WO2024021142A1 - 应用程序接口api认证方法、装置、通信设备及存储介质 - Google Patents

应用程序接口api认证方法、装置、通信设备及存储介质 Download PDF

Info

Publication number
WO2024021142A1
WO2024021142A1 PCT/CN2022/109273 CN2022109273W WO2024021142A1 WO 2024021142 A1 WO2024021142 A1 WO 2024021142A1 CN 2022109273 W CN2022109273 W CN 2022109273W WO 2024021142 A1 WO2024021142 A1 WO 2024021142A1
Authority
WO
WIPO (PCT)
Prior art keywords
function
capif
authentication
terminal
api caller
Prior art date
Application number
PCT/CN2022/109273
Other languages
English (en)
French (fr)
Inventor
梁浩然
陆伟
Original Assignee
北京小米移动软件有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 北京小米移动软件有限公司 filed Critical 北京小米移动软件有限公司
Priority to PCT/CN2022/109273 priority Critical patent/WO2024021142A1/zh
Priority to CN202280002864.XA priority patent/CN117795915A/zh
Publication of WO2024021142A1 publication Critical patent/WO2024021142A1/zh

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L27/00—Modulated-carrier systems

Definitions

  • the present disclosure relates to an application program interface API authentication method, and in particular to an application program interface API authentication method, device, communication equipment and storage medium.
  • embodiments of the present disclosure provide an application program interface API authentication method, device, communication device and storage medium.
  • an application program interface API caller authentication method includes:
  • the authentication request information is used to trigger the identity authentication of the API caller by the CAPIF function.
  • an application program interface API caller authentication method is provided, wherein the method is executed by a CAPIF function, and the method includes:
  • the authentication request information is used to trigger the identity authentication of the API caller by the CAPIF function.
  • an application program interface API caller authentication method is provided, wherein the method is executed by BSF, and the method includes:
  • the second request information includes at least one of the following:
  • the network application function identification NAF-ID that receives the CAPIF function includes the FQDN of the CAPIF function and/or the Ua interface security protocol identifier between the CAPIF function and the terminal.
  • an application program interface API caller authentication method is provided, wherein the method is executed by the network side, and the method includes:
  • the authentication request information is used to trigger the identity authentication of the API caller by the CAPIF function.
  • an application program interface API caller authentication device wherein the device includes:
  • a sending module configured to send authentication request information to the common application programming interface API framework CAPIF function
  • the authentication request information is used to trigger the identity authentication of the API caller by the CAPIF function.
  • an application program interface API caller authentication device wherein the device includes:
  • the receiving module is configured to receive the authentication request information sent by the terminal;
  • the authentication request information is used to trigger the identity authentication of the API caller by the CAPIF function.
  • an application program interface API caller authentication device wherein the device includes:
  • a receiving module configured to receive the second request information sent by the CAPIF function
  • the second request information includes at least one of the following:
  • the network application function identification NAF-ID that receives the CAPIF function includes the FQDN of the CAPIF function and/or the Ua interface security protocol identifier between the CAPIF function and the terminal.
  • an application program interface API caller authentication device wherein the device includes:
  • the receiving module is configured to receive the authentication request information sent by the terminal;
  • the authentication request information is used to trigger the identity authentication of the API caller by the CAPIF function.
  • a communication device includes:
  • memory for storing instructions executable by the processor
  • the processor is configured to implement the method described in any embodiment of the present disclosure when running the executable instructions.
  • a computer storage medium stores a computer executable program.
  • the executable program is executed by a processor, the method described in any embodiment of the present disclosure is implemented.
  • the technical solution of the embodiment of the present disclosure is to send authentication request information to the common application interface API framework CAPIF function; wherein the authentication request information is used to trigger the identity authentication of the API caller by the CAPIF function. Since the API caller sends authentication request information to the CAPIF function that can trigger the CAPIF function to authenticate the API caller, the CAPIF function can authenticate the API caller. Compared with The method that cannot authenticate the identity of the API caller can improve communication security in SNA scenarios.
  • Figure 1 is a schematic structural diagram of a wireless communication system according to an exemplary embodiment
  • Figure 2 is a schematic flow chart of an application program interface API caller authentication method according to an exemplary embodiment
  • Figure 3 is a schematic flow chart of an application program interface API caller authentication method according to an exemplary embodiment
  • Figure 4 is a schematic flowchart of an application program interface API caller authentication method according to an exemplary embodiment
  • Figure 5 is a schematic flowchart of an application program interface API caller authentication method according to an exemplary embodiment
  • Figure 6 is a schematic flowchart of an application program interface API caller authentication method according to an exemplary embodiment
  • Figure 7 is a schematic flow chart of an application program interface API caller authentication method according to an exemplary embodiment
  • Figure 8 is a schematic flowchart of an application program interface API caller authentication method according to an exemplary embodiment
  • Figure 9 is a schematic flowchart of an application program interface API caller authentication method according to an exemplary embodiment
  • Figure 10 is a schematic flowchart of an application program interface API caller authentication method according to an exemplary embodiment
  • Figure 11 is a schematic flowchart of an application program interface API caller authentication method according to an exemplary embodiment
  • Figure 12 is a schematic flowchart of an application program interface API caller authentication method according to an exemplary embodiment
  • Figure 13 is a schematic flowchart of an application program interface API caller authentication method according to an exemplary embodiment
  • Figure 14 is a schematic flowchart of an application program interface API caller authentication method according to an exemplary embodiment
  • Figure 15 is a schematic flow chart of an application program interface API caller authentication method according to an exemplary embodiment
  • Figure 16 is a schematic flowchart of an application program interface API caller authentication method according to an exemplary embodiment
  • Figure 17 is a schematic flowchart of an application program interface API caller authentication method according to an exemplary embodiment
  • Figure 18 is a schematic flowchart of an application program interface API caller authentication method according to an exemplary embodiment
  • Figure 19 is a schematic flowchart of an application program interface API caller authentication method according to an exemplary embodiment
  • Figure 20 is a schematic flowchart of an application program interface API caller authentication method according to an exemplary embodiment
  • Figure 21 is a schematic flow chart of an application program interface API caller authentication method according to an exemplary embodiment
  • Figure 22 is a schematic diagram of an application program interface API caller authentication device according to an exemplary embodiment
  • Figure 23 is a schematic diagram of an application program interface API caller authentication device according to an exemplary embodiment
  • Figure 24 is a schematic diagram of an application program interface API caller authentication device according to an exemplary embodiment
  • Figure 25 is a schematic structural diagram of a terminal according to an exemplary embodiment.
  • first, second, third, etc. may be used to describe various information in the embodiments of the present disclosure, the information should not be limited to these terms. These terms are only used to distinguish information of the same type from each other.
  • first information may also be called second information, and similarly, the second information may also be called first information.
  • word “if” as used herein may be interpreted as "when” or "when” or "in response to determining.”
  • FIG. 1 shows a schematic structural diagram of a wireless communication system provided by an embodiment of the present disclosure.
  • the wireless communication system is a communication system based on cellular mobile communication technology.
  • the wireless communication system may include several terminals 11 and several base stations 12 .
  • the terminal 11 may be a device that provides voice and/or data connectivity to the user.
  • Terminal 11 can communicate with one or more core networks via a Radio Access Network (RAN).
  • RAN Radio Access Network
  • Terminal 11 can be an Internet of Things terminal, such as a sensor device, a mobile phone (or "cellular" phone) and a device with The computer of the Internet of Things terminal, for example, can be a fixed, portable, pocket-sized, handheld, computer-built-in or vehicle-mounted device.
  • station STA
  • subscriber unit subscriber unit
  • subscriber station subscriber station
  • mobile station mobile station
  • remote station remote station
  • access terminal remote terminal
  • user terminal user agent, user device, or user equipment (UE).
  • UE user equipment
  • the terminal 11 may be a device of an unmanned aerial vehicle.
  • the terminal 11 may also be a vehicle-mounted device, for example, it may be an on-board computer with a wireless communication function, or a wireless communication device connected to an external on-board computer.
  • the terminal 11 may also be a roadside device, for example, it may be a streetlight, a signal light or other roadside device with wireless communication function.
  • the base station 12 may be a network-side device in a wireless communication system.
  • the wireless communication system can be the 4th generation mobile communication technology (the 4th generation mobile communication, 4G) system, also known as the Long Term Evolution (LTE) system; or the wireless communication system can also be a 5G system, Also called new radio (NR) system or 5G NR system.
  • the wireless communication system may be any generation system.
  • the access network in the 5G system can be called the New Generation-Radio Access Network (NG-RAN). Or, MTC system.
  • NG-RAN New Generation-Radio Access Network
  • the base station 12 may be an evolved base station (eNB) used in the 4G system.
  • the base station 12 may also be a base station (gNB) that adopts a centralized distributed architecture in the 5G system.
  • eNB evolved base station
  • gNB base station
  • the base station 12 adopts a centralized distributed architecture it usually includes a centralized unit (Central Unit, CU) and at least two distributed units (Distributed Unit, DU).
  • the centralized unit is equipped with a protocol stack including the Packet Data Convergence Protocol (PDCP) layer, the Radio Link Control protocol (Radio Link Control, RLC) layer, and the Media Access Control (Media Access Control, MAC) layer; distributed
  • PDCP Packet Data Convergence Protocol
  • RLC Radio Link Control
  • MAC Media Access Control
  • the unit is provided with a physical (Physical, PHY) layer protocol stack, and the embodiment of the present disclosure does not limit the specific implementation of the base station 12.
  • a wireless connection can be established between the base station 12 and the terminal 11 through a wireless air interface.
  • the wireless air interface is a wireless air interface based on the fourth generation mobile communication network technology (4G) standard; or the wireless air interface is a wireless air interface based on the fifth generation mobile communication network technology (5G) standard, such as
  • the wireless air interface is a new air interface; alternatively, the wireless air interface may also be a wireless air interface based on the next generation mobile communication network technology standard of 5G.
  • end-to-end (End to End, E2E) connections can also be established between terminals 11.
  • V2V vehicle to vehicle
  • vehicle-to-vehicle vehicle-to-vehicle
  • vehicle-to-roadside equipment vehicle to Infrastructure, V2I
  • vehicle-to-person vehicle to Pedestrian, V2P
  • V2X vehicle networking communication
  • the above-mentioned wireless communication system may also include a network management device 13.
  • the execution subjects involved in the embodiments of this disclosure include but are not limited to: terminals (UE, User Equipment) in the cellular mobile communication system, and base stations of cellular mobile communication, etc.
  • this embodiment provides an application program interface API caller authentication method, wherein the method includes:
  • Step 21 Send authentication request information to the Common Application Programming Interface API Framework (CAPIF, Common API Framework) function;
  • CAPIF Common Application Programming Interface API Framework
  • the authentication request information is used to trigger the identity authentication of the API caller by the CAPIF function.
  • the API caller is a terminal.
  • Embodiments of the present disclosure may be executed by a terminal.
  • the terminals involved in this disclosure may be, but are not limited to, mobile phones, wearable devices, vehicle-mounted terminals, roadside units (RSU, Road Side Unit), smart home terminals, industrial sensing equipment and/or medical equipment, etc.
  • the terminal may be a Redcap terminal or a predetermined version of a new air interface NR terminal (for example, an R17 NR terminal).
  • this embodiment is not limited to being executed by the terminal. In specific scenarios, it can also be executed by the base station or other network communication nodes in the core network, which is not limited here. For example, in the scenario where the base station is the receiving end and/or the transmitting end in the multi-modal service, this embodiment can also be executed by the base station; in the scenario where the core network device is the receiving end and/or the transmitting end in the multi-modal service , this embodiment can also be executed by the core network device. It should be noted that the illustration of using the terminal as the execution subject in this disclosure does not limit the technical solution of this disclosure.
  • the CAPIF function accessed by the API caller includes at least one of the following:
  • the first type of functions includes: CAPIF core functions;
  • the second type of functions are functions in the CAPIF system other than the core functions of CAPIF.
  • the second type of function may be API Exposure Function (AEF, API Exposure Function) and/or Authorization Function (AF, Authorization Function), but is not limited to the above functions. It should be noted that the functions in this disclosure may be network functions in the core network.
  • AEF API Exposure Function
  • AF Authorization Function
  • the authentication request information indicates the certificate used for certificate authentication; or in response to performing identity authentication on the API based on the General Boot Architecture GBA authentication method.
  • the caller performs identity authentication, and the authentication request information indicates the session transaction identifier B-TID.
  • authentication request information is sent to the general application interface API framework CAPIF function; wherein the authentication request information is used to trigger the identity authentication of the API caller by the CAPIF function; in response to a response based on the General Bootstrap Architecture (GBA) , Generic Bootstrapping Architecture) authentication method is used to authenticate the identity of the API caller, and the authentication request information includes information for authenticating the API caller based on the GBA authentication method, for example, the session transaction identifier B-TID.
  • GBA General Bootstrap Architecture
  • B-TID Generic Bootstrapping Architecture
  • authentication request information is sent to the common application program interface API framework CAPIF function; wherein the authentication request information is used to trigger the identity authentication of the API caller by the CAPIF function.
  • the authentication request information includes the certificate for identity authentication.
  • the certificate may be generated by the first type function.
  • authentication request information is sent to the common application program interface API framework CAPIF function; wherein the authentication request information is used to trigger the identity authentication of the API caller by the CAPIF function.
  • An authentication method for authenticating the API caller is determined according to the CAPIF function accessed by the API caller.
  • authentication request information is sent to the common application program interface API framework CAPIF function; wherein the authentication request information is used to trigger the identity authentication of the API caller by the CAPIF function.
  • the authentication method used to authenticate the API caller is a universal boot architecture GBA authentication method or a certificate authentication method.
  • authentication request information is sent to the common application program interface API framework CAPIF function; wherein the authentication request information is used to trigger the identity authentication of the API caller by the CAPIF function.
  • the authentication method used to authenticate the API caller is a certificate authentication method.
  • authentication request information is sent to the common application program interface API framework CAPIF function; wherein the authentication request information is used to trigger the identity authentication of the API caller by the CAPIF function.
  • the authentication method used to authenticate the API caller is a universal boot architecture GBA authentication method or a certificate authentication method.
  • receiving a certificate for certificate authentication sent by the first type function wherein the certificate is used between the terminal and the second type function. Authentication between type functions.
  • authentication request information is sent to the common application program interface API framework CAPIF function; wherein the authentication request information is used to trigger the identity authentication of the API caller by the CAPIF function.
  • the authentication method used to authenticate the API caller is a universal boot architecture GBA authentication method or a certificate authentication method.
  • terminal identity authentication is performed based on the general boot architecture GBA or certificate-based terminal identity authentication is performed based on the certificate sent by the first type function.
  • the authentication request information in response to performing certificate-based terminal identity authentication based on the certificate sent by the first type function, is sent to the CAPIF function; wherein the authentication request information includes the first Type the certificate sent by the function. Authentication between the API caller and the CAPIF function is performed based on the certificate.
  • the authentication request information is sent to the CAPIF function; wherein the authentication request information is used to trigger the
  • the CAPIF function authenticates the identity of API callers. Perform identity authentication between the API caller and the CAPIF function based on the GBA authentication method.
  • the authentication request information includes at least one of the following:
  • Registration credentials provided by the API provider domain including an access token
  • Session transaction identifier B-TID B-TID
  • the authentication request information in response to performing certificate-based terminal identity authentication based on the certificate sent by the first type function, is sent to the CAPIF function; wherein the authentication request information includes the first Type the certificate sent by the function.
  • API caller certificate which contains the API caller ID assigned by the CAPIF function, the API caller public key and/or the API caller identity;
  • API caller signing key for example, registration key (Onboard_Secret).
  • API caller identity includes at least one of the following:
  • GPSI public subscription identifier
  • IP multimedia subsystem IMS user private identity IMPI IP multimedia subsystem IMS user private identity
  • the application layer identification ID of the terminal is the application layer identification ID of the terminal.
  • the authentication request information in response to the establishment of a transport layer security session TLS between the terminal and the CAPIF function, is sent to the CAPIF function through the TLS, wherein the authentication request information is To trigger the CAPIF function to authenticate the API caller.
  • the registration information is obtained from the API provider domain or the preconfiguration information of the API caller.
  • the TLS is established based on registration information; wherein the registration information includes at least one of the following: the address of the CAPIF function; the fully qualified domain name FQDN of the CAPIF function; the root certificate authorizing CA certificate of the CAPIF function; and the API provider domain provided Registration credentials, including the access token.
  • the authentication request information is used to trigger the CAPIF function Authentication for API callers.
  • communication between the terminal and the network function is initiated based on a reference point Ua interface.
  • communication between the terminal and the network function is initiated based on the reference point Ua interface protected by a key Ks_NAF; wherein the key Ks_NAF is between the terminal and the network function. shared key between.
  • the key Ks_NAF in response to the key Ks of the universal integrated circuit card UICC application selected by the terminal being available, is determined based on the key Ks. Communication between the terminal and the network function is initiated based on the reference point Ua interface protected by a key Ks_NAF; wherein the key Ks_NAF is a shared key between the terminal and the network function.
  • the key Ks in response to the key Ks of the UICC application selected by the terminal being unavailable, the key Ks is determined based on the reference point Ub interface and the boot server function BSF, and the key Ks_NAF is determined based on the key Ks.
  • Communication between the terminal and the network function is initiated based on the reference point Ua interface protected by a key Ks_NAF; wherein the key Ks_NAF is a shared key between the terminal and the network function.
  • the newly generated key Ks is determined based on the reference point Ub interface and the BSF, based on the The newly generated key Ks determines the key Ks_NAF.
  • Communication between the terminal and the network function is initiated based on the reference point Ua interface protected by a key Ks_NAF; wherein the key Ks_NAF is a shared key between the terminal and the network function.
  • communication between the terminal and the network function is initiated based on the reference point Ua interface protected by a key Ks_NAF; wherein the key Ks_NAF is between the terminal and the network function. shared key between.
  • the technical solution of the embodiment of the present disclosure is to send authentication request information to the common application interface API framework CAPIF function; wherein the authentication request information is used to trigger the identity authentication of the API caller by the CAPIF function. Since the API caller sends authentication request information to the CAPIF function that can trigger the CAPIF function to authenticate the API caller, the CAPIF function can authenticate the API caller. Compared with The method that cannot authenticate the identity of the API caller can improve communication security in SNA scenarios.
  • this embodiment provides an application program interface API caller authentication method, wherein the method includes:
  • Step 31 Determine the authentication method for authenticating the API caller based on the CAPIF function accessed by the API caller.
  • authentication request information is sent to the common application program interface API framework CAPIF function; wherein the authentication request information is used to trigger the identity authentication of the API caller by the CAPIF function.
  • the authentication method used to authenticate the API caller is a universal boot architecture GBA authentication method.
  • authentication request information is sent to the common application program interface API framework CAPIF function; wherein the authentication request information is used to trigger the identity authentication of the API caller by the CAPIF function.
  • the authentication method used to authenticate the API caller is a certificate authentication method.
  • authentication request information is sent to the common application program interface API framework CAPIF function; wherein the authentication request information is used to trigger the identity authentication of the API caller by the CAPIF function.
  • the authentication method used to authenticate the API caller is a certificate authentication method or a general boot architecture GBA authentication method.
  • this embodiment provides an application program interface API caller authentication method, wherein the method includes:
  • Step 41 In response to the fact that the CAPIF function accessed by the terminal is the first type function, receive the certificate sent by the first type function for certificate authentication; wherein the certificate is used between the terminal and the first type function. Authentication between functions of the second type described above.
  • authentication request information is sent to the common application program interface API framework CAPIF function; wherein the authentication request information is used to trigger the identity authentication of the API caller by the CAPIF function.
  • the authentication method used to authenticate the API caller is a universal boot architecture GBA authentication method or a certificate authentication method.
  • receiving a certificate for certificate authentication sent by the first type function wherein the certificate is used between the terminal and the second type function. Authentication between type functions.
  • this embodiment provides an application program interface API caller authentication method, wherein the method includes:
  • Step 51 In response to the CAPIF function accessed by the terminal being the second type function, perform terminal identity authentication based on the general boot architecture GBA or perform certificate-based terminal identity authentication based on the certificate sent by the first type function.
  • authentication request information is sent to the common application program interface API framework CAPIF function; wherein the authentication request information is used to trigger the identity authentication of the API caller by the CAPIF function.
  • the authentication method used to authenticate the API caller is a universal boot architecture GBA authentication method or a certificate authentication method.
  • terminal identity authentication is performed based on the general boot architecture GBA or certificate-based terminal identity authentication is performed based on the certificate sent by the first type function.
  • this embodiment provides an application program interface API caller authentication method, wherein the method includes:
  • Step 61 Perform certificate-based terminal identity authentication in response to the certificate sent based on the first type function, and send the authentication request information to the CAPIF function;
  • the authentication request information includes the certificate sent by the first type function.
  • the authentication request information in response to performing certificate-based terminal identity authentication based on the certificate sent by the first type function, is sent to the CAPIF function; wherein the authentication request information includes the first Type the certificate sent by the function. Authentication between the API caller and the CAPIF function is performed based on the certificate.
  • this embodiment provides an application program interface API caller authentication method, wherein the method includes:
  • Step 71 Perform identity authentication between the API caller and the CAPIF function based on the GBA authentication method.
  • the authentication request information in response to performing terminal identity authentication based on the GBA authentication method, is sent to the CAPIF function; wherein the authentication request information is used to trigger the CAPIF function to authenticate the API caller's identity. . Perform identity authentication between the API caller and the CAPIF function based on the GBA authentication method.
  • this embodiment provides an application program interface API caller authentication method, wherein the method includes:
  • Step 81 Receive the authentication response information sent by the CAPIF function
  • the first response information includes at least one of the following:
  • API caller certificate contains the API caller ID assigned by the CAPIF function, the API caller public key and/or the API caller identity;
  • API caller signing key
  • API caller identity includes at least one of the following:
  • GPSI public subscription identifier
  • IP multimedia subsystem IMS user private identity IMPI IP multimedia subsystem IMS user private identity
  • the application layer identification ID of the terminal is the application layer identification ID of the terminal.
  • the authentication request information in response to performing certificate-based terminal identity authentication based on the certificate sent by the first type function, is sent to the CAPIF function; wherein the authentication request information includes the first Type the certificate sent by the function.
  • API caller certificate which contains the API caller ID assigned by the CAPIF function, the API caller public key and/or the API caller identity;
  • API caller signing key for example, registration key (Onboard_Secret).
  • this embodiment provides an application program interface API caller authentication method, wherein the method includes:
  • Step 91 Establish the TLS based on the registration information
  • the registration information includes at least one of the following:
  • Root certificate authorizing CA certificate for CAPIF function
  • Registration credentials provided by the API provider domain including an access token.
  • the authentication request information in response to the establishment of a transport layer security session TLS between the terminal and the CAPIF function, is sent to the CAPIF function through the TLS, wherein the authentication request information is To trigger the CAPIF function to authenticate the API caller.
  • the registration information is obtained from the API provider domain or the preconfigured information of the API caller.
  • the TLS is established based on registration information; wherein the registration information includes at least one of the following: the address of the CAPIF function; the fully qualified domain name FQDN of the CAPIF function; the root certificate authorizing CA certificate of the CAPIF function; and the API provider domain provided Registration credentials, including the access token.
  • the authentication request information is used to trigger the CAPIF function Authentication for API callers.
  • this embodiment provides an application program interface API caller authentication method, wherein the method includes:
  • Step 101 Start communication between the terminal and the network function based on the reference point Ua interface.
  • communication between the terminal and the network function is initiated based on a reference point Ua interface.
  • communication between the terminal and the network function is initiated based on the reference point Ua interface protected by a key Ks_NAF; wherein the key Ks_NAF is between the terminal and the network function. shared key between them.
  • the key Ks_NAF in response to the key Ks of the universal integrated circuit card UICC application selected by the terminal being available, is determined based on the key Ks. Communication between the terminal and the network function is initiated based on the reference point Ua interface protected by a key Ks_NAF; wherein the key Ks_NAF is a shared key between the terminal and the network function.
  • the key Ks in response to the key Ks of the UICC application selected by the terminal being unavailable, the key Ks is determined based on the reference point Ub interface and the boot server function BSF, and the key Ks_NAF is determined based on the key Ks.
  • Communication between the terminal and the network function is initiated based on the reference point Ua interface protected by a key Ks_NAF; wherein the key Ks_NAF is a shared key between the terminal and the network function.
  • the newly generated key Ks is determined based on the reference point Ub interface and the BSF, based on the The newly generated key Ks determines the key Ks_NAF.
  • Communication between the terminal and the network function is initiated based on the reference point Ua interface protected by a key Ks_NAF; wherein the key Ks_NAF is a shared key between the terminal and the network function.
  • communication between the terminal and the network function is initiated based on the reference point Ua interface protected by a key Ks_NAF; wherein the key Ks_NAF is between the terminal and the network function. shared key between them.
  • this embodiment provides an application program interface API caller authentication method, wherein the method is executed by the CAPIF function, and the method includes:
  • Step 111 Receive the authentication request information sent by the terminal.
  • the authentication request information is used to trigger the identity authentication of the API caller by the CAPIF function.
  • the API caller is a terminal.
  • the terminals involved in this disclosure may be, but are not limited to, mobile phones, wearable devices, vehicle-mounted terminals, roadside units (RSU, Road Side Unit), smart home terminals, industrial sensing equipment and/or medical equipment, etc.
  • the terminal may be a Redcap terminal or a predetermined version of a new air interface NR terminal (for example, an R17 NR terminal).
  • this embodiment is not limited to being executed by the terminal. In specific scenarios, it can also be executed by the base station or other network communication nodes in the core network, which is not limited here. For example, in the scenario where the base station is the receiving end and/or the transmitting end in the multi-modal service, this embodiment can also be executed by the base station; in the scenario where the core network device is the receiving end and/or the transmitting end in the multi-modal service , this embodiment can also be executed by the core network device. It should be noted that the illustration of using the terminal as the execution subject in this disclosure does not limit the technical solution of this disclosure.
  • the CAPIF function accessed by the API caller includes at least one of the following:
  • the first type of functions includes: CAPIF core functions;
  • the second type of functions are functions in the CAPIF system other than the core functions of CAPIF.
  • the second type of function may be API Exposure Function (AEF, API Exposure Function) and/or Authorization Function (AF, Authorization Function), but is not limited to the above functions. It should be noted that the functions in this disclosure may be network functions in the core network.
  • AEF API Exposure Function
  • AF Authorization Function
  • the authentication request information indicates the certificate used for certificate authentication; or in response to performing identity authentication on the API based on the General Boot Architecture GBA authentication method.
  • the caller performs identity authentication, and the authentication request information indicates the session transaction identifier B-TID.
  • the authentication request information sent by the terminal is received; wherein the authentication request information is used to trigger the CAPIF function to authenticate the API caller's identity.
  • the authentication request information includes information for identity authentication of the API caller based on the GBA authentication method, for example, session transaction identifier B- TId.
  • the authentication request information sent by the terminal is received; wherein the authentication request information is used to trigger the CAPIF function to authenticate the API caller's identity.
  • the authentication request information includes the certificate for identity authentication.
  • the certificate may be generated by the first type function.
  • the authentication request information sent by the terminal is received; wherein the authentication request information is used to trigger the CAPIF function to authenticate the API caller's identity.
  • the authentication request information includes the certificate for identity authentication.
  • the certificate may be generated by the first type function.
  • the second type function uses the public key of the first type function to verify the certificate; in response to the verification of the certificate passing, the terminal passes the identity authentication .
  • the authentication request information in response to identity authentication of the API caller based on the General Boot Architecture GBA authentication method, includes at least one of the following:
  • Registration credentials provided by the API provider domain including an access token
  • Session transaction identifier B-TID B-TID
  • the authentication request information sent by the terminal is received; wherein the authentication request information is used to trigger the CAPIF function to authenticate the API caller's identity.
  • API caller certificate contains the API caller ID assigned by the CAPIF function, the API caller public key and/or the API caller identity;
  • API caller signing key
  • API caller identity includes at least one of the following:
  • GPSI public subscription identifier
  • IP multimedia subsystem IMS user private identity IMPI IP multimedia subsystem IMS user private identity
  • the application layer identification ID of the terminal is the application layer identification ID of the terminal.
  • the TLS is established based on registration information; wherein the registration information includes at least one of the following: the address of the CAPIF function; the fully qualified domain name FQDN of the CAPIF function; the root certificate authorizing CA certificate of the CAPIF function; and API Registration credentials provided by the provider domain, including the access token.
  • the registration information includes at least one of the following: the address of the CAPIF function; the fully qualified domain name FQDN of the CAPIF function; the root certificate authorizing CA certificate of the CAPIF function; and API Registration credentials provided by the provider domain, including the access token.
  • communication between said terminal and said network function is performed based on a reference point Ua interface.
  • communication between the terminal and the network function is performed based on a reference point Ua interface.
  • Communication between the terminal and the network function is performed based on the reference point Ua interface protected by a key Ks_NAF; wherein the key Ks_NAF is a shared key between the terminal and the network function.
  • communication between the terminal and the network function is performed based on a reference point Ua interface.
  • Communication between the terminal and the network function is performed based on the reference point Ua interface protected by a key Ks_NAF; wherein the key Ks_NAF is a shared key between the terminal and the network function.
  • first request information is sent to the terminal; wherein the first request information indicates that the key Ks_NAF is invalid or about to become invalid.
  • the authentication request information sent by the terminal is received; wherein the authentication request information is used to trigger the CAPIF function to authenticate the API caller's identity.
  • the authentication request information sent by the terminal is received; wherein the authentication request information is used to trigger the CAPIF function to authenticate the API caller's identity.
  • the terminal is authenticated based on the key Ks_NAF.
  • the authentication request information sent by the terminal is received; wherein the authentication request information is used to trigger the CAPIF function to authenticate the API caller's identity.
  • BSF Bootstrapping Server Function
  • NAF-ID Network application function identification
  • the second response information includes at least one of the following: the key Ks_NAF corresponding to the CAPIF function; user security setting USS information; boot time; and the life cycle of the key .
  • the API caller identity information is verified based on Ks_NAF.
  • an API caller configuration file is generated; wherein the API caller configuration file contains the selected method of AEF authentication and authorization between the API caller and the API open function AEF.
  • an API caller configuration file is generated; wherein the API caller configuration file contains AEF authentication and authorization between the API caller and the API open function AEF. selection method.
  • an API caller configuration file is generated; wherein the API caller configuration file contains AEF authentication and authorization between the API caller and the API open function AEF. selection method. Generate signing key;
  • the contract key is bound to the AIP caller ID generated by the CAPIF function.
  • this embodiment provides an application program interface API caller authentication method, wherein the method is executed by the CAPIF function, and the method includes:
  • Step 121 In response to the authentication request information including the certificate issued by the first type function, the second type function uses the public key of the first type function to verify the certificate;
  • Step 122 In response to the verification of the certificate passing, the terminal passes identity authentication.
  • the authentication request information sent by the terminal is received; wherein the authentication request information is used to trigger the CAPIF function to authenticate the API caller's identity.
  • the authentication request information includes the certificate for identity authentication.
  • the certificate may be generated by the first type function.
  • the second type function uses the public key of the first type function to verify the certificate; in response to the verification of the certificate passing, the terminal passes the identity authentication .
  • this embodiment provides an application program interface API caller authentication method, wherein the method is executed by the CAPIF function, and the method includes:
  • Step 131 Send response information to the terminal
  • the response information includes at least one of the following:
  • API caller certificate which contains the API caller ID assigned by the CAPIF function, the API caller public key and/or the API caller identity;
  • API caller signing key
  • API caller identity includes at least one of the following:
  • GPSI public subscription identifier
  • IP multimedia subsystem IMS user private identity IMPI IP multimedia subsystem IMS user private identity
  • the application layer identification ID of the terminal is the application layer identification ID of the terminal.
  • the authentication request information sent by the terminal is received; wherein the authentication request information is used to trigger the CAPIF function to authenticate the API caller's identity.
  • API caller certificate which contains the API caller ID assigned by the CAPIF function, the API caller public key and/or the API caller identity;
  • API caller signing key
  • the TLS is established based on registration information; wherein the registration information includes at least one of the following: the address of the CAPIF function; the fully qualified domain name FQDN of the CAPIF function; the root certificate authorizing CA certificate of the CAPIF function; and API Registration credentials provided by the provider domain, including the access token.
  • the registration information includes at least one of the following: the address of the CAPIF function; the fully qualified domain name FQDN of the CAPIF function; the root certificate authorizing CA certificate of the CAPIF function; and API Registration credentials provided by the provider domain, including the access token.
  • the response information includes at least one of the following: API caller certificate, the API caller certificate contains the API caller identification assigned by the CAPIF function, the API caller public key and/or the API call User identity (including but not limited to user permanent identifier GPSI, private user identifier IMPI, user hidden identifier SUCI, etc.); API caller ID assigned by the CAPIF function; AEF authentication and authorization information; API caller signing password key.
  • API caller certificate contains the API caller identification assigned by the CAPIF function, the API caller public key and/or the API call User identity (including but not limited to user permanent identifier GPSI, private user identifier IMPI, user hidden identifier SUCI, etc.); API caller ID assigned by the CAPIF function; AEF authentication and authorization information; API caller signing password key.
  • this embodiment provides an application program interface API caller authentication method, wherein the method is executed by the CAPIF function, and the method includes:
  • Step 141 Perform communication between the terminal and the network function based on the reference point Ua interface.
  • communication between the terminal and the network function is performed based on a reference point Ua interface.
  • the communication between the terminal and the network function is performed based on the reference point Ua interface protected by a key Ks_NAF; wherein the key Ks_NAF is between the terminal and the network function. shared key between them.
  • the communication between the terminal and the network function is performed based on the reference point Ua interface protected by a key Ks_NAF; wherein the key Ks_NAF is between the terminal and the network function. shared key between them.
  • Receive authentication request information sent by the terminal wherein the authentication request information is used to trigger the CAPIF function to authenticate the API caller's identity.
  • first request information is sent to the terminal; wherein the first request information indicates that the key Ks_NAF is invalid or about to become invalid.
  • this embodiment provides an application program interface API caller authentication method, wherein the method is executed by the CAPIF function, and the method includes:
  • Step 151 Send the second request information to the BSF
  • the second request information includes at least one of the following:
  • the network application function identifier NAF-ID of the CAPIF function includes the FQDN of the CAPIF function and/or the Ua interface security protocol identifier between the CAPIF function and the terminal.
  • the authentication request information sent by the terminal is received; wherein the authentication request information is used to trigger the CAPIF function to authenticate the API caller's identity.
  • this embodiment provides an application program interface API caller authentication method, wherein the method is executed by the CAPIF function, and the method includes:
  • Step 161 Receive the second response information sent by the BSF
  • the second response information includes at least one of the following:
  • the authentication request information sent by the terminal is received; wherein the authentication request information is used to trigger the CAPIF function to authenticate the API caller's identity.
  • this embodiment provides an application program interface API caller authentication method, wherein the method is executed by the CAPIF function, and the method includes:
  • Step 171 Authenticate the terminal based on the key Ks_NAF.
  • the terminal signs a message with its own ks_NAF, and the CAPIF function uses the ks_NAF obtained from the BSF to verify the signature. If it passes, the identity authentication is successful.
  • the authentication request information sent by the terminal is received; wherein the authentication request information is used to trigger the CAPIF function to authenticate the API caller's identity.
  • the terminal is authenticated based on the key Ks_NAF.
  • the authentication request information sent by the terminal is received; wherein the authentication request information is used to trigger the CAPIF function to authenticate the API caller's identity.
  • BSF Bootstrapping Server Function
  • NAF-ID Network application function identification
  • the second response information includes at least one of the following: the key Ks_NAF corresponding to the CAPIF function; user security setting USS information; boot time; and the life cycle of the key .
  • the API caller identity information is verified based on Ks_NAF.
  • an API caller configuration file is generated; wherein the API caller configuration file contains the selected method of AEF authentication and authorization between the API caller and the API open function AEF.
  • an API caller configuration file is generated; wherein the API caller configuration file contains AEF authentication and authorization between the API caller and the API open function AEF. selection method.
  • an API caller configuration file is generated; wherein the API caller configuration file contains AEF authentication and authorization between the API caller and the API open function AEF. selection method. Generate signing key;
  • the contract key is bound to the AIP caller ID generated by the CAPIF function.
  • this embodiment provides an application program interface API caller authentication method, wherein the method is executed by BSF, and the method includes:
  • Step 181 Receive the second request information sent by the CAPIF function
  • the second request information includes at least one of the following:
  • the network application function identification NAF-ID that receives the CAPIF function includes the FQDN of the CAPIF function and/or the Ua interface security protocol identifier between the CAPIF function and the terminal.
  • the API caller is a terminal.
  • the terminals involved in this disclosure may be, but are not limited to, mobile phones, wearable devices, vehicle-mounted terminals, roadside units (RSU, Road Side Unit), smart home terminals, industrial sensing equipment and/or medical equipment, etc.
  • the terminal may be a Redcap terminal or a predetermined version of a new air interface NR terminal (for example, an R17 NR terminal).
  • this embodiment is not limited to being executed by the terminal. In specific scenarios, it can also be executed by the base station or other network communication nodes in the core network, which is not limited here. For example, in the scenario where the base station is the receiving end and/or the transmitting end in the multi-modal service, this embodiment can also be executed by the base station; in the scenario where the core network device is the receiving end and/or the transmitting end in the multi-modal service , this embodiment can also be executed by the core network device. It should be noted that the illustration of using the terminal as the execution subject in this disclosure does not limit the technical solution of this disclosure.
  • the CAPIF function accessed by the API caller includes at least one of the following:
  • the first type of functions includes: CAPIF core functions;
  • the second type of functions are functions in the CAPIF system other than the core functions of CAPIF.
  • the second type of function may be API Exposure Function (AEF, API Exposure Function) and/or Authorization Function (AF, Authorization Function), but is not limited to the above functions. It should be noted that the functions in this disclosure may be network functions in the core network.
  • AEF API Exposure Function
  • AF Authorization Function
  • receiving the second request information sent by the CAPIF function includes at least one of the following: B-TID provided by the API caller; receiving the network application function identifier NAF-ID of the CAPIF function , including the FQDN of the CAPIF function and/or the Ua interface security protocol identifier between the CAPIF function and the terminal.
  • the key Ks_NAF is determined based on the key Ks and the key derivation parameters.
  • this embodiment provides an application program interface API caller authentication method, wherein the method is executed by BSF, and the method includes:
  • Step 191 Send the second response information to the CAPIF function
  • the second response information includes at least one of the following:
  • receiving the second request information sent by the CAPIF function includes at least one of the following: B-TID provided by the API caller; receiving the network application function identifier NAF-ID of the CAPIF function , including the FQDN of the CAPIF function and/or the Ua interface security protocol identifier between the CAPIF function and the terminal.
  • the key Ks_NAF is determined based on the key Ks and the key derivation parameters.
  • this embodiment provides an application program interface API caller authentication method, wherein the method is executed by the network side, and the method includes:
  • Step 201 Receive the authentication request information sent by the terminal
  • the authentication request information is used to trigger the identity authentication of the API caller by the CAPIF function.
  • the API caller is a terminal.
  • the terminals involved in this disclosure may be, but are not limited to, mobile phones, wearable devices, vehicle-mounted terminals, roadside units (RSU, Road Side Unit), smart home terminals, industrial sensing equipment and/or medical equipment, etc.
  • the terminal may be a Redcap terminal or a predetermined version of a new air interface NR terminal (for example, an R17 NR terminal).
  • the authentication request information indicates a certificate used for certificate authentication
  • the authentication request information indicates the session transaction identifier B-TID.
  • the method further includes:
  • the response information includes at least one of the following:
  • API caller certificate which contains the API caller ID assigned by the CAPIF function, the API caller public key and/or the API caller identity;
  • API caller signing key
  • the API caller identity includes at least one of the following:
  • GPSI public subscription identifier
  • IP multimedia subsystem IMS user private identity IMPI IP multimedia subsystem IMS user private identity
  • the application layer identification ID of the terminal is the application layer identification ID of the terminal.
  • this embodiment provides an application program interface API caller authentication method.
  • the method includes:
  • Step 211 The terminal obtains registration information from the API provider domain.
  • Step 212 Establish the TLS based on the registration information.
  • Step 213 In response to the establishment of a transport layer security session TLS between the terminal and the CAPIF function, the terminal sends the authentication request information to the CAPIF function through the TLS. It should be noted that step 203 can be performed without establishing TLS, that is, without establishing TLS and directly sending the authentication request information.
  • Step 214 The CAPIF function sends the second request information to the BSF.
  • Step 215 The CAPIF function receives the second response information sent by the BSF.
  • Step 216 The CAPIF function authenticates the terminal based on the key Ks_NAF.
  • Step 217 Terminal authorization procedure.
  • Step 218 The terminal receives the authentication response information sent by the CAPIF function.
  • this embodiment provides an application program interface API caller authentication device, wherein the device includes:
  • the sending module 221 is configured to send authentication request information to the common application programming interface API framework CAPIF function;
  • the authentication request information is used to trigger the identity authentication of the API caller by the CAPIF function.
  • this embodiment provides an application program interface API caller authentication device, wherein the device includes:
  • the receiving module 231 is configured to receive the authentication request information sent by the terminal;
  • the authentication request information is used to trigger the identity authentication of the API caller by the CAPIF function.
  • this embodiment provides an application program interface API caller authentication device, wherein the device includes:
  • the receiving module 241 is configured to receive the second request information sent by the CAPIF function
  • the second request information includes at least one of the following:
  • the network application function identification NAF-ID that receives the CAPIF function includes the FQDN of the CAPIF function and/or the Ua interface security protocol identifier between the CAPIF function and the terminal.
  • An embodiment of the present disclosure provides a communication device.
  • the communication device includes:
  • Memory used to store instructions executable by the processor
  • the processor is configured to: when executing executable instructions, implement the method applied to any embodiment of the present disclosure.
  • the processor may include various types of storage media, which are non-transitory computer storage media that can continue to memorize information stored on the communication device after the communication device is powered off.
  • the processor can be connected to the memory through a bus, etc., and is used to read the executable program stored in the memory.
  • An embodiment of the present disclosure also provides a computer storage medium, wherein the computer storage medium stores a computer executable program, and when the executable program is executed by a processor, the method of any embodiment of the present disclosure is implemented.
  • Figure 25 is a block diagram of a user equipment 8000 according to an exemplary embodiment.
  • the user device 8000 may be a mobile phone, a computer, a digital broadcast terminal, a messaging device, a game console, a tablet device, a medical device, a fitness device, a personal digital assistant, or the like.
  • the user equipment 8000 may include one or more of the following cells: a processing cell 8002, a memory 8004, a power cell 8006, a multimedia cell 8008, an audio cell 8010, and an input/output (I/O) interface. 8012, sensor cell 8014, and communication cell 8016.
  • Processing cells 8002 generally control the overall operations of the user device 8000, such as operations associated with display, phone calls, data communications, camera operations, and recording operations.
  • the processing information element 8002 may include one or more processors 8020 to execute instructions to complete all or part of the steps of the above-mentioned personal Internet of Things device credential configuration method.
  • processing the cell 8002 may include one or more modules to facilitate interaction between the processing cell 8002 and other cells.
  • processing cell 8002 may include a multimedia module to facilitate interaction between multimedia cell 8008 and processing cell 8002.
  • Memory 8004 is configured to store various types of data to support operations at device 8000. Examples of such data include instructions for any application or method operating on the user device 8000, contact data, phonebook data, messages, pictures, videos, etc.
  • Memory 8004 may be implemented by any type of volatile or non-volatile storage device, or a combination thereof, such as static random access memory (SRAM), electrically erasable programmable read-only memory (EEPROM), erasable programmable read-only memory (EEPROM), Programmable read-only memory (EPROM), programmable read-only memory (PROM), read-only memory (ROM), magnetic memory, flash memory, magnetic or optical disk.
  • SRAM static random access memory
  • EEPROM electrically erasable programmable read-only memory
  • EEPROM erasable programmable read-only memory
  • EPROM Programmable read-only memory
  • PROM programmable read-only memory
  • ROM read-only memory
  • magnetic memory flash memory, magnetic or optical disk.
  • Power cell 8006 provides power to various cells of user equipment 8000.
  • Power information elements 8006 may include a power management system, one or more power supplies, and other information elements associated with generating, managing, and distributing power to user device 8000.
  • Multimedia information element 8008 includes a screen that provides an output interface between user device 8000 and the user.
  • the screen may include a liquid crystal display (LCD) and a touch panel (TP). If the screen includes a touch panel, the screen may be implemented as a touch screen to receive input signals from the user.
  • the touch panel includes one or more touch sensors to sense touches, swipes, and gestures on the touch panel. A touch sensor can not only sense the boundaries of a touch or swipe action, but also detect the duration and pressure associated with the touch or swipe action.
  • multimedia cell 8008 includes a front-facing camera and/or a rear-facing camera.
  • the front camera and/or the rear camera may receive external multimedia data.
  • Each front-facing camera and rear-facing camera can be a fixed optical lens system or have a focal length and optical zoom capabilities.
  • Audio cell 8010 is configured to output and/or input audio signals.
  • the audio cell 8010 includes a microphone (MIC) configured to receive external audio signals when the user device 8000 is in operating modes, such as call mode, recording mode, and speech recognition mode.
  • the received audio signal may be further stored in memory 8004 or sent via communication cells 8016.
  • audio cell 8010 also includes a speaker for outputting audio signals.
  • the I/O interface 8012 provides an interface between the processing cell 8002 and the peripheral interface module.
  • the peripheral interface module may be a keyboard, a click wheel, a button, etc. These buttons may include, but are not limited to: Home button, Volume buttons, Start button, and Lock button.
  • Sensor cells 8014 include one or more sensors used to provide user equipment 8000 with various aspects of status assessment.
  • the sensor cell 8014 can detect the open/closed state of the device 8000, the relative positioning of the cell, for example, the cell is the display and keypad of the user device 8000, the sensor cell 8014 can also detect the user device 8000 or the user device 8000 Changes in the location of a cell, the presence or absence of user contact with the user equipment 8000, the orientation or acceleration/deceleration of the user equipment 8000 and changes in the temperature of the user equipment 8000.
  • Sensor cells 8014 may include proximity sensors configured to detect the presence of nearby objects without any physical contact.
  • Sensor cells 8014 may also include light sensors, such as CMOS or CCD image sensors, for use in imaging applications.
  • the sensor cell 8014 may also include an acceleration sensor, a gyroscope sensor, a magnetic sensor, a pressure sensor, or a temperature sensor.
  • the communication cell 8016 is configured to facilitate wired or wireless communication between the user device 8000 and other devices.
  • User equipment 8000 may access a wireless network based on a communication standard, such as Wi-Fi, 2G or 3G, or a combination thereof.
  • the communication cell 8016 receives broadcast signals or broadcast related information from an external broadcast management system via a broadcast channel.
  • communication cell 8016 also includes a near field communication (NFC) module to facilitate short-range communications.
  • the NFC module can be implemented based on radio frequency identification (RFID) technology, infrared data association (IrDA) technology, ultra-wideband (UWB) technology, Bluetooth (BT) technology and other technologies.
  • RFID radio frequency identification
  • IrDA infrared data association
  • UWB ultra-wideband
  • Bluetooth Bluetooth
  • user equipment 8000 may be configured by one or more application specific integrated circuits (ASICs), digital signal processors (DSPs), digital signal processing devices (DSPDs), programmable logic devices (PLDs), field programmable A programming gate array (FPGA), a controller, a microcontroller, a microprocessor or other electronic components are implemented to perform the steps of the above personal Internet of Things device credential configuration method.
  • ASICs application specific integrated circuits
  • DSPs digital signal processors
  • DSPDs digital signal processing devices
  • PLDs programmable logic devices
  • FPGA field programmable A programming gate array
  • controller a controller
  • microcontroller a microcontroller
  • microprocessor or other electronic components are implemented to perform the steps of the above personal Internet of Things device credential configuration method.
  • non-transitory computer-readable storage medium including instructions, such as a memory 8004 including instructions, executable by the processor 8020 of the user device 8000 to complete the above-described personal Internet of Things device credentials is also provided. Configure the steps of the method.
  • non-transitory computer-readable storage media may be ROM, random access memory (RAM), CD-ROM, magnetic tape, floppy disk, optical data storage device, etc.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Telephonic Communication Services (AREA)

Abstract

本公开是关于一种应用程序接口 API 调用器认证方法，其中，方法包括:向通用应用程序接口API框架 CAPIF 功能发送认证请求信息；其中,认证请求信息用于触发CAPIF 功能对API调用器的身份认证(步骤21)。

Description

应用程序接口API认证方法、装置、通信设备及存储介质 技术领域
本公开涉及一种应用程序接口API认证方法，尤其涉及一种应用程序接口API认证方法、装置、通信设备及存储介质。
背景技术
为了解决终端发起的应用程序接口(API，Application Program Interface)调用的安全性问题。支持用户感知北向API访问(SNA，Subscriber-aware Northbound API Access)的要求。示例性地，提出了通过对终端进行身份验证和授权，为终端提供对API的安全访问。
在SNA场景中，只涉及对API调用程序进行身份认证的方案，如何对API调用器进行身份认证，是需要考虑的问题。
发明内容
有鉴于此，本公开实施例提供了一种应用程序接口API认证方法、装置、通信设备及存储介质。
根据本公开的第一方面，提供一种应用程序接口API调用器认证方法，其中，所述方法包括：
向通用应用程序接口API框架CAPIF功能发送认证请求信息；
其中，所述认证请求信息用于触发所述CAPIF功能对API调用器的身份认证。
根据本公开的第二方面，提供一种应用程序接口API调用器认证方法，其中，所述方法由CAPIF功能执行，所述方法包括：
接收终端发送的认证请求信息；
其中，所述认证请求信息用于触发所述CAPIF功能对API调用器的身份认证。
根据本公开的第三方面，提供一种应用程序接口API调用器认证方法，其中，所述方法由BSF执行，所述方法包括：
接收CAPIF功能发送的第二请求信息；
其中，所述第二请求信息包括以下至少之一：
API调用器提供的B-TID；
接收CAPIF功能的网络应用功能标识NAF-ID，包括所述CAPIF功能的FQDN和/或CAPIF功能与终端之间Ua接口安全协议标识符。
根据本公开的第四方面，提供一种应用程序接口API调用器认证方法，其中，所述方法由网络侧执行，所述方法包括：
接收终端发送的认证请求信息；
其中，所述认证请求信息用于触发所述CAPIF功能对API调用器的身份认证。
根据本公开的第五方面，提供一种应用程序接口API调用器认证装置，其中，所述装置包括：
发送模块，被配置为向通用应用程序接口API框架CAPIF功能发送认证请求信息；
其中，所述认证请求信息用于触发所述CAPIF功能对API调用器的身份认证。
根据本公开的第六方面，提供一种应用程序接口API调用器认证装置，其中，所述装置包括：
接收模块，被配置为接收终端发送的认证请求信息；
其中，所述认证请求信息用于触发所述CAPIF功能对API调用器的身份认证。
根据本公开的第七方面，提供一种应用程序接口API调用器认证装置，其中，所述装置包括：
接收模块，被配置为接收CAPIF功能发送的第二请求信息；
其中，所述第二请求信息包括以下至少之一：
API调用器提供的B-TID；
接收CAPIF功能的网络应用功能标识NAF-ID，包括所述CAPIF功能的FQDN和/或CAPIF功能与终端之间Ua接口安全协议标识符。
根据本公开的第八方面，提供一种应用程序接口API调用器认证装置，其中，所述装置包括：
接收模块，被配置为接收终端发送的认证请求信息；
其中，所述认证请求信息用于触发所述CAPIF功能对API调用器的身份认证。
根据本公开的第九方面，提供一种通信设备，所述通信设备，包括：
处理器；
用于存储所述处理器可执行指令的存储器；
其中，所述处理器被配置为：用于运行所述可执行指令时，实现本公开任意实施例所述的方法。
根据本公开实施例的第十方面，提供一种计算机存储介质，所述计算机存储介质存储有计算机可执行程序，所述可执行程序被处理器执行时实现本公开任意实施例所述的方法。
本公开实施例的技术方案，向通用应用程序接口API框架CAPIF功能发送认证请求信息；其中，所述认证请求信息用于触发所述CAPIF功能对API调用器的身份认证。由于API调用器向所述CAPIF功能发送了能够触发所述CAPIF功能对所述API调用器进行身份认证的认证请求信息，所述CAPIF功能就能够对所述API调用器进行身份认证，相较于不能够对所述 API调用器进行身份认证的方式，能够提升SNA场景下的通信安全。
附图说明
此处的附图被并入说明书中并构成本说明书的一部分，示出了符合本发明实施例，并与说明书一起用于解释本发明实施例的原理。
图1是根据一示例性实施例示出的无线通信系统的结构示意图；
图2是根据一示例性实施例示出的一种应用程序接口API调用器认证方法的流程示意图；
图3是根据一示例性实施例示出的一种应用程序接口API调用器认证方法的流程示意图；
图4是根据一示例性实施例示出的一种应用程序接口API调用器认证方法的流程示意图；
图5是根据一示例性实施例示出的一种应用程序接口API调用器认证方法的流程示意图；
图6是根据一示例性实施例示出的一种应用程序接口API调用器认证方法的流程示意图；
图7是根据一示例性实施例示出的一种应用程序接口API调用器认证方法的流程示意图；
图8是根据一示例性实施例示出的一种应用程序接口API调用器认证方法的流程示意图；
图9是根据一示例性实施例示出的一种应用程序接口API调用器认证方法的流程示意图；
图10是根据一示例性实施例示出的一种应用程序接口API调用器认证方法的流程示意图；
图11是根据一示例性实施例示出的一种应用程序接口API调用器认证方法的流程示意图；
图12是根据一示例性实施例示出的一种应用程序接口API调用器认证方法的流程示意图；
图13是根据一示例性实施例示出的一种应用程序接口API调用器认证方法的流程示意图；
图14是根据一示例性实施例示出的一种应用程序接口API调用器认证方法的流程示意图；
图15是根据一示例性实施例示出的一种应用程序接口API调用器认证方法的流程示意图；
图16是根据一示例性实施例示出的一种应用程序接口API调用器认证方法的流程示意图；
图17是根据一示例性实施例示出的一种应用程序接口API调用器认证方法的流程示意图；
图18是根据一示例性实施例示出的一种应用程序接口API调用器认证方法的流程示意图；
图19是根据一示例性实施例示出的一种应用程序接口API调用器认证方法的流程示意图；
图20是根据一示例性实施例示出的一种应用程序接口API调用器认证方法的流程示意图；
图21是根据一示例性实施例示出的一种应用程序接口API调用器认证方法的流程示意图；
图22是根据一示例性实施例示出的一种应用程序接口API调用器认证装置的示意图；
图23是根据一示例性实施例示出的一种应用程序接口API调用器认证装置的示意图；
图24是根据一示例性实施例示出的一种应用程序接口API调用器认证 装置的示意图；
图25是根据一示例性实施例示出的一种终端的结构示意图。
具体实施方式
这里将详细地对示例性实施例进行说明，其示例表示在附图中。下面的描述涉及附图时，除非另有表示，不同附图中的相同数字表示相同或相似的要素。以下示例性实施例中所描述的实施方式并不代表与本公开实施例相一致的所有实施方式。相反，它们仅是与如所附权利要求书中所详述的、本公开实施例的一些方面相一致的装置和方法的例子。
在本公开实施例使用的术语是仅仅出于描述特定实施例的目的，而非旨在限制本公开实施例。在本公开实施例和所附权利要求书中所使用的单数形式的“一种”、“所述”和“该”也旨在包括多数形式，除非上下文清楚地表示其他含义。还应当理解，本文中使用的术语“和/或”是指并包含一个或多个相关联的列出项目的任何或所有可能组合。
应当理解，尽管在本公开实施例可能采用术语第一、第二、第三等来描述各种信息，但这些信息不应限于这些术语。这些术语仅用来将同一类型的信息彼此区分开。例如，在不脱离本公开实施例范围的情况下，第一信息也可以被称为第二信息，类似地，第二信息也可以被称为第一信息。取决于语境，如在此所使用的词语“如果”可以被解释成为“在……时”或“当……时”或“响应于确定”。
请参考图1，其示出了本公开实施例提供的一种无线通信系统的结构示意图。如图1所示，无线通信系统是基于蜂窝移动通信技术的通信系统，该无线通信系统可以包括：若干个终端11以及若干个基站12。
其中，终端11可以是指向用户提供语音和/或数据连通性的设备。终端11可以经无线接入网(Radio Access Network，RAN)与一个或多个核心网 进行通信，终端11可以是物联网终端，如传感器设备、移动电话(或称为“蜂窝”电话)和具有物联网终端的计算机，例如，可以是固定式、便携式、袖珍式、手持式、计算机内置的或者车载的装置。例如，站(Station，STA)、订户单元(subscriber unit)、订户站(subscriber station)，移动站(mobile station)、移动台(mobile)、远程站(remote station)、接入点、远程终端(remote terminal)、接入终端(access terminal)、用户装置(user terminal)、用户代理(user agent)、终端(user device)、或用户终端(user equipment，UE)。或者，终端11也可以是无人飞行器的设备。或者，终端11也可以是车载设备，比如，可以是具有无线通信功能的行车电脑，或者是外接行车电脑的无线通信设备。或者，终端11也可以是路边设备，比如，可以是具有无线通信功能的路灯、信号灯或者其它路边设备等。
基站12可以是无线通信系统中的网络侧设备。其中，该无线通信系统可以是第四代移动通信技术(the 4th generation mobile communication，4G)系统，又称长期演进(Long Term Evolution，LTE)系统；或者，该无线通信系统也可以是5G系统，又称新空口(new radio，NR)系统或5G NR系统。或者，该无线通信系统也可以是任一代系统。其中，5G系统中的接入网可以称为新一代无线接入网(New Generation-Radio Access Network，NG-RAN)。或者，MTC系统。
其中，基站12可以是4G系统中采用的演进型基站(eNB)。或者，基站12也可以是5G系统中采用集中分布式架构的基站(gNB)。当基站12采用集中分布式架构时，通常包括集中单元(Central Unit，CU)和至少两个分布单元(Distributed Unit，DU)。集中单元中设置有分组数据汇聚协议(Packet Data Convergence Protocol，PDCP)层、无线链路层控制协议(Radio Link Control，RLC)层、媒体访问控制(Media Access Control，MAC)层的协议栈；分布单元中设置有物理(Physical，PHY)层协议栈，本公开实 施例对基站12的具体实现方式不加以限定。
基站12和终端11之间可以通过无线空口建立无线连接。在不同的实施方式中，该无线空口是基于第四代移动通信网络技术(4G)标准的无线空口；或者，该无线空口是基于第五代移动通信网络技术(5G)标准的无线空口，比如该无线空口是新空口；或者，该无线空口也可以是基于5G的更下一代移动通信网络技术标准的无线空口。
在一些实施例中，终端11之间还可以建立端到端(End to End，E2E)连接。比如车联网通信(vehicle to everything，V2X)中的V2V(vehicle to vehicle，车对车)通信、车对路边设备(vehicle to Infrastructure，V2I)通信和车对人(vehicle to Pedestrian，V2P)通信等场景。
在一些实施例中，上述无线通信系统还可以包含网络管理设备13。
本公开实施例涉及的执行主体包括但不限于：蜂窝移动通信系统中的终端(UE，User Equipment)，以及蜂窝移动通信的基站等。
如图2所示，本实施例中提供一种应用程序接口API调用器认证方法，其中，所述方法包括：
步骤21、向通用应用程序接口API框架(CAPIF，Common API Framework)功能发送认证请求信息；
其中，所述认证请求信息用于触发所述CAPIF功能对API调用器的身份认证。
在一个实施例中，所述API调用器为终端。本公开实施例可以由终端执行。
本公开所涉及的终端可以是但不限于是手机、可穿戴设备、车载终端、路侧单元(RSU，Road Side Unit)、智能家居终端、工业用传感设备和/或医疗设备等。在一些实施例中，该终端可以是Redcap终端或者预定版本的新空口NR终端(例如，R17的NR终端)。
但是，需要说明的是，该实施例不限于被终端执行，在特定场景下，也可以被基站或者核心网中的其他网络通信节点执行，在此不做限定。例如，在基站为多模态服务中的接收端和/或发送端的场景下，该实施例也可以由基站执行；在核心网设备为多模态服务中的接收端和/或发送端的场景下，该实施例也可以由核心网设备执行。需要说明的是，本公开中的将终端作为执行主体的示意，并不对本公开的技术方案进行限定。
在一个实施例中，所述API调用器访问的所述CAPIF功能包括以下至少之一：
第一类型功能，包括：CAPIF核心功能；
第二类型功能，CAPIF体系中除所述CAPIF核心功能之外的功能。
示例性地，所述第二类型功能可以是API开放功能(AEF，API Exposure Function)和/或授权功能(AF，Authorization Function)，但不限于上述功能。需要说明的是，本公开中的功能可以是核心网中的网络功能。
在一个实施例中，响应于基于证书认证方式对所述API调用器进行身份认证，所述认证请求信息指示用于证书认证的证书；或者，响应于基于通用引导架构GBA认证方式对所述API调用器进行身份认证，所述认证请求信息指示会话事务标识B-TID。
在一个实施例中，向通用应用程序接口API框架CAPIF功能发送认证请求信息；其中，所述认证请求信息用于触发所述CAPIF功能对API调用器的身份认证；响应于基于通用引导架构(GBA，Generic Bootstrapping Architecture)认证方式对API调用器进行身份认证，所述认证请求信息包含基于GBA认证方式对API调用器进行身份认证的信息，例如，会话事务标识B-TID。
在一个实施例中，向通用应用程序接口API框架CAPIF功能发送认证请求信息；其中，所述认证请求信息用于触发所述CAPIF功能对API调用 器的身份认证。响应于基于证书认证方式对API调用器进行身份认证，所述认证请求信息包含进行身份认证的证书。示例性的，证书可以是第一类型功能生成的。
在一个实施例中，向通用应用程序接口API框架CAPIF功能发送认证请求信息；其中，所述认证请求信息用于触发所述CAPIF功能对API调用器的身份认证。根据API调用器访问的所述CAPIF功能，确定认证所述API调用器的认证方式。
在一个实施例中，向通用应用程序接口API框架CAPIF功能发送认证请求信息；其中，所述认证请求信息用于触发所述CAPIF功能对API调用器的身份认证。响应于所述终端访问的所述CAPIF功能包括所述第一类型功能，确定认证所述API调用器的认证方式为通用引导架构GBA认证方式或者证书认证方式。
在一个实施例中，向通用应用程序接口API框架CAPIF功能发送认证请求信息；其中，所述认证请求信息用于触发所述CAPIF功能对API调用器的身份认证。响应于所述终端访问的所述CAPIF功能不包括所述第一类型功能，确定认证所述API调用器的认证方式为证书认证方式。
在一个实施例中，向通用应用程序接口API框架CAPIF功能发送认证请求信息；其中，所述认证请求信息用于触发所述CAPIF功能对API调用器的身份认证。响应于所述终端访问的所述CAPIF功能包括所述第一类型功能，确定认证所述API调用器的认证方式为通用引导架构GBA认证方式或者证书认证方式。响应于所述终端访问的所述CAPIF功能为所述第一类型功能，接收所述第一类型功能发送的用于证书认证的证书；其中，所述证书用于所述终端与所述第二类型功能之间的认证。
在一个实施例中，向通用应用程序接口API框架CAPIF功能发送认证请求信息；其中，所述认证请求信息用于触发所述CAPIF功能对API调用 器的身份认证。响应于所述终端访问的所述CAPIF功能包括所述第一类型功能，确定认证所述API调用器的认证方式为通用引导架构GBA认证方式或者证书认证方式。响应于所述终端访问的CAPIF功能为所述第二类型功能，基于通用引导架构GBA执行终端身份认证或基于第一类型功能发送的证书执行基于证书的终端身份认证。
在一个实施例中，响应于基于所述第一类型功能发送的证书执行基于证书的终端身份认证，向所述CAPIF功能发送所述认证请求信息；其中，所述认证请求信息包含所述第一类型功能发送的证书。基于所述证书执行所述API调用器和CAPIF功能之间的身份认证。
在一个实施例中，响应于基于所述第一类型功能发送的证书执行基于证书的终端身份认证，向所述CAPIF功能发送所述认证请求信息；其中，所述认证请求信息用于触发所述CAPIF功能对API调用器的身份认证。基于GBA认证方式执行所述API调用器和CAPIF功能之间的身份认证。
在一个实施例中，所述认证请求信息包含以下至少之一：
API提供者域提供的注册凭证，所述注册凭证包括访问令牌；
API调用器公钥；
会话事务标识B-TID。
在一个实施例中，响应于基于所述第一类型功能发送的证书执行基于证书的终端身份认证，向所述CAPIF功能发送所述认证请求信息；其中，所述认证请求信息包含所述第一类型功能发送的证书。基于GBA认证方式执行所述API调用器和CAPIF功能之间的身份认证。接收所述CAPIF功能发送的第一响应信息；其中，所述第一响应信息包括以下至少之一：
API调用器证书，所述API调用器证书中包含CAPIF功能分配的API调用器标识、API调用器公钥和/或API调用器身份标识；
所述CAPIF功能分配的API调用器ID；
AEF身份验证和授权信息；
API调用器签约密钥，例如，注册密钥(Onboard_Secret)。
其中，所述API调用器身份标识包括以下至少之一：
用户永久标识符SUPI；
公共订阅标识符GPSI；
IP多媒体子系统IMS用户私有标识IMPI；
订阅用户隐藏标识符SUCI；以及
终端的应用层标识ID。
在一个实施例中，响应于所述终端与所述CAPIF功能之间的传输层安全会话TLS建立，通过所述TLS向所述CAPIF功能发送所述认证请求信息，其中，所述认证请求信息用于触发所述CAPIF功能对API调用器的身份认证。
在一个实施例中，从API提供者域或者API调用器的预配置信息中获取获取注册信息。基于注册信息建立所述TLS；其中，所述在注册信息包括以下至少之一：CAPIF功能的地址；CAPIF功能的完全限定域名FQDN；CAPIF功能的根证书授权CA证书；以及API提供者域提供的注册凭证，所述注册凭证包括访问令牌。响应于所述终端与所述CAPIF功能之间的传输层安全会话TLS建立，通过所述TLS向所述CAPIF功能发送所述认证请求信息，其中，所述认证请求信息用于触发所述CAPIF功能对API调用器的身份认证。
在一个实施例中，基于参考点Ua接口启动所述终端与所述网络功能之间的通信。向通用应用程序接口API框架CAPIF功能发送认证请求信息；其中，所述认证请求信息用于触发所述CAPIF功能对API调用器的身份认证。
在一个实施例中，基于受密钥Ks_NAF保护的所述参考点Ua接口启 动所述终端与所述网络功能之间的通信；其中，所述密钥Ks_NAF为所述终端与所述网络功能之间的共享密钥。向通用应用程序接口API框架CAPIF功能发送认证请求信息；其中，所述认证请求信息用于触发所述CAPIF功能对API调用器的身份认证。
在一个实施例中，响应于所述终端选择的通用集成电路卡UICC应用的密钥Ks可用，基于所述密钥Ks确定所述密钥Ks_NAF。基于受密钥Ks_NAF保护的所述参考点Ua接口启动所述终端与所述网络功能之间的通信；其中，所述密钥Ks_NAF为所述终端与所述网络功能之间的共享密钥。向通用应用程序接口API框架CAPIF功能发送认证请求信息；其中，所述认证请求信息用于触发所述CAPIF功能对API调用器的身份认证。
在一个实施例中，响应于所述终端选择的UICC应用的密钥Ks不可用，基于参考点Ub接口与引导服务器功能BSF确定密钥Ks，基于所述密钥Ks确定所述密钥Ks_NAF。基于受密钥Ks_NAF保护的所述参考点Ua接口启动所述终端与所述网络功能之间的通信；其中，所述密钥Ks_NAF为所述终端与所述网络功能之间的共享密钥。向通用应用程序接口API框架CAPIF功能发送认证请求信息；其中，所述认证请求信息用于触发所述CAPIF功能对API调用器的身份认证。
在一个实施例中，响应于所述终端不期望基于所述UICC应用的原有的密钥Ks确定所述密钥Ks_NAF，基于参考点Ub接口与BSF确定新生成的密钥Ks，基于所述新生成的密钥Ks确定所述密钥Ks_NAF。基于受密钥Ks_NAF保护的所述参考点Ua接口启动所述终端与所述网络功能之间的通信；其中，所述密钥Ks_NAF为所述终端与所述网络功能之间的共享密钥。向通用应用程序接口API框架CAPIF功能发送认证请求信息；其中，所述认证请求信息用于触发所述CAPIF功能对API调用器的身份认证。
在一个实施例中，基于受密钥Ks_NAF保护的所述参考点Ua接口启 动所述终端与所述网络功能之间的通信；其中，所述密钥Ks_NAF为所述终端与所述网络功能之间的共享密钥。向通用应用程序接口API框架CAPIF功能发送认证请求信息；其中，所述认证请求信息用于触发所述CAPIF功能对API调用器的身份认证。接收所述CAPIF功能发送的第一请求信息；其中，所述第一请求信息指示所述密钥Ks_NAF失效或者即将失效。
本公开实施例的技术方案，向通用应用程序接口API框架CAPIF功能发送认证请求信息；其中，所述认证请求信息用于触发所述CAPIF功能对API调用器的身份认证。由于API调用器向所述CAPIF功能发送了能够触发所述CAPIF功能对所述API调用器进行身份认证的认证请求信息，所述CAPIF功能就能够对所述API调用器进行身份认证，相较于不能够对所述API调用器进行身份认证的方式，能够提升SNA场景下的通信安全。
需要说明的是，本领域内技术人员可以理解，本公开实施例提供的方法，可以被单独执行，也可以与本公开实施例中一些方法或相关技术中的一些方法一起被执行。
如图3所示，本实施例中提供一种应用程序接口API调用器认证方法，其中，所述方法包括：
步骤31、根据API调用器访问的CAPIF功能，确定认证所述API调用器的认证方式。
在一个实施例中，向通用应用程序接口API框架CAPIF功能发送认证请求信息；其中，所述认证请求信息用于触发所述CAPIF功能对API调用器的身份认证。响应于所述终端访问的所述CAPIF功能包括所述第一类型功能，确定认证所述API调用器的认证方式为通用引导架构GBA认证方式。
在一个实施例中，向通用应用程序接口API框架CAPIF功能发送认证请求信息；其中，所述认证请求信息用于触发所述CAPIF功能对API调用器的身份认证。响应于所述终端访问的所述CAPIF功能不包括所述第一类 型功能，确定认证所述API调用器的认证方式为证书认证方式。
在一个实施例中，向通用应用程序接口API框架CAPIF功能发送认证请求信息；其中，所述认证请求信息用于触发所述CAPIF功能对API调用器的身份认证。响应于所述终端访问的所述CAPIF功能不包括所述第一类型功能，确定认证所述API调用器的认证方式为证书认证方式或者通用引导架构GBA认证方式。
需要说明的是，本领域内技术人员可以理解，本公开实施例提供的方法，可以被单独执行，也可以与本公开实施例中一些方法或相关技术中的一些方法一起被执行。
如图4所示，本实施例中提供一种应用程序接口API调用器认证方法，其中，所述方法包括：
步骤41、响应于所述终端访问的所述CAPIF功能为所述第一类型功能，接收所述第一类型功能发送的用于证书认证的证书；其中，所述证书用于所述终端与所述第二类型功能之间的认证。
在一个实施例中，向通用应用程序接口API框架CAPIF功能发送认证请求信息；其中，所述认证请求信息用于触发所述CAPIF功能对API调用器的身份认证。响应于所述终端访问的所述CAPIF功能包括所述第一类型功能，确定认证所述API调用器的认证方式为通用引导架构GBA认证方式或者证书认证方式。响应于所述终端访问的所述CAPIF功能为所述第一类型功能，接收所述第一类型功能发送的用于证书认证的证书；其中，所述证书用于所述终端与所述第二类型功能之间的认证。
需要说明的是，本领域内技术人员可以理解，本公开实施例提供的方法，可以被单独执行，也可以与本公开实施例中一些方法或相关技术中的一些方法一起被执行。
如图5所示，本实施例中提供一种应用程序接口API调用器认证方法，其中，所述方法包括：
步骤51、响应于所述终端访问的CAPIF功能为所述第二类型功能，基于通用引导架构GBA执行终端身份认证或基于第一类型功能发送的证书执行基于证书的终端身份认证。
在一个实施例中，向通用应用程序接口API框架CAPIF功能发送认证请求信息；其中，所述认证请求信息用于触发所述CAPIF功能对API调用器的身份认证。响应于所述终端访问的所述CAPIF功能包括所述第一类型功能，确定认证所述API调用器的认证方式为通用引导架构GBA认证方式或者证书认证方式。响应于所述终端访问的CAPIF功能为所述第二类型功能，基于通用引导架构GBA执行终端身份认证或基于第一类型功能发送的证书执行基于证书的终端身份认证。
需要说明的是，本领域内技术人员可以理解，本公开实施例提供的方法，可以被单独执行，也可以与本公开实施例中一些方法或相关技术中的一些方法一起被执行。
如图6所示，本实施例中提供一种应用程序接口API调用器认证方法，其中，所述方法包括：
步骤61、响应于基于第一类型功能发送的证书执行基于证书的终端身份认证，向CAPIF功能发送所述认证请求信息；
其中，所述认证请求信息包含所述第一类型功能发送的证书。
在一个实施例中，响应于基于所述第一类型功能发送的证书执行基于证书的终端身份认证，向所述CAPIF功能发送所述认证请求信息；其中，所述认证请求信息包含所述第一类型功能发送的证书。基于所述证书执行所述API调用器和CAPIF功能之间的身份认证。
需要说明的是，本领域内技术人员可以理解，本公开实施例提供的方 法，可以被单独执行，也可以与本公开实施例中一些方法或相关技术中的一些方法一起被执行。
如图7所示，本实施例中提供一种应用程序接口API调用器认证方法，其中，所述方法包括：
步骤71、基于GBA认证方式执行所述API调用器和CAPIF功能之间的身份认证。
在一个实施例中，响应于基于GBA认证方式执行终端身份认证，向所述CAPIF功能发送所述认证请求信息；其中，所述认证请求信息用于触发所述CAPIF功能对API调用器的身份认证。基于GBA认证方式执行所述API调用器和CAPIF功能之间的身份认证。
需要说明的是，本领域内技术人员可以理解，本公开实施例提供的方法，可以被单独执行，也可以与本公开实施例中一些方法或相关技术中的一些方法一起被执行。
如图8所示，本实施例中提供一种应用程序接口API调用器认证方法，其中，所述方法包括：
步骤81、接收所述CAPIF功能发送的认证响应信息；
其中，所述第一响应信息包括以下至少之一：
API调用器证书，所述API调用器证书中包含CAPIF功能分配的API调用器标识、API调用器公钥和/或API调用器身份标识；
所述CAPIF功能分配的API调用器ID；
AEF身份验证和授权信息；
API调用器签约密钥。
其中，所述API调用器身份标识包括以下至少之一：
用户永久标识符SUPI；
公共订阅标识符GPSI；
IP多媒体子系统IMS用户私有标识IMPI；
订阅用户隐藏标识符SUCI；以及
终端的应用层标识ID。
在一个实施例中，响应于基于所述第一类型功能发送的证书执行基于证书的终端身份认证，向所述CAPIF功能发送所述认证请求信息；其中，所述认证请求信息包含所述第一类型功能发送的证书。基于GBA认证方式执行所述API调用器和CAPIF功能之间的身份认证。接收所述CAPIF功能发送的第一响应信息；其中，所述第一响应信息包括以下至少之一：
API调用器证书，所述API调用器证书中包含CAPIF功能分配的API调用器标识、API调用器公钥和/或API调用器身份标识；
所述CAPIF功能分配的API调用器ID；
AEF身份验证和授权信息；
API调用器签约密钥，例如，注册密钥(Onboard_Secret)。
需要说明的是，本领域内技术人员可以理解，本公开实施例提供的方法，可以被单独执行，也可以与本公开实施例中一些方法或相关技术中的一些方法一起被执行。
如图9所示，本实施例中提供一种应用程序接口API调用器认证方法，其中，所述方法包括：
步骤91、基于注册信息建立所述TLS；
其中，所述在注册信息包括以下至少之一：
CAPIF功能的地址；
CAPIF功能的完全限定域名FQDN；
CAPIF功能的根证书授权CA证书；
API提供者域提供的注册凭证，所述注册凭证包括访问令牌。
在一个实施例中，响应于所述终端与所述CAPIF功能之间的传输层安全会话TLS建立，通过所述TLS向所述CAPIF功能发送所述认证请求信息，其中，所述认证请求信息用于触发所述CAPIF功能对API调用器的身份认证。
在一个实施例中，从API提供者域或API调用器的预配置信息中获取注册信息。基于注册信息建立所述TLS；其中，所述在注册信息包括以下至少之一：CAPIF功能的地址；CAPIF功能的完全限定域名FQDN；CAPIF功能的根证书授权CA证书；以及API提供者域提供的注册凭证，所述注册凭证包括访问令牌。响应于所述终端与所述CAPIF功能之间的传输层安全会话TLS建立，通过所述TLS向所述CAPIF功能发送所述认证请求信息，其中，所述认证请求信息用于触发所述CAPIF功能对API调用器的身份认证。
需要说明的是，本领域内技术人员可以理解，本公开实施例提供的方法，可以被单独执行，也可以与本公开实施例中一些方法或相关技术中的一些方法一起被执行。
如图10所示，本实施例中提供一种应用程序接口API调用器认证方法，其中，所述方法包括：
步骤101、基于参考点Ua接口启动所述终端与所述网络功能之间的通信。
在一个实施例中，基于参考点Ua接口启动所述终端与所述网络功能之间的通信。向通用应用程序接口API框架CAPIF功能发送认证请求信息；其中，所述认证请求信息用于触发所述CAPIF功能对API调用器的身份认证。
在一个实施例中，基于受密钥Ks_NAF保护的所述参考点Ua接口启动所述终端与所述网络功能之间的通信；其中，所述密钥Ks_NAF为所述 终端与所述网络功能之间的共享密钥。向通用应用程序接口API框架CAPIF功能发送认证请求信息；其中，所述认证请求信息用于触发所述CAPIF功能对API调用器的身份认证。
在一个实施例中，响应于所述终端选择的通用集成电路卡UICC应用的密钥Ks可用，基于所述密钥Ks确定所述密钥Ks_NAF。基于受密钥Ks_NAF保护的所述参考点Ua接口启动所述终端与所述网络功能之间的通信；其中，所述密钥Ks_NAF为所述终端与所述网络功能之间的共享密钥。向通用应用程序接口API框架CAPIF功能发送认证请求信息；其中，所述认证请求信息用于触发所述CAPIF功能对API调用器的身份认证。
在一个实施例中，响应于所述终端选择的UICC应用的密钥Ks不可用，基于参考点Ub接口与引导服务器功能BSF确定密钥Ks，基于所述密钥Ks确定所述密钥Ks_NAF。基于受密钥Ks_NAF保护的所述参考点Ua接口启动所述终端与所述网络功能之间的通信；其中，所述密钥Ks_NAF为所述终端与所述网络功能之间的共享密钥。向通用应用程序接口API框架CAPIF功能发送认证请求信息；其中，所述认证请求信息用于触发所述CAPIF功能对API调用器的身份认证。
在一个实施例中，响应于所述终端不期望基于所述UICC应用的原有的密钥Ks确定所述密钥Ks_NAF，基于参考点Ub接口与BSF确定新生成的密钥Ks，基于所述新生成的密钥Ks确定所述密钥Ks_NAF。基于受密钥Ks_NAF保护的所述参考点Ua接口启动所述终端与所述网络功能之间的通信；其中，所述密钥Ks_NAF为所述终端与所述网络功能之间的共享密钥。向通用应用程序接口API框架CAPIF功能发送认证请求信息；其中，所述认证请求信息用于触发所述CAPIF功能对API调用器的身份认证。
在一个实施例中，基于受密钥Ks_NAF保护的所述参考点Ua接口启动所述终端与所述网络功能之间的通信；其中，所述密钥Ks_NAF为所述 终端与所述网络功能之间的共享密钥。向通用应用程序接口API框架CAPIF功能发送认证请求信息；其中，所述认证请求信息用于触发所述CAPIF功能对API调用器的身份认证。接收所述CAPIF功能发送的第一请求信息；其中，所述第一请求信息指示所述密钥Ks_NAF失效或者即将失效。
需要说明的是，本领域内技术人员可以理解，本公开实施例提供的方法，可以被单独执行，也可以与本公开实施例中一些方法或相关技术中的一些方法一起被执行。
如图11所示，本实施例中提供一种应用程序接口API调用器认证方法，其中，所述方法由CAPIF功能执行，所述方法包括：
步骤111、接收终端发送的认证请求信息；
其中，所述认证请求信息用于触发所述CAPIF功能对API调用器的身份认证。
在一个实施例中，所述API调用器为终端。
本公开所涉及的终端可以是但不限于是手机、可穿戴设备、车载终端、路侧单元(RSU，Road Side Unit)、智能家居终端、工业用传感设备和/或医疗设备等。在一些实施例中，该终端可以是Redcap终端或者预定版本的新空口NR终端(例如，R17的NR终端)。
但是，需要说明的是，该实施例不限于被终端执行，在特定场景下，也可以被基站或者核心网中的其他网络通信节点执行，在此不做限定。例如，在基站为多模态服务中的接收端和/或发送端的场景下，该实施例也可以由基站执行；在核心网设备为多模态服务中的接收端和/或发送端的场景下，该实施例也可以由核心网设备执行。需要说明的是，本公开中的将终端作为执行主体的示意，并不对本公开的技术方案进行限定。
在一个实施例中，所述API调用器访问的所述CAPIF功能包括以下至少之一：
第一类型功能，包括：CAPIF核心功能；
第二类型功能，CAPIF体系中除所述CAPIF核心功能之外的功能。
示例性地，所述第二类型功能可以是API开放功能(AEF，API Exposure Function)和/或授权功能(AF，Authorization Function)，但不限于上述功能。需要说明的是，本公开中的功能可以是核心网中的网络功能。
在一个实施例中，响应于基于证书认证方式对所述API调用器进行身份认证，所述认证请求信息指示用于证书认证的证书；或者，响应于基于通用引导架构GBA认证方式对所述API调用器进行身份认证，所述认证请求信息指示会话事务标识B-TID。
在一个实施例中，接收终端发送的认证请求信息；其中，所述认证请求信息用于触发所述CAPIF功能对API调用器的身份认证。响应于基于通用引导架构(GBA，Generic Bootstrapping Architecture)认证方式对API调用器进行身份认证，所述认证请求信息包含基于GBA认证方式对API调用器进行身份认证的信息，例如，会话事务标识B-TID。
在一个实施例中，接收终端发送的认证请求信息；其中，所述认证请求信息用于触发所述CAPIF功能对API调用器的身份认证。响应于基于证书认证方式对API调用器进行身份认证，所述认证请求信息包含进行身份认证的证书。示例性的，证书可以是第一类型功能生成的。
在一个实施例中，接收终端发送的认证请求信息；其中，所述认证请求信息用于触发所述CAPIF功能对API调用器的身份认证。响应于基于证书认证方式对API调用器进行身份认证，所述认证请求信息包含进行身份认证的证书。示例性的，证书可以是第一类型功能生成的。响应于所述认证请求信息包括第一类型功能颁发的证书，第二类型功能利用所述第一类型功能的公钥验证所述证书；响应于所述证书的验证通过，所述终端通过身份认证。
在一个实施例中，响应于基于通用引导架构GBA认证方式对所述API调用器进行身份认证，所述认证请求信息包含以下至少之一：
API提供者域提供的注册凭证，所述注册凭证包括访问令牌；
API调用器公钥；
会话事务标识B-TID。
在一个实施例中，接收终端发送的认证请求信息；其中，所述认证请求信息用于触发所述CAPIF功能对API调用器的身份认证。向终端发送响应信息；其中，所述响应信息包括以下至少之一：
API调用器证书，所述API调用器证书中包含CAPIF功能分配的API调用器标识、API调用器公钥和/或API调用器身份标识；
所述CAPIF功能分配的API调用器ID；
AEF身份验证和授权信息；
API调用器签约密钥。
其中，所述API调用器身份标识包括以下至少之一：
用户永久标识符SUPI；
公共订阅标识符GPSI；
IP多媒体子系统IMS用户私有标识IMPI；
订阅用户隐藏标识符SUCI；以及
终端的应用层标识ID。
在一个实施例中，基于注册信息建立所述TLS；其中，所述注册信息包括以下至少之一：CAPIF功能的地址；CAPIF功能的完全限定域名FQDN；CAPIF功能的根证书授权CA证书；以及API提供者域提供的注册凭证，所述注册凭证包括访问令牌。响应于所述终端与所述网络功能之间的传输层安全会话TLS建立，基于所述TLS接收终端发送的所述认证请求信息。
在一个实施例中，基于参考点Ua接口执行所述终端与所述网络功能之 间的通信。接收终端发送的认证请求信息；其中，所述认证请求信息用于触发所述CAPIF功能对API调用器的身份认证。
在一个实施例中，基于参考点Ua接口执行所述终端与所述网络功能之间的通信。基于受密钥Ks_NAF保护的所述参考点Ua接口执行所述终端与所述网络功能之间的通信；其中，所述密钥Ks_NAF为所述终端与所述网络功能之间的共享密钥。
在一个实施例中，基于参考点Ua接口执行所述终端与所述网络功能之间的通信。基于受密钥Ks_NAF保护的所述参考点Ua接口执行所述终端与所述网络功能之间的通信；其中，所述密钥Ks_NAF为所述终端与所述网络功能之间的共享密钥。响应于所述密钥Ks_NAF失效或者即将失效，向所述终端发送第一请求信息；其中，所述第一请求信息指示所述密钥Ks_NAF失效或者即将失效。
在一个实施例中，接收终端发送的认证请求信息；其中，所述认证请求信息用于触发所述CAPIF功能对API调用器的身份认证。向BSF发送第二请求信息；其中，所述第二请求信息包括以下至少之一：终端提供的B-TID；CAPIF功能的网络应用功能标识NAF-ID，包括所述CAPIF功能的FQDN和/或CAPIF功能与终端之间Ua接口安全协议标识符。接收所述BSF发送的第二响应信息；其中，所述第二响应信息包括以下至少之一：所述CAPIF功能对应的密钥Ks_NAF；用户安全设置USS信息；引导时间；以及密钥的生命周期。
在一个实施例中，接收终端发送的认证请求信息；其中，所述认证请求信息用于触发所述CAPIF功能对API调用器的身份认证。向BSF发送第二请求信息；其中，所述第二请求信息包括以下至少之一：终端提供的B-TID；CAPIF功能的网络应用功能标识NAF-ID，包括所述CAPIF功能的FQDN和/或CAPIF功能与终端之间Ua接口安全协议标识符。接收所述BSF 发送的第二响应信息；其中，所述第二响应信息包括以下至少之一：所述CAPIF功能对应的密钥Ks_NAF；用户安全设置USS信息；引导时间；以及密钥的生命周期。基于所述密钥Ks_NAF对所述终端进行认证。
在一个实施例中，接收终端发送的认证请求信息；其中，所述认证请求信息用于触发所述CAPIF功能对API调用器的身份认证。向引导服务功能(BSF，Bootstrapping Server Function)发送第二请求信息；其中，所述第二请求信息包括以下至少之一：终端提供的B-TID；CAPIF功能的网络应用功能标识NAF-ID，包括所述CAPIF功能的FQDN和/或CAPIF功能与终端之间Ua接口安全协议标识符。接收所述BSF发送的第二响应信息；其中，所述第二响应信息包括以下至少之一：所述CAPIF功能对应的密钥Ks_NAF；用户安全设置USS信息；引导时间；以及密钥的生命周期。响应于基于通用引导架构GBA执行所述终端的身份认证，基于Ks_NAF验证API调用器身份信息。响应于所述API调用器身份验证成功，生成API调用器配置文件；其中，所述API调用器配置文件包含API调用器和API开放功能AEF之间的AEF身份验证和授权的选定方式。
在一个实施例中，响应于所述API调用器身份验证成功，生成API调用器配置文件；其中，所述API调用器配置文件包含API调用器和API开放功能AEF之间的AEF身份验证和授权的选定方式。针对分配的API调用器标识和公钥，生成API调用器证书；其中，所述API调用器证书中包含CAPIF功能分配的API调用器标识、API调用器公钥和/或API调用器身份标识。
在一个实施例中，响应于所述API调用器身份验证成功，生成API调用器配置文件；其中，所述API调用器配置文件包含API调用器和API开放功能AEF之间的AEF身份验证和授权的选定方式。生成签约密钥；
其中，所述签约密钥与所述CAPIF功能生成的AIP调用器ID绑定。
需要说明的是，本领域内技术人员可以理解，本公开实施例提供的方法，可以被单独执行，也可以与本公开实施例中一些方法或相关技术中的一些方法一起被执行。
如图12所示，本实施例中提供一种应用程序接口API调用器认证方法，其中，所述方法由CAPIF功能执行，所述方法包括：
步骤121、响应于所述认证请求信息包括第一类型功能颁发的证书，第二类型功能利用所述第一类型功能的公钥验证所述证书；
步骤122、响应于所述证书的验证通过，所述终端通过身份认证。
在一个实施例中，接收终端发送的认证请求信息；其中，所述认证请求信息用于触发所述CAPIF功能对API调用器的身份认证。响应于基于证书认证方式对API调用器进行身份认证，所述认证请求信息包含进行身份认证的证书。示例性的，证书可以是第一类型功能生成的。响应于所述认证请求信息包括第一类型功能颁发的证书，第二类型功能利用所述第一类型功能的公钥验证所述证书；响应于所述证书的验证通过，所述终端通过身份认证。
需要说明的是，本领域内技术人员可以理解，本公开实施例提供的方法，可以被单独执行，也可以与本公开实施例中一些方法或相关技术中的一些方法一起被执行。
如图13所示，本实施例中提供一种应用程序接口API调用器认证方法，其中，所述方法由CAPIF功能执行，所述方法包括：
步骤131、向终端发送响应信息；
其中，所述响应信息包括以下至少之一：
API调用器证书，所述API调用器证书中包含CAPIF功能分配的API调用器标识、API调用器公钥和/或API调用器身份标识；
所述CAPIF功能分配的API调用器ID；
AEF身份验证和授权信息；
API调用器签约密钥。
其中，所述API调用器身份标识包括以下至少之一：
用户永久标识符SUPI；
公共订阅标识符GPSI；
IP多媒体子系统IMS用户私有标识IMPI；
订阅用户隐藏标识符SUCI；以及
终端的应用层标识ID。
在一个实施例中，接收终端发送的认证请求信息；其中，所述认证请求信息用于触发所述CAPIF功能对API调用器的身份认证。向终端发送响应信息；其中，所述响应信息包括以下至少之一：
API调用器证书，所述API调用器证书中包含CAPIF功能分配的API调用器标识、API调用器公钥和/或API调用器身份标识；
所述CAPIF功能分配的API调用器ID；
AEF身份验证和授权信息；
API调用器签约密钥。
在一个实施例中，基于注册信息建立所述TLS；其中，所述注册信息包括以下至少之一：CAPIF功能的地址；CAPIF功能的完全限定域名FQDN；CAPIF功能的根证书授权CA证书；以及API提供者域提供的注册凭证，所述注册凭证包括访问令牌。响应于所述终端与所述网络功能之间的传输层安全会话TLS建立，基于所述TLS接收终端发送的所述认证请求信息；其中，所述认证请求信息用于触发所述CAPIF功能对API调用器的身份认证。向终端发送响应信息；其中，所述响应信息包括以下至少之一：API调用器证书，所述API调用器证书中包含CAPIF功能分配的API调用器标 识、API调用器公钥和/或API调用器身份标识(包括但不限于用户永久标识符GPSI、私有用户标识IMPI和用户隐藏标识符SUCI等)；所述CAPIF功能分配的API调用器ID；AEF身份验证和授权信息；API调用器签约密钥。
需要说明的是，本领域内技术人员可以理解，本公开实施例提供的方法，可以被单独执行，也可以与本公开实施例中一些方法或相关技术中的一些方法一起被执行。
如图14所示，本实施例中提供一种应用程序接口API调用器认证方法，其中，所述方法由CAPIF功能执行，所述方法包括：
步骤141、基于参考点Ua接口执行所述终端与所述网络功能之间的通信。
在一个实施例中，基于参考点Ua接口执行所述终端与所述网络功能之间的通信。接收终端发送的认证请求信息；其中，所述认证请求信息用于触发所述CAPIF功能对API调用器的身份认证。
在一个实施例中，基于受密钥Ks_NAF保护的所述参考点Ua接口执行所述终端与所述网络功能之间的通信；其中，所述密钥Ks_NAF为所述终端与所述网络功能之间的共享密钥。接收终端发送的认证请求信息；其中，所述认证请求信息用于触发所述CAPIF功能对API调用器的身份认证。
在一个实施例中，基于受密钥Ks_NAF保护的所述参考点Ua接口执行所述终端与所述网络功能之间的通信；其中，所述密钥Ks_NAF为所述终端与所述网络功能之间的共享密钥。接收终端发送的认证请求信息；其中，所述认证请求信息用于触发所述CAPIF功能对API调用器的身份认证。响应于所述密钥Ks_NAF失效或者即将失效，向所述终端发送第一请求信息；其中，所述第一请求信息指示所述密钥Ks_NAF失效或者即将失效。
需要说明的是，本领域内技术人员可以理解，本公开实施例提供的方 法，可以被单独执行，也可以与本公开实施例中一些方法或相关技术中的一些方法一起被执行。
如图15所示，本实施例中提供一种应用程序接口API调用器认证方法，其中，所述方法由CAPIF功能执行，所述方法包括：
步骤151、向BSF发送第二请求信息；
其中，所述第二请求信息包括以下至少之一：
终端提供的B-TID；
CAPIF功能的网络应用功能标识NAF-ID，包括所述CAPIF功能的FQDN和/或CAPIF功能与终端之间Ua接口安全协议标识符。
在一个实施例中，接收终端发送的认证请求信息；其中，所述认证请求信息用于触发所述CAPIF功能对API调用器的身份认证。向BSF发送第二请求信息；其中，所述第二请求信息包括以下至少之一：终端提供的B-TID；CAPIF功能的网络应用功能标识NAF-ID，包括所述CAPIF功能的FQDN和/或CAPIF功能与终端之间Ua接口安全协议标识符。接收所述BSF发送的第二响应信息；其中，所述第二响应信息包括以下至少之一：所述CAPIF功能对应的密钥Ks_NAF；用户安全设置USS信息；引导时间；以及密钥的生命周期。
需要说明的是，本领域内技术人员可以理解，本公开实施例提供的方法，可以被单独执行，也可以与本公开实施例中一些方法或相关技术中的一些方法一起被执行。
如图16所示，本实施例中提供一种应用程序接口API调用器认证方法，其中，所述方法由CAPIF功能执行，所述方法包括：
步骤161、接收所述BSF发送的第二响应信息；
其中，所述第二响应信息包括以下至少之一：
所述CAPIF功能对应的密钥Ks_NAF；
用户安全设置USS信息；
引导时间；
密钥的生命周期。
在一个实施例中，接收终端发送的认证请求信息；其中，所述认证请求信息用于触发所述CAPIF功能对API调用器的身份认证。向BSF发送第二请求信息；其中，所述第二请求信息包括以下至少之一：终端提供的B-TID；CAPIF功能的网络应用功能标识NAF-ID，包括所述CAPIF功能的FQDN和/或CAPIF功能与终端之间Ua接口安全协议标识符。接收所述BSF发送的第二响应信息；其中，所述第二响应信息包括以下至少之一：所述CAPIF功能对应的密钥Ks_NAF；用户安全设置USS信息；引导时间；以及密钥的生命周期。
需要说明的是，本领域内技术人员可以理解，本公开实施例提供的方法，可以被单独执行，也可以与本公开实施例中一些方法或相关技术中的一些方法一起被执行。
如图17所示，本实施例中提供一种应用程序接口API调用器认证方法，其中，所述方法由CAPIF功能执行，所述方法包括：
步骤171、基于所述密钥Ks_NAF对所述终端进行认证。
在一个实施例中，终端用自己的ks_NAF签名一条消息，CAPIF功能利用从BSF获取到的ks_NAF校验签名，若通过，则身份认证成功。
在一个实施例中，接收终端发送的认证请求信息；其中，所述认证请求信息用于触发所述CAPIF功能对API调用器的身份认证。向BSF发送第二请求信息；其中，所述第二请求信息包括以下至少之一：终端提供的B-TID；CAPIF功能的网络应用功能标识NAF-ID，包括所述CAPIF功能的FQDN和/或CAPIF功能与终端之间Ua接口安全协议标识符。接收所述BSF 发送的第二响应信息；其中，所述第二响应信息包括以下至少之一：所述CAPIF功能对应的密钥Ks_NAF；用户安全设置USS信息；引导时间；以及密钥的生命周期。基于所述密钥Ks_NAF对所述终端进行认证。
在一个实施例中，接收终端发送的认证请求信息；其中，所述认证请求信息用于触发所述CAPIF功能对API调用器的身份认证。向引导服务功能(BSF，Bootstrapping Server Function)发送第二请求信息；其中，所述第二请求信息包括以下至少之一：终端提供的B-TID；CAPIF功能的网络应用功能标识NAF-ID，包括所述CAPIF功能的FQDN和/或CAPIF功能与终端之间Ua接口安全协议标识符。接收所述BSF发送的第二响应信息；其中，所述第二响应信息包括以下至少之一：所述CAPIF功能对应的密钥Ks_NAF；用户安全设置USS信息；引导时间；以及密钥的生命周期。响应于基于通用引导架构GBA执行所述终端的身份认证，基于Ks_NAF验证API调用器身份信息。响应于所述API调用器身份验证成功，生成API调用器配置文件；其中，所述API调用器配置文件包含API调用器和API开放功能AEF之间的AEF身份验证和授权的选定方式。
在一个实施例中，响应于所述API调用器身份验证成功，生成API调用器配置文件；其中，所述API调用器配置文件包含API调用器和API开放功能AEF之间的AEF身份验证和授权的选定方式。针对分配的API调用器标识和公钥，生成API调用器证书；其中，所述API调用器证书中包含CAPIF功能分配的API调用器标识、API调用器公钥和/或API调用器身份标识。
在一个实施例中，响应于所述API调用器身份验证成功，生成API调用器配置文件；其中，所述API调用器配置文件包含API调用器和API开放功能AEF之间的AEF身份验证和授权的选定方式。生成签约密钥；
其中，所述签约密钥与所述CAPIF功能生成的AIP调用器ID绑定。
需要说明的是，本领域内技术人员可以理解，本公开实施例提供的方法，可以被单独执行，也可以与本公开实施例中一些方法或相关技术中的一些方法一起被执行。
如图18所示，本实施例中提供一种应用程序接口API调用器认证方法，其中，所述方法由BSF执行，所述方法包括：
步骤181、接收CAPIF功能发送的第二请求信息；
其中，所述第二请求信息包括以下至少之一：
API调用器提供的B-TID；
接收CAPIF功能的网络应用功能标识NAF-ID，包括所述CAPIF功能的FQDN和/或CAPIF功能与终端之间Ua接口安全协议标识符。
在一个实施例中，所述API调用器为终端。
本公开所涉及的终端可以是但不限于是手机、可穿戴设备、车载终端、路侧单元(RSU，Road Side Unit)、智能家居终端、工业用传感设备和/或医疗设备等。在一些实施例中，该终端可以是Redcap终端或者预定版本的新空口NR终端(例如，R17的NR终端)。
但是，需要说明的是，该实施例不限于被终端执行，在特定场景下，也可以被基站或者核心网中的其他网络通信节点执行，在此不做限定。例如，在基站为多模态服务中的接收端和/或发送端的场景下，该实施例也可以由基站执行；在核心网设备为多模态服务中的接收端和/或发送端的场景下，该实施例也可以由核心网设备执行。需要说明的是，本公开中的将终端作为执行主体的示意，并不对本公开的技术方案进行限定。
在一个实施例中，所述API调用器访问的所述CAPIF功能包括以下至少之一：
第一类型功能，包括：CAPIF核心功能；
第二类型功能，CAPIF体系中除所述CAPIF核心功能之外的功能。
示例性地，所述第二类型功能可以是API开放功能(AEF，API Exposure Function)和/或授权功能(AF，Authorization Function)，但不限于上述功能。需要说明的是，本公开中的功能可以是核心网中的网络功能。
在一个实施例中，接收CAPIF功能发送的第二请求信息；其中，所述第二请求信息包括以下至少之一：API调用器提供的B-TID；接收CAPIF功能的网络应用功能标识NAF-ID，包括所述CAPIF功能的FQDN和/或CAPIF功能与终端之间Ua接口安全协议标识符。基于密钥Ks和密钥导出参数确定密钥Ks_NAF。向所述BSF发送第二响应信息；其中，所述第二响应信息包括以下至少之一：密钥Ks_NAF；用户安全设置USS信息；引导时间；以及密钥的生命周期。
需要说明的是，本领域内技术人员可以理解，本公开实施例提供的方法，可以被单独执行，也可以与本公开实施例中一些方法或相关技术中的一些方法一起被执行。
如图19所示，本实施例中提供一种应用程序接口API调用器认证方法，其中，所述方法由BSF执行，所述方法包括：
步骤191、向所述CAPIF功能发送第二响应信息；
其中，所述第二响应信息包括以下至少之一：
密钥Ks_NAF；
用户安全设置USS信息；
引导时间；
密钥的生命周期。
在一个实施例中，接收CAPIF功能发送的第二请求信息；其中，所述第二请求信息包括以下至少之一：API调用器提供的B-TID；接收CAPIF功能的网络应用功能标识NAF-ID，包括所述CAPIF功能的FQDN和/或CAPIF功能与终端之间Ua接口安全协议标识符。基于密钥Ks和密钥导出 参数确定密钥Ks_NAF。向所述BSF发送第二响应信息；其中，所述第二响应信息包括以下至少之一：密钥Ks_NAF；用户安全设置USS信息；引导时间；以及密钥的生命周期。
需要说明的是，本领域内技术人员可以理解，本公开实施例提供的方法，可以被单独执行，也可以与本公开实施例中一些方法或相关技术中的一些方法一起被执行。
如图20所示，本实施例中提供一种应用程序接口API调用器认证方法，其中，所述方法由网络侧执行，所述方法包括：
步骤201、接收终端发送的认证请求信息；
其中，所述认证请求信息用于触发所述CAPIF功能对API调用器的身份认证。
在一个实施例中，所述API调用器为终端。
本公开所涉及的终端可以是但不限于是手机、可穿戴设备、车载终端、路侧单元(RSU，Road Side Unit)、智能家居终端、工业用传感设备和/或医疗设备等。在一些实施例中，该终端可以是Redcap终端或者预定版本的新空口NR终端(例如，R17的NR终端)。
在一个实施例中，响应于基于证书认证方式对所述API调用器进行身份认证，所述认证请求信息指示用于证书认证的证书；
或者，
响应于基于通用引导架构GBA认证方式对所述API调用器进行身份认证，所述认证请求信息指示会话事务标识B-TID。
在一个实施例中，所述方法还包括：
向终端发送响应信息；
其中，所述响应信息包括以下至少之一：
API调用器证书，所述API调用器证书中包含CAPIF功能分配的API 调用器标识、API调用器公钥和/或API调用器身份标识；
所述CAPIF功能分配的API调用器ID；
AEF身份验证和授权信息；
API调用器签约密钥。
在一个实施例中，其中，所述API调用器身份标识包括以下至少之一：
用户永久标识符SUPI；
公共订阅标识符GPSI；
IP多媒体子系统IMS用户私有标识IMPI；
订阅用户隐藏标识符SUCI；以及
终端的应用层标识ID。
为了更好地理解本公开实施例，以下通过一个示例性实施例对本公开技术方案进行进一步说明：
示例1：
如图21所示，本实施例中提供一种应用程序接口API调用器认证方法，所述方法包括：
步骤211、终端从API提供者域获取注册信息。
步骤212、基于注册信息建立所述TLS。
步骤213、响应于所述终端与所述CAPIF功能之间的传输层安全会话TLS建立，终端通过所述TLS向所述CAPIF功能发送所述认证请求信息。需要说明的是，步骤203可在没有建立TLS的条件下执行，即：不建立TLS，直接发送认证请求信息。
步骤214、CAPIF功能向BSF发送第二请求信息。
步骤215、CAPIF功能接收所述BSF发送的第二响应信息。
步骤216、CAPIF功能基于所述密钥Ks_NAF对所述终端进行认证。
步骤217、终端授权程序。
步骤218、终端接收所述CAPIF功能发送的认证响应信息。
如图22所示，本实施例中提供一种应用程序接口API调用器认证装置，其中，所述装置包括：
发送模块221，被配置为向通用应用程序接口API框架CAPIF功能发送认证请求信息；
其中，所述认证请求信息用于触发所述CAPIF功能对API调用器的身份认证。
需要说明的是，本领域内技术人员可以理解，本公开实施例提供的方法，可以被单独执行，也可以与本公开实施例中一些方法或相关技术中的一些方法一起被执行。
如图23所示，本实施例中提供一种应用程序接口API调用器认证装置，其中，所述装置包括：
接收模块231，被配置为接收终端发送的认证请求信息；
其中，所述认证请求信息用于触发所述CAPIF功能对API调用器的身份认证。
需要说明的是，本领域内技术人员可以理解，本公开实施例提供的方法，可以被单独执行，也可以与本公开实施例中一些方法或相关技术中的一些方法一起被执行。
如图24所示，本实施例中提供一种应用程序接口API调用器认证装置，其中，所述装置包括：
接收模块241，被配置为接收CAPIF功能发送的第二请求信息；
其中，所述第二请求信息包括以下至少之一：
API调用器提供的B-TID；
接收CAPIF功能的网络应用功能标识NAF-ID，包括所述CAPIF功能的FQDN和/或CAPIF功能与终端之间Ua接口安全协议标识符。
需要说明的是，本领域内技术人员可以理解，本公开实施例提供的方法，可以被单独执行，也可以与本公开实施例中一些方法或相关技术中的一些方法一起被执行。
本公开实施例提供一种通信设备，通信设备，包括：
处理器；
用于存储处理器可执行指令的存储器；
其中，处理器被配置为：用于运行可执行指令时，实现应用于本公开任意实施例的方法。
其中，处理器可包括各种类型的存储介质，该存储介质为非临时性计算机存储介质，在通信设备掉电之后能够继续记忆存储其上的信息。
处理器可以通过总线等与存储器连接，用于读取存储器上存储的可执行程序。
本公开实施例还提供一种计算机存储介质，其中，计算机存储介质存储有计算机可执行程序，可执行程序被处理器执行时实现本公开任意实施例的方法。
关于上述实施例中的装置，其中各个模块执行操作的具体方式已经在有关该方法的实施例中进行了详细描述，此处将不做详细阐述说明。
图25是根据一示例性实施例示出的一种用户设备8000的框图。例如，用户设备8000可以是移动电话，计算机，数字广播终端，消息收发设备，游戏控制台，平板设备，医疗设备，健身设备，个人数字助理等。
参照图25，用户设备8000可以包括以下一个或多个信元：处理信元 8002，存储器8004，电源信元8006，多媒体信元8008，音频信元8010，输入/输出(I/O)的接口8012，传感器信元8014，以及通信信元8016。
处理信元8002通常控制用户设备8000的整体操作，诸如与显示，电话呼叫，数据通信，相机操作和记录操作相关联的操作。处理信元8002可以包括一个或多个处理器8020来执行指令，以完成上述的个人物联网设备凭证配置方法的全部或部分步骤。此外，处理信元8002可以包括一个或多个模块，便于处理信元8002和其他信元之间的交互。例如，处理信元8002可以包括多媒体模块，以方便多媒体信元8008和处理信元8002之间的交互。
存储器8004被配置为存储各种类型的数据以支持在设备8000的操作。这些数据的示例包括用于在用户设备8000上操作的任何应用程序或方法的指令，联系人数据，电话簿数据，消息，图片，视频等。存储器8004可以由任何类型的易失性或非易失性存储设备或者它们的组合实现，如静态随机存取存储器(SRAM)，电可擦除可编程只读存储器(EEPROM)，可擦除可编程只读存储器(EPROM)，可编程只读存储器(PROM)，只读存储器(ROM)，磁存储器，快闪存储器，磁盘或光盘。
电源信元8006为用户设备8000的各种信元提供电力。电源信元8006可以包括电源管理系统，一个或多个电源，及其他与为用户设备8000生成、管理和分配电力相关联的信元。
多媒体信元8008包括在用户设备8000和用户之间的提供一个输出接口的屏幕。在一些实施例中，屏幕可以包括液晶显示器(LCD)和触摸面板(TP)。如果屏幕包括触摸面板，屏幕可以被实现为触摸屏，以接收来自用户的输入信号。触摸面板包括一个或多个触摸传感器以感测触摸、滑动和触摸面板上的手势。触摸传感器可以不仅感测触摸或滑动动作的边界，而且还检测与触摸或滑动操作相关的持续时间和压力。在一些实施例中， 多媒体信元8008包括一个前置摄像头和/或后置摄像头。当设备8000处于操作模式，如拍摄模式或视频模式时，前置摄像头和/或后置摄像头可以接收外部的多媒体数据。每个前置摄像头和后置摄像头可以是一个固定的光学透镜系统或具有焦距和光学变焦能力。
音频信元8010被配置为输出和/或输入音频信号。例如，音频信元8010包括一个麦克风(MIC)，当用户设备8000处于操作模式，如呼叫模式、记录模式和语音识别模式时，麦克风被配置为接收外部音频信号。所接收的音频信号可以被进一步存储在存储器8004或经由通信信元8016发送。在一些实施例中，音频信元8010还包括一个扬声器，用于输出音频信号。
I/O接口8012为处理信元8002和外围接口模块之间提供接口，上述外围接口模块可以是键盘，点击轮，按钮等。这些按钮可包括但不限于：主页按钮、音量按钮、启动按钮和锁定按钮。
传感器信元8014包括一个或多个传感器，用于为用户设备8000提供各个方面的状态评估。例如，传感器信元8014可以检测到设备8000的打开/关闭状态，信元的相对定位，例如信元为用户设备8000的显示器和小键盘，传感器信元8014还可以检测用户设备8000或用户设备8000中一个信元的位置改变，用户与用户设备8000接触的存在或不存在，用户设备8000方位或加速/减速和用户设备8000的温度变化。传感器信元8014可以包括接近传感器，被配置用来在没有任何的物理接触时检测附近物体的存在。传感器信元8014还可以包括光传感器，如CMOS或CCD图像传感器，用于在成像应用中使用。在一些实施例中，该传感器信元8014还可以包括加速度传感器，陀螺仪传感器，磁传感器，压力传感器或温度传感器。
通信信元8016被配置为便于用户设备8000和其他设备之间有线或无线方式的通信。用户设备8000可以接入基于通信标准的无线网络，如Wi-Fi，2G或3G，或它们的组合。在一个示例性实施例中，通信信元8016经由广 播信道接收来自外部广播管理系统的广播信号或广播相关信息。在一个示例性实施例中，通信信元8016还包括近场通信(NFC)模块，以促进短程通信。例如，在NFC模块可基于射频识别(RFID)技术，红外数据协会(IrDA)技术，超宽带(UWB)技术，蓝牙(BT)技术和其他技术来实现。
在示例性实施例中，用户设备8000可以被一个或多个应用专用集成电路(ASIC)、数字信号处理器(DSP)、数字信号处理设备(DSPD)、可编程逻辑器件(PLD)、现场可编程门阵列(FPGA)、控制器、微控制器、微处理器或其他电子元件实现，用于执行上述个人物联网设备凭证配置方法的步骤。
在示例性实施例中，还提供了一种包括指令的非临时性计算机可读存储介质，例如包括指令的存储器8004，上述指令可由用户设备8000的处理器8020执行以完成上述个人物联网设备凭证配置方法的步骤。例如，非临时性计算机可读存储介质可以是ROM、随机存取存储器(RAM)、CD-ROM、磁带、软盘和光数据存储设备等。
本领域技术人员在考虑说明书及实践这里公开的发明后，将容易想到本发明实施例的其它实施方案。本申请旨在涵盖本发明实施例的任何变型、用途或者适应性变化，这些变型、用途或者适应性变化遵循本发明实施例的一般性原理并包括本公开实施例未公开的本技术领域中的公知常识或惯用技术手段。说明书和实施例仅被视为示例性的，本发明实施例的真正范围和精神由下面的权利要求指出。
应当理解的是，本发明实施例并不局限于上面已经描述并在附图中示出的精确结构，并且可以在不脱离其范围进行各种修改和改变。本发明实施例的范围仅由所附的权利要求来限制。

Claims (60)

  1. 一种应用程序接口API调用器认证方法，其中，所述方法包括：
    向通用应用程序接口API框架CAPIF功能发送认证请求信息；
    其中，所述认证请求信息用于触发所述CAPIF功能对API调用器的身份认证。
  2. 根据权利要求1所述的方法，其中，所述API调用器为终端。
  3. 根据权利要求2所述的方法，其中，
    响应于基于证书认证方式对所述API调用器进行身份认证，所述认证请求信息指示用于证书认证的证书；
    或者，
    响应于基于通用引导架构GBA认证方式对所述API调用器进行身份认证，所述认证请求信息指示会话事务标识B-TID。
  4. 根据权利要求2所述的方法，其中，所述API调用器访问的所述CAPIF功能包括以下至少之一：
    第一类型功能，包括：CAPIF核心功能；
    第二类型功能，CAPIF体系中除所述CAPIF核心功能之外的功能。
  5. 根据权利要求4所述的方法，其中，所述第二类型功能包括API开放功能AEF和/或授权功能AF。
  6. 根据权利要求2所述的方法，其中，所述方法还包括：
    根据API调用器访问的所述CAPIF功能，确定认证所述API调用器的认证方式。
  7. 根据权利要求6所述的方法，其中，所述根据API调用器访问的所述CAPIF功能，确定认证所述API调用器的认证方式，包括：
    响应于所述终端访问的所述CAPIF功能包括所述第一类型功能，确定认证所述API调用器的认证方式为GBA认证方式或者证书认证方式；
    或者，
    响应于所述终端访问的所述CAPIF功能不包括所述第一类型功能，确定认证所述API调用器的认证方式为证书认证方式。
  8. 根据权利要求7所述的方法，其中，所述方法还包括：
    响应于所述终端访问的所述CAPIF功能为所述第一类型功能，接收所述第一类型功能发送的用于证书认证的证书；
    其中，所述证书用于所述终端与所述第二类型功能之间的认证。
  9. 根据权利要求8所述的方法，其中，所述方法还包括：
    响应于所述终端访问的CAPIF功能为所述第二类型功能，基于GBA执行终端身份认证或基于第一类型功能发送的证书执行基于证书的终端身份认证。
  10. 根据权利要求9所述的方法，其中，向通用应用程序接口API框架CAPIF功能发送认证请求信息，包括：
    响应于基于所述第一类型功能发送的证书执行基于证书的终端身份认证，向所述CAPIF功能发送所述认证请求信息；
    其中，所述认证请求信息包含所述第一类型功能发送的证书。
  11. 根据权利要求2所述的方法，其中，所述方法还包括：
    基于GBA认证方式执行所述API调用器和CAPIF功能之间的身份认证。
  12. 根据权利要求11所述的方法，其中，所述认证请求信息包含以下至少之一：
    API提供者域提供的注册凭证，所述注册凭证包括访问令牌；
    API调用器公钥；
    会话事务标识B-TID。
  13. 根据权利要求11所述的方法，其中，所述方法还包括：
    接收所述CAPIF功能发送的认证响应信息；
    其中，所述认证响应信息包括以下至少之一：
    API调用器证书，所述API调用器证书中包含CAPIF功能分配的API调用器标识、API调用器公钥和/或API调用器身份标识；
    所述CAPIF功能分配的API调用器ID；
    AEF身份验证和授权信息；
    API调用器签约密钥。
  14. 根据权利要求13所述的方法，其中，其中，所述API调用器身份标识包括以下至少之一：
    用户永久标识符SUPI；
    公共订阅标识符GPSI；
    IP多媒体子系统IMS用户私有标识IMPI；
    订阅用户隐藏标识符SUCI；以及
    终端的应用层标识ID。
  15. 根据权利要求12所述的方法，其中，所述向通用应用程序接口API框架CAPIF功能发送认证请求信息，包括：
    响应于所述终端与所述CAPIF功能之间的传输层安全会话TLS建立，通过所述TLS向所述CAPIF功能发送所述认证请求信息。
  16. 根据权利要求15所述的方法，其中，所述方法还包括：
    基于注册信息建立所述TLS；
    其中，所述在注册信息包括以下至少之一：
    CAPIF功能的地址；
    CAPIF功能的完全限定域名FQDN；
    CAPIF功能的根证书授权CA证书；
    API提供者域提供的注册凭证，所述注册凭证包括访问令牌。
  17. 根据权利要求12所述的方法，其中，所述方法还包括：
    从API提供者域获取或者API调用器的预配置信息中获取注册信息。
  18. 根据权利要求12所述的方法，其中，所述方法还包括：
    基于参考点Ua接口启动所述终端与所述网络功能之间的通信。
  19. 根据权利要求18所述的方法，其中，所述基于参考点Ua接口启动所述终端与所述网络功能之间的通信，包括：
    基于受密钥Ks_NAF保护的所述参考点Ua接口启动所述终端与所述网络功能之间的通信；
    其中，所述密钥Ks_NAF为所述终端与所述网络功能之间的共享密钥。
  20. 根据权利要求19所述的方法，其中，所述方法还包括：
    响应于所述终端选择的通用集成电路卡UICC应用的密钥Ks可用，基于所述密钥Ks确定所述密钥Ks_NAF；
    或者，响应于所述终端选择的UICC应用的密钥Ks不可用，基于参考点Ub接口与引导服务器功能BSF确定密钥Ks，基于所述密钥Ks确定所述密钥Ks_NAF；
    或者，响应于所述终端不期望基于所述UICC应用的原有的密钥Ks确定所述密钥Ks_NAF，基于参考点Ub接口与BSF确定新生成的密钥Ks，基于所述新生成的密钥Ks确定所述密钥Ks_NAF。
  21. 根据权利要求19所述的方法，其中，所述方法还包括：
    接收所述CAPIF功能发送的第一请求信息；
    其中，所述第一请求信息指示所述密钥Ks_NAF失效或者即将失效。
  22. 一种应用程序接口API调用器认证方法，其中，所述方法由CAPIF功能执行，所述方法包括：
    接收终端发送的认证请求信息；
    其中，所述认证请求信息用于触发所述CAPIF功能对API调用器的身 份认证。
  23. 根据权利要求22所述的方法，其中，所述API调用器为终端。
  24. 根据权利要求23所述的方法，其中，
    响应于基于证书认证方式对所述API调用器进行身份认证，所述认证请求信息指示用于证书认证的证书；
    或者，
    响应于基于通用引导架构GBA认证方式对所述API调用器进行身份认证，所述认证请求信息指示会话事务标识B-TID。
  25. 根据权利要求23所述的方法，其中，所述API调用器访问的所述CAPIF功能包括以下至少之一：
    第一类型功能，包括：CAPIF核心功能；
    第二类型功能，CAPIF体系中除所述CAPIF核心功能之外的功能。
  26. 根据权利要求25所述的方法，其中，所述第二类型功能包括API开放功能AEF和/或授权功能AF。
  27. 根据权利要求23所述的方法，其中，所述方法还包括：
    响应于所述认证请求信息包括第一类型功能颁发的证书，第二类型功能利用所述第一类型功能的公钥验证所述证书；
    响应于所述证书的验证通过，所述终端通过身份认证。
  28. 根据权利要求23所述的方法，其中，响应于基于通用引导架构GBA认证方式对所述API调用器进行身份认证，所述第一请求信息包含以下至少之一：
    API提供者域提供的注册凭证，所述注册凭证包括访问令牌；
    API调用器公钥；
    会话事务标识B-TID。
  29. 根据权利要求28所述的方法，其中，所述方法还包括：
    向终端发送响应信息；
    其中，所述响应信息包括以下至少之一：
    API调用器证书，所述API调用器证书中包含CAPIF功能分配的API调用器标识、API调用器公钥和/或API调用器身份标识；
    所述CAPIF功能分配的API调用器ID；
    AEF身份验证和授权信息；
    API调用器签约密钥。
  30. 根据权利要求29所述的方法，其中，其中，所述API调用器身份标识包括以下至少之一：
    用户永久标识符SUPI；
    公共订阅标识符GPSI；
    IP多媒体子系统IMS用户私有标识IMPI；
    订阅用户隐藏标识符SUCI；以及
    终端的应用层标识ID。
  31. 根据权利要求28所述的方法，其中，所述接收终端发送的认证请求信息，包括：
    响应于所述终端与所述网络功能之间的传输层安全会话TLS建立，基于所述TLS接收终端发送的所述认证请求信息。
  32. 根据权利要求31所述的方法，其中，所述方法还包括：
    基于注册信息建立所述TLS；
    其中，所述注册信息包括以下至少之一：
    CAPIF功能的地址；
    CAPIF功能的完全限定域名FQDN；
    CAPIF功能的根证书授权CA证书；
    API提供者域提供的注册凭证，所述注册凭证包括访问令牌。
  33. 根据权利要求28所述的方法，其中，所述方法还包括：
    基于参考点Ua接口执行所述终端与所述网络功能之间的通信。
  34. 根据权利要求33所述的方法，其中，所述基于参考点Ua接口启动所述终端与所述网络功能之间的通信，包括：
    基于受密钥Ks_NAF保护的所述参考点Ua接口执行所述终端与所述网络功能之间的通信；
    其中，所述密钥Ks_NAF为所述终端与所述网络功能之间的共享密钥。
  35. 根据权利要求34所述的方法，其中，所述方法还包括：
    响应于所述密钥Ks_NAF失效或者即将失效，向所述终端发送第一请求信息；
    其中，所述第一请求信息指示所述密钥Ks_NAF失效或者即将失效。
  36. 根据权利要求28所述的方法，其中，所述方法还包括：
    向BSF发送第二请求信息；
    其中，所述第二请求信息包括以下至少之一：
    终端提供的B-TID；
    CAPIF功能的网络应用功能标识NAF-ID，包括所述CAPIF功能的FQDN和/或CAPIF功能与终端之间Ua接口安全协议标识符。
  37. 根据权利要求36所述的方法，其中，所述方法还包括：
    接收所述BSF发送的第二响应信息；
    其中，所述第二响应信息包括以下至少之一：
    所述CAPIF功能对应的密钥Ks_NAF；
    用户安全设置USS信息；
    引导时间；
    密钥的生命周期。
  38. 根据权利要求37所述的方法，其中，所述方法还包括：
    基于所述密钥Ks_NAF对所述终端进行认证。
  39. 根据权利要求38所述的方法，其中，所述基于所述密钥Ks_NAF对所述终端进行认证，包括：
    响应于基于通用引导架构GBA执行所述终端的身份认证，基于Ks_NAF验证API调用器身份信息。
  40. 根据权利要求39所述的方法，其中，所述方法还包括：
    响应于所述API调用器身份验证成功，生成API调用器配置文件；
    其中，所述API调用器配置文件包含API调用器和API开放功能AEF之间的AEF身份验证和授权的选定方式。
  41. 根据权利要求40所述的方法，其中，所述方法还包括：
    针对分配的API调用器标识和公钥，生成API调用器证书；
    其中，所述API调用器证书中包含CAPIF功能分配的API调用器标识、API调用器公钥和/或API调用器身份标识。
  42. 根据权利要求41所述的方法，其中，所述API调用器身份标识包括以下至少之一：
    用户永久标识符SUPI；
    公共订阅标识符GPSI；
    IP多媒体子系统IMS用户私有标识IMPI；
    订阅用户隐藏标识符SUCI；以及
    终端的应用层标识ID。
  43. 根据权利要求40所述的方法，其中，所述方法还包括：
    生成签约密钥；
    其中，所述签约密钥与所述CAPIF功能生成的AIP调用器ID绑定。
  44. 一种应用程序接口API调用器认证方法，其中，所述方法由BSF执行，所述方法包括：
    接收CAPIF功能发送的第二请求信息；
    其中，所述第二请求信息包括以下至少之一：
    API调用器提供的B-TID；
    接收CAPIF功能的网络应用功能标识NAF-ID，包括所述CAPIF功能的FQDN和/或CAPIF功能与终端之间Ua接口安全协议标识符。
  45. 根据权利要求44所述的方法，其中，所述API调用器为终端。
  46. 根据权利要求44所述的方法，其中，
    所述CAPIF功能包括以下至少之一：
    第一类型功能，包括：CAPIF核心功能；
    第二类型功能，CAPIF体系中除所述CAPIF核心功能之外的功能。
  47. 根据权利要求46所述的方法，其中，所述第二类型功能包括API开放功能AEF和/或授权功能AF。
  48. 根据权利要求44所述的方法，其中，所述方法还包括：
    基于密钥Ks和密钥导出参数确定密钥Ks_NAF。
  49. 根据权利要求48所述的方法，其中，所述方法还包括：
    向所述BSF发送第二响应信息；
    其中，所述第二响应信息包括以下至少之一：
    密钥Ks_NAF；
    用户安全设置USS信息；
    引导时间；
    密钥的生命周期。
  50. 一种应用程序接口API调用器认证方法，其中，所述方法由网络侧执行，所述方法包括：
    接收终端发送的认证请求信息；
    其中，所述认证请求信息用于触发所述CAPIF功能对API调用器的身 份认证。
  51. 根据权利要求50所述的方法，其中，所述API调用器为终端。
  52. 根据权利要求51所述的方法，其中，
    响应于基于证书认证方式对所述API调用器进行身份认证，所述认证请求信息指示用于证书认证的证书；
    或者，
    响应于基于通用引导架构GBA认证方式对所述API调用器进行身份认证，所述认证请求信息指示会话事务标识B-TID。
  53. 根据权利要求50所述的方法，其中，所述方法还包括：
    向终端发送响应信息；
    其中，所述响应信息包括以下至少之一：
    API调用器证书，所述API调用器证书中包含CAPIF功能分配的API调用器标识、API调用器公钥和/或API调用器身份标识；
    所述CAPIF功能分配的API调用器ID；
    AEF身份验证和授权信息；
    API调用器签约密钥。
  54. 根据权利要求53所述的方法，其中，所述API调用器身份标识包括以下至少之一：
    用户永久标识符SUPI；
    公共订阅标识符GPSI；
    IP多媒体子系统IMS用户私有标识IMPI；
    订阅用户隐藏标识符SUCI；以及
    终端的应用层标识ID。
  55. 一种应用程序接口API调用器认证装置，其中，所述装置包括：
    发送模块，被配置为向通用应用程序接口API框架CAPIF功能发送认 证请求信息；
    其中，所述认证请求信息用于触发所述CAPIF功能对API调用器的身份认证。
  56. 一种应用程序接口API调用器认证装置，其中，所述装置包括：
    接收模块，被配置为接收终端发送的认证请求信息；
    其中，所述认证请求信息用于触发所述CAPIF功能对API调用器的身份认证。
  57. 一种应用程序接口API调用器认证装置，其中，所述装置包括：
    接收模块，被配置为接收CAPIF功能发送的第二请求信息；
    其中，所述第二请求信息包括以下至少之一：
    API调用器提供的B-TID；
    接收CAPIF功能的网络应用功能标识NAF-ID，包括所述CAPIF功能的FQDN和/或CAPIF功能与终端之间Ua接口安全协议标识符。
  58. 一种应用程序接口API调用器认证装置，其中，所述装置包括：
    接收模块，被配置为接收终端发送的认证请求信息；
    其中，所述认证请求信息用于触发所述CAPIF功能对API调用器的身份认证。
  59. 一种通信设备，其中，包括：
    存储器；
    处理器，与所述存储器连接，被配置为通过执行存储在所述存储器上的计算机可执行指令，并能够实现权利要求1至21、22至43、44至49或者50至54任一项所述的方法。
  60. 一种计算机存储介质，所述计算机存储介质存储有计算机可执行指令，所述计算机可执行指令被处理器执行后能够实现权利要求1至21、22至43、44至49或者50至54任一项所述的方法。
PCT/CN2022/109273 2022-07-29 2022-07-29 应用程序接口api认证方法、装置、通信设备及存储介质 WO2024021142A1 (zh)

Priority Applications (2)

Application Number Priority Date Filing Date Title
PCT/CN2022/109273 WO2024021142A1 (zh) 2022-07-29 2022-07-29 应用程序接口api认证方法、装置、通信设备及存储介质
CN202280002864.XA CN117795915A (zh) 2022-07-29 2022-07-29 应用程序接口api认证方法、装置、通信设备及存储介质

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/CN2022/109273 WO2024021142A1 (zh) 2022-07-29 2022-07-29 应用程序接口api认证方法、装置、通信设备及存储介质

Publications (1)

Publication Number Publication Date
WO2024021142A1 true WO2024021142A1 (zh) 2024-02-01

Family

ID=89705127

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2022/109273 WO2024021142A1 (zh) 2022-07-29 2022-07-29 应用程序接口api认证方法、装置、通信设备及存储介质

Country Status (2)

Country Link
CN (1) CN117795915A (zh)
WO (1) WO2024021142A1 (zh)

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN110362412A (zh) * 2018-04-09 2019-10-22 华为技术有限公司 一种服务api调用方法和相关装置
US20200267238A1 (en) * 2019-02-16 2020-08-20 Samsung Electronics Co., Ltd. Method and apparatus for registering api provider domain function entities on capif core function entity
WO2022113370A1 (ja) * 2020-11-30 2022-06-02 株式会社Ｎｔｔドコモ ネットワークノード及び通信方法

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN110362412A (zh) * 2018-04-09 2019-10-22 华为技术有限公司 一种服务api调用方法和相关装置
US20200267238A1 (en) * 2019-02-16 2020-08-20 Samsung Electronics Co., Ltd. Method and apparatus for registering api provider domain function entities on capif core function entity
CN111837374A (zh) * 2019-02-16 2020-10-27 三星电子株式会社 在capif核心功能实体上注册api提供者域功能实体的方法和装置
WO2022113370A1 (ja) * 2020-11-30 2022-06-02 株式会社Ｎｔｔドコモ ネットワークノード及び通信方法

Non-Patent Citations (2)

* Cited by examiner, † Cited by third party
Title
HUAWEI, HISILICON: "Clarification on access token verification", 3GPP DRAFT; 33122_CR0008R1_(REL-15)_S3-182621-CLARIFICATION ON ACCESS TOKEN VERIFICATION, 3RD GENERATION PARTNERSHIP PROJECT (3GPP), MOBILE COMPETENCE CENTRE ; 650, ROUTE DES LUCIOLES ; F-06921 SOPHIA-ANTIPOLIS CEDEX ; FRANCE, vol. SA WG3, no. Dalian (China); 20180820 - 20180824, 5 September 2018 (2018-09-05), Mobile Competence Centre ; 650, route des Lucioles ; F-06921 Sophia-Antipolis Cedex ; France , XP051476488 *
MSI, AIRWAVE: "[CAPIF_SEC] Authentication and authorization flow", 3GPP DRAFT; DRAFT_S3-181943-V1 (WAS 1653) [CAPIF_SEC] 33.122 AUTHENTICATION AND AUTHORIZATION FLOW, 3RD GENERATION PARTNERSHIP PROJECT (3GPP), MOBILE COMPETENCE CENTRE ; 650, ROUTE DES LUCIOLES ; F-06921 SOPHIA-ANTIPOLIS CEDEX ; FRANCE, vol. SA WG3, no. La Jolla (US); 20180521 - 20180525, 23 May 2018 (2018-05-23), Mobile Competence Centre ; 650, route des Lucioles ; F-06921 Sophia-Antipolis Cedex ; France , XP051457207 *

Also Published As

Publication number Publication date
CN117795915A (zh) 2024-03-29

Similar Documents

Publication Publication Date Title
EP3823329B1 (en) Network configuration method and device
WO2019104690A1 (zh) 移动网络接入认证方法、装置、存储介质及区块链节点
WO2017092417A1 (zh) 基于智能终端设备的网络接入的方法和装置
WO2017147780A1 (zh) 数据传输方法、设备及系统
WO2024021142A1 (zh) 应用程序接口api认证方法、装置、通信设备及存储介质
WO2023231018A1 (zh) 个人物联网pin基元凭证配置方法、装置、通信设备及存储介质
WO2024021137A1 (zh) Api调用者认证方法以及装置、通信设备及存储介质
WO2023240657A1 (zh) 认证与授权方法、装置、通信设备及存储介质
WO2023240661A1 (zh) 认证与授权方法、装置、通信设备及存储介质
WO2023245354A1 (zh) 安全保护方法、装置、通信设备及存储介质
WO2024092801A1 (zh) 认证方法、装置、通信设备及存储介质
WO2023240574A1 (zh) 信息处理方法及装置、通信设备及存储介质
WO2023000139A1 (zh) 传输凭证的方法、装置、通信设备及存储介质
WO2023216275A1 (zh) 认证方法、装置、通信设备及存储介质
WO2023216276A1 (zh) 认证方法、装置、通信设备及存储介质
WO2024000115A1 (zh) Ims会话方法、装置、通信设备及存储介质
WO2024031392A1 (zh) 个人物联网信息更新方法、装置、通信设备及存储介质
WO2024000121A1 (zh) Ims会话方法、装置、通信设备及存储介质
WO2024092735A1 (zh) 通信控制方法、系统及装置、通信设备及存储介质
WO2023212934A1 (zh) 一种中继通信方法、接入方法、装置及设备
WO2024031399A1 (zh) Ue加入pin的方法及装置、通信设备及存储介质
WO2024031390A1 (zh) 个人物联网信息更新方法、装置、通信设备及存储介质
WO2023230924A1 (zh) 认证方法、装置、通信设备和存储介质
WO2024036458A1 (zh) 注册方法、装置及存储介质
WO2023184561A1 (zh) 中继通信方法、装置、通信设备及存储介质

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 22952587

Country of ref document: EP

Kind code of ref document: A1