[发明专利]一种实现鉴权的方法和装置

说明书

技术领域

本发明涉及通信领域，具体涉及一种实现鉴权的方法和装置。

背景技术

虽然3G网络在逐渐普及，但运营商出于市场和成本的考虑，通常会采用逐步过渡的策略，从而出现2G&3G的移动交换中心/访问位置寄存器(MSC/VLR)共同组网的情况。在处于过渡阶段的移动通讯网络中，通常会出现原有的2G MSC/VLR和新建的2G&3G MSC/VLR混合组网的情况。

在上述的网络条件下，终端可以从2G MSC/VLR漫游到2G&3G MSC/VLR，同样也可以在2G&3G MSC/VLR内从2G网络漫游到3G网络中。在漫游过程中，MSC/VLR需要处理鉴权过程。处理鉴权过程有两个关键点：第一是获取和保存鉴权向量，第二是选取正确的鉴权向量发起鉴权过程。

对于鉴权向量的获取，MSC/VLR主要通过两个渠道获取：

归属位置寄存器/鉴权中心(HLR/Auc)负责生成终端的鉴权向量，MSC/VLR则可以从HLR/Auc中获取鉴权向量并保存。当然，为了避免重复多次获取鉴权向量，HLR/Auc可以一次性提供多组鉴权向量。

除了从HLR/Auc中获取鉴权向量以外，MSC/VLR在处理跨VLR的位置更新过程时，可以通过3GPP TS 29.002协议中的MAP-SEND-IDENTIFICATION消息从先前的MSC/VLR获取鉴权向量并保存。

对于2G终端而言，HLR/Auc生成的鉴权向量是由随机数RAND、期望响应XRES、加密密钥CK组成的三元组；对于3G终端而言，HLR/Auc生成的鉴权向量则是由RAND、XRES、CK、完整性密钥IK、鉴权令牌AUTN组成的五元组。

在向先前的MSC/VLR获取鉴权向量时，如果MSC/VLR之间采用较低的MAP协议版本相连，那么受到版本的限制，MAP-SEND-IDENTIFICATION消息中只能传递三元组。当然，对于MSC/VLR而言，可以由五元组推导出三元组，反之却不可以。因此，即便是一个3G终端，2G MSC/VLR也只能将转换后的三元组提供给2G&3G MSC/VLR使用。并且，在获取了鉴权向量后，MSC/VLR发起鉴权过程前，需要根据终端当前的无线接入类型和终端类型选择合适的鉴权向量，才能保证鉴权成功。

如前所述，终端从2G MSC/VLR漫游到2G&3G MSC/VLR中后，2G&3GMSC/VLR从2G MSC/VLR获取到的鉴权向量只能是三元组。

2G&3G MSC/VLR可以同时与2G的基站控制器(BSC)和3G的无线网络控制器(RNC)相连，如果终端此时是通过BSC接入，那么根据3GPP TS 33.102协议的定义，使用三元组可以进行成功的鉴权，2G&3G MSC/VLR从2GMSC/VLR获取的鉴权向量是可用的。然而，若终端又从2G&3G MSC/VLR下的BSC漫游到RNC，则后续如果仍然使用保存的三元组进行鉴权，那么将会导致鉴权失败。或者终端从2G MSC/VLR直接漫游到2G&3G MSC/VLR下的RNC，也会由于同样原因导致鉴权失败。

另一种情况下，如果MSC/VLR之间或者HLR与2G M SC/VLR之间采用较低的MAP协议版本相连，那么受到版本的限制，MAP-SEND-IDENTIFICATION消息中只能传递三元组，那么无论终端首先接入哪个层次的网络，只要漫游到高层次的网络(如3G网络下的RNC，或者2G&3G网络下的RNC)，那么高层次网络的MSC/VLR只能获取三元组。一旦使用了三元组鉴权向量，那么结果也是鉴权失败。

总之，若MAP协议版本为高版本，则只要终端由低层次网络漫游到高层次网络，高层次网络的MSC/VLR从前一个网络的MSC/VLR获取该终端的鉴权向量时，都只能获取到三元组鉴权向量。若MAP协议版本为低版本，则无论终端从哪里漫游到高层次网络，高层次网络的MSC/VLR从前一个网络的MSC/VLR获取该终端的鉴权向量时，都只能获取到三元组鉴权向量。