CN100358282C - Wapi认证机制中的密钥协商方法 - Google Patents
Wapi认证机制中的密钥协商方法 Download PDFInfo
- Publication number
- CN100358282C CN100358282C CNB2005100418225A CN200510041822A CN100358282C CN 100358282 C CN100358282 C CN 100358282C CN B2005100418225 A CNB2005100418225 A CN B2005100418225A CN 200510041822 A CN200510041822 A CN 200510041822A CN 100358282 C CN100358282 C CN 100358282C
- Authority
- CN
- China
- Prior art keywords
- key
- authentication code
- access point
- sta
- message authentication
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Expired - Fee Related
Links
Images
Landscapes
- Small-Scale Networks (AREA)
- Mobile Radio Communication Systems (AREA)
Abstract
本发明公开了一种WAPI中认证机制的密钥协商方法,以解决移动设备接入无线局域网时身份认证及密钥协商的问题。本方法设置密钥协商请求、响应、应答三条消息,其交互过程是:客户端STA产生一个随机数r0,用接入点AP的公钥加密后连同会话标示符s传送给AP;AP解密得到r0,选择另一随机数r1,计算会话密钥和消息认证码,将后者同s及用STA公钥加密后的r1一起发给STA;STA解密得到r1后,验证AP发送的消息认证码来决定接入网络和输出会话密钥;最后再由STA计算另一消息认证码,将其和s一起发给AP;AP验证STA发送的消息认证码后,输出会话密钥并允许STA接入网络。该方法达到通用可组合的安全强度,实现了身份认证和密钥协商之目的,可用于对WAPI中认证机制的改进。
Description
技术领域
本发明属于无线通信技术领域,涉及无线局域网的安全技术,具体地说是一种WAPI中认证机制的密钥协商方法,以解决移动设备接入无线局域网时的身份认证及密钥协商问题。
背景技术
2003年中国知识产权局公布了《无线局域网移动终端的安全接入与无线链路的数据保密通信方法》的专利申请书(公开号:CN 1426200A)。此申请书所涉及的专利在中国无线局域网国家标准GB15629.11-无线局域网鉴别与保密基础结构WAPI中应用,其中的无线局域网鉴别基础结构简称为WAI。WAI采用类似于IEEE 802.1X结构的基于端口的认证模型,整个系统由客户端STA、接入点AP和认证服务单元ASU组成;采用公钥证书进行认证和密钥协商,目标在于实现客户端STA与接入点AP间的双向鉴别,对于采用“假”AP的攻击方式具有很强的抵御能力。不仅可以防止非法客户端STA接入接入点AP而占用网络资源,而且还可以防止客户端STA登录至非法接入点AP而造成信息泄漏。
国标GB15629.11中WAI的协议交互过程如图1所示,它主要由证书鉴别和密钥协商两个部分组成。
所述的证书鉴别部分按如下过程进行协议交互:
第一步,客户端STA将自己的证书和当前时间提交给接入点AP;
第二步,接入点AP将客户端STA的证书、提交时间和自己的证书一起用自己的私钥进行签名,并将这个签名连同这三部分一起发给认证服务单元ASU;
第三步,当认证服务单元ASU收到接入点AP提交来的鉴别请求之后,首先验证接入点AP的签名和证书。当鉴别成功之后,进一步验证客户端STA的证书;
第四步,认证服务单元ASU将客户端STA和接入点AP的鉴别结果信息用自己的私钥进行签名,并将这个签名连同这两个结果发回给接入点AP。
接入点AP对收到的结果进行签名验证,并得到对客户端STA的鉴别结果,根据这一结果来决定是否允许该客户端STA接入。同时接入点AP需要将认证服务单元ASU的验证结果转发给客户端STA,客户端STA也要对认证服务单元ASU的签名进行验证,并得到接入点AP的鉴别结果,根据这一结果来决定是否接入接入点AP。
所述的密钥协商部分按如下过程进行协议交互:
第一步,客户端STA向接入点AP发送密钥协商请求,双方首先进行密钥算法协商,随后,客户端STA产生一个随机数r0,用接入点AP的公钥PKAP加密之后传输给对方;
第二步,接入点AP向客户端STA发送密钥协商响应,接入点AP用自己的私钥将对方所产生的随机数r0还原,也产生一个随机数r1,用客户端STA的公钥PKSTA加密后传输给对方,并计算会话密钥K=r0_r1;
第三步,客户端STA用自己的私钥将对方产生的随机数r1还原,也计算会话密钥K=r0_r1。
上述国标中WAI存在如下缺陷:
1.密钥协商协议不安全。由于在WAI的密钥协商过程中,一个攻击者可以首先将接入点AP发送给客户端STA的第二条消息给丢弃,然后可以假冒接入点AP给客户端STA发送ENC(PKSTA,r),其中r为攻击者任意选择的一个随机数。这样当协议结束的时候,客户端STA得到的会话密钥是K1=r0_r,而接入点AP得到的会话密钥是K2=r0_r1。也就是说在协议结束时,接入点AP和客户端STA得到了不相同的会话密钥,因此该密钥协商协议是不安全的。
2.密钥协商协议不能够抵抗未知密钥共享攻击。如果一个攻击者E向证书权威CA申请的公钥与接入点AP或者是客户端STA的公钥相同,则攻击者E就可以发起未知密钥共享攻击。假设攻击者E申请到了同客户端STA一样的公钥,那么在客户端STA发送给接入点AP的第一条消息ENC(PKAP,r0)时,攻击者E将其截获,转发给接入点AP,并声称该消息的发送者是E,则接入点AP就会根据攻击者E的公钥PKE给攻击者E发送应答消息ENC(PKE,r1)。攻击者E再将此消息转发送给客户端STA,并声称该消息来自接入点AP。由于客户端STA和攻击者E具有相同的公钥,因而当协议执行完后,客户端STA就会以为自己与接入点AP协商了一个会话密钥,而接入点AP却会认为自己与攻击者E协商了一个会话密钥,这样就造成了密钥协商协议不能够抵抗未知密钥共享攻击的后果。
3.没有实现接入点AP对客户端STA的身份认证功能。在WAPI中,只有当接入点AP确认客户端STA拥有与其自身出示的公钥证书相对应的私钥时,才能够实现对客户端STA的身份认证。但从WAI的执行过程看出,一个攻击者只要知道一个合法用户的证书,就可以顺利的通过证书鉴别;而且该WAI的密钥协商过程是隐式的密钥认证,接入点AP不能够确认客户端STA拥有与其自身出示的公钥证书相对应的私钥,这样就可使该攻击者不被发现地完成密钥协商协议,所以WAI没有实现对客户端STA的身份认证功能。
4.客户端STA在没完成身份认证的情况下就被允许访问网络。由于在该WAI中,一个攻击者只要提交一个合法用户的证书就可以假冒该用户接入网络,因此在网络是计时收费的情况下,就可能导致误收费。同时攻击者一旦接入网络就有可能发动许多的攻击,对网络的安全造成严重的威胁。
为了克服上述的缺陷,2004年全国信息技术标准化技术委员会宽带无线IP标准工作组颁布了WAPI的实施指南。该实施指南中WAI的交互过程同国标中WAI的的交互过程基本一样,都是由证书鉴别和密钥协商两部分组成。这两者中的证书鉴别过程完全一样,而且实施指南中的单波密钥协商同国标中的密钥协商过程大体相同,都是由客户端STA和接入点AP分别产生随机数后用对方的公钥加密后传送给对方,并通过这两个随机数计算得到会话密钥。不同的是:(1)实施指南中的密钥协商请求是由接入点AP发出,而且在协商请求中增加了接入点AP对加密后的随机数、鉴别请求时间、客户端STA和接入点AP的身份标示等数据的一个数字签名;(2)密钥协商应答是由客户端STA发出,而且在该协商应答中,增加了客户端STA对加密后的随机数、鉴别请求时间、客户端STA和接入点AP的身份标示等数据计算出的一个消息认证码。
WAPI实施指南中单波密钥协商交互过程的安全性相对于国标中方案的安全性有一定的提高,但没有达到通用可组合的安全强度。而无线局域网是一个复杂的网络环境,其中存在着大量分布式并发执行的协议,如果一个协议未达到通用可组合的安全强度,就可能在并发执行或者是在同别的协议组合时出现安全问题,所以实施指南中单波密钥协商协议没有达到足够的安全强度。
发明内容
本发明的目的在于克服WAI上述的缺点,提供一种在不改变原WAI基本框架下WAPI认证机制中的密钥协商方法,以解决WAPI中密钥协商和身份认证问题,进一步提高WAPI认证机制的安全强度。
实现本发明目的的技术方案是保持WAI的证书鉴别部分不变,只对密钥协商部分进行改进。具体来说,本发明首先在原密钥协商应答中添加一个消息认证码来使密钥协商协议达到Canetti-Krawczyk模型下的可证安全,然后添加一条客户端STA发送给接入点AP的应答消息来使密钥协商协议达到通用可组合的安全强度,并且实现身份认证和密钥协商有机的结合,构成一个新的WAI密钥协商协议,该协议包括如下具体过程:
1.在接入点AP与客户端STA进行密钥算法协商之后,由客户端STA产生一个随机数r0,通过接入点AP的公钥加密后连同会话标示符传送给接入点AP;
2.接入点AP对接收到的客户端STA发送过来的加密随机数解密得到r0,并选择另外一个随机数r1,将这两个随机数作为输入,通过计算得到接入点AP的会话密钥和消息认证码的密钥,用该消息认证码的密钥对客户端STA以及接入点AP的身份数据进行计算,得到接入点AP的消息认证码;然后,对所选择的另外一个随机数r1通过客户端STA的公钥加密后,再与会话标示符以及所述的消息认证码由接入点AP一并发送给客户端STA;
3.客户端STA对接收到的接入点AP发送过来的加密随机数进行解密,得到接入点AP选择的随机数r1,将该随机数r1与客户端STA产生的随机数r0作为输入,通过计算得到客户端STA的会话密钥和消息认证码的密钥,用该消息认证码的密钥对客户端STA以及接入点AP的身份数据进行计算,得到客户端STA的消息认证码;然后,客户端STA将该消息认证码与从AP接收到的消息认证码进行校验,如果一致,则由客户端STA输出会话密钥,并决定接入网络;最后,由客户端STA用自身计算出的消息认证码的密钥对客户端STA以及接入点AP的身份数据进行计算,得到客户端STA的另外一个消息认证码,并将它连同会话标示符发送给接入点AP;
4.接入点AP验证客户端STA发送过来的消息认证码,如果正确,则输出会话密钥,并允许客户端STA接入网络。
上述接入点AP计算得到其会话密钥、消息认证码密钥、消息认证码的过程如下:
首先,由接入点AP对客户端STA产生的随机数r0和接入点AP选择的另外一个随机数r1进行计算,即k=r0_r1,
然后,根据参数k分别计算消息认证码密钥、会话密钥、消息认证码,即Ka=fk(0),Kd=fk(1),MACka(″0″,STA,AP,s),
其中,f为伪随机函数,
s为会话标示符,它由调用密钥协商协议的上层协议来确定,
Ka是消息认证码密钥,
Kd是会话密钥,
MACka(″0″,STA,AP,s)是接入点AP计算得到的消息认证码。
上述客户端STA计算得到其会话密钥、消息认证码的密钥、消息认证码过程如下:
首先,由客户端STA对其产生的随机数r0和接入点AP选择的随机数r1进行计算,即k=r0_r1,
然后,根据参数k分别计算消息认证码密钥、会话密钥、消息认证码,即Ka=fk(0),Kd=fk(1),MACka(″0″,STA,AP,s),MACka(″1″,STA,AP,s),
其中,f为伪随机函数,
s是会话标示符,它由调用密钥协商协议的上层协议来确定,
Ka是消息认证码密钥,
Kd是会话密钥,
MACka(″0″,STA,AP,s)是客户端STA计算得到的消息认证码,客户端STA利用该消息认证码对接入点AP发送过来的消息认证码进行比较验证,
MACka(″1″,STA,AP,s)为客户端STA发送给接入点AP的另一个消息认证码。
本发明与国标中的WAI相比,具有以下优点:
1.改进的方案保持了国标中的WAI的框架。
由于本发明只对WAI密钥协商部分进行了修改,其密钥协商思想并没改变,都是客户端STA和接入点AP各自产生随机数,用对方的公钥加密传送给对方,所以原方案不需要做大的改动就可以达到安全的目的。
2.密钥协商协议不仅在Canetti-Krawczyk模型下是可证安全的,而且密钥协商协议也达到了更高的安全级别,即通用可组合的安全强度。
由于本发明改进的密钥协商协议首先在Canetti-Krawczyk模型下是可证安全的,所以它能够提供未知密钥共享(unknown key-share)、丢失信息(loss of information)、密钥泄漏伪装(key-compromise impersonation)、已知密钥安全(known-key security)等安全属性,进而达到通用可组合的安全强度,该安全强度能够保证该密钥协商协议在WLAN这个复杂的网络环境中并发执行时的安全,同时也能够确保该协议具有可组合性。
3.密钥协商和实体认证实现了有机的结合,达到了客户端STA和接入点AP双向认证和密钥协商的目的。
由于本发明采用的密钥协商过程安全地实现了客户端STA和接入点AP双向显式的密钥认证,只有拥有与经过合法检验过的证书相对应私钥的实体才能够计算出对应的消息认证码,因而防止了国标中WAI方案中可能出现的攻击:一个合法的实体通过了证书鉴别,但攻击者却在密钥协商过程中取代该合法实体来完成密钥协商的问题,安全地实现了客户端STA和接入点AP在密钥协商过程中的身份认证目的。
4.客户端STA只有通过了证书鉴别和密钥协商之后才能够被允许接入网络。
由于本发明采用客户端STA只有通过了证书鉴别和密钥协商之后才能够被允许接入网络的方案,因此避免了国标中WAI中一些攻击者利用合法用户的证书来通过证书鉴别接入网络,而导致误收费以及对网络造成安全威胁的弊端。
5.改进的方案相对于国标中的WAI效率损失小。
由于本发明改进的方案相对于国标中WAI的密钥协商协议只增加了一条消息的传输,客户端STA和接入点AP各增加了三次消息认证码的计算,而消息认证码运算相对于公钥计算来说其消耗的计算资源是很少的,所以改进的方案相对于国标中WAI方案其效率损失不大。
本发明与WAPI实施指南中的WAI相比,具有以下优点:
1.本发明的方案达到了通用可组合的安全强度,但实施指南中的方案未达到此安全强度,而该安全强度对保证密钥协商协议在WLAN这个复杂的网络环境中安全运行是十分有必要的。
2.相对于WAPI实施指南中的方案,本发明的方案增加了一条消息的传输,但接入点AP不需要进行签名运算、客户端STA不需要做对签名的验证运算,而这两种运算都是公钥计算,需要的运算量大。所以从计算量上本发明方案的效率比实施指南中单波密钥协商的效率要高。
附图说明
图1为国标中WAI的交互过程图
图2为国标中WAI的密钥协商协议图
图3为本发明的密钥协商协议交互过程图
图4为本发明客户端STA密钥协商请求分组图
图5为本发明接入点AP密钥协商响应分组图
图6为本发明客户端STA应答消息分组图
具体实施方式
在执行无线局域网鉴别与保密基础结构WAPI时,首先由客户端STA和接入点AP通过密钥生成算法得到各自的公私钥对,再从认证服务单元ASU申请到各自的公钥证书,公钥证书可以采用无线局域网国家标准GB15629.11中规定的格式。然后,开始无线局域网鉴别基础结构WAI的协议交互,该协议交互包括证书鉴别和密钥协商两部分。其中,证书鉴别过程采用国家标准GB15629.11中规定的步骤进行,密钥协商的具体交互过程按图3所示的三条消息进行。
1.第一条消息为客户端STA向接入点AP发送密钥协商请求。该请求内容包括会话标示符s和用接入点AP的公钥PKAP对随机数r0加密后的结果ENC(PKAP,r0)。产生该请求内容的过程是:首先由客户端STA采用国家密码管理委员会办公室批准的WLAN随机数产生算法产生一个随机数r0;其次,用接入点AP的公钥PKAP对该随机数r0进行公钥加密,得到结果ENC(PKAP,r0);然后,将加密后的数据置于密钥协商请求分组中的“密钥协商数据”字段,同时传送会话标示符s。该会话标示符s是由上层协议,即调用密钥协商协议的协议来提供的,该标示符具有唯一性。由于国家标准中密钥协商请求分组中只有密钥协商数据、备选会话算法个数、备选算法标示三个数据段,而没有考虑到传送会话标示符,所以需要在其密钥协商请求分组中添加一个“会话标示符”数据段,该“会话标示符”字段添加在原密钥协商请求分组的“备选算法标示”之后,其余的数据段同国标中规定的一样,其具体格式见图4。图4中密钥协商数据段的长度为17到256个字符,备选会话算法个数数据段的长度为1个字符,备选算法标示数据段长度为1到255个字符,“会话标示符”数据段的长度为16个字符。
2.第二条消息为接入点AP向客户端STA发送密钥协商响应应答。其具体过程是:
接入点AP在收到客户端STA发送过来的密钥协商请求后,首先按照该请求进行会话算法的协商,在客户端STA提供的备选算法中选择一种自己支持的算法;其次,利用自己的私钥SKAP对密钥协商数据ENC(PKAP,r0)进行解密得到r0;然后,接入点AP也利用随机数产生算法来产生一个随机数r1,并用客户端STA的公钥PKSTA对其进行公钥加密得到结果ENC(PKSTA,r1),同时接入点AP要计算出一个消息认证码MACka(″0″,STA,AP,s)。其计算过程如下:
接入点AP首先计算k=r0_r1,然后计算Ka=fk(0),Kd=fk(1),MACka(″0″,STA,AP,s)。其中f为伪随机函数;Ka是消息认证码的密钥;Kd是会话密钥,为以后的消息传送提供加密保护。接入点AP在得到Ka,Kd后,擦除其内部的中间状态,如k和r0和r1等,只保留状态(STA,AP,Kd,Ka,s)。最后将ENC(PKSTA,r1)、MACka(″0″,STA,AP,s)以及会话标示符s发送给客户端STA。
由于国标中的密钥协商响应分组中只有“会话算法协商响应标示”和“密钥协商数据”这两个部分,没有“消息认证码”和“会话标示符”字段,所以需要在原分组的基础上添加这两个字段,该“消息认证码”和“会话标示符”字段添加在原密钥协商响应分组的最后,其余的数据段同国标中规定的一样,具体格式见图5。图5中“会话算法协商响应标示”为1个字符长度,“密钥协商数据”为17到256个字符长度,“消息认证码”字段为20个字符长度,“会话标示符”为16个字符的长度。
3.第三条消息是客户端STA给接入点AP发送应答消息。其具体过程是:客户端STA在收到ENC(PKSTA,r1)之后,对其进行解密得到随机数r1,客户端STA计算k=r0_r1,Ka=fk(0),Kd=fk(1),MACka(″0″,STA,AP,s),然后将其计算出的消息认证码同接入点AP发送过来的消息认证码进行比较。如果一致,则输出会话密钥kd,并计算MACka(″1″,STA,AP,s),之后将其连同会话标示符S一同发送给接入点AP,并决定接入网络。客户端STA在输出Kd前也将其中间状态擦除,如k和r0和r1等,只保留状态(STA,AP,Kd,Ka,s)。
客户端STA应答消息分组格式为新添加的数据分组,其格式如图6所示。其中“消息认证码”字段长度为20个字符,而“会话标示符”字段长度为16个字符。
4.接入点AP验证应答消息。其具体过程是接入点AP在收到客户端STA发送过来的应答消息后,对该消息中的消息认证码MACka(″1″,STA,AP,s)进行验证,如果正确,则输出会话密钥kd,并允许客户端STA访问网络,否则就拒绝客尸端STA对网络的访问。
本发明效果安全的证明:
Canetti-Krawczyk模型是目前流行的一种形式化分析密钥协商协议的方法,该模型给出了一个密钥协商协议安全的定义,即会话密钥安全。如果一个密钥协商协议满足以下两个条件则它就是会话密钥安全的。
1.如果两个未被攻陷的参与者完成了匹配的会话,它们将输出相同的会话密钥;
2.攻击者区分会话密钥和随机数的概率不超过0.5+ε,其中ε为一个在安全参数下可忽略的概率,称之为“优势”。
将图3中整个协议记为π′,而将前两条消息完成的协议记为π,可以通过如下方法证明π是会话密钥安全的,π′是通用可组合的安全。
A.对π是会话密钥安全的证明
假定G、ENC、DEC分别是CCA2安全的公钥加密方案中的密钥生成算法、加密算法和解密算法,该CCA2是指适应性的选择密文攻击,而且客户端STA和接入点AP已经调用了算法G来分别得到了它们的公私钥对;另外假定{fk}k∈{0,1}l是一个伪随机函数,其中l为安全参数。
根据上述这两个假定条件,设计如下加密游戏过程:
步骤1:
向
发送三元组(c,rb,t),其中c为
选择的一秘文,rb为
选择的一个随机数,t为
选择的一个字符串。
用MACka′(t)作出应答,其中ka′=fk′(0),k′=rb_r′,r′=DEC(SKAP,c)。
可以多次地重复该过程,其中每一个三元组都由它适应性的选择。也就是说,根据
对以前三元组的应答,
来选择下一个三元组。为了降低攻击难度,
可以使每个三元组中的rb保持不变。
步骤2:
发送一个测试串t*=(“0”,STA,AP,s)给。
选择一个比特
如果b=0,那么它就给
发送应答MACka″(t*),其中ka″=fk″(0),k″=r0_rb,r0是阶段0中的被加密的随机数。如果b=1
返回一个随机串s*,其长度和MACka″(t*)一样。
步骤3:与阶段1相同。
步骤4:
输出一个比特b′,作为对b的猜测。
(2)
是协议π中的攻击者,它利用从协议攻击中获得的能力来参与游戏的执行。
(3)步骤0中的挑战密文c*是协议π中客户端STA发送给接入点AP第一条消息中的密文。步骤1中
随意地挑选测试密文c,随机数rb以及字符串t,交给
处理。需要注意的是:
不能够同时选择c*和t*=(“0”,STA,AP,s)作为输入,为了降低攻击难度,攻击者可以保持每次选择的三元组中的rb不变。
根据会话密钥安全的定义,为了证明π是会话密钥安全的,需要证明它满足两个条件。第一,在客户端STA和接入点AP完成了匹配的会话的情况下,它们将得到相同的会话密钥。具体来说,就是攻击者在协议的执行过程中不能伪造一个接入点AP发送给客户端STA的消息认证码,否则就会导致这两者得到不相同的会话密钥。第二,攻击者不能够以不可忽略的优势来区分会话密钥kd和一个随机数。下面分别证明π能够满足这两个条件。
引理1攻击者在π的执行过程中不能够以不可忽略的概率来伪造消息认证码,在协议结束时客户端STA和接入点AP会得到相同的会话密钥。
证明:如果攻击者
在π的执行过程中能够以不可忽略的概率来伪造一个消息认证码的话,那么它在游戏的第2步中肯定能够以不可忽略的概率计算出MACka″(t*),这样一来它自然能够以不可忽略的优势来区分MACka″(t*)和s*,从而能够以不可忽略的优势来猜对b。那么攻击者就赢得了上面的游戏,则加密方案就不是CCA2安全的了,而这与前提假设相矛盾。所以攻击者在π的执行过程中不能够以不可忽略的概率来伪造消息认证码。那么在STA和AP完成了匹配的会话的情况下,它们会得到相同的会话密钥。
引理2攻击者在协议π的执行过程中不能够以不可忽略的优势来区分会话密钥kd和一个随机数。
证明:假设攻击者
在协议π的执行过程中能够以不可忽略的优势来区分会话密钥kd和一个随机数。在Canetti-Krawczyk模型中,攻击者是不能够直接得到会话密钥kd的。而kd=fk(1),根据f的性质,它只有以不可忽略的概率得到k才能够获得以不可忽略的优势区分kd和一个随机数的能力。也就是说攻击者在只知道ENC(PKAP,r0)和ENC(PKSTA,r1)以及一些公共信息的的情况下,能够以一个不可忽略的优势来区分k=r0_r1和一个随机数。那么攻击者就能够以不可忽略的优势来区分k″=r0_rb和随机数,因为k″中的rb是攻击者自己选定的,所以它区分k″和随机数的难度要小于区分k和随机数的难度。假设攻击者区分k和随机数的优势为η1,那么攻击者区分k″和随机数的优势为η2≥η1,而ka″=fk″(0)从而攻击者能够以不可忽略的概率得到ka″,之后攻击者就可以通过不可忽略的概率计算出MACka″(t*),那么攻击者就能够以不可忽略的优势来区分开MACka″(t*)和s*。这样攻击者就可以赢得上面的游戏了,那么加密方案就不是CCA2安全的,这与前提假设相矛盾,所以攻击者在协议π的执行过程中不能够以不可忽略的优势来区分会话密钥kd和随机数的。
定理1 如果所采用的加密方案是CCA2安全的,{fk}k∈{0,1}l是伪随机函数,那么π就是会话密钥安全的。
证明:根据引理1和引理2可知,在协议π结束时客户端STA和接入点AP得到了相同的会话密钥,且攻击者不能够以不可忽略的优势来区分会话密钥和一个随机数。那么由会话密钥安全的定义可知,协议π是会话密钥安全的。
同时从设计的游戏中可以看出,在协议的执行中,接入点AP和客户端STA内部应该有一个独立的模块来实现游戏中
的功能-解密功能。而且,对于接入点AP来说和客户端STA来说,k,r0,r1在使用完后应该立即擦除。
无线局域网是一个复杂的网络环境,其中存在着大量并发执行的协议和许多的不可预测性,而通用可组合的安全能够保证协议在这样的环境中运行时的安全。改进的密钥协商协议能够达到通用可组合的安全强度。
从上面的分析知道π是会话密钥安全的,并且由美国《Universally ComposableNotions of Key Exchanges and Secure Channels》文献可知,只要改进协议中的第3条消息能够给协议提供应答属性,那么改进的协议就是通用可组合的安全。
B.π′是通用可组合安全的证明
引理3 如果所采用的加密方案是CCA2安全的,{fk}k∈{0,1}l是伪随机函数,那么该密钥交换协议具有应答属性。
证明:为了证明π′具有应答属性,需要构造一个内部状态仿真器I,在π′中,第一个输出会话密钥的实体是客户端STA,在输出会话密钥kd之前它的内部状态是(kd,ka,s,STA,AP)。此时,接入点AP的内部状态也是完全一样的(其中间的内部状态如k,r0,r1都已经被擦除了)。从会话密钥kd和一些公开信息中I可以得到客户端STA和接入点AP被模拟的状态lSTA=lAP=(kd,rI,s,STA,AP),其中rI是一个随机数,它和ka具有相同的长度,I不能够从会话密钥kd和从别的公开信息中计算出ka来。客户端STA和接入点AP的内部状态分别由lSTA和lAP来取代,那么在协议中最后一条消息中的消息认证码为MACrI(“1”,STA,AP,s),而不是MACKa(“1”,STA,AP,s)。下面证明I是一个好的内部状态仿真器。
假设
是一个攻击者。如果I不是一个好的内部状态仿真器,那么环境机z就能够以不可忽略的优势来区分它是与π′以及攻击者
的交互还是在同理想处理后的协议(I分别用lSTA和lAP取代了客户端STA和接入点AP内部状态后的协议)以及攻击者
的交互。而改造后的协议与π′唯一不同的地方是用随机数rI取代了ka。因此如果I不是一个好的内部状态仿真器,那么环境机z就能以一个不可忽略的优势来区分rI和ka。而kd=fk(1),如果攻击者能够区分k和随机数的话,那么它就能够区分kd和随机数,而从引理2可知攻击者不能够区分kd和随机数,那么攻击者肯定也不能区分k和随机数。也就是说,攻击者在不能够区分k和随机数的情况下,却能够以不可忽略的优势来区分ka和随机数。而ka=fk(0),这与{fk}k∈{0,1}l,是伪随机函数的假设相矛盾。所以z不能够以不可忽略的优势来区分它是与π′和
的交互还是同理想处理后的协议和
的交互,那么对π′来说I是一个好的内部状态仿真器,π′具有应答属性。
结合定理1和引理3,可以得到定理2。
定理2 如果协议所采用的加密方案是CCA2安全的,{fk}k∈{0,1}l是伪随机函数,那么改进的密钥交换协议是通用可组合的安全。
由于WAI中的证书鉴别过程已经实现了认证服务单元ASU对客户端STA和接入点AP拥有证书合法性的检测,而改进的密钥协商协议又是显式的密钥认证,所以新的方案就实现了密钥协商和实体认证的有机结合,达到了客户端STA和接入点AP双向认证和密钥协商的目的。
符号解释
WAPI-无线局域网鉴别与保密基础结构;
WAI-无线局域网鉴别基础结构;
PKA-实体A的公钥;
ENC(PKA,m)-用实体A的公钥对消息m进行公钥加密;
fk()-密钥为k的伪随机函数;
MACK(m)-采用密钥K对消息m做消息认证码计算
Claims (3)
1.一种WAPI认证机制中的密钥协商方法,包括如下过程:
1).在接入点AP与客户端STA进行密钥算法协商之后,由客户端STA产生一个随机数r0,通过接入点AP的公钥加密后连同会话标示符s一并传送给接入点AP;
2).接入点AP对接收到的客户端STA发送过来的加密随机数解密得到r0,并选择另外一个随机数r1,将这两个随机数作为输入,通过计算得到接入点AP的会话密钥和消息认证码的密钥,用该消息认证码的密钥对客户端STA以及接入点AP的身份数据进行计算,得到接入点AP的消息认证码;然后,对所选择的另外一个随机数r1通过客户端STA的公钥加密后,再与会话标示符s以及所述的消息认证码由接入点AP一并发送给客户端STA;
3).客户端STA对接收到的接入点AP发送过来的加密随机数进行解密,得到接入点AP选择的随机数r1,将该随机数r1与客户端STA产生的随机数r0作为输入,通过计算得到客户端STA的会话密钥和消息认证码的密钥,用该消息认证码的密钥对客户端STA以及接入点AP的身份数据进行计算,得到客户端STA的消息认证码;然后,客户端STA将该消息认证码与从AP接受到的消息认证码进行比较验证,如果一致,则由客户端STA输出会话密钥,并决定接入网络;最后,由客户端STA用自身计算出的消息认证码的密钥对客户端STA以及接入点AP的身份数据进行计算,得到客户端STA的另外一个消息认证码,并将它连同会话标示符s-并发送给接入点AP;
4).接入点AP验证客户端STA发送过来的消息认证码,如果正确,则输出会话密钥,并允许客户端STA接入网络。
2.根据权利要求1的密钥协商协议方法,其特征在于所述接入点AP计算会话密钥、消息认证码、消息认证码密钥的过程如下:
首先,由接入点AP对客户端STA产生的随机数r0和接入点AP选择的另外一个随机数r1进行计算,即k=r0_r1;然后,根据参数k分别计算消息认证码密钥、会话密钥、消息认证码,即Ka=fk(0),Kd=fk(1),MACka(″0″,STA,AP,s),
其中:f为伪随机函数,
s是会话标示符,
Ka是接入点AP的消息认证码密钥,
Kd是会话密钥,
MACka(″0″,STA,AP,s)是接入点AP计算得到的消息认证码。
3.根据权利要求1的密钥协商方法,其特征在于所述客户端STA计算会话密钥、消息认证码的密钥、消息认证码的过程如下:
首先,由客户端STA对客户端STA产生的随机数r0和接入点AP选择的随机数r1进行计算,即k=r0_r1;
然后,根据参数k分别计算消息认证码密钥、会话密钥、消息认证码,即Ka=fk(0),Kd=fk(1),MACka(″0″,STA,AP,s),MACka(″1″,STA,AP,s),
其中,f为伪随机函数,
s是会话标示符,
Ka是消息认证码密钥,
Kd是会话密钥,
MACka(″0″,STA,AP,s)是客户端STA的消息认证码,客户端STA利用该消息认证码对接入点AP发送过来的消息认证码进行比较验证,
MACka(″1″,STA,AP,s)为客户端STA发送给接入点AP的消息认证码。
Priority Applications (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
CNB2005100418225A CN100358282C (zh) | 2005-03-23 | 2005-03-23 | Wapi认证机制中的密钥协商方法 |
Applications Claiming Priority (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
CNB2005100418225A CN100358282C (zh) | 2005-03-23 | 2005-03-23 | Wapi认证机制中的密钥协商方法 |
Publications (2)
Publication Number | Publication Date |
---|---|
CN1665183A CN1665183A (zh) | 2005-09-07 |
CN100358282C true CN100358282C (zh) | 2007-12-26 |
Family
ID=35036093
Family Applications (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
CNB2005100418225A Expired - Fee Related CN100358282C (zh) | 2005-03-23 | 2005-03-23 | Wapi认证机制中的密钥协商方法 |
Country Status (1)
Country | Link |
---|---|
CN (1) | CN100358282C (zh) |
Cited By (1)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
WO2016066039A1 (zh) * | 2014-10-27 | 2016-05-06 | 阿里巴巴集团控股有限公司 | 一种网络安全通信方法及通信装置 |
Families Citing this family (20)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
CN101111056B (zh) * | 2006-07-17 | 2010-05-12 | 西安电子科技大学 | 在无线局域网中的快速切换方法 |
CN100488305C (zh) * | 2006-09-23 | 2009-05-13 | 西安西电捷通无线网络通信有限公司 | 一种网络接入鉴别与授权方法以及授权密钥更新方法 |
CN101056166B (zh) * | 2007-05-28 | 2010-04-21 | 北京飞天诚信科技有限公司 | 一种提高数据传输安全性的方法 |
CN101083556B (zh) * | 2007-07-02 | 2010-04-14 | 蔡水平 | 一种按地域分层次无线信息发布搜索交流应用系统 |
CN100566240C (zh) * | 2007-11-16 | 2009-12-02 | 西安西电捷通无线网络通信有限公司 | 一种wapi单播密钥协商方法 |
CN101483867B (zh) * | 2008-01-10 | 2010-07-14 | 中国移动通信集团公司 | 无线应用协议业务中用户身份验证方法、相关设备及系统 |
CN101826233B (zh) * | 2008-03-07 | 2012-05-02 | 北京握奇数据系统有限公司 | 一种远程管理电子钱包状态的装置 |
CN101808317B (zh) * | 2009-02-18 | 2013-07-03 | 联想(北京)有限公司 | 一种实现无线局域网安全措施的计算机设备和方法 |
CN101808097B (zh) * | 2010-03-25 | 2013-07-10 | 杭州华三通信技术有限公司 | 一种防arp攻击方法和设备 |
CN102014380B (zh) * | 2010-12-20 | 2014-04-30 | 广州杰赛科技股份有限公司 | 基于wapi的鉴证加速装置及高速鉴别认证方法 |
US8971851B2 (en) | 2012-06-28 | 2015-03-03 | Certicom Corp. | Key agreement for wireless communication |
US9686819B2 (en) | 2013-09-24 | 2017-06-20 | Xiaomi Inc. | Methods, devices and systems for router access control |
CN105207978B (zh) * | 2014-06-24 | 2018-12-07 | 华为技术有限公司 | 一种消息鉴别方法及电子设备 |
CN105636032B (zh) * | 2015-04-17 | 2019-12-10 | 宇龙计算机通信科技(深圳)有限公司 | 设备接入的处理方法、设备接入的处理装置和终端 |
CN105636037B (zh) * | 2015-06-29 | 2019-11-12 | 宇龙计算机通信科技(深圳)有限公司 | 认证方法、装置及电子设备 |
CN105007163B (zh) * | 2015-07-15 | 2018-07-31 | 普联技术有限公司 | 预共享密钥的发送、获取方法及发送、获取装置 |
CN105828332B (zh) * | 2016-04-29 | 2019-12-10 | 上海斐讯数据通信技术有限公司 | 一种无线局域网认证机制的改进方法 |
CN106060804A (zh) * | 2016-05-19 | 2016-10-26 | 福州市协成智慧科技有限公司 | 无线距离三角定位方法 |
CN106060807A (zh) * | 2016-05-24 | 2016-10-26 | 中国科学院信息工程研究所 | 一种适用于电路域加密通信的消息传输方法 |
CN112399416B (zh) * | 2020-12-02 | 2023-01-10 | 中国联合网络通信集团有限公司 | 一种接入方法及装置 |
Citations (4)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
WO2003015360A2 (en) * | 2001-08-10 | 2003-02-20 | Megisto Systems | System and method for secure network roaming |
CN1426200A (zh) * | 2002-11-06 | 2003-06-25 | 西安西电捷通无线网络通信有限公司 | 无线局域网移动终端的安全接入与无线链路的数据保密通信方法 |
CN1564514A (zh) * | 2004-03-26 | 2005-01-12 | 中兴通讯股份有限公司 | 无线局域网自组网模式共享密钥认证和会话密钥协商方法 |
CN1564524A (zh) * | 2004-03-26 | 2005-01-12 | 中兴通讯股份有限公司 | 一种无线局域网中无线终端计费的方法 |
-
2005
- 2005-03-23 CN CNB2005100418225A patent/CN100358282C/zh not_active Expired - Fee Related
Patent Citations (4)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
WO2003015360A2 (en) * | 2001-08-10 | 2003-02-20 | Megisto Systems | System and method for secure network roaming |
CN1426200A (zh) * | 2002-11-06 | 2003-06-25 | 西安西电捷通无线网络通信有限公司 | 无线局域网移动终端的安全接入与无线链路的数据保密通信方法 |
CN1564514A (zh) * | 2004-03-26 | 2005-01-12 | 中兴通讯股份有限公司 | 无线局域网自组网模式共享密钥认证和会话密钥协商方法 |
CN1564524A (zh) * | 2004-03-26 | 2005-01-12 | 中兴通讯股份有限公司 | 一种无线局域网中无线终端计费的方法 |
Cited By (2)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
WO2016066039A1 (zh) * | 2014-10-27 | 2016-05-06 | 阿里巴巴集团控股有限公司 | 一种网络安全通信方法及通信装置 |
US10419409B2 (en) | 2014-10-27 | 2019-09-17 | Alibaba Group Holding Limited | Method and apparatus for secure network communications |
Also Published As
Publication number | Publication date |
---|---|
CN1665183A (zh) | 2005-09-07 |
Similar Documents
Publication | Publication Date | Title |
---|---|---|
CN100358282C (zh) | Wapi认证机制中的密钥协商方法 | |
CN109347809B (zh) | 一种面向自主可控环境下的应用虚拟化安全通信方法 | |
CN103095696B (zh) | 一种适用于用电信息采集系统的身份认证和密钥协商方法 | |
CN111314056B (zh) | 基于身份加密体制的天地一体化网络匿名接入认证方法 | |
Wang et al. | SDN-based handover authentication scheme for mobile edge computing in cyber-physical systems | |
CN100586067C (zh) | 一种兼容802.11i及WAPI的身份认证方法 | |
CN108989318A (zh) | 一种面向窄带物联网的轻量化安全认证及密钥交换方法 | |
CN101902476A (zh) | 移动p2p用户身份认证方法 | |
CN113905351B (zh) | 一种基于区块链和机密计算的车联网认证方法 | |
CN104283899B (zh) | 无线网络中基于k‑假名集合的用户匿名身份认证方法 | |
Guo et al. | FogHA: An efficient handover authentication for mobile devices in fog computing | |
CN110768954B (zh) | 适用于5g网络设备的轻量级安全接入认证方法及应用 | |
CN1770681A (zh) | 无线环境下的会话密钥安全分发方法 | |
CN102685749A (zh) | 面向移动终端的无线安全身份验证方法 | |
CN106534050A (zh) | 一种实现虚拟专用网络密钥协商的方法和装置 | |
CN103118363A (zh) | 一种互传秘密信息的方法、系统、终端设备及平台设备 | |
CN103338201A (zh) | 一种多服务器环境下注册中心参与的远程身份认证方法 | |
CN109768861A (zh) | 一种海量d2d匿名发现认证与密钥协商方法 | |
CN108964896A (zh) | 一种基于群组密钥池的Kerberos身份认证系统和方法 | |
Hou et al. | Lightweight and privacy-preserving charging reservation authentication protocol for 5G-V2G | |
CN113055394A (zh) | 一种适用于v2g网络的多服务双因子认证方法及系统 | |
CN102404329A (zh) | 用户终端与虚拟社区平台间交互的认证加密方法 | |
CN116388995A (zh) | 一种基于puf的轻量级智能电网认证方法 | |
CN108964895A (zh) | 基于群组密钥池和改进Kerberos的User-to-User身份认证系统和方法 | |
Chen et al. | Sustainable secure communication in consumer-centric electric vehicle charging in industry 5.0 environments |
Legal Events
Date | Code | Title | Description |
---|---|---|---|
C06 | Publication | ||
PB01 | Publication | ||
C10 | Entry into substantive examination | ||
SE01 | Entry into force of request for substantive examination | ||
C14 | Grant of patent or utility model | ||
GR01 | Patent grant | ||
C17 | Cessation of patent right | ||
CF01 | Termination of patent right due to non-payment of annual fee |
Granted publication date: 20071226 Termination date: 20110323 |