终端认证方法及系统与流程

本发明涉及通信技术领域，尤其涉及一种终端认证方法，以及一种终端认证系统。

背景技术

近期市面上频繁出现售卖山寨机的情况，此类“山寨机”通过冒用或伪造IMEI(International Mobile Equipment Identity，国际移动设备识别码)等认证信息的方式正常接入运营商网络。

然而终端厂商仅仅将从工信部申请的IMEI作为终端身份的唯一认证手段，对于目前存在的终端在生产、售后、用户各个环节都存在的随意刷写IMEI的问题，IMEI真实可信度无法得到保证，导致运营商无法使用IMEI作为其是否为山寨机的认证标准，无法对山寨机进行有效治理。

技术实现要素：

为了至少部分解决现有技术中存在的IMEI可随意刷写导致无法有效治理山寨机的技术问题而完成了本发明。

根据本发明的一方面，提供一种终端认证方法，所述方法包括：

终端厂商节点向工信部节点发送入网申请，其中包括待认证终端的硬件固化信息；

工信部节点为待认证终端分配终端唯一标识，再根据待认证终端的硬件固化信息和终端唯一标识生成终端防伪认证证书，然后将终端防伪认证证书和终端唯一标识返回给终端厂商节点；

终端厂商节点将终端防伪认证证书和终端唯一标识写入待认证终端；

当待认证终端接入运营商网络时，运营商基站接收待认证终端发送的终端防伪认证证书、终端唯一标识和终端硬件固化信息，并根据接收到的终端硬件固化信息和终端唯一标识对待认证终端防伪认证证书的合法性进行入网认证。

可选地，工信部节点根据待认证终端的硬件固化信息和终端唯一标识生成终端防伪认证证书，具体为：

工信部节点利用预设安全散列算法对待认证终端的硬件固化信息和终端唯一标识进行运算得到散列值s2，再根据散列值s2生成终端防伪认证证书；

运营商基站根据接收到的终端硬件固化信息和终端唯一标识对待认证终端防伪认证证书的合法性进行入网认证，包括：

运营商基站利用同样的预设安全散列算法对待认证终端发送的终端硬件固化信息和终端唯一标识进行运算，生成散列值s1；

运营商基站将散列值s1与从终端防伪认证证书内读取的散列值s2进行比对，若二者一致，则认为待认证终端防伪认证证书合法且网络接入认证通过，允许其接入网络。

可选地，所述预设安全散列算法为SHA256散列算法。

可选地，所述方法还包括：

工信部节点使用其私钥证书对散列值s2进行数字签名运算，得到终端防伪认证证书密文并返回给终端厂商节点，以及将其公钥证书发送至运营商基站；

运营商基站利用工信部公钥证书对待认证终端发送的终端防伪认证证书密文进行数字签名验证，若验证通过，则认为终端防伪认证证书为工信部签发并得到终端防伪认证证书明文，再从中读取散列值s2。

可选地，所述数字签名采用的加密算法为RSA非对称加密算法。

可选地，所述终端厂商节点将终端防伪认证证书和终端唯一标识写入待认证终端，具体为：

终端厂商节点将终端防伪认证证书和终端唯一标识写入待认证终端内指定的安全存储区域，且所述安全存储区域为只读存储区。

可选地，所述方法还包括：

工信部节点对外发布终端防伪识别应用程序APP，以使得用户终端自行下载并安装终端防伪识别APP；

当用户终端运行终端防伪识别APP时，APP后台服务器接收APP发送的终端防伪认证证书、终端唯一标识和终端硬件固化信息，并根据接收到的终端防伪认证证书、终端唯一标识和终端硬件固化信息对用户终端进行认证。

可选地，所述终端硬件固化信息包括CPU芯片序列号、设备序列号和存储芯片序列号中的至少一种。

可选地，所述终端唯一标识为国际移动设备识别码。

根据本发明的另一方面，提供一种终端认证系统，所述系统包括：终端厂商节点、工信部节点和运营商基站；

终端厂商节点设置为，向工信部节点发送入网申请，其中包括待认证终端的硬件固化信息；

工信部节点设置为，为待认证终端分配终端唯一标识，再根据待认证终端的硬件固化信息和终端唯一标识生成终端防伪认证证书，然后将终端防伪认证证书和终端唯一标识返回给终端厂商节点；

终端厂商节点还设置为，将终端防伪认证证书和终端唯一标识写入待认证终端；

当待认证终端接入运营商网络时，运营商基站设置为，接收待认证终端发送的终端防伪认证证书、终端唯一标识和终端硬件固化信息，并根据接收到的终端硬件固化信息和终端唯一标识对待认证终端防伪认证证书的合法性进行入网认证。

本发明提供的技术方案可以包括以下有益效果：

本发明提供的终端认证方法及系统，针对现有技术手段已无法满足现阶段工信部对终端行业的监管，由IMEI可随意刷写而导致无法有效治理山寨机的问题，不同于现有方案中仅将工信部发放的IMEI作为终端身份的唯一认证手段，将终端防伪认证证书和IMEI一并写入终端中，然后运营商基站根据终端上传的终端硬件固化信息和IMEI对终端防伪认证证书的合法性进行入网认证，本方案的认证过程综合了入网申请、工信部审批和终端入网等各个环节，可有效避免IMEI被冒用或篡改，为治理山寨机提供了切实可行的解决方案。

本发明的其它特征和优点将在随后的说明书中阐述，并且，部分地从说明书中变得显而易见，或者通过实施本发明而了解。本发明的目的和其他优点可通过在说明书、权利要求书以及附图中所特别指出的结构来实现和获得。

附图说明

附图用来提供对本发明技术方案的进一步理解，并且构成说明书的一部分，与本发明的实施例一起用于解释本发明的技术方案，并不构成对本发明技术方案的限制。

图1为本发明实施例提供的一种终端认证方法的流程示意图；

图2为本发明实施例提供的另一种终端认证方法的流程示意图；

图3为本发明实施例提供的终端认证系统的结构示意图。

具体实施方式

为使本发明实施例的目的、技术方案和优点更加清楚，以下结合附图对本发明的具体实施方式进行详细说明。应当理解的是，此处所描述的具体实施方式仅用于说明和解释本发明，并不用于限制本发明。

在后续的描述中，使用用于表示元件的诸如“模块”、“部件”或“单元”的后缀仅为了有利于本发明的说明，其本身没有特定的意义。因此，“模块”、“部件”或“单元”可以混合地使用；并且，在不冲突的情况下，本发明中的实施例及实施例中的特征可以相互任意组合。

图1为本发明实施例提供的一种终端认证方法的流程示意图。如图1所示，所述方法包括如下步骤S101至S104。

S101.终端厂商节点向工信部节点发送入网申请，其中包括待认证终端的硬件固化信息。

其中，终端硬件固化信息可包括CPU(Central Processing Unit，中央处理器)芯片序列号、设备序列号和存储芯片序列号中的至少一种。所述终端为智能手机、平板电脑等可以接入运营商基站的终端设备。

本步骤中，终端厂商使用终端硬件固化信息作为申请条件，向工信部申请终端入网认证所需信息。

S102.工信部节点为待认证终端分配终端唯一标识，再根据待认证终端的硬件固化信息和终端唯一标识生成终端防伪认证证书，然后将终端防伪认证证书和终端唯一标识返回给终端厂商节点。

其中，所述终端唯一标识可以为国际移动设备识别码(IMEI)。

本步骤中，工信部为每个终端分配一个IMEI，同时根据终端厂商提供的终端硬件固化信息和IMEI使用预设算法生成该终端设备的唯一防伪认证证书并提供给终端厂商，用于后续的合法性认证。

S103.终端厂商节点将终端防伪认证证书和终端唯一标识写入待认证终端。

本步骤中，终端厂商在终端生产过程中将每一部终端的唯一防伪认证证书及其IMEI都写入对应的终端中。

S104.当待认证终端接入运营商网络时，运营商基站接收待认证终端发送的终端防伪认证证书、终端唯一标识和终端硬件固化信息，并根据接收到的终端硬件固化信息和终端唯一标识对待认证终端防伪认证证书的合法性进行入网认证。

本实施例中，针对现有技术手段已无法满足现阶段工信部对终端行业的监管，由IMEI可随意刷写而导致无法有效治理山寨机的问题，不同于现有方案中仅将工信部发放的IMEI作为终端身份的唯一认证手段，将终端防伪认证证书和IMEI一并写入终端中，然后运营商基站根据终端上传的终端硬件固化信息和IMEI对终端防伪认证证书的合法性进行入网认证，本方案的认证过程综合了入网申请、工信部审批和终端入网等各个环节，可有效避免IMEI被冒用或篡改，为治理山寨机提供了切实可行的解决方案。

在一种具体实施方式中，步骤S102中工信部节点根据待认证终端的硬件固化信息和终端唯一标识生成终端防伪认证证书，具体为：

工信部节点利用预设安全散列算法对待认证终端的硬件固化信息和终端唯一标识进行运算得到散列值s2，再根据散列值s2生成终端防伪认证证书。

相应地，步骤S104中运营商基站根据接收到的终端硬件固化信息和终端唯一标识对待认证终端防伪认证证书的合法性进行入网认证，包括如下步骤S104a和S104b。

S104a.运营商基站利用同样的预设安全散列算法对待认证终端发送的终端硬件固化信息和终端唯一标识进行运算，生成散列值s1；

S104b.运营商基站将散列值s1与从终端防伪认证证书内读取的散列值s2进行比对，若二者一致，则认为待认证终端防伪认证证书合法且网络接入认证通过，允许其接入网络。当然，若二者不一致，则认为待认证终端冒用或伪造防伪认证证书且网络接入认证失败，拒绝其接入网络。

本实施例中，将工信部分配的终端唯一标识(IMEI)与终端硬件固化信息紧密关联，其中任何一项信息发生修改都将导致认证失败，从而有效避免IMEI被冒用或篡改。

在一种具体实施方式中，步骤S102和S104a采用的预设安全散列算法为SHA256散列算法。

安全散列算法(Secure Hash Algorithm，缩写为SHA)是一个密码散列函数家族，是FIPS(Federal Information Processing Standard，联邦信息处理标准)所认证的安全散列算法。其包括SHA1、SHA224、SHA256、SHA384和SHA512等算法。本实施例优选其中的SHA256算法，具体地，对于任意长度的消息，SHA256都会产生一个256位的哈希值，称作消息摘要，这个摘要相当于是个长度为32个字节的数组，用以验证数据是否发生改变。

在一种具体实施方式中，在步骤S102中还包括：工信部节点使用其私钥证书对散列值s2进行数字签名运算，得到终端防伪认证证书密文并返回给终端厂商节点，以及将其公钥证书发送至运营商基站。

本步骤中，工信部节点先利用SHA256算法对待认证终端的硬件固化信息和终端唯一标识进行运算得到散列值s2，再使用其私钥证书对散列值s2进行数字签名运算，得到终端防伪认证证书密文，然后将终端防伪认证证书密文和终端唯一标识返回给终端厂商节点，由终端厂商节点将终端防伪认证证书密文和终端唯一标识写入待认证终端；同时，将其公钥证书发送至运营商基站。

相应地，在步骤S104a与S104b之间还包括如下步骤S104c。

S104c.运营商基站利用工信部公钥证书对待认证终端发送的终端防伪认证证书密文进行数字签名验证，若验证通过，则认为终端防伪认证证书为工信部签发并得到终端防伪认证证书明文，再执行后续步骤S104b。当然，若验证失败，则认为终端防伪认证证书非法，结束待认证终端当前网络接入认证流程，并拒绝其接入网络。

在步骤S104中，运营商基站先利用SHA256算法对待认证终端发送的终端硬件固化信息和终端唯一标识进行运算，生成散列值s1；然后利用工信部公钥证书对待认证终端发送的终端防伪认证证书密文进行数字签名验证，并在验证通过时得到终端防伪认证证书明文；再将散列值s1与从终端防伪认证证书明文内读取的散列值s2进行比对，根据比对结果决定是否允许终端入网。

本实施例中，同时利用散列算法和数字签名对终端硬件固化信息和终端唯一标识进行运算，数据传输的安全性更高。

在一种具体实施方式中，步骤S102中数字签名采用的加密算法为RSA非对称加密算法。

RSA是1977年由罗纳德·李维斯特(Ron Rivest)、阿迪·萨莫尔(Adi Shamir)和伦纳德·阿德曼(Leonard Adleman)一起提出的，RSA就是他们三人姓氏开头字母拼在一起组成的。RSA非对称加密算法使用不同的加密密钥与解密密钥，通常是生成一对RSA密钥，其中之一是保密密钥，由用户保存；另一个为公开密钥，可对外公开。

在一种具体实施方式中，步骤S103具体为：

终端厂商节点将终端防伪认证证书和终端唯一标识写入待认证终端内指定的安全存储区域，且所述安全存储区域为只读存储区。

本实施例中，终端厂商节点将从工信部申请的IMEI和终端防伪认证证书写入终端内指定的安全存储区域中，由于该安全存储区域只读不可修改，避免了终端内保存的IMEI被篡改。

在一种具体实施方式中，在步骤S103之后，所述方法还包括步骤S105至S106。

S105.工信部节点对外发布终端防伪识别APP(应用程序，Application的缩写)，以使得用户终端自行下载并安装终端防伪识别APP；

S106.当用户终端运行终端防伪识别APP时，APP后台服务器接收APP发送的终端防伪认证证书、终端唯一标识和终端硬件固化信息，并根据接收到的终端防伪认证证书、终端唯一标识和终端硬件固化信息对用户终端进行认证。

本实施例中，工信部可对外发布终端防伪识别APP，用户自行下载并安装该APP后即可验证所购买的终端是否为山寨机，从而提升全民防伪和自我权益保护的意识。

在步骤S102中工信部节点已根据散列值s2生成终端防伪认证证书的前提下，在一种具体实施方式中，步骤S106中APP后台服务器根据用户终端上传的终端防伪认证证书、终端唯一标识和终端硬件固化信息对用户终端进行认证，包括如下步骤S106a和S106b。

S106a.APP后台服务器利用与工信部节点同样的预设安全散列算法对APP发送的终端硬件固化信息和终端唯一标识进行运算，生成散列值s1′；

S106b.APP后台服务器将散列值s1′与从终端防伪认证证书内读取的散列值s2进行比对，若二者一致，则认为该终端为工信部认证的入网终端。当然，若二者不一致，则认为该终端非工信部认证的入网终端。

进一步地，APP后台服务器若认定用户终端为工信部认证的入网终端，还可提示用户“该终端为工信部认证的入网终端”、“该终端为正规行货终端”等；若认定用户终端非工信部认证的入网终端，还可提示用户“该终端非工信部认证的入网终端”、“工信部认证失败、谨防假冒”等。

在步骤S102中工信部节点已使用其私钥证书对散列值s2进行数字签名运算，得到终端防伪认证证书密文并返回给终端厂商节点的前提下，在一种具体实施方式中，工信部节点还将其公钥证书发送至APP后台服务器，步骤S106a与S106b之间还包括如下步骤S106c。

S106c.APP后台服务器利用工信部公钥证书对APP发送的终端防伪认证证书密文进行数字签名验证，若验证通过，则认为终端防伪认证证书为工信部签发并得到终端防伪认证证书明文，再执行后续步骤S106b。当然，若验证失败，则认为终端防伪认证证书非法，结束终端当前认证流程。

本实施例中，在步骤S106中，APP后台服务器先利用与工信部节点同样的预设安全散列算法对APP发送的终端硬件固化信息和终端唯一标识进行运算，生成散列值s1′；然后利用工信部公钥证书对APP发送的终端防伪认证证书密文进行数字签名验证，并在验证通过时得到终端防伪认证证书明文；再将散列值s1′与从终端防伪认证证书明文内读取的散列值s2进行比对，根据比对结果判定用户终端是否为工信部认证的入网终端。

需要说明的是，上述步骤的顺序只是为了说明本发明实施例而提出的一个具体实例，本发明对上述步骤的顺序不做限定，本领域技术人员在实际应用中可按需对其进行调整；而且上述步骤的序号大小也不限制其执行顺序。

图2为本发明实施例提供的另一种终端认证方法的流程示意图。如图2所示，所述终端认证方法包括如下步骤S201至S205。

S201.终端厂商向工信部申请入网备案。

本步骤中，终端厂商向工信部提交每部终端的硬件固化信息，用户IMEI及终端防伪认证证书的申请。其中，每部终端的硬件固化信息包含但不限于CPU芯片序列号、设备序列号、存储芯片序列号等。

S202.工信部审批，为每部终端分配IMEI并制证。

本步骤中，工信部为每部终端分配IMEI，并将IMEI与终端厂商提交的终端硬件固化信息一同作为输入信息，生成对应的终端防伪认证证书。

终端防伪认证证书的计算公式为：RSA_Signature(SHA256(IMEI 终端硬件固化信息))，其运算过程为：对(IMEI 终端硬件固化信息)先使用SHA256散列算法进行运算生成散列值S2，再使用工信部私钥证书对生成的散列值S2进行RSA数字签名运算。

由于工信部分配的IMEI与终端硬件固化信息紧密关联，其中任何一项信息的修改都将导致认证失败，从而有效避免IMEI被冒用或者篡改

S203.终端厂商产线生产终端。

本步骤中，终端厂商将从工信部申请的IMEI及终端防伪认证证书写入对应终端指定的安全存储区域，该区域只读不可修改。

S204.运营商入网认证。

本步骤中，在终端接入运营商网络时，将IMEI、终端硬件固化信息和终端防伪认证证书一同上报给运营商基站；基站在接收到上述信息之后，具体的验证过程如下：

1)使用工信部公钥证书对终端防伪认证证书进行签名验证，验证通过则表示为工信部签发的合法证书继续步骤2)，否则表示证书非法，结束网络接入认证并拒绝接入网络；

2)根据基站收到的IMEI及终端硬件固化信息按照SHA256(IMEI 硬件固化信息)算法进行计算，得到散列值S1；

3)从终端防伪认证证书内读取对应的散列值S2，与基站计算的散列值S1比对，如果相同则表示该终端与终端防伪证书匹配，继续步骤4)，否则认为冒用防伪认证证书，结束其网络接入认证并拒绝接入网络；

4)认证通过，允许接入网络。

S205.用户自行认证。

本步骤中，工信部可对外发布终端防伪识别APP，用户自行下载安装该APP后，APP后台服务器采用与运营商基站相同验证过程，可验证用户所购买终端是否是山寨机，如果验证通过，可提示用户“该终端为工信部认证入网终端，正规行货终端”，如果验证失败，可提示用户“工信部认证失败，谨防假冒”，从而提升全民防伪和自我权益保护的意识。

本发明实施例提供的终端认证方法，将终端防伪认证证书和IMEI一并写入终端中，然后运营商基站/终端防伪识别APP后台服务器根据终端上传的终端硬件固化信息和IMEI对终端防伪认证证书的合法性进行入网认证，整个认证过程综合了入网申请、工信部审批和终端入网等各个环节，可有效避免IMEI被冒用或篡改，从而规范终端生产、审核、入网整个流程，为阻断山寨机提供切实可行的技术方案，并提高了工信部对终端产业链全流程的管理能力。

图3为本发明实施例提供的终端认证系统的结构示意图。如图3所示，所述终端认证系统300包括终端厂商节点301、工信部节点302和运营商基站303。

其中，终端厂商节点301设置为，向工信部节点302发送入网申请，申请中包括待认证终端的硬件固化信息；工信部节点302设置为，为待认证终端分配终端唯一标识，再根据待认证终端的硬件固化信息和终端唯一标识生成终端防伪认证证书，然后将终端防伪认证证书和终端唯一标识返回给终端厂商节点301；终端厂商节点301还设置为，将终端防伪认证证书和终端唯一标识写入待认证终端；当待认证终端接入运营商网络时，运营商基站303设置为，接收待认证终端发送的终端防伪认证证书、终端唯一标识和终端硬件固化信息，并根据接收到的终端硬件固化信息和终端唯一标识对待认证终端防伪认证证书的合法性进行入网认证。

本实施例中，针对现有技术手段已无法满足现阶段工信部对终端行业的监管，由IMEI可随意刷写而导致无法有效治理山寨机的问题，不同于现有方案中仅将工信部发放的IMEI作为终端身份的唯一认证手段，本方案将终端防伪认证证书和IMEI一并写入终端中，然后运营商基站根据终端上传的终端硬件固化信息和IMEI对终端防伪认证证书的合法性进行入网认证，本方案的认证过程综合了入网申请、工信部审批和终端入网等各个环节，可有效避免IMEI被冒用或篡改，为治理山寨机提供了切实可行的解决方案。

在一种具体实施方式中，工信部节点302具体设置为，利用预设安全散列算法对待认证终端的硬件固化信息和终端唯一标识进行运算得到散列值s2，再根据散列值s2生成终端防伪认证证书。

相应地，运营商基站303具体设置为，利用同样的预设安全散列算法对待认证终端发送的终端硬件固化信息和终端唯一标识进行运算，生成散列值s1；以及，将散列值s1与从终端防伪认证证书内读取的散列值s2进行比对，若二者一致，则认为待认证终端防伪认证证书合法且网络接入认证通过，允许其接入网络。当然，若二者不一致，则认为待认证终端冒用或伪造防伪认证证书且网络接入认证失败，拒绝其接入网络。

本实施例中，将工信部分配的终端唯一标识(IMEI)与终端硬件固化信息紧密关联，其中任何一项信息发生修改都将导致认证失败，从而有效避免IMEI被冒用或篡改。

在一种具体实施方式中，工信部节点302和运营商基站303采用的预设安全散列算法为SHA256散列算法。

在一种具体实施方式中，工信部节点302还设置为，使用其私钥证书对散列值s2进行数字签名运算，得到终端防伪认证证书密文并返回给终端厂商节点301，以及将其公钥证书发送至运营商基站303。

相应地，运营商基站303还设置为，利用工信部公钥证书对待认证终端发送的终端防伪认证证书密文进行数字签名验证，若验证通过，则认为终端防伪认证证书为工信部签发并得到终端防伪认证证书明文，再执行后续将散列值s1与从终端防伪认证证书明文内读取的散列值s2进行比对的步骤。当然，若验证失败，则认为终端防伪认证证书非法，结束待认证终端当前网络接入认证流程，并拒绝其接入网络。

本实施例中，同时利用散列算法和数字签名对终端硬件固化信息和终端唯一标识进行运算，数据传输的安全性更高。

在一种具体实施方式中，工信部节点302进行数字签名采用的加密算法为RSA非对称加密算法。

在一种具体实施方式中，终端厂商节点301具体设置为，将终端防伪认证证书和终端唯一标识写入待认证终端内指定的安全存储区域，且所述安全存储区域为只读存储区。

本实施例中，终端厂商节点将从工信部申请的IMEI和终端防伪认证证书写入终端内指定的安全存储区域中，由于该安全存储区域只读不可修改，避免了终端内保存的IMEI被篡改。

在一种具体实施方式中，工信部节点302还设置为对外发布终端防伪识别APP，以使得用户终端自行下载并安装终端防伪识别APP。

所述终端认证系统300还包括：终端防伪识别APP后台服务器304。

APP后台服务器304设置为，当用户终端运行终端防伪识别APP时，接收APP发送的终端防伪认证证书、终端唯一标识和终端硬件固化信息，并根据接收到的终端防伪认证证书、终端唯一标识和终端硬件固化信息对用户终端进行认证。

本实施例中，工信部可对外发布终端防伪识别APP，用户自行下载并安装该APP后即可验证所购买的终端是否为山寨机，从而提升全民防伪和自我权益保护的意识。

在工信部节点已根据散列值s2生成终端防伪认证证书的前提下，在一种具体实施方式中，APP后台服务器304具体设置为，利用与工信部节点同样的预设安全散列算法对APP发送的终端硬件固化信息和终端唯一标识进行运算，生成散列值s1′；以及，将散列值s1′与从终端防伪认证证书内读取的散列值s2进行比对，若二者一致，则认为该终端为工信部认证的入网终端。当然，若二者不一致，则认为该终端非工信部认证的入网终端。

在工信部节点302已使用其私钥证书对散列值s2进行数字签名运算，得到终端防伪认证证书密文并返回给终端厂商节点301的前提下，在一种具体实施方式中，工信部节点302还设置为，将其公钥证书发送至APP后台服务器304，APP后台服务器304还设置为，利用工信部公钥证书对APP发送的终端防伪认证证书密文进行数字签名验证，若验证通过，则认为终端防伪认证证书为工信部签发并得到终端防伪认证证书明文，再执行后续将散列值s1′与从终端防伪认证证书内读取的散列值s2进行比对的操作。当然，若验证失败，则认为终端防伪认证证书非法，结束终端当前认证流程。

本发明实施例提供的终端认证系统，将终端防伪认证证书和IMEI一并写入终端中，然后运营商基站/终端防伪识别APP后台服务器根据终端上传的终端硬件固化信息和IMEI对终端防伪认证证书的合法性进行入网认证，整个认证过程综合了入网申请、工信部审批和终端入网等各个环节，可有效避免IMEI被冒用或篡改，从而规范终端生产、审核、入网整个流程，为阻断山寨机提供切实可行的技术方案，并提高了工信部对终端产业链全流程的管理能力。

综上所述，本发明提供的终端认证方法及系统，在入网申请阶段终端厂商使用终端硬件固化信息作为申请条件向工信部申请终端入网认证所需信息，即终端防伪认证证书和IMEI；工信部为终端分配IMEI，同时根据终端厂商提供的终端硬件固化信息和IMEI，使用数字散列、签名等算法生成终端唯一的防伪认证证书，并提供给终端厂商，由终端厂商在终端生产过程中将每一部终端对应的防伪认证证书写入各自指定的安全存储区域中；在终端上市后，当用户在终端内插入SIM卡(Subscriber Identity Module，用户身份识别模块)接入运营商网络时，运营商基站会从终端内读取入网认证所需信息并对终端防伪认证证书的合法性进行入网认证。本发明通过前述技术手段实现了终端设备的入网认证及防伪认证，并且认证过程综合了入网申请、工信部审批和终端入网等各个环节，可有效避免IMEI被冒用或篡改，解决了现有技术中存在的IMEI可随意刷写导致无法有效治理山寨机的技术问题。

本领域普通技术人员可以理解，上文中所公开方法中的全部或某些步骤、系统、装置中的功能模块/单元可以被实施为软件、固件、硬件及其适当的组合。在硬件实施方式中，在以上描述中提及的功能模块/单元之间的划分不一定对应于物理组件的划分；例如，一个物理组件可以具有多个功能，或者一个功能或步骤可以由若干物理组件合作执行。某些物理组件或所有物理组件可以被实施为由处理器，如中央处理器、数字信号处理器或微处理器执行的软件，或者被实施为硬件，或者被实施为集成电路，如专用集成电路。这样的软件可以分布在计算机可读介质上，计算机可读介质可以包括计算机存储介质(或非暂时性介质)和通信介质(或暂时性介质)。如本领域普通技术人员公知的，术语计算机存储介质包括在用于存储信息(诸如计算机可读指令、数据结构、程序模块或其他数据)的任何方法或技术中实施的易失性和非易失性、可移除和不可移除介质。计算机存储介质包括但不限于RAM、ROM、EEPROM、闪存或其他存储器技术、CD-ROM、数字多功能盘(DVD)或其他光盘存储、磁盒、磁带、磁盘存储或其他磁存储装置、或者可以用于存储期望的信息并且可以被计算机访问的任何其他的介质。此外，本领域普通技术人员公知的是，通信介质通常包含计算机可读指令、数据结构、程序模块或者诸如载波或其他传输机制之类的调制数据信号中的其他数据，并且可包括任何信息递送介质。

最后应说明的是：以上各实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述各实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分或者全部技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的范围。