CN100454866C

CN100454866C - 确定非法接入点的方法、装置及系统

Info

Publication number: CN100454866C
Application number: CNB2005100372077A
Authority: CN
Inventors: 凌健良
Original assignee: Hongfujin Precision Industry Shenzhen Co Ltd; Hon Hai Precision Industry Co Ltd
Current assignee: Singapore Shanghong Yunke Co ltd
Priority date: 2005-09-09
Filing date: 2005-09-09
Publication date: 2009-01-21
Anticipated expiration: 2025-09-09
Also published as: CN1929415A

Abstract

一种确定非法接入点的系统，包括一侦测接入点及一确定非法接入点的装置。侦测接入点用于扫描其覆盖范围内的接入点及其联系状况，以获得一接入点列表及一站点联系列表，并发送接入点列表及站点联系列表。确定非法接入点的装置包括一接收模块及一判断模块。接收模块用于接收接入点列表及站点联系列表。判断模块用于根据所接收的接入点列表及站点联系列表来确定接入点列表中每一个接入点是否为非法接入点。本发明确定非法接入点的系统可确定非法接入点，防止非法接入点带来的安全问题。

Description

确定非法接入点的方法、装置及系统

【技术领域】

本发明涉及无线通讯领域，尤其涉及一种确定非法接入点的方法、装置及系统。

【背景技术】

在传统的有线网络中，网络入侵者要进入公司网络非常困难。入侵者必须先进入公司的建筑物找到一个以太网连接端口，与其连接后才能开始盗取公司机密。这些实体的障碍增加了入侵者的困难。

然而，在无线网络中，入侵者不必进入公司的建筑物，只需要在无线网络的覆盖范围内，放一个未授权的接入点(access point)，公司员工就有可能无意中连接到该接入点并把公司秘密发送到该接入点，从而，入侵者就可以通过该接入点连接公司网络而盗取公司秘密。这种未授权的接入点通常被称为“非法接入点(Rogue access point)”。因此，在无线网络中，要防止非法接入点带来的安全问题，迫切需要一种确定非法接入点的方法。

【发明内容】

为了解决上述现有技术存在的不足，需要解决的技术问题在于提供一种确定非法接入点的方法。

需要解决的另一技术问题在于提供一种确定非法接入点的系统。

需要解决的又一技术问题在于提供一种确定非法接入点的装置。

一种确定非法接入点的方法包括以下步骤：提供一侦测接入点及一确定非法接入点的装置；通过侦测接入点扫描其覆盖范围内的接入点及其联系状况；获得一接入点列表及一站点联系列表，并将接入点列表及站点联系列表发送出去；通过确定非法接入点的装置接收接入点列表及站点联系列表；以及根据接入点列表及站点联系列表来确定接入点列表中每一个接入点是否为非法接入点。

一种确定非法接入点的装置包括一接收模块及一判断模块。接收模块用于接收一接入点列表及一站点联系列表。判断模块用于根据所接收的接入点列表及站点联系列表来确定接入点列表中每一个接入点是否为非法接入点。

一种确定非法接入点的系统包括：一侦测接入点及一确定非法接入点的装置。侦测接入点用于扫描其覆盖范围内的接入点及其联系状况，以获得一接入点列表及一站点联系列表，并发送接入点列表及站点联系列表。确定非法接入点的装置包括一接收模块及一判断模块。接收模块用于接收接入点列表及站点联系列表。判断模块用于根据所接收的接入点列表及站点联系列表来确定接入点列表中每一个接入点是否为非法接入点。

上述技术方案应用确定非法接入点的方法确定非法接入点，并对非法接入点进行处理，防止非法接入点带来的安全问题，从而确保无线网络的安全。

【附图说明】

图1是本发明确定非法接入点的系统实施方式的架构图。

图2是本发明侦测接入点实施方式的模块图。

图3是本发明确定非法接入点的装置实施方式的模块图。

图4是本发明确定非法接入点的方法实施方式的流程图。

【具体实施方式】

图1是本发明确定非法接入点的系统实施方式的架构图。在本实施方式中，确定非法接入点的系统包括本地网络(local network)100、确定非法接入点的装置110、多个本地接入点(local AP)120、多个站点(station)121、131、多个侦测接入点130、外地网络200、外地接入点210、外地站点211、非法接入点300以及独立接入点400。其中，多个站点121、131及外地站点211是可以被用来连接到无线网络上的客户端，其可以是移动的、方便携带的、固定的等等，例如，可以是笔记本电脑、手机、个人数字助理(PDA)等等。

确定非法接入点的装置110以有线连接到本地网络100。在本实施方式中，确定非法接入点的装置110可为无线交换机或其它无线装置，故，在本实施例中简称为无线交换机110。多个本地接入点120及多个侦测接入点130皆以有线连接到无线交换机110。多个站点121无线连接到本地接入点120。多个站点131无线连接到侦测接入点130。在本实施方式中，侦测接入点130扫描其覆盖范围内的接入点及其联系状况，以获得一接入点列表及一站点联系列表，并将接入点列表及站点联系列表传送给无线交换机110。其中，接入点列表包括侦测接入点130覆盖范围内的所有接入点，站点联系列表包括接入点列表中每一个接入点的联系站点。无线交换机110接收侦测接入点130所传送之接入点列表及站点联系列表，并根据接入点列表及站点联系列表确定接入点列表中每一个接入点是否为非法接入点。

外地接入点210经由有线连接到外地网络200，外地站点211无线连接到外地接入点210。在本实施方式中，外地接入点210在侦测接入点130的覆盖范围内。独立接入点400是新安装的接入点，还没有任何站点连接到独立接入点400，独立接入点400也在侦测接入点130的覆盖范围内。

在本实施方式中，当非法接入点300在侦测接入点130的覆盖范围内，站点131无意中连接到非法接入点300，网络入侵者可通过非法接入点300从站点131获取机密信息。故，侦测接入点130需扫描其覆盖范围内的接入点及其联系状况，以获得接入点列表及站点联系列表，并将接入点列表及站点联系列表传送给无线交换机110。无线交换机110接收侦测接入点130所传送的接入点列表及站点联系列表，并根据接入点列表及站点联系列表确定接入点列表中每一个接入点是否为非法接入点。在本实施方式中，无线交换机110通过判断接入点列表中每一个接入点是否预先授权，是否直接有线连接到无线交换机110，是否有联系客户以及进一步判断该联系客户是否为有效客户，即可确定接入点列表中每一个接入点是否为非法接入点。若接入点既未预先授权，又未直接有线连接到无线交换机110，又有联系客户，而且该联系客户是有效客户，则接入点为非法接入点。从而，无线交换机110可确定非法接入点300是非法的，然后通知工作人员处理非法接入点300，防止非法接入点300带来的安全问题。

图2是本发明侦测接入点130实施方式的模块图。在本实施方式中，侦测接入点130包括一扫描模块132、一列表储存模块134以及一发送模块136。扫描模块132用于扫描侦测接入点130覆盖范围内的接入点及其联系状况，以获得接入点列表及站点联系列表。在本实施方式中，扫描模块132采用被动扫描方式，扫描所有无线信道的信标帧(beacon frame)，以获得接入点列表；扫描所有无线信道的联系帧，以获得站点联系列表，其中，联系帧包括数据帧、管理帧及控制帧。列表储存模块134用于储存上述扫描的结果，即用以储存接入点列表及站点联系列表。在本实施方式中，侦测接入点130更产生一侦测报告，其包括接入点列表及站点联系列表。发送模块136用于发送侦测报告给无线交换机110。

图3是本发明无线交换机110实施方式的模块图。在本实施方式中，无线交换机110包括一接收模块112、一判断模块114及一储存模块116。接收模块112用于接收侦测接入点130所发送的侦测报告，并将其中的接入点列表及站点联系列表传送给判断模块114。储存模块116用于储存一授权接入点列表116a及一有效客户列表116b，列表116a及116b分别包括无线交换机110的授权接入点名单及预先授权的有效客户端名单。储存模块116还用于将无线交换机110的授权接入点的联系站点增加到有效客户列表116b中。判断模块114包括一授权判断模块114a、一连接判断模块114b以及一客户判断模块114c。

授权判断模块114a用于判断所接收的接入点列表中每一个接入点是否预先授权，并将接入点列表中未预先授权的接入点及其联系站点传送给连接判断模块114b。在本实施方式中，授权判断模块114a根据接入点是否属于授权接入点列表116a来判断接入点是否预先授权。若接入点属于授权接入点列表116a，则接入点预先授权，换言之，此接入点不是非法接入点；若接入点不属于授权接入点列表116a，则接入点未预先授权。

连接判断模块114b用于判断所接收的接入点列表中未预先授权的接入点是否直接连接到无线交换机110，并将接入点列表中未预先授权且未直接连接到无线交换机110的接入点及其联系站点传送给客户判断模块114c。在本实施方式中，无线交换机110发送一地址解析协议(AddressResolution Protocol，ARP)请求信息(request)给接入点，若接入点传回一ARP响应信息(reply)，则连接判断模块114b判定接入点直接连接到无线交换机110，此接入点不是非法接入点；若接入点不传回该ARP reply，则连接判断模块114b判定接入点未直接连接到无线交换机110。

客户判断模块114c用于判断所接收的接入点列表中未预先授权且未直接连接到无线交换机110的接入点是否有联系客户，以及进一步判断联系客户是否属于有效客户列表116b。在本实施方式中，客户判断模块114c根据接入点的联系站点来判断接入点是否有联系客户。若接入点没有联系站点，则接入点没有联系客户，此接入点不是非法接入点；若接入点有联系站点，则接入点有联系客户。然后客户判断模块114c进一步判断该联系客户是否属于有效客户列表116b。如果不属于有效客户列表116b，则可确定接入点不是非法接入点；如果属于有效客户列表116b，则可确定接入点为非法接入点。

图4是本发明确定非法接入点的方法实施方式的流程图。在本实施方式中，在图1所示的确定非法接入点的系统中，为了防止非法接入点所带来的安全问题，必须侦测且确认非法接入点的存在。

在步骤S400，侦测接入点130的扫描模块132扫描其覆盖范围内的接入点及其联系状况，以获得接入点列表及站点联系列表。在本实施方式中，扫描模块132采用被动扫描方式，扫描所有无线信道的信标帧(beaconframe)，以获得接入点列表；扫描模块132扫描所有无线信道的联系帧，以获得接入点的站点联系列表，其中，联系帧包括数据帧、管理帧及控制帧。

在步骤S402，侦测接入点130的列表储存模块134储存扫描模块132的扫描结果，即接入点列表及站点联系列表。

在步骤S404，侦测接入点130的发送模块136根据列表储存模块134所储存的接入点列表及站点联系列表产生一侦测报告，并发送侦测报告给无线交换机110。在本实施方式中，侦测报告包括接入点列表及站点联系列表。

在步骤S406，无线交换机110的接收模块112接收侦测接入点130所发送的侦测报告，并将其中的接入点列表及站点联系列表传送给判断模块114中的授权判断模块114a。

在步骤S408，无线交换机110的授权判断模块114a判断所接收的接入点列表中每一个接入点是否预先授权，并将接入点列表中未预先授权的接入点及其联系站点传送给连接判断模块114b。在本实施方式中，授权判断模块114a根据接入点是否属于储存模块116中的授权接入点列表116a来判断接入点是否预先授权。

如果接入点属于授权接入点列表116a，则接入点为预先授权，在步骤S410，储存模块116把授权接入点的联系站点增加到有效客户列表116b。

如果接入点不属于授权接入点列表116a，则接入点未预先授权，在步骤S412，连接判断模块114b判断所接收的接入点列表中未预先授权的接入点是否直接连接到无线交换机110，并将接入点列表中未预先授权且未直接连接到无线交换机110的接入点及其联系站点传送给客户判断模块114c。在本实施方式中，无线交换机110发送一ARP request给接入点，若接入点传回一ARP reply，则连接判断模块114b判定接入点直接连接到无线交换机110，此接入点不是非法接入点，如步骤S414；若接入点不传回该ARP reply，则连接判断模块114b判定接入点未直接连接到无线交换机110。

因此，如果接入点直接连接到无线交换机110，在步骤S414，连接判断模块114b确定接入点不是非法接入点。

如果接入点未直接连接到交换机110，在步骤S416，客户判断模块114c判断所接收的接入点列表中未预先授权且未直接连接到无线交换机110的接入点是否有联系客户。在本实施方式中，客户判断模块114c根据接入点的联系站点来判断接入点是否有联系客户。

如果接入点没有联系站点，则接入点没有联系客户，在步骤S418，客户判断模块114c确定接入点不是非法接入点，而是单独接入点。

如果接入点有联系站点，则接入点有联系客户，在步骤S420，客户判断模块114c进一步判断接入点之联系客户是否属于有效客户列表116b。

如果接入点的联系客户不属于有效客户列表116b，在步骤S422，客户判断模块114c确定接入点不是非法接入点。在本实施方式中，此接入点被判断为外地接入点。

如果接入点的联系客户属于有效客户列表116b，在步骤S424，客户判断模块114c确定接入点为非法接入点。

无线交换机110确定非法接入点后，通知工作人员处理非法接入点，防止非法接入点所带来的安全问题，从而确保无线网络的安全。

Claims

1.一种确定非法接入点的方法，其特征在于包括以下步骤：

提供一侦测接入点及一确定非法接入点的装置；

通过所述侦测接入点扫描其覆盖范围内的接入点及其联系状况；

获得一接入点列表及一站点联系列表，并将所述接入点列表及所述站点联系列表传送出去；

通过所述确定非法接入点的装置接收所述接入点列表及所述站点联系列表；

判断每一接入点是否预先授权；

若所述接入点未预先授权，则判断所述接入点是否直接连接到所述确定非法接入点的装置；

若所述接入点未直接连接到所述确定非法接入点的装置，则判断所述接入点是否有联系客户；

提供一有效客户列表，包括多个预先授权的有效客户端名单；

若所述接入点有联系客户，则判断所述联系客户是否属于所述有效客户列表；以及

若所述联系客户属于所述有效客户列表，则确定所述接入点为非法接入点。

2.如权利要求1所述的确定非法接入点的方法，其特征在于：所述获得所述接入点列表及所述站点联系列表的步骤包括以下步骤：

扫描所有信道内的信标帧，以获得所述接入点列表；以及

扫描所有信道内的联系帧，以获得所述站点联系列表。

3.如权利要求1所述的确定非法接入点的方法，其特征在于：还包括以下步骤：若所述接入点为预先授权，则把所述接入点的联系站点加到所述有效客户列表。

4.如权利要求1所述的确定非法接入点的方法，其特征在于：还包括以下步骤：若所述接入点直接连接到所述确定非法接入点的装置，则确定所述接入点不是非法接入点。

5.如权利要求1所述的确定非法接入点的方法，其特征在于：还包括以下步骤：若所述接入点没有联系客户，则确定所述接入点不是非法接入点。

6.如权利要求1所述的确定非法接入点的方法，其特征在于：还包括以下步骤：若所述联系客户不属于所述有效客户列表，则确定所述接入点不是非法接入点。

7.如权利要求1所述的确定非法接入点的方法，其特征在于：所述判断每一接入点是否预先授权的步骤包括以下步骤：

提供一授权接入点列表，包括多个授权接入点名单；

判断所述接入点是否属于所述授权接入点列表；以及

如果所述接入点属于所述授权接入点列表，则所述接入点为预先授权。

8.如权利要求7所述的确定非法接入点的方法，其特征在于：还包括以下步骤：如果所述接入点不属于所述授权接入点列表，则所述接入点未预先授权。

9.如权利要求1所述的确定非法接入点的方法，其特征在于：所述判断所述接入点是否直接连接到所述确定非法接入点的装置的步骤包括以下步骤：

所述确定非法接入点的装置发送一地址解析协议请求信息给所述接入点；以及

若所述接入点传回一地址解析协议响应信息，则所述接入点直接连接到所述确定非法接入点的装置。

10.如权利要求9所述的确定非法接入点的方法，其特征在于：还包括以下步骤：若所述接入点不传回所述地址解析协议响应信息，则所述接入点未直接连接到所述确定非法接入点的装置。

11.如权利要求1所述的确定非法接入点的方法，其特征在于：所述判断所述接入点是否有联系客户的步骤包括以下步骤：

判断所述接入点是否有联系站点；以及

若所述接入点没有联系站点，则接入点没有联系客户。

12.如权利要求11所述的确定非法接入点的方法，其特征在于：还包括以下步骤：若所述接入点有联系站点，则所述接入点有联系客户。

13.一种确定非法接入点的装置，其特征在于包括：

一接收模块，用于接收一接入点列表及一站点联系列表；

一储存模块，用于储存一授权接入点列表及一有效客户列表；以及

一判断模块，用于根据所述接入点列表及所述站点联系列表来确定所述接入点列表中每一接入点是否为非法接入点，所述判断模块包括：

一授权判断模块，用于根据所述授权接入点列表来判断所述接入点列表中每一接入点是否预先授权；

一连接判断模块，用于判断所述接入点列表中未预先授权的接入点是否直接连接到所述确定非法接入点的装置；

一客户判断模块，用于判断所述接入点列表中未预先授权且未直接连接到所述确定非法接入点的装置的接入点是否有联系客户，以及进一步判断所述联系客户是否属于所述有效客户列表。

14.一种确定非法接入点的系统，其特征在于包括：

一侦测接入点，用于扫描其覆盖范围内的接入点及其联系状况，以获得一接入点列表及一站点联系列表，并发送所述接入点列表及所述站点联系列表；以及

如权利要求13所述的确定非法接入点的装置。

15.如权利要求14所述的确定非法接入点的系统，其特征在于：所述接入点列表包括所述侦测接入点覆盖范围内的所有接入点，以及所述站点联系列表包括所述接入点列表中每一接入点的联系站点。

16.如权利要求14所述的确定非法接入点的系统，其特征在于：所述侦测接入点包括一扫描模块，用于扫描其覆盖范围内的接入点及其联系状况。

17.如权利要求16所述的确定非法接入点的系统，其特征在于：所述侦测接入点更包括一列表储存模块，用于储存所述接入点列表及所述站点联系列表。

18.如权利要求17所述的确定非法接入点的系统，其特征在于：所述侦测接入点更包括一发送模块，用于发送所述列表储存模块所储存的接入点列表及所述站点联系列表。