CN101431453B

CN101431453B - 使通信终端与无线接入点间保密通信的方法

Info

Publication number: CN101431453B
Application number: CN2007101770954A
Authority: CN
Inventors: 曹镇
Original assignee: Beijing Huaqi Information Digital Technology Co Ltd
Current assignee: Beijing Huaqi Information Digital Technology Co Ltd
Priority date: 2007-11-09
Filing date: 2007-11-09
Publication date: 2011-05-25
Anticipated expiration: 2027-11-09
Also published as: CN101431453A

Abstract

本发明关于一种使通信终端与无线接入点间保密通信的方法，包括以下步骤：(1)在加密装置中预置唯一的标识信息及通信密钥，且在无线接入点中存储经认证的加密装置的标识信息及密钥；(2)使加密装置通过通信接口与通信终端连接并获得供电，在通信终端上安装并运行专用驱动程序；(3)加密装置向无线接入点发送包含标识信息的认证请求；(4)无线接入点根据认证请求中包含的标识信息对加密装置进行认证，如果认证成功，则调取对应的密钥，并发送允许接入通知；(5)加密装置接收到允许接入通知后通知通信终端已建立与无线接入点的连接，并使用通信密钥对传输的数据进行加密、解密，无线接入点使用密钥对由传输的数据进行加密、解密处理。

Description

使通信终端与无线接入点间保密通信的方法

【所属技术领域】

本发明涉及通信终端与无线局域网内无线接入点的保密通信方法，特别涉及利用加密装置实现通信终端在无线局域网的无线接入和通信安全的方法。

【背景技术】

目前，WLAN(Wireless Local Area Network，无线局域网)的无线接入系统通常是由无线网卡、无线接入点(AP，Access Point)、无线接入网关(AG，Access Server)和无线接入服务器(AS，Access Server)等各个部分组成。较为常见的组网方式是通过无线网卡与计算机、PDA等终端设备相连，取代以上设备中原有的有线网卡，从而实现终端设备间、终端设备与无线接入点间的无线连接，完成对无线信道的检测、选择、控制和管理，并能实现无线接收的增益控制、发射端的功率控制等功能。

与有线传输相比，无线传输的保密性较差，因此需要一些额外的安全措施来保证无线接入点和各通信终端之间的通信安全，比如用户认证、信息加密等。现有的加密方式已经有很多种，通常是在通信系统的应用层中加入一个专门负责加密、解密的软件模块。由于这种加密方式的加密、解密密钥以及加密、解密过程中出现的数据都要在本机的内存中出现，因而容易被破译。另外，由于加密算法的运算量非常大，所以加、解密过程对系统资源的大量占有也是无法容忍的。

无线局域网标准IEEE802.11采用有线对等加密(Wired EquivalentPrivacy，WEP)技术对信息进行加密。WEP是一种对称加密技术，即加密通信双方使用相同的密钥进行加解密。在实际应用中，出于安全性的考虑，不同用户应该使用不同的密钥。通常密钥由网络管理者分配，并存储在通信双方，即通信终端和无线接入点(AP)上。这种密钥管理方法存在很多弊端。首先，在这种密钥管理方式下，为了支持用户的漫游，每个无线接入点(AP)都应该存储所有用户的密钥，而每次增加或修改用户的密钥，网络管理者就要在所有的无线接入点(AP)上增加或修改该用户的密钥，使密钥管理任务相当繁重，而且无线接入点(AP)的存储能力也可能达不到要求。另外，由于密钥分别存储在用户的通信终端和无线接入点中，而存储在通信终端的密钥显然是不安全的，这为他人窃取密钥提供了可乘之机。

【发明内容】

本发明提供一种使通信终端与无线接入点间保密通信的方法，所要解决的技术问题在于使通信终端不参与通信安全处理，而借助外置的加密装置实现其与无线局域网的无线接入点连接和传输数据的加密、解密处理，从而有效保证通信安全。

本发明关于一种使通信终端与无线接入点间保密通信的方法，其包括以下步骤：(1)在具有无线网卡功能的加密装置中预置唯一的标识信息及通信密钥，且在无线接入点中存储经认证的加密装置的标识信息及用于与各标识信息所代表的加密装置保密通信的密钥；(2)使具有无线网卡功能的加密装置通过通信接口与通信终端连接并获得供电，在通信终端上安装并运行加密装置的无线网卡专用驱动程序；(3)加密装置建立与无线接入点的无线信道，加密装置向无线接入点发送包含标识信息的认证请求；(4)无线接入点根据认证请求中包含的标识信息对加密装置进行认证，如果认证成功，则调取与该标识信息相对应的密钥，并向加密装置发送允许接入通知；(5)加密装置接收到允许接入通知后通知通信终端已建立与无线接入点的连接，并使用通信密钥对无线接入点传输的数据进行加密、解密处理，无线接入点使用调取的密钥对由该加密装置传输的数据进行加密、解密处理。

前述的使通信终端与无线接入点间保密通信的方法，所述的加密装置中存储有多个通信密钥，且加密装置按无线接入点发送的密钥调取指令调取相应的通信密钥，并利用调取的通信密钥对与无线接入点间传输的数据进行加密、解密；所述的无线接入点按照标识信息相应地存储多个密钥，且每个密钥分别与加密装置中存储的通信密钥相同或构成密钥对；无线接入点在对加密装置发送的认证请求认证成功后，为与加密装置的保密通信分配密钥，根据所分配的密钥生成使加密装置可调取相应通信密钥的密钥调取指令，将该密钥调取指令发送至加密装置。

前述的使通信终端与无线接入点间保密通信的方法，所述的加密装置中预置的通信密钥与无线接入点中按其标识信息存储的相应密钥相同或可构成密钥对。

前述的使通信终端与无线接入点间保密通信的方法，所述的通信终端将向无线局域网发送的数据通过通信接口输出至加密装置，该加密装置将该数据加密后通过无线局域网模块向无线接入点发送；所述的加密装置通过无线局域网模块接收到无线接入点发送的加密数据，并在对该数据解密后通过通信接口输出至通信终端。

前述的使通信终端与无线接入点间保密通信的方法，所述的通信接口是为USB接口、SATA接口、ISA接口、PCI接口、或PCMCIA接口。

前述的使通信终端与无线接入点间保密通信的方法，所述的加密装置通过通信接口模块中设置的电源端子与通信终端的电源输出端子的电性连接，从而获得的供电。

前述的使通信终端与无线接入点间保密通信的方法，所述的加密装置是为利用数据存储模块和程序存储模块中存储的密钥和加密算法对通信终端输入的数据进行加密或解密处理的加密狗，且利用该数据存储模块和程序存储模块中存储的密钥和加密算法对与无线接入点间传输的数据进行加密或解密处理。

前述的使通信终端与无线接入点间保密通信的方法，所述的加密狗中还设有分别对数据存储模块和程序存储模块中存储的密钥和加密算法进行管理的密钥管理模块和算法管理模块，加密狗可根据通信终端发送的指令或无线接入点发送的允许接入通知控制密钥管理模块和算法管理模块，使加密狗与通信终端间和加密狗与无线接入点间的通信分别使用不同的密钥和加密算法。

如上所述，本发明使通信终端与无线接入点间保密通信的方法具有如下有益效果：

本发明使通信终端与无线接入点间保密通信的方法是使通信终端通过与外置的加密装置的连接实现其与无线接入点间的无线连接，通信终端与无线局域网间传输的数据均通过加密装置接收和发送，而避免了使加密、解密工作在通信终端完成，由此，既可保障在无线通信的安全，在数据安全性上也有了显著的提高，而且借由加密装置完成无线通信的加密和解密工作，大大节省了系统资源。另外，通过连接加密装置和安装驱动程序，使更多的通信终端可以更为便捷地接入无线局域网中。

本发明的密钥是分别存储于无线接入点和加密装置中的，任何接入无线局域网的通信终端不需要存储密钥，而借助外置的加密装置可保证密钥的安全，且由于通过加密装置存储密钥，使无线接入点不需要经常更新可供分配的密钥，从而较少了维护费用。

本发明利用加密装置实现通信终端至无线接入点的网络连接，打破了传统的网络连接方式，使任何通信终端在无线接入点信号范围内通过插入的加密装置实现与无线接入点连接，从而使任何用户在具有本发明的加密装置后按照上述方法实现通信终端与无线局域网的保密通信。

【附图说明】

图1是本发明的加密装置的结构框图。

图2是本发明使通信终端与无线接入点间保密通信的方法的示意图。

【具体实施方式】

为进一步阐述本发明达成预定目的所采取的技术手段及功效，以下结合附图及实施例，详细说明如下。

请参阅图1所示，是本发明的加密装置的结构框图，该加密装置包括：

微处理器模块：负责数据运算，通过调用数据存储模块与程序存储模块中的数据和程序，进行加密、解密运算，完成对通信中传递信息数据的加密、解密工作，即将准备通过无线局域网模块发送的数据进行加密，将通过无线局域网模块获取的数据进行解密。

程序存储模块：与微处理器模块连接，主要存储加密、完整性保护算法和密钥生成算法，可以以密文的形式存放，在加电后，加载进密码运算器中，解密恢复出密文再运行。

数据存储模块：用来安全保存主密钥、非对称加密算法密钥对，加电后，主密钥、密钥对由数据存储模块调入微处理器模块中参与运算。

通信接口模块：通过数据线与微处理器模块连接，用来与需加密终端(即通信终端)相连接。

无线局域网模块：与微处理器模块连接，用于建立无线局域网与微处理器的连接，所述的微处理器模块将加密处理后的数据通过无线局域网模块向外发送，并将从无线局域网接收的数据解密后通过通信接口模块向需通信终端传送。

上述通信接口模块以USB接口模块为宜，由于USB接口即插即用，且支持非常高的数据传输速率，因此不仅方便使未配备无线网卡的通信终端可以与无线局域网连接，而且兼具传输速度高和通信安全的优点。

具体而言，上述的无线局域网模块包括基带单元和RF单元，所述的基带单元对微处理器模块的数据进行调制/解调；所述的RF单元将基带单元的数据处理为高频信号进行传送，还接收和处理高频信号。上述的微处理器模块还具有用于存取输入输出的数据、及中间计算结果、与外部存储器交换的数据和暂存数据的RAM模块。

出于安全的需要，要经常对密钥进行更新和管理，并且也有可能对密码算法进行更新操作，因此，在微处理器模块中还包括负责密钥的更新和管理的密钥管理模块以及负责加密算法的更新和管理的算法管理模块。

请参阅附图2所示，是本发明的使通信终端与无线接入点间保密通信的方法的流程图。该使通信终端与无线接入点间保密通信的方法包括以下步骤：

(1)在具有无线网卡功能的加密装置中预置唯一的标识信息及通信密钥，且在无线接入点中存储经认证的加密装置的标识信息及用于与各标识信息所代表的加密装置保密通信的密钥；

(2)使具有无线网卡功能的加密装置通过通信接口与通信终端连接并获得供电，在通信终端上安装并运行加密装置的无线网卡专用驱动程序；

(3)加密装置建立与无线接入点的无线信道，加密装置向无线接入点发送包含标识信息的认证请求；

(4)无线接入点根据认证请求中包含的标识信息对加密装置进行认证，如果认证成功，则调取与该标识信息相对应的密钥，并向加密装置发送允许接入通知，使通信终端得知已建立与无线接入点间的数据保密通道，即通信终端可经由加密装置和无线接入点间的数据保密通道接入无线局域网；

(5)加密装置使用通信密钥、无线接入点使用调取的密钥在无线信道中对传输的数据进行加密、解密处理。

上述的加密装置中存储有多个通信密钥，且加密装置按无线接入点发送的密钥调取指令调取相应的通信密钥，并利用调取的通信密钥对与无线接入点间传输的数据进行加密、解密；所述的无线接入点按照标识信息相应地存储多个密钥，且每个密钥分别与加密装置中存储的通信密钥相同或构成密钥对；无线接入点在对加密装置发送的认证请求认证成功后，为与加密装置的保密通信分配密钥，根据所分配的密钥生成使加密装置可调取相应通信密钥的密钥调取指令，将该密钥调取指令发送至加密装置。

上述的加密装置中预置的通信密钥与无线接入点中按其标识信息存储的相应密钥相同或可构成密钥对。

在上述步骤(5)中，通信终端将向无线局域网发送的数据通过通信接口模块输出至加密装置，该加密装置将该数据加密后通过无线局域网模块向无线接入点发送；所述的加密装置通过无线局域网模块接收到无线接入点发送的加密数据，并在对该数据解密后通过通信接口模块输出至通信终端。

上述的通信接口模块是为USB接口模块、SATA接口模块、ISA接口模块、PCI接口模块、或PCMCIA接口模块。加密装置通过通信接口模块中设置的电源端子与通信终端的电源输出端子的电性连接，从而获得的供电。

具体而言，上述的加密装置是为利用数据存储模块和程序存储模块中存储的密钥和加密算法对通信终端输入的数据进行加密或解密处理的加密狗，且利用该数据存储模块和程序存储模块中存储的密钥和加密算法对与无线接入点间传输的数据进行加密或解密处理。加密狗中还设有分别对数据存储模块和程序存储模块中存储的密钥和加密算法进行管理的密钥管理模块和算法管理模块，加密狗可根据通信终端发送的指令或无线接入点发送的允许接入通知控制密钥管理模块和算法管理模块，使加密狗与通信终端间和加密狗与无线接入点分别使用不同的密钥和加密算法。

Claims

1.一种使通信终端与无线接入点间保密通信的方法，其特征在于其包括以下步骤：

(4)无线接入点根据认证请求中包含的标识信息对加密装置进行认证，如果认证成功，则调取与该标识信息相对应的密钥，并向加密装置发送允许接入通知；

(5)加密装置接收到允许接入通知后通知通信终端已建立与无线接入点的连接，并使用通信密钥对无线接入点传输的数据进行加密、解密处理，无线接入点使用调取的密钥对由该加密装置传输的数据进行加密、解密处理。

2.根据权利要求1所述的使通信终端与无线接入点间保密通信的方法，其特征在于所述的加密装置中存储有多个通信密钥，且加密装置按无线接入点发送的密钥调取指令调取相应的通信密钥，并利用调取的通信密钥对与无线接入点间传输的数据进行加密、解密；所述的无线接入点按照标识信息相应地存储多个密钥，且每个密钥分别与加密装置中存储的通信密钥相同或构成密钥对；无线接入点在对加密装置发送的认证请求认证成功后，为与加密装置的保密通信分配密钥，根据所分配的密钥生成使加密装置可调取相应通信密钥的密钥调取指令，将该密钥调取指令发送至加密装置。

3.根据权利要求1所述的使通信终端与无线接入点间保密通信的方法，其特征在于所述的加密装置中预置的通信密钥与无线接入点中按其标识信息存储的相应密钥相同或可构成密钥对。

4.根据权利要求1所述的使通信终端与无线接入点间保密通信的方法，其特征在于所述的通信终端将向无线局域网发送的数据通过通信接口输出至加密装置，该加密装置将该数据加密后通过无线局域网模块向无线接入点发送；所述的加密装置通过无线局域网模块接收到无线接入点发送的加密数据，并在对该数据解密后通过通信接口输出至通信终端。

5.根据权利要求4所述的使通信终端与无线接入点间保密通信的方法，其特征在于所述的通信接口是USB接口、SATA接口、ISA接口、PCI接口、或PCMCIA接口。

6.根据权利要求4所述的使通信终端与无线接入点间保密通信的方法，其特征在于所述的加密装置通过通信接口模块中设置的电源端子与通信终端的电源输出端子的电性连接，从而获得供电。

7.根据权利要求1所述的使通信终端与无线接入点间保密通信的方法，其特征在于所述的加密装置是利用数据存储模块中存储的密钥和程序存储模块中存储的加密算法对通信终端输入的数据进行加密或解密处理的加密狗，且利用该数据存储模块中存储的密钥和程序存储模块中存储的加密算法对与无线接入点间传输的数据进行加密或解密处理。

8.根据权利要求7所述的使通信终端与无线接入点间保密通信的方法，其特征在于所述的加密狗中还设有分别对数据存储模块和程序存储模块中存储的密钥和加密算法进行管理的密钥管理模块和算法管理模块，加密狗可根据通信终端发送的指令或无线接入点发送的允许接入通知控制密钥管理模块和算法管理模块，使加密狗与通信终端间和加密狗与无线接入点间的通信分别使用不同的密钥和加密算法。