[发明专利]一种基于EAP-TLS协议的5G二次认证方法及系统

说明书

本发明公开了一种基于EAP‑TLS协议的5G二次认证方法及系统，包括用户设备、接入和移动性管理功能模块、会话管理功能模块、用户平面功能模块、认证服务器功能模块和数据网络认证服务器。本发明通过在用户设备和数据网络认证服务器之间通过数字证书验证彼此的身份，实现了5G业务终端和数据网络的双向二次认证，进一步提高了5G业务的安全性和可用性。

技术领域

本发明涉及5G移动通信技术领域，尤其涉及一种EAP(ExtensibleAuthentication Protocol，可扩展的身份认证协议)-TLS协议(TransportLayerSecurity，传输层安全协议)的5G二次认证方法及系统。

背景技术

现有4G用户专线接入的主要认证方案是基于VPDN(Virtual Private DialNetwork，虚拟专有拨号网络)的身份认证。该认证方案由运营商完成身份认证整体过程，存在安全性较低、易被非法用户破解等安全威胁。为了满足垂直行业的高安全需求，5G网络提出了二次认证架构，该架构使用可扩展的身份认证协议(EAP)以满足不同业务的安全需求。

在现有的二次认证架构的基础上，如何进一步提高5G业务的安全性和可用性，是一项亟待解决的问题。

发明内容

有鉴于此，本发明提供了一种基于EAP-TLS协议的5G二次认证方法，通过在用户设备和数据网络认证服务器之间通过数字证书验证彼此的身份，实现了5G业务终端和数据网络的双向二次认证，进一步提高了5G业务的安全性和可用性。

本发明提供了一种基于EAP-TLS协议的5G二次认证方法，包括：

通过认证服务器功能模块对用户设备进行入网认证；

在认证通过后，所述用户设备与接入和移动性管理功能模块之间建立非接入层安全上下文连接；

在所述用户设备和所述接入和移动性管理功能模块之间建立协议数据单元会话；

在所述接入和移动性管理功能模块和会话管理功能模块之间建立协议数据单元会话；

所述会话管理功能模块从统一数据管理模块获取订阅信息并验证所述用户设备的请求是否合规；

若所述用户设备未被认证授权过，所述会话管理功能模块触发可扩展的身份认证协议进行身份认证，以从数据网络认证服务器获得认证授权；

所述会话管理功能模块向所述用户设备发送可扩展的身份认证协议数据包请求用户身份信息，以开始获取用户的认证信息；

所述用户设备收到身份请求信息后响应所述会话管理功能模块请求，将用户身份消息发送给所述会话管理功能模块；

若所述会话管理功能模块和用户平面功能模块之间未建立协议数据单元会话连接，所述会话管理功能模块选择一个用户平面功能模块并与其建立一个协议数据单元会话；

所述会话管理功能模块通过所述用户平面功能模块将包含用户身份信息的可扩展的身份认证协议数据包转发给所述数据网络认证服务器；

所述数据网络认证服务器通过用户身份信息检索数据网络认证服务器的数据库，获知传输层安全协议认证方法，所述数据网络认证服务器把可扩展的身份认证协议请求所述用户设备开始传输层安全协议的信息封装成访问挑战数据包，并把所述访问挑战数据包发给所述会话管理功能网元，所述会话管理功能网元把所述数据网络认证服务器的消息转发给所述用户设备；

所述用户设备收到传输层安全协议开始的消息后，通过所述会话管理功能网元发送EAP-Response/Client-Hello消息给所述数据网络认证服务器；