[發(fā)明專利]一種實現(xiàn)二次認證功能的網(wǎng)絡側(cè)AAA設計方法及系統(tǒng)

有效

• 申請?zhí)枺?/td>: 202010510083.4
• 申請日: 2020-06-08
• 公開（公告）號: CN111818014B
• 公開（公告）日: 2023-05-09
• 發(fā)明（設計）人: 許建明;張力;嚴大媛;戴英杰;楊洋;方丹;郝記生
• 申請（專利權(quán)）人: 中國電子科技集團公司第三十研究所;中移（成都）信息通信科技有限公司;楚天龍股份有限公司
• 主分類號: H04L9/40
• 分類號: H04L9/40
• 代理公司: 成都九鼎天元知識產(chǎn)權(quán)代理有限公司 51214
• 代理人: 管高峰

1.一種實現(xiàn)二次認證功能的網(wǎng)絡側(cè)AAA設計方法，其特征在于，包括：

將標準AAA分為定制AAA和二次認證增強設備兩個部分，所述定制AAA負責計費與通信，所述二次認證增強設備負責終端接入數(shù)據(jù)業(yè)務網(wǎng)絡的鑒權(quán)與授權(quán)，所述定制AAA與所述二次認證增強設備之間定義通信接口；

當所述定制AAA接收到來自終端的EAP數(shù)據(jù)包后，將消息直接轉(zhuǎn)發(fā)給所述二次認證增強設備，由所述二次認證增強設備進行后續(xù)處理并返回結(jié)果給所述定制AAA，再由所述定制AAA通過會話管理功能SMF將EAP數(shù)據(jù)包發(fā)送給終端；

所述定制AAA能夠?qū)佣鄠€所述二次認證增強設備，對于具有不同安全防護等級的終端，所述定制AAA根據(jù)終端標識將認證信息轉(zhuǎn)發(fā)給對應的所述二次認證增強設備，以滿足不同用戶的安全需求；

所述定制AAA中存儲了所有終端設備的安全防護等級信息以及所有所述二次認證增強設備的安全防護等級，用于在接收到來自終端的EAP數(shù)據(jù)包時選擇相應的二次認證增強設備；

對于具有不同安全防護等級的終端的處理流程包括以下步驟：

S31.所述定制AAA從SMF接收到來自終端的EAP數(shù)據(jù)包；

S32.所述定制AAA根據(jù)終端標識索引查詢終端安全防護等級信息表獲取終端安全防護等級k；

S33.所述定制AAA查詢二次認證增強設備信息表獲取安全防護等級為k的二次認證增強設備x；

S34.所述定制AAA通知所述二次認證增強設備x進行處理；

S35.所述定制AAA將處理結(jié)果返回給SMF。

2.根據(jù)權(quán)利要求1所述的一種實現(xiàn)二次認證功能的網(wǎng)絡側(cè)AAA設計方法，其特征在于，所述定制AAA對所述二次認證增強設備的訪問引入了雙向認證機制，所述雙向認證機制包括以下步驟：

S11.所述定制AAA向所述二次認證增強設備發(fā)起接入請求；

S12.所述二次認證增強設備接收到來自所述定制AAA的接入請求之后，計算認證挑戰(zhàn)信息，然后發(fā)送給所述定制AAA；

S13.所述定制AAA接收到來自所述二次認證增強設備的認證挑戰(zhàn)信息后，對所述二次認證增強設備進行認證，并計算應答信息返回給所述二次認證增強設備；

S14.所述二次認證增強設備接收到來自所述定制AAA的應答后，對所述定制AAA進行認證，并返回認證結(jié)果。

3.根據(jù)權(quán)利要求2所述的一種實現(xiàn)二次認證功能的網(wǎng)絡側(cè)AAA設計方法，其特征在于，所述定制AAA和所述二次認證增強設備對來自終端的EAP數(shù)據(jù)包的處理過程如下所述：

S21.所述定制AAA從SMF接收到來自終端的EAP數(shù)據(jù)包；

S22.所述定制AAA根據(jù)終端標識索引查詢其安全防護等級并選擇相應的二次認證增強設備；

S23.所述定制AAA通知所述二次認證增強設備進行處理；

S24.所述二次認證增強設備將處理結(jié)果返回給所述定制AAA；

S25.所述定制AAA將處理結(jié)果返回給SMF。

4.根據(jù)權(quán)利要求3所述的一種實現(xiàn)二次認證功能的網(wǎng)絡側(cè)AAA設計方法，其特征在于，當所述定制AAA通知所述二次認證增強設備處理來自終端的EAP數(shù)據(jù)包時，需要發(fā)送的信息包括EAP報文中的編碼、標識、長度和數(shù)據(jù)；當所述二次認證增強設備將結(jié)果返回給所述定制AAA時，需要發(fā)送的信息包括能夠用于組成EAP報文的編碼、標識、長度和數(shù)據(jù)。

5.根據(jù)權(quán)利要求1所述的一種實現(xiàn)二次認證功能的網(wǎng)絡側(cè)AAA設計方法，其特征在于，所述定制AAA能夠直接或通過用戶面功能UPF連接到SMF，且與SMF之間的通信接口跟標準AAA與SMF之間的接口保持一致。

6.根據(jù)權(quán)利要求1～5任一項所述的一種實現(xiàn)二次認證功能的網(wǎng)絡側(cè)AAA設計方法的系統(tǒng)，其特征在于，包括定制AAA和至少一個二次認證增強設備，所述定制AAA在二次認證過程中負責通信功能，為所述二次認證增強設備提供通信通道，在SMF和所述二次認證增強設備之間轉(zhuǎn)發(fā)EAP數(shù)據(jù)包；所述二次認證增強設備負責終端接入數(shù)據(jù)業(yè)務網(wǎng)絡的鑒權(quán)與授權(quán)，所述定制AAA與所述二次認證增強設備之間定義通信接口。