CN101056177A - 基于无线局域网安全标准wapi的无线网状网重认证方法 - Google Patents

Abstract

本发明涉及网络，尤其是无线网状网络的安全技术领域，其特征是：先把相邻的物理接入点AP虚拟成一个虚拟接入点AP，并在每个物理接入点AP中构造虚拟证书，再按照现有WAPI标准对接入虚拟接入点AP的终端用鉴别服务器进行虚拟AP证书认证和终端证书认证，通过后，由鉴别服务器AS向该终端所连接的物理接入点AP发送证书鉴别结果；再由终端所连接的物理接入点AP向虚拟接入点AP中的其它物理接入点AP发送公钥加密后的密钥分组，同时向终端发送鉴别结果，该终端在收到鉴别结果后产生基密钥BK。本发明解决了现有WAPI用于无线网状网络时如何用一个基密钥减少漫游切换重认证延时的问题，同时具有在大规模网络中的应用可扩展性。

Description

基于无线局域网安全标准WAPI的无线网状网重认证方法

技术领域

本发明涉及无线网络安全的应用方法，具体涉及无线网状网络中无线局域网安全标准WAPI(WLAN Authentication and Privacy Infrastructure，无线局域网鉴别和保密基础架构)的应用方法。

背景技术

近年来，基于802.11无线局域网技术的宽带无线网络获得了迅猛的发展，各种新型宽带无线技术如无线交换、无线网状网等层出不穷，在全球范围内得到了广泛的应用。据不完全统计，截至2006年1月，全球WiFi热点总数已超过100,000个，超过130国家使用WiFi技术。与此同时，移动终端也日渐丰富，从传统的笔记本终端到手机、PDA等，促进了无线宽带网络及其应用的进一步发展。

无线环境下各种新型实时流媒体应用对网络漫游切换时延提出了更高的要求，而其中重认证时延是影响漫游切换延时的关键因素，因此无线局域网鉴别和保密基础结构WAPI中提出了预鉴别机制来解决用户快速移动切换问题，但是这种预鉴别方法不仅效率低、不适合应用于大规模无线网络，而且也难以有效应用于无线网状网等新型无线宽带网络。

根据标准WAPI机制，当终端STA(Station)从一个无线接入点AP(Access point)切换到另一个AP上时，需要再次进行STA和新AP的证书鉴别和密钥协商过程，从而导致STA在两个AP间重认证时延过长，影响漫游切换性能。为此，现有WAPI标准提出预鉴别机制来解决这一问题：漫游前，STA通过当前连接的AP进行证书预鉴别过程，并生成基密钥，分别存储在STA和将要漫游的AP中；当STA漫游到新AP上时，若预鉴别通过，STA和AP则直接进行单播密钥的协商和组播密钥的通告过程，不用再次进行WAI证书鉴别过程。

然而，通过分析发现这一WAPI预鉴别机制存在以下问题：

(1)需当STA和所连接AP完成单播会话密钥的协商并安装密钥之后才可启动预鉴别过程，因此需要占用STA和所连接AP已经建立好的通信信道，影响AP和STA之间正常的数据通信。

(2)预鉴别过程中，由STA所连接AP来发现周围的AP，然后对其进行预鉴别。这种方法会受到发现机制的影响，造成预鉴别的AP不是STA将要移动的目标AP。若采用其他发现机制，则会增加STA和AP的开销。

(3)预鉴别完成后，STA会生成一个基密钥BK(Base Key)列表。如果网络规模很大，STA生成和维护的基密钥列表会很复杂，从而增加STA的开销。

(4)预鉴别机制原是为传统无线局域网设计的，由于无线网状网中AP需同时承担用户接入和中继其它AP的功能，如将这一机制不加修改地应用于无线网状网络中，将会加重所连接AP的负担，不利于网络进一步扩展。

发明内容

本发明的目的在于提供一种无线网状网中应用WAPI机制的方法，使用该方法可以减少WAPI机制应用于无线网状网时的漫游切换重认证时延，提高无线网状网中WAPI机制的应用效率。

本发明的特征在于：首次提出虚拟AP的概念，对现有WAPI机制进行了改进，提出了无线网状网中的WAPI应用机制。

虚拟AP的相关定义如下：

定义1虚拟AP：网络中相邻的多个物理AP，虚拟为同一个AP，共同使用同一个虚拟AP证书(如下定义2)。

定义2虚拟AP的证书：可以证明虚拟AP身份的公钥证书。虚拟AP证书为公钥证书，是虚拟AP的数字身份凭证，通过私钥验证可以惟一地确定虚拟AP的身份。

本定义中虚拟AP证书的主要内容包括证书的序列号、版本号、颁发者名称、有效期、虚拟AP的名称、虚拟AP的公钥、扩展项、签名算法、颁发者签名。其中扩展项中包括虚拟AP中包含物理AP的个数，以及物理AP的身份。附图1为虚拟AP证书的格式说明。虚拟AP证书具体的实现可以通过对X.509证书和GBW证书中的扩展项扩展得到。

根据定义1，STA连接到网络中任一个物理AP上，等同于连接到同一虚拟AP上。STA和这个虚拟AP通过鉴别服务器AS(Authentication Server)进行相互的双向认证(既对STA的合法性进行认证，又对虚拟AP的合法性进行认证)。认证通过后，STA在虚拟AP的虚拟域(虚拟AP虚拟的所有物理AP范围)内移动时，可不用再次进行证书鉴别过程，而直接利用之前和虚拟AP鉴别的结果，进行后续单播密钥和组播密钥的协商。

本发明与现有WAPI预鉴别机制相比具有以下优势：

(1)不用再次进行证书鉴别过程和基密钥的协商过程，缩短STA在不同AP间切换的延迟时间。

(2)STA只需要一个基密钥就可以实现在虚拟域中的移动，不用生成和维护一个基密钥列表，从而减轻STA端的负担。

(3)实现过程简单，并且没有改动WAPI的认证体系结构。在AP处做的改动对于STA是完全透明的，对于目前的WAPI客户端没有做任何修改。

(4)具有可扩展性。在大规模网络中，可以将网络分为不同的小簇，然后采用分级的鉴别服务器结构，不仅可以实现小范围的快速移动，而且可以实现STA在大规模网络中的快速移动。

附图说明

图1是虚拟AP的证书格式示意图：版本号，长度2个八位位组，表示一个整数；序列号，长度4个八位位组，表示一个整数；颁发者名称，由长度字段与内容字段组成；有效期，有效期字段长度为8个八位位组，由4个八位位组的起始时间和4个八位位组的截止时间组成；虚拟AP名称，由长度字段与内容字段组成；虚拟AP公钥，由长度字段与内容字段组成。内容字段包括公钥算法标识、公钥算法参数和公钥值字段；虚拟AP扩展项，包括扩展属性个数与扩展属性列表两个字段，其中扩展属性个数字段为1个八位位组，标识扩展属性的个数，根据定义目前扩展属性的个数为2，扩展属性列表字段内容包括虚拟AP中包含物理AP的个数，以及物理AP的身份；签名算法，表示颁发者采用何种算法对证书进行签名，包含长度和内容两个子字段；颁发者签名，颁发者签名字段包含长度和签名值。

图2是无线网状网络中WAPI应用结构示意图。

图3是STA首次连接到无线网状网中时基于虚拟AP的WAPI认证流程图。

图4是STA在无线网状网域中移动时重新认证过程流程图。

具体实施方式

下面结合附图对本发明作进一步详细的描述。

图1是无线网状网络中WAPI应用结构示意图。将无线网状网中若干相邻的物理AP虚拟为同一个虚拟AP，在这些物理AP中安装相同的虚拟AP证书(证书的分发、管理以及安装不在本发明讨论范围之内)。STA连接到网络中任一个物理AP上，就等同于连接到这个虚拟AP上，所连物理AP实现虚拟AP的功能。

图2是STA首次连接到无线网状网中认证流程图。STA首次连接到无线网状网中，基于虚拟AP的WAPI认证过程如下：

步骤1：虚拟AP向连接在虚拟域中的STA发送鉴别激活分组。鉴别激活分组格式同现有WAPI标准中定义的鉴别激活分组格式一致，包括标识字段、鉴别标识字段、AS身份字段、证书字段、参数字段。对于现有WAPI标准的改进是在证书字段中使用本发明定义的虚拟AP证书(见定义1)。

STA收到鉴别激活分组后，按照现有WAPI标准过程处理，并生成鉴别请求分组发送给STA所连接的物理AP。其中鉴别请求分组生成按照现有WAPI标准规定进行。

步骤2：所连物理AP收到鉴别请求分组后，首先按照现有WAPI标准规定对于接收到的分组进行验证。然后按照现有WAPI标准规定生成证书鉴别请求分组，并发送给AS鉴别服务器。在这个步骤对现有WAPI机制的改进是在WAPI标准定义的鉴别请求分组中，证书字段包含的是本发明定义的虚拟AP证书。

步骤3：鉴别服务器AS收到虚拟AP发送的证书鉴别请求分组后，按照现有WAPI标准进行处理。本发明对于鉴别服务器AS的改进是在按照原有WAPI标准进行证书验证时，将原来对于物理AP证书的验证，改进为对于虚拟AP证书的验证。

具体方法为，通过以下步骤验证虚拟AP身份的合法性：鉴别服务器AS验证虚拟AP证书内容中颁发者名称字段是否是本鉴别服务器AS名称，验证有效期字段是否在有效期内，以及验证虚拟AP的名称、虚拟AP的公钥是否正确，颁发者签名字段是否正确。

鉴别服务器AS对于STA的验证，仍然按照现有WAPI标准进行。

鉴别服务器AS完成对于虚拟AP和STA的双向认证后，按照现有WAPI标准，构造证书鉴别响应分组，其中包括虚拟AP的证书认证结果信息。虚拟AP的证书认证结果信息包含虚拟AP的证书、认证结果以及鉴别服务器AS对前两项的签名。另外证书鉴别响应分组还应包含现有WAPI标准中定义的其他信息。

鉴别服务器AS将证书鉴别响应分组发送给STA所关联的物理AP。

步骤4：STA所关联物理AP接收到证书鉴别响应分组后，本发明对于现有WAPI标准进行了如下改进，以实现虚拟AP的功能。

具体的实现过程如下：首先按照现有WAPI标准进行分组的验证，按照现有WAPI标准规定的过程，若STA的证书验证结果为成功，则按照标准规定生成基密钥BK。然后在这个物理AP中生成一个密钥分组，分组的内容包括生成的基密钥BK信息以及所连STA的MAC(无线局域网媒体访问控制)地址信息。物理AP利用虚拟AP证书中的公钥对分组进行加密处理。并将加密后的分组发送给虚拟AP中其他物理AP。需要说明的是应该保证这个发送过程的安全性，具体的安全性发送过程不在本发明的讨论范围之内。

虚拟AP中其他物理AP收到STA所连物理AP发送的密钥分组后进行如下处理：1)利用虚拟AP的私钥对分组进行解密计算。2)在物理AP中生成一个列表，缓存STA的MAC地址和基密钥BK。STA的MAC地址和基密钥BK是一一对应关系。

STA所连物理AP在发送密钥分组后，按照现有WAPI标准构造接入鉴别响应分组，并发送给STA。其中的密钥数据和签名字段，分别指虚拟AP的密钥数据和签名。身份字段是指虚拟AP的身份，其中包括虚拟AP证书中的序列号字段、颁发者名称字段、虚拟AP名称字段。

步骤5：STA收到接入鉴别响应分组后，按照现有WAPI标准进行处理，在STA端生成基密钥BK。

后续单播会话密钥协商和组播会话密钥通告协商过程按照现有WAPI标准，在STA和所连接物理AP间进行。

图3是STA在无线网状网域中移动时重新认证过程流程图。STA在完成首次鉴别后，在无线网状网域中移动时，重新认证过程如下：

步骤1：按照现有WAPI标准预鉴别机制重新建立物理连接：1)STA向AP发送探寻请求。2)AP向STA发送探寻响应。3)STA向AP发送链路验证请求。4)AP向STA发送链路验证响应。5)STA向AP发送关联请求，其中WAPI信息元素中的基密钥列表字段为同上一个物理AP协商生成的基密钥信息。

步骤2：STA所关联新AP收到关联请求后，新的物理AP进行如下处理：1)检查STA提交基密钥信是否在有效期内。2)有效则将STA提交的BK和AP中缓存的BK进行对比。3)对比结果为相同，则跳过WAPI证书鉴别过程，直接使用基密钥BK，按照现有WAPI标准规定进行单播会话密钥协商和组播会话密钥通告。对比结果为不同，则按照现有WAPI标准进行完整的WAPI证书鉴别和密钥协商过程。

Claims (1)

1、基于无线局域网安全标准WAPI的无线网状网重认证方法，其特征在于依次含有以下步骤：

步骤(1)把无线网状网中若干相邻的物理接入点AP虚拟为同一个虚拟接入点AP，在所连各物理接入点AP中安装相同的虚拟AP证书，其数据格式依次如下：版本号、序列号、颁发者名称、有效期、虚拟接入点AP的名称、虚拟接入点AP的公钥、虚拟接入点AP扩展项、签名算法和颁发者签名；

步骤(2)虚拟接入点AP向连接在所述接入点虚拟域中的终端STA发送鉴别激活分组，其数据格式与无线局域网安全标准WAPI中定义的鉴别激活分组一致，它包括标识字段、鉴别标识字段、鉴别服务器AS身份字段、证书字段和参数字段，其中的证书字段使用步骤(1)所述的虚拟AP证书；

步骤(3)所连终端STA收到步骤(2)所述的鉴别激活分组后，按照WAPI标准处理并生成鉴别请求分组发送给该终端当前所连接的物理接入点AP；

步骤(4)步骤(3)中所述的物理接入点AP收到步骤(3)中所述的鉴别请求分组后，按照WAPI标准验证并生成证书鉴别请求分组，并以虚拟接入点AP的名义发送给鉴别服务器AS，所述鉴别请求分组中的证书字段是步骤(1)所述的虚拟AP证书，同时还发送该终端STA的证书；

步骤(5)该鉴别服务器AS收到步骤(4)所述的证书鉴别请求分组以后按照WAPI标准对所述虚拟AP证书和STA证书进行验证；在验证结束后，该鉴别服务器AS按照WAPI标准，构造包括虚拟AP证书认证结果信息在内的证书鉴别响应分组，并发送给所述终端STA目前所连的物理接入点AP；在虚拟AP证书认证结果信息内包含：该虚拟AP证书、认证结果以及鉴别服务器AS对这两项的签名；

步骤(6)该终端STA目前所连接的物理接入点AP收到步骤(5)所述的证书鉴别响应分组以后依次按以下步骤处理：

步骤(6.1)若该终端STA的证书验证成功，则按WAPI标准生成基密钥BK，并生成一个密钥分组，其中包括生成的基密钥BK以及物理接入点AP所连接的终端STA的无线局域网媒体访问控制MAC地址信息；

步骤(6.2)步骤(6)中所连的物理接入点AP利用自己虚拟AP证书中的公钥对步骤(6.1)所述的密钥分组进行加密，并把已加密的密钥分组发送给虚拟接入点AP中的其它物理接入点AP；

步骤(6.3)虚拟接入点AP中的其它物理接入点在收到该终端STA所连接的物理接入点AP发送的密钥分组后依次进行以下步骤：

步骤(6.3.1)利用虚拟接入点AP的私钥对该密钥分组进行解密运算；

步骤(6.3.2)在虚拟接入点AP中每一个其它物理接入点AP中生成一个列表缓存该终端STA的MAC地址和基密钥BK，两者呈一一对应关系；

步骤(6.3.3)该终端STA所连接的物理接入点AP在发送密钥分组后按WAPI标准构造一个鉴别响应分组并发送给该终端STA，该分组中的密钥数据和签名字段是虚拟接入点AP的密钥数据和签名，身份字段是虚拟接入点AP的身份，其包含虚拟AP证书中的序列号字段、颁发者名称字段、虚拟AP名称字段；

步骤(7)该终端STA收到步骤(6.3.3)中所述鉴别响应分组后，按WAPI标准处理并生成基密钥BK。

Images