一种安全接口调用方法、装置及系统的利记博彩app

专利名称：一种安全接口调用方法、装置及系统的利记博彩app
技术领域：
本发明涉及通信技术领域，尤其涉及一种安全接口调用方法、装置及系统。
背景技术：
通用业务接口 (USI, Universal Services Interface)系统是微波接入全 3求互通i仑i云 (WiMAX ， Worldwide Interoperability Microwave Access Forum)网络将业务能力开放给网内或网外应用服务器的接口 。通过调用USI 提供的业务能力接口 ，应用开发针对WiMAX接入用户的业务将变的更简单， 并可以更加方便的为WiMAX接入用户提供个性化的服务。WiMAX网络通过 USI系统开放的能力包括服务质量(QoS, Quality of Service)、计费、位置 服务等。
在应用访问USI系统时，需要携带用户的身份标识参数，WiMAX网络可 以根据该身份标识参数查询到操作的用户； 一般这个标识是WiMAX网络分配 给用户的，用于提供给第三方系统，令第三方系统调用WiMAX网络提供的 USI接口时标识操作的对象(用户)，本发明称该标识为WiMAX网络提供给 用户的业务标识，简称用户业务标识。WiMAX网络可以根据该用户业务标识 查询到应用需要操作的用户，从而可以对该用户进行应用请求的操作。
一般情况下，用户和应用之间是进行应用层交互，因此用户业务标识也 是由用户提供给应用服务器，应用服务器通过用户提供的业务标识调用USI接 口，完成特定的业务逻辑，比如位置信息查询、计费等。
在实现现有技术的过程中，发明人发现上述操作流程存在如下问题在应用调用USI接口时，网络没有对用户提供给应用的业务标识进行认 证，也没有对应用对用户的操作(即对应用的接口调用)进行认证的过程， 比如用户有可能提供其他用户的业务标识给应用，或应用服务器(来自非网 络信任域)提供的用户业务标识没有经过用户授权，并调用了没有经过用户 授权的接口 (如对用户的扣费接口 )，因此现有的USI访问机制存在安全问 题。
本文所述的应用包括业务提供商或应用提供商。

发明内容
本发明实施例提供一种安全接口调用方法、装置及系统，通过在接口调 用过程中对用户业务标识进行认证，有效保证了接口调用的安全。
本发明实施例是通过以下技术方案实现的 本发明实施例提供一种安全接口调用方法，包括
接口接收到应用发送的携带有用户业务标识和用户身份信息的接口调用 请求消息；
根据所述接收的用户身份信息对所述用户业务标识进行认证。 本发明实施例提供一种用户终端，包括
用户身份信息生成单元，用于根据用户终端与网络的共享密钥或利用共 享密钥派生出的密钥计算生成用户身份信息； 信息交互单元，用于与应用设备交互信息；
认证信息上报单元，用于在所述与应用设备交互的信息中上报包括用户 业务标识及用户身份信息的认证相关信息。
本发明实施例提供一种应用服务器，包括
认证信息接收单元，用于接收用户终端上报的包含用户业务标识及用户 身份信息的认证相关信息；
^接口调用单元，用于才艮据所述用户业务标识调用相关4^口 ，并在接口调用请求消息中携带所述接收的用户业务标识及用户身份信息。
本发明实施例提供一种接口调用认证系统，包括
接收单元，用于接收携带有用户业务标识及用户身份信息的接口调用请 求消息；
用户业务标识认证单元，用于根据所述接收的用户身份信息对所述用户
业务标识进行认证。
应用认证单元，用于对应用的身份及应用的接口调用进行认证。
本发明实施例提供一种安全接口调用系统，包括
应用服务器，用于在接口调用请求消息中携带用户业务标识及用户身份 信息，将所述接口调用请求消息发送给所述接口调用认证系统；
接口调用认证系统，用于根据所述接口调用请求消息中的用户身份信息 对所述用户业务标识进fiS人证。
由上述本发明实施例提供的技术方案可以看出，本发明实施例通过在接 口调用过程中携带用户业务标识和用户身份信息，根据该用户身份信息对用 户业务标识进行认证，有效保证了接口调用的安全。


图1为本发明实施方式 一所述安全接口调用方法流程图2为本发明实施方式一对用户业务标识进行认证流程图3为本发明实施方式二所述安全接口调用方法流程图4为本发明实施例一安全接口调用操作流程图5为本发明实施例二安全接口调用操作流程图6为本发明实施方式四所述用户终端模块示意图7为本发明实施方式五所述应用服务器模块示意图8为本发明实施方式六所述接口调用^人证系统才莫块示意图。
具体实施例方式
下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行 清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而 不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做 出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。
本发明实施例通过在应用调用接口时在接口调用请求消息中携带用户业 务标识和用户身份信息，使得网络可以根据该用户身份信息对用户业务标识 进行认证。另外，为了实现对应用进行认证，在应用调用接口时可以同时携 带应用身份信息，网络可以根据该应用的身份信息和用户配置策略信息对应 用进行认证。
下面以对USI接口的调用为例对本发明的实施方案进行详细描述，本领域 技术人员可知，本发明实施例的方案并不局限于USl接口调用。
本发明实施方式一提供一种安全接口调用方法，如图1所示，包括如下步
骤
步骤1:用户终端在登入网络的认证过程中，用户终端和网络产生共享密
钥；
以产生USI相关密钥为例，基于^人证过程用户终端和网络产生USI相关密 钥，具体USI相关密钥可以按照以下方式派生在认证成功情况下，用户终端 和网络(一般为AAA服务器)产生主会话密钥(MSK, Master Session Key) /扩展主会话密钥(EMSK， Extended Master Session Key),用户终 端以及网络可以按照规定的方式，利用MSK/EMSK派生出共享密钥，即USI 相关密钥(USI-RK)，具体USI-RK的派生可以举例如下
USI-RK = hash (EMSK);或者USI-RK = hash (MSK);或者USI-RK = hash (EMSK+MSK);
9其中hash为任意哈希函数，也可以为其它函数，或者与MSK/EMSK直接相等。
网络保存用户终端的网络身份如NAI、用户业务标识和用户IP地址、网络 与用户终端的共享密钥等信息。
步骤2:用户终端与应用进行应用层交互，应用获取用户身份信息及用户 业务标识。
根据应用业务逻辑(如应用需要访问USI接口系统)，应用需要向用户终 端请求用户业务标识和用户身份信息，或者是用户终端主动向应用上报用户 业务标识和用户身份信息。
所述用户业务标识可以为URI (Uniform Resource Identifiers,通用资源 标识符，如IETF rfc2396中定义)才各式，由用户名(username )和域名 (realm)两部分组成，用户名部分为了保护用户隐私可以为一串字符串，域 名部分标识了用户的归属网络，应用可以根据用户业务标识中的域名部分来 判断用户归属的网络服务提供商和其提供的USI系统地址。用户业务标识由用 户的归属网络提供商分配，并且在归属网络(如用户归属AAA服务器)中保 存有用户业务标识以及用户业务标识与网络接入标识(Network Access Identifier ， NAI)之间的对应关系。
所述用户身份信息用于网络对用户的业务标识进行认证，可以包括用户 数字签名和/或I P地址信息。
所述的用户数字签名为利用用户终端与网络的共享密钥计算生成的， 用户终端和网络计算所述用户数字签名时使用一致的算法(如MD5摘要算 法)。计算时还可以输入用户业务标识或者是应用层参数。
也可以根据应用的标识及用户终端与网络的共享密钥派生出该应用专用
的密钥，利用该派生出的应用专用的密钥来计算该应用专用的用户身份信 白、当用户身份信息是用户数字签名时，可以将该用户数字签名包含在用户 业务标识中，如包含在用户业务标识的用户名中，这样可以不用单独的参数 传递用户身4分信息。
步骤3:应用调用USI接口 ，在接口调用请求消息中携带用户业务标识和 用户身份信息，请求对用户业务标识进行认证；
所述接口调用请求消息中还可以携带应用的标识(使用应用专用的密钥 计算用户身份信息的情形)以及需要的应用层参数(计算用户身份信息时包 含应用层参数的情形)。
所述USI接口可以是USI系统提供的专门用于对用户业务标识进行认证的 接口，也可以为一般的业务调用接口。
通过两种接口进行业务标识认证的不同之处在于所述专门的接口通过 消息类型标识让USI系统对用户业务标识进行i/a正，并通过专门的返回消息通 知应用认证结果；而所述一般的业务调用接口在业务调用时是通过一个标志 位(即在调用请求相关消息中增加一个标识)让USI系统对用户业务标识进行 认证，并随业务调用的访问消息返回认证结果。两种都要求消息中携带用户 的业务标识及用户身份信息。
步骤4:网络根据应用提供的用户身份信息对用户业务标识进行认证；
网纟各对用户业务标识的i人i正可以由用户业务标识^^正单元完成，该iU正 单元可以位于USI系统内部，或者位于USI系统外部(如位于AAA中)，对此 本发明实施例不做限定，认证单元的部署位置并不影响本发明的实施，本实 施方式中以认证系统位于USI系统内部为例进行说明。
USI系统对其进行^人证的具体流程如图2所示，包括
步骤21: USI系统获取用户业务标识和用户身份信息；
若USI没有获取到所述用户业务标识和用户身份信息，则USI系统可以返 回认证失败消息给应用，可以在该认证失败消息中携带失败原因的信息(如缺少用户业务标识的认证信息)。
若USI系统获取到所述用户业务标识和用户身份信息，则执行步骤22; 可选地包括获取应用的标识和应用层参数。
步骤22:在USI系统获取了上述用户业务标识和用户身份信息后，根据用 户业务标识或者IP地址信息(如果包含)检查用户终端是否在USI系统注册；
USI系统要求用户终端在接入网络时向USI系统注册，用户终端向USI系 统注册时USI系统保存用户的网络身份如NAI、用户业务标识、用户IP地址以 及网络与用户终端的共享密钥。
若USI系统确定用户终端没有注册，则可以返回认证失败消息给应用，可 以在该认证失败消息中携带失败原因的信息。
若USI系统确定用户终端已经注册，则执行步骤23;
步骤23: USI系统根据用户身份信息对用户业务标识进行认证；
所述USI系统将用户身份信息和用户业务标识，可选的还包括应用的标识 和应用层参数，发送给用户业务标识认证单元要求进行用户业务标识认证， 认证过程包括
如果用户身份信息是用户数字签名，则认证单元根据用户业务标识或是 IP地址(如果包含)查询到注册信息中的共享密钥，通过共享密钥或利用共 享密钥派生出的应用的专用密钥(认证单元才艮据与用户终端相同的算法计算 得到)使用预先设定的与用户终端一致的算法，包含与用户终端相同的参 数，计算出用户数字签名，将计算得到的用户数字签名与接口调用请求消息 中携带的用户数字签名比较，如果一致，则表示用户业务标识认证通过，否 则iU正失败；
如果用户身份信息为IP地址，则直接利用接口调用中的用户IP地址作为 索引，在注册信息中查找到该IP地址对应的用户业务标识，与接口调用中携 带的用户业务标识进行比较，或以接口调用中携带的用户业务标识作为索
12引，在注册信息中查找到对应的IP地址，与接口调用中携带的IP地址进行比
较，如果一致则认证通过，否则认证失败；
如果用户身份信息同时包含用户数字签名和IP地址信息，则进行上述的 两个认证过程。任何一个认证不通过，则表明i/v证失败，两个认证均通过， 则表明认证成功。
若上述认证通过，则可以返回认证成功消息给应用。
步骤5:认证通过后，应用可以保存用户应用层标识和用户业务标识的对 应关系，这样无需每次都请求USI系统进行用户的业务标识认证。
可选的，如果用户业务标识认证通过，并且使用的是应用的专用密钥来 计算用户数字签名，则USI将应用的专用密钥发送给应用，应用利用该专用密 钥作为与用户终端通信的共享密钥，对应用与用户终端之间的消息或数据进 行保护。
上述过程实现了应用调用USI接口时对用户业务标识的认证，在实际操作 中为了进一步保证安全性，可以在对用户业务标识进行认证的同时对应用进 ^亍^人"i正，如实施方式二所述。
实施方式二，与实施方式一的区别在于，在应用调用USI接口时携带用户 业务标识和用户身份信息的同时，还携带应用身份信息，USI系统对用户业务 标识的认i正过程同实施方式一所述，此处不再赘述，USI系统可以才艮据应用身 份信息及用户策略数据配置信息对应用进行认证。所述对应用的认证包括网 络对应用身份的认证和对应用对用户的操作的认证(即对应用的接口调用的 认证)。如图3所示，具体包括如下步骤
步骤31:应用调用USI接口时携带用户业务标识和用户身份信息，以及应 用身份信息；
步骤32:网络根据应用身份信息对应用身份进行认证；
所述网络对应用身份进行认证是指，网络提供商验证是否允许这个应用
13调用网络提供的接口 ，具体认证过程为
应用在调用接口时需要携带应用的身份信息，用于USI系统确认应用的身 份，只有经过与网络运营商进行签约后运行访问USI系统的应用提供商才可以 访问USI接口。对应用身份的认证技术属于现有技术，本发明实施例不啦文限 定，例如可以采用证书或是共享密钥的公知认证技术进行身份认证。
应用身份认证通过后执行步骤33,否则，返回认证失败消息给应用，可 以在该认证失败消息中携带失败原因的信息；
步骤33:网络根据应用提供的用户身份信息对用户业务标识进行认证； 对用户业务标识的具体认证过程同实施方式一中所述，此处不再赘述。 在对用户业务标识^人证成功后#1行步骤34,否则返回i人i正失败消息给应 用，可以在该认证失败消息中携带失败原因的信息。 步骤34: USI系统对应用的接口调用进行认证；
在上述应用身份认证及用户业务标识认证成功后，还需要对是否允许应 用调用这个特定的接口对某个特定的用户终端进行操作执行用户层面的认 证。即应用调用接口对用户终端的操作还需要经过用户终端的允许，需要进 行用户层的鉴权。可以通过查询用户终端的配置策略实现，所述的用户终端 配置策略可以保存在USI系统内或是AAA服务器上或者独立布置服务器(用户 策略服务器)，如果用户配置策略信息不在USI系统内，则USI系统要与AAA 服务器或是用户终端配置策略服务器进行消息交互，利用用户业务标识或者 是用户NAI进行索引，通过消息(XCAP或是HTTP get消息)获取用户终端的 配置策略数据，用于确定是否允许应用对用户终端的操作。若认证通过，则 返回认证成功消息给应用；若认证失败，则返回认证失败消息给应用。
上述过程实现了应用调用USI接口时，网络对用户业务标识的认证以及对 应用的认证，保证了接口调用的安全性。
下面以具体的实施例对本发明实施方式进行详细i兑明。实施例一，该实施例的应用场景为用户A是WiMAX网络用户，同时也 是付费视频应用B用户，应用B可以调用用户A归属的WiMAX网络的USI接 口；用户A在应用B上观看付费视频，并通过WiMAX网络的帐户进行扣费，应 用B通过WiMAX网络提供的USI预扣费接口进行扣费，在应用B调用USI预扣 费接口时需要对用户A的业务标识进行认证，如图4所示，具体流程包括
41、 用户A登入WiMAX网络后，向USI系统发起注册； 注册信息包括用户网络身份信息，如NAI、用户的IP地址、用户业务标
识、以及网络与用户的共享密钥信息；USI记录用户A的注册信息，返回用户 A注册成功消息；
42、 用户A与应用B进行应用层交互，用户A请求应用B上的一段付费视 频，并提供用户身份信息及用户业务标识，要求使用网络代扣费的方式进行 扣费；
43、 应用B携带该用户业务标识及用户身份信息向用户A归属网络USI系 统发起用户预扣费请求，请求USI系统对用户业务标识进行认证(若该调用的 接口为一般的业务调用接口 ，则在该请求消息中 一并携带要求USI系统对用户 业务标识进4iS人i正的标志位信息)；
44 、 USI系统对应用身份进行认证，应用身份认证通过后对用户业务标识 进行认证；
若应用身份认证失败，在直接返回认证失败消息，不执行对用户业务标 识的认证过程。若应用身份认证成功，则对用户业务标识进行认证，认证失 败，则返回i^〖正失败响应纟会应用B;
45、 若用户业务标识认证成功，则USI系统向帐务系统转发预扣费请求消白、.
46、 账务系统向USI系统返回响应消息；
账务系统可根据用户余额情况返回响应消息，如果用户余额不够扣费，
15则返回失败响应，并携带原因，如费用不足；如果扣费成功，则返回成功响 应。
47、 USI系统将从账务系统收到的响应消息转发给应用B;
48、 若应用B接收到的是成功响应消息，则应用B开始向用户A播放视频。
上述实施例实现了应用调用USI接口过程中对用户业务标识进行认证，提 高了接口调用的安全性。
实施例二，该实施例的应用场景为用户A是WiMAX网络用户，同时也 是即时消息应用B用户，即时消息应用B可以调用用户A归属的WiMAX网络的 USI接口 ；用户A在即时消息应用B上注册其用户业务标识，并允许用户A在其 没有登入即时消息应用B时，将好友发送给他的即时消息通过WiMAX网络提 供的消息服务器接口发送给用户A,在应用B调用消息服务器接口过程中需要 对用户业务标识及应用B进行认证，如图5所示，具体流程如下
51、 用户A登入WiMAX网络后，向USI系统发起注册； 注册信息包括用户网络身份信息(如NAI) 、 IP地址、用户业务标识、
以及网络与用户的共享密钥等信息；USI记录用户A的注册信息，返回用户A 注册成功消息；
52、 用户A与即时消息应用B进行应用层交互，用户A注册用户身份信息 及业务标识到即时消息应用B;
53、 即时消息应用B向用户A归属的USI地址发起用户业务标识i人i正i青求 消息，携带用户A的用户身份信息和用户A提供的用户业务标识；
所述用户身份信息包括用户数字签名和/或用户IP地址信息。
54、 USI系统收到请求认证用户业务标识的请求消息后，先对应用B的身 份进行认证，认证通过后根据用户身份信息(如数字签名)对用户业务标识 进行认证，如果认证通过，则返回认证成功消息给即时消息应用B;如果前一认证失败，则不执行后续的认证，且任何一个认证不通过，则返回认证失败消息给即时消息应用B ，且不再执行后续的操作。
上述认证通过后，USI系统还可以根据用户配置策略对应用B是否允许对用户A进行操作进行筌权(用户层面)，即对应用B的接口调用进行认证。认i正完成后，返回^人i正响应消息纟会应用B,若i人i正成功，则返回i人i正成功消息纟会应用B，若认证失败，则返回认证失败消息给应用B。
55、 认证通过后，即时消息应用B将用户A的业务标识与用户A的应用层标识绑定，完成上述操作后用户A退出即时消息应用B,即时消息应用B上用户A为离线状态；
56、 即时消息应用B在用户A离线状态下，收到用户A好友发送给用户A的即时消息，即时消息应用B4艮据用户A设置在即时消息应用B上的策略调用USI的消息接口进行消息转发(所述用户配置策略为用户预先配置，所述策略可以为用户A没有在应用B登录时，即离线时，好友发送的消息通过USI接口发送到用户A的WiMAX终端)，在消息中携带用户A的业务标识；
57、 USI收到消息接口调用消息后，对即时消息应用B进行身份认证及接口调用认证，即检查用户A的配置策略，验证是否允许应用B发送消息给用户A，验证通过后将所述调用消息转发给消息服务器，由消息服务器转发消息给用户A;
在USI转发所述消息前，USI可以根据存储的用户业务标识与NAI的对应关系，将用户业务标识替换为用户的NAI地址，再将消息转发给消息服务器；
58、 消息转发成功后，USI系统返回响应消息给即时消息应用B。本实施例实现了接口调用过程中对用户业务标识及应用接口调用的认
证，有效保证了接口调用的安全性。
本发明实施方式三提供一种安全接口调用系统，包括应用服务器及接口调用i人i正系统。
17所述应用服务器用于在接口调用请求消息中携带用户业务标识及用户身份信息，将所述接口调用请求消息发送给所述接口调用认证系统；
进一步的，本发明实施例中，所述应用服务器还可用于在与用户终端进行交互时获取用户身份信息及用户业务标识，并在调用接口时，在接口调用请求消息中携带所述用户业务标识及用户身份信息。
本发明实施例中，所述用户身份信息包括用户数字签名和/或用户IP地址信息。进一步的，所述接口调用请求消息中可选地携带应用身份信息。
所述接口调用认证系统用于获取所述应用服务器提供的用户身份信息及
用户业务标识，利用所述用户身份信息对用户业务标识进行认证；
可选地所述接口调用认证系统从应用服务器中获取的信息还包含应用身份信息、应用的标识和应用层参数。可选地对应用身份及应用的接口调用进行认证。
所述利用用户身份信息对用于业务标识进行认证的过程包括若用户身份信息包含用户数字签名，则网络根据接收的用户业务标识或是用户IP地址查找到用户终端与网络的共享密钥，利用该共享密钥或利用共享密钥派生出的密钥使用与用户终端一致的算法计算用户数字签名，与所述接收的用户数字签名进行比较， 一致则表示用户业务标识认证通过，否则表示用户业务才示i。^人i正失^L;
若用户身份信息包含用户IP地址，则利用所述IP地址作为索引，在注册信息中查找到该IP地址对应的用户业务标识，与所述接口调用中携带的用户业务标识进行比较；或以接口调用请求消息中携带的用户业务标识作为索引，在注册信息中查找到对应的IP地址，与接口调用请求消息中携带的IP地址进行比较，如果一致则表示用户业务标识^人证通过，否则表示用户业务标识认证失败。
若既包含用户数字签名又包含用户IP地址信息，则需执行上述两种认证。
本发明实施例通过在接口调用过程中携带用户业务标识和用户身份信 息，根据该用户身份信息对用户业务标识进行认证，有效保证了接口调用的 安全。
本发明实施方式四提供一种用户终端，如图6所示为该用户终端的模块示 意图，所述用户终端用于在与应用进行交互时上报用户身份信息及用户业务 标识。
其设置有
用户身份信息生成单元，用于根据用户终端与网络的共享密钥或利用共 享密钥派生出的密钥计算生成用户身份信息。计算时还可以输入用户的业务 标识或者是应用层参数。
本发明实施例中，所述计算生成的用户身份信息为用户数字签名。
信息交互单元，用于与应用设备交互信息；
认证信息上报单元，用于在所述与应用设备交互的信息中上报包括用户 业务标识及用户身份信息的认证相关信息。
本发明实施例中，所述上报的用户身份信息可以包括用户数字签名和/或 用户IP地址信息。
本发明实施例中，用户终端在与应用服务器交互过程中上报包括用户业 务标识及用户身份信息的认证相关信息，有利于后续在接口调用过程中使用 该用户身份信息对用户业务标识进行认证，有效保证了接口调用的安全。
本发明实施方式五提供一种应用服务器，如图7所示为该应用服务器的模 块示意图，所述应用服务器用于在与用户终端进行交互时获取用户身份信息 及用户业务标识，并在调用接口时，在接口调用请求消息中携带所述用户业 务标识及用户身份信息，请求对用户业务标识进行认证；
其设置有
19认证信息接收单元，用于接收用户终端上报的包含用户业务标识及用户
身份信息的认证相关信息；
本发明实施例中，所述认证相关信息中还可以携带有应用的标识和应用 层参数以及应用身份信息。
接口调用单元，用于根据所述用户业务标识调用相关4妻口 ，并在接口调
用请求消息中携带所述接收的用户业务标识及用户身份信息；
本发明实施例中，所述接口调用请求消息中可选地携带应用身份信息、
应用的标识和/或应用层参数。 其设置有
标志位设置单元，用于在接口调用请求消息中设置请求对用户业务标识 进4亍iU正的才示志4立。
本发明实施例中，应用服务器在调用接口时，在接口调用请求消息中携 带所述用户业务标识及用户身份信息，请求对用户业务标识进行认证，以使 得接口可以根据该用户身份信息对用户业务标识进行认证，有效保证了接口 调用的安全。
本发明实施方式六提供一种接口调用认证系统，如图8所示为该4妄口调用 认证系统的模块示意图，其用于获取所述应用服务器提供的用户身份信息及 用户业务标识，利用所述用户身份信息对用户业务标识进行认证；
可选地所述接口调用认证系统从应用服务器中获取的信息还可包含应用 身份信息、应用的标识和应用层参数。可选地该接口调用认证系统对应用的 身份及应用的接口调用进行认证。
其设置有
接收单元，用于接收携带有用户业务标识及用户身份信息的接口调用请 求消息；
本发明实施例中，所述用户身份信息包括用户数字签名和/或用户IP地址信息；
本发明实施例中，所述接口调用请求消息中可选地包括应用身份信息、 应用的标识和应用层参数中的 一种或多种。
用户业务标识认证单元，用于根据所述接收的用户身份信息对用户业务 标、"i只进4ti/a正。
若用户身份信息包含用户数字签名，则网络根据接收的用户业务标识或 是用户IP地址查找到用户终端与网络的共享密钥，利用该共享密钥或利用共 享密钥派生出的密钥使用与用户终端一致的算法计算用户数字签名，与所述 接收的用户数字签名进行比较， 一致则表示用户业务标识认证通过，否则表 示用户业务标识认证失败；
若用户身份信息包含用户IP地址，则利用所述IP地址作为索引，在注册 信息中查找到该IP地址对应的用户业务标识，与所述接口调用中携带的用户 业务标识进行比较；或以接口调用请求消息中携带的用户业务标识作为索 引，在注册信息中查找到对应的IP地址，与接口调用请求消息中携带的IP地 址进行比4交，如果一致则表示用户业务标识认i正通过，否则表示用户业务标 识认证失败。
若既包含用户数字签名又包含用户IP地址信息，则需执行上述两种认证。
还可以设置有
应用认证单元，用于对应用的身份及应用的接口调用进行认证。 本发明实施例中，所述应用认证单元根据认证通过的用户业务标识获耳又 用户配置策略，根据所述配置策略判断是否允许所述应用的接口调用，若允 许，则接口调用认证通过，若不允许，则接口调用认证失败。
本发明实施例中，所述应用认证单元根据所述接收的应用身份信息对应 用的身^分进行认证。该接口调用认证系统还可以设置有专门的用户业务标识认证接口 ，应用 设备调用该接口可以实现对用户业务标识的i人证。所述接口调用^人证系统可 以为USI系统，也可以为其他能够实现该功能的系统，本发明实施例不做限 定。
综上所述，本发明实施例通过在接口调用过程中对用户业务标识进行认 证，有效保证了接口调用的安全。
在USI接口调用时可以提高WiMAX用户使用USI业务的安全性，进一步保 i正了 USI系统部署到运营网络中的安全性。
本领域普通技术人员可以理解实现上述实施例方法中的全部或部分步骤 是可以通过程序来指令相关的硬件完成，所述的程序可以存储于一种计算机
可读存储介质中，该程序在执行时，包括如下步骤
接口接收到应用发送的携带有用户业务标识和用户身份信息的接口调用
请求消息；
根据所述接收的用户身份信息对所述用户业务标识进行认证。 上述提到的存储介质可以是可读存储器，磁盘或光盘等。 以上所述，仅为本发明较佳的具体实施方式
，但本发明的保护范围并不 局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可 轻易想到的变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明 的保护范围应该以权利要求的保护范围为准。
权利要求
1、一种安全接口调用方法，其特征在于，包括接口接收到应用发送的携带有用户业务标识和用户身份信息的接口调用请求消息；根据所述接收的用户身份信息对所述用户业务标识进行认证。
2、 如权利要求1所述的方法，其特征在于，所述用户身份信息包括下述 任意一种或多种用户数字签名、用户IP地址信息；所述用户数字签名是利用用户终端与网络的共享密钥或利用所述共享密 钥派生出的密钥计算产生的。
3、 如权利要求2所述的方法，其特征在于，所述用户数字签名包含在用 户业务标识中。
4、 如权利要求1或2所述的方法，其特征在于，所述用户业务标识和用户 身份信息由用户终端在与应用进行应用层交互时上报给应用。
5、 如权利要求2所述的方法，其特征在于，所述根据所述接收的用户身 份信息对所述用户业务标识进行认证的步骤包括若用户身份信息包含用户数字签名，则网络根据接收的用户业务标识或 是用户IP地址查找到用户终端与网络的共享密钥，利用该共享密钥或利用共 享密钥派生出的密钥使用与用户终端一致的算法计算用户数字签名，与所述 接收的用户数字签名进行比较， 一致则表示用户业务标识认证通过，否则表 示用户业务标识H〖正失败；若用户身份信息包含用户IP地址信息，则利用所述IP地址作为索引，在 注册信息中查找到该IP地址对应的用户业务标识，与所述接口调用中携带的 用户业务标识进行比较；或以接口调用请求消息中携带的用户业务标识作为 索引，在注册信息中查找到对应的IP地址，与接口调用请求消息中携带的IP地址进行比较，如果一致则表示用户业务标识认证通过，否则表示用户业务 标识认证失败。
6、 如权利要求1或5所述的方法，其特征在于，用户业务标识^人证通过后，还包括应用将该用户业务标识与应用层标识绑定。
7、 如权利要求5所述的方法，其特征在于，如果用户业务标识认证通 过，并且使用的是共享密钥派生出的密钥来计算用户数字签名，在用户业务 标识^人证通过后，还包括将所述共享密钥派生的密钥发送给应用，作为应用与用户终端通信的专 用共享密钥，对应用与用户终端之间的消息或数据进行保护。
8、 如权利要求1或2所述的方法，其特征在于，所述接口调用请求消息中 还携带有应用身份信息。
9、 如权利要求8所述的方法，其特征在于，接口接收到应用发送的携带 有用户业务标识和用户身份信息的接口调用请求消息之后，根据所述接收的 用户身份信息对所述用户业务标识进行^人证之前，还包括网络提供商根据应用身份信息验证应用身份，确定允许所述应用调用所 述接口。
10、 如权利要求1或2所述的方法，其特征在于，根据所述接收的用户身 份信息对所述用户业务标识进行认证，且认证通过后，还包括对应用的4妻口 调用进行认证的步骤，所述对应用的接口调用进行认证的步骤具体包括根据认证通过的用户业务标识获取用户配置策略；根据所述配置策略判断是否允许所述应用的接口调用，若允许，则接口 调用认证成功，若不允许，则接口调用^人证失败。
11、 如权利要求1所述的方法，其特征在于，所述接口调用请求消息中携 带有表示请求对用户业务标识进行认证的标志位。
12、 一种用户终端，其特征在于，包括用户身份信息生成单元，用于根据用户终端与网络的共享密钥或利用共 享密钥派生出的密钥计算生成用户身份信息； 信息交互单元，用于与应用设备交互信息；认证信息上报单元，用于在所述与应用设备交互的信息中上报包括用户 业务标识及用户身份信息的认证相关信息。
13、 一种应用服务器，其特征在于，包括认证信息接收单元，用于接收用户终端上报的包含用户业务标识及用户 身份信息的认证相关信息；接口调用单元，用于根据所述用户业务标识调用相关接口 ，并在接口调 用请求消息中携带所述接收的用户业务标识及用户身份信息。
14、 如权利要求13所述的应用服务器，其特征在于，所述接口调用请求 消息中还携带有表明应用服务器身份的应用身份信息、应用的标识和/或应用 层参数。
15、 如权利要求13或14所述的应用服务器，其特征在于，还包括 标志位设置单元，用于在接口调用请求消息中设置请求对用户业务标识进4亍i人ii的才示志4立。
16、 一种接口调用认证系统，其特征在于，包括接收单元，用于接收携带有用户业务标识及用户身份信息的接口调用请 求消息；用户业务标识认证单元，用于根据所述接收的用户身份信息对所述用户 业务标识进行认证。
17、 如权利要求16所述的接口调用认证系统，其特征在于，还包括 应用认证单元，用于对应用的身份及应用的接口调用进行认证。
18、 一种安全接口调用系统，其特征在于，包括应用服务器，用于在接口调用请求消息中携带用户业务标识及用户身份信息，将所述接口调用请求消息发送给所述接口调用认证系统；接口调用认证系统，用于根据所述接口调用请求消息中的用户身份信息 对所述用户业务标识进行认证。
19、如权利要求18所述的系统，其特征在于，所述接口调用认证系统还 用于对应用身份及应用的接口调用进行认证。
全文摘要
本发明涉及通信技术领域一种安全接口调用方法，接口接收到应用发送的携带有用户业务标识和用户身份信息的接口调用请求消息；根据所述接收的用户身份信息验证所述接口调用请求消息中携带的用户业务标识，如果验证通过，则确定用户业务标识认证成功，如果不通过，则确定用户业务标识认证失败。本发明还提供一种安全接口调用装置及系统。本发明实施例通过在接口调用过程中对用户业务标识进行认证，有效保证了接口调用的安全。
文档编号H04L9/08GK101499904SQ200810007068
公开日2009年8月5日 申请日期2008年2月1日 优先权日2008年2月1日
发明者彭程晖, 李波杰, 梁文亮 申请人:华为技术有限公司