CN105681042A

CN105681042A - 一种群组认证方法及设备

Info

Publication number: CN105681042A
Application number: CN201410660786.XA
Authority: CN
Inventors: 殷佳欣; 高莹; 张永靖; 吴加明
Original assignee: Huawei Technologies Co Ltd
Current assignee: Shenzhen Huawei Cloud Computing Technology Co ltd
Priority date: 2014-11-18
Filing date: 2014-11-18
Publication date: 2016-06-15
Anticipated expiration: 2034-11-18
Also published as: CN105681042B

Abstract

本发明公开了一种群组认证方法及设备，涉及通信技术领域，可以减少对信道带宽的占用，降低平台服务器的业务开销。具体方案为：网关接收终端设备发送的携带有安装在终端设备中的应用的标识和所述应用的票据信息的认证请求；网关接收平台服务器发送的携带有认证群组的认证信息的群组创建请求；网关获取挑战密钥，并采用挑战密钥和认证群组中的应用的票据信息，通过预设哈希函数计算得到第一挑战结果；网关向平台服务器发送携带有第一挑战结果的群组创建响应；接收平台服务器发送的携带有认证群组的认证结果的认证响应消息。

Description

一种群组认证方法及设备

技术领域

本发明涉及通信技术领域，尤其涉及一种群组认证方法及设备。

背景技术

在机对机通信(Machine-To-Machine，M2M)系统中，为了保证安装在终端设备上的应用接入M2M系统的合法性，终端设备需要通过M2M系统网关接入到M2M系统平台，实现安装在该终端设备上的应用到M2M系统平台的认证。

其中，终端设备接入M2M系统平台，以实现安装在该终端设备上的应用到M2M系统平台的认证的具体过程可以包括：终端设备向网关发送携带有安装在该终端设备上的应用的标识的和应用的票据信息的认证请求；网关向平台服务器转发该认证请求；平台服务器根据认证请求中携带的应用的标识的和应用的票据信息对应用进行认证处理，并通过网关向终端设备返回认证结果。

但是，存在的问题是：当通过网关接入平台服务器进行应用认证的终端设备较多时，网关需要将接收自终端设备的认证请求一一转发给平台服务器，网关与平台服务器之间的数据交互次数增大，传输数据量增大，占用较多的信道带宽；并且，平台服务器需要对每一个应用一一进行认证处理，平台服务器的业务开销较大。

发明内容

本发明的实施例提供一种群组认证方法及设备，用以解决进行应用认证的终端设备较多时，网关与平台服务器之间传输数据量增大，占用较多的信道带宽，且平台服务器的业务开销较大的问题。

为达到上述目的，本发明的实施例采用如下技术方案：

本发明实施例的第一方面，提供一种群组认证方法，包括：

网关接收终端设备发送的认证请求，所述认证请求中携带有安装在所述终端设备中的应用的标识和所述应用的票据信息；

所述网关接收平台服务器发送的群组创建请求，所述群组创建请求中携带有认证群组的认证信息，所述认证群组的认证信息中包含构成所述认证群组的应用的标识，所述认证群组由至少两个应用构成；

所述网关获取挑战密钥，并采用所述挑战密钥和所述认证群组中的应用的票据信息，通过预设哈希函数计算得到第一挑战结果；

所述网关向平台服务器发送携带有所述第一挑战结果的群组创建响应，以使得所述平台服务器从所述平台服务器中保存的应用的票据信息中查找所述认证群组中的应用的标识所指示的应用的票据信息，进而使得所述平台服务器采用所述挑战密钥和查找到的应用的票据信息，通过所述预设哈希函数计算得到第二挑战结果，并使得所述平台服务器通过比较所述第一挑战结果和所述第二挑战结果获得所述认证群组的认证结果；

所述网关接收所述平台服务器发送的携带有所述认证群组的认证结果的认证响应消息。

结合第一方面，在第一种可能的实现方式中，所述网关采用所述挑战密钥和所述认证群组中的应用的票据信息，通过预设哈希函数计算得到第一挑战结果，包括：

所述网关采用预设票据合并策略，合并所述认证群组中的应用的票据信息，所述预设票据合并策略至少包括：将所述认证群组中的应用的票据信息按照所述认证群组中的应用的标识依次排序并首尾拼接；

采用所述挑战密钥和合并后的票据信息，通过所述预设哈希函数计算得到所述第一挑战结果。

结合第一方面或者第一种可能的实现方式中，在第二种可能的实现方式中，所述认证请求中携带有安装在所述终端设备中的一应用的标识和所述应用的票据信息，具体为：

所述认证请求中携带有安装在所述终端设备中的一应用的标识和所述应用的秘密信息，所述应用的秘密信息为所述终端设备在安装所述应用时，由签约服务器采用随机生成的标识验证密钥加密所述应用的标识和所述应用的票据信息得到的。

结合第二种可能的实现方式，在第三种可能的实现方式中，所述认证群组的认证信息中还包含所述认证群组的挑战阈值和所述应用的标识验证密钥，所述应用的标识验证密钥为所述平台服务器接收自所述签约服务器的；

在所述网关获取挑战密钥之前，所述方法还包括：

所述网关在接收到所述认证请求后，根据所述认证请求中携带的所述应用的标识，从所述认证群组的认证信息中确定所述应用的标识验证密钥；

所述网关采用所述应用的标识验证密钥解密所述应用的秘密信息，以得到所述应用的标识和所述应用的票据信息；

若所述网关解密所述应用的秘密信息得到的所述应用的标识与所述认证请求中携带的所述应用的标识相同，所述网关则确定所述应用通过标识验证；

当所述认证群组中通过标识验证的应用的个数大于所述认证群组的挑战阈值时，所述网关则向所述平台服务器发送群组认证通知，所述群组认证通知用于指示所述认证群组中的所述应用已准备好接受认证挑战；

其中，当所述认证群组中通过标识验证的应用的个数小于所述认证群组中的应用的总数时，所述群组创建响应中携带有所述通过标识验证的应用的标识。

结合第三种可能的实现方式中，在第四种可能的实现方式中，所述网关获取挑战密钥，包括：

所述网关接收所述平台服务器发送的所述挑战密钥；

其中，所述挑战密钥为所述平台服务器在接收到所述群组认证通知后，随机生成并向所述网关发送的。

结合第一方面和上述任一种可能的实现方式，在第五种可能的实现方式中，所述群组认证方法还包括：

若所述认证群组的认证结果指示所述认证群组认证失败，所述网关则获取新的挑战密钥，并采用所述新的挑战密钥和构成认证子群组的应用的票据信息，通过所述预设哈希函数计算得到第三挑战结果，至少两个所述认证子群组构成所述认证群组；

所述网关向所述平台服务器发送所述第三挑战结果和所述认证子群组中的应用的标识，以使得所述平台服务器采用所述新的挑战密钥和所述认证子群组中的应用的票据信息，通过所述预设哈希函数计算得到第四挑战结果，并使得所述平台服务器根据所述第三挑战结果和所述第四挑战结果获得所述认证子群组的认证结果；

所述网关接收所述平台服务器发送的携带有所述认证子群组的认证结果的认证响应消息。

结合第五种可能的实现方式，在第六种可能的实现方式中，若所述认证群组的认证结果指示所述认证群组认证失败，则携带有所述认证群组的认证结果的认证响应消息中还携带有构成所述认证群组的所述认证子群组的认证信息，所述认证子群组的认证信息中包含所述认证子群组的挑战阈值和构成的所述认证子群组的应用的标识。

结合第一方面，在第七种可能的实现方式中，当所述第一挑战结果与所述第二挑战结果相同时，所述认证群组的认证结果指示所述认证群组认证成功；

当所述第一挑战结果与所述第二挑战结果不同时，所述认证群组的认证结果指示所述认证群组认证失败。

本发明实施例的第二方面，提供一种群组认证方法，包括：

平台服务器获取与签约服务器签约的应用的签约信息，所述签约信息包括：所述应用的标识和所述应用的票据信息；

所述平台服务器向网关发送群组创建请求，所述群组创建请求中携带有认证群组的认证信息，所述认证群组的认证信息中包含构成所述认证群组的应用的标识，所述认证群组由至少两个应用构成；

所述平台服务器接收所述网关发送的携带有第一挑战结果的群组创建响应，所述第一挑战结果为所述网关采用挑战密钥和所述认证群组中的应用的票据信息，通过预设哈希函数计算得到的；

所述平台服务器从所述签约信息中查找所述认证群组中的应用的标识所指示的应用的票据信息，并采用所述挑战密钥和查找到的应用的票据信息，通过所述预设哈希函数计算得到第二挑战结果；

所述平台服务器通过比较所述第一挑战结果和所述第二挑战结果获得认证群组的认证结果，并向所述网关发送携带有所述认证群组的认证结果的认证响应消息。

结合第二方面，在第一种可能的实现方式中，当所述第一挑战结果与所述第二挑战结果相同时，所述认证群组的认证结果指示所述认证群组认证成功；

结合第一种可能的实现方式，在第二种可能的实现方式中，所述平台服务器采用所述挑战密钥和所述认证群组中的应用的票据信息，通过所述预设哈希函数计算得到第二挑战结果，包括：

所述平台服务器采用预设票据合并策略，合并所述认证群组中的应用的票据信息，所述预设票据合并策略至少包括：将所述认证群组中的应用的票据信息按照所述认证群组中的应用的标识依次排序并首尾拼接；

所述平台服务器采用所述挑战密钥和合并后的票据信息，通过所述预设哈希函数计算得到所述第二挑战结果。

结合第一种可能的实现方式或者第二种可能的实现方式，所述签约信息还包括：所述应用的标识验证密钥；

所述应用的标识验证密钥为所述签约服务器随机生成的，用于加密所述应用的标识和所述应用的票据信息的密钥。

结合第三种可能的实现方式中，在第四种可能的实现方式中，所述认证群组的认证信息中还包含所述认证群组的挑战阈值和所述应用的标识验证密钥；

在所述平台服务器接收所述网关发送的携带有第一挑战结果的群组创建响应之前，所述方法还包括：

所述平台服务器接收所述网关发送的群组认证通知，所述群组认证通知为所述网关根据所述认证群组的认证信息确定所述认证群组中的所述应用已准备好接受认证挑战后向所述平台服务器发送的。

结合第四种可能的实现方式，在第五种可能的实现方式中，在所述平台服务器接收网关发送的第一挑战结果和至少两个应用构成的认证群组中的应用的标识之前，所述方法还包括：

所述平台服务器在接收到所述群组认证通知后，随机生成所述挑战密钥，并向所述网关发送所述挑战密钥。

结合上述任一种可能的实现方式中，在第六种可能的实现方式中，若所述认证群组的认证结果指示所述认证群组认证失败，则携带有所述认证群组的认证结果的认证响应消息中还携带有构成所述认证群组的所述认证子群组的认证信息，所述认证子群组的认证信息中包含所述认证子群组的挑战阈值和构成的所述认证子群组的应用的标识。

结合第六种可能的实现方式，在第七种可能的实现方式中，所述群组认证方法，还包括：

若所述认证群组的认证结果指示所述认证群组认证失败，所述平台服务器则随机生成新的挑战密钥，并向所述网关发送所述新的挑战密钥，以使得所述网关采用所述新的挑战密钥和构成认证子群组的应用的票据信息，通过所述预设哈希函数计算得到第三挑战结果，至少两个所述认证子群组构成所述认证群组；

所述平台服务器接收所述网关发送的所述第三挑战结果和所述认证子群组中的应用的标识；

所述平台服务器采用所述新的挑战密钥和所述认证子群组中的应用的标识所对应的票据信息，通过所述预设哈希函数计算得到第四挑战结果；

所述平台服务器根据所述第三挑战结果和所述第四挑战结果获得所述认证子群组的认证结果，并向所述网关发送携带有所述认证子群组的认证结果的认证响应消息。

本发明实施例的第三方面，提供一种网关，包括：

第一接收单元，用于接收终端设备发送的认证请求，所述认证请求中携带有安装在所述终端设备中的一应用的标识和所述应用的票据信息；

第二接收单元，用于接收平台服务器发送的群组创建请求，所述群组创建请求中携带有认证群组的认证信息，所述认证群组的认证信息中包含构成所述认证群组的应用的标识，所述认证群组由至少两个应用构成；

获取单元，用于获取挑战密钥；

计算单元，用于采用所述获取单元获取的所述挑战密钥和所述第二接收单元接收的所述认证群组的认证信息指示的构成所述认证群组的应用的票据信息，通过预设哈希函数计算得到第一挑战结果；

第一发送单元，用于向平台服务器发送携带有所述第一挑战结果的群组创建响应，以使得所述平台服务器从所述平台服务器中保存的应用的票据信息中查找所述认证群组中的应用的标识所指示的应用的票据信息，进而使得所述平台服务器采用所述挑战密钥和查找到的应用的票据信息，通过所述预设哈希函数计算得到第二挑战结果，并使得所述平台服务器通过比较所述第一挑战结果和所述第二挑战结果获得所述认证群组的认证结果；

所述第二接收单元，还用于接收所述平台服务器发送的携带有所述认证群组的认证结果的认证响应消息。

结合第三方面，在第一种可能的实现方式中，所述计算单元，包括：

合成模块，用于采用预设票据合并策略，合并所述认证群组中的应用的票据信息，所述预设票据合并策略至少包括：将所述认证群组中的应用的票据信息按照所述认证群组中的应用的标识依次排序并首尾拼接；

计算模块，用于采用所述获取单元获取到的所述挑战密钥和所述合成模块合并后的票据信息，通过所述预设哈希函数计算得到所述第一挑战结果。

结合第三方面或者第一种可能的实现方式中，在第二种可能的实现方式中，所述认证请求中携带有安装在所述终端设备中的应用的标识和所述应用的票据信息，具体为：

所述认证请求中携带有安装在所述终端设备中的应用的标识和所述应用的秘密信息，所述应用的秘密信息为所述终端设备在安装所述应用时，由签约服务器采用随机生成的标识验证密钥加密所述应用的标识和所述应用的票据信息得到的。

所述网关还包括：

第一确定单元，用于在第一接收单元接收到所述认证请求后，根据所述认证请求中携带的所述应用的标识，从所述认证群组的认证信息中确定所述应用的标识验证密钥；

解密单元，用于采用所述第一确定单元确定的所述应用的标识验证密钥解密所述应用的秘密信息，以得到所述应用的标识和所述应用的票据信息；

第二确定单元，用于若所述解密单元解密所述应用的秘密信息得到的所述应用的标识与所述第一接收单元接收的所述认证请求中携带的所述应用的标识相同，则确定所述应用通过标识验证；

第二发送单元，用于当所述第二确定单元确定的所述认证群组中通过标识验证的应用的个数大于所述第二接收单元接收的所述认证群组的挑战阈值时，则向所述平台服务器发送群组认证通知，所述群组认证通知用于指示所述认证群组中的所述应用已准备好接受认证挑战；

结合第三种可能的实现方式中，在第四种可能的实现方式中，所述第二接收单元，还用于接收所述平台服务器发送的所述挑战密钥；

结合第三方面和上述任一种可能的实现方式，在第五种可能的实现方式中，所述获取单元，还用于若所述第二接收单元接收的所述认证群组的认证结果指示所述认证群组认证失败，则获取新的挑战密钥；

所述计算单元，用于采用所述获取单元获取的所述新的挑战密钥和构成认证子群组的应用的票据信息，通过所述预设哈希函数计算得到第三挑战结果，至少两个所述认证子群组构成所述认证群组；

所述第一发送单元，用于向所述平台服务器发送所述计算单元计算的所述第三挑战结果和所述认证子群组中的应用的标识，以使得所述平台服务器采用所述新的挑战密钥和所述认证子群组中的应用的票据信息，通过所述预设哈希函数计算得到第四挑战结果，并使得所述平台服务器根据所述第三挑战结果和所述第四挑战结果获得所述认证子群组的认证结果；

所述第二接收单元，用于接收所述平台服务器发送的携带有所述认证子群组的认证结果的认证响应消息。

结合第三方面，在第七种可能的实现方式中，当所述第一挑战结果与所述第二挑战结果相同时，所述认证群组的认证结果指示所述认证群组认证成功；

本发明实施例的第四方面，提供一种平台服务器，包括：

获取单元，用于获取与签约服务器签约的应用的签约信息，所述签约信息包括：所述应用的标识和所述应用的票据信息；

发送单元，用于向网关发送群组创建请求，所述群组创建请求中携带有认证群组的认证信息，所述认证群组的认证信息中包含构成所述认证群组的应用的标识，所述认证群组由至少两个应用构成；

接收单元，用于接收所述网关发送的携带有第一挑战结果的群组创建响应，所述第一挑战结果为所述网关采用挑战密钥和所述认证群组中的应用的票据信息，通过预设哈希函数计算得到的；

计算单元，用于采用所述挑战密钥和所述获取单元获取的所述认证群组中的应用的票据信息，通过所述预设哈希函数计算得到第二挑战结果；

认证单元，用于根据所述接收单元接收的所述第一挑战结果和所述计算单元计算到的所述第二挑战结果获得所述认证群组的认证结果；

所述发送单元，还用于向所述网关发送携带有所述认证单元获得的所述认证群组的认证结果的认证响应消息。

结合第四方面，在第一种可能的实现方式中，当所述第一挑战结果与所述第二挑战结果相同时，所述认证群组的认证结果指示所述认证群组认证成功；

结合第一种可能的实现方式，在第二种可能的实现方式中，所述计算单元，包括：

合成模块，用于采用预设票据合并策略，合并所述接收单元接收的所述认证群组中的应用的票据信息，所述预设票据合并策略至少包括：将所述认证群组中的应用的票据信息按照所述认证群组中的应用的标识依次排序并首尾拼接；

计算模块，用于采用所述挑战密钥和所述合成模块合并后的票据信息，通过所述预设哈希函数计算得到所述第二挑战结果。

结合第一种可能的实现方式或者第二种可能的实现方式，在第三种可能的实现方式中，所述获取单元获取的所述签约信息还包括：所述应用的标识验证密钥；

所述接收单元，还用于在接收所述网关发送的所述群组创建响应之前，接收所述网关发送的群组认证通知，所述群组认证通知为所述网关根据所述认证群组的认证信息确定所述认证群组中的所述应用已准备好接受认证挑战后向所述平台服务器发送的；

结合第四种可能的实现方式，在第五种可能的实现方式中，所述平台服务器，还包括：

生成单元，用于在所述接收单元接收到所述群组认证通知后，随机生成所述挑战密钥；

所述发送单元，还用于向所述网关发送所述挑战密钥。

结合上述任一种可能的实现方式中，在第六种可能的实现方式中，若所述认证单元获得的所述认证群组的认证结果指示所述认证群组认证失败，则所述发送单元发送的携带有所述认证群组的认证结果的认证响应消息中还携带有构成所述认证群组的所述认证子群组的认证信息，所述认证子群组的认证信息中包含所述认证子群组的挑战阈值和构成的所述认证子群组的应用的标识。

结合第六种可能的实现方式，在第七种可能的实现方式中，所述生成单元，还用于若所述认证单元获得的所述认证群组的认证结果指示所述认证群组认证失败，则随机生成新的挑战密钥；

所述发送单元，用于向所述网关发送所述生成单元生成的所述新的挑战密钥，以使得所述网关采用所述新的挑战密钥和构成认证子群组的应用的票据信息，通过所述预设哈希函数计算得到第三挑战结果，至少两个所述认证子群组构成所述认证群组；

所述接收单元，用于接收所述网关发送的所述第三挑战结果和所述认证子群组中的应用的标识；

所述计算单元，用于采用所述生成单元生成的所述新的挑战密钥和所述接收单元接收的所述认证子群组中的应用的标识所对应的票据信息，通过所述预设哈希函数计算得到第四挑战结果；

所述认证单元，用于根据所述接收单元接收到的所述第三挑战结果和所述计算单元计算得到的所述第四挑战结果获得所述认证子群组的认证结果；

所述发送单元，还用于向所述网关发送携带有所述认证子群组的认证结果的认证响应消息。

本发明实施例提供的群组认证方法及设备，网关接收终端设备发送的携带有安装在终端设备中的应用的标识和所述应用的票据信息的认证请求；网关接收平台服务器发送的携带有认证群组的认证信息的群组创建请求，认证群组的认证信息中包含构成认证群组的应用的标识；网关获取挑战密钥，并采用挑战密钥和认证群组中的应用的票据信息，通过预设哈希函数计算得到第一挑战结果；网关向平台服务器发送携带有第一挑战结果的群组创建响应，以使得平台服务器采用挑战密钥和认证群组中的应用的标识所对应的票据信息，通过预设哈希函数计算得到第二挑战结果，并使得平台服务器根据第一挑战结果和第二挑战结果获得认证群组的认证结果；接收平台服务器发送的携带有认证群组的认证结果的认证响应消息。

与现有技术中，当进行应用认证的终端设备较多时，网关与平台服务器之间传输数据量增大，占用较多的信道带宽，且平台服务器的业务开销较大相比，通过本方案，网关可以将多个应用合并在一起构成一个认证群组，然后向平台服务器发送由多个应用构成的认证群组的认证信息(第一挑战结果和认证群组中的应用的标识)，这样可以减少网关与平台服务器之间的数据交互次数，减少传输数据量，进而减少对信道带宽的占用；并且，网关向平台服务器发送的第一挑战结果是预设哈希函数，根据一个认证群组中的应用的票据信息计算得到的，平台服务器可以通过同样的预设哈希函数，根据该认证群组中的应用的票据信息计算得到第二挑战结果，然后根据第一挑战结果和第二挑战结果对该认证群组中的应用进行认证处理，即可以一次完成一个认证群组中的所有应用的认证处理，可以减少平台服务器对应用进行认证处理的次数，降低平台服务器的业务开销。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1为本发明实施例中的一种群组认证方法流程示意图；

图2为本发明实施例中的一种业务签约方法流程示意图；

图3为本发明实施例中的另一种群组认证方法流程示意图；

图4为本发明实施例中的另一种群组认证方法流程示意图；

图5为本发明实施例中的一种网关的结构组成示意图；

图6为本发明实施例中的另一种网关的结构组成示意图；

图7为本发明实施例中的另一种网关的结构组成示意图；

图8为本发明实施例中的一种平台服务器的结构组成示意图；

图9为本发明实施例中的另一种平台服务器的结构组成示意图；

图10为本发明实施例中的另一种网关的结构组成示意图；

图11为本发明实施例中的另一种平台服务器的结构组成示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

本文中结合终端和/或基站和/或基站控制器来描述各种方面。

终端设备，可以是无线终端也可以是有线终端，无线终端可以是指向用户提供语音和/或数据连通性的设备，具有无线连接功能的手持式设备、或连接到无线调制解调器的其他处理设备。无线终端可以经无线接入网(例如，RAN，RadioAccessNetwork)与一个或多个核心网进行通信，无线终端可以是移动终端，如移动电话(或称为“蜂窝”电话)和具有移动终端的计算机，例如，可以是便携式、袖珍式、手持式、计算机内置的或者车载的移动装置，它们与无线接入网交换语言和/或数据。例如，个人通信业务(PCS，PersonalCommunicationService)电话、无绳电话、会话发起协议(SIP)话机、无线本地环路(WLL，WirelessLocalLoop)站、个人数字助理(PDA，PersonalDigitalAssistant)等设备。无线终端也可以称为系统、订户单元(SubscriberUnit)、订户站(SubscriberStation)，移动站(MobileStation)、移动台(Mobile)、远程站(RemoteStation)、接入点(AccessPoint)、远程终端(RemoteTerminal)、接入终端(AccessTerminal)、用户终端(UserTerminal)、用户代理(UserAgent)、用户设备(UserDevice)、或用户装备(UserEquipment)。

另外，本文中术语“系统”和“网络”在本文中常被可互换使用。本文中术语“和/或”，仅仅是一种描述关联对象的关联关系，表示可以存在三种关系，例如，A和/或B，可以表示：单独存在A，同时存在A和B，单独存在B这三种情况。另外，本文中字符“/”，一般表示前后关联对象是一种“或”的关系。

实施例1

本发明实施例提供一种群组认证方法，如图1所示，包括：

S101、网关接收终端设备发送的认证请求，认证请求中携带有安装在终端设备中的应用的标识和应用的票据信息。

需要说明的是，终端设备上至少可以安装有一个应用，每个应用都具有唯一的应用的标识和应用的票据信息，终端设备在实现安装在该终端设备上的应用到机对机通信(Machine-To-Machine，M2M)系统平台的认证时，可以向网关发送携带有安装在终端设备中的一应用的标识和应用的票据信息的认证请求。

S102、网关接收平台服务器发送的群组创建请求，群组创建请求中携带有认证群组的认证信息。

其中，认证群组的认证信息中包含构成认证群组的应用的标识，认证群组由至少两个应用构成。

S103、网关获取挑战密钥，并采用挑战密钥和认证群组中的应用的票据信息，通过预设哈希函数计算得到第一挑战结果。

其中，网关可以接收平台服务器发送的挑战密钥，挑战密钥为平台服务器随机生成的。

示例性的，网关采用挑战密钥和认证群组中的应用的票据信息，通过预设哈希函数计算得到第一挑战结果的方法可以包括：网关采用预设票据合并策略，合并认证群组中的应用的票据信息；采用挑战密钥和合并后的票据信息，通过预设哈希函数计算得到第一挑战结果。其中，预设票据合并策略至少包括：将认证群组中的应用的票据信息按照认证群组中的应用的标识依次排序并首尾拼接。

需要说明的是，本发明实施例中网关计算得到第一挑战结果所采用的预设哈希函数可以参考现有技术中提供的哈希函数，预设哈希函数的具体内容本发明实施例这里不再赘述。

S104、网关向平台服务器发送携带有所述第一挑战结果的群组创建响应，以使得平台服务器从平台服务器中保存的应用的票据信息中查找认证群组中的应用的标识所指示的应用的票据信息，进而使得平台服务器采用挑战密钥和查找到的应用的票据信息，通过预设哈希函数计算得到第二挑战结果，并使得平台服务器通过比较第一挑战结果和第二挑战结果获得认证群组的认证结果。

S105、网关接收平台服务器发送的携带有认证群组的认证结果的认证响应消息。

其中，当第一挑战结果与第二挑战结果相同时，认证群组的认证结果指示认证群组认证成功；当第一挑战结果与第二挑战结果不同时，认证群组的认证结果指示认证群组认证失败。

当认证群组的认证结果指示认证群组认证成功时，网关则可以向构成该认证群组的至少两个应用所安装的终端设备发送认证成功消息；当认证群组的认证结果指示认证群组认证失败时，网关则需要在平台服务器上重新进行构成该认证群组的至少两个应用的认证。

进一步的，网关接收自终端设备的认证请求中携带有安装在所述终端设备中的一应用的标识和所述应用的票据信息，具体可以为：认证请求中携带有安装在终端设备中的一应用的标识和应用的秘密信息，应用的秘密信息为终端设备在安装所述应用时，由签约服务器采用随机生成的标识验证密钥加密应用的标识和所述应用的票据信息得到的。

相应的，认证群组的认证信息中还包含认证群组的挑战阈值和应用的标识验证密钥，应用的标识验证密钥为平台服务器接收自签约服务器的；在网关获取挑战密钥之前，本发明实施例的方法还可以包括：网关在接收到认证请求后，根据认证请求中携带的应用的标识，从认证群组的认证信息中确定应用的标识验证密钥；网关采用应用的标识验证密钥解密应用的秘密信息，以得到应用的标识和应用的票据信息；若网关解密应用的秘密信息得到的应用的标识与认证请求中携带的应用的标识相同，网关则确定应用通过标识验证；当认证群组中通过标识验证的应用的个数大于认证群组的挑战阈值时，网关则向所述平台服务器发送群组认证通知，群组认证通知用于指示认证群组中的应用已准备好接受认证挑战。其中，挑战密钥为平台服务器在接收到群组认证通知后，随机生成并向网关发送的。

其中，平台服务器中应用的标识验证密钥签约服务器在应用向平台服务器签约的过程中发送至平台服务器的；认证请求中携带的应用的秘密信息，为签约服务器在应用向平台服务器签约的过程中，采用随机生成的标识验证密钥加密应用的标识和应用的票据信息得到、并发送至终端设备的。

示例性的，如图2所示，为本发明实施例中的一种业务签约方法流程示意图，该业务签约方法示出了应用向平台服务器签约的具体过程：：S201：终端设备向签约服务器发送携带有安装在该终端设备上的应用的标识、应用的票据信息和平台服务器的身份标识(IDentity，ID)，与签约服务器进行签约；S202：签约服务器为该应用随机生成标识验证密钥；S203：签约服务器根据平台服务器的ID向平台服务器发送应用的标识、应用的票据信息和标识验证密钥；S204：签约服务器采用该标识验证密钥加密应用的标识和应用的票据信息得到应用的秘密信息；S205：签约服务器向终端设备发送应用的秘密信息。

本发明实施例提供的群组认证方法，网关接收终端设备发送的携带有安装在终端设备中的应用的标识和所述应用的票据信息的认证请求；网关接收平台服务器发送的携带有认证群组的认证信息的群组创建请求，认证群组的认证信息中包含构成认证群组的应用的标识；网关获取挑战密钥，并采用挑战密钥和认证群组中的应用的票据信息，通过预设哈希函数计算得到第一挑战结果；网关向平台服务器发送携带有第一挑战结果的群组创建响应，以使得平台服务器采用挑战密钥和认证群组中的应用的标识所对应的票据信息，通过预设哈希函数计算得到第二挑战结果，并使得平台服务器根据第一挑战结果和第二挑战结果获得认证群组的认证结果；接收平台服务器发送的携带有认证群组的认证结果的认证响应消息。

实施例2

本发明实施例提供一种群组认证方法，如图3所示，包括：

S301、平台服务器获取与签约服务器签约的应用的签约信息，签约信息包括：应用的标识和应用的票据信息。

其中，终端设备可以向签约服务器发送携带有安装在该终端设备上的应用的签约信息(应用的标识和应用的票据信息)，与签约服务器进行签约；签约服务器可以将签约的应用的签约信息发送至平台服务器，以使得平台服务器可以使用该应用的签约信息进行该应用的认证。

S302、平台服务器向网关发送群组创建请求，群组创建请求中携带有认证群组的认证信息。

S303、平台服务器接收网关发送的携带有第一挑战结果的群组创建响应，第一挑战结果为网关采用挑战密钥和认证群组中的应用的票据信息，通过预设哈希函数计算得到的。

S304、平台服务器从签约信息中查找认证群组中的应用的标识所指示的应用的票据信息，并采用挑战密钥和查找到的应用的票据信息，通过预设哈希函数计算得到第二挑战结果。

S305、平台服务器通过比较第一挑战结果和所述第二挑战结果获得认证群组的认证结果，并向网关发送携带有认证群组的认证结果的认证响应消息。

本发明实施例提供的群组认证方法，平台服务器获取与签约服务器签约的应用的签约信息，签约信息包括：应用的标识和应用的票据信息；平台服务器向网关发送携带有认证群组的认证信息的群组创建请求，认证群组的认证信息中包含构成认证群组的应用的标识；平台服务器接收网关发送的携带有第一挑战结果的群组创建响应，第一挑战结果为网关采用挑战密钥和认证群组中的应用的票据信息，通过预设哈希函数计算得到的；平台服务器从签约信息中获取所述认证群组中的应用的标识所对应的应用的票据信息，并采用挑战密钥和认证群组中的应用的票据信息，通过预设哈希函数计算得到第二挑战结果；平台服务器根据第一挑战结果和第二挑战结果获得认证群组的认证结果，并向网关发送携带有认证群组的认证结果的认证响应消息。

与现有技术中，当进行应用认证的终端设备较多时，网关与平台服务器之间传输数据量增大，占用较多的信道带宽，且平台服务器的业务开销较大相比，通过本方案，平台服务器接收的应用的认证信息(第一挑战结果和认证群组中的应用的标识)为多个应用合并在一起构成一个认证群组的认证信息，这样可以减少网关与平台服务器之间的数据交互次数，减少传输数据量，进而减少对信道带宽的占用；并且，平台服务器接收网关发送的第一挑战结果是网关通过预设哈希函数，根据一个认证群组中的应用的票据信息计算得到的，平台服务器可以通过同样的预设哈希函数，根据该认证群组中的应用的票据信息计算得到第二挑战结果，然后根据第一挑战结果和第二挑战结果对该认证群组中的应用进行认证处理，即可以一次完成一个认证群组中的所有应用的认证处理，可以减少平台服务器对应用进行认证处理的次数，降低平台服务器的业务开销。

实施例3

本发明实施例提供一种群组认证方法，如图4所示，包括：

S401、终端设备向签约服务器发送安装在终端设备中的一应用的标识、应用的票据信息和平台服务器的ID。

S402、签约服务器为应用随机生成标识验证密钥，并利用采用标识验证密钥加密将应用的标识和应用的票据信息，得到应用的秘密信息。

其中，签约服务器为应用随机生成标识验证密钥的方法可以参考现有技术中生成随机参数的相关方法，标识验证密钥可以为一个随机数或者随机序列。本发明实施例对签约服务器为应用随机生成标识验证密钥的具体方法不再详细赘述。

S403、签约服务器向终端设备发送应用的标识和应用的秘密信息。

S404、签约服务器根据平台服务器的ID向平台服务器发送应用的标识、应用的票据信息和应用的标识验证密钥。

S405、平台服务器向网关发送群组创建请求。

其中，群组创建请求中携带有至少一个认证群组的认证信息，认证群组的认证信息中包含认证群组的挑战阈值、构成认证群组的应用的标识和应用的标识验证密钥。

具体的，平台在接收到签约服务器发送的N个应用的标识、票据信息和标识验证密钥后，可以将这N个应用划分至至少一个认证群组，然后向网关发送携带有所述至少一个认证群组的认证信息，N≥2。

示例性的，平台可以将N个应用随机划分至至少一个认证群组，当然，平台将N个应用随机划分至至少一个认证群组的方法包括但不限于上述随机划分的方法，平台将N个应用随机划分至至少一个认证群组的其他方法本发明实施例这里不再赘述。

例如，假设平台服务器接收到签约服务器发送的10个应用(应用A、应用B、应用C、应用D、应用E、应用F、应用G、应用H、应用I和应用J)的标识、票据信息和标识验证密钥，平台服务器则可以随机将10个应用中的6个应用(应用A、应用B、应用C、应用D、应用E和应用F)划分至一个认证群组(认证群组1)，将另外四个应用(应用G、应用H、应用I和应用J)划分至一个认证群组(认证群组2)，然后向网关发送群组创建请求中携带有认证群组1的认证信息和认证群组2的认证信息的群组创建请求。

S406、终端设备向网关发送认证请求。

其中，认证请求中携带有安装在终端设备中的一应用的标识和应用的票据信息。

S407、网关根据认证请求中携带的应用的标识，从认证群组的认证信息中确定应用的标识验证密钥。

其中，认证群组的认证信息中包含认证群组的挑战阈值、构成该认证群组的应用的标识。

示例性的，网关可以从认证群组的认证信息中包含的构成认证群组的应用的标识中，查找与认证请求中携带的应用的标识相同的应用的标识，然后从认证群组的认证信息中确定查找到的应用的标识所指示的应用的标识验证密钥。

例如，基于上述实例，假设认证请求中携带有应用B的标识，网关则可以从认证群组1的认证信息中包含的构成认证群组1的应用(应用A、应用B、应用C、应用D、应用E和应用F)的标识和认证群组2的认证信息中包含的构成认证群组2的应用(应用G、应用H、应用I和应用J)的标识中，查找与认证请求中携带的应用B的标识相同的应用的标识；网关可以确定认证群组1的认证信息中包含应用B的标识，网关则可以从认证群组1的认证信息中确定应用B的标识验证密钥。

S408、网关采用应用的标识验证密钥解密应用的秘密信息，以得到应用的标识和应用的票据信息。

其中，由于应用的秘密信息是签约服务器采用应用的标识验证密钥加密应用的标识和应用的票据信息得到的；因此，网关在确定应用的标识验证密钥后，则可以采用应用的标识验证密钥解密应用的秘密信息，以得到应用的标识和应用的票据信息。

例如，基于上述实例，网关在确定应用B的标识验证密钥后，则可以采用应用B的标识验证密钥解密应用B的秘密信息，以得到应用B的标识和应用B的票据信息。

S409、若网关解密应用的秘密信息得到的应用的标识与认证请求中携带的应用的标识相同，网关则确定应用通过标识验证。

进一步的，若网关解密应用的秘密信息得到的应用的标识与认证请求中携带的应用的标识不相同，网关则确定应用未通过标识验证。

S410、当一个认证群组中通过标识验证的应用的个数大于该认证群组的挑战阈值时，网关则向平台服务器发送群组认证通知。

其中，群组认证通知用于指示认证群组中的应用已准备好接受认证挑战。

S411、平台服务器随机生成挑战密钥，并向网关发送挑战密钥。

S412、网关采用预设票据合并策略，合并认证群组中的应用的票据信息，并采用挑战密钥和合并后的票据信息，通过预设哈希函数计算得到第一挑战结果。

示例性的，预设票据合并策略至少可以包括：将认证群组中的应用的票据信息按照认证群组中的应用的标识依次排序并首尾拼接。

需要说明的是，本发明实施例中的预设票据合并策略包括但不限于将认证群组中的应用的票据信息按照认证群组中的应用的标识依次排序并首尾拼接，预设票据合并策略还可以为：提取认证群组中的应用的票据信息中的关键字，将提取到的应用的关键字按照认证群组中的应用的标识依次排序并首尾拼接。

例如，假设认证群组2中的应用G的票据信息为“hasfc151”、应用H的票据信息为“i2hefas54”、应用I的票据信息为“dguf5eys4”、应用J的票据信息为“6hidHuowes4”，则网关可以将认证群组2中的应用的票据信息“hasfc151”、“i2hefas54”、“dguf5eys4”和“6hidHuowes4”按照认证群组中的应用的标识应用G、应用H、应用I和应用J依次排序并首尾拼接，以得到“hasfc151i2hefas54dguf5eys46hidHuowes4”；然后通过预设哈希函数对“hasfc151i2hefas54dguf5eys46hidHuowes4”进行哈希运算，得到认证群组2的挑战结果(第一挑战结果)。

S413、网关向平台服务器发送携带有第一挑战结果的群组创建响应。

需要说明的是，当认证群组中通过标识验证的应用的个数等于该认证群组中的应用的总数时，则表示该认证群组中的所有应用均通过标识验证。

进一步可选的，当认证群组中通过标识验证的应用的个数小于认证群组中的应用的总数时，群组创建响应中携带有通过标识验证的应用的标识。

例如，网关可以向平台服务器发送认证群组2的挑战结果和认证群组2中的应用的标识：应用G、应用H、应用I和应用J。

S414、平台服务器采用预设票据合并策略，合并该认证群组中的应用的标识所对应的票据信息，并采用挑战密钥和合并后的票据信息，通过预设哈希函数计算得到第二挑战结果。

基于上述实例，当认证群组中通过标识验证的应用的个数等于该认证群组中的应用的总数时，则表示该认证群组中的所有应用均通过标识验证，此时，平台服务器可以在接收到认证群组2的挑战结果和认证群组2中的应用的标识：应用G、应用H、应用I和应用J后，根据认证群组2中的应用的标识：应用G、应用H、应用I和应用J，从签约服务器发送的应用的票据信息中查找出应用G的票据信息、应用H的票据信息、应用I的票据信息和应用J的票据信息；其中，若认证群组2中的所有应用的票据信息都未被篡改，则网关中保留的认证群组2中应用的票据信息与平台服务器接收自签约服务器的认证群组2中应用的票据信息是相同的，即平台服务器可以查找到应用G的票据信息“hasfc151”、应用H的票据信息“i2hefas54”、应用I的票据信息“dguf5eys4”和应用J的票据信息“6hidHuowes4”；平台服务器将认证群组2中的应用的票据信息“hasfc151”、“i2hefas54”、“dguf5eys4”和“6hidHuowes4”按照认证群组中的应用的标识应用G、应用H、应用I和应用J依次排序并首尾拼接，以得到“hasfc151i2hefas54dguf5eys46hidHuowes4”；然后通过预设哈希函数对“hasfc151i2hefas54dguf5eys46hidHuowes4”进行哈希运算，得到认证群组2的挑战结果(第二挑战结果)。

进一步的，当认证群组中通过标识验证的应用的个数小于认证群组中的应用的总数时，群组创建响应中携带有通过标识验证的应用的标识。此时，S414具体可以为：

S414a、平台服务器采用预设票据合并策略，合并群组创建响应中携带的通过标识验证的应用的标识所对应的票据信息，并采用挑战密钥和合并后的票据信息，通过预设哈希函数计算得到第二挑战结果。

S415、平台服务器比较第一挑战结果与第二挑战结果获得该认证群组的认证结果。

其中，若认证群组2中的所有应用的票据信息都未被篡改，则网关中保留的认证群组2中应用的票据信息与平台服务器接收自签约服务器的认证群组2中应用的票据信息是相同的，那么第一挑战结果与第二挑战结果也应是相同的，即认证群组的认证结果指示所述认证群组认证成功。

若认证群组2中至少一个应用的票据信息被篡改，则网关中保留的认证群组2中应用的票据信息与平台服务器接收自签约服务器的认证群组2中应用的票据信息不相同的，那么第一挑战结果与第二挑战结果也应是不同的，即认证群组的认证结果指示认证群组认证失败。

S416、平台服务器向网关发送携带有认证群组的认证结果的认证响应消息。

S417、若认证群组的认证结果指示认证群组认证失败，网关则获取新的挑战密钥。

S418、网关采用新的挑战密钥和构成认证子群组的应用的票据信息，通过预设哈希函数计算得到第三挑战结果。

S419、网关向平台服务器发送第三挑战结果和认证子群组中的应用的标识。

S420、平台服务器采用新的挑战密钥和认证子群组中的应用的票据信息，通过预设哈希函数计算得到第四挑战结果，并根据第三挑战结果和第四挑战结果获得认证子群组的认证结果。

S421、平台服务器向网关发送携带有所述认证子群组的认证结果的认证响应消息。

其中，至少两个认证子群组构成认证群组；例如，认证群组2可以划分为两个认证子群组：由应用G和应用H构成的认证子群组21和由应用I和应用J构成的认证子群组22；或者认证群组2可以划分为两个认证子群组：由应用G、应用H和应用I构成的认证子群组23和由应用J构成的认证子群组24。本发明实施例中对“将认证群组划分为至少两个认证子群组”的具体方法不做限制。

需要说明的是，本发明实施例中网关与平台服务器之间交互，以进行认证子群组的认证的具体过程可以参考本发明实施例中网关与平台服务器之间交互，以进行认证群组的认证的具体过程，本发明实施例这里对网关与平台服务器之间交互，以进行认证子群组的认证的具体过程不再详细赘述。

实施例5

本发明实施例提供一种网关，如图5所示，包括：第一接收单元51、第二接收单元52、获取单元53、计算单元54和第一发送单元55。

第一接收单元51，用于接收终端设备发送的认证请求，所述认证请求中携带有安装在所述终端设备中的一应用的标识和所述应用的票据信息。

第二接收单元52，用于接收平台服务器发送的群组创建请求，所述群组创建请求中携带有认证群组的认证信息，所述认证群组的认证信息中包含构成所述认证群组的应用的标识，所述认证群组由至少两个应用构成。

获取单元53，用于获取挑战密钥。

计算单元54，用于采用所述获取单元53获取的所述挑战密钥和所述第二接收单元52接收的所述认证群组的认证信息指示的构成所述认证群组的应用的票据信息，通过预设哈希函数计算得到第一挑战结果。

第一发送单元55，用于向平台服务器发送携带有所述计算单元54计算得到的所述第一挑战结果的群组创建响应，以使得所述平台服务器从所述平台服务器中保存的应用的票据信息中查找所述认证群组中的应用的标识所指示的应用的票据信息，进而使得所述平台服务器采用所述挑战密钥和查找到的应用的票据信息，通过所述预设哈希函数计算得到第二挑战结果，并使得所述平台服务器通过比较所述第一挑战结果和所述第二挑战结果获得所述认证群组的认证结果。

所述第二接收单元52，还用于接收所述平台服务器发送的携带有所述认证群组的认证结果的认证响应消息。

进一步的，如图6所示，所述计算单元54，可以包括：合成模块541和计算模块542。

合成模块541，用于采用预设票据合并策略，合并所述认证群组中的应用的票据信息，所述预设票据合并策略至少包括：将所述认证群组中的应用的票据信息按照所述认证群组中的应用的标识依次排序并首尾拼接。

计算模块542，用于采用所述获取单元53获取到的所述挑战密钥和所述合成模块合并后的票据信息，通过所述预设哈希函数计算得到所述第一挑战结果。

进一步的，所述认证请求中携带有安装在所述终端设备中的一应用的标识和所述应用的票据信息，具体为：所述认证请求中携带有安装在所述终端设备中的一应用的标识和所述应用的秘密信息，所述应用的秘密信息为所述终端设备在安装所述应用时，由签约服务器采用随机生成的标识验证密钥加密所述应用的标识和所述应用的票据信息得到的。

进一步的，所述认证群组的认证信息中还包含所述认证群组的挑战阈值和所述应用的标识验证密钥，所述应用的标识验证密钥为所述平台服务器接收自所述签约服务器的。

如图7所示，所述网关，还可以包括：第一确定单元56、解密单元57、第二确定单元58和第二发送单元59。

第一确定单元56，用于在第一接收单元51接收到所述认证请求后，根据所述认证请求中携带的所述应用的标识，从所述第二接收单元52接收的所述认证群组的认证信息中确定所述应用的标识验证密钥。

解密单元57，用于采用所述第一确定单元56确定的所述应用的标识验证密钥解密所述应用的秘密信息，以得到所述应用的标识和所述应用的票据信息。

第二确定单元58，用于若所述解密单元57解密所述应用的秘密信息得到的所述应用的标识与所述第一接收单元51接收的所述认证请求中携带的所述应用的标识相同，则确定所述应用通过标识验证。

第二发送单元59，用于当所述第二确定单元58确定的所述认证群组中通过标识验证的应用的个数大于所述第二接收单元52接收的所述认证群组的挑战阈值时，则向所述平台服务器发送群组认证通知，所述群组认证通知用于指示所述认证群组中的所述应用已准备好接受认证挑战。

进一步的，所述第二接收单元52，还用于接收所述平台服务器发送的所述挑战密钥。

进一步的，所述获取单元53，还用于若所述第二接收单元52接收的所述认证群组的认证结果指示所述认证群组认证失败，则获取新的挑战密钥。

所述计算单元54，用于采用所述获取单元53获取的所述新的挑战密钥和构成认证子群组的应用的票据信息，通过所述预设哈希函数计算得到第三挑战结果，至少两个所述认证子群组构成所述认证群组。

所述第一发送单元55，用于向所述平台服务器发送所述计算单元54计算的所述第三挑战结果和所述认证子群组中的应用的标识，以使得所述平台服务器采用所述新的挑战密钥和所述认证子群组中的应用的票据信息，通过所述预设哈希函数计算得到第四挑战结果，并使得所述平台服务器根据所述第三挑战结果和所述第四挑战结果获得所述认证子群组的认证结果。

所述第二接收单元52，用于接收所述平台服务器发送的携带有所述认证子群组的认证结果的认证响应消息。

进一步的，若所述认证群组的认证结果指示所述认证群组认证失败，则携带有所述认证群组的认证结果的认证响应消息中还携带有构成所述认证群组的所述认证子群组的认证信息，所述认证子群组的认证信息中包含所述认证子群组的挑战阈值和构成的所述认证子群组的应用的标识。

进一步的，当所述第一挑战结果与所述第二挑战结果相同时，所述认证群组的认证结果指示所述认证群组认证成功。

需要说明的是，本发明实施例提供的网关中部分功能模块的具体描述可以参考本发明方法实施例中的对应内容，本实施例这里不再详细赘述。

本发明实施例提供的网关，可以接收终端设备发送的携带有安装在终端设备中的应用的标识和所述应用的票据信息的认证请求；网关接收平台服务器发送的携带有认证群组的认证信息的群组创建请求，认证群组的认证信息中包含构成认证群组的应用的标识；网关获取挑战密钥，并采用挑战密钥和认证群组中的应用的票据信息，通过预设哈希函数计算得到第一挑战结果；网关向平台服务器发送携带有第一挑战结果的群组创建响应，以使得平台服务器采用挑战密钥和认证群组中的应用的标识所对应的票据信息，通过预设哈希函数计算得到第二挑战结果，并使得平台服务器根据第一挑战结果和第二挑战结果获得认证群组的认证结果；接收平台服务器发送的携带有认证群组的认证结果的认证响应消息。

实施例6

本发明实施例提供一种平台服务器，如图8所示，包括：获取单元61、发送单元62、接收单元63、计算单元64和认证单元65。

获取单元61，用于获取与签约服务器签约的应用的签约信息，所述签约信息包括：所述应用的标识和所述应用的票据信息。

发送单元62，用于向网关发送群组创建请求，所述群组创建请求中携带有认证群组的认证信息，所述认证群组的认证信息中包含构成所述认证群组的应用的标识，所述认证群组由至少两个应用构成。

接收单元63，用于接收所述网关发送的携带有第一挑战结果的群组创建响应，所述第一挑战结果为所述网关采用挑战密钥和所述认证群组中的应用的票据信息，通过预设哈希函数计算得到的。

计算单元64，用于采用所述挑战密钥和所述获取单元61获取的所述认证群组中的应用的票据信息，通过所述预设哈希函数计算得到第二挑战结果。

认证单元65，用于根据所述接收单元63接收的所述第一挑战结果和所述计算单元64计算到的所述第二挑战结果获得所述认证群组的认证结果。

所述发送单元62，还用于向所述网关发送携带有所述认证单元65获得的所述认证群组的认证结果的认证响应消息。

进一步的，所述计算单元64，可以包括：合成模块641和计算模块642。

合成模块641，用于采用预设票据合并策略，合并所述接收单元接收的所述认证群组中的应用的票据信息，所述预设票据合并策略至少包括：将所述认证群组中的应用的票据信息按照所述认证群组中的应用的标识依次排序并首尾拼接。

计算模块642，用于采用所述挑战密钥和所述合成模块合并后的票据信息，通过所述预设哈希函数计算得到所述第二挑战结果。

进一步的，所述获取单元获取的所述签约信息还包括：所述应用的标识验证密钥。

进一步的，所述认证群组的认证信息中还包含所述认证群组的挑战阈值和所述应用的标识验证密钥。

所述接收单元63，还用于在接收所述网关发送的所述群组创建响应之前，接收所述网关发送的群组认证通知，所述群组认证通知为所述网关根据所述认证群组的认证信息确定所述认证群组中的所述应用已准备好接受认证挑战后向所述平台服务器发送的。

进一步的，如图9所示，所述平台服务器，还可以包括：生成单元66。

生成单元66，用于在所述接收单元63接收到所述群组认证通知后，随机生成所述挑战密钥。

所述发送单元62，还用于向所述网关发送所述生成单元66生成的所述挑战密钥。

进一步的，若所述认证单元65获得的所述认证群组的认证结果指示所述认证群组认证失败，则所述发送单元62发送的携带有所述认证群组的认证结果的认证响应消息中还携带有构成所述认证群组的所述认证子群组的认证信息，所述认证子群组的认证信息中包含所述认证子群组的挑战阈值和构成的所述认证子群组的应用的标识。

进一步的，所述生成单元66，还用于若所述认证单元65获得的所述认证群组的认证结果指示所述认证群组认证失败，则随机生成新的挑战密钥。

所述发送单元62，用于向所述网关发送所述生成单元66生成的所述新的挑战密钥，以使得所述网关采用所述新的挑战密钥和构成认证子群组的应用的票据信息，通过所述预设哈希函数计算得到第三挑战结果。

所述接收单元63，用于接收所述网关发送的所述第三挑战结果和所述认证子群组中的应用的标识。

所述计算单元64，用于采用所述生成单元66生成的所述新的挑战密钥和所述接收单元63接收的所述认证子群组中的应用的标识所对应的票据信息，通过所述预设哈希函数计算得到第四挑战结果。

所述认证单元65，用于根据所述接收单元63接收到的所述第三挑战结果和所述计算单元64计算得到的所述第四挑战结果获得所述认证子群组的认证结果。

所述发送单元62，还用于向所述网关发送携带有所述认证子群组的认证结果的认证响应消息。

需要说明的是，本发明实施例提供的所述平台服务器中部分功能模块的具体描述可以参考方法实施例中的对应内容，本实施例这里不再详细赘述。

本发明实施例提供的平台服务器，获取与签约服务器签约的应用的签约信息，签约信息包括：应用的标识和应用的票据信息；平台服务器向网关发送携带有认证群组的认证信息的群组创建请求，认证群组的认证信息中包含构成认证群组的应用的标识；平台服务器接收网关发送的携带有第一挑战结果的群组创建响应，第一挑战结果为网关采用挑战密钥和认证群组中的应用的票据信息，通过预设哈希函数计算得到的；平台服务器从签约信息中获取所述认证群组中的应用的标识所对应的应用的票据信息，并采用挑战密钥和认证群组中的应用的票据信息，通过预设哈希函数计算得到第二挑战结果；平台服务器根据第一挑战结果和第二挑战结果获得认证群组的认证结果，并向网关发送携带有认证群组的认证结果的认证响应消息。

实施例7

本发明实施例提供一种网关，如图10所示，包括：接收器71、处理器72和发送器73。

接收器71，用于接收终端设备发送的认证请求，所述认证请求中携带有安装在所述终端设备中的应用的标识和所述应用的票据信息；接收平台服务器发送的群组创建请求，所述群组创建请求中携带有认证群组的认证信息，所述认证群组的认证信息中包含构成所述认证群组的应用的标识，所述认证群组由至少两个应用构成。

处理器72，用于获取挑战密钥，并采用所述挑战密钥和所述接收器71接收的所述认证群组中的应用的票据信息，通过预设哈希函数计算得到第一挑战结果。

发送器73，用于向平台服务器发送携带有所述第一挑战结果的群组创建响应，以使得所述平台服务器从所述平台服务器中保存的应用的票据信息中查找所述认证群组中的应用的标识所指示的应用的票据信息，进而使得所述平台服务器采用所述挑战密钥和查找到的应用的票据信息，通过所述预设哈希函数计算得到第二挑战结果，并使得所述平台服务器通过比较所述第一挑战结果和所述第二挑战结果获得所述认证群组的认证结果。

所述接收器71，还用于接收所述平台服务器发送的携带有所述认证群组的认证结果的认证响应消息。

进一步的，所述处理器72，还用于采用预设票据合并策略，合并所述认证群组中的应用的票据信息，所述预设票据合并策略至少包括：将所述认证群组中的应用的票据信息按照所述认证群组中的应用的标识依次排序并首尾拼接；采用所述挑战密钥和合并后的票据信息，通过所述预设哈希函数计算得到所述第一挑战结果。

所述处理器72，还用于在所述接收器71接收到所述认证请求后，根据所述认证请求中携带的所述应用的标识，从所述认证群组的认证信息中确定所述应用的标识验证密钥；采用所述应用的标识验证密钥解密所述应用的秘密信息，以得到所述应用的标识和所述应用的票据信息；若所述网关解密所述应用的秘密信息得到的所述应用的标识与所述认证请求中携带的所述应用的标识相同，则确定所述应用通过标识验证。

所述处理器72，还用于判断所述认证群组中通过标识验证的应用的个数是否大于所述认证群组的挑战阈值。

所述发送器73，还用于当所述处理器72判断得到所述认证群组中通过标识验证的应用的个数大于所述认证群组的挑战阈值时，向所述平台服务器发送群组认证通知，所述群组认证通知用于指示所述认证群组中的所述应用已准备好接受认证挑战。

进一步的，所述接收器71，还用于接收所述平台服务器发送的所述挑战密钥。

进一步的，所述处理器72，还用于若所述接收单元71接收到的所述认证群组的认证结果指示所述认证群组认证失败，则获取新的挑战密钥，并采用所述新的挑战密钥和构成认证子群组的应用的票据信息，通过所述预设哈希函数计算得到第三挑战结果，至少两个所述认证子群组构成所述认证群组。

所述发送器73，还用于向所述平台服务器发送所述处理器72计算得到的所述第三挑战结果和所述认证子群组中的应用的标识，以使得所述平台服务器采用所述新的挑战密钥和所述认证子群组中的应用的票据信息，通过所述预设哈希函数计算得到第四挑战结果，并使得所述平台服务器根据所述第三挑战结果和所述第四挑战结果获得所述认证子群组的认证结果。

所述接收器73，还用于接收所述平台服务器发送的携带有所述认证子群组的认证结果的认证响应消息。

在本发明实施例中，接收器71、处理器72和发送器73通过总线连接并完成相互间的通信。

其中，总线可以是工业标准体系结构(IndustryStandardArchitecture，ISA)总、外部设备互连(PeripheralComponentInterconnect，PCI)总线或扩展工业标准体系结构(ExtendedIndustryStandardArchitecture，EISA)总线等。该总线可以分为地址总线、数据总线、控制总线等。为便于表示，图10中仅用一条粗线表示，但并不表示仅有一根总线或一种类型的总线。

处理器72可以为中央处理器(CentralProcessingUnit，CPU)，也可以为CPU、数字信号处理器(DigitalSignalProcessor，DSP)以及通信单元中的控制芯片(例如基带芯片)的组合。在本发明实施例中，CPU可以是单运算核心，也可以包括多运算核心。

接收器71和发送器73可以为通过天线发送和接收无线信号的装置，也可以为其他提供信号发送和接收接口的装置。

需要说明的是，本发明实施例提供的所述网关中部分功能模块的具体描述可以参考本发明方法实施例中的对应内容，本实施例这里不再详细赘述。

本发明实施例提供的网关，接收终端设备发送的携带有安装在终端设备中的应用的标识和所述应用的票据信息的认证请求；网关接收平台服务器发送的携带有认证群组的认证信息的群组创建请求，认证群组的认证信息中包含构成认证群组的应用的标识；网关获取挑战密钥，并采用挑战密钥和认证群组中的应用的票据信息，通过预设哈希函数计算得到第一挑战结果；网关向平台服务器发送携带有第一挑战结果的群组创建响应，以使得平台服务器采用挑战密钥和认证群组中的应用的标识所对应的票据信息，通过预设哈希函数计算得到第二挑战结果，并使得平台服务器根据第一挑战结果和第二挑战结果获得认证群组的认证结果；接收平台服务器发送的携带有认证群组的认证结果的认证响应消息。

实施例8

本发明实施例还提供一种平台服务器，如图11所示，包括：处理器81、发送器82和接收器83。

处理器81，用于获取与签约服务器签约的应用的签约信息，所述签约信息包括：所述应用的标识和所述应用的票据信息。

发送器82，用于向网关发送群组创建请求，所述群组创建请求中携带有认证群组的认证信息，所述认证群组的认证信息中包含构成所述认证群组的应用的标识，所述认证群组由至少两个应用构成。

接收器83，用于接收所述网关发送的携带有第一挑战结果的群组创建响应，所述第一挑战结果为所述网关采用挑战密钥和所述认证群组中的应用的票据信息，通过预设哈希函数计算得到的。

所述处理器81，还用于从所述签约信息中获取所述认证群组中的应用的标识所对应的应用的票据信息，并采用所述挑战密钥和所述认证群组中的应用的票据信息，通过所述预设哈希函数计算得到第二挑战结果；根据所述接收器83接收的所述第一挑战结果和所述第二挑战结果获得所述认证群组的认证结果。

发送器82，用于向所述网关发送携带有所述处理器82获得的所述认证群组的认证结果的认证响应消息。

进一步的，所述处理器81，还用于采用预设票据合并策略，合并所述认证群组中的应用的票据信息，所述预设票据合并策略至少包括：将所述认证群组中的应用的票据信息按照所述认证群组中的应用的标识依次排序并首尾拼接；采用所述挑战密钥和合并后的票据信息，通过所述预设哈希函数计算得到所述第二挑战结果。

进一步的，所述签约信息还包括：所述应用的标识验证密钥；所述应用的标识验证密钥为所述签约服务器随机生成的，用于加密所述应用的标识和所述应用的票据信息的密钥。

所述接收器83，还用于在接收所述网关发送的携带有第一挑战结果的群组创建响应之前，接收所述网关发送的群组认证通知，所述群组认证通知为所述网关根据所述认证群组的认证信息确定所述认证群组中的所述应用已准备好接受认证挑战后向所述平台服务器发送的。

进一步的，所述处理器81，还用于在所述接收器83接收网关发送的携带有所述第一挑战结果的群组创建响应之前，在所述接收器83接收到所述群组认证通知后，随机生成所述挑战密钥，并向所述网关发送所述挑战密钥。

进一步的，所述处理器81，还用于若所述认证群组的认证结果指示所述认证群组认证失败，则随机生成新的挑战密钥。

所述发送器82，还用于向所述网关发送所述新的挑战密钥，以使得所述网关采用所述新的挑战密钥和构成认证子群组的应用的票据信息，通过所述预设哈希函数计算得到第三挑战结果。

所述接收器83，还用于接收所述网关发送的所述第三挑战结果和所述认证子群组中的应用的标识。

所述处理器81，还用于采用所述新的挑战密钥和所述认证子群组中的应用的标识所对应的票据信息，通过所述预设哈希函数计算得到第四挑战结果；根据所述第三挑战结果和所述第四挑战结果获得所述认证子群组的认证结果。

所述发送器82，还用于向所述网关发送携带有所述处理器81获得的所述认证子群组的认证结果的认证响应消息。

在本发明实施例中，处理器81、接收器83和发送器82通过总线连接并完成相互间的通信。

其中，总线可以是工业标准体系结构(IndustryStandardArchitecture，ISA)总、外部设备互连(PeripheralComponentInterconnect，PCI)总线或扩展工业标准体系结构(ExtendedIndustryStandardArchitecture，EISA)总线等。该总线可以分为地址总线、数据总线、控制总线等。为便于表示，图11中仅用一条粗线表示，但并不表示仅有一根总线或一种类型的总线。

处理器81可以为中央处理器(CentralProcessingUnit，CPU)，也可以为CPU、数字信号处理器(DigitalSignalProcessor，DSP)以及通信单元中的控制芯片(例如基带芯片)的组合。在本发明实施例中，CPU可以是单运算核心，也可以包括多运算核心。

接收器83和发送器82可以为通过天线发送和接收无线信号的装置，也可以为其他提供信号发送和接收接口的装置。

通过以上的实施方式的描述，所属领域的技术人员可以清楚地了解到，为描述的方便和简洁，仅以上述各功能模块的划分进行举例说明，实际应用中，可以根据需要而将上述功能分配由不同的功能模块完成，即将装置的内部结构划分成不同的功能模块，以完成以上描述的全部或者部分功能。上述描述的系统，装置和单元的具体工作过程，可以参考前述方法实施例中的对应过程，在此不再赘述。

在本申请所提供的几个实施例中，应该理解到，所揭露的系统，装置和方法，可以通过其它的方式实现。例如，以上所描述的装置实施例仅仅是示意性的，例如，所述模块或单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口，装置或单元的间接耦合或通信连接，可以是电性，机械或其它的形式。

所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。

另外，在本发明各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。上述集成的单元既可以采用硬件的形式实现，也可以采用软件功能单元的形式实现。

所述集成的单元如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的全部或部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)或处理器(processor)执行本发明各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器(ROM，Read-OnlyMemory)、随机存取存储器(RAM，RandomAccessMemory)、磁碟或者光盘等各种可以存储程序代码的介质。

以上所述，仅为本发明的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应以所述权利要求的保护范围为准。

Claims

1.一种群组认证方法，其特征在于，包括：

2.根据权利要求1所述的方法，其特征在于，所述网关采用所述挑战密钥和所述认证群组中的应用的票据信息，通过预设哈希函数计算得到第一挑战结果，包括：

3.根据权利要求1或2所述的方法，其特征在于，所述认证请求中携带有安装在所述终端设备中的应用的标识和所述应用的票据信息，具体为：

4.根据权利要求3所述的方法，其特征在于，所述认证群组的认证信息中还包含所述认证群组的挑战阈值和所述应用的标识验证密钥，所述应用的标识验证密钥为所述平台服务器接收自所述签约服务器的；

在所述网关获取挑战密钥之前，所述方法还包括：

5.根据权利要求4所述的方法，其特征在于，所述网关获取挑战密钥，包括：

所述网关接收所述平台服务器发送的所述挑战密钥；

6.根据权利要求1-5中任一项所述的方法，其特征在于，还包括：

7.根据权利要求6所述的方法，其特征在于，若所述认证群组的认证结果指示所述认证群组认证失败，则携带有所述认证群组的认证结果的认证响应消息中还携带有构成所述认证群组的所述认证子群组的认证信息，所述认证子群组的认证信息中包含所述认证子群组的挑战阈值和构成的所述认证子群组的应用的标识。

8.根据权利要求1所述的方法，其特征在于，当所述第一挑战结果与所述第二挑战结果相同时，所述认证群组的认证结果指示所述认证群组认证成功；

9.一种群组认证方法，其特征在于，包括：

10.根据权利要求9所述的方法，其特征在于，当所述第一挑战结果与所述第二挑战结果相同时，所述认证群组的认证结果指示所述认证群组认证成功；

11.根据权利要求10所述的方法，其特征在于，所述平台服务器采用所述挑战密钥和所述认证群组中的应用的票据信息，通过所述预设哈希函数计算得到第二挑战结果，包括：

12.根据权利要求10或11所述的方法，其特征在于，所述签约信息还包括：所述应用的标识验证密钥。

13.根据权利要求12所述的方法，其特征在于，所述认证群组的认证信息中还包含所述认证群组的挑战阈值和所述应用的标识验证密钥；

所述平台服务器接收所述网关发送的群组认证通知，所述群组认证通知为所述网关根据所述认证群组的认证信息确定所述认证群组中的所述应用已准备好接受认证挑战后向所述平台服务器发送的；

14.根据权利要求13所述的方法，其特征在于，在所述平台服务器接收网关发送的第一挑战结果和至少两个应用构成的认证群组中的应用的标识之前，所述方法还包括：

15.根据权利要求10-14中任一项所述的方法，其特征在于，若所述认证群组的认证结果指示所述认证群组认证失败，则携带有所述认证群组的认证结果的认证响应消息中还携带有构成所述认证群组的所述认证子群组的认证信息，所述认证子群组的认证信息中包含所述认证子群组的挑战阈值和构成的所述认证子群组的应用的标识。

16.根据权利要求15所述的方法，其特征在于，还包括：

17.一种网关，其特征在于，包括：

获取单元，用于获取挑战密钥；

18.根据权利要求17所述的网关，其特征在于，所述计算单元，包括：

19.根据权利要求17或18所述的网关，其特征在于，所述认证请求中携带有安装在所述终端设备中的应用的标识和所述应用的票据信息，具体为：

20.根据权利要求19所述的网关，其特征在于，所述认证群组的认证信息中还包含所述认证群组的挑战阈值和所述应用的标识验证密钥，所述应用的标识验证密钥为所述平台服务器接收自所述签约服务器的；

所述网关还包括：

21.根据权利要求20所述的网关，其特征在于，所述第二接收单元，还用于接收所述平台服务器发送的所述挑战密钥；

22.根据权利要求17-21中任一项所述的网关，其特征在于，所述获取单元，还用于若所述第二接收单元接收的所述认证群组的认证结果指示所述认证群组认证失败，则获取新的挑战密钥；

23.根据权利要求22所述的网关，其特征在于，若所述认证群组的认证结果指示所述认证群组认证失败，则携带有所述认证群组的认证结果的认证响应消息中还携带有构成所述认证群组的所述认证子群组的认证信息，所述认证子群组的认证信息中包含所述认证子群组的挑战阈值和构成的所述认证子群组的应用的标识。

24.根据权利要求17所述的网关，其特征在于，当所述第一挑战结果与所述第二挑战结果相同时，所述认证群组的认证结果指示所述认证群组认证成功；

25.一种平台服务器，其特征在于，包括：

26.根据权利要求25所述的平台服务器，其特征在于，当所述第一挑战结果与所述第二挑战结果相同时，所述认证群组的认证结果指示所述认证群组认证成功；

27.根据权利要求26所述的平台服务器，其特征在于，所述计算单元，包括：

28.根据权利要求26或27所述的平台服务器，其特征在于，所述获取单元获取的所述签约信息还包括：所述应用的标识验证密钥。

29.根据权利要求28所述的平台服务器，其特征在于，所述认证群组的认证信息中还包含所述认证群组的挑战阈值和所述应用的标识验证密钥；

30.根据权利要求29所述的平台服务器，其特征在于，还包括：

所述发送单元，还用于向所述网关发送所述挑战密钥。

31.根据权利要求26-30中任一项所述的平台服务器，其特征在于，若所述认证单元获得的所述认证群组的认证结果指示所述认证群组认证失败，则所述发送单元发送的携带有所述认证群组的认证结果的认证响应消息中还携带有构成所述认证群组的所述认证子群组的认证信息，所述认证子群组的认证信息中包含所述认证子群组的挑战阈值和构成的所述认证子群组的应用的标识。

32.根据权利要求31所述的平台服务器，其特征在于，所述生成单元，还用于若所述认证单元获得的所述认证群组的认证结果指示所述认证群组认证失败，则随机生成新的挑战密钥；