[發明專利]一種服務訪問認證方法和系統

無效

• 申請號: 200710166656.0
• 申請日: 2007-11-01
• 公開（公告）號: CN101426190A
• 公開（公告）日: 2009-05-06
• 發明（設計）人: 侯?；?/a>;姚忠輝;劉壯
• 申請（專利權）人: 華為技術有限公司
• 主分類號: H04W4/24
• 分類號: H04W4/24;H04L9/32
• 代理公司: 北京德琦知識產權代理有限公司
• 代理人: 宋志強;麻海明

1、一種服務認證密鑰產生方法，其特征在于，該方法包括：

用戶設備和密鑰生成器利用信任關系生成在預設的生命周期內有效的服務認證密鑰層次中的預備密鑰，并進行保存；

用戶設備訪問服務器時，用戶設備和密鑰生成器根據當前生命周期內有效的服務認證密鑰層次中的預備密鑰、用戶設備信息和服務器信息，生成用戶設備和服務器共享的服務認證密鑰層次中的服務認證密鑰。

2、根據權利要求1所述的方法，其特征在于，

當用戶設備訪問服務器時，由服務器觸發用戶設備和密鑰生成器執行所述生成并保存預備密鑰的操作；或者，

用戶設備和密鑰生成器每隔所述預設的生命周期執行所述生成并保存預備密鑰的操作。

3、根據權利要求1所述的方法，其特征在于，

所述生命周期為用戶設備的接入認證周期；

所述利用信任關系生成并保存服務認證密鑰層次中的預備密鑰為：利用用戶設備的接入認證過程生成并保存所述預備密鑰。

4、根據權利要求1所述的方法，其特征在于，

所述利用信任關系生成并保存服務認證密鑰層次中的預備密鑰為：利用引導過程生成所述預備密鑰。

5、根據權利要求1所述的方法，其特征在于，所述用戶設備和密鑰生成器生成所述服務認證密鑰包括：

用戶設備向要訪問的服務器發送服務請求，并在該請求中攜帶生成預備密鑰時一并生成的預備密鑰標識，服務器根據該服務請求，向密鑰生成器發送攜帶所述預備密鑰標識的服務認證密鑰請求；

用戶設備和密鑰生成器根據接收的服務認證密鑰請求中的預備密鑰標識確定本次生成服務認證密鑰所使用的服務認證密鑰層次，并根據當前生命周期內有效的該服務認證密鑰層次的預備密鑰、請求服務的用戶設備信息和要訪問的服務器信息，生成服務認證密鑰。

6、根據權利要求1所述的方法，其特征在于，該方法進一步包括：預先將具有相同安全級別的服務器劃分為一個服務器組，根據每個服務器組的安全級別，設置該服務器組對應的生命周期；

所述利用信任關系生成并保存服務認證密鑰層次中的預備密鑰為：按照不同服務器組對應的生命周期，利用信任關系生成該生命周期內服務認證密鑰層次中的預備密鑰，并與所述不同服務器組對應保存。

7、根據權利要求6所述的方法，其特征在于，所述用戶設備和密鑰生成器生成所述服務認證密鑰包括：

用戶設備向要訪問的服務器發送服務請求，并在該請求中攜帶與要訪問的服務器所在服務器組對應的預備密鑰生成時一并生成的預備密鑰標識，服務器根據該服務請求，向密鑰生成器發送攜帶預備密鑰標識的服務認證密鑰請求；

用戶設備和密鑰生成器根據接收的服務認證密鑰請求中的預備密鑰標識確定本次生成服務認證密鑰所使用的服務認證密鑰層次，并根據當前生命周期內有效的該服務認證密鑰層次的預備密鑰、請求服務的用戶設備信息和要訪問的服務器信息，生成服務認證密鑰。

8、根據權利要求5或7所述的方法，其特征在于，若用戶設備訪問服務器時，由服務器觸發用戶設備和密鑰生成器執行所述生成并保存預備密鑰的操作，則

在所述服務器向密鑰生成器發送服務認證密鑰請求后、用戶設備和密鑰生成器生成服務認證密鑰前，該方法進一步包括：判斷是否存在當前生命周期內有效的預備密鑰，若存在，則獲取該預備密鑰，并執行所述生成服務認證密鑰的操作；否則，觸發用戶設備和密鑰生成器生成并保存當前生命周期內有效的預備密鑰，再執行所述用戶設備和密鑰生成器生成服務認證密鑰的操作。

9、根據權利要求8所述的方法，其特征在于，所述觸發用戶設備和密鑰生成器生成并保存當前生命周期內有效的預備密鑰為：密鑰生成器將不存在當前生命周期內有效預備密鑰的消息直接發送給用戶設備或通過所述服務器轉發給用戶設備，用戶設備發起利用信任關系生成所述預備密鑰的過程。

10、根據權利要求5或7所述的方法，其特征在于，所述預備密鑰為單個密鑰或多層密鑰。

11、根據權利要求10所述的方法，其特征在于，所述多層密鑰為包括根密鑰和中間密鑰的兩層密鑰，所述根密鑰為擴展認證協議EAP認證過程中產生的擴展主會話密鑰EMSK，所述中間密鑰為根據EMSK生成的應用密鑰AK。