CN101455063B - 用于自动无线连接的预配配置 - Google Patents

Abstract

本发明提供了用于对无线设备进行预配配置以允许对受限无线网络的访问的系统和方法。利用开放式无线网络或有线网络，可以对无线设备的用户进行认证。包括所述预配配置的参数和策略的配置应用被生成和传输至所述无线设备，并在所述无线设备上执行。在所述应用的配置之后，所述无线设备被允许在所述预配配置的参数和策略的范围之内访问所述受限无线网络。

Description

用于自动无线连接的预配配置

相关申请的交叉引用

本申请是2007年4月18日递交的、名称为“Dynamic Authenticationin Secured Wireless Networks”的、要求以下专利申请的优先权权益的美国专利申请11/788,371的部分继续申请：2006年4月24日递交的名称为“Mechanisms and Apparatus to Provide Pre-Shared Key Authenticationwith Dynamic Secret on Wireless Networks”的美国临时专利申请60/794,625、以及2006年5月2日递交的名称为“Mechanisms andApparatus for Automatic Wireless Connection Based on ProvisionedConfiguration”的美国临时专利申请60/796,845。上述申请的公开内容通过引用合并于此。

技术领域

本发明总体上涉及信息网络安全。更具体地，本发明涉及用于对无线设备进行配置以访问受限无线网络的、用户界面友好的系统。

背景技术

许多专业组织已经提出了用于无线网络的各种用户认证和安全措施。这些专业组织包括国际电子电气工程师协会(IEEE)802.11工作组、Wi-Fi联盟以及互联网工程任务组(IETF)。诸如无线设备供应商之类的各种其它团体提供了其自己专有的无线安全协议。取决于特定的来源，这些协议的实现通常是复杂的和难以维护的，并且要求实现特定协议的人具有高水平的技术知识。

另一复杂情况是每个组织对于其无线网络的安全性可能具有专门的需求。例如，组织中的不同部门可能需要不同的协议。但是，某些个人可能需要访问多个网络，这要求他们的无线设备配置有多种协议。此外，某些个人可能需要访问特定的网络然而并未被授权访问这些网络。因此，由于许多商业组织(例如小型企业和中型企业)缺少专业知识和/或全职的专业技术支持，因此这些商业组织在实现用于无线网络的安全系统时存在困难。

例如，网络管理员可能具有用于实现这种安全系统的必需的技术知识，但是可能必须单独地配置每个无线客户站。除此之外，还要指导每个用户如何将其无线设备配置成符合某些无线连接参数。此外，对于用户和网络管理员而言可能出现各种技术上的复杂情况，包括不同的无线设备和接口、不同的访问需求以及不同的访问限制。

尽管所述的诸多措施可用于保护无线网络，但是这些措施中的任何一种措施的实现可能是复杂和困难的、和/或需要大量维护。因此，在本领域中存在对如下的改进的系统和方法的需求：所述改进的系统和方法提供了对受保护的无线网络的受限访问，其是用户界面友好的和易于维护的，而不需要高级的技术专业知识和/或持续的技术支持。

发明内容

本发明的示例性系统和方法提供了用于允许访问受限无线网络的、对无线设备的预配配置(provisioned configuration)。利用开放式无线网络或有线网络，可以对无线设备的用户进行认证。包括预配配置的参数和策略的可执行应用被生成和传输至所述无线设备，并在所述无线设备上执行。在所述应用的配置之后，所述无线设备被允许在通过所述可执行应用而提供的预配配置的参数和策略的范围之内访问所述受限无线网络。

可以基于与所述用户和/或所述无线设备相关的认证信息来生成提供这种预配配置的可执行应用。一些实施例包括根据预配配置数据库来确定哪些参数和策略与所述用户和/无线设备相关联。在本发明的一些实施例中，所述应用可以提供针对所述无线设备的多种预配配置。所述多种预配配置中的每种预配配置可以包括针对多个无线网络的参数和策略。所述可执行应用可以能够将无线设备配置用于访问多个不同的无线网络。

本发明的实施例可以包括用于对无线设备进行预配配置的系统。这种系统可以包括认证模块、处理器和预配模块(provisioning module)。一些实施例还包括预配配置数据库和/或应用生成模块。

本发明的一些实施例包括用于对无线设备进行预配配置的计算机可读存储介质和指令。一些实施例还包括用于基于与所述用户和/或所述无线设备相关的认证信息来生成配置应用的指令。

附图说明

图1是根据本发明的示例性实施例的用于对无线设备进行预配配置以访问受限无线网络的系统的图示；

图2是示出了根据本发明的示例性实施例的用于生成配置应用的方法的流程图；

图3是示出了根据本发明的示例性实施例的用于使无线设备访问受限无线网络的方法的流程图；

图4是示出了根据本发明的示例性实施例的用于对无线设备进行预配配置以访问受限无线网络的方法的流程图。

具体实施方式

本发明的实施例包括用于对无线设备进行用户界面友好的低维护的配置以访问受限无线网络的系统和方法。无线设备的用户被允许连接到开放式无线网络或有线网络。在该用户被认证之后，可以生成将允许该无线设备连接到受保护或受限的无线网络的应用。在该应用被传输至所述无线设备并在所述无线设备上执行之后，该应用对所述无线设备进行配置以使其可以访问该受限无线网络。也被称为预配配置的所述配置可以基于用户信息、无线设备信息或者这两者。在一些实施例中，所述应用能够对所述无线设备进行配置以使其可以访问多个无线网络。

图1是根据本发明的示例性实施例的用于对无线设备进行预配配置以访问受限无线网络160的系统的图示。如图1所示，认证服务器100包括认证模块110、预配配置数据库120、应用生成模块130、处理器140、预配模块150以及策略管理模块180。认证服务器100可用于维护网络160中的安全性。诸如无线工作站170a、膝上型计算机170b和移动设备170c之类的各种客户端设备属于网络160的潜在用户。

本发明中所提及的模块(或应用)一般应当被理解为执行各种系统级功能且可以被硬件和设备驱动器根据需要而进行动态加载和卸载的例程的集合。在此描述的模块化软件组件还可以被合并为更大的软件平台的部分，或者被集成为应用专用组件的部分。

认证模块110对用户(例如膝上型计算机170b)进行认证，并验证用户是其声称为的人且用户已被以另外的方式授权访问网络160。认证模块110可用于通过有线网络或无线网络来验证用户提供的用户名和密码。验证可以通过与存储在认证数据库中的用户名和密码进行比较来进行，其中所述认证数据库可以独立于认证模块110或者被合并到认证模块110中。一旦被认证模块110所认证，所述用户就可以在网络160内基于该用户的安全许可级别来访问数据和执行动作，其中所述该用户的安全许可级别即：由网络管理员定义的、可以由预配配置的参数和策略进行进一步调控的、该用户在组织中的职责的参数。认证模块110可以实现其公开内容先前已通过引用合并于此的、2007年4月18日递交的名称为“DynamicAuthentication in Secured Wireless Networks”的美国专利申请11/788,371中公开的某些认证策略。

预配配置数据库120存储与可用于配置无线设备以访问网络160的各种参数和策略的集合相关的信息。预配配置数据库120还可以存储证书、共享秘密、私钥以及各种其它信息。这些参数和策略可以包括用于配置无线设备以连接到受限无线网络的信息，以及与之相关的访问策略，例如无线网络名、无线设备参数、适配器配置、安全相关的参数、访问限制、服务质量参数、安全相关的参数等等。预配配置数据库120还可以存储与和一个或更多个预配配置相关联的用户和/或无线设备相关的信息。

在示例性实施例中，经过认证的用户可以请求访问受限无线网络。可以通过搜索预配配置数据库120来找到与该用户和/或属于该用户的无线设备相关联的预配配置。一旦预配配置被找到并且随后被安装在属于该用户的无线设备上，该用户就被允许使用该无线设备来访问无线网络160。此外，所述预配配置限制该用户访问该用户未被授权的、所述网络的任何部分或子集。预配配置数据库120可以结合认证服务器100的其它组件一起操作以及将预配配置信息提供给认证服务器100的其它组件，其中所述其它组件包括(但不限于)应用生成模块130、预配模块150以及可选的策略管理模块180。

在一些实施例中，如同上文所提及的，预配配置数据库120可以结合应用生成模块130一起操作。应用生成模块130利用预配配置数据库120提供的预配配置而生成用于根据该预配配置来配置无线设备的应用。然后可以将所述应用经由在此更详细地讨论的预配模块150而传输至所述无线设备。所述应用可以自动执行，或者所述应用可以由用户手动执行。一旦被执行，所述应用就可以检查所述无线设备、配置所述无线设备、和/或将所述无线设备连接到受限无线网络160。对所述无线设备的配置可以包括安装从数据库120获取的预配配置中包括的任何或全部的参数、策略等。一旦经过配置，所述无线设备就可以在所述预配配置的参数和策略的范围之内访问无线网络160。

处理器140被配置用于执行各种操作。例如，通过利用与用户和/或无线设备相关的认证信息，处理器140可以在预配配置数据库120中搜索与该用户和/或无线设备相关联的预配配置。然后，通过执行指令和/或应用与应用生成模块130相关的数据集和/或应用生成模块130所提供的数据集，处理器140可以生成上述的配置应用。通过执行指令和/或应用与预配模块150相关的数据集和/或预配模块150所提供的数据集，处理器140可以提供所述配置应用经由网络160向无线设备的传输。

在本发明的示例性实施例中，用户提交用于认证和访问受限无线网络160的请求。该请求可以包括用户信息(例如用户名和密码)和/或无线设备信息。在可选的认证操作之后，处理器140使用来自该请求的信息来在预配配置数据库120中搜索与该用户和/或无线设备相关联的参数和策略。该与上述参数和策略相关的信息随后可以被提供给应用生成模块120，以用于生成预配配置应用。

预配模块150被配置用于将应用生成模块130所生成的自配置应用传递(或允许该传递/传输)给无线设备。该传递可以作为无线下载操作的一部分而通过开放式接入网络来进行。传输也可以通过有线网络来进行。所述预配配置中包括的参数和策略确定了用户是否可以访问特定无线网络以及在何种程度上进行访问。例如，用户可能被授权为仅访问一个无线网络和/或仅进行某些操作。预配模块150所提供的预配访问应用可以实现其公开内容先前已通过引用合并于此的、2007年4月18日递交的名称为“Dynamic Authentication in Secured Wireless Networks”的美国专利申请11/788,371中公开的某些安全策略和/或访问策略。

网络160可被配置用于传送各种电磁波，例如包括无线电信号。网络160可以是IEEE802.11(Wi-Fi或无线LAN)网络、IEEE802.16(WiMAX)网络、IEEE802.16c网络等等。网络160可以将各种信息输送至诸如客户端接口设备180a-c之类的接口设备。网络160可以是专有局域网络，或者可以是更大的广域网的一部分。

各种辅助网络可以存在于更大的网络160的范围之内，例如对等网络和无线网状(mesh)网络。网络160的一些部分可以是“开放式”的，以允许在设备被允许访问网络160的“封闭式的”部分之前进行预配。在一些实施例中，网络160可以包括用于使设备170a-c(在下文描述)被认证和下载具有预配配置的可执行应用的有线网络。网络160的某些部分可以专用于认证和下载可执行预配应用，而其它部分可以专用于常规的无线应用。

客户端无线接口设备170a-c示出了各种具有无线能力的设备，包括桌上型计算机、膝上型计算机、手持计算机等等。例如，希望经由无线设备170a访问无线网络160的用户可以通过如下方式来这样做：通过复制、下载由应用生成模块130生成的可被预配模块利用的应用的副本或将其传输至无线设备170a。所述应用对无线设备170a进行配置以使得无线设备170a可以在预配配置的参数的范围之内访问无线网络160。可以以类似的方式来配置无线设备170b和无线设备170c。

可选的策略管理模块180还可被包括为认证服务器100的一部分。策略管理模块180可以负责对于对设备接入网络160的访问的参数和策略的管理和实施。所述参数和策略可以包括被实施为所述预配配置处理的一部分的参数和策略。这些参数和策略还可以包括哪些用户被允许访问特定网络以及在何种程度上进行访问(例如特定的操作、受限的访问等)。某些无线网络可以通过专用于策略管理和实施的单独的服务器来实现策略管理和实施。

图2是示出了根据本发明的示例性实施例的用于生成配置应用的方法200的流程图。在方法200中，无线设备被允许连接到开放式无线网络。然后确定用户是否已成功地经过认证。如果用户尚未经过认证，则拒绝该用户和无线设备访问受限无线网络。如果用户已成功地经过认证，则找到与该已经过认证的用户和/或无线设备相关联的预配配置。生成用于基于该预配配置对该无线设备进行配置的应用。

在步骤210中，无线设备访问开放式无线网络。该开放式无线网络是不受保护的，使得未经认证的用户和/或属于该用户的无线设备可以形成连接。一旦该无线设备连接到该开放式无线网络，该用户和/或无线设备就被可以允许执行包括认证在内的各种操作。在步骤210中也可以进行直接有线访问。

在步骤220中，确定用户是否已成功地经过认证。可以利用认证模块110使用来自用户和/或无线设备的信息来对用户进行认证。初始的认证可以包括提供将用户标识为特定用户的用户名和密码。对该用户是否成功地经过认证的确定可以包括验证来自该用户和/或无线设备的认证信息对应于来自认证数据库或认证模块110的认证信息。

在步骤230中，用户未经过认证。这可能在以下情况下发生：用户当前未被授权访问所述受限无线网络、用户输入了不正确的认证信息等等。如果用户不能被认证，则用户可能不会被允许访问受限无线网络160。

在步骤240中，用户已成功地经过认证。来自用户和/或无线设备的认证信息可用于找到与该用户和/或无线设备相关联的预配配置。可以搜索预配配置数据库120，并取出与该用户和/或无线设备相关联的预配配置。

在可选的步骤245中，可以生成证书、共享秘密(如同名称为“DynamicAuthentication in Secured Wireless Networks”的美国共同未决申请11/788,371中所描述的共享秘密)和/或私钥。这些证书等可以由应用生成模块130生成或者由其结合另一专用于证书生成等的可选应用而生成。

在步骤250中，应用生成模块130生成包括所述预配配置的应用。该应用可以包括在可选的步骤245中生成的所述证书等。在一些实施例中，步骤245和250的生成操作可以合并为单个操作。利用在步骤240中找到的所述预配配置，应用生成模块130生成如下的应用：所述应用在被执行时对所述无线设备或另一无线设备进行配置，以使得所述无线设备可以在针对该用户和/或无线设备的参数和策略的范围之内访问受限无线网络160。

图3是示出了根据本发明的示例性实施例的用于使无线设备访问受限无线网络160的方法300的流程图。在方法300中，接收到无线设备对受限无线网络的访问请求。然后确定该用户是否已成功地经过认证。如果该用户不能被成功地认证，则拒绝该访问请求。如果该用户已成功地经过认证，则随后确定该无线设备是否具有将允许访问受限无线网络160的预配配置。如果该无线设备不具有这种预配配置，则拒绝该对受限无线网络160的访问请求。如果该无线设备具有允许访问的预配配置，则准许该请求。此外，针对该用户、无线设备、以及该用户和无线设备在该受限无线网络内的操作而实施所述特定预配配置的参数和策略。

在步骤310中，从属于用户的无线设备接收到对受限无线网络160的访问请求。可以通过开放式无线网络、有线连接等来接收该访问请求。

在步骤320中，确定用户是否已成功地经过认证。所述确定可以以类似于步骤220的方式来执行。如果确定结果是该用户已成功地经过认证，则该方法进行至步骤330。如果确定结果是该用户尚未成功地经过认证，则该方法进行至步骤340。

在步骤330中，已经确定了用户尚未成功地经过认证，并拒绝所述对受限无线网络160的访问请求。这可能在以下情况下发生：该用户当前尚未被授权访问该受限无线网络、该用户输入了不正确的认证信息等等。对所述访问请求的拒绝可以包括终止连接、实施各种安全措施(例如根据用户尝试访问的日期、时间和标记来识别非法的或未授权的访问尝试)等等。

在步骤340中，已经确定了用户已成功地经过认证。然后确定所述无线设备是否被配置用于访问所述受限无线网络。所述确定可以通过以下方式来进行：对所述无线设备或来自所述认证请求的信息进行检查、将所述无线设备的配置与预配配置数据库120中的预配配置进行比较等等。如果所述无线设备已被配置用于访问受限无线网络160，则该方法进行至步骤350。如果确定了所述无线设备未被配置，则该方法进行至步骤330。在步骤350中进行的确定可以利用其公开内容先前已通过引用合并于此的、2007年4月18日递交的名称为“Dynamic Authentication in SecuredWireless Networks”的美国专利申请11/788,371中公开的那些技术。

在步骤350中，所述无线设备已被确定为已被配置用于访问受限无线网络160，并且准许所述访问请求。在一些实施例中，所述无线设备可以自动地连接到受限无线网络160。替代性地，可以手动地进行所述连接。

在步骤360中，根据所述预配配置的参数和策略来调控所述无线设备对受限无线网络160的访问。可选的策略实施模块180可以实施这些参数和策略，以使用户仅可以访问该用户被授权的一个或多个网络。

图4是示出了根据本发明的示例性实施例的用于对无线设备进行预配配置以访问受限无线网络160的方法的流程图。属于用户的无线设备被允许连接到开放式无线网络。对该用户进行认证。利用来自认证的信息生成配置应用。所述应用随后被传输至所述无线设备。所述应用提供了用于所述无线设备的预配配置。一旦所述无线设备已被配置，所述无线设备就可以被允许访问受限无线网络160。

在步骤410中，属于所述用户的无线设备被允许访问开放式无线网络。与该开放式无线网络之间的连接可以类似于步骤210的连接。也如同步骤210一样，可以提供直接的有线访问。

在步骤420中，利用认证模块110对该用户进行认证。对该用户和/或无线设备的认证可以通过将诸如用户名和密码之类的各种信息与认证数据库或认证模块110中的信息进行比较来进行。也可以利用其公开内容先前已通过引用合并于此的、2007年4月18日递交的名称为“DynamicAuthentication in Secured Wireless Networks”的美国专利申请11/788,371中公开的技术。

在步骤430中，由应用生成模块130生成包括所述预配配置的应用。所述应用的生成可以与步骤250中的应用生成相类似地进行。

在步骤440中，所述应用被经由预配模块150而传输至所述无线设备。所述应用可以被复制、下载或以其它方式传输至所述无线设备。在一些实施例中，在步骤430中生成所述应用之后，所述应用可以被自动地传输至所述无线设备。替代性地，所述应用可被所述用户用于通过开放式无线网络而进行复制、下载或以其它方式传输。所述应用还可以被提供为诸如安装光盘之类的计算机可读介质的一部分，或者经由便携式闪存卡而提供。

在步骤450中，执行预配模块150所提供的应用，并提供用于使无线设备访问受限无线网络160的预配配置。在步骤440中传输的应用可以自动执行或者由用户执行，以安装包括与所述用户和/或无线设备相关联的各种参数和策略的所述预配配置。在安装了所述预配配置之后，所述无线设备变得能够访问受限无线网络160。

在步骤460中，所述无线设备连接到受限无线网络160，并访问受限无线网络160。所述无线设备可以自动地或手动地连接到受限无线网络160。对受限无线网络160的访问受到以下各项的调控：安装在所述无线设备上的预配配置的参数和策略、以及可能在服务器侧实现以维护网络160的安全性的其它安全措施。可以通过策略管理模块180来实施参数和策略。

虽然已经结合一系列优选实施例而描述了本发明，但是这些描述并非旨在将本发明的范围限定于在此提出的特定形式。相反地，本发明旨在涵盖所附的权利要求所限定的以及本领域的技术人员在其它方面所认识到的、这种可以包括在本发明的精神和范围之内的替换、修改和等效内容。

Claims (28)

1.一种用于无线设备的预配配置的方法，包括：

对所述无线设备的用户进行认证；

将可执行应用传输至所述无线设备，其中所述可执行应用的执行对所述无线设备进行配置以允许所述无线设备访问受限无线网络，其中所述配置包括调控对所述受限无线网络的访问的参数和策略；

至少基于作为无线设备配置的一部分而安装在所述无线设备上的所述参数和策略来控制所述无线设备对所述无线网络的访问。

2.根据权利要求1所述的方法，其中所述配置还包括证书。

3.根据权利要求1所述的方法，其中所述配置还包括共享秘密。

4.根据权利要求1所述的方法，其中所述配置还包括私钥。

5.根据权利要求1所述的方法，其中通过开放式无线网络来进行对所述无线设备的用户的认证。

6.根据权利要求1所述的方法，其中通过有线网络来进行对所述无线设备的用户的认证。

7.根据权利要求1所述的方法，还包括：至少基于所述无线设备提供的认证信息来生成所述可执行应用。

8.根据权利要求7所述的方法，其中所述认证信息与预配配置数据库中的预配配置信息相关联。

9.根据权利要求7所述的方法，还包括：将针对所述无线设备的配置设置与预配配置数据库中的认证信息相关联。

10.根据权利要求7所述的方法，其中所述认证信息包括与所述用户相关的信息。

11.根据权利要求7所述的方法，其中所述认证信息包括与所述无线设备相关的信息。

12.根据权利要求1所述的方法，其中所述可执行应用包括针对所述无线设备的多个配置设置。

13.根据权利要求12所述的方法，其中所述多个配置设置中的每个配置设置包括针对不同的无线网络的参数和策略。

14.根据权利要求12所述的方法，其中所述多个配置设置中的每个配置设置包括证书。

15.根据权利要求12所述的方法，其中所述多个配置设置中的每个配置设置包括共享秘密。

16.根据权利要求12所述的方法，其中所述多个配置设置中的每个配置设置包括私钥。

17.一种用于无线设备的预配配置的系统，包括：

认证模块，被配置用于对所述无线设备的用户进行认证；

预配配置数据库，其包括针对所述无线设备的预配配置，所述预配配置至少基于所述认证模块所识别的认证信息，其中所述预配配置包括所述无线设备对无线网络的访问的参数和策略；以及

应用生成模块，被配置用于生成用于所述无线设备的、至少基于所述预配配置而对所述无线设备进行配置以访问所述无线网络的可执行应用。

18.根据权利要求17所述的系统，其中所述认证信息包括与所述用户相关的信息。

19.根据权利要求17所述的系统，其中所述认证信息包括与所述无线设备相关的信息。

20.根据权利要求17所述的系统，其中所述预配配置数据库还被配置用于存储与以下内容相关的信息：多个对无线网络的访问的参数和策略、与用户之间的关联、以及与无线设备之间的关联。

21.根据权利要求17所述的系统，其中所述预配配置数据库还被配置用于存储与证书相关的信息。

22.根据权利要求17所述的系统，其中所述预配配置数据库还被配置用于存储共享秘密。

23.根据权利要求17所述的系统，其中所述预配配置数据库还被配置用于存储私钥。

24.根据权利要求17所述的系统，还包括预配模块，其被配置用于将所生成的可执行应用传递给所述无线设备。

25.根据权利要求24所述的系统，其中通过开放式无线网络将所述可执行应用传输至所述无线设备。

26.根据权利要求24所述的系统，其中通过有线网络将所述可执行应用传输至所述无线设备。

27.根据权利要求24所述的系统，其中所述可执行应用提供了多个预配配置。

28.根据权利要求27所述的系统，其中所述多个预配配置中的每个预配配置包括针对不同的无线网络的参数和策略。

Images