[发明专利]终端认证方法、装置及系统

权利要求书

1.一种终端认证方法，其特征在于，所述方法包括：

终端向接入网关发起初始附着请求；所述接入网关包括：HRPD服务网关；

根据所述初始附着请求，所述接入网关向第三代协作组验证、授权和记账3GPP AAA服务器发送DER消息；

所述3GPP AAA服务器接收所述DER消息，并检查所述DER消息中的EAP-PAYLOAD属性中的EAP-IDENTITY前缀为预设的字符时，则所述终端为可扩展认证协议-安全传输层协议EAP-TLS接入；以及

所述3GPP AAA服务器通过EAP-TLS交互对所述终端进行鉴权认证。

2.根据权利要求1所述的终端认证方法，其特征在于，所述3GPP AAA服务器通过EAP-TLS交互对所述终端进行鉴权认证，包括：

所述3GPP AAA服务器接收到所述接入网关发送的握手消息后，返回服务端证书给所述接入网关；

所述终端接收所述接入网关发送的所述服务端证书，并对所述服务端证书进行验证，当对所述服务端证书验证通过时，所述终端将终端证书发送给所述接入网关；以及

所述3GPP AAA服务器接收并校验所述接入网关发送的所述终端证书，当校验通过时，将握手完成消息发送给所述接入网关，以完成对所述终端的认证。

3.根据权利要求2所述的终端认证方法，其特征在于，所述方法还包括：

所述3GPP AAA服务器接收所述接入网关发送的确认收到握手完成消息的DER消息后，向演进分组核心网-归属用户服务器EPC-HSS服务器发送MAR消息和SAR消息，以获取鉴权数据和用户数据并进行授权检查，在授权检查成功时，向所述接入网关发送授权检查成功的DEA消息，完成所述终端和所述3GPP AAA服务器之间的授权。

4.根据权利要求1所述的终端认证方法，其特征在于，DER消息中的EAP-IDENTITY前缀经扩展后使用英文字符，当所述前缀为预设字符时，则其鉴权方式为EAP-TLS，其中，所述预设字符为英文字符。

5.根据权利要求1所述的终端认证方法，其特征在于，所述终端安装有终端证书，所述终端证书中至少包含所述终端进行通信业务的IMSI信息，所述3GPP AAA服务器安装有服务端证书。

6.一种终端认证方法，其特征在于，应用于无全球用户识别卡/客户识别卡USIM/SIM的终端或者无法获取USIM/SIM卡信息的终端中，所述方法包括：

发送初始附着请求给接入网关，以通过所述接入网关发送DER消息给3GPP AAA服务器；所述接入网关包括：HRPD服务网关；

当所述3GPP AAA服务器接收所述DER消息，并检查所述DER消息中的EAP-PAYLOAD属性中的EAP-IDENTITY前缀为预设的字符时，则所述终端为可扩展认证协议-安全传输层协议EAP-TLS接入，

当所述3GPP AAA服务器通过EAP-TLS交互对所述终端进行鉴权认证时，则接收所述接入网关转发的服务端证书；

对所述服务端证书进行验证；以及

当所述服务端证书验证通过时，发送终端证书给所述接入网关，以通过所述接入网关发送所述终端证书给3GPP AAA服务器进行校验。

7.根据权利要求6所述的终端认证方法，其特征在于，所述终端证书中至少包含所述终端进行通信业务的IMSI信息。

8.一种终端认证方法，应用于3GPP AAA服务器中，其特征在于，所述方法包括：

接收来自接入网关的DER消息；所述接入网关包括：HRPD服务网关；

确定所述DER消息中的EAP-PAYLOAD属性中的EAP-IDENTITY前缀为预设的字符时则所述终端为EAP-TLS接入，并通过EAP-TLS交互对所述终端进行鉴权认证。