被处理器执行时实现权利要求1至8中任一项所述方法的步骤，或者，所述计算机程序指令被处理器执行时实现权利要求9至29中任一项所述方法的步骤，或者，所述计算机程序指令被处理器执行时实现权利要求30至43中任一项所述方法的步骤，或者，所述计算机程序指令被处理器执行时实现权利要求44至56中任一项所述方法的步骤，或者，所述计算机程序指令被处理器执行时实现权利要求57至60中任一项所述方法的步骤。
  68. 一种芯片，其特征在于，包括处理器和接口；所述处理器用于读取指令以执行权利要求1至8中任一项所述方法的步骤，或者，所述处理器用于读取指令以执行权利要求9至29中任一项所述方法的步骤，或者，所述处理器用于读取指令以执行权利要求30至43中任一项所述方法的步骤，或者，所述处理器用于读取指令以执行权利要求44至56中任一项所述方法的步骤，或者，所述处理器用于读取指令以执行权利要求57至60中任一项所述方法的步骤。
PCT/CN2022/091815 2022-05-09 2022-05-09 认证方法、装置、介质和芯片 WO2023216083A1 (zh)

Priority Applications (2)

Application Number Priority Date Filing Date Title
PCT/CN2022/091815 WO2023216083A1 (zh) 2022-05-09 2022-05-09 认证方法、装置、介质和芯片
CN202280001673.1A CN117378231A (zh) 2022-05-09 2022-05-09 认证方法、装置、介质和芯片

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/CN2022/091815 WO2023216083A1 (zh) 2022-05-09 2022-05-09 认证方法、装置、介质和芯片

Publications (1)

Publication Number Publication Date
WO2023216083A1 true WO2023216083A1 (zh) 2023-11-16

Family

ID=88729474

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2022/091815 WO2023216083A1 (zh) 2022-05-09 2022-05-09 认证方法、装置、介质和芯片

Country Status (2)

Country Link
CN (1) CN117378231A (zh)
WO (1) WO2023216083A1 (zh)

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20200153830A1 (en) * 2017-07-20 2020-05-14 Huawei International Pte. Ltd. Network authentication method, related device, and system
US20210099870A1 (en) * 2019-09-30 2021-04-01 Samsung Electronics Co., Ltd. Method and apparatus for performing authorization for unmanned aerial system service in wireless communication system
WO2021165111A1 (en) * 2020-02-20 2021-08-26 Telefonaktiebolaget Lm Ericsson (Publ) Key change notification for authentication and key management for applications
CN113784343A (zh) * 2020-05-22 2021-12-10 华为技术有限公司 保护通信的方法和装置

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20200153830A1 (en) * 2017-07-20 2020-05-14 Huawei International Pte. Ltd. Network authentication method, related device, and system
US20210099870A1 (en) * 2019-09-30 2021-04-01 Samsung Electronics Co., Ltd. Method and apparatus for performing authorization for unmanned aerial system service in wireless communication system
WO2021165111A1 (en) * 2020-02-20 2021-08-26 Telefonaktiebolaget Lm Ericsson (Publ) Key change notification for authentication and key management for applications
CN113784343A (zh) * 2020-05-22 2021-12-10 华为技术有限公司 保护通信的方法和装置

Non-Patent Citations (2)

* Cited by examiner, † Cited by third party
Title
"3rd Generation Partnership Project; Technical Specification Group Services and System Aspects; Authentication and Key Management for Applications (AKMA) based on 3GPP credentials in the 5G System (5GS) (Release 17)", 3GPP STANDARD; TECHNICAL SPECIFICATION; 3GPP TS 33.535, 3RD GENERATION PARTNERSHIP PROJECT (3GPP), MOBILE COMPETENCE CENTRE ; 650, ROUTE DES LUCIOLES ; F-06921 SOPHIA-ANTIPOLIS CEDEX ; FRANCE, no. V17.5.0, 24 March 2022 (2022-03-24), Mobile Competence Centre ; 650, route des Lucioles ; F-06921 Sophia-Antipolis Cedex ; France, pages 1 - 25, XP052144806 *
ERICSSON: "pCR to TS 33.535: Update of the AKMA procedures", 3GPP DRAFT; S3-200741, 3RD GENERATION PARTNERSHIP PROJECT (3GPP), MOBILE COMPETENCE CENTRE ; 650, ROUTE DES LUCIOLES ; F-06921 SOPHIA-ANTIPOLIS CEDEX ; FRANCE, vol. SA WG3, no. e-meeting; 20200414 - 20200417, 3 April 2020 (2020-04-03), Mobile Competence Centre ; 650, route des Lucioles ; F-06921 Sophia-Antipolis Cedex ; France , XP051868649 *

Also Published As

Publication number Publication date
CN117378231A (zh) 2024-01-09

Similar Documents

Publication Publication Date Title
JP6377669B2 (ja) コンテキスト制限された共有秘密
US10638321B2 (en) Wireless network connection method and apparatus, and storage medium
US20200007335A1 (en) Network Function Service Invocation Method, Apparatus, and System
WO2022057736A1 (zh) 授权方法及装置
US9258278B2 (en) Unidirectional deep packet inspection
CN112512045B (zh) 一种通信系统、方法及装置
WO2020020007A1 (zh) 网络接入方法、装置、终端、基站和可读存储介质
US20190173880A1 (en) Secure node management using selective authorization attestation
CN113556227A (zh) 网络连接管理方法、装置、计算机可读介质及电子设备
WO2021083026A1 (zh) 信息处理方法、装置、设备及计算机可读存储介质
US20230035970A1 (en) Method for Protecting Terminal Parameter Update and Communication Apparatus
CN113543121A (zh) 一种终端参数更新的保护方法和通信装置
WO2017210914A1 (zh) 传输信息的方法和装置
CN116633562A (zh) 一种基于WireGuard的网络零信任安全交互方法及系统
KR20100060130A (ko) 개인정보 보호 관리 시스템 및 그 방법
WO2023216083A1 (zh) 认证方法、装置、介质和芯片
CN114697945B (zh) 发现响应消息的生成方法及装置、发现消息的处理方法
WO2023216084A1 (zh) 认证方法、装置、介质和芯片
CN115715004A (zh) 一种针对大规模异构网络的隐私保护跨域认证方法
WO2021082558A1 (zh) 网络切片的访问控制方法、装置及存储介质
KR20220121045A (ko) 에지 컴퓨팅 시스템 그리고 이의 네트워크 접근 제어 방법
WO2021079023A1 (en) Inter-mobile network communication security
CN114978741B (zh) 一种系统间认证方法及系统
WO2023216082A1 (zh) 订阅处理方法、装置、介质和芯片
RU2282311C2 (ru) Использование пары открытых ключей в оконечном устройстве для аутентификации и авторизации пользователя телекоммуникационной сети по отношению к сетевому провайдеру и деловым партнерам

Legal Events

Date Code Title Description
WWE Wipo information: entry into national phase

Ref document number: 202280001673.1

Country of ref document: CN

121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 22941050

Country of ref document: EP

Kind code of ref document: A1