[发明专利]鉴权参数更新方法、装置和系统

权利要求书

1.一种用于机卡一体终端的参数更新方法，其特征在于，包括：

所述终端与网关设备建立会话；

所述网关设备接收所述终端发起的第一次点对点协议(PPP)流程，当鉴权参数需要初始化或更新时，所述网关设备通过与认证/授权/计费(AAA)设备的交互，向所述终端发送握手认证协议(CHAP)认证失败消息，在所述第一次PPP流程中，所述终端生成终端侧握手认证协议共享密钥(CHAP SS)；

所述网关设备接收所述终端发起的第二次PPP流程，在所述第二次PPP流程中，所述AAA设备生成AAA侧CHAP SS，并更新所述AAA设备的数据库信息，同时所述终端利用所述终端侧CHAP SS更新所述终端的存储区；

所述网关设备接收所述终端发起的第三次PPP流程，在所述第三次PPP流程中，所述终端利用所述终端侧CHAP SS响应所述网关设备发起的CHAP挑战，所述AAA设备利用所述AAA侧CHAP SS对所述终端进行鉴权以完成鉴权参数的初始化或更新。

2.根据权利要求1的参数更新方法，其特征在于，所述第一次PPP流程包括：

所述网关设备与所述终端进行链路控制协议(LCP)协商，协商鉴权方式为CHAP鉴权；

所述网关设备向所述终端发起CHAP挑战；

所述网关设备接收所述终端返回的CHAP响应消息，所述CHAP响应消息携带预设标识，标识所述终端的鉴权参数的初始化情况；

根据所述CHAP响应消息，所述网关设备向AAA设备发送远程用户拨号认证系统(RADIUS)接入请求消息，要求对所述终端进行鉴权，所述RADIUS接入请求消息携带所述预设标识；

当所述RADIUS接入请求消息中包含所述终端的鉴权参数未初始化的预设标识，或所述AAA设备中标识所述终端的鉴权参数需更新时，所述AAA设备向所述网关设备发送接入拒绝消息，所述接入拒绝消息中携带AAA侧CHAP SS生成参数；

所述网关设备根据所述接入拒绝消息，向所述终端发送CHAP认证失败消息，所述CHAP认证失败消息中携带所述AAA侧CHAP SS生成参数；

所述终端根据所述CHAP认证失败消息，生成终端侧CHAP SS生成参数，并利用接收到的所述AAA侧CHAP SS生成参数和终端侧CHAP SS生成参数生成所述终端侧CHAP SS。

3.根据权利要求1所述的参数更新方法，其特征在于，所述第二次PPP流程包括：

所述终端与所述网关设备发起LCP协商，协商鉴权方式为CHAP鉴权；

所述网关设备向所述终端发起CHAP挑战；

所述网关设备接收所述终端返回的CHAP响应消息，所述CHAP响应消息携带所述终端生成的终端侧CHAP SS生成参数；

根据所述CHAP响应消息，所述网关设备向AAA设备发送RADIUS接入请求消息，要求对所述终端进行鉴权，所述RADIUS接入请求消息包含所述终端侧CHAP SS生成参数；

所述AAA设备从所述RADIUS接入请求消息中提取所述终端侧CHAP SS生成参数，与所述AAA设备生成的AAA侧CHAP SS生成参数一起生成AAA侧CHAP SS，并更新所述AAA设备的数据库信息；

所述AAA设备向所述网关设备发送接入拒绝消息；

所述网关设备根据所述接入拒绝消息，向所述终端发送CHAP认证失败消息；

所述终端根据所述CHAP认证失败消息，利用所述终端侧CHAPSS更新所述终端的存储区。

4.根据权利要求3所述的参数更新方法，其特征在于，所述第二次PPP流程还包括：

所述RADIUS接入请求消息中包括所述终端加密后的随机数，所述随机数由所述终端利用所述AAA设备的公钥进行加密，携带于所述CHAP响应消息中；

所述AAA设备利用本地的私钥通过解密从所述RADIUS接入请求消息中获取所述随机数，并将其通过所述网关设备发送给所述终端；

所述终端对收到的随机数进行验证，当收到的随机数与所述终端生成的所述随机数相同时，利用所述终端侧CHAP SS更新所述终端的存储区。