[go: up one dir, main page]

CN101345723B - 客户网关的管理认证方法和认证系统 - Google Patents

客户网关的管理认证方法和认证系统 Download PDF

Info

Publication number
CN101345723B
CN101345723B CN2007101295838A CN200710129583A CN101345723B CN 101345723 B CN101345723 B CN 101345723B CN 2007101295838 A CN2007101295838 A CN 2007101295838A CN 200710129583 A CN200710129583 A CN 200710129583A CN 101345723 B CN101345723 B CN 101345723B
Authority
CN
China
Prior art keywords
client gateway
authentication
management
management authentication
module
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Expired - Fee Related
Application number
CN2007101295838A
Other languages
English (en)
Other versions
CN101345723A (zh
Inventor
宫小玉
李洪广
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Huawei Technologies Co Ltd
Original Assignee
Huawei Technologies Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Huawei Technologies Co Ltd filed Critical Huawei Technologies Co Ltd
Priority to CN2007101295838A priority Critical patent/CN101345723B/zh
Priority to PCT/CN2008/071617 priority patent/WO2009006854A1/zh
Priority to EP08773169A priority patent/EP2131525B1/en
Publication of CN101345723A publication Critical patent/CN101345723A/zh
Priority to US12/639,623 priority patent/US20100095363A1/en
Application granted granted Critical
Publication of CN101345723B publication Critical patent/CN101345723B/zh
Expired - Fee Related legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/06—Network architectures or network communication protocols for network security for supporting key management in a packet data network
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0823—Network architectures or network communication protocols for network security for authentication of entities using certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/321—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving a third party or a trusted authority
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H04W12/068—Authentication using credential vaults, e.g. password manager applications or one time password [OTP] applications
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H04W12/069—Authentication using certificates or pre-shared keys

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Telephonic Communication Services (AREA)
  • Management, Administration, Business Operations System, And Electronic Commerce (AREA)

Abstract

本发明实施例涉及一种CNG的管理认证方法，UAAF对CNG进行接入认证；UAAF生成CNG和CNGCF之间的管理认证凭证并发送给CNGCF和CNG；采用保存的管理认证凭证进行认证。本发明实施例还涉及一种CNG和CNGCF的管理认证方法，UAAF对CNG进行接入认证，生成第一PSK和第二PSK；CNG向CNGCF发送包含第一PSK的管理认证请求；根据第一PSK和第二PSK进行管理认证。本发明实施例还涉及CNG和CNGCF的管理认证系统。因此本发明实施例能够自动实现认证凭证的生成、分发和修改，降低运营商的运营成本和提高运营效率。

Description

客户网关的管理认证方法和认证系统
技术领域
本发明实施例涉及客户网关(Customer Network Gateway，CNG)的管理认证方法和认证系统，尤其是一种客户网关和客户网关配置功能模块(CNGConfiguration Function，CNGCF)的管理认证方法和认证系统。
背景技术
如图1所示，为现有技术的CNG和CNGCF的认证系统的结构示意图，现有的网络附着子系统(Network Attachment Sub-system，NASS)包括如下功能实体：网络接入配置模块(Network Access Configuration Function，NACF)，具有网络接入配置功能；连接会话定位和存储模块(Connectivity SessionLocation and Repository Function，CLF)，具有连接性会话定位功能；用户接入授权模块(User Access Authorization Function，UAAF)，具有用户接入授权功能；配置数据库模块(Profile Database Function，PDBF)，具有用户签约数据库功能；CNGCF，具有用户端设备配置功能。
NASS主要功能是用户上线时基于用户的签约配置对用户进行认证、授权用户对网络资源使用，并根据授权情况进行网络配置，以及负责分配IP地址。在现有技术中NASS仅仅具有用户接入的网络认证，并没有涉及CNG和CNGCF之间管理平面的认证。具体来讲，在CNG和CNGCF进行管理面的交互之前(如配置，故障检测、CNG升级)，CNG和CNGCF之间需要进行单向或者双向交互认证。只有在认证通过后才能执行管理操作。目前通常有2种方案用于CNG和CNGCF之间的单向或者双向认证。
一种方案是在CNG和CNGCF上静态部署共享认证凭证，例如静态配置用户名/共享密钥方式。如图2所示，为现有技术CNG和CNGCF的认证方法的信令图，具体步骤如下：
步骤201，在业务部署阶段，由电信运营商的操作维护人员针对每个CNG生成一个认证凭证，比如用户名和共享密钥；
步骤202，将认证凭证配置到CNG上，然后在CNGCF上配置这个认证凭证，并将其和CNG标识相关联；
另外也可以将认证凭证告知最终用户，由最终用户负责在CNG上配置；
步骤203，在认证凭证配置完毕后的CNG与CNGCF认证阶段，CNG和CNGCF之间就可以在互操作时以这个认证凭证进行双向或者单向认证；
比如CNG上电时携带认证凭证向CNGCF注册，CNGCF根据接收到的CNG认证凭证和自身保存的CNG认证凭证进行比较，如果匹配则认证通过，返回认证成功消息；
步骤204，CNG与CNGCF互操作阶段，CNGCF向CNG发送携带认证凭的对CNG操作请求；
步骤205，CNG匹配认证凭证，以决定是否允许操作；
步骤206，CNG向CNGCF返回操作结果。
因此，现有的静态配置共享认证方式虽然简单，无须额外的网络设备支持，但是该方法的缺点是针对大量CNG而生成的每一个CNG的唯一共享密钥需要人工配置到CNG和CNGCF，因此工作成本高。而且因为每个CNG都必须由运营商开封、生成共享密钥、人工配置，因而共享密钥分发途径不易控制，安全性差，另外在后续的共享密钥更新过程中，又需要重复业务部署阶段的过程，繁琐复杂。
另外一种方法是采用PKI(Pubic Key Infrastructure，公钥基础设施)数字证书方式，证书通常由专门的CA(Certificate Authorities第三方认证机构)生成，并在生产过程中预配置到CNG上或者将证书以磁盘等介质保存并发给用户。
数字证书，是由认证中心CA(负责电子证书的生成和维护)发放并经认证中心数字签名的，包含公开密钥拥有者以及公开密钥相关信息的一种电子文件，可以用来证明数字证书持有者的真实身份，数字证书采用公钥体制。
PKI是一个用公钥概念和技术来实施和提供安全服务的具有普适性的安全基础设施，它是生成、管理、存储、分发和吊销基于公钥密码学的公钥证书所需要的硬件、软件、人员、策略和规程的总和。如图3所示，为现有的PKI的结构示意图。
当在CNG和CNGCF之间采用PKI证书方式进行单向或者双向认证时，需要通过一个第三方的认证中心CA签发证书(双向认证时需要为CNG、CNGCF各自生成证书)。然后，需要分别将CNG/CNGCF的证书配置到对端(双向认证时)。证书的分发可以采用专用的证书分发网络系统分发，也可以静态手工配置。另外证书有时效性，证书过期或者因管理需要更新时必须重新采集CNG、CNGCF信息，然后向第三方CA审核申请证书。另外在证书废止时缺乏CNG/CNGCF之间的通知机制。
因此对于PKI方式，需要复杂的CA系统，而且在当前CNG的生成过程中，如何自动提取针对CNG特定信息并生成每个CNG独特的证书并预置到CNG很难克服；并且成本高，证书过期、更新维护困难。
发明内容
本发明实施例提供了客户网关的管理认证方法和认证系统，以实现简单而低成本的客户网关和CNGCF的认证，降低运营成本和提高运营效率。
本发明实施例提供了一种客户网关的管理认证方法，包括：
用户接入授权模块对客户网关进行接入认证；
用户接入授权模块生成客户网关和客户网关配置功能模块之间的管理认证凭证；
用户接入授权模块将生成的管理认证凭证发送给客户网关配置功能模块和客户网关；并建立客户网关和所述管理认证凭证的管理关系；
在双向交互中客户网关和客户网关配置功能模块采用保存的管理认证凭证进行管理认证，判断是否允许操作。
本发明实施例还提供了一种客户网关的管理认证方法，包括：
用户接入授权模块对客户网关进行接入认证，所述客户网关生成第一次生密钥，所述接入授权模块生成第二次生密钥；
所述客户网关对接收到的客户网关配置功能模块发送的报文根据第一次生密钥和第二次生密钥进行认证；
所述客户网关配置功能模块对接收到的客户网关发送的报文根据第一次生密钥和第二次生密钥进行认证。
本发明实施例还提供了一种客户网关的管理认证系统，包括：
用户接入授权模块，用于对客户网关进行接入认证，以及生成客户网关和客户网关配置功能模块之间的管理认证凭证并发送；
客户网关，用于接收所述管理认证凭证，和建立与所述管理认证凭证的管理关系；
客户网关配置功能模块，用于接收所述管理认证凭证；所述客户网关根据该管理认证凭证对客户网关配置功能模块进行认证，所述客户网关配置功能模块根据该管理认证凭证对所述客户网关进行认证。
本发明实施例还提供了一种客户网关的管理认证系统，包括：
客户网关，用于发送接入认证信息，发送和接收管理认证信息，以及生成第一次生密钥；
客户网关配置功能模块，用于接收和发送所述管理认证信息；
用户接入授权模块，用于接收所述接入认证信息，和生成第二次生密钥，并将第二次生密钥发送给客户网关配置功能模块；所述客户网关配置功能模块根据第一次生密钥和第二次生密钥对接收到的客户网关的报文做认证，所述客户网关根据第一次生密钥和第二次生密钥对接收到的客户网关配置功能模块的报文做认证。
因此本发明实施例客户网关的管理认证方法和认证系统能够自动实现认证凭证的生成、分发和修改，能够极大的降低运营商发放大规模CNG的运营维护成本和提高运营效率。
附图说明
图1为现有技术的客户网关和客户网关配置功能模块的认证系统的结构示意图；
图2为现有技术客户网关和客户网关配置功能模块的认证方法的信令图；
图3为现有技术的PKI的结构示意图；
图4为本发明实施例客户网关的管理认证方法的构架示意图之一；
图5为本发明实施例客户网关的管理认证方法的流程图之一；
图6为本发明实施例客户网关的管理认证方法的构架示意图之二；
图7为本发明实施例客户网关的管理认证方法的流程图之二；
图8为本发明实施例客户网关的管理认证系统的结构示意图之一
图9为本发明实施例客户网关的管理认证系统的结构示意图之二；
图10为本发明实施例客户网关的管理认证系统的结构示意图之三；
图11为本发明实施例另一客户网关的管理认证方法的流程图之一；
图12为本发明实施例另一客户网关的管理认证系统的结构示意图之一；
图13，为本发明实施例另一客户网关的管理认证系统的结构示意图之二。
具体实施方式
下面通过附图和实施例，对本发明实施例的技术方案做进一步的详细描述。
因为客户网关管理的特殊性，其典型特征是数量大，分布广，因此为了满足CNG-CNGCF认证的需求，需要对每个CNG产生独特的、唯一的认证凭证(credential)，但是数量庞大的认证凭证，不管是共享密钥还是数字证书，其生成、可靠分发(分别配置到CNG、CNGCF)和更新给运营商带来很大的困难。
本发明实施例客户网关和客户网关配置功能模块的认证方法，包括：
步骤1，用户接入授权模块对客户网关进行接入认证；
步骤2，用户接入授权模块生成客户网关和客户网关配置功能模块之间的管理认证凭证；
步骤3，用户接入授权模块将生成的管理认证凭证发送给客户网关配置功能模块和客户网关；并建立客户网关和所述管理认证凭证的管理关系；
步骤4，在双向交互中客户网关和客户网关配置功能模块采用保存的管理认证凭证进行认证，判断是否允许操作。
如图4所示，为本发明实施例客户网关的管理认证方法的构架示意图之一，基于NASS架构，包括CNG1、接入管理功能模块(Access ManagementFunction，AMF)2、UAAF3、CLF4、NACF5和CNGCF6。NACF5和AMF2之间的接口为a1，NACF5和CLF4之间的接口为a2，AMF2和UAAF3之间的接口为a3，UAAF3和CLF4之间的接口为a4，CLF4和CNGCF6之间的接口为a5；UE1和AMF2之间的接口为e1，CLF4自身的接口为e2，CNGCF6和UE1之间的接口为e3，UAAF3自身的接口为e5。
如图5所示，为本发明实施例客户网关的管理认证方法的流程图之一，具体步骤如下：
步骤501，UAAF对CNG进行接入认证；
步骤502，根据本地策略判断是否需要产生客户网关和客户网关配置功能模块之间的管理认证凭证，如果需要则UAAF生成CNG和CNGCF之间的管理认证凭证；
可以利用用户接入认证密钥信息或者运营商配置的种子密钥产生CNG和CNGCF之间的管理认证凭证；
步骤503，UAAF通过对a4接口的扩展和在CLF和CNGCF之间的a5接口，将生成的管理认证凭证通过CLF配置到CNGCF，并且通过与AMF之间的接口e3从返回给CNG的认证响应报文中将管理认证凭证发送给CNG；
在后续的用户上线附着过程中，UAAF可以以上次上线认证中生成的管理认证凭证为种子密钥生成新的管理认证凭证，或者仍使用用户接入认证密钥信息或者其他运营商配置的信息作为种子密钥，并通过同样的过程分配配置到CNGCF和CNG；
另外在后续的用户上线附着过程中，UAAF根据运营商的配置的策略决定是否每次上线时需要生成新的管理认证凭证，如果不需要每次生成新的管理认证凭证，则CNG和CNGCF之间可以继续使用最近一次生成的管理认证凭证；
管理认证凭证可以是一个为CNG和CNGCF之间的共享密钥，也可以是分别为CNG和CNGCF生成的证书，在管理认证凭证为CNG和CNGCF生成的证书的情况下，UAAF起到了CA证书中心的作用；
在实际网络部署中，可能存在一个CLF对应多个CNGCF的情况，CLF对CNGCF的定位方法有两种，一种方式是CLF根据用户上线接入认证时UAAF推送的CNG位置信息(物理位置信息或者逻辑位置信息)建立CNG与所归属的CNGCF的关联关系，因此CLF必须配置每个CNGCF和物理位置或者逻辑位置的对应关系；另外一种方式是CLF根据用户上线接入认证时NACF给CNG分配的接入网络标识建立CNG与所归属的CNGCF的关联关系，前提是CLF必须配置每个CNGCF和接入网络标识的映射关系。
步骤504，在双向交互中CNG和CNGCF采用保存的认证凭进行认证，判断是否允许操作。
本发明实施例因此本发明实施例能够自动实现管理认证凭证的生成、分发和修改，从根本上解决CNG和CNGCF之间认证实施的问题，因此能够极大的降低运营商发放大规模CNG的运营维护成本和提高运营效率。
如图6所示，为本发明实施例客户网关的管理认证方法的构架示意图之二，也是基于NASS架构，包括CNG1、AMF2、UAAF3、CLF4、NACF5和CNGCF6。NACF5和AMF2之间的接口为a1，NACF5和CLF4之间的接口为a2，AMF2和UAAF3之间的接口为a3，UAAF3和CLF4之间的接口为a4，UAAF3和CNGCF6之间的接口为a6，UAAF3和NACF54之间的接口为a7；CNG1和AMF2之间的接口为e1，CLF4自身的接口为e2，CNGCF6和CNG1之间的接口为e3，UAAF3自身的接口为e5。
如图7所示，为本发明实施例客户网关的管理认证方法的流程图之二，具体步骤如下：
步骤701，UAAF对CNG进行接入认证；
步骤702，根据本地策略判断是否需要产生客户网关和客户网关配置功能模块之间的管理认证凭证，如果需要则UAAF生成CNG和CNGCF之间的管理认证凭证；
可以利用用户接入认证密钥信息或者运营商配置的种子密钥产生CNG和CNGCF之间的管理认证凭证；
步骤703，UAAF通过在UAAF和CNGCF之间的a6接口，将生成的管理认证凭证配置到CNGCF，并且通过与AMF之间的接口e3从返回给CNG的认证响应报文中将管理认证凭证发送给CNG；
在后续的用户上线附着过程中，UAAF可以以上次附着过程中生成的管理认证凭证为种子密钥生成新的管理认证凭证，或者仍使用用户接入认证密钥信息或者其他运营商配置的信息作为种子密钥，并通过同样的过程分配配置到CNGCF和CNG；
另外在后续的用户上线附着过程中，UAAF根据运营商的配置的策略决定是否每次上线时需要生成新的管理认证凭证，如果不需要每次生成新的管理认证凭证，则CNG和CNGCF之间可以继续使用最近一次生成的管理认证凭证；
管理认证凭证可以是一个为CNG和CNGCF之间的共享密钥，也可以是分别为CNG和CNGCF生成的证书，在管理认证凭证为CNG和CNGCF生成的证书的情况下，UAAF起到了CA证书中心的作用；
在实际网络部署中，可能存在一个UAAF对应多个CNGCF的情况，UAAF对CNGCF的定位方法有如下几种，一种方式是UAAF根据用户上线接入认证时CNG位置信息(物理位置信息或者逻辑位置信息)查找CNG所归属的CNGCF，因此前提是UAAF必须配置每个CNGCF和物理位置或者逻辑位置的对应关系；另一种方式是UAAF根据用户上线时NACF给CNG分配的接入网络标识(通过a7接口)，或者利用CLF转发的NACF给CNG分配的接入网络标识(通过a4接口)查找出CNG所归属的CNGCF，前提是UAAF必须配置每个CNGCF和接入网络标识的映射关系；
步骤704，在双向交互中CNG和CNGCF采用保存的认证凭进行认证，判断是否允许操作。
本发明实施例因此本发明实施例能够自动实现管理认证凭证的生成、分发和修改，从根本上解决CNG和CNGCF之间认证实施的问题，因此能够极大的降低运营商发放大规模CNG的运营维护成本和提高运营效率。
如图8所示，为本发明实施例客户网关的管理认证系统的结构示意图之一，包括UAAF13，用于对CNG11进行接入认证，以及生成CNG11和CNGCF16之间的管理认证凭证并发送；CNG11，用于接收管理认证凭证，和建立与管理认证凭证的管理关系；CNGCF16，用于接收所述管理认证凭证，CNG11根据该管理认证凭证对CNGCF16进行认证，CNGCF16根据该管理认证凭证对CNG11进行认证；AMF12，用于向UAAF13转发客户网关的位置信息；NACF15，用于给客户网关分配接入网络标识并发送给UAAF13。
如图9所示，为本发明实施例客户网关的管理认证系统的结构示意图之二，包括UAAF23，用于生成客户网关和CNGCF6之间的管理认证凭证；CNG21，用于接收管理认证凭证，并根据该管理认证凭证进行管理认证；CNGCF26，用于接收所述管理认证凭证，并根据该管理认证凭证进行管理认证；AMF22，用于向UAAF23转发客户网关的位置信息；CLF24，用于向UAAF23转发NACF25给客户网关分配的接入网络标识。
如图10所示，为本发明实施例客户网关的管理认证系统的结构示意图之三，包括UAAF33，用于生成客户网关和CNGCF36之间的管理认证凭证；CNG31，用于接收管理认证凭证，并根据该管理认证凭证进行管理认证；CNGCF36，用于接收所述管理认证凭证，并根据该认证凭进行认证；AMF32，用于向UAAF33转发客户网关的位置信息；CLF34，用于将UAAF33生成的所述管理认证凭证转发给所述CNGCF36；CLF34，用于将UAAF3生成的所述管理认证凭证转发给所述CNGCF36。
因此本发明实施例客户网关的管理认证系统能够自动实现管理认证凭证的生成、分发和修改，从根本上解决CNG和CNGCF之间认证实施的问题，因此能够极大的降低运营商发放大规模CNG的运营维护成本和提高运营效率。
前述的两种客户网关和客户网关配置功能模块的认证方法的基本的前提是CNG-CNGCF之间的管理认证与CNG的接入认证相互独立。这意味着在CNG网络附着过程的接入认证用户/密钥与CNG和CNGCF之间的认证用户名/密码是相互独立的。而下述实施例CNG-CNGCF之间的认证采用CNG的接入认证用户名/密码。本发明实施例另一客户网关和客户网关配置功能模块的认证方法，包括：
步骤1，用户接入授权模块对客户网关进行接入认证，所述客户网关生成第一次生密钥(Pre-Shared Key，PSK)，所述接入授权模块生成第二次生密钥；
步骤2，所述客户网关对接收到的客户网关配置功能模块发送的报文根据第一次生密钥和第二次生密钥进行认证；
步骤3，所述客户网关配置功能模块对接收到的客户网关发送的报文根据第一次生密钥和第二次生密钥进行认证。
如图11所示，为本发明实施例另一客户网关的管理认证方法的流程图之一，具体步骤如下：
步骤801，CNG向UAAF发送接入认证请求；
步骤802，在接入认证过程的安全联盟协商阶段，可能包括多个协商过程，Challenge(Session ID，任意字串S，...)
步骤803，CNG根据自身保存的用户ID和原始接入认证密钥以及从所述协商过程得到的任意字串S、认证会话Session ID计算得到第一PSK，并发送给UAAF；
计算方法可以使用哈希算法，第一PSK＝HASH(Session ID，任意字串S，用户ID，密钥)；
步骤804，UAAF块根据自身保存的用户ID和原始接入认证密钥以及从所述协商过程得到的任意字串S、认证会话Session ID计算得到第二PSK；
计算方法使用相同的哈希算法，第二PSK＝HASH(SessionID，任意字串S，用户ID，密钥)；
步骤805，UAAF根据所述第二PSK和第一PSK进行接入认证，如果相同则认证成功，否则认证失败；
步骤806，UAAF将第二PSK和第二PSK与CNG的关联关系发送给CNGCF；
步骤807，CNGCF根据接收到的CNG发送的报文中的第一次生密钥和自己保存的第二次生密钥进行认证；CNG关根据接收到的CNGCF发送的报文中的第二次生密钥和自己保存的第一次生密钥进行认证。
因此本发明实施例客户网关的管理认证方法与客户网关的接入认证共享相同的用户ID/密钥，并且利用接入认证过程产生的第一PSK和第二PSK，简化了CNG管理认证的安全联盟协商过程，在保证安全的情况下提高了认证效率，因此能够降低运营商发放大规模CNG的运营维护成本和提高运营效率。
如图13所示，为本发明实施例另一客户网关的管理认证系统的结构示意图之一，包括CNG41，用于发送接入认证信息，发送和接收管理认证信息，以及生成第一次生密钥；CNGCF46，用于接收和发送所述管理认证信息；UAAF43，用于接收所述接入认证信息，和生成第二次生密钥，并将第二次生密钥发送给CNGCF46，CNGCF46根据第一次生密钥和第二次生密钥对接收到的CNG41的报文做认证，CNG41根据第一次生密钥和第二次生密钥对接收到的CNGCF46的报文做认证。还包括AMF42，用于CNG41和UAAF43之间的接入认证信息的转发；NACF45，用于给CNG41分配接入网络标识并发送给UAAF43，UAAF43块根据网络接入配置模块发送的客户网关和接入网络标识信息，查找客户网关对应的客户网关配置功能模块信息，并转发第二次生密钥给查找到的CNGCF46。管理认证过程不涉及到AMF。
如图14所示，为本发明实施例另一客户网关的管理认证系统的结构示意图之二，包括CNG51，用于发送接入认证信息，发送和接收管理认证信息，以及生成第一次生密钥；CNGCF56，用于接收和发送所述管理认证信息；UAAF53，用于接收所述接入认证信息，和生成第二次生密钥，并将第二次生密钥发送给CLF54；CLF54，用于转发所述第二次生密钥给CNGCF56；CNGCF56根据第一次生密钥和第二次生密钥对接收到的CNG51的报文做认证，CNG51根据第一次生密钥和第二次生密钥对接收到的CNGCF56的报文做认证。还包括AMF52，用于CNG51和UAAF53之间的接入认证信息的转发。
因此本发明实施例客户网关的管理认证系统能够自动实现管理认证凭证的生成、分发和修改，从根本上解决CNG和CNGCF之间认证实施的问题，因此能够极大的降低运营商发放大规模CNG的运营维护成本和提高运营效率。
最后所应说明的是，以上实施例仅用以说明本发明实施例的技术方案而非限制，尽管参照较佳实施例对本发明实施例进行了详细说明，本领域的普通技术人员应当理解，可以对本发明实施例的技术方案进行修改或者等同替换，而不脱离本发明实施例技术方案的精神和范围。

Claims (10)

1.一种客户网关的管理认证方法，其特征在于包括：
用户接入授权模块对客户网关进行接入认证；
用户接入授权模块生成客户网关和客户网关配置功能模块之间的管理认证凭证；
用户接入授权模块将生成的管理认证凭证发送给客户网关配置功能模块和客户网关；
所述客户网关建立其与所述管理认证凭证的管理关系；
在双向交互中客户网关和客户网关配置功能模块采用保存的管理认证凭证进行管理认证；
其中，
所述用户接入授权模块根据所述客户网关接入认证时，接入管理功能模块在认证信息中携带的客户网关位置信息建立所述客户网关与所归属的客户网关配置功能模块的关联关系。
2.根据权利要求1所述的客户网关的管理认证方法，其特征在于所述用户接入授权模块将生成的管理认证凭证发送给客户网关配置功能模块具体为，所述用户接入授权模块通过连接会话定位和存储模块将生成的管理认证凭证发送给客户网关配置功能模块。
3.根据权利要求2所述的客户网关的管理认证方法，其特征在于所述连接会话定位和存储模块根据所述客户网关位置信息查找所述客户网关所归属的客户网关配置功能模块。
4.根据权利要求1至3任一权利要求所述的客户网关的管理认证方法，其特征在于所述用户接入授权模块将生成的管理认证凭证发送给客户网关具体为，所述用户接入授权模块通过接入管理功能模块将生成的管理认证凭证发送给客户网关。
5.一种客户网关的管理认证方法，其特征在于包括：
用户接入授权模块对客户网关进行接入认证；
用户接入授权模块生成客户网关和客户网关配置功能模块之间的管理认证凭证；
用户接入授权模块将生成的管理认证凭证发送给客户网关配置功能模块和客户网关；
所述客户网关建立其与所述管理认证凭证的管理关系；
在双向交互中客户网关和客户网关配置功能模块采用保存的管理认证凭证进行管理认证；
其中，
所述用户接入授权模块根据客户网关接入认证时，网络接入配置模块给客户网关分配的接入网络标识建立所述客户网关与所归属的客户网关配置功能模块的关联关系。
6.根据权利要求5所述的客户网关的管理认证方法，其特征在于所述用户接入授权模块将生成的管理认证凭证发送给客户网关配置功能模块具体为，所述用户接入授权模块通过连接会话定位和存储模块将生成的管理认证凭证发送给客户网关配置功能模块。
7.根据权利要求6所述的客户网关的管理认证方法，其特征在于所述连接会话定位和存储模块根据所述接入网络标识查找客户网关所归属的客户网关配置功能模块。
8.根据权利要求5至7任一权利要求所述的客户网关的管理认证方法，其特征在于所述用户接入授权模块将生成的管理认证凭证发送给客户网关具体为，所述用户接入授权模块通过接入管理功能模块将生成的管理认证凭证发送给客户网关。
9.一种客户网关的管理认证系统，其特征在于包括：
用户接入授权模块，用于对客户网关进行接入认证，以及生成客户网关和客户网关配置功能模块之间的管理认证凭证并发送所述管理认证凭证；
客户网关，用于接收所述管理认证凭证，和建立其与所述管理认证凭证的管理关系；
客户网关配置功能模块，用于接收所述管理认证凭证；
网络接入配置模块，用于给客户网关分配接入网络标识并将其发送给用户接入授权模块；
其中，所述客户网关根据所述管理认证凭证对客户网关配置功能模块进行认证，所述客户网关配置功能模块根据所述管理认证凭证对所述客户网关进行认证。
10.根据权利要求9所述的客户网关的管理认证系统，其特征在于还包括：接入管理功能模块，用于所述客户网关和用户接入授权模块之间的信息转发。
CN2007101295838A 2007-07-11 2007-07-11 客户网关的管理认证方法和认证系统 Expired - Fee Related CN101345723B (zh)

Priority Applications (4)

Application Number Priority Date Filing Date Title
CN2007101295838A CN101345723B (zh) 2007-07-11 2007-07-11 客户网关的管理认证方法和认证系统
PCT/CN2008/071617 WO2009006854A1 (fr) 2007-07-11 2008-07-11 Procédé et système d'authentification de gestion basée sur le sous-système de rattachement au réseau
EP08773169A EP2131525B1 (en) 2007-07-11 2008-07-11 Method and system for CNG and CNGCF authentication management in a NASS
US12/639,623 US20100095363A1 (en) 2007-07-11 2009-12-16 Method and System for Authentication Based On NASS

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN2007101295838A CN101345723B (zh) 2007-07-11 2007-07-11 客户网关的管理认证方法和认证系统

Publications (2)

Publication Number Publication Date
CN101345723A CN101345723A (zh) 2009-01-14
CN101345723B true CN101345723B (zh) 2011-04-06

Family

ID=40228188

Family Applications (1)

Application Number Title Priority Date Filing Date
CN2007101295838A Expired - Fee Related CN101345723B (zh) 2007-07-11 2007-07-11 客户网关的管理认证方法和认证系统

Country Status (4)

Country Link
US (1) US20100095363A1 (zh)
EP (1) EP2131525B1 (zh)
CN (1) CN101345723B (zh)
WO (1) WO2009006854A1 (zh)

Families Citing this family (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102223231B (zh) * 2010-04-16 2016-03-30 中兴通讯股份有限公司 M2m终端认证系统及认证方法
US9058467B2 (en) 2011-09-01 2015-06-16 Microsoft Corporation Distributed computer systems with time-dependent credentials
US9032492B2 (en) 2011-09-01 2015-05-12 Microsoft Corporation Distributed computer systems with time-dependent credentials
US8640210B2 (en) 2011-09-01 2014-01-28 Microsoft Corporation Distributed computer systems with time-dependent credentials
CN102932244B (zh) * 2012-10-25 2015-08-12 中国航天科工集团第二研究院七〇六所 基于双向可信性验证的可信接入网关
CN110445614B (zh) * 2019-07-05 2021-05-25 创新先进技术有限公司 证书申请方法、装置、终端设备、网关设备和服务器
US11095460B2 (en) 2019-07-05 2021-08-17 Advanced New Technologies Co., Ltd. Certificate application operations

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US5485520A (en) * 1993-10-07 1996-01-16 Amtech Corporation Automatic real-time highway toll collection from moving vehicles
CN1239362A (zh) * 1998-02-25 1999-12-22 松下电器产业株式会社 机器认证和加密通信系统
CN1856155A (zh) * 2005-04-18 2006-11-01 华为技术有限公司 在下一代网络中获取用户接入信息的方法

Family Cites Families (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1859722B (zh) * 2005-05-08 2010-04-07 华为技术有限公司 用户驻地设备配置功能获取终端信息的方法及系统
CN100488137C (zh) * 2005-07-04 2009-05-13 华为技术有限公司 网络附着子系统中的用户相关信息关联方法、系统和装置
CN100544255C (zh) * 2005-10-27 2009-09-23 中兴通讯股份有限公司 Nass中定位描述数据功能实体的方法
EP2039199B1 (en) * 2006-07-06 2018-10-31 Nokia Technologies Oy User equipment credential system
CN101132307B (zh) * 2006-08-22 2010-12-01 华为技术有限公司 控制系统、控制方法、以及控制装置
US7870601B2 (en) * 2006-11-16 2011-01-11 Nokia Corporation Attachment solution for multi-access environments
US20080276006A1 (en) * 2007-05-02 2008-11-06 Telefonaktiebolaget Lm Ericsson (Publ) Systems and Methods for Providing Terminal Configuration Data

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US5485520A (en) * 1993-10-07 1996-01-16 Amtech Corporation Automatic real-time highway toll collection from moving vehicles
CN1239362A (zh) * 1998-02-25 1999-12-22 松下电器产业株式会社 机器认证和加密通信系统
CN1856155A (zh) * 2005-04-18 2006-11-01 华为技术有限公司 在下一代网络中获取用户接入信息的方法

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
Benjamin Arazi.Vehicular Implementations of Public Key Cryptographic Techniques.《IEEE TRANSACTIONS ON VEHICULAR TECHNOLOGY》.1991,第40卷(第3期),646-653. *

Also Published As

Publication number Publication date
WO2009006854A1 (fr) 2009-01-15
EP2131525A4 (en) 2011-02-23
US20100095363A1 (en) 2010-04-15
EP2131525A1 (en) 2009-12-09
CN101345723A (zh) 2009-01-14
EP2131525B1 (en) 2012-12-26

Similar Documents

Publication Publication Date Title
CN114726523B (zh) 密码应用服务系统和量子安全能力开放平台
JP4777729B2 (ja) 設定情報配布装置、方法、プログラム及び媒体
CN103491540B (zh) 一种基于身份凭证的无线局域网双向接入认证系统及方法
KR101438243B1 (ko) Ｓｉｍ 기반 인증방법
US20090240941A1 (en) Method and apparatus for authenticating device in multi domain home network environment
CN101345723B (zh) 客户网关的管理认证方法和认证系统
CN108737436A (zh) 基于信任联盟区块链的跨域服务器身份认证方法
EP1993301B1 (en) Method and apparatus of operating a wireless home area network
CN113746632A (zh) 一种物联网系统多级身份认证方法
US20080160959A1 (en) Method for Roaming User to Establish Security Association With Visited Network Application Server
CN101420686B (zh) 基于密钥的工业无线网络安全通信实现方法
CN101662705A (zh) 以太网无源光网络epon的设备认证方法及系统
CN102404347A (zh) 一种基于公钥基础设施的移动互联网接入认证方法
CN111756530B (zh) 量子服务移动引擎系统、网络架构及相关设备
JP4915182B2 (ja) 情報の管理方法及び情報処理装置
CN103647788B (zh) 一种智能电网中的节点安全认证方法
Chan et al. A secure, intelligent electric vehicle ecosystem for safe integration with the smart grid
WO2020020008A1 (zh) 一种鉴权方法及鉴权系统
CN108055263B (zh) 一种卫星通信网中的实体认证权限管理系统及方法
CN112804356B (zh) 一种基于区块链的联网设备监管认证方法及系统
WO2008002081A1 (en) Method and apparatus for authenticating device in multi domain home network environment
CN115835194B (zh) 一种nb-iot物联网终端安全接入系统及接入方法
US20070186097A1 (en) Sending of public keys by mobile terminals
CN105656633A (zh) 一种智能电网ami体系安全认证的方法
CN110891067B (zh) 一种可撤销的多服务器隐私保护认证方法及系统

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
C14 Grant of patent or utility model
GR01 Patent grant
CF01 Termination of patent right due to non-payment of annual fee
CF01 Termination of patent right due to non-payment of annual fee

Granted publication date: 20110406