專(zhuān)利名稱(chēng)：一種通信認(rèn)證查詢(xún)方法和系統(tǒng)的制作方法
技術(shù)領(lǐng)域：
本發(fā)明涉及網(wǎng)絡(luò)通信服務(wù)技術(shù)領(lǐng)域，特別涉及一種基于移動(dòng)網(wǎng)的端到端應(yīng)用服務(wù)通信認(rèn)證查詢(xún)方法和系統(tǒng)。
背景技術(shù)：
在第三代無(wú)線(xiàn)通信標(biāo)準(zhǔn)中，通用鑒權(quán)框架是多種應(yīng)用業(yè)務(wù)實(shí)體使用的一個(gè)用于完成對(duì)用戶(hù)身份進(jìn)行驗(yàn)證的通用結(jié)構(gòu)，應(yīng)用通用鑒權(quán)框架可實(shí)現(xiàn)對(duì)應(yīng)用業(yè)務(wù)的用戶(hù)進(jìn)行檢查和驗(yàn)證身份。上述多種應(yīng)用業(yè)務(wù)可以是多播/廣播業(yè)務(wù)、用戶(hù)證書(shū)業(yè)務(wù)、信息即時(shí)提供業(yè)務(wù)等，也可以是代理業(yè)務(wù)。
圖1所示為現(xiàn)有的通用鑒權(quán)框架的結(jié)構(gòu)示意圖。通用鑒權(quán)框架通常由用戶(hù)終端(UE)1、執(zhí)行初始檢查驗(yàn)證的功能實(shí)體(BSF)2、用戶(hù)歸屬網(wǎng)絡(luò)服務(wù)器(HSS)3和網(wǎng)絡(luò)應(yīng)用功能實(shí)體(NAF)4組成。BSF 2用于與用戶(hù)終端101互驗(yàn)證身份，同時(shí)生成BSF 2與用戶(hù)終端1的共享密鑰；HSS 3中存儲(chǔ)有用于描述用戶(hù)信息的描述(Profile)文件，該P(yáng)rofile中包括用戶(hù)身份標(biāo)識(shí)等所有與用戶(hù)有關(guān)的描述信息，同時(shí)HSS 3還兼有產(chǎn)生鑒權(quán)矢量信息的功能。
用戶(hù)需要使用某種業(yè)務(wù)時(shí)，如果其知道需要到BSF進(jìn)行互鑒權(quán)，則直接與BSF交互以進(jìn)行互鑒權(quán)，否則，用戶(hù)會(huì)首先和該業(yè)務(wù)對(duì)應(yīng)的NAF聯(lián)系，如果該NAF應(yīng)用通用鑒權(quán)框架且需要用戶(hù)到BSF進(jìn)行身份驗(yàn)證，則通知用戶(hù)應(yīng)用通用鑒權(quán)框架進(jìn)行身份驗(yàn)證，否則進(jìn)行其它相應(yīng)處理。
用戶(hù)終端與BSF之間的互認(rèn)證過(guò)程是用戶(hù)向BSF發(fā)出鑒權(quán)請(qǐng)求，該鑒權(quán)請(qǐng)求消息中包括用戶(hù)的永久身份標(biāo)識(shí)，BSF接到來(lái)自用戶(hù)的鑒權(quán)請(qǐng)求后，向HSS請(qǐng)求該用戶(hù)的鑒權(quán)信息，該請(qǐng)求消息中也包含了該用戶(hù)終端的永久身份標(biāo)識(shí)，HSS根據(jù)該用戶(hù)終端的永久身份標(biāo)識(shí)查找到該用戶(hù)的profile文件并且生成鑒權(quán)信息返回給BSF。BSF根據(jù)所獲取的鑒權(quán)信息與用戶(hù)之間執(zhí)行鑒權(quán)和密鑰協(xié)商協(xié)議(AKA)進(jìn)行互鑒權(quán)。鑒權(quán)成功后，用戶(hù)和BSF之間互相認(rèn)證了身份并且同時(shí)生成了共享密鑰Ks，BSF為這個(gè)密鑰Ks定義有效期限，以便Ks進(jìn)行更新。之后，BSF分配一個(gè)會(huì)話(huà)事務(wù)標(biāo)識(shí)(B-TID)給UE，在將B-TID和密鑰Ks發(fā)送給UE的同時(shí)包含了Ks的有效期限，該B-TID是與Ks相關(guān)聯(lián)的。共享密鑰Ks是作為根密鑰來(lái)使用的，不會(huì)離開(kāi)用戶(hù)的UE和BSF，當(dāng)用戶(hù)和NAF通信時(shí)，將使用由Ks衍生出的密鑰作為通信保護(hù)。
當(dāng)用戶(hù)發(fā)現(xiàn)Ks即將過(guò)期，或NAF要求用戶(hù)重新到BSF進(jìn)行鑒權(quán)時(shí)，用戶(hù)就會(huì)重復(fù)上述的步驟重新到BSF進(jìn)行鑒權(quán)，以得到新的Ks及B-TID。
上述的技術(shù)方案認(rèn)證查詢(xún)模型單一、缺乏靈活性，不能很好地與現(xiàn)有機(jī)制兼容，而且只能應(yīng)用于第三代移動(dòng)網(wǎng)絡(luò)。

發(fā)明內(nèi)容
基于現(xiàn)有技術(shù)中，在不同移動(dòng)網(wǎng)絡(luò)中的不同業(yè)務(wù)實(shí)體之間要進(jìn)行業(yè)務(wù)通信前，沒(méi)有一種完善的、可行的認(rèn)證查詢(xún)方法來(lái)檢查業(yè)務(wù)簽約者和業(yè)務(wù)提供者身份的合法性，并為二者生成衍生密鑰以保護(hù)他們之間通信的安全性。本發(fā)明提出了一種通信認(rèn)證查詢(xún)方法，所述方法中包含多種認(rèn)證查詢(xún)方式，可以檢查業(yè)務(wù)簽約者和業(yè)務(wù)提供者身份的合法性，并為二者生成衍生密鑰以保護(hù)他們之間通信的安全性。
本發(fā)明所述的通信認(rèn)證查詢(xún)方法的核心在于，所述方法利用支持一種或多種認(rèn)證查詢(xún)方式的實(shí)體認(rèn)證中心參與認(rèn)證查詢(xún)過(guò)程，至少包括以下步驟所述實(shí)體認(rèn)證中心根據(jù)業(yè)務(wù)實(shí)體所請(qǐng)求或提供的業(yè)務(wù)的安全等級(jí)需求，查找安全等級(jí)列表，選擇一種符合業(yè)務(wù)安全等級(jí)需求的認(rèn)證查詢(xún)方式，并將選擇結(jié)果返回給業(yè)務(wù)實(shí)體；以及所述業(yè)務(wù)實(shí)體按照所述實(shí)體認(rèn)證中心選出的查詢(xún)方式發(fā)起業(yè)務(wù)請(qǐng)求。
其中，所述實(shí)體認(rèn)證中心支持的一種認(rèn)證查詢(xún)方式包括如下步驟步驟1)業(yè)務(wù)簽約者向業(yè)務(wù)提供者發(fā)送業(yè)務(wù)請(qǐng)求，所述業(yè)務(wù)請(qǐng)求消息中攜帶業(yè)務(wù)簽約者在所述認(rèn)證中心認(rèn)證得到的中間業(yè)務(wù)請(qǐng)求標(biāo)識(shí)以及業(yè)務(wù)提供者的公開(kāi)身份標(biāo)識(shí)；步驟2)業(yè)務(wù)提供者收到業(yè)務(wù)請(qǐng)求后，查找本地是否保存有業(yè)務(wù)簽約者的中間業(yè)務(wù)請(qǐng)求標(biāo)識(shí)的相關(guān)信息以識(shí)別所述業(yè)務(wù)簽約者；如果保存有所述信息，雙方開(kāi)始業(yè)務(wù)過(guò)程；如果沒(méi)有保存所述信息，則向?qū)嶓w認(rèn)證中心發(fā)出查詢(xún)請(qǐng)求，并在查詢(xún)請(qǐng)求消息中攜帶業(yè)務(wù)簽約者的中間業(yè)務(wù)請(qǐng)求標(biāo)識(shí)以及自身的中間業(yè)務(wù)查詢(xún)標(biāo)識(shí)和公開(kāi)身份標(biāo)示；步驟3)實(shí)體認(rèn)證中心收到查詢(xún)請(qǐng)求后，進(jìn)行身份和權(quán)限的合法性檢查；如果檢查結(jié)果合法，則所述實(shí)體認(rèn)證中心根據(jù)所述業(yè)務(wù)簽約者和業(yè)務(wù)提供者的身份信息，以及所述業(yè)務(wù)簽約者與實(shí)體認(rèn)證中心的共享密鑰材料計(jì)算出一個(gè)用于保護(hù)所述業(yè)務(wù)簽約者和業(yè)務(wù)提供者之間業(yè)務(wù)通信的衍生密鑰，并利用實(shí)體認(rèn)證中心與所述業(yè)務(wù)提供者的共享密鑰材料加密后發(fā)送給業(yè)務(wù)提供者；如果檢查結(jié)果不合法，則所述實(shí)體認(rèn)證中心向相應(yīng)的業(yè)務(wù)實(shí)體發(fā)錯(cuò)誤信息，通知相應(yīng)的業(yè)務(wù)實(shí)體重新到實(shí)體認(rèn)證中心認(rèn)證身份；步驟4)所述業(yè)務(wù)提供者解密獲得衍生密鑰，并將衍生密鑰，有效期，業(yè)務(wù)簽約者的中間業(yè)務(wù)請(qǐng)求標(biāo)識(shí)以及業(yè)務(wù)提供者的公開(kāi)身份標(biāo)識(shí)關(guān)聯(lián)保存在本地，并向業(yè)務(wù)簽約者返回業(yè)務(wù)請(qǐng)求成功響應(yīng)；步驟5)業(yè)務(wù)簽約者在本地也利用相同的參數(shù)和密鑰算法計(jì)算出相同的衍生密鑰，并和業(yè)務(wù)提供者的中間業(yè)務(wù)查詢(xún)標(biāo)識(shí)關(guān)聯(lián)保存在本地。
所述實(shí)體認(rèn)證中心支持的第二種認(rèn)證查詢(xún)方式包括如下步驟步驟1)業(yè)務(wù)簽約者向?qū)嶓w認(rèn)證中心發(fā)送業(yè)務(wù)許可票據(jù)請(qǐng)求，所述請(qǐng)求消息中攜帶所述業(yè)務(wù)簽約者的中間業(yè)務(wù)請(qǐng)求標(biāo)識(shí)，以及該項(xiàng)業(yè)務(wù)的業(yè)務(wù)提供者的公開(kāi)身份標(biāo)識(shí)；步驟2)所述實(shí)體認(rèn)證中心收到請(qǐng)求后，進(jìn)行身份和權(quán)限的合法性檢查；如果檢查結(jié)果合法，所述實(shí)體認(rèn)證中心根據(jù)所述業(yè)務(wù)簽約者和業(yè)務(wù)提供者的身份信息，以及所述業(yè)務(wù)簽約者與實(shí)體認(rèn)證中心的共享密鑰材料計(jì)算出一個(gè)用于保護(hù)所述業(yè)務(wù)簽約者和業(yè)務(wù)提供者之間業(yè)務(wù)通信的衍生密鑰；如果檢查結(jié)果不合法，則所述實(shí)體認(rèn)證中心向相應(yīng)的業(yè)務(wù)實(shí)體發(fā)錯(cuò)誤信息，通知相應(yīng)的業(yè)務(wù)實(shí)體重新到實(shí)體認(rèn)證中心認(rèn)證身份；步驟3)所述實(shí)體認(rèn)證中心產(chǎn)生一個(gè)包含衍生密鑰、業(yè)務(wù)簽約者身份信息和業(yè)務(wù)提供者身份信息的業(yè)務(wù)許可票據(jù)，利用其與所述業(yè)務(wù)提供者的共享密鑰材料加密所述業(yè)務(wù)許可票據(jù)，并向所述業(yè)務(wù)簽約者發(fā)送所述加密后的業(yè)務(wù)許可票據(jù)；步驟4)所述業(yè)務(wù)簽約者收到所述業(yè)務(wù)許可票據(jù)后在本地產(chǎn)生一個(gè)相同的所述衍生密鑰；
步驟5)所述業(yè)務(wù)簽約者向所述業(yè)務(wù)提供者發(fā)送業(yè)務(wù)請(qǐng)求，并攜帶所述業(yè)務(wù)許可票據(jù)；步驟6)所述業(yè)務(wù)提供者解密所述業(yè)務(wù)許可票據(jù)，獲得衍生密鑰，并向所述業(yè)務(wù)簽約者返回業(yè)務(wù)請(qǐng)求成功響應(yīng)。
優(yōu)選地，所述步驟4)具體包括以下步驟所述業(yè)務(wù)簽約者收到所述業(yè)務(wù)許可票據(jù)后，在本地利用相同的參數(shù)和密鑰算法計(jì)算出相同的所述衍生密鑰。
優(yōu)選地，所述步驟3)進(jìn)一步包括所述實(shí)體認(rèn)證中心利用其與所述業(yè)務(wù)簽約者的共享密鑰材料加密所述衍生密鑰，并將加密后的衍生密鑰發(fā)送給所述業(yè)務(wù)簽約者的步驟，從而所述步驟4)的具體步驟變?yōu)樗鰳I(yè)務(wù)簽約者解密獲得衍生密鑰。
優(yōu)選地，還包括以下步驟當(dāng)業(yè)務(wù)簽約者需要獲得某項(xiàng)業(yè)務(wù)時(shí)，首先查看本地是否保存了對(duì)應(yīng)于此項(xiàng)業(yè)務(wù)的業(yè)務(wù)許可票據(jù)，如果有，則直接跳到步驟5)。
所述實(shí)體認(rèn)證中心支持的第三種認(rèn)證查詢(xún)方式包括如下步驟步驟1)業(yè)務(wù)簽約者向所述實(shí)體認(rèn)證中心提出業(yè)務(wù)請(qǐng)求，請(qǐng)求消息中攜帶所述業(yè)務(wù)簽約者的中間業(yè)務(wù)請(qǐng)求標(biāo)識(shí)以及所述業(yè)務(wù)提供者的公開(kāi)身份標(biāo)識(shí)；步驟2)所述實(shí)體認(rèn)證中心檢查所述業(yè)務(wù)簽約者的中間業(yè)務(wù)請(qǐng)求標(biāo)識(shí)的有效性，以及所述簽約者的簽約信息，以確定所述簽約者是否有請(qǐng)求此項(xiàng)業(yè)務(wù)的權(quán)限；步驟3)如果所述業(yè)務(wù)簽約者是合法的，則所述實(shí)體認(rèn)證中心為其轉(zhuǎn)發(fā)業(yè)務(wù)請(qǐng)求給所述業(yè)務(wù)提供者；步驟4)所述業(yè)務(wù)提供者返回業(yè)務(wù)請(qǐng)求響應(yīng)，響應(yīng)中攜帶著自己的中間認(rèn)證查詢(xún)標(biāo)識(shí)；步驟5)所述實(shí)體認(rèn)證中心檢查所述中間認(rèn)證查詢(xún)標(biāo)識(shí)的有效性和所述業(yè)務(wù)提供者的簽約信息，以確定其是否有權(quán)提供此項(xiàng)業(yè)務(wù)；如果所述業(yè)務(wù)提供者是合法的，則所述實(shí)體認(rèn)證中心根據(jù)所述業(yè)務(wù)簽約者和業(yè)務(wù)提供者的身份信息，以及所述業(yè)務(wù)簽約者與實(shí)體認(rèn)證中心的共享密鑰材料計(jì)算出一個(gè)用于保護(hù)所述業(yè)務(wù)簽約者和業(yè)務(wù)提供者之間業(yè)務(wù)通信的衍生密鑰，向所述業(yè)務(wù)簽約者發(fā)送業(yè)務(wù)請(qǐng)求成功響應(yīng)，并向所述業(yè)務(wù)提供者發(fā)送由所述實(shí)體認(rèn)證中心與業(yè)務(wù)提供者的共享密鑰材料加密的衍生密鑰；
如果所述業(yè)務(wù)提供者是不合法的，則所述實(shí)體認(rèn)證中心向相應(yīng)的業(yè)務(wù)實(shí)體發(fā)錯(cuò)誤信息，通知相應(yīng)的業(yè)務(wù)實(shí)體重新到實(shí)體認(rèn)證中心認(rèn)證身份；步驟6)所述業(yè)務(wù)簽約者和業(yè)務(wù)提供者分別生成各自的衍生密鑰。
優(yōu)選地，所述步驟4)和步驟5)進(jìn)一步包括所述業(yè)務(wù)提供者返回業(yè)務(wù)請(qǐng)求響應(yīng)，所述響應(yīng)中還包括業(yè)務(wù)提供者產(chǎn)生的隨機(jī)數(shù)；所述實(shí)體認(rèn)證中心根據(jù)所述業(yè)務(wù)簽約者和業(yè)務(wù)提供者的身份信息，所述業(yè)務(wù)簽約者與實(shí)體認(rèn)證中心的共享密鑰材料以及所述隨機(jī)數(shù)計(jì)算出所述衍生密鑰；所述實(shí)體認(rèn)證中心向所述業(yè)務(wù)簽約者發(fā)送業(yè)務(wù)請(qǐng)求成功響應(yīng)，所述業(yè)務(wù)請(qǐng)求成功響應(yīng)中還包括業(yè)務(wù)提供者產(chǎn)生的隨機(jī)數(shù)。
優(yōu)選地，所述步驟6)具體包括以下步驟所述業(yè)務(wù)簽約者收到業(yè)務(wù)請(qǐng)求成功響應(yīng)后，利用相同的參數(shù)和密鑰算法計(jì)算出所述的衍生密鑰；所述業(yè)務(wù)提供者收到加密的衍生密鑰后，解密獲得衍生密鑰。
優(yōu)選地，所述步驟5)進(jìn)一步包括以下步驟所述實(shí)體認(rèn)證中心向所述業(yè)務(wù)簽約者發(fā)送業(yè)務(wù)請(qǐng)求成功響應(yīng)，響應(yīng)中攜帶由所述實(shí)體認(rèn)證中心與業(yè)務(wù)簽約者共享密鑰材料加密的衍生密鑰；所述步驟6)具體包括以下步驟所述業(yè)務(wù)簽約者收到業(yè)務(wù)請(qǐng)求成功響應(yīng)后，解密獲得衍生密鑰；所述業(yè)務(wù)提供者收到加密的衍生密鑰后，解密獲得衍生密鑰。
優(yōu)選地，所述身份和權(quán)限的合法性檢查具體包括以下步驟根據(jù)業(yè)務(wù)簽約者的中間業(yè)務(wù)請(qǐng)求標(biāo)識(shí)來(lái)判斷業(yè)務(wù)簽約者是否有權(quán)使用所述此項(xiàng)業(yè)務(wù)；根據(jù)業(yè)務(wù)提供者的公開(kāi)身份標(biāo)識(shí)獲得業(yè)務(wù)提供者的中間業(yè)務(wù)查詢(xún)標(biāo)識(shí)，并以此判斷業(yè)務(wù)提供者是否有權(quán)提供所述此項(xiàng)業(yè)務(wù)；查找業(yè)務(wù)簽約者或者業(yè)務(wù)提供者的簽約信息，以確定實(shí)體是否有權(quán)請(qǐng)求或提供此項(xiàng)業(yè)務(wù)。
優(yōu)選地，所述實(shí)體認(rèn)證中心與所述業(yè)務(wù)簽約者之間發(fā)送的響應(yīng)中攜帶的隨機(jī)數(shù)是由實(shí)體認(rèn)證中心與業(yè)務(wù)簽約者的共享密鑰材料加密的。
本發(fā)明還提供了一種通信認(rèn)證查詢(xún)系統(tǒng)，包括實(shí)體認(rèn)證中心，業(yè)務(wù)實(shí)體，所述業(yè)務(wù)實(shí)體包括業(yè)務(wù)簽約者、業(yè)務(wù)提供者和既是業(yè)務(wù)簽約者又是業(yè)務(wù)提供者的實(shí)體，所述實(shí)體認(rèn)證中心用于根據(jù)業(yè)務(wù)實(shí)體所請(qǐng)求或提供的業(yè)務(wù)的安全等級(jí)需求，查找安全等級(jí)列表，選擇一種符合業(yè)務(wù)安全等級(jí)需求的認(rèn)證查詢(xún)方式，并將選擇結(jié)果在認(rèn)證成功響應(yīng)中返回給業(yè)務(wù)實(shí)體；所述業(yè)務(wù)實(shí)體按照所述實(shí)體認(rèn)證中心選出的查詢(xún)方式發(fā)起業(yè)務(wù)請(qǐng)求。
本發(fā)明的有益效果是本發(fā)明所述的EAC支持的認(rèn)證查詢(xún)方式與一些較為成熟的認(rèn)證模型(如，Kerberos模型)結(jié)合，提高了端到端應(yīng)用服務(wù)通信認(rèn)證查詢(xún)方法的兼容性和可實(shí)施性，應(yīng)用前景十分廣闊。


圖1為現(xiàn)有技術(shù)中的通用鑒權(quán)框架示意圖。
圖2為本發(fā)明所述端到端通信認(rèn)證框架的示意圖。
圖3為本發(fā)明所述實(shí)體認(rèn)證中心支持的一種認(rèn)證查詢(xún)過(guò)程示意圖。
圖4為本發(fā)明所述一種與Kerberos模型相結(jié)合的端到端認(rèn)證模型示意圖。
圖5為本發(fā)明所述一種與Kerberos模型相結(jié)合一種認(rèn)證查詢(xún)過(guò)程流程圖。
圖6為本發(fā)明所述一種與Mediation模型相結(jié)合的端到端認(rèn)證模型示意圖。
圖7為本發(fā)明所述一種與Mediation模型相結(jié)合一種認(rèn)證查詢(xún)過(guò)程流程圖。
圖8為業(yè)務(wù)實(shí)體與實(shí)體認(rèn)證中心之間的認(rèn)證過(guò)程流程圖。
具體實(shí)施例方式
下面將結(jié)合附圖和實(shí)施例對(duì)本發(fā)明進(jìn)行詳細(xì)說(shuō)明。
參見(jiàn)圖2，本發(fā)明所述通信認(rèn)證查詢(xún)系統(tǒng)的涉及到實(shí)體包括業(yè)務(wù)簽約者(SS-Service Subscriber)001、既是業(yè)務(wù)簽約者又是業(yè)務(wù)提供者(SSP-ServiceSubscriber and Provider)002、業(yè)務(wù)提供者(SP-Service Provider)003，以及實(shí)體認(rèn)證中心(EAC-Entity Authentication Center)004等。所述業(yè)務(wù)實(shí)體按照所述實(shí)體認(rèn)證中心選出的查詢(xún)方式發(fā)起業(yè)務(wù)請(qǐng)求。其中，業(yè)務(wù)簽約者SS只能申請(qǐng)服務(wù)，一般為普通的移動(dòng)用戶(hù)。既是業(yè)務(wù)簽約者又是業(yè)務(wù)提供者SSP可以是普通的移動(dòng)用戶(hù)，也可以是第三方的應(yīng)用服務(wù)器(AS-Application Server)。業(yè)務(wù)提供者SP可以是運(yùn)營(yíng)商網(wǎng)絡(luò)的應(yīng)用服務(wù)器AS或第三方網(wǎng)絡(luò)的應(yīng)用服務(wù)器AS。實(shí)體認(rèn)證中心EAC完成和其它業(yè)務(wù)實(shí)體進(jìn)行認(rèn)證方法協(xié)商及認(rèn)證的過(guò)程，并且接受某個(gè)業(yè)務(wù)實(shí)體對(duì)其它業(yè)務(wù)實(shí)體認(rèn)證情況的查詢(xún)。實(shí)體認(rèn)證中心EAC是基于移動(dòng)網(wǎng)端到端通信認(rèn)證框架中的一個(gè)網(wǎng)絡(luò)元素。其功能是完成其與業(yè)務(wù)實(shí)體的認(rèn)證方式的協(xié)商，生成與業(yè)務(wù)實(shí)體間的共享密鑰材料，根據(jù)業(yè)務(wù)實(shí)體的臨時(shí)身份標(biāo)識(shí)查詢(xún)業(yè)務(wù)實(shí)體的認(rèn)證情況，以及計(jì)算衍生密鑰等。實(shí)體認(rèn)證中心EAC還應(yīng)包括檢測(cè)證書(shū)的功能，Kerberos服務(wù)器的功能以及仲裁TTP的功能等。在實(shí)際網(wǎng)絡(luò)中，實(shí)體認(rèn)證中心EAC在硬件上可以是一個(gè)安全性要求很高的獨(dú)立的服務(wù)器，也可以作為現(xiàn)有移動(dòng)網(wǎng)中某一網(wǎng)元的一部分。
業(yè)務(wù)實(shí)體的簽約信息應(yīng)該與業(yè)務(wù)實(shí)體的私有身份標(biāo)識(shí)一起保存。業(yè)務(wù)提供者在能夠向其它業(yè)務(wù)實(shí)體提供業(yè)務(wù)，或者業(yè)務(wù)簽約者SS向其它業(yè)務(wù)實(shí)體請(qǐng)求業(yè)務(wù)之前，應(yīng)該首先已經(jīng)與網(wǎng)絡(luò)存在簽約關(guān)系，并將簽約信息存放于業(yè)務(wù)實(shí)體簽約信息數(shù)據(jù)庫(kù)(ESD-Entity Subscription Database)005中。
網(wǎng)絡(luò)中每個(gè)業(yè)務(wù)簽約者SS與業(yè)務(wù)提供者SP進(jìn)行通信之前，應(yīng)該先到實(shí)體認(rèn)證中心EAC協(xié)商認(rèn)證方式，并完成對(duì)身份的認(rèn)證過(guò)程。
認(rèn)證方式的協(xié)商過(guò)程應(yīng)該由業(yè)務(wù)實(shí)體發(fā)起，并在請(qǐng)求消息攜帶自身身份標(biāo)識(shí)。實(shí)體認(rèn)證中心EAC根據(jù)本地策略情況和業(yè)務(wù)實(shí)體簽約信息，即根據(jù)業(yè)務(wù)實(shí)體所請(qǐng)求或提供的業(yè)務(wù)的安全等級(jí)需求，查找安全等級(jí)列表，選擇一種符合業(yè)務(wù)安全等級(jí)需求的認(rèn)證查詢(xún)方式。并將相應(yīng)信息返回給認(rèn)證請(qǐng)求者。請(qǐng)求者再發(fā)確認(rèn)信息表示協(xié)商過(guò)程結(jié)束。參見(jiàn)圖8，其步驟如下(1)如果業(yè)務(wù)簽約者SS需要向某一SP請(qǐng)求一種視頻會(huì)議的業(yè)務(wù)，如果上述業(yè)務(wù)實(shí)體還沒(méi)有和實(shí)體認(rèn)證中心EACEAC進(jìn)行互認(rèn)證，則應(yīng)該首先自動(dòng)選擇此項(xiàng)業(yè)務(wù)對(duì)應(yīng)的安全等級(jí)需求，(例如是，高安全等級(jí))。
(2)然后業(yè)務(wù)實(shí)體向?qū)嶓w認(rèn)證中心EAC發(fā)送認(rèn)證請(qǐng)求，請(qǐng)求消息中攜帶該實(shí)體的身份標(biāo)識(shí)以及其所選擇的認(rèn)證方式安全等級(jí)等相關(guān)信息。在本例中是高安全等級(jí)。
(3)實(shí)體認(rèn)證中心EAC收到認(rèn)證請(qǐng)求消息后，查找本地保存的安全等級(jí)列表，找到符合高安全等級(jí)需求的網(wǎng)絡(luò)的認(rèn)證方式(例如，Http AKA)以及認(rèn)證查詢(xún)方式(例如基本查詢(xún)方式)。
(4)實(shí)體認(rèn)證中心EAC根據(jù)業(yè)務(wù)實(shí)體的身份標(biāo)識(shí)在業(yè)務(wù)實(shí)體簽約信息數(shù)據(jù)庫(kù)ESD存儲(chǔ)的簽約信息中查詢(xún)?cè)搶?shí)體認(rèn)證信息，即實(shí)體支持的認(rèn)證協(xié)議、加密算法和其它相關(guān)參數(shù)。
(5)業(yè)務(wù)實(shí)體簽約信息數(shù)據(jù)庫(kù)ESD向EAC返回該業(yè)務(wù)實(shí)體所支持的認(rèn)證協(xié)議、加密算法和其它相關(guān)參數(shù)；(6)實(shí)體認(rèn)證中心EAC根據(jù)本地策略匹配網(wǎng)絡(luò)和實(shí)體所支持的認(rèn)證協(xié)議和加密算法，確定出符合安全等級(jí)需求的并且雙方都支持認(rèn)證方式，如果沒(méi)有，則向業(yè)務(wù)實(shí)體返回錯(cuò)誤指示；(7)實(shí)體認(rèn)證中心EAC將選定的認(rèn)證方式以及認(rèn)證查詢(xún)方式返回給業(yè)務(wù)實(shí)體；(8)業(yè)務(wù)實(shí)體收到信息后，對(duì)認(rèn)證方式進(jìn)行確認(rèn)。
(9)接下來(lái)，業(yè)務(wù)實(shí)體和實(shí)體認(rèn)證中心EAC應(yīng)用所選的認(rèn)證協(xié)議和加密算法進(jìn)行互認(rèn)證，并在認(rèn)證成功后，雙方獲得共享的秘密信息。
(10)實(shí)體認(rèn)證中心EAC向業(yè)務(wù)實(shí)體返回認(rèn)證成功響應(yīng)，并分配實(shí)體臨時(shí)身份標(biāo)識(shí)ISR-ID，以及密鑰有效期，EAC在認(rèn)證成功響應(yīng)中將認(rèn)證查詢(xún)方式一并發(fā)給業(yè)務(wù)實(shí)體。
(11)實(shí)體認(rèn)證中心EAC和實(shí)體側(cè)都將Ks與相應(yīng)的安全等級(jí)關(guān)聯(lián)保存；接下來(lái)業(yè)務(wù)實(shí)體與實(shí)體認(rèn)證中心EAC按照協(xié)商的方式進(jìn)行認(rèn)證。該認(rèn)證應(yīng)該是雙向的。認(rèn)證結(jié)束后，認(rèn)證請(qǐng)求業(yè)務(wù)實(shí)體和實(shí)體認(rèn)證中心EAC應(yīng)該共享一個(gè)密鑰，并且實(shí)體認(rèn)證中心EAC將會(huì)根據(jù)認(rèn)證請(qǐng)求業(yè)務(wù)實(shí)體的簽約信息情況給其分配臨時(shí)身份標(biāo)識(shí)以及相應(yīng)的有效期1)如果該認(rèn)證請(qǐng)求業(yè)務(wù)實(shí)體是業(yè)務(wù)簽約者(SS/SSP)，則實(shí)體認(rèn)證中心EAC將向其分配一個(gè)臨時(shí)身份標(biāo)識(shí)，即中間業(yè)務(wù)請(qǐng)求標(biāo)識(shí)(Interim Service Request Identifier，ISR-ID)。2)如果該認(rèn)證請(qǐng)求業(yè)務(wù)實(shí)體是業(yè)務(wù)提供者(SP/SSP)，則實(shí)體認(rèn)證中心EAC將向其分配一個(gè)臨時(shí)身份標(biāo)識(shí)，即中間業(yè)務(wù)查詢(xún)標(biāo)識(shí)(Interim Authentication CheckIdentifier，IAC-ID)。
最后實(shí)體認(rèn)證中心EAC將業(yè)務(wù)實(shí)體的臨時(shí)身份標(biāo)識(shí)(ISR-ID或IAC-ID)以及有效期和選擇后得到的符合業(yè)務(wù)安全等級(jí)需求的認(rèn)證查詢(xún)方式在認(rèn)證成功響應(yīng)中發(fā)送給請(qǐng)求認(rèn)證的業(yè)務(wù)實(shí)體，此后該業(yè)務(wù)實(shí)體與實(shí)體認(rèn)證中心EAC之間的通信都可以采用所選擇的認(rèn)證查詢(xún)方式，并通過(guò)認(rèn)證過(guò)程生成的業(yè)務(wù)實(shí)體與實(shí)體認(rèn)證中心EAC間的共享密鑰(Ks)進(jìn)行保護(hù)。
下面結(jié)合附圖來(lái)描述實(shí)體認(rèn)證中心EAC支持的多種典型的認(rèn)證查詢(xún)方式的具體實(shí)現(xiàn)過(guò)程1.基本認(rèn)證查詢(xún)方式參見(jiàn)圖3，具體的認(rèn)證查詢(xún)過(guò)程如下步驟101，業(yè)務(wù)簽約者SS向能夠提供服務(wù)的業(yè)務(wù)提供者SP提出業(yè)務(wù)請(qǐng)求，業(yè)務(wù)請(qǐng)求中包括了業(yè)務(wù)簽約者SS前面認(rèn)證得到的中間業(yè)務(wù)請(qǐng)求標(biāo)識(shí)(ISR-ID)以及業(yè)務(wù)提供者SP的公開(kāi)身份標(biāo)識(shí)(UID)；步驟102，業(yè)務(wù)提供者SP收到業(yè)務(wù)請(qǐng)求后，查找本地是否保存有業(yè)務(wù)簽約者SS的中間業(yè)務(wù)請(qǐng)求標(biāo)識(shí)ISR-ID的相關(guān)信息以識(shí)別所述業(yè)務(wù)簽約者SS；如果保存有所述信息，雙方開(kāi)始業(yè)務(wù)過(guò)程；如果沒(méi)有保存所述信息，則業(yè)務(wù)提供者SP向?qū)嶓w認(rèn)證中心EAC發(fā)出查詢(xún)請(qǐng)求，并在查詢(xún)請(qǐng)求消息中攜帶業(yè)務(wù)簽約者SS的中間業(yè)務(wù)請(qǐng)求標(biāo)識(shí)ISR-ID以及自身的中間業(yè)務(wù)查詢(xún)標(biāo)識(shí)IAC-ID和公開(kāi)身份標(biāo)示UID；業(yè)務(wù)提供者SP收到業(yè)務(wù)請(qǐng)求后，查找本地是否保存有業(yè)務(wù)簽約者SS的中間業(yè)務(wù)請(qǐng)求標(biāo)識(shí)ISR-ID的相關(guān)信息以識(shí)別所述業(yè)務(wù)簽約者SS；步驟103，實(shí)體認(rèn)證中心EAC收到認(rèn)證查詢(xún)請(qǐng)求消息后，首先查詢(xún)并判斷IAC-ID是否有效以及業(yè)務(wù)提供者SP是否有權(quán)提供該項(xiàng)業(yè)務(wù)，然后再查詢(xún)并判斷ISR-ID是否有效以及業(yè)務(wù)簽約者SS是否有權(quán)請(qǐng)求此項(xiàng)業(yè)務(wù)；如果檢查結(jié)果合法，則所述實(shí)體認(rèn)證中心EAC根據(jù)所述業(yè)務(wù)簽約者SS和業(yè)務(wù)提供者SP的身份信息，以及所述業(yè)務(wù)簽約者SS與實(shí)體認(rèn)證中心EAC的共享密鑰材料計(jì)算出一個(gè)用于保護(hù)所述業(yè)務(wù)簽約者SS和業(yè)務(wù)提供者SP之間業(yè)務(wù)通信的衍生密鑰，并利用實(shí)體認(rèn)證中心與所述業(yè)務(wù)提供者SP的共享密鑰材料加密后發(fā)送給業(yè)務(wù)提供者SP；如果檢查結(jié)果不合法，則發(fā)出錯(cuò)誤信息，所述實(shí)體認(rèn)證中心EAC通知相應(yīng)的實(shí)體重新到實(shí)體認(rèn)證中心認(rèn)證身份；步驟104，實(shí)體認(rèn)證中心EAC將新衍生出的密鑰和密鑰的有效期放在響應(yīng)消息中發(fā)送給SP業(yè)務(wù)提供者SP；步驟105，業(yè)務(wù)提供者SP解密得到衍生密鑰，并將衍生密鑰，有效期，業(yè)務(wù)簽約者SS的ISR-ID以及業(yè)務(wù)提供者SP的UID關(guān)聯(lián)保存在本地；步驟106，業(yè)務(wù)提供者SP向業(yè)務(wù)簽約者SS返回服務(wù)請(qǐng)求響應(yīng)；步驟107，業(yè)務(wù)簽約者SS在本地利用相同的參數(shù)和密鑰算法計(jì)算出相同的衍生密鑰；其中，所述的密鑰算法可以采用DES(數(shù)據(jù)加密標(biāo)準(zhǔn))、3-DES(三重DES)、AES(高級(jí)加密標(biāo)準(zhǔn))256、AES1024等，其中256和1024是密鑰長(zhǎng)度；步驟108，業(yè)務(wù)簽約者SS與業(yè)務(wù)提供者SP使用衍生密鑰開(kāi)始它們之間的業(yè)務(wù)過(guò)程。
如果業(yè)務(wù)實(shí)體(如業(yè)務(wù)提供者SP)是一個(gè)移動(dòng)終端的話(huà)，那么共享密鑰材料就可以是共享密鑰(Ks)，如果業(yè)務(wù)實(shí)體(如業(yè)務(wù)提供者SP)是一個(gè)移動(dòng)核心網(wǎng)域的應(yīng)用服務(wù)器，那么業(yè)務(wù)實(shí)體(如業(yè)務(wù)提供者SP)和實(shí)體認(rèn)證中心EAC在互認(rèn)證過(guò)程中可能協(xié)商出的共享密鑰材料為SA(安全關(guān)聯(lián)——IPSec協(xié)議中業(yè)務(wù)實(shí)體雙方協(xié)商的安全通信的密鑰以及密鑰算法信息)。
2.與Kerberos模型結(jié)合的認(rèn)證查詢(xún)方式參見(jiàn)圖4和圖5，當(dāng)實(shí)體認(rèn)證中心EAC具有Kerberos服務(wù)器功能時(shí)，具體認(rèn)證查詢(xún)過(guò)程如下步驟201，當(dāng)業(yè)務(wù)簽約者SS需要獲得某項(xiàng)業(yè)務(wù)時(shí)，首先查看本地是否保存了對(duì)應(yīng)于此項(xiàng)業(yè)務(wù)的業(yè)務(wù)許可票據(jù)，如果有，則直接跳到步驟205，如果沒(méi)有，則向?qū)嶓w認(rèn)證中心EAC發(fā)送業(yè)務(wù)許可票據(jù)請(qǐng)求，所述請(qǐng)求消息中攜帶所述業(yè)務(wù)簽約者SS的中間業(yè)務(wù)請(qǐng)求標(biāo)識(shí)ISR-ID，以及該項(xiàng)業(yè)務(wù)的業(yè)務(wù)提供者SP的公開(kāi)身份標(biāo)識(shí)UID；步驟202，所述實(shí)體認(rèn)證中心EAC收到請(qǐng)求后，進(jìn)行身份和權(quán)限的合法性檢查。首先查詢(xún)ISR-ID是否有效來(lái)判斷該業(yè)務(wù)簽約者SS是否有權(quán)使用此項(xiàng)業(yè)務(wù)，然后根據(jù)業(yè)務(wù)提供者SP的UID獲得業(yè)務(wù)提供者SP的臨時(shí)身份標(biāo)識(shí)IAC-ID，并根據(jù)IAC-ID是否有效判斷該業(yè)務(wù)提供者SP是否有權(quán)提供此項(xiàng)業(yè)務(wù)；如果上述檢查結(jié)果是合法，所述實(shí)體認(rèn)證中心EAC根據(jù)所述業(yè)務(wù)簽約者SS和業(yè)務(wù)提供者SP的身份信息，以及所述業(yè)務(wù)簽約者SS與實(shí)體認(rèn)證中心EAC的共享密鑰材料計(jì)算出一個(gè)用于保護(hù)所述業(yè)務(wù)簽約者SS和業(yè)務(wù)提供者SP之間業(yè)務(wù)通信的衍生密鑰K-SSP/SP；實(shí)體認(rèn)證中心EAC還產(chǎn)生一個(gè)包含衍生密鑰、業(yè)務(wù)簽約者SS身份信息和業(yè)務(wù)提供者SP身份信息的業(yè)務(wù)許可票據(jù)SGT，利用其與所述業(yè)務(wù)提供者SP的共享密鑰材料加密所述業(yè)務(wù)許可票據(jù)SGT；如果檢查結(jié)果不合法，發(fā)出錯(cuò)誤信息，所述實(shí)體認(rèn)證中心EAC通知相應(yīng)的實(shí)體重新到實(shí)體認(rèn)證中心認(rèn)證身份；步驟203，實(shí)體認(rèn)證中心EAC向所述業(yè)務(wù)簽約者SS發(fā)送所述加密后的業(yè)務(wù)許可票據(jù)；步驟204，業(yè)務(wù)簽約者SS收到所述業(yè)務(wù)許可票據(jù)SGT后在本地采用和實(shí)體認(rèn)證中心EAC相同的參數(shù)和算法產(chǎn)生一個(gè)相同的所述衍生密鑰；步驟205，業(yè)務(wù)簽約者SS向所述業(yè)務(wù)提供者SP發(fā)送業(yè)務(wù)請(qǐng)求，并攜帶所述業(yè)務(wù)許可票據(jù)SGT；步驟206，業(yè)務(wù)提供者SP解密所述業(yè)務(wù)許可票據(jù)SGT，獲得衍生密鑰。
步驟207，業(yè)務(wù)提供者SP向業(yè)務(wù)簽約者SS返回業(yè)務(wù)請(qǐng)求成功響應(yīng)。
步驟208，業(yè)務(wù)簽約者SS與業(yè)務(wù)提供者SP使用衍生密鑰開(kāi)始它們之間的業(yè)務(wù)過(guò)程。
除了采用上述步驟外，步驟204中實(shí)體認(rèn)證中心EAC也可以利用其與所述業(yè)務(wù)簽約者SS的共享密鑰材料加密所述衍生密鑰，并將加密后的衍生密鑰發(fā)送給業(yè)務(wù)簽約者SS，從而使業(yè)務(wù)簽約者SS不必在本地重新計(jì)算得出衍生密鑰，而是通過(guò)解密獲得衍生密鑰。
3.與Mediation模型結(jié)合的認(rèn)證查詢(xún)方式如圖6和圖7所示。當(dāng)實(shí)體認(rèn)證中心EAC具有充當(dāng)仲裁者身份的TTP功能時(shí)，采用Mediation模型結(jié)合的認(rèn)證查詢(xún)與端到端認(rèn)證模型，具體認(rèn)證查詢(xún)過(guò)程如下步驟301，業(yè)務(wù)簽約者SS在需要使用業(yè)務(wù)提供者SP的某項(xiàng)業(yè)務(wù)時(shí)，首先向?qū)嶓w認(rèn)證中心EAC提出業(yè)務(wù)請(qǐng)求，請(qǐng)求消息中攜帶所述業(yè)務(wù)簽約者SS的中間業(yè)務(wù)請(qǐng)求標(biāo)識(shí)ISR-ID以及所述業(yè)務(wù)提供者SP的公開(kāi)身份標(biāo)識(shí)UID；步驟302，所述實(shí)體認(rèn)證中心EAC檢查所述業(yè)務(wù)簽約者SS的中間業(yè)務(wù)請(qǐng)求標(biāo)識(shí)ISR-ID的有效性，以及所述業(yè)務(wù)簽約者SS的簽約信息，以確定所述業(yè)務(wù)簽約者SS是否有請(qǐng)求此項(xiàng)業(yè)務(wù)的權(quán)限；步驟303，如果所述業(yè)務(wù)簽約者SS是合法的，則所述實(shí)體認(rèn)證中心EAC為其轉(zhuǎn)發(fā)業(yè)務(wù)請(qǐng)求給所述業(yè)務(wù)提供者SP；如果所述業(yè)務(wù)簽約者SS是不合法的，則所述實(shí)體認(rèn)證中心EAC向業(yè)務(wù)簽約者SS發(fā)錯(cuò)誤信息，通知業(yè)務(wù)簽約者SS重新到實(shí)體認(rèn)證中心EAC認(rèn)證身份；步驟304，所述業(yè)務(wù)提供者SP返回業(yè)務(wù)請(qǐng)求響應(yīng)，響應(yīng)中攜帶著自己的中間認(rèn)證查詢(xún)標(biāo)識(shí)IAC-ID；步驟305，所述實(shí)體認(rèn)證中心EAC檢查所述中間認(rèn)證查詢(xún)標(biāo)識(shí)IAC-ID的有效性，以及所述業(yè)務(wù)提供者SP的簽約信息，以確定其是否有權(quán)提供此項(xiàng)業(yè)務(wù)；如果所述業(yè)務(wù)提供者SP是合法的，則所述實(shí)體認(rèn)證中心EAC根據(jù)所述業(yè)務(wù)簽約者SS和業(yè)務(wù)提供者SP的身份信息，以及所述業(yè)務(wù)簽約者SS與實(shí)體認(rèn)證中心EAC的共享密鑰材料計(jì)算出一個(gè)用于保護(hù)所述業(yè)務(wù)簽約者SS和業(yè)務(wù)提供者SP之間業(yè)務(wù)通信的衍生密鑰；如果所述業(yè)務(wù)提供者SP是不合法的，所述實(shí)體認(rèn)證中心EAC向業(yè)務(wù)提供者SS發(fā)錯(cuò)誤信息，通知業(yè)務(wù)提供者SP重新到實(shí)體認(rèn)證中心EAC認(rèn)證身份；步驟306，實(shí)體認(rèn)證中心EAC向業(yè)務(wù)簽約者SS發(fā)送業(yè)務(wù)請(qǐng)求成功響應(yīng)，并向所述業(yè)務(wù)提供者SP發(fā)送由所述實(shí)體認(rèn)證中心EAC與業(yè)務(wù)提供者SP的共享密鑰材料加密的衍生密鑰；步驟307，所述業(yè)務(wù)簽約者SS收到實(shí)體認(rèn)證中心EAC發(fā)送的業(yè)務(wù)請(qǐng)求成功響應(yīng)后，采用和實(shí)體認(rèn)證中心EAC相同的參數(shù)和算法計(jì)算衍生密鑰；步驟308，所述業(yè)務(wù)簽約者SS和所述業(yè)務(wù)提供者SP開(kāi)始業(yè)務(wù)過(guò)程。
4.與Mediation模型結(jié)合的認(rèn)證查詢(xún)方式的擴(kuò)展所述實(shí)體認(rèn)證中心EAC支持的與Mediation模型結(jié)合的認(rèn)證查詢(xún)方式的另一種變化包括如下步驟步驟401，業(yè)務(wù)簽約者SS在需要使用業(yè)務(wù)提供者SP的某項(xiàng)業(yè)務(wù)時(shí)，首先向?qū)嶓w認(rèn)證中心EAC提出業(yè)務(wù)請(qǐng)求，請(qǐng)求消息中攜帶所述業(yè)務(wù)簽約者SS的中間業(yè)務(wù)請(qǐng)求標(biāo)識(shí)ISR-ID以及所述業(yè)務(wù)提供者的公開(kāi)身份標(biāo)識(shí)UID；步驟402，所述實(shí)體認(rèn)證中心EAC檢查所述業(yè)務(wù)簽約者SS的中間業(yè)務(wù)請(qǐng)求標(biāo)識(shí)ISR-ID的有效性，以及所述業(yè)務(wù)簽約者SS的簽約信息，以確定所述業(yè)務(wù)簽約者SS是否有請(qǐng)求此項(xiàng)業(yè)務(wù)的權(quán)限；步驟403，如果所述業(yè)務(wù)簽約者SS是合法的，則所述實(shí)體認(rèn)證中心EAC為其轉(zhuǎn)發(fā)業(yè)務(wù)請(qǐng)求給所述業(yè)務(wù)提供者SP；步驟404，所述業(yè)務(wù)提供者SP收到業(yè)務(wù)請(qǐng)求響應(yīng)后，生成一個(gè)隨機(jī)數(shù)rand，并在返回的業(yè)務(wù)請(qǐng)求響應(yīng)中攜帶著自己的中間認(rèn)證查詢(xún)標(biāo)識(shí)IAC-ID以及該隨機(jī)數(shù)rand；步驟405，所述實(shí)體認(rèn)證中心EAC檢查所述中間認(rèn)證查詢(xún)標(biāo)識(shí)IAC-ID的有效性，以及所述業(yè)務(wù)提供者SP的簽約信息，以確定其是否有權(quán)提供此項(xiàng)業(yè)務(wù).
如果所述業(yè)務(wù)提供者SP是合法的，則所述實(shí)體認(rèn)證中心EAC根據(jù)所述業(yè)務(wù)簽約者SS和業(yè)務(wù)提供者SP的身份信息，所述業(yè)務(wù)簽約者SS與實(shí)體認(rèn)證中心EAC的共享密鑰材料以及由業(yè)務(wù)提供者SP生成的隨機(jī)數(shù)rand計(jì)算出一個(gè)用于保護(hù)所述業(yè)務(wù)簽約者SS和業(yè)務(wù)提供者SP之間業(yè)務(wù)通信的衍生密鑰；如果所述業(yè)務(wù)提供者SP是不合法的，返回錯(cuò)誤消息；步驟406，所述實(shí)體認(rèn)證中心EAC向所述業(yè)務(wù)簽約者SS發(fā)送業(yè)務(wù)請(qǐng)求成功響應(yīng)，響應(yīng)中攜帶隨機(jī)數(shù)rand，并向所述業(yè)務(wù)提供者SP發(fā)送由所述實(shí)體認(rèn)證中心EAC與所述業(yè)務(wù)提供者的共享密鑰材料加密的衍生密鑰；步驟407，所述業(yè)務(wù)簽約者SS收到實(shí)體認(rèn)證中心EAC發(fā)送的業(yè)務(wù)請(qǐng)求成功響應(yīng)后，采用和實(shí)體認(rèn)證中心EAC相同的參數(shù)(其中包括隨機(jī)數(shù)rand)和算法計(jì)算衍生密鑰；步驟408，所述業(yè)務(wù)簽約者SS和所述業(yè)務(wù)提供者SP開(kāi)始業(yè)務(wù)過(guò)程。
所述實(shí)體認(rèn)證中心EAC與所述業(yè)務(wù)簽約者SS之間發(fā)送的響應(yīng)中攜帶的隨機(jī)數(shù)rand是由實(shí)體認(rèn)證中心EAC與業(yè)務(wù)簽約者SS的共享密鑰材料加密的。
對(duì)于上述的認(rèn)證查詢(xún)方式3、4，除了采用上述步驟外，步驟307和407中實(shí)體認(rèn)證中心EAC也可以利用其與所述業(yè)務(wù)簽約者SS的共享密鑰材料加密所述衍生密鑰，并將加密后的衍生密鑰通過(guò)業(yè)務(wù)請(qǐng)求成功響應(yīng)發(fā)送給所述業(yè)務(wù)簽約者SS，從而使業(yè)務(wù)簽約者SS不必在本地重新計(jì)算得出衍生密鑰，而是通過(guò)解密獲得衍生密鑰。
以上只是本發(fā)明的優(yōu)選實(shí)施方式進(jìn)行了描述，本領(lǐng)域的技術(shù)人員在本發(fā)明技術(shù)的方案范圍內(nèi)，進(jìn)行的通常變化和替換，都應(yīng)包含在本發(fā)明的保護(hù)范圍內(nèi)。
權(quán)利要求
1.一種通信認(rèn)證查詢(xún)方法，其特征在于，所述方法利用支持一種或多種認(rèn)證查詢(xún)方式的實(shí)體認(rèn)證中心參與認(rèn)證查詢(xún)過(guò)程，至少包括以下步驟所述實(shí)體認(rèn)證中心根據(jù)業(yè)務(wù)實(shí)體所請(qǐng)求或提供的業(yè)務(wù)的安全等級(jí)需求，查找安全等級(jí)列表，選擇一種符合業(yè)務(wù)安全等級(jí)需求的認(rèn)證查詢(xún)方式，并將選擇結(jié)果返回給業(yè)務(wù)實(shí)體；以及所述業(yè)務(wù)實(shí)體按照所述實(shí)體認(rèn)證中心選出的查詢(xún)方式發(fā)起業(yè)務(wù)請(qǐng)求。
2.根據(jù)權(quán)利要求1所述的通信認(rèn)證查詢(xún)方法，其特征在于，所述實(shí)體認(rèn)證中心支持的一種認(rèn)證查詢(xún)方式包括如下步驟步驟1)業(yè)務(wù)簽約者向業(yè)務(wù)提供者發(fā)送業(yè)務(wù)請(qǐng)求，所述業(yè)務(wù)請(qǐng)求消息中攜帶業(yè)務(wù)簽約者在所述認(rèn)證中心認(rèn)證得到的中間業(yè)務(wù)請(qǐng)求標(biāo)識(shí)以及業(yè)務(wù)提供者的公開(kāi)身份標(biāo)識(shí)；步驟2)業(yè)務(wù)提供者收到業(yè)務(wù)請(qǐng)求后，查找本地是否保存有業(yè)務(wù)簽約者的中間業(yè)務(wù)請(qǐng)求標(biāo)識(shí)的相關(guān)信息以識(shí)別所述業(yè)務(wù)簽約者；如果保存有所述信息，雙方開(kāi)始業(yè)務(wù)過(guò)程；如果沒(méi)有保存所述信息，則向?qū)嶓w認(rèn)證中心發(fā)出查詢(xún)請(qǐng)求，并在查詢(xún)請(qǐng)求消息中攜帶業(yè)務(wù)簽約者的中間業(yè)務(wù)請(qǐng)求標(biāo)識(shí)以及自身的中間業(yè)務(wù)查詢(xún)標(biāo)識(shí)和公開(kāi)身份標(biāo)識(shí)；步驟3)實(shí)體認(rèn)證中心收到查詢(xún)請(qǐng)求后，進(jìn)行身份和權(quán)限的合法性檢查；如果檢查結(jié)果合法，則所述實(shí)體認(rèn)證中心根據(jù)所述業(yè)務(wù)簽約者和業(yè)務(wù)提供者的身份信息，以及所述業(yè)務(wù)簽約者與實(shí)體認(rèn)證中心的共享密鑰材料計(jì)算出一個(gè)用于保護(hù)所述業(yè)務(wù)簽約者和業(yè)務(wù)提供者之間業(yè)務(wù)通信的衍生密鑰，并利用實(shí)體認(rèn)證中心與所述業(yè)務(wù)提供者的共享密鑰材料加密后發(fā)送給業(yè)務(wù)提供者；如果檢查結(jié)果不合法，則所述實(shí)體認(rèn)證中心向相應(yīng)的業(yè)務(wù)實(shí)體發(fā)錯(cuò)誤信息，通知相應(yīng)的業(yè)務(wù)實(shí)體重新到實(shí)體認(rèn)證中心認(rèn)證身份；步驟4)所述業(yè)務(wù)提供者解密獲得衍生密鑰，并將衍生密鑰，有效期，業(yè)務(wù)簽約者的中間業(yè)務(wù)請(qǐng)求標(biāo)識(shí)以及業(yè)務(wù)提供者的公開(kāi)身份標(biāo)識(shí)關(guān)聯(lián)保存在本地，并向業(yè)務(wù)簽約者返回業(yè)務(wù)請(qǐng)求成功響應(yīng)；步驟5)業(yè)務(wù)簽約者在本地也利用相同的參數(shù)和密鑰算法計(jì)算出相同的衍生密鑰，并和業(yè)務(wù)提供者的中間業(yè)務(wù)查詢(xún)標(biāo)識(shí)關(guān)聯(lián)保存在本地。
3.根據(jù)權(quán)利要求1所述的通信認(rèn)證查詢(xún)方法，其特征在于，所述實(shí)體認(rèn)證中心支持的一種認(rèn)證查詢(xún)方式包括如下步驟步驟1)業(yè)務(wù)簽約者向?qū)嶓w認(rèn)證中心發(fā)送業(yè)務(wù)許可票據(jù)請(qǐng)求，所述請(qǐng)求消息中攜帶所述業(yè)務(wù)簽約者的中間業(yè)務(wù)請(qǐng)求標(biāo)識(shí)，以及該項(xiàng)業(yè)務(wù)的業(yè)務(wù)提供者的公開(kāi)身份標(biāo)識(shí)；步驟2)所述實(shí)體認(rèn)證中心收到請(qǐng)求后，進(jìn)行身份和權(quán)限的合法性檢查；如果檢查結(jié)果合法，所述實(shí)體認(rèn)證中心根據(jù)所述業(yè)務(wù)簽約者和業(yè)務(wù)提供者的身份信息，以及所述業(yè)務(wù)簽約者與實(shí)體認(rèn)證中心的共享密鑰材料計(jì)算出一個(gè)用于保護(hù)所述業(yè)務(wù)簽約者和業(yè)務(wù)提供者之間業(yè)務(wù)通信的衍生密鑰；如果檢查結(jié)果不合法，則所述實(shí)體認(rèn)證中心向相應(yīng)的業(yè)務(wù)實(shí)體發(fā)錯(cuò)誤信息，通知相應(yīng)的業(yè)務(wù)實(shí)體重新到實(shí)體認(rèn)證中心認(rèn)證身份；步驟3)所述實(shí)體認(rèn)證中心產(chǎn)生一個(gè)包含衍生密鑰、業(yè)務(wù)簽約者身份信息和業(yè)務(wù)提供者身份信息的業(yè)務(wù)許可票據(jù)，利用其與所述業(yè)務(wù)提供者的共享密鑰材料加密所述業(yè)務(wù)許可票據(jù)，并向所述業(yè)務(wù)簽約者發(fā)送所述加密后的業(yè)務(wù)許可票據(jù)；步驟4)所述業(yè)務(wù)簽約者收到所述業(yè)務(wù)許可票據(jù)后在本地產(chǎn)生一個(gè)相同的所述衍生密鑰；步驟5)所述業(yè)務(wù)簽約者向所述業(yè)務(wù)提供者發(fā)送業(yè)務(wù)請(qǐng)求，并攜帶所述業(yè)務(wù)許可票據(jù)；步驟6)所述業(yè)務(wù)提供者解密所述業(yè)務(wù)許可票據(jù)，獲得衍生密鑰，并向所述業(yè)務(wù)簽約者返回業(yè)務(wù)請(qǐng)求成功響應(yīng)。
4.根據(jù)權(quán)利要求3所述的通信認(rèn)證查詢(xún)方法，其特征在于，所述步驟4)具體包括以下步驟所述業(yè)務(wù)簽約者收到所述業(yè)務(wù)許可票據(jù)后，在本地利用相同的參數(shù)和密鑰算法計(jì)算出相同的所述衍生密鑰。
5.根據(jù)權(quán)利要求3所述的通信認(rèn)證查詢(xún)方法，其特征在于，所述步驟3)進(jìn)一步包括所述實(shí)體認(rèn)證中心利用其與所述業(yè)務(wù)簽約者的共享密鑰材料加密所述衍生密鑰，并將加密后的衍生密鑰發(fā)送給所述業(yè)務(wù)簽約者的步驟，從而所述步驟4)的具體步驟變?yōu)樗鰳I(yè)務(wù)簽約者解密獲得衍生密鑰。
6.根據(jù)權(quán)利要求1所述的通信認(rèn)證查詢(xún)方法，其特征在于，所述實(shí)體認(rèn)證中心支持的一種認(rèn)證查詢(xún)方式包括如下步驟步驟1)業(yè)務(wù)簽約者向所述實(shí)體認(rèn)證中心提出業(yè)務(wù)請(qǐng)求，請(qǐng)求消息中攜帶所述業(yè)務(wù)簽約者的中間業(yè)務(wù)請(qǐng)求標(biāo)識(shí)以及所述業(yè)務(wù)提供者的公開(kāi)身份標(biāo)識(shí)；步驟2)所述實(shí)體認(rèn)證中心檢查所述業(yè)務(wù)簽約者的中間業(yè)務(wù)請(qǐng)求標(biāo)識(shí)的有效性，以及所述簽約者的簽約信息，以確定所述簽約者是否有請(qǐng)求此項(xiàng)業(yè)務(wù)的權(quán)限；步驟3)如果所述業(yè)務(wù)簽約者是合法的，則所述實(shí)體認(rèn)證中心為其轉(zhuǎn)發(fā)業(yè)務(wù)請(qǐng)求給所述業(yè)務(wù)提供者；步驟4)所述業(yè)務(wù)提供者返回業(yè)務(wù)請(qǐng)求響應(yīng)，響應(yīng)中攜帶著自己的中間認(rèn)證查詢(xún)標(biāo)識(shí)；步驟5)所述實(shí)體認(rèn)證中心檢查所述中間認(rèn)證查詢(xún)標(biāo)識(shí)的有效性和所述業(yè)務(wù)提供者的簽約信息，以確定其是否有權(quán)提供此項(xiàng)業(yè)務(wù)；如果所述業(yè)務(wù)提供者是合法的，則所述實(shí)體認(rèn)證中心根據(jù)所述業(yè)務(wù)簽約者和業(yè)務(wù)提供者的身份信息，以及所述業(yè)務(wù)簽約者與實(shí)體認(rèn)證中心的共享密鑰材料計(jì)算出一個(gè)用于保護(hù)所述業(yè)務(wù)簽約者和業(yè)務(wù)提供者之間業(yè)務(wù)通信的衍生密鑰，向所述業(yè)務(wù)簽約者發(fā)送業(yè)務(wù)請(qǐng)求成功響應(yīng)，并向所述業(yè)務(wù)提供者發(fā)送由所述實(shí)體認(rèn)證中心與業(yè)務(wù)提供者的共享密鑰材料加密的衍生密鑰；如果所述業(yè)務(wù)提供者是不合法的，則所述實(shí)體認(rèn)證中心向相應(yīng)的業(yè)務(wù)實(shí)體發(fā)錯(cuò)誤信息，通知相應(yīng)的業(yè)務(wù)實(shí)體重新到實(shí)體認(rèn)證中心認(rèn)證身份；步驟6)所述業(yè)務(wù)簽約者和業(yè)務(wù)提供者分別生成各自的衍生密鑰。
7.根據(jù)權(quán)利要求6所述的通信認(rèn)證查詢(xún)方法，其特征在于所述步驟4)和步驟5)進(jìn)一步包括所述業(yè)務(wù)提供者返回業(yè)務(wù)請(qǐng)求響應(yīng)，所述響應(yīng)中還包括業(yè)務(wù)提供者產(chǎn)生的隨機(jī)數(shù)；所述實(shí)體認(rèn)證中心根據(jù)所述業(yè)務(wù)簽約者和業(yè)務(wù)提供者的身份信息，所述業(yè)務(wù)簽約者與實(shí)體認(rèn)證中心的共享密鑰材料以及所述隨機(jī)數(shù)計(jì)算出所述衍生密鑰；所述實(shí)體認(rèn)證中心向所述業(yè)務(wù)簽約者發(fā)送業(yè)務(wù)請(qǐng)求成功響應(yīng)，所述業(yè)務(wù)請(qǐng)求成功響應(yīng)中還包括業(yè)務(wù)提供者產(chǎn)生的隨機(jī)數(shù)。
8.根據(jù)權(quán)利要求6或7所述的通信認(rèn)證查詢(xún)方法，其特征在于，所述步驟6)具體包括以下步驟所述業(yè)務(wù)簽約者收到業(yè)務(wù)請(qǐng)求成功響應(yīng)后，利用相同的參數(shù)和密鑰算法計(jì)算出所述的衍生密鑰；所述業(yè)務(wù)提供者收到加密的衍生密鑰后，解密獲得衍生密鑰。
9.根據(jù)權(quán)利要求6或7所述的通信認(rèn)證查詢(xún)方法，其特征在于，所述步驟5)進(jìn)一步包括以下步驟所述實(shí)體認(rèn)證中心向所述業(yè)務(wù)簽約者發(fā)送業(yè)務(wù)請(qǐng)求成功響應(yīng)，響應(yīng)中攜帶由所述實(shí)體認(rèn)證中心與業(yè)務(wù)簽約者共享密鑰材料加密的衍生密鑰；所述步驟6)具體包括以下步驟所述業(yè)務(wù)簽約者收到業(yè)務(wù)請(qǐng)求成功響應(yīng)后，解密獲得衍生密鑰；所述業(yè)務(wù)提供者收到加密的衍生密鑰后，解密獲得衍生密鑰。
10.根據(jù)權(quán)利要求2或3所述的通信認(rèn)證查詢(xún)方法，其特征在于，所述身份和權(quán)限的合法性檢查具體包括以下步驟根據(jù)業(yè)務(wù)簽約者的中間業(yè)務(wù)請(qǐng)求標(biāo)識(shí)來(lái)判斷業(yè)務(wù)簽約者是否有權(quán)使用所述此項(xiàng)業(yè)務(wù)；根據(jù)業(yè)務(wù)提供者的公開(kāi)身份標(biāo)識(shí)獲得業(yè)務(wù)提供者的中間業(yè)務(wù)查詢(xún)標(biāo)識(shí)，并以此判斷業(yè)務(wù)提供者是否有權(quán)提供所述此項(xiàng)業(yè)務(wù)；查找業(yè)務(wù)簽約者或者業(yè)務(wù)提供者的簽約信息，以確定實(shí)體是否有權(quán)請(qǐng)求或提供此項(xiàng)業(yè)務(wù)。
11.根據(jù)權(quán)利要求3所述的通信認(rèn)證查詢(xún)方法，其特征在于，還包括以下步驟當(dāng)業(yè)務(wù)簽約者需要獲得某項(xiàng)業(yè)務(wù)時(shí)，首先查看本地是否保存了對(duì)應(yīng)于此項(xiàng)業(yè)務(wù)的業(yè)務(wù)許可票據(jù)，如果有，則直接跳到步驟5)。
12.根據(jù)權(quán)利要求7所述的通信認(rèn)證查詢(xún)方法，其特征在于，所述實(shí)體認(rèn)證中心與所述業(yè)務(wù)簽約者之間發(fā)送的響應(yīng)中攜帶的隨機(jī)數(shù)是由實(shí)體認(rèn)證中心與業(yè)務(wù)簽約者的共享密鑰材料加密的。
13.一種通信認(rèn)證查詢(xún)系統(tǒng)，包括實(shí)體認(rèn)證中心，業(yè)務(wù)實(shí)體，其特征在于，所述業(yè)務(wù)實(shí)體包括業(yè)務(wù)簽約者、業(yè)務(wù)提供者和既是業(yè)務(wù)簽約者又是業(yè)務(wù)提供者的實(shí)體，所述實(shí)體認(rèn)證中心用于根據(jù)業(yè)務(wù)實(shí)體所請(qǐng)求或提供的業(yè)務(wù)的安全等級(jí)需求，查找安全等級(jí)列表，選擇一種符合業(yè)務(wù)安全等級(jí)需求的認(rèn)證查詢(xún)方式，并將選擇結(jié)果在認(rèn)證成功響應(yīng)中返回給業(yè)務(wù)實(shí)體；所述業(yè)務(wù)實(shí)體按照所述實(shí)體認(rèn)證中心選出的查詢(xún)方式發(fā)起業(yè)務(wù)請(qǐng)求。
全文摘要
本發(fā)明涉及一種通信認(rèn)證查詢(xún)方法和系統(tǒng)，屬于網(wǎng)絡(luò)通信領(lǐng)域。所述方法利用支持一種或多種認(rèn)證查詢(xún)方式的實(shí)體認(rèn)證中心參與認(rèn)證查詢(xún)過(guò)程，至少包括以下步驟所述實(shí)體認(rèn)證中心根據(jù)業(yè)務(wù)實(shí)體所請(qǐng)求或提供的業(yè)務(wù)的安全等級(jí)需求，查找安全等級(jí)列表，選擇一種符合業(yè)務(wù)安全等級(jí)需求的認(rèn)證查詢(xún)方式，并將選擇結(jié)果在認(rèn)證成功響應(yīng)中返回給業(yè)務(wù)實(shí)體；以及所述業(yè)務(wù)實(shí)體按照所述實(shí)體認(rèn)證中心選出的查詢(xún)方式發(fā)起業(yè)務(wù)請(qǐng)求。所述系統(tǒng)包括實(shí)體認(rèn)證中心，業(yè)務(wù)實(shí)體，所述業(yè)務(wù)實(shí)體包括業(yè)務(wù)簽約者、業(yè)務(wù)提供者和既是業(yè)務(wù)簽約者又是業(yè)務(wù)提供者的實(shí)體。本發(fā)明所述方法提高了端到端應(yīng)用服務(wù)通信認(rèn)證查詢(xún)方法的兼容性和可實(shí)施性。
文檔編號(hào)H04L9/32GK1929377SQ20061003269
公開(kāi)日2007年3月14日 申請(qǐng)日期2006年1月4日 優(yōu)先權(quán)日2006年1月4日
發(fā)明者位繼偉, 范絮妍 申請(qǐng)人:華為技術(shù)有限公司