[go: up one dir, main page]
More Web Proxy on the site http://driver.im/

WO2010094244A1 - 一种进行接入认证的方法、装置及系统 - Google Patents

一种进行接入认证的方法、装置及系统 Download PDF

Info

Publication number
WO2010094244A1
WO2010094244A1 PCT/CN2010/070711 CN2010070711W WO2010094244A1 WO 2010094244 A1 WO2010094244 A1 WO 2010094244A1 CN 2010070711 W CN2010070711 W CN 2010070711W WO 2010094244 A1 WO2010094244 A1 WO 2010094244A1
Authority
WO
WIPO (PCT)
Prior art keywords
access
terminal device
access authentication
authentication mode
network
Prior art date
Application number
PCT/CN2010/070711
Other languages
English (en)
French (fr)
Inventor
许怡娴
毕晓宇
陈璟
赵洁
Original Assignee
华为技术有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 华为技术有限公司 filed Critical 华为技术有限公司
Priority to EP10743425A priority Critical patent/EP2400791A4/en
Publication of WO2010094244A1 publication Critical patent/WO2010094244A1/zh

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/16—Implementing security features at a particular protocol layer
    • H04L63/162—Implementing security features at a particular protocol layer at the data link layer
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H04W12/069—Authentication using certificates or pre-shared keys
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W84/00—Network topologies
    • H04W84/02—Hierarchically pre-organised networks, e.g. paging networks, cellular networks, WLAN [Wireless Local Area Network] or WLL [Wireless Local Loop]
    • H04W84/04—Large scale networks; Deep hierarchical networks
    • H04W84/042—Public Land Mobile systems, e.g. cellular systems
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W84/00—Network topologies
    • H04W84/02—Hierarchically pre-organised networks, e.g. paging networks, cellular networks, WLAN [Wireless Local Area Network] or WLL [Wireless Local Loop]
    • H04W84/10—Small scale networks; Flat hierarchical networks
    • H04W84/12—WLAN [Wireless Local Area Networks]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W88/00—Devices specially adapted for wireless communication networks, e.g. terminals, base stations or access point devices
    • H04W88/02—Terminal devices
    • H04W88/06—Terminal devices adapted for operation in multiple networks or having at least two operational modes, e.g. multi-mode terminals

Definitions

  • Non-3GPP access networks are classified into two categories in the 3GPP specifications: One is Trusted non-3GPP IP access (trusted non-3GPP access network), such as CDMA 2000 (Code Division Multiple Access).
  • the Trusted non-3 GPP IP access can access the PLMN (Public Land Mobile-communication Network) through the S2a or S2c interface.
  • the Untrusted non-3 GPP IP access can access the PLMN through the S2b or S2c interface.
  • the UE accesses the EPS (Evolved Packet System) through Trusted non-3 GPP IP access. It is based on EAP-AKA (Extensible Authentication Protocol-Authentication and Key Agreement). And the authentication and key agreement) or the Extensible Authentication Protocol (Authentication and Key Agreement) protocol, and 3 GPP AAA (Authentication Authorisation Accounting) as the EAP-AKA server.
  • EAP-AKA Extensible Authentication Protocol-Authentication and Key Agreement
  • 3 GPP AAA Authentication Authorisation Accounting
  • the authentication method is based on the IKEv2+EAP-AKA protocol; the untrusted non-3GPP IP access authentication method through S2b is the IKEv2+EAP-AKA protocol.
  • EAP-AKA EAP-AKA
  • a DSL (Digital Subscriber Line)-based access network cannot implement the Trusted non-3GPP IP access authentication process because it does not support EAP (Extensible Authentication Protocol).
  • the access network may be regarded as Untrusted non-3GPP IP access by the operator network, and then look for an ePDG (envolved Packet Data Gateway) to try to access the network through the ePDG. But for the current network, not all networks can support the construction of ePDG.
  • the embodiments of the present invention provide a method, an apparatus, and a system for performing access authentication, so that a UE can learn which access authentication mode to use in accessing an EPS system through a non-3GPP access network.
  • the technical problem to be solved by the embodiments of the present invention is to provide a method, device and system for informing the UE of the access authentication method for accessing the EPS system through the non-3GPP access network.
  • the embodiment of the present invention provides a method for performing access authentication, including: the terminal device to be accessed by the EPS system learns the access authentication mode that can be used, and completes the access authentication by using the access authentication mode; Corresponding to the non-3GPP access network type in which the terminal device is currently located, where the non-3GPP access network type includes: a trusted access network, an untrusted access network, and a specific access network.
  • the embodiment of the present invention further provides a method for performing access authentication, including: an access control entity notifying an access authentication mode that can be accessed by a terminal device of an evolved packet domain system, so that the terminal device passes the access
  • the authentication mode completes the access authentication; the access authentication mode and the terminal are set.
  • the non-third-generation cooperation plan access network type currently corresponding to the backup wherein the non-third-generation cooperation plan access network types include: a trusted access network, an untrusted access network, and a specific access network. .
  • the embodiment of the present invention further provides a system for performing access authentication, including: an access control entity, configured to communicate with a terminal device to be accessed by the EPS system, and notify the terminal device of an access authentication mode, The terminal device performs the access authentication by using the access authentication mode.
  • the access authentication mode corresponds to the non-3GPP access network type in which the terminal device is currently located, where the non-3GPP access network type includes: Network access, untrusted access networks, and specific access networks.
  • the embodiment of the present invention further provides an access control entity, which is configured to notify the terminal device to be accessed by the EPS system of the available access authentication mode.
  • the access control entity includes a selection unit and a transmission unit.
  • the selecting unit is configured to select an available access authentication mode according to a non-3GPP access network type in which the terminal device of the EPS system to be accessed is currently located, where the access authentication mode corresponds to a non-3GPP access network type, where
  • the 3GPP access network type includes: a trusted access network, an untrusted access network, and a specific access network;
  • the sending unit is configured to send a message to the terminal device, where the message includes:
  • the access authentication method informs the terminal device of the message.
  • the embodiment of the invention further provides a terminal device, which comprises an obtaining unit and an executing unit.
  • the obtaining unit is configured to obtain a message of an access authentication mode that can be accessed by the EPS system, where the access authentication mode corresponds to a non-3GPP access network type in which the terminal device is currently located, where the non-3GPP access network type
  • the method includes: a trusted access network, an untrusted access network, and a specific access network; the execution unit is configured to perform access authentication according to the access authentication mode acquired by the acquiring unit.
  • FIG. 1 is a schematic flowchart diagram of a first embodiment of a method for performing access authentication according to the present invention
  • FIG. 1B is a schematic flowchart of a second embodiment of a method for performing access authentication according to the present invention
  • FIG. 1B is a schematic flowchart of a second embodiment of a method for performing access authentication according to the present invention
  • FIG. 2 is a schematic flowchart of a third embodiment of a method for performing access authentication according to the present invention
  • FIG. 3 is a schematic flowchart of a fifth embodiment of a method for performing access authentication according to the present invention
  • FIG. 4 is a schematic flowchart of a sixth embodiment of a method for performing access authentication according to the present invention
  • 5 is a schematic flowchart of a seventh embodiment of a method for performing access authentication according to the present invention
  • FIG. 6 is a schematic flowchart of a method for performing access authentication according to an eighth embodiment of the present invention
  • FIG. 8 is a schematic structural diagram of an embodiment of the access control entity shown in FIG. 7;
  • FIG. 9a is a schematic structural diagram of an embodiment of the terminal device in FIG. 7;
  • FIG. 9b is a schematic structural diagram of another embodiment of the terminal device in FIG. 7.
  • 1 is a schematic flowchart of a first embodiment of a method for performing access authentication according to the present invention. As shown in Figure la, the method for performing access authentication in this embodiment includes:
  • Step S101 The terminal device to be accessed by the EPS system learns the access authentication mode that can be used to complete the access authentication by using the access authentication mode; the access authentication mode and the non-3GPP access network type where the terminal device is currently located.
  • the non-3GPP access network types include: a trusted access network, an untrusted access network, and a specific access network.
  • the access authentication mode that can be used by the terminal device to access the EPS can be uniformly notified by a network entity, or the network identity of the non-3GPP access network can be used to actively determine the access authentication mode that can be adopted by the access network.
  • the terminal device can use the learned access authentication mode to perform access authentication, and the steps are disordered.
  • the method for performing access authentication in this embodiment improves the success rate of the user terminal device accessing the network by selecting an available access authentication mode corresponding to different non-3GPP access network types, and simultaneously solves the user terminal device.
  • the network does not support EAP does not support the problem of access authentication when ePDG is built.
  • FIG. 1b is a schematic flowchart diagram of a second embodiment of a method for performing access authentication according to the present invention. As shown in FIG. 1b, the method for performing access authentication includes:
  • Step S101 ′ The access control entity notifies the access authentication mode that can be accessed by the terminal device to be accessed by the EPS system, and the access authentication mode corresponds to the non-3GPP access network type, where the non-3GPP access network type includes: Trusted access networks, untrusted access networks, and specific access networks.
  • the access control entity After the access control entity discovers the terminal device to be accessed, it may actively notify the terminal device of the access authentication mode by using a broadcast message or other underlying message, that is, the message may be transmitted at the network layer or the data link layer. . More specifically, the access control entity may notify the terminal device of the access authentication mode that can be adopted by the parameter carried in the message.
  • the terminal device can perform access authentication by using the notified access authentication mode, and the step is
  • the method for accessing the EPS system in this embodiment can be used to construct a new network entity, and the network entity uniformly informs the UE, that is, the terminal device, which authentication method is required to access the EPS system through the non-3GGP access network. Or which access network gateway is used for authentication, thereby improving the access efficiency of the terminal device, and avoiding the UE not being able to perform access authentication with the EPS system when the access network does not support EAP or the ePDG is constructed.
  • the network entity uniformly informs the UE, that is, the terminal device, which authentication method is required to access the EPS system through the non-3GGP access network. Or which access network gateway is used for authentication, thereby improving the access efficiency of the terminal device, and avoiding the UE not being able to perform access authentication with the EPS system when the access network does not support EAP or the ePDG is constructed.
  • the access control entity may also be an access network gateway, such as an ASN Gateway (Access Service Network Gateway) in a WiMAX network; or another server capable of giving UE information, such as a DHCP server (Dynamic Host Configure Protocol) Server, Dynamic Host Configuration Protocol Server, etc.
  • ASN Gateway Access Service Network Gateway
  • DHCP server Dynamic Host Configure Protocol Server
  • Figure lc is a schematic flowchart of a third embodiment of a method for performing access authentication according to the present invention. As shown in FIG. 1c, the method for performing access authentication includes:
  • Step 101 The access control entity receives a message requesting access authentication mode from the terminal device to be accessed by the EPS system.
  • the message may be transmitted at the network layer or the data link layer.
  • Step 102" The access control entity notifies the access authentication mode that can be used by the terminal device to be accessed by the EPS system, where the access authentication mode corresponds to the non-3GPP access network type, where The 3GPP access network types include trusted access networks, untrusted access networks, and specific access networks.
  • the access control entity may notify the terminal device of the access authentication mode that can be adopted by the parameter carried in the response message.
  • the terminal device can perform access authentication by using the notified access authentication mode, step 103".
  • a new network entity may be constructed, and the network entity is uniformly informed by the network entity, that is, the terminal device, which one of the non-3GGP access networks needs to access the EPS system.
  • the authentication mode or which access gateway is used for authentication, thereby improving the access efficiency of the terminal device, and avoiding the UE not being able to access the EPS system when the access network does not support EAP or the ePDG construction is not supported.
  • the status of certification is not be certified.
  • FIG. 2 is a schematic flowchart diagram of a fourth embodiment of a method for performing access authentication according to the present invention.
  • the access control entity is a network entity in the non-3GPP access network as an example, and the method for performing access authentication according to the present invention is described.
  • Step 201 The UE obtains a temporary IP address from the non-3GPP access network.
  • Step 202 The UE searches for an access control entity in the non-3GPP access network.
  • the access network may be a CDMA2000, a WiMAX, a WLAN network, or the like.
  • the entity in the non-3GPP access network may include: an access network gateway, such as an ASN Gateway (Access Service Network Gateway) in a WiMAX network.
  • an access network gateway such as an ASN Gateway (Access Service Network Gateway) in a WiMAX network.
  • other servers that can give information to the UE such as a DHCP server (Dynamic Host Configure Protocol Server).
  • DHCP server Dynamic Host Configure Protocol Server
  • Step 203 The UE establishes a security association with the access control entity by using the foregoing assigned temporary IP address. Establishing a security association can be accomplished through IKE-SAJNIT messages to complete key negotiation and nonce value exchange.
  • the IKE-SAJNIT message includes two messages: One is an IKE SA INIT Request message sent by the initiator.
  • HDR, SAil, Kei, and Ni parameters can be included in the IKE-SAJNIT Request message.
  • HDR includes security parameter index SPIs, version number and some flags;
  • SAil includes the encryption algorithm supported by the initiator to establish IKE SA;
  • KE is initiated The Diffie-Hellman value of the square; N is a random number load.
  • the other message in the IKE-SAJNIT message is the IKE-SAJNIT_Response message initiated by the responder, which contains the HDR, SArl, Ker, Nr, [CERTREQ] parameters.
  • the SArl includes an algorithm for responder selection, [CERTREQ] is a certificate request, and other parameters correspond to parameters in the IKE-SA-INIT Request message.
  • the initiator and the responder negotiate the required encryption algorithm and authentication algorithm.
  • the DH (Diffie-Hellman) exchange is completed, and the two parties can calculate the shared key. This key is used to protect the following data and the key needed to generate the IPsec SA.
  • the initiator is a UE
  • the responder is an access control entity in a non-3GPP access network.
  • Step 204 The UE sends a message requesting access authentication mode to the access control entity.
  • the UE sends an IKE-AUTH Request message to the Non-3GPP IP Access, which may include parameters: HDR, SK ⁇ IDi, IDr, AUTH, SAi2, TSi, TSr ⁇ , and the like.
  • HDR contains SPIs, version number and some flags.
  • SK indicates that the text is protected.
  • the AUTH (Authentication) parameter is set to null here to indicate that the access control entity is requested to access the authentication mode.
  • SAi2 carries a list of cryptographic algorithms for IPsec SA.
  • TS represents the data stream protected by the IPsec SA.
  • Step 205 The access control entity sends an IKE-AUTH Response message to the UE according to the temporary IP address obtained by the UE, to notify the UE of the access authentication mode that can be used.
  • the access control entity may inform the UE of the access authentication mode that can be adopted by using the N[x] parameter included in the message.
  • the IKE-AUTH Response message may be without the N[x] parameter, and only if an error occurs.
  • the parameter is used to inform the parameter to inform the UE which authentication mode to use.
  • N is also Notify Payload. This parameter is usually used to carry information to inform the data, such as: error conditions or status information of the data.
  • X indicates some optional parameter type values, and some Notify type values have been fixed for use in the case of occurrence of an error type, so some remaining type values can be used as the notification message type of the present invention.
  • the IKE-AUTH Response message may further include parameters HDR, SK ⁇ IDi, IDr, AUTH, SAr2, TSi, TSr, [CERT] ⁇ , and the like.
  • HDR contains SPIs, version number and some flags.
  • SK indicates that the message is protected.
  • AUTH is used to prove that the ID-related secret is known, while protecting the integrity of the previous and current packets.
  • SAi2 carries a list of cryptographic algorithms for IPsec SA.
  • TS represents the data stream protected by the IPsec SA.
  • Step 206 The UE performs access authentication with the access gateway by using the notified authentication mode.
  • the access gateway may be a gateway of the access network or a gateway of the core network.
  • the message is carried by the IKE (Internet Key Exchange, Internet Key Exchange Protocol), so that the bearer message can be integrity protected by means of an IKE+ certificate.
  • Messages can also be carried in other ways, such as by using Diameter (diameter protocol), HTTP (Hyper Text Transfer Protocol), and the like.
  • the access control entity notifies the UE of the authentication mode determined by the network side through the N[x] payload in the IKE-AUTH Response message.
  • X takes different values, and the authentication method represented by N[x] is also different.
  • it can respectively represent the trusted access authentication mode of the non-3GPP access network, such as EAP. - AKA or ⁇ - ⁇ '; an access authentication method for an untrusted non-3GPP access network, such as IKEv2+EAP-AKA; or an access authentication method for a specific non-3GPP access network. In this way, a method for uniformly notifying the UE of which access authentication mode is adopted by the access control entity in the non-3GPP access network is realized.
  • FIG. 3 is a schematic flowchart diagram of a fifth embodiment of a method for performing access authentication according to the present invention.
  • the application scenario of this embodiment is that the UE is not pre-configured to perform authentication according to the access authentication mode of the trusted non-3GPP access network, and is not pre-configured to perform access authentication according to the untrusted non-3GPP access network. Way to authenticate.
  • the access control entity is a Preservation PDN GW (Preservation Packet Data Network Gateway), and the method for performing access authentication according to the present invention is described.
  • the method for performing access authentication in this embodiment includes:
  • Step 301 The UE obtains a temporary IP address from the non-3GPP access network.
  • Step 302 The UE discovers and selects the Preservation PDN GW 0.
  • the Preservation PDN GW is a network-added entity provided in the embodiment of the present invention, and has the function of protecting the PDN GW, and can provide an access authentication mode for the UE.
  • Step 303 The UE establishes a security association with the Preservation PDN GW by using the foregoing assigned temporary IP address. Establishing a security association can be accomplished through IKE-SA-INIT messages to complete key negotiation and nonce value exchange.
  • the IKE-SAJNIT message includes two messages: One is an IKE SA INIT Request message sent by the initiator.
  • HDR, SAil, Kei, and Ni parameters can be included in the IKE-SAJNIT Request message.
  • the HDR includes the security parameter index SPIs, the version number and some flags;
  • the SAil includes the encryption algorithm supported by the initiator to establish the IKE SA;
  • the KE is the Diffie-Hellman value of the initiator; N is the random number payload.
  • the other message in the IKE-SAJNIT message is the IKE-SAJNIT_Response message initiated by the responder, which contains the HDR, SArl, Ker, Nr, [CERTREQ] parameters.
  • the SArl includes an algorithm for responder selection, [CERTREQ] is a certificate request, and other parameters correspond to parameters in the IKE-SA-INIT Request message.
  • the initiator and the responder negotiate the required encryption algorithm and authentication algorithm.
  • the DH (Diffie-Hellman) exchange is completed, and the two parties can calculate the shared key. This key is used to protect the following data and the key needed to generate the IPsec SA.
  • the initiator is the UE
  • the responder is the Preservation PDN GW.
  • Step 304 The UE sends a message requesting access authentication mode to the Preservation PDN GW.
  • the UE sends an IKE-AUTH Request message to the Non-3GPP IP Access, and the message may include parameters: HDR, SK ⁇ IDi, IDr, AUTH, SAi2, TSi, TSr ⁇ , and the like.
  • HDR contains SPIs, version number and some flags.
  • SK indicates that the message is protected.
  • the AUTH parameter is set to null here to indicate that the access control entity is requested to access the authentication mode.
  • SAi2 carries a list of cryptographic algorithms for IPsec SA.
  • TS represents the data stream protected by the IPsec SA.
  • Step 305 The Preservation PDN GW sends an IKE-AUTH Response message to the temporary IP address of the UE to inform the UE of the access authentication mode that can be used.
  • the access control entity may inform the UE of the access authentication mode that can be adopted by using the N[x] parameter included in the message.
  • Step 306 The UE performs access authentication by using the notified access authentication mode.
  • the message is an IKE bearer, so that the bearer message can be integrity protected by using an IKE+ certificate.
  • the message may also be carried in other manners, such as by using Diameter, HTTP, or the like.
  • the Preservation PDN GW in this embodiment is a protection entity with the PDN GW and can be regarded as a security gateway for the core network to communicate with the non-3 GPP access network.
  • the entity may reserve other functions for use by the network.
  • the access control entity notifies the UE of the authentication mode determined by the network side through the N[x] payload in the IKE-AUTH Response message.
  • X takes different values, and the authentication method represented by N[x] is also different. When it does not conflict with the existing X usage value, it can respectively represent the trusted access authentication mode of the non-3GPP access network, such as EAP. - AKA or ⁇ - ⁇ '; an access authentication method for an untrusted non-3GPP access network, such as IKEv2+EAP-AKA; or an access authentication method for a specific non-3GPP access network. In this way, a method for uniformly informing the UE through the Preservation PDN GW to which access authentication method is used to access the EPS system is implemented.
  • FIG. 4 is a schematic flowchart diagram of a sixth embodiment of a method for performing access authentication according to the present invention.
  • the application scenario of this embodiment is that the UE is pre-configured to perform authentication according to the access authentication mode of the trusted non-3GPP access network.
  • the access control entity is a Preservation PDN GW as an example, and the method for performing access authentication according to the present invention is described.
  • the method for performing access authentication in this embodiment includes:
  • Step 401 The UE obtains a temporary IP address from the non-3GPP access network.
  • Step 402 The UE performs EAP authentication with the non-3GPP access network. If the authentication fails, the process proceeds to step 403.
  • Step 403 The UE performs an ePDG search and discovery, that is, accesses the non-3GPP access network as an untrusted access network. If the ePDG is found, the access authentication is performed in the corresponding access authentication mode of the untrusted access network. If the non-3GPP access network does not have the ePDG construction, and the ePDG finds a failure, the process proceeds to step 404.
  • Step 404 The UE discovers and selects a Preservation PDN GW.
  • the Preservation PDN GW is a network-added entity provided in the embodiment of the present invention, and has the function of protecting the PDN GW, and can provide an access authentication mode for the UE.
  • Step 405 The UE establishes a security association with the Preservation PDN GW by using the foregoing assigned temporary IP address. Establishing a security association can be accomplished through IKE-SA-INIT messages to complete key negotiation and nonce value exchange.
  • Step 406 The UE sends an IKE AUTH Request message requesting access authentication mode to the Preservation PDN GW.
  • the message can contain parameters: HDR, SK ⁇ IDi, IDr, AUTH, SAi2, TSi, TSr ⁇ , etc.
  • HDR contains SPIs, version number and some flags.
  • SK indicates that the message is protected.
  • the AUTH parameter is set to null here to indicate that the access control entity is requested to access the authentication mode.
  • SAi2 carries a list of cryptographic algorithms for IPsec SA.
  • TS represents the data stream protected by the IPsec SA.
  • Step 407 The Preservation PDN GW sends an IKE-AUTH Response message to the temporary IP address of the UE, and informs the UE of the access authentication mode that can be used.
  • the access control entity may inform the UE of the access authentication mode that can be adopted by using the N[x] parameter included in the message.
  • Step 408 The UE performs access authentication by using the notified access authentication mode.
  • Steps 404 to 408 in this embodiment are the same as steps 301 to 305 of the third embodiment, and will not be described in detail herein.
  • the access control entity notifies the UE of the authentication mode determined by the network side through the N[x] payload in the IKE-AUTH Response message.
  • X takes different values, and the authentication method represented by N[x] is also different. When it does not conflict with the existing X usage value, it can respectively represent the trusted access authentication mode of the non-3GPP access network, such as EAP. - AKA or ⁇ - ⁇ '; an access authentication method for an untrusted non-3GPP access network, such as IKEv2+EAP-AKA; or an access authentication method for a specific non-3GPP access network. In this way, a method for uniformly informing the UE through the Preservation PDN GW to which access authentication method is used to access the EPS system is implemented.
  • FIG. 5 is a schematic flowchart diagram of a seventh embodiment of a method for performing access authentication according to the present invention.
  • the application scenario of this embodiment is that the UE is pre-configured to perform authentication according to a non-trusted non-3GPP access network access authentication mode.
  • the access control entity is the Preservation PDN GW.
  • a method of performing access authentication according to the present invention will be described.
  • the method for performing access authentication in this embodiment includes:
  • Step 501 The UE obtains a temporary IP address from the access network.
  • Step 502 The UE performs the ePDG search and discovery to access the non-3GPP access network as an untrusted access network. If the ePDG is found, the access authentication is performed in the corresponding access authentication mode of the untrusted access network. If the non-3GPP access network does not have the ePDG construction, and the ePDG discovery fails, the process proceeds to step 503.
  • Step 503 The UE discovers and selects a Preservation PDN GW.
  • the foregoing Preservation PDN GW is a network-added entity provided in the embodiment of the present invention, and has the function of protecting the PDN GW, and can provide an access authentication mode for the UE.
  • Step 504 The UE establishes a security association with the Preservation PDN GW by using the foregoing assigned temporary IP address. Establishing a security association can be accomplished through IKE-SA-INIT messages to complete key negotiation and nonce value exchange.
  • Step 505 The UE sends an IKE_AUTH Request message requesting access authentication mode to the Preservation PDN GW.
  • the message can contain parameters: HDR, SK ⁇ IDi, IDr, AUTH, SAi2, TSi, TSr ⁇ , etc.
  • HDR contains SPIs, version number and some flags.
  • SK indicates that the message is protected.
  • the AUTH parameter is set to null here to indicate that the access control entity is requested to access the authentication mode.
  • SAi2 carries a list of cryptographic algorithms for IPsec SA.
  • TS represents the data stream protected by the IPsec SA.
  • Step 506 The Preservation PDN GW sends an IKE-AUTH Response message to the temporary IP address of the foregoing UE to inform the UE of the access authentication mode that can be adopted.
  • the access control entity may inform the UE of the access authentication mode that can be adopted by using the N[x] parameter included in the message.
  • Step 507 The UE performs access authentication by using the notified authentication mode.
  • Steps 502 to 507 in this embodiment are the same as steps 403 to 408 in the fourth embodiment, and will not be described in detail herein.
  • the access control entity informs the UE of the access authentication mode determined by the network side through the N[x] payload in the IKE-AUTH Response message.
  • X takes a different value, represented by N[x]
  • the access authentication method is also different.
  • the access authentication mode of the trusted non-3GPP access network may be respectively indicated, such as EAP-AKA or ⁇ - ⁇ ';
  • the access authentication mode of the non-3GPP access network of the letter such as IKEv2+EAP-AKA; or the access authentication mode of the specific non-3GPP access network.
  • FIG. 6 is a schematic flowchart diagram of an eighth embodiment of a method for performing access authentication according to the present invention.
  • the method of accessing the EPS system by a method preconfigured in the UE by a method preconfigured in the UE.
  • the method for performing access authentication in this embodiment includes:
  • Step 601 Pre-configure a list of non-3GPP access network types and corresponding access authentication modes in the UE.
  • the non-3GPP access network types include: a trusted access network, an untrusted access network, and Specific access network.
  • the specific access network may not use the access authentication mode of the trusted access network, and may not use the access authentication mode of the untrusted access network.
  • Step 602 The UE learns the type of the non-3GPP access network that it wants to access.
  • the UE can learn the type of the non-3GPP access network according to the network characteristics contained in the received message.
  • the UE obtains the access authentication mode that can be obtained according to the foregoing list and the non-3GPP access network type in which the terminal device is currently located, specifically:
  • Step 603 If it is a trusted access network, perform access authentication based on the scalable authentication protocol.
  • the Wimax network and the CDMA2000 network are disconnected, the EAP-AKA or ⁇ - ⁇ ' access authentication method is used.
  • Step 604 If the access network is not trusted, the ePDG is searched for access authentication through the ePDG.
  • Step 605 If it is a specific access network, perform access authentication according to the established access mode of the UE and the network side. That is, when the network does not support EAP-AKA and there is no ePDG construction, access authentication is performed in a specific manner.
  • the method for performing access authentication in this embodiment by configuring a non-3GPP access network type in the UE
  • the list and the access authentication method that can be used corresponding thereto so that when the UE learns the non-3GPP access network type that is currently located, the UE can obtain the corresponding access authentication mode, thereby improving the UE. Access efficiency.
  • FIG. 7 is a schematic structural diagram of an embodiment of a system for performing access authentication according to the present invention.
  • the system 70 for performing access authentication in this embodiment includes: an access control entity 72 and an access gateway 73.
  • the access control entity 72 is configured to communicate with the terminal device 71 to be accessed by the EPS system, and notify the terminal device 71 of an access authentication mode, so that the terminal device 71 passes the notified access authentication mode.
  • the foregoing access authentication mode corresponds to a non-3GPP access network type, where the non-3GPP access network includes: a trusted access network, an untrusted access network, and a specific access network.
  • the access gateway 73 is configured to perform access authentication with the terminal device 71 according to an available access authentication mode that is learned by the terminal device 71.
  • the access gateway 73 may be a gateway of the access network, such as ePDG, or a gateway of the core network.
  • the main functions are to provide routing and encapsulation of user data packets, and to assign IP addresses to users.
  • the access gateway is a PDN GW, and the access control entity is a Preservation PDN GW.
  • the response message is transmitted based on the network key exchange protocol and informed by the notification parameter Notify Payload carried by the terminal device 71 of the access authentication mode that the terminal device 71 can employ.
  • the access control entity in this embodiment is a network-added network entity provided in the embodiment of the present invention, and has the function of protecting the PDN GW, and can provide an access authentication mode for the UE.
  • the function of the access control entity may also be implemented in other network entities.
  • it is merged into the access gateway 73, such as the PDN GW or the ePDG.
  • FIG. 8 is a schematic structural diagram of an embodiment of the access control entity shown in FIG. 7. As shown in FIG. 8, the access control entity 80 of this embodiment includes: a selecting unit 81 and a transmitting unit 83.
  • the selecting unit 81 is configured to select an access authentication mode that is applicable according to the type of the non-3GPP access network where the terminal device that is to be accessed by the EPS system is currently located, and the access authentication mode corresponds to the non-3GPP access network type.
  • the non-3GPP access network type includes: a trusted access network, an untrusted access network, and a specific access network;
  • the sending unit 83 is configured to send a message to the terminal device to be accessed by the EPS system, the message A message including the available access authentication mode selected by the selection unit to the terminal device is included.
  • the message sent by the sending unit 83 to inform the terminal device to access the access authentication mode that can be used by the EPS system can be transmitted based on the network key exchange protocol, and the message is notified by the notification parameter Notify Payload carried by the terminal device. Enter the authentication method.
  • the access control entity is a Preservation PDN GW, which is a newly added entity of the network, and has the function of protecting the PDN GW, and can provide access authentication mode for the ⁇ .
  • the access control entity may also be an entity in a non-3GPP access network, such as an ASN Gateway in a WiMAX network, or another server capable of giving UE information, such as a DHCP server or the like.
  • FIG. 9 is a schematic structural diagram of an embodiment of the terminal device in FIG. 7.
  • the terminal device in this embodiment is applicable to the third to seventh embodiments of the method for accessing the EPS system of the present invention.
  • the terminal device includes: an obtaining unit 92, a receiving unit 93, and an executing unit 94.
  • the receiving unit 93 is configured to receive a message sent by the access control entity 72, where the message includes a response message indicating an available access authentication mode, and the available access authentication mode and the non-3GPP where the terminal device is currently located.
  • the access network type corresponds to: the non-3GPP access network type includes: a trusted access network, an untrusted access network, and a specific access network;
  • the obtaining unit 92 is configured to learn, by using the message of the access access authentication mode received by the receiving unit 93, an access authentication mode that can be used by the access EPS system.
  • the execution unit 94 is configured to perform an access authentication according to the access authentication mode acquired by the obtaining unit 93.
  • the response message received by the receiving unit 93 to notify the available access authentication mode may be based on a network key exchange protocol carrying a notification parameter Notify Payload for informing the available access authentication method.
  • the terminal device may further include a sending unit, configured to send, to the access control entity, a message requesting an access authentication mode. After waiting to be discovered by the access control entity, the device may actively notify the terminal device of the access authentication mode by using a broadcast message or other underlying message, that is, the message may be transmitted at the network layer or the data link layer.
  • a sending unit configured to send, to the access control entity, a message requesting an access authentication mode. After waiting to be discovered by the access control entity, the device may actively notify the terminal device of the access authentication mode by using a broadcast message or other underlying message, that is, the message may be transmitted at the network layer or the data link layer.
  • FIG. 9b is a schematic structural diagram of another embodiment of the terminal device in FIG. 7.
  • the terminal device in this embodiment is applicable to the eighth embodiment of the method for accessing the EPS system of the present invention.
  • the terminal device includes: a storage unit 1001, an obtaining unit 1002, and an executing unit 1003.
  • the storage unit 1001 is configured to save a list of non-3GPP access network types and corresponding corresponding access authentication modes.
  • the non-3GPP access network type includes: a trusted access network, and an untrusted The access network has a specific access network.
  • the obtaining unit 1002 is configured to obtain an access authentication mode according to the non-3GPP access network type in which the terminal device is currently located and the list saved in the storage unit 1001.
  • the executing unit 1003 is configured to perform access authentication according to the access authentication mode acquired by the obtaining unit 1002.
  • the specific access network is an access authentication mode in which the trusted access network cannot be used, and a non-3GPP access network in which the access authentication mode of the untrusted access network is not used.
  • modules in the apparatus in the embodiments may be distributed in the apparatus of the embodiment as described in the embodiments, or may be correspondingly changed in one or more apparatuses different from the embodiment.
  • the modules of the above embodiments may be combined into one module, or may be further split into a plurality of sub-modules.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Mobile Radio Communication Systems (AREA)

Description

一种进行接入认证的方法、 装置及系统 本申请要求于 2009 年 2 月 23 日提交中国专利局、 申请号为 200910037343.4,发明名称为"一种进行接入认证的方法、 装置及系统"的中 国专利申请的优先权， 其全部内容通过引用结合在本申请中。 技术领域 本发明涉及通信网络接入技术领域， 尤其涉及一种进行接入认证的方 法、 装置及系统。 背景技术 3GPP规范中将非 3GPP接入网分为两类： 一类是 Trusted non-3GPP IP access (可信的非 3GPP接入网） ， 如 CDMA 2000 ( Code Division Multiple Access,码分多址 )网络和 Wimax ( Worldwide Interoperability for Microwave Access,全球互动式 波接入）网络，另一类是 Untrusted non-3GPP IP access (不可信的非 3GPP接入网） ， 如 WLAN ( Wireless Local Area Network, 无 线局域网） 。 其中， Trusted non-3 GPP IP access可以通过 S2a或 S2c接口接入 PLMN( Public Land Mobile-communication Network,公众陆地移动通信网）， Untrusted non-3 GPP IP access可以通过 S2b或 S2c接口接入 PLMN。
UE(User Equipment, 用户设备)通过 Trusted non-3 GPP IP access接入 EPS(Evolved Packet System,演进的分组域系统)是基于 EAP-AKA(Extensible Authentication Protocol- Authentication and Key Agreement, 可扩展的认证协 议和认证与 密钥协商）或 ΕΑΡ-ΑΚΑ' ( Extensible Authentication Protocol-Authentication and Key Agreement ) 协议的， 且 3 GPP AAA ( Authentication Authorisation Accounting, 认证授权计费 )作为 EAP-AKA 的服务器。 Trusted non-3GPP IP access通过 S2a接口接入 EPS时， 接入认证基 于 EAP-AKA，协议。 Trusted non-3GPP IP access通过 S2c接口接入 EPS时， 接 入认证基于 IKEv2+EAP-AKA协议； Untrusted non-3GPP IP access通过 S2b的 认证方法是 IKEv2+EAP-AKA协议。但是目前已经存在的运营商网络并不是 所有的网络都支持 EAP-AKA或 EAP-AKA，。 例如， 基于 DSL ( Digital Subscriber Line， 数字用户线路） 的接入网络， 由于不支持 EAP(Extensible Authentication Protocol,可扩展的认证协议），所以不能执行 Trusted non-3GPP IP access认证流程。 这时的接入网可能会被运营商网络看作为 Untrusted non-3GPP IP access, 于是寻找 ePDG ( envoled Packet Data Gateway, 演进的 分组数据网关） ， 试图通过 ePDG接入网络。 但是对于目前的网络， 也不是 所有的网络都可以支持 ePDG的建设。
由于 UE不知道通过非 3GPP接入网接入 EPS系统该使用哪种认证方式， 从而导致 UE接入 EPS的效率低， 甚至可能无法通过非 3GPP网络接入到 EPS 中去。 发明内容 本发明实施例提供进行接入认证的方法、装置及系统，使得 UE能够获 知在通过非 3GPP接入网接入 EPS系统过程中该采用何种接入认证方式。
本发明实施例所要解决的技术问题在于： 提供一种告知 UE通过非 3GPP接入网接入 EPS系统采用何种接入认证方式进行接入认证的方法、装 置及系统。
本发明实施例提供一种进行接入认证的方法， 包括： 待接入 EPS系统的 终端设备获知可采用的接入认证方式， 并通过该接入认证方式完成接入认 证；上述接入认证方式与该终端设备当前所在的非 3GPP接入网类型相对应， 其中， 非 3GPP接入网类型包括： 可信的接入网、 不可信的接入网和特定的 接入网。
本发明实施例还提供一种进行接入认证的方法， 包括： 接入控制实体 告知待接入演进的分组域系统的终端设备可采用的接入认证方式， 以使该 终端设备通过该接入认证方式完成接入认证； 该接入认证方式与该终端设 备当前所在的非第三代合作计划接入网类型相对应， 其中， 非第三代合作 计划接入网类型包括： 可信的接入网、 不可信的接入网、 特定的接入网。
本发明实施例还提供了一种进行接入认证的系统， 包括： 接入控制实 体， 用于与待接入 EPS系统的终端设备进行通信，告知该终端设备可采用的 接入认证方式， 以使该终端设备通过该接入认证方式完成接入认证； 该接 入认证方式与该终端设备当前所在的非 3GPP接入网类型相对应， 其中， 非 3GPP接入网类型包括： 可信的接入网、 不可信的接入网和特定的接入网。
本发明实施例还提供了一种接入控制实体， 用于将可采用的接入认证 方式告知待接入 EPS系统的终端设备。该接入控制实体包括选择单元和发送 单元。 该选择单元用于根据待接入 EPS系统的终端设备当前所在的非 3GPP 接入网类型选择可采用的接入认证方式， 该接入认证方式与非 3GPP接入网 类型相对应， 其中， 非 3GPP接入网类型包括： 可信的接入网、 不可信的接 入网和特定的接入网； 该发送单元用于向该终端设备发送消息， 上述消息 包括将该选择单元选择的可采用的接入认证方式告知该终端设备的消息。
本发明实施例还提供了一种终端设备， 包括获取单元和执行单元。 该 获取单元用于获取其接入 EPS系统可采用的接入认证方式的消息，该接入认 证方式与该终端设备当前所在的非 3GPP接入网类型相对应， 其中， 非 3GPP 接入网类型包括： 可信的接入网、 不可信的接入网和特定的接入网； 该执 行单元用于根据该获取单元获取的接入认证方式执行接入认证。
由上技术方案可以看出， 本发明的进行接入认证的方法、 装置及系统 通过选择与不同的非 3GPP接入网类型相对应的可采用的接入认证方式， 提 高了用户终端设备接入网络的成功率， 同时解决了用户终端设备通过非 3GPP网^矣入网络时， 网络不支持 EAP, 也不支持 ePDG建设时， 无法进行 接入认证的问题。 附图说明 图 la为本发明进行接入认证的方法的第一实施例的流程示意图； 图 lb为本发明进行接入认证的方法的第二实施例的流程示意图； 图 lc为本发明进行接入认证的方法的第三实施例的流程示意图； 图 2为本发明进行接入认证的方法的第四实施例的流程示意图； 图 3为本发明进行接入认证的方法的第五实施例的流程示意图； 图 4为本发明进行接入认证的方法的第六实施例的流程示意图； 图 5为本发明进行接入认证的方法的第七实施例的流程示意图； 图 6为本发明进行接入认证的方法第八实施例的流程示意图； 图 7为本发明进行接入认证的系统的一个实施例的结构示意图； 图 8为图 7所示接入控制实体的一个实施例的结构示意图；
图 9a为图 7中的终端设备的一个实施例的结构示意图；
图 9b为图 7中的终端设备的另一实施例的结构示意图。 具体实施方式 图 la为本发明进行接入认证的方法的第一实施例的流程示意图。 如图 la所示， 本实施例的进行接入认证的方法包括：
步骤 S101 : 待接入 EPS系统的终端设备获知可采用的接入认证方式， 以通过该接入认证方式完成接入认证； 该接入认证方式与该终端设备当前 所在的非 3GPP接入网类型相对应， 其中， 非 3GPP接入网类型包括： 可信 的接入网、 不可信的接入网和特定的接入网。
上述终端设备接入 EPS可采用的接入认证方式可以通过一网络实体统 一告知，也可以 ^居非 3GPP接入网的网络特性主动判断该类型接入网可采 用的接入认证方式。
然后， 该终端设备即可采用获知的接入认证方式进行接入认证， 步骤 亂
本实施例的进行接入认证的方法通过选择与不同的非 3GPP接入网类 型相对应的可采用的接入认证方式， 提高了用户终端设备接入网络的成功 率， 同时解决了用户终端设备通过非 3GPP 网络接入网络时， 网络不支持 EAP, 也不支持 ePDG建设时， 无法进行接入认证的问题。
图 lb为本发明进行接入认证的方法的第二实施例的流程示意图。 如图 1 b所示， 该进行接入认证的方法包括：
步骤 S101':接入控制实体告知待接入 EPS系统的终端设备可采用的接 入认证方式， 上述接入认证方式与非 3GPP接入网类型相对应， 其中， 非 3GPP接入网类型包括： 可信的接入网、 不可信的接入网和特定的接入网。
当接入控制实体发现待接入的终端设备后， 可以主动通过广播消息或 其它底层发送的消息告知该终端设备可采用的接入认证方式， 即该消息可 以在网络层或数据链路层传输。 更具体的， 上述接入控制实体可以通过该 消息中携带的参数告知该终端设备其可采用的接入认证方式。
然后， 终端设备即可采用被告知的接入认证方式进行接入认证， 步骤
102'。
本实施例的接入 EPS系统的方法可以通过构造一个新的网络实体， 统 一由该网络实体告知 UE， 即终端设备， 其通过非 3GGP接入网接入 EPS 系统需要采用的哪一种认证方式或寻找哪一个接入网网关进行认证， 从而 提高了终端设备的接入效率， 同时避免了当接入网络即不支持 EAP, 也不 支持 ePDG建设时， UE无法与 EPS系统进行接入认证的情况。接入控制实 体也可以是接入网网关， 如 WiMAX网络中的 ASN Gateway(Access Service Network Gateway,接入服务网络网关)； 或者是其他能够给 UE信息的服务 器， 如 DHCP server ( Dynamic Host Configure Protocol Server, 动态主机配 置协议服务器）等。
图 lc为本发明进行接入认证的方法的第三实施例的流程示意图。 如图 1 c所示， 该进行接入认证的方法包括：
步骤 101": 接入控制实体收到来自待接入 EPS系统的终端设备的请求 接入认证方式的消息。 该消息可以在网络层或数据链路层传输。
步骤 102": 接入控制实体告知上述待接入 EPS系统的终端设备可采用 的接入认证方式， 该接入认证方式与非 3GPP接入网类型相对应， 其中， 3GPP接入网类型包括可信的接入网、 不可信的接入网和特定的接入网。 该 接入控制实体可以通过响应消息中携带的参数告知上述终端设备可采用的 接入认证方式。
然后， 上述终端设备即可采用被告知的接入认证方式进行接入认证， 步骤 103"。
才艮据本实施例的接入 EPS系统的方法， 可以构造一个新的网络实体， 统一由该网络实体告知 UE， 即终端设备， 其通过非 3GGP接入网接入 EPS 系统需要采用的哪一种认证方式或寻找哪一个接入网关进行认证， 从而提 高了终端设备的接入效率， 同时避免了当接入网络即不支持 EAP, 也不支 持 ePDG建设时， UE无法与 EPS系统进行接入认证的情况。
图 2为本发明进行接入认证的方法的第四实施例的流程示意图。 在本实 施例中， 以接入控制实体为非 3GPP接入网内的网络实体为例， 说明本发明 的进行接入认证的方法。
步骤 201： UE从非 3GPP接入网获得临时的 IP地址。
步骤 202: UE查找非 3GPP接入网内的接入控制实体。
该接入网可以为 CDMA2000、 WiMAX, WLAN网络等， 该非 3GPP接 入网内的实体可以包括： 接入网网关， 如 WiMAX网络中的 ASN Gateway(Access Service Network Gateway,接入服务网络网关）； 或者是其他 能够给 UE信息的服务器， 如 DHCP server ( Dynamic Host Configure Protocol Server, 动态主机配置协议服务器）等等。
步骤 203: UE以前述分配的临时 IP地址与该接入控制实体建立安全关 联。建立安全关联可以通过 IKE— SAJNIT消息完成密钥的协商、 nonce值交 换等实现。
具体的， IKE— SAJNIT消息包含两条消息： 一条是由发起方发送的 IKE SA INIT Request消息。 在 IKE— SAJNIT Request消息中可以包含 HDR、 SAil、 Kei、 Ni参数。 其中， HDR包含安全参数索引 SPIs, 版本号 和一些标志； SAil包括发起方建立 IKE SA所支持的加密算法； KE是发起 方的 Diffie-Hellman value; N是随机数载荷。 IKE— SAJNIT消息中的另一条 消息是由响应方发起的 IKE— SAJNIT— Response消息，在这条消息中包含了 HDR、 SArl、 Ker、 Nr、 [CERTREQ]参数。 SArl中包括响应方选择的算法， [CERTREQ]是证书请求， 其它参数与 IKE— SA— INIT Request消息中的参数 相对应。 通过交换 IKE— SA— INIT消息， 发起方和响应方协商了所需要的加 密算法、 认证算法； 通过交换随机数和 KE， 完成了 DH ( Diffie-Hellman ) 交换， 双方可计算出共享的密钥， 这个密钥用来保护后面的数据以及生成 IPsec SA所需要的密钥。 在本实施例中， 发起方为 UE， 响应方为非 3GPP 接入网中的接入控制实体。
步骤 204: UE向该接入控制实体发送请求接入认证方式的消息。 UE向 Non-3GPP IP Access发送 IKE— AUTH Request消息， 该消息中可以包含参 数: HDR、 SK{IDi， IDr, AUTH, SAi2、 TSi、 TSr}等。 其中， HDR包含 SPIs , 版本号和一些标志。 SK表示 文被保护。 此处将 AUTH ( Authentication, 身份认证）参数设置为空来表明向接入控制实体请求接 入认证方式。 SAi2携带了用于 IPsec SA的密码算法列表。 TS表示被 IPsec SA 保护的数据流。
步骤 205： 该接入控制实体将 IKE— AUTH Response消息根据该 UE获取 的临时 IP地址发送至该 UE， 以告知 UE可采用的接入认证方式。 该接入控 制实体可以通过该消息中包含的 N[x]参数告知 UE可采用的接入认证方式。
一般情况下， IKE— AUTH Response消息中可以不带 N[x]参数， 只有出 现错误时才带。本发明中通过该参数来告知参数来告知 UE采用哪一种认证 方式。 N也就是 Notify Payload, 该参数通常用来承载信息知会数据， 如： 错误条件或数据的状态信息等。 X表示一些可选的参数类型值，一些 Notify 类型值已经固定作为某一种错误类型的发生的情况下使用， 因此可使用一 些余留类型值作为本发明的告知消息类型。
可选的， 除了 N[x]参数以外， 也可以使用其他有预留的值的参数， 作 为认证方式的 7 载参数。 具体的， IKE— AUTH Response消息中还可以包含参数 HDR、 SK{IDi， IDr, AUTH, SAr2、 TSi、 TSr、 [CERT]}等。 其中， HDR包含 SPIs, 版本 号和一些标志。 SK表示报文被保护。 AUTH用来证明知道与 ID相关的秘 密，同时对之前和当前的数据包进行完整性保护。 SAi2携带了用于 IPsec SA 的密码算法列表。 TS表示被 IPsec SA保护的数据流。
步骤 206: UE采用被告知的认证方式与接入网关进行接入认证。该接入 网关可以为接入网的网关， 也可以为核心网的网关。
本实施例中， 消息采用 IKE ( Internet Key Exchange， 英特网密钥交换协 议）承载， 从而可通过 IKE+证书的方式对承载的消息进行完整性保护。 也 可以通过其它方式承载消息， 如通过 Diameter (直径协议）、 HTTP ( Hyper Text Transfer Protocol， 超文本传输协议 )等方式承载消息。
在本实施例中， 接入控制实体通过 IKE— AUTH Response 消息中的 N[x] 载荷将网络侧决定采用的认证方式告知给 UE。 X取不同值， N[x]所表示的认 证方式也不同， 在与现有的 X使用值不冲突的情况下， 可分别表示可信的非 3GPP接入网的接入认证方式，如 EAP-AKA或 ΕΑΡ-ΑΚΑ'; 不可信的非 3GPP 接入网的接入认证方式， 如 IKEv2+EAP-AKA; 或者是特定的非 3GPP接入 网的接入认证方式。 这样， 实现了通过该非 3GPP接入网内的接入控制实体 统一告知 UE到底采用哪一种接入认证方式的方法。
图 3为本发明进行接入认证的方法的第五实施例的流程示意图。 本实施 例的应用场景是，在 UE中没有预配置为按照可信的非 3GPP接入网的接入认 证方式进行认证， 也没有预配置为按照不可信的非 3GPP接入网的接入认证 方式进行认证。 在本实施例中， 以接入控制实体为 Preservation PDN GW ( Preservation Packet Data Network Gateway,分组数据网关保护实体 )为例， 说明本发明的进行接入认证的方法。
如图 3所示， 本实施例的进行接入认证的方法包括：
步骤 301： UE从非 3GPP接入网获得临时的 IP地址。
步骤 302: UE发现和选择 Preservation PDN GW0 上述 Preservation PDN GW为本发明实施例中提供的一个网络新增的实 体， 具有保护 PDN GW的功能， 能够为 UE提供接入认证方式。
步骤 303： UE以前述分配的临时 IP地址与该 Preservation PDN GW建立安 全关联。建立安全关联可以通过 IKE— SA—INIT消息完成密钥的协商、 nonce 值交换等实现。
具体的， IKE— SAJNIT消息包含两条消息： 一条是由发起方发送的 IKE SA INIT Request消息。 在 IKE— SAJNIT Request消息中可以包含 HDR、 SAil、 Kei、 Ni参数。 其中， HDR包含安全参数索引 SPIs, 版本号 和一些标志； SAil包括发起方建立 IKE SA所支持的加密算法； KE是发起 方的 Diffie-Hellman value; N是随机数载荷。 IKE— SAJNIT消息中的另一条 消息是由响应方发起的 IKE— SAJNIT— Response消息，在这条消息中包含了 HDR、 SArl、 Ker、 Nr、 [CERTREQ]参数。 SArl中包括响应方选择的算法， [CERTREQ]是证书请求， 其它参数与 IKE— SA— INIT Request消息中的参数 相对应。 通过交换 IKE— SA— INIT消息， 发起方和响应方协商了所需要的加 密算法、 认证算法； 通过交换随机数和 KE， 完成了 DH ( Diffie-Hellman ) 交换， 双方可计算出共享的密钥， 这个密钥用来保护后面的数据以及生成 IPsec SA所需要的密钥。在本实施例中，发起方为 UE，响应方为 Preservation PDN GW。
步骤 304: UE向 Preservation PDN GW发送请求接入认证方式的消息。 UE向 Non-3GPP IP Access发送 IKE— AUTH Request消息，该消息中可以包含 参数： HDR、 SK{IDi， IDr, AUTH, SAi2、 TSi、 TSr}等。 其中， HDR包 含 SPIs, 版本号和一些标志。 SK表示报文被保护。 此处将 AUTH参数设置 为空来表明向接入控制实体请求接入认证方式。 SAi2携带了用于 IPsec SA 的密码算法列表。 TS表示被 IPsec SA保护的数据流。
步骤 305: 该 Preservation PDN GW将 IKE— AUTH Response消息发送至 前述 UE的临时 IP地址， 以告知 UE可采用的接入认证方式。 该接入控制实 体可以通过该消息中包含的 N[x]参数告知 UE可采用的接入认证方式。 步骤 306: UE采用被告知的接入认证方式进行接入认证。
本实施例中， 消息采用 IKE承载， 从而可通过 IKE+证书的方式对承载的 消息进行完整性保护。 也可以通过其它方式承载消息， 如通过 Diameter、 HTTP等方式承载消息。
本实施例中的 Preservation PDN GW是与 PDN GW的保护实体， 可以被 看成是核心网与 non-3 GPP接入网络通信的安全网关。 其除了具有本发明所 述的功能外， 该实体可以预留其他功能供网络使用。
在本实施例中， 接入控制实体通过 IKE— AUTH Response 消息中的 N[x] 载荷将网络侧决定采用的认证方式告知给 UE。 X取不同值， N[x]所表示的认 证方式也不同， 在与现有的 X使用值不冲突的情况下， 可分别表示可信的非 3GPP接入网的接入认证方式，如 EAP-AKA或 ΕΑΡ-ΑΚΑ'; 不可信的非 3GPP 接入网的接入认证方式， 如 IKEv2+EAP-AKA; 或者是特定的非 3GPP接入 网的接入认证方式。 这样， 实现了通过 Preservation PDN GW统一告知 UE到 底采用哪一种接入认证方式接入 EPS系统的方法。
图 4为本发明进行接入认证的方法的第六实施例的流程示意图。 本实施 例的应用场景是，在 UE中预配置为按照可信的非 3GPP接入网的接入认证方 式进行认证。 在本实施例中， 以接入控制实体为 Preservation PDN GW为例， 说明本发明进行接入认证的方法。
如图 4所示， 本实施例的进行接入认证的方法包括：
步骤 401： UE从非 3GPP接入网获得临时的 IP地址。
步骤 402: UE与非 3GPP接入网络进行 EAP认证， 若认证失败， 则进入 步骤 403。
步骤 403: UE进行 ePDG的寻找和发现， 即将该非 3GPP接入网作为不可 信的接入网进行接入。 若发现 ePDG, 则以不可信的接入网的相应的接入认 证方式进行接入认证。 若该非 3GPP接入网没有 ePDG的建设， ePDG发现失 败， 则进入步骤 404。
步骤 404: UE发现和选择 Preservation PDN GW。 上述 Preservation PDN GW为本发明实施例中提供的一个网络新增实 体， 具有保护 PDN GW的功能， 能够为 UE提供接入认证方式。
步骤 405： UE以前述分配的临时 IP地址与该 Preservation PDN GW建立安 全关联。建立安全关联可以通过 IKE— SA—INIT消息完成密钥的协商、 nonce 值交换等实现。
步骤 406 : UE向 Preservation PDN GW发送请求接入认证方式的 IKE AUTH Request消息。 该消息中可以包含参数： HDR、 SK{IDi， IDr, AUTH、 SAi2、 TSi、 TSr}等。 其中， HDR包含 SPIs, 版本号和一些标志。 SK表示报文被保护。 此处将 AUTH参数设置为空来表明向接入控制实体请 求接入认证方式。 SAi2携带了用于 IPsec SA的密码算法列表。 TS表示被 IPsec SA保护的数据流。
步骤 407: 该 Preservation PDN GW将 IKE— AUTH Response消息发送至 UE的临时 IP地址， 告知 UE可采用的接入认证方式。 该接入控制实体可以通 过该消息中包含的 N[x]参数告知 UE可采用的接入认证方式。
步骤 408： UE采用被告知的接入认证方式进行接入认证。
本实施例中步骤 404至步骤 408与第三实施例的步骤 301至 305相同， 在 这里不再详细描述。
在本实施例中， 接入控制实体通过 IKE— AUTH Response 消息中的 N[x] 载荷将网络侧决定采用的认证方式告知给 UE。 X取不同值， N[x]所表示的认 证方式也不同， 在与现有的 X使用值不冲突的情况下， 可分别表示可信的非 3GPP接入网的接入认证方式，如 EAP-AKA或 ΕΑΡ-ΑΚΑ'; 不可信的非 3GPP 接入网的接入认证方式， 如 IKEv2+EAP-AKA; 或者是特定的非 3GPP接入 网的接入认证方式。 这样， 实现了通过 Preservation PDN GW统一告知 UE到 底采用哪一种接入认证方式接入 EPS系统的方法。
图 5为本发明进行接入认证的方法的第七实施例的流程示意图。 本实施 例的应用场景是， 在 UE中预配置为按照非可信的 non-3GPP接入网接入认证 方式进行认证。 在本实施例中， 以接入控制实体为 Preservation PDN GW为 例， 说明本发明的进行接入认证的方法。
如图 5所示， 本实施例的进行接入认证的方法包括：
步骤 501 : UE从接入网获得临时的 IP地址。
步骤 502: UE进行 ePDG的寻找和发现即将该非 3GPP接入网作为不可信 的接入网进行接入。 若发现 ePDG, 则以不可信的接入网的相应的接入认证 方式进行接入认证。 若该非 3GPP接入网没有 ePDG的建设， ePDG发现失败， 则进入步骤 503。
步骤 503： UE发现和选择 Preservation PDN GW。
上述 Preservation PDN GW为本发明实施例中提供的一个网络新增实 体， 具有保护 PDN GW的功能， 能够为 UE提供接入认证方式。
步骤 504: UE以前述分配的临时 IP地址与该 Preservation PDN GW建立安 全关联。建立安全关联可以通过 IKE— SA—INIT消息完成密钥的协商、 nonce 值交换等实现。
步骤 505 : UE向 Preservation PDN GW发送请求接入认证方式的 IKE— AUTH Request消息。 该消息中可以包含参数： HDR、 SK{IDi， IDr, AUTH、 SAi2、 TSi、 TSr}等。 其中， HDR包含 SPIs, 版本号和一些标志。 SK表示报文被保护。 此处将 AUTH参数设置为空来表明向接入控制实体请 求接入认证方式。 SAi2携带了用于 IPsec SA的密码算法列表。 TS表示被 IPsec SA保护的数据流。
步骤 506:该 Preservation PDN GW将 IKE— AUTH Response消息发送至前 述 UE的临时 IP地址， 以告知 UE可采用的接入认证方式。 该接入控制实体可 以通过该消息中包含的 N[x]参数告知 UE可采用的接入认证方式。
步骤 507: UE采用被告知的认证方式进行接入认证。
本实施例中步骤 502至步骤 507与第四实施例中的步骤 403至 408相同， 在这里不再详细描述。
在本实施例中，接入控制实体通过 IKE— AUTH Response 消息中的 N[x] 载荷将网络侧决定采用的接入认证方式告知给 UE。 X取不同值， N[x]所表示 的接入认证方式也不同， 在与现有的 X使用值不冲突的情况下， 可分别表示 可信的非 3GPP接入网的接入认证方式， 如 EAP-AKA或 ΕΑΡ-ΑΚΑ'; 不可信 的非 3GPP接入网的接入认证方式， 如 IKEv2+EAP-AKA; 或者是特定的非 3GPP接入网的接入认证方式。 这样， 实现了通过 Preservation PDN GW统一 告知 UE到底采用哪一种接入认证方式接入 EPS系统的方法。
图 6为本发明进行接入认证的方法的第八实施例的流程示意图。 在本实 施例中， 通过在 UE中预配置的方法来接入 EPS系统的方法。
如图 6所示， 本实施例的进行接入认证的方法包括：
步骤 601 : 在 UE中预配置非 3GPP接入网类型的列表及与其相应的可 采用的接入认证方式， 非 3GPP接入网类型包括： 可信的接入网、 不可信的 接入网和特定的接入网。
具体的， 该特定的接入网即不可使用可信的接入网的接入认证方式， 也不可使用不可信的接入网的接入认证方式。
步骤 602: UE获知其要接入的非 3GPP接入网的类型。 UE可以根据收 到的消息中包含的网络特性来获知非 3GPP接入网的类型。
然后， UE才 据前述列表及该终端设备当前所在的非 3GPP接入网类型 获知可采用的接入认证方式， 具体为：
步骤 603:若为可信的接入网，则基于可扩展的认证协议进行接入认证。 当 Wimax网络和 CDMA2000网 矣入时，使用 EAP-AKA或 ΕΑΡ-ΑΚΑ' 接入认证方式。
步骤 604: 若为不可信的接入网， 则查找 ePDG, 通过 ePDG进行接入 认证。
具体的， 如 WLAN网 矣入时， 使用 IKEv2+EAP-AKA认证方式。 步骤 605:若为特定的接入网， 则根据 UE和网络侧已定的接入方式进行 接入认证。 即当网络不支持 EAP-AKA, 又没有 ePDG建设时， 通过特定的方 式进行接入认证。
本实施例的进行接入认证的方法，通过在 UE中配置非 3GPP接入网类型 的列表及与其相应的可采用的接入认证方式， 从而实现了当 UE获知其当前 所在的非 3GPP接入网类型时， 即可获知其相应的可采用的接入认证方式， 从而提高了 UE的接入效率。
本领域普通技术人员可以理解， 上述各实施例中的全部或部分步骤可 以通过程序指令相关的硬件来实现， 所述的程序可以存储于计算机可读取 存储介质中， 所述的存储介质， 可以是 ROM/RAM、 磁碟、 光盘等。
还可以理解的是， 虽然上述说明中， 为便于理解， 对方法的步骤采用 了顺序性描述， 但是应当指出的是， 对于上述步骤的顺序并不做严格的限 制。
图 7为本发明进行接入认证的系统的一个实施例的结构示意图。 如图 7 所示， 本实施例的进行接入认证的系统 70包括： 接入控制实体 72和接入网 关 73。 其中， 该接入控制实体 72用于与待接入 EPS系统的终端设备 71进行通 信， 告知该终端设备 71可采用的接入认证方式， 以使该终端设备 71通过被 告知的接入认证方式完成接入认证。 上述接入认证方式与非 3GPP接入网类 型相对应， 其中， 非 3GPP接入网包括： 可信的接入网、 不可信的接入网和 特定的接入网。 该接入网关 73用于根据该终端设备 71获知的可采用的接入 认证方式与所述终端设备 71进行接入认证。
上述接入网关 73可以为接入网的网关， 如 ePDG等， 也可以为核心网的 网关， 主要功能为提供用户数据包的路由和封装以及为用户分配 IP地址等。
具体地， 如果通过 EPS系统中的接入控制实体告知， 则该接入网关为 PDN GW, 该接入控制实体为 Preservation PDN GW。 该响应消息基于网络 密钥交换协议传输并通过其携带的告知参数 Notify Payload告知该终端设备 71其可采用的接入认证方式。
需要注意的是， 本实施例的接入控制实体为本发明实施例中提供的一 个网络新增网络实体， 具有保护 PDN GW的功能， 能够为 UE提供接入认证 方式。
可选的， 该接入控制实体的功能也可以合并到其它网络实体中实现， 比如合并到接入网关 73， 如 PDN GW或 ePDG中。
图 8为图 7所示接入控制实体的一个实施例的结构示意图。 如图 8所示， 本实施例的接入控制实体 80包括： 选择单元 81和发送单元 83。
其中，该选择单元 81用于根据待接入 EPS系统的终端设备当前所在的非 3GPP接入网类型选择可采用的接入认证方式，该接入认证方式与非 3GPP接 入网类型相对应， 其中， 非 3GPP接入网类型包括： 可信的接入网、 不可信 的接入网和特定的接入网；该发送单元 83用于向待接入 EPS系统的终端设备 发送消息， 该消息包括将该选择单元选择的可采用的接入认证方式告知上 述终端设备的消息。该发送单元 83发送的告知终端设备接入 EPS系统可采用 的接入认证方式的消息可以基于网络密钥交换协议传输的， 该消息通过其 携带的告知参数 Notify Payload告知该终端设备可采用的接入认证方式。
具体的， 在 EPS系统中， 该接入控制实体为 Preservation PDN GW, 是一 个网络新增实体， 具有保护 PDN GW的功能， 能够为 Ιϋ供接入认证方式。 该接入控制实体还可以为非 3GPP接入网内的实体，如 WiMAX网络中的 ASN Gateway, 或者是其他能够给 UE信息的服务器， 如 DHCP server等等。
图 9a为图 7中的终端设备的一个实施例的结构示意图， 本实施例的终端 设备适用于本发明接入 EPS系统的方法的第三至第七实施例。 如图 9a所示， 该终端设备包括： 获取单元 92、 接收单元 93及执行单元 94。
其中， 该接收单元 93用于接收该接入控制实体 72发送的消息， 该消息 包括告知可采用的接入认证方式的响应消息， 可采用的接入认证方式与该 终端设备当前所在的非 3GPP接入网类型相对应， 其中， 非 3GPP接入网类型 包括： 可信的接入网、 不可信的接入网和特定的接入网；
该获取单元 92用于从该接收单元 93接收到的告知接入接入认证方式的 消息中获知接入 EPS系统可采用的接入认证方式；
该执行单元 94用于根据该获取单元 93获取的接入认证方式执行接入认 证。
具体的， 该接收单元 93接收的告知可采用的接入认证方式的响应消息 可以基于网络密钥交换协议传输， 该响应消息携带有用于告知可采用的接 入认证方式的告知参数 Notify Payload。
需要说明的， 该终端设备还可以包括发送单元， 用于向接入控制实体 发送请求接入认证方式的消息。 也可以等待被接入控制实体发现后， 主动 通过广播消息或其它底层发送的消息告知该终端设备可采用的接入认证方 式， 即该消息可以在网络层或数据链路层传输， 此种情况对应于本发明接 入 EPS系统的方法的第二实施例。
图 9b为图 7中的终端设备的另一实施例的结构示意图， 本实施例的终端 设备适用于本发明接入 EPS系统的方法的第八实施例。 如图 9b所示， 该终端 设备包括： 存储单元 1001、 获取单元 1002及执行单元 1003。
其中， 该存储单元 1001用于保存非 3GPP接入网类型的列表及其相对应 的可采用的接入认证方式； 其中， 该非 3GPP接入网类型包括： 可信的接入 网、 不可信的接入网个特定的接入网。
该获取单元 1002用于根据该终端设备当前所在的非 3GPP接入网类型及 该存储单元 1001中保存的列表获取接入认证方式；
该执行单元 1003用于根据该获取单元 1002获取的接入认证方式进行接 入认证。
具体的， 该特定的接入网为不可使用可信的接入网的接入认证方式， 也不可使用不可信的接入网的接入认证方式的非 3GPP接入网。
本领域普通技术人员可以理解： 实施例中的装置中的模块可以按照实 施例描述分布于实施例的装置中， 也可以进行相应变化位于不同于本实施 例的一个或多个装置中。 上述实施例的模块可以合并为一个模块， 也可以 进一步拆分成多个子模块。
上述本发明实施例序号仅仅为了描述， 不代表实施例的优劣。 以上结 合最佳实施例对本发明进行了描述， 但本发明并不局限于以上揭示的实施 例， 而应当涵盖各种根据本发明的本质进行的修改、 等效组合。

Claims

权利要求
1. 一种进行接入认证的方法， 其特征在于， 包括：
待接入演进的分组域系统的终端设备获知可采用的接入认证方式， 并 通过所述接入认证方式完成接入认证；
所述接入认证方式与所述终端设备当前所在的非第三代合作计划接入 网类型相对应， 其中， 所述非第三代合作计划接入网类型包括： 可信的接 入网、 不可信的接入网和特定的接入网。
2. 如权利要求 1所述的方法， 其特征在于， 所述终端设备获知可采用的 接入认证方式， 具体包括：
所述终端设备收到来自接入控制实体的告知可采用的接入认证方式的 消息。
3. 如权利要求 2所述的方法， 其特征在于，在所述终端设备收到来自接 入控制实体的告知可采用的接入认证方式的消息之前， 还包括：
向所述接入控制实体发送请求接入认证方式的消息。
4. 如权利要求 3所述的方法， 其特征在于， 向所述接入控制实体发送请 求接入认证方式的消息， 具体包括：
向所述接入控制实体发送身份认证 AUTH参数为空的消息以表明请求 接入认证方式。
5. 如权利要求 2所述的方法， 其特征在于， 所述终端设备收到来自接入 控制实体的告知可采用的接入认证方式的消息， 具体包括：
所述终端设备收到所述接入控制实体告知可采用的接入认证方式的网 络层消息或数据链路层消息， 所述网络层消息或数据链路层消息中携带有 用于告知所述终端设备可采用的接入认证方式的参数。
6. 如权利要求 5所述的方法， 其特征在于，在所述终端设备收到所述接 入控制实体告知可采用的接入认证方式的网络层消息之前， 还包括：
所述终端设备从所述非第三代合作计划接入网获取一个网络地址， 则所述终端设备收到所述接入控制实体告知可采用的接入认证方式的 网络层消息包括：
所述终端设备收到所述接入控制实体发送至所述网络地址的告知可采 用的接入认证方式的网络层消息。
7. 如权利要求 5或 6所述的方法， 其特征在于， 所述终端设备收到所述 接入控制实体告知可采用的接入认证方式的网络层消息， 具体包括：
所述终端设备收到所述接入控制实体发送的网络密钥交换认证消息， 且通过所述网络密钥交换认证消息中的告知参数 Notify Payload获知可采用 的接入认证方式。
8. 如权利要求 1所述的方法， 其特征在于，在所述终端设备获知可采用 的接入认证方式之前， 还包括：
在所述终端设备中预配置非第三代合作计划接入网类型的列表及与其 相应的可采用的接入认证方式；
所述终端设备获知可采用的接入认证方式包括：
根据所述列表选择与所述终端设备当前所在的非第三代合作计划接入 网类型相对应的可采用的接入认证方式。
9. 如权利要求 8所述的方法， 其特征在于，
若所述终端设备当前所在的非第三代合作计划接入网为可信的接入 网， 则所述可采用的接入认证方式包括： 基于可扩展的认证协议进行接入 认证；
若所述终端设备当前所在的非第三代合作计划接入网为不可信的接入 网， 则所述可采用的接入认证方式包括： 查找演进的分组数据网关， 并通 过所述分组数据网关进行接入认证；
若所述终端设备当前所在的非第三代合作计划接入网为特定的接入 网， 则所述可采用的接入认证方式包括： 才 据预定的接入方式进行接入认 证。
10. 一种进行接入认证的方法， 其特征在于， 包括： 接入控制实体告知待接入演进的分组域系统的终端设备可采用的接入 认证方式， 以使所述终端设备通过所述接入认证方式完成接入认证；
所述接入认证方式与所述终端设备当前所在的非第三代合作计划接入 网类型相对应， 其中， 所述非第三代合作计划接入网类型包括： 可信的接 入网、 不可信的接入网、 特定的接入网。
11. 如权利要求 10所述的方法， 其特征在于，在接入控制实体告知待接 入演进的分组域系统的终端设备可采用的接入认证方式之前， 还包括： 所述接入控制实体收到来自所述终端设备的请求接入认证方式的消
12. 一种进行接入认证的系统， 其特征在于， 包括：
接入控制实体， 用于与待接入演进的分组域系统的终端设备进行通信， 告知所述终端设备可采用的接入认证方式， 以使所述终端设备通过所述接 入认证方式完成接入认证；
所述接入认证方式与所述终端设备当前所在的非第三代合作计划接入 网类型相对应， 其中， 所述非第三代合作计划接入网类型包括： 可信的接 入网、 不可信的接入网、 特定的接入网。
13. 如权利要求 12所述的系统， 其特征在于， 还包括：
接入网关， 用于根据所述终端设备可采用的接入认证方式与所述终端 设备进行接入认证。
14. 如权利要求 13所述的系统， 其特征在于： 所述接入控制实体与所述 接入网关为一体或者独立于所述接入网关且具有保护接入网关的功能。
15. 一种接入控制实体， 其特征在于， 包括：
选择单元， 用于根据待接入演进的分组域系统的终端设备当前所在的 非第三代合作计划接入网类型选择可采用的接入认证方式， 所述接入认证 方式与所述非第三代合作计划接入网类型相对应， 其中， 所述非第三代合 作计划接入网类型包括： 可信的接入网、 不可信的接入网、 特定的接入网； 及 发送单元， 用于向所述终端设备发送消息， 所述消息包括将所述选择 单元选择的可采用的接入认证方式告知所述终端设备的消息。
16.一种终端设备， 其特征在于， 包括：
获取单元， 用于获取其接入演进的分组域系统可采用的接入认证方式， 所述接入认证方式与所述终端设备当前所在的非第三代合作计划接入网类 型相对应， 其中， 所述非第三代合作计划接入网类型包括： 可信的接入网、 不可信的接入网， 特定的接入网； 及
执行单元， 用于根据所述获取单元获取的接入认证方式执行接入认证。
17. 如权利要求 16所述的终端设备， 其特征在于， 还包括：
接收单元， 用于接收来自接入控制实体的告知可采用的接入认证方式 的消息；
则所述获取单元从所述接收单元收到的告知接入认证方式的消息中获 知接入演进的分组域系统可采用的接入认证方式。
18. 如权利要求 16所述的终端设备， 其特征在于， 还包括：
存储单元， 用于保存非第三代合作计划接入网类型的列表及其相对应 的可采用的接入认证方式， 其中， 所述非第三代合作计划接入网类型包括： 可信的接入网、 不可信的接入网、 特定的接入网；
则所述获取单元根据所述终端设备当前所在的非第三代合作计划接入 网类型及所述存储单元中保存的列表获取接入认证方式。
PCT/CN2010/070711 2009-02-23 2010-02-23 一种进行接入认证的方法、装置及系统 WO2010094244A1 (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
EP10743425A EP2400791A4 (en) 2009-02-23 2010-02-23 METHOD, DEVICE AND SYSTEM FOR ACCESS AUTHENTICATION

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN200910037343A CN101815296A (zh) 2009-02-23 2009-02-23 一种进行接入认证的方法、装置及系统
CN200910037343.4 2009-02-23

Publications (1)

Publication Number Publication Date
WO2010094244A1 true WO2010094244A1 (zh) 2010-08-26

Family

ID=42622383

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2010/070711 WO2010094244A1 (zh) 2009-02-23 2010-02-23 一种进行接入认证的方法、装置及系统

Country Status (3)

Country Link
EP (1) EP2400791A4 (zh)
CN (1) CN101815296A (zh)
WO (1) WO2010094244A1 (zh)

Families Citing this family (13)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103067342B (zh) * 2011-10-20 2018-01-19 中兴通讯股份有限公司 一种使用eap进行外部认证的设备、系统及方法
CN102611683B (zh) * 2011-12-14 2015-08-19 上海聚力传媒技术有限公司 一种用于执行第三方认证的方法、装置、设备和系统
EP2823656B1 (en) * 2012-03-07 2021-12-08 Nokia Solutions and Networks Oy Access mode selection based on user equipment selected access network identity
ES2902378T3 (es) 2012-03-07 2022-03-28 Nokia Solutions & Networks Oy Selección del modo de acceso basado en la identidad de la red de acceso seleccionada del equipo del usuario
CN106465117B (zh) * 2014-04-30 2020-11-06 华为技术有限公司 一种终端接入通信网络的方法、装置及通信系统
CN105450418A (zh) * 2014-09-22 2016-03-30 中兴通讯股份有限公司 Ike认证方法、ike发起终端、ike响应终端及ike认证系统
US9332015B1 (en) 2014-10-30 2016-05-03 Cisco Technology, Inc. System and method for providing error handling in an untrusted network environment
KR102084580B1 (ko) * 2015-08-07 2020-03-04 후아웨이 테크놀러지 컴퍼니 리미티드 3gpp 네트워크로의 단말 액세스를 위한 처리 방법 및 장치
CN105592058A (zh) * 2015-09-30 2016-05-18 杭州华三通信技术有限公司 一种提高网络通信安全的方法和装置
CN106686589B (zh) * 2015-11-09 2020-04-28 中国电信股份有限公司 一种实现VoWiFi业务的方法、系统及AAA服务器
CN109803263A (zh) 2017-11-17 2019-05-24 华为技术有限公司 一种安全保护的方法及装置
CN110048988B (zh) * 2018-01-15 2021-03-23 华为技术有限公司 消息的发送方法和装置
WO2022151271A1 (en) * 2021-01-14 2022-07-21 Zte Corporation A method for external authentication and authorization

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP1414212A1 (en) * 2002-10-22 2004-04-28 Telefonaktiebolaget L M Ericsson (Publ) Method and system for authenticating users in a telecommunication system
CN1835436A (zh) * 2005-03-14 2006-09-20 华为技术有限公司 一种通用鉴权框架及一种实现鉴权的方法
CN101141822A (zh) * 2007-09-30 2008-03-12 中兴通讯股份有限公司 一种无线网络的网关选择方法
CN101232707A (zh) * 2007-01-23 2008-07-30 华为技术有限公司 一种ims网络中区分用户终端鉴权方式的方法及i-cscf
CN101472263A (zh) * 2008-05-04 2009-07-01 中兴通讯股份有限公司 一种网络连接方式的决定方法

Family Cites Families (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
DE10356661A1 (de) * 2003-12-04 2005-07-14 Siemens Ag Verfahren zum Anmelden eines Kommunikationsendgerätes in einem drahtlosen lokalen Netzwerk
US7966489B2 (en) * 2006-08-01 2011-06-21 Cisco Technology, Inc. Method and apparatus for selecting an appropriate authentication method on a client

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP1414212A1 (en) * 2002-10-22 2004-04-28 Telefonaktiebolaget L M Ericsson (Publ) Method and system for authenticating users in a telecommunication system
CN1835436A (zh) * 2005-03-14 2006-09-20 华为技术有限公司 一种通用鉴权框架及一种实现鉴权的方法
CN101232707A (zh) * 2007-01-23 2008-07-30 华为技术有限公司 一种ims网络中区分用户终端鉴权方式的方法及i-cscf
CN101141822A (zh) * 2007-09-30 2008-03-12 中兴通讯股份有限公司 一种无线网络的网关选择方法
CN101472263A (zh) * 2008-05-04 2009-07-01 中兴通讯股份有限公司 一种网络连接方式的决定方法

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
See also references of EP2400791A4 *

Also Published As

Publication number Publication date
EP2400791A1 (en) 2011-12-28
CN101815296A (zh) 2010-08-25
EP2400791A4 (en) 2012-02-15

Similar Documents

Publication Publication Date Title
WO2010094244A1 (zh) 一种进行接入认证的方法、装置及系统
US20220045899A1 (en) Method and apparatus for providing notification of detected error conditions in a network
CN101983517B (zh) 演进分组系统的非3gpp接入的安全性
CN101606372B (zh) 支持无uicc呼叫
US8601103B2 (en) Method, apparatus and system for distributing and enforcing authenticated network connection policy
WO2018170617A1 (zh) 一种基于非3gpp网络的入网认证方法、相关设备及系统
EP3154306B1 (en) Establishment of network connection
JP2011521510A (ja) 非３ｇｐｐアクセスネットワーク経由のアクセス
US20110035592A1 (en) Authentication method selection using a home enhanced node b profile
CN111726228B (zh) 使用互联网密钥交换消息来配置活动性检查
WO2010075745A1 (zh) 鉴权处理方法和系统、3gpp认证授权计费服务器及用户设备
JP2012503945A (ja) Ｈｏｍｅｎｏｄｅ−ｂ装置およびセキュリティプロトコル
WO2013063783A1 (zh) 一种数据安全通道的处理方法及设备
WO2012167500A1 (zh) 一种隧道数据安全通道的建立方法
EP3324681B1 (en) Processing method and device for accessing to 3gpp network by terminal
WO2011127774A1 (zh) 一种用户终端接入互联网方式的控制方法及装置
WO2010069202A1 (zh) 认证协商方法及系统、安全网关、家庭无线接入点
WO2017025149A1 (en) Method and apparatus for extensible authentication protocol
WO2019015618A1 (zh) 通信隧道端点地址分离方法、终端、网关及存储介质
CN104506406B (zh) 一种鉴权认证设备
JP6861285B2 (ja) 緊急アクセス中のパラメータ交換のための方法およびデバイス
US20230336535A1 (en) Method, device, and system for authentication and authorization with edge data network
WO2015157981A1 (zh) 一种无线局域网用户侧设备及信息处理方法
US20230017260A1 (en) Access control method and communications device
KR102103320B1 (ko) 이동 단말기, 네트워크 노드 서버, 방법 및 컴퓨터 프로그램

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 10743425

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

WWE Wipo information: entry into national phase

Ref document number: 2010743425

Country of ref document: EP