专利名称：：一种基于公钥证书的身份鉴别方法及其系统的制作方法
技术领域：
：本发明涉及一种基于公钥证书的身份鉴别方法及其系统，特别涉及有线局域网LAN(LocalAreaNetwork)中用户接入网络时一种基于三元对等鉴别TePA(Tri-elementPeerAuthentication)机制的身份鉴别方法及其系统。
背景技术：
：三元对等鉴别TePA技术是我国首次提出的一种用户与网络间对等鉴别的技术思想和框架方法，该技术定义了一种三元实体鉴别架构，基于对等鉴别的思想，可完成用户与网络之间的双向对等鉴别。在有线局域网中，目前IEEE通过对IEEE802.3进行安全增强来实现链路层的安全，采用典型的安全接入架构协议IEEE802.1x，其基本方法是在终端和接入点设备之外增加鉴别服务器，接入点设备利用鉴别服务器对终端的身份进行鉴别，从而实现对终端的安全接入控制。接入点设备直接转发终端和鉴别服务器间的鉴别信息，并不作为独立实体参与身份鉴别过程。这种模式仅能实现网络对终端身份的合法性鉴别，却不能满足终端对接入网络的合法性鉴别需求，无法实现终端与网络间的双向鉴别。终端无法对接入点设备的身份予以确认，即使后期在此类安全架构上通过增加安全补丁等措施来弥补安全漏洞，但也不能彻底解决诸如中间人攻击、终端接入非法的网络等安全问题。这类安全接入技术协议延用至今，已经对产业发展造成严重的障碍。
发明内容为了解决
背景技术：
中存在的上述技术问题，本发明提供了一种有线局域网LAN中用户接入网络时基于三元对等鉴别TePA机制的身份鉴别方法，可实现用户与网络之间的双向(单向)鉴别、快速更新认证、支持多证书等功能，其中鉴别过程基于公钥证书进行。本发明的技术解决方案是本发明提供了一种基于公钥证书的身份鉴别方法，其特殊之处在于所述基于公钥证书的身份鉴别方法包括以下步骤1)鉴别访问控制器AAC向请求者REQ发送鉴别激活分组；2)请求者REQ收到鉴别激活分组后向鉴别访问控制器AAC接入鉴别请求分组；3)鉴别访问控制器AAC收到接入鉴别请求分组后向鉴别服务器AS发送证书鉴别请求分组；4)鉴别服务器AS收到证书鉴别请求分组后向鉴别访问控制器AAC发送证书鉴别响应分组；5)鉴别访问控制器AAC收到证书鉴别响应分组后向请求者REQ发送接入鉴别响应分组；6)请求者REQ收到接入鉴别响应分组后向鉴别访问控制器AAC发送接入鉴别确认分组。上述步骤l)的具体实现方式是鉴别访问控制器AAC向请求者REQ发送鉴别激活以激活请求者REQ进行证书鉴别过程，该鉴别激活分组的主要内容包括SNonce、IDas_aac、CertAAc、Paraecdh、TIEaac以及SIGaac;其中SNonce字段表示鉴别标识，若为首次身份鉴别，则该字段为由鉴别访问控制器AAC产生的随机数；若为更新的身份鉴别过程，则该字段的值是上一7欠身份鉴别过程中协商生成的鉴别标识值；ID^AAc字段表示鉴别访问控制器AAC所信任的鉴别服务器AS的身份标识ID(identity),是鉴别访问控制器AAC证书CertAAc的颁发者鉴别服务器AS的身份标识ID;CertAAc字段表示鉴别访问控制器AAC的证书；ParaECDH字段表示椭圆曲线密码体制的Diffie-Hellman交换ECDH参数，是请求者REQ和鉴别访问控制器AAC进行ECDH计算时采用的椭圆曲线密码参数；TIEaac字段表示鉴别访问控制器AAC所支持的鉴别和密钥管理套件及密码套件，本字段为可选字段；SIGaac字段表示鉴别访问控制器AAC的签名，是鉴别访问控制器AAC利用自己的私钥对本分组中除本字段之外所有字段进行的签名，本字段为可选字段。上述步骤2)的具体实现方式是请求者REQ收到鉴别激活分组后，进行如下处理2.1)如果此次鉴别过程为身份鉴别的更新过程，则请求者REQ检查鉴别激活分组中的鉴别标识字段与上一次身份鉴别过程中计算的鉴别标识是否一致，如果不一致，则丢弃该分组，如果一致，则执行2.2);如果此次鉴别过程不是身份鉴别的更新过程，为首次身份鉴别过程，则直接执行2.2);2.2)如果收到的鉴别激活分组中包含SIGAAC字段，则验证SIGAAC字段的正确性，如果不正确则丢弃该分组，如果正确，则执行2.3);如果收到的鉴别、激活分組中未包含SIGaac字段，则直接执行2.3);2.3)根据鉴别激活分组中的ID^AAc:字段选择由该鉴别服务器AS颁发的请求者REQ证书CertREQ或者根据本地策略选择请求者REQ证书CertREQ，并产生用于ECDH交换的请求者REQ密钥数据x-P和请求者REQ询问NR^，生成接入鉴别请求分组，发送给鉴别访问控制器AAC;接入鉴别请求分组主要内容包括SNonce、N虹q、x-P、IDaac、CertREQ、ParaECDH、TIErbq、ListAs-req以及SigREQ;其中SNonce字段表示鉴别标识，其值同鉴别激活分组中的SNonce字段值，若为首次身份鉴别过程，则该字段值直接取决于鉴别激活分组中的SNonce字段值；若为更新的身份鉴别过程，则该字段值为上一次身份鉴别过程中计算的鉴另U才示识值；Nreq字段表示请求者REQ询问，是请求者REQ产生的随机数；x-P字段表示请求者REQ的密钥数据，是请求者REQ生成的用于ECDH交换的临时公钥x-P;IDaac字段表示鉴别访问控制器AAC的身份标识ID，根据鉴别激活分组中鉴别访问控制器AAC的证书Cert^c字段得到；CertREQ字段表示请求者REQ的证书；ParaECDH字段表示ECDH参数，是请求者REQ和鉴别访问控制器AAC进fi1ECDH计算时采用的椭圆曲线密码参数，其值同鉴别激活分组中的ParaECDH字段值；TIEreq字段表示请求者REQ选择的鉴别和密钥管理套件及密码套件，本字12段为可选字段；ListAS—req字段表示请求者REQ所信任的鉴别服务器AS列表，但不包含请求者REQ的证书CertREQ的颁发者，若请求者REQ除了信任其证书颁发者以外，还信任其他的某些实体，可以通过本字段通知鉴别服务器AAC，本字段为可选字段；SigREQ字段表示请求者REQ的签名，是请求者REQ利用自己的私钥对本分组中除本字段之外所有字段进行的签名。上步骤3)的具体实现方式是鉴别访问控制器AAC收到接入鉴别请求分组后，进行如下处理3.1)如果鉴别访问控制器AAC发送了鉴别激活分组，则检査收到的接入鉴别请求分组中的SNonce、PamECDH字段值和鉴别激活分组中对应的字段值是否一致，如果有一个不一致，则丢弃该分组；如果一致，则执行3.2);如果鉴别访问控制器AAC没有发送鉴别激活分组，则检査SNonce字段值和上一次证书鉴别过程中计算的鉴别标识是否一致，并检查PamECDH字段和上一次鉴别激活分组中的ParaECDH是否一致，如果有一个不一致，则丢弃该分组；如果一致，则执行3.2);3.2)检查IDAAc与自己的身份是否一致，如果不一致，则丢弃该分组；如果一致则执行3.3);3.3)验证请求者REQ的签名SigREQ字段的正确性，如果正确，则执行3.4);如果不正确，则执行丢弃该分组；3.4)如果鉴别访问控制器AAC的本地策略要求使用鉴别服务器AS来鉴别请求者REQ的证书Cert卿，则鉴别访问控制器AAC生成证书鉴别请求分组，发送给鉴别服务器AS;否则执行3.5);3.5)鉴别访问控制器AAC本地鉴别请求者REQ的证书CertREQ，即根据本地缓存的请求者REQ的证书CertREQ的验证结果及本地策略所定义的时效性确认i青求者REQ的证书CertREQ的验证结果，若合法，则本地生成用于ECDH交换的密钥数据(鉴别访问控制器AAC的临时公钥y，P)以及AAC询问NAAc，并根据请求者REQ的临时公钥x'P以及自己的临时私钥y进行ECDH计算得到基密钥BK(Basekey)以及下一次身份鉴别过程的鉴别标识并保存，然后设定接入结果为成功，构造接入鉴别响应分组发送给请求者REQ，并允许用户访问网络；若CertREQ的验证结果为不合法，则鉴别访问控制器AAC设定接入结果为不成功，鉴别访问控制器AAC的询问NAAc和密钥数据yP可设置为任意值，构造接入鉴别响应分组发送给请求者REQ;证书鉴别请求分组主要内容包括Naac、Nreq、CertREQ、CertAAc以及LlStAS-REQ;其中Naac字段表示鉴别访问控制器AAC询问，是鉴别访问控制器AAC产生的随机数；Nre(j字段表示请求者REQ询问，其值同接入鉴别请求分组中NRE(2字段的值；Cert,字段表示请求者REQ的证书，其值同接入鉴别请求分组中CertREo字段的值；CertAAc字段表示鉴别访问控制器AAC的证书，其值同鉴别激活分组中CertAAc字段的值；LisUs.卿字段表示请求者REQ信任的鉴别服务器AS列表，其值同接入鉴别请求分组中LisUs.req字段的值，本字段为可选字段。上步骤4)的具体实现方式是鉴别服务器AS收到证书鉴别请求分纟且后，进行如下处理-4.1)如果此次鉴别过程为单向鉴别，则只需验证请求者REQ的证书CertREQ，如果是双向鉴别则需要同时验证鉴别访问控制器AAC的证书CertAAc和请求者REQ的证书CertREQ，然后执行4.2);4.2)根据证书的验证结果，构造证书鉴别响应分组，并且附加相应的签名，发往鉴别访问控制器AAC;证书鉴别响应分组主要内容包括RESCert、SIGas.req以及SIGas.aac;其中RESc^字段表示证书的验证结果，本字段包括鉴别访问控制器AAC询问僮Naac、请求者REQ询问值NREQ、CertAAc的验证结果以及CertREq;的验证结果，如果只是单向验证则不包括CertAAc的验证结果；SIGas.req字段表示请求者REQ信任的鉴别服务器AS对本分组中证书的验证结果RESciert字段的签名；SIGas.aac字段表示鉴别访问控制器AAC信任的鉴别服务器AS对本分组中除本字段之外所有字段的签名，本字段为可选字段；如果对证书验证结果进行签名的鉴别服务器AS和鉴别访问控制器AAC信任的鉴别服务器AS相同，则不需要本字段。上述步骤5)的具体实现方式是鉴别访问控制器AAC收到证书鉴别响应分组后，进行如下处理5.1)检查证书的验证结果RESc^字段中的鉴别访问控制器AAC的询向Naac与证书鉴别请求分组中的NAAc字段值是否相同，若不同，丢弃该分组；若相同则执行5.2);5.2)如果分组中含有两个签名字段，则检查鉴别访问控制器AAC所信任的鉴别服务器AS的签名SIGAs.AAc字段是否正确，若不正确，则丢弃该分组；若正确则执行5.3);如果分组中只含有一个签名字段，即表明对证书验证结果进行签名的鉴别服务器AS也是鉴别访问控制器AAC所信任的鉴别服务器AS，则检查SIGas.req字段是否正摘，若不正确，则丢弃该分组；若正确则执行5.3);5.3)检査证书的验证结果REScert字段中CertR^的验证结果是否合法，若合法，则本地生成用于ECDH交换的密钥数据(鉴别访问控制器AAC的临时公钥yP)，并根据请求者REQ的临时公钥x'P以及自己的临时私钥y进行ECDH计算得到基密钥BK以及下一次身份鉴别过程的鉴别标识并保存，然后设定接入结果为成功，构造接入鉴别响应分组发送给请求者REQ，并允许用户访问网纟各；若CertREcj的验证结果为不合法，则鉴别访问控制器AAC设定接入结果为不成功，鉴别访问控制器AAC的询问NAAc和密钥数据yP可设置为任意值，构造接入鉴别响应分组发送给请求者REQ;接入鉴别响应分组主要内容包括Nreq、Naac、Accres、x'P、y'P、IDaac、IDreq、MREScert以及SIGAAc或MIC;其中Nre(j字段表示请求者REQ询问，是请求者REQ产生的随机数。仅为单向鉴别过程时，接入鉴别响应分组需包含此字段，若存在，其值同请求者REQ发送的接入鉴别请求分组中NR^字段的值；，15Naac字段表鉴别访问控制器AAC的询问，是鉴别访问控制器AAC产生的随机数，仅为单向鉴别过程时，接入鉴别响应分组需包含此字段，若存在，其值同鉴别访问控制器AAC发送的证书鉴别请求分组中NAAc字段的值；Accres字段表示接入结果，是鉴别访问控制器AAC根据鉴别结果设定的接入成功或失败以及失败的原因；x-P:表示请求者REQ的密钥数据，其值同接入鉴别请求分组中&P字段的值；y-P:表示鉴别访问控制器AAC的密钥数据，是鉴别访问控制器AAC生成的用于ECDH交换的临时公钥yP;IDaac字段表示鉴别访问控制器AAC的身份标识ID，是根据鉴别i方问控制器AAC的证书CertAAc字段得到；IDreq字段表示请求者REQ的身份标识ID，根据收到的接入鉴别请求分组中请求者REQ的证书CertREQ字段得到；MRESc^字段表示复合的证书验证结果。仅为双向鉴别过程时，在接入鉴别响应分组中需包含此字段，若存在，则该字段由证书鉴别响应分组中的各个字段组成，并且值相同；SIGaac字段表示鉴别访问控制器AAC的签名，是鉴别访问控制器AAC利用自己的私钥对本分组中除本字段之外所有字段的签名；MIC字段表示消息鉴别码，是鉴别访问控制器AAC利用鉴别过程中协商生成的基密钥BK对接入鉴别响应分组中除了本字段外的所有字段及下一7欠证书鉴别过程的鉴别标识计算得到的杂凑值。上述步骤6)的具体实现方式是请求者REQ收到接入鉴别响应分纟且后，进行如下处理6.1)根据分组中的IDAAC和IDREQ字段判断是否为对应当前接入鉴别请求分组的接入鉴别响应分组，如果不是，则丢弃该分组；如果是则执行6.2);6.2)比较分组中请求者REQ密钥数据x'P字段值与自己发送的接入鉴别请求分组中的x'P字段值是否一致，若不一致，则丢弃该分组；若一致则执纟亍63);6.3)如果是单向鉴别过程，则比较NREQ字段值与之前发送的接入鉴别请求分组中的NREQ字段值是否一致，若不一致，则丢弃该分组；若一致则执^亍6.4);如果是双向鉴别过程，则直接执行6.4);166.4)查看分组中的AccREs字段，如果接入结果为不成功，则得知不能访问该网络；如果接入结果为成功，则执行6.5);6.5)如果收到的接入鉴别响应分组中含有SIGAAC字段，则验证SIGAAC的正确性，如果不正确，则丢弃该分组；如果正确则执行6.6);如果收到的分组中含有MIC字段，则验证MIC字段的正确性，如果不正确，则丢弃分组；如果正确则执行f);6.6)如果是单向鉴别过程，则执行6.8)，否则验证复合的证书验证结果MREScert字段中所包含的NREQ字段值与自己发送的接入鉴别请求分组中NREQ字段值是否一致，若不一致，则丢弃该分组；如果一致则验证签名SIGAS.req是否正确，如果不正确则丢弃该分组；如果正确则执行6.7);6.7)验证复合的证书验证结果MREScert字段中鉴别访问控制器AACi正书验证结果是否为合法，如果不合法，则得知该网络不合法，不可以访问该网络；如果合法则得到该网络是合法的，可以进行访问，并执行6.8);6.8)请求者REQ根据鉴别访问控制器AAC的临时公钥yP和自己的临时私钥x进行ECDH计算得到基密钥BK以及下一次身份鉴别过程的鉴别标识并保存；6.9)如果收到的接入鉴别响应分组中含有MIC字段，则是否发送接入鉴别确认分组是可选的；如果收到的分組中含有SIGaac字段，则需要构造接入鉴别确认分组，发送给鉴别访问控制器AAC;接入鉴别确认分组主要内容包括MC;其中-MIC字段表示消息鉴别码，是请求者REQ利用鉴别过程中协商生成的基密钥BK对鉴别访问控制器AAC询问值NAAc、请求者REQ询问值NREQ及下一次证书鉴别过程的鉴别标识计算得到的杂凑值；上述步骤6)中鉴别访问控制器AAC在发送接入鉴别响应分组给请求者REQ之后，如果发送的接入鉴别响应分组中包含的是鉴别访问控制器AAC的签名SIGaac字段，则鉴别访问控制器AAC需要等待接收接入鉴别确认分组。上述歩骤6)中当鉴别访问控制器AAC在收到请求者REQ发送的接入鉴别确认分组之后，要验证分组中MC字段的正确性，如果正确，则意味着请求者REQ具有和自己一致的基密钥BK;如果不正确，则丢弃该分组。一种基于公钥证书的身份鉴别系统，其特殊之处在于所述基于公钥证书的身份鉴别系统包括请求者REQ、鉴别访问控制器AAC以及鉴别服务器AS，鉴别服务器AS分别和请求者REQ、鉴别访问控制器AAC链接；请求者REQ和鉴别访问控制器AAC通过鉴别服务器AS进行鉴别。本发明提供的一种有线局域网中用户接入网络时基于三元对等鉴别TePA机制的身份鉴别方法，可实现用户与网络之间的双向(单向)鉴别、快速更新认证、支持多证书等功能，用以保障数据的机密性、完整性、源鉴别及防重放，其中鉴别过程基于公钥证书进行。图l为本发明所述方法的鉴别过程示意图。具体实施例方式参见图1，请求者REQ和鉴别访问控制器AAC事先获得认证服务器AS颁发的公钥证书，代表自己的身份，其中公钥证书采用乂.509证书格式。当请求者REQ需要访问网络时，执行本发明提供的一种身份鉴别方法，以实现安全的访问控制。该方法包括1)鉴别激活鉴别访问控制器AAC向请求者REQ发送鉴别激活分组以激活请求者REQ进行证书鉴别过程。鉴别激活分组的主要内容包括SNonceIDAs-aacCertAAcParaECDH丁正aacSIGaac其中-SNonce字段表示鉴别标识，若为首次身份鉴别，则该字段为由鉴别访问控制器AAC产生的随机数；若为更新的身份鉴别过程，则该字段的值是上一次身份鉴别过程中协商生成的鉴别标识值。IDAs.AAc字段表示鉴别访问控制器AAC所信任的鉴别服务器AS的身份标识ID(identity),是鉴别访问控制器AAC证书CertAAc的颁发者鉴别服务器AS的身份标识ID。CertAAc字段表示鉴别访问控制器AAC的证书。ParaECDH字段表示椭圆曲线密码体制的Diffie-Hellman交换ECDH参数，是请求者REQ和鉴别访问控制器AAC进行ECDH计算时采用的椭圆曲线密码参数。TIEaac字段表示鉴别访问控制器AAC所支持的鉴别和密钥管理套件及密码套件。本字段为可选字段。SIGaac字段表示鉴别访问控制器AAC的签名，是鉴别访问控制器AAC利用自己的私钥对本分组中除本字段之外所有字段进行的签名。本字段为可选字段。2)接入鉴别请求请求者REQ收到鉴别激活分组后，进行如下处理2.1)如果此次鉴别过程为身份鉴别的更新过程，则请求者REQ检査鉴别激活分组中的鉴别标识字段与上一次身份鉴别过程中计算的鉴别标识是否一致，如果不一致，则丢弃该分组，否则执行2.2);如果此次鉴别过程不是身份鉴别的更新过程，为首次身份鉴别过程，则直接执行2,2);2.2)如果收到的鉴别激活分组中包含SIGAAC字段，则验证SIGAAC字段的正确性，如果不正确则丢弃该分组，否则执行2,3);如果收到的鉴别激活分组中未包含SIGaac字段，则直接执行2.3);2.3)根据鉴别激活分组中的IDAs.AAc字段选择由该鉴别服务器AS颁发的请求者REQ证书CertKEQ或者根据本地策略选择请求者REQ证书CertREQ，并产生用于ECDH交换的请求者REQ密钥数据vP和请求者REQ询向Nreq，生成接入鉴别请求分组，发送给鉴别访问控制器AAC。接入鉴别请求分组主要内容包括-SNonceNreqx.PIDaacCert卿ParaecdhTIE卿List八s-REQ其中SNonce字段表示鉴别标识，其值同鉴别激活分组中的SNonce字段值。若为首次身份鉴别过程，则该字段值直接取决于鉴别激活分组中的SNonce字段值;若为更新的身份鉴别过程，则该字段值为上一次身份鉴别过程中计算的鉴别标识值。Nreq字段表示请求者REQ询问，是请求者REQ产生的随机数。x-P字段表示请求者REQ的密钥数据，是请求者REQ生成的用于ECDH交换的临时公钥x-P。IDaac字段表示鉴别访问控制器AAC的身份标识ID，根据鉴别激活分组中鉴别访问控制器AAC的证书CertAAc字段得到。CertREQ字段表示请求者REQ的证书。ParaECDH字段表示ECDH参数，是请求者REQ和鉴别访问控制器AAC进行ECDH计算时采用的椭圆曲线密码参数。其值同鉴别激活分组中的PamECDH字段值。TIEreq字段表示请求者REQ选择的鉴别和密钥管理套件及密码套件。本字段为可选字段。LisUs.req字段表示请求者REQ所信任的鉴别服务器AS列表，但不包含请求者REQ的证书CertREQ的颁发者。若请求者REQ除了信任其证书颁发者以外，还信任其他的某些实体，可以通过本字段通知鉴别服务器AAC。本字段为可选字段。Sig貼Q字段表示请求者REQ的签名，是请求者REQ利用自己的私钥对本分组中除本字段之外所有字段进行的签名。3)证书鉴别请求鉴别访问控制器AAC收到接入鉴别请求分组后，进行如下处理3.1)如果鉴别访问控制器AAC发送了鉴别激活分组，则检查收到的接入鉴别请求分组中的SNonce、ParaECDH字段值和鉴别激活分组中对应的字段值是否一致，如果有一个不一致，则丢弃该分组，否则执行3.2);如果鉴别访问控制器AAC没有发送鉴别激活分组，则检查SNonce字段值和上一次证书鉴别过程中计算的鉴别标识是否一致，并检査ParaECDH字段和上一次鉴别激活分组中的ParaECDH是否一致，如果有一个不一致，则丢弃该分组，否则执行3.2);3.2)检査IDAAc与自己的身份是否一致，如果不一致，则丢弃该分组，否则执行3.3);3.3)验证请求者REQ的签名SigREQ字段的正确性，如果正确，则执行3.4);如果不正确，则执行丢弃该分组；3.4)如果鉴别访问控制器AAC的本地策略要求使用鉴别服务AS来鉴别请求者REQ的证书CertREQ，则鉴别访问控制器AAC生成证书鉴别请求分组，发送给鉴别服务器AS;否则执行3.5);3.5)鉴别访问控制器AAC本地鉴别请求者REQ的证书CertREQ，即根据本地缓存的请求者REQ的证书CertRE(j的验证结果及本地策略所定义的时效性确认请求者REQ的证书CertREQ的验证结果。若合法，则本地生成用于ECDH交换的密钥数据(鉴别访问控制器AAC的临时公钥yP)以及AAC询问NAAc，并根据请求者REQ的临时公钥xT以及自己的临时私钥y进行ECDH计算得到基密钥BK以及下一次身份鉴别过程的鉴别标识并保存，然后设定接入结果为成功，构造接入鉴别响应分组发送给请求者REQ，并允许用户访问网络；若CertREQ的验证结果为不合法，则鉴别访问控制器AAC设定接入结果为不成功，鉴别访问控制器AAC的询问NAAc和密钥数据yP可设置为任意值，构造接入鉴别响应分组发送给请求者REQ。证书鉴别请求分组主要内容包括NaacNreqCertAAcListAS-req其中Naac字段表示鉴别访问控制器AAC询问，是鉴别访问控制器AAC产生的随机数。Nreq字段表示请求者REQ询问，其值同接入鉴别请求分组中NREQ字段的值。CertREQ字段表示请求者REQ的证书，其值同接入鉴别请求分组中CertREQ字段的值。CertAAc字段表示鉴别访问控制器AAC的证书，其值同鉴别激活分组中CertAAc:字段的值。LisUs.卿字段表示请求者REQ信任的鉴别服务器AS列表，其值同接入鉴别请求分组中ListAs.req字段的值。本字段为可选字段。4)证书鉴别响应鉴别服务器AS收到证书鉴别请求分组后，进行如下处理4.1)如果此次鉴别过程为单向鉴别，则只需验证请求者REQ的证书CertREQ，如果是双向鉴别则需要同时验证鉴别访问控制器AAC的证书CertAAc和请求者REQ的证书CertREQ，然后执行4,2);4.2)根据证书的验证结果，构造证书鉴别响应分组，并且附加相应的签名，发往鉴别访问控制器AAC。证书鉴别响应分组主要内容包括RESCertSIGAS-卿SIG'as-aac其中21REScert字段表示证书的验证结果，本字段包括鉴别访问控制器AAC询问僮Naac、请求者REQ询问值NREQ、CertAAc的验证结果以及CertREQ的验证结果。如果只是单向验证则不包括CertAAc的验证结果。SIGas.req字段表示请求者REQ信任的鉴别服务器AS对本分组中证书的验证结果REScert字段的签名。SIGas.mc字段表示鉴别访问控制器AAC信任的鉴别服务器AS对本分组中除本字段之外所有字段的签名。本字段为可选字段。如果对证书验证结果进行签名的鉴别服务器AS和鉴别访问控制器AAC信任的鉴别服务器AS相同，则不需要本字段。5)接入鉴别响应鉴别访问控制器AAC收到证书鉴别响应分组后，进行如下处理5.1)检查证书的验证结果REScert字段中的鉴别访问控制器AAC的询问NAAc与证书鉴别请求分组中的naac字段值是否相同，若不同，丢弃该分组，否则执行5.2);5.2)如果分组中含有两个签名字段，则检查鉴别访问控制器AAC所信任的鉴别服务器AS的签名SIGAS.aac字段是否正确，若不正确，则丢弃该分组；否则执行5.3);如果分组中只含有一个签名字段，即表明对证书验证结果进行签名的鉴别服务器AS也是鉴别访问控制器AAC所信任的鉴别服务器AS，则检査SIGas.req字段是否正摘，若不正确，则丢弃该分组；否则执行5,3);5.3)检查证书的验证结果REScert字段中CertREQ的验证结果是否合法，若合法，则本地生成用于ECDH交换的密钥数据(鉴别访问控制器AAC的临时公钥y-P)，并根据请求者REQ的临时公钥x'P以及自己的临时私钥y进行ECDH计算得到基密钥BK以及下一次身份鉴别过程的鉴别标识并保存，然后设定接入结果为成功，构造接入鉴别响应分组发送给请求者REQ，并允许用户访问网络；若CertREQ的验证结果为不合法，则鉴别访问控制器AAC设定接入结果为不成功，鉴别访问控制器AAC的询问NAAc和密钥数据yP可设置为任意值，构造接入鉴别响应分组发送给请求者REQ。接入鉴别响应分组主要内容包括:<table>tableseeoriginaldocumentpage22</column></row><table>其中Nreq字段表示请求者REQ询问，是请求者REQ产生的随机数。仅为单向鉴别过程时，接入鉴别响应分组需包含此字段。若存在，其值同请求者REQ发送的接入鉴别请求分组中NKEQ字段的值。Naac字段表鉴别访问控制器AAC的询问，是鉴别访问控制器AAC产生的随机数。仅为单向鉴别过程时，接入鉴别响应分组需包含此字段。若存在，其值同鉴别访问控制器AAC发送的证书鉴别请求分组中NAAc字段的值。Accres字段表示接入结果，是鉴别访问控制器AAC根据鉴别结果设定的接入成功或失败以及失败的原因。x-P:表示请求者REQ的密钥数据，其值同接入鉴别请求分组中x，P字段的值。y-P:表示鉴别访问控制器AAC的密钥数据，是鉴别访问控制器AAC生成的用于ECDH交换的临时公钥yP。IDaac字段表示鉴别访问控制器AAC的身份标识ID，是根据鉴别访问控制器AAC的证书CertAAc字段得到。IDreq字段表示请求者REQ的身份标识ID，根据收到的接入鉴别请求分组中请求者REQ的证书CertREQ字段得到。MREScert字段表示复合的证书验证结果。仅为双向鉴别过程时，在接入鉴别响应分组中需包含此字段。若存在，则该字段由证书鉴别响应分组中的各个字段组成，并且值相同。SIGaac字段表示鉴别访问控制器AAC的签名，是鉴别访问控制器AAC利用自己的私钥对本分组中除本字段之外所有字段的签名。MIC字段表示消息鉴别码，是鉴别访问控制器AAC利用鉴别过程中协商生成的基密钥BK对接入鉴别响应分组中除了本字段外的所有字段及下一次证书鉴别过程的鉴别标识计算得到的杂凑值。注接入鉴别响应分组只需要包含SIGAAc字段和MIC字段二者之一即可。如果在此次身份鉴别过程中存在鉴别激活分组，且鉴别激活分组包含SIGAAC字段，则此分组中只包含MIC字段;如果此次身份鉴别过程不存在鉴别激活分组或者鉴别激活分组中没有包含SIGAAC字段，则此分组中只包含SIGAAC字段。6)接入鉴别确认请求者REQ收到接入鉴别响应分组后，进行如下处理6.1)根据分组中的IDAAC和IDREQ字段判断是否为对应当前接入鉴别请求分组的接入鉴别响应分组，如果不是，则丢弃该分组，否则执行62);6.2)比较分组中请求者REQ密钥数据x，P字段值与自己发送的接入鉴别请求分组中的x.P字段值是否一致，若不一致，则丢弃该分组，否则执行6.3);6.3)如果是单向鉴别过程，贝吡较NREQ字段值与之前发送的接入鉴别请求分组中的NREcj字段值是否一致，若不一致，则丢弃该分组，否则执行6.4);如果是双向鉴别过程，则直接执行6.4);6.4)查看分组中的AccREs字段，如果接入结果为不成功，则得知不能访问该网络；否则执行6.5);6.5)如果收到的接入鉴别响应分组中含有SIGMC字段，则验证SIGAAC的正确性，如果不正确，则丢弃该分组，否则执行6.6);如果收到的分组中含有MIC字段，则验证MIC字段的正确性，如果不正确，则丢弃分组，否则执行6.6);6.6)如果是单向鉴别过程，则执行6.8)，否则验证复合的证书验证结果MREScert字段中所包含的NREQ字段值与自己发送的接入鉴别请求分组中NREQ字段值是否一致，若不一致，则丢弃该分组，否则验证签名SIGAS.req是否正确，如果不正确则丢弃该分组，否则执行6.7);6.7)验证复合的证书验证结果MREScert字段中鉴别访问控制器AAC证书验证结果是否为合法，如果不合法，则得知该网络不合法，不可以访问该网络；否则得到该网络是合法的，可以进行访问，并执行6.8);6.8)请求者REQ根据鉴别访问控制器AAC的临时公钥yP和自己的临时私钥x进行ECDH计算得到基密钥BK以及下一次身份鉴别过程的鉴别标识并保存；6.9)如果收到的接入鉴别响应分组中含有MIC字段，则是否发送接入鉴别确认分组是可选的；如果收到的分組中含有SIGaac字段，则需要构造接入鉴别确认分组，发送给鉴别访问控制器AAC。接入鉴别确认分组,要内容包括:__^_其中MIC字段表示消息鉴别码，是请求者REQ利用鉴别过程中协商生成的基密钥BK对鉴别访问控制器AAC询问僮Naac、请求者REQ询问值NREQ及下一次证书鉴别过程的鉴别标识计算得到的杂凑值。鉴别访问控制器AAC在发送接入鉴别响应分组给请求者REQ之后，如果发送的接入鉴别响应分组中包含的是鉴别访问控制器AAC的签名SIGAAc字段，则鉴别访问控制器AAC需要等待接收接入鉴别确认分组。鉴别访问控制器AAC在收到请求者REQ发送的接入鉴别确认分组之后，要验证分组中MIC字段的正确性，如果正确，则意味着请求者REQ具有和自己一致的基密钥BK;否则，丢弃该分组。注本发明功能高度集中，即可实现双向鉴别，又可实现单向鉴别，还支持鉴别更新以及快速的鉴别更新。所谓快速的鉴别更新就是指在身份鉴别过程中不需要鉴别服务器AS的参与，鉴别访问控制器AAC与请求者REQ之间直接根据以前的身份鉴别过程中的证书验证结果进行签名验证；反映在分组中的内容上，就是身份鉴别过程不包含证书鉴别请求和证书鉴别响应分组，且接入鉴别响应分组中不包含复合的证书验证结果字段；快速的鉴别过程只能用作鉴别更新过程，不能用作客户端与网络连接时的首次鉴别。本发明还提供一种基于公钥证书的身份鉴别系统，包括请求者REQ、鉴别访问控制器AAC以及鉴别服务器AS，鉴别服务器AS分别和请求者REQ、鉴别访问控制器AAC链接；请求者REQ和鉴别访问控制器AAC通过鉴别服务器AS进行鉴别。权利要求1、一种基于公钥证书的身份鉴别方法，其特征在于该方法包括以下步骤1)鉴别访问控制器AAC向请求者REQ发送鉴别激活分组；2)请求者REQ收到鉴别激活分组后向鉴别访问控制器AAC接入鉴别请求分组；3)鉴别访问控制器AAC收到接入鉴别请求分组后向鉴别服务器AS发送证书鉴别请求分组；4)鉴别服务器AS收到证书鉴别请求分组后向鉴别访问控制器AAC发送证书鉴别响应分组；5)鉴别访问控制器AAC收到证书鉴别响应分组后向请求者REQ发送接入鉴别响应分组；6)请求者REQ收到接入鉴别响应分组后向鉴别访问控制器AAC发送接入鉴别确认分组。2、根据权利要求l所述的基于公钥证书的身份鉴别方法，其特征在于所述步骤l)的具体实现方式是鉴别访问控制器AAC向请求者REQ发送鉴别激活以激活请求者REQ进行证书鉴别过程，该鉴别激活分组的主要内容包括SNonce、IDas.aac、CertAAc、ParaECDH、TIEaac以及SIGaac;其中SNonce字段表示鉴别标识，若为首次身份鉴别，则该字段为由鉴另Ui方问控制器AAC产生的随机数；若为更新的身份鉴别过程，则该字段的值是上一次身份鉴别过程中协商生成的鉴别标识值；IDAs.AAc字段表示鉴别访问控制器AAC所信任的鉴别服务器AS的身份标识ID(identity),是鉴别访问控制器AAC证书CerUAc的颁发者鉴别服务器AS的身份标识ID;CertAAc字段表示鉴别访问控制器AAC的证书；ParaECDH字段表示椭圆曲线密码体制的Diffie-Hellman交换ECDH参数，是请求者REQ和鉴别访问控制器AAC进行ECDH计算时采用的椭圆曲线密码参数；TIEaac字段表示鉴别访问控制器AAC所支持的鉴别和密钥管理套《牛及密码套件，本字段为可选字段；SIGaac字段表示鉴别访问控制器AAC的签名，是鉴别访问控制器AAC利用自己的私钥对本分组中除本字段之外所有字段进行的签名，本字段为可选字段。3、根据权利要求2所述的基于公钥证书的身份鉴别方法，其特征在于所述步骤2)的具体实现方式是请求者REQ收到鉴别激活分组后，进行如下处理/2.1)如果此次鉴别过程为身份鉴别的更新过程，则请求者REQ检査鉴别激活分组中的鉴别标识字段与上一次身份鉴别过程中计算的鉴别标识是否一致，如果不一致，则丢弃该分组，如果一致，则执行2.2);如果此次鉴别过程不是身份鉴别的更新过程，为首次身份鉴别过程，则直接执行2.2);/2.2)如果收到的鉴别激活分组中包含sigaac字段，则验证sigaac字段的正确性，如果不正确则丢弃该分组，如果正确，则执行2.3);如果收到的鉴别^[活分組中未包含SIGaac字段，则直接执行2.3);/2.3)根据鉴别激活分组中的ID^AAc字段选择由该鉴别服务器AS颁发的请求者REQ证书CertREQ或者根据本地策略选择请求者REQ证书CertREQ，并产生用于ECDH交换的请求者REQ密钥数据x-P和请求者REQ询问NRE(3，生成接入鉴别请求分组，发送给鉴别访问控制器AAC;接入鉴别请求分组主要内容包括SNonce、N虹q、x*P、IDaac、CertREQ、Paraecdh、TIEreq、LisUs.req以及SigREQ;其中-SNonce字段表示鉴别标识，其值同鉴别激活分组中的SNonce字段值，若为首次身份鉴别过程，则该字段值直接取决于鉴别激活分组中的SNonce字段值；若为更新的身份鉴别过程，则该字段值为上一次身份鉴别过程中计算的鉴别标识值；Nre(j字段表示请求者REQ询问，是请求者REQ产生的随机数；x-P字段表示请求者REQ的密钥数据，是请求者REQ生成的用于ECDH交换的临时公钥x'P;IDaac字段表示鉴别访问控制器AAC的身份标识ID，根据鉴别激活分组中鉴别访问控制器AAC的证书CertAAc字段得到；CertREQ字段表示请求者REQ的证书；ParaECDH字段表示ECDH参数，是请求者REQ和鉴别访问控制器AAC进行ECDH计算时采用的椭圆曲线密码参数，其值同鉴别激活分组中的ParaECDH字段值；TIEr^字段表示请求者REQ选择的鉴别和密钥管理套件及密码套件，本字段为可选字段；LisUs.卿字段表示请求者REQ所信任的鉴别服务器AS列表，但不包含请求者REQ的证书CertREQ的颁发者，若请求者REQ除了信任其证书颁发者以外，还信任其他的某些实体，可以通过本字段通知鉴别服务器AAC，本字段为可选字段；SigREQ字段表示请求者REQ的签名，是请求者REQ利用自己的私钥对本分组中除本字段之外所有字段进行的签名。4、根据权利要求3所述的基于公钥证书的身份鉴别方法，其特征在于所述步骤3)的具体实现方式是鉴别访问控制器AAC收到接入鉴别请求分组后，进行如下处理，3.1)如果鉴别访问控制器AAC发送了鉴别激活分组，则检査收到的接入鉴别请求分组中的SNonce、ParaECDH字段值和鉴别激活分组中对应的字段值是否一致，如果有一个不一致，则丢弃该分组，如果一致，则执行3.2);如果鉴别访问控制器AAC没有发送鉴别激活分组，则检查SNonce字段值和上一次证书鉴别过程中计算的鉴别标识是否一致，并检查ParaE03H字段和上一次鉴别激活分组中的ParaECDH是否一致，如果有一个不一致，则丢弃该分组；如果一致，则执行，3.2);，3.2)检査IDAAc与自己的身份是否一致，如果不一致，则丢弃该分组；如果一致则执行3.3);，3.3)验证请求者REQ的签名SigREQ字段的正确性，如果正确，则执行3.4);如果不正确，则执行丢弃该分组；，3.4)如果鉴别访问控制器AAC的本地策略要求使用鉴别服务器AS来鉴别请求者REQ的证书CertREQ，则鉴别访问控制器AAC生成证书鉴别请求分组，发送给鉴别服务器AS;否则执行3.5);3.5)鉴别访问控制器AAC本地鉴别请求者REQ的证书CertRE(3，即根据本地缓存的请求者REQ的证书CertREQ的验证结果及本地策略所定义的时效性确认请求者REQ的证书CertREQ的验证结果，若合法，则本地生成用于ECDH交换的密钥数据(鉴别访问控制器AAC的临时公钥yP)以及AAC询问NAAc，并根据i青求者REQ的临时公钥x卞以及自己的临时私钥y进行ECDH计算得到基密钥BK以及下一次身份鉴别过程的鉴别标识并保存，然后设定接入结果为成功，构造接入鉴别响应分组发送给请求者REQ，并允许用户访问网络；若CertR^的验i正结果为不合法，则鉴别访问控制器AAC设定接入结果为不成功，鉴别访问控制器AAC的询问NAAc和密钥数据yP可设置为任意值，构造接入鉴别响应分组发送给请求者卿；证书鉴别请求分组主要内容包括Naac、Nreq、CertREQ、CertMc以及其中-Naac字段表示鉴别访问控制器AAC询问，是鉴别访问控制器AAC产生的随机数；Nreq字段表示请求者REQ询问，其值同接入鉴别请求分组中NREQ字段的值；CertREQ字段表示请求者REQ的证书，其值同接入鉴别请求分组中CertREQ字段的值；CertAAc字段表示鉴别访问控制器AAC的证书，其值同鉴别激活分组中CertAAc字段的值；LisUs.req字段表示请求者REQ信任的鉴别服务器AS列表，其值同接入鉴别请求分组中LisUs，REo字段的值，本字段为可选字段。5、根据权利要求4所述的基于公钥证书的身份鉴别方法，其特征在于所述步骤4)的具体实现方式是鉴别服务器AS收到证书鉴别请求分组后，进行如下处理4.1)如果此次鉴别过程为单向鉴别，则只需验证请求者REQ的证书CertREQ，如果是双向鉴别则需要同时验证鉴别访问控制器AAC的证书CertAAc和请求者REQ的证书CertRE(j，然后执行4.2);(4.2)根据证书的验证结果，构造证书鉴别响应分组，并且附加相应的签名，发往鉴别访问控制器AAC;证书鉴别响应分组主要内容包括RESCert、SIGas.req以及SIG其中RESfet字段表示证书的验证结果，本字段包括鉴别访问控制器AAC询问僮Naac、请求者REQ询问值NRE(j、CertAAc的验证结果以及CertREQ的验证结果，如果只是单向验证则不包括CertAAc的验证结果；SIGas.req字段表示请求者REQ信任的鉴别服务器AS对本分组中证书的验证结果REScert字段的签名；SIGas.aac字段表示鉴别访问控制器AAC信任的鉴别服务器AS对本分组中除本字段之外所有字段的签名，本字段为可选字段；如果对证书验证结果进行签名的鉴别服务器AS和鉴别访问控制器AAC信任的鉴别服务器AS相同，则不需要本字段。6、根据权利要求5所述的基于公钥证书的身份鉴别方法，其特征在于所述步骤5)的具体实现方式是鉴别访问控制器AAC收到证书鉴别响应分组后，进行如下处理(5.1)检查证书的验证结果REScert字段中的鉴别访问控制器AAC的询问NAAC与证书鉴别请求分组中的NAAC字段值是否相同，若不同，丢弃该分组；若相同则执行5.2);(5.2)如果分组中含有两个签名字段，则检查鉴别访问控制器AAC所信任的鉴别服务器AS的签名SIGAS.aac字段是否正确，若不正确，则丢弃该分组，若正确则执行5.3);如果分组中只含有一个签名字段，即表明对证书验证结果进行签名的鉴别服务器AS也是鉴别访问控制器AAC所信任的鉴别服务器AS，则检査SIGAs.req字段是否正确，若不正确，则丢弃该分组，若正确则执行5.3);(5.3)检查证书的验证结果RESc:ert字段中CertREQ的验证结果是否合法，若合法，则本地生成用于ECDH交换的密钥数据(鉴别访问控制器AAC的临时公钥yP)，并根据请求者REQ的临时公钥x'P以及自己的临时私钥y进行ECDH计算得到基密钥BK以及下一次身份鉴别过程的鉴别标识并保存，然后设定接入结果为成功，构造接入鉴别响应分组发送给请求者REQ，并允许用户访问网络；若CertREQ的验证结果为不合法，则鉴别访问控制器AAC设定接入结果为不成功，鉴别访问控制器AAC的询问NAAc和密钥数据yP可设置为任意值，构造接入鉴别响应分组发送给请求者REQ;接入鉴别响应分组主要内容包括Nreq、Naac、Accres、x'P、y'P、IDaac、IDreq、MREScert以及SIGAAc或MIC;其中-Nreo字段表示请求者REQ询问，是请求者REQ产生的随机数。仅为单向鉴别过程时，接入鉴别响应分组需包含此字段，若存在，其值同请求者REQ发送的接入鉴别请求分组中NREQ字段的值;，Naac字段表鉴别访问控制器AAC的询问，是鉴别访问控制器AAC产生的随机数，仅为单向鉴别过程时，接入鉴别响应分组需包含此字段，若存在，其值同鉴别访问控制器AAC发送的证书鉴别请求分组中NAAc字段的值；Accres字段表示接入结果，是鉴别访问控制器AAC根据鉴别结果设定的接入成功或失败以及失败的原因；x-P:表示请求者REQ的密钥数据，其值同接入鉴别请求分组中x，P字段的值；y-P:表示鉴别访问控制器AAC的密钥数据，是鉴别访问控制器AAC生成的用于ECDH交换的临时公钥yP;IDaac字段表示鉴别访问控制器AAC的身份标识ID，是根据鉴别访问控制器AAC的证书CertAAc字段得到；IDreq字段表示请求者REQ的身份标识ID，根据收到的接入鉴别请求分组中请求者REQ的证书CertREQ字段得到；MREScert字段表示复合的证书验证结果。仅为双向鉴别过程时，在接入鉴别响应分组中需包含此字段，若存在，则该字段由证书鉴别响应分组中的各个字段组成，并且值相同；SIGaac字段表示鉴别访问控制器AAC的签名，是鉴别访问控制器AAC利用自己的私钥对本分组中除本字段之外所有字段的签名；MIC字段表示消息鉴别码，是鉴别访问控制器AAC利用鉴别过程中协商生成的基密钥BK对接入鉴别响应分组中除了本字段外的所有字段及下一次证书鉴别过程的鉴别标识计算得到的杂凑值。7、根据权利要求6所述的基于公钥证书的身份鉴别方法，其特征在于所述步骤6)的具体实现方式是请求者REQ收到接入鉴别响应分组后，进行如下处理6.1)根据分组中的IDAAc抑D^字段判断是否为对应当前接入鉴别请求分组的接入鉴别响应分组，如果不是，则丢弃该分组；如果是则执行6.2);6.2)比较分组中请求者REQ密钥数据x.P字段值与自己发送的接入鉴别请求分组中的x，P字段值是否一致，若不一致，则丢弃该分组；否则执行6.3);6.3)如果是单向鉴别过程，则比较NREQ字段值与之前发送的接入鉴别请求分组中的NRE(5字段值是否一致，若不一致，则丢弃该分组，否则执行6.4);如果是双向鉴别过程，则直接执行6.4);6.4))査看分组中的AccREs字段，如果接入结果为不成功，则得知不能访问该网络；如果接入结果为成功，则执行6.5);6.5)如果收到的接入鉴别响应分组中含有SIGAAC字段，则验证SIGAAC的正确性，如果不正确，则丢弃该分组；如果正确则执行6.6);如果收到的分组中含有MIC字段，则验证MIC字段的正确性，如果不正确，则丢弃分组；如果正确则执行f);6.6)如果是单向鉴别过程，则执行6.8)，否则验证复合的证书验证结果MREScert字段中所包含的NREQ字段值与自己发送的接入鉴别请求分组中NREQ字段值是否一致，若不一致，则丢弃该分组；如果一致则验证签名SIGAs-RE(2是否正确，如果不正确则丢弃该分组；如果正确则执行6.7);6.7)验证复合的证书验证结果MREScert字段中鉴别访问控制器AAC证书验证结果是否为合法，如果不合法，则得知该网络不合法，不可以访问该网络；如果合法则得到该网络是合法的，可以进行访问，并执行6.8);6.8)请求者REQ根据鉴别访问控制器AAC的临时公钥yP和自己的临时私钥x进行ECDH计算得到基密钥BK以及下一次身份鉴别过程的鉴别标识并保存；6.9)如果收到的接入鉴别响应分组中含有MIC字段，则是否发送接入鉴别确认分组是可选的；如果收到的分組中含有SIGaac字段，则需要构造接入鉴别确认分组，发送给鉴别访问控制器AAC;接入鉴别确认分组主要内容包括MIC;其中MIC字段表示消息鉴别码，是请求者REQ利用鉴别过程中协商生成的基密钥BK对鉴别访问控制器AAC询问值NAAc、请求者REQ询问值NREQ及下一次证书鉴别过程的鉴别标识计算得到的杂凑值。8、根据权利要求7所述的基于公钥证书的身份鉴别方法，其特征在于所述步骤6)中鉴别访问控制器AAC在发送接入鉴别响应分组给请求者REQ之后，如果发送的接入鉴别响应分组中包含的是鉴别访问控制器AAC的签名SIGAAc字段，则鉴别访问控制器AAC需要等待接收接入鉴别确认分组。9、根据权利要求7所述的基于公钥证书的身份鉴别方法，其特征在于所:述步骤6)中当鉴别访问控制器AAC在收到请求者REQ发送的接入鉴别确认分组之后，要验证分组中MIC字段的正确性，如果正确，则意味着请求者REQ具有和自己一致的基密钥BK;如果不正确，则丢弃该分组。10、一种基于公钥证书的身份鉴别系统，其特征在于所述基于公钥证书的身份鉴别系统包括请求者REQ、鉴别访问控制器AAC以及鉴别服务器AS，所:述鉴别服务器AS分别和请求者REQ、鉴别访问控制器AAC链接;所述请求者REQ和鉴别访问控制器AAC通过鉴别服务器AS进行鉴别。全文摘要本发明涉及一种基于公钥证书的身份鉴别方法及其系统，该鉴别方法包括以下步骤1)鉴别访问控制器AAC向请求者REQ发送鉴别激活分组；2)请求者REQ收到鉴别激活分组后向鉴别访问控制器AAC接入鉴别请求分组；3)鉴别访问控制器AAC收到接入鉴别请求分组后向鉴别服务器AS发送证书鉴别请求分组；4)鉴别服务器AS收到证书鉴别请求分组后向鉴别访问控制器AAC发送证书鉴别响应分组；5)鉴别访问控制器AAC收到证书鉴别响应分组后向请求者REQ发送接入鉴别响应分组；6)请求者REQ收到接入鉴别响应分组后向鉴别访问控制器AAC发送接入鉴别确认分组。文档编号H04L29/06GK101631114SQ200910023629公开日2010年1月20日申请日期2009年8月19日优先权日2009年8月19日发明者军曹,琴李,莉葛,铁满霞申请人:西安西电捷通无线网络通信有限公司