CN100456726C - 基于wapi的互联网接入认证的实现方法 - Google Patents

Abstract

一种基于WAPI的实现互联网接入认证的网络系统和方法，系统包括：因特网，电信网，AAA服务器，归属地认证服务器HASU，各本地网的多个认证服务器ASU，接入控制器AC，无线接入点AP和装有WAPI无线网卡的终端STA；STA藉由AP和AC接入网络时，ASU与STA之间通过用户公钥证书进行身份鉴别后，才允许STA接入当地网络；其创新点是该系统还包括全网唯一的、给全网所有ASU和自己颁发公钥证书的根认证服务器RASU，藉由该公钥证书在各个ASU之间建立信任关系，并使得ASU与漫游终端STA间建立信任关系。本发明网络系统结构简单，实现方法步骤简单；但是，能实现用户对当地网络的信任和不同地区的WAPI网络间的互相信任，更好地为用户、尤其是异地漫游用户提供无线接入认证服务。

Description

基于WAPI的互联网接入认证的实现方法

技术领域

本发明涉及一种无线局域网的安全技术，确切地说，涉及一种基于WAPI的互联网接入认证的实现方法，属于无线通信技术领域。

背景技术

随着无线局域网的迅速发展，其安全问题日益受到人们的关注。国际标准ISO IEC 8802-11定义的开放系统与共享密钥两种链路验证机制及有线加强等效保密WEP(Wired Equivalency Privacy)安全协议来解决安全问题，但是，安全漏洞依然存在。为了弥补ISO IEC 8802-11中安全协议存在的漏洞，中国分别于2003年和2006年颁发了一系列无线局域网的国家标准GB 15629.11/1102与GB 15629.11-2003/XG1-2006/1101/1103/1104。GB 15629.11来克服传统安全方案的不足。这些标准是由中国宽带无线IP标准工作组制订和提出的具有自主知识产权的安全协议-无线局域网鉴别与保密基础结构WAPI(WLANAuthentication and Privacy Infrastructure)，它是用于规范现行的802.11相关传输协议的安全加密标准。其主要技术特征包括：采用公钥密码技术，实现访问控制，数据机密性和数据完整性等。WAPI协议包含两个部分：无线局域网鉴别基础结构WAI(WLAN Authentication Infrastructure)和无线局域网保密基础结构WPI(WLAN Privacy Infrastructure)，其中，WAI用于完成用户的身份鉴别与密钥管理，是实现WAPI的基础。

基于WAPI的互联网接入运营的技术方案，对于运营商来说，必须易于部署，符合现有业务开展和管理流程；同时必须与现有WLAN接入业务无缝集成，例如：必须支持WAPI作为现有WLAN业务的附加业务，必须支持WAPI作为独立于WLAN业务的接入业务。对于用户来说，办理业务的程序必须简单，且符合现有业务的办理习惯；必须提供用户安全快捷、方便使用和管理的宽带无线接入业务的使用方式；使用界面必须友好，操作简单。

WAPI是一种安全认证保密基础结构，它可以为用户提供安全的服务，但是，在WLAN引入WAPI标准解决数据的传输安全性能后，WAPI标准也为基于WLAN的宽带互联网接入业务部署带来了以下困难：电子证书的颁发与管理问题和用户漫游时与当地网络之间的信任问题仍然未得到解决。下面简要说明之：

(1)证书的管理：因为网络中每个用户终端都有唯一的证书。公钥证书作为用户终端使用WAPI网络时表明身份的凭证，需要进行安全的管理。公钥证书的管理包括网络上保存的公钥证书管理和用户计算机上的公钥证书管理。

(2)用户的异地漫游；全网在进行WAPI网络部署时，随着用户的增长，可能会设置多个认证服务器ASU。用户终端在颁发公钥证书后，在异地可使用WAPI互联网接入业务。在WAPI标准中要求认证服务器ASU能鉴别用户终端的公钥证书。由于该用户终端的公钥证书不是当前漫游地认证服务器ASU颁发的，漫游地认证服务器ASU无法对该用户进行鉴别，无法完成对该用户身份的认证。

因此，如何设计一种基于WAPI的实现互联网接入认证的技术方案，使其能够更好地为用户(尤其是异地漫游用户)提供服务已经成为目前WAPI领域技术人员所关注和研究的热点之一。

发明内容

有鉴于此，本发明的目的是提供一种基于WAPI的互联网接入认证的实现方法，本发明实现方法的操作步骤比较简单；但是，功效明显：能够实现用户对当地网络的信任和实现不同地区的WAPI网络间的互相信任，从而更好地为用户、尤其是异地漫游用户提供无线接入认证服务。

为了达到上述目的，本发明提供了一种基于WAPI的互联网接入认证的实现方法，其特征在于：终端STA进行WAPI连接之前的证书认证流程包括下列操作步骤：

(1)根认证服务器RASU为自己颁发RASU公钥证书；

(2)根认证服务器RASU为全网所有的认证服务器ASU颁发ASU公钥证书：颁发过程是先判断认证服务器ASU是否已有ASU公钥证书，若没有，则由认证服务器ASU重新生成私钥和对应ASU公钥证书，请求根认证服务器RASU为其颁发ASU公钥证书，即根认证服务器RASU利用私钥为ASU公钥证书签名；否则，进入后续操作；如果认证服务器ASU丢失ASU公钥证书，则请求根认证服务器RASU重新给认证服务器ASU颁发ASU公钥证书；

(3)全网所有的认证服务器ASU各自分别存储有RASU公钥证书，若某个认证服务器ASU没有RASU公钥证书，则由该ASU向网络请求下载RASU公钥证书；否则，进入后续操作；如果认证服务器ASU丢失RASU公钥证书，则向网络请求重新下载RASU公钥证书；

(4)STA利用RASU公钥证书验证归属地认证服务器HASU合法性；终端STA在安装客户端软件的同时，也安装全网唯一的RASU公钥证书，以便该STA接入网络时先请求归属地认证服务器HASU的公钥证书，并利用该RASU公钥证书对HASU公钥证书进行鉴别；且如果HASU公钥证书鉴别成功，则STA保存HASU公钥证书；

(5)STA利用RASU公钥证书验证漫游地认证服务器ASU的合法性：终端STA漫游到异地时，必须先与当地网络建立信任关系，即验证当地网络的合法性，则STA请求当前漫游地认证服务器ASU的公钥证书，并利用RASU公钥证书对当前漫游地认证服务器ASU的公钥证书进行鉴别；且如果鉴别成功，则STA保存该前漫游地认证服务器ASU的公钥证书；

(6)漫游地认证服务器ASU利用RASU公钥证书验证HASU公钥证书的合法性：当STA漫游到异地时，漫游地的网络要验证该STA的合法性，即该漫游地的认证服务器ASU要求获取该STA归属地的HASU公钥证书，并利用RASU公钥证书对该HASU公钥证书进行鉴别；若鉴别成功，则认为该HASU公钥证书合法，就将该HASU添加至可信任的ASU列表中；如果该HASU公钥证书鉴别失败，则丢弃该HASU证书，并认为该STA为非法用户。

所述步骤(4)进一步包括下列操作内容：

(41)STA先判断归属地认证服务器HASU是否在其存储、维护的可信任ASU列表中，如果是，则认为接入的网络可信任，可以接入；否则对接入的网络不信任，并获取该HASU的公钥证书；

(42)STA利用已安装的根认证服务器RASU公钥证书对所获取的HASU公钥证书进行鉴别，如果鉴别成功，则将该HASU添加至ASU信任列表中；若鉴别失败，则丢弃HASU公钥证书。

所述步骤(5)进一步包括下列操作内容：

(51)STA先判断漫游地认证服务器ASU是否在其存储、维护的ASU信任列表中，如果是，则认为当地网络可信任，可以接入；否则对当地网络不信任，并获取该漫游地认证服务器的ASU公钥证书；

(52)STA利用已安装的根认证服务器RASU公钥证书对所获取的漫游地认证服务器ASU的公钥证书进行鉴别，如果鉴别成功，则将该漫游地认证服务器ASU添加至ASU信任列表中；若鉴别失败，则丢弃HASU公钥证书。

所述步骤(6)进一步包括下列操作内容：

(61)漫游地认证服务器ASU先判断该STA所归属的认证服务器HASU是否在该漫游地认证服务器ASU信任列表中，如果是，则认为该HASU可信任，同时利用已有的HASU公钥证书对STA公钥证书进行鉴别，如果鉴别成功，则判断STA可信任，允许接入；如果鉴别失败，则判断STA不可信任，不允许接入；

(62)如果STA所归属的认证服务器HASU不存在于漫游地认证服务器ASU信任列表中，则漫游地认证服务器ASU从网络获取该HASU公钥证书；

(63)漫游地认证服务器ASU利用已存储的RASU公钥证书对刚刚获取的HASU公钥证书进行鉴别，如果鉴别成功，则将该HASU添加至ASU信任列表中；若鉴别失败，则丢弃HASU公钥证书，并认为该STA为非法用户。

本发明是一种基于WAPI的实现互联网接入认证的网络系统和方法，它的技术创新点和有益效果是：本发明的网络系统引入全网唯一的根认证服务器RASU，负责为全网所有认证服务器ASU发放RASU公钥证书，并以此建立各个认证服务器ASU之间的信任关系，且使得认证服务器ASU能够对漫游到本地的STA建立信任关系。RASU公钥证书随客户端软件一起同时安装在STA上，辅助用户完成对归属地认证服务器HASU和漫游地认证服务器ASU的身份鉴别，以获取对本地和异地无线局域网的信任，从而实现用户终端的异地漫游功能。总之，本发明的实施可以更好地为用户终端、尤其是异地漫游用户终端提供安全、方便的接入认证服务，具有很好的推广应用前景。

附图说明

图1是本发明基于WAPI的实现互联网接入认证的网络系统结构组成示意图。

图2是本发明基于WAPI的实现互联网接入认证的网络系统的接入认证的实现方法流程方框图。

图3是图2中步骤(2)的具体操作步骤方框图。

图4是图2中步骤(3)的具体操作步骤方框图。

图5是图2中步骤(4)或(5)的具体操作步骤方框图。

图6是图2中步骤(6)的具体操作步骤方框图。

具体实施方式

为使本发明的目的、技术方案和优点更加清楚，下面结合附图对本发明作进一步的详细描述。

参见图1，具体介绍本发明基于WAPI的实现互联网接入认证的网络系统的结构组成，包括：因特网，电信网，位于电信网中的AAA服务器、用户归属地认证服务器HASU和分别位于各个本地网的多个认证服务器ASU、以及与AAA服务器、各个认证服务器ASU和所有网络直接相连的接入控制器AC、无线接入点AP和装有WAPI无线网卡的终端STA(例如：笔记本电脑、PDA等)；STA藉由AP和AC接入网络时，认证服务器ASU与STA之间通过用户公钥证书进行身份鉴别后，才允许STA接入当地网络；其特点是系统还包括有：一个全网唯一的、用于给全网所有认证服务器ASU(包括自身)颁发RASU公钥证书的根认证服务器RASU，藉由该RASU公钥证书在各个认证服务器ASU之间建立相互信任关系，并使得认证服务器ASU与漫游到本地的终端STA之间建立相互信任关系。

RASU的公钥证书是随同客户端软件一起安装在终端STA上的，辅助用户终端完成对HASU和ASU的身份鉴别，以获取对本地和异地网络的信任，从而实现用户的异地漫游功能。终端STA都分别存储、维护有各自信任的ASU列表，当该终端STA所在地的认证服务器ASU不在信任列表中时，则STA要获取该ASU的公钥证书，以便利用该终端STA中已安装的RASU公钥证书对从认证服务器获取的HASU或ASU公钥证书进行真伪鉴别，以获取对本地和异地无线网络的信任，进而实现终端的异地漫游功能。

各个认证服务器HASU或ASU都分别存储、维护有各自信任的ASU列表，当漫游到本地的STA的归属地认证服务器HASU不在本地认证服务器ASU信任的ASU列表中时，该STA需要获取其归属地认证服务器HASU的公钥证书，以便该ASU与该漫游到本地的STA之间通过证书进行身份鉴别，使得用户能够接入当地网络。也就是说，用户终端漫游到异地时，异地ASU通过鉴别该漫游终端归属地认证服务器HASU身份来确认STA身份的合法性。

此外，归属地认证服务器HASU和多个位于各本地网的认证服务器ASU都分别存储有RASU的公钥证书，以便使用该RASU公钥证书来鉴别其它某个认证服务器ASU的公钥证书的真伪，判断是否信任该ASU，进而鉴别该ASU网内的STA是否合法。

下面参见图2～图6，说明本发明基于WAPI的实现互联网接入认证的网络系统的接入认证的实现方法，即用户终端进行WAPI连接之前的证书认证流程：

(1)根认证服务器RASU为自己颁发RASU公钥证书，并为全网所有的认证服务器ASU颁发ASU公钥证书：该操作步骤主要是由全网唯一的根认证服务器RASU为所有认证服务器ASU颁发ASU公钥证书。颁发过程(参见图3)是：先判断认证服务器ASU是否已有ASU公钥证书，若没有，则由ASU重新生成私钥和对应的ASU公钥证书，请求根认证服务器RASU为其颁发ASU公钥证书；否则，顺序执行后续操作；如果认证服务器ASU丢失ASU公钥证书，则根认证服务器RASU要重新给认证服务器ASU颁发ASU公钥证书。

(2)全网所有的认证服务器ASU各自分别存储RASU公钥证书：该步骤是认证服务器ASU向网络请求下载全网唯一的RASU公钥证书。下载过程(参见图4)是：先判断认证服务器ASU是否存储有RASU公钥证书，若没有，则由认证服务器ASU向网络请求下载RASU公钥证书；否则，顺序执行后续操作；如果认证服务器ASU丢失RASU公钥证书，则向网络重新请求下载RASU公钥证书。

(3)STA利用RASU公钥证书验证本地认证服务器HASU合法性；终端STA在安装客户端软件的同时，也安装了全网唯一的RASU公钥证书，用于该STA接入网络时先请求归属地认证服务器HASU的公钥证书，并利用该RASU公钥证书对HASU公钥证书进行鉴别；如果HASU公钥证书鉴别成功，则STA保存HASU公钥证书。下面参见图5，说明该步骤的具体操作内容：

(31)STA先判断归属地认证服务器HASU是否在其存储、维护的可信任ASU列表中，如果是，则认为该网络可信任，可以接入；否则对该网络不信任，并获取该HASU的公钥证书。

(32)STA利用已安装的RASU公钥证书对所获取的HASU公钥证书进行鉴别，如果鉴别成功，则将该HASU添加至可信任ASU列表中；若鉴别失败，则丢弃HASU公钥证书。

(4)STA利用RASU公钥证书验证漫游地认证服务器ASU的合法性：终端STA漫游到异地时，必须先与当地网络建立信任关系，即验证漫游地网络的合法性，则STA请求当前漫游地认证服务器ASU的公钥证书，并利用RASU公钥证书鉴别当地的ASU公钥证书；如果ASU公钥证书鉴别成功，则STA保存该ASU公钥证书。该步骤证书鉴别的具体操作流程与图5所示的STA鉴别HASU公钥证书的步骤相同，其区别只是将其中的归属地认证服务器HASU改为漫游地认证服务器ASU。

(5)漫游地认证服务器ASU利用RASU公钥证书验证HASU公钥证书的合法性：STA与认证服务器HASU之间建立的信任关系只能保证在本地接入安全WAPI网络，但无法保证在漫游地接入安全WAPI网络。当STA漫游到异地时，漫游地的网络要验证该STA的合法性，即该漫游地的认证服务器ASU要求获取该STA归属地的HASU公钥证书，并利用RASU公钥证书对该HASU公钥证书进行鉴别；若鉴别成功，则认为该HASU公钥证书合法，就将该HASU添加至可信任的ASU列表中；如果该HASU公钥证书鉴别失败，则丢弃该HASU证书，并认为该STA为非法用户。下面参见图6，说明该步骤的具体操作内容：

(51)漫游地的认证服务器ASU先判断该STA所归属的认证服务器HASU是否位于可信任ASU列表中，如果是，则认为该HASU可信任，同时利用已存储的HASU公钥证书对STA公钥证书进行鉴别，如果鉴别成功，则判断STA可信任，允许接入；如果鉴别失败，则判断STA不可信任，不允许接入；

(52)如果STA所归属的HASU不存在于漫游地的ASU信任列表中，则漫游地的认证服务器ASU从网络获取该HASU公钥证书；

(53)认证服务器ASU利用已存储的RASU公钥证书对刚刚获取的该HASU公钥证书进行鉴别，如果鉴别成功，则将该HASU添加至ASU信任列表中；若鉴别失败，则丢弃HASU公钥证书，并认为该STA为非法用户。

因此，当STA对用户终端公钥证书、ASU公钥证书下载完毕后，用户终端STA即可信任当地网络；当漫游地认证服务器ASU对HASU公钥证书进行鉴别成功后，即可信任HASU，从而对STA进行信任；当STA与认证服务器ASU建立了信任关系后，用户终端STA即可在漫游地使用WAPI网络，使得用户在漫游地仍可得到安全、方便的服务。

Claims (4)

1、一种基于WAPI的互联网接入认证的实现方法，其特征在于：终端STA进行WAPI连接之前的证书认证流程包括下列操作步骤：

(1)根认证服务器RASU为自己颁发RASU公钥证书；

(2)根认证服务器RASU为全网所有的认证服务器ASU颁发ASU公钥证书：颁发过程是先判断认证服务器ASU是否已有ASU公钥证书，若没有，则由认证服务器ASU重新生成私钥和对应ASU公钥证书，请求根认证服务器RASU为其颁发ASU公钥证书，即根认证服务器RASU利用私钥为ASU公钥证书签名；否则，顺序执行后续操作；如果认证服务器ASU丢失ASU公钥证书，则请求根认证服务器RASU重新给认证服务器ASU颁发ASU公钥证书；

(3)全网所有的认证服务器ASU各自分别存储RASU公钥证书，若某个认证服务器ASU没有RASU公钥证书，则由该ASU向网络请求下载RASU公钥证书；否则，顺序执行后续操作；如果认证服务器ASU丢失RASU公钥证书，则向网络请求重新下载RASU公钥证书；

(4)STA利用RASU公钥证书验证归属地认证服务器HASU合法性；终端STA在安装客户端软件的同时，也安装全网唯一的RASU公钥证书，以便该STA接入网络时先请求归属地认证服务器HASU的公钥证书，并利用该RASU公钥证书对HASU公钥证书进行鉴别；且如果HASU公钥证书鉴别成功，则STA保存HASU公钥证书；

(5)STA利用RASU公钥证书验证漫游地认证服务器ASU的合法性：终端STA漫游到异地时，必须先与当地网络建立信任关系，即验证当地网络的合法性，则STA请求当前漫游地认证服务器ASU的公钥证书，并利用RASU公钥证书对当前漫游地认证服务器ASU的公钥证书进行鉴别；且如果鉴别成功，则STA保存该漫游地认证服务器ASU的公钥证书；

(6)漫游地认证服务器ASU利用RASU公钥证书验证HASU公钥证书的合法性：当STA漫游到异地时，漫游地的网络要验证该STA的合法性，即该漫游地的认证服务器ASU要求获取该STA归属地的HASU公钥证书，并利用RASU公钥证书对该HASU公钥证书进行鉴别；若鉴别成功，则认为该HASU公钥证书合法，就将该HASU添加至可信任的ASU列表中；如果该HASU公钥证书鉴别失败，则丢弃该HASU证书，并认为该STA为非法用户。

2、根据权利要求1所述的基于WAPI的互联网接入认证的实现方法，其特征在于：所述步骤(4)进一步包括下列操作内容：

(41)STA先判断归属地认证服务器HASU是否在其存储、维护的ASU信任列表中，如果是，则认为接入的网络可信任，可以接入；否则对接入的网络不信任，并获取该HASU的公钥证书；

(42)STA利用已安装的根认证服务器RASU公钥证书对所获取的HASU公钥证书进行鉴别，如果鉴别成功，则将该HASU添加至ASU信任列表中；若鉴别失败，则丢弃HASU公钥证书。

3、根据权利要求1所述的基于WAPI的互联网接入认证的实现方法，其特征在于：所述步骤(5)进一步包括下列操作内容：

(51)STA先判断漫游地认证服务器ASU是否在其存储、维护的ASU信任列表中，如果是，则认为当地网络可信任，可以接入；否则对当地网络不信任，并获取该漫游地认证服务器的ASU公钥证书；

(52)STA利用已安装的根认证服务器RASU公钥证书对所获取的漫游地认证服务器ASU的公钥证书进行鉴别，如果鉴别成功，则将该漫游地认证服务器ASU添加至ASU信任列表中；若鉴别失败，则丢弃HASU公钥证书。

4、根据权利要求1所述的基于WAPI的互联网接入认证的实现方法，其特征在于：所述步骤(6)进一步包括下列操作内容：

(61)漫游地认证服务器ASU先判断该STA所归属的认证服务器HASU是否在该漫游地认证服务器ASU信任列表中，如果是，则认为该HASU可信任，同时利用已有的HASU公钥证书对STA公钥证书进行鉴别，如果鉴别成功，则判断STA可信任，允许接入；如果鉴别失败，则判断STA不可信任，不允许接入；

(62)如果STA所归属的认证服务器HASU不存在于漫游地认证服务器ASU信任列表中，则漫游地认证服务器ASU从网络获取该HASU公钥证书；

(63)漫游地认证服务器ASU利用已存储的RASU公钥证书对刚刚获取的HASU公钥证书进行鉴别，如果鉴别成功，则将该HASU添加至ASU信任列表中；若鉴别失败，则丢弃HASU公钥证书，并认为该STA为非法用户。

Images