本發(fā)明涉及網(wǎng)絡(luò)管理領(lǐng)域的節(jié)點(diǎn)管理技術(shù)，尤其涉及一種節(jié)點(diǎn)認(rèn)證方法、系統(tǒng)及代理節(jié)點(diǎn)。

背景技術(shù)：

目前，在IETF Core組以及3GPP MTCe討論過(guò)的組認(rèn)證方案，方案提出將多個(gè)物聯(lián)網(wǎng)設(shè)備構(gòu)成一個(gè)組，每個(gè)物聯(lián)網(wǎng)設(shè)備即為一個(gè)組成員，每個(gè)組成員之間支持私有協(xié)議通信。在組中進(jìn)行處理時(shí)，可以將其中的組成員A1作為組代理節(jié)點(diǎn)，A1首先與每個(gè)組成員進(jìn)行組內(nèi)認(rèn)證并計(jì)算組內(nèi)會(huì)話密鑰；而后，A1作為組內(nèi)每個(gè)成員的代表與網(wǎng)絡(luò)側(cè)進(jìn)行組外認(rèn)證，網(wǎng)絡(luò)側(cè)認(rèn)證組代理節(jié)點(diǎn)A1成功后，即認(rèn)為組內(nèi)所有成員認(rèn)證完成。但是，上述方案，無(wú)法保證針對(duì)節(jié)點(diǎn)組的組內(nèi)節(jié)點(diǎn)驗(yàn)證網(wǎng)絡(luò)身份，無(wú)法提升系統(tǒng)的安全性能。

技術(shù)實(shí)現(xiàn)要素：

有鑒于此，本發(fā)明的目的在于提供一種節(jié)點(diǎn)認(rèn)證方法、系統(tǒng)及代理節(jié)點(diǎn)，能至少解決現(xiàn)有技術(shù)中存在的上述問(wèn)題。

為達(dá)到上述目的，本發(fā)明的技術(shù)方案是這樣實(shí)現(xiàn)的：

本發(fā)明實(shí)施例提供了一種節(jié)點(diǎn)認(rèn)證方法，所述方法包括：

接收到第一節(jié)點(diǎn)組的代理節(jié)點(diǎn)發(fā)來(lái)的認(rèn)證請(qǐng)求；其中，所述認(rèn)證請(qǐng)求中至少包括有所述代理節(jié)點(diǎn)的標(biāo)識(shí)信息；所述第一節(jié)點(diǎn)組中包括有所述代理節(jié)點(diǎn)以及至少一個(gè)組內(nèi)節(jié)點(diǎn)；

基于所述認(rèn)證請(qǐng)求中代理節(jié)點(diǎn)的標(biāo)識(shí)信息，確定所述代理節(jié)點(diǎn)所在第一節(jié)點(diǎn)組的第一安全參數(shù)，并且確定至少一個(gè)組內(nèi)節(jié)點(diǎn)對(duì)應(yīng)的至少一個(gè)第二安全參數(shù)；

基于所述第一安全參數(shù)對(duì)所述代理節(jié)點(diǎn)完成第一認(rèn)證，并控制與所述代理節(jié)點(diǎn)備建立連接；

通過(guò)所述連接發(fā)送至少一個(gè)第二安全參數(shù)至所述代理節(jié)點(diǎn)，使得所述代理節(jié)點(diǎn)根據(jù)所述至少一個(gè)第二安全參數(shù)對(duì)所述第一節(jié)點(diǎn)組中至少一個(gè)組內(nèi)節(jié)點(diǎn)進(jìn)行第二認(rèn)證，得到第二認(rèn)證結(jié)果；

基于所述第二認(rèn)證結(jié)果對(duì)所述第一節(jié)點(diǎn)組進(jìn)行處理。

本發(fā)明實(shí)施例提供了一種節(jié)點(diǎn)認(rèn)證方法，應(yīng)用于代理節(jié)點(diǎn)，所述代理節(jié)點(diǎn)設(shè)置于第一節(jié)點(diǎn)組中，所述第一節(jié)點(diǎn)組中除去所述代理節(jié)點(diǎn)還包括有至少一個(gè)組內(nèi)節(jié)點(diǎn)；所述方法包括：

向網(wǎng)絡(luò)側(cè)發(fā)送認(rèn)證請(qǐng)求，其中，所述認(rèn)證請(qǐng)求中至少包括有所述代理節(jié)點(diǎn)的標(biāo)識(shí)信息；

基于第一安全參數(shù)與所述網(wǎng)絡(luò)側(cè)完成第一認(rèn)證之后，與所述網(wǎng)絡(luò)側(cè)建立連接；

通過(guò)所述連接接收到網(wǎng)絡(luò)側(cè)發(fā)來(lái)的至少一個(gè)第二安全參數(shù)；

根據(jù)所述至少一個(gè)第二安全參數(shù)對(duì)所述第一節(jié)點(diǎn)組中至少一個(gè)組內(nèi)節(jié)點(diǎn)進(jìn)行第二認(rèn)證，得到第二認(rèn)證結(jié)果，發(fā)送所述第二認(rèn)證結(jié)果至所述網(wǎng)絡(luò)側(cè)，使得所述網(wǎng)絡(luò)側(cè)基于所述第二認(rèn)證的認(rèn)證結(jié)果進(jìn)行處理。

本發(fā)明實(shí)施例提供了一種節(jié)點(diǎn)認(rèn)證系統(tǒng)，所述系統(tǒng)包括：

第一處理單元，用于接收到第一節(jié)點(diǎn)組的代理節(jié)點(diǎn)發(fā)來(lái)的認(rèn)證請(qǐng)求；其中，所述認(rèn)證請(qǐng)求中至少包括有所述代理節(jié)點(diǎn)的標(biāo)識(shí)信息；所述第一節(jié)點(diǎn)組中包括有所述代理節(jié)點(diǎn)以及至少一個(gè)組內(nèi)節(jié)點(diǎn)；基于所述認(rèn)證請(qǐng)求中代理節(jié)點(diǎn)的標(biāo)識(shí)信息，確定所述代理節(jié)點(diǎn)所在第一節(jié)點(diǎn)組的第一安全參數(shù)，并且確定至少一個(gè)組內(nèi)節(jié)點(diǎn)對(duì)應(yīng)的至少一個(gè)第二安全參數(shù)；基于所述第一安全參數(shù)對(duì)所述代理節(jié)點(diǎn)完成第一認(rèn)證，并控制第二處理單元與所述代理節(jié)點(diǎn)備建立連接；

第二處理單元，用于與代理節(jié)點(diǎn)建立連接，并通過(guò)所述連接發(fā)送至少一個(gè)第二安全參數(shù)至所述代理節(jié)點(diǎn)，基于所述第二認(rèn)證結(jié)果對(duì)所述第一節(jié)點(diǎn)組進(jìn)行處理。

本發(fā)明實(shí)施例提供了一種代理節(jié)點(diǎn)，所述代理節(jié)點(diǎn)包括：

通信單元，用于向網(wǎng)絡(luò)側(cè)發(fā)送認(rèn)證請(qǐng)求，其中，所述認(rèn)證請(qǐng)求中至少包括有所述代理節(jié)點(diǎn)的標(biāo)識(shí)信息；基于第一安全參數(shù)與所述網(wǎng)絡(luò)側(cè)完成第一認(rèn)證之后，與所述網(wǎng)絡(luò)側(cè)建立連接；通過(guò)所述連接接收到網(wǎng)絡(luò)側(cè)發(fā)來(lái)的至少一個(gè)第二安全參數(shù)；

管理單元，用于根據(jù)所述至少一個(gè)第二安全參數(shù)對(duì)所述第一節(jié)點(diǎn)組中至少一個(gè)組內(nèi)節(jié)點(diǎn)進(jìn)行第二認(rèn)證，得到第二認(rèn)證結(jié)果，發(fā)送所述第二認(rèn)證結(jié)果至所述網(wǎng)絡(luò)側(cè)。

本發(fā)明實(shí)施例提供了節(jié)點(diǎn)認(rèn)證方法、系統(tǒng)及代理節(jié)點(diǎn)，能夠在收到組代理節(jié)點(diǎn)的認(rèn)證請(qǐng)求后，產(chǎn)生針對(duì)組代理節(jié)點(diǎn)的安全參數(shù)用于進(jìn)行第一認(rèn)證，還能夠產(chǎn)生與之相關(guān)的組內(nèi)節(jié)點(diǎn)的第二安全參數(shù)用于進(jìn)行第二認(rèn)證，當(dāng)?shù)谝徽J(rèn)證通過(guò)時(shí)，將第二安全參數(shù)發(fā)送給代理節(jié)點(diǎn)，使得代理節(jié)點(diǎn)基于第二安全參數(shù)對(duì)組內(nèi)節(jié)點(diǎn)完成第二認(rèn)證，并能夠第二認(rèn)證的結(jié)果對(duì)代理節(jié)點(diǎn)所在的第一節(jié)點(diǎn)組進(jìn)行處理；如此，保證能夠控制針對(duì)節(jié)點(diǎn)組的組內(nèi)節(jié)點(diǎn)驗(yàn)證網(wǎng)絡(luò)身份，避免了存在偽基站攻擊的可能性，提升了系統(tǒng)的安全性能。

附圖說(shuō)明

圖1為本發(fā)明實(shí)施例節(jié)點(diǎn)認(rèn)證方法流程示意圖一；

圖2為本發(fā)明實(shí)施例節(jié)點(diǎn)認(rèn)證方法流程示意圖二；

圖3為本發(fā)明實(shí)施例節(jié)點(diǎn)認(rèn)證方法流程示意圖三；

圖4為本發(fā)明實(shí)施例節(jié)點(diǎn)認(rèn)證系統(tǒng)組成結(jié)果示意圖；

圖5為本發(fā)明實(shí)施例代理節(jié)點(diǎn)組成結(jié)構(gòu)示意圖。

具體實(shí)施方式

下面結(jié)合附圖及具體實(shí)施例對(duì)本發(fā)明再作進(jìn)一步詳細(xì)的說(shuō)明。

實(shí)施例一、

本發(fā)明實(shí)施例提供了一種節(jié)點(diǎn)認(rèn)證方法，應(yīng)用于網(wǎng)絡(luò)側(cè)，如圖1所示，包 括：

步驟101：接收到第一節(jié)點(diǎn)組的代理節(jié)點(diǎn)發(fā)來(lái)的認(rèn)證請(qǐng)求；其中，所述認(rèn)證請(qǐng)求中至少包括有所述代理節(jié)點(diǎn)的標(biāo)識(shí)信息；所述第一節(jié)點(diǎn)組中包括有所述代理節(jié)點(diǎn)以及至少一個(gè)組內(nèi)節(jié)點(diǎn)；

步驟102：基于所述認(rèn)證請(qǐng)求中代理節(jié)點(diǎn)的標(biāo)識(shí)信息，確定所述代理節(jié)點(diǎn)所在第一節(jié)點(diǎn)組的第一安全參數(shù)，并且確定至少一個(gè)組內(nèi)節(jié)點(diǎn)對(duì)應(yīng)的至少一個(gè)第二安全參數(shù)；

步驟103：基于所述第一安全參數(shù)對(duì)所述代理節(jié)點(diǎn)完成第一認(rèn)證，并控制與所述代理節(jié)點(diǎn)備建立連接；

步驟104：通過(guò)所述連接，發(fā)送至少一個(gè)第二安全參數(shù)至所述代理節(jié)點(diǎn)，使得所述代理節(jié)點(diǎn)根據(jù)所述至少一個(gè)第二安全參數(shù)對(duì)所述第一節(jié)點(diǎn)組中至少一個(gè)組內(nèi)節(jié)點(diǎn)進(jìn)行第二認(rèn)證，得到第二認(rèn)證結(jié)果；

步驟105：基于所述第二認(rèn)證結(jié)果對(duì)所述第一節(jié)點(diǎn)組進(jìn)行處理。

這里，所述網(wǎng)絡(luò)側(cè)可以至少具備兩種設(shè)備或者單元，一種為至少能夠進(jìn)行認(rèn)證以及安全參數(shù)生成的設(shè)備或者單元，比如可以由歸屬簽約用戶(hù)服務(wù)器(Home Subscriber Server，HSS)提供該功能；另一種為至少能夠與節(jié)點(diǎn)建立連接的設(shè)備或者單元，比如，可以由移動(dòng)管理單元(MME，Mobility Management Entity)，或者，服務(wù)GPRS支持節(jié)點(diǎn)(SGSN，Serving GPRS Support Node)提供這種功能。

另外，本實(shí)施例中所述第一節(jié)點(diǎn)組可以來(lái)自物聯(lián)網(wǎng)，也就是說(shuō)，物聯(lián)網(wǎng)中可以存在有由多個(gè)節(jié)點(diǎn)組成的節(jié)點(diǎn)組，在這個(gè)節(jié)點(diǎn)組中包括有一個(gè)代理節(jié)點(diǎn)用于與網(wǎng)絡(luò)側(cè)建立連接并且與網(wǎng)絡(luò)側(cè)進(jìn)行數(shù)據(jù)交互，節(jié)點(diǎn)組中除去代理節(jié)點(diǎn)的其他節(jié)點(diǎn)作為組內(nèi)節(jié)點(diǎn)。比如，第一節(jié)點(diǎn)組中的各個(gè)節(jié)點(diǎn)的拓?fù)溥B接方式可以為星形、環(huán)形、樹(shù)形或者混合型等連接方式。

所述基于所述認(rèn)證請(qǐng)求中代理節(jié)點(diǎn)的標(biāo)識(shí)信息，確定所述代理節(jié)點(diǎn)所在第一節(jié)點(diǎn)組的第一安全參數(shù)中，所述代理節(jié)點(diǎn)的標(biāo)識(shí)信息可以為所述代理節(jié)點(diǎn)的國(guó)際移動(dòng)用戶(hù)識(shí)別碼(IMSI，International Mobile Subscriber Identification Number)，所述第一安全參數(shù)可以包括：進(jìn)行第一認(rèn)證所需的參數(shù)，以及第一待驗(yàn)證值；其中，所述第一認(rèn)證所需的參數(shù)可以包括有多個(gè)數(shù)值，比如，可以有RAND、AUTN等值；所述第一待驗(yàn)證值可以表示為XRES。

上述步驟中，所述確定所述代理節(jié)點(diǎn)所在組中至少一個(gè)組內(nèi)節(jié)點(diǎn)對(duì)應(yīng)的至少一個(gè)第二安全參數(shù)，可以包括：

基于所述認(rèn)證請(qǐng)求中的代理節(jié)點(diǎn)的標(biāo)識(shí)信息，確定所述代理節(jié)點(diǎn)所在的第一節(jié)點(diǎn)組；

基于所述第一節(jié)點(diǎn)組對(duì)應(yīng)的預(yù)設(shè)組信息，獲取到所述第一節(jié)點(diǎn)組中除去所述代理節(jié)點(diǎn)之外的至少一個(gè)組內(nèi)節(jié)點(diǎn)對(duì)應(yīng)的標(biāo)識(shí)信息、以及所述至少一個(gè)組內(nèi)節(jié)點(diǎn)對(duì)應(yīng)的第二安全參數(shù)。

所述至少一個(gè)組內(nèi)節(jié)點(diǎn)對(duì)應(yīng)的第二安全參數(shù)可以為：每一個(gè)不同的組內(nèi)節(jié)點(diǎn)均對(duì)應(yīng)與自身標(biāo)識(shí)信息相關(guān)的第二安全參數(shù)，也就是說(shuō)每一個(gè)第二安全參數(shù)相互可以不同。

進(jìn)一步地，所述第一節(jié)點(diǎn)組中的預(yù)設(shè)組信息中可以包括有：

組內(nèi)節(jié)點(diǎn)的標(biāo)識(shí)信息，以及每一個(gè)組內(nèi)節(jié)點(diǎn)對(duì)應(yīng)的預(yù)設(shè)的第二安全參數(shù)；

或者，僅包括有每組內(nèi)節(jié)點(diǎn)的標(biāo)識(shí)信息；相應(yīng)的，獲取到第二安全參數(shù)的方式可以為網(wǎng)絡(luò)側(cè)根據(jù)所述標(biāo)識(shí)信息進(jìn)行計(jì)算得到。其中，所述計(jì)算方式可以為根據(jù)實(shí)際情況進(jìn)行設(shè)置。

可以理解的是，所述第二安全參數(shù)與所述第一安全參數(shù)的組成結(jié)構(gòu)可以相同，即也包括有第二認(rèn)證所需的參數(shù)，以及第二待驗(yàn)證值。

優(yōu)選地，所述第二認(rèn)證結(jié)果包括：認(rèn)證通過(guò)的組內(nèi)節(jié)點(diǎn)對(duì)應(yīng)的標(biāo)識(shí)信息，和/或，認(rèn)證未通過(guò)的組內(nèi)節(jié)點(diǎn)對(duì)應(yīng)的標(biāo)識(shí)信息；相應(yīng)的，所述基于所述第二認(rèn)證結(jié)果對(duì)所述第一節(jié)點(diǎn)組中的代理節(jié)點(diǎn)以及至少一個(gè)組內(nèi)節(jié)點(diǎn)進(jìn)行處理，包括：基于所述第二認(rèn)證結(jié)果，控制保留第一節(jié)點(diǎn)組中認(rèn)證通過(guò)的組內(nèi)節(jié)點(diǎn)的信息，刪除第一節(jié)點(diǎn)組中認(rèn)證未通過(guò)的組內(nèi)節(jié)點(diǎn)的信息。

其中，所述保留第一節(jié)點(diǎn)組中認(rèn)證通過(guò)的組內(nèi)節(jié)點(diǎn)的信息可以為保留所述認(rèn)證通過(guò)的組內(nèi)節(jié)點(diǎn)在網(wǎng)絡(luò)側(cè)記錄的標(biāo)識(shí)信息，還可以進(jìn)一步包括有所述認(rèn)證 通過(guò)的組內(nèi)節(jié)點(diǎn)的第二安全參數(shù)；相應(yīng)的，刪除第一節(jié)點(diǎn)組中認(rèn)證未通過(guò)的組內(nèi)節(jié)點(diǎn)的信息可以為刪除該組內(nèi)節(jié)點(diǎn)在網(wǎng)絡(luò)側(cè)保存的全部信息，至少包括有其標(biāo)識(shí)信息以及其對(duì)應(yīng)的第二安全參數(shù)。

通過(guò)采用上述方案，能夠在假設(shè)組內(nèi)節(jié)點(diǎn)與組代理節(jié)點(diǎn)完成相互認(rèn)證并相互建立安全隧道的前提下，組代理節(jié)點(diǎn)先與網(wǎng)絡(luò)側(cè)進(jìn)行雙向認(rèn)證，網(wǎng)絡(luò)側(cè)在認(rèn)證流程中，不僅產(chǎn)生組代理節(jié)點(diǎn)的認(rèn)證信息，還同時(shí)產(chǎn)生組內(nèi)節(jié)點(diǎn)的認(rèn)證信息并暫存在網(wǎng)絡(luò)認(rèn)證實(shí)體網(wǎng)元上；組代理節(jié)點(diǎn)與網(wǎng)絡(luò)側(cè)完成認(rèn)證并建立起安全隧道后，網(wǎng)絡(luò)認(rèn)證實(shí)體網(wǎng)元將組內(nèi)節(jié)點(diǎn)認(rèn)證所需必要信息通過(guò)安全隧道傳送給組代理節(jié)點(diǎn)。組代理節(jié)點(diǎn)代表網(wǎng)絡(luò)側(cè)轉(zhuǎn)發(fā)認(rèn)證信息并對(duì)組內(nèi)節(jié)點(diǎn)進(jìn)行網(wǎng)絡(luò)側(cè)的認(rèn)證，然后將認(rèn)證結(jié)果傳遞給網(wǎng)絡(luò)側(cè)。在組內(nèi)節(jié)點(diǎn)認(rèn)證過(guò)程中，組內(nèi)節(jié)點(diǎn)即可產(chǎn)生強(qiáng)度較高的通信會(huì)話密鑰。

可見(jiàn)，采用上述方案，就能夠在收到組代理節(jié)點(diǎn)的認(rèn)證請(qǐng)求后，產(chǎn)生針對(duì)組代理節(jié)點(diǎn)的安全參數(shù)用于進(jìn)行第一認(rèn)證，還能夠產(chǎn)生與之相關(guān)的組內(nèi)節(jié)點(diǎn)的第二安全參數(shù)用于進(jìn)行第二認(rèn)證，當(dāng)?shù)谝徽J(rèn)證通過(guò)時(shí)，將第二安全參數(shù)發(fā)送給代理節(jié)點(diǎn)，使得代理節(jié)點(diǎn)基于第二安全參數(shù)對(duì)組內(nèi)節(jié)點(diǎn)完成第二認(rèn)證，并能夠第二認(rèn)證的結(jié)果對(duì)代理節(jié)點(diǎn)所在的第一節(jié)點(diǎn)組進(jìn)行處理；如此，保證能夠控制針對(duì)節(jié)點(diǎn)組的組內(nèi)節(jié)點(diǎn)驗(yàn)證網(wǎng)絡(luò)身份，避免了存在偽基站攻擊的可能性，提升了系統(tǒng)的安全性能。

實(shí)施例二、

本發(fā)明實(shí)施例提供了一種節(jié)點(diǎn)認(rèn)證方法，應(yīng)用于代理節(jié)點(diǎn)，所述代理節(jié)點(diǎn)設(shè)置于第一節(jié)點(diǎn)組中，所述第一節(jié)點(diǎn)組中除去所述代理節(jié)點(diǎn)還包括有至少一個(gè)組內(nèi)節(jié)點(diǎn)；如圖2所示，所述方法包括：

步驟201：向網(wǎng)絡(luò)側(cè)發(fā)送認(rèn)證請(qǐng)求，其中，所述認(rèn)證請(qǐng)求中至少包括有所述代理節(jié)點(diǎn)的標(biāo)識(shí)信息；

步驟202：基于第一安全參數(shù)與所述網(wǎng)絡(luò)側(cè)完成第一認(rèn)證之后，與所述網(wǎng)絡(luò)側(cè)建立連接；

步驟203：通過(guò)所述連接接收到網(wǎng)絡(luò)側(cè)發(fā)來(lái)的至少一個(gè)第二安全參數(shù)；

步驟204：根據(jù)所述至少一個(gè)第二安全參數(shù)對(duì)所述第一節(jié)點(diǎn)組中至少一個(gè)組內(nèi)節(jié)點(diǎn)進(jìn)行第二認(rèn)證，得到第二認(rèn)證結(jié)果，發(fā)送所述第二認(rèn)證結(jié)果至所述網(wǎng)絡(luò)側(cè)，使得所述網(wǎng)絡(luò)側(cè)基于所述第二認(rèn)證的認(rèn)證結(jié)果進(jìn)行處理。

這里，所述網(wǎng)絡(luò)側(cè)可以至少具備兩種設(shè)備或者單元，一種為至少能夠進(jìn)行認(rèn)證以及安全參數(shù)生成的設(shè)備或者單元，比如可以由HSS提供該功能；另一種為至少能夠與節(jié)點(diǎn)建立連接的設(shè)備或者單元，比如，可以由MME或者SGSN提供這種功能。

另外，本實(shí)施例中所述第一節(jié)點(diǎn)組可以來(lái)自物聯(lián)網(wǎng)，也就是說(shuō)，物聯(lián)網(wǎng)中可以存在有由多個(gè)節(jié)點(diǎn)組成的節(jié)點(diǎn)組，在這個(gè)節(jié)點(diǎn)組中包括有一個(gè)代理節(jié)點(diǎn)用于與網(wǎng)絡(luò)側(cè)建立連接并且與網(wǎng)絡(luò)側(cè)進(jìn)行數(shù)據(jù)交互，節(jié)點(diǎn)組中除去代理節(jié)點(diǎn)的其他節(jié)點(diǎn)作為組內(nèi)節(jié)點(diǎn)。比如，第一節(jié)點(diǎn)組中的各個(gè)節(jié)點(diǎn)的拓?fù)溥B接方式可以為星形、環(huán)形、樹(shù)形或者混合型等連接方式。

所述代理節(jié)點(diǎn)的標(biāo)識(shí)信息可以為所述代理節(jié)點(diǎn)的IMSI，所述第一安全參數(shù)可以包括：進(jìn)行第一認(rèn)證所需的參數(shù)，以及第一待驗(yàn)證值。

上述步驟中，所述根據(jù)所述至少一個(gè)第二安全參數(shù)對(duì)所述第一節(jié)點(diǎn)組中至少一個(gè)組內(nèi)節(jié)點(diǎn)進(jìn)行第二認(rèn)證，得到第二認(rèn)證結(jié)果，包括：

將所述第二安全參數(shù)中的第二認(rèn)證所需的參數(shù)逐個(gè)發(fā)送給對(duì)應(yīng)的組內(nèi)節(jié)點(diǎn)，并且保留所述第二安全參數(shù)中的對(duì)應(yīng)的組內(nèi)節(jié)點(diǎn)的標(biāo)識(shí)信息以及第二待驗(yàn)證值；以使得所述組內(nèi)節(jié)點(diǎn)根據(jù)所述第二認(rèn)證所需的參數(shù)進(jìn)行驗(yàn)證并同時(shí)產(chǎn)生獨(dú)立會(huì)話的密鑰和第二驗(yàn)證值；

接收到組內(nèi)節(jié)點(diǎn)反饋的第二驗(yàn)證值；

基于所述第二驗(yàn)證值以及保留的所述第二待驗(yàn)證值對(duì)組內(nèi)節(jié)點(diǎn)進(jìn)行第二認(rèn)證，得到第二認(rèn)證結(jié)果；其中，所述第二認(rèn)證結(jié)果中包括認(rèn)證通過(guò)的組內(nèi)節(jié)點(diǎn)的標(biāo)識(shí)信息，和/或，認(rèn)證未通過(guò)的組內(nèi)節(jié)點(diǎn)的標(biāo)識(shí)信息。

本實(shí)施例結(jié)合實(shí)際操作場(chǎng)景進(jìn)行詳細(xì)描述，假設(shè)網(wǎng)絡(luò)側(cè)為核心網(wǎng)側(cè)，具體參與處理的包括有HLR/HSS或者M(jìn)ME/SGSN；代理節(jié)點(diǎn)通過(guò)接入網(wǎng)與核心網(wǎng) 建立連接，如圖3所示，具體包括：

步驟300.(前提)假設(shè)組內(nèi)節(jié)點(diǎn)與組代理節(jié)點(diǎn)已經(jīng)完成認(rèn)證并相互建立安全通道。

步驟301.組代理節(jié)點(diǎn)與網(wǎng)絡(luò)側(cè)進(jìn)行認(rèn)證，向網(wǎng)絡(luò)側(cè)發(fā)起認(rèn)證請(qǐng)求；

步驟302.網(wǎng)絡(luò)側(cè)按照1對(duì)1認(rèn)證流程執(zhí)行，但在HSS計(jì)算參數(shù)時(shí)，根據(jù)組代理節(jié)點(diǎn)ID確認(rèn)將要認(rèn)證的為一個(gè)組，則在產(chǎn)生組代理節(jié)點(diǎn)認(rèn)證向量的同時(shí)，基于組代理節(jié)點(diǎn)ID獲取到所有相關(guān)組內(nèi)節(jié)點(diǎn)的ID和根密鑰，并按照一對(duì)一認(rèn)證的方式產(chǎn)生相應(yīng)的第一安全參數(shù)；其中，節(jié)點(diǎn)的ID可以為IMSI；

步驟303.HSS將參數(shù)傳遞給MME/SGSN。MME/SGSN向組代理節(jié)點(diǎn)發(fā)起一對(duì)一的認(rèn)證流程。

步驟304.組代理節(jié)點(diǎn)與MME/SGSN完成第一認(rèn)證以及算法協(xié)商成功建立連接。

步驟305.MME/SGSN在連接建立后，向組代理節(jié)點(diǎn)推送組內(nèi)節(jié)點(diǎn)進(jìn)行第二認(rèn)證所需的參數(shù)以及第二待驗(yàn)證值(XRES)；

步驟306.組代理節(jié)點(diǎn)將認(rèn)證所需參數(shù)轉(zhuǎn)發(fā)給各組內(nèi)節(jié)點(diǎn)，保留第二待驗(yàn)證值。

步驟307.組內(nèi)節(jié)點(diǎn)按照一對(duì)一的認(rèn)證流程對(duì)參數(shù)進(jìn)行驗(yàn)證，從而完成組內(nèi)節(jié)點(diǎn)對(duì)網(wǎng)絡(luò)側(cè)的認(rèn)證，并同時(shí)產(chǎn)生用于進(jìn)行獨(dú)立會(huì)話的密鑰以及第二驗(yàn)證值；比如，其中所述第二驗(yàn)證值可以表示為RES；

步驟308.組內(nèi)節(jié)點(diǎn)向組代理節(jié)點(diǎn)反饋第二驗(yàn)證值。

步驟309.組代理節(jié)點(diǎn)利用第二待驗(yàn)證值一一檢驗(yàn)組內(nèi)節(jié)點(diǎn)信息，從而代表網(wǎng)絡(luò)側(cè)MME/SGSN認(rèn)證組內(nèi)節(jié)點(diǎn)，具體的，可以為判斷RES與XRES是否相等；組代理節(jié)點(diǎn)得到第二認(rèn)證結(jié)果，可以為將認(rèn)證通過(guò)的組內(nèi)節(jié)點(diǎn)ID列表，并告知MME/SGSN。

步驟310.MME/SGSN收到組代理發(fā)送第二認(rèn)證結(jié)果，基于第二認(rèn)證結(jié)果進(jìn)行處理，比如，第二認(rèn)證結(jié)果中包括有組內(nèi)節(jié)點(diǎn)ID列表，MME或SGSN完成MME/SGSN與組內(nèi)節(jié)點(diǎn)的認(rèn)證，并保留通過(guò)認(rèn)證的節(jié)點(diǎn)信息和密鑰等安全 參數(shù)，丟棄未通過(guò)認(rèn)證的節(jié)點(diǎn)的信息。

可見(jiàn)，采用上述方案，就能夠在收到組代理節(jié)點(diǎn)的認(rèn)證請(qǐng)求后，產(chǎn)生針對(duì)組代理節(jié)點(diǎn)的安全參數(shù)用于進(jìn)行第一認(rèn)證，還能夠產(chǎn)生與之相關(guān)的組內(nèi)節(jié)點(diǎn)的第二安全參數(shù)用于進(jìn)行第二認(rèn)證，當(dāng)?shù)谝徽J(rèn)證通過(guò)時(shí)，將第二安全參數(shù)發(fā)送給代理節(jié)點(diǎn)，使得代理節(jié)點(diǎn)基于第二安全參數(shù)對(duì)組內(nèi)節(jié)點(diǎn)完成第二認(rèn)證，并能夠第二認(rèn)證的結(jié)果對(duì)代理節(jié)點(diǎn)所在的第一節(jié)點(diǎn)組進(jìn)行處理；如此，保證能夠控制針對(duì)節(jié)點(diǎn)組的組內(nèi)節(jié)點(diǎn)驗(yàn)證網(wǎng)絡(luò)身份，避免了存在偽基站攻擊的可能性，提升了系統(tǒng)的安全性能。

實(shí)施例三、

本發(fā)明實(shí)施例提供了一種節(jié)點(diǎn)認(rèn)證系統(tǒng)，如圖4所示，所述系統(tǒng)包括：

第一處理單元41，用于接收到第一節(jié)點(diǎn)組的代理節(jié)點(diǎn)發(fā)來(lái)的認(rèn)證請(qǐng)求；其中，所述認(rèn)證請(qǐng)求中至少包括有所述代理節(jié)點(diǎn)的標(biāo)識(shí)信息；所述第一節(jié)點(diǎn)組中包括有所述代理節(jié)點(diǎn)以及至少一個(gè)組內(nèi)節(jié)點(diǎn)；基于所述認(rèn)證請(qǐng)求中代理節(jié)點(diǎn)的標(biāo)識(shí)信息，確定所述代理節(jié)點(diǎn)所在第一節(jié)點(diǎn)組的第一安全參數(shù)，并且確定至少一個(gè)組內(nèi)節(jié)點(diǎn)對(duì)應(yīng)的至少一個(gè)第二安全參數(shù)；基于所述第一安全參數(shù)對(duì)所述代理節(jié)點(diǎn)完成第一認(rèn)證，并控制第二處理單元與所述代理節(jié)點(diǎn)備建立連接；

第二處理單元42，用于與代理節(jié)點(diǎn)建立連接，并通過(guò)所述連接發(fā)送至少一個(gè)第二安全參數(shù)至所述代理節(jié)點(diǎn)，基于所述第二認(rèn)證結(jié)果對(duì)所述第一節(jié)點(diǎn)組進(jìn)行處理。

這里，所述認(rèn)證系統(tǒng)位于網(wǎng)絡(luò)側(cè)，比如可以為核心網(wǎng)?？梢灾辽倬邆鋬煞N設(shè)備或者單元，第一處理單元41可以為歸屬簽約用戶(hù)服務(wù)器(Home Subscriber Server，HSS)；另一種為至少能夠與節(jié)點(diǎn)建立連接的設(shè)備或者單元，比如，第二處理單元42可以為移動(dòng)管理單元(MME，Mobility Management Entity)，或者，服務(wù)GPRS支持節(jié)點(diǎn)(SGSN，Serving GPRS Support Node)。

另外，本實(shí)施例中所述第一節(jié)點(diǎn)組可以來(lái)自物聯(lián)網(wǎng)，也就是說(shuō)，物聯(lián)網(wǎng)中可以存在有由多個(gè)節(jié)點(diǎn)組成的節(jié)點(diǎn)組，在這個(gè)節(jié)點(diǎn)組中包括有一個(gè)代理節(jié)點(diǎn)用 于與網(wǎng)絡(luò)側(cè)建立連接并且與網(wǎng)絡(luò)側(cè)進(jìn)行數(shù)據(jù)交互，節(jié)點(diǎn)組中除去代理節(jié)點(diǎn)的其他節(jié)點(diǎn)作為組內(nèi)節(jié)點(diǎn)。比如，第一節(jié)點(diǎn)組中的各個(gè)節(jié)點(diǎn)的拓?fù)溥B接方式可以為星形、環(huán)形、樹(shù)形或者混合型等連接方式。

所述基于所述認(rèn)證請(qǐng)求中代理節(jié)點(diǎn)的標(biāo)識(shí)信息，確定所述代理節(jié)點(diǎn)所在第一節(jié)點(diǎn)組的第一安全參數(shù)中，所述代理節(jié)點(diǎn)的標(biāo)識(shí)信息可以為所述代理節(jié)點(diǎn)的國(guó)際移動(dòng)用戶(hù)識(shí)別碼(IMSI，International Mobile Subscriber Identification Number)，所述第一安全參數(shù)可以包括：進(jìn)行第一認(rèn)證所需的參數(shù)，以及第一待驗(yàn)證值；其中，所述第一認(rèn)證所需的參數(shù)可以包括有多個(gè)數(shù)值，比如，可以有RAND、AUTN等值；所述第一待驗(yàn)證值可以表示為XRES。

上述步驟中，所述第一處理單元41，具體用于基于所述認(rèn)證請(qǐng)求中的代理節(jié)點(diǎn)的標(biāo)識(shí)信息，確定所述代理節(jié)點(diǎn)所在的第一節(jié)點(diǎn)組；基于所述第一節(jié)點(diǎn)組對(duì)應(yīng)的預(yù)設(shè)組信息，獲取到所述第一節(jié)點(diǎn)組中除去所述代理節(jié)點(diǎn)之外的至少一個(gè)組內(nèi)節(jié)點(diǎn)對(duì)應(yīng)的標(biāo)識(shí)信息、以及所述至少一個(gè)組內(nèi)節(jié)點(diǎn)對(duì)應(yīng)的第二安全參數(shù)。

所述至少一個(gè)組內(nèi)節(jié)點(diǎn)對(duì)應(yīng)的第二安全參數(shù)可以為：每一個(gè)不同的組內(nèi)節(jié)點(diǎn)均對(duì)應(yīng)與自身標(biāo)識(shí)信息相關(guān)的第二安全參數(shù)，也就是說(shuō)每一個(gè)第二安全參數(shù)相互可以不同。

進(jìn)一步地，所述第一節(jié)點(diǎn)組中的預(yù)設(shè)組信息中可以包括有：

組內(nèi)節(jié)點(diǎn)的標(biāo)識(shí)信息，以及每一個(gè)組內(nèi)節(jié)點(diǎn)對(duì)應(yīng)的預(yù)設(shè)的第二安全參數(shù)；

或者，僅包括有每組內(nèi)節(jié)點(diǎn)的標(biāo)識(shí)信息；相應(yīng)的，獲取到第二安全參數(shù)的方式可以為網(wǎng)絡(luò)側(cè)根據(jù)所述標(biāo)識(shí)信息進(jìn)行計(jì)算得到。其中，所述計(jì)算方式可以為根據(jù)實(shí)際情況進(jìn)行設(shè)置。

可以理解的是，所述第二安全參數(shù)與所述第一安全參數(shù)的組成結(jié)構(gòu)可以相同，即也包括有第二認(rèn)證所需的參數(shù)，以及第二待驗(yàn)證值。

優(yōu)選地，所述第二認(rèn)證結(jié)果包括：認(rèn)證通過(guò)的組內(nèi)節(jié)點(diǎn)對(duì)應(yīng)的標(biāo)識(shí)信息，和/或，認(rèn)證未通過(guò)的組內(nèi)節(jié)點(diǎn)對(duì)應(yīng)的標(biāo)識(shí)信息；相應(yīng)的，所述第一處理單元41，具體用于基于所述第二認(rèn)證結(jié)果，控制保留第一節(jié)點(diǎn)組中認(rèn)證通過(guò)的組內(nèi)節(jié)點(diǎn)的信息，刪除第一節(jié)點(diǎn)組中認(rèn)證未通過(guò)的組內(nèi)節(jié)點(diǎn)的信息。

其中，所述保留第一節(jié)點(diǎn)組中認(rèn)證通過(guò)的組內(nèi)節(jié)點(diǎn)的信息可以為保留所述認(rèn)證通過(guò)的組內(nèi)節(jié)點(diǎn)在網(wǎng)絡(luò)側(cè)記錄的標(biāo)識(shí)信息，還可以進(jìn)一步包括有所述認(rèn)證通過(guò)的組內(nèi)節(jié)點(diǎn)的第二安全參數(shù)；相應(yīng)的，刪除第一節(jié)點(diǎn)組中認(rèn)證未通過(guò)的組內(nèi)節(jié)點(diǎn)的信息可以為刪除該組內(nèi)節(jié)點(diǎn)在網(wǎng)絡(luò)側(cè)保存的全部信息，至少包括有其標(biāo)識(shí)信息以及其對(duì)應(yīng)的第二安全參數(shù)。

通過(guò)采用上述方案，能夠在假設(shè)組內(nèi)節(jié)點(diǎn)與組代理節(jié)點(diǎn)完成相互認(rèn)證并相互建立安全隧道的前提下，組代理節(jié)點(diǎn)先與網(wǎng)絡(luò)側(cè)進(jìn)行雙向認(rèn)證，網(wǎng)絡(luò)側(cè)在認(rèn)證流程中，不僅產(chǎn)生組代理節(jié)點(diǎn)的認(rèn)證信息，還同時(shí)產(chǎn)生組內(nèi)節(jié)點(diǎn)的認(rèn)證信息并暫存在網(wǎng)絡(luò)認(rèn)證實(shí)體網(wǎng)元上；組代理節(jié)點(diǎn)與網(wǎng)絡(luò)側(cè)完成認(rèn)證并建立起安全隧道后，網(wǎng)絡(luò)認(rèn)證實(shí)體網(wǎng)元將組內(nèi)節(jié)點(diǎn)認(rèn)證所需必要信息通過(guò)安全隧道傳送給組代理節(jié)點(diǎn)。組代理節(jié)點(diǎn)代表網(wǎng)絡(luò)側(cè)轉(zhuǎn)發(fā)認(rèn)證信息并對(duì)組內(nèi)節(jié)點(diǎn)進(jìn)行網(wǎng)絡(luò)側(cè)的認(rèn)證，然后將認(rèn)證結(jié)果傳遞給網(wǎng)絡(luò)側(cè)。在組內(nèi)節(jié)點(diǎn)認(rèn)證過(guò)程中，組內(nèi)節(jié)點(diǎn)即可產(chǎn)生強(qiáng)度較高的通信會(huì)話密鑰。

可見(jiàn)，采用上述方案，就能夠在收到組代理節(jié)點(diǎn)的認(rèn)證請(qǐng)求后，產(chǎn)生針對(duì)組代理節(jié)點(diǎn)的安全參數(shù)用于進(jìn)行第一認(rèn)證，還能夠產(chǎn)生與之相關(guān)的組內(nèi)節(jié)點(diǎn)的第二安全參數(shù)用于進(jìn)行第二認(rèn)證，當(dāng)?shù)谝徽J(rèn)證通過(guò)時(shí)，將第二安全參數(shù)發(fā)送給代理節(jié)點(diǎn)，使得代理節(jié)點(diǎn)基于第二安全參數(shù)對(duì)組內(nèi)節(jié)點(diǎn)完成第二認(rèn)證，并能夠第二認(rèn)證的結(jié)果對(duì)代理節(jié)點(diǎn)所在的第一節(jié)點(diǎn)組進(jìn)行處理；如此，保證能夠控制針對(duì)節(jié)點(diǎn)組的組內(nèi)節(jié)點(diǎn)驗(yàn)證網(wǎng)絡(luò)身份，避免了存在偽基站攻擊的可能性，提升了系統(tǒng)的安全性能。

實(shí)施例四、

本發(fā)明實(shí)施例提供了一種代理節(jié)點(diǎn)，如圖5所示，包括：

通信單元51，用于向網(wǎng)絡(luò)側(cè)發(fā)送認(rèn)證請(qǐng)求，其中，所述認(rèn)證請(qǐng)求中至少包括有所述代理節(jié)點(diǎn)的標(biāo)識(shí)信息；基于第一安全參數(shù)與所述網(wǎng)絡(luò)側(cè)完成第一認(rèn)證之后，與所述網(wǎng)絡(luò)側(cè)建立連接；通過(guò)所述連接接收到網(wǎng)絡(luò)側(cè)發(fā)來(lái)的至少一個(gè)第二安全參數(shù)；

管理單元52，用于根據(jù)所述至少一個(gè)第二安全參數(shù)對(duì)所述第一節(jié)點(diǎn)組中至少一個(gè)組內(nèi)節(jié)點(diǎn)進(jìn)行第二認(rèn)證，得到第二認(rèn)證結(jié)果，發(fā)送所述第二認(rèn)證結(jié)果至所述網(wǎng)絡(luò)側(cè)。

本實(shí)施例中所述第一節(jié)點(diǎn)組可以來(lái)自物聯(lián)網(wǎng)，也就是說(shuō)，物聯(lián)網(wǎng)中可以存在有由多個(gè)節(jié)點(diǎn)組成的節(jié)點(diǎn)組，在這個(gè)節(jié)點(diǎn)組中包括有一個(gè)代理節(jié)點(diǎn)用于與網(wǎng)絡(luò)側(cè)建立連接并且與網(wǎng)絡(luò)側(cè)進(jìn)行數(shù)據(jù)交互，節(jié)點(diǎn)組中除去代理節(jié)點(diǎn)的其他節(jié)點(diǎn)作為組內(nèi)節(jié)點(diǎn)。比如，第一節(jié)點(diǎn)組中的各個(gè)節(jié)點(diǎn)的拓?fù)溥B接方式可以為星形、環(huán)形、樹(shù)形或者混合型等連接方式。

所述代理節(jié)點(diǎn)的標(biāo)識(shí)信息可以為所述代理節(jié)點(diǎn)的IMSI，所述第一安全參數(shù)可以包括：進(jìn)行第一認(rèn)證所需的參數(shù)，以及第一待驗(yàn)證值。

上述步驟中，所述管理單元52，用于將所述第二安全參數(shù)中的第二認(rèn)證所需的參數(shù)逐個(gè)發(fā)送給對(duì)應(yīng)的組內(nèi)節(jié)點(diǎn)，并且保留所述第二安全參數(shù)中的對(duì)應(yīng)的組內(nèi)節(jié)點(diǎn)的標(biāo)識(shí)信息以及第二待驗(yàn)證值；以使得所述組內(nèi)節(jié)點(diǎn)根據(jù)所述第二認(rèn)證所需的參數(shù)進(jìn)行驗(yàn)證并同時(shí)產(chǎn)生獨(dú)立會(huì)話的密鑰和第二驗(yàn)證值；接收到組內(nèi)節(jié)點(diǎn)反饋的第二驗(yàn)證值；基于所述第二驗(yàn)證值以及保留的所述第二待驗(yàn)證值對(duì)組內(nèi)節(jié)點(diǎn)進(jìn)行第二認(rèn)證，得到第二認(rèn)證結(jié)果；其中，所述第二認(rèn)證結(jié)果中包括認(rèn)證通過(guò)的組內(nèi)節(jié)點(diǎn)的標(biāo)識(shí)信息，和/或，認(rèn)證未通過(guò)的組內(nèi)節(jié)點(diǎn)的標(biāo)識(shí)信息。

可見(jiàn)，采用上述方案，就能夠在收到組代理節(jié)點(diǎn)的認(rèn)證請(qǐng)求后，產(chǎn)生針對(duì)組代理節(jié)點(diǎn)的安全參數(shù)用于進(jìn)行第一認(rèn)證，還能夠產(chǎn)生與之相關(guān)的組內(nèi)節(jié)點(diǎn)的第二安全參數(shù)用于進(jìn)行第二認(rèn)證，當(dāng)?shù)谝徽J(rèn)證通過(guò)時(shí)，將第二安全參數(shù)發(fā)送給代理節(jié)點(diǎn)，使得代理節(jié)點(diǎn)基于第二安全參數(shù)對(duì)組內(nèi)節(jié)點(diǎn)完成第二認(rèn)證，并能夠第二認(rèn)證的結(jié)果對(duì)代理節(jié)點(diǎn)所在的第一節(jié)點(diǎn)組進(jìn)行處理；如此，保證能夠控制針對(duì)節(jié)點(diǎn)組的組內(nèi)節(jié)點(diǎn)驗(yàn)證網(wǎng)絡(luò)身份，避免了存在偽基站攻擊的可能性，提升了系統(tǒng)的安全性能。

本發(fā)明實(shí)施例所述集成的模塊如果以軟件功能模塊的形式實(shí)現(xiàn)并作為獨(dú)立的產(chǎn)品銷(xiāo)售或使用時(shí)，也可以存儲(chǔ)在一個(gè)計(jì)算機(jī)可讀取存儲(chǔ)介質(zhì)中?；谶@樣 的理解，本發(fā)明實(shí)施例的技術(shù)方案本質(zhì)上或者說(shuō)對(duì)現(xiàn)有技術(shù)做出貢獻(xiàn)的部分可以以軟件產(chǎn)品的形式體現(xiàn)出來(lái)，該計(jì)算機(jī)軟件產(chǎn)品存儲(chǔ)在一個(gè)存儲(chǔ)介質(zhì)中，包括若干指令用以使得一臺(tái)計(jì)算機(jī)設(shè)備(可以是個(gè)人計(jì)算機(jī)、基站、或者網(wǎng)絡(luò)設(shè)備等)執(zhí)行本發(fā)明各個(gè)實(shí)施例所述方法的全部或部分。而前述的存儲(chǔ)介質(zhì)包括：U盤(pán)、移動(dòng)硬盤(pán)、只讀存儲(chǔ)器(ROM，Read-Only Memory)、隨機(jī)存取存儲(chǔ)器(RAM，Random Access Memory)、磁碟或者光盤(pán)等各種可以存儲(chǔ)程序代碼的介質(zhì)。這樣，本發(fā)明實(shí)施例不限制于任何特定的硬件和軟件結(jié)合。

以上所述，僅為本發(fā)明的較佳實(shí)施例而已，并非用于限定本發(fā)明的保護(hù)范圍。