WO2014173053A1 - 一种基于oma dm实现终端认证的方法、终端及服务器 - Google Patents

一种基于oma dm实现终端认证的方法、终端及服务器 Download PDF

Info

Publication number
WO2014173053A1
WO2014173053A1 PCT/CN2013/082196 CN2013082196W WO2014173053A1 WO 2014173053 A1 WO2014173053 A1 WO 2014173053A1 CN 2013082196 W CN2013082196 W CN 2013082196W WO 2014173053 A1 WO2014173053 A1 WO 2014173053A1
Authority
WO
WIPO (PCT)
Prior art keywords
user identity
identity token
terminal
server
device identification
Prior art date
Application number
PCT/CN2013/082196
Other languages
English (en)
French (fr)
Inventor
周黎明
钱煜明
朱科支
冯燕青
Original Assignee
中兴通讯股份有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 中兴通讯股份有限公司 filed Critical 中兴通讯股份有限公司
Priority to US14/786,168 priority Critical patent/US20160105410A1/en
Publication of WO2014173053A1 publication Critical patent/WO2014173053A1/zh

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/12—Applying verification of the received information
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/083—Network architectures or network communication protocols for network security for authentication of entities using passwords
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/60—Context-dependent security
    • H04W12/69—Identity-dependent
    • H04W12/71—Hardware identity
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W4/00—Services specially adapted for wireless communication networks; Facilities therefor
    • H04W4/50—Service provisioning or reconfiguring

Definitions

  • the present invention relates to the field of mobile communications, and in particular, to a method, a terminal, and a server for implementing terminal authentication. Background technique
  • OMA Open Mobile Alliance
  • DM Device Manage protocol stipulates that when a terminal sends a package 1 message to a server, it needs to carry the user's account and password for authentication. In this way, the account and password need to be saved locally on the terminal, which brings security risks. Or let the user enter the account number and password again, which brings about a reduction in user experience. Summary of the invention
  • the invention provides a method, a terminal and a server for implementing terminal authentication based on the OMA DM protocol, so as to ensure user information security in the authentication of the OMA DM.
  • the present invention provides a method for implementing terminal authentication based on an Open Mobile Alliance device management protocol, including:
  • the terminal initiates a registration request to the target server, carrying the username, password, and device identifier; the terminal receives and stores the user identity token generated by the registration;
  • the terminal carries the user identity token and the device identifier to perform authentication in a message initiating a service to the target server.
  • the method further includes: after receiving the registration request, the target server encrypts the user name, password, and device identifier to generate the user identity token, and sends the generated user identity token to the terminal.
  • the target server generates the user identity token by encrypting by a message digest algorithm fifth edition (MD5).
  • the method further includes: the target server generating an expiration date corresponding to the user identity token; the step of the terminal carrying the user identity token and the device identifier for authenticating in a message initiating a service to the target server includes:
  • the terminal carries the user identity token and the device identifier in a request message for initiating a service to the target server;
  • the target server verifies the user identity token and the device identifier, such as verifying the validity period of the user identity token, and if the user identity token is within the validity period, managing the terminal.
  • the method further includes: after receiving the registration request, the target server redirects the registration request to a third-party authentication authentication server for registration, and receives and stores the user successfully generated by the third-party authentication authentication server registration. Identity token.
  • the invention also provides a terminal, comprising:
  • a first module configured to initiate a registration request to the target server, carrying the username, password, and device identifier
  • a second module configured to receive and store the registration generated user identity token; and a third module configured to carry the user identity token and the device identifier for authentication in a message initiating a service to the target server.
  • the user identity token is generated by encryption based on the username, password, and device identification.
  • the invention also provides a server, comprising:
  • a first module configured to send a registration generated user identity token to the terminal after receiving the registration request of the terminal, where the registration request carries a user name, a password, and a device identifier; and a second module configured to After receiving the authentication request that is sent by the terminal and carrying the user identity token and the device identifier, the user identity token and the device identifier are authenticated.
  • the first module includes:
  • a first unit configured to: after receiving the registration request, encrypt the user name, password, and device identifier to generate the user identity token and/or the user identity token corresponding to the validity Period;
  • a second unit configured to send the validity period corresponding to the user identity token generated by the first unit and/or the user identity token to the terminal.
  • the first unit is configured to generate the user identity token by encrypting by a message digest algorithm fifth version (MD5).
  • MD5 message digest algorithm fifth version
  • the invention also provides a server, comprising:
  • a first module configured to: after receiving the registration request of the terminal, redirect the registration request to a third-party authentication authentication server for registration;
  • a second module configured to receive and store a user identity token successfully generated by the third party authentication authentication server registration
  • a third module configured to authenticate the user identity token and the device identifier after receiving the authentication request that is sent by the terminal and carrying the user identity token and the device identifier.
  • the second module is further configured to receive and store an expiration date corresponding to the user identity token successfully generated by the third-party authentication authentication server registration;
  • the third module is further configured to verify the validity period of the user identity token.
  • the present invention provides a method, a terminal, and a server for implementing terminal authentication based on the OMA DM protocol, and performing user identity authentication based on a user identity token (Access Token), thereby providing higher security and a more convenient terminal. Lifecycle management. BRIEF abstract
  • FIG. 1 is a flowchart of a method for implementing terminal authentication according to an embodiment of the present invention
  • FIG. 2 is a schematic diagram of a terminal according to an embodiment of the present invention.
  • FIG. 3 is a schematic diagram of a server according to a preferred embodiment of the present invention.
  • FIG. 4 is a schematic diagram of a server according to another preferred embodiment of the present invention.
  • FIG. 5 is a schematic diagram of a deployment architecture of a system according to an application example of the present invention.
  • FIG. 6 is a flowchart of login registration and service processing of a terminal according to an application example of the present invention. Preferred embodiment of the invention
  • FIG. 1 is a flowchart of a method for implementing terminal authentication according to an embodiment of the present invention. As shown in FIG. 1 , the method in this embodiment includes the following steps:
  • the terminal initiates a registration request to the target server, and carries the username, password, and device identifier.
  • the terminal receives and stores a registration-generated AccessToken (user identity token). S13.
  • the terminal carries the message in a message that initiates a service to the target server.
  • the AccessToken and device ID are authenticated.
  • AccessToken is divided into temporary and permanent, and the temporary validity period can be set by configuration.
  • the generation rule of the AccessToken can be generated by encrypting the MD5 (Message Digest Algorithm Fifth Edition) by forming a character string for the user name (UserName), password (Password), and the device IDD of the terminal (the device number of the system record).
  • MD5 Message Digest Algorithm Fifth Edition
  • Password password
  • the rules of generation are not limited to the way in the illustration.
  • the terminal does not need to save the user account and password locally, but saves the AccessToken string locally, which brings more security.
  • the server can perform more convenient terminal lifecycle management based on the AccessToken and the corresponding validity period. By opening the authentication function to an external server, it can be flexibly connected to a third-party authentication server.
  • FIG. 2 is a schematic diagram of a terminal according to an embodiment of the present invention. As shown in FIG. 2, the terminal in this embodiment may include:
  • a first module configured to initiate a registration request to the target server, carrying the username, password, and device identifier
  • a second module configured to receive and store the registration generated user identity token; and a third module configured to carry the user identity token and the device identification for authentication in a message initiating a service to the target server.
  • the server of this embodiment includes: a first module, configured to: after receiving a registration request of the terminal, send a registration generated user identity token to the terminal, where The registration request carries a user name, a password, and a device identifier; and a second module, configured to receive the authentication request that carries the user identity token and the device identifier sent by the terminal, according to the user identity token and The device identification is authenticated.
  • a first module configured to: after receiving a registration request of the terminal, send a registration generated user identity token to the terminal, where The registration request carries a user name, a password, and a device identifier
  • a second module configured to receive the authentication request that carries the user identity token and the device identifier sent by the terminal, according to the user identity token and The device identification is authenticated.
  • the first module may include
  • a first unit configured to encrypt the username, password, and device identifier to generate an expiration date corresponding to the user identity token and/or the user identity token after receiving the registration request;
  • a second unit configured to send the validity period corresponding to the user identity token and/or the user identity token to the terminal.
  • the first unit is configured to generate the user identity token by encrypting the fifth version (MD5) of the message digest algorithm.
  • FIG. 4 is a schematic diagram of a server (for example, an MDM server) according to another preferred embodiment of the present invention. As shown in FIG. 4, the server in this embodiment may include:
  • a first module configured to: after receiving the registration request of the terminal, redirect the registration request to a third-party authentication authentication server for registration;
  • a second module configured to receive and store a user identity token successfully generated by the third party authentication authentication server registration
  • a third module configured to authenticate the user identity token and the device identifier after receiving the authentication request that is sent by the terminal and carrying the user identity token and the device identifier.
  • the second module is further configured to receive and store an expiration date corresponding to the user identity token successfully generated by the third-party authentication and authentication server registration;
  • the third module is further configured to verify the validity period of the user identity token.
  • FIG. 5 is a schematic diagram of a system according to an application example of the present invention.
  • the system adds a user identity authentication module to the DMServer (Device Management Server) side to store the user's identity.
  • the account password (stored in cipher text) and the corresponding AccessToken (user identity token).
  • the validity period of the AccessToken needs to be saved.
  • the DMServer of the system is mainly divided into two modules in the architecture:
  • Service server Perform OMA DM service, and terminal complete packageO (server-to-terminal notification message), packagel (terminal server-side chain establishment and authentication message), package2
  • Identity authentication server When the user logs in to the terminal for activation for the first time, the user account and password are verified for legality, and the corresponding AccessToken and validity period are generated. The subsequent service checks whether the AccessToken is invalid.
  • Step 101 After the user installs the client, the user first needs to register and activate, and the user inputs the account and password on the client.
  • the client reports the account and password (encrypted to ciphertext through MD5) and the device ID to the MDM (Mobile Device Management) server through the network.
  • MD5 Mobile Device Management
  • Step 102 The MDM server verifies the validity of the user account and the password. If it is not legal, it returns an error to the client and prompts the user. If it is legal, the corresponding AccessToken and validity period are generated according to the rule, and the AccessToken is successfully responded. The message is returned to the client.
  • Step 201 The MDM client initiates a service actively, or initiates a service after receiving a notification (message) message of the MDM server.
  • Step 202 At this time, the client sends a packagel message to the MDM server, but the message carries the AccessToken bound to the terminal.
  • syncml authentication part message is as follows:
  • Step 203 After receiving the packagel message, the MDM server performs a school insurance on the DevicelD and the AccessToken in the message, and checks whether the AccessToken has expired.
  • Step 204 If DevicelD and AccessToken are both valid, the MDM server returns the package2 message to the client, and proceeds to the following step 205; if illegal, the server returns an error to the client, and ends the DM session. If the AccessToken has expired, the error is returned to the client, and the login process is initiated again by the client.
  • Step 205 The client returns package3 (instruction execution result).
  • Step 301 The MDM client initiates a login request to the MDM server, where the request message carries information such as a user account, a password, and a device ID.
  • Step 302 After receiving the request, the MDM server redirects the client to the third party authentication server.
  • Step 303 The MDM client completes the login registration of the third-party authentication server.
  • Step 304 The third-party authentication authentication server returns the result of the successful login to the user.
  • the MDM server the result includes the generated AccessToken and the corresponding validity period.
  • Step 305 The MDM server transparently transmits the authentication result and the AccessToken to the MDM client.
  • the method, the terminal and the server for implementing terminal authentication based on the OMA DM protocol provided by the present invention perform user identity authentication based on the user identity token (Access Token), which brings higher security and is more convenient. Terminal lifecycle management.
  • the user identity token Access Token

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Telephonic Communication Services (AREA)
  • Storage Device Security (AREA)
  • Management, Administration, Business Operations System, And Electronic Commerce (AREA)

Abstract

一种基于OMA DM协议实现终端认证的方法、终端及服务器，该方法包括：终端向目标服务器发起注册请求，携带用户名、密码和设备标识；所述终端接收并存储注册生成的用户身份令牌；以及所述终端在向所述目标服务器发起业务的消息中携带所述用户身份令牌和设备标识进行认证。本发明基于用户身份令牌进行用户的身份认证，带来了更高的安全性以及更方便的终端生命周期管理。

Description

一种基于 OMA DM实现终端认证的方法、 终端及 J!良务器
技术领域
本发明涉及移动通信领域， 特别是涉及一种实现终端认证的方法、 终端 及服务器。 背景技术
目前的 OMA ( Open Mobile Alliance , 开放移动联盟） DM ( Device Manage, 设备管理）协议规定在终端发送 package 1消息到服务端时都需要携 带用户的账号和密码， 以便进行鉴权认证。 此种方式通常情况下需要将账号 和密码保存在终端本地， 带来了安全性上的隐患。 或者再次让用户输入账号 和密码， 带来用户体验的降低。 发明内容
本发明提供一种基于 OMA DM协议实现终端认证的方法、 终端及服务 器， 以在 OMA DM的认证中确保用户信息安全。
为了解决上述技术问题， 本发明提供了一种基于开放移动联盟设备管理 协议实现终端认证的方法， 包括：
终端向目标服务器发起注册请求， 携带用户名、 密码和设备标识； 所述终端接收并存储注册生成的用户身份令牌； 以及
所述终端在向所述目标服务器发起业务的消息中携带所述用户身份令牌 和设备标识进行认证。
该方法还包括： 所述目标服务器接收到所述注册请求后， 对所述用户 名、 密码和设备标识进行加密生成所述用户身份令牌， 将生成的所述用户身 份令牌发送给所述终端。
所述目标服务器是通过消息摘要算法第五版 ( MD5 )进行加密生成所述 用户身份令牌的。 该方法还包括： 所述目标服务器生成所述用户身份令牌对应的有效期； 所述终端在向所述目标服务器发起业务的消息中携带所述用户身份令牌 和设备标识进行认证的步骤包括：
所述终端在向所述目标服务器发起业务的请求消息中携带所述用户身份 令牌和设备标识； 以及
所述目标服务器对所述用户身份令牌和设备标识进行验证， 如通过验证 则验证所述用户身份令牌的有效期， 如所述用户身份令牌在有效期内， 则对 所述终端进行管理。
该方法还包括： 所述目标服务器接收到所述注册请求后， 将所述注册请 求重定向到第三方鉴权认证服务器进行注册， 接收并存储所述第三方鉴权认 证服务器注册成功生成的用户身份令牌。
本发明还提供一种终端， 包括：
第一模块， 其设置成向目标服务器发起注册请求， 携带用户名、 密码和 设备标识；
第二模块， 其设置成接收并存储注册生成的用户身份令牌； 以及 第三模块 , 其设置在向所述目标服务器发起业务的消息中携带所述用户 身份令牌和设备标识进行认证。
所述用户身份令牌是根据所述用户名、 密码和设备标识通过加密生成 的。
本发明还提供一种服务器， 包括：
第一模块， 其设置成接收到终端的注册请求后， 将注册生成的用户身份 令牌发送给所述终端， 所述注册请求携带用户名、 密码和设备标识； 以及 第二模块， 其设置成接收到所述终端发送的携带所述用户身份令牌和设 备标识的认证请求后， 对所述用户身份令牌和设备标识进行认证。
所述第一模块包括：
第一单元， 其设置成接收到所述注册请求后， 对所述用户名、 密码和设 备标识进行加密生成所述用户身份令牌和 /或所述用户身份令牌对应的有效 期； 以及
第二单元， 其设置成将第一单元生成的所述用户身份令牌和 /或所述用 户身份令牌对应的有效期发送给所述终端。
所述第一单元是设置成通过消息摘要算法第五版（MD5 )进行加密生成 所述用户身份令牌的。
本发明还提供一种服务器， 包括：
第一模块， 其设置成接收到终端的注册请求后， 将所述注册请求重定向 到第三方鉴权认证服务器进行注册；
第二模块， 其设置成接收并存储所述第三方鉴权认证服务器注册成功生 成的用户身份令牌； 以及
第三模块， 其设置成接收到所述终端发送的携带所述用户身份令牌和设 备标识的认证请求后， 对所述用户身份令牌和设备标识进行认证。
所述第二模块还设置成接收并存储所述第三方鉴权认证服务器注册成功 生成的用户身份令牌对应的有效期；
所述第三模块还设置成对所述用户身份令牌的有效期进行验证。
综上， 本发明提供一种基于 OMA DM协议实现终端认证的方法、 终端 及服务器， 基于用户身份令牌（Access Token )进行用户的身份认证， 带来了 更高的安全性以及更方便的终端生命周期管理。 附图概述
图 1为本发明实施例的一种实现终端认证的方法的流程图；
图 2为本发明实施例的终端的示意图；
图 3为本发明一优选实施例的服务器的示意图；
图 4为本发明另一优选实施例的服务器的示意图；
图 5为本发明应用示例的***的部署架构示意图；
图 6为本发明应用示例的终端的登陆注册以及业务处理的流程图。 本发明的较佳实施方式
下文中将结合附图对本发明的实施例进行详细说明。 需要说明的是， 在 不冲突的情况下， 本申请中的实施例及实施例中的特征可以相互任意组合。
图 1为本发明实施例的一种实现终端认证的方法的流程图， 如图 1所示 本实施例的方法包括以下步骤：
511、 终端向目标服务器发起注册请求， 携带用户名、 密码和设备标 识；
512、 所述终端接收并存储注册生成的 AccessToken (用户身份令牌 )； S13、 所述终端在向所述目标服务器发起业务的消息中携带所述
AccessToken和设备标识进行认证。
AccessToken 分为临时和永久， 临时的有效期可通过配置设置。 对于 AccessToken 的生成规则 ， 可按照对用 户 名（UserName)、 密码 (Password), 终端的 DevicelD (***记录的设备编号）组成字符串后进行 MD5 (消息摘要算法第五版）加密的方式生成， 此处的生成规则不仅仅限 于举例说明中的方式。
这样， 终端不需要在本地保存用户账号和密码， 而是将 AccessToken字 符串保存在本地， 带来的安全性更高。 服务端可基于 AccessToken和对应的 有效期进行更方便的终端生命周期管理。 通过将认证功能开放给外部服务 器， 可灵活的和第三方的鉴权认证服务器对接。
图 2为本发明实施例的终端的示意图， 如图 2所示， 本实施例的终端可 以包括：
第一模块， 其设置成向目标服务器发起注册请求， 携带用户名、 密码和 设备标识；
第二模块， 其设置成接收并存储注册生成的用户身份令牌； 以及 第三模块， 其设置成在向所述目标服务器发起业务的消息中携带所述用 户身份令牌和设备标识进行认证。
图 3为本发明一优选实施例的一种服务器 (例如， DMServer (设备管理 服务器） ） 的示意图， 如图 3所示， 本实施例的服务器包括： 第一模块， 其设置成接收到终端的注册请求后， 将注册生成的用户身份 令牌发送给所述终端， 所述注册请求中携带用户名、 密码和设备标识； 以及 第二模块， 其设置成接收到所述终端发送的携带所述用户身份令牌和设 备标识的认证请求后， 根据所述用户身份令牌和设备标识进行认证。
在一优选实施例中， 所述第一模块可以包括，
第一单元， 其设置成接收到所述注册请求后， 对所述用户名、 密码和设 备标识进行加密生成所述用户身份令牌和 /或所述用户身份令牌对应的有效 期； 以及
第二单元， 其设置成将所述用户身份令牌和 /或所述用户身份令牌对应 的有效期发送给所述终端。
其中， 所述第一单元是设置成通过消息摘要算法第五版 ( MD5 )进行加 密生成所述用户身份令牌的。
图 4为本发明另一优选实施例的一种服务器（例如， MDM服务端） 的 示意图， 如图 4所示， 本实施例的服务器可以包括：
第一模块， 其设置成接收到终端的注册请求后， 将所述注册请求重定向 到第三方鉴权认证服务器进行注册；
第二模块， 其设置成接收并存储所述第三方鉴权认证服务器注册成功生 成的用户身份令牌； 以及
第三模块， 其设置成接收到所述终端发送的携带所述用户身份令牌和设 备标识的认证请求后， 对所述用户身份令牌和设备标识进行认证。
其中， 所述第二模块还设置成接收并存储所述第三方鉴权认证服务器注 册成功生成的用户身份令牌对应的有效期；
所述第三模块还设置成对所述用户身份令牌的有效期进行验证。
当然， 对功能模块的划分可以根据实施需要有不同的划分。
图 5 为本发明一应用示例的***的示意图， 如图 5 所示， 本***在 DMServer (设备管理服务器）侧增加一个用户身份认证模块， 存储用户的 账号密码（以密文形式存储)以及对应的 AccessToken (用户身份令牌） ， 另 外需要保存 AccessToken的有效期， 本***的 DMServer在架构中主要分两 个模块：
1、 业务服务器： 进行 OMA DM的业务， 和终端完成 packageO (服务端 到终端的通知消息）、 packagel (终端服务端的建链和认证消息）、 package2
(服务端下发到终端的指令消息） 、 package3 (终端上报的指令执行结果消 息） 、 package4 (决定是否继续下发指令用的消息） 的消息收发和交互。
2、 身份认证服务器： 当用户首次登录到终端进行激活时对用户账号和 密码进行合法性验证， 并生成对应的 AccessToken和有效期； 后续业务对 AccessToken是否失效进行校验和检验。
本应用示例的注册 /登录过程如图 6所示， 包括如下：
步骤 101、 用户安装完客户端后， 首先需要进行注册激活， 用户在客户 端输入账号和密码。 客户端通过网络将账号和密码（通过 MD5 等加密为密 文）以及设备 ID等信息上报到 MDM ( Mobile Device Management, 终端设备 管理）服务端。
步骤 102、 MDM服务端对用户账号和密码进行合法性校验， 如果不合 法则返回错误给客户端并提示给用户； 如果合法则根据规则生成对应的 AccessToken和有效期 , 并将该 AccessToken通过成功的响应消息返回给客户 端。
业务处理过程如图 6所示， 包括如下：
步骤 201、 MDM客户端主动发起业务， 或者在接收到 MDM服务端的 notification (通知） 消息 （packageO )后发起业务。
步骤 202、 此时客户端发送 packagel消息到 MDM服务端， 但是消息中 携带的是绑定该终端的 AccessToken。
syncml认证部分消息示例如下：
<Source>
<LocURI>DeviceID</LocURI>
</Source> <Cred>
<Meta>
<Type xmlns='syncml:metinf>accesstoken</Type>
</Meta>
<Data>aLvhZSxpUDQ/XaSZdNw98NSL0ddeX==</Data>
</Cred>
步骤 203、 MDM 服务端在接收到 packagel 消息后， 对消息中的 DevicelD和 AccessToken进行校险， 并检查 AccessToken是否已经失效。
步骤 204、 如 DevicelD和 AccessToken都是合法的 , 则 MDM服务端返 回 package2消息到客户端， 并继续进行以下步骤 205流程； 如非法则服务端 返回错误到客户端， 并结束本次 DM会话。 如 AccessToken已经过期， 则返 回错误到客户端， 并由客户端再次发起登陆流程。
步骤 205、 客户端返回 package3 (指令执行结果） 。
本应用示例中和第三方的鉴权认证服务器对接处理过程如下：
步骤 301、 MDM客户端向 MDM服务端发起登录请求， 请求消息携带用 户账户、 密码和设备 ID等信息。
步骤 302、 MDM服务端接收到请求后， 将客户端重定向到第三方的鉴 权认证服务器。
步骤 303、 MDM客户端完成在第三方鉴权认证服务器的登录注册。 步骤 304、 第三方鉴权认证服务器将用户登陆成功后的结果返回给
MDM服务端， 结果中包括生成的 AccessToken以及对应的有效期。
步骤 305、 MDM服务端将认证结果以及 AccessToken透传给 MDM客户 端。
本领域普通技术人员可以理解上述方法中的全部或部分步骤可通过程序 来指令相关硬件完成， 所述程序可以存储于计算机可读存储介质中， 如只读 存储器、 磁盘或光盘等。 可选地， 上述实施例的全部或部分步骤也可以使用 一个或多个集成电路来实现。 相应地， 上述实施例中的各模块 /单元可以釆 用硬件的形式实现， 也可以釆用软件功能模块的形式实现。 本发明不限制于 任何特定形式的硬件和软件的结合。
以上仅为本发明的优选实施例， 当然， 本发明还可有其他多种实施例， 在不背离本发明精神及其实质的情况下， 熟悉本领域的技术人员当可根据本 发明作出各种相应的改变和变形， 但这些相应的改变和变形都应属于本发明 所附的权利要求的保护范围。
工业实用性
与有关技术相比， 本发明提供的基于 OMA DM协议实现终端认证的方 法、 终端及服务器， 基于用户身份令牌（Access Token )进行用户的身份认 证， 带来了更高的安全性以及更方便的终端生命周期管理。

Claims

权 利 要 求 书
1、 一种基于开放移动联盟设备管理协议实现终端认证的方法， 包括： 终端向目标服务器发起注册请求， 携带用户名、 密码和设备标识； 所述终端接收并存储注册生成的用户身份令牌； 以及
所述终端在向所述目标服务器发起业务的消息中携带所述用户身份令牌 和设备标识进行认证。
2、 如权利要求 1所述的方法， 还包括：
所述目标服务器接收到所述注册请求后， 对所述用户名、 密码和设备标 识进行加密生成所述用户身份令牌， 将生成的所述用户身份令牌发送给所述 终端。
3、 如权利要求 2所述的方法， 其中，
所述目标服务器是通过消息摘要算法第五版 ( MD5 )进行加密生成所述 用户身份令牌的。
4、 如权利要求 2或 3所述的方法，
还包括： 所述目标服务器生成所述用户身份令牌对应的有效期； 所述终端在向所述目标服务器发起业务的消息中携带所述用户身份令牌 和设备标识进行认证的步骤包括：
所述终端在向所述目标服务器发起业务的请求消息中携带所述用户身份 令牌和设备标识； 以及
所述目标服务器对所述用户身份令牌和设备标识进行验证， 如通过验证 则验证所述用户身份令牌的有效期， 如所述用户身份令牌在有效期内， 则对 所述终端进行管理。
5、 如权利要求 1所述的方法， 还包括：
所述目标服务器接收到所述注册请求后， 将所述注册请求重定向到第三 方鉴权认证服务器进行注册， 接收并存储所述第三方鉴权认证服务器注册成 功生成的用户身份令牌。
6、 一种终端， 包括： 第一模块， 其设置成向目标服务器发起注册请求， 携带用户名、 密码和 设备标识；
第二模块， 其设置成接收并存储注册生成的用户身份令牌； 以及 第三模块 , 其设置在向所述目标服务器发起业务的消息中携带所述用户 身份令牌和设备标识进行认证。
7、 如权利要求 6所述的终端， 其中，
所述用户身份令牌是根据所述用户名、 密码和设备标识通过加密生成 的。
8、 一种服务器， 包括：
第一模块， 其设置成接收到终端的注册请求后， 将注册生成的用户身份 令牌发送给所述终端， 所述注册请求携带用户名、 密码和设备标识； 以及 第二模块， 其设置成接收到所述终端发送的携带所述用户身份令牌和设 备标识的认证请求后， 对所述用户身份令牌和设备标识进行认证。
9、 如权利要求 8所述的服务器， 其中， 所述第一模块包括，
第一单元， 其设置成接收到所述注册请求后， 对所述用户名、 密码和设 备标识进行加密生成所述用户身份令牌和 /或所述用户身份令牌对应的有效 期； 以及
第二单元， 其设置成将第一单元生成的所述用户身份令牌和 /或所述用 户身份令牌对应的有效期发送给所述终端。
10、 如权利要求 9所述的服务器， 其中，
所述第一单元是设置成通过消息摘要算法第五版（MD5 )进行加密生成 所述用户身份令牌的。
11、 一种服务器， 包括：
第一模块， 其设置成接收到终端的注册请求后， 将所述注册请求重定向 到第三方鉴权认证服务器进行注册；
第二模块， 其设置成接收并存储所述第三方鉴权认证服务器注册成功生 成的用户身份令牌； 以及 第三模块， 其设置成接收到所述终端发送的携带所述用户身份令牌和设 备标识的认证请求后， 对所述用户身份令牌和设备标识进行认证。
12、 如权利要求 11所述的服务器， 其中，
所述第二模块还设置成接收并存储所述第三方鉴权认证服务器注册成功 生成的用户身份令牌对应的有效期；
所述第三模块还设置成对所述用户身份令牌的有效期进行验证。
PCT/CN2013/082196 2013-04-23 2013-08-23 一种基于oma dm实现终端认证的方法、终端及服务器 WO2014173053A1 (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
US14/786,168 US20160105410A1 (en) 2013-04-23 2013-08-23 OMA DM Based Terminal Authentication Method, Terminal and Server

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN201310143538.3A CN104125565A (zh) 2013-04-23 2013-04-23 一种基于oma dm实现终端认证的方法、终端及服务器
CN201310143538.3 2013-04-23

Publications (1)

Publication Number Publication Date
WO2014173053A1 true WO2014173053A1 (zh) 2014-10-30

Family

ID=51770799

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2013/082196 WO2014173053A1 (zh) 2013-04-23 2013-08-23 一种基于oma dm实现终端认证的方法、终端及服务器

Country Status (3)

Country Link
US (1) US20160105410A1 (zh)
CN (1) CN104125565A (zh)
WO (1) WO2014173053A1 (zh)

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN112836202A (zh) * 2021-02-01 2021-05-25 长沙市到家悠享网络科技有限公司 信息处理方法及装置、服务器
US11233649B2 (en) 2016-12-22 2022-01-25 Huawei Technologies Co., Ltd. Application program authorization method, terminal, and server
CN114385995A (zh) * 2022-01-06 2022-04-22 徐工汉云技术股份有限公司 一种基于Handle的标识解析微服务接入工业互联网的方法及标识服务***

Families Citing this family (32)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN105337941B (zh) * 2014-08-04 2019-01-15 阿里巴巴集团控股有限公司 一种设备标识提供方法及装置
US9680816B2 (en) * 2014-10-14 2017-06-13 Cisco Technology, Inc. Attesting authenticity of infrastructure modules
CN105574041B (zh) 2014-10-16 2020-07-21 阿里巴巴集团控股有限公司 一种数据重组方法和装置
CN105630345B (zh) 2014-11-06 2019-02-19 阿里巴巴集团控股有限公司 一种控制显示方向的方法和设备
CN105592048B (zh) * 2015-09-02 2019-03-01 新华三技术有限公司 一种认证的方法及装置
CN105391696B (zh) * 2015-10-20 2019-01-25 山东泰信电子股份有限公司 终端注册、校验方法及终端注册、校验***
CN105391695B (zh) * 2015-10-20 2018-12-14 山东泰信电子股份有限公司 一种终端注册方法及校验方法
CN105956423B (zh) * 2016-04-21 2019-03-29 网宿科技股份有限公司 认证方法及装置
CN106250078A (zh) * 2016-07-26 2016-12-21 青岛海信电器股份有限公司 一种显示终端控制方法及设备
CN107026832B (zh) * 2016-10-10 2021-01-15 创新先进技术有限公司 账户登录方法、设备和服务器
CN106411501B (zh) * 2016-10-28 2019-12-03 美的智慧家居科技有限公司 权限令牌生成方法、***及其设备
CN109996219B (zh) * 2018-01-02 2022-05-06 ***通信有限公司研究院 一种物联网鉴权方法、网络设备及终端
CN108667800B (zh) * 2018-03-30 2020-08-28 北京明朝万达科技股份有限公司 一种访问权限的认证方法及装置
CN109005158B (zh) * 2018-07-10 2020-08-11 成都理工大学 基于模糊保险箱的动态手势认证***的认证方法
CN109041205A (zh) * 2018-08-23 2018-12-18 刘高峰 客户端注册方法、装置及***
CN110912959B (zh) * 2018-09-18 2023-05-30 深圳市鸿合创新信息技术有限责任公司 一种设备接入方法及装置、管控***、电子设备
CN109587169B (zh) * 2018-12-29 2022-12-13 亿阳安全技术有限公司 一种服务准入的管理方法及装置
CN110062005A (zh) * 2019-04-30 2019-07-26 郝向伟 用户终端、服务器、验证***及方法
CN110381506A (zh) * 2019-07-24 2019-10-25 深圳市商汤科技有限公司 接入方法及装置、电子设备和存储介质
CN110536293A (zh) * 2019-08-15 2019-12-03 中兴通讯股份有限公司 访问闭合访问组的方法、装置和***
CN111181913B (zh) * 2019-09-23 2022-02-18 腾讯科技（深圳）有限公司 一种信息验证方法及装置
CN111031013B (zh) * 2019-11-26 2022-06-07 南京领行科技股份有限公司 应用认证方式确定方法、电子设备及存储介质
CN111131300B (zh) * 2019-12-31 2022-06-17 上海移为通信技术股份有限公司 通信方法、终端及服务器
CN111586024B (zh) * 2020-04-30 2022-06-14 广州市百果园信息技术有限公司 一种认证方法、设备和存储介质
CN113630363B (zh) * 2020-05-06 2023-09-08 福建省天奕网络科技有限公司 分布式令牌鉴权方法、存储介质
CN112286110A (zh) * 2020-11-04 2021-01-29 上海美家美沪装饰科技有限公司 一种智慧型家居自适应交互控制***
CN112615827B (zh) * 2020-12-08 2022-11-01 企查查科技有限公司 安全账号的使用方法、设备和存储介质
CN114629672A (zh) * 2020-12-14 2022-06-14 中国电信股份有限公司 基于令牌验证提高语音通话的安全性的方法、***、以及存储介质
CN113806721A (zh) * 2021-09-24 2021-12-17 深信服科技股份有限公司 一种接入认证方法、装置、设备及计算机可读存储介质
CN114500074B (zh) * 2022-02-11 2024-04-12 京东科技信息技术有限公司 单点***安全访问方法、装置及相关设备
CN115102769A (zh) * 2022-06-24 2022-09-23 国家石油天然气管网集团有限公司 Scada***接入认证方法、装置、设备和存储介质
CN116074014A (zh) * 2022-11-25 2023-05-05 四川启睿克科技有限公司 一种多应用服务器统一认证方法及***

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2008027653A1 (en) * 2006-08-28 2008-03-06 Motorola, Inc. Method and apparatus for conforming integrity of a client device
CN101335626A (zh) * 2008-08-06 2008-12-31 ***集团宽带业务应用国家工程实验室有限公司 多级认证方法和多级认证***
CN101582768A (zh) * 2009-06-12 2009-11-18 中兴通讯股份有限公司 一种电子广告***中的登录认证方法及***
CN102017572A (zh) * 2008-04-25 2011-04-13 诺基亚公司 用于提供单一服务签入的方法、设备和计算机程序产品
CN102047709A (zh) * 2008-06-02 2011-05-04 微软公司 可信设备专用认证

Family Cites Families (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20070276837A1 (en) * 2006-05-24 2007-11-29 Bodin William K Content subscription
US8200968B2 (en) * 2007-12-20 2012-06-12 The Directv Group, Inc. Method and apparatus for communicating between a requestor and a user receiving device using a user device locating module
CN102201915B (zh) * 2010-03-22 2014-05-21 ***通信集团公司 一种基于单点登录的终端认证方法和装置
US9286455B2 (en) * 2012-10-04 2016-03-15 Msi Security, Ltd. Real identity authentication
US20140173695A1 (en) * 2012-12-18 2014-06-19 Google Inc. Token based account access

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2008027653A1 (en) * 2006-08-28 2008-03-06 Motorola, Inc. Method and apparatus for conforming integrity of a client device
CN102017572A (zh) * 2008-04-25 2011-04-13 诺基亚公司 用于提供单一服务签入的方法、设备和计算机程序产品
CN102047709A (zh) * 2008-06-02 2011-05-04 微软公司 可信设备专用认证
CN101335626A (zh) * 2008-08-06 2008-12-31 ***集团宽带业务应用国家工程实验室有限公司 多级认证方法和多级认证***
CN101582768A (zh) * 2009-06-12 2009-11-18 中兴通讯股份有限公司 一种电子广告***中的登录认证方法及***

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US11233649B2 (en) 2016-12-22 2022-01-25 Huawei Technologies Co., Ltd. Application program authorization method, terminal, and server
CN112836202A (zh) * 2021-02-01 2021-05-25 长沙市到家悠享网络科技有限公司 信息处理方法及装置、服务器
CN114385995A (zh) * 2022-01-06 2022-04-22 徐工汉云技术股份有限公司 一种基于Handle的标识解析微服务接入工业互联网的方法及标识服务***
CN114385995B (zh) * 2022-01-06 2024-05-17 徐工汉云技术股份有限公司 一种基于Handle的标识解析微服务接入工业互联网的方法及标识服务***

Also Published As

Publication number Publication date
US20160105410A1 (en) 2016-04-14
CN104125565A (zh) 2014-10-29

Similar Documents

Publication Publication Date Title
WO2014173053A1 (zh) 一种基于oma dm实现终端认证的方法、终端及服务器
KR102018971B1 (ko) 네트워크 액세스 디바이스가 무선 네트워크 액세스 포인트를 액세스하게 하기 위한 방법, 네트워크 액세스 디바이스, 애플리케이션 서버 및 비휘발성 컴퓨터 판독가능 저장 매체
Hsu et al. Reconfigurable security: Edge-computing-based framework for IoT
US9621355B1 (en) Securely authorizing client applications on devices to hosted services
US20170353442A1 (en) Proximity-based authentication
EP2255507B1 (en) A system and method for securely issuing subscription credentials to communication devices
US20230070253A1 (en) Methods and systems for authenticating devices using 3gpp network access credentials for providing mec services
KR102134302B1 (ko) 무선 네트워크 접속 방법 및 장치, 및 저장 매체
JP6086987B2 (ja) ホットスポットネットワークにおける未知のデバイスに対する制限付き証明書登録
JP5745690B2 (ja) マルチテナントサービスプロバイダによるダイナミックプラットフォームの再構成
CN111698225B (zh) 一种适用于电力调度控制***的应用服务认证加密方法
JP2014531163A (ja) サードパーティーアプリケーションの集中型セキュアマネージメント方法、システム、および対応する通信システム
KR20050064119A (ko) 인터넷접속을 위한 확장인증프로토콜 인증시 단말에서의서버인증서 유효성 검증 방법
CA2986223A1 (en) Method and apparatus for initial certificate enrollment in a wireless communication system
US20210314293A1 (en) Method and system for using tunnel extensible authentication protocol (teap) for self-sovereign identity based authentication
US10516653B2 (en) Public key pinning for private networks
JP2017157984A (ja) 通信システム、ハードウェアセキュリティモジュール、端末装置、通信方法、及びプログラム
ES2769091T3 (es) Procedimiento de securización y de autentificación de una telecomunicación
Togan et al. A smart-phone based privacy-preserving security framework for IoT devices
CN108886530B (zh) 企业移动管理中移动设备的激活方法和移动设备
WO2020020008A1 (zh) 一种鉴权方法及鉴权***
WO2019056971A1 (zh) 一种鉴权方法及设备
JP2020120173A (ja) 電子署名システム、証明書発行システム、証明書発行方法及びプログラム
JP4499575B2 (ja) ネットワークセキュリティ方法およびネットワークセキュリティシステム
CN114615309B (zh) 客户端接入控制方法、装置、***、电子设备及存储介质

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 13882796

Country of ref document: EP

Kind code of ref document: A1

WWE Wipo information: entry into national phase

Ref document number: 14786168

Country of ref document: US

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 13882796

Country of ref document: EP

Kind code of ref document: A1