NSWO业务的认证方法、设备和存储介质与流程

nswo业务的认证方法、设备和存储介质
技术领域
1.本技术实施例涉及通信技术领域，尤其涉及一种nswo业务的认证方法、设备和存储介质。

背景技术：

2.在第四代通信系统(4g)网络中，第三代合作伙伴计划(3rd generation partnership project，3gpp)引入了有缝无线局域网分流业务(non-seamless wlan offload，nswo)。终端设备执行nswo业务时，业务数据可以通过接入网(access network，an)设备分流，直接接入因特网。
3.终端设备执行nswo业务之前，an设备、3gpp认证、授权和计费(authentication，authorization and accounting，aaa)服务器，以及归属签约用户服务器(home subscriber server，hss)需要完成对终端设备的认证。可以理解为，an设备借助运营商完成了对终端设备的认证。当运营商认证终端设备成功之后，an设备才会为终端设备提供nswo的业务。
4.随着通信技术的发展，第五代通信系统(5g)网络也将支持nswo业务。5g网络和4g网络的设备可能不同，例如，5g网络可能没有3gpp aaa server。而且，5g网络和4g网络支持的认证算法也不同。因此，在5g网络中如何实现终端设备针对nswo业务的认证，亟需解决。

技术实现要素：

5.本技术实施例提供一种nswo业务的认证方法、设备和存储介质，能够在5g等网络中实现终端设备针对nswo业务的认证。
6.第一方面，提供了一种nswo业务的认证方法，包括：在终端设备确定进行nswo业务后，向接入网设备发送suci；接收nswo网元通过接入网设备发送的第三认证请求消息，第三认证请求消息为eap aka'认证算法对应的认证请求消息；使用eap aka'认证算法对网络进行认证校验；在认证校验成功后，通过接入网设备向nswo网元发送第四认证请求消息。
7.第一方面提供的nswo业务的认证方法，可以应用于终端设备或ue。完整的nswo业务认证流程涉及的网元包括ue、an设备、nswo网元、ausf和udm。ue确定进行nswo业务后启动针对nswo业务的认证流程。在认证过程中，确定采用eap aka’认证方式，避免了如果选择5g aka认证方式而导致的认证失败，实现了在5g等网络中针对nswo业务的认证。
8.一种可能的实现方式中，suci中包括的supi的类型用于指示进行针对nswo业务的认证；和/或，suci包括业务指示信息，业务指示信息用于指示进行针对nswo业务的认证。
9.在该实现方式中，an设备、nswo网元、ausf或udm可以根据suci直接确定执行针对nswo业务的认证。
10.一种可能的实现方式中，接收nswo网元通过接入网设备发送的第三认证请求消息之前，方法还包括：向接入网设备发送第一nswo指示信息，第一nswo指示信息用于指示进行针对nswo业务的认证。
11.在该实现方式中，an设备、nswo网元、ausf或udm可以根据第一nswo指示信息直接确定执行针对nswo业务的认证。
12.一种可能的实现方式中，第一nswo指示信息和suci在一条消息中。
13.在该实现方式中，将第一nswo指示信息和suci携带在一条消息中，节省了空口消息数量。
14.一种可能的实现方式中，在认证校验成功后，还包括下列中的一项：计算密钥ck’和密钥ik’，之后删除密钥ck’和密钥ik’；计算密钥ck’和密钥ik’，且不根据密钥ck’和密钥ik’计算密钥k
ausf
，之后删除密钥ck’和密钥ik’；计算密钥ck’和密钥ik’，且根据密钥ck’和密钥ik’计算密钥k
ausf
，之后删除密钥ck’和密钥ik’，且删除密钥k
ausf
，或不对终端设备本地存储的密钥k
ausf
进行替换；或者，在认证校验成功后，不计算密钥ck’和密钥ik’。
15.在该实现方式中，ue在对网络进行认证校验成功后，可以不计算密钥ck’和密钥ik’，或者，将计算得到的密钥ck’和密钥ik’或密钥k
ausf
删除，或者，计算密钥k
ausf
后不将新生成的密钥k
ausf
替换本地已有的密钥k
ausf
，避免影响ue的现有密钥架构。
16.一种可能的实现方式中，在终端设备确定进行nswo业务之前，方法还包括：接收接入网设备发送的第二nswo指示信息，第二nswo指示信息用于指示接入网设备支持nswo业务；根据第二nswo指示信息，确定进行基于5g密钥的认证，或进行基于sim的认证，或进行基于用户首次认证的密钥进行认证。
17.在该实现方式中，an设备通过向ue发送第二nswo指示信息，向ue通知an设备支持nswo业务，可以实现针对nswo业务的认证。
18.一种可能的实现方式中，向接入网设备发送suci，可以包括：向接入网设备发送连接建立请求消息，连接建立请求消息包括suci和第一nswo指示信息。
19.在该实现方式中，ue确定进行nswo业务后，接入an建立连接。在连接建立请求消息中同时携带suci和第一nswo指示信息，启动针对nswo业务的认证流程，节省了空口消息数量。
20.一种可能的实现方式中，向接入网设备发送suci，可以包括：接收接入网设备发送的第一请求消息；向接入网设备发送第一响应消息，第一响应消息包括第一nswo指示信息和suci。
21.在该实现方式中，an设备向ue发送第一请求消息，触发ue进行eap认证。ue确定进行nswo业务之后接收到第一请求消息，确定执行eap认证，且确定执行针对nswo业务的认证。
22.第二方面，提供了一种nswo业务的认证方法，包括：接收终端设备发送的suci；根据suci确定nswo网元的地址；根据nswo网元的地址向nswo网元发送第二请求消息，第二请求消息包括suci；接收nswo网元发送的第三认证请求消息，第三认证请求消息为eap aka’认证算法对应的认证请求消息；向终端设备发送第三认证请求消息；接收终端设备发送的第四认证请求消息；向nswo网元发送第四认证请求消息。
23.第二方面提供的nswo业务的认证方法，可以应用于an设备。完整的nswo业务认证流程涉及的网元包括ue、an设备、nswo网元、ausf和udm。在针对nswo业务的认证流程中，确定采用eap aka’认证方式，避免了如果选择5g aka认证方式而导致的认证失败，实现了在5g等网络中针对nswo业务的认证。
24.一种可能的实现方式中，suci中包括的supi的类型用于指示进行针对nswo业务的认证；和/或，suci包括业务指示信息，业务指示信息用于指示进行针对nswo业务的认证。
25.一种可能的实现方式中，根据suci确定nswo网元的地址之前，还包括：接收终端设备发送的第一nswo指示信息，第一nswo指示信息用于指示进行针对nswo业务的认证。
26.一种可能的实现方式中，第一nswo指示信息和suci在一条消息中。
27.一种可能的实现方式中，第二请求消息还包括第一nswo指示信息。
28.在该实现方式中，nswo网元、ausf或udm可以根据第一nswo指示信息直接确定执行针对nswo业务的认证。
29.一种可能的实现方式中，第二请求消息还包括第三nswo指示信息，第三nswo指示信息用于指示进行针对nswo业务的认证。
30.在该实现方式中，nswo网元、ausf或udm可以根据第三nswo指示信息直接确定执行针对nswo业务的认证。
31.一种可能的实现方式中，接收终端设备发送的suci之前，还包括：向终端设备发送第二nswo指示信息，第二nswo指示信息用于指示接入网设备支持nswo业务。
32.一种可能的实现方式中，第二请求消息还包括接入网设备的接入网标识。
33.在该实现方式中，接入网标识可以用于nswo网元向ausf发送an设备的第一标识信息，以便最终udm计算eap aka’认证向量时使用。
34.一种可能的实现方式中，根据suci确定nswo网元的地址，包括：从suci中获取目标网络标识和/或目标路由标识；根据网络标识和/或路由标识与nswo网元地址之间的映射关系，获取目标网络标识和/或目标路由标识对应的nswo网元的地址。
35.一种可能的实现方式中，根据suci确定nswo网元的地址，包括：从suci中获取目标网络标识和/或目标路由标识；向第一地址管理网元发送目标网络标识和/或目标路由标识；接收第一地址管理网元发送的nswo网元的地址。
36.一种可能的实现方式中，接收终端设备发送的suci，包括：接收终端设备发送的连接建立请求消息，连接建立请求消息包括suci和第一nswo指示信息。
37.一种可能的实现方式中，接收终端设备发送的suci，包括：向终端设备发送第一请求消息，接收终端设备发送的第一响应消息，第一响应消息包括第一nswo指示信息和suci。
38.第三方面，提供了一种nswo业务的认证方法，包括：接收接入网设备发送的第二请求消息，第二请求消息包括终端设备的suci；根据第二请求消息确定进行针对nswo业务的认证；向ausf发送第一认证请求消息，第一认证请求消息包括suci；接收ausf发送的第一认证响应消息，第一认证响应消息为eap aka’认证算法对应的认证响应消息；根据第一认证响应消息向接入网设备发送第三认证请求消息，第三认证请求消息为eap aka’认证算法对应的认证请求消息；接收接入网设备发送的第四认证请求消息；根据第四认证请求消息向ausf发送第五认证请求消息。
39.第三方面提供的nswo业务的认证方法，可以应用于nswo网元。完整的nswo业务认证流程涉及的网元包括ue、an设备、nswo网元、ausf和udm。在针对nswo业务的认证流程中，确定采用eap aka’认证方式，避免了如果选择5g aka认证方式而导致的认证失败，实现了在5g等网络中针对nswo业务的认证。
40.一种可能的实现方式中，根据第二请求消息确定进行针对nswo业务的认证，包括
下列中的至少一种情况：根据第二请求消息中包括的nswo指示信息，确定进行针对nswo业务的认证；根据suci确定进行针对nswo业务的认证；根据第二请求消息确定接入网设备的地址或接入网标识，在根据接入网设备的地址或接入网标识确定接入网设备支持nswo业务后，确定进行针对nswo业务的认证。
41.一种可能的实现方式中，suci中包括的supi的类型用于指示进行针对nswo业务的认证；和/或，suci包括业务指示信息，业务指示信息用于指示进行针对nswo业务的认证。
42.一种可能的实现方式中，第一认证请求消息还包括第四nswo指示信息，第四nswo指示信息用于指示进行针对nswo业务的认证。
43.在该实现方式中，ausf或udm可以根据第四nswo指示信息直接确定执行针对nswo业务的认证。
44.一种可能的实现方式中，第一认证请求消息还包括下列中的一项：第二请求消息中携带的接入网设备的接入网标识；接入网设备的接入网标识对应的服务网络名称；根据接入网设备的相关信息确定的接入网标识；预设接入网标识，用于指示进行针对nswo业务的认证；预设服务网络名称，用于指示进行针对nswo业务的认证。
45.一种可能的实现方式中，第二认证请求消息还包括接入网设备的第二标识信息，接入网设备为终端设备连接的接入网设备；第二标识信息包括：第一信息或第一认证请求消息中携带的第一标识信息；若第一认证请求消息中携带的第一标识信息为接入网设备的接入网标识，则第一信息为接入网标识对应的服务网络名称；若第一认证请求消息中未携带第一标识信息，则第一信息为预设接入网标识或预设服务网络名称；预设接入网标识或预设服务网络名称均用于指示进行针对nswo业务的认证。
46.一种可能的实现方式中，第一认证请求消息为ue认证的认证服务请求消息，第一认证响应消息为ue认证的认证服务响应消息。
47.一种可能的实现方式中，第一认证请求消息和第一认证响应消息均为新增ausf服务对应的消息，新增ausf服务用于指示执行针对nswo业务的认证。
48.在该实现方式中，ausf可以直接根据新增ausf服务确定执行针对nswo业务的认证。
49.第四方面，提供了一种nswo业务的认证方法，包括：接收nswo网元发送的第一认证请求消息，第一认证请求消息包括suci；根据第一认证请求消息确定进行针对nswo业务的认证；向udm发送第二认证请求消息，第二认证请求消息包括suci；接收udm发送的第二认证响应消息，第二认证响应消息包括第二eap aka’认证向量；根据第二认证响应消息向nswo网元发送第一认证响应消息，第一认证响应消息为eap aka’认证算法对应的认证响应消息；接收nswo网元发送的第五认证请求消息；根据第五认证请求消息进行针对终端设备的认证。
50.第四方面提供的nswo业务的认证方法，可以应用于ausf。完整的nswo业务认证流程涉及的网元包括ue、an设备、nswo网元、ausf和udm。在针对nswo业务的认证流程中，确定采用eap aka’认证方式，避免了如果选择5g aka认证方式而导致的认证失败，实现了在5g等网络中针对nswo业务的认证。
51.一种可能的实现方式中，根据第一认证请求消息确定进行针对nswo业务的认证，包括下列中的至少一种情况：根据第一认证请求消息中包括的nswo指示信息，确定进行针
对nswo业务的认证；nswo指示信息用于指示进行针对nswo业务的认证；在确定第一认证请求消息为新增鉴权服务器功能ausf服务对应的请求消息时，确定进行针对nswo业务的认证，新增ausf服务用于指示进行针对nswo业务的认证；根据suci确定进行针对nswo业务的认证；根据第一认证请求消息确定nswo网元的类型或地址，在根据nswo网元的类型或地址确定nswo网元支持nswo业务后，确定进行针对nswo业务的认证。
52.一种可能的实现方式中，suci中包括的supi的类型用于指示进行针对nswo业务的认证；和/或，suci包括业务指示信息，业务指示信息用于指示进行针对nswo业务的认证。
53.一种可能的实现方式中，第二认证请求消息还包括第五nswo指示信息，第五nswo指示信息用于指示进行针对nswo业务的认证。
54.在该实现方式中，通过在第二认证请求消息中携带第五nswo指示信息，udm可以直接确定执行针对nswo业务的认证。
55.一种可能的实现方式中，根据第一认证请求消息确定进行针对nswo业务的认证之后，还包括：确定采用eap aka’认证算法；相应的，第二认证请求消息还包括算法指示信息，算法指示信息用于指示进行eap aka’认证。
56.在该实现方式中，通过在第二认证请求消息中携带算法指示信息，udm可以直接确定采用eap aka’认证算法，简化了udm的处理。
57.一种可能的实现方式中，第一认证请求消息还包括接入网设备的第一标识信息，接入网设备为终端设备连接的接入网设备；第一标识信息包括下列中的一项：接入网设备的接入网标识；接入网设备的接入网标识对应的服务网络名称；预设接入网标识，用于指示进行针对nswo业务的认证；预设服务网络名称，用于指示进行针对nswo业务的认证。
58.在该实现方式中，第一标识信息可以用于ausf向udm发送an设备的第二标识信息，以便最终udm计算eap aka’认证向量时使用。
59.一种可能的实现方式中，第二认证请求消息还包括接入网设备的第二标识信息，接入网设备为终端设备连接的接入网设备；第二标识信息包括：第一信息或第一认证请求消息中携带的第一标识信息；若第一认证请求消息中携带的第一标识信息为接入网设备的接入网标识，则第一信息为接入网标识对应的服务网络名称；若第一认证请求消息中未携带第一标识信息，则第一信息为预设接入网标识或预设服务网络名称；预设接入网标识或预设服务网络名称均用于指示进行针对nswo业务的认证。
60.在该实现方式中，第二标识信息可以用于后续udm计算eap-aka’认证向量时使用。
61.一种可能的实现方式中，第一认证请求消息为ue认证的认证服务请求消息，第一认证响应消息为ue认证的认证服务响应消息。
62.一种可能的实现方式中，第一认证请求消息和第一认证响应消息均为新增ausf服务对应的消息，新增ausf服务用于指示执行针对nswo业务的认证。
63.一种可能的实现方式中，第二认证请求消息为ue认证的得到服务请求消息，第二认证响应消息为ue认证的得到服务响应消息。
64.一种可能的实现方式中，第二认证请求消息和第二认证响应消息均为新增udm服务对应的消息，新增udm服务用于指示执行针对nswo业务的认证。
65.在该实现方式中，udm可以直接根据新增udm服务确定执行针对nswo业务的认证。
66.一种可能的实现方式中，第二认证响应消息还包括终端设备的supi；方法还包括：
根据第五认证请求消息进行针对终端设备的认证成功后，向udm发送第一nswo认证结果，第一nswo认证结果包括supi，和/或接入网设备的接入网标识，和/或接入网标识对应的服务网络名称，接入网设备为终端设备连接的接入网设备。
67.在该实现方式中，在ausf确定ue针对nswo业务认证成功之后，可以向udm通知认证成功的ue和/或认证成功ue接入的an设备，从而，udm可以对认证成功的ue和/或认证成功ue接入的an设备进行记录，以便后续针对ue或an设备完成计费。
68.一种可能的实现方式中，第一nswo认证结果还包括认证指示信息，认证指示信息用于指示终端设备针对nswo业务的认证成功。
69.一种可能的实现方式中，第一nswo认证结果包含在ue认证结果确认消息中。
70.一种可能的实现方式中，第二eap aka’认证向量不包括密钥ck’和密钥ik’，第一认证响应消息包括第二eap aka’认证向量。
71.一种可能的实现方式中，第二eap aka’认证向量包括密钥ck’和密钥ik’，第一认证响应消息包括第二eap aka’认证向量。
72.一种可能的实现方式中，第二eap aka’认证向量包括密钥ck’和密钥ik’，根据第二认证响应消息向nswo网元发送第一认证响应消息，包括：删除第二eap aka’认证向量中的密钥ck’和密钥ik’；向nswo网元发送第一认证响应消息，第一认证响应消息包括删除密钥后的第二eap aka’认证向量。
73.在该实现方式中，ausf删除第二eap aka’认证向量中的密钥ck’和密钥ik’，避免了针对nswo业务进行认证过程中新生成的密钥ck’和密钥ik’影响现有认证流程中已生成的相关密钥。
74.一种可能的实现方式中，在根据第五认证请求消息进行针对终端设备的认证之后，且在收到密钥ck’和密钥ik’后，还包括：不基于密钥ck’和密钥ik’计算密钥k
ausf
；或者，基于密钥ck’和密钥ik’计算密钥k
ausf
，且不对ausf本地已存储的密钥k
ausf
进行替换。
75.在该实现方式中，ausf不计算新密钥k
ausf
或者计算新密钥k
ausf
后不进行替换，不会导致新生成的密钥k
ausf
影响ausf现有认证流程中生成的相关密钥。
76.一种可能的实现方式中，方法还包括：删除密钥ck’和密钥ik’；和/或删除密钥k
ausf
。
77.在该实现方式中，ausf删除了针对nswo业务进行认证过程中新生成的密钥，避免了新生成的密钥影响ausf现有认证流程中生成的相关密钥。
78.一种可能的实现方式中，方法还包括：若根据第五认证请求消息进行针对终端设备的认证成功后，则向计费nf发送第二nswo认证结果，第二nswo认证结果包括终端设备的supi，和/或接入网设备的接入网标识，和/或接入网标识对应的服务网络名称，supi包括在第二认证响应消息中，接入网设备为终端设备连接的接入网设备。
79.在该实现方式中，在ausf确定ue针对nswo业务认证成功之后，可以向计费nf通知认证成功的ue和/或认证成功ue接入的an设备，以便计费nf后续针对ue或an设备完成计费。
80.第五方面，提供了一种nswo业务的认证方法，包括：接收ausf发送的第二认证请求消息，第二认证请求消息包括suci；根据suci计算得到supi；根据第二认证请求消息确定采用eap aka’认证方式；根据supi得到第一eap aka’认证向量；向ausf发送第二认证响应消息，第二认证响应消息包括第二eap aka’认证向量。
81.第五方面提供的nswo业务的认证方法，可以应用于udm。完整的nswo业务认证流程涉及的网元包括ue、an设备、nswo网元、ausf和udm。在针对nswo业务的认证流程中，udm确定采用eap aka’认证方式，避免了如果选择5g aka认证方式而导致的认证失败，实现了在5g等网络中针对nswo业务的认证。
82.一种可能的实现方式中，根据第二认证请求消息确定采用eap aka’认证方式，包括下列中的至少一种情况：在确定第二认证请求消息为新增udm服务对应的请求消息时，确定进行针对nswo业务的认证，新增udm服务用于指示进行针对nswo业务的认证；根据第二认证请求消息中的第二信息确定采用eap aka’认证方式，其中，第二信息包括下列中的至少一种：第二信息为nswo指示信息，nswo指示信息用于指示进行针对nswo业务的认证；第二信息为suci，suci用于指示进行针对nswo业务的认证；第二信息为算法指示信息，算法指示信息用于指示进行eap aka’认证。
83.一种可能的实现方式中，suci中包括的supi的类型用于指示进行针对nswo业务的认证；和/或，suci包括业务指示信息，业务指示信息用于指示进行针对nswo业务的认证。
84.一种可能的实现方式中，第二eap aka’认证向量不包括密钥ck’和密钥ik’。
85.在该实现方式中，通过将密钥ck’和密钥ik’移除，不发送给ausf，避免了针对nswo业务进行认证过程中新生成的密钥ck’和密钥ik’影响现有认证流程中ue或ausf已生成的相关密钥。
86.一种可能的实现方式中，第二认证请求消息还包括接入网设备的第二标识信息，接入网设备为终端设备连接的接入网设备；第二标识信息包括：第一信息或第一认证请求消息中携带的第一标识信息；第一认证请求消息为nswo网元发送给ausf的消息；若第一认证请求消息中携带的第一标识信息为接入网设备的接入网标识，则第一信息为接入网标识对应的服务网络名称；若第一认证请求消息中未携带第一标识信息，则第一信息为预设接入网标识或预设服务网络名称；预设接入网标识或预设服务网络名称均用于指示进行针对nswo业务的认证。
87.一种可能的实现方式中，第二认证请求消息为ue认证的得到服务请求消息，第二认证响应消息为ue认证的得到服务响应消息。
88.一种可能的实现方式中，第二认证请求消息和第二认证响应消息均为新增udm服务对应的消息，新增udm服务用于指示执行针对nswo业务的认证。
89.在该实现方式中，udm可以直接根据新增udm服务确定执行针对nswo业务的认证。
90.一种可能的实现方式中，方法还包括：接收ausf发送的第一nswo认证结果，第一nswo认证结果包括supi，和/或接入网设备的接入网标识，和/或接入网标识对应的服务网络名称，接入网设备为终端设备连接的接入网设备，第一nswo认证结果用于指示终端设备针对nswo业务的认证成功。
91.一种可能的实现方式中，第一nswo认证结果还包括认证指示信息，认证指示信息用于指示终端设备针对nswo业务的认证成功。
92.一种可能的实现方式中，第一nswo认证结果包含在ue认证结果确认消息中。
93.第六方面，提供一种装置，包括：用于执行以上任一方面中各个步骤的单元或手段(means)。
94.第七方面，提供一种通信装置，通信装置包括处理器、存储器和收发器；收发器用
于和其他设备通信，处理器用于读取存储器中的指令并根据指令使得通信装置执行以上任一方面提供的方法。
95.第八方面，提供一种程序，该程序在被处理器执行时用于执行以上任一方面提供的方法。
96.第九方面，提供一种计算机可读存储介质，计算机可读存储介质中存储有指令，当指令在计算机或处理器上运行时，实现以上任一方面提供的方法。
97.第十方面，提供一种程序产品，所述程序产品包括计算机程序，所述计算机程序存储在可读存储介质中，设备的至少一个处理器可以从所述可读存储介质读取所述计算机程序，所述至少一个处理器执行所述计算机程序使得该设备实施以上任一方面提供的方法。
附图说明
98.图1为本技术实施例提供的4g网络的一种架构图；
99.图2为本技术实施例提供的5g网络的一种架构图；
100.图3为本技术实施例提供的nswo业务的认证方法中涉及的消息示意图；
101.图4为本技术实施例提供的nswo业务的认证方法的一种消息交互图；
102.图5为本技术实施例提供的nswo业务的认证方法的另一种消息交互图；
103.图6为本技术实施例提供的nswo业务的认证方法的又一种消息交互图；
104.图7为本技术实施例提供的nswo业务的认证方法的又一种消息交互图；
105.图8为本技术实施例提供的nswo业务的认证方法的又一种消息交互图；
106.图9为本技术实施例提供的nswo业务的认证方法的又一种消息交互图；
107.图10为本技术实施例提供的nswo业务的认证方法的又一种消息交互图；
108.图11为本技术实施例提供的nswo业务的认证方法的又一种消息交互图；
109.图12为本技术实施例提供的nswo业务的认证方法的又一种消息交互图；
110.图13为本技术实施例提供的nswo业务的认证方法的又一种消息交互图；
111.图14为本技术实施例提供的通信装置的一种结构示意图；
112.图15为本技术实施例提供的通信设备的一种结构示意图。
具体实施方式
113.下面结合附图描述本技术实施例。
114.本技术实施例可以相互结合，对于相同或相似的概念或过程可能在某些实施例中不再赘述。本技术实施例中的术语“第一”、“第二”、“第三”、“第四”等(如果存在)是用于区别类似的对象，而不必用于描述特定的顺序或先后次序。
115.本技术实施例提供的nswo业务的认证方法，适用于5g网络中终端设备进行nswo业务时的认证流程。首先，对nswo业务、4g网络架构和5g网络构架进行说明。
116.3gpp组织为了实现3gpp网络和无线局域网(wireless local area network，wlan)的互操作功能，定义了一系列标准文件和网络架构。在不改变现有3gpp网络和wl络架构的前提下引入了3gpp aaa相关设备，实现了基于3gpp网络的接入控制和认证，从而，用户设备(user equipment，ue)可以通过wl络访问分组交换域(packet switching domain，ps)业务。
117.示例性的，图1为本技术实施例提供的4g网络的一种架构图。如图1所示，4g网络包括：非3gpp网络(non-3gpp networks)、拜访公用陆地移动网(visited public land mobile network，vplmn)和本地公用陆地移动网(home public land mobile network，hplmn)。非3gpp网络包括：ue、可信非3gpp接入网(trusted non-3gpp access network)设备和非可信非3gpp接入网(untrusted non-3gpp access network)设备。vplmn包括：3gpp aaa代理(3gpp aaa proxy)。hplmn包括：3gpp aaa服务器和归属签约用户服务器(home subscriber server，hss)。各个设备的功能描述参见表1。
118.需要说明，本技术实施例对4g网络包括的其他设备不做限定。
119.4g网络支持nswo业务。示例性的，如图1中的虚线所示，nswo业务是指ue进行ps业务的数据可以通过an设备分流，直接接入因特网(internet)。
120.an设备在确定是否为ue执行nswo业务之前，ue和网络侧需要完成针对nswo业务的认证。如图1所示，可以通过可信非3gpp接入网设备、3gppaaa代理、3gppaaa服务器和hss完成对ue的认证；或者，可以通过非可信非3gpp接入网设备、3gppaaa代理、3gppaaa服务器和hss完成对ue的认证。如果对ue的认证成功，hss和3gpp aaa server将用于指示认证成功的认证结果发送给an设备，从而an设备为ue执行nswo业务。例如，an设备为ue分配外网的网络之间互连协议(internet protocol，ip)地址，使得ue可以连接因特网。上述认证过程可以理解为：an设备借助运营商完成了对于ue的认证。当运营商认证ue成功之后，确定ue为运营商的合法用户，an设备才会为ue提供nswo业务。
121.表1
[0122][0123]
目前，在4g网络中，认证过程基于的密钥为ue在3gpp网络接入认证时使用的密钥，例如，全球用户标识模块(universal subscriber identity module，usim)内保存的密钥。认证算法包括可扩展认证协议/认证和密钥协商(extensible authentication protocol-authentication and key agreement，eap-aka)认证算法和eap-aka’认证算法。
[0124]
随着通信技术的发展，5g网络也将支持nswo业务。示例性的，图2为本技术实施例
提供的5g网络的一种架构图。
[0125]
如图2所示，5g网络包括：ue、an设备、nswo网元、鉴权服务器功能(authentication server function，ausf)和统一数据管理(unified data management，udm)。各个设备的功能描述参见表2。
[0126]
需要说明，本技术实施例对5g网络包括的其他设备不做限定。
[0127]
可见，5g网络和4g网络的设备可能不同。例如，如图1和图2所示，5g网络中可能没有3gpp aaa服务器。而且，5g网络和4g网络支持的认证算法也不同。4g网络支持eap-aka认证算法和eap-aka’认证算法，5g网络支持eap-aka’认证算法和5g aka认证算法。5g aka认证算法不适用于nswo业务场景下现有an设备的接入认证。因此，本技术实施例提供了一种适用于5g网络中ue进行nswo业务时的认证流程。
[0128]
表2
[0129][0130]
本技术实施例提供的nswo业务的认证方法，涉及的网元较多，网元间交互的消息较多。为了便于理解，对各个网元之间的交互消息进行简单说明。示例性的，图3为本技术实施例提供的nswo业务的认证方法的一种消息交互图。需要说明，图3并不对交互消息的名称形成限定。如图3所示，涉及的消息包括：
[0131]
1、ue启动认证阶段中的消息
[0132]
在ue启动认证阶段，ue与an设备需要确定相互支持nswo业务。可选的，可以由ue启动针对nswo业务的认证。例如，ue确定进行nswo业务时，可以发起针对nswo业务的认证。可选的，可以由an设备触发ue启动针对nswo业务的认证。
[0133]
ue启动认证阶段的消息可以包括连接建立请求消息、第一请求消息、第一响应消
息或广播消息中的至少一个。后续通过图6～图9进行详细说明。
[0134]
2、第二请求消息
[0135]
an设备向nswo网元发送的消息，用于请求针对nswo业务的认证，其中包括ue的订阅隐藏标识符(subscription concealed identifier，suci)。
[0136]
可选的，第二请求消息可以为aaa消息。
[0137]
3、第一认证请求消息、第一认证响应消息
[0138]
第一认证请求消息和第一认证响应消息为nswo网元与ausf之间的一对交互消息。第一认证请求消息和第一认证响应消息分别为ausf服务对应的请求消息和响应消息。
[0139]
可选的，ausf服务为已有服务。例如，已有ausf服务为ue认证的认证服务(nausf_ueauthentication_authenticate)。第一认证请求消息为ue认证的认证服务请求消息(nausf_ueauthentication_authenticate request)，第一认证响应消息为ue认证的认证服务响应消息(nausf_ueauthentication_authenticate response)。
[0140]
可选的，ausf服务可以为新增服务，新增ausf服务用于指示进行针对nswo业务的认证。本技术实施例对新增ausf服务的名称、新增ausf服务中请求消息和响应消息的名称不做限定。例如，新增ausf服务的名称可以为ue认证的nswo认证服务(nausf_ueauthentication_nswo_authenticate)。第一认证请求消息可以称为ue认证的nswo认证服务请求消息(nausf_ueauthentication_nswo_authenticate request)，第一认证响应消息可以称为ue认证的nswo认证服务响应消息(nausf_ueauthentication_nswo_authenticate response)。
[0141]
4、第二认证请求消息、第二认证响应消息
[0142]
第二认证请求消息和第二认证响应消息为ausf与udm之间的一对交互消息。第二认证请求消息和第二认证响应消息分别为udm服务对应的请求消息和响应消息。
[0143]
可选的，udm服务为已有服务。例如，已有udm服务为ue认证的得到服务(nudm_ueauthentication_get)。第二认证请求消息为ue认证的得到服务请求消息(nudm_ueauthentication_get request)，第二认证响应消息为ue认证的得到服务响应消息(nudm_ueauthentication_get response)。
[0144]
可选的，udm服务可以为新增服务，新增udm服务用于指示进行针对nswo业务的认证。本技术实施例对新增udm服务的名称、新增udm服务中请求消息和响应消息的名称不做限定。例如，新增udm服务的名称可以为ue认证的nswo认证服务(nudm_ueauthentication_nswo_authenticate)。第二认证请求消息可以称为ue认证的nswo认证服务请求消息(nudm_ueauthentication_nswo_authenticate request)，第二认证响应消息可以称为ue认证的nswo得到服务认证消息(nudm_ueauthentication_nswo_authenticate response)。
[0145]
5、第三认证请求消息、第四认证请求消息
[0146]
第三认证请求消息和第四认证请求消息为ue与nswo网元之间通过an设备传输的认证相关消息，用于ue对网络进行认证校验。
[0147]
6、第五认证请求消息
[0148]
nswo网元向ausf发送的消息，用于ausf对ue进行认证校验。
[0149]
7、第一消息、第二消息
[0150]
ausf向nswo网元发送第一消息，其中携带eap认证结果。nswo网元向an设备发送第
二消息，其中携带eap认证结果。eap认证结果用于向an设备通知认证成功或者认证失败。
[0151]
需要说明，本技术实施例对第一消息和第二消息包括的内容不做限定，对eap认证结果的实现方式不做限定。可以为现有eap-aka’认证流程中的相关消息。
[0152]
8、nswo业务指示消息、拒绝消息
[0153]
如果eap认证结果指示认证成功，an设备可以执行nswo业务的操作。例如，为ue分配访问外网的ip地址。an设备向ue发送nswo业务指示消息。可选的，nswo业务指示消息可以包括下列中的至少一项：ip地址、nswo授权指示或认证成功指示。
[0154]
如果eap认证结果指示认证失败，an设备向ue发送拒绝消息，用于指示拒绝ue使用nswo业务的请求。
[0155]
需要说明，本技术实施例对nswo业务指示消息和拒绝消息包括的内容不做限定，可以为现有eap-aka’认证流程中的相关消息。
[0156]
下面，对本技术实施例涉及的概念进行说明。
[0157]
1、订阅永久标识符(subscription permanent identifier，supi)
[0158]
在5g网络中，ue的真实身份可以称为supi，类似于国际移动用户标识(international mobile subscriber identity，imsi)。通常，supi不会出现在空口上，空口是指ue与网络设备之间的无线接口。
[0159]
2、suci
[0160]
suci为ue采用密钥对supi加密并且封装后得到的密文，可以在空口传输。相应的，网络设备可以对suci进行解密获得supi，从而确定ue的身份。
[0161]
可选的，suci为网络访问标识符(network access identifier，nai)格式。
[0162]
可选的，在一种实现方式中，suci可以为现有的根据supi生成的suci，例如，5g网络中使用的suci。
[0163]
可选的，在另一种实现方式中，suci用于指示进行针对nswo业务的认证。在该实现方式中，an设备、nswo网元、ausf或udm可以根据suci确定执行针对nswo业务的认证。
[0164]
可选的，suci中包括的supi的类型用于指示进行针对nswo业务的认证。
[0165]
目前，supi的类型可以参见表3。supi的类型取值为4-7时为预留类型。在该实现方式中，针对nswo业务可以定义一种新的supi类型，通过新定义的supi的类型指示进行针对nswo业务的认证。可选的，新定义的supi的类型的取值可以为4到7中的任一数值。
[0166]
表3
[0167]
supi的类型描述0imsi1网络特定标识符(network specific identifier，nsi)2全局行标识符(global line identifier，gli)3全局电缆标识符(global cable identifier，gci)4-7预留
[0168]
例如：定义typex用来指示nswo业务。一个nai形式的suci的示例为：typox.rid678.schid1.hnkey27.ecckey《ecc ephemeral public key》.cip《encryption of user17》.mac《mac tag value》@example)。可选的，x的取值可以为4到7中的任一数值。
[0169]
可选的，suci包括业务指示信息，业务指示信息用于指示进行针对nswo业务的认
证。
[0170]
通过示例进行说明。例如，一个nai形式的suci的示例为：type0.nswo指示.rid678.schid1.hnkey27.ecckey《ecc ephemeral public key》.cip《encryption of user17》.mac《mac tag value》@example)。其中，nswo指示即为业务指示信息。
[0171]
3、nswo指示信息
[0172]
nswo指示信息用于指示进行针对nswo业务的认证。可选的，nswo指示信息可以携带在图3中下列至少一个消息中：ue启动认证阶段中的消息、第二请求消息、第一认证请求消息或第二认证请求消息。
[0173]
在通信过程中，设备a接收到消息后，可以将该消息发送给设备b。可选的，设备a可以不对消息进行处理，将消息透传至设备b。可选的，设备a可以对消息进行处理，将处理后的消息发送至设备b。根据不同设备的处理方式，nswo指示信息可以进一步细化，包括：
[0174]
第一nswo指示信息，在ue启动认证阶段由ue生成且发送给an设备的nswo指示信息。
[0175]
第二nswo指示信息，在ue启动认证阶段由an设备生成且发送给ue的nswo指示信息，用于向ue通知an设备支持nswo业务。
[0176]
第三nswo指示信息，an设备在第二请求消息中添加的nswo指示信息。
[0177]
第四nswo指示信息，nswo网元在第一认证请求消息中添加的nswo指示信息。
[0178]
第五nswo指示信息，ausf在第二认证请求消息中添加的nswo指示信息。
[0179]
4、第一eap aka’认证向量和第二eap aka’认证向量
[0180]
udm接收第二认证请求消息后，如果确定采用eap-aka’认证算法，则计算eap-aka’认证向量，称为第一eap aka’认证向量(rand,autn,xres,ck’,ik’)。第一eap aka’认证向量包括密钥ck’和密钥ik’。
[0181]
udm向ausf发送第二认证响应消息，第二认证响应消息包括第二eap aka’认证向量。可选的，第二eap aka’认证向量为第一eap aka’认证向量。可选的，第二eap aka’认证向量为第一eap aka’认证向量中删除密钥ck’和密钥ik’后的部分，即(rand,autn,xres)。
[0182]
下面通过具体的实施例对本技术的技术方案进行详细说明。下面的实施例可以相互结合，对于相同或相似的概念或过程可能在某些实施例中不再赘述。
[0183]
为了便于理解，本技术各实施例中相同的步骤采用相同的步骤编号。
[0184]
需要说明，an设备与an具有相同含义。
[0185]
需要说明，本技术各实施例中接入网标识(an id)与服务网络名称(serving network name)可以等同。
[0186]
图4为本技术实施例提供的nswo业务的认证方法的一种消息交互图。本实施例提供的nswo业务的认证方法，执行主体涉及ue、an设备、nswo网元、ausf和udm。如图4所示，本实施例提供的nswo业务的认证方法，可以包括：
[0187]
步骤1、在ue确定进行nswo业务后，ue向an设备发送suci。相应的，an设备接收ue发送的suci。
[0188]
本步骤涉及图3中的ue启动认证阶段。其中，suci可以参见上面描述，此处不再赘述。ue向an设备发送suci，启动了针对nswo业务的认证流程。
[0189]
可选的，ue还可以向an设备发送第一nswo指示信息，第一nswo指示信息用于指示
进行针对nswo业务的认证。相应的，an设备还可以接收ue发送的第一nswo指示信息。
[0190]
通过发送第一nswo指示信息，使得an设备根据第一nswo指示信息确定需要进行针对nswo业务的认证，便于区分不同的认证流程。
[0191]
可选的，第一nswo指示信息和suci可以分别在不同的消息中；或者，第一nswo指示信息和suci可以在一条消息中。
[0192]
通过一条消息同时发送第一nswo指示信息和suci，或者通过不同的消息分别发送第一nswo指示信息和suci，提高了消息流程的多样性。当通过一条消息同时发送第一nswo指示信息和suci时，减少了空口消息数量。
[0193]
需要说明，本实施例对携带suci和/或第一nswo指示信息的消息类型和消息名称不做限定。例如，消息类型可以为eap消息。
[0194]
步骤2、an设备根据suci确定nswo网元的地址。
[0195]
具体的，an设备接收ue发送的suci后，若确定执行针对nswo业务的认证，则根据suci确定nswo网元的地址。
[0196]
其中，an设备确定执行针对nswo业务的认证，可选的，在一种实现方式中，若an设备默认支持nswo业务，则接收ue发送的suci时确定需要执行针对nswo业务的认证。可选的，在另一种实现方式中，若suci指示进行针对nswo业务的认证，则确定执行针对nswo业务的认证。可选的，在又一种实现方式中，若an设备还接收到第一nswo指示信息，则根据第一nswo指示信息确定执行针对nswo业务的认证。
[0197]
可选的，an设备根据suci确定nswo网元的地址，在一种实现方式中，可以包括：
[0198]
an设备从suci中获取目标网络标识和/或目标路由标识。其中，目标网络标识为ue所在归属网络的标识，例如，移动国家码(mobile country code，mcc)和移动网络码(mobile network code，mnc)。目标路由标识(routing id)用于进一步选择ue认证相关网元，例如ausf和/或udm的选择。
[0199]
an设备根据网络标识和/或路由标识与nswo网元地址之间的映射关系，获取目标网络标识和/或目标路由标识对应的nswo网元的地址。
[0200]
在该实现方式中，an设备本地可以存储网络标识和/或路由标识与nswo网元地址之间的映射关系。可选的，网络标识和/或路由标识与nswo网元地址之间的映射关系可以包括下列中至少一项：网络标识与nswo网元地址之间的映射关系，路由标识与nswo网元地址之间的映射关系，或者，网络标识、路由标识与nswo网元地址三者之间的映射关系。实现简单。
[0201]
可选的，an设备根据suci确定nswo网元的地址，在另一种实现方式中，可以包括：
[0202]
an设备从suci中获取目标网络标识和/或目标路由标识。
[0203]
an设备向第一地址管理网元发送目标网络标识和/或目标路由标识。
[0204]
an设备接收第一地址管理网元发送的nswo网元的地址。
[0205]
在该实现方式中，an设备本地可以不用存储网络标识和/或路由标识与nswo网元地址之间的映射关系。通过向第一地址管理网元发送目标网络标识和/或目标路由标识，从第一地址管理网元获取nswo网元的地址。其中，本实施例对第一地址管理网元的名称不做限定。可选的，第一地址管理网元本地可以存储网络标识和/或路由标识与nswo网元地址之间的映射关系。
[0206]
步骤3、an设备根据nswo网元的地址向nswo网元发送第二请求消息，第二请求消息包括suci。相应的，nswo网元接收an设备发送的第二请求消息。
[0207]
可选的，第二请求消息还可以包括nswo指示信息。可选的，nswo指示信息可以包括下列至少一个：第一nswo指示信息或第三nswo指示信息。即，nswo指示信息为第一nswo指示信息；或者，nswo指示信息为第三nswo指示信息；或者，nswo指示信息包括第一nswo指示信息和第三nswo指示信息。第一nswo指示信息和第三nswo指示信息可以参见本技术上面描述，此处不再赘述。例如，ue向an设备发送eap-rsp消息，其中携带suci。eap-rsp消息中可以包括第一nswo指示信息，也可以不包括第一nswo指示信息。an设备接收到eap-rsp消息后，可以在eap-rsp消息之外添加第三nswo指示信息。
[0208]
通过在第二请求消息中携带nswo指示信息，使得nswo网元根据nswo指示信息确定需要进行针对nswo业务的认证，便于区分不同的认证流程。
[0209]
可选的，第二请求消息还可以包括an设备的接入网标识(an id)。可选的，an id用于后续nswo网元向ausf发送an设备的第一标识信息，详见步骤5。
[0210]
步骤4、nswo网元根据第二请求消息确定进行针对nswo业务的认证。
[0211]
可选的，在一种实现方式中，默认an设备支持nswo业务，当从an设备接收第二请求消息时可以确定进行针对nswo业务的认证。
[0212]
可选的，在另一种实现方式中，默认nswo网元支持nswo业务，当从an设备接收第二请求消息时可以确定进行针对nswo业务的认证。
[0213]
可选的，在又一种实现方式中，可以根据第二请求消息中包括的nswo指示信息，确定进行针对nswo业务的认证。其中，第二请求消息中包括的nswo指示信息可以参见步骤3中的相关描述，此处不再赘述。
[0214]
可选的，在又一种实现方式中，可以根据suci确定进行针对nswo业务的认证。在该实现方式中，suci用于指示进行针对nswo业务的认证。
[0215]
可选的，在又一种实现方式中，可以根据第二请求消息确定an设备的地址或接入网标识，在根据an设备的地址或接入网标识确定an设备支持nswo业务后，确定进行针对nswo业务的认证。
[0216]
可选的，在又一种实现方式中，nswo网元透传第二请求消息，当从an设备接收第二请求消息时可以确定进行针对nswo业务的认证。
[0217]
步骤5、nswo网元向ausf发送第一认证请求消息，第一认证请求消息包括suci。相应的，ausf接收nswo网元发送的第一认证请求消息。
[0218]
具体的，nswo网元确定执行针对nswo业务的认证后，可以根据suci确定ausf的地址，nswo网元根据ausf的地址向ausf发送第一认证请求消息。
[0219]
可选的，nswo网元根据suci确定ausf的地址，在一种实现方式中，可以包括：
[0220]
nswo网元从suci中获取目标网络标识和/或目标路由标识。其中，目标网络标识可以参见步骤2中的相关描述。目标路由标识(routing id)用于确定ausf或udm的地址。
[0221]
nswo网元根据网络标识和/或路由标识与ausf地址之间的映射关系，获取目标网络标识和/或目标路由标识对应的ausf的地址。
[0222]
在该实现方式中，nswo网元本地可以存储网络标识和/或路由标识与ausf地址之间的映射关系。可选的，网络标识和/或路由标识与ausf地址之间的映射关系可以包括下列
中至少一项：网络标识与ausf地址之间的映射关系，路由标识与ausf地址之间的映射关系，或者，网络标识、路由标识与ausf地址三者之间的映射关系。实现简单。
[0223]
可选的，nswo网元根据suci确定ausf的地址，在另一种实现方式中，可以包括：
[0224]
nswo网元从suci中获取目标网络标识和/或目标路由标识。
[0225]
nswo网元向第二地址管理网元发送目标网络标识和/或目标路由标识。
[0226]
nswo网元接收第二地址管理网元发送的ausf的地址。
[0227]
在该实现方式中，nswo网元本地可以不用存储网络标识和/或路由标识与ausf地址之间的映射关系。通过向第二地址管理网元发送目标网络标识和/或目标路由标识，从第二地址管理网元获取ausf的地址。其中，本实施例对第二地址管理网元的名称不做限定。可选的，第二地址管理网元本地可以存储网络标识和/或路由标识与ausf地址之间的映射关系。
[0228]
可选的，第一认证请求消息还可以包括nswo指示信息。可选的，nswo指示信息可以包括下列至少一个：第一nswo指示信息或第四nswo指示信息。即，nswo指示信息为第一nswo指示信息；或者，nswo指示信息为第四nswo指示信息；或者，nswo指示信息包括第一nswo指示信息和第四nswo指示信息。第一nswo指示信息和第四nswo指示信息可以参见本技术上面描述，此处不再赘述。
[0229]
通过在第一认证请求消息中携带nswo指示信息，使得ausf根据nswo指示信息确定需要进行针对nswo业务的认证，便于区分不同的认证流程。
[0230]
可选的，第一认证请求消息还可以包括an设备的第一标识信息。第一标识信息用于后续ausf向udm发送an设备的第二标识信息，详见步骤7。
[0231]
可选的，第一标识信息可以为下列中的一项：
[0232]
(1)第二请求消息中携带的an设备的接入网标识(an id)。在该实现方式中，nswo网元将an设备发送的an id发送给ausf。
[0233]
(2)an设备的接入网标识对应的服务网络名称(serving network name)。在该实现方式中，nswo网元可以将获得的an id转换为serving network name后发送给ausf。
[0234]
(3)根据an设备的相关信息确定的接入网标识。在该实现方式中，nswo网元本地存储有an设备的相关信息，通过相关信息确定接入网标识后发送给ausf。本实施例对相关信息的具体内容不做限定。
[0235]
(4)预设接入网标识，用于指示进行针对nswo业务的认证。
[0236]
(5)预设服务网络名称，用于指示进行针对nswo业务的认证。
[0237]
可选的，第一认证请求消息可以为已有ausf服务对应的请求消息，可以参见本技术上面描述，此处不再赘述。在该实现方式中，第一认证请求消息包括用于指示ausf进行针对nswo业务的认证的信息。可选的，该信息可以包括suci或nswo指示信息中的至少一个。
[0238]
可选的，第一认证请求消息可以为新增ausf服务对应的请求消息，可以参见本技术上面描述，此处不再赘述。在该实现方式中，新增ausf服务直接指示ausf进行针对nswo业务的认证。可选的，第一认证请求消息可以不包括用于指示ausf进行针对nswo业务的认证的信息。例如，第一认证请求消息不包括nswo指示信息，且suci可以为现有5g网络中使用的suci。可选的，第一认证请求消息也可以包括用于指示ausf进行针对nswo业务的认证的信息。可选的，该信息可以包括suci或nswo指示信息中的至少一个。
[0239]
步骤6、ausf根据第一认证请求消息确定进行针对nswo业务的认证。
[0240]
可选的，在一种实现方式中，默认nswo网元支持nswo业务，当从nswo网元接收第一认证请求消息时可以确定进行针对nswo业务的认证。
[0241]
可选的，在另一种实现方式中，默认ausf支持nswo业务，当从nswo网元接收第一认证请求消息时可以确定进行针对nswo业务的认证。
[0242]
可选的，在又一种实现方式中，可以根据第一认证请求消息中包括的nswo指示信息，确定进行针对nswo业务的认证。其中，第一认证请求消息中包括的nswo指示信息可以参见步骤5中的相关描述，此处不再赘述。
[0243]
可选的，在又一种实现方式中，可以根据suci确定进行针对nswo业务的认证。在该实现方式中，suci用于指示进行针对nswo业务的认证。
[0244]
可选的，在又一种实现方式中，在确定第一认证请求消息为新增ausf服务对应的请求消息时，确定进行针对nswo业务的认证，新增ausf服务用于指示进行针对nswo业务的认证。例如，第一认证请求消息为nausf_ueauthentication_nswo_authenticate request时，ausf确定进行针对nswo业务的认证。
[0245]
可选的，在又一种实现方式中，可以根据第一认证请求消息确定nswo网元的类型或地址，在根据nswo网元的类型或地址确定nswo网元支持nswo业务后，确定进行针对nswo业务的认证。
[0246]
步骤7、ausf向udm发送第二认证请求消息，第二认证请求消息包括suci。相应的，udm接收ausf发送的第二认证请求消息。
[0247]
具体的，ausf确定执行针对nswo业务的认证后，可以向udm发送第二认证请求消息。
[0248]
可选的，第二认证请求消息还可以包括nswo指示信息。可选的，nswo指示信息可以包括下列至少一个：第一nswo指示信息或第五nswo指示信息。即，nswo指示信息为第一nswo指示信息；或者，nswo指示信息为第五nswo指示信息；或者，nswo指示信息包括第一nswo指示信息和第五nswo指示信息。第一nswo指示信息和第五nswo指示信息可以参见本技术上面描述，此处不再赘述。
[0249]
通过在第二认证请求消息中携带nswo指示信息，使得udm根据nswo指示信息确定需要进行针对nswo业务的认证，便于区分不同的认证流程。
[0250]
可选的，第二认证请求消息还可以包括an设备的第二标识信息，该an设备为ue连接的an设备。第二标识信息可以用于后续udm计算第一eap-aka’认证向量，详见步骤10。
[0251]
可选的，第二标识信息可以为下列中的一项：
[0252]
(1)第一认证请求消息中携带的第一标识信息。可以参见步骤5中的相关描述，此处不再赘述。在该实现方式中，ausf将nswo网元发送的第一标识信息直接发送给udm。
[0253]
(2)第一信息。
[0254]
可选的，在一种实现方式中，若第一认证请求消息中携带的第一标识信息为an设备的接入网标识，则第一信息为接入网标识对应的服务网络名称(serving network name)。在该实现方式中，nswo网元发送给ausf的第一标识信息为接入网标识(an id)，ausf可以将获得的an id转换为serving network name后发送给udm。
[0255]
可选的，在另一种实现方式中，若第一认证请求消息中未携带第一标识信息，则第
一信息为预设接入网标识或预设服务网络名称。预设接入网标识或预设服务网络名称均用于指示进行针对nswo业务的认证。
[0256]
可选的，第二认证请求消息可以为已有udm服务对应的请求消息，可以参见本技术上面描述，此处不再赘述。在该实现方式中，第二认证请求消息包括用于指示udm进行针对nswo业务的认证的信息。可选的，该信息可以包括suci或nswo指示信息中的至少一个。
[0257]
可选的，第二认证请求消息可以为新增udm服务对应的请求消息，可以参见本技术上面描述，此处不再赘述。在该实现方式中，新增udm服务直接指示udm进行针对nswo业务的认证。可选的，第二认证请求消息可以不包括用于指示udm进行针对nswo业务的认证的信息。例如，第二认证请求消息不包括nswo指示信息，且suci可以为现有5g网络中使用的suci。可选的，第二认证请求消息也可以包括用于指示udm进行针对nswo业务的认证的信息。可选的，该信息可以包括suci或nswo指示信息中的至少一个。
[0258]
步骤8、udm根据suci计算得到supi。
[0259]
本步骤可以采用现有实现方式，不做具体说明。
[0260]
步骤9、udm根据第二认证请求消息确定采用eap aka’认证方式。
[0261]
可选的，在一种实现方式中，默认ausf支持nswo业务，当从ausf接收第二认证请求消息时可以确定进行针对nswo业务的认证。
[0262]
可选的，在另一种实现方式中，在确定第二认证请求消息为新增udm服务对应的请求消息时，确定进行针对nswo业务的认证，新增udm服务用于指示进行针对nswo业务的认证。例如，当第二认证请求消息为nudm_ueauthentication_nswo_authenticate request时，udm确定进行针对nswo业务的认证。
[0263]
可选的，在又一种实现方式中，udm可以根据第二认证请求消息中的第二信息确定采用eap aka’认证方式。其中，第二信息包括下列中的至少一种：
[0264]
(1)第二信息为nswo指示信息，nswo指示信息用于指示进行针对nswo业务的认证。其中，第二认证请求消息中包括的nswo指示信息可以参见步骤7中的相关描述，此处不再赘述。
[0265]
(2)第二信息为suci，suci用于指示进行针对nswo业务的认证。
[0266]
可见，在5g网络中对ue针对nswo业务进行认证的场景中，由于an设备支持eap aka认证方式和eap aka’认证方式，而5g网络支持eap-aka’认证方式和5g aka认证方式，通过udm确定采用eap aka’认证方式，避免了选择5g aka认证方式时导致的认证失败，实现了5g网络中针对nswo业务的认证流程。
[0267]
可选的，udm确定ue希望使用nswo业务，udm根据supi确定ue的订阅数据，根据订阅数据校验ue是否被允许使用nswo业务。若允许，则继续执行；否则udm发送拒绝消息至ausf，再由ausf发送拒绝消息至nswo网元，之后nswo网元发送拒绝消息至an设备。拒绝消息携带指示，指示ue未被授权使用nswo业务。根据此拒绝消息，an设备拒绝ue的nswo业务请求，或者通知ue不被允许使用nswo业务，或者不被允许在此an id或serving network name对应的网络内使用nswo业务。
[0268]
可选的，udm确定ue希望使用nswo业务，udm根据supi确定ue的订阅数据，根据订阅数据和an id或serving network name校验ue是否被允许在此an id或serving network name对应的网络内使用nswo业务。若允许，则继续执行；否则udm发送拒绝消息至ausf，再由
ausf发送拒绝消息至nswo网元，之后nswo网元发送拒绝消息至an设备。拒绝消息携带指示，指示ue未被授权在an id或serving network name对应的网络内使用nswo业务。根据根据此拒绝消息，an设备拒绝ue的nswo业务请求，或者通知ue不被允许使用nswo业务，或者不被允许在此an id或serving network name对应的网络内使用nswo业务。
[0269]
步骤10、udm根据supi得到第一eap aka’认证向量(rand,autn,xres,ck',ik')。
[0270]
具体的，udm确定采用eap aka’认证方式后，可以根据supi和an设备的标识信息得到eap aka’认证向量，称为第一eap aka’认证向量。an设备具体为ue接入的an设备。第一eap aka’认证向量包括密钥ck’和密钥ik’。
[0271]
可选的，udm计算第一eap aka’认证向量时使用的an设备的标识信息，可以为下列中的一项：
[0272]
(1)第二认证请求消息中携带的an设备的第二标识信息，可以参见步骤7中的相关描述，此处不再赘述。
[0273]
(2)若第二认证请求消息中未携带an设备的第二标识信息，则为预设接入网标识或服务网络标识。预设接入网标识或预设服务网络标识用于指示进行针对nswo业务的认证。
[0274]
(3)若第二认证请求消息中未携带an设备的第二标识信息，则为预设服务网络名称或预设服务网络名称。预设服务网络名称或预设服务网络名称用于指示进行针对nswo业务的认证。
[0275]
步骤11、udm向ausf发送第二认证响应消息，第二认证响应消息包括第二eap aka’认证向量。相应的，ausf接收udm发送的第二认证响应消息。
[0276]
其中，第二eap aka’认证向量为第一eap aka’认证向量删除密钥ck’和密钥ik’后的部分(rand,autn,xres)。即，第二eap aka’认证向量不包括密钥ck’和密钥ik’。
[0277]
具体的，ue进行nswo业务时，需要进行针对nswo业务的认证。ue进行非nswo业务时，可以进行其他认证流程，例如，基于sim卡的认证流程。通过将第一eap aka’认证向量中的密钥ck’和密钥ik’移除，避免了针对nswo业务进行认证过程中新生成的密钥ck’和密钥ik’影响现有认证流程中ue或ausf已生成的相关密钥，确保了本实施例提供的认证流程适用于nswo业务的认证。
[0278]
其中，第二认证响应消息可以参见本技术上面描述，此处不再赘述。
[0279]
可选的，第二认证响应消息还可以包括supi。
[0280]
步骤12、ausf根据第二认证响应消息向nswo网元发送第一认证响应消息，第一认证响应消息为eap aka’认证算法对应的认证响应消息。相应的，nswo网元接收ausf发送的第一认证响应消息。
[0281]
具体的，ausf可以执行现有的eap-aka’认证流程，向nswo网元发送第一认证响应消息，可以包括rand,autn，本实施例不做具体说明。其中，第一认证响应消息不包括密钥ck’和密钥ik’。
[0282]
可选的，第一认证响应消息可以包括可扩展认证协议/认证和密钥协商挑战(eap/aka-challenge)。
[0283]
其中，第一认证响应消息可以参见本技术上面描述，此处不再赘述。
[0284]
步骤13、nswo网元根据第一认证响应消息通过an设备向ue发送第三认证请求消
息，第三认证请求消息为eap aka’认证算法对应的认证请求消息，可以包括rand,autn。
[0285]
相应的，ue通过an设备接收nswo网元发送的第三认证请求消息。
[0286]
具体的，nswo网元可以执行现有的eap-aka’认证流程，向ue发送第三认证请求消息，本实施例不做具体说明。
[0287]
可选的，第三认证请求消息可以包括ausf发送的eap/aka-challenge(rand,autn)。
[0288]
步骤14、ue使用eap aka'认证算法对网络进行认证校验。如基于rand校验autn内mac是否正确；如校验根据rand和autn计算的sqn的新鲜性是否满足。对于rand和autn的校验属于现有技术，不做限制。
[0289]
具体的，ue可以执行现有的eap-aka’认证流程，使用eap aka'认证算法对网络进行认证校验。本实施例不做具体说明。
[0290]
步骤15、ue在认证校验成功后，计算得到的res，通过an设备向nswo网元发送第四认证请求消息，其中包括res。相应的，nswo网元通过an设备接收ue发送的第四认证请求消息。
[0291]
更进一步可选的实现方式包括：ue内分为usim和me两部分。me可以理解为ue中不包括usim的部分。其中usim会执行rand和autn的安全校验，当usim校验成功后，usim会计算得到ck，ik和res，并且发送ck，ik和res至me。之后me会执行针对ck、ik和res对应的操作，如基于ck和ik计算ck’和ik’。
[0292]
具体的，ue可以执行现有的eap-aka’认证流程，向nswo网元发送第四认证请求消息，其中包括res，本实施例不做具体说明。
[0293]
可选的，第四认证请求消息可以包括eap/aka-challenge。
[0294]
可选的，ue在步骤15中确认认证校验成功后，还可以包括下列中的一项：
[0295]
(1)ue或me计算密钥ck’和密钥ik’，之后删除密钥ck’和密钥ik’。在该实现方式中，ue虽然计算密钥ck’和密钥ik’，但之后删除，避免了针对nswo业务进行认证过程中新生成的密钥ck’和密钥ik’影响ue现有认证流程中生成的相关密钥，确保了本实施例提供的认证流程适用于nswo业务的认证。
[0296]
(2)ue或me计算密钥ck’和密钥ik’，且不根据密钥ck’和密钥ik’计算密钥k
ausf
，之后删除密钥ck’和密钥ik’。在该实现方式中，ue虽然计算密钥ck’和密钥ik’，但没有计算密钥k
ausf
，而且删除了密钥ck’和密钥ik’，避免了针对nswo业务进行认证过程中新生成的密钥ck’和密钥ik’影响ue现有认证流程中生成的相关密钥。
[0297]
(3)ue或me计算密钥ck’和密钥ik’，且根据密钥ck’和密钥ik’计算密钥k
ausf
，之后删除密钥ck’和密钥ik’，且删除密钥k
ausf
。在该实现方式中，ue计算了密钥ck’、密钥ik’和密钥k
ausf
，但之后全部删除，避免了针对nswo业务进行认证过程中新生成的密钥ck’和密钥ik’影响ue现有认证流程中生成的相关密钥。
[0298]
(4)ue或me计算密钥ck’和密钥ik’，且根据密钥ck’和密钥ik’计算密钥k
ausf
，之后删除密钥ck’和密钥ik’，且不对ue本地存储的密钥k
ausf
进行替换。在该实现方式中，ue计算了密钥ck’、密钥ik’和密钥k
ausf
，但之后删除了密钥ck’和密钥ik’。虽然新生成了密钥k
ausf
，但并没有对ue本地已存储的密钥k
ausf
进行替换，可以理解为没有使用新生成的密钥k
ausf
，因此不会导致新生成的密钥影响ue现有认证流程中生成的相关密钥。
[0299]
(5)ue或me不计算密钥ck’和密钥ik’。在该实现方式中，ue不计算密钥ck’和密钥ik’，避免了针对nswo业务进行认证过程中新生成的密钥ck’和密钥ik’影响ue现有认证流程中生成的相关密钥。
[0300]
可选的，me发送k
ausf
至usim，替换usim卡内保存的旧k
ausf
。
[0301]
(6)me确定为nswo业务的认证后，发送rand和autn给usim卡的同时还是发送认证指示给usim卡。认证指示可选的用来指示usim卡在校验成功后，不需要发送ck和ik，或者指示usim为仅认证的业务等。当usim校验成功后，usim根据此认证指示会仅计算res，并发送res至me。或者usim根据此认证指示不会计算ck和ik，或者即使计算了ck和ik，也不会发送ck和ik至me。此时me得不到ck和ik，也不会再根据ck和ik计算ck’和ik’。
[0302]
(7)me发送rand和autn给usim卡，usim正常执行，并发送ck，ik和res至me。此时me根据nswo业务认证，可选的，me可以将ck和ik丢弃，删除，或者不做额外的其他使用，例如基于ck和ik计算ck’和ik’。避免针对nswo业务进行认证过程中新生成的密钥ck和密钥ik影响ue现有认证流程中生成的相关密钥，确保了本实施例提供的认证流程适用于nswo业务的认证。
[0303]
步骤16、nswo网元根据第四认证请求消息向ausf发送第五认证请求消息。相应的，ausf接收nswo网元发送的第五认证请求消息。
[0304]
具体的，nswo网元可以执行现有的eap-aka’认证流程，向ausf发送第五认证请求消息，本实施例不做具体说明。
[0305]
可选的，第五认证请求消息可以包括ue发送的eap/aka-challenge。
[0306]
可选的，第五认证请求消息可以为nausf_ueauthentication_authenticate request。
[0307]
步骤17、ausf根据第五认证请求消息进行针对ue的认证。如校验res和xres是否等同。如果等同，则校验成功；否则校验失败。
[0308]
具体的，ausf可以执行现有的eap-aka’认证流程，进行针对ue的认证，本实施例不做具体说明。
[0309]
步骤18、ausf在认证校验后，向nswo网元发送第一消息。相应的，nswo网元接收ausf发送的第一消息。第一消息包括认证校验的结果。
[0310]
步骤19、nswo网元根据第一消息向an设备发送第二消息。相应的，an设备接收nswo网元发送的第二消息。
[0311]
步骤20、可选的，若认证校验成功，an设备向ue发送nswo业务指示消息。也可以为an设备确认认证成功后，执行对应nswo业务的操作。
[0312]
步骤21、若认证校验失败，an设备向ue发送拒绝消息。
[0313]
其中，步骤17～步骤21为现有eap-aka’认证流程中的步骤，相关消息可以参见本技术上面描述，此处不再赘述。
[0314]
可见，本实施例提供了一种适用于5g网络中ue进行nswo业务时的认证流程，涉及的网元包括ue、an设备、nswo网元、ausf和udm。其中，udm确定进行针对nswo业务的认证后，确定采用eap aka’认证方式，避免了如果选择5g aka认证方式而导致的认证失败。而且，udm在采用eap aka’认证方式计算eap aka’认证向量后，将eap aka’认证向量中的密钥ck’和密钥ik’删除后再发送给ausf，避免了针对nswo业务进行认证过程中新生成的密钥ck’和
密钥ik’影响现有认证流程中ue或ausf已生成的相关密钥，避免影响ue或ausf的现有密钥架构。进一步的，ue在对网络进行认证校验成功后，可以不计算密钥ck’和密钥ik’，或者，将计算得到的密钥ck’和密钥ik’或密钥k
ausf
删除，或者，计算密钥k
ausf
后不将新生成的密钥k
ausf
替换本地已有的密钥k
ausf
，避免影响ue的现有密钥架构。
[0315]
图5为本技术实施例提供的nswo业务的认证方法的另一种消息交互图。本实施例提供的nswo业务的认证方法，执行主体涉及ue、an设备、nswo网元、ausf和udm。本实施例与图4所示实施例的区别在于：udm在采用eap aka’认证方式计算eap aka’认证向量后，将完整的eap aka’认证向量发送给ausf。这样，ausf或ue可以使用针对nswo业务进行认证过程中新生成的密钥ck’、密钥ik’或密钥k
ausf
。当然，ausf或ue也可以不使用新生成的密钥ck’、密钥ik’或密钥k
ausf
。
[0316]
如图5所示，本实施例提供的nswo业务的认证方法，可以包括：
[0317]
步骤1、在ue确定进行nswo业务后，ue向an设备发送suci。相应的，an设备接收ue发送的suci。
[0318]
步骤2、an设备根据suci确定nswo网元的地址。
[0319]
步骤3、an设备根据nswo网元的地址向nswo网元发送第二请求消息，第二请求消息包括suci。相应的，nswo网元接收an设备发送的第二请求消息。
[0320]
步骤4、nswo网元根据第二请求消息确定进行针对nswo业务的认证。
[0321]
步骤5、nswo网元向ausf发送第一认证请求消息，第一认证请求消息包括suci。相应的，ausf接收nswo网元发送的第一认证请求消息。
[0322]
步骤6、ausf根据第一认证请求消息确定进行针对nswo业务的认证。
[0323]
其中，步骤1～步骤6可以参见图4所示实施例，此处不再赘述。
[0324]
步骤107、ausf向udm发送第二认证请求消息，第二认证请求消息包括suci。相应的，udm接收ausf发送的第二认证请求消息。
[0325]
具体的，ausf确定执行针对nswo业务的认证后，可以向udm发送第二认证请求消息。
[0326]
可选的，第二认证请求消息还可以包括nswo指示信息。可选的，nswo指示信息可以包括下列至少一个：第一nswo指示信息或第五nswo指示信息。即，nswo指示信息为第一nswo指示信息；或者，nswo指示信息为第五nswo指示信息；或者，nswo指示信息包括第一nswo指示信息和第五nswo指示信息。第一nswo指示信息和第五nswo指示信息可以参见本技术上面描述，此处不再赘述。
[0327]
通过在第二认证请求消息中携带nswo指示信息，使得udm根据nswo指示信息确定需要进行针对nswo业务的认证，便于区分不同的认证流程。
[0328]
可选的，第二认证请求消息还可以包括an设备的第二标识信息，该an设备为ue连接的an设备。第二标识信息可以用于后续udm计算第一eap-aka’认证向量。
[0329]
可选的，第二标识信息可以为下列中的一项：
[0330]
(1)第一认证请求消息中携带的第一标识信息。可以参见步骤5中的相关描述，此处不再赘述。在该实现方式中，ausf将nswo网元发送的第一标识信息直接发送给udm。
[0331]
(2)第一信息。
[0332]
可选的，在一种实现方式中，若第一认证请求消息中携带的第一标识信息为an设
备的接入网标识，则第一信息为接入网标识对应的服务网络名称(serving network name)。在该实现方式中，nswo网元发送给ausf的第一标识信息为接入网标识(an id)，ausf可以将获得的an id转换为serving network name后发送给udm。
[0333]
可选的，在另一种实现方式中，若第一认证请求消息中未携带第一标识信息，则第一信息为预设接入网标识或预设服务网络名称。预设接入网标识或预设服务网络名称均用于指示进行针对nswo业务的认证。
[0334]
可选的，第二认证请求消息可以为已有udm服务对应的请求消息，可以参见本技术上面描述，此处不再赘述。此时，可选的，在一种实现方式中，第二认证请求消息包括用于指示udm进行针对nswo业务的认证的信息。可选的，该信息可以包括suci或nswo指示信息中的至少一个。
[0335]
可选的，在另一种实现方式中，ausf确定进行针对nswo业务的认证之后，还确定采用eap aka’认证算法。相应的，第二认证请求消息还包括算法指示信息，用于指示进行eap aka’认证。通过携带算法指示信息，使得udm可以直接确定采用eap aka’认证方式，简化了udm在选择认证算法上的处理复杂度。
[0336]
可选的，第二认证请求消息可以为新增udm服务对应的请求消息，可以参见本技术上面描述，此处不再赘述。在该实现方式中，新增udm服务直接指示udm进行针对nswo业务的认证。可选的，第二认证请求消息可以不包括用于指示udm进行针对nswo业务的认证的信息。例如，第二认证请求消息不包括nswo指示信息，且suci可以为现有5g网络中使用的suci。可选的，第二认证请求消息也可以包括用于指示udm进行针对nswo业务的认证的信息。可选的，该信息可以包括suci或nswo指示信息中的至少一个。
[0337]
可选的，ausf确定进行针对nswo业务的认证之后，还确定采用eap aka’认证算法。第二认证请求消息可以包括算法指示信息，也可以不包括算法指示信息。
[0338]
步骤8、udm根据suci计算得到supi。
[0339]
可以参见图4所示实施例，此处不再赘述。
[0340]
步骤109、udm根据第二认证请求消息确定采用eap aka’认证方式。
[0341]
可选的，在一种实现方式中，默认ausf支持nswo业务，当从ausf接收第二认证请求消息时可以确定进行针对nswo业务的认证。
[0342]
可选的，在另一种实现方式中，在确定第二认证请求消息为新增udm服务对应的请求消息时，确定进行针对nswo业务的认证，新增udm服务用于指示进行针对nswo业务的认证。例如，当第二认证请求消息为nudm_ueauthentication_nswo_authenticate request时，udm确定进行针对nswo业务的认证。
[0343]
可选的，在又一种实现方式中，udm可以根据第二认证请求消息中的第二信息确定采用eap aka’认证方式。其中，第二信息包括下列中的至少一种：
[0344]
(1)第二信息为nswo指示信息，nswo指示信息用于指示进行针对nswo业务的认证。其中，第二认证请求消息中包括的nswo指示信息可以参见步骤7中的相关描述，此处不再赘述。
[0345]
(2)第二信息为suci，suci用于指示进行针对nswo业务的认证。
[0346]
(3)第二信息为算法指示信息，算法指示信息用于指示进行eap aka’认证。
[0347]
可见，在5g网络中对ue针对nswo业务进行认证的场景中，由于an设备支持eap aka
认证方式和eap aka’认证方式，而5g网络支持eap-aka’认证方式和5g aka认证方式，通过udm确定采用eap aka’认证方式，避免了选择5g aka认证方式时导致的认证失败，实现了5g网络中针对nswo业务的认证流程。
[0348]
可选的，udm确定ue希望使用nswo业务，udm根据supi确定ue的订阅数据，根据订阅数据校验ue是否被允许使用nswo业务。若允许，则继续执行；否则udm发送拒绝消息至ausf，再由ausf发送拒绝消息至nswo网元，之后nswo网元发送拒绝消息至an设备。拒绝消息携带指示，指示ue未被授权使用nswo业务。根据此拒绝消息，an设备拒绝ue的nswo业务请求，或者通知ue不被允许使用nswo业务，或者不被允许在此an id或serving network name对应的网络内使用nswo业务。
[0349]
可选的，udm确定ue希望使用nswo业务，udm根据supi确定ue的订阅数据，根据订阅数据和an id或serving network name校验ue是否被允许在此an id或serving network name对应的网络内使用nswo业务。若允许，则继续执行；否则udm发送拒绝消息至ausf，再由ausf发送拒绝消息至nswo网元，之后nswo网元发送拒绝消息至an设备。拒绝消息携带指示，指示ue未被授权在an id或serving network name对应的网络内使用nswo业务。根据根据此拒绝消息，an设备拒绝ue的nswo业务请求，或者通知ue不被允许使用nswo业务，或者不被允许在此an id或serving network name对应的网络内使用nswo业务。
[0350]
步骤10、udm根据supi得到第一eap aka’认证向量(rand,autn,xres,ck',ik')。
[0351]
可以参见图4所示实施例，此处不再赘述。
[0352]
步骤111、udm向ausf发送第二认证响应消息，第二认证响应消息包括第二eap aka’认证向量。相应的，ausf接收udm发送的第二认证响应消息。
[0353]
其中，第二eap aka’认证向量为第一eap aka’认证向量，第二eap aka’认证向量包括密钥ck’和密钥ik’。
[0354]
通过将完整的eap aka’认证向量携带在第二认证响应消息中发送给ausf，使得ausf可以使用针对nswo业务进行认证过程中新生成的密钥ck’和密钥ik’，提高了密钥使用方式的灵活性。
[0355]
其中，第二认证响应消息可以参见本技术上面描述，此处不再赘述。
[0356]
可选的，第二认证响应消息还可以包括supi。
[0357]
步骤112、ausf根据第二认证响应消息向nswo网元发送第一认证响应消息，第一认证响应消息为eap aka’认证算法对应的认证响应消息。相应的，nswo网元接收ausf发送的第一认证响应消息。
[0358]
具体的，ausf可以执行现有的eap-aka’认证流程，向nswo网元发送第一认证响应消息，本实施例不做具体说明。其中，ausf接收到的第二认证响应消息中携带的第二eap aka’认证向量为完整的eap aka’认证向量，包括密钥ck’和密钥ik’。
[0359]
可选的，在一种实现方式中，根据第二认证响应消息向nswo网元发送第一认证响应消息，可以包括rand,autn。
[0360]
向nswo网元发送第一认证响应消息，第一认证响应消息包括rand,autn。
[0361]
在该实现方式中，ausf删除第二eap aka’认证向量中的密钥ck’和密钥ik’，避免了针对nswo业务进行认证过程中新生成的密钥ck’和密钥ik’影响现有认证流程中ue已生成的相关密钥。
[0362]
可选的，第一认证响应消息可以包括eap/aka-challenge(rand,autn)。
[0363]
其中，第一认证响应消息可以参见本技术上面描述，此处不再赘述。
[0364]
步骤13、nswo网元根据第一认证响应消息通过an设备向ue发送第三认证请求消息，第三认证请求消息为eap aka’认证算法对应的认证请求消息。相应的，ue通过an设备接收nswo网元发送的第三认证请求消息。
[0365]
步骤14、ue使用eap aka'认证算法对网络进行认证校验。如基于rand校验autn内mac是否正确；如校验根据rand和autn计算的sqn的新鲜性是否满足。对于rand和autn的校验属于现有技术，不做限制。
[0366]
步骤15、ue在认证校验成功后，计算得到的res，通过an设备向nswo网元发送第四认证请求消息。其中包括res，相应的，nswo网元通过an设备接收ue发送的第四认证请求消息。
[0367]
更进一步可选的实现方式包括：ue内分为usim和me两部分。me可以理解为ue中不包括usim的部分。其中usim会执行rand和autn的安全校验，当usim校验成功后，usim会计算得到ck，ik和res，并且发送ck，ik和res至me。之后me会执行针对ck、ik和res对应的操作，如基于ck和ik计算ck’和ik’。
[0368]
其中，步骤13～步骤15可以参见图4所示实施例，此处不再赘述。
[0369]
可选的，ue、usim或me在步骤15中确定认证校验成功后，还可以包括下列中的一项：
[0370]
(1)ue或me计算密钥ck’和密钥ik’，之后删除密钥ck’和密钥ik’。在该实现方式中，ue虽然计算密钥ck’和密钥ik’，但之后删除，避免了针对nswo业务进行认证过程中新生成的密钥ck’和密钥ik’影响ue现有认证流程中生成的相关密钥，确保了本实施例提供的认证流程适用于nswo业务的认证。
[0371]
(2)ue或me计算密钥ck’和密钥ik’，且不根据密钥ck’和密钥ik’计算密钥k
ausf
，之后删除密钥ck’和密钥ik’。在该实现方式中，ue虽然计算密钥ck’和密钥ik’，但没有计算密钥k
ausf
，而且删除了密钥ck’和密钥ik’，避免了针对nswo业务进行认证过程中新生成的密钥ck’和密钥ik’影响ue现有认证流程中生成的相关密钥。
[0372]
(3)ue或me计算密钥ck’和密钥ik’，且根据密钥ck’和密钥ik’计算密钥k
ausf
，之后删除密钥ck’和密钥ik’，且删除密钥k
ausf
。在该实现方式中，ue计算了密钥ck’、密钥ik’和密钥k
ausf
，但之后全部删除，避免了针对nswo业务进行认证过程中新生成的密钥ck’和密钥ik’影响ue现有认证流程中生成的相关密钥。
[0373]
(4)ue或me计算密钥ck’和密钥ik’，且根据密钥ck’和密钥ik’计算密钥k
ausf
，之后删除密钥ck’和密钥ik’，且不对ue本地存储的密钥k
ausf
进行替换。在该实现方式中，ue计算了密钥ck’、密钥ik’和密钥k
ausf
，但之后删除了密钥ck’和密钥ik’。虽然新生成了密钥k
ausf
，但并没有对ue本地已存储的密钥k
ausf
进行替换，可以理解为没有使用新生成的密钥k
ausf
，因此不会导致新生成的密钥影响ue现有认证流程中生成的相关密钥。
[0374]
(5)ue或me不计算密钥ck’和密钥ik’。在该实现方式中，ue不计算密钥ck’和密钥ik’，避免了针对nswo业务进行认证过程中新生成的密钥ck’和密钥ik’影响ue现有认证流程中生成的相关密钥。
[0375]
(6)ue或me计算密钥ck’和密钥ik’，且根据密钥ck’和密钥ik’计算密钥k
ausf
，之后
对ue本地存储的密钥k
ausf
进行替换。在该实现方式中，ue计算了密钥ck’、密钥ik’和密钥k
ausf
，并且对ue本地已存储的密钥k
ausf
进行替换，将本地已存储的密钥k
ausf
替换为新生成的密钥k
ausf
。后续，ue可以使用新生成的密钥k
ausf
。可选的，me发送k
ausf
至usim，替换usim卡内保存的旧k
ausf
。
[0376]
(7)me确定为nswo业务的认证后，发送rand和autn给usim卡的同时还是发送认证指示给usim卡。认证指示可选的用来指示usim卡在校验成功后，不需要发送ck和ik，或者指示usim为仅认证的业务等。当usim校验成功后，usim根据此认证指示会仅计算res，并发送res至me。或者usim根据此认证指示不会计算ck和ik，或者即使计算了ck和ik，也不会发送ck和ik至me。此时me得不到ck和ik，也不会再根据ck和ik计算ck’和ik’。
[0377]
(8)me发送rand和autn给usim卡，usim正常执行，并发送ck，ik和res至me。此时me根据nswo业务认证，可选的，me可以将ck和ik丢弃，删除，或者不做额外的其他应用。避免针对nswo业务进行认证过程中新生成的密钥ck和密钥ik影响ue现有认证流程中生成的相关密钥，确保了本实施例提供的认证流程适用于nswo业务的认证。
[0378]
步骤16、nswo网元根据第四认证请求消息向ausf发送第五认证请求消息。相应的，ausf接收nswo网元发送的第五认证请求消息。
[0379]
步骤17、ausf根据第五认证请求消息进行针对ue的认证。如校验res和xres是否等同。如果等同，则校验成功；否则校验失败。
[0380]
步骤18、ausf在认证校验后，向nswo网元发送第一消息。相应的，nswo网元接收ausf发送的第一消息。第一消息包括认证校验的结果。
[0381]
其中，步骤16～步骤18可以参见图4所示实施例，此处不再赘述。
[0382]
可选的，若在步骤112中，第一认证响应消息包括第二认证响应消息中携带的第二eap aka’认证向量，即，ausf没有删除从udm接收到的密钥ck’和密钥ik’，ausf在步骤18中确定认证校验成功后，还可以包括下列中的一项：
[0383]
(1)ausf不基于密钥ck’和密钥ik’计算密钥k
ausf
。在该实现方式中，ausf没有根据新的密钥ck’和密钥ik’计算得到新的密钥k
ausf
，避免了针对nswo业务进行认证过程中新生成的密钥k
ausf
影响ausf现有认证流程中已生成的相关密钥。
[0384]
(2)ausf基于密钥ck’和密钥ik’计算密钥k
ausf
，且不对ausf本地已存储的密钥k
ausf
进行替换。在该实现方式中，虽然ausf根据新的密钥ck’和密钥ik’计算得到新的密钥k
ausf
，但并没有对ausf本地已存储的密钥k
ausf
进行替换，可以理解为没有使用针对nswo业务进行认证过程中新生成的密钥k
ausf
，因此不会导致新生成的密钥k
ausf
影响ausf现有认证流程中生成的相关密钥。
[0385]
可选的，还可以包括下列中的至少一项：
[0386]
(1)ausf删除密钥ck’和密钥ik’。在该实现方式中，ausf删除了针对nswo业务进行认证过程中接收到的密钥ck’和密钥ik’，避免了新生成的密钥ck’和密钥ik’影响ausf现有认证流程中生成的相关密钥。
[0387]
(2)ausf删除生成的密钥k
ausf
。在该实现方式中，ausf删除了针对nswo业务进行认证过程中新生成的密钥k
ausf
，避免了新生成的密钥k
ausf
影响ausf现有认证流程中生成的相关密钥。
[0388]
步骤19、nswo网元根据第一消息向an设备发送第二消息。相应的，an设备接收nswo
网元发送的第二消息。
[0389]
步骤20、可选的，若认证校验成功，an设备向ue发送nswo业务指示消息。也可以为an确认认证成功后，执行对应nswo业务的操作。
[0390]
步骤21、若认证校验失败，an设备向ue发送拒绝消息。
[0391]
其中，步骤19～步骤21可以参见图4所示实施例，此处不再赘述。
[0392]
可见，本实施例提供了一种适用于5g网络中ue进行nswo业务时的认证流程，涉及的网元包括ue、an设备、nswo网元、ausf和udm。其中，udm确定采用eap aka’认证方式，避免了如果选择5g aka认证方式而导致的认证失败。而且，udm在采用eap aka’认证方式计算eap aka’认证向量后，将完整的eap aka’认证向量发送给ausf，减小了对udm处理方式的改动，降低了对udm的影响，而且为后续ausf或ue使用针对nswo业务进行认证过程中新生成的密钥ck’、密钥ik’或密钥k
ausf
提供了可能。进一步的，ue在对网络进行认证校验成功后，可以不计算密钥ck’和密钥ik’，或者，将计算得到的密钥ck’和密钥ik’或密钥kausf删除，或者，计算密钥k
ausf
后不将新生成的密钥k
ausf
替换本地已有的密钥k
ausf
，避免影响ue的现有密钥架构。或者，ue在对网络进行认证校验成功后，计算密钥k
ausf
且替换本地已有的密钥k
ausf
，可以使用新的密钥k
ausf
。进一步的，ausf从udm接收到密钥ck’和密钥ik’后，可以将计算得到的密钥k
ausf
删除，或者，计算密钥kausf后不将新生成的密钥k
ausf
替换本地已有的密钥k
ausf
，避免影响ausf的现有密钥架构。或者，ausf计算密钥k
ausf
且替换本地已有的密钥k
ausf
，可以使用新的密钥k
ausf
。
[0393]
可选的，在上述实施例的基础上，本技术又一实施例提供了图3～图5中ue启动认证阶段的具体实现方式。
[0394]
可选的，在一种实现方式中，图6为本技术实施例提供的nswo业务的认证方法的又一种消息交互图。如图6所示，上述步骤1中，ue向an设备发送suci，可以包括：
[0395]
s601、ue向an设备发送第一连接建立请求消息，第一连接建立请求消息包括suci和第一nswo指示信息。相应的，an设备接收ue发送的第一连接建立请求消息。
[0396]
可选的，第一连接建立请求消息可以为eap消息。
[0397]
可选的，suci可以为现有的根据supi生成的suci，例如，5g网络中使用的suci。
[0398]
可选的，suci可以指示进行针对nswo业务的认证。
[0399]
可选的，第一nswo指示信息可以在eap消息中携带，也可以在eap消息之外携带。
[0400]
在该实现方式中，ue确定进行nswo业务后，接入an建立连接。在第一连接建立请求消息中同时携带suci和第一nswo指示信息，启动针对nswo业务的认证流程，节省了空口消息数量。
[0401]
可选的，在另一种实现方式中，图7为本技术实施例提供的nswo业务的认证方法的又一种消息交互图。如图7所示，上述步骤1中，ue向an设备发送suci，可以包括：
[0402]
s701、an设备向ue发送第一请求消息。相应的，ue接收an设备发送的第一请求消息。
[0403]
s702、ue向an设备发送第一响应消息，第一响应消息包括第一nswo指示信息和suci。相应的，an设备接收ue发送的第一响应消息。
[0404]
在该实现方式中，an设备向ue发送第一请求消息，触发ue进行eap认证。ue确定进行nswo业务之后接收到第一请求消息，确定执行eap认证，且确定执行针对nswo业务的认
证。
[0405]
可选的，第一请求消息和第一响应消息可以为eap消息。例如，第一请求消息为可扩展认证协议请求/身份验证消息(eap-req/identity)。第一响应消息为可扩展认证协议响应消息(eap-rsp)。
[0406]
可选的，suci可以为现有的根据supi生成的suci，例如，5g网络中使用的suci。
[0407]
可选的，suci可以指示进行针对nswo业务的认证。
[0408]
可选的，第一nswo指示信息可以在eap消息中携带，也可以在eap消息之外携带。
[0409]
可选的，s701之前还可以包括：
[0410]
s703、ue向an设备发送第二连接建立请求消息。相应的，an设备接收ue发送的第二连接建立请求消息。
[0411]
可选的，第二连接建立请求消息可以为eap消息。
[0412]
可选的，第二连接建立请求消息可以包括第一nswo指示信息。具体的，ue通过在第二连接建立请求消息中携带第一nswo指示信息，使得an设备确定需要执行针对nswo业务的认证，从而，an设备触发ue进行eap认证。
[0413]
可选的，在又一种实现方式中，图8为本技术实施例提供的nswo业务的认证方法的又一种消息交互图。如图8所示，上述步骤1中，ue向an设备发送suci，可以包括：
[0414]
s801、ue向an设备发送第三连接建立请求消息，第三连接建立请求消息包括suci，suci用于指示进行针对nswo业务的认证。相应的，an设备接收ue发送的第三连接建立请求消息。
[0415]
可选的，第三连接建立请求消息可以为eap消息。
[0416]
在该实现方式中，ue确定进行nswo业务后，接入an建立连接。在第三连接建立请求消息中携带用于指示进行针对nswo业务的认证的suci，启动针对nswo业务的认证流程，节省了空口消息数量。
[0417]
可选的，图9为本技术实施例提供的nswo业务的认证方法的又一种消息交互图。如图9所示，本实施例提供的nswo业务的认证方法，在上述步骤1之前还可以包括：
[0418]
s901、an设备向ue发送第二nswo指示信息，第二nswo指示信息用于指示an设备支持nswo业务。相应的，ue接收an设备发送的第二nswo指示信息。
[0419]
s902、ue根据第二nswo指示信息，确定进行基于5g密钥的认证，或进行基于sim的认证，或进行基于用户首次认证的密钥进行认证。
[0420]
在该实现方式中，an设备通过向ue发送第二nswo指示信息，向ue通知an设备支持nswo业务，可以实现针对nswo业务的认证。
[0421]
其中，第二nswo指示信息可以携带在an设备向ue发送的消息中，本实施例对该消息的类型和名称不做限定。可选的，该消息可以为an设备发送的广播消息。可选的，该消息可以为上述s701中的第一请求消息。
[0422]
可选的，在上述实施例的基础上，图10为本技术实施例提供的nswo业务的认证方法的又一种消息交互图。如图10所示，本实施例提供的nswo业务的认证方法，在上述步骤21之后，还可以包括：
[0423]
步骤22、ausf根据第五认证请求消息进行针对ue的认证成功后，向udm发送第一nswo认证结果。
[0424]
可选的，还可以同时发送supi，和/或接入网设备的接入网标识，和/或接入网标识对应的服务网络名称，supi包括在第二认证响应消息中，接入网设备为终端连接的接入网设备。
[0425]
可选的，还可以不发送supi，但是发送关联id或者uri等用来标识ue的信息。
[0426]
相应的，udm接收ausf发送的第一nswo认证结果。
[0427]
步骤23、udm确定并记录supi对应ue的针对nswo业务的认证成功。
[0428]
具体的，第一nswo认证结果用于指示ue针对nswo业务的认证成功。在udm中，可以通过supi或者关联id或者uri区分不同的ue，通过接入网设备的接入网标识或服务网络名称区分不同的接入网设备。在ausf确定ue针对nswo业务认证成功之后，可以向udm发送第一nswo认证结果，向udm通知认证成功的ue和/或认证成功ue接入的an设备。udm对认证成功的ue和/或认证成功ue接入的an设备进行记录，以便后续针对ue或an设备完成计费。
[0429]
可选的，第一nswo认证结果还可以包括认证指示信息，认证指示信息用于指示终端针对nswo业务的认证成功。
[0430]
可见，通过认证指示信息，使得udm可以明确确定supi对应ue的针对nswo业务的认证成功。
[0431]
可选的，第一nswo认证结果可以携带在ausf向udm发送的消息中。本实施例对该消息的类型和名称不做限定。
[0432]
可选的，该消息可以为新增udm服务对应的消息，本实施例对新增udm服务的名称和新增udm服务对应的消息的名称不做限定。udm可以根据该新增的udm服务直接确定这是通知supi认证成功的服务，确定supi对应ue的针对nswo业务的认证成功。
[0433]
可选的，该消息可以为已有udm服务对应的消息。例如，已有udm服务对应的消息为ue认证结果确认消息(nudm_ueauthentication_resultconfirmation)。
[0434]
可选的，在上述实施例的基础上，图11为本技术实施例提供的nswo业务的认证方法的又一种消息交互图。如图11所示，本实施例提供的nswo业务的认证方法，在上述步骤21之后，还可以包括：
[0435]
步骤24、ausf根据第五认证请求消息进行针对ue的认证成功后，向计费网络功能(network function，nf)发送第二nswo认证结果。第二nswo认证结果包括supi，和/或接入网设备的接入网标识，和/或接入网标识对应的服务网络名称，supi包括在第二认证响应消息中，接入网设备为终端连接的接入网设备。可选的，还可能不发送supi，但是发送关联id或者uri等用来标识ue的信息。
[0436]
相应的，计费nf接收ausf发送的第二nswo认证结果。
[0437]
步骤25、计费nf确定并记录supi对应ue的针对nswo业务的认证成功。
[0438]
其中，第二nswo认证结果与图10所示实施例中的第一nswo认证结果原理相似，可以参考相关描述，此处不再赘述。
[0439]
其中，本实施例与图10所示实施例的区别在于，ausf向计费nf发送携带第二nswo认证结果的消息可能不同，本实施例对携带第二nswo认证结果的消息的类型和名称不做限定。
[0440]
可选的，在图10所示实施例的基础上，本技术又一实施例提供了一种nswo业务的认证方法。在本实施例中，ausf和ue不会删除在针对nswo业务的认证流程中新生成的密钥kausf
，可以使用新生成的密钥k
ausf
。ausf信息有更新，相关网元(例如：udm、amf等)需要更新本地存储的ausf信息，即，更新为nswo业务相关认证对应的ausf信息。
[0441]
可选的，在一种实现方式中，图12为本技术实施例提供的nswo业务的认证方法的又一种消息交互图。如图12所示，本实施例提供的nswo业务的认证方法，执行主体涉及udm和amf。在上述步骤23之后，还可以包括：
[0442]
步骤26、udm在确定eap-aka’认证成功后，更新ausf信息。
[0443]
可选的，ausf信息可以包括ausf组(ausf group)信息或ausf实例id(ausf instance id)等用来标识ausf的信息。
[0444]
步骤27、udm向amf发送第一通知消息。第一通知消息包括ausf信息和ue的标识信息。相应的，amf接收udm发送的第一通知消息。
[0445]
步骤28、amf根据ue的标识信息确定ue上下文(ue context)，并将ue上下文中的ausf信息替换为第一通知消息中的ausf信息。
[0446]
其中，ue的标识信息用于唯一区分不同的ue。可选的，ue的标识信息可以包括下列中的一项：
[0447]
supi；
[0448]
supi对应的回调uri(callback uri)；
[0449]
supi对应的相关标识(correlation id)。
[0450]
可选的，第一通知消息为已有udm服务对应的消息，本实施例对已有udm服务的名称和已有udm服务对应的消息的名称不做限定。例如，第一通知消息为sdm通知消息(numd_sdm_notification)。
[0451]
可见，在该实现方式中，通过udm通知amf更新本地存储的ausf信息，从而完成ausf信息的更新。
[0452]
可选的，在另一种实现方式中，图13为本技术实施例提供的nswo业务的认证方法的又一种消息交互图。如图13所示，本实施例提供的nswo业务的认证方法，执行主体涉及ausf和amf。在上述步骤22之后，还可以包括：
[0453]
步骤29、ausf向amf发送第二通知消息。第二通知消息包括ausf信息和ue的标识信息。相应的，amf接收ausf发送的第二通知消息。
[0454]
步骤30、amf根据ue的标识信息确定ue上下文(ue context)，并将ue上下文中的ausf信息替换为第二通知消息中的ausf信息。
[0455]
其中，ue的标识信息用于唯一区分不同的ue。可选的，ue的标识信息可以包括下列中的一项：
[0456]
supi；
[0457]
supi对应的回调uri(callback uri)；
[0458]
supi对应的相关标识(correlation id)；
[0459]
supi对应的认证上下文标识(authentication context id)；
[0460]
supi对应的认证事件标识(authentication event id)。
[0461]
可选的，第二通知消息为已有ausf服务对应的消息，本实施例对已有ausf服务的名称和已有ausf服务对应的消息的名称不做限定。例如，第二通知消息为sdm通知消息(nausf_sdm_notification)。
[0462]
可见，在该实现方式中，通过ausf通知amf更新本地存储的ausf信息，从而完成ausf信息的更新。
[0463]
本技术实施例还提供了一种nswo业务的认证方法，应用于当ue首次完成针对nswo业务的认证后，需要再次进行针对nswo业务的认证的场景中。例如，ue注册至5g网络后，ue与ausf共享密钥后的场景。
[0464]
可选的，在一种实现方式中，ue与ausf共享密钥k
ausf
，nswo业务的认证方法可以包括：
[0465]
201.ue基于密钥k
ausf
计算消息鉴别码(message authentication code，mac)＝hmac-sha256(密钥k
ausf
，新鲜参数，nswo指示)。
[0466]
其中，hmac表示基于哈希算法的消息验证码(hashed-based message authentication)，hmac-sha256()表示一种加密函数。
[0467]
其中，新鲜参数可以为计算器，或者序列号等用于体现消息新鲜性的参数。
[0468]
其中，nswo指示用于指示进行针对nswo业务的认证。
[0469]
202.ue向an设备发送suci、nswo指示、mac和新鲜参数。
[0470]
203.an设备根据suci确定nswo网元，并向nswo网元发送suci、nswo指示、mac和新鲜参数。
[0471]
204.nswo网元根据suci确定udm，并向udm发送suci、nswo指示、mac和新鲜参数。
[0472]
205.udm解密suci得到supi，根据supi获取对应的ausf信息和ausf地址。udm对mac的正确性进行校验，获得校验结果。
[0473]
可选的，在一种实现方式中，udm对mac的正确性进行校验，可以包括：
[0474]
udm向ausf发送supi、nswo指示、mac和新鲜参数。
[0475]
ausf根据supi确定密钥k
ausf
，并采用密钥k
ausf
、nswo指示和新鲜参数校验接收到的mac是否正确。
[0476]
若mac校验正确，则向udm发送成功指示。
[0477]
可选的，在另一种实现方式中，udm对mac的正确性进行校验，可以包括：
[0478]
udm向ausf发送supi、nswo指示和新鲜参数。
[0479]
ausf采用相同的方式计算mac’，并向udm发送mac’。
[0480]
udm校验mac与mac’是否等同。
[0481]
若等同，则确定mac校验成功。
[0482]
206.udm向nswo网元发送校验结果。
[0483]
可以参考本技术上述实施例中的步骤19～步骤21。
[0484]
可选的，在另一种实现方式中，ue与amf共享密钥knasint，nswo业务的认证方法可以包括：
[0485]
301.ue基于密钥knasint计算mac＝hmac-sha256(knasint，新鲜参数，nswo指示)。
[0486]
其中，mac、hmac-sha256()、新鲜参数和nswo指示的含义可以参见上述步骤201中的描述，此处不再赘述。
[0487]
302.ue向an设备发送suci、nswo指示、mac和新鲜参数。
[0488]
可选的，还可能发送5g全局唯一的临时ue标识(5g globally unique temporary ue identity，5g-guti)。
[0489]
303.an设备根据suci确定nswo网元，并向nswo网元发送suci、nswo指示、mac和新鲜参数。
[0490]
可选的，若an设备还接收到5g-guti，并且an可以通过5g-guti确定amf，则跳转至步骤307。
[0491]
304.nswo网元根据suci确定udm，并向udm发送suci、nswo指示、mac和新鲜参数。
[0492]
可选的，若nswo网元还接收到5g-guti，并且nswo网元可以通过5g-guti确定amf，则跳转至步骤308。
[0493]
305.udm解密suci得到supi，根据supi获取对应的amf信息和amf地址。udm对mac的正确性进行校验，获得校验结果。
[0494]
可选的，在一种实现方式中，udm对mac的正确性进行校验，可以包括：
[0495]
udm向amf发送supi(或者，callback uri和/或correlation id)、nswo指示、mac和新鲜参数。
[0496]
amf根据supi(或者，callback uri和/或correlation id)确定knasint，并采用knasint、nswo指示和新鲜参数校验接收到的mac是否正确。
[0497]
若mac校验正确，则向udm发送成功指示。
[0498]
可选的，在另一种实现方式中，udm对mac的正确性进行校验，可以包括：
[0499]
udm向amf发送supi(或者，callback uri和/或correlation id)、nswo指示和新鲜参数。
[0500]
amf采用相同的方式计算mac’，并向udm发送mac’。
[0501]
udm校验mac与mac’是否等同。
[0502]
若等同，则确定校验成功。
[0503]
306.udm向nswo网元发送校验结果。
[0504]
之后的动作可以参考本技术上述实施例中的步骤19～步骤21。
[0505]
307.an设备向amf发送5g-guti、nswo指示、mac和新鲜参数。
[0506]
amf根据supi(或者，callback uri和/或correlation id)确定knasint，并采用knasint、nswo指示和新鲜参数校验接收到的mac是否正确。amf发送校验结果至an。之后an的动作可以参考之前实施例。
[0507]
308.nswo网元向amf发送5g-guti、nswo指示、mac和新鲜参数。
[0508]
amf根据supi(或者，callback uri和/或correlation id)确定knasint，并采用knasint、nswo指示和新鲜参数校验接收到的mac是否正确。amf发送校验结果至nswo网元。之后nswo网元的动作可以参考之前实施例。
[0509]
本技术实施例还提供了一种nswo业务的认证方法，应用于5g网络包括ue、an设备、aaa网元、ausf和udm的场景。
[0510]
可选的，可以重用图4所示的实施例，udm直接将ck’和ik’移除，发送移除ck’和ik’的认证向量给ausf。ausf再发送移除ck’和ik’的认证向量给aaa网元。之后，ue与aaa网元执行双向认证。后续aaa网元的动作与图4所示实施例中ausf的操作一致。之后aaa网元发送认证结果至an。后续an的动作可以参考之前的实施例。
[0511]
可选的，可以重用图5所示的实施例。其中，udm发送完整的认证向量给ausf。ausf从udm接收到完整的认证向量后，删除ck’和ik’之后再发送给aaa网元。之后，ue与aaa网元
执行双向认证。后续aaa网元的动作与图5所示实施例中ausf的操作一致。之后aaa网元发送认证结果至an。后续an的动作可以参考之前的实施例。
[0512]
本技术实施例还提供了一种nswo业务的认证方法，应用于5g网络包括ue、an设备、aaa网元和udm的场景。
[0513]
此时，an设备可以直接路由到aaa网元，或者，先路由到aaaproxy后再通过aaaproxy路由到aaa网元。之后，aaa网元可以从udm获得认证向量。此时，nswo网元和ausf的功能都可以由aaa网元来实现。aaa网元可以从udm获得不包括ck’和ik’的密钥，执行ausf对应的操作；或者，获得ck’和ik’的密钥后将其删除等操作，具体的操作可以复用本技术上述实施例中ausf对于密钥的处理动作。
[0514]
需要说明，本技术实施例提供的nswo业务的认证方法，不仅仅限于对nswo业务的认证，同样适用于其他业务的认证。可以理解为本技术以nswo业务为例进行了认证方式和流程的描述。在其他业务的认证流程中，nswo网元可以替换为业务认证网元，业务认证网元参与执行对于ue的认证；若认证成功，业务认证网元从ausf接收认证结果，并发送结果至an。其中关于其他密钥的操作，与上述ck’，ik’或者k
ausf
等操作类似。另外，an根据认证结果执行的操作也不做限制。
[0515]
可以理解的是，本技术涉及的各个设备为了实现上述功能，其包含了执行各个功能相应的硬件和/或软件模块。结合本文中所公开的实施例描述的各示例的算法步骤，本技术能够以硬件或硬件和计算机软件的结合形式来实现。某个功能究竟以硬件还是计算机软件驱动硬件的方式来执行，取决于技术方案的特定应用和设计约束条件。本领域技术人员可以结合实施例对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本技术的范围。
[0516]
本技术实施例可以根据上述方法示例对各个设备进行功能模块的划分，例如，可以对应各个功能划分各个功能模块，也可以将两个或两个以上的功能集成在一个处理模块中。需要说明的是，本技术实施例中对模块的划分是示意性的，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式。需要说明的是，本技术实施例中模块的名称是示意性的，实际实现时对模块的名称不做限定。
[0517]
在采用对应各个功能划分各个功能模块的情况下，图14为本技术实施例提供的通信装置的一种结构示意图。如图14所示，通信装置可以包括：发送模块1402、接收模块1403和处理模块1401。
[0518]
发送模块1402，用于发送数据。
[0519]
接收模块1403，用于接收数据。
[0520]
处理模块1401，用于执行其他步骤，以实现上述方法实施例提供的nswo业务的认证方法。
[0521]
图15为本技术实施例提供的通信设备的另一种结构示意图。可选的，通信设备可以为终端设备、an设备、nswo网元、ausf或udm。如图15所示，通信设备可以包括：处理器1501、接收器1502、发射器1503、存储器1504和总线1505。处理器1501包括一个或者多个处理核心，处理器1501通过运行软件程序以及模块，从而执行各种功能的应用以及信息处理。接收器1502和发射器1503可以实现为一个通信组件，该通信组件可以是一块基带芯片。存储器1504通过总线1505和处理器1501相连。存储器1504可用于存储至少一个程序指令，处
理器1501用于执行至少一个程序指令，以实现上述实施例的技术方案。其实现原理和技术效果与上述方法相关实施例类似，此处不再赘述。
[0522]
在本技术实施例中，处理器可以是通用处理器、数字信号处理器、专用集成电路、现场可编程门阵列或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件，可以实现或者执行本技术实施例中的公开的各方法、步骤及逻辑框图。通用处理器可以是微处理器或者任何常规的处理器等。结合本技术实施例所公开的方法的步骤可以直接体现为硬件处理器执行完成，或者用处理器中的硬件及软件模块组合执行完成。
[0523]
在本技术实施例中，存储器可以是非易失性存储器，比如硬盘(hard disk drive，hdd)或固态硬盘(solid-state drive，ssd)等，还可以是易失性存储器(volatile memory)，例如随机存取存储器(random access memory，ram)。存储器是能够用于携带或存储具有指令或数据结构形式的期望的程序代码并能够由计算机存取的任何介质，但不限于此。本技术实施例中的存储器还可以是电路或者其它任意能够实现存储功能的装置，用于存储程序指令和/或数据。
[0524]
本技术实施例提供一种计算机程序产品，当所述计算机程序产品在设备上运行时，使得所述设备执行上述实施例中的技术方案。其实现原理和技术效果与上述相关实施例类似，此处不再赘述。
[0525]
本技术实施例提供一种计算机可读存储介质，其上存储有程序指令，所述程序指令被设备执行时，使得所述设备执行上述实施例的技术方案。其实现原理和技术效果与上述相关实施例类似，此处不再赘述。
[0526]
综上所述，以上实施例仅用以说明本技术的技术方案，而非对其限制；尽管参照前述实施例对本技术进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本技术各实施例技术方案的范围。

技术特征：

1.一种有缝无线局域网分流nswo业务的认证方法，其特征在于，包括：接收nswo网元发送的第一认证请求消息，所述第一认证请求消息包括订阅隐藏标识符suci；根据所述第一认证请求消息确定进行针对nswo业务的认证；向统一数据管理udm发送第二认证请求消息，所述第二认证请求消息包括所述suci；接收所述udm发送的第二认证响应消息，所述第二认证响应消息包括第二可扩展认证协议认证和密钥协商eap aka’认证向量；根据所述第二认证响应消息向所述nswo网元发送第一认证响应消息，所述第一认证响应消息为eap aka’认证算法对应的认证响应消息；接收所述nswo网元发送的第五认证请求消息；根据所述第五认证请求消息进行针对终端设备的认证。2.根据权利要求1所述的方法，其特征在于，所述根据所述第一认证请求消息确定进行针对nswo业务的认证，包括下列中的至少一种情况：根据所述第一认证请求消息中包括的nswo指示信息，确定进行针对所述nswo业务的认证；所述nswo指示信息用于指示进行针对所述nswo业务的认证；在确定所述第一认证请求消息为新增鉴权服务器功能ausf服务对应的请求消息时，确定进行针对所述nswo业务的认证，所述新增ausf服务用于指示进行针对所述nswo业务的认证；根据所述suci确定进行针对所述nswo业务的认证；根据所述第一认证请求消息确定所述nswo网元的类型或地址，在根据所述nswo网元的类型或地址确定所述nswo网元支持所述nswo业务后，确定进行针对nswo业务的认证。3.根据权利要求1所述的方法，其特征在于，所述suci中包括的订阅永久标识符supi的类型用于指示进行针对所述nswo业务的认证；和/或，所述suci包括业务指示信息，所述业务指示信息用于指示进行针对所述nswo业务的认证。4.根据权利要求1-3中任一项所述的方法，其特征在于，所述第二认证请求消息还包括第五nswo指示信息，所述第五nswo指示信息用于指示进行针对所述nswo业务的认证。5.根据权利要求1-3中任一项所述的方法，其特征在于，所述根据所述第一认证请求消息确定进行针对nswo业务的认证之后，还包括：确定采用eap aka’认证算法；相应的，所述第二认证请求消息还包括算法指示信息，所述算法指示信息用于指示进行eap aka’认证。6.根据权利要求1-5中任一项所述的方法，其特征在于，所述第一认证请求消息还包括接入网设备的第一标识信息，所述接入网设备为所述终端设备连接的接入网设备；所述第一标识信息包括下列中的一项：所述接入网设备的接入网标识；所述接入网设备的接入网标识对应的服务网络名称；预设接入网标识，用于指示进行针对所述nswo业务的认证；
预设服务网络名称，用于指示进行针对所述nswo业务的认证。7.根据权利要求1-6中任一项所述的方法，其特征在于，所述第二认证请求消息还包括接入网设备的第二标识信息，所述接入网设备为所述终端设备连接的接入网设备；所述第二标识信息包括：第一信息或所述第一认证请求消息中携带的第一标识信息；若所述第一认证请求消息中携带的第一标识信息为所述接入网设备的接入网标识，则所述第一信息为所述接入网标识对应的服务网络名称；若所述第一认证请求消息中未携带所述第一标识信息，则所述第一信息为预设接入网标识或预设服务网络名称；所述预设接入网标识或所述预设服务网络名称均用于指示进行针对所述nswo业务的认证。8.根据权利要求1-7中任一项所述的方法，其特征在于，所述第一认证请求消息为用户设备ue认证的认证服务请求消息，所述第一认证响应消息为ue认证的认证服务响应消息。9.根据权利要求1-8中任一项所述的方法，其特征在于，所述第二认证请求消息为用户设备ue认证的得到服务请求消息，所述第二认证响应消息为ue认证的得到服务响应消息。10.根据权利要求1-9中任一项所述的方法，其特征在于，所述第二认证响应消息还包括所述终端设备的订阅永久标识符supi；所述方法还包括：根据所述第五认证请求消息进行针对终端设备的认证成功后，向所述udm发送第一nswo认证结果，所述第一nswo认证结果包括所述supi，和/或接入网设备的接入网标识，和/或所述接入网标识对应的服务网络名称，所述接入网设备为所述终端设备连接的接入网设备。11.根据权利要求10所述的方法，其特征在于，所述第一nswo认证结果包含在用户设备ue认证结果确认消息中。12.根据权利要求1-4、6-11中任一项所述的方法，其特征在于，所述第二eap aka’认证向量不包括密钥ck’和密钥ik’，所述第一认证响应消息包括所述第二eap aka’认证向量。13.根据权利要求1-11中任一项所述的方法，其特征在于，所述第二eap aka’认证向量包括密钥ck’和密钥ik’，所述根据所述第二认证响应消息向所述nswo网元发送第一认证响应消息，包括：删除所述第二eap aka’认证向量中的所述密钥ck’和所述密钥ik’；向所述nswo网元发送所述第一认证响应消息，所述第一认证响应消息包括删除密钥后的所述第二eap aka’认证向量。14.根据权利要求1-11中任一项所述的方法，其特征在于，在所述根据所述第五认证请求消息进行针对终端设备的认证之后，且在收到密钥ck’和密钥ik’后，还包括：不基于所述密钥ck’和所述密钥ik’计算密钥k
ausf
；或者，基于所述密钥ck’和所述密钥ik’计算所述密钥k
ausf
，且不对ausf本地已存储的密钥k
ausf
进行替换。15.根据权利要求14所述的方法，其特征在于，所述方法还包括：删除所述密钥ck’和所述密钥ik’；和/或删除所述密钥k
ausf
。16.根据权利要求1-15中任一项所述的方法，其特征在于，所述方法还包括：
若根据所述第五认证请求消息进行针对终端设备的认证成功后，则向计费网络功能nf发送第二nswo认证结果，所述第二nswo认证结果包括所述终端设备的订阅永久标识符supi，和/或接入网设备的接入网标识，和/或所述接入网标识对应的服务网络名称，所述supi包括在所述第二认证响应消息中，所述接入网设备为所述终端设备连接的接入网设备。17.一种有缝无线局域网分流nswo业务的认证方法，其特征在于，包括：接收鉴权服务器功能ausf发送的第二认证请求消息，所述第二认证请求消息包括订阅隐藏标识符suci；根据所述suci计算得到订阅永久标识符supi；根据所述第二认证请求消息确定采用可扩展认证协议认证和密钥协商eap aka’认证方式；根据所述supi得到第一eap aka’认证向量；向所述ausf发送第二认证响应消息，所述第二认证响应消息包括第二eap aka’认证向量。18.根据权利要求17所述的方法，其特征在于，所述根据所述第二认证请求消息确定采用eap aka’认证方式，包括下列中的至少一种情况：在确定所述第二认证请求消息为新增统一数据管理udm服务对应的请求消息时，确定进行针对所述nswo业务的认证，所述新增udm服务用于指示进行针对所述nswo业务的认证；根据所述第二认证请求消息中的第二信息确定采用eap aka’认证方式，其中，所述第二信息包括下列中的至少一种：所述第二信息为nswo指示信息，所述nswo指示信息用于指示进行针对所述nswo业务的认证；所述第二信息为所述suci，所述suci用于指示进行针对所述nswo业务的认证；所述第二信息为算法指示信息，所述算法指示信息用于指示进行eap aka’认证。19.根据权利要求17或18所述的方法，其特征在于，所述suci中包括的所述supi的类型用于指示进行针对所述nswo业务的认证；和/或，所述suci包括业务指示信息，所述业务指示信息用于指示进行针对所述nswo业务的认证。20.根据权利要求17-19中任一项所述的方法，其特征在于，所述第二eap aka’认证向量不包括密钥ck’和密钥ik’。21.根据权利要求17-20中任一项所述的方法，其特征在于，所述第二认证请求消息还包括接入网设备的第二标识信息，所述接入网设备为终端设备连接的接入网设备；所述第二标识信息包括：第一信息或第一认证请求消息中携带的第一标识信息；所述第一认证请求消息为nswo网元发送给所述ausf的消息；若所述第一认证请求消息中携带的第一标识信息为所述接入网设备的接入网标识，则所述第一信息为所述接入网标识对应的服务网络名称；若所述第一认证请求消息中未携带所述第一标识信息，则所述第一信息为预设接入网标识或预设服务网络名称；所述预设接入网标识或所述预设服务网络名称均用于指示进行
针对所述nswo业务的认证。22.根据权利要求17-21中任一项所述的方法，其特征在于，所述第二认证请求消息为用户设备ue认证的得到服务请求消息，所述第二认证响应消息为ue认证的得到服务响应消息。23.根据权利要求17-22中任一项所述的方法，其特征在于，所述方法还包括：接收所述ausf发送的第一nswo认证结果，所述第一nswo认证结果包括所述supi，和/或接入网设备的接入网标识，和/或所述接入网标识对应的服务网络名称，所述接入网设备为终端设备连接的接入网设备，所述第一nswo认证结果用于指示所述终端设备针对所述nswo业务的认证成功。24.根据权利要求23所述的方法，其特征在于，所述第一nswo认证结果包含在用户设备ue认证结果确认消息中。25.一种有缝无线局域网分流nswo业务的认证方法，其特征在于，包括：在终端设备确定进行nswo业务后，向接入网设备发送订阅隐藏标识符suci；接收nswo网元通过所述接入网设备发送的第三认证请求消息，所述第三认证请求消息为可扩展认证协议认证和密钥协商eap aka'认证算法对应的认证请求消息；使用eap aka'认证算法对网络进行认证校验；在认证校验成功后，通过所述接入网设备向所述nswo网元发送第四认证请求消息。26.根据权利要求25所述的方法，其特征在于，所述suci中包括的订阅永久标识符supi的类型用于指示进行针对所述nswo业务的认证；和/或，所述suci包括业务指示信息，所述业务指示信息用于指示进行针对所述nswo业务的认证。27.根据权利要求25或26所述的方法，其特征在于，在认证校验成功后，所述方法还包括下列中的一项：计算密钥ck’和密钥ik’，之后删除所述密钥ck’和所述密钥ik’；计算密钥ck’和密钥ik’，且不根据所述密钥ck’和所述密钥ik’计算密钥k
ausf
，之后删除所述密钥ck’和所述密钥ik’；计算密钥ck’和密钥ik’，且根据所述密钥ck’和所述密钥ik’计算密钥k
ausf
，之后删除所述密钥ck’和所述密钥ik’，且删除所述密钥k
ausf
，或不对所述终端设备本地存储的密钥k
ausf
进行替换；或者，在认证校验成功后，不计算密钥ck’和密钥ik’。28.根据权利要求25-27中任一项所述的方法，其特征在于，在所述终端设备确定进行nswo业务之前，所述方法还包括：接收所述接入网设备发送的第二nswo指示信息，所述第二nswo指示信息用于指示所述接入网设备支持所述nswo业务；根据所述第二nswo指示信息，确定进行基于5g密钥的认证，或进行基于用户识别卡sim的认证，或进行基于用户首次认证的密钥进行认证。29.一种网络设备，其特征在于，包括处理器、存储器和收发器；所述收发器用于和其他设备通信，所述处理器用于读取所述存储器中的指令并根据所述指令使得所述网络设备执
行如权利要求1-16中任一项所述的方法，或者执行如权利要求17-24中任一项所述的方法。30.一种终端设备，其特征在于，包括处理器、存储器和收发器；所述收发器用于和其他设备通信，所述处理器用于读取所述存储器中的指令并根据所述指令使得所述终端设备执行如权利要求25-28中任一项所述的方法。31.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质存储有计算机指令，当所述计算机指令在电子设备上运行时，使得所述电子设备执行如权利要求1-16中任一项所述的方法，或者执行如权利要求17-24中任一项所述的方法，或者执行如权利要求25-28中任一项所述的方法。

技术总结

本申请实施例适用于通信技术领域，提供了一种NSWO业务的认证方法、设备和存储介质，适用于5G网络。NSWO业务的认证方法包括：在UE确定进行NSWO业务后，向AN设备发送SUCI；AN设备向NSWO网元发送第二请求消息；NSWO网元确定进行针对NSWO业务的认证后，向AUSF发送第一认证请求消息。AUSF确定进行针对NSWO业务的认证后，向UDM发送第二认证请求消息。UDM确定采用EAP AKA’认证方式。之后，UDM、AUSF、NSWO网元、AN设备和UE依次完成基于EAP AKA’认证的认证流程，从而在5G网络中实现了针对NSWO业务的认证。证。证。