CN101132280A - 一种wapi证书鉴别方法 - Google Patents

Abstract

一种WAPI证书鉴别方法，包括当鉴别请求者实体关联或重新关联至鉴别器实体时，鉴别器实体向鉴别请求者实体发送鉴别激活分组；当鉴别请求者实体收到鉴别激活分组后，向鉴别器实体发送接入鉴别请求分组；当鉴别器实体收到接入鉴别请求分组后，进行验证，验证接入鉴别请求分组中的鉴别标识是否正确，若不正确，则丢弃该分组；当鉴别服务实体收到证书鉴别请求分组后，验证鉴别器实体和鉴别请求者实体的身份是否合法，然后向鉴别器实体返回证书鉴别响应分组；当鉴别器实体收到证书鉴别响应分组后，进行验证；当鉴别请求者实体收到接入鉴别响应分组后，进行验证。本发明使WAPI协议的运行效率明显改善，系统容量得到提高。

Description

一种WAPI证书鉴别方法

技术领域

本发明涉及一种WAPI证书鉴别方法。

背景技术

为了解决无线局域网WLAN(Wireless Local Area Network)国际标准ISO/IEC 8802-11中定义的WEP(Wired Equivalent Privacy)安全机制存在的安全漏洞，我国颁布了无线局域网国家标准及其第1号修改单，采用无线局域网鉴别与保密基础结构WAPI(WLAN Authentication and Privacy Infrastructure)安全机制解决无线局域网的安全问题。

WAPI是由我国提出的具有创新性的安全技术，主要包括无线局域网鉴别基础结构WAI(WLAN Authentication Infrastructure)和无线局域网保密基础结构WPI(WLAN Privacy Infrastructure)两部分，其中WAI提供安全策略协商、用户身份鉴别、密钥协商、接入控制的功能。WAPI证书鉴别协议采用公钥密码技术，通过鉴别服务实体ASE(Authentication Service Entity)，完成鉴别请求者实体ASUE(Authentication Supplicant Entity)和鉴别器实体AE(Authenticator Entity)的对等双向鉴别，保障合法用户访问合法网络，同时为密钥管理协议提供共享的基密钥BK(Base Key)，从而实现数据通信会话可用密钥的协商与分发。可见，WAPI证书鉴别协议是整个WAPI协议的关键与核心。

当鉴别请求者实体(如客户端)关联或重新关联至鉴别器实体(如无线接入点)时，二者需通过鉴别服务实体(如鉴别服务器)完成WAPI证书鉴别过程，只有鉴别成功，鉴别请求者实体才能接入鉴别器实体进行网络访问。目前在一次WAPI证书鉴别过程中，鉴别请求者实体和鉴别器实体分别需完成1次签名与2次签名验证，鉴别服务实体需完成1次签名(本地接入时)或2次签名(异地接入时)以及2次签名验证过程。众所周知，通常鉴别器实体和某些应用中的鉴别请求者实体的计算能力较弱，而公钥计算比较耗时，这将会形成网络接入瓶颈，协议的运行效率低，特别在公共无线局域网PWLAN(PublicWLAN)漫游频繁切换的情况下，协议的运行效率会更加低下。

发明内容

本发明为解决背景技术中的WAPI证书鉴别过程存在的上述技术问题，而提供一种协议的运行效率高，可提高系统容量的WAPI证书鉴别方法。

本发明的技术解决方案是：本发明为一种WAPI证书鉴别方法，其特殊之处在于：该方法包括以下步骤：

1)当鉴别请求者实体关联或重新关联至鉴别器实体时，鉴别器实体向鉴别请求者实体发送鉴别激活分组，该鉴别激活分组包括鉴别标识；

2)当鉴别请求者实体收到鉴别激活分组后，向鉴别器实体发送接入鉴别请求分组，该接入鉴别请求分组包括鉴别标识、鉴别请求者实体的临时公钥、鉴别请求者实体的证书及鉴别请求者实体利用长期私钥对前述所有字段所作的签名；

3)当鉴别器实体收到接入鉴别请求分组后，进行验证，验证接入鉴别请求分组中的鉴别标识是否正确，若不正确，则丢弃该分组；否则，向鉴别服务实体发送证书鉴别请求分组，证书鉴别请求分组包括鉴别标识、鉴别请求者实体的临时公钥、鉴别请求者实体的证书及鉴别请求者实体利用长期私钥对前述所有字段所作的签名、鉴别器实体的临时公钥、鉴别器实体的证书及鉴别器实体利用长期私钥对前述所有内容和字段所作的签名；

4)当鉴别服务实体收到证书鉴别请求分组后，验证鉴别器实体和鉴别请求者实体的身份是否合法，然后向鉴别器实体返回证书鉴别响应分组；证书鉴别响应分组包括鉴别标识、鉴别请求者实体的临时公钥、鉴别器实体的临时公钥、鉴别请求者实体的证书验证结果、鉴别器实体的证书验证结果、鉴别请求者实体和鉴别器实体所信任的鉴别服务实体对前述字段的签名；

5)当鉴别器实体收到证书鉴别响应分组后，进行验证；验证其中的鉴别标识、鉴别器实体的临时公钥及鉴别器实体所信任的鉴别服务实体的签名是否正确，若不正确，则丢弃该分组；若正确，得到鉴别请求者实体的证书验证结果和鉴别请求者实体的临时公钥，向鉴别请求者实体返回接入鉴别响应分组，接入鉴别响应分组与证书鉴别响应分组的内容相同；

6)当鉴别请求者实体收到接入鉴别响应分组后，进行验证；验证其中的鉴别标识、鉴别请求者实体的临时公钥及鉴别请求者实体所信任的鉴别服务实体的签名是否正确，若不正确，则丢弃该分组；若正确，得到鉴别器实体的证书验证结果和鉴别器实体的临时公钥。

上述步骤4)中验证鉴别器实体和鉴别请求者实体的身份是否合法的具体步骤如下：

4.1)验证鉴别器实体和鉴别请求者实体的签名，若不正确，则直接丢弃该分组；若正确进至步骤4.2)；

4.2)验证鉴别器实体和鉴别请求者实体证书及其有效性，若不合法，则直接丢弃该分组或向鉴别器实体返回证书鉴别响应分组，若合法，向鉴别器实体返回证书鉴别响应分组。

上述步骤4)中若为本地接入，则证书鉴别响应分组只包括一个签名字段；若为外地接入，则包括两个签名字段，即鉴别请求者实体所信任的鉴别服务实体的签名和鉴别器实体所信任的鉴别服务实体的签名。

上述步骤6)之后还包括步骤7)鉴别器实体和鉴别请求者实体分别根据对方的临时公钥与本地的临时私钥进行计算，生成一致的基密钥。

本发明充分利用可信第三方鉴别服务实体的公信力，尽可能减少漫游切换频繁环境中计算能力较差的鉴别器实体和某些典型应用模式下资源通常受限的鉴别请求者实体的公钥计算次数，重新设计WAPI证书鉴别协议及其分组处理流程，鉴别器实体不再对鉴别请求者实体所作的签名进行验证，鉴别请求者实体也不需要对鉴别器实体所作的签名进行验证，二者的签名验证工作移交给通常计算能力较强的鉴别服务实体完成，即改进后的协议每运行一次，鉴别请求者实体和鉴别器实体只需分别完成1次签名与1次签名验证，而鉴别服务实体需完成1次签名(本地接入)或2次签名(异地接入)与4次签名验证，在保证了WAPI证书鉴别原有安全性的基础上，使WAPI协议的运行效率明显改善，系统容量得到提高。

具体实施方式

本发明的WAPI证书鉴别方法的具体流程如下：

1)当鉴别请求者实体关联或重新关联至鉴别器实体时，鉴别器实体向鉴别请求者实体发送鉴别激活分组，该鉴别激活分组包括鉴别标识；

2)当鉴别请求者实体收到鉴别激活分组后，向鉴别器实体发送接入鉴别请求分组，该接入鉴别请求分组包括鉴别标识、鉴别请求者实体的临时公钥、鉴别请求者实体的证书及鉴别请求者实体利用长期私钥对前述所有字段所作的签名；

3)当鉴别器实体收到接入鉴别请求分组后，进行验证，验证接入鉴别请求分组中的鉴别标识是否正确，若不正确，则丢弃该分组；否则，向鉴别服务实体发送证书鉴别请求分组，证书鉴别请求分组包括鉴别标识、鉴别请求者实体的临时公钥、鉴别请求者实体的证书及鉴别请求者实体利用长期私钥对前述所有字段所作的签名、鉴别器实体的临时公钥、鉴别器实体的证书及鉴别器实体利用长期私钥对前述所有内容和字段所作的签名；

4)当鉴别服务实体收到证书鉴别请求分组后，验证鉴别器实体和鉴别请求者实体的身份是否合法，其中验证鉴别器实体和鉴别请求者实体的身份是否合法的具体步骤如下：

4.1)验证鉴别器实体和鉴别请求者实体的签名，若不正确，则直接丢弃该分组；若正确进至步骤4.2)；

4.2)验证鉴别器实体和鉴别请求者实体证书及其有效性，若不合法，则直接丢弃该分组或向鉴别器实体返回证书鉴别响应分组，若合法，向鉴别器实体返回证书鉴别响应分组。

然后向鉴别器实体返回证书鉴别响应分组；证书鉴别响应分组包括鉴别标识、鉴别请求者实体的临时公钥、鉴别器实体的临时公钥、鉴别请求者实体的证书验证结果、鉴别器实体的证书验证结果、鉴别请求者实体和鉴别器实体所信任的鉴别服务实体对前述字段的签名；若为本地接入，则证书鉴别响应分组只包括一个签名字段；若为外地接入，则包括两个签名字段，即鉴别请求者实体所信任的鉴别服务实体的签名和鉴别器实体所信任的鉴别服务实体的签名。

5)当鉴别器实体收到证书鉴别响应分组后，进行验证；验证其中的鉴别标识、鉴别器实体的临时公钥及鉴别器实体所信任的鉴别服务实体的签名是否正确，若不正确，则丢弃该分组；若正确，得到鉴别请求者实体的证书验证结果和鉴别请求者实体的临时公钥，向鉴别请求者实体返回接入鉴别响应分组，接入鉴别响应分组与证书鉴别响应分组的内容相同；

6)当鉴别请求者实体收到接入鉴别响应分组后，进行验证；验证其中的鉴别标识、鉴别请求者实体的临时公钥及鉴别请求者实体所信任的鉴别服务实体的签名是否正确，若不正确，则丢弃该分组；若正确，得到鉴别器实体的证书验证结果和鉴别器实体的临时公钥；

7)鉴别器实体和鉴别请求者实体分别根据对方的临时公钥与本地的临时私钥进行计算，生成一致的基密钥。

在实验室环境下，进行实际产品测试：

鉴别请求者实体为插有PCMCIA网卡的IBM笔记本，运行的操作系统为Windows2000，内存为512M，通过ECDSA192软件实现，签名和验证耗时分别为2.55s/1000次和14.11s/1000次；鉴别器实体运行在平台Xscale上，操作系统为linux 2.4.31，CPU主频为533MHz，通过ECDSA192软件实现，签名和验证耗时分别为7.42s/1000次和35.15s/1000次；鉴别服务实体为SUN服务器，ECDSA192采用硬件加密芯片实现，签名和验证耗时分别为1.67s/1000次和2.85s/1000次。实测结果如表1所示。

表1运行的实测结果

	1000次运行耗时(s)	1s内可完成鉴别的用户数(个)	系统的最大设计容量(个)
				原始方法	115.86	8.63	25.89
本发明方法	72.3	13.8	41.4

可见，本发明改进后的WAPI证书鉴别方法，运行效率明显改善，系统容量得到提高，总体性能改善明显。

Claims (4)

1.一种WAPI证书鉴别方法，其特征在于：该方法包括以下步骤：

1)当鉴别请求者实体关联或重新关联至鉴别器实体时，鉴别器实体向鉴别请求者实体发送鉴别激活分组，该鉴别激活分组包括鉴别标识；

2)当鉴别请求者实体收到鉴别激活分组后，向鉴别器实体发送接入鉴别请求分组，该接入鉴别请求分组包括鉴别标识、鉴别请求者实体的临时公钥、鉴别请求者实体的证书及鉴别请求者实体利用长期私钥对前述所有字段所作的签名；

3)当鉴别器实体收到接入鉴别请求分组后，进行验证，验证接入鉴别请求分组中的鉴别标识是否正确，若不正确，则丢弃该分组；否则，向鉴别服务实体发送证书鉴别请求分组，证书鉴别请求分组包括鉴别标识、鉴别请求者实体的临时公钥、鉴别请求者实体的证书及鉴别请求者实体利用长期私钥对前述所有字段所作的签名、鉴别器实体的临时公钥、鉴别器实体的证书及鉴别器实体利用长期私钥对前述所有内容和字段所作的签名；

4)当鉴别服务实体收到证书鉴别请求分组后，验证鉴别器实体和鉴别请求者实体的身份是否合法，然后向鉴别器实体返回证书鉴别响应分组；证书鉴别响应分组包括鉴别标识、鉴别请求者实体的临时公钥、鉴别器实体的临时公钥、鉴别请求者实体的证书验证结果、鉴别器实体的证书验证结果、鉴别请求者实体和鉴别器实体所信任的鉴别服务实体对前述字段的签名；

5)当鉴别器实体收到证书鉴别响应分组后，进行验证；验证其中的鉴别标识、鉴别器实体的临时公钥及鉴别器实体所信任的鉴别服务实体的签名是否正确，若不正确，则丢弃该分组；若正确，得到鉴别请求者实体的证书验证结果和鉴别请求者实体的临时公钥，向鉴别请求者实体返回接入鉴别响应分组，接入鉴别响应分组与证书鉴别响应分组的内容相同；

6)当鉴别请求者实体收到接入鉴别响应分组后，进行验证；验证其中的鉴别标识、鉴别请求者实体的临时公钥及鉴别请求者实体所信任的鉴别服务实体的签名是否正确，若不正确，则丢弃该分组；若正确，得到鉴别器实体的证书验证结果和鉴别器实体的临时公钥。

2.根据权利要求1所述的WAPI证书鉴别方法，其特征在于：所述步骤4)中验证鉴别器实体和鉴别请求者实体的身份是否合法的具体步骤如下：

4.1)验证鉴别器实体和鉴别请求者实体的签名，若不正确，则直接丢弃该分组；若正确进至步骤4.2)；

4.2)验证鉴别器实体和鉴别请求者实体证书及其有效性，若不合法，则直接丢弃该分组或向鉴别器实体返回证书鉴别响应分组，若合法，向鉴别器实体返回证书鉴别响应分组。

3.根据权利要求1或2所述的WAPI证书鉴别方法，其特征在于：所述步骤4)中若为本地接入，则证书鉴别响应分组只包括一个签名字段；若为外地接入，则包括两个签名字段，即鉴别请求者实体所信任的鉴别服务实体的签名和鉴别器实体所信任的鉴别服务实体的签名。

4.根据权利要求1所述的WAPI证书鉴别方法，其特征在于：所述步骤6)之后还包括步骤7)鉴别器实体和鉴别请求者实体分别根据对方的临时公钥与本地的临时私钥进行计算，生成一致的基密钥。