專利名稱：安全認(rèn)證方法及裝置、認(rèn)證設(shè)備及認(rèn)證服務(wù)器的制作方法
技術(shù)領(lǐng)域：
本發(fā)明涉及安全認(rèn)證技術(shù)領(lǐng)域，尤其涉及一種安全認(rèn)證方法及裝置、認(rèn)證設(shè)備及認(rèn)證服務(wù)器。
背景技術(shù)：
現(xiàn)有技術(shù)中，在美國電氣和電子工程師協(xié)會(IEEE，Institute of Electrical and Electronics Engineers) 802(LAN, Local Area Network) Φ, ^ 5 ^ , 任何終端設(shè)備都可以接入網(wǎng)絡(luò)，也就是說終端設(shè)備不需要經(jīng)過任何安全認(rèn)證即可直接接入網(wǎng)絡(luò)，這會嚴(yán)重影響網(wǎng)絡(luò)的安全性。隨著局域網(wǎng)技術(shù)的廣泛應(yīng)用，對接入網(wǎng)絡(luò)的終端設(shè)備進行安全認(rèn)證的需求日益增長，對此，現(xiàn)有技術(shù)提出了 IEEE 802. Ix協(xié)議，用于保證終端設(shè)備只有經(jīng)過安全認(rèn)證后才能接入網(wǎng)絡(luò)。IEEE 802. Ix標(biāo)準(zhǔn)安全認(rèn)證體系由終端設(shè)備、認(rèn)證設(shè)備和認(rèn)證服務(wù)器三部分組成， 其網(wǎng)絡(luò)架構(gòu)如圖1所示，其中終端設(shè)備為請求進行安全認(rèn)證的設(shè)備，因此也可以稱為懇求者(Supplicant)，終端設(shè)備可以為用戶的個人計算機(PC，Personal Computer)，此外，終端設(shè)備需要運行符合 IEEE 802. Ix標(biāo)準(zhǔn)的客戶端，由運行的該客戶端來發(fā)起安全認(rèn)證流程；認(rèn)證設(shè)備置于終端設(shè)備和認(rèn)證服務(wù)器之間，是整個安全認(rèn)證過程中的報文轉(zhuǎn)發(fā)者，在實際使用中一般為網(wǎng)絡(luò)中的交換機設(shè)備，認(rèn)證設(shè)備接收終端設(shè)備的安全認(rèn)證請求，進行校驗和封裝后轉(zhuǎn)發(fā)給認(rèn)證服務(wù)器進行安全認(rèn)證，同時對認(rèn)證服務(wù)器返回的應(yīng)答報文進行校驗和封裝后轉(zhuǎn)發(fā)給終端設(shè)備，也可以將認(rèn)證設(shè)備稱為網(wǎng)絡(luò)訪問服務(wù)器(NAS，Network Access Server)；認(rèn)證服務(wù)器對認(rèn)證設(shè)備轉(zhuǎn)發(fā)的認(rèn)證請求進行校驗，為終端設(shè)備提供安全認(rèn)證服務(wù)，在實際使用中一般為遠(yuǎn)程用戶撥號認(rèn)證(RADIUS，Remote Authentication Dial In User Service)服務(wù)器。如圖2所示，為現(xiàn)有技術(shù)中，對終端設(shè)備進行安全認(rèn)證的方法流程圖，其具體處理流程如下步驟21，終端設(shè)備需要進行安全認(rèn)證時，向認(rèn)證設(shè)備發(fā)送局域網(wǎng)可擴展認(rèn)證協(xié)議開始(EAPoL-Start, Extensible Authentication Protocol over LAN-Start) 艮文，終端設(shè)備和認(rèn)證設(shè)備之間通過EAPoL協(xié)議交換信息；步驟22，認(rèn)證設(shè)備向終端設(shè)備應(yīng)答可擴展認(rèn)證協(xié)議請求及身份(ΕΑΡ-Request/ Identity)報文，通知終端設(shè)備發(fā)送設(shè)備信息；步驟23，終端設(shè)備向認(rèn)證設(shè)備應(yīng)答攜帶有設(shè)備信息的可擴展認(rèn)證協(xié)議響應(yīng)及身份 (EAP-Response/Identity) 艮文；步驟24，認(rèn)證設(shè)備從EAP-Response/Identity報文中提取出設(shè)備信息，將該設(shè)備信息封裝到遠(yuǎn)程用戶撥號認(rèn)證接入請求(RADIUS Access-Request)報文中發(fā)送給認(rèn)證服務(wù)器，認(rèn)證設(shè)備和認(rèn)證服務(wù)器之間通過RADIUS協(xié)議交換信息；
步驟25，認(rèn)證服務(wù)器在設(shè)備信息數(shù)據(jù)庫中查找是否存在RADIUS Access-Request 報文中攜帶的設(shè)備信息，若查找到，則隨機產(chǎn)生一個加密字，將加密字封裝到遠(yuǎn)程用戶撥號認(rèn)證接入詢問(RADIUS Access-Challenge)報文中發(fā)送給認(rèn)證設(shè)備，同時，根據(jù)隨機產(chǎn)生的加密字對該終端設(shè)備的口令信息進行加密運算，得到運算結(jié)果；步驟沈，認(rèn)證設(shè)備從RADIUS Access-Challenge報文中提取出加密字，將該加密字封裝到可擴展認(rèn)證協(xié)議請求(ΕΑΡ-Request)報文中，發(fā)送給終端設(shè)備；步驟27，終端設(shè)備根據(jù)RADIUS Access-Challenge報文中攜帶的加密字，對該終端設(shè)備的口令信息進行加密運算，得到運算結(jié)果，將運算結(jié)果封裝到可擴展認(rèn)證協(xié)議響應(yīng) (ΕΑΡ-Response)報文中發(fā)送給認(rèn)證設(shè)備；步驟觀，認(rèn)證設(shè)備從ΕΑΡ-Response報文中提取出運算結(jié)果，然后將該運算結(jié)果封裝到遠(yuǎn)程用戶撥號認(rèn)證接入請求(RADIUS Access-Request)報文中發(fā)送給認(rèn)證服務(wù)器；步驟四，認(rèn)證服務(wù)器比較RADIUS Access-Request報文中攜帶的運算結(jié)果與自身的運算結(jié)果是否一致，如果一致，則應(yīng)答遠(yuǎn)程用戶撥號認(rèn)證接入接受(RADIUS Access-Accept)報文，否則，應(yīng)答遠(yuǎn)程用戶撥號認(rèn)證接入拒絕(RADIUS Access-Reject)報文；步驟210，認(rèn)證設(shè)備接收到RADIUS Access-Accept報文后，認(rèn)為該終端設(shè)備通過安全認(rèn)證，則打開受控端口，同時向該終端設(shè)備發(fā)送可擴展認(rèn)證協(xié)議成功(EAP-Success) 報文，接收到RADIUS Access-Reject報文后，認(rèn)為該終端設(shè)備未通過安全認(rèn)證，則不打開受控端口，同時向該終端設(shè)備發(fā)送可擴展認(rèn)證協(xié)議失敗(ΕΑΡ-Failure)報文?，F(xiàn)有技術(shù)中，認(rèn)證服務(wù)器可能會由于設(shè)備維修或網(wǎng)絡(luò)整改等原因，暫時停止為終端設(shè)備提供安全認(rèn)證服務(wù)，從認(rèn)證服務(wù)器開始停止提供安全認(rèn)證的時間點到開始恢復(fù)提供安全認(rèn)證的時間點之間的時間段內(nèi)，若終端設(shè)備觸發(fā)了安全認(rèn)證請求，即向認(rèn)證設(shè)備發(fā)送了 EAPoL-Mart報文，則認(rèn)證設(shè)備會按照上述流程向認(rèn)證服務(wù)器發(fā)送RADIUS Access-Request報文，由于認(rèn)證服務(wù)器此時停止為終端設(shè)備提供安全認(rèn)證服務(wù)，因此不會向認(rèn)證設(shè)備反饋RADIUS Access-Challenge報文，那么認(rèn)證設(shè)備在等待預(yù)設(shè)的時間長度后， 會認(rèn)為安全認(rèn)證等待超時，則向終端設(shè)備發(fā)送ΕΑΡ-Failure報文，通知終端設(shè)備安全認(rèn)證失敗，由于使用該終端設(shè)備的用戶不能獲知此時認(rèn)證服務(wù)器已經(jīng)停止提供認(rèn)證服務(wù)，可能會繼續(xù)觸發(fā)安全認(rèn)證請求，因此耗費了終端設(shè)備和認(rèn)證設(shè)備較多的處理資源，也耗費了較多的網(wǎng)絡(luò)傳輸資源。

發(fā)明內(nèi)容
本發(fā)明實施例提供一種安全認(rèn)證方法及裝置、認(rèn)證設(shè)備及認(rèn)證服務(wù)器，用以解決現(xiàn)有技術(shù)中對終端設(shè)備進行安全認(rèn)證時，耗費了終端設(shè)備和認(rèn)證設(shè)備較多的處理資源，以及耗費了較多網(wǎng)絡(luò)傳輸資源的問題。本發(fā)明實施例技術(shù)方案如下一種安全認(rèn)證方法，該方法包括步驟認(rèn)證設(shè)備在終端設(shè)備請求進行安全認(rèn)證時，向認(rèn)證服務(wù)器發(fā)送遠(yuǎn)程用戶撥號認(rèn)證接入請求RADIUS Access-Request報文；若在預(yù)設(shè)的時間長度內(nèi)未接收到認(rèn)證服務(wù)器發(fā)送的遠(yuǎn)程用戶撥號認(rèn)證接入詢問RADIUS Access-Challenge報文，則確認(rèn)所述認(rèn)證服務(wù)器停止為終端設(shè)備提供安全認(rèn)證服務(wù)；所述認(rèn)證設(shè)備將自身存儲的、提示認(rèn)證服務(wù)器停止為終端設(shè)備提供安全認(rèn)證服務(wù)的提示信息攜帶在可擴展認(rèn)證協(xié)議失敗ΕΑΡ-Failure報文中發(fā)送給所述終端設(shè)備。一種安全認(rèn)證裝置，包括存儲單元，用于存儲提示認(rèn)證服務(wù)器停止為終端設(shè)備提供安全認(rèn)證服務(wù)的提示信息；請求報文發(fā)送單元，用于在終端設(shè)備請求進行安全認(rèn)證時，向認(rèn)證服務(wù)器發(fā)送遠(yuǎn)程用戶撥號認(rèn)證接入請求RADIUS Access-Request報文；停止服務(wù)確認(rèn)單元，用于在預(yù)設(shè)的時間長度內(nèi)未接收到認(rèn)證服務(wù)器發(fā)送的遠(yuǎn)程用戶撥號認(rèn)證接入詢問 RADIUS Access-Challenge報文時，確認(rèn)所述認(rèn)證服務(wù)器停止為終端設(shè)備提供安全認(rèn)證服務(wù)；失敗報文發(fā)送單元，用于將所述存儲單元存儲的所述提示信息，攜帶在可擴展認(rèn)證協(xié)議失敗ΕΑΡ-Failure報文中發(fā)送給所述終端設(shè)備。一種認(rèn)證設(shè)備，包括上述安全認(rèn)證裝置。一種安全認(rèn)證方法，該方法包括步驟認(rèn)證服務(wù)器獲得提示所述認(rèn)證服務(wù)器停止為終端設(shè)備提供安全認(rèn)證服務(wù)的提示信息；在停止為終端設(shè)備提供認(rèn)證服務(wù)之前，將所述提示信息攜帶在至少一個待發(fā)送報文中發(fā)送給認(rèn)證設(shè)備，以供所述認(rèn)證設(shè)備存儲所述提示 fn息ο一種安全認(rèn)證裝置，包括提示信息獲得單元，用于獲得提示所述安全認(rèn)證裝置停止為終端設(shè)備提供安全認(rèn)證服務(wù)的提示信息；報文發(fā)送單元，用于在所述安全認(rèn)證裝置停止為終端設(shè)備提供認(rèn)證服務(wù)之前，將提示信息獲得單元獲得的所述提示信息攜帶在至少一個待發(fā)送報文中發(fā)送給認(rèn)證設(shè)備，以供所述認(rèn)證設(shè)備存儲所述提示信息。一種認(rèn)證服務(wù)器，包括上述安全認(rèn)證裝置。本發(fā)明實施例技術(shù)方案中，認(rèn)證設(shè)備在終端設(shè)備請求進行安全認(rèn)證時，向認(rèn)證服務(wù)器發(fā)送RADIUS Access-Request報文，若在預(yù)設(shè)的時間長度內(nèi)未接收到認(rèn)證服務(wù)器發(fā)送的RADIUS Access-Challenge報文，則確認(rèn)所述認(rèn)證服務(wù)器停止為終端設(shè)備提供安全認(rèn)證服務(wù)，此時認(rèn)證設(shè)備向該終端設(shè)備發(fā)送EAP-Fai lure報文，且該EAP-Fai lure報文中攜帶有提示認(rèn)證服務(wù)器停止為終端設(shè)備提供安全認(rèn)證服務(wù)的提示信息，因此使用該終端設(shè)備的用戶就能夠根據(jù)ΕΑΡ-Failure報文中攜帶的上述提示信息，獲知此次認(rèn)證失敗的原因為此時認(rèn)證服務(wù)器已經(jīng)停止為終端設(shè)備提供安全認(rèn)證服務(wù)，那么就不會繼續(xù)觸發(fā)安全認(rèn)證請求， 因此能夠有效地節(jié)省終端設(shè)備和認(rèn)證設(shè)備較多的處理資源，也節(jié)省了較多的網(wǎng)絡(luò)傳輸資源。


圖1為現(xiàn)有技術(shù)中，IEEE 802. Ix標(biāo)準(zhǔn)安全認(rèn)證體系的網(wǎng)絡(luò)架構(gòu)示意圖；圖2為現(xiàn)有技術(shù)中，對終端設(shè)備進行安全認(rèn)證的方法流程示意圖；圖3為本發(fā)明實施例一中，安全認(rèn)證方法流程示意圖；圖4為本發(fā)明實施例二中，安全認(rèn)證方法具體實現(xiàn)流程示意圖；圖5為本發(fā)明實施例三中，安全認(rèn)證裝置結(jié)構(gòu)示意圖；圖6為本發(fā)明實施例四中，安全認(rèn)證裝置結(jié)構(gòu)示意圖。
具體實施例方式下面結(jié)合各個附圖對本發(fā)明實施例技術(shù)方案的主要實現(xiàn)原理具體實施方式
及其對應(yīng)能夠達到的有益效果進行詳細(xì)地闡述。實施例一如圖3所示，為本發(fā)明實施例一提出的安全認(rèn)證方法流程圖，其具體處理流程如下步驟31，認(rèn)證設(shè)備在終端設(shè)備請求進行安全認(rèn)證時，向認(rèn)證服務(wù)器發(fā)送RADIUS Access-Request 才艮文；終端設(shè)備若需要進行安全認(rèn)證，則向認(rèn)證設(shè)備發(fā)送EAPoL-Mart報文，請求進行安全認(rèn)證，認(rèn)證設(shè)備接收到EAPoLItart報文后，向終端設(shè)備反饋EAP-Request/Identity 報文，通知該終端設(shè)備發(fā)送設(shè)備信息，其中該設(shè)備信息可以但不限于為終端設(shè)備為了進行安全認(rèn)證預(yù)先設(shè)置的，終端設(shè)備接收到EAP-Request/Identity報文后，將自身的設(shè)備信息攜帶在EAP-Response/Identity報文中，發(fā)送給認(rèn)證設(shè)備，認(rèn)證設(shè)備接收到EAP-Response/ Identity報文后，從EAP-Response/Identity報文中提取出終端設(shè)備的設(shè)備信息，然后將該設(shè)備信息封裝到RADIUS Access-Request報文中，并將該RADIUS Access-Request報文發(fā)送給認(rèn)證服務(wù)器。步驟32，若在預(yù)設(shè)的時間長度內(nèi)未接收到認(rèn)證服務(wù)器發(fā)送的RADIUS Access-Challenge報文，則認(rèn)證設(shè)備確認(rèn)所述認(rèn)證服務(wù)器停止為終端設(shè)備提供安全認(rèn)證服務(wù)；若認(rèn)證服務(wù)器此時處于正常工作狀態(tài)，那么該認(rèn)證服務(wù)器接收到上述RADIUS Access-Challenge報文后，會先從RADIUS Access-Challenge報文中提取出請求進行安全認(rèn)證的終端設(shè)備的設(shè)備信息，然后在自身的設(shè)備信息數(shù)據(jù)庫中，查找是否存在提取出的設(shè)備信息，若未查找到，則確認(rèn)該終端設(shè)備不通過安全認(rèn)證，向認(rèn)證設(shè)備發(fā)送RADIUS Access-Reject報文，認(rèn)證設(shè)備向終端設(shè)備發(fā)送ΕΑΡ-Failure報文，通知終端設(shè)備未通過安全認(rèn)證，若查找到，則先根據(jù)該終端設(shè)備的設(shè)備信息，在存儲的設(shè)備信息和口令信息的對應(yīng)關(guān)系中，查找該終端設(shè)備的口令信息，然后隨機產(chǎn)生一個加密字，根據(jù)隨機產(chǎn)生的加密字， 對該終端設(shè)備的口令信息進行加密運算，得到運算結(jié)果，同時，認(rèn)證服務(wù)器將隨機產(chǎn)生的加密字封裝到 RADIUS Access-Challenge 報文中，將該 RADIUS Access-Challenge 報文發(fā)送給認(rèn)證設(shè)備；若認(rèn)證服務(wù)器此時已經(jīng)停止為終端設(shè)備提供安全認(rèn)證服務(wù)，則認(rèn)證服務(wù)器不會向認(rèn)證設(shè)備反饋RADIUS Access-Challenge報文，如果認(rèn)證設(shè)備在等待預(yù)設(shè)的時間長度后，未接收到認(rèn)證服務(wù)器發(fā)送的RADIUS Access-Challenge報文，則可以確認(rèn)認(rèn)證服務(wù)器此時已經(jīng)停止為終端設(shè)備提供安全認(rèn)證服務(wù)。步驟33，認(rèn)證設(shè)備將自身存儲的、提示認(rèn)證服務(wù)器停止為終端設(shè)備提供安全認(rèn)證服務(wù)的提示信息攜帶在ΕΑΡ-Failure報文中發(fā)送給所述終端設(shè)備。若認(rèn)證設(shè)備在預(yù)設(shè)的時間長度內(nèi)未接收到認(rèn)證服務(wù)器發(fā)送的RADIUS Access-Challenge報文，則需要向終端設(shè)備發(fā)送ΕΑΡ-Failure報文，通知終端設(shè)備未通過安全認(rèn)證，本發(fā)明實施例一提出，認(rèn)證設(shè)備中存儲有提示認(rèn)證服務(wù)器停止為終端設(shè)備提供安全認(rèn)證服務(wù)的提示信息，當(dāng)認(rèn)證設(shè)備確認(rèn)認(rèn)證服務(wù)器已經(jīng)停止為終端設(shè)備提供安全認(rèn)證服務(wù)時，就將上述提示信息攜帶在ΕΑΡ-Failure報文中，然后將ΕΑΡ-Failure報文發(fā)送給終端設(shè)備，其中，認(rèn)證設(shè)備可以但不限于將上述提示信息攜帶在ΕΑΡ-Failure報文的數(shù)據(jù)包域中。終端設(shè)備接收到ΕΑΡ-Failure報文后，從數(shù)據(jù)包域中提取出上述提示信息，將該提示信息進行展現(xiàn)，提示使用該終端設(shè)備的用戶認(rèn)證服務(wù)器停止為終端設(shè)備提供安全認(rèn)證服務(wù)，那么使用該終端設(shè)備的用戶就能夠根據(jù)上述提示信息，獲知此次認(rèn)證失敗的原因為此時認(rèn)證服務(wù)器已經(jīng)停止為終端設(shè)備提供安全認(rèn)證服務(wù)，那么就不會繼續(xù)觸發(fā)安全認(rèn)證請求。本發(fā)明實施例一中，認(rèn)證服務(wù)器可以但不限于通過下述兩種方式存儲上述提示信息，分別為第一種方式，認(rèn)證管理人員在認(rèn)證服務(wù)器停止為終端設(shè)備提供認(rèn)證服務(wù)之前，在認(rèn)證設(shè)備上配置提示認(rèn)證服務(wù)器停止為終端設(shè)備提供安全認(rèn)證服務(wù)的提示信息，認(rèn)證設(shè)備將配置的上述提示信息保存在可讀可寫的物理空間中；第二種方式，認(rèn)證服務(wù)器在停止為終端設(shè)備提供認(rèn)證服務(wù)之前，將上述提示信息攜帶在至少一個待發(fā)送報文中發(fā)送給認(rèn)證設(shè)備，其中該待發(fā)送報文可以但不限于為下述報文中的一種或多種RADIUS Access-Challenge 報文、RADIUS Access-Acc印t 報文、 RADIUS Access-Reject報文，認(rèn)證服務(wù)器將提示信息攜帶在哪個待發(fā)送報文中發(fā)送給認(rèn)證設(shè)備，可以由認(rèn)證服務(wù)器和認(rèn)證設(shè)備預(yù)先進行約定，認(rèn)證服務(wù)器將提示信息攜帶在預(yù)先約定的待發(fā)送報文中發(fā)送給認(rèn)證設(shè)備。若約定在RADIUS Access-Challenge報文中攜帶提示信息，即RADIUS Access-Challenge報文為預(yù)先約定的待發(fā)送報文，則認(rèn)證設(shè)備從 RADIUS Access-Challenge報文中提取出上述提示信息后進行存儲，若約定在認(rèn)證服務(wù)器發(fā)送給認(rèn)證設(shè)備的最后一個報文中攜帶提示信息，即RADIUS Access-Acc印t報文或RADIUS Access-Reject報文為預(yù)先約定的待發(fā)送報文，則認(rèn)證設(shè)備從RADIUS Access-Accept報文或RADIUS Access-Reject報文中提取出上述提示信息后進行存儲。具體的認(rèn)證管理人員在認(rèn)證服務(wù)器停止為終端設(shè)備提供認(rèn)證服務(wù)之前，預(yù)先在認(rèn)證服務(wù)器上配置提示認(rèn)證服務(wù)器停止為終端設(shè)備提供安全認(rèn)證服務(wù)的提示信息，從認(rèn)證管理人員配置上述提示信息到認(rèn)證服務(wù)器開始停止為終端設(shè)備提供安全認(rèn)證服務(wù)這一時間段內(nèi)，若認(rèn)證服務(wù)器需要向認(rèn)證設(shè)備反饋預(yù)先約定的待發(fā)送報文，則認(rèn)證服務(wù)器將上述提示信息攜帶在預(yù)先約定的待發(fā)送報文中發(fā)送給認(rèn)證設(shè)備，認(rèn)證設(shè)備接收到預(yù)先約定的待發(fā)送報文后，提取報文中攜帶的上述提示信息后進行存儲。在上述第二種方式中，認(rèn)證服務(wù)器可以但不限于將上述提示信息攜帶在預(yù)先約定的待發(fā)送報文的私有屬性域中，其中，可以將上述提示信息攜帶在私有屬性域的應(yīng)答信息 (Reply-Message)屬性中，上述提示信息在R印ly-Message屬性中的格式可以預(yù)先和認(rèn)證設(shè)備進行約定，例如，認(rèn)證服務(wù)器預(yù)先和認(rèn)證設(shè)備約定上述提示信息在R印Iy-Message屬性中的格式為“PRE-ST0P_MSG :msg”，即上述提示信息攜帶在預(yù)先約定的待發(fā)送報文的私有屬性域的PRE-ST0P_MSG字段中，msg表示上述提示認(rèn)證服務(wù)器停止為終端設(shè)備提供安全認(rèn)證服務(wù)的提示信息，認(rèn)證設(shè)備接收到預(yù)先約定的待發(fā)送報文后，提取報文的私有屬性域的PRE-ST0P_MSG字段中攜帶的上述提示信息，然后進行存儲。此外，從認(rèn)證管理人員配置上述提示信息到認(rèn)證服務(wù)器開始停止為終端設(shè)備提供安全認(rèn)證服務(wù)這一時間段內(nèi)，認(rèn)證服務(wù)器可以在向認(rèn)證設(shè)備反饋的每個預(yù)先約定的待發(fā)送報文中均攜帶上述提示信息，認(rèn)證設(shè)備第一次接收到攜帶有上述提示信息的、預(yù)先約定的待發(fā)送報文后，提取出上述提示信息后進行存儲，在后續(xù)接收到預(yù)先約定的待發(fā)送報文時， 先從報文中提取出攜帶的提示信息，然后判斷提取出的提示信息是否與存儲的提示信息一致，若一致，則不進行處理，若不一致，則更新存儲的提示信息；認(rèn)證服務(wù)器也可以只在向認(rèn)證設(shè)備反饋的部分預(yù)先約定的待發(fā)送報文中攜帶上述提示信息，例如從認(rèn)證管理人員配置上述提示信息到認(rèn)證服務(wù)器開始停止為終端設(shè)備提供安全認(rèn)證服務(wù)這一時間段內(nèi)，認(rèn)證服務(wù)器只在第一次向認(rèn)證設(shè)備反饋的、預(yù)先約定的待發(fā)送報文中攜帶上述提示信息，或只在第一次和第二次向認(rèn)證設(shè)備反饋的、預(yù)先約定的待發(fā)送報文中攜帶上述提示信息。也就是說認(rèn)證服務(wù)器將上述提示信息攜帶在至少一個預(yù)先約定的待發(fā)送報文中發(fā)送給認(rèn)證設(shè)備。本發(fā)明實施例一提出，認(rèn)證設(shè)備中還可以存儲有認(rèn)證服務(wù)器停止為終端設(shè)備提供安全認(rèn)證服務(wù)的時間段對應(yīng)的時間段信息，例如認(rèn)證服務(wù)器停止為終端設(shè)備提供安全認(rèn)證服務(wù)的時間段為2011年8月30日M點至2011年8月31日M點，則認(rèn)證服務(wù)器中就存儲有上述時間段對應(yīng)的時間段信息(例如為“2011年8月30日M點至2011年8月31日 M點”)，為了提高認(rèn)證設(shè)備確認(rèn)認(rèn)證服務(wù)器停止為終端設(shè)備提供安全認(rèn)證服務(wù)的準(zhǔn)確性， 認(rèn)證設(shè)備在確認(rèn)認(rèn)證服務(wù)器停止為終端設(shè)備提供安全認(rèn)證服務(wù)之前，還可以進一步判斷當(dāng)前時間點是否位于存儲的所述時間段信息對應(yīng)的時間段內(nèi)，若判斷結(jié)果為是，則可以確認(rèn)認(rèn)證服務(wù)器已經(jīng)停止為終端設(shè)備提供安全認(rèn)證服務(wù)，若判斷結(jié)果為否，則可以認(rèn)為是由于其他原因?qū)е挛唇邮盏秸J(rèn)證服務(wù)器發(fā)送的RADIUS Access-Challenge報文，而不是由認(rèn)證服務(wù)器已經(jīng)停止為終端設(shè)備提供安全認(rèn)證服務(wù)導(dǎo)致的。其中，認(rèn)證設(shè)備可以但不限于通過下述三種方式存儲上述時間段信息，分別為第一種方式，認(rèn)證管理人員在認(rèn)證服務(wù)器停止為終端設(shè)備提供認(rèn)證服務(wù)之前，預(yù)先在認(rèn)證設(shè)備上配置認(rèn)證服務(wù)器停止為終端設(shè)備提供安全認(rèn)證服務(wù)的時間段對應(yīng)的時間段信息，認(rèn)證設(shè)備將配置的上述時間段信息保存在可讀可寫的物理空間中，其中，認(rèn)證管理人員可以但不限于同時在認(rèn)證設(shè)備上配置上述提示信息和時間段信息。第二種方式，認(rèn)證服務(wù)器在停止為終端設(shè)備提供認(rèn)證服務(wù)之前，將上述時間段信息攜帶在至少一個待發(fā)送報文中發(fā)送給認(rèn)證設(shè)備，認(rèn)證設(shè)備從報文中提取出上述時間段信息后進行存儲，具體的認(rèn)證管理人員在認(rèn)證服務(wù)器停止為終端設(shè)備提供認(rèn)證服務(wù)之前，預(yù)先在認(rèn)證服務(wù)器上配置認(rèn)證服務(wù)器停止為終端設(shè)備提供安全認(rèn)證服務(wù)的時間段對應(yīng)的時間段信息，其中，認(rèn)證管理人員可以但不限于同時在認(rèn)證服務(wù)器上配置上述提示信息和時間段信息，從認(rèn)證管理人員配置時間段信息到認(rèn)證服務(wù)器開始停止為終端設(shè)備提供安全認(rèn)證服務(wù)這一時間段內(nèi)，若認(rèn)證服務(wù)器需要向認(rèn)證設(shè)備反饋預(yù)先約定的待發(fā)送報文，則認(rèn)證服務(wù)器將上述時間段信息攜帶在預(yù)先約定的待發(fā)送報文中發(fā)送給認(rèn)證設(shè)備，認(rèn)證設(shè)備接收到預(yù)先約定的待發(fā)送報文后，提取報文中攜帶的上述時間段信息后進行存儲。在上述第二種方式中，認(rèn)證服務(wù)器可以將提示信息和時間段信息分別發(fā)送給認(rèn)證設(shè)備，認(rèn)證服務(wù)器可以但不限于將上述時間段信息攜帶在預(yù)先約定的待發(fā)送報文的私有屬性域中，其中，可以將上述時間段信息攜帶在私有屬性域的Reply-Message屬性中， 上述時間段信息在Reply-Message屬性中的格式可以預(yù)先和認(rèn)證設(shè)備進行約定，例如， 認(rèn)證服務(wù)器預(yù)先和認(rèn)證設(shè)備約定上述時間段信息在R印ly-Message屬性中的格式為 "STOP-TIME :tBegin, tEnd”，即上述時間段信息攜帶在 RADIUS Access-Accept 報文或 RADIUS Access-Reject報文的私有屬性域的STOP-TIME字段中，tBegin表示認(rèn)證服務(wù)器開始停止為終端設(shè)備提供安全認(rèn)證服務(wù)的時間點，tEnd表示認(rèn)證服務(wù)器開始恢復(fù)為終端設(shè)備提供安全認(rèn)證服務(wù)的時間點，認(rèn)證設(shè)備接收到RADIUS Access-Accept報文或RADIUS Access-Reject報文后，提取報文的私有屬性域的STOP-TIME字段中攜帶的上述提示信息， 然后進行存儲；認(rèn)證服務(wù)器也可以將提示信息和時間段信息攜帶在一個RADIUS Access-Accept 報文或RADIUS Access-Reject報文中發(fā)送給認(rèn)證設(shè)備，此時，認(rèn)證設(shè)備可以從一個 RADIUS Access-Accept報文或RADIUS Access-Reject報文中同時提取出時間段信息和提示信息。例如，將上述提示信息和時間段信息攜帶在RADIUS Access-Accept報文或 RADIUS Access-Reject報文的私有屬性域的Iteply-Message屬性中，格式為“ST0P-TIME tBegin, tEnd ；PRE_ST0P_MSG :msg”。第三種方式，認(rèn)證服務(wù)器在停止為終端設(shè)備提供認(rèn)證服務(wù)之前，將上述時間段信息攜帶在上述提示信息中發(fā)送給認(rèn)證設(shè)備，認(rèn)證設(shè)備從提示信息中提取出上述時間段信息后進行存儲。為了告知使用終端設(shè)備的用戶，認(rèn)證服務(wù)器何時恢復(fù)為終端設(shè)備提供安全認(rèn)證服務(wù)，以便終端設(shè)備能夠在認(rèn)證服務(wù)器恢復(fù)為終端設(shè)備提供安全認(rèn)證服務(wù)后，及時的進行安全認(rèn)證，本發(fā)明實施例一提出，攜帶在ΕΑΡ-Failure報文中的提示信息中可以包含認(rèn)證服務(wù)器恢復(fù)為終端設(shè)備提供安全認(rèn)證服務(wù)的時間點對應(yīng)的時間點信息，例如，上述提示信息為“因網(wǎng)絡(luò)機房整改，需要在2011年8月30日M點至2011年8月31日M點停止認(rèn)證， 請相關(guān)人員注意”，其中“2011年8月31日M點”即為認(rèn)證服務(wù)器恢復(fù)為終端設(shè)備提供安全認(rèn)證服務(wù)的時間點對應(yīng)的時間點信息。本發(fā)明實施例一中，對終端設(shè)備進行的安全性認(rèn)證可以但不限于為IEEE802. Ix 安全認(rèn)證。由上述處理過程可知，本發(fā)明實施例技術(shù)方案中，認(rèn)證設(shè)備在終端設(shè)備請求進行安全認(rèn)證時，向認(rèn)證服務(wù)器發(fā)送RADIUS Access-Request報文，若在預(yù)設(shè)的時間長度內(nèi)未接收到認(rèn)證服務(wù)器發(fā)送的RADIUS Access-Challenge報文，則確認(rèn)所述認(rèn)證服務(wù)器停止為終端設(shè)備提供安全認(rèn)證服務(wù)，此時認(rèn)證設(shè)備向該終端設(shè)備發(fā)送ΕΑΡ-Failure報文，且該 ΕΑΡ-Failure報文中攜帶有提示認(rèn)證服務(wù)器停止為終端設(shè)備提供安全認(rèn)證服務(wù)的提示信息，因此使用該終端設(shè)備的用戶就能夠根據(jù)ΕΑΡ-Failure報文中攜帶的上述提示信息，獲知此次認(rèn)證失敗的原因為此時認(rèn)證服務(wù)器已經(jīng)停止為終端設(shè)備提供安全認(rèn)證服務(wù)，那么就不會繼續(xù)觸發(fā)安全認(rèn)證請求，因此能夠有效地節(jié)省終端設(shè)備和認(rèn)證設(shè)備較多的處理資源， 也節(jié)省了較多的網(wǎng)絡(luò)傳輸資源。下面給出更為詳細(xì)的實施方式。實施例二如圖4所示，為本發(fā)明實施例二提供的安全認(rèn)證方法具體實現(xiàn)流程圖，其具體處理流程如下步驟41，終端設(shè)備需要進行安全認(rèn)證時，向認(rèn)證設(shè)備發(fā)送EAPoL-Mart報文；步驟42，認(rèn)證設(shè)備向終端設(shè)備應(yīng)答EAP-Request/Identity報文，通知終端設(shè)備發(fā)送設(shè)備信息；步驟43，終端設(shè)備向認(rèn)證設(shè)備應(yīng)答攜帶有設(shè)備信息的EAP-Response/Identity報文；步驟44，認(rèn)證設(shè)備從EAP-Response/Identity報文中提取出設(shè)備信息，將該設(shè)備信息封裝到RADIUS Access-Request報文中發(fā)送給認(rèn)證服務(wù)器；步驟45，認(rèn)證設(shè)備在等待預(yù)設(shè)的時間長度后，未接收到認(rèn)證服務(wù)器發(fā)送的RADIUS Access-Challenge報文，且當(dāng)前時間點位于認(rèn)證服務(wù)器停止為終端設(shè)備提供安全認(rèn)證服務(wù)的時間段內(nèi)，因此認(rèn)證設(shè)備確認(rèn)認(rèn)證服務(wù)器此時已經(jīng)停止為終端設(shè)備提供安全認(rèn)證服務(wù)， 則將提示認(rèn)證服務(wù)器停止為終端設(shè)備提供安全認(rèn)證服務(wù)的提示信息攜帶在EAP-Failure 報文中發(fā)送給終端設(shè)備。實施例三與圖3所示的安全認(rèn)證方法對應(yīng)，本發(fā)明實施例三提供一種安全認(rèn)證裝置，其結(jié)構(gòu)如圖5所示，包括存儲單元51，用于存儲提示認(rèn)證服務(wù)器停止為終端設(shè)備提供安全認(rèn)證服務(wù)的提示 fn息；請求報文發(fā)送單元52，用于在終端設(shè)備請求進行安全認(rèn)證時，向認(rèn)證服務(wù)器發(fā)送 RADIUS Access-Request 報文；停止服務(wù)確認(rèn)單元53，用于在預(yù)設(shè)的時間長度內(nèi)未接收到認(rèn)證服務(wù)器發(fā)送的 RADIUS Access-Challenge報文時，確認(rèn)所述認(rèn)證服務(wù)器停止為終端設(shè)備提供安全認(rèn)證服務(wù)；失敗報文發(fā)送單元M，用于將所述存儲單元51存儲的所述提示信息，攜帶在 ΕΑΡ-Failure報文中發(fā)送給所述終端設(shè)備。較佳地，所述存儲單元51，還用于存儲所述認(rèn)證服務(wù)器停止為終端設(shè)備提供安全認(rèn)證服務(wù)的時間段對應(yīng)的時間段信息；所述安全認(rèn)證裝置還包括時間段確認(rèn)單元，用于在停止服務(wù)確認(rèn)單元53確認(rèn)所述認(rèn)證服務(wù)器停止為終端設(shè)備提供安全認(rèn)證服務(wù)之前，確認(rèn)當(dāng)前時間點位于存儲單元51 存儲的所述時間段信息對應(yīng)的時間段內(nèi)。本發(fā)明實施例三還提供一種認(rèn)證設(shè)備，至少包括上述安全認(rèn)證裝置。實施例四本發(fā)明實施例四提供一種安全認(rèn)證裝置，其結(jié)構(gòu)如圖6所示，包括提示信息獲得單元61，用于獲得提示所述安全認(rèn)證裝置停止為終端設(shè)備提供安全認(rèn)證服務(wù)的提示信息；報文發(fā)送單元62，用于在所述安全認(rèn)證裝置停止為終端設(shè)備提供認(rèn)證服務(wù)之前， 將提示信息獲得單元61獲得的所述提示信息攜帶在至少一個待發(fā)送報文中發(fā)送給認(rèn)證設(shè)備，以供所述認(rèn)證設(shè)備存儲所述提示信息。較佳地，所述待發(fā)送報文為下述報文中的一種或多種RADIUS Access-Challenge 報文；RADIUS Access-Accept 艮文；RADIUS Access-Reject 報文。較佳地，所述安全認(rèn)證裝置還包括時間段信息發(fā)送單元，用于將所述認(rèn)證服務(wù)器停止為終端設(shè)備提供安全認(rèn)證服務(wù)的時間段對應(yīng)的時間段信息發(fā)送給所述認(rèn)證設(shè)備。
本發(fā)明實施例四還提供一種認(rèn)證服務(wù)器，至少包括上述安全認(rèn)證裝置。盡管已描述了本發(fā)明的優(yōu)選實施例，但本領(lǐng)域內(nèi)的技術(shù)人員一旦得知了基本創(chuàng)造性概念，則可對這些實施例做出另外的變更和修改。所以，所附權(quán)利要求意欲解釋為包括優(yōu)選實施例以及落入本發(fā)明范圍的所有變更和修改。顯然，本領(lǐng)域的技術(shù)人員可以對本發(fā)明進行各種改動和變型而不脫離本發(fā)明的精神和范圍。這樣，倘若本發(fā)明的這些修改和變型屬于本發(fā)明權(quán)利要求及其等同技術(shù)的范圍之內(nèi)，則本發(fā)明也意圖包含這些改動和變型在內(nèi)。
權(quán)利要求
1.一種安全認(rèn)證方法，其特征在于，包括認(rèn)證設(shè)備在終端設(shè)備請求進行安全認(rèn)證時，向認(rèn)證服務(wù)器發(fā)送遠(yuǎn)程用戶撥號認(rèn)證接入請求 RADIUS Access-Request 艮文；若在預(yù)設(shè)的時間長度內(nèi)未接收到認(rèn)證服務(wù)器發(fā)送的遠(yuǎn)程用戶撥號認(rèn)證接入詢問 RADIUS Access-Challenge報文，則確認(rèn)所述認(rèn)證服務(wù)器停止為終端設(shè)備提供安全認(rèn)證服務(wù)；所述認(rèn)證設(shè)備將自身存儲的、提示認(rèn)證服務(wù)器停止為終端設(shè)備提供安全認(rèn)證服務(wù)的提示信息攜帶在可擴展認(rèn)證協(xié)議失敗ΕΑΡ-Failure報文中發(fā)送給所述終端設(shè)備。
2.如權(quán)利要求1所述的方法，其特征在于，所述提示信息為認(rèn)證服務(wù)器在停止為終端設(shè)備提供認(rèn)證服務(wù)之前，攜帶在至少一個待發(fā)送報文中發(fā)送給所述認(rèn)證設(shè)備的。
3.如權(quán)利要求2所述的方法，其特征在于，所述待發(fā)送報文包括以下報文中的至少一種遠(yuǎn)程用戶撥號認(rèn)證接入詢問RADIUS Access-Challenge報文； 遠(yuǎn)程用戶撥號認(rèn)證接入接受RADIUS Access-Acc印t報文； 遠(yuǎn)程用戶撥號認(rèn)證接入拒絕RADIUS Access-Reject報文。
4.如權(quán)利要求1所述的方法，其特征在于，所述認(rèn)證設(shè)備還存儲有所述認(rèn)證服務(wù)器停止為終端設(shè)備提供安全認(rèn)證服務(wù)的時間段對應(yīng)的時間段信息；所述認(rèn)證設(shè)備確認(rèn)所述認(rèn)證服務(wù)器停止為終端設(shè)備提供安全認(rèn)證服務(wù)之前，還包括 所述認(rèn)證設(shè)備確認(rèn)當(dāng)前時間點位于存儲的所述時間段信息對應(yīng)的時間段內(nèi)。
5.一種安全認(rèn)證裝置，其特征在于，包括存儲單元，用于存儲提示認(rèn)證服務(wù)器停止為終端設(shè)備提供安全認(rèn)證服務(wù)的提示信息； 請求報文發(fā)送單元，用于在終端設(shè)備請求進行安全認(rèn)證時，向認(rèn)證服務(wù)器發(fā)送遠(yuǎn)程用戶撥號認(rèn)證接入請求RADIUS Access-Request報文；停止服務(wù)確認(rèn)單元，用于在預(yù)設(shè)的時間長度內(nèi)未接收到認(rèn)證服務(wù)器發(fā)送的遠(yuǎn)程用戶撥號認(rèn)證接入詢問RADIUS Access-Challenge報文時，確認(rèn)所述認(rèn)證服務(wù)器停止為終端設(shè)備提供安全認(rèn)證服務(wù)；失敗報文發(fā)送單元，用于將所述存儲單元存儲的所述提示信息，攜帶在可擴展認(rèn)證協(xié)議失敗ΕΑΡ-Failure報文中發(fā)送給所述終端設(shè)備。
6.如權(quán)利要求5所述的裝置，其特征在于，所述存儲單元，還用于存儲所述認(rèn)證服務(wù)器停止為終端設(shè)備提供安全認(rèn)證服務(wù)的時間段對應(yīng)的時間段信息；所述裝置還包括時間段確認(rèn)單元，用于在停止服務(wù)確認(rèn)單元確認(rèn)所述認(rèn)證服務(wù)器停止為終端設(shè)備提供安全認(rèn)證服務(wù)之前，確認(rèn)當(dāng)前時間點位于存儲單元存儲的所述時間段信息對應(yīng)的時間段內(nèi)。
7.—種認(rèn)證設(shè)備，其特征在于，包括權(quán)利要求5或權(quán)利要求6所述的安全認(rèn)證裝置。
8.一種安全認(rèn)證方法，其特征在于，包括認(rèn)證服務(wù)器獲得提示所述認(rèn)證服務(wù)器停止為終端設(shè)備提供安全認(rèn)證服務(wù)的提示信息；在停止為終端設(shè)備提供認(rèn)證服務(wù)之前，將所述提示信息攜帶在至少一個待發(fā)送報文中發(fā)送給認(rèn)證設(shè)備，以供所述認(rèn)證設(shè)備存儲所述提示信息。
9.如權(quán)利要求8所述的方法，其特征在于，所述待發(fā)送報文包括以下報文中的一種或多種遠(yuǎn)程用戶撥號認(rèn)證接入詢問RADIUS Access-Challenge報文； 遠(yuǎn)程用戶撥號認(rèn)證接入接受RADIUS Access-Acc印t報文； 遠(yuǎn)程用戶撥號認(rèn)證接入拒絕RADIUS Access-Reject報文。
10.如權(quán)利要求8所述的方法，其特征在于，還包括將所述認(rèn)證服務(wù)器停止為終端設(shè)備提供安全認(rèn)證服務(wù)的時間段對應(yīng)的時間段信息發(fā)送給所述認(rèn)證設(shè)備。
11.一種安全認(rèn)證裝置，其特征在于，包括提示信息獲得單元，用于獲得提示所述安全認(rèn)證裝置停止為終端設(shè)備提供安全認(rèn)證服務(wù)的提示信息；報文發(fā)送單元，用于在所述安全認(rèn)證裝置停止為終端設(shè)備提供認(rèn)證服務(wù)之前，將提示信息獲得單元獲得的所述提示信息攜帶在至少一個待發(fā)送報文中發(fā)送給認(rèn)證設(shè)備，以供所述認(rèn)證設(shè)備存儲所述提示信息。
12.如權(quán)利要求11所述的裝置，其特征在于，所述待發(fā)送報文包括以下報文中的一種或多種遠(yuǎn)程用戶撥號認(rèn)證接入詢問RADIUS Access-Challenge報文； 遠(yuǎn)程用戶撥號認(rèn)證接入接受RADIUS Access-Accept報文； 遠(yuǎn)程用戶撥號認(rèn)證接入拒絕RADIUS Access-Reject報文。
13.如權(quán)利要求11所述的裝置，其特征在于，還包括時間段信息發(fā)送單元，用于將所述認(rèn)證服務(wù)器停止為終端設(shè)備提供安全認(rèn)證服務(wù)的時間段對應(yīng)的時間段信息發(fā)送給所述認(rèn)證設(shè)備。
14.一種認(rèn)證服務(wù)器，其特征在于，包括權(quán)利要求11 13任一權(quán)利要求所述的安全認(rèn)證裝置。
全文摘要
本發(fā)明公開了一種安全認(rèn)證方法及裝置、認(rèn)證設(shè)備及認(rèn)證服務(wù)器，該方法包括步驟認(rèn)證設(shè)備在終端設(shè)備請求進行安全認(rèn)證時，向認(rèn)證服務(wù)器發(fā)送RADIUS Access-Request報文；若在預(yù)設(shè)的時間長度內(nèi)未接收到認(rèn)證服務(wù)器發(fā)送的RADIUS Access-Challenge報文，則確認(rèn)所述認(rèn)證服務(wù)器停止為終端設(shè)備提供安全認(rèn)證服務(wù)；所述認(rèn)證設(shè)備將自身存儲的、提示認(rèn)證服務(wù)器停止提供安全認(rèn)證服務(wù)的提示信息攜帶在EAP-Failure報文中發(fā)送給所述終端設(shè)備。采用本發(fā)明技術(shù)方案，解決了現(xiàn)有技術(shù)中對終端設(shè)備進行安全認(rèn)證時，耗費了終端設(shè)備和認(rèn)證設(shè)備較多的處理資源，以及耗費了較多網(wǎng)絡(luò)傳輸資源的問題。
文檔編號H04L12/56GK102299803SQ20111026684
公開日2011年12月28日 申請日期2011年9月9日 優(yōu)先權(quán)日2011年9月9日
發(fā)明者林明靜 申請人:北京星網(wǎng)銳捷網(wǎng)絡(luò)技術(shù)有限公司