[发明专利]一种网络认证方法、系统及装置

说明书

技术领域

本发明涉及认证技术领域，特别涉及一种网络认证方法、系统及装置。

背景技术

目前，在现有需要认证的网络中，通常采用挑战握手认证协议(CHAP， Challenge Handshake Authentication Protocol)对网络的用户进行认证。CHAP 认证的基本过程是：网络中的认证者先发送一个随机挑战信息给用户，用户 根据此挑战信息和共享的密钥信息，使用单向哈希(HASH)函数计算出响 应值，然后发送给认证服务器，认证服务器也进行相同的计算，验证自己的 计算结果和接收到的响应值是否一致；如一致则认证通过，否则认证失败。 这种认证方法的优点在于密钥信息不需要在通信信道中发送，而且每次认证 所交换的信息都不一样，可以很有效地避免监听攻击。

然而，可扩展认证协议(EAP，Extensible Authentication Protocol)以其 可扩展特性和更强的安全性，逐渐流行起来，其中使用信息-摘要算法5 (MD5，Message-Digest Algorithm 5)的EAP-MD5认证方式成为了未来的 发展趋势。

EAP-MD5认证架构如图1所示，包括：申请者(Suppliant)101、认证 者(Authenticator)102和AAA Server 103。申请者101和认证者102间的 EAP-MD5消息交互由层3(L3，Layer3)认证协议，如网络接入认证承载 协议(PANA，Protocol for Carrying Authentication for Network Access)和层 2(L2，Layer2)认证协议，如802.1x、802.1af或私钥管理协议(PKM，Privacy Key Management)承载，在AAA服务器103和认证者102间的CHAP消息 交互由AAA协议承载。

申请者101，申请对认证者所属网络的访问许可，关联于一组在认证协 议范围内证明其自身身份的设备或证书；它可能是便携式电脑、个人数字助 理、移动电话、计算机或路由器等连接在网络上的终端设备。

认证者102，作为认证代理，通过与申请者101进行L2和L3认证协议 交互，并代理申请者101与AAA服务器103间进行的AAA认证协议，如 半径(RADIUS)协议或直径(Diameter)协议的认证过程，为关联于申请 者101的设备提供接入认证和授权。认证者102可以集成于接入节点(AN， Access Node)中。

AAA服务器103，负责对申请者101提供的认证材料进行认证，并向申 请者101返回认证的结果和授权的参数。

现有大部分网络中的AAA服务器只支持CHAP认证，不支持EAP-MD5 认证，若要现有只支持CHAP认证的网络能够实现EAP-MD5认证，就必须 将AAA服务器更换为支持EAP-MD5认证的AAA服务器，而AAA服务器 是网络的心脏，更换AAA服务器将可能导致全网的瘫痪；而且，更换AAA 服务器的成本相当高，对于保护网络运营商的投资来说是相当不利的。

发明内容

本发明实施例提供一种网络认证系统，无须AAA服务器对EAP-MD5 认证的支持，也可实现EAP-MD5认证；

本发明实施例提供一种AAA代理装置，无须AAA服务器对EAP-MD5 认证的支持，也可实现EAP-MD5认证；

本发明实施例提供一种网络认证方法，无须AAA服务器对EAP-MD5 认证的支持，也可实现EAP-MD5认证；

为达到上述目的，本发明的技术方案具体是这样实现的：

一种网络认证系统，包括认证授权计费AAA代理装置和认证授权计费 AAA服务器；

所述AAA代理装置，接收认证者以EAP-MD5方式发来的申请者的认 证信息，并转换为CHAP方式提交AAA服务器进行认证；接收AAA服务 器返回的CHAP方式的认证结果，并转换为EAP-MD5方式向认证者发送；

所述AAA服务器，根据以CHAP方式从AAA代理装置接收到的认证 信息，对申请者进行认证；并以CHAP方式向AAA代理装置返回认证结果。

一种AAA代理装置，该装置包括：认证者连接模块、转换模块和AAA 连接模块；