[發明專利]統一安全認證的方法和系統

有效

• 申請號: 200910246722.4
• 申請日: 2009-11-26
• 公開（公告）號: CN102083066A
• 公開（公告）日: 2011-06-01
• 發明（設計）人: 顏正清;張世偉;符濤
• 申請（專利權）人: 中興通訊股份有限公司
• 主分類號: H04W12/06
• 分類號: H04W12/06;H04W28/18
• 代理公司: 北京安信方達知識產權代理有限公司 11262
• 代理人: 田紅娟;龍洪

1.一種統一安全認證的方法，其特征在于，該方法包括：

A、認證中心(AC)對應用服務器(ASS)進行認證后建立與所述ASS之間的安全通道；

B、所述AC對終端進行認證后，所述終端訪問所述ASS；

C、需要對所述終端二次認證時，所述ASS向所述AC獲取所述終端的身份信息，并根據所述AC通過所述安全通道返回的所述終端的身份信息進行二次認證。

2.如權利要求1所述的方法，其特征在于，步驟A中所述AC與所述ASS建立安全通道的流程包括：

A1、所述AC向所述ASS發起安全通道協商請求，其中攜帶安全通道類型；

A2、所述ASS向所述AC發送安全通道協商響應，其中攜帶加密認證參數；

A3、所述AC收到所述ASS的響應消息后，向所述ASS返回確認消息。

3.如權利要求1所述的方法，其特征在于：所述身份信息中心(IIC)預置各應用服務器及終端的類型信息，所述AC對所述ASS或終端進行認證后，向所述IIC查詢認證對象的類型，若IIC回復所述認證對象是應用服務器，再建立所述安全通道。

4.如權利要求1所述的方法，其特征在于：所述IIC存儲各ASS的權限級別信息，且各終端的身份信息以分級的方式進行存儲；步驟C中，所述ASS獲取的身份信息是與所述ASS的權限級別相應級別的所述終端的身份信息。

5.如權利要1求所述的方法，其特征在于：所述終端的身份信息包括注冊信息和業務信息，是所述終端在所述ASS注冊或訂購業務后由所述ASS經所述AC發送到所述IIC的。

6.如權利要求1所述的方法，其特征在于：所述方法基于用戶身份標識和位置分離網絡實現，所述ASS及所述終端均具有全網唯一的接入身份標識(AID)，步驟C具體包括：

所述終端向所述ASS申請需要二次認證的業務時，所述ASS向所述AC發送終端身份信息查詢請求，其中攜帶所述ASS的AID及所述終端的AID；

所述AC向所述IIC轉發所述查詢請求，所述IIC根據所述ASS的AID查詢所述ASS的權限級別以及根據所述終端的AID查詢所述終端的身份信息，向所述AC發送查詢響應，其中攜帶所述ASS的權限級別對應的所述終端的相應的身份信息；

所述AC通過所述安全通道將所述查詢響應轉發給所述ASS；

所述ASS根據所述AC返回的所述終端的身份信息進行二次認證。

7.一種統一安全認證的系統，其特征在于，該系統包括通過網絡連接的應用服務器(ASS)、認證中心(AC)及身份信息中心(IIC)，其中：

所述ASS包括相連接的接入認證模塊、安全通道協商模塊及二次認證模塊，其中，所述接入認證模塊用于與所述AC交互完成接入認證；所述安全通道協商模塊用于與所述AC協商建立安全通道；所述二次認證模塊，用于向所述AC請求獲取需二次認證的終端的身份信息，以及根據獲取的所述終端的身份信息進行二次認證；

所述AC包括相連接的認證模塊、安全通道協商模塊及終端身份信息轉發模塊，其中，所述認證模塊用于對所述終端及應用服務器進行認證；所述安全通道協商模塊用于與所述ASS協商建立安全通道；所述終端身份信息轉發模塊，用于根據所述ASS的請求將從所述IIC獲取所述終端的身份信息通過所述安全通道轉發給所述ASS；

所述IIC，用于保存終端的身份信息以及向所述AC提供所述身份信息。

8.如權利要求7所述的系統，其特征在于：所述IIC還用于保存所述ASS及終端的類型信息；所述AC還包括與所述認證模塊和安全通道協商模塊連接的認證對象識別模塊，用于根據接入認證對象的標識信息從所述IIC獲取所述認證對象的類型，當認證對象的類型是ASS時，還用于通知所述安全通道協商模塊發起安全通道協商流程。

9.如權利要求7所述的系統，其特征在于：所述終端的身份信息以分級的方式存儲；所述IIC還保存所述ASS的權限級別信息；所述ASS獲取的所述終端的身份信息是與所述ASS的權限級別相應級別的所述終端的身份信息。

10.如權利要求7所述的系統，其特征在于：所述系統基于用戶身份標識和位置分離網絡實現，所述ASS及所述終端均具有全網唯一的接入身份標識(AID)，所述ASS的二次認證模塊向所述AC請求獲取需二次認證的終端的身份信息時，向所述AC發送終端身份信息查詢請求，其中攜帶所述ASS的AID及所述終端的AID；

所述AC的終端身份信息轉發模塊向所述IIC轉發所述查詢請求，所述IIC向所述AC提供所述身份信息時，先根據所述ASS的AID查詢所述ASS的權限級別以及根據所述終端的AID查詢所述終端的身份信息，再向所述AC發送查詢響應，其中攜帶所述ASS的權限級別對應的所述終端的相應的身份信息。