CN101155396A - 一种终端结点切换方法 - Google Patents

Abstract

本发明公开了一种终端结点切换方法，包括以下步骤：终端结点通过当前连接的访问接入点与目的访问接入点执行预鉴别过程；终端结点在预鉴别过程完成后，通过当前连接的访问接入点向目的访问接入点发送预密钥协商分组，目的访问接入点在收到所述预密钥协商分组后执行预密钥协商过程；终端结点与当前连接的访问接入点断开连接，并在单播密钥协商和组播密钥协商过程完成后，切换到目的访问接入点。通过本发明可以有效地降低WAPI终端结点切换时延。

Description

一种终端结点切换方法

技术领域

本发明涉及无线局域网领域，特别是涉及一种终端结点切换方法。

背景技术

目前无线局域网络产品主要采用的安全措施是依据IEEE802.11美国标准，使用基于加密算法RC-4的有线等效安全(WiredEquivalent Privacy，WEP)保密机制对数据进行加密传输。但是该机制已经被证实存在安全漏洞。我国宽带无线IP标准工作组制定了无线局域网(Wireless Local-area Network，WLAN)国家标准GB/T 15629.11，其中公开了一种新的安全机制：无线局域网鉴别与保密基础结构(WLAN Authentication and Privacy Infrastructure，WAPI)。WAPI机制提供了一种基于公钥证书机制的无线局域网移动终端安全接入方法。标准中的安全机制由无线局域网鉴权组织(WLAN AuthenticationInfrastructure，WAI)和无线局域网加密组织(WLAN Privacy Infrastructure，WPI)两部分组成，WAI和WPI分别实现对用户身份的鉴别和对传输的数据加密。WAI主要完成基于端口控制，证书及基于证书的鉴别访问控制和密钥协商；WPI完成基于国密办算法的MSDU对称加密。

在WAPI机制中有三种实体，分别为：终端结点(Station，STA)、访问接入点(Access Point，AP)和鉴别服务单元(Authentication Service Unit，ASU)。其中，AP分为STA当前连接的AP和目的AP，当前连接的AP担当分组传递者的角色，目的AP通过当前AP与STA进行交互；ASU用于为AP和STA提供相互鉴别服务。ASU对其管理范围内的AP和STA进行管理，并提供证书服务。

在WAPI机制下，STA和AP进行通讯之前，需要经过信道的扫描、链路验证和关联等几个阶段，而WAPI标准为了加强WLAN的安全性，在上述几个阶段的基础上又加入了WAI的证书鉴别和密钥协商阶段。WAI的证书鉴别阶段完成STA和AP接入网络的证书认证，密钥协商阶段完成STA和AP的加密算法和加密密钥协商。对于一个正在通话的STA来说，从当前连接的AP覆盖区域漫游到目的AP覆盖区域时，需要从当前连接的AP切换到目的AP，STA和当前AP断开连接之后，到STA和目的AP建立连接之前的这段切换时间内，需要执行信道的扫描、链路验证和关联等过程，以及WAI的证书鉴别和密钥协商过程。

图1为WAI的证书鉴别过程流程图，具体过程如下：

一，当STA关联或重新关联至AP时，首先由AP向STA发送鉴别激活以启动整个鉴别过程，然后，由STA向AP发出接入鉴别请求，即将STA证书与STA的当前系统时间发往AP，其中系统时间称为接入鉴别请求时间。

二，在AP收到STA接入鉴别请求后，首先记录鉴别请求时间，然后向ASU发出证书鉴别请求，即将STA证书、接入鉴别请求时间、AP证书及AP的私钥对它们的签名构成证书鉴别请求发送给ASU。

三，ASU收到AP的证书鉴别请求后，验证AP的签名和AP证书的有效性，若不正确，则鉴别过程失败，否则进一步验证STA证书。验证完毕后，ASU将STA证书鉴别结果信息(包括STA证书和鉴别结果)、AP证书鉴别结果信息(包括AP证书、鉴别结果及接入鉴别请求时间)和ASU对它们的签名构成证书鉴别响应发回给AP。

四，AP对ASU返回的证书鉴别响应进行签名验证，得到STA证书的鉴别结果，根据此结果对STA进行接入控制。AP并将收到的证书鉴别响应回送至STA。

五，STA验证ASU的签名后，得到AP证书的鉴别结果，根据该鉴别结果决定是否接入该AP。

在证书鉴别阶段的过程结束后执行密钥协商阶段的过程。密钥协商阶段的过程包括单播密钥协商和组播密钥协商，先执行单播密钥协商，然后执行组播密钥协商，其中，

单播密钥协商过程包括以下步骤：

AP向与其相关联的STA发送单播密钥协商请求分组消息；

STA构造单播密钥协商响应分组消息发往与其相关联的AP；

AP向与其相关联的STA发送单播密钥协商确认分组消息。

组播密钥协商过程包括以下步骤：

AP向STA发送组播密钥/站间密钥通告分组消息，告知STA组播/站间主密钥；

STA向AP发送组播密钥/站间密钥响应。

单播密钥协商和组播密钥协商的具体过程和数据格式在WAPI实施指南中有详细的描述。

对于一个正在通话的STA来说，从当前连接的AP覆盖区域漫游到目的AP覆盖区域时，需要从当前连接的AP切换到目的AP，由于从STA和当前AP断开连接之后，到STA和目的AP建立连接之前的这段切换时间内，需要经过上述的信道的扫描、链路验证和关联等几个阶段，这几个阶段都要花费一定的切换时间；为了加强WLAN的安全性需要增加上述的证书鉴别和密钥协商阶段，这两个阶段也需要增加切换时间，过长的切换时延会严重影响STAVoIP应用的平均评价分(Mean Opinion Scores，MOS)值。

为了缩短STA的切换时间，在WAPI 2.0规范中增加了预鉴别功能，如果目的AP支持预鉴别功能，则STA可以在与当前连接的AP断开连接之前，通过当前连接的AP与目的AP执行预鉴别过程，在预鉴别过程中完成证书鉴别过程，当与目的AP关联以后，再执行单播密钥协商和组播密钥协商过程。

以下详细介绍预鉴别过程：

A)STA向当前连接的AP发送一个预鉴别开始分组，请求开始预鉴别；

B)当前连接的AP收到预鉴别开始分组后，向目的AP转发该预鉴别开始分组；

C)目的AP收到该预鉴别开始分组后，根据预鉴别开始分组的字段内容，向相应的STA发出鉴别激活分组，开始WAI的证书鉴别过程。

所述的预鉴别开始分组数据字段定义如下：

标识FLAG

USKID

ADDID

重放计数器

消息鉴别码

其中，

——标识FLAG字段长度为1个八位位组，其中，B0位为BK更新标识，B1位为预鉴别标识，B2为整数验证请求标识，B3为可选字段标识，B4为USK更新标识，B5为STAKEY协商标识，B6为STAKEY删除标识，B7为保留标识。

——USKID字段长度为1个八位位组，其中比特0标识计算消息鉴别码字段值所用的消息鉴别密钥。

——ADDID字段长度为12个八位位组，该字段的值为发起方STA的MAC地址‖目的AP的MAC地址。

——重放计数器字段长度为16个八位位组，表示一个整数。初始值为1。

——消息鉴别码字段长度为20个八位位组。其值为STA利用USKID字段标识的消息鉴别密钥通过HMAC-SHA256算法对本字段之前的所有协议数据字段内容计算得到，不包含分组头。

WAPI的预鉴别方法由于将证书鉴别阶段放在STA和当前AP断开连接之前完成，在一定程度上缩短了STA的切换时间，但是，由于密钥协商阶段仍然需要在切换时间内完成，而密钥协商阶段期间由于执行复杂的安全算法，所占时间较长，仍然存在较长的切换时延。

针对无线局域网的切换时延问题，IEEE正在制定一个新的标准802.11r，在该标准中引入的新的认证握手机制用于降低切换延迟，但其鉴别步骤还是基于IEEE 802.11i的，这与WAPI的鉴别过程是不同的，因此还不能依赖IEEE802.11r来降低WAPI引起的切换时延问题。

发明内容

为了解决上述问题，本发明的一个目的就是提供一种终端结点切换方法，有效地降低WAPI终端结点切换时延。

本发明的终端结点切换方法，包括以下步骤：

步骤A，终端结点通过当前连接的访问接入点与目的访问接入点执行预鉴别过程；

步骤B，终端结点在预鉴别过程完成后，通过当前连接的访问接入点向目的访问接入点发送预密钥协商分组，目的访问接入点在收到所述预密钥协商分组后执行预密钥协商过程；

步骤C，终端结点与当前连接的访问接入点断开连接，并在单播密钥协商和组播密钥协商过程完成后，切换到目的访问接入点。

所述预密钥协商分组字段定义中的B7位作为是否启用预密钥协商的标记；

所述步骤B中，所述目的访问接入点在收到所述预密钥协商分组后执行预密钥协商过程包括：目的访问接入点接收预密钥协商分组，并在根据B7确定启用了预密钥协商之后，执行预密钥协商过程。

在所述步骤C中，终端结点在与当前连接的访问接入点断开连接之后，并在切换到目的访问接入点之前，进一步包括：如果确定预密钥协商过程的完成状态为预鉴别完成状态，则执行步骤C1，其中，

所述步骤C1为：终端结点与目的访问接入点执行单播密钥协商和组播密钥协商过程。

所述步骤C1包括以下步骤：

步骤C11，终端结点向目的访问接入点发送链路验证请求分组，目的访问接入点收到该链路请求分组后，向终端结点发送链路验证响应分组，完成链路验证过程；

步骤C12，终端结点与目的访问接入点执行单播密钥协商过程；

步骤C13，终端结点与目的访问接入点进行重新关联；

步骤C14，终端结点与目的访问接入点执行组播密钥协商过程。

所述步骤C14之前包括以下步骤：终端结点判断单播密钥协商是否成功，如果不成功，重新执行单播密钥协商过程。

所述步骤C1包括以下步骤：

步骤C11′，终端结点与目的访问接入点完成链路验证过程；

步骤C12′，终端结点与目的访问接入点进行重新关联；

步骤C13′，终端结点与目的访问接入点执行组播密钥协商过程；

其中，所述步骤步骤C11′包括以下步骤：

步骤C111′，终端结点向目的访问接入点发送链路验证请求分组，并把单播密钥协商所需的信息加入到链路验证请求分组中；

步骤C112′，目的访问接入点在收到终端结点的链路验证请求分组后，把单播密钥协商所需的信息加入到链路验证响应分组中，产生链路验证相应分组，并向终端结点发送链路验证响应分组，同时得到单播密钥；

步骤C113′，终端结点从目的访问接入点收到链路验证响应分组后，得到单播密钥。

在所述步骤C中，终端结点在与当前连接的访问接入点断开连接之后，并在切换到目的访问接入点之前，进一步包括：如果确定预密钥协商过程的完成状态为单播密钥协商完成状态，则执行步骤C2，其中，

所述步骤C2为：终端结点与目的访问接入点执行组播密钥协商过程。

所述步骤C2包括以下步骤：

步骤C21，终端结点向目的访问接入点发送链路验证请求分组，目的访问接入点收到该链路请求分组后，向终端结点发送链路验证响应分组，完成链路验证过程；

步骤C22，终端结点与目的访问接入点进行重新关联；

步骤C23，目的访问接入点与终端结点进行组播密钥协商过程。

在所述步骤A之前包括：在终端结点预设变量，所述变量包括终端结点与目的访问接入点的预鉴别和密钥协商状态变量，其状态包括；预鉴别完成；

所述步骤C中，所述确定预密钥协商过程的完成状态为预鉴别完成状态为：终端结点与目的访问接入点的预鉴别和密钥协商状态变量的状态为预鉴别完成。

在所述步骤A之前包括：在终端结点预设变量，所述变量包括终端结点与目的访问接入点的预鉴别和密钥协商状态变量，其状态包括；单播密钥协商完成；

所述步骤C中，所述确定预密钥协商过程的完成状态为单播密钥协商完成状态为：终端结点与目的访问接入点的预鉴别和密钥协商状态变量的状态为单播密钥协商完成。

本发明的有益效果是：

1.在降低WAPI结点切换时延的同时，没有影响或损害WAPI无线局域网的安全性；

2.相对于WAPI原有的预鉴别过程，本发明使切换时间大大降低；

3.由于本发明是基于WAPI无线局域网协议进行的改进，相对于IEEE802.11r的切换握手机制，本发明更适合WAPI无线局域网。

附图说明

图1为现有技术中WAI的证书鉴别过程流程图；

图2为本发明的终端结点切换方法的流程图。

具体实施方式

本发明的基本思想是：在WAPI标准的基础上，在不降低或影响WAPI无线局域网安全的条件下，尽量使密钥协商过程在切换之前完成，从而有效地降低WAPI终端结点切换时延。

下面结合附图2及具体实施例对本发明再作进一步详细的说明。

图2为本发明的终端结点切换方法的流程图，具体包括以下步骤：

步骤101)STA通过当前连接的AP与目的AP执行预鉴别过程，且在预鉴别过程中完成证书鉴别过程。

所述预鉴别过程与现有的预鉴别过程相同，在此不再赘述。

步骤102)STA在预鉴别过程完成后，通过当前连接的AP向目的AP发送一个预密钥协商分组，目的AP在收到该预密钥协商分组后执行预密钥协商过程。

尽量使预密钥协商过程在STA与当前连接的AP断开之前完成，从而有效地降低WAPI终端结点切换时延。

所述预密钥协商分组字段定义如下：

标识FLAG

USKID

ADDID

重放计数器

消息鉴别码

其中，只有标识FLAG字段定义与预鉴别开始分组数据字段定义不同，其他字段与预鉴别开始分组数据字段定义相同。本发明中，设置标识FLAG字段长度为1个八位位组，B7位作为是否启用预密钥协商的标记，设置B7为1表示预密钥协商请求，其他位的定义与预鉴别开始分组数据字段中的标识FLAG字段各位的定义相同。

所述预密钥协商过程可以是单播密钥协商过程，也可以是单播密钥协商过程和组播密钥协商过程，所述过程与WAPI协议中的上述过程相同。

步骤103)STA与当前连接的AP断开连接，并在单播密钥协商和组播密钥协商过程完成后，切换到目的AP。

在所述步骤103)中，STA与当前连接的AP断开连接后，切换到目的AP之前，判断预密钥协商过程的完成状态，并根据预密钥协商过程的完成状态执行以下步骤A或B：

如果预密钥协商过程的完成状态为预鉴别完成状态，则执行步骤A。

步骤A，STA与目的AP执行单播密钥协商和组播密钥协商过程。

由于根据无线局域网STA与AP连接标准，STA在与目的AP连接时，还要经过链路验证和重新关联过程，因此步骤A包括以下步骤：

步骤A1，STA向目的AP发送链路验证请求分组，目的AP收到该链路请求分组后，向STA发送链路验证响应分组，完成链路验证过程；

步骤A2，STA与目的AP执行单播密钥协商过程；

步骤A3，STA与目的AP进行重新关联；

步骤A4，STA与目的AP执行组播密钥协商过程。

进一步地，所述步骤A4之前包括以下步骤：STA根据基密钥BK信息判断单播密钥协商是否成功，如果不成功，重新执行单播密钥协商过程。

进一步地，由于WAPI中链路验证采用开放认证方式(Open)，即空验证，这一阶段对WAPI来说没有执行什么动作，只是简单的握手交互。因此我们可以把单播密钥协商所需的信息，如基密钥索引、质询文本等加入到链路验证请求和链路验证响应原语中，在执行链路验证的同时执行单播密钥协商过程，也就是将上述步骤A2的单播密钥协商过程在步骤A1的链路验证过程中完成。此时步骤A1的链路验证过程如下：

步骤A11，STA向目的AP发送链路验证请求分组，并把单播密钥协商所需的信息，如基密钥索引、质询文本等加入到链路验证请求分组原语中；

步骤A12，目的AP在收到STA的链路验证请求分组后，首先在链路请求帧中检测是否含有单播密钥协商信息字段，如果含有单播密钥协商信息字段，则做进一步验证后，把单播密钥协商所需的信息，如基密钥索引、质询文本等加入到链路验证响应分组原语中，向STA发送该链路验证响应分组，同时目的AP根据WAPI规范得到单播密钥；

步骤A13，STA从目的AP收到链路验证响应分组后，也检测是否含有单播密钥协商字段，如果有该字段，则根据BK信息得到单播密钥。从而在链路验证过程中完成单播密钥协商过程。

上述过程相对于WAPI的单播密钥协商过程，没有单播密钥协商确认分组，这是因为，在WAPI中，该确认分组的主要目的是验证STA和目的AP之间协商的单播密钥是否相同，该验证可以在后来的组播密钥协商阶段完成。

如果预密钥协商过程的完成状态为单播密钥协商完成状态，则执行步骤B。

步骤B，STA与目的AP执行组播密钥协商过程。

由于根据无线局域网STA与AP连接标准，STA在与目的AP连接时，还要经过链路验证和重新关联过程，因此，步骤B包括以下步骤：

步骤B 1，STA向目的AP发送链路验证请求分组，目的AP收到该链路请求分组后，向STA发送链路验证响应分组，完成链路验证过程；

步骤B2，STA与目的AP进行重新关联；

步骤B3，目的AP与STA进行组播密钥协商过程。

上述预密钥协商过程的完成状态的判断方法具体可以为：

首先，在STA预设表示STA与目的AP的预鉴别和密钥协商状态的变量currentDestApState，其状态包括；预鉴别完成，单播密钥协商完成以及组播密钥协商完成，标志着STA与目的AP的鉴别状态为预鉴别完成，单播密钥协商完成或者组播密钥协商完成；

然后，STA在每个过程完成后都需要更改currentDestApState的状态值：在预鉴别过程完成后，将currentDestApState状态值设为预鉴别完成；单播密钥协商过程或者组播密钥协商过程完成后，都要修改currentDestApState值，以记录当时的完成状态。

这样，STA就可以根据currentDestApState值判断预密钥协商过程的完成状态。

最后说明的是，以上实施例仅用以说明本发明的技术方案而非限制，尽管参照较佳实施例对本发明进行了详细说明，本领域的普通技术人员应当理解，可以对本发明的技术方案进行修改或者等同替换，而不脱离本发明技术方案的精神和范围，其均应涵盖在本发明的权利要求范围当中。

Claims (10)

1.一种终端结点切换方法，包括以下步骤：

步骤A，终端结点通过当前连接的访问接入点与目的访问接入点执行预鉴别过程；

步骤B，终端结点在预鉴别过程完成后，通过当前连接的访问接入点向目的访问接入点发送预密钥协商分组，目的访问接入点在收到所述预密钥协商分组后执行预密钥协商过程；

步骤C，终端结点与当前连接的访问接入点断开连接，并在单播密钥协商和组播密钥协商过程完成后，切换到目的访问接入点。

2.如权利要求1所述的终端结点切换方法，其特征在于，所述预密钥协商分组字段定义中的B7位作为是否启用预密钥协商的标记；

所述步骤B中，所述目的访问接入点在收到所述预密钥协商分组后执行预密钥协商过程包括：目的访问接入点接收预密钥协商分组，并在根据B7确定启用了预密钥协商之后，执行预密钥协商过程。

3.如权利要求1所述的终端结点切换方法，其特征在于，在所述步骤C中，终端结点在与当前连接的访问接入点断开连接之后，并在切换到目的访问接入点之前，进一步包括：如果确定预密钥协商过程的完成状态为预鉴别完成状态，则执行步骤C1，其中，

所述步骤C1为：终端结点与目的访问接入点执行单播密钥协商和组播密钥协商过程。

4.如权利要求3所述的终端结点切换方法，其特征在于，所述步骤C1包括以下步骤：

步骤C11，终端结点向目的访问接入点发送链路验证请求分组，目的访问接入点收到该链路请求分组后，向终端结点发送链路验证响应分组，完成链路验证过程；

步骤C12，终端结点与目的访问接入点执行单播密钥协商过程；

步骤C13，终端结点与目的访问接入点进行重新关联；

步骤C14，终端结点与目的访问接入点执行组播密钥协商过程。

5.如权利要求4所述的终端结点切换方法，其特征在于，所述步骤C14之前包括以下步骤：终端结点判断单播密钥协商是否成功，如果不成功，重新执行单播密钥协商过程。

6.如权利要求3所述的终端结点切换方法，其特征在于，所述步骤C1包括以下步骤：

步骤C11′，终端结点与目的访问接入点完成链路验证过程；

步骤C12′，终端结点与目的访问接入点进行重新关联；

步骤C13′，终端结点与目的访问接入点执行组播密钥协商过程；

其中，所述步骤步骤C11′包括以下步骤：

步骤C111′，终端结点向目的访问接入点发送链路验证请求分组，并把单播密钥协商所需的信息加入到链路验证请求分组中；

步骤C112′，目的访问接入点在收到终端结点的链路验证请求分组后，把单播密钥协商所需的信息加入到链路验证响应分组中，产生链路验证相应分组，并向终端结点发送链路验证响应分组，同时得到单播密钥；

步骤C113′，终端结点从目的访问接入点收到链路验证响应分组后，得到单播密钥。

7.如权利要求1所述的终端结点切换方法，其特征在于，在所述步骤C中，终端结点在与当前连接的访问接入点断开连接之后，并在切换到目的访问接入点之前，进一步包括：如果确定预密钥协商过程的完成状态为单播密钥协商完成状态，则执行步骤C2，其中，

所述步骤C2为：终端结点与目的访问接入点执行组播密钥协商过程。

8.如权利要求7所述的终端结点切换方法，其特征在于，所述步骤C2包括以下步骤：

步骤C21，终端结点向目的访问接入点发送链路验证请求分组，目的访问接入点收到该链路请求分组后，向终端结点发送链路验证响应分组，完成链路验证过程；

步骤C22，终端结点与目的访问接入点进行重新关联；

步骤C23，目的访问接入点与终端结点进行组播密钥协商过程。

9.如权利要求3至6任一项所述的终端结点切换方法，其特征在于，在所述步骤A之前包括：在终端结点预设变量，所述变量包括终端结点与目的访问接入点的预鉴别和密钥协商状态变量，其状态包括；预鉴别完成；

所述步骤C中，所述确定预密钥协商过程的完成状态为预鉴别完成状态为：终端结点与目的访问接入点的预鉴别和密钥协商状态变量的状态为预鉴别完成。

10.如权利要求7至8任一项所述的终端结点切换方法，其特征在于，在所述步骤A之前包括：在终端结点预设变量，所述变量包括终端结点与目的访问接入点的预鉴别和密钥协商状态变量，其状态包括；单播密钥协商完成；

所述步骤C中，所述确定预密钥协商过程的完成状态为单播密钥协商完成状态为：终端结点与目的访问接入点的预鉴别和密钥协商状态变量的状态为单播密钥协商完成。

Images