入网认证处理方法及装置与流程

入网认证处理方法及装置
1.本技术是申请号为“201610821823.x”，申请日为“2016年9月12日”，题目为“入网认证处理方法及装置”的中国专利申请的分案申请。
技术领域
2.本发明涉及通信领域，具体而言，涉及一种入网认证处理方法及装置。


背景技术：

3.移动通信在二十多年时间里得到了飞速发展，给人们的生活方式、工作方式以及社会政治、经济等各方面都带来了巨大的影响。人类社会进入高效的信息化时代，各个方面业务应用需求呈现爆发式增长，给未来无线移动带宽系统在频率、技术以及运营等各方面都带来了巨大的挑战。
4.未来的移动网络除了为人人通信提供服务外，还将为越来越多的物联网终端提供接入服务。物联网接入给移动网络带来了新的挑战和机遇。不同类型的物联网对网络的需求千差万别，有的要求网络提供高实时高可靠服务，如远程医疗，有的则要求提供有规律的小数据量传输服务，如远程抄表系统。针对不同的业务需求，移动网络可能需要适当优化才能满足业务需求。越来越多的物联网对移动网络提出了越来越多不同的优化需求，其中，有些优化需求还可能相互矛盾，因此，一张融合的核心网越来越无法满足各种不同的物联网需求。
5.随着网络不断升级改造，5g技术的出现，针对网络的隐私性保护要求越来越高，图1是相关技术中未来5g网络接入的示意图。如图1所示，用户设备在服务网络1完成初始注册，服务网络1从用户设备的归属网络获取鉴权认证向量和用户签约数据，服务网络1完成与用户设备之间的相互认证，然后用户设备可以在服务网络2进行附着，然后进行相关的数据业务。其中服务网络1和服务网络2包括接入网和核心网，归属网络包括用户数据中心/鉴权认证中心。
6.图2是相关技术中用户设备接入服务网络保护用户隐私国际移动用户识别码(international mobile subscriber identification number，简称imsi)流程示意图，其中用户设备中和归属网络中均保存用户的imsi，初始的增强隐私移动标识(privacy enhanced mobile subscriber identifier，简称pmsi)，以及对应的kpmsi，其中imsi和pmsi均有相同移动国家码(mobile country code，简称为mcc)和移动网络号(mobile network code，简称为mnc)。
7.步骤s201，用户设备向服务网络发起附着请求消息，所述消息携带pmsi；
8.步骤s202，服务网络根据pmsi的mcc和mnc查询到对应的归属网络，向归属网络发送鉴权认证请求消息，所述消息携带pmsi；
9.步骤s203，归属网络根据pmsi找到对应的imsi，生成对应的安全向量，然后生成下次附着的pmsi_next，其中pmsi_next＝mcc|mnc|截取函数(散列函数(kpmsi，pmsi)，n)，其中kpmsi为散列密钥，n为截取长度，由于pmsi_next可能和已有其他用户设备的pmsi相同，
因此增加索引号为散列次数，索引号从0开始计数，向服务网络发送鉴权认证响应消息，所述消息携带安全向量，加密的pmsi_next，其中加密pmsi_next＝加密函数(pmsi_next|索引号，k1)，其中k1归属网络加密pmsi_next的加密密钥k1，k1＝密钥生成函数(kpmsi，rand)，其中rand为鉴权向量中的随机数；
10.步骤s204，归属网络设备设置：pmsi_pre＝pmsi，pmsi＝pmsi_next，pending标识＝1，其中pending标识＝1时表示目前pmsi无效，pmsi_pre有效；
11.步骤s205，服务网络向用户设备发送用户认证请求消息，所述消息携带鉴权向量中认证令牌autn，用于用户设备认证网络的合法性，所述消息还携带随机数rand以及加密的pmsi_next；
12.步骤s206，用户设备通过autn认证成功后，使用归属网络同样的方法获取k1，解密加密的pmsi_next，并使用k2签名计算pmsi_next，签名令牌acktn＝签名函数(pmsi_next|索引号，k2)，其中k2＝密钥生成函数(kpmsi，签名认证k)，其中签名认证k也分别保存在用户设备中和归属网络中，用户设备向服务网络发送pmsi确认消息，所述消息携带acktn；
13.步骤s207，服务网络向归属网络转发pmsi确认消息，所述消息携带acktn；
14.步骤s208，用户设备设置：pmsi_pre＝pmsi，pmsi＝pmsi_next，如果用户设备下次需要使用pmsi注册，则使用pmsi进行注册；
15.步骤s209，归属网络使用用户设备同样计算方式，验证acktn签名令牌的合法性，设置：pmsi_pre＝pmsi，pmsi＝pmsi_next，pending标识＝0，其中pending标识＝0表明pmsi合法。
16.但是，相关技术的入网流程中没有说明acktn签名认证失败时归属网络应该怎么处理。


技术实现要素：

17.本发明实施例提供了一种入网认证处理方法及装置，以至少解决相关技术的入网流程中没有说明签名认证失败时归属网络如何处理的问题。
18.根据本发明的一个实施例，提供了一种入网认证处理方法，包括：接收用户设备发送的确认消息，其中，所述确认消息携带有所述用户设备根据第一初始增强隐私移动标识pmsi生成的第一签名令牌；验证所述第一签名令牌是否合法；在验证结果为否的情况下，获取pmsi对所述用户设备进行入网认证处理。
19.可选地，获取所述pmsi对所述用户设备进行入网认证处理包括：向所述用户设备发送第一签名令牌认证失败消息，通知所述用户设备重新发起附着请求；根据所述附着请求重新获取所述第一pmsi，对所述用户设备进行入网认证处理。
20.可选地，获取所述pmsi对所述用户设备进行入网认证处理包括：根据所述第一psmi生成第二psmi，并向所述用户设备发送所述第二psmi；根据所述用户设备的反馈，获取所述用户设备根据所述第二psmi生成的第二签名令牌；通过验证所述第二签名令牌的合法性，重新对所述用户设备进行入网认证处理。
21.可选地，通过验证所述第二签名令牌的合法性，重新对所述用户设备进行入网认证处理包括：验证所述第二签名令牌是否合法；在验证结果为否的情况下，向所述用户设备和服务网络发送第二签名令牌认证失败消息，通知所述用户设备不合法；在验证结果为是
的情况下，使用所述第二pmsi替换所述第一pmsi对所述用户设备进行附着处理。
22.可选地，在接收所述用户设备发送的所述确认消息之前，还包括：接收所述用户设备发送的附着请求，其中，所述附着请求携带第一pmsi，所述第一pmsi包括用户数据中心标识；通过所述用户数据中心标识对应的用户数据中心生成加密第一pmsi；将所述加密第一pmsi发送给所述用户设备，其中，所述加密第一pmsi用于生成所述第一签名令牌。
23.可选地，在接收用户设备发送的确认消息之前，还包括：通过使用散列函数散列国际移动用户识别码imsi的方式，获取所述pmsi。
24.可选地，接收用户设备发送的确认消息包括：接收服务网络发送的位置更新请求，其中，所述位置更新请求携带有所述用户设备转发给所述服务网络的所述第一签名令牌。
25.根据本发明的另一个实施例，提供了一种入网认证处理装置，包括：第一接收模块，用于接收用户设备发送的确认消息，其中，所述确认消息携带有所述用户设备根据第一初始增强隐私移动标识pmsi生成的第一签名令牌；验证模块，用于验证所述第一签名令牌是否合法；获取模块，用于在验证结果为否的情况下，获取pmsi对所述用户设备进行入网认证处理。
26.可选地，所述获取模块，还用于向所述用户设备发送第一签名令牌认证失败消息，通知所述用户设备重新发起附着请求；以及根据所述附着请求重新获取所述第一pmsi，对所述用户设备进行入网认证处理。
27.可选地，所述获取模块，还用于根据所述第一psmi生成第二psmi，并向所述用户设备发送所述第二psmi；根据所述用户设备的反馈，获取所述用户设备根据所述第二psmi生成的第二签名令牌；以及通过验证所述第二签名令牌的合法性，重新对所述用户设备进行入网认证处理。
28.可选地，所述获取模块，还用于验证所述第二签名令牌是否合法；在验证结果为否的情况下，向所述用户设备和服务网络发送第二签名令牌认证失败消息，通知所述用户设备不合法；以及在验证结果为是的情况下，使用所述第二pmsi替换所述第一pmsi对所述用户设备进行附着处理。
29.可选地，还包括：第二接收模块，用于接收所述用户设备发送的附着请求，其中，所述附着请求携带第一pmsi，所述第一pmsi包括用户数据中心标识；生成模块，用于通过所述用户数据中心标识对应的用户数据中心生成加密第一pmsi；发送模块，用于将所述加密第一pmsi发送给所述用户设备，其中，所述加密第一pmsi用于生成所述第一签名令牌。
30.可选地，还包括：第二获取模块，用于通过使用散列函数散列国际移动用户识别码imsi的方式，获取所述pmsi。
31.可选地，第一接收模块，还用于接收服务网络发送的位置更新请求，其中，所述位置更新请求携带有所述用户设备转发给所述服务网络的所述第一签名令牌。
32.根据本发明的又一个实施例，还提供了一种存储介质。该存储介质设置为存储用于执行以下步骤的程序代码：接收用户设备发送的确认消息，其中，所述确认消息携带有所述用户设备根据第一初始增强隐私移动标识pmsi生成的第一签名令牌；验证所述第一签名令牌是否合法；在验证结果为否的情况下，获取pmsi对所述用户设备进行入网认证处理。
33.可选地，存储介质还设置为存储用于执行以下步骤的程序代码：获取所述pmsi对所述用户设备进行入网认证处理包括：向所述用户设备发送第一签名令牌认证失败消息，
通知所述用户设备重新发起附着请求；根据所述附着请求重新获取所述第一pmsi，对所述用户设备进行入网认证处理。
34.可选地，存储介质还设置为存储用于执行以下步骤的程序代码：获取所述pmsi对所述用户设备进行入网认证处理包括：根据所述第一psmi生成第二psmi，并向所述用户设备发送所述第二psmi；根据所述用户设备的反馈，获取所述用户设备根据所述第二psmi生成的第二签名令牌；通过验证所述第二签名令牌的合法性，重新对所述用户设备进行入网认证处理。
35.可选地，存储介质还设置为存储用于执行以下步骤的程序代码：通过验证所述第二签名令牌的合法性，重新对所述用户设备进行入网认证处理包括：验证所述第二签名令牌是否合法；在验证结果为否的情况下，向所述用户设备和服务网络发送第二签名令牌认证失败消息，通知所述用户设备不合法；在验证结果为是的情况下，使用所述第二pmsi替换所述第一pmsi对所述用户设备进行附着处理。
36.可选地，存储介质还设置为存储用于执行以下步骤的程序代码：在接收所述用户设备发送的所述确认消息之前，还包括：接收所述用户设备发送的附着请求，其中，所述附着请求携带第一pmsi，所述第一pmsi包括用户数据中心标识；通过所述用户数据中心标识对应的用户数据中心生成加密第一pmsi；将所述加密第一pmsi发送给所述用户设备，其中，所述加密第一pmsi用于生成所述第一签名令牌。
37.可选地，存储介质还设置为存储用于执行以下步骤的程序代码：在接收用户设备发送的确认消息之前，还包括：通过使用散列函数散列国际移动用户识别码imsi的方式，获取所述pmsi。
38.可选地，存储介质还设置为存储用于执行以下步骤的程序代码：接收用户设备发送的确认消息包括：接收服务网络发送的位置更新请求，其中，所述位置更新请求携带有所述用户设备转发给所述服务网络的所述第一签名令牌
39.通过本发明，接收用户设备发送的确认消息，其中，确认消息携带有用户设备根据第一初始增强隐私移动标识pmsi生成的第一签名令牌；验证第一签名令牌是否合法；在验证结果为否的情况下，获取pmsi对用户设备进行入网认证处理。由于在验证第一签名令牌不合法的情况下，也即，签名认证失败的情况下，获取pmsi对用户设备进行入网认证处理，因此，可以解决相关技术的入网流程中没有说明签名认证失败时归属网络如何处理的问题。
附图说明
40.此处所说明的附图用来提供对本发明的进一步理解，构成本技术的一部分，本发明的示意性实施例及其说明用于解释本发明，并不构成对本发明的不当限定。在附图中：
41.图1是相关技术中未来5g网络接入的示意图；
42.图2是相关技术中用户设备接入服务网络保护用户隐私国际移动用户识别码imsi流程示意图；
43.图3是本发明实施例的一种入网认证处理方法的计算机终端的硬件结构框图；
44.图4是根据本发明实施例的入网认证处理方法的流程图；
45.图5是根据本发明实施例的保护用户隐私国际移动用户识别码流程示意图和签名
认证失败处理流程示意图；
46.图6是根据本发明实施例的保护用户隐私国际移动用户识别码签名认证失败处理流程示意图；
47.图7是根据本发明实施例的入网认证处理装置的结构框图；
48.图8是根据本发明实施例的入网认证处理装置的优选结构框图；
49.图9是根据本发明实施例的入网认证处理装置的优选结构框图。
具体实施方式
50.下文中将参考附图并结合实施例来详细说明本发明。需要说明的是，在不冲突的情况下，本技术中的实施例及实施例中的特征可以相互组合。
51.需要说明的是，本发明的说明书和权利要求书及上述附图中的术语“第一”、“第二”等是用于区别类似的对象，而不必用于描述特定的顺序或先后次序。
52.实施例1
53.本技术实施例1所提供的方法实施例可以在计算机终端或者类似的运算装置中执行。以运行在计算机终端上为例，图3是本发明实施例的一种入网认证处理方法的计算机终端的硬件结构框图。如图3所示，计算机终端30可以包括一个或多个(图中仅示出一个)处理器302(处理器302可以包括但不限于微处理器mcu或可编程逻辑器件fpga等的处理装置)、用于存储数据的存储器304、以及用于通信功能的传输装置306。本领域普通技术人员可以理解，图3所示的结构仅为示意，其并不对上述电子装置的结构造成限定。例如，计算机终端30还可包括比图3中所示更多或者更少的组件，或者具有与图3所示不同的配置。
54.存储器304可用于存储应用软件的软件程序以及模块，如本发明实施例中的入网认证处理方法对应的程序指令/模块，处理器302通过运行存储在存储器304内的软件程序以及模块，从而执行各种功能应用以及数据处理，即实现上述的方法。存储器304可包括高速随机存储器，还可包括非易失性存储器，如一个或者多个磁性存储装置、闪存、或者其他非易失性固态存储器。在一些实例中，存储器304可进一步包括相对于处理器302远程设置的存储器，这些远程存储器可以通过网络连接至计算机终端30。上述网络的实例包括但不限于互联网、企业内部网、局域网、移动通信网及其组合。
55.传输装置306用于经由一个网络接收或者发送数据。上述的网络具体实例可包括移动终端30的通信供应商提供的无线网络。在一个实例中，传输装置306包括一个网络适配器(network interface controller，nic)，其可通过基站与其他网络设备相连从而可与互联网进行通讯。在一个实例中，传输装置306可以为射频(radio frequency，rf)模块，其用于通过无线方式与互联网进行通讯。
56.在本实施例中提供了一种运行于上述计算机终端的入网认证处理方法，图4是根据本发明实施例的入网认证处理方法的流程图，如图4所示，该流程包括如下步骤：
57.步骤s402，接收用户设备发送的确认消息，其中，确认消息携带有用户设备根据第一初始增强隐私移动标识pmsi生成的第一签名令牌；
58.步骤s404，验证第一签名令牌是否合法；
59.步骤s406，在验证结果为否的情况下，获取pmsi对用户设备进行入网认证处理。
60.通过上述步骤，由于在验证第一签名令牌不合法的情况下，也即，签名认证失败的
情况下，获取pmsi对用户设备进行入网认证处理，因此，可以解决相关技术的入网流程中没有说明签名认证失败时归属网络如何处理的问题。
61.可选地，获取pmsi对用户设备进行入网认证处理包括：向用户设备发送第一签名令牌认证失败消息，通知用户设备重新发起附着请求；根据附着请求重新获取第一pmsi，对用户设备进行入网认证处理。例如，归属网络认证签名令牌acktn失败后，通过服务网络向用户设备发送acktn认证失败，用户设备使用原始pmsi进行再附着流程。
62.可选地，获取pmsi对用户设备进行入网认证处理包括：根据第一psmi生成第二psmi，并向用户设备发送第二psmi；根据用户设备的反馈，获取用户设备根据第二psmi生成的第二签名令牌；通过验证第二签名令牌的合法性，重新对用户设备进行入网认证处理。
63.可选地，通过验证第二签名令牌的合法性，重新对用户设备进行入网认证处理包括：验证第二签名令牌是否合法；在验证结果为否的情况下，向用户设备和服务网络发送第二签名令牌认证失败消息，通知用户设备不合法；在验证结果为是的情况下，使用第二pmsi替换第一pmsi对用户设备进行附着处理。
64.例如，归属网络认证签名令牌acktn失败后，产生一个pmsi_next_new，将pmsi_next_new发送用户设备给进行再签名认证得到acktn_new，归属网络认证acktn_new成功，设置pmsi为pmsi_next_new，用户设备也设置pmsi为pmsi_next_new。如果认证失败，归属网络向用户设备和服务网络发送acktn再认证失败，服务网络和归属网络将认为用户设备为非法用户，将拒绝用户设备再次发送的附着请求，用户设备认为归属网络非法，不在发起附着请求消息。
65.可选地，在接收用户设备发送的确认消息之前，还包括：接收用户设备发送的附着请求，其中，附着请求携带第一pmsi，第一pmsi包括用户数据中心标识；通过用户数据中心标识对应的用户数据中心生成加密第一pmsi；将加密第一pmsi发送给用户设备，其中，加密第一pmsi用于生成第一签名令牌。通过上述步骤，可以根据用户数据中心标识找到对应的用户数据中，可以解决归属网络存在多个用户数据中心时，在pmsi标识附着时，不能找到对应的用户数据中心的问题。
66.可选地，在接收用户设备发送的确认消息之前，还包括：通过使用散列函数散列国际移动用户识别码imsi的方式，获取pmsi。通过上述步骤，避免归属网络发生故障时pmsi丢失，使得归属网络可以正常工作的。
67.可选地，接收用户设备发送的确认消息包括：接收服务网络发送的位置更新请求，其中，所述位置更新请求携带有所述用户设备转发给所述服务网络的所述第一签名令牌。例如，用户设备从用户认证消息中得到pmsi_next，对pmsi_next进行签名运算得到签名令牌acktn，向服务网络回送用户认证响应消息，消息携带签名令牌acktn，服务网络向归属网络发送位置更新请求，消息携带签名认证令牌acktn，归属网络认证acktn合法，确认pmsi_next的合法性，通过服务网络向用户设备完成附着请求消息，用户设备确定pmsi_next的合法性，使用pmsi_next替换原来的pmsi。通过上述步骤，使得在无法接收到携带第一签名令牌的确认消息时，仍然能接收到第一签名令牌，保证用户设备和归属网络的pmsi不同步。
68.为了方便理解上述实施例，下面进行详细说明。
69.图5是根据本发明实施例的保护用户隐私国际移动用户识别码流程示意图和签名认证失败处理流程示意图，如图5所示，该流程包括如下步骤：
70.步骤s502，用户设备和归属网络保存着：imsi和原始的pmsi，其中原始pmsi＝mcc|mnc|1-2位用户数据中心标识(至少含有1位字母)|8-10位用户标识(字母和数字)，其中8-10位用户标识＝截取函数(散列函数(imsi，kpmsi)，截取长度)，其中截取长度为8-10；
71.步骤s504，用户设备向服务网络1发送初始的附着请求消息，所述消息携pmsi；
72.步骤s506，服务网络根据pmsi的mcc和mnc查询到对应的归属网络，以及根据用户数据中心标识查询到对应归属网络的用户数据中心，以及跟向归属网络用户数据中心发送鉴权认证请求消息，所述消息携带pmsi；
73.步骤s508，归属网络用户数据中心根据pmsi找到对应的imsi，生成对应的安全向量，然后生成下次附着的pmsi_next，其中pmsi_next＝mcc|mnc|用户数据中心标识|截取函数(散列函数(kpmsi，pmsi)，n)，其中kpmsi为散列密钥，n为截取长度，由于pmsi_next可能和已有其他用户设备的pmsi相同，因此增加索引号为散列次数，索引号从0开始计数，设置：pmsi_pre＝pmsi，pmsi＝pmsi_next，pending标识＝1，其中pending标识＝1时表示目前pmsi无效，pmsi_pre有效；
74.步骤s510，归属网络数据中心向服务网络发送鉴权认证响应消息，所述消息携带安全向量，加密的pmsi_next，其中加密pmsi_next＝加密函数(pmsi_next|索引号，k1)，其中k1归属网络加密pmsi_next的加密密钥k1，k1＝密钥生成函数(kpmsi，rand)，其中rand为鉴权向量中的随机数；
75.步骤s512，服务网络向用户设备发送用户认证请求消息，所述消息携带鉴权向量中认证令牌autn，用于用户设备认证网络的合法性，所述消息还携带随机数rand以及加密的pmsi_next；
76.步骤s514，用户设备通过autn认证网络成功后，使用归属网络同样的方法获取k1，解密加密的pmsi_next，并使用k2签名计算pmsi_next，签名令牌acktn＝签名函数(pmsi_next|索引号，k2)，其中k2＝密钥生成函数(kpmsi，签名认证k)，其中签名认证k也分别保存在用户设备中和归属网络中，用户设备向服务网络发送用户认证成功响应消息，所述消息携带acktn和xres；
77.步骤s516，服务网络将收到的xres与安全向量中xres进行比较，如果相等，认证用户设备成功，向归属网络位置更新请求消息，所述消息携带acktn；
78.步骤s518，归属网络使用用户设备同样计算方式，验证acktn签名令牌的合法性，设置：pmsi_pre＝pmsi，pmsi＝pmsi_next，pending标识＝0，其中pending标识＝0表明pmsi合法；
79.步骤s520，归属网络向服务网络回送位置更新响应消息，所述消息携带用户签约数据和pmsi_next；
80.步骤s522，服务网络保存用户签约数据和pmsi_next，向用户设备回送附着响应成功消息；
81.步骤s524，用户设备设置：pmsi_pre＝pmsi，pmsi＝pmsi_next，如果用户设备下次需要使用pmsi注册，则使用pmsi进行注册。
82.以上为用户设备使用pmsi成功附着的流程，以下为归属网络签名认证acktn失败的流程；
83.步骤s518a，归属网络认证acktn失败；
84.步骤s520a，归属网络向服务网络回送位置更新失败响应消息，所述消息携带acktn认证失败原因值；
85.步骤s522a，服务网络向用户设备回送附着失败响应消息，所述消息携带acktn认证失败原因值；
86.步骤s524a，用户设备根据acktn认证失败原因值，获取原始pmsi，或者重新计算原始pmsi，原始pmsi＝mcc|mnc|用户数据中心标识|8-10位用户标识|截取函数(散列函数(imsi，kpmsi)，截取长度),向服务网络发起附着消息，所述消息携带原始pmsi，原始标记；
87.步骤s526a，服务网络根据原始pmsi的mcc和mnc查询到对应的归属网络，以及根据用户数据中心标识查询到对应归属网络的用户数据中心，以及跟向归属网络用户数据中心发送鉴权认证请求消息，所述消息携带原始pmsi，原始标记；
88.步骤s528a，归属网络用户数据中心根据原始标记和原始pmsi找到对应的imsi，生成对应的安全向量，重新计算附着的pmsi_next，其中pmsi_next＝mcc|mnc|用户数据中心标识|截取函数(散列函数(kpmsi，原始pmsi)，n)，其中kpmsi为散列密钥，n为截取长度，由于pmsi_next可能和已有其他用户设备的pmsi相同，因此增加索引号为散列次数，索引号从0开始计数，设置：pmsi_pre＝原始pmsi，pmsi＝pmsi_next，pending标识＝1，其中pending标识＝1时表示目前pmsi无效，pmsi_pre有效；
89.步骤s530a，按照步骤s505-步骤s512完成重新附着流程，其中步骤312中的pmsi_pre＝原始pmsi，其他均为相同的描述。
90.图6是根据本发明实施例的保护用户隐私国际移动用户识别码签名认证失败处理流程示意图，如图6所示，该流程包括如下步骤：
91.步骤s602，按照步骤s502-步骤s516进行附着流程；
92.步骤s604，归属网络签名认证acktn失败；
93.步骤s606，产生新的pmsi_next_new＝mcc|mnc|用户数据中心标识|截取函数(散列函数(kpmsi，pmsi_next)，n)，设置pmsi＝pmsi_next_new，pending标识＝1，其中pending标识＝1时表示目前pmsi无效，pmsi_pre有效；
94.步骤s608，归属网络向服务网络发送pmsi再认证请求消息，所述消息携带加密的pmsi_next_new，其中加密pmsi_next_new＝加密函数(pmsi_next_new|索引号，k1)，其中k1归属网络加密pmsi_next_new的加密密钥k1，k1＝密钥生成函数(kpmsi，rand)，其中rand为鉴权向量中的随机数；
95.步骤s610，服务网络向用户设备发送pmsi用户再认证请求，所述消息携带加密pmsi_next_new；
96.步骤s612，用户设备使用归属网络同样的方法获取k1，解密加密的pmsi_next_new，并使用k2签名计算pmsi_next_new，签名令牌acktn_new＝签名函数(pmsi_next_new|索引号，k2)，其中k2＝密钥生成函数(kpmsi，签名认证k)，其中签名认证k也分别保存在用户设备中和归属网络中，用户设备向服务网络发送pmsi用户再认证响应消息，所述消息携带acktn_new；
97.步骤s614，服务网络向归属网络回送pmsi再认证请求响应消息，所述消息携带acktn_new；
98.步骤s616，归属网络使用用户设备同样计算方式，验证acktn签名令牌的合法；
99.步骤s618，归属网络设置：pmsi＝pmsi_next_new，pending标识＝0，其中pending标识＝0表明pmsi合法；
100.步骤s620，归属网络向服务网络回送位置更新响应消息，所述消息携带用户签约数据和pmsi_next_new；
101.步骤s622，服务网络保存用户签约数据和pmsi_next_new，向用户设备回送附着响应成功消息；
102.步骤s624，用户设备设置：pmsi_pre＝pmsi，pmsi＝pmsi_next_new，如果用户设备下次需要使用pmsi注册，则使用pmsi进行注册。
103.以上为acktn_new签名认证合法的情况，以下为归属网络签名认证acktn_new失败的流程；
104.步骤s616a，归属网络认证acktn_new失败；
105.步骤s618a，归属网络向服务网络回送位置更新失败响应消息，所述消息携带acktn再认证失败原因值；
106.步骤s620a，服务网络向用户设备回送附着失败响应消息，所述消息携带acktn再认证失败原因值，用户设备确定归属网络为非法网络，不再进行重新注册，服务网络和归属网络认定用户设备为非法用户，拒绝非紧急的所有业务请求。
107.通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到根据上述实施例的方法可借助软件加必需的通用硬件平台的方式来实现，当然也可以通过硬件，但很多情况下前者是更佳的实施方式。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质(如rom/ram、磁碟、光盘)中，包括若干指令用以使得一台终端设备(可以是手机，计算机，服务器，或者网络设备等)执行本发明各个实施例所述的方法。
108.实施例2
109.在本实施例中还提供了一种入网认证处理装置，该装置用于实现上述实施例及优选实施方式，已经进行过说明的不再赘述。如以下所使用的，术语“模块”可以实现预定功能的软件和/或硬件的组合。尽管以下实施例所描述的装置较佳地以软件来实现，但是硬件，或者软件和硬件的组合的实现也是可能并被构想的。
110.图7是根据本发明实施例的入网认证处理装置的结构框图，如图7所示，该装置包括：
111.第一接收模块72，用于接收用户设备发送的确认消息，其中，确认消息携带有用户设备根据第一初始增强隐私移动标识pmsi生成的第一签名令牌；
112.验证模块74，连接至上述第一接收模块72，用于验证第一签名令牌是否合法；
113.第一获取模块76，连接至上述验证模块74，用于在验证结果为否的情况下，获取pmsi对用户设备进行入网认证处理。
114.可选地，第一获取模块，还用于向用户设备发送第一签名令牌认证失败消息，通知用户设备重新发起附着请求；以及根据附着请求重新获取第一pmsi，对用户设备进行入网认证处理。
115.可选地，第一获取模块，还用于根据第一psmi生成第二psmi，并向用户设备发送第二psmi；根据用户设备的反馈，获取用户设备根据第二psmi生成的第二签名令牌；以及通过
验证第二签名令牌的合法性，重新对用户设备进行入网认证处理。
116.可选地，第一获取模块，还用于验证第二签名令牌是否合法；在验证结果为否的情况下，向用户设备和服务网络发送第二签名令牌认证失败消息，通知用户设备不合法；以及在验证结果为是的情况下，使用第二pmsi替换第一pmsi对用户设备进行附着处理。
117.图8是根据本发明实施例的入网认证处理装置的优选结构框图，如图8所示，该装置除包括图7所示的所有模块外，还包括：
118.第二接收模块82，用于接收用户设备发送的附着请求，其中，附着请求携带第一pmsi，第一pmsi包括用户数据中心标识；
119.生成模块84，连接至上述第二接收模块82，用于通过用户数据中心标识对应的用户数据中心生成加密第一pmsi；
120.发送模块86，连接至上述生成模块84，用于将加密第一pmsi发送给用户设备，其中，加密第一pmsi用于生成第一签名令牌。
121.图9是根据本发明实施例的入网认证处理装置的优选结构框图，如图9所示，该装置除包括图7和图8所示的所有模块外，还包括：
122.第二获取模块92，用于通过使用散列函数散列国际移动用户识别码imsi的方式，获取pmsi。
123.可选地，第一接收模块，还用于接收服务网络发送的位置更新请求，其中，所述位置更新请求携带有所述用户设备转发给所述服务网络的所述第一签名令牌。
124.需要说明的是，上述各个模块是可以通过软件或硬件来实现的，对于后者，可以通过以下方式实现，但不限于此：上述模块均位于同一处理器中；或者，上述各个模块以任意组合的形式分别位于不同的处理器中。
125.实施例3
126.本发明的实施例还提供了一种存储介质。可选地，在本实施例中，上述存储介质可以被设置为存储用于执行以下步骤的程序代码：
127.s1，接收用户设备发送的确认消息，其中，确认消息携带有用户设备根据第一初始增强隐私移动标识pmsi生成的第一签名令牌；
128.s2，验证第一签名令牌是否合法；
129.s3，在验证结果为否的情况下，获取pmsi对用户设备进行入网认证处理。
130.可选地，存储介质还被设置为存储用于执行以下步骤的程序代码：获取pmsi对用户设备进行入网认证处理包括：
131.s1，向用户设备发送第一签名令牌认证失败消息，通知用户设备重新发起附着请求；
132.s2，根据附着请求重新获取第一pmsi，对用户设备进行入网认证处理。
133.可选地，存储介质还被设置为存储用于执行以下步骤的程序代码：获取pmsi对用户设备进行入网认证处理包括：
134.s1，根据第一psmi生成第二psmi，并向用户设备发送第二psmi；
135.s2，根据用户设备的反馈，获取用户设备根据第二psmi生成的第二签名令牌；
136.s3，通过验证第二签名令牌的合法性，重新对用户设备进行入网认证处理。
137.可选地，存储介质还被设置为存储用于执行以下步骤的程序代码：通过验证第二
签名令牌的合法性，重新对用户设备进行入网认证处理包括：
138.s1，验证第二签名令牌是否合法；
139.s2，在验证结果为否的情况下，向用户设备和服务网络发送第二签名令牌认证失败消息，通知用户设备不合法；
140.s3，在验证结果为是的情况下，使用第二pmsi替换第一pmsi对用户设备进行附着处理。
141.可选地，存储介质还被设置为存储用于执行以下步骤的程序代码：在接收用户设备发送的确认消息之前，还包括：
142.s1，接收用户设备发送的附着请求，其中，附着请求携带第一pmsi，第一pmsi包括用户数据中心标识；
143.s2，通过用户数据中心标识对应的用户数据中心生成加密第一pmsi；
144.s3，将加密第一pmsi发送给用户设备，其中，加密第一pmsi用于生成第一签名令牌。
145.可选地，存储介质还被设置为存储用于执行以下步骤的程序代码：在接收用户设备发送的确认消息之前，还包括：
146.s1，通过使用散列函数散列国际移动用户识别码imsi的方式，获取pmsi。
147.可选地，存储介质还被设置为存储用于执行以下步骤的程序代码：接收用户设备发送的确认消息包括：
148.s1，接收服务网络发送的位置更新请求，其中，所述位置更新请求携带有所述用户设备转发给所述服务网络的所述第一签名令牌。
149.可选地，在本实施例中，上述存储介质可以包括但不限于：u盘、只读存储器(rom，read-only memory)、随机存取存储器(ram，random access memory)、移动硬盘、磁碟或者光盘等各种可以存储程序代码的介质。
150.可选地，在本实施例中，处理器根据存储介质中已存储的程序代码执行：接收用户设备发送的确认消息，其中，确认消息携带有用户设备根据第一初始增强隐私移动标识pmsi生成的第一签名令牌；验证第一签名令牌是否合法；在验证结果为否的情况下，获取pmsi对用户设备进行入网认证处理。
151.可选地，在本实施例中，处理器根据存储介质中已存储的程序代码执行：获取pmsi对用户设备进行入网认证处理包括：向用户设备发送第一签名令牌认证失败消息，通知用户设备重新发起附着请求；根据附着请求重新获取第一pmsi，对用户设备进行入网认证处理。
152.可选地，在本实施例中，处理器根据存储介质中已存储的程序代码执行：获取pmsi对用户设备进行入网认证处理包括：根据第一psmi生成第二psmi，并向用户设备发送第二psmi；根据用户设备的反馈，获取用户设备根据第二psmi生成的第二签名令牌；通过验证第二签名令牌的合法性，重新对用户设备进行入网认证处理。
153.可选地，在本实施例中，处理器根据存储介质中已存储的程序代码执行：通过验证第二签名令牌的合法性，重新对用户设备进行入网认证处理包括：验证第二签名令牌是否合法；在验证结果为否的情况下，向用户设备和服务网络发送第二签名令牌认证失败消息，通知用户设备不合法；在验证结果为是的情况下，使用第二pmsi替换第一pmsi对用户设备
进行附着处理。
154.可选地，在本实施例中，处理器根据存储介质中已存储的程序代码执行：在接收用户设备发送的确认消息之前，还包括：接收用户设备发送的附着请求，其中，附着请求携带第一pmsi，第一pmsi包括用户数据中心标识；通过用户数据中心标识对应的用户数据中心生成加密第一pmsi；将加密第一pmsi发送给用户设备，其中，加密第一pmsi用于生成第一签名令牌。
155.可选地，在本实施例中，处理器根据存储介质中已存储的程序代码执行：在接收用户设备发送的确认消息之前，还包括：通过使用散列函数散列国际移动用户识别码imsi的方式，获取pmsi。
156.可选地，在本实施例中，处理器根据存储介质中已存储的程序代码执行：接收用户设备发送的确认消息包括：接收服务网络发送的位置更新请求，其中，位置更新请求携带有用户设备转发给服务网络的第一签名令牌。
157.可选地，本实施例中的具体示例可以参考上述实施例及可选实施方式中所描述的示例，本实施例在此不再赘述。
158.显然，本领域的技术人员应该明白，上述的本发明的各模块或各步骤可以用通用的计算装置来实现，它们可以集中在单个的计算装置上，或者分布在多个计算装置所组成的网络上，可选地，它们可以用计算装置可执行的程序代码来实现，从而，可以将它们存储在存储装置中由计算装置来执行，并且在某些情况下，可以以不同于此处的顺序执行所示出或描述的步骤，或者将它们分别制作成各个集成电路模块，或者将它们中的多个模块或步骤制作成单个集成电路模块来实现。这样，本发明不限制于任何特定的硬件和软件结合。
159.以上所述仅为本发明的优选实施例而已，并不用于限制本发明，对于本领域的技术人员来说，本发明可以有各种更改和变化。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。