固定网络终端的用户认证装置及其方法

暂无

技术领域\n本发明涉及网络通信技术领域，尤其涉及一种固定网络终端的用户认证 装置及其方法。\n背景技术\n在网络通信中，语音终端、多媒体终端、Ephone终端、IAD(Integrated Access Device，综合接入设备)终端及智能终端设备等固定网络终端设备由 于成本相对低廉，用户很容易获得，所以逐渐被网络用户广泛应用，且主要 应用于接入IP(互联网协议)网络，并通过IP网络获取相应的服务。IP网络是 一个开放式的网络结构，对于用户通过支付相应的费用等方式获取相应的的 权限后才可以享有的网络服务很容易被其他固定网络终端用户窃取，因此， 提供严格有效的固定网络终端用户的认证、鉴权机制，对于语音终端、多媒 体终端、Ephone终端、IAD终端及智能终端设备而言显得特别重要，同时， 有效地对固定网络终端用户进行鉴权认证还可以很好地保护提供网络服务的 网络运营商的利益。\n通常为有效地对用户的身份进行认证、鉴权处理，首先需要在IAD/智能 终端等固定网络终端设备向管理设备注册的过程中，不能被其他人有意或无 意获取用户关键的认证信息，因此用户的鉴权密钥(即用户密码)和鉴权算 法等信息不在网上传送，而是通过独特的鉴权流程在终端和管理设备之间交 互用户识别码、挑战字和鉴权字，来完成用户的鉴权、认证，并最大限度的 防止用户信息被盗用。同时，为进一步保证用户识别码和鉴权密钥的安全， 还需要对其保存进行相应的安全处理，基于这一需要，目前各种固定网络终 端提供的用户认证、鉴权机制通常包括以下两种：\n第一种为：将用户识别码和鉴权密钥直接存储在固定网络终端设备内部 的非易失存储器内，且用户或运营商可以根据需要进行修改；固定网络终端 设备的某一用户向管理设备注册时，使用内部存储的用户识别码和鉴权密钥 等与管理设备间进行数据交互，实现对固定网络终端设备下用户的认证和鉴 权，对于通过认证的用户可以正常使用网络提供各项服务；\n第二种为：在固定网络终端上不保留用户识别码和鉴权密钥，固定网络 终端设备下的用户在向管理设备注册时，首先提示用户输入识别码和用户密 码(即鉴权密钥)，然后固定网络终端使用该信息与管理设备进行数据交互 来实现对该用户的认证和鉴权处理，对于通过认证的用户可以正常使用网络 提供各项服务。\n上述两种鉴权认证方法实现了对固定网络终端用户的认证、鉴权处理， 以保证只有认证、鉴权通过的用户方可以正常使用网络提供的服务。但上述 两种鉴权认证方法还存在以下缺点：\n1、如果采用将用户识别码和鉴权密钥存储于固定网络终端设备内部的非 易失存储器中，则用户的识别码和鉴权密钥较容易被读取、改写和盗用，而 无法保证网络通信的安全性；同时，也影响用户的可移动性，即当用户使用 其它终端时，需要重新设置用户识别码和鉴权密钥。\n2、如果采用用户输入相应的用户识别码和鉴权密钥的方法，则由于用户 知道识别码和鉴权密钥，导致同一用户识别码可以多人、多地使用，而无法 实现对用户身份的标识，同时导致运营商利益受损。\n3、同时，两种鉴权认证方法还共同存在着可扩展性差的缺点，即对鉴权 算法的更新升级不方便，而无法方便地为固定网络终端用户提供更为有效地 鉴权算法：另外，上述两种鉴权认证方法还使得网络运营商提供的业务受限 于固定网络终端自身提供的功能，而无法方便地开展各种新的业务种类\n发明内容\n鉴于上述现有技术存在的问题，本发明的目的是提供一种固定网络终端 的用户认证装置及其方法，以有效防止用户帐号被盗用，并为运营端对固定 网络终端及相应用户的管理提供了方便。\n本发明的目的是通过以下技术方案实现的：\n本发明所述的一种固定网络终端的用户认证装置，包括：\n智能卡处理模块：用于存储固定网络终端的用户的认证信息，并根据保 存的用户的认证信息与认证、鉴权处理模块进行数据交互；\n认证、鉴权处理模块：调用智能卡处理模块中存储的固定网络终端的用 户的认证信息，并通过与智能卡处理模块间的数据交互，以及与管理设备间 的数据交互对固定网络终端进行认证。\n所述的智能卡处理模块包括：\n智能卡：内置有运算部件和存贮部件，用于存储固定网络终端的用户的 认证信息、和完成鉴权运算；\n认证信息处理子模块：用于将智能卡中的用户的认证信息发送给认证、 鉴权处理模块，或根据认证、鉴权处理模块发送来的信息交给智能卡进行认 证信息的处理，并将处理获得的信息发送给认证、鉴权处理模块。\n所述的智能卡中的认证信息为烧制于存贮部件中，且所述的存贮部件还 作为用于提供增值业务的用户应用程序的载体。\n所述的认证信息处理子模块包括CPU(中央处理单元)芯片\n所述的智能卡与认证信息处理子模块间为可拆装式活动连接\n所述的智能卡处理模块内置于固定网络终端设备中或外接于固定网络终 端设备上，且与固定网络终端设备中的认证、鉴权处理模块连接\n当所述的智能卡处理模块外接于固定网络终端设备上时，所述的智能卡 处理模块通过USB(通用串行总线)接口、串行接口、红外接口、或无线接 口与固定网络终端设备中的认证、鉴权处理模块相连。\n本发明还提供了一种基于权利要求1所述的装置的固定网络终端的用户认 证方法，包括：\nA、固定网络终端的认证、鉴权处理模块从智能卡处理模块获取用户的认 证信息，并将所述的认证信息发送给管理设备；\nB、管理设备根据发来的用户的认证信息产生相应的挑战字，并通过认 证、鉴权处理模块返回给智能卡处理模块；\nC、智能卡处理模块将收到的挑战字发送给智能卡，智能卡使用内部保存 的用户的认证信息进行运算处理，以生成相应的鉴权字并返回给管理设备；\nD、管理设备根据收到的鉴权字对进行用户身份的认证，并将认证结果返 回给固定网络终端。\n所述的认证信息包括用户识别码、鉴权密钥和鉴权算法；\n所述的步骤A为：固定网络终端的认证、鉴权处理模块从智能卡处理模块 获取用户识别码，并将所述的用户识别码发送给管理设备：\n所述的步骤C为：智能卡处理模块将收到的挑战字发送给智能卡，智能卡 使用内部保存的用户的鉴权密钥和鉴权算法进行运算处理，以生成相应的鉴 权字并返回给管理设备。\n所述的步骤C还包括：\n智能卡根据收到的挑战字及内部保存的用户的认证信息，生成用于对业 务通信数据进行加密的加密密钥发送给固定网络终端。\n由上述本发明提供的技术方案可以看出，本发明采用了智能卡存储相应 的用户识别码及鉴权密钥，固定网络终端可以通过智能卡获取用户识别码， 并发送给管理设备进行用户的鉴权和认证处理，因此，与现有技术方案相比 本发明具有以下优点：\n1、由于用户的识别码和鉴权密钥保存且烧制于智能卡中，其他人无法获 取，而且智能卡在设计上不允许读取鉴权密钥，因此，可以有效地防止用户 帐户被盗用、冒充，保证用户的利益不被侵害；\n2、本发明通过与智能卡配合实现完善的鉴权、认证、数据加密技术，使 得固定网络终端可运营、可管理，并可很好地保障运营商的利益：\n3、通过对智能卡处理模块的技术改进，以及对其中的智能卡中保存的用 户的认证信息的更新，可以在网络通信中较为方便地提供更好的鉴权认证机 制；并且，还可以直接在智能卡处理模块内进行相应的改进来实现多种多样 的业务，如在智能卡中可以集成高性能CPU和大容量存储器，通过运行相应 程序，可以在终端上实现电子银行业务等，从而保证在IAD/智能终端等固定 网络终端本身不需升级改造的情况下，在网络中提供更丰富的业务，方便了 网络运营商更好地进行业务的拓展。\n附图说明\n图1为本发明所述的固定网络终端的用户认证装置结构示意图1；\n图2为本发明所述的网络终端固定的用户认证装置结构示意图2：\n图3为本发明所述的网络终端固定的用户认证的方法的流程图。\n具体实施方式\n本发明所述的固定网络终端的用户认证装置及其方法的核心是为了保证 用户识别码和鉴权密钥的安全，以保证网络运营商和用户的利益不被侵害， 为此，用户识别码、鉴权密钥的可靠存储及应用，保证其不被随意改写、盗 用，便成为固定网络终端可运营、可管理的重要前提和保证。\n本发明采用了固定网络终端与智能卡结合的固定网络终端的用户认证装置及 其方法，所述的智能卡中保存着用户识别码和鉴权密钥，所采用的智能卡包 括目前常用的SIM(Subscriber Identity Module，用户识别模块)、UIM(User Identity Module，用户识别模块)卡、IC(集成电路)卡、存储器卡、微处理 器卡等，利用智能卡及相应的认证信息处理模块与固定网络终端配合进行鉴 权、认证、数据加密技术处理，很好地解决了现有技术所存在的诸多问题， 方便了网络运营商对固定网络终端的运营和管理，并可保证用户的利益不被 侵害。\n本发明所述的装置的具体实施方式如图1和图2所示，包括认证、鉴权处 理模块和智能卡处理模块，其中：\n所述的认证、鉴权处理模块设置于固定网络终端中，固定网络终端通过 该模块获取用户的认证信息，即用户识别码，并向管理设备发起认证过程， 以认证用户的身份是否合法，即认证、鉴权处理模块用于在负责用户的认证 鉴权处理的管理设备与智能卡处理模块间进行认证过程涉及的数据信息的传 递；\n所述的智能卡处理模块进一步包括智能卡和认证信息处理模块，其中：\n智能卡内置运算部件和存贮部件，用于存储用户的认证信息和进行鉴权 运算，所述的认证信息通常包括用户识别码、鉴权密钥和鉴权算法等，而且 智能卡中的用户识别码、鉴权密钥和鉴权算法等认证信息可以采用烧制于智 能卡中的方法进行处理，在设计上使得任何用户均无法盗取或修改其中的认 证信息，且通常所述的智能卡与认证信息处理模块间采用的为可拆装式的活 动连接，即采用如SIM卡与手机间的连接方式进行连接；\n认证信息处理模块则用于将智能卡中的用户的认证信息发送给认证、鉴 权处理模块，如当用户需要进行身份认证时，则由认证信息处理模块将用户 的认证信息调出并发送给认证、鉴权处理模块，或根据认证、鉴权处理模块 发送来的信息进行认证信息的处理(通常为根据智能卡内部保存的鉴权算法 进行的鉴权运算的处理)，并将处理获得的信息发送给认证、鉴权处理模 块，由认证、鉴权处理模块将需要发送给管理设备的信息发送给管理设备， 即认证信息处理模块用于实现智能卡的驱动、认证信息的读写及数据加密等 功能。\n本发明所述的装置的具体实现方式共包括两种具体实现方案：\n一种方案如图1所示，采用的是将智能卡处理模块与IAD终端、智能终端 等固定网络终端结合设置，即将智能卡处理模块中的用于完成用户的认证信 息读写功能的认证信息处理模块直接集成到固定网络终端中，并可以采用固 定网络终端中的CPU实现认证信息处理模块的相应功能，所述的智能卡则与 固定网络终端间采用可拆装式的活动连接，用户可以将自己的智能卡安装于 某一固定网络终端中，并在通过相应的身份认证后，便可以正常地使用网络 运营商通过通信网络向用户提供的各项服务；因此，在该方案中，需要在智 能终端内部安装智能卡插座，尺寸可以参照SIM卡插座的尺寸，并利用固定网 络终端中的CPU的I/O(输入/输出)接口直接与智能卡上的触点相连，通过固 定网络终端本身的CPU实现智能卡的驱动、读写和数据加密处理等功能；\n另一种方案如图2所示，采用的是将智能卡处理模块外置于固定网络终端 进行设置，即将所述的智能卡处理模块通过有线或无线连接于固定网络终端 上，并与固定网络终端中的认证、鉴权处理模块通信，所述的有线或无线连 接包括通过USB接口、串口、红外线接口、蓝牙接口等与固定网络终端连 接，智能卡处理模块中的认证信息处理模块的相应功能可以通过CPU芯片实 现，同时，认证信息处理模块还包括接口驱动，用于与所述的认证、鉴权处 理模块通信；在该方案中，所述的智能卡则与认证信息处理模块间采用可拆 装式的活动连接，即可以将智能卡从认证信息处理模块上拆下，以方便在其 他固定网络终端中使用。\n由上述两种具体实现方案可以看出，本发明中，用户既可以在发生了物 理位置的改变后方便地更换自己使用的固定网络终端，还可以保证用户自身 的利益及网络运营商的利益均不会受到侵害。\n因此，本发明提出了一种高安全性的语音终端、多媒体终端、IAD(综合 接入设备)终端、智能终端等固定网络终端的认证、鉴权机制，即可以目前 各种语音终端、多媒体终端、Ephone终端、IAD终端、智能终端等认证、鉴 权处理；而且，本发明利用了SIM卡等智能卡技术完善的鉴权、认证、数据加 密技术，较为简便地实现了固定网络终端等的可运营、可管理。\n本发明所述的固定网络终端，包括但不限于目前各种语音终端、多媒体 终端、Ephone终端、IAD终端、智能终端、计算机终端等。\n本发明所述的智能卡，包括但不限于目前各种IC(集成电路)卡、存储 器卡、微处理器卡、SIM卡、UIM卡等。\n基于上述本发明所述的装置，本发明还提供了一种固定网络终端的用户 认证方法，该方法的具体实现方式如图3所示，包括以下步骤：\n步骤31：当用户需要通过通信网络获取网络运营商提供的各项服务时， 首先通信网络的管理设备需要对用户的身份进行认证，此时，需要由固定网 络终端设备从智能卡处理模块的智能卡上读出用户识别码，以便于进行相应 的认证处理。\n步骤32：固定网络终端根据用户识别码向管理设备发起认证请求。\n步骤33：管理设备收到用户的识别码后，将随机产生的挑战字或随机数 发回固定网络终端\n步骤34：固定网络终端将挑战字发给智能卡处理模块的认证信息处理模 块以进行下一步的鉴权运算处理。\n步骤35：认证信息处理模块收到所述的挑战字后将其发送给智能卡，由 智能卡使用所述的挑战字，以及内部存贮的鉴权密钥、鉴权算法等进行内部 运算，以获取相应的鉴权字和加密密钥，并将鉴权字和加密密钥返回给固定 网络终端：鉴权字用于发给管理设备完成用户鉴权，加密密钥用于后续业务 通信时的数据加密。\n步骤36：固定网络终端将鉴权字发送给管理设备，并由管理设备根据自 己使用相同的鉴权算法和鉴权密钥计算处理出的鉴权字进行比较，以实现对 用户认证、鉴权处理。\n步骤37：将认证结果发回固定网络终端，所述的认证结果包括认证成功 和失败两种，对于认证通过(即认证成功)的用户，便可以利用该固定网络 终端开展相应的业务，如语音终端便可以利用通信网络开展语音业务等。\n本发明中，智能卡中的用户识别码和鉴权密钥对用户而言是不可知的， 所以可以有效地保证相应的认证信息不被盗用或修改；而且，所述的智能卡 权可以提供给某一个用户使用，可有效地防止一身份多用户使用的现象发 生，保证了网络运营商和用户的利益；同时，在公共网络上传递的只有随机 数、鉴权字和加密后的数据，因此，在传输过程中，用户的认证信息同样不 可能被盗用。