[发明专利]一种无线城域网终端非归属地接入身份鉴别的方法

权利要求书

1.一种无线城域网终端非归属地接入身份鉴别的方法，其特征在于：接入地认证服务器AS和归属地认证服务器AS无直接信任关系，均信任中心认证服务器AS，并持有中心认证服务器AS的证书；基站BS请求接入地认证服务器对基站BS和用户站SS进行身份鉴别时，若接入地认证服务器AS确定不能在本地鉴别用户站SS，则将归属地鉴别请求消息发送给中心认证服务器AS，中心认证服务器AS再把归属地鉴别请求消息发送给归属地认证服务器AS进行认证。

2.根据权利要求1所述的无线城域网终端非归属地接入身份鉴别的方法，其特征在于：包括以下步骤：

步骤1：基站BS向用户站SS发送接入鉴别激活消息，所述接入鉴别激活消息包括基站BS证书和基站BS的消息签名；

步骤2：用户站SS收到接入鉴别激活消息，利用基站BS证书的公钥验证基站BS的消息签名，若验证通过，则构造接入鉴别请求消息并发送至基站BS，所述接入鉴别请求消息包括用户站SS证书、用户站SS信任的认证服务器AS列表和用户站SS的消息签名；

步骤3：基站BS收到接入鉴别请求消息，利用用户站SS证书的公钥验证用户站SS的消息签名，若验证通过，则构造证书鉴别请求消息，发送给接入地认证服务器AS，所述证书鉴别请求消息包括用户站SS证书、基站BS证书、用户站SS信任的认证服务器AS列表和基站BS的消息签名；

步骤4：接入地认证服务器AS收到证书鉴别请求消息，利用基站BS证书的公钥验证基站BS的消息签名，若验证通过，根据用户站SS信任的认证服务器AS列表判断是否需要进行归属地的身份鉴别，分两种情况：

I、若接入地认证服务器AS在用户站SS信任的认证服务器AS列表中，则验证基站BS证书和用户站SS证书，构造并发送第一证书鉴别响应消息至基站BS，所述第一证书鉴别响应消息包括基站BS证书验证结果、用户站SS证书验证结果、接入地认证服务器AS证书和接入地认证服务器AS的消息签名，下一步骤为步骤9；

II、若接入地认证服务器AS不在用户站SS信任的认证服务器AS列表中，则验证基站BS证书，构造第一归属地鉴别请求消息并发送至中心认证服务器AS，所述第一归属地鉴别请求消息包括基站BS证书验证结果、用户站SS证书、接入地认证服务器AS证书、用户站SS信任的认证服务器AS列表和接入地认证服务器AS的消息签名；

步骤5：接上述步骤4的II，中心认证服务器AS收到第一归属地鉴别请求消息后，利用接入地认证服务器AS证书的公钥验证消息签名，若验证通过，根据用户站SS信任的认证服务器AS列表选择其中一个认证服务器AS，发送第二归属地鉴别请求消息，所述第二归属地鉴别请求消息的消息内容来自收到的第一归属地鉴别请求消息，将其中的接入地认证服务器AS的消息签名换成中心认证服务器AS的消息签名；

步骤6：归属地认证服务器AS收到第二归属地鉴别请求消息后，利用中心认证服务器AS证书的公钥验证消息签名，若验证通过，则验证用户站SS证书，构造第一归属地鉴别响应消息发送至中心认证服务器AS，所述第一归属地鉴别响应消息包括基站BS证书验证结果、用户站SS证书验证结果、接入地认证服务器AS证书、归属地认证服务器AS证书和归属地认证服务器AS签名；

步骤7：中心认证服务器AS收到第一归属地鉴别响应消息后，利用归属地认证服务器AS证书的公钥验证签名，若验证通过，构造第二归属地鉴别响应消息发送至接入地认证服务器AS，所述第二归属地鉴别响应消息的消息内容来自收到的第一归属地鉴别响应消息，并增加中心认证服务器AS的消息签名；

步骤8：接入地认证服务器AS收到第二归属地鉴别响应消息后，根据中心认证服务器AS证书的公钥验证中心认证服务器AS的消息签名，根据归属地认证服务器AS证书的公钥验证归属地认证服务器AS的消息签名，若验证通过，构造并发送第二证书鉴别响应消息至基站BS，所述第二证书鉴别响应消息包括BS证书验证结果、SS证书验证结果、接入地认证服务器AS证书、归属地认证服务器AS证书、归属地认证服务器AS的消息签名和接入地认证服务器AS的消息签名，其中归属地认证服务器AS的消息签名与第二归属地鉴别响应消息中的归属地认证服务器AS签名相同； 

步骤9：接上述步骤4的I或步骤8，基站BS收到第一证书鉴别响应消息或第二证书鉴别响应消息，利用接入地认证服务器AS证书公钥验证接入地认证服务器AS的消息签名，利用归属地认证服务器AS证书公钥验证归属地认证服务器AS的消息签名，若验证通过，根据第一证书鉴别响应消息或第二证书鉴别响应消息判断用户站SS的合法性，若用户站SS合法，则构造接入鉴别响应消息发送至用户站SS，所述接入鉴别响应消息包括基站BS证书验证结果、用户站SS证书验证结果、接入地认证服务器AS证书、归属地认证服务器AS证书、归属地认证服务器AS的消息签名、接入地认证服务器AS的消息签名、更新的授权密钥信息、加密的授权密钥材料和BS的消息签名；

步骤10：用户站SS收到接入鉴别响应消息，利用基站BS证书公钥验证基站BS的消息签名，利用接入地认证服务器AS证书公钥验证接入地认证服务器AS的消息签名，利用归属地认证服务器AS证书公钥验证归属地认证服务器AS的消息签名，若验证通过，根据接入鉴别响应消息验证基站BS的合法性，若基站BS合法，则构造接入鉴别确认消息发送至基站BS，所述接入鉴别确认消息包括更新的授权密钥信息和消息鉴别码；

步骤11：基站BS收到接入鉴别确认消息，根据消息鉴别码校验数据完整性，若校验通过，启用更新的授权密钥材料，否则解除与用户站SS的连接。