[go: up one dir, main page]

CN106131841A - 一种接入认证方法、设备及系统 - Google Patents

一种接入认证方法、设备及系统 Download PDF

Info

Publication number
CN106131841A
CN106131841A CN201510251045.0A CN201510251045A CN106131841A CN 106131841 A CN106131841 A CN 106131841A CN 201510251045 A CN201510251045 A CN 201510251045A CN 106131841 A CN106131841 A CN 106131841A
Authority
CN
China
Prior art keywords
public safety
safety
base station
terminal
vectors
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN201510251045.0A
Other languages
English (en)
Inventor
游世林
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
ZTE Corp
Original Assignee
ZTE Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by ZTE Corp filed Critical ZTE Corp
Priority to CN201510251045.0A priority Critical patent/CN106131841A/zh
Priority to PCT/CN2015/094607 priority patent/WO2016184057A1/zh
Publication of CN106131841A publication Critical patent/CN106131841A/zh
Pending legal-status Critical Current

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/08—Access security
    • Y—GENERAL TAGGING OF NEW TECHNOLOGICAL DEVELOPMENTS; GENERAL TAGGING OF CROSS-SECTIONAL TECHNOLOGIES SPANNING OVER SEVERAL SECTIONS OF THE IPC; TECHNICAL SUBJECTS COVERED BY FORMER USPC CROSS-REFERENCE ART COLLECTIONS [XRACs] AND DIGESTS
    • Y04—INFORMATION OR COMMUNICATION TECHNOLOGIES HAVING AN IMPACT ON OTHER TECHNOLOGY AREAS
    • Y04S—SYSTEMS INTEGRATING TECHNOLOGIES RELATED TO POWER NETWORK OPERATION, COMMUNICATION OR INFORMATION TECHNOLOGIES FOR IMPROVING THE ELECTRICAL POWER GENERATION, TRANSMISSION, DISTRIBUTION, MANAGEMENT OR USAGE, i.e. SMART GRIDS
    • Y04S40/00—Systems for electrical power generation, transmission, distribution or end-user application management characterised by the use of communication or information technologies, or communication or information technology specific aspects supporting them
    • Y04S40/20—Information technology specific aspects, e.g. CAD, simulation, modelling, system security

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Mobile Radio Communication Systems (AREA)

Abstract

本发明实施例公开了一种接入认证方法，所述方法包括：当公共安全基站能够与核心网连接时，接收并存储由核心网下发的为公共安全终端分配的安全向量；当所述公共安全基站与核心网断开连接时，所述公共安全基站使用所述安全向量与所述公共安全终端进行相互认证。同时，本发明实施例还公开了一种接入认证设备及系统。

Description

一种接入认证方法、设备及系统
技术领域
本发明涉及通信技术领域，具体涉及一种接入认证方法、设备及系统。
背景技术
图1是演进分组核心网(EPC，Evolved Packet Core)的网络架构示意图，如图1所示，在EPC网络架构中，包含归属用户数据服务器(HSS，HomeSubscriber Server)、移动性管理实体(MME，Mobility Management Entity)、服务网关(S-GW，Serving Gateway)、分组数据网络网关(P-GW，Packet workGateway)、服务通用分组无线业务支持节点(SGSN，Serving GPRS SupportNode)、策略与计费规则功能实体(PCRF，Policy and Charging EnforcementFunction)，其中：
HSS：是用户签约数据的永久存放地点，位于用户签约的归属网；
MME：是用户签约数据在当前网络的存放地点，负责终端到网络的非接入层(NAS，Non-Access Stratum)信令管理、终端空闲模式下的跟踪和寻呼管理功能和承载管理；
S-GW：是核心网到无线系统的网关，负责终端到核心网的用户面承载、终端空闲模式下的数据缓存、网络侧发起业务请求的功能、合法窃听和分组数据路由和转发功能；
P-GW：是EPC和该系统外部网络的网关，负责终端的互联网协议(IP，Internet Protocol)地址分配、计费功能、分组包过滤、策略应用等功能；
SGSN：是GSM/EDGE无线接入网络(GERAN，GPRS EDGE Radio AccessNetwork)和UMTS陆地无线接入网(UTRAN，UMTS Terrestrial Radio AccessNetwork)用户接入EPC网络的业务支持点，功能上与MME类似，负责用户的位置更新、寻呼管理和承载管理等功能；其中，GSM是英文Global System ForMobile的缩写，即全球移动通信系统；EDGE是英文Enhanced Data Rate for GSMEvolution的缩写，即增强型数据速率GSM演进技术；UMTS是英文UniversalMobile Telecommunications System的缩写，即通用移动通信系统；
PCRF：负责向策略与计费执行功能实体(PCEF，Policy and ChargingEnforcement Function)提供策略控制与计费规则。
在某些应急情况下，基站可能与核心网断开连接或者保持有限的连接(即控制面的消息传递可以保证，但是用户面数据的可能无法保证)，此时网络中部分特殊用户，例如国家公共安全相关的人员，需要快速建立一个应急通信的网络，以保证在特殊情况下提供特殊的业务。应急通信的网络，又称为孤立网络，采用的网络架构与现有的架构并无不同，只是基站可能转变为具有公共安全能力的基站，即具有部分EPC的功能，多个逻辑功能实体集成在一个或者几个实体公共安全基站中。
由于公共安全基站进入了公共安全模式，如果公共终端需要接入公共安全基站进行公共安全业务，则公共安全基站和公共安全终端需要相互认证，现有技术采用双国际移动用户识别码(IMSI，International Mobile SubscriberIdentification Number)技术，即一个IMSI接入正常网络，一个IMSI接入公共安全网络，但是，这种双IMSI技术有两个缺陷：第一是需要终端支持双IMSI技术，并且根据不同的网络选择不同的IMSI，第二是需要公共安全基站预先配置用户的安全参数，这种方式具有一定的局限性，配置哪些公共安全用户需要提前知道，这对一些应急的公共安全事件是不利的，用户体验很差；另外，一些能够转化为公共安全基站可能位于边远地区，如果断网后再预配置用户的安全参数在应急场景的时效性和可能性都将大打折扣。
发明内容
有鉴于此，本发明实施例期望提供一种接入认证方法、设备及系统，能快速实现孤立网络的接入鉴权认证，保证应急通信的可行性。
为达到上述目的，本发明实施例的技术方案是这样实现的：
本发明实施例提供了一种接入认证方法，所述方法包括：
当公共安全基站能够与核心网连接时，接收并存储由核心网下发的为公共安全终端分配的安全向量；
当所述公共安全基站与核心网断开连接时，所述公共安全基站使用所述安全向量与所述公共安全终端进行相互认证。
优选地，所述公共安全基站使用所述安全向量与所述公共安全终端进行相互认证，包括：
若所述安全向量为多组时，所述公共安全基站优先选择未被使用的一组安全向量与所述公共安全终端进行相互认证。
优选地，所述方法还包括：
接收到核心网下发的安全向量更新通知时，公共安全基站根据所述安全向量更新通知对所存储的安全向量进行更新。
优选地，接收核心网下发的安全向量更新通知，包括：
在公共安全终端通过公共安全基站重新接入核心网且核心网重新为所述公共安全终端分配安全向量时，接收核心网下发的安全向量更新通知。
本发明实施例还提供了一种接入认证方法，所述方法包括：
确认公共安全终端，并为所述公共安全终端分配安全向量；
将所述安全向量下发至公共安全基站，以使当所述公共安全基站与核心网断开连接时，所述公共安全基站使用所述安全向量与所述公共安全终端进行相互认证。
优选地，所述确认公共安全终端，包括：
根据用户签约信息确认公共安全终端；
或者，根据用户签约信息和终端能力信息确认公共安全终端。
优选地，所述方法还包括：
更新为公共安全终端分配的安全向量时，向公共安全基站下发安全向量更新通知，以使所述公共安全基站对所存储的安全向量进行更新。
优选地，所述更新为公共安全终端分配的安全向量，包括：
当检测到所述公共安全终端通过所述公共安全基站重新接入核心网时，重新为公共安全终端分配安全向量。
本发明实施例还提供了一种接入认证方法，所述方法包括：
公共安全终端通过公共安全基站向核心网请求分配安全向量，以使所述公共安全基站接收并存储所述核心网为所述公共安全终端分配的安全向量；
当公共安全基站与核心网断开连接时，所述公共安全终端通过所述安全向量与公共安全基站进行相互认证。
优选地，所述公共安全终端通过公共安全基站向核心网请求分配安全向量，包括：
公共安全终端向公共安全基站发送业务请求，以使所述公共安全基站将所述业务请求转发至核心网；
其中，在所述业务请求中携带用户签约信息、或者携带用户签约信息和终端能力信息，以使核心网根据所述用户签约信息、或者根据用户签约信息和终端能力信息确认公共安全终端。
本发明实施例还提供了一种基站，所述基站包括：
接收单元，用于接收由核心网下发的为公共安全终端分配的安全向量；
存储单元，用于存储所述安全向量；
第一认证单元，用于当所述基站与核心网断开连接时，使用所述安全向量与所述公共安全终端进行相互认证。
优选地，所述第一认证单元，还用于：
若所述安全向量为多组时，优先选择未被使用的一组安全向量与所述公共安全终端进行相互认证。
优选地，所述接收单元，还用于：
接收核心网下发的安全向量更新通知；
相应的，所述基站还包括：
更新单元，用于根据所述安全向量更新通知对所存储的安全向量进行更新。
优选地，所述接收单元，还用于：
在公共安全终端通过所述基站重新接入核心网且核心网重新为所述公共安全终端分配安全向量时，接收核心网下发的安全向量更新通知。
本发明实施例还提供了一种网络设备，所述网络设备包括：
确认单元，用于确认公共安全终端；
分配单元，用于为所述公共安全终端分配安全向量；
下发单元，用于将所述安全向量下发至公共安全基站，以使当所述公共安全基站与所述核心网断开连接时，所述公共安全基站使用所述安全向量与所述公共安全终端进行相互认证。
优选地，所述确认单元，还用于：
根据用户签约信息确认公共安全终端；
或者，根据用户签约信息和终端能力信息确认公共安全终端。
优选地，所述分配单元，还用于：更新为公共安全终端分配的安全向量；
所述下发单元，还用于向公共安全基站下发安全向量更新通知，以使所述公共安全基站对所存储的安全向量进行更新。
优选地，所述分配单元，还用于：
当检测到所述公共安全终端通过所述公共安全基站重新接入核心网时，重新为公共安全终端分配安全向量。
本发明实施例还提供了一种终端，所述终端包括：
请求单元，用于通过公共安全基站向核心网请求分配安全向量；
第二认证单元，用于当公共安全基站与核心网断开连接时，通过所述安全向量与公共安全基站进行相互认证。
优选地，所述请求单元，还用于：
向公共安全基站发送业务请求，以使公共安全基站将所述业务请求转发至核心网；
其中，在所述业务请求中携带用户签约信息、或者携带用户签约信息和终端能力信息，以使核心网根据所述用户签约信息、或者根据用户签约信息和终端能力信息确认公共安全终端。
本发明实施例还提供了一种接入认证系统，所述系统包括：
公共安全终端，用于通过公共安全基站向网络设备请求分配安全向量；
公共安全基站，用于接收并存储由网络设备下发的为公共安全终端分配的安全向量；当所述基站与核心网断开连接时，使用所述安全向量与所述公共安全终端进行相互认证；
网络设备，用于确认公共安全终端，并为所述公共安全终端分配安全向量；将所述安全向量下发至公共安全基站。
优选地，所述公共安全终端为上文所述的终端；所述公共安全基站为上文所述的基站；所述网络设备为上文所述的网络设备。
本发明实施例提供的接入认证方法、设备及系统，当公共安全基站能够与核心网连接时，接收并存储由核心网下发的为公共安全终端分配的安全向量；当所述公共安全基站与核心网断开连接时，所述公共安全基站使用所述安全向量与所述公共安全终端进行相互认证。如此，能快速实现孤立网络的接入鉴权认证，保证应急通信的可行性，也提升了鉴权的安全性和可靠性。此外，采用本发明所述技术方案，降低了对终端的要求，解决了现有技术中“要实现孤立网络的接入鉴权认证时要求终端支持双IMSI技术，并且根据不同的网络选择不同的IMSI”的问题；而且，避免了由公共安全基站预先配置用户的安全参数的问题。
附图说明
图1是EPC的网络架构示意图；
图2为本发明实施例提供的一种接入认证方法的流程示意图；
图3为本发明实施例提供的另一种接入认证方法的流程示意图；
图4为本发明实施例提供的又一种接入认证方法的流程示意图；
图5为本发明实施例提供的基站的组成结构示意图；
图6为本发明实施例提供的网络设备的组成结构示意图；
图7为本发明实施例提供的终端的组成结构示意图；
图8为本发明实施例提供的接入认证系统的组成结构示意图；
图9是本发明实施例提供的公共安全终端接入公共安全基站进行鉴权认证的流程示意图一；
图10是本发明实施例提供的公共安全终端接入公共安全基站进行鉴权认证的流程示意图二。
具体实施方式
下面结合附图和具体实施例对本发明的技术方案进一步详细阐述。
图2为本发明实施例提供的一种接入认证方法的流程示意图；所述接入认证方法应用于基站侧，如图2所示，该接入认证方法主要包括以下步骤：
步骤201：当公共安全基站能够与核心网连接时，接收由核心网下发的为公共安全终端分配的安全向量。
具体地，每组安全向量至少包括：
随机数、认证令牌、期望响应值、中间密钥。
本实施例中，公共安全基站有两种工作模式，一种是正常模式，一种是公共安全模式；其中，当公共安全基站能够与核心网连接时，公共安全基站启动正常模式；当公共安全基站与核心网断开连接时，公共安全基站启动公共安全模式。
步骤202：当公共安全基站与核心网断开连接时，公共安全基站使用所述安全向量与公共安全终端进行相互认证。
优选地，所述公共安全基站使用所述安全向量与所述公共安全终端进行相互认证，可以包括：
若所述安全向量为多组时，所述公共安全基站优先选择未被使用的一组安全向量与所述公共安全终端进行相互认证。
具体地，所述公共安全基站使用所述安全向量与公共安全终端进行相互认证，可以包括：
公共安全终端向公共安全基站发送公共安全业务请求；
公共安全基站使用所存储的安全向量对所述公共安全终端进行鉴权认证；如果鉴权认证通过，向公共安全终端发送公共安全业务响应消息。
上述方案中，优选地，所述方法还可以包括：
接收到核心网下发的安全向量更新通知时，所述公共安全基站根据所述安全向量更新通知对所存储的安全向量进行更新。
优选地，接收核心网下发的安全向量更新通知，可以包括：
在公共安全终端通过公共安全基站重新接入核心网且核心网重新为所述公共安全终端分配安全向量时，接收核心网下发的安全向量更新通知。
也就是说，在公共安全终端重新接入正常模式下的公共安全基站时，公共安全基站将根据核心网重新为公共安全终端分配的安全向量更新所存储的安全向量。
当然，在公共安全基站处于与核心网连接状态，且核心网已为公共安全终端分配安全向量时，若核心网更新安全向量，核心网仍将向公共安全基站下发安全向量更新通知，以便于公共安全基站根据所述安全向量更新通知及时对所存储的安全向量进行更新。换句话说，在公共安全终端接入正常模式下的公共安全基站期间，公共安全基站随着核心网对安全向量的更新来更新所存储的安全向量。
本发明实施例所提供的接入认证方法，公共安全终端在鉴权认证过程中，被核心网确认为公共安全终端后，核心网向公共安全基站下发公共安全终端安全向量，当公共安全基站转变公共安全模式，公共安全基站使用保存的安全向量与公共安全终端进行相互认证；如此，在公共安全基站与核心网断开连接时，也能快速实现孤立网络的接入鉴权认证，保证了应急通信的可行性，也提升了鉴权的安全性和可靠性。
图3为本发明实施例提供的另一种接入认证方法的流程示意图；所述接入认证方法应用于核心网侧，如图3所示，该接入认证方法主要包括以下步骤：
步骤301：确认公共安全终端，并为所述公共安全终端分配安全向量。
优选地，所述确认公共安全终端，可以包括：
根据用户签约信息确认公共安全终端；
或者，根据用户签约信息和终端能力信息确认公共安全终端。
具体地，每组安全向量至少包括：
随机数、认证令牌、期望响应值、中间密钥。
步骤302：将所述安全向量下发至公共安全基站，以使当所述公共安全基站与核心网断开连接时，所述公共安全基站使用所述安全向量与所述公共安全终端进行相互认证。
上述方案中，优选地，所述方法还包括：
更新为公共安全终端分配的安全向量时，向公共安全基站下发安全向量更新通知，以使所述公共安全基站对所存储的安全向量进行更新。
也就是说，在公共安全终端接入正常模式下的公共安全基站期间，核心网也可以根据实际情况更新安全向量。
优选地，所述更新为公共安全终端分配的安全向量，可以包括：
当检测到所述公共安全终端通过所述公共安全基站重新接入核心网时，重新为公共安全终端分配安全向量。
也就是说，在公共安全终端重新接入正常模式下的公共安全基站时，核心网重新为公共安全终端分配安全向量。
优选地，所述公共安全基站使用所述安全向量与所述公共安全终端进行相互认证，可以包括：
若所述安全向量为多组时，所述公共安全基站优先选择未被使用的一组安全向量与所述公共安全终端进行相互认证。
本发明实施例所提供的接入认证方法，公共安全终端在鉴权认证过程中，被核心网确认为公共安全终端后，核心网向公共安全基站下发公共安全终端安全向量，以便于当公共安全基站转变公共安全模式时，公共安全基站使用保存的安全向量与公共安全终端进行相互认证；如此，在公共安全基站与核心网断开连接时，也能快速实现孤立网络的接入鉴权认证，保证了应急通信的可行性，也提升了鉴权的安全性和可靠性。
图4为本发明实施例提供的又一种接入认证方法的流程示意图；所述接入认证方法应用于终端侧，如图4所示，该接入认证方法主要包括以下步骤：
步骤401：公共安全终端通过公共安全基站向核心网请求为所述公共安全终端分配安全向量，以使所述公共安全基站接收并存储所述核心网为所述公共安全终端分配的安全向量。
优选地，所述公共安全终端通过公共安全基站向核心网请求为所述公共安全终端分配安全向量，可以包括：
公共安全终端向公共安全基站发送业务请求，以使所述公共安全基站将所述业务请求转发至核心网；
其中，在所述业务请求中携带用户签约信息、或者携带用户签约信息和终端能力信息，以使核心网根据所述用户签约信息、或者根据用户签约信息和终端能力信息确认公共安全终端。
步骤402：当公共安全基站与核心网断开连接时，所述公共安全终端通过所述安全向量与公共安全基站进行相互认证。
本发明实施例提供的一种接入认证方法，终端通知核心网用户签约信息，或者通知核心网终端能力信息和用户签约信息，以便于核心网知晓该终端具有公共安全能力，并为其生成对应的安全向量，将对应的安全向量下发给公共安全基站，进而使当公共安全基站转变公共安全模式，公共安全基站使用保存的安全向量与公共安全终端进行相互认证；如此，在公共安全基站与核心网断开连接时，也能快速实现孤立网络的接入鉴权认证，保证了应急通信的可行性，也提升了鉴权的安全性和可靠性。
图5为本发明实施例提供的基站的组成结构示意图，如图5所示，所述基站包括：
接收单元51，用于接收由核心网下发的为公共安全终端分配的安全向量；
存储单元52，用于存储所述安全向量；
第一认证单元53，用于当所述基站与核心网断开连接时，使用所述安全向量与所述公共安全终端进行相互认证。
优选地，所述第一认证单元53，具体用于：
若所述安全向量为多组时，优先选择未被使用的一组安全向量与所述公共安全终端进行相互认证。
优选地，所述接收单元51，还用于：
接收核心网下发的安全向量更新通知；
相应的，所述基站还包括：
更新单元54，用于根据所述安全向量更新通知对所存储的安全向量进行更新。
优选地，所述接收单元51，具体还用于：
在公共安全终端通过所述基站重新接入核心网且核心网重新为所述公共安全终端分配安全向量时，接收核心网下发的安全向量更新通知。
本领域技术人员应当理解，图5所示的基站中的各单元的实现功能可参照前述数据接入认证方法的相关描述而理解。
实际应用中，所述接收单元51、存储单元52、第一认证单元53、更新单元54可由基站中的中央处理器(CPU，Central Processing Unit)、微处理器(MPU，Micro Processor Unit)、数字信号处理器(DSP，Digital Signal Processor)或现场可编程门阵列(FPGA，Field Programmable Gate Array)等实现。
图6为本发明实施例提供的网络设备的组成结构示意图，如图6所示，所述网络设备包括：
确认单元61，用于确认公共安全终端；
分配单元62，用于为所述公共安全终端分配安全向量；
下发单元63，用于将所述安全向量下发至公共安全基站，以使当所述公共安全基站与核心网断开连接时，所述公共安全基站使用所述安全向量与所述公共安全终端进行相互认证。
优选地，所述确认单元61，还用于：
根据用户签约信息确认公共安全终端；
或者，根据用户签约信息和终端能力信息确认公共安全终端。
优选地，所述分配单元62，还用于：更新为公共安全终端分配的安全向量；
所述下发单元63，还用于向公共安全基站下发安全向量更新通知，以使所述公共安全基站对所存储的安全向量进行更新。
优选地，所述分配单元62，还用于：
当检测到所述公共安全终端通过所述公共安全基站重新接入核心网时，重新为公共安全终端分配安全向量。
本领域技术人员应当理解，图6所示的网络设备中的各单元的实现功能可参照前述数据接入认证方法的相关描述而理解。
实际应用中，所述确认单元61、分配单元62、下发单元63可由网络设备中的CPU、MPU、DSP或FPGA等实现。
图7为本发明实施例提供的终端的组成结构示意图，如图7所示，所述终端包括：
请求单元71，用于通过公共安全基站向核心网请求分配安全向量；
第二认证单元72，用于当公共安全基站与核心网断开连接时，通过所述安全向量与公共安全基站进行相互认证。
优选地，所述请求单元71，还用于：
向公共安全基站发送业务请求，以使公共安全基站将所述业务请求转发至核心网；
其中，在所述业务请求中携带用户签约信息、或者携带用户签约信息和终端能力信息，以使核心网根据所述用户签约信息、或者根据用户签约信息和终端能力信息确认公共安全终端。
本领域技术人员应当理解，图7所示的终端中的各单元的实现功能可参照前述数据接入认证方法的相关描述而理解。
实际应用中，所述请求单元71、第二认证单元72可由终端中的中央处理器CPU、MPU、DSP或FPGA等实现。
图8为本发明实施例提供的接入认证系统的组成结构示意图，如图8所示，所述系统包括：
公共安全终端81，用于通过公共安全基站向网络设备83请求分配安全向量；
公共安全基站82，用于接收并存储由网络设备83下发的为公共安全终端81分配的安全向量；当所述公共安全基站82与核心网断开连接时，使用所述安全向量与所述公共安全终端81进行相互认证；
网络设备83，用于确认公共安全终端81，并为所述公共安全终端81分配安全向量；将所述安全向量下发至公共安全基站82。
优选地，所述网络设备83，还用于：
更新为公共安全终端81分配的安全向量，并向公共安全基站82下发安全向量更新通知。
优选地，所述公共安全基站82，还用于接收到安全向量更新通知时，对所存储的安全向量进行更新。
具体地，所述公共安全终端的组成结构示意图可以如图7所示；所述公共安全基站的组成结构示意图可以如图5所示；所述网络设备的组成结构示意图可以如图6所示；在此不再赘述。
图9是本发明实施例提供的公共安全终端接入公共安全基站进行鉴权认证的流程示意图一，如图9所示，该流程主要包括以下步骤：
步骤901：公共安全终端向公共安全基站发送业务请求。
其中，所述业务请求中携带有终端能力信息，所述终端能力信息是用于表征该公共安全终端具有公共安全能力的信息。
这里，所述业务请求也可以是用户接入请求，其中，所述用户接入请求中也携带有终端能力信息。
步骤902：公共安全基站接收到业务请求后，向移动性管理实体转发所述业务请求。
其中，所述业务请求中携带有终端能力信息。
这里，当步骤901中，公共安全终端向公共安全基站发送的是用户接入请求时，公共安全基站接收到所述用户接入请求后，向移动性管理实体转发所述用户接入请求；其中，所述用户接入请求中也携带有终端能力信息。
步骤903：移动性管理实体向归属用户数据服务器发送鉴权认证请求。
其中，所述鉴权认证请求中也携带终端能力信息。
步骤904：归属用户数据服务器根据终端能力信息和用户签约信息确认使用该公共安全终端。
具体地，归属用户数据服务器根据终端能力信息和用户签约信息判断发送业务请求(或用户接入请求)的终端是否为公共安全终端，如果是，生成对应的安全向量。这里，具体如何生成可参照现有技术中生成鉴权向量的方法，在此不再赘述。
由于公共安全基站具有部分EPC的功能，在需要建立应急通信网络的情况下，如果公共终端需要接入公共安全基站进行公共安全业务，则公共安全基站使用所述安全向量和公共安全终端进行相互认证。
步骤905：归属用户数据服务器向移动性管理实体发送鉴权认证请求响应消息。
其中，所述鉴权认证请求响应消息中携带一组或多组安全向量。
这里，每组安全向量至少包含：随机数、认证令牌、期望响应值和中间密钥。
当所述安全向量为多组时，一部分可以标识为用于公共安全模式下的安全向量，其余部分可以标识为用于正常模式下的安全向量，此时，所述多组至少为2组。
步骤906：移动性管理实体根据网络配置确定公共安全基站具有公共安全能力，向公共安全基站发送业务请求响应消息。
这里，所述公共安全基站接收到鉴权认证请求响应消息时，保存所述鉴权认证请求响应消息中所携带的一组或者多组安全向量。
其中，所述业务请求响应消息中携带一组或者多组安全向量，还携带IMSI，所述IMSI用于关联安全向量。
步骤907：公共安全基站向公共安全终端发送业务请求响应消息。
至此，公共安全终端完成了公共安全基站正常模式下的业务请求，归属用户数据服务器在更新安全向量的同时，也会通过移动性管理实体告知公共安全基站更新所保存的安全向量。
这里，当步骤902中公共安全终端向公共安全基站发起的是用户接入请求时，公共安全基站和公共安全终端相互鉴权认证成功后，公共安全基站向公共安全终端发送用户接入请求响应消息。
步骤908：公共安全基站与核心网网络断网。
在应急场景下，比如地震、洪水等自然灾害下，由于公共安全基站与移动性管理实体等核心网之间的网络连接断开，在一段时间内不能恢复核心网。
步骤909：公共安全基站启动应急模式，转变到公共安全模式。
步骤910：公共安全基站向其所覆盖的终端广播相应的公共安全网络。
步骤911：公共安全终端侦测到公共安全网络。
步骤912：公共安全终端向公共安全基站发起公共安全业务请求。
这里，所述公共安全业务请求也可以是附着公共安全网络请求。
步骤913：公共安全基站使用所保存的安全向量和公共安全终端进行相互的鉴权认证。
需要说明的是，如果公共安全基站保存的安全向量是多组的，则公共安全基站轮选其中一组与公共安全终端进行鉴权认证。
例如，当公共安全基站保存有5组安全向量时，假设所述5组安全向量用序列号表示为NO1、NO2、NO3、NO4、NO5，当序列号为NO1的安全向量已被使用时，若再次进行鉴权认证时，将从其他剩余的安全向量中选择安全向量，以免避免因使用相同的安全向量而被盗用或泄密。
步骤914：公共安全基站和公共安全终端相互鉴权认证成功后，公共安全基站向公共安全终端发送公共安全业务请求响应消息。
这里，当步骤912中公共安全终端向公共安全基站发起的是附着公共安全网络请求时，公共安全基站和公共安全终端相互鉴权认证成功后，公共安全基站向公共安全终端发送附着公共安全网络请求响应消息。
步骤915：公共安全基站恢复网络连接，关闭公共安全模式，并转化为正常模式。
具体地，一段时间后，公共安全基站恢复网络连接，将关闭公共安全模式，转化为正常模式，并且向所服务的公共安全终端(这里，当然也包括不具备公共安全能力的终端)广播正常网络标识。
步骤916：公共安全终端向公共安全基站发起去附着公共安全网络请求。
这里，所述去附着公共安全网络也可以由公共安全基站主动发起。
例如，在公共安全终端关机，或者公共安全终端离开公共安全网络一段时间(比如20小时或15天)等情况下，公共安全基站主动发起去附着公共安全网络。
步骤917：公共安全终端通过公共安全基站的正常模式重新附着到核心网络，核心网络向公共安全基站下发新的安全向量，公共安全基站更新所存储的安全向量。
图10是本发明实施例提供的公共安全终端接入公共安全基站进行鉴权认证的流程示意图二，如图10所示，该流程主要包括以下步骤：
步骤1001：公共安全终端向公共安全基站发送业务请求。
其中，所述业务请求中不携带终端能力信息。
这里，所述业务请求也可以是用户接入请求，其中，所述用户接入请求中也不携带终端能力信息。
步骤1002：公共安全基站接收到业务请求后，向移动性管理实体转发所述业务请求。
这里，当步骤1001中公共安全终端向公共安全基站发送的是用户接入请求时，公共安全基站接收到所述用户接入请求后，向移动性管理实体转发所述用户接入请求。
步骤1003：移动性管理实体向归属用户数据服务器发送鉴权认证请求。
步骤1004：归属用户数据服务器根据用户签约信息确认使用该公共安全终端。
具体地，归属用户数据服务器根据用户签约信息判断发送业务请求(或用户接入请求)的终端是否为公共安全终端，如果是，生成对应的安全向量。
步骤1005：归属用户数据服务器向移动性管理实体发送鉴权认证请求响应消息。
其中，所述鉴权认证请求响应消息中携带一组或多组安全向量。
这里，每组安全向量至少包含：随机数、认证令牌、期望响应值和中间密钥。
当所述安全向量为多组时，一部分可以标识为用于公共安全模式下的安全向量，其余部分可以标识为用于正常模式下的安全向量，此时，所述多组至少为2组。
步骤1006：移动性管理实体根据网络配置确定公共安全基站具有公共安全能力，向公共安全基站发送业务请求响应消息。
这里，所述公共安全基站接收到鉴权认证请求响应消息时，保存所述鉴权认证请求响应消息中所携带的一组或者多组安全向量。
其中，所述业务请求响应消息中携带一组或者多组安全向量，还携带IMSI，所述IMSI用于关联安全向量。
步骤1007：公共安全基站向公共安全终端发送业务请求响应消息。
至此，公共安全终端完成了公共安全基站正常模式下的业务请求，归属用户数据服务器在更新安全向量的同时，也会通过移动性管理实体告知公共安全基站更新所保存的安全向量。
这里，当步骤1002中公共安全终端向公共安全基站发起的是用户接入请求时，公共安全基站和公共安全终端相互鉴权认证成功后，公共安全基站向公共安全终端发送用户接入请求响应消息。
步骤1008：公共安全基站与核心网网络断网。
在应急场景下，比如地震、洪水等自然灾害下，由于公共安全基站与移动性管理实体等核心网之间的网络连接断开，在一段时间内不能恢复核心网。
步骤1009：公共安全基站启动应急模式，转变到公共安全模式。
步骤1010：公共安全基站向其所覆盖的终端广播相应的公共安全网络。
步骤1011：公共安全终端侦测到公共安全网络。
步骤1012：公共安全终端向公共安全基站发起公共安全业务请求。
这里，所述公共安全业务请求也可以是附着公共安全网络请求。
步骤1013：公共安全基站使用所保存的安全向量和公共安全终端进行相互的鉴权认证。
需要说明的是，如果公共安全基站保存的安全向量是多组的，则公共安全基站轮选其中一组与公共安全终端进行鉴权认证。
例如，当公共安全基站保存有5组安全向量时，假设所述5组安全向量用序列号表示为NO1、NO2、NO3、NO4、NO5，当序列号为NO1的安全向量已被使用时，若再次进行鉴权认证时，将从其他剩余的安全向量中选择安全向量，以免避免因使用相同的安全向量而被盗用或泄密。
步骤1014：公共安全基站和公共安全终端相互鉴权认证成功后，公共安全基站向公共安全终端发送公共安全业务请求响应消息。
这里，当步骤1012中公共安全终端向公共安全基站发起的是附着公共安全网络请求时，公共安全基站和公共安全终端相互鉴权认证成功后，公共安全基站向公共安全终端发送附着公共安全网络请求响应消息。
步骤1015：公共安全基站恢复网络连接，关闭公共安全模式，并转化为正常模式。
具体地，一段时间后，公共安全基站恢复网络连接，将关闭公共安全模式，转化为正常模式，并且向所服务的公共安全终端(这里，当然也包括不具备公共安全能力的终端)广播正常网络标识。
步骤1016：公共安全终端向公共安全基站发起去附着公共安全网络请求。
这里，所述去附着公共安全网络也可以由公共安全基站主动发起。
例如，在公共安全终端关机，或者公共安全终端离开公共安全网络一段时间(比如5小时或2天)等情况下，公共安全基站主动发起去附着公共安全网络。
步骤1017：公共安全终端通过公共安全基站的正常模式重新附着到核心网络，核心网络向公共安全基站下发新的安全向量，公共安全基站更新所存储的安全向量。
本发明实施例还记载了一种计算机存储介质，所述计算机存储介质中存储有计算机可执行指令，所述计算机可执行指令用于执行前述如图2或图3或图4所示的接入认证方法。
在本申请所提供的几个实施例中，应该理解到，所揭露的设备和方法，可以通过其它的方式实现。以上所描述的设备实施例仅仅是示意性的，例如，所述单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，如：多个单元或组件可以结合，或可以集成到另一个系统，或一些特征可以忽略，或不执行。另外，所显示或讨论的各组成部分相互之间的耦合、或直接耦合、或通信连接可以是通过一些接口，设备或单元的间接耦合或通信连接，可以是电性的、机械的或其它形式的。
上述作为分离部件说明的单元可以是、或也可以不是物理上分开的，作为单元显示的部件可以是、或也可以不是物理单元，即可以位于一个地方，也可以分布到多个网络单元上；可以根据实际的需要选择其中的部分或全部单元来实现本实施例方案的目的。
另外，在本发明各实施例中的各功能单元可以全部集成在一个处理单元中，也可以是各单元分别单独作为一个单元，也可以两个或两个以上单元集成在一个单元中；上述集成的单元既可以采用硬件的形式实现，也可以采用硬件加软件功能单元的形式实现。
本领域普通技术人员可以理解：实现上述方法实施例的全部或部分步骤可以通过程序指令相关的硬件来完成，前述的程序可以存储于一计算机可读取存储介质中，该程序在执行时，执行包括上述方法实施例的步骤；而前述的存储介质包括：移动存储设备、只读存储器(ROM，Read-Only Memory)、磁碟或者光盘等各种可以存储程序代码的介质。
或者，本发明上述集成的单元如果以软件功能单元的形式实现并作为独立的产品销售或使用时，也可以存储在一个计算机可读取存储介质中。基于这样的理解，本发明实施例的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机、服务器、或者网络设备等)执行本发明各个实施例所述方法的全部或部分。而前述的存储介质包括：移动存储设备、ROM、磁碟或者光盘等各种可以存储程序代码的介质。
以上所述，仅为本发明的较佳实施例而已，并非用于限定本发明的保护范围。凡在本发明的精神和原则之内所作的任何修改、等同替换和改进等，均应包含在本发明的保护范围之内。

Claims (22)

1.一种接入认证方法，其特征在于，所述方法包括：
当公共安全基站能够与核心网连接时，接收并存储由核心网下发的为公共安全终端分配的安全向量；
当所述公共安全基站与核心网断开连接时，所述公共安全基站使用所述安全向量与所述公共安全终端进行相互认证。
2.根据权利要求1所述的方法，其特征在于，所述公共安全基站使用所述安全向量与所述公共安全终端进行相互认证，包括：
若所述安全向量为多组时，所述公共安全基站优先选择未被使用的一组安全向量与所述公共安全终端进行相互认证。
3.根据权利要求1所述的方法，其特征在于，所述方法还包括：
接收到核心网下发的安全向量更新通知时，公共安全基站根据所述安全向量更新通知对所存储的安全向量进行更新。
4.根据权利要求3所述的方法，其特征在于，接收核心网下发的安全向量更新通知，包括：
在公共安全终端通过公共安全基站重新接入核心网且核心网重新为所述公共安全终端分配安全向量时，接收核心网下发的安全向量更新通知。
5.一种接入认证方法，其特征在于，所述方法包括：
确认公共安全终端，并为所述公共安全终端分配安全向量；
将所述安全向量下发至公共安全基站，以使当所述公共安全基站与核心网断开连接时，所述公共安全基站使用所述安全向量与所述公共安全终端进行相互认证。
6.根据权利要求5所述的方法，其特征在于，所述确认公共安全终端，包括：
根据用户签约信息确认公共安全终端；
或者，根据用户签约信息和终端能力信息确认公共安全终端。
7.根据权利要求5所述的方法，其特征在于，所述方法还包括：
更新为公共安全终端分配的安全向量时，向公共安全基站下发安全向量更新通知，以使所述公共安全基站对所存储的安全向量进行更新。
8.根据权利要求7所述的方法，其特征在于，所述更新为公共安全终端分配的安全向量，包括：
当检测到所述公共安全终端通过所述公共安全基站重新接入核心网时，重新为公共安全终端分配安全向量。
9.一种接入认证方法，其特征在于，所述方法包括：
公共安全终端通过公共安全基站向核心网请求分配安全向量，以使所述公共安全基站接收并存储所述核心网为所述公共安全终端分配的安全向量；
当公共安全基站与核心网断开连接时，所述公共安全终端通过所述安全向量与公共安全基站进行相互认证。
10.根据权利要求9所述的方法，其特征在于，所述公共安全终端通过公共安全基站向核心网请求分配安全向量，包括：
公共安全终端向公共安全基站发送业务请求，以使所述公共安全基站将所述业务请求转发至核心网；
其中，在所述业务请求中携带用户签约信息、或者携带用户签约信息和终端能力信息，以使核心网根据所述用户签约信息、或者根据用户签约信息和终端能力信息确认公共安全终端。
11.一种基站，其特征在于，所述基站包括：
接收单元，用于接收由核心网下发的为公共安全终端分配的安全向量；
存储单元，用于存储所述安全向量；
第一认证单元，用于当所述基站与核心网断开连接时，使用所述安全向量与所述公共安全终端进行相互认证。
12.根据权利要求11所述的基站，其特征在于，所述第一认证单元，还用于：
若所述安全向量为多组时，优先选择未被使用的一组安全向量与所述公共安全终端进行相互认证。
13.根据权利要求11所述的基站，其特征在于，所述接收单元，还用于：
接收核心网下发的安全向量更新通知；
相应的，所述基站还包括：
更新单元，用于根据所述安全向量更新通知对所存储的安全向量进行更新。
14.根据权利要求13所述的基站，其特征在于，所述接收单元，还用于：
在公共安全终端通过所述基站重新接入核心网且核心网重新为所述公共安全终端分配安全向量时，接收核心网下发的安全向量更新通知。
15.一种网络设备，其特征在于，所述网络设备包括：
确认单元，用于确认公共安全终端；
分配单元，用于为所述公共安全终端分配安全向量；
下发单元，用于将所述安全向量下发至公共安全基站，以使当所述公共安全基站与所述核心网断开连接时，所述公共安全基站使用所述安全向量与所述公共安全终端进行相互认证。
16.根据权利要求15所述的网络设备，其特征在于，所述确认单元，还用于：
根据用户签约信息确认公共安全终端；
或者，根据用户签约信息和终端能力信息确认公共安全终端。
17.根据权利要求15所述的网络设备，其特征在于，所述分配单元，还用于：更新为公共安全终端分配的安全向量；
所述下发单元，还用于向公共安全基站下发安全向量更新通知，以使所述公共安全基站对所存储的安全向量进行更新。
18.根据权利要求17所述的网络设备，其特征在于，所述分配单元，还用于：
当检测到所述公共安全终端通过所述公共安全基站重新接入核心网时，重新为公共安全终端分配安全向量。
19.一种终端，其特征在于，所述终端包括：
请求单元，用于通过公共安全基站向核心网请求分配安全向量；
第二认证单元，用于当公共安全基站与核心网断开连接时，通过所述安全向量与公共安全基站进行相互认证。
20.根据权利要求19所述的终端，其特征在于，所述请求单元，还用于：
向公共安全基站发送业务请求，以使公共安全基站将所述业务请求转发至核心网；
其中，在所述业务请求中携带用户签约信息、或者携带用户签约信息和终端能力信息，以使核心网根据所述用户签约信息、或者根据用户签约信息和终端能力信息确认公共安全终端。
21.一种接入认证系统，其特征在于，所述系统包括：
公共安全终端，用于通过公共安全基站向网络设备请求分配安全向量；
公共安全基站，用于接收并存储由网络设备下发的为公共安全终端分配的安全向量；当所述基站与核心网断开连接时，使用所述安全向量与所述公共安全终端进行相互认证；
网络设备，用于确认公共安全终端，并为所述公共安全终端分配安全向量；将所述安全向量下发至公共安全基站。
22.根据权利要求21所述的系统，其特征在于，所述公共安全终端为权19或20所述的终端；所述公共安全基站为权11至14任一项所述的基站；所述网络设备为权15至18任一项所述的网络设备。
CN201510251045.0A 2015-05-15 2015-05-15 一种接入认证方法、设备及系统 Pending CN106131841A (zh)

Priority Applications (2)

Application Number Priority Date Filing Date Title
CN201510251045.0A CN106131841A (zh) 2015-05-15 2015-05-15 一种接入认证方法、设备及系统
PCT/CN2015/094607 WO2016184057A1 (zh) 2015-05-15 2015-11-13 一种接入认证方法、设备、系统及计算机存储介质

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201510251045.0A CN106131841A (zh) 2015-05-15 2015-05-15 一种接入认证方法、设备及系统

Publications (1)

Publication Number Publication Date
CN106131841A true CN106131841A (zh) 2016-11-16

Family

ID=57319226

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201510251045.0A Pending CN106131841A (zh) 2015-05-15 2015-05-15 一种接入认证方法、设备及系统

Country Status (2)

Country Link
CN (1) CN106131841A (zh)
WO (1) WO2016184057A1 (zh)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN110933612A (zh) * 2019-12-25 2020-03-27 追信数字科技有限公司 一种应急通讯方法及其装置
CN116456451A (zh) * 2022-01-06 2023-07-18 中移(成都)信息通信科技有限公司 数据获取方法、系统、相关网元、边缘节点及存储介质

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN113905379B (zh) * 2021-10-15 2024-05-03 绍兴建元电力集团有限公司 一种5g基站参与终端安全通信认证局部优化的方法

Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1630405A (zh) * 2003-12-18 2005-06-22 中国电子科技集团公司第三十研究所 数字蜂窝移动通信系统用户切换时的双向鉴别方法
CN101374346A (zh) * 2008-07-31 2009-02-25 华为技术有限公司 一种实现终端通信的方法、系统和设备
CN101466107A (zh) * 2008-12-31 2009-06-24 华为技术有限公司 业务提供方法、装置及基站
US20100122321A1 (en) * 2007-03-12 2010-05-13 Nokia Corporation System and method for authentication for wireless emergency services
CN104244297A (zh) * 2013-06-14 2014-12-24 中国普天信息产业股份有限公司 一种基于td-lte的宽带集群故障弱化通信方法和基站
CN104349315A (zh) * 2013-07-31 2015-02-11 普天信息技术研究院有限公司 一种保障基站与用户设备信息安全的方法和系统

Family Cites Families (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102056168A (zh) * 2009-10-28 2011-05-11 中兴通讯股份有限公司 接入方法及装置

Patent Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1630405A (zh) * 2003-12-18 2005-06-22 中国电子科技集团公司第三十研究所 数字蜂窝移动通信系统用户切换时的双向鉴别方法
US20100122321A1 (en) * 2007-03-12 2010-05-13 Nokia Corporation System and method for authentication for wireless emergency services
CN101374346A (zh) * 2008-07-31 2009-02-25 华为技术有限公司 一种实现终端通信的方法、系统和设备
CN101466107A (zh) * 2008-12-31 2009-06-24 华为技术有限公司 业务提供方法、装置及基站
CN104244297A (zh) * 2013-06-14 2014-12-24 中国普天信息产业股份有限公司 一种基于td-lte的宽带集群故障弱化通信方法和基站
CN104349315A (zh) * 2013-07-31 2015-02-11 普天信息技术研究院有限公司 一种保障基站与用户设备信息安全的方法和系统

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN110933612A (zh) * 2019-12-25 2020-03-27 追信数字科技有限公司 一种应急通讯方法及其装置
CN110933612B (zh) * 2019-12-25 2020-12-18 追信数字科技有限公司 一种应急通讯方法及其装置
CN116456451A (zh) * 2022-01-06 2023-07-18 中移(成都)信息通信科技有限公司 数据获取方法、系统、相关网元、边缘节点及存储介质

Also Published As

Publication number Publication date
WO2016184057A1 (zh) 2016-11-24

Similar Documents

Publication Publication Date Title
US20210105664A1 (en) Communication system, communication control apparatus, node apparatus, and communication method
EP3257294B1 (en) Long term evolution (lte) communications over trusted hardware
KR101489418B1 (ko) 혼잡/과부하 제어 방법 및 장치
US20080117870A1 (en) Setting a communication channel
US20130021970A1 (en) Group based mobility optimization method and device in machine-type communication
JP6164219B2 (ja) 移動通信システム、制御装置、通信制御方法、及びプログラム
CN101931946B (zh) 演进的分组系统中的终端的多接入方法及系统
CN105491617A (zh) 一种支持业务本地分流的方法及基站子系统
CN102118721A (zh) 演进的分组系统及其紧急呼叫的附着处理方法
EP2787768B1 (en) Access method and system
CN105744519B (zh) 一种侦听方法、核心网设备和基站
US20060116122A1 (en) Mobile terminal identity protection through home location register modification
CN101018395A (zh) 恢复用户设备占用的ip地址与网络资源的方法
CN106131841A (zh) 一种接入认证方法、设备及系统
CN101754488B (zh) 一种逻辑控制类通信设备及通信方法
CN110460961A (zh) 一种群组终端位置的上报方法和系统
CN106686666A (zh) 一种网关信息更新的方法及装置
CN107925662B (zh) 用于邻近服务的合法监听的方法和装置
EP2717546B1 (en) Method and device for acquiring destination ip address
CN102821385A (zh) 一种向终端发送公共警报系统密钥信息的方法和网络实体
EP3148256B1 (en) User management method, corresponding device and system of shared network
CN102014434A (zh) 一种服务网关的负载重分配方法及系统
CN101159625B (zh) WiMAX网络实现警用监听的系统及方法
CN102833743A (zh) 公共警报系统密钥更新信息的发送、更新方法和相应设备
CN102905366A (zh) 一种用户网络能力在gtpc消息中使用的方法和装置

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
WD01 Invention patent application deemed withdrawn after publication
WD01 Invention patent application deemed withdrawn after publication

Application publication date: 20161116