用于标识分离映射网络的网络认证方法,当处于未连接至网络的状态的用户终端请求连接至网络时,用户终端请与所要接入的接入网相对应的认证装置之间进行双向认证;向用户终端颁发用户终端的身份标签;认证装置将用户终端的身份标签存储至依据Chord算法而确定的Chord环中的认证装置之一中。当用户终端请求从通过一个接入网访问网络的状态切换为通过另一个接入网访问网络的状态时,用户终端向与另一个接入网对应的认证装置发送认证请求,与另一个接入网对应的认证装置根据Chord算法确定存储了用户终端的认证注册信息的认证装置,并获取用户终端的认证注册信息。本发明可满足移动性需求、安全性需求、音频及视频等实时性要求强的业务的实时性需求。
1.一种用于标识分离映射网络的网络认证方法,其特征在于,所述标识分离映射网络的核心网中的认证装置位于一个虚拟Chord环中,其中,当处于未连接至网络的状态的用户终端请求连接至网络时,进行如下步骤以完成认证:所述用户终端与所要接入的接入网相对应的认证装置之间进行双向认证;所述认证装置向所述用户终端颁发所述用户终端的身份标签;所述认证装置将所述用户终端的身份标签存储至依据Chord算法而确定的所述Chord环中的认证装置之一中,以及当所述用户终端请求从通过一个接入网访问网络的状态切换为通过另一个接入网访问网络的状态时,进行如下步骤以完成认证:所述用户终端向与所述另一个接入网对应的认证装置发送认证请求,其中,所述认证请求包括所述用户终端的身份标签;与所述另一个接入网对应的认证装置根据Chord算法来确定所述Chord环中存储了所述用户终端的认证注册信息的认证装置,并从存储了所述用户终端的认证注册信息的认证装置中获取所述用户终端的认证注册信息。
2.根据权利要求1所述的用于标识分离映射网络的网络认证方法,其特征在于,所述虚拟Chord环中的每个认证装置均有节点标识符,以及所述虚拟Chord环中由多个认证装置通过各自的节点标识符的大小顺序组成。
3.根据权利要求2所述的用于标识分离映射网络的网络认证方法,其特征在于,所述节点标识符是通过哈希认证中心自身的交换路由标识来得到的。
4.根据权利要求1所述的用于标识分离映射网络的网络认证方法,其特征在于,所述虚拟Chord环中各个认证装置与标识分离映射网络中的各个接入网一一对应,各个认证装置分别负责对请求接入至与其对应的接入网中的用户终端进行认证。
5.根据权利要求1所述的用于标识分离映射网络的网络认证方法,其特征在于,在进行所述双向认证时,所述与所要接入的接入网相对应的认证装置向所述用户终端颁发身份标签。
6.根据权利要求1所述的用于标识分离映射网络的网络认证方法,其特征在于,所述虚拟Chord环中的所有认证中心均具有相同的数字证书与公私钥对。
7.根据权利要求4所述的用于标识分离映射网络的网络认证方法,其特征在于,所述虚拟Chord环中的各个认证装置具有路由表,所述路由表存储与在其之后相距至少2^i-1个节点的最近的用户终端的认证注册信息应存储在或已存储在所述虚拟Chord环中哪个认证装置有关的信息,其中m=logN,i为整数且1≤i≤m,N为所述虚拟Chord环中的认证节点总数。
8.根据权利要求5所述的用于标识分离映射网络的网络认证方法,其特征在于,所述与在其之后相距至少2^i-1个节点的最近的用户终端的认证注册信息应存储在或已存储在所述虚拟Chord环中哪个认证装置有关的信息,是存储了相应用户终端的认证注册信息的认证装置的节点标识。
9.一种用于标识分离映射网络的认证装置,其特征在于,所述认证装置位于一个虚拟Chord环中,其中,当处于未连接至网络的状态的用户终端请求连接至由所述认证装置负责进行认证的接入网时,所述认证装置进行如下步骤以完成认证:与所述用户终端进行双向认证;向所述用户终端颁发所述用户终端的身份标签;将所述用户终端的身份标签存储至依据Chord算法而确定的所述Chord环中的认证装置之一中,以及当所述用户终端从通过由所述认证装置负责的接入网访问网络的状态切换为通过由另一认证装置负责进行认证的接入网来访问网络的状态时,所述另一认证装置进行如下步骤以完成认证:接收所述用户终端发来的认证请求,其中,所述认证请求包括所述用户终端的身份标签;根据Chord算法来确定所述Chord环中存储了所述用户终端的认证注册信息的认证装置,并从存储了所述用户终端的认证注册信息的认证装置中获取所述用户终端的认证注册信息。
10.一种基于标识分离映射网络架构的网络认证系统,其特征在于,所述网络认证系统中采用根据权利要求9所述的认证装置对请求接入网络的用户终端进行认证。技术领域
本发明涉及网络通信处理方法,尤其涉及网络认证方法、网络认证装置及网络认证系统,尤其涉及用于标识分离映射网络的网络认证方法、网络认证装置及网络认证系统。
背景技术
在TCP/IP协议体系中IP地址既表示主机的网络拓扑地址也表示主机身份信息,这种IP地址的双重语义严重限制了主机的移动性。当用户终端发生移动时,IP地址必须发生改变,以表示终端位置发生变化,导致通信双方在最初创建的网络层通信链路将中断,同时也会造成传输层连接的中断,需要重新建立连接,因此无法为时延敏感的语音和视频业务提供满意的支持。然而,为了解决现有网络中IP地址二义性的问题,出现了标识分离映射网络。标识分离映射网络采用了标识(例如,接入标识和交换路由标识)分离映射的网络架构。具体地说,标识分离映射网络通过引入接入标识AID(Accessxa0Identifier)与交换路由标识RID(Switchxa0Routingxa0Identifier),创建了接入标识和交换路由标识的分离聚合映射理论,将用户终端的位置信息与身份信息进行分离,解决了IP地址二义性问题。目前,互联网中的接入认证技术主要有AAA认证和802.1x认证等。这些认证技术能够用来保障用户终端与接入网络之间的通信安全性。但是,由于当用户终端从一个接入网切换到另一个接入网时,需要与另一个接入网之间进行重新认证。具体地,AAA认证(其中,认证(Authentication)表示验证用户的身份与可使用的网络服务;授权(Authorization)表示依据认证结果开放网络服务给用户;计帐(Accounting)表示记录用户对各种网络服务的用量,并提供给计费系统)的整个认证通常是采用用户输入用户名与密码来进行权限审核。认证的原理是每个用户都有一个唯一的权限获得标准。在AAA认证中,当用户终端在两个接入网之间切换时,需要重新进行认证。当用户终端漫游至新的接入网时,首先会向本地的AAA认证服务器发出认证请求,然后本地AAA认证服务器会向用户终端的家乡AAA认证服务器发出询问,如果根据询问结果确定允许用户终端接入网络,则接下来的认证过程与用户终端在没有接入到任何接入网的状态下请求接入网络时的认证过程相同。由此可见,在AAA认证中,当用户终端在两个接入网之间切换时,由于还需要向用户终端的家乡AAA认证服务器发出询问,因此整个认证过程甚至比在没有接入到任何接入网的状态下请求接入网络时的认证过程还更加复杂。802.1x协议是基于Client/Server的访问控制和认证协议。它可以限制未经授权的用户/设备通过接入端口(accessxa0port)访问LAN/WLAN。用户终端在获得交换机或LAN提供的各种业务之前,根据802.1x协议对连接到交换机端口上的用户/设备进行认证。当用户终端从一个接入网(例如,接入网A)切换到另一接入网(例如,接入网B)时,需要向接入网B中的交换机发送认证请求。由于接入网B中的交换机并不知道用户终端是从接入网A切换过来的,也不知道接入网A中的交换机已经与用户终端进行了认证且保存了与该用户终端对应的认证信息,因此,当接入网B中的交换机接收到用户终端发来的认证请求时,将要求该用户终端完成与其它希望初始接入到接入网B的所有用户终端一样的整个认证过程之后才能接入。简而言之,当用户终端从接入网A切换至接入网B时,无视之前已经与接入网A之间所进行的认证而重新进行整个认证过程,这显然会导致较长的通信时延。由此可见,传统的AAA认证和802.1x认证均增加了用户终端从一个接入网切换到另一接入网的切换时间,从而使通信产生了较明显的时延,均无法满足实时性业务的需求。此外,标识分离映射网络采用了标识分离映射机制以实现用户终端身份信息与位置信息的分离,传统的认证技术不能适应标识分离映射网络所采用的这种新的体系架构,因而无法满足标识分离映射网络的移动性需求与安全性需求。当前的认证技术仅适用于传统的互联网架构,不能适用于近来正迅速发展的标识分离映射网络。在标识分离映射网络中使用传统的认证技术时,导致通信出现明显时延,因而无法满足音频及视频等实时性要求强的业务的实时性需求。
发明内容
本发明的目的是提供用于标识分离映射网络的网络认证方法、网络认证装置及网络认证系统,可满足移动性需求、安全性需求、音频及视频等实时性要求强的业务的实时性需求。根据本发明的一方面,提供了一种用于标识分离映射网络的网络认证方法。在该网络认证方法中,所述标识分离映射网络的核心网中的认证装置位于一个虚拟Chord环中。当处于未连接至网络的状态的用户终端请求连接至网络时,进行如下步骤以完成认证:所述用户终端与所要接入的接入网相对应的认证装置之间进行双向认证;所述认证装置向所述用户终端颁发所述用户终端的身份标签;所述认证装置将所述用户终端的身份标签存储至依据Chord算法而确定的所述Chord环中的认证装置之一中。当所述用户终端请求从通过一个接入网访问网络的状态切换至通过另一个接入网访问网络的状态时,进行如下步骤以完成认证:所述用户终端向与所述另一个接入网对应的认证装置发送认证请求,其中,所述认证请求包括所述用户终端的身份标签;与所述另一个接入网对应的认证装置根据Chord算法来确定所述Chord环中存储了所述用户终端的认证注册信息的认证装置,并从存储了所述用户终端的认证注册信息的认证装置中获取所述用户终端的认证注册信息。根据本发明的又一方面,提供了一种用于标识分离映射网络的认证装置,所述认证装置位于一个虚拟Chord环中。当处于未连接至网络的状态的用户终端请求连接至由所述认证装置负责进行认证的接入网时,所述认证装置进行如下步骤以完成认证:与所述用户终端进行双向认证;向所述用户终端颁发所述用户终端的身份标签;将所述用户终端的身份标签存储至依据Chord算法而确定的所述Chord环中的认证装置之一中。当所述用户终端从通过由所述认证装置负责的接入网访问网络的状态切换为通过由另一认证装置负责进行认证的接入网来访问网络的状态时,所述另一认证装置进行如下步骤以完成认证:接收所述用户终端发来的认证请求,其中,所述认证请求包括所述用户终端的身份标签;根据Chord算法来确定所述Chord环中存储了所述用户终端的认证注册信息的认证装置,并从存储了所述用户终端的认证注册信息的认证装置中获取所述用户终端的认证注册信息。根据本发明的又一方面,提供了一种用于标识分离映射网络的网络认证系统。所述网络认证系统中采用了上述的认证装置对请求接入网络的用户终端进行认证。本发明在标识分离映射网络中结合了Chord协议的设计思想,通过将认证中心(对应于认证装置)组成基于Chord协议的环,不仅在用户终端初始接入过程中实现了与接入网络的双向认证,而且能够实现用户终端在不同接入网之间切换时的快速认证。在初始接入过程中,通过数字证书的交换来实现用户终端与接入网络的双向认证,以及采用伪随机数的方法,保障了交换信息交换的新鲜性与唯一性。在用户终端移动切换至另一接入网的过程中,通过身份标签来快速地实现用户终端与不同接入网之间的认证(下文中,将在用户终端移动切换至另一接入网的过程中所进行的认证称作“切换认证”),使得整个切换认证过程既保障了用户终端身份的真实性,防止非法用户接入网络,使得身份冒充的行为不存在,又使得接入到另一接入网的切换认证过程用时短,实时性强,能够更好地为音频及视频等实时性强的业务提供认证服务。此外,根据本发明的切换认证过程中,采用加密传输机制,有效地保护了用户身份的隐私性。此外,根据本发明的切换认证过程中,始终保障了用户终端身份的真实性,防止非法用户接入网络,提高了标识分离映射网络的安全可靠性。此外,根据本发明的用于标识分离映射网络的基于Chord协议的认证方法,能够实现安全快速的切换认证,提高了标识分离映射网络的安全可靠性,增加了标识分离映射网络的可控可管性。
附图说明
通过以下(参考附图)对典型实施例的说明,本发明的其它特征将变得清楚。图1是示出在标识分离映射网络中用户终端100A与用户终端机100B之间一次基本通信过程的例子的示意图。图2是示出根据本发明的用于标识分离映射网络的网络结构以及认证中心的部署的示意图。图3是示出用户终端接入到标识分离映射网络时所进行的根据本发明的接入认证过程的例子的流程图。图4是示出用户终端从一个接入网切换到另一接入网的切换认证过程的例子的流程图。图5是示出图3至图4中用到的附图标记的含义的表。图6是示出在根据本发明的网络认证方法中对身份标签的存储与查找过程的示意图。
具体实施方式
下面参考附图详细说明本发明的各种典型实施例、特征和方面。依据网络拓扑位置划分,标识分离映射网络主要由接入网和核心网两部分组成。接入网实现各种类型的终端或者固定、移动、传感网等的接入,通过接入标识表示用户终端的身份信息。核心网主要解决路由管理和报文转发、路由等技术,通过交换路由标识表示用户终端的位置信息;核心网中采用统一的路由标识格式,以完成核心网的路由聚合与寻路。在标识分离映射网络中,接入交换路由器(ASR,Accessxa0Switchxa0Router)主要负责各种终端的接入,为用户终端提供接入标识与交换路由标识的替换服务,将经过标识替换后的用户终端的数据包在核心网中传输。广义交换路由器(GSR,Generalxa0Switchxa0Router)依据数据包中的交换路由标识,在核心网中进行选路和转发数据包。映射服务器(IDserver,Identifierxa0server)负责存储和维护接入标识与交换路由标识的映射关系,并向接入路由器提供映射关系的注册和查询服务。认证中心(AC,Authenticationxa0Center)负责记录用户终端类别以及用户终端享受的服务等级等,并在用户终端接入时进行接入控制和授权。认证中心的数据库中存放了所有合法用户的认证信息。在认证过程中,网络认证终端是否合法,终端也认证网络是否合法。参考如图1,在标识分离映射网络中,用户终端100A与用户终端100B的从发起通信到完成一次完整通信的过程如下:步骤1:用户终端100A进入接入交换路由器200A的覆盖范围,第一次通信时,首先向接入交换路由器200A发送认证请求。步骤2:接入交换路由器200A向认证中心400进行认证查询。步骤3:接入交换路由器200A将来自认证中心400的认证结果返回给用户终端100A。步骤4:如果认证通过,则接入交换路由器200A为用户终端100A分配交换路由标识,建立接入标识与交换路由标识之间的映射关系,并保存到本地用户映射表中。步骤5:接入交换路由器200A将该映射关系向映射服务器300汇报,映射服务器300保存这对映射关系。步骤6:用户终端100A向用户终端100B发送数据包。数据包中源地址域是用户终端100A的接入标识,数据包的目的地址域是用户终端100B的接入标识。步骤7:接入交换路由器200A收到用户终端100A发给用户终端100B的第一个数据包,由于它不知道用户终端100B的接入标识与交换路由标识之间的映射关系,因此它向映射服务器300查询。步骤8:当接入交换路由器200A得到从映射服务器300返回的用户终端100B的映射关系后,将该映射关系存储到对端用户映射表中。步骤9:接入交换路由器200A将数据包中的源接入标识和目的接入标识分别替换为相对应的源交换路由标识和目的交换路由标识,然后把替换后的数据包转发至核心网500。核心网500中的广义交换路由器600根据数据包中的交换路由标识将该数据包转发给接入交换路由器200B。步骤10:接入交换路由器200B收到接入交换路由器200A发送来的数据包后,由于是第一次通信,接入交换路由器200B中的对端用户映射表没有用户终端100A的映射信息,所以到映射服务器300中查询用户终端100A的映射信息。步骤11:接入交换路由器200B收到映射服务器300返回的映射关系后,将用户终端100A的接入标识与交换路由标识之间的映射关系存储到对端用户映射表中。步骤12:接入交换路由器200B获取映射关系后,将数据包的源地址和目的地址由交换路由标识替换回接入标识,并向用户终端100B进行转发,最后用户终端100B收到用户终端100A发送的数据包。至此,用户终端100A与用户终端100B完成了一次完整的通信过程。根据上述参考图1说明的用户终端100A与用户终端100B的一次通信过程(特别地,步骤1~4)可知,两个用户终端在开始进行数据通信之前,需要认证中心400的认证通过。正如前面所述,根据本发明的一种用于标识分离映射网络的基于Chord协议的认证方法通过结合标识分离映射网络体系结构中标识分离映射的特点与Chord协议的资源快速查找定位的特性,将认证中心组成基于Chord协议的环(下方中,简称“Chord环”),从而实现了用户终端在不同接入网间的快速切换认证。根据本发明的用于标识分离映射网络的基于Chord协议的切换认证方法中,重点对核心网500中的认证中心(下文中,简称为“AC”)进行了改进。下面对根据本发明的切换认证方法及系统以及用于该切换方法及系统的认证中心进行详细说明。图2是示出根据本发明的用于标识分离映射网络的网络结构以及认证中心的部署的示意图。如图2所示,认证中心400A至400F采用了基于Chord协议的分布式对等网络结构。具体地,每一个认证中心400A至400F都有一个128位的节点标识符,这个节点标识符是通过哈希认证中心400A至400F自身的交换路由标识而得到的,所有认证中心400A至400F通过其节点标识符的大小顺序组成Chord环800,这种哈希方式保障了Chord环800的负载均衡性。各个认证中心分别与一个接入网相对应,负责管理各自对应的接入网中的用户终端的接入控制与授权。换而言之,一个认证中心只负责某一接入网内用户终端的接入认证以及切换认证,不同认证中心负责不同的接入网用户。各个认证中心拥有相同的数字证书与公私钥对。各个认证中心向所管理的接入网中的用户终端颁发“身份标签”。认证中心(300A至300F)通过分布式哈希表(DHT,Distributedxa0Hashxa0Table)对用户的认证信息(主要包括用户终端的身份证书、接入标识、当前的时间戳以及伪随机数)进行映射,以获取用户终端的“身份标签”。认证中心利用身份标签来存储、查询及维护与相应用户终端有关的数据。Chord环800上的各个认证中心负责管理那些身份标签小于自身但大于该认证中心的前驱的资源,其中,此处所述的资源指用户终端的接入标识、用户终端的身份标签、用户终端的数字证书以及用户终端的接入注册时间等认证注册信息。认证中心在Chord环中利用用户终端的身份标签作为索引来完成对用户终端认证注册信息的查找(下文中将详细说明)。各个认证中心除了有一个前驱和后继外,还有一个维持m个表项(即,表的第m行)的路由表(下文中,称为Finger表),其中m=log₂N,其中,N为环中节点总数,Finger表是Chord环800的路由表,Chord算法依据Finger表来路由和查找环中的每一个节点。在Finger表中,第i表项保存了关于在本节点之后距离本节点至少2i-1个节点的最近节点有关的信息,将在后面对该信息作详细说明。认证中心400A至400F中的每一个都具有一个认证注册表。认证注册表存储了用户终端的接入标识、用户终端的身份标签、用户终端的数字证书以及用户终端的接入注册时间等认证注册信息。根据Chord算法,认证中心的认证注册表中所存储的是身份标签小于该认证中心本身的节点标识符并且大于该认证中心本身的前驱的节点标识符的用户终端的认证注册信息,也就是说,根据Chord算法来确定特定用户终端的用户认证信息存储在Cord环中的哪个认证中心。当处于未连接至网络的状态的用户终端请求连接至网络时,由与该用户终端所要接入的接入网相对应的认证中心向用户终端提供该用户终端的身份标签。具体地,与该用户终端所要接入的接入网相对应的认证中心根据用户终端的身份证书、接入标识、当前的时间戳以及伪随机数计算出128位散列值,作为该用户终端的身份标签。用户终端的身份标签与认证中心的节点标识符在同一哈希空间,认证中心根据Chord算法通过身份标签来查找用户终端的认证注册信息。由此可知,用户终端的身份标签代表了用户终端的暂时身份信息。身份标签的使用周期为从用户接入网络至离开网络为止,时间戳以及伪随机数可以保证身份标签的无重复性。图3是示出用户终端100A接入到标识分离映射网络时所进行的根据本发明的接入认证过程的例子的流程图。注意,在本发明中,将处于未连接到网络时的状态的用户终端请求连接到网络时所进行的认证过程称为“接入认证过程”,将用户终端从通过一个接入网访问网络的状态切换为通过另一个接入网访问网络的状态时所要进行的认证过程称为“切换认证过程”。在如图3所示的接入认证阶段中,主要完成用户终端100A与认证中心400A的双向认证,认证中心400A向用户终端100A提供身份标签,同时将身份标签等认证注册信息存储在Chord环800中根据Cord算法确定的认证中心中。该接入认证阶段主要包含如下步骤:步骤(1):用户终端100A进入接入网700A后,向负责接入网700A的(与接入网700A对应的)认证中心400A发出认证请求,即数据包A,数据包A主要包括用户终端100A自动生成的伪随机数N_x(例如,64位的伪随机数)、用户终端100A的数字证书Cert_a、对认证中心400A的数字证书的请求载荷CertReq、以及对数据包A的数字签名Sig_a(N_x|Cert_a)。步骤(2):认证中心400A收到数据包A后,利用数字证书Cert_a的公钥检查数据包A中的数字签名是否正确,若正确,则构造数据包B并将其发送至用户终端,其中,数据包B主要包括伪随机数N_x+1、认证中心400A的数字证书Cert_c、使用用户终端100A的公钥对认证中心400A所生成的伪随机数N_y的进行加密所得的信息E(Pu_a,N_y)、以及认证中心400A对数据包B的数字签名sig_c(N_x+1|Cert_c|E(Pu_a,N_y)。其中,利用E(Pu_a,N_y)来证实数字证书Cert_a确实是由用户终端发送而来,因为只有用户终端100A的私钥才能解密出N_y,同时伪随机数N_y具有一定的抗重放攻击作用步骤(3):用户终端100A收到数据包B后,首先检查数据包B中的数字签名是否正确,例如,利用数字证书Cert_c的公钥检查数据包的签名是否正确。若正确,则存储认证中心400A的数字证书Cert_c,并利用自己的私钥对N_y进行解密。然后,构造用于请求身份标签的数据包C。其中,数据包C主要包括伪随机数N_y+1、身份标签的请求载荷IdReq、使用认证中心400A公钥Pu_c对用户终端100A生成的伪随机数N_z进行加密所得的信息E(Pu_c,N_z)、以及对数据包C的数字签名sig_a(N_y+1|IdReq|E(Pu_c,N_z))。其中,E(Pu_c,N_z)用于证实数字证书Cert_c确实是由认证中心发送的。步骤(4):认证中心400A收到数据包C后,首先检查其数字签名是否正确,然后检查伪随机数N_y,通过确定N_y的值来证实用户终端数字证书的真实性。然后构造数据包D,以向用户终端提供身份标签,其中,数据包D主要包括随机数N_z+1、利用用户终端100A的公钥加密后的用户终端的身份标签E(Pu_a,Id-Sig)、以及认证中心400A对数据包D的数字签名sig_c(N_z+1|E(Pu_a,Id-Sig))。利用用户终端100A的公钥对身份标签进行加密,可以保障身份标签的私密性。更具体地,可以根据认证中心400A根据用户终端100A的身份证书Cert_a及接入标识AID_a、当前的时间戳T_s、以及伪随机数N_t来计算用户终端的身份标签出的128位散列值。例如,用户终端的身份标签可以为根据用户终端100A的身份证书Cert_a与接入标识AID_a、当前的时间戳T_s、以及伪随机数N_t计算出的128位散列值,用公式表示如下。Id-Sig=hash(Cert_a|AID_a|T_s|N_t)用户终端的身份标签代表一个用户终端的暂时身份信息,其使用周期为从用户终端接入网络始至离开网络为止,时间戳T_s以及伪随机数N_t可充分保证身份标签的无重复性。此外,由用户终端100A的公钥Pu_a来进行加密,表示为E(Pu_a,Id-Sig),保障了用户终端100A的身份标签的私密性。sig_c(N_z+1|E(Pu_a,Id-Sig))表示认证中心对相关域的数字签名。步骤(5):用户终端100A收到数据包D,首先检查其数字签名正确性,然后通过检查伪随机数N_z,通过确定N_z的值来验证认证中心400A的数字证书的真实性,即,证实数字证书Cert_c确实属于认证中心。至此完成了用户终端与认证中心400A的双向认证。用户终端100A利用自己的私钥来对数据包D中所包含的由接入中心400A利用用户终端100A的公钥加密后的出身份标签E(Pu_a,Id-Sig)进行解密,从而获得解密后的身份标签。而后,用户终端100A构造数据包E,以告知认证中心400A其已经得到身份标签,数据包E包括利用认证中心400A的公钥Pu_c对身份标签Id-Sig进行加密所得的信息E(Pu_c,Id-Sig)、以及用户终端100A的数字签名sig_a(E(Pu_c,Id-Sig))等。认证中心400A收到数据包E后,验证数字签名的真实性,得知用户终端100A已经收到身份标签Id-Sig,然后告知接入交换路由器200A可以将用户终端100A接入网络,并将用户终端100A的认证注册信息发送至Chord环中依据Chord算法确定的相应认证中心的认证注册表中。注意,根据Cord算法,上述相应认证中心的节点标识符应比用户终端100A的身份标识大,并且上述相应认证中心的前驱的节点标识符应比用户终端100A的身份标识小。图4是示出用户终端100A从接入网700A切换到接入网700B的切换认证过程的例子的流程图。下面参考图4说明根据本发明的切换认证过程。在切换认证过程中,主要实现用户终端100A在从接入网700A中移动到接入网700B时的切换认证,还实现在Chord环中对身份标签的查找。此时,用户终端100A与负责接入网700B的认证中心700B进行切换认证。主要工作步骤如下:步骤1:当用户终端100A移动到接入网700B时,用户终端100A首先向负责接入网700B的(与接入网700B对应的)认证中心400E发送数据包X来请求认证中心400E的接入认证,其中,数据包X主要包括用户终端100A利用自己的公钥对其随机产生的伪随机数N_k进行加密所得的信息E(Pu_a,N_k)、用户终端100A利用认证中心400A至400F的所共有的公钥对身份标签进行加密所得的信息E(Pu_c,Id-Sig)、以及对数据包X的数字签名sig_a(E(Pu_a,N_k),E(Pu_c,Id-Sig))。其中,E(Pu_a,N_k)用于保障数据包X的新鲜性与唯一性,E(Pu_c,Id-Sig)用于保障身份标签的机密性,以及sig_a(E(Pu_a,N_k),E(Pu_c,Id-Sig))用于保证数据包X的真实性。步骤2:认证中心400E收到数据包X后,首先利用其私钥解密出用户终端100A的身份标签,然后根据Chord算法确定存储了用户终端100A的身份标签值的Chord环中的认证中心,以获取用户终端100A的认证注册信息,从而得知用户终端的接入标识与数字证书。然后,认证中心400E判断接入标识AID_a是否与用户终端100A的相符,并利用数字证书Cert_a的公钥来验证数据包X数字签名的真实性,若验证为不真实,则禁止用户终端100A接入网络;若验证为真实,则告知接入交换路由器200B用户终端100A可以接入网络。然后,认证中心400E向用户终端100A发送数据包Y。其中,数据包Y主要包括伪随机数N_k+1,利用用户终端100A的公钥对身份标签进行加密所获得的加密信息E(Pu_a,Id-Sig),以及对数据包Y的数字签名sig_c(N_k+1,E(Pu_a,Id-Sig))。用户终端100A收到数据包Y后,首先验证数字签名的正确性,然后用自己的私钥解密出身份标签Id-Sig,通过身份标签得知自己已经被允许接入网络,此时用户终端100A可继续通信。此外,图5是示出图3至图4中用到的附图标记的含义的表。根据以上参考附图3至图5的说明可知,认证中心200在标识分离映射网络中的部署采用基于Chord协议的分布式对等网结构,在核心网500中组成虚拟的Chord环,从而完成用户终端的快速切换认证此外,在根据图3对用户终端100A接入到标识分离映射网络时所进行的根据本发明的接入认证过程的说明中,省略了标识分离映射网络中的接入交换路由器的中间转发过程。其用户终端100A与负责接入网a的认证400A进行接入认证。此外,在上述参考图4说明的用户终端100A从接入网700A切换到接入网700B的切换认证过程中,也省略了标识分离映射网络中的接入交换路由器的中间转发过程。图6描述了在根据本发明的网络认证方法中对身份标签的存储与查找过程。下面参考图6说明存储及查找用户终端的身份标签的过程。参考图6,为了便于说明,以m=3作为例子来进行说明,当m=3时,Chord环中节点总数为N=2^m=2³=8。如图6所示,图6所示的Chord环上的各个节点对应各个认证中心,按照128位的节点标识符的大小顺序组成一个Chord环,Chord环上的每一个认证中心都有唯一的前驱和后继,用户终端的身份标签和节点标识符在相同的哈希空间内。Chord环上的每个认证中心都负责那些身份标签小于自身但大于作为该节点前驱的认证中心的资源。此外,每个Chord环上的认证中心除了有一个前驱和后继外,还有一个包括m个表项的Finger表(亦称作路由表),其中m=logxa0N,N为环中节点总数,在Finger表中第i(i为整数,且1≤i≤m)个表项存储与在本节点之后与本节点相距至少2^i-1个节点的最近的用户终端的认证注册信息等资料应存储在或已存储在Chord环中哪个认证中心有关的信息。例如,在图6中,与节点1相距2^1-1、2^2-1、2^3-1个节点的最近的用户终端为用户终端2、用户终端3和用户终端5,因此,如图6所示,节点3中存储了与用户终端2、用户终端3和用户终端5的认证注册信息等资料存储在或已存储在Chord环中哪个认证中心有关的信息。为了便于说明,下文中,将与用户终端的认证注册信息等资料应存储于或已存储在Chord环中哪个认证中心有关的信息称作该用户终端的后续信息。应注意“与用户终端的认证注册信息等资料存储于Chord环中哪个认证中心有关的信息”(即“后续信息”)可以直接指示存储了该用户终端的认证注册信息等资料的认证中心的节点标识,也可以间接指示可以从哪个认证中心找到存储了该用户终端的认证注册信息等资料的认证中心的节点标识,简而言之,后续信息既可以是所要查找到存储了该用户终端的认证注册信息的目标认证中心,也可以是在整个查找过程中的下一跳节点,然后通过该下一跳节点来继续查找。此外,每一个认证中心均有一个认证注册表。认证注册表用于保存由其负责的用户终端的认证信息。用户终端的认证信息用于切换认证过程中的快速查找认证,主要包括用户终端的接入标识、身份标签、数字证书以及注册时间等,其中用户终端的身份标签小于该认证中心的节点标识符并且大于该认证中心前驱的节点标识符。图6中示出路由表的第一列为起点(start),第二列为区间(interval),第三列为后继(succesor)。例如,节点0的路由表的第2项(对应于第2行,将表头记为第0行)表示自用户标识落在自2起的、在区间[2,4)(包含2且不包含4)的用户终端的后续信息为3,换而言之,通过该路由表的第2行可知,通过节点3来进一步确定存储了或要存储用户标识为2和3的用户终端的注册信息的节点(认证中心)。用户终端的身份标签的存储过程:换而言之,Chord环中每个认证中心都维护的一张Finger表,其中第i项存放着距离该节点长度为2^i-1(0≤i≤O(logxa02^N))的用户终端的后继信息。可见,Chord环中的各个认证中心共同存储了所有用户终端的后续信息。在本实施例中,假设作为Chord环中的节点0、1、3和6的认证中心的标识符分别为0、1、3和6。根据Chord算法,节点(认证中心)0存储身份标签为7和0的用户终端的认证注册信息,节点1存储身份标签为1的用户终端的认证注册信息,同理,节点3存储身份标签2和3的用户终端的认证注册信息,节点6存储身份标签4、5和6的用户终端的认证注册信息。当用户终端请求接入节点(认证中心)0所管理的接入网900A时,假设节点0向用户终端100A颁发的身份标签值为2,当节点0收到用户终端100A对身份标签的确认后,则其通过查询节点0自身的finger表。参考图6可知,可从节点0自身的finger表的第2项(即第2行)获知应将身份标签为2的用户终端的认证注册信息存储在认证中心3中。而后,节点0向节点3发送用户终端100A的认证注册信息,其中,认证注册信息主要包括例如用户终端100A的接入标识、身份标签、数字证书以及接入注册时间等信息。然后,节点3存储用户终端100A的认证注册信息,以完成整个身份标签的存储过程。用户终端的身份标签的查找过程:当节点1(认证中心1)收到数据包X后,解密出身份标签Id-Sig,通过Id-Sig在Chord环中根据Chord算法查找用户终端100A的认证注册信息。如图6所示,在Chord环结构中,节点0负责接入网900A的接入控制,认证中心1负责接入网900B的接入控制,当用户终端100A从接入网900A移动到接入网900B时,首先向节点1(认证中心1)发送数据包X,假设认证中心1解密出用户终端的身份标签为2,然后查找自己的Finger表,发现身份标签为2的用户终端的认证注册信息存储在认证中心3中,则认证中心1向认证中心3发送认证注册信息的请求消息。认证中心3收到请求消息后,将用户终端100A的认证注册信息发送给认证中心1,至此,完成整个的查找过程。虽然已经参考示例性实施例对本发明作了说明,但是应当理解,本发明并不限于所公开的示例性实施例。权利要求书的范围符合最宽的解释,以包括所有的修改以及等同结构和功能。例如,本发明的节点数量不限制为4、6、8个,可以为任意正整数个。通过本发明上述多个实施例可知,本发明在实施过程中,可以具体体现为网络认证方法、网络认证系统、或者网络系统中的认证装置。再如,构成Chord环可以不单纯是认证中心,其它任何相关网络装置可以与认证中心一起共同构成Chord环。再如,虚拟Chord环中的所有认证中心也可以有不同的数字证书与公私钥对,只要各个认证中心能够获知全部认证中心的公私钥对即可。