结合接入认证的卫星网络用户违规处理方法及相关设备

摘要

本发明提供一种结合接入认证的卫星网络用户违规处理方法及相关设备，该方法包括：通过网络前端的各卫通基站来完成对大量用户端的高频次接入认证，以缓解中心式认证容易产生的单点故障风险与性能瓶颈，减少认证传输时延；在接入认证通过后，用户端结合认证的匿名身份进行数据通信，卫通基站结合缓存的匿名身份与令牌第一参数，进行违规检测与初步判定，并对存在较低等级违规行为的用户端进行处理；对于存在较高等级违规行为的用户端，则由卫星网络中心在进一步的违规判定后，计算违规用户端的真实身份，更新有关黑名单，并联合各卫通基站进行违规处理，从而在兼顾用户接入身份匿名性的同时，也便于在发现违规行为后进行违规追溯与处理。

权利要求

1.一种结合接入认证的卫星网络用户违规处理方法，应用于卫星网络中心，其特征在于，包括：

接收违规判定请求信息，根据所述违规判定请求信息计算出令牌第一参数，并根据有关违规判定方法与标准，确定用户端是否存在违规行为以及所述违规行为对应违规等级的最终判定结果；

在判定所述用户端存在第二等级违规行为的情况下，将所述令牌第一参数加入令牌二级黑名单；在判定所述用户端存在第一等级违规行为的情况下，将所述令牌第一参数加入令牌一级黑名单，根据所述令牌第一参数，计算所述用户端的真实身份，并将所述真实身份加入真实身份黑名单，且生成令牌黑名单更新信息，将所述令牌黑名单更新信息经信关站广播给各通信卫星、卫通基站。

2.根据权利要求1所述的结合接入认证的卫星网络用户违规处理方法，其特征在于，还包括：

卫星网络中心定期对系统公共参数进行配置，并根据所述系统公共参数生成系统参数更新信息；

其中，所述系统公共参数至少包含：用于加解密的密码学基础参数、所述密码学基础参数的有效期限、令牌公共校验参数、所述令牌公共校验参数的有效期限、卫星网络中心的通信加密参数以及所述卫星网络中心通信加密参数的有效期限；

经信关站、各通信卫星、卫通基站，将所述系统参数更新信息进行全网广播。

3.根据权利要求2所述的结合接入认证的卫星网络用户违规处理方法，其特征在于，还包括：

卫星网络中心接收用户端在初次申请入网时的注册请求信息，获取所述注册请求信息中的用户端初始身份标识与初始校验信息；

根据所述初始校验信息，验证所述初始身份标识是否属实，并查询所述初始身份标识是否已注册；

在所述初始身份标识属实且尚未注册的情况下，为所述用户端配置在卫星通信网络中唯一的真实身份、具备有效期限的令牌第一参数、令牌第二参数；

根据所述真实身份、所述具备有效期限的令牌第一参数以及所述令牌第二参数生成注册响应信息，并将所述初始身份标识与所述真实身份进行关联存储，且将所述注册响应信息经安全信道发送至所述用户端；

其中，所述注册响应信息至少包含：所述真实身份、所述令牌第一参数、所述令牌第二参数，所述真实身份由所述初始身份标识结合随机数而计算得出，所述令牌第一参数根据所述真实身份、预先配置的系统公共参数而计算得出，所述令牌第二参数根据所述令牌第一参数、预先配置的系统公共参数计算得出；

其中，所述系统公共参数至少包含：用于加解密的密码学基础参数、所述密码学基础参数的有效期限、令牌公共校验参数、所述令牌公共校验参数的有效期限、卫星网络中心的通信加密参数以及所述卫星网络中心通信加密参数的有效期限。

4.根据权利要求3所述的结合接入认证的卫星网络用户违规处理方法，其特征在于，还包括：

卫星网络中心接收令牌更新第二请求信息，对所述令牌更新第二请求信息进行校验，其中，所述令牌更新第二请求信息是由卫通基站对来自用户端的令牌更新第一请求信息校验通过后计算生成的，并经若干跳通信卫星、信关站，转发给卫星网络中心；

在所述令牌更新第二请求信息校验通过的情况下，计算有关令牌更新请求校验参数，其中，所述有关令牌更新请求校验参数至少包含：真实身份、令牌第一参数以及令牌剩余可更新次数；

在所述真实身份以及所述令牌第一参数均不在黑名单之列，所述令牌剩余可更新次数大于零，且所述真实身份、令牌剩余可更新次数与存储记录相匹配的情况下，为所述用户端配置新的令牌第一参数、令牌第二参数；

对所述令牌剩余可更新次数进行递减，并将递减的所述令牌剩余可更新次数与所述真实身份进行关联存储；

生成令牌更新响应信息，并经信关站、若干跳通信卫星、卫通基站，将所述令牌更新响应信息返回给所述用户端；

其中，所述令牌更新响应信息至少包含：令牌更新响应校验参数、加密形式的已更新令牌第一参数以及令牌第二参数，所述令牌更新响应校验参数由所述有关令牌更新请求校验参数计算得到。

5.一种结合接入认证的卫星网络用户违规处理方法，应用于卫通基站，其特征在于，包括：

当接入认证通过的用户端使用匿名身份进行数据通信的过程中，卫通基站根据接入认证后缓存的所述匿名身份、令牌第一参数、有关违规检测方法与判定标准，对所述用户端是否存在违规行为进行检测，并对所述违规行为的违规等级进行初步判定；

在判定所述用户端存在第三等级违规行为的情况下，向所述用户端发送第三提示信息，且终断与所述用户端的此次通信连接，并删除缓存中的所述匿名身份；

在判定所述用户端存在第四等级违规行为的情况下，向所述用户端发送第四提示信息，并暂停与所述用户端的通信连接；

其中，所述第三提示信息用于指示连接断开的原因是所述用户端存在第三等级违规行为，且所述第三提示信息用于指示所述用户端再次建立通信连接需要重新进行接入认证；

其中，所述第四提示信息用于指示连接断开的原因是所述用户端存在第四等级违规行为，且所述第四提示信息用于指示所述用户端在指定时间后恢复通信连接；

在卫通基站初步判定所述用户端存在第一等级或第二等级违规行为的情况下，在缓存中查询与所述匿名身份相对应的令牌第一参数，并生成违规判定请求信息；

经若干跳通信卫星、信关站，将所述违规判定请求信息转发给卫星网络中心，其中，所述违规判定请求信息至少包含：加密后的所述令牌第一参数，所述令牌第一参数用于所述卫星网络中心计算所述用户端的真实身份；

接收令牌黑名单更新信息，对所述令牌黑名单更新信息进行消息来源与完整性校验；

在所述令牌黑名单更新信息的消息来源与完整性校验通过的情况下，更新存储的令牌黑名单，并向所述令牌黑名单中的违规用户端发送提示信息；

断开与所述违规用户端的通信连接；并在违规追责期限内，封禁所述违规用户端的接入认证权限和令牌更新权限；

其中，对于令牌一级黑名单内的违规用户端，卫通基站发送第一提示信息，所述第一提示信息用于指示所述用户端存在第一等级违规行为，且所述用户端的接入认证权限与令牌更新权限已被永久封禁；

对于令牌二级黑名单内的违规用户端，卫通基站发送第二提示信息；其中，所述第二提示信息用于指示所述用户端存在第二等级违规行为，在违规追责截止期限之后，存在第二等级违规行为的用户端恢复正常的接入认证权限与令牌更新权限。

6.根据权利要求5所述的结合接入认证的卫星网络用户违规处理方法，其特征在于，还包括：

卫通基站定期接收系统参数更新信息，并对所述系统参数更新信息进行消息来源与完整性校验；

在所述系统参数更新信息的消息来源与完整性校验通过的情况下，将所述系统参数更新信息广播给域内的用户端，并对所述系统参数更新信息的系统公共参数进行存储；

其中，所述系统公共参数至少包含：用于加解密的密码学基础参数、所述密码学基础参数的有效期限、令牌公共校验参数、所述令牌公共校验参数的有效期限、卫星网络中心的通信加密参数以及所述卫星网络中心通信加密参数的有效期限；

卫通基站定期对域内公共参数进行配置，并根据所述域内公共参数生成域内参数更新信息，并将所述域内参数更新信息广播至域内的各用户端；

其中，所述域内公共参数至少包含：卫通基站通信加密参数以及所述卫通基站通信加密参数的有效期限。

7.根据权利要求6所述的结合接入认证的卫星网络用户违规处理方法，其特征在于，还包括：

接收来自用户端的接入认证请求信息，校验所述接入认证请求信息的消息新鲜度；

在所述接入认证请求信息的消息新鲜度校验通过的情况下，根据所述系统公共参数与域内公共参数，计算此次的用户匿名身份，并验证令牌第一参数与令牌第二参数的校验参数是否满足指定关系，其中，所述接入认证请求信息至少包含以下字段：接入认证请求时间戳、接入认证第一加密参数、加密的令牌第一参数以及令牌第二参数的校验参数，其中，所述令牌第二参数的校验参数是由令牌第二参数计算得出的；

在所述令牌第一参数与令牌第二参数的校验参数满足指定关系的情况下，根据所述接入认证请求信息，计算接入认证响应参数，并根据所述认证响应参数生成接入认证响应信息发送给所述用户端；

其中，所述接入认证响应信息至少包含以下字段：接入认证响应时间戳以及接入认证响应参数，所述接入认证响应参数由所述接入认证请求信息解密后的原始参数计算得到；

缓存此次认证的用户匿名身份，以及与所述用户匿名身份对应的令牌第一参数。

8.根据权利要求6所述的结合接入认证的卫星网络用户违规处理方法，其特征在于，还包括：

接收来自用户端的令牌更新第一请求信息，校验所述令牌更新第一请求信息的消息新鲜度，其中，所述令牌更新第一请求信息至少包含以下字段：令牌更新第一请求时间戳、令牌更新第一加密参数、加密形式的令牌更新请求校验参数、令牌第二参数的校验参数，其中所述令牌更新请求校验参数至少包含：真实身份、令牌第一参数以及令牌剩余可更新次数，所述令牌第二参数的校验参数是由令牌第二参数计算得出的；

在所述令牌更新第一请求信息的消息新鲜度校验通过的情况下，根据所述系统公共参数与所述域内公共参数，计算令牌第一参数，并验证令牌第一参数与令牌第二参数的校验参数是否满足指定关系；

在所述令牌第一参数与令牌第二参数的校验参数满足指定关系的情况下，生成令牌更新第二请求信息，并发送给域内的通信卫星，其中，所述令牌更新第二请求信息至少包含：所述令牌更新第一加密参数、所述令牌第一参数以及加密形式的令牌更新请求校验参数；

接收令牌更新响应信息，对所述令牌更新响应信息进行消息来源与完整性校验；

在所述令牌更新响应信息的消息来源与完整性校验通过的情况下，将所述令牌更新响应信息转发给所述用户端。

9.一种卫星网络中心，其特征在于，包括：系统参数更新模块，用于定期对系统公共参数进行配置，并根据所述系统公共参数生成系统参数更新信息，经信关站、各通信卫星、卫通基站，将所述系统参数更新信息进行全网广播，其中，所述系统公共参数至少包含：用于加解密的密码学基础参数、所述密码学基础参数的有效期限、令牌公共校验参数、所述令牌公共校验参数的有效期限、卫星网络中心的通信加密参数以及所述卫星网络中心通信加密参数的有效期限；

注册响应模块，用于接收并验证注册请求信息，对于所述注册请求信息属实且尚未注册过的用户端，配置所述用户端在卫星通信网络中唯一的真实身份，具备有效期限的令牌第一参数、令牌第二参数，并根据所述真实身份、所述具备有效期限的令牌第一参数以及所述令牌第二参数生成注册响应信息，且将所述注册响应信息经安全信道返回至所述用户端；

违规判定模块，用于接收违规判定请求信息，并根据所述违规判定请求信息计算出的令牌第一参数，根据有关违规判定方法与标准，确定用户端是否存在违规行为以及所述违规行为对应违规等级的最终判定结果；

违规处理模块，用于在判定所述用户端存在第二等级违规行为的情况下，将所述令牌第一参数加入令牌二级黑名单；在判定所述用户端存在第一等级违规行为的情况下，将所述令牌第一参数加入令牌一级黑名单，根据所述令牌第一参数，计算所述用户端的真实身份，并将所述真实身份加入真实身份黑名单，且生成令牌黑名单更新信息，并且将所述令牌黑名单更新信息经信关站广播给各通信卫星、卫通基站；

令牌更新响应模块，用于接收并校验令牌更新第二请求信息，在所述令牌更新第二请求信息校验通过的情况下，配置更新后的令牌第一参数、令牌第二参数，并计算生成令牌更新响应信息，将所述令牌更新响应信息经信关站、若干跳通信卫星、卫通基站发送给所述用户端。

10.一种卫通基站，其特征在于，包括：参数更新模块，用于定期接收并校验系统参数更新信息；在所述系统参数更新信息校验通过的情况下，对所述系统参数更新信息中的系统公共参数进行存储，并将所述系统参数更新信息广播给域内的用户端，其中，所述系统公共参数至少包含：用于加解密的密码学基础参数、所述密码学基础参数的有效期限、令牌公共校验参数、所述令牌公共校验参数的有效期限、卫星网络中心的通信加密参数以及所述卫星网络中心通信加密参数的有效期限；

所述参数更新模块，还用于定期对域内公共参数进行配置，并根据所述域内公共参数生成域内参数更新信息，并且将所述域内参数更新信息广播至域内的各用户端，其中，所述域内公共参数至少包含：卫通基站通信加密参数以及所述卫通基站通信加密参数的有效期限；

接入认证响应模块，用于接收并校验来自用户端的接入认证请求信息，在所述接入认证请求信息校验通过的情况下，计算用户匿名身份，并验证令牌第一参数与令牌第二参数的校验参数是否满足指定关系，在所述令牌第一参数与所述令牌第二参数的校验参数满足指定关系的情况下，生成接入认证响应信息，并将所述接入认证响应信息发送给所述用户端，缓存此次认证的用户匿名身份，以及所述令牌第一参数；

通信数据传输模块，用于在与用户端进行接入认证之后，根据缓存的用户匿名身份，允许与所述用户端建立通信连接，并在数据通信过程中，对数据帧头中未正确包含所述匿名身份的用户数据进行过滤，将数据帧头中正确包含有所述匿名身份的用户数据转发给域内的通信卫星，并在此次通信结束时，删除缓存的所述用户匿名身份；

违规检测模块，用于在数据通信过程中，结合缓存的用户匿名身份、令牌第一参数，根据有关违规检测方法与判定标准，对所述用户端进行违规检测与初步判定；

违规初步处理模块，用于在判定所述用户端存在第三等级违规行为的情况下，向所述用户端发送第三提示信息，并终断与所述用户端的此次通信连接，且删除缓存中的所述匿名身份；

所述违规初步处理模块，还用于在判定所述用户端存在第四违规等级行为的情况下，向所述用户端发送第四提示信息，并暂停与所述用户端的此次通信连接；

违规判定请求模块，用于在初步判定所述用户端存在第一等级或第二等级违规行为的情况下，在缓存中查询与用户匿名身份相对应的令牌第一参数，并生成违规判定请求信息，且经若干跳通信卫星、信关站，将所述违规判定请求信息发送至卫星网络中心，所述令牌第一参数用于所述卫星网络中心计算所述用户端的真实身份；

违规判定响应处理模块，用于接收并校验所述令牌黑名单更新信息，在所述令牌黑名单更新信息校验通过的情况下，更新存储的令牌黑名单，并向违规用户端发送提示信息，且断开与违规用户端的网络连接，并且在违规追责期限内封禁违规用户端的接入认证权限和令牌更新权限；

令牌更新第一请求处理模块，用于接收并校验来自用户端的所述令牌更新第一请求信息，在所述令牌更新第一请求信息校验通过的情况下，计算令牌第一参数，并验证令牌第一参数与令牌第二参数的校验参数是否满足指定关系，在验证通过的情况下，生成所述令牌更新第二请求信息，并将所述令牌更新第二请求信息发送给域内的通信卫星；

令牌更新响应处理模块，用于接收并校验所述令牌更新响应信息，在校验通过的情况下，将所述令牌更新响应信息转发给所述用户端。

11.一种终端设备，其特征在于，包括存储器、处理器、收发器；

所述存储器用于存储计算机执行指令；

所述处理器用于执行所述存储器存储的计算机执行指令，使得所述处理器执行如权利要求1至8任一项所述的结合接入认证的卫星网络用户违规处理方法；

所述收发器用于接收外部设备发送的信息以及向外部设备发送信息。

12.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质中存储有计算机执行指令，所述计算机执行指令被处理器执行时用于实现如权利要求1至8任一项所述的结合接入认证的卫星网络用户违规处理方法。

说明书

结合接入认证的卫星网络用户违规处理方法及相关设备

技术领域

[0001] 本发明涉及通信技术领域，尤其涉及一种结合接入认证的卫星网络用户违规处理方法及相关设备。

背景技术

[0002] 随着通信卫星通信网络的发展和广泛应用，越来越多的不安全因素也随之产生，其中不乏通过冒充合法用户身份而发起网络攻击的案例。为此，在用户端正式接入卫星通
信网络进行大量数据的通信传输之前，往往需要进行双向安全的接入认证：一方面，卫星网
络端需要认证接入的是合法用户，以防护系统安全；另一方面，用户端也需要认证接入的是
合法的卫星通信网络，以防被伪基站欺骗和攻击，损害数据安全。

[0003] 然而，现有的由卫星网络认证中心进行单点集中式的接入认证方式，存在单点故障风险与性能瓶颈的问题，且容易产生较大的网络传输时延。此外，出于认证轻量化的考
虑，现有的卫星网络用户接入认证方案中，一些不支持身份匿名性保护，一旦用户端身份泄
漏或被恶意追踪，将带来极大的通信安全隐患；一些方案虽提供了不同程度的身份匿名性
保护，但未充分考虑相应的违规身份追溯与处理机制，若合法用户端在认证通过并匿名接
入网络后出现违规行为，或将给系统造成难以估量的损失。

发明内容

[0004] 有鉴于此，本发明提供一种结合接入认证的卫星网络用户违规处理方法及相关设备，通过联合卫星网络前端的各卫通基站进行接入认证与违规处理，以缓解中心式接入认
证方式容易产生的卫星网络中心单点故障风险与性能瓶颈，并解决合法用户端在匿名接入
网络后出现违规行为时难以被及时有效地限制通信的问题。

[0005] 第一方面，本发明提供一种结合接入认证的卫星网络用户违规处理方法，应用于卫星网络中心，包括：

[0006] 接收违规判定请求信息，结合所述违规判定请求信息计算出令牌第一参数，并根据有关违规判定方法与标准，确定用户端是否存在违规行为以及所述违规行为对应违规等
级的最终判定结果；

[0007] 在判定所述用户端存在第二等级违规行为的情况下，将所述令牌第一参数加入令牌二级黑名单；在判定所述用户端存在第一等级违规行为的情况下，将所述令牌第一参数
加入令牌一级黑名单，此外，根据所述令牌第一参数，计算所述用户端的真实身份，并将所
述真实身份加入真实身份黑名单，且生成令牌黑名单更新信息，将所述令牌黑名单更新信
息经信关站广播给各通信卫星、卫通基站。

[0008] 可选地，还包括：

[0009] 卫星网络中心定期对系统公共参数进行配置，并根据所述系统公共参数生成系统参数更新信息；

[0010] 其中，所述系统公共参数至少包含：用于加解密的密码学基础参数、所述密码学基础参数的有效期限、令牌公共校验参数、所述令牌公共校验参数的有效期限、卫星网络中心
的通信加密参数以及所述卫星网络中心通信加密参数的有效期限；

[0011] 经信关站、各通信卫星、卫通基站，将所述系统参数更新信息进行全网广播。

[0012] 可选地，还包括：

[0013] 卫星网络中心接收用户端在初次申请入网时的注册请求信息，获取所述注册请求信息中的用户端初始身份标识与初始校验信息；

[0014] 根据所述初始校验信息，验证所述初始身份标识是否属实，并查询所述初始身份标识是否已注册；

[0015] 在所述初始身份标识属实且尚未注册的情况下，为所述用户端配置在卫星通信网络中唯一的真实身份、具备有效期限的令牌第一参数、令牌第二参数；

[0016] 根据所述真实身份、所述具备有效期限的令牌第一参数以及所述令牌第二参数生成注册响应信息，并将所述初始身份标识与所述真实身份进行关联存储，且将所述注册响
应信息经安全信道发送至所述用户端；

[0017] 其中，所述注册响应信息至少包含：所述真实身份、所述令牌第一参数、所述令牌第二参数，所述真实身份可由所述初始身份标识结合随机数而计算得出，所述令牌第一参
数根据所述真实身份、预先配置的系统公共参数而计算得出，所述令牌第二参数可根据所
述令牌第一参数、预先配置的系统公共参数计算得出；

[0018] 其中，所述系统公共参数至少包含：用于加解密的密码学基础参数、所述密码学基础参数的有效期限、令牌公共校验参数、所述令牌公共校验参数的有效期限、卫星网络中心
的通信加密参数以及所述卫星网络中心通信加密参数的有效期限。

[0019] 可选地，还包括：

[0020] 卫星网络中心接收令牌更新第二请求信息，对所述令牌更新第二请求信息进行校验，其中，所述令牌更新第二请求信息是由卫通基站对来自用户端的令牌更新第一请求信
息校验通过后计算生成的，并经若干跳通信卫星、信关站，转发给卫星网络中心；

[0021] 在所述令牌更新第二请求信息校验通过的情况下，计算有关令牌更新请求校验参数；其中，所述有关令牌更新请求校验参数至少包含：真实身份、令牌第一参数以及令牌剩
余可更新次数；

[0022] 在所述真实身份以及所述令牌第一参数均不在黑名单之列，所述令牌剩余可更新次数大于零，且所述真实身份、令牌剩余可更新次数与存储记录相匹配的情况下，为所述用
户端配置新的令牌第一参数、令牌第二参数；

[0023] 对所述令牌剩余可更新次数进行递减，并将递减的所述令牌剩余可更新次数与所述真实身份进行关联存储；

[0024] 生成令牌更新响应信息，并经信关站、若干跳通信卫星、卫通基站，将所述令牌更新响应信息返回给所述用户端；

[0025] 其中，所述令牌更新响应信息至少包含：令牌更新响应校验参数、加密形式的已更新令牌第一参数以及令牌第二参数，其中，所述令牌更新响应校验参数由所述有关令牌更
新请求校验参数计算得到。

[0026] 第二方面，本发明提供一种结合接入认证的卫星网络用户违规处理方法，应用于通信卫星，包括：

[0027] 在接收到来自卫星网络中心附属信关站或者上一跳通信卫星的上行信息的情况下，对所述上行信息进行消息来源与完整性校验；

[0028] 在所述上行信息的消息来源与完整性校验通过的情况下，根据有关路由选择算法，将校验通过的所述上行信息转发给卫通基站或者下一跳通信卫星；

[0029] 在接收到来自卫通基站的下行信息的情况下，并对所述下行信息进行消息来源与完整性校验；

[0030] 在所述下行信息的来源与完整性校验通过的情况下，将所述下行信息附上自身的节点标识，并计算新的消息认证码，从而生成处理后的下行信息；

[0031] 根据所述有关路由选择算法，将所述处理后的下行信息转发至所述卫星网络中心附属信关站或者下一跳通信卫星。

[0032] 第三方面，本发明提供一种结合接入认证的卫星网络用户违规处理方法，应用于卫通基站，包括：

[0033] 当接入认证通过的用户端使用匿名身份进行数据通信的过程中，卫通基站结合接入认证后缓存的所述匿名身份、令牌第一参数，根据有关违规检测方法与判定标准，对所述
用户端是否存在违规行为进行检测，并对所述违规行为的违规等级进行初步判定；

[0034] 其中，所述有关违规检测方法可以基于但不限于以下原理：相关性分析、聚类分析、KL散度，等等；

[0035] 其中，所述违规行为可以包括但不限于：短时间内多次发起相同的数据请求、不符合用户通信行为习惯的异常通信请求、DoS攻击、DDoS攻击、非法窃取系统权限与数据，等
等；

[0036] 其中，所述违规等级可结合实际情况，由系统进行定义，在本发明中，仅以第三、第四违规等级来代表较低违规等级，以第一、第二违规等级来代表较高违规等级，对相应的违
规处理进行说明，其余可以此类推，以下不再进行赘述；

[0037] 需要说明的是，所述匿名身份在接入认证通过后，将分别缓存于所述卫通基站和用户端，以允许两者之间建立本次通信连接，在数据通信过程中，所述用户端将所述匿名身
份封装进通信数据帧头，卫通基站对数据帧头中未正确包含所述匿名身份的用户数据进行
过滤，将数据帧头中正确包含有所述匿名身份的用户数据进行转发，并根据有关违规检测
方法与判定标准，对包含有所述匿名身份的用户数据进行违规检测、初步判定与处理，在初
步判定存在第一等级或第二等级违规行为的情况下，查询缓存的与所述匿名身份所对应的
令牌第一参数，并生成违规判定请求信息，当通信结束时，卫通基站释放本次通信连接，并
删除缓存的所述用户匿名身份；

[0038] 在判定所述用户端存在第三等级违规行为的情况下，向所述用户端发送第三提示信息，且终断与所述用户端的此次通信连接，并删除缓存中的所述匿名身份；

[0039] 在判定所述用户端存在第四等级违规行为的情况下，向所述用户端发送第四提示信息，并暂停与所述用户端的通信连接；

[0040] 其中，所述第三提示信息用于指示连接断开的原因是所述用户端存在第三等级违规行为，且所述第三提示信息用于指示所述用户端再次建立通信连接需要重新进行接入认
证；

[0041] 其中，所述第四提示信息用于指示连接断开的原因是所述用户端存在第四等级违规行为，且所述第四提示信息用于指示所述用户端在指定时间后恢复通信连接；

[0042] 在卫通基站初步判定所述用户端存在第一等级或第二等级违规行为的情况下，在缓存中查询与所述匿名身份相对应的令牌第一参数，并生成违规判定请求信息；

[0043] 经若干跳通信卫星、信关站，将所述违规判定请求信息转发给所述卫星网络中心，其中，所述违规判定请求信息至少包含：加密后的所述令牌第一参数；

[0044] 接收令牌黑名单更新信息，对所述令牌黑名单更新信息进行消息来源与完整性校验；

[0045] 在所述令牌黑名单更新信息的消息来源与完整性校验通过的情况下，更新存储的令牌黑名单，并向所述令牌黑名单中的违规用户端发送提示信息；

[0046] 断开与所述违规用户端的通信连接；并在违规追责期限内，封禁所述违规用户端的接入认证权限和令牌更新权限；

[0047] 其中，对于令牌一级黑名单内的违规用户端，卫通基站发送第一提示信息，所述第一提示信息用于指示所述用户端存在第一等级违规行为，且所述用户端的接入认证权限与
令牌更新权限已被永久封禁；

[0048] 对于令牌二级黑名单内的违规用户端，卫通基站发送第二提示信息；其中，所述第二提示信息用于指示所述用户端存在第二等级违规行为，在违规追责截止期限之后，存在
第二等级违规行为的用户端恢复正常的接入认证权限与令牌更新权限。

[0049] 可选地，还包括：

[0050] 卫通基站定期接收系统参数更新信息，并对所述系统参数更新信息进行消息来源与完整性校验；

[0051] 在所述系统参数更新信息的消息来源与完整性校验通过的情况下，将所述系统参数更新信息广播给域内的用户端，并对所述系统参数更新信息的系统公共参数进行存储；

[0052] 其中，所述系统公共参数至少包含：用于加解密的密码学基础参数、所述密码学基础参数的有效期限、令牌公共校验参数、所述令牌公共校验参数的有效期限、卫星网络中心
的通信加密参数以及所述卫星网络中心通信加密参数的有效期限。

[0053] 卫通基站定期对域内公共参数进行配置，并根据所述域内公共参数生成域内参数更新信息，并将所述域内参数更新信息广播至域内的各用户端；其中，所述域内公共参数至
少包含：卫通基站通信加密参数以及所述卫通基站通信加密参数的有效期限。

[0054] 可选地，还包括：

[0055] 接收来自用户端的接入认证请求信息，校验所述接入认证请求信息的消息新鲜度；

[0056] 在所述接入认证请求信息的消息新鲜度校验通过的情况下，根据所述系统公共参数与域内公共参数，计算此次的用户匿名身份，并验证令牌第一参数与令牌第二参数的校
验参数是否满足指定关系，其中，所述接入认证请求信息至少包含以下字段：接入认证请求
时间戳、接入认证第一加密参数、加密的令牌第一参数以及令牌第二参数的校验参数，其中
所述令牌第二参数的校验参数是由令牌第二参数计算得出的；

[0057] 在所述令牌第一参数与令牌第二参数的校验参数满足指定关系的情况下，根据所述接入认证请求信息，计算接入认证响应参数，并根据所述认证响应参数生成接入认证响
应信息并发送给所述用户端；

[0058] 其中，所述接入认证响应信息至少包含以下字段：接入认证响应时间戳以及接入认证响应参数，所述接入认证响应参数由所述接入认证请求信息解密后的原始参数计算得
到；

[0059] 缓存此次认证的用户匿名身份，以及与所述用户匿名身份对应的令牌第一参数；

[0060] 需要说明的是，卫通基站在对所述用户端完成接入认证之后，接下来，将根据缓存的用户匿名身份，允许与所述用户端建立通信连接，在数据通信过程中，卫通基站对数据帧
头中未正确包含所述匿名身份的用户数据进行过滤，将数据帧头中正确包含有所述匿名身
份的用户数据进行转发，并根据有关违规检测方法与判定标准，对包含有所述匿名身份的
用户数据进行违规检测、初步判定与处理，在初步判定存在第一等级或第二等级违规行为
的情况下，查询缓存的与所述匿名身份所对应的令牌第一参数，并生成违规判定请求信息，
当通信结束时，卫通基站释放本次通信连接，并删除缓存的所述用户匿名身份。

[0061] 可选地，还包括：

[0062] 接收来自用户端的令牌更新第一请求信息，校验所述令牌更新第一请求信息的消息新鲜度，其中，所述令牌更新第一请求信息至少包含以下字段：令牌更新第一请求时间
戳、令牌更新第一加密参数、加密形式的令牌更新请求校验参数、令牌第二参数的校验参
数，所述令牌更新请求校验参数至少包含：真实身份、令牌第一参数以及令牌剩余可更新次
数；

[0063] 在所述令牌更新第一请求信息的消息新鲜度校验通过的情况下，根据所述系统公共参数与所述域内公共参数，计算令牌第一参数，并验证令牌第一参数与令牌第二参数的
校验参数是否满足指定关系；

[0064] 在所述令牌第一参数与令牌第二参数的校验参数满足指定关系的情况下，生成令牌更新第二请求信息，并发送给域内的通信卫星，其中，所述令牌更新第二请求信息至少包
含：所述令牌更新第一加密参数、所述令牌第一参数以及加密形式的令牌更新请求校验参
数；

[0065] 接收令牌更新响应信息，对所述令牌更新响应信息进行消息来源与完整性校验；

[0066] 在所述令牌更新响应信息的消息来源与完整性校验通过的情况下，将所述令牌更新响应信息转发给所述用户端。

[0067] 第四方面，本发明提供一种结合接入认证的卫星网络用户违规处理方法，应用于用户端，包括：

[0068] 定期接收系统参数更新信息，并对所述系统参数更新信息进行消息来源与完整性校验；

[0069] 在所述系统参数更新信息的消息来源与完整性校验通过的情况下，对所述系统参数更新信息中的系统公共参数进行存储；

[0070] 所述系统公共参数由卫星网络中心定期进行配置，并经信关站、通信卫星、卫通基站在全网进行广播，其中，所述系统公共参数至少包含：用于加解密的密码学基础参数、所
述密码学基础参数的有效期限、令牌公共校验参数、所述令牌公共校验参数的有效期限、卫
星网络中心的通信加密参数以及所述卫星网络中心通信加密参数的有效期限；

[0071] 定期接收域内参数更新信息，并对所述域内参数更新信息进行消息来源与完整性校验；

[0072] 在所述域内参数更新信息的消息来源与完整性校验通过的情况下，对所述域内参数更新信息中的域内公共参数进行存储；

[0073] 所述域内公共参数由卫通基站定期进行配置，并在域内进行广播，其中，所述域内公共参数至少包含：卫通基站通信加密参数以及所述卫通基站通信加密参数的有效期限。

[0074] 可选地，还包括：

[0075] 用户端在初次申请入网时，根据所述用户端的初始身份标识、初始校验信息，生成注册请求信息；

[0076] 通过安全信道，将所述注册请求信息发送至所述卫星网络中心；

[0077] 经安全信道接收所述卫星网络中心的注册响应信息，获取所述注册响应信息中的真实身份、令牌第一参数、令牌第二参数，其中，所述真实身份具有全网唯一性，所述令牌第
一参数以及所述令牌第二参数具备有效期限，且所述令牌第一参数以及所述令牌第二参数
的最长有效期限由当前的系统公共参数的有效期限确定；

[0078] 对所述真实身份、所述令牌第一参数以及所述令牌第二参数进行安全存储。

[0079] 可选地，还包括：

[0080] 当用户端需要接入卫星通信网络时，根据安全存储的令牌第一参数、令牌第二参数，结合所述系统公共参数与域内公共参数，计算所述用户端的匿名身份，并生成接入认证
请求信息，且将所述接入认证请求信息发送给附近的卫通基站，其中，所述接入认证请求信
息至少包含以下字段：接入认证请求时间戳、接入认证第一加密参数、加密的令牌第一参
数、令牌第二参数的校验参数；

[0081] 接收来自卫通基站的接入认证响应信息，并根据所述接入认证响应信息对所述卫通基站进行接入认证计算与校验，其中，所述接入认证响应信息至少包含以下字段：接入认
证响应时间戳、接入认证响应参数，其中，所述接入认证响应参数由所述接入认证请求信息
解密后的原始参数计算得到；

[0082] 在所述接入认证校验通过的情况下，计算会话密钥与完整性保护密钥，并对所述会话密钥、完整性保护密钥以及此次认证的匿名身份进行安全存储，以用于正式的数据通
信过程，其中，所述会话密钥用于对通信数据进行对称加密，所述完整性保护密钥用于计算
消息认证码。

[0083] 需要说明的是，在接入认证后的数据通信过程中，用户端将所述匿名身份封装进数据帧，并使用所述会话密钥对需要传输的数据进行加密，且使用所述完整性保护密钥计
算消息认证码，通过所述卫通基站在卫星网络中进行通信数据传输。

[0084] 可选地，还包括：

[0085] 当用户端需要进行令牌更新时，用户端将待更新的令牌第一参数、令牌第二参数、结合所述系统公共参数与域内公共参数，计算生成令牌更新第一请求信息，并将所述令牌
更新第一请求信息发送给附近的卫通基站；

[0086] 其中，所述令牌更新第一请求信息至少包含以下字段：令牌更新第一请求时间戳、令牌更新第一加密参数、加密形式的令牌更新请求校验参数、令牌第二参数的校验参数，其
中所述令牌更新请求校验参数至少包含：真实身份、令牌第一参数、令牌剩余可更新次数；

[0087] 接收令牌更新响应信息，并对所述令牌更新响应信息进行消息来源与完整性校验；

[0088] 在所述令牌更新响应信息的消息来源与完整性校验通过的情况下，计算令牌更新响应校验参数、更新后的令牌第一参数、更新后的令牌第二参数，其中，所述令牌更新响应
校验参数是由令牌更新请求校验参数计算得到，其中所述令牌更新请求校验参数至少包
含：真实身份、令牌第一参数、令牌剩余可更新次数；

[0089] 验证所述令牌更新响应校验参数是否正确，且验证更新后的令牌第一参数、更新后的令牌第二参数是否满足指定关系；

[0090] 在验证通过的情况下，对所述更新后的令牌第一参数、更新后的令牌第二参数进行安全存储。

[0091] 需要说明的是，当所述令牌第一参数、令牌第二参数在用户端存储或使用了一定时间，而可能出现泄漏或被窃取等安全风险时，可以在目前系统公共参数的有效期限内，进
行令牌更新，且用户端在目前系统公共参数的有效期内，拥有一定次数的令牌更新权限，每
进行一次令牌更新，则消耗一次令牌更新权限；用户端可结合安全性需求，在系统允许的更
新次数范围内，自行选择进行令牌更新的时机和次数，以消减由于所述令牌第一参数、令牌
第二参数长期在用户端存储而可能带来的安全性隐患。

[0092] 第五方面，本发明提供一种卫星网络中心，包括：

[0093] 系统参数更新模块，用于定期对系统公共参数进行配置，并根据所述系统公共参数生成系统参数更新信息，经信关站、各通信卫星、卫通基站，将所述系统参数更新信息进
行全网广播，其中，所述系统公共参数至少包含：用于加解密的密码学基础参数、所述密码
学基础参数的有效期限、令牌公共校验参数、所述令牌公共校验参数的有效期限、卫星网络
中心的通信加密参数以及所述卫星网络中心通信加密参数的有效期限；

[0094] 注册响应模块，用于接收并验证注册请求信息，对于所述注册请求信息属实且尚未注册过的用户端，配置所述用户端在卫星通信网络中唯一的真实身份，具备有效期限的
令牌第一参数、令牌第二参数，并根据所述真实身份、所述具备有效期限的令牌第一参数以
及所述令牌第二参数生成注册响应信息，且将所述注册响应信息经安全信道返回至所述用
户端；

[0095] 违规判定模块，用于接收违规判定请求信息，并结合所述违规判定请求信息计算出的令牌第一参数，根据有关违规判定方法与标准，确定用户端是否存在违规行为以及所
述违规行为对应违规等级的最终判定结果；

[0096] 违规处理模块，用于在判定所述用户端存在第二等级违规行为的情况下，将所述令牌第一参数加入令牌二级黑名单；在判定所述用户端存在第一等级违规行为的情况下，
将所述令牌第一参数加入令牌一级黑名单，此外，根据所述令牌第一参数，计算所述用户端
的真实身份，并将所述真实身份加入真实身份黑名单，且生成令牌黑名单更新信息，并且将
所述令牌黑名单更新信息经信关站广播给各通信卫星、卫通基站；

[0097] 令牌更新响应模块，用于接收并校验令牌更新第二请求信息，在所述令牌更新第二请求信息校验通过的情况下，配置更新后的令牌第一参数、令牌第二参数，并计算生成令
牌更新响应信息，将所述令牌更新响应信息经信关站、若干跳通信卫星、卫通基站发送给所
述用户端。

[0098] 第六方面，本发明提供一种通信卫星，包括：

[0099] 上行信息处理模块，用于在接收到的来自卫星网络中心附属信关站或者上一跳通信卫星的上行信息的情况下，对所述上行信息进行消息来源与完整性的校验，在所述上行
信息的消息来源与完整性校验通过的情况下，根据有关路由选择算法，将校验通过的上行
信息转发给卫通基站或者下一跳通信卫星；

[0100] 下行信息处理模块，用于在接收到的来自卫通基站的下行信息的情况下，并对所述下行信息进行消息来源与完整性的校验，将校验失败的下行信息丢弃，将校验通过的下
行信息附上自身的节点标识，并计算新的消息认证码，从而生成处理后的下行信息，并且根
据所述有关路由选择算法，将所述处理后的下行信息转发至卫星网络中心附属信关站或者
下一跳通信卫星。

[0101] 第七方面，本发明提供一种卫通基站，包括：

[0102] 参数更新模块，用于定期接收并校验系统参数更新信息；在所述系统参数更新信息校验通过的情况下，对所述系统参数更新信息中的系统公共参数进行存储，并将所述系
统参数更新信息广播给域内的用户端，其中，所述系统公共参数至少包含：用于加解密的密
码学基础参数、所述密码学基础参数的有效期限、令牌公共校验参数、所述令牌公共校验参
数的有效期限、卫星网络中心的通信加密参数以及所述卫星网络中心通信加密参数的有效
期限；

[0103] 所述参数更新模块，还用于定期对域内公共参数进行配置，并根据所述域内公共参数生成域内参数更新信息，并且将所述域内参数更新信息广播至域内的各用户端，其中，
所述域内公共参数至少包含：卫通基站通信加密参数以及所述卫通基站通信加密参数的有
效期限；

[0104] 接入认证响应模块，用于接收并校验来自用户端的接入认证请求信息，在所述接入认证请求信息校验通过的情况下，计算用户匿名身份，并验证令牌第一参数与令牌第二
参数的校验参数是否满足指定关系，在所述令牌第一参数与所述令牌第二参数的校验参数
满足指定关系的情况下，生成接入认证响应信息，并将所述接入认证响应信息发送给所述
用户端，缓存此次认证的用户匿名身份，以及所述令牌第一参数；

[0105] 通信数据传输模块，用于在与用户端进行接入认证之后，根据缓存的用户匿名身份，允许与所述用户端建立通信连接，并在数据通信过程中，对数据帧头中未正确包含所述
匿名身份的用户数据进行过滤，将数据帧头中正确包含有所述匿名身份的用户数据转发给
域内的通信卫星，并在此次通信结束时，删除缓存的所述用户匿名身份；

[0106] 违规检测模块，用于在数据通信过程中，结合缓存的用户匿名身份、令牌第一参数，根据有关违规检测方法与判定标准，对所述用户端进行违规检测与初步判定；

[0107] 违规初步处理模块，用于在判定所述用户端存在第三等级违规行为的情况下，向所述用户端发送所述第三提示信息，并终断与所述用户端的此次通信连接，且删除缓存中
的所述匿名身份；

[0108] 所述违规初步处理模块，还用于在判定所述用户端存在第四违规等级行为的情况下，向所述用户端发送所述第四提示信息，并暂停与所述用户端的此次通信连接；

[0109] 违规判定请求模块，用于在初步判定所述用户端存在第一等级或第二等级违规行为的情况下，在缓存中查询与用户匿名身份相对应的令牌第一参数，并生成所述违规判定
请求信息，且经若干跳通信卫星、信关站，将所述违规判定请求信息发送至卫星网络中心；

[0110] 违规判定响应处理模块，用于接收并校验所述令牌黑名单更新信息，在所述令牌黑名单更新信息校验通过的情况下，更新存储的令牌黑名单，并向违规用户端发送提示信
息，且断开与违规用户端的网络连接，并且在违规追责期限内封禁违规用户端的接入认证
权限和令牌更新权限；

[0111] 令牌更新第一请求处理模块，用于接收并校验来自用户端的所述令牌更新第一请求信息，在所述令牌更新第一请求信息校验通过的情况下，计算令牌第一参数，并验证令牌
第一参数与令牌第二参数的校验参数是否满足指定关系，在验证通过的情况下，生成所述
令牌更新第二请求信息，并将所述令牌更新第二请求信息发送给域内的通信卫星；

[0112] 令牌更新响应处理模块，用于接收并校验所述令牌更新响应信息，在校验通过的情况下，将所述令牌更新响应信息转发给所述用户端。

[0113] 第八方面，本发明提供一种用户端，包括：

[0114] 参数配置模块，用于定期接收并校验系统参数更新信息，在校验通过的情况下，对所述系统参数更新信息中的系统公共参数进行存储，其中，所述系统公共参数至少包含：用
于加解密的密码学基础参数、所述密码学基础参数的有效期限、令牌公共校验参数、所述令
牌公共校验参数的有效期限、卫星网络中心的通信加密参数以及所述卫星网络中心通信加
密参数的有效期限；

[0115] 所述参数配置模块，还用于定期接收并校验域内参数更新信息，在校验通过的情况下，对所述域内参数更新信息中的域内公共参数进行存储，其中，所述域内公共参数至少
包含：卫通基站通信加密参数及所述卫通基站通信加密参数的有效期限；

[0116] 注册请求模块，用于根据初始身份标识及初始校验信息，生成注册请求信息，并将所述注册请求信息经安全信道发送给卫星网络中心；

[0117] 注册响应处理模块，用于通过安全信道接收所述卫星网络中心的注册响应信息，并获取所述注册响应信息中的网络唯一真实身份、具备有效期限的令牌第一参数、令牌第
二参数，并对所述真实身份、所述令牌第一参数、所述令牌第二参数进行安全存储；

[0118] 接入认证请求模块，用于所述用户端在需要接入卫星通信网络时，根据安全存储的令牌第一参数、令牌第二参数，结合所述系统公共参数和域内公共参数，计算匿名身份，
生成所述接入认证请求信息，并将所述接入认证请求信息发送至卫通基站；

[0119] 接入认证响应处理模块，用于接收并校验所述卫通基站的接入认证响应信息，在校验通过的情况下，对于异常的接入认证响应提示信息，对所述接入认证响应提示信息进
行解析，对于正常的接入认证响应信息，对所述接入认证响应信息中的参数进行校验，在参
数校验通过的情况下，计算会话密钥与完整性保护密钥，并安全存储会话密钥、完整性保护
密钥、以及此次认证的匿名身份；

[0120] 通信数据传输模块，用于在与所述卫通基站完成接入认证之后的数据通信过程中，将所述匿名身份封装进数据帧，并使用所述会话密钥对需要传输的数据进行加密，且使
用所述完整性保护密钥计算消息认证码，并且通过所述卫通基站在卫星网络中进行通信数
据传输；

[0121] 令牌更新请求模块，用于在需要进行令牌更新时，根据待更新的令牌第一参数、令牌第二参数，结合所述系统公共参数和域内公共参数，生成所述令牌更新第一请求信息，并
将所述令牌更新第一请求信息发送至卫通基站；

[0122] 令牌更新响应处理模块，用于接收并校验所述令牌更新响应信息，在所述令牌更新响应信息校验通过的情况下，计算并验证令牌更新响应校验参数是否正确，且验证更新
后的令牌第一参数、更新后的令牌第二参数是否满足指定关系，在验证通过的情况下，对更
新后的令牌第一参数、更新后的令牌第二参数进行安全存储。

[0123] 第九方面，本发明提供一种终端设备，包括存储器、处理器、收发器；

[0124] 所述存储器存储计算机执行指令；

[0125] 所述处理器执行所述存储器存储的计算机执行指令，使得所述处理器执行如上所述的结合接入认证的卫星网络用户违规处理方法；

[0126] 所述收发器用于接收外部设备发送的信息以及向外部设备发送信息。

[0127] 第十方面，本发明提供一种计算机可读存储介质，所述计算机可读存储介质中存储有计算机执行指令，所述计算机执行指令被处理器执行时，用于实现如上所述的结合接
入认证的卫星网络用户违规处理方法。

[0128] 本发明提供的结合接入认证的卫星网络用户违规处理方法及相关设备，通过网络前端的各卫通基站来完成对大量用户端的高频次接入认证，以缓解中心式认证容易产生的
单点故障风险与性能瓶颈，减少认证传输时延；在接入认证通过后，用户端结合认证的匿名
身份进行数据通信，卫通基站结合缓存的匿名身份与令牌第一参数，进行违规检测与初步
判定，并对存在较低等级违规行为的用户端进行处理；对于存在较高等级违规行为的用户
端，则由卫星网络中心在进一步的违规判定后，计算违规用户端的真实身份，更新有关黑名
单，并联合各卫通基站进行违规处理，从而在兼顾用户接入身份匿名性的同时，也便于在发
现违规行为后进行违规追溯与处理。

附图说明

[0129] 此处的附图被并入说明书中并构成本说明书的一部分，示出了符合本公开的实施例，并与说明书一起用于解释本公开的原理。

[0130] 图1为本发明实现结合接入认证的卫星网络用户违规处理方法的场景示意图；

[0131] 图2为本发明结合接入认证的卫星网络用户违规处理方法的第一实施例的总体流程示意图；

[0132] 图3为本发明结合接入认证的卫星网络用户违规处理方法第二实施例的接入认证流程示意图；

[0133] 图4为本发明结合接入认证的卫星网络用户违规处理方法第三实施例的违规检测与处理流程示意图；

[0134] 图5为本发明结合接入认证的卫星网络用户违规处理方法第四实施例的令牌更新流程示意图；

[0135] 图6为本发明卫星网络中心的模块示意图；

[0136] 图7为本发明通信卫星的模块示意图；

[0137] 图8为本发明卫通基站的模块示意图；

[0138] 图9为本发明用户端的模块示意图；

[0139] 图10为本发明终端设备的结构示意图。

[0140] 通过上述附图，已示出本公开明确的实施例，后文中将有更详细的描述。这些附图和文字描述并不是为了通过任何方式限制本公开构思的范围，而是通过参考特定实施例为
本领域技术人员说明本公开的概念。

具体实施方式

[0141] 这里将详细地对示例性实施例进行说明，其示例表示在附图中。下面的描述涉及附图时，除非另有表示，不同附图中的相同数字表示相同或相似的要素。以下示例性实施例
中所描述的实施方式并不代表与本公开相一致的所有实施方式。相反，它们仅是与如所附
权利要求书中所详述的、本公开的一些方面相一致的装置和方法的例子。

[0142] 本发明提供一种结合接入认证的卫星网络用户违规处理方法及相关设备。

[0143] 参照图1，图1为本发明结合接入认证的卫星网络用户违规处理方法的场景示意图。

[0144] 其中，卫通基站3000通过星地链路与通信卫星2000进行通信；通信卫星2000根据有关路由选择算法，经星间链路与下一跳通信卫星2000进行通信，或者经星地链路与卫星
网络中心1000及其附属信关站（未标示）进行通信；

[0145] 卫通基站3000、通信卫星2000、卫星网络中心1000之间，已预先完成相互认证、会话密钥与完整性保护密钥的协商，并建立了系统安全信道；

[0146] 用户端4000可在与卫通基站3000完成双向接入认证之后，接入卫星网络进行数据通信；卫通基站3000结合接入认证后缓存的用户匿名身份，根据有关违规检测方法与判定
标准，在用户端4000进行违规检测、初步判定与处理；

[0147] 卫通基站3000对于存在较低违规等级的用户端4000进行违规处理；对于疑似存在较高违规等级的用户端4000，查询缓存的用户匿名身份所对应的令牌第一参数，并生成违
规判定请求信息；然后，经若干跳通信卫星2000、信关站（未标示），将所述违规判定请求信
息转发给卫星网络中心1000；卫星网络中心1000根据有关违规判定方法和标准，给出最终
的违规判定结果，据此更新黑名单，生成令牌黑名单更新信息，并经信关站（未标示）、通信
卫星2000，广播给各卫通基站3000；卫通基站3000根据所述令牌黑名单信息，对违规用户端
4000进行违规处理。

[0148] 下面以具体地实施例对本发明的技术方案以及本申请的技术方案如何解决上述技术问题进行详细说明。下面这几个具体的实施例可以相互结合，对于相同或相似的概念
或过程可能在某些实施例中不再赘述。下面将结合附图，对本发明的实施例进行描述。

[0149] 本发明提供一种结合接入认证的卫星网络用户违规处理方法及其总体流程。

[0150] 参照图2，图2为本发明结合接入认证的卫星网络用户违规处理方法的第一实施例。其中包括以下步骤：

[0151] 步骤S10，卫星网络中心作为信任根节点，在系统初始化阶段，配置自身的节点标识、公私钥对、数字证书，并为各通信卫星、卫通基站配置节点标识、数字证书，且与各通信
卫星、卫通基站完成相互认证，以及会话密钥与完整性保护密钥的协商，从而建立系统安全
信道。

[0152] 具体的，可以参考目前已发展较为成熟的PKI 公钥加密体系等有关技术，此处不再展开详述。

[0153] 步骤S20，卫星网络中心定期更新系统公共参数，并通过信关站、通信卫星、卫通基站进行全网广播，卫通基站定期更新域内公共参数，并向域内用户端进行广播。

[0154] 其中，所述系统公共参数至少包含：用于加解密的密码学基础参数、所述密码学基础参数的有效期限、令牌公共校验参数、所述令牌公共校验参数的有效期限、卫星网络中心
的通信加密参数以及所述卫星网络中心通信加密参数的有效期限；

[0155] 所述域内公共参数至少包含：卫通基站通信加密参数以及所述卫通基站通信加密参数的有效期限；

[0156] 卫星网络中心定期更新系统公共参数，并生成系统参数更新信息；然后，经信关站、通信卫星、卫通基站，将所述系统参数更新信息广播给全网的用户端；

[0157] 其中，各卫通基站、用户端在接收到所述系统参数更新信息后，对其进行消息来源与完整性校验；并在所述消息来源与完整性校验通过的情况下，对其中的系统公共参数进
行存储。

[0158] 在本实施例中，所述系统参数更新信息可参考如下：

[0159] { IDNOCC||TYPE||LT1||G||N||LT2||PK0||K||LT3||RNOCC||SIGNNOCC }

[0160] 其中，{}内表示信息中包含的参数有哪些（以下不再赘述）；||表示参数拼接操作（以下不再赘述）；IDNOCC为卫星网络中心的节点标识；TYPE为消息类型码，具体的，此处可将
TYPE字段设置为“000”以代表系统参数更新信息；G为椭圆曲线的生成元，N为G的阶数；LT1 
为卫星网络中心为N、G配置的有效期限；此外，卫星网络中心从循环加法群中分别选取三个
不同的安全随机数SK0、k、rNOCC，然后计算：认证令牌校验公钥PK0=SK0·G、认证令牌公共参
数K= k·G，以及卫星网络中心通信加密参数RNOCC= rNOCC·G；并为PK0、K配置有效期限LT2；
为RNOCC配置有效期限LT3；SIGNNOCC为卫星网络中心对该消息计算的数字签名。

[0161] 此外，卫通基站定期配置域内公共参数，生成域内参数更新信息，并向域内的用户端进行广播；

[0162] 在本实施例中，域内参数更新信息可参考如下：

[0163] { IDSTB||type||LT4||RSTB||SIGNSTB }

[0164] 其中，IDSTB为卫通基站的节点标识；type为消息类型码，具体的，此处可将type字段设置为“000”以代表域内参数更新信息；卫通基站先从循环加法群中选取一个安全随机
数rSTB，然后，计算卫通基站通信加密参数RSTB= rSTB·G，其中G为所述椭圆曲线的生成元；
LT4是卫通基站为RSTB配置的有效期限；SIGNSTB是卫通基站对该消息计算的数字签名；

[0165] 通过定期对系统公共参数和域内公共参数进行更新和广播，可消减长期使用固定参数而可能产生的安全性隐患。

[0166] 需要说明的是，在本公开的所有实施例中，TYPE用以指代卫星网络中心的消息类型码，type用以指代卫通基站或通信卫星的消息类型码，特此说明，以示区分，后续不再进
行赘述。

[0167] 步骤S30，用户端在初次申请入网时，经安全信道向卫星网络中心发送注册请求信息，卫星网络中心接收并校验通过后，为所述用户端配置在网络中唯一的真实身份，以及具
备有效期限的令牌第一参数与令牌第二参数，并以注册响应信息返回给所述用户端，用户
端对所述真实身份、令牌第一参数、令牌第二参数进行安全存储。

[0168] 其中，所述注册请求信息可以包括但不限于：用户端的出厂编号等具有全网唯一性的初始身份标识，以及用以校验所述初始身份标识真伪的初始校验信息；

[0169] 所述真实身份具有全网唯一性，所述令牌第一参数、令牌第二参数具有一定的有效期限，其最长有效期限由目前系统公共参数的有效期限决定。

[0170] 在本实施例中，所述真实身份、令牌第一参数、令牌第二参数的计算如下：

[0171] UID= Hash(IDe||info||RAND)              【1】

[0172] α= fsym(KEYNOCC , UID||LT2||rand)      【2】

[0173] θ= α·SK0 + k (mod N)                          【3】

[0174] 其中，UID、α、θ分别为网络中心为用户端配置的真实身份、令牌第一参数、令牌第二参数；Hash( )表示哈希函数；fsym表示对称加密算法；||表示对参数进行拼接操作（以下
不再赘述），“·”表示椭圆曲线上的点乘运算（以下不再赘述），“+”表示椭圆曲线上的点加
运算（以下不再赘述）；mod为取余数运算（以下不再赘述）；IDe为所述初始身份标识；info为
所述初始校验信息；RAND、rand分别表示不同的随机数；KEYNOCC是卫星网络中心选取的安全
注册密钥；N、LT2、SK0、k是步骤S20中所涉及的参数。

[0175] 步骤S40，用户端在需要接入卫星网络时，根据令牌第一参数、令牌第二参数，结合所述系统公共参数、域内公共参数，以及有关接入认证参数，计算匿名身份，并与附近的卫
通基站进行双向接入认证。

[0176] 其中，所述有关接入认证参数可以包括但不限于：时间戳、随机数；

[0177] 所述系统公共参数至少包含：用于加解密的密码学基础参数、所述密码学基础参数的有效期限、令牌公共校验参数、所述令牌公共校验参数的有效期限、卫星网络中心的通
信加密参数以及所述卫星网络中心通信加密参数的有效期限；

[0178] 所述域内公共参数至少包含：卫通基站通信加密参数以及所述卫通基站通信加密参数的有效期限；

[0179] 需要说明的是，步骤S40中所涉及的接入认证流程，将结合图3的第二实施例，在步骤S41 S44中给出进一步的具体说明。
~

[0180] 步骤S50，用户端通过所述卫通基站接入卫星网络，并结合此次认证的匿名身份、计算出的会话密钥、完整性保护密钥进行通信数据传输。

[0181] 具体的，封装的通信数据中至少包含以下字段：

[0182] { PID||EncData||MACU }

[0183] 其中，PID为所述用户端此次认证的匿名身份，在接入认证通过后，分别缓存于所述用户端和卫通基站；EncData为所述用户端使用会话密钥，对通信数据进行对称加密后的
加密数据；MACU为所述用户端使用完整性保护密钥计算出的消息认证码，以用于消息完整
性校验；

[0184] 在本次数据通信结束后，所述卫通基站断开与所述用户端的通信连接，并删除缓存的所述用户匿名身份；当所述用户端后续需要接入卫星通信网络时，需要再次进行接入
认证。

[0185] 步骤S60，卫通基站根据有关违规检测方法与判定标准，结合接入认证后缓存的匿名身份与令牌第一参数，对接入用户端进行违规检测、初步判定与处理，必要时联合卫星网
络中心做进一步的违规判定与处理。

[0186] 需要说明的是，步骤S60中所涉及的违规检测与处理流程，将结合图4的第三实施例，在步骤S61 S66中给出进一步的具体说明。
~

[0187] 步骤S70，当需要进行令牌更新时，用户端根据待更新的令牌第一参数、令牌第二参数、结合系统公共参数、域内公共参数，以及有关令牌更新请求校验参数，生成令牌更新
第一请求信息，经卫通基站校验后生成令牌更新第二请求信息，经若干跳通信卫星、信关站
发送至卫星网络中心，卫星网络中心接收并校验通过后，为所述用户端配置新的第一参数
与令牌第二参数。

[0188] 其中，所述有关令牌更新请求校验参数至少包含：真实身份、令牌第一参数以及令牌剩余可更新次数；

[0189] 需要说明的是，步骤S70中所涉及的令牌更新流程，将结合图5的第四实施例中，在步骤S71 S76中给出进一步的具体说明。
~

[0190] 本发明提供结合接入认证的卫星网络用户违规处理方法中所涉及的接入认证流程。

[0191] 参照图3，图3为本发明结合接入认证的卫星网络用户违规处理方法的第二实施例。其中包括以下步骤：

[0192] 步骤S41，当用户端需要接入网络时，根据安全存储的令牌第一参数与令牌第二参数，结合系统公共参数与域内公共参数，计算此次的匿名身份，并生成接入认证请求信息发
送给附近的卫通基站。

[0193] 具体的，在本实施例中，所述接入认证请求信息可参考如下格式：

[0194] { T1 || RU ||Xα||λ}

[0195] 其中，T1为接入认证请求时间戳；RU为接入认证第一加密参数；Xα为加密的令牌第一参数；λ为令牌第二参数的校验参数。所涉及的参数计算如下：

[0196] RU=rU·G                                  【4】

[0197] Xα= α⊕H(rU·RSTB)                 【5】

[0198] PID= hash(α)⊕hash(rU·RSTB) 【6】

[0199] β= H(T1||RU||α||PID)                【7】

[0200] λ= θ+β·rU (mod N)                 【8】

[0201] 其中，所述公式【4】【8】中涉及的参数与符号含义如下：||表示参数拼接操作（以~
下不再赘述）；⊕表示按位异或运算（以下不再赘述），hash( )、H( )表示哈希函数（以下不
再赘述）；mod表示取余数运算（以下不再赘述）；rU为用户端生成的接入认证秘密随机数，α
为令牌第一参数；PID为用户端此次接入认证的匿名身份；β是中间参数；θ为令牌第二参数；
G、N、RSTB为步骤S20中所述的参数。

[0202] 步骤S42，卫通基站接收并校验所述接入认证请求信息，并结合所述系统公共参数与所述域内公共参数，计算匿名身份，且验证令牌第一参数与令牌第二参数的校验参数是
否满足指定关系。

[0203] 在本实施例中，卫通基站先通过| T2‑T1 | 是否小于ΔtSTB来校验接入认证请求信息的新鲜度；其中，T2为卫通基站接收到所述接入认证请求信息时的时间戳；ΔtSTB为卫通
基站既定的时间间隔；

[0204] 在所述新鲜度验证通过的情况下（| T2‑T1 | 小于于ΔtSTB通过校验），计算令牌第一参数α= Xα⊕H(RU·rSTB)；其中，Xα、RU为分别为步骤S41中所述的加密的令牌第一参数、接
入认证第一加密参数；rSTB为步骤S20中所述的参数；

[0205] 然后，查验α是否在令牌黑名单之列；若α不在令牌黑名单，计算此次的用户匿名身份PID= hash(α)⊕hash(RU·rSTB)，以及中间参数β= H(T1||RU||α||PID)；然后，校验公式
【9】：λ·G=α·PK0+K+β·RU 是否成立；其中，G、PK0、K、rSTB为步骤S20中所述的参数；

[0206] 在公式【9】成立的情况下，则表明所述令牌第一参数与令牌第二参数的校验参数满足指定关系，进而表明所述用户端的令牌第一参数、令牌第二参数是结合了卫星网络中
心的私钥而计算出的合法有效令牌参数，可允许所述用户端接入卫星通信网络。

[0207] 步骤S43，在所述令牌第一参数与令牌第二参数的校验参数满足指定关系的情况下，卫通基站缓存此次认证的用户匿名身份与令牌第一参数，并生成接入认证响应信息发
送至所述用户端，且生成通信参数传输信息，经若干跳通信卫星、信关站，发送至卫星网络
中心。

[0208] 具体的，在本实施例中，所述接入认证响应信息可参考如下格式：{ T2||RES }；其中，T2是卫通基站接收到所述接入认证请求信息时的时间戳；RES = H( T2||β)；β是步骤S42
中计算出的中间参数。

[0209] 所述有关通信参数至少包含：PID||RU；所述通信参数传输信息可参考如下格式：{ IDSTB||type||CSTB||MACSTB }；

[0210] 其中，CSTB= fsym(EKSTB‑SAT, PID||RU)，

[0211] MACSTB= fint(IKSTB‑SAT, IDSTB|| type||CSTB)；

[0212] 其中，IDSTB为所述卫通基站的节点标识；type为消息类型码，具体的，此处可将type字段设置为“111”以代表通信参数传输信息；CSTB为卫通基站加密后的通信参数；MACSTB
为卫通基站计算的消息认证码；fsym为对称加密算法，fint为完整性保护算法；EKSTB‑SAT 、
IKSTB‑SAT分别为系统安全信道建立后，卫通基站与通信卫星之间协商出的会话密钥、完整性
保护密钥；

[0213] 通信卫星收到所述通信参数传输信息后，先校验其中的消息认证码MACSTB，然后解密CSTB得出PID||RU；并缓存其中的PID，以允许对应的用户数据在网络中传输；然后，进行类
似的计算，随后根据有关路由选择算法，将处理后的通信参数传输信息：{ IDSAT||type||
CSAT ||MACSAT }转发给卫星网络中心的附属信关站，或者下一跳通信卫星；

[0214] 其中，IDSAT为所述通信卫星的节点标识；type为消息类型码，具体的，此处可将type字段设置为“111”以代表通信参数传输信息；CSAT= fsym(EKSAT‑NOCC, PID||RU) ，MACSAT= 
fint(IKSAT‑NOCC，IDSAT||type||CSAT)；其中，CSAT为通信卫星加密后的通信参数；MACSAT为通信卫
星计算的消息认证码；fsym为对称加密算法，fint为完整性保护算法；EKSAT‑NOCC、IKSAT‑NOCC分别
为系统安全信道建立后，通信卫星与卫星网络中心之间协商出的会话密钥、完整性保护密
钥；

[0215] 卫星网络中心在接收到所述通信参数传输信息后，先校验其中的消息认证码MACSAT；然后，解密CSAT得出PID||RU；再计算KEYS=H(RU·rNOCC)，其中rNOCC为步骤S20中所述的
参数；取KEYS的高16位即为会话密钥EK，取KEYS的低16位即为完整性保护密钥IK；然后，缓
存PID、EK、IK，以用于数据通信过程。

[0216] 步骤S44，用户端根据所述接入认证响应信息，对所述卫通基站进行认证，在认证通过的情况下，计算出会话密钥与完整性保护密钥，并对所述匿名身份、会话密钥、完整性
保护密钥进行安全存储。

[0217] 具体的，在本实施例中，用户端先通过| T3‑T2 | 是否小于 ΔtU来校验接入认证响应信息的新鲜度；其中，T3为用户端接收到所述接入认证响应信息时的时间戳，ΔtU为用
户端既定的时间间隔；

[0218] 若所述新鲜度校验通过（| T3‑T2 | 小于 ΔtU通过校验），则校验公式【10】：RES = H(T2||β)是否成立。其中，β为步骤S41中所述的中间参数；

[0219] 在公式【10】校验通过的情况下，用户端计算：KEYS=H(rU·RNOCC)，其中RNOCC为步骤S20中所述的参数；rU为步骤S41中所述的接入认证秘密随机数；然后，取KEYS的高16位即为
会话密钥EK，取KEYS的低16位即为完整性保护密钥IK；并安全存储PID、EK、IK，以用于数据
通信过程。

[0220] 由此，所述用户端与卫通基站之间完成双向接入认证。

[0221] 步骤S50，用户端通过所述卫通基站接入卫星网络，并结合此次认证的匿名身份，以及计算出的会话密钥与完整性保护密钥，进行通信数据传输。

[0222] 用户端在完成步骤S41 S44的接入认证流程后，接下来可接入卫星通信网络，进行~
通信数据传输。

[0223] 具体的，封装的通信数据中至少包含以下字段：

[0224] { PID||EncData||MACU }

[0225] 其中，PID为所述用户端此次认证的匿名身份，在接入认证通过后，分别缓存于所述用户端和卫通基站；EncData为所述用户端使用会话密钥，对通信数据进行对称加密后的
加密数据；MACU为所述用户端使用完整性保护密钥计算出的消息认证码，以用于消息完整
性校验；

[0226] 在本次数据通信结束的情况下，所述卫通基站断开与所述用户端的通信连接，并删除缓存的所述用户匿名身份，当所述用户端后续需要接入卫星通信网络时，需要再次进
行接入认证。

[0227] 本发明提供结合接入认证的卫星网络用户违规处理方法中所涉及的违规检测与处理流程。

[0228] 参照图4，图4为本发明结合接入认证的卫星网络用户违规处理方法的第三实施例。其中包括以下步骤：

[0229] 步骤S61，卫通基站根据有关违规检测方法与判定标准，结合接入认证后缓存的用户匿名身份与令牌第一参数，对接入用户端进行违规检测与初步判定。

[0230] 其中，卫通基站可根据缓存的用户匿名身份PID，结合步骤S50中所述的用户通信数据封装内容，对于其中未正确包含已认证PID字段的用户数据进行过滤；将其中正确包含
有已认证PID字段的用户数据，转发给域内的通信卫星；

[0231] 此外，卫通基站可将用户数据中封装的PID字段作为特征字段，结合缓存的对应令牌第一参数，根据有关违规检测方法与判定标准，对所述用户端进行违规检测与初步判定；

[0232] 其中，所述违规检测方法可以基于但不限于以下原理：相关性分析、聚类分析、KL散度，等等。

[0233] 步骤S62，在卫通基站检测到用户端存在第三等级、第四等级违规行为的情况下，向所述用户端发送提示信息，并暂停或终断与所述用户端的此次通信连接。

[0234] 其中，在卫通基站判定所述用户端存在第三等级违规行为的情况下，向所述用户端发送第三提示信息，终断与所述用户端的此次通信连接，并删除缓存中的所述匿名身份；

[0235] 所述第三提示信息用于指示连接断开的原因是所述用户端存在第三等级违规行为，再次建立通信连接需要重新进行接入认证；

[0236] 其中，在卫通基站判定所述用户端存在第四等级违规行为的情况下，向所述用户端发送第四提示信息，并暂停与所述用户端的通信连接；

[0237] 其中，所述第四提示信息用于指示连接断开的原因是所述用户端存在第四等级违规行为，需要在指定时间后才能恢复通信连接。

[0238] 所述违规行为可以包括但不限于：短时间内多次发起相同的数据请求、不符合用户通信行为习惯的异常通信请求、DoS攻击、DDoS攻击、非法窃取系统权限与数据，等等；

[0239] 需要说明的是，所述违规等级可结合实际情况，由系统进行定义；在本公开中，仅以第三、第四违规等级代表较低违规等级，以第一、第二违规等级来代表较高违规等级，对
相应的违规处理进行说明，其余可以此类推。

[0240] 步骤S63，在卫通基站初步判定用户端存在第一等级、第二等级违规行为的可能性的情况下，根据用户匿名身份查询缓存中所对应的令牌第一参数，并生成违规判定请求信
息发送至域内的通信卫星。

[0241] 具体的，所述违规判定请求信息可参考以下格式：

[0242] { IDSTB|| type||CSTB||MACSTB }

[0243] 其中，IDSTB为所述卫通基站的节点标识；type为消息类型码，具体的，此处可将type字段设置为“001”以代表第一等级违规判定请求信息；或将type字段设置为“010”以代
表第二等级违规判定请求信息；CST B = fsym(EKSTB‑SAT,α)，其中，fsym为对称加密算法；EKSTB‑SAT
为系统安全信道建立后，卫通基站与通信卫星之间协商出的会话密钥；α为所述卫通基站根
据疑似存在第一、第二等级违规行为的用户匿名身份，在缓存中查询到对应的令牌第一参
数；CSTB为卫通基站对所述令牌第一参数α进行对称加密所得的密文；MACSTB= fint(IKSTB‑SAT, 
IDSTB||type||CSTB)，其中，fint为完整性保护算法，IKSTB‑SAT为系统安全信道建立后，卫通基
站与通信卫星之间协商出的完整性保护密钥，MACSTB为卫通基站计算出的消息认证码，以用
于对所述违规判定请求信息进行完整性校验。

[0244] 步骤S64，通信卫星接收所述违规判定请求信息，对其进行校验和处理后，转发给下一跳通信卫星，经若干跳通信卫星、信关站，将所述违规判定请求信息转发给卫星网络中
心。

[0245] 具体的，通信卫星在接收到所述违规判定请求信息后，根据其中的卫通基站节点标识IDSTB，查找出与所述卫通基站之间协商的会话密钥EKSTB‑SAT、完整性保护密钥IKSTB‑SAT；
然后校验消息认证码是否满足MACSTB= fint(IKSTB‑SAT, IDSTB||type|| CSTB)。其中，fint为完
整性保护算法；IDSTB为所述卫通基站的节点标识；type为步骤S63中所述的消息类型码；CSTB
为卫通基站对所述令牌第一参数α进行对称加密所得的密文。

[0246] 若所述消息认证码MACSTB校验不通过（MACSTB≠ fint(IKSTB‑SAT, IDSTB||type|| CSTB)），则对所述违规判定请求信息予以丢弃；若所述消息认证码MACSTB校验通过（MACSTB= 
fint(IKSTB‑SAT, IDSTB||type|| CSTB)），则表明所述违规判定请求信息来源可靠且信息完整，
接下来进行以下处理：

[0247] 使用所述会话密钥EKSTB‑SAT解密CSTB得出所述令牌第一参数α；然后，查找出与卫星网络中心之间的会话密钥EKSAT‑NOCC、完整性保护密钥IKSAT‑NOCC；并计算出处理后的违规判定
请求信息，即：

[0248] { IDSAT||type||CSAT||MACSAT }

[0249] 其中，IDSAT为所述通信卫星的节点标识；type为步骤S63中所述的消息类型码；CSAT=fsym(EKSAT‑NOCC,α)，MACSAT=fint(IKSAT‑NOCC, IDSAT|| type||CSAT)，其中，fsym为对称加密算法，
fint为完整性保护算法；CSAT为通信卫星对所述令牌第一参数α进行对称加密所得的密文；
MACSAT为通信卫星计算出的消息认证码；

[0250] 然后，所述通信卫星根据有关路由选择算法，将所述处理后的违规判定请求信息转发给下一跳通信卫星；经若干跳通信卫星、信关站后，将所述违规判定请求信息转发给卫
星网络中心。

[0251] 步骤S65，卫星网络中心接收并校验所述违规判定请求信息，在校验通过的情况下，根据有关违规判定方法和标准，对违规行为及相应等级进行最终判定；据此更新黑名
单，并生成令牌黑名单更新信息，且将所述令牌黑名单更新信息经信关站、通信卫星，发送
至各卫通基站。

[0252] 其中，卫星网络中心在接收到所述违规判定请求信息后，首先进行消息来源和完整性验证；具体的，卫星网络中心根据其中的通信卫星节点标识IDSAT，查找出与所述通信卫
星之间协商的会话密钥EKSAT‑NOCC、完整性保护密钥IKSAT‑NOCC；然后校验消息认证码是否满足
MACSAT= fint(IKSAT‑NOCC, IDSAT||type||CSAT)。其中，fint为完整性保护算法；IDSAT为所述通信
卫星的节点标识；type为消息类型码；CSAT为通信卫星对所述令牌第一参数α进行对称加密
所得的密文。

[0253] 若卫星网络中心对所述消息认证码MACSAT校验失败（MACSAT≠ fint(IKSAT‑NOCC, IDSAT||type||CSAT)），则将所述违规判定请求信息予以丢弃；若卫星网络中心对所述消息认证码
MACSAT校验通过（MACSAT= fint(IKSAT‑NOCC, IDSAT||type||CSAT)），则表明所述违规判定请求信
息来源可靠且信息完整，接下来进行以下处理：

[0254] 获取所述违规判定请求信息中的type字段；使用与所述通信卫星之间的会话密钥EKSAT‑NOCC解密CSAT，得出对应的令牌第一参数α；然后，卫星网络中心根据有关违规判定方法
与标准，对违规行为及其相应等级进行最终判定；

[0255] 其中，所述有关违规判定方法与标准可以基于但不限于以下原理：相关性分析、聚类分析、KL散度，等等；

[0256] 具体的，所述最终违规判定结果可以分为：经最终判定不存在违规行为、经最终判定存在第一等级违规行为、经最终判定存在第二等级违规行为；

[0257] 其中，对于经最终判定不存在违规行为的违规判定请求信息，卫星网络中心无需再做处理；对于经最终判定存在第二等级违规行为的，卫星网络中心将对应的令牌第一参
数α加入令牌二级黑名单；对于经最终判定存在第一等级违规行为的，卫星网络中心将对应
的令牌第一参数α加入令牌一级黑名单，并使用步骤S30中所述的安全注册密钥，解密所述
令牌第一参数α，得到所述用户端的真实身份UID，并将所述UID加入真实身份黑名单；

[0258] 卫星网络中心根据所述令牌一级黑名单、令牌二级黑名单中新加入的α，分别生成令牌一级黑名单更新信息、令牌二级黑名单更新信息；并经信关站、通信卫星，将所述令牌
一级黑名单更新信息、令牌二级黑名单更新信息转发给各通信卫星。

[0259] 具体的，所述令牌黑名单更新信息可参考如下格式：{ IDNOCC||TYPE||α|PToTime||SIGNNOCC }

[0260] 其中，IDNOCC为卫星网络中心的节点标识；TYPE为消息类型码，具体的，此处可将TYPE字段设置为“001”以代表令牌一级黑名单更新信息；将TYPE字段设置为“010”以代表令
牌二级黑名单更新信息；α为违规用户端对应的令牌第一参数；ToTime为违规追责截止期
限；其中，对于令牌一级黑名单中的ToTime字段，可以将其设置为一个代表无限长的特殊标
识，具体的可以是INF,以此来对第一等级违规用户端进行永久封禁；SIGNNOCC为卫星网络中
心对消息计算的数字签名。

[0261] 步骤S66，各卫通基站接收并校验所述令牌黑名单更新信息；在校验通过的情况下，解析其中的内容，据此更新令牌黑名单，并向违规用户端发送提示信息，且断开与所述
违规用户端的通信连接，并且在违规追责期限内限制所述违规用户端的接入认证权限与令
牌更新权限。

[0262] 具体的，各卫通基站在接收到所述令牌一级黑名单更新信息、令牌二级黑名单更新信息后，首先校验其中的数字签名SIGNNOCC；在所述数字签名SIGNNOCC校验失败的情况下，
对所述令牌黑名单更新信息予以丢弃；在所述数字签名SIGNNOCC校验通过的情况下，对于
TYPE字段为“001”的令牌一级黑名单更新信息，卫通基站将其中的令牌第一参数α、违规追
责截止期限ToTime加入所存储的令牌一级黑名单；对于TYPE字段为“010”的令牌二级黑名
单更新信息，卫通基站将其中的令牌第一参数α、违规追责截止期限ToTime加入所存储的令
牌二级黑名单；

[0263] 对于令牌一级黑名单内的违规用户端，卫通基站向其发送第一提示信息，然后断开其通信连接；其中，所述第一提示信息用于指示所述用户端存在第一等级违规行为，其接
入认证权限与令牌更新权限已被永久封禁；

[0264] 对于令牌二级黑名单内的违规用户端，卫通基站向其发送第二提示信息，然后断开其通信连接；其中，所述第二提示信息用于指示所述用户端存在第二等级违规行为，在违
规追责截止期限ToTime之后，才可以恢复正常的接入认证权限与令牌更新权限。

[0265] 至此，即完成本实施例的违规检测与处理流程。

[0266] 本发明提供结合接入认证的卫星网络用户违规处理方法中所涉及的令牌更新流程。

[0267] 参照图5，图5为本发明结合接入认证的卫星网络用户违规处理方法的第四实施例。其中包括以下步骤：

[0268] 步骤S71，当需要进行令牌更新时，用户端根据待更新的令牌第一参数、令牌第二参数，结合系统公共参数、域内公共参数，以及有关令牌更新请求校验参数，计算生成令牌
更新第一请求信息，并发送至附近的卫通基站。

[0269] 其中，所述有关令牌更新请求校验参数至少包含：真实身份、令牌第一参数以及令牌剩余可更新次数；

[0270] 具体的，在本实施例中，所述令牌更新第一请求信息可采用如下格式：

[0271] { TU || RU ||XU||λ}

[0272] 其中，TU为令牌更新第一请求时间戳；RU为令牌更新第一加密参数；XU为令牌更新第二加密参数，λ为令牌第二参数的校验参数；所涉及的参数计算如下：

[0273] RU= rU·G                                               【11】

[0274] REFU= H(UID||NUM)⊕H(rU·RNOCC)  【12】

[0275] XU= (α||REFU)⊕H(rU·RSTB)                  【13】

[0276] β= H(TU||RU||α||REFU)                           【14】

[0277] λ= θ+β·rU (mod N)                               【15】

[0278] 其中，所述公式【11】【15】中涉及的符号与参数含义如下：H( )表示哈希函数；||~
表示对参数进行拼接操作；⊕表示按位异或运算；N、G、RNOCC、RSTB为步骤S20中所述的参数； 
rU为用户端生成的令牌更新第一随机数；UID为真实身份；NUM为令牌剩余可更新次数；α为
令牌第一参数；θ为令牌第二参数。

[0279] 步骤S72，卫通基站收到所述令牌更新第一请求信息后，校验消息新鲜度，并验证令牌第一参数与令牌第二参数的校验参数是否满足指定关系，在验证通过的情况下，计算
生成令牌更新第二请求信息，并发送给域内的通信卫星。

[0280] 在本实施例中，卫通基站收到所述令牌更新第一请求信息后，首先通过|TSTB‑TU| 是否小于ΔtSTB校验所述令牌更新第一请求信息的新鲜度；其中，TSTB为卫通基站接收到所
述令牌更新第一请求信息时的时间戳，ΔtSTB为卫通基站既定的时间间隔；

[0281] 在所述新鲜度验证通过的情况下（|TSTB‑TU| 小于ΔtSTB通过校验），卫通基站计算：α||REFU = XU⊕H(RU·rSTB)，其中rSTB为步骤S20中所述的参数；然后，查验α是否在令牌
黑名单之列；

[0282] 当α不在令牌黑名单之列的情况下，计算参数β= H(TU||RU||α||REFU)；然后，校验公式【16】：λ·G=α·PK0+K+β·RU 是否成立；其中，G、PK0为步骤S20中所述的参数；

[0283] 在公式【16】成立的情况下（λ·G=α·PK0+K+β·RU），则表明所述用户端拥有经卫星网络中心私钥配置的合法有效的令牌第一参数、令牌第二参数；然后，卫通基站计算生成令
牌更新第二请求信息，并将所述令牌更新第二请求信息发送给域内的通信卫星。

[0284] 在本实施例中，所述令牌更新第二请求信息可采用以下格式：

[0285] { IDSTB||type||XSTB||MACSTB }

[0286] 其中，IDSTB为所述卫通基站的节点标识；type为消息类型码，具体的，可将type字段设置为“101”以代表令牌更新第二请求信息；XSTB=RU||α||REFU；MACSTB= fint(IKSTB‑SAT, 
IDSTB||type||XSTB)，其中，fint为完整性保护算法；IKSTB‑SAT为系统安全信道建立后，卫通基
站与通信卫星之间协商出的完整性保护密钥；MACSTB为卫通基站计算出的消息认证码，以用
于对所述令牌更新第二请求信息进行完整性校验。

[0287] 步骤S73，通信卫星收到所述令牌更新第二请求信息后，进行校验与处理，并将处理后的令牌更新第二请求信息经若干跳通信卫星、信关站，发送至卫星网络中心。

[0288] 在本实施例中，通信卫星在接收到所述令牌更新第二请求信息后，根据其中的卫通基站节点标识IDSTB，查找出与所述卫通基站之间的完整性保护密钥IKSTB‑SAT；然后校验消
息认证码是否满足MACSTB= fint(IKSTB‑SAT, IDSTB||type||XSTB)。

[0289] 若所述消息认证码MACSTB校验不通过，则对所述令牌更新第二请求信息予以丢弃；若所述消息认证码校验通过，则表明所述令牌更新第二请求信息来源可靠且信息完整；然
后，通信卫星计算消息认证码MACSAT= fint(IKSAT‑NOCC, IDSAT||type||XSTB)，其中，fint为完整
性保护算法，IKSAT‑NOCC为系统安全信道建立后，通信卫星与卫星网络中心之间协商出的完整
性保护密钥；IDSAT为所述通信卫星的节点标识；type为步骤S72中所述的消息类型码；XSTB为
步骤S72中所述的参数；

[0290] 然后，通信卫星根据有关路由选择算法，将处理过的令牌更新第二请求信息：{ IDSAT||type||XSTB||MACSAT }，经若干跳通信卫星的转发后，最终由信关站转发给卫星网络
中心。

[0291] 步骤S74，卫星网络中心接收并校验所述令牌更新第二请求信息；在校验通过的情况下，计算有关令牌更新请求校验参数；在所述令牌更新请求校验参数与存储记录相匹配
且不在黑名单的情况下，配置新的令牌第一参数与令牌第二参数，并存储新的令牌更新请
求校验参数，且生成令牌更新响应信息，并且将所述令牌更新响应信息经信关站转发给通
信卫星。

[0292] 在本实施例中，卫星网络中心在接收到所述令牌更新第二请求信息后，根据其中的通信卫星节点标识IDSAT，查找出与所述通信卫星之间的完整性保护密钥IKSAT‑NOCC；然后校
验消息认证码是否满足MACSAT= fint(IKSAT‑NOCC, IDSAT||type||XSTB)。

[0293] 若卫星网络中心对所述消息认证码MACSAT校验失败，则将所述令牌更新第二请求信息予以丢弃；若卫星网络中心对所述消息认证码MACSAT校验通过，则表明所述令牌更新第
二请求信息来源可靠且信息完整；接下来，卫星网络中心获取XSTB中的参数，即：RU||α||
REFU；

[0294] 然后，查验其中的令牌第一参数α是否在令牌一级黑名单、令牌二级黑名单中；若α不在所述令牌一级黑名单、令牌二级黑名单中，则使用步骤S30中所述的安全注册密钥
KEYNOCC，对其中的令牌第一参数α进行对称解密，得出真实身份UID，并查验所述真实身份
UID是否在真实身份黑名单中；

[0295] 若所述真实身份UID不在真实身份黑名单中，在存储记录中查询与所述真实身份UID所对应的令牌剩余可更新次数NUM；然后，校验公式【17】：H(UID||NUM)=REFU⊕H(RU·
rNOCC)是否成立。其中，rNOCC为步骤S20中所述的参数；

[0296] 在所述公式【17】成立的情况下，卫星网络中心将所述令牌剩余可更新次数NUM进行递减，并与所述真实身份UID进行关联存储；然后，为所述用户端配置更新后的令牌第一
* *
参数α、令牌第二参数θ；

[0297] 其中，α*= fsym(KEYNOCC,UID||LT2||rand*)，θ*= α·SK0 + k(mod N)；fsym表示对称*
加密算法，UID为真实身份，rand 表示新的随机数，KEYNOCC为步骤S30中所述的参数，N、LT2、
SK0、k为步骤S20中所述的参数；

[0298] 然后，卫星网络中心计算生成令牌更新响应信息，并经信关站将所述令牌更新响应信息转发给通信卫星；

[0299] 具体的，所述令牌更新响应信息可以参考如下格式：

[0300] { IDNOCC||TYPE||XNOCC||SIGNNOCC }

[0301] 其中，IDNOCC为卫星网络中心的节点标识；TYPE为消息类型标识码；具体的，此处可将TYPE字段设置为“101”以代表令牌更新响应信息；XNOCC为令牌更新响应加密参数；SIGNNOCC
为卫星网络中心对消息计算的数字签名。所涉及的参数计算如下：

[0302] REFNOCC=H(NUM*||UID)，

[0303] XNOCC=(REFNOCC||α*||θ*)⊕H(RU·rNOCC)||H2(RU·rNOCC) ||H3(RU·rNOCC)，

[0304] 其中，H( )为哈希函数；H2( )表示进行两次哈希运算；H3( )表示进行三次哈希运* * *
算； RU为步骤S71中所述的参数；rNOCC为步骤S20中所述的参数；NUM、α、θ分别为更新后的
令牌剩余可更新次数、令牌第一参数、令牌第二参数；UID为真实身份。

[0305] 步骤S75，通信卫星对所述令牌更新响应信息进行消息来源和完整性校验，经若干跳通信卫星、卫通基站，将所述令牌更新响应信息发送至所述用户端。

[0306] 其中，通信卫星在接收到所述令牌更新响应信息后，首先校验其中的数字签名SIGNNOCC；在所述数字签名SIGNNOCC校验失败的情况下，对所述令牌更新响应信息予以丢弃；
在所述数字签名SIGNNOCC校验通过的情况下，则表明所述令牌更新响应信息来自卫星网络
中心且信息完整；然后，经若干跳通信卫星、卫通基站，将校验通过的令牌更新响应信息转
发给所述用户端。

[0307] 步骤S76，所述用户端接收并校验所述令牌更新响应信息，在校验通过的情况下，解密并校验令牌更新响应参数，且验证更新后的令牌第一参数与令牌第二参数是否满足指
定关系，在通过的情况下，对所述令牌第一参数与令牌第二参数进行安全存储。

[0308] 在本实施例中，所述用户端在接收到所述令牌更新响应信息后，首先校验其中的数字签名SIGNNOCC；在所述数字签名SIGNNOCC校验失败的情况下，对所述令牌更新响应信息予
以丢弃；在所述数字签名SIGNNOCC校验通过的情况下，则表明所述令牌更新响应信息来自卫
星网络中心且信息完整；然后，进行以下计算：

[0309] (REFNOCC||α*||θ*)= XNOCC⊕H(rU·RNOCC)||H2(rU·RNOCC)||H3(rU·RNOCC)，

[0310] 校验公式【18】：REFNOCC=H(NUM*||UID)是否成立。

[0311] 校验公式【19】：θ*= α*·PK0 + K 是否成立。

[0312] 其中，H( )为哈希函数；H2( )表示进行两次哈希运算；H3( )表示进行三次哈希运* * *
算；UID为真实身份；α、θ分别为更新后的令牌第一参数、令牌第二参数；NUM为目前的令牌
剩余可更新次数，可通过对步骤S71中的NUM进行递减得到；rU为步骤S71中所述的参数；PK0、
K、G、RNOCC为步骤S20中所述的系统公共参数；

[0313] 在所述公式【18】、【19】均成立的情况下，用户端对更新后的令牌第一参数、令牌第二参数进行安全存储。

[0314] 至此，即完成本实施例的令牌更新流程。

[0315] 此外，本发明还提供一种卫星网络中心，参照图6，卫星网络中心1000包括：

[0316] 系统参数更新模块1010，用于定期对系统公共参数进行配置，并根据所述系统公共参数生成系统参数更新信息，经信关站、各通信卫星、卫通基站，将所述系统参数更新信
息进行全网广播，其中，所述系统公共参数至少包含：用于加解密的密码学基础参数、所述
密码学基础参数的有效期限、令牌公共校验参数、所述令牌公共校验参数的有效期限、卫星
网络中心的通信加密参数以及所述卫星网络中心通信加密参数的有效期限；

[0317] 注册响应模块1020，用于接收并验证注册请求信息，对于所述注册请求信息属实且尚未注册过的用户端，配置所述用户端在卫星通信网络中唯一的真实身份，具备有效期
限的令牌第一参数、令牌第二参数，并根据所述真实身份、所述具备有效期限的令牌第一参
数以及所述令牌第二参数生成注册响应信息，且将所述注册响应信息经安全信道返回至所
述用户端；

[0318] 违规判定模块1030，用于接收违规判定请求信息，并结合所述违规判定请求信息计算出的令牌第一参数，根据有关违规判定方法与标准，确定用户端是否存在违规行为以
及所述违规行为对应违规等级的最终判定结果；

[0319] 违规处理模块1040，用于在判定所述用户端存在第二等级违规行为的情况下，将所述令牌第一参数加入令牌二级黑名单；在判定所述用户端存在第一等级违规行为的情况
下，将所述令牌第一参数加入令牌一级黑名单，此外，根据所述令牌第一参数，计算所述用
户端的真实身份，并将所述真实身份加入真实身份黑名单，且生成令牌黑名单更新信息，并
且将所述令牌黑名单更新信息经信关站广播给各通信卫星、卫通基站；

[0320] 令牌更新响应模块1050，用于接收并校验令牌更新第二请求信息，在所述令牌更新第二请求信息校验通过的情况下，配置更新后的令牌第一参数、令牌第二参数，并计算生
成令牌更新响应信息，将所述令牌更新响应信息经信关站、若干跳通信卫星、卫通基站发送
给所述用户端。

[0321] 本发明还提供一种通信卫星，参照图7，通信卫星2000包括：

[0322] 上行信息处理模块2010，用于在接收到的来自卫星网络中心附属信关站或者上一跳通信卫星的上行信息的情况下，对所述上行信息进行消息来源与完整性的校验，在所述
上行信息的消息来源与完整性校验通过的情况下，根据有关路由选择算法，将校验通过的
上行信息转发给卫通基站或者下一跳通信卫星；

[0323] 下行信息处理模块2020，用于在接收到的来自卫通基站的下行信息的情况下，并对所述下行信息进行消息来源与完整性的校验，将校验失败的下行信息丢弃，将校验通过
的下行信息附上自身的节点标识，并计算新的消息认证码，从而生成处理后的下行信息，并
且根据所述有关路由选择算法，将所述处理后的下行信息转发至卫星网络中心附属信关站
或者下一跳通信卫星。

[0324] 本发明还提供一种卫通基站，参照图8，卫通基站3000包括：

[0325] 参数更新模块3010，用于定期接收并校验系统参数更新信息；在所述系统参数更新信息校验通过的情况下，对所述系统参数更新信息中的系统公共参数进行存储，并将所
述系统参数更新信息广播给域内的用户端，其中，所述系统公共参数至少包含：用于加解密
的密码学基础参数、所述密码学基础参数的有效期限、令牌公共校验参数、所述令牌公共校
验参数的有效期限、卫星网络中心的通信加密参数以及所述卫星网络中心通信加密参数的
有效期限；

[0326] 所述参数更新模块，还用于定期对域内公共参数进行配置，并根据所述域内公共参数生成域内参数更新信息，并且将所述域内参数更新信息广播至域内的各用户端，其中，
所述域内公共参数至少包含：卫通基站通信加密参数以及所述卫通基站通信加密参数的有
效期限；

[0327] 接入认证响应模块3020，用于接收并校验来自用户端的接入认证请求信息，在所述接入认证请求信息校验通过的情况下，计算用户匿名身份，并验证令牌第一参数与令牌
第二参数的校验参数是否满足指定关系，在所述令牌第一参数与所述令牌第二参数的校验
参数满足指定关系的情况下，生成接入认证响应信息，并将所述接入认证响应信息发送给
所述用户端，缓存此次认证的用户匿名身份，以及所述令牌第一参数；

[0328] 通信数据传输模块3030，用于在与用户端进行接入认证之后，根据缓存的用户匿名身份，允许与所述用户端建立通信连接，并在数据通信过程中，对数据帧头中未正确包含
所述匿名身份的用户数据进行过滤，将数据帧头中正确包含有所述匿名身份的用户数据转
发给域内的通信卫星，并在此次通信结束时，删除缓存的所述用户匿名身份；

[0329] 违规检测模块3040，用于在数据通信过程中，结合缓存的用户匿名身份、令牌第一参数，根据有关违规检测方法与判定标准，对所述用户端进行违规检测与初步判定；

[0330] 违规初步处理模块3050，用于在判定所述用户端存在第三等级违规行为的情况下，向所述用户端发送所述第三提示信息，并终断与所述用户端的此次通信连接，且删除缓
存中的所述匿名身份；

[0331] 所述违规初步处理模块，还用于在判定所述用户端存在第四违规等级行为的情况下，向所述用户端发送所述第四提示信息，并暂停与所述用户端的此次通信连接；

[0332] 违规判定请求模块3060，用于在初步判定所述用户端存在第一等级或第二等级违规行为的情况下，在缓存中查询与用户匿名身份相对应的令牌第一参数，并生成所述违规
判定请求信息，且经若干跳通信卫星、信关站，将所述违规判定请求信息发送至卫星网络中
心；

[0333] 违规判定响应处理模块3070，用于接收并校验所述令牌黑名单更新信息，在所述令牌黑名单更新信息校验通过的情况下，更新存储的令牌黑名单，并向违规用户端发送提
示信息，且断开与违规用户端的网络连接，并且在违规追责期限内封禁违规用户端的接入
认证权限和令牌更新权限；

[0334] 令牌更新第一请求处理模块3080，用于接收并校验来自用户端的所述令牌更新第一请求信息，在所述令牌更新第一请求信息校验通过的情况下，计算令牌第一参数，并验证
令牌第一参数与令牌第二参数的校验参数是否满足指定关系，在验证通过的情况下，生成
所述令牌更新第二请求信息，并将所述令牌更新第二请求信息发送给域内的通信卫星；

[0335] 令牌更新响应处理模块3090，用于接收并校验所述令牌更新响应信息，在校验通过的情况下，将所述令牌更新响应信息转发给所述用户端。

[0336] 本发明还提供一种用户端，参照图9，用户端4000包括：

[0337] 参数配置模块4010，用于定期接收并校验系统参数更新信息，在校验通过的情况下，对所述系统参数更新信息中的系统公共参数进行存储，其中，所述系统公共参数至少包
含：用于加解密的密码学基础参数、所述密码学基础参数的有效期限、令牌公共校验参数、
所述令牌公共校验参数的有效期限、卫星网络中心的通信加密参数以及所述卫星网络中心
通信加密参数的有效期限；

[0338] 所述参数配置模块，还用于定期接收并校验域内参数更新信息，在校验通过的情况下，对所述域内参数更新信息中的域内公共参数进行存储，其中，所述域内公共参数至少
包含：卫通基站通信加密参数及所述卫通基站通信加密参数的有效期限；

[0339] 注册请求模块4020，用于根据初始身份标识及初始校验信息，生成注册请求信息，并将所述注册请求信息经安全信道发送给卫星网络中心；

[0340] 注册响应处理模块4030，用于通过安全信道接收所述卫星网络中心的注册响应信息，并获取所述注册响应信息中的网络唯一真实身份、具备有效期限的令牌第一参数、令牌
第二参数，并对所述真实身份、所述令牌第一参数、所述令牌第二参数进行安全存储；

[0341] 接入认证请求模块4040，用于所述用户端在需要接入卫星通信网络时，根据安全存储的令牌第一参数、令牌第二参数，结合所述系统公共参数和域内公共参数，计算匿名身
份，生成所述接入认证请求信息，并将所述接入认证请求信息发送至卫通基站；

[0342] 接入认证响应处理模块4050，用于接收并校验所述卫通基站的接入认证响应信息，在校验通过的情况下，对于异常的接入认证响应提示信息，对所述接入认证响应提示信
息进行解析，对于正常的接入认证响应信息，对所述接入认证响应信息中的参数进行校验，
在参数校验通过的情况下，计算会话密钥与完整性保护密钥，并安全存储会话密钥、完整性
保护密钥、以及此次认证的匿名身份；

[0343] 通信数据传输模块4060，用于在与所述卫通基站完成接入认证之后的数据通信过程中，将所述匿名身份封装进数据帧，并使用所述会话密钥对需要传输的数据进行加密，且
使用所述完整性保护密钥计算消息认证码，并且通过所述卫通基站在卫星网络中进行通信
数据传输；

[0344] 令牌更新请求模块4070，用于在需要进行令牌更新时，根据待更新的令牌第一参数、令牌第二参数，结合所述系统公共参数和域内公共参数，生成所述令牌更新第一请求信
息，并将所述令牌更新第一请求信息发送至卫通基站；

[0345] 令牌更新响应处理模块4080，用于接收并校验所述令牌更新响应信息，在所述令牌更新响应信息校验通过的情况下，计算并验证令牌更新响应校验参数是否正确，且验证
更新后的令牌第一参数、更新后的令牌第二参数是否满足指定关系，在验证通过的情况下，
对更新后的令牌第一参数、更新后的令牌第二参数进行安全存储。

[0346] 参照图10，图10是根据一示例性实施例示出的一种终端设备的硬件结构图。

[0347] 终端设备100可以包括：处理器101，例如CPU，存储器102，收发器103。

[0348] 本领域技术人员可以理解，图10中示出的结构并不构成对终端设备的限定，可以包括比图示更多或更少的部件，或者组合某些部件，或者不同的部件布置。

[0349] 存储器102可以由任何类型的易失性或非易失性存储设备或者它们的组合实现，如静态随机存取存储器（SRAM），电可擦除可编程只读存储器（EEPROM），可擦除可编程只读
存储器（EPROM），可编程只读存储器（PROM），只读存储器（ROM），磁存储器，快闪存储器，磁盘
或光盘。

[0350] 处理器101可以调用存储器102内存储的计算机程序，以完成上述的结合接入认证的卫星网络用户违规处理方法的全部或部分步骤。

[0351] 收发器103用于接收外部设备发送的信息以及向外部设备发送信息。

[0352] 一种非临时性计算机可读存储介质，当该存储介质中的指令由终端设备的处理器执行时，使得终端设备能够执行上述结合接入认证的卫星网络用户违规处理方法。

[0353] 本领域技术人员在考虑说明书及实践这里公开的发明后，将容易想到本公开的其它实施方案。本发明旨在涵盖本公开的任何变型、用途或者适应性变化，这些变型、用途或
者适应性变化遵循本公开的一般性原理并包括本公开未公开的本技术领域中的公知常识
或惯用技术手段。说明书和实施例仅被视为示例性的，本公开的真正范围和精神由下面的
权利要求书指出。

[0354] 应当理解的是，本公开并不局限于上面已经描述并在附图中示出的精确结构，并且可以在不脱离其范围进行各种修改和改变。本公开的范围仅由所附的权利要求书来限
制。