专利名称：通信系统中的鉴权方法
技术领域：
本发明涉及通信领域，并且特别地，涉及通信系统中的鉴权方法。
背景技术：
由于IP才支术具有互通性等一系列优点，通信系统正逐步向IP
承载转变，由此引发的网络融合导致了新一代网络通信标准一IMS 的诞生。由于IP技术的开放性，通信网络的安全性要求达到了前所 未有的高度。基于挑战，响应的双向鉴权机制已经成为通信系统中 鉴权终端或网络的主流方法。IETF的RFC3310标准，将以RFC26L7 为代表的传统IP领域的鉴权机制与以3 GPP 3 3.102协议为代表的移 动领域的鉴权机制有机的结合起来。随着网络的融合，现有和未来 的固定终端引入之后，将大量的采用RFC2617描述的HTTP Digest 鉴权机制。
TISPAN等国际组织目前已经考虑在网络中支持多种鉴权方 法，以适应兼容多种终端接入的需要，并已经开始制定相应的规范， 这其中包括支持HTTP Digest鉴权规范(RFC2617 )。在HTTP Digest 鉴权协议中，姿权基于网络和终端分别保有的密钥(或称密码),. 冲艮据终端的不同，该密钥可能^f呆存于终端中，或由用户lt入。IP网 络的开发性使得鉴权相关的信令很容易被拦截或伪造，并且由于不 能期望每一个终端用户都使用足够强壮的密码，采用恶意软件非法 破解合法用户密码的行为就成为可能，例如常见的字典攻击。
为了解决这一安全威胁，可以采用类似4艮4亍耳又凉欠才几限制取-款的 措施，当连续输入密码错误超过一定次数时将账户锁定，只能由合 法用户持相关证明进行解锁。这就有效的防止了非法猜测用户密码 的行为。该方法在通信网络中表现为，当客户端发起鉴权请求，网 络对其i人i正失败，这一重复过禾呈一旦达到限制的次凄t，用户的账尸 将会被锁定。这时需要合法用户携带身份证件到营业厅进行解锁。
在IMS (IP多士某体子系统)移动通信网络的一种实现为，用户发起 注册请求，HSS累加S-CSCF发起的对该用户的获取鉴权参数请求 数，如果由于S-CSCF发现鉴权失败拒绝接入，用户再重新发起注 册请求，这一过程重复导致HSS中记录的鉴权参数请求数达到预设 的上限，HSS将用户锁定。如果用户鉴^又成功，HSS收到后续的注 册通知，则HSS将记录的鉴权参数请求数清零。
在实际应用中，通过鉴权请求计数锁定账户的方法有以下缺 陷恶意用户通过软件发起大量鉴权请求猜测合法用户密码的行为 将导致合法用户账户锁定，从而影响了合法用户正常使用业务；更 为危险的是，如果使用软件发起大量的恶意鉴权请求，将轻易的使 玉见网大量用户陷入贝长户锁定状态，导致严重的网全各瘫痪。
发明内容
为了解决鉴权过程中攻击用户密钥的安全威胁问题，并且解决
明的主要目的在于提供一种通信系统的鉴权方法。
为了实现上述目的，根据本发明的第一实施例，提供了一种通 信系统的鉴—又方法。
该方法包括以下步骤步骤S102,用户通过终端向系统发送接 入请求；步骤S104,系统侧的呼叫会话控制服务器接收接入请求， 并向归属用户服务器(HSS )发送鉴权请求消息；步骤S106，归属 用户服务器接收鉴权请求消息，判断预定时间周期内请求鉴权的次 数是否达到预定的次数，将包括判断结果的消息发送给呼叫会话控 制服务器；以及步骤S108，呼叫会话控制服务器根据消息对用户进 行鉴权。
其中，在步艰《S106中，在预定时间周期内请求鉴权的次数达 到预定的次数的情况下，归属用户服务器将鉴权拒绝响应信息发送 给呼叫会话控制服务器，呼叫会话控制服务器根据拒绝响应信息生 成禁止接入消息，并将其发送给终端。
并且，在步骤S106中，在预定时间周期内请求鉴权的次数未 达到预定的次数的情况下，归属用户服务器根据用户签约中密钥信 息产生鉴权参数，将包含鉴权参数的鉴权信息发送给呼叫会话控制 服务器，并累加在预定时间周期内请求鉴权的次数。其中，鉴权信 息至少包括鉴权挑战信息和第 一鉴权响应信息。
另外，步骤S108包括步骤S1082,呼叫会话控制服务器根 据从归属用户服务器接收到的鉴权挑战信息，向终端发送鉴权挑战 指示；步骤S1084,终端接收鉴权挑战指示，根据存有的密钥或根 据用户输入的密码生成第二鉴权响应信息，并将第二鉴权响应信息 发送给呼叫会话控制服务器；步骤S1086,呼叫会话控制服务器将 接收到的第 一鉴权响应信息和第二鉴权响应信息进行比较；以及步 骤S1088，根据比较结果，进行相应处理。
其中，步骤S1088包括如果第一鉴权响应信息与第二筌权响 应信息不相同，则向终端发送注册失败响应消息，用户接收到注册 失败响应消息，并选择重新注册或》文弃注册。
并且，步骤S1088包括如果第一鉴4又响应信息与第二鉴权响 应信息相同，继续注册处理。
其中，在接收到从呼叫会话控制服务器发送的用户注册/注销请 求的同时，归属用户服务器清除用户的请求鉴权次数。
其中，请求鉴权次数(次)与时间周期(分钟)的比值约为1 .,
通过上述技术方案，本发明可以维护合法用户的权限与安全， 并且具有很好的兼容性。
此处所-说明的附图用来才是供对本发明的进一步理解，构成本申 请的一部分，本发明的示意性实施例及其说明用于解释本发明，并 不构成对本发明的不当限定。在附图中
图1是根据本发明第一实施例的通信系统鉴权方法的流程图2是根据本发明第 一 实施例的通信系统鉴权方法的细节流程
图3是示出根据本发明第二实施例的通信系统中的鉴权装置的 构造的框图4是应用本发明的系统构造实例的框图5是图4所示系统中用户正常注册的流程图6是图4所示系统中非法用户恶意注册的流程图；以及
图7是在图3所示的系统中实现本发明的流程图。
具体实施例方式
下面将参考附图详细说明本发明。
第一实施例
首先，将参照图1和图2描述本发明的第一实施例。图1是根 据本发明第一实施例的通4言系统鉴4又方法的流禾呈图，图2是才艮据本 发明第 一 实施例的通信系统鉴权方法的细节流程图。
如图1所示，4艮据本发明第一实施例的通信系统鉴权方法包括 以下步各聚步-骤S102,用户通过终端向系统发送4妾入^"求；步4聚 S104，系统侧的呼叫会话控制服务器接收接入请求，并向归属用尸 服务器发送鉴权请求消息；步骤S106，归属用户服务器接收鉴权请 求消息，判断预定时间周期内请求鉴权的次数是否达到预定的次 数，将包括判断结果的消息发送给呼叫会话控制服务器；以及步骤 S108,呼叫会话控制服务器根据消息对用户进行鉴权。
其中，在步骤S106中，在预定时间周期内请求鉴权的次数达 到预定的次数的情况下，归属用户服务器将鉴权拒绝响应信息发送 给呼叫会话控制服务器，呼叫会话控制服务器根据拒绝响应信息生 成禁止接入消息，并将其发送给终端。
并且，在步骤S106中，在预定时间周期内请求鉴权的次数未 达到预定的次数的情况下，归属用户服务器根据用户签约中密钥信 息产生鉴权参数，将包含鉴权参数的鉴权信息发送给呼叫会话控制 服务器，并累加在预定时间周期内请求鉴权的次数。其中，鉴权信 息至少包括鉴权4兆战信息和第 一鉴权响应信息。
另外，如图2所示，步骤S108包括以下步骤步骤S1082-呼叫会话控制服务器根据从归属用户服务器接收到的鉴权挑战信
息，向纟冬端发送鉴斗又求匕战冲旨示；步-骤S1084,纟冬端4妄4欠鉴^U兆战指
示，根据存有的密钥或根据用户输入的密码生成第二鉴权响应信
息，并将第二鉴权响应信息发送给呼叫会话控制服务器；步骤 S1086,呼叫会话控制服务器将接收到的第 一鉴权响应信息和第二 鉴权响应信息进行比较；以及步骤S1088,根据比较结果，进行相 应处理。
其中，步骤S1088包括如果第一鉴权响应信息与第二鉴权响 应信息不相同，则向终端发送注册失败响应消息，用户接收到注册 失败响应消息，并选4奪重新注册或方丈弃注册。
并且，步骤S1088包括如果第一鉴权响应信息与第二鉴权响 应信息相同，继续注册处理。
其中，在接收到从呼叫会话控制服务器发送的用户注册/注销请 求的同时，归属用户服务器清除用户的请求鉴权次数。
其中，请求鉴权次数(次)与时间周期(分钟)的比值约为1。
第二实施例
下面将参照图3描述本发明的第二实施例。图3是示出根据本 发明第二实施例的通信系统中的鉴权装置300的构造的框图。
如图3所示，根据本发明第二实施例的通信系统中的鉴权装置 300包括请求才莫块302，用于使用户通过终端向系统发送接入请 求；发送模块304,用于使系统侧的呼叫会话控制服务器接收接入 请求，并向归属用户服务器发送鉴权请求消息；判断处理模块3()6， 用于使归属用户服务器接收鉴权请求消息，判断预定时间周期内请 求鉴权的次数是否达到预定的次数，将包括判断结果的消息发送给
呼叫会话控制服务器；以及鉴权模块308,用于使呼叫会话控制服 务器根据消息对用户进行鉴权。
其中，在预定时间周期内请求鉴权的次数达到预定的次数的情
况下，判断处理模块306使归属用户服务器将鉴权拒绝响应信息发 送给呼叫会话控制服务器，使呼叫会话控制服务器根据拒绝响应信 息生成禁止接入消息，并将其发送给终端。
并且，在预定时间周期内请求鉴权的次数未达到预定的次数的 情况下，判断处理模块306使归属用户服务器根据用户签约中密钥 信息产生鉴权参数，将包含鉴权参数的鉴权信息发送给呼叫会话控 制服务器，并累加在预定时间周期内请求鉴权的次数。其中，鉴冲又 信息至少包4舌鉴^U兆战信息和第 一鉴纟又响应信息。
另外，在该装置的鉴权模块308中进一步包括子发送装置 310,用于使呼叫会话控制服务器根据从归属用户服务器接收到的 鉴权44战信息，向终端发送鉴权4兆战指示；生成模块312,用于使 终端接收鉴权挑战指示，根据存有的密钥或根据用户输入的密码生 成第二鉴权响应信息，并将第二鉴权响应信息发送给呼叫会话控制 服务器；比较模块314，用于使呼叫会话控制服务器将接收到的第 一鉴权响应信息和第二鉴权响应信息进行比较；以及处理模块316， 用于4艮据比4交结果，进4亍相应处理
其中，如果第一鉴权响应信息与第二鉴权响应信息不相同，则 处理才莫块316向终端发送注册失败响应消息，用户4妄收到注册失败 响应消息，并选4奪重新注册或方文弃注册。并且，如果第一鉴权响应 信息与第二鉴^又响应信息相同，处理才莫块316继续注册处理。
之后，在接收到从呼叫会话控制服务器发送的用户注册/注销请 求的同时，归属用户服务器清除用户的请求鉴权次数。
其中，清求鉴一又次凄t (次)与时间周期(分4中)的比^直约为1。
第三实施例
下面将参照图4、图5、图6、和图7描述本发明的第三实施例。 图4是应用本发明的系统构造实例的框图，图5是图4所示系统中 用户正常注册的流禾呈图，图6是图4所示系统中非法用户恶意注册 的流程图，图7是在图3所示的系统中实现本发明的流程图。
下面以IMS系统为例描述本发明的实施例。
如图4所示，移动或者固定纟冬端UE 11接入IMS( IPMutimedia Subsystem)网络，在注册登记(Register)过程中被要求鉴权；
接入代理服务器P-CSCF 12实现用户代理功能，它将收到的请 求和服务进行处理或转发。在本发明中，接入代理服务器中继终端 发送的IMS注册i青求；
查询服务器I-CSCF13充当网络所有用户的连"t妾点，为用户分 配可用的会话控制服务器(S-CSCF )。在本实施例中，它和P-CSCF 都4又转发注册"i青求；
呼叫会话控制月l务器S-CSCF 14在收到终端发送的初次注册请 求时，将对终端进行鉴权。如果它没有保存该用户的有效鉴权参数， 它将向归属用户服务器发起鉴权请求获得可用的鉴权参数；
归属用户服务器HSS 15接受会话控制服务器发送的鉴权请求， 返回鉴权参数供会话控制服务器对用户进行鉴权。在本实施例中， 归属用户服务器通过判断是否鉴权欺诈，可能返回失败的鉴权响 应，,人而拒绝非法用户的4妄入。
图5示出了该系统中用户正常注册的流程图，如图5所示，其
具体步一骤^j下
(1 )乡冬端UE通过IP网绍4妾入，向IMS网乡各发起注册"i青求 Register;
(2 )查询服务器I-CSCF收到终端的接入请求后，向归属用户 服务器HSS发送用户授权请求UAR消息；
(3) HSS返回用户授权响应UAA,包含服务器分配信息用亍 I-CSCF为用户分配合适的呼叫会话控制服务器S-CSCF;
(4 ) I-CSCF根据HSS返回的信息，选择一个S-CSCF为用户 服务，然后将注册请求转发到所选择的S-CSCF;
(5 ) S-CSCF收到注册消息后，决定对用户鉴4又，将鉴4又请求 消息MAR发纟会HSS;
系统i更定值。才全查发现鉴^C清求合法，则计算鉴一又参f史组，然后发 送成功的鉴权响应MAA;同时HSS保存为用户分配的S-CSCF名；
(7 ) S-CSCF保存MAA响应中的鉴权参数，将鉴权参数组装 为鉴权挑战请求，在401未认证消息中下发给终端；
(8) 终端收到鉴权挑战请求后，根据自己保存的密钥或者用 户输入的密码，计算鉴权响应值，然后在注册请求中携带鉴权响应
发送回网纟备；
(9) 查询服务器I-CSCF收到终端的接入请求后，向归属用户 服务器HSS发送用户4受权请求UAR消息；
(10 )由于HSS在步骤206中已经记录了为用户分配的S-CSCF 名，HSS在UAA响应中直接携带S-CSCF名，指示I-CSCF接入到 该S-CSCF;
(11 ): I-CSCF根据HSS返回的S-CSCF名，将注册请求转发 到该S-CSCF。
(12) S-CSCF比较注册请求中的鉴权响应值与步骤207中所 保存的网络侧鉴权响应值，发现相同说明鉴权通过，则向HSS发起 注册通知请求SAR。
(13 ) HSS ^f务改用户注册状态，向S-CSCF返回注册通知响应 SAA,携带用户所签约的数据。
(14) S-CSCF收到SAA响应，向终端返回注册成功的通知消 息200OK, ^4E结束。
其中，字段的含义同3GPP 29.228协议中的规定。
在该系统中，非法用户的恶意注册的流:径如图6所示，其具体
步-骤如下
(1 )终端UE通过IP网绍4妄入，向IMS网会各发起注册i青求 Register;
(2) 查询服务器I-CSCF收到终端的接入请求后，向归属用户 服务器HSS发送用户授权请求UAR消息；
(3) HSS返回用户授权响应UAA,包含服务器分配信息用于 I-CSCF为用户分配合适的呼叫会话控制服务器S-CSCF;
(4 ) I-CSCF才艮才居HSS返回的4言息，选4奪一个S-CSCF为用尸 服务，然后将注册请求转发到所选4奪的S-CSCF;
(5 ) S-CSCF收到注册消息后，决定对用户鉴权，将蒼权请求 消息MAR发纟合HSS;
(6) HSS判断用户在设定的时间周期内是否鉴权数已经超过 系统设定值。检查发现鉴权请求非法，则直接发送失败的鉴权响应 MAA给S-CSCF;
(7 ) S-CSCF检查MAA响应，发现HSS拒绝鉴权，则将403 禁止4妾入消息下发乡合终端，结束注册处理，流程结束。
其中，字段的含义同3GPP 29.228协议中的规定。
图7是4安本发明的方式在IMS系统归属用户月l务器(HSS)中 实现网络侧防鉴权欺诈功能的 一种流程图。
首先说明系统预置条件系统设定鉴权间隔时间 AucIntervalTime>0 ; 时间间隔内最大允^午鉴4又次4丈 MaxAucTimes>0;
系统初始值某用户当前已鉴权次f史CurAucTimes=0;某用户 初次鉴 一又时刻 FirstAucTime=系纟充启动时刻；当前系统时间 CurTime=系统启动时刻；
如图7所示，在IMS系统中实现根据本发明实施例的鉴权方法 的步骤如下
(1 ) HSS收到S-CSCF发送的MAR鉴权请求，开始鉴权处理流程。
(2) HSS判断4欠到MAR i青求的时刻与该用户"i己录的上次鉴
权时刻相比，是否已经超过系统设定的鉴权间隔时间。如果已经超
过，则说明鉴权保护时间已过，允许鉴权请求，所以HSS将当前收 到MAR请求的时刻保存为该用户记录的上次鉴权时刻，设置用尸 当前已鉴权次数为1，然后产生鉴权参数组，返回MAA鉴权响应 给S-CSCF,流程结束；如果间隔时间没有超过系统设定的鉴权间 隔时间，则继续下一步艰《处理。
(3 ): HSS判断该用户当前已鉴—又次凄丈是否已经大于等于系统 设定的最大允许鉴权次数，如果大于等于最大允许鉴权次数，则返 回鉴4又拒绝的MAA鉴4又失败响应给S-CSCF，拒绝该用户冲妻入， 流程结束；如果小于最大允许鉴权次数，则累加用户当前已鉴权次 数，并产生鉴权参数组，返回MAA鉴权响应给S-CSCF。流程结 束。
此外，当收到S-CSCF向HSS发送的用户注册/注销:清求SAR 时，HSS应当清除用户当前已鉴权次数。这是因为收到成功的注册 请求表明用户已经通过了鉴权，那么为了避免对合法用户的千扰， 应该允许合法用户不限制接入，所以将该用户鉴权保护数据改为初 始状态。
以上所述^叉为本发明的优选实施例而已，并不用于限制本发 明，对于本领域的技术人员来说，本发明可以有各种更改和变化。 凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进 等，均应包含在本发明的保护范围之内。
权利要求
1.一种通讯系统中的鉴权方法，用于为通过终端接入的用户提供鉴权，其特征在于，所述鉴权方法包括步骤S102，所述用户通过所述终端向系统发送接入请求；步骤S104，所述系统侧的呼叫会话控制服务器接收所述接入请求，并向归属用户服务器发送鉴权请求消息；步骤S106，所述归属用户服务器接收所述鉴权请求消息，判断预定时间周期内所述请求鉴权的次数是否达到预定的次数，将包括判断结果的消息发送给所述呼叫会话控制服务器；以及步骤S108，所述呼叫会话控制服务器根据所述消息对所述用户进行鉴权。
2. 根据权利要求1所述的鉴权方法，其特征在于，在所述步骤 S106中，在所述预定时间周期内所述i青求鉴4又的次^:达到所 述预定的次数的情况下，所述归属用户服务器将鉴权拒绝响应 信息发送给所述呼叫会话控制服务器，所述呼叫会话控制服务 器才艮据所述拒绝响应信息生成禁止4妻入消息，并将其发送给所 述终端。
3. 根据权利要求1所述的鉴权方法，其特征在于，在所述步骤 S106中，在所述预定时间周期内所述i奮求鉴斥又的次数.未达到 所述预定的次数的情况下，所述归属用户服务器根据用户签约 中密钥信息产生鉴权参数，将包含所述鉴权参数的鉴权信息发 送给所述呼叫会话控制服务器，并累加在所述预定时间周期内 所述i青求鉴纟又的次凄丈。
4. 根据权利要求3所述的鉴权方法，其特征在于，所述鉴权信息至少包括鉴权挑战信息和第一鉴权响应信息。
5. 根据权利要求4所述的鉴权方法，其特征在于，所述步骤S108 包括步骤S1082,所述呼叫会话控制服务器根据从所述归属用 户服务器接收到的所述鉴权挑战信息，向所述终端发送鉴权挑 战指示；步骤S1084,所述终端接收所述鉴权挑战指示，根据存有 的密钥或根据所述用户输入的密码生成第二鉴权响应信,包、，并 将所述第二鉴权响应信息发送给所述呼叫会话控制服务器；步骤S1086,所述呼叫会话控制服务器将接收到的所述第 一鉴权响应信息和所述第二鉴权响应信息进行比较；以及步骤S1088,根据比较结果，进行相应处理。
6. 根据权利要求5所述的鉴权方法，其特征在于，所述步骤S1088 包括如果所述第一鉴权响应信息与所述第二鉴权响应信息不 相同，则向所述终端发送注册失败响应消息，所述用户接收到 所述注册失败响应消息，并选4奪重新注册或放弃注册。
7. 才艮据^L利要求5所述的鉴权方法，其特征在于，所述步骤S1088 包括如果所述第一鉴权响应信息与所述第二鉴权响应信息相 同，继续注册处理。
8. 根据权利要求7所述的鉴权方法，其特征在于，在接收到从所 述呼叫会话控制月良务器发送的用户注册/注销-清求的同时，所 述归属用户服务器清除所述用户的所述请求鉴权次数。
9. 根据权利要求任一项所述的鉴权方法，其特征在于，所述请求鉴权次数与所述时间周期的比值约为1。
全文摘要
本发明公开了一种通讯系统的鉴权方法，该方法包括以下步骤步骤S102，用户通过终端向系统发送接入请求；步骤S104，系统侧的呼叫会话控制服务器接收接入请求，并向归属用户服务器(HSS)发送鉴权请求消息；步骤S106，归属用户服务器接收鉴权请求消息，判断预定时间周期内请求鉴权的次数是否达到预定的次数，将包括判断结果的消息发送给呼叫会话控制服务器；以及步骤S108，呼叫会话控制服务器根据消息对用户进行鉴权。本发明可以维护合法用户的权限与安全，并且具有很好的兼容性。
文档编号H04L9/32GK101197671SQ20061016088
公开日2008年6月11日 申请日期2006年12月8日 优先权日2006年12月8日
发明者亚 吴 申请人:中兴通讯股份有限公司