CN101631113A - 一种有线局域网的安全访问控制方法及其系统 - Google Patents

一种有线局域网的安全访问控制方法及其系统 Download PDF

Info

Publication number
CN101631113A
CN101631113A CN200910023628A CN200910023628A CN101631113A CN 101631113 A CN101631113 A CN 101631113A CN 200910023628 A CN200910023628 A CN 200910023628A CN 200910023628 A CN200910023628 A CN 200910023628A CN 101631113 A CN101631113 A CN 101631113A
Authority
CN
China
Prior art keywords
field
aac
req
key
grouping
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN200910023628A
Other languages
English (en)
Other versions
CN101631113B (zh
Inventor
铁满霞
曹军
葛莉
赖晓龙
黄振海
李琴
杜志强
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
China Iwncomm Co Ltd
Original Assignee
China Iwncomm Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by China Iwncomm Co Ltd filed Critical China Iwncomm Co Ltd
Priority to CN2009100236282A priority Critical patent/CN101631113B/zh
Priority to US13/391,051 priority patent/US8689283B2/en
Priority to PCT/CN2009/075895 priority patent/WO2011020274A1/zh
Priority to JP2012525018A priority patent/JP5414898B2/ja
Priority to EP09848415.7A priority patent/EP2469788B1/en
Priority to KR1020127006978A priority patent/KR101505590B1/ko
Publication of CN101631113A publication Critical patent/CN101631113A/zh
Application granted granted Critical
Publication of CN101631113B publication Critical patent/CN101631113B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/06—Network architectures or network communication protocols for network security for supporting key management in a packet data network
    • H04L63/061—Network architectures or network communication protocols for network security for supporting key management in a packet data network for key exchange, e.g. in peer-to-peer networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0823—Network architectures or network communication protocols for network security for authentication of entities using certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • H04L63/205—Network architectures or network communication protocols for network security for managing network security; network security policies in general involving negotiation or determination of the one or more network security mechanisms to be used, e.g. by negotiation between the client and the server or between peers or by selection according to the capabilities of the entities involved
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Mobile Radio Communication Systems (AREA)
  • Small-Scale Networks (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本发明涉及一种有线局域网的安全访问控制方法及其系统，该方法包括以下步骤：1)请求者REQ与鉴别访问控制器AAC进行安全策略协商；2)请求者REQ与鉴别访问控制器AAC进行身份鉴别；3)请求者REQ与鉴别访问控制器AAC进行密钥协商。本发明实现用户与网络接入控制设备之间的直接身份鉴别；实现用于链路层数据保护的会话密钥的协商及动态更新；支持企业网、电信网等多种网络架构；具有良好的可扩展性，支持多种鉴别方法；支持不同安全等级的鉴别协议，满足各类用户需求；协议的子模块独立、灵活，便于取舍。

Description

一种有线局域网的安全访问控制方法及其系统
技术领域
本发明涉及一种有线局域网的安全访问控制方法及其系统，特别涉及一种有线局域网LAN(Local Area Network)中用户接入网络时基于三元对等鉴别TePA(Tri-element Peer Authentication)机制的安全访问控制方法TLAC(Tri-elementLAN Access Contro1)及其系统。
背景技术
三元对等鉴别TePA技术是我国首次提出的一种终端与网络间对等鉴别的技术思想和框架方法，该技术定义了一种三元实体鉴别架构，基于对等鉴别的思想，可完成用户与网络之间的双向对等鉴别。
在有线局域网中，目前IEEE通过对IEEE802.3进行安全增强来实现链路层的安全，采用典型的安全接入架构协议IEEE 802.1x及基于IEEE802.1x鉴别的密钥管理协议等。IEEE802.1x的基本鉴别方法是在终端和接入点设备之外增加鉴别服务器，接入点设备利用鉴别服务器对终端的身份进行鉴别，从而实现对终端的安全接入控制。接入点设备直接转发终端和鉴别服务器间的鉴别信息，并不作为独立实体参与身份鉴别过程。这种模式仅能实现网络对终端身份的合法性鉴别，却不能满足终端对接入网络的合法性鉴别需求，无法实现终端与网络间的双向鉴别。终端无法对接入点设备的身份予以确认，即使后期在此类安全架构上通过增加安全补丁等措施来弥补安全漏洞，但不能彻底解决诸如中间人攻击、终端接入非法的网络等安全问题。这类安全接入技术协议延用至今，已经对产业发展造成严重的障碍。
发明内容
为了解决背景技术中存在的上述技术问题，本发明提供了一种可实现用户与网络之间的双向(单向)鉴别，又可实现终端与网络设备之间保密通信所使用的密钥协商的有线局域网的安全访问控制方法及其系统。
本发明的技术解决方案是：本发明提供了一种有线局域网的安全访问控制方法，其特殊之处在于：该方法包括以下步骤：
1)请求者REQ与鉴别访问控制器AAC进行安全策略协商；
2)请求者REQ与鉴别访问控制器AAC进行身份鉴别；
3)请求者REQ与鉴别访问控制器AAC进行密钥协商。
上述步骤1)的具体实现方式是：
1.1)安全策略协商请求：当请求者REQ接入鉴别访问控制器AAC时，鉴别访问控制器AAC向请求者REQ发送安全策略协商请求分组，该分组包括：TIEACC；
其中：
TIEACC字段：表示鉴别访问控制器AAC所支持的TePA的信息元素(TePA IE：TePA information element)，包含鉴别访问控制器AAC所支持的鉴别和密钥管理套件及密码套件；
1.2)安全策略协商响应：请求者REQ收到安全策略协商请求分组后，进行如下处理：
请求者REQ根据安全策略协商请求分组中TIEACC字段给出的鉴别访问控制器AAC所支持的鉴别和密钥管理套件及密码套件，结合本地策略选择一种双方共有的鉴别和密钥管理套件及密码套件，组成安全策略协商响应分组发送给鉴别访问控制器AAC；若请求者REQ不支持安全策略协商请求分组中鉴别访问控制器AAC所支持的任一鉴别和密钥管理套件或密码套件，根据本地策略可丢弃该分组；
安全策略协商响应分组的主要内容包括：TIEREQ；
其中：
TIEREQ字段：表示请求者REQ选择的TePA信息元素，包含请求者REQ所选择的鉴别和密钥管理套件及密码套件；
1.3)鉴别访问控制器AAC收到安全策略协商响应分组后，进行如下处理：
1.3.1)鉴别访问控制器AAC判断是否支持请求者REQ所选择的鉴别和密钥管理套件及密码套件，若不支持，则丢弃该分组；若支持，则执行1.3.2)；
1.3.2)根据请求者REQ选择的鉴别和密钥管理套件开始相应的身份鉴别。
上述步骤1.3)中当请求者REQ选择的鉴别和密钥管理套件是基于证书的鉴别和密钥管理套件时，其身份鉴别过程采用基于证书的鉴别协议TAEP-CAAP。
所述步骤2)的具体实现方式是：
2.1.1)鉴别激活：当请求者REQ与鉴别访问控制器AAC在安全策略协商过程中协商选择采用证书鉴别和密钥管理套件时，鉴别访问控制器AAC向请求者REQ发送鉴别激活分组以激活请求者REQ进行证书鉴别，鉴别激活分组包括：SNonce、IDAS-AAC、CertAAC、ParaECDH、TIEACC以及SIGAAC；
其中：
SNonce字段：表示鉴别标识，若为首次身份鉴别，则该字段为由鉴别访问控制器AAC产生的随机数；若为更新的身份鉴别过程，则该字段的值是上一次身份鉴别过程中协商生成的鉴别标识值；
IDAS-AAC字段：表示鉴别访问控制器AAC所信任的鉴别服务器AS的身份标识ID(identity)，是鉴别访问控制器AAC的证书CertAAC的颁发者鉴别服务器AS的身份标识ID；
CertAAC字段：表示鉴别访问控制器AAC的证书；
ParaECDH字段：表示椭圆曲线密码体制的Diffie-Hellman交换ECDH参数，是请求者REQ和鉴别访问控制器AAC进行ECDH计算时采用的椭圆曲线密码参数；
TIEAAC字段：表示鉴别访问控制器AAC所支持的鉴别和密钥管理套件及密码套件；其值同安全策略协商请求分组中的TIEAAC字段的值；
SIGAAC字段：表示鉴别访问控制器AAC的签名，是鉴别访问控制器AAC利用自己的私钥对鉴别激活分组中除本字段之外所有字段进行的签名，此字段为可选字段；
2.1.2)接入鉴别请求：请求者REQ收到鉴别激活分组后，进行如下处理：
2.1.2.1)如果此次鉴别过程为身份鉴别的更新过程，则请求者REQ检查鉴别激活分组中的鉴别标识字段值与上一次身份鉴别过程中计算的鉴别标识是否一致，如果不一致，则丢弃该分组；否则执行2.1.2.2)；如果此次鉴别过程不是身份鉴别的更新过程，为首次身份鉴别过程，则直接执行2.1.2.2)；
2.1.2.2)验证TIEAAC字段值与安全策略协商过程中收到的安全策略协商请求分组中的TIEAAC字段值是否一致，如果不一致，则丢弃该分组；如果一致，则执行2.1.2.3)；
2.1.2.3)如果收到的鉴别激活分组中包含SIGAAC字段，则验证SIGAAC字段的正确性，如果不正确，则丢弃该分组；如果正确，则执行2.1.2.4)；如果收到的鉴别激活分组中未包含SIGAAC字段，则直接执行2.1.2.4)；
2.1.2.4)根据鉴别激活分组中的IDAS-AAC字段选择由该鉴别服务器AS颁发的请求者REQ的证书CertREQ或者根据本地策略选择请求者REQ的证书CertREQ，并产生用于ECDH交换的请求者REQ密钥数据x·P和请求者REQ询问NREQ，生成接入鉴别请求分组，发送给鉴别访问控制器AAC；接入鉴别请求分组主要内容包括：SNonce、NREQ、x·P、IDAAC、CertREQ、ParaECDH、ListAS-REQ、TIEREQ以及SigREQ：
其中：
SNonce字段：表示鉴别标识，其值同鉴别激活分组中的SNonce字段的值。若为首次身份鉴别过程，则该字段值直接取决于鉴别激活分组中的SNonce字段的值；若为更新的身份鉴别过程，则该字段值为上一次身份鉴别过程中计算的鉴别标识值；
NREQ字段：表示请求者REQ询问，是请求者REQ产生的随机数；
x·P字段：表示请求者REQ的密钥数据，是请求者REQ生成的用于ECDH交换的临时公钥x·P；
IDAAC字段：表示鉴别访问控制器AAC的身份标识ID，是根据鉴别激活分组中鉴别访问控制器AAC的证书CertAAC字段得到；
CertREQ字段：表示请求者REQ的证书；
ParaECDH字段：表示ECDH参数，是请求者REQ和鉴别访问控制器AAC进行ECDH计算时采用的椭圆曲线密码参数，其值同鉴别激活分组中的ParaECDH字段的值；
ListAS-REQ字段：表示请求者REQ所信任的鉴别服务器AS列表，但不包含请求者REQ的证书CertREQ的颁发者，若请求者REQ除了信任其证书颁发者以外，还信任其他的某些实体，可以通过该字段通知鉴别服务器AAC，本字段为可选字段；
TIEREQ字段：表示请求者REQ选择的鉴别和密钥管理套件及密码套件；其值同安全策略协商响应分组中的TIEREQ字段的值；
SigREQ字段：表示请求者REQ的签名，是请求者REQ利用自己的私钥对接入鉴别请求分组中除本字段之外所有字段进行的签名；
2.1.3)证书鉴别请求：鉴别访问控制器AAC收到接入鉴别请求分组后，进行如下处理：
2.1.3.1)如果鉴别访问控制器AAC发送了鉴别激活分组，则检查收到的分组中的SNonce、ParaECDH字段值和鉴别激活分组中对应的字段值是否一致，如果有一个不一致，则丢弃该分组，否则执行2.1.3.2)；如果鉴别访问控制器AAC没有发送鉴别激活分组，则检查SNonce字段值和上一次证书鉴别过程中计算的鉴别标识是否一致，并检查ParaECDH字段和上一次鉴别激活分组中的ParaECDH是否一致，如果有一个不一致，则丢弃该分组；否则执行2.1.3.2)；
2.1.3.2)检查IDAAC与自己的身份是否一致，并检查TIEREQ字段的值与安全策略协商过程中收到的安全策略协商响应分组中的TIEREQ字段值是否一致，如果有一个不一致，则丢弃该分组；否则执行2.1.3.3)；
2.1.3.3)验证请求者REQ的签名SigREQ字段的正确性，如果正确，则执行2.1.3.4)；否则，执行丢弃该分组；
2.1.3.4)如果鉴别访问控制器AAC的本地策略要求使用鉴别服务AS来鉴别请求者REQ的证书CertREQ，则鉴别访问控制器AAC生成证书鉴别请求分组，发送鉴别服务器AS；否则执行2.1.3.5)；
2.1.3.5)鉴别访问控制器AAC本地鉴别请求者REQ的证书CertREQ，即根据本地缓存的请求者REQ的证书CertREQ的验证结果及根据本地策略所定义的时效性确认请求者REQ的证书CertREQ的验证结果；若合法，则本地生成用于ECDH交换的密钥数据以及AAC询问NAAC，该密钥数据是鉴别访问控制器AAC的临时公钥y·P，并根据请求者REQ的临时公钥x·P以及自己的临时私钥y进行ECDH计算得到基密钥BK(Base key)以及下一次身份鉴别过程的鉴别标识并保存，然后设定接入结果为成功，构造接入鉴别响应分组发送给请求者REQ，并允许用户访问网络；若CertREQ的验证结果为不合法，则鉴别访问控制器AAC设定接入结果为不成功，鉴别访问控制器AAC的询问NAAC和密钥数据y·P可设置为任意值，构造接入鉴别响应分组发送给请求者REQ，然后解除与该请求者REQ的链路验证；
证书鉴别请求分组主要内容包括：NAAC、NREQ、CertREQ、CertAAC以及LiStAS-REQ；
其中：
NAAC字段：表示鉴别访问控制器AAC询问，是鉴别访问控制器AAC产生的随机数；
NREQ字段：表示请求者REQ询问，是请求者REQ产生的随机数，其值同请求者REQ发送的接入鉴别请求分组中NREQ字段的值；
CertREQ字段：表示请求者REQ的证书，其值同接入鉴别请求分组中CertREQ字段的值；
CertAAC字段：表示鉴别访问控制器AAC的证书，其值同鉴别激活分组中CertAAC字段的值；
ListAS-REQ字段：表示请求者REQ信任的鉴别服务器AS列表，其值同请求者REQ发送的接入鉴别请求分组中的ListAS-REQ字段的值，本字段为可选字段；
2.1.4)证书鉴别响应：鉴别服务器AS收到证书鉴别请求分组后，进行如下处理：
2.1.4.1)如果此次鉴别过程为单向鉴别，则只需验证请求者REQ的证书CertREQ，如果是双向鉴别则需要同时验证鉴别访问控制器AAC的证书CertAAC和请求者REQ的证书CertREQ，参照RFC3280进行的证书的验证，若无法验证，则将相应证书的验证结果置为证书的颁发者不明确，否则验证证书的状态，然后执行2.1.4.2)；
2.1.4.2)根据证书的验证结果，构造证书鉴别响应分组，并且附加相应的签名，发往鉴别访问控制器AAC；证书鉴别响应分组主要内容包括：RESCert、SIGAS-REQ以及SIGAS-AAC；
其中：
RESCert字段：表示证书的验证结果，本字段包括鉴别访问控制器AAC询问值NAAC、请求者REQ询问值NREQ、以及CertAAC的验证结果、CertREQ的验证结果；如果只是单向验证则不包括鉴别访问控制器AAC的证书CertAAC的验证结果；
SIGAS-REQ字段：表示请求者REQ信任的鉴别服务器AS对本分组中证书的验证结果RESCert字段进行的签名；
SIGAS-AAC字段：表示鉴别访问控制器AAC信任的鉴别服务器AS对证书鉴别响应分组中除本字段之外所有字段进行的签名，本字段为可选字段，如果对证书验证结果进行签名的鉴别服务器AS和鉴别访问控制器AAC信任的鉴别服务器AS相同，则不需要本字段。
2.1.5)接入鉴别响应：鉴别访问控制器AAC收到证书鉴别响应分组后，进行如下处理：
2.1.5.1)检查证书的验证结果RESCert字段中的鉴别访问控制器AAC的询问NAAC与证书鉴别请求分组中的NAAC字段值是否相同，若不同，丢弃该分组；若相同，则执行2.1.5.2)；
2.1.5.2)如果分组中含有两个签名字段，则检查鉴别访问控制器AAC所信任的鉴别服务器AS的签名SIGAS-AAC字段是否正确，若不正确，则丢弃该分组；若正确则执行2.1.5.3)；如果分组中只含有一个签名字段，即表明对证书验证结果进行签名的鉴别服务器AS也是鉴别访问控制器AAC所信任的鉴别服务器AS，则检查SIGAS-REQ字段是否正确，若不正确，则丢弃该分组；若正确则执行2.1.5.3)；
2.1.5.3)检查证书的验证结果RESCert字段中CertREQ的验证结果是否合法，若合法，则本地生成用于ECDH交换的密钥数据(鉴别访问控制器AAC的临时公钥y·P)以及鉴别访问控制器AAC询问NAAC，并根据请求者REQ的临时公钥x·P以及自己的临时私钥y进行ECDH计算得到基密钥BK以及下一次身份鉴别过程的鉴别标识并保存，然后设定接入结果为成功，构造接入鉴别响应分组发送给请求者REQ，并允许用户访问网络；若CertREQ的验证结果为不合法，则鉴别访问控制器AAC设定接入结果为不成功，鉴别访问控制器AAC的询问NAAC和密钥数据y·P可设置为任意值，构造接入鉴别响应分组发送给请求者REQ，然后解除与请求者REQ的链路验证，接入鉴别响应分组主要内容包括：NREQ、NAAC、AccRES、x·P、y·P、IDAAC、IDREQ、MRESCert以及SIGAAC或MIC；
其中：
NREQ字段：表示请求者REQ询问，是请求者REQ产生的随机数；该字段为可选字段，仅为单向鉴别过程时，接入鉴别响应分组需包含此字段；若存在，其值同请求者REQ发送的接入鉴别请求分组中NREQ字段的值；
NAAC字段：表鉴别访问控制器AAC的询问，是鉴别访问控制器AAC产生的随机数；该字段为可选字段，仅为单向鉴别过程时，接入鉴别响应分组需包含此字段；若存在，其值同鉴别访问控制器AAC发送的证书鉴别请求分组中NAAC字段的值；
AccRES字段：表示接入结果，是鉴别访问控制器AAC根据鉴别结果设定的接入成功或失败以及失败的原因；
x·P：表示请求者REQ的密钥数据，是请求者REQ生成的用于ECDH交换的临时公钥x·P，其值同请求者REQ发送的接入鉴别请求分组中x·P字段的值；
y·P：表示鉴别访问控制器AAC的密钥数据，是鉴别访问控制器AAC生成的用于ECDH交换的临时公钥y·P；
IDAAC字段：表示鉴别访问控制器AAC的身份标识ID，是根据鉴别访问控制器AAC的证书CertAAC字段得到；
IDREQ字段：表示请求者REQ的身份标识ID，是根据收到的接入鉴别请求分组中的请求者REQ的证书CertREQ字段得到；
MRESCert字段：表示复合的证书验证结果，本字段是可选字段，仅为双向鉴别过程时，在接入鉴别响应分组中需包含此字段；若存在，则该字段由证书鉴别响应分组中的各个字段组成，并且值相同；
SIGAAC字段：表示鉴别访问控制器AAC的签名，是鉴别访问控制器AAC利用自己的私钥对接入鉴别响应分组中除本字段外所有字段的签名；
MIC字段：表示消息鉴别码，是鉴别访问控制器AAC利用鉴别过程中协商生成的基密钥BK对接入鉴别响应分组中除了本字段外的所有字段及下一次证书鉴别过程的鉴别标识计算得到的杂凑值；
接入鉴别响应分组只需要包含SIGAAC字段和MIC字段二者之一即可；如果在此次身份鉴别过程中存在鉴别激活分组，且鉴别激活分组包含SIGAAC字段，则此分组中只包含MIC字段；如果此次身份鉴别过程不存在鉴别激活分组或者鉴别激活分组中没有包含SIGAAC字段，则此分组中只包含SIGAAC字段；
2.1.6)接入鉴别确认：请求者REQ收到接入鉴别响应分组后，进行如下处理：
2.1.6.1)根据分组中的IDAAC和IDREQ字段判断是否为对应当前接入鉴别请求分组的接入鉴别响应分组，如果不是，则丢弃该分组；如果是，则执行2.1.6.2)；
2.1.6.2)比较分组中请求者REQ密钥数据x·P字段值与自己发送的接入鉴别请求分组中的x·P字段值是否一致，若不一致，则丢弃该分组，否则执行2.1.6.3)；
2.1.6.3)如果是单向鉴别过程，则比较NREQ字段值与之前发送的接入鉴别请求分组中的NREQ字段值是否一致，若不一致，则丢弃该分组，否则执行2.1.6.4)；如果是双向鉴别过程，则直接执行2.1.6.4)；
2.1.6.4)查看分组中的AccRES字段，如果接入结果为不成功，则解除与该鉴别访问控制器AAC的链路验证；否则执行2.1.6.5)；
2.1.6.5)如果收到的接入鉴别响应分组中含有SIGAAC字段，则验证SIGAAC的正确性，如果不正确，则丢弃该分组，否则执行2.1.6.6)；如果收到的分组中含有MIC字段，则验证MIC字段的正确性，如果不正确，则丢弃分组，否则执行2.1.6.6)；
2.1.6.6)如果是单向鉴别过程，则执行2.1.6.8)，否则验证复合的证书验证结果MRESCert字段中所包含的NREQ字段值与自己发送的接入鉴别请求分组中NREQ字段值是否一致，若不一致，则丢弃该分组；否则验证签名SIGAS-REQ是否正确，如果不正确则丢弃该分组，如果正确，则执行2.1.6.7)；
2.1.6.7)验证复合的证书验证结果MRESCert字段中鉴别访问控制器AAC证书验证结果是否为合法，如果不合法，则得知该网络不合法，不可以访问该网络；否则得到该网络是合法的，可以进行访问，并执行2.1.6.8)；
2.1.6.8)请求者REQ根据鉴别访问控制器AAC的临时公钥y·P和自己的临时私钥x进行ECDH计算得到基密钥BK以及下一次证书鉴别过程的鉴别标识并保存；
2.1.6.9)如果收到的接入鉴别响应分组中含有MIC字段，则是否发送接入鉴别确认分组是可选的；如果收到的分组中含有鉴别访问控制器AAC的签名SIGAAC字段，则需要构造接入鉴别确认分组，发送给鉴别访问控制器AAC，接入鉴别确认分组主要内容包括：MIC；
其中：
MIC字段：表示消息鉴别码，是请求者REQ利用鉴别过程中协商生成的基密钥BK对鉴别访问控制器AAC询问值NAAC、请求者REQ询问值NREQ及下一次证书鉴别过程的鉴别标识计算得到的杂凑值。
上述步骤2.1.6)中鉴别访问控制器AAC在发送接入鉴别响应分组给请求者REQ之后，如果发送的接入鉴别响应分组中包含的是鉴别访问控制器AAC的签名SIGAAC字段，则鉴别访问控制器AAC需要等待接收接入鉴别确认分组。
上述步骤2.1.6)中鉴别访问控制器AAC在收到请求者REQ发送的接入鉴别确认分组之后，要验证分组中MIC字段的正确性，如果正确，则请求者REQ具有和自己一致的基密钥BK；如果不正确则丢弃该分组。
上述步骤3)中，请求者REQ与鉴别访问控制器AAC之间的密钥协商包括，单播密钥协商过程和组播密钥/站间密钥的通告过程；密钥协商步骤中的单播密钥协商过程的具体实现方式是：
3.1.1)单播密钥协商请求：在鉴别访问控制器AAC完成身份鉴别过程后，鉴别访问控制器AAC向请求者REQ发送单播密钥协商请求分组开始与请求者REQ进行单播密钥协商，单播密钥协商请求分组主要内容包括：NAAC以及MIC；
其中：
NAAC字段：表示鉴别访问控制器AAC的询问，若为首次单播密钥协商，则该字段为由鉴别访问控制器AAC产生的随机数；若为单播密钥的更新过程，则该字段的值是上一次单播密钥协商过程中保存的NAAC值；
MIC字段：表示消息鉴别码，由鉴别访问控制器AAC利用鉴别过程中协商生成的基密钥BK对单播密钥协商请求分组中除本字段外所有字段进行计算得到的杂凑值；
3.1.2)单播密钥协商响应：
请求者REQ收到单播密钥协商请求分组后，进行如下处理：
3.1.2.1)如果此次密钥协商过程为单播密钥的更新过程，则检查分组中NAAC字段与上次密钥协商过程中保存的NAAC是否一致，若不一致，则丢弃该分组；若一致，则执行3.1.2.2)；如果此次密钥协商过程不是单播密钥的更新过程则直接执行3.1.2.2)；
3.1.2.2)验证MIC字段是否正确，若不正确则丢弃该分组；若正确则执行3.1.2.3)；
3.1.2.3)请求者REQ产生请求者REQ询问NREQ，然后通过哈希计算得到单播会话密钥，以及下次密钥协商过程使用的NAAC并保存；其中单播会话密钥包含单播加密密钥UEK、单播完整性校验密钥UCK、消息鉴别密钥MAK以及密钥加密密钥KEK；
3.1.2.4)利用消息鉴别密钥MAK计算消息鉴别码MIC，构造单播密钥协商响应分组，发送给鉴别访问控制器AAC；
3.1.2.5)请求者REQ安装新协商的单播会话密钥；
单播密钥协商响应分组主要内容包括：NREQ、NAAC以及MIC；
其中：
NREQ字段：表示请求者REQ的询问，是请求者REQ产生的随机数；
NAAC字段：表示鉴别访问控制器AAC的询问，其值同单播密钥协商请求分组中的NAAC字段的值；若为首次单播密钥协商过程，则该字段值直接取决于单播密钥协商请求分组中的NAAC字段的值；若为单播密钥更新过程，则该字段值为上一次单播密钥协商过程中保存的NAAC值；
MIC字段：表示消息鉴别码，由请求者REQ利用生成的消息鉴别密钥MAK对单播密钥协商响应分组中除本字段外所有字段进行计算得到的杂凑值；
3.1.3)单播密钥协商确认：
鉴别访问控制器AAC收到单播密钥协商响应分组后，进行如下处理：
3.1.3.1)如果此次密钥协商过程为单播密钥的更新过程，则检查分组中的NAAC字段与上次密钥协商过程中保存的NAAC是否一致，若不一致，则丢弃该分组，若一致，则执行3.1.3.2)；如果此次密钥协商过程不是单播密钥的更新过程，则需要检查分组中的NAAC字段值是否与单播密钥协商请求分组中的NAAC字段值一致，若不一致则丢弃该分组，若一致，则执行3.1.3.2)；
3.1.3.2)根据分组中的字段NREQ和NAAC字段，通过哈希计算得到单播会话密钥以及下次密钥协商过程使用的NAAC并保存；其中单播会话密钥包含单播加密密钥UEK、单播完整性校验密钥UCK、消息鉴别密钥MAK以及密钥加密密钥KEK；
3.1.3.3)利用消息鉴别密钥MAK，验证分组中的MIC是否正确，如果不正确则丢弃该分组；如果正确，则执行3.1.3.4)；
3.1.3.4)利用消息鉴别密钥MAK计算消息鉴别码MIC，构造单播密钥协商确认分组，发送给请求者REQ；
3.1.3.5)鉴别访问控制器AAC安装新协商的单播会话密钥；启用新安装的单播会话密钥的收发功能，即允许利用该新密钥对单播数据进行加解密。若此次单播密钥协商过程为更新过程，则还需删除旧的单播会话密钥；
单播密钥协商确认分组主要内容包括：NREQ以及MIC；
其中：
NREQ字段：表示请求者REQ的询问，是请求者REQ产生的随机数，其值同单播密钥协商响应分组中的NREQ字段的值；
MIC字段：表示消息鉴别码，由鉴别访问控制器AAC利用生成的消息鉴别密钥MAK对单播密钥协商确认分组中除本字段外所有字段进行计算得到的杂凑值；
3.1.4)请求者REQ收到单播密钥协商确认分组后，进行如下处理：
3.1.4.1)检查NREQ字段与自己发送的单播密钥协商响应分组中的NREQ字段是否相同，若不同，则丢弃该分组；若相同，则执行3.1.4.2)；
3.1.4.2)利用消息鉴别密钥MAK，验证分组中的MIC是否正确，若不正确则丢弃该分组；若正确则执行3.1.4.3)；
3.1.4.3)启用新安装的单播会话密钥的发送功能，即允许利用该新密钥加密发送单播数据；若此次单播密钥协商过程为更新过程，则还需删除旧的单播会话密钥。
密钥协商步骤中的组播密钥/站间密钥通告过程的具体实现方式是：
3.2.1)组播密钥或站间密钥通告：
组播密钥或站间密钥通告分组主要内容包括：KN、ENMK以及MIC；
其中：
KN字段：表示密钥通告标识，初始化为一个整数，在每次密钥更新通告时该字段值加1，若通告的密钥不变，则该字段值保持不变；
ENMK字段：表示密钥加密数据，是鉴别访问控制器AAC利用密钥加密密钥KEK对通告主密钥NMK(Notification Master Key)加密后的数据；
MIC字段：表示消息鉴别码，由鉴别访问控制器AAC利用单播密钥协商过程中生成的消息鉴别密钥MAK对组播密钥/站间密钥通告分组中除本字段外所有字段进行计算得到的；
3.2.2)组播密钥/站间密钥响应：
请求者REQ收到组播密钥/站间密钥通告分组后，进行如下处理：
3.2.2.1)利用单播密钥协商过程中生成的消息鉴别密钥MAK验证MIC字段是否正确，若不正确，则丢弃该分组；若正确则执行3.2.2.2)；
3.2.2.2)查看KN字段是否单调递增，如果不是则丢弃该分组；如果是则执行3.2.2.3)；
3.2.2.3)利用单播密钥协商过程中生成的密钥加密密钥KEK解密ENMK字段得到通告主密钥NMK；利用哈希算法即可得到会话密钥；
3.2.2.4)保存此次的密钥通告标识KN字段的值，并生成组播密钥/站间密钥响应分组，发送给鉴别访问控制器AAC；
3.2.2.5)安装密钥；
组播密钥/站间密钥响应分组主要内容包括：KN以及MIC；
其中：
KN字段：表示密钥通告标识，其值同组播密钥/站间密钥通告分组中的KN字段的值；
MIC字段：表示消息鉴别码，由请求者REQ利用单播密钥协商过程中生成的消息鉴别密钥MAK对组播密钥/站间密钥确认分组中除本字段外所有字段进行计算得到的；
3.2.3)鉴别访问控制器AAC收到组播密钥/站间密钥响应分组后，将进行如下处理：
3.2.3.1)利用单播密钥协商过程中生成的消息鉴别密钥MAK验证MIC字段是否正确，若不正确，则丢弃该分组；若正确则执行3.2.3.2)；
3.2.3.2)比较KN字段与之前发送的组播密钥/站间密钥通告密钥分组中对应的字段值是否一致，如果不一致，则丢弃该分组；如果一致，则安装密钥。
一种有线局域网的安全访问控制系统，其特殊之处在于：所述有线局域网的安全访问控制系统包括请求者REQ、鉴别访问控制器AAC以及鉴别服务器AS；请求者REQ和鉴别服务器AS分别和鉴别访问控制器AAC连接，鉴别访问控制器AAC为请求者REQ提供服务端口；鉴别服务器AS为请求者REQ和鉴别访问控制器AAC提供鉴别服务。
本发明的优点是：本发明提供了一种有线局域网LAN中用户接入网络时基于三元对等鉴别TePA机制的安全访问控制方法TLAC及其系统，实现用户与网络接入控制设备之间的直接身份鉴别；实现用于链路层数据保护的会话密钥的协商及动态更新；支持企业网、电信网等多种网络架构；具有良好的可扩展性，支持多种鉴别方法；支持不同安全等级的鉴别协议，满足各类用户需求；协议的子模块独立、灵活，便于取舍。
附图说明
图1为本发明所述安全策略协商过程示意图；
图2为本发明所述TAEP-CAAP的核心鉴别过程示意图；
图3为本发明所述单播密钥协商过程示意图；
图4为本发明所述组播密钥/站间密钥通告过程示意图。
具体实施方式
参见图1-4，本发明提供了一种有线局域网的安全访问控制方法，该方法分为三部分：安全策略协商过程、身份鉴别过程和密钥协商过程。其具体实施方式如下：
1)安全策略协商过程如图1所示，具体过程如下：
1.1)安全策略协商请求：当请求者REQ接入鉴别访问控制器AAC时，鉴别访问控制器AAC向请求者REQ发送安全策略协商请求分组。
安全策略协商请求分组的主要内容包括：
  TIEACC
其中：
TIEACC字段：表示鉴别访问控制器AAC所支持的TePA的信息元素。包含鉴别访问控制器AAC所支持的鉴别和密钥管理套件及密码套件等。
1.2)安全策略协商响应：请求者REQ收到安全策略协商请求分组后，进行如下处理：
请求者REQ根据安全策略协商请求分组中TIEACC字段给出的鉴别访问控制器AAC所支持的鉴别和密钥管理套件及密码套件等，结合本地策略选择一种双方共有的鉴别和密钥管理套件及密码套件，组成安全策略协商响应分组发送给鉴别访问控制器AAC；若请求者REQ不支持安全策略协商请求分组中鉴别访问控制器AAC所支持的任一鉴别和密钥管理套件或密码套件，根据本地策略可丢弃该分组。
安全策略协商响应分组的主要内容包括：
  TIEREQ
其中：
TIEREQ字段：表示请求者REQ选择的TePA信息元素，包含请求者REQ所选择的鉴别和密钥管理套件及密码套件。
1.3)鉴别访问控制器AAC收到安全策略协商响应分组后，进行如下处理：
1.3.1)鉴别访问控制器AAC判断是否支持请求者REQ所选择的鉴别和密钥管理套件及密码套件，若不支持，则丢弃该分组；否则执行1.3.2)；
1.3.2)根据请求者REQ选择的鉴别和密钥管理套件开始相应的核心鉴别过程。
在本发明中，给出一种基于证书的鉴别协议TAEP-CAAP(Triple-elementAuthentication Extensible Protocol-Certificate-based lAn Authentication Protocol)。
2)基于证书的鉴别协议TAEP-CAAP过程如图2所示，具体过程如下：
2.1)鉴别激活：当请求者REQ与鉴别访问控制器AAC在安全策略协商过程中协商选择采用证书鉴别和密钥管理套件时，鉴别访问控制器AAC向请求者REQ发送鉴别激活分组以激活请求者REQ进行证书鉴别过程。鉴别激活分组的主要内容包括：
  SNonce   IDAS-AAC   CertAAC   ParaECDH   TIEACC   SIGAAC
其中：
SNonce字段：表示鉴别标识，若为首次身份鉴别，则该字段为由鉴别访问控制器AAC产生的随机数；若为更新的身份鉴别过程，则该字段的值是上一次身份鉴别过程中协商生成的鉴别标识值；
IDAS-AAC字段：表示鉴别访问控制器AAC所信任的鉴别服务器AS的身份标识ID(identity)，是鉴别访问控制器AAC的证书CertAAC的颁发者鉴别服务器AS的身份标识ID。
CertAAC字段：表示鉴别访问控制器AAC的证书。
ParaECDH字段：表示椭圆曲线密码体制的Diffie-Hellman交换ECDH参数，是请求者REQ和鉴别访问控制器AAC进行ECDH计算时采用的椭圆曲线密码参数。
TIEAAC字段：表示鉴别访问控制器AAC所支持的鉴别和密钥管理套件及密码套件。其值同安全策略协商请求分组中的TIEAAC字段的值。
SIGAAC字段：表示鉴别访问控制器AAC的签名，是鉴别访问控制器AAC利用自己的私钥对本分组中除本字段之外所有字段进行的签名。此字段为可选字段。
2.2)接入鉴别请求：请求者REQ收到鉴别激活分组后，进行如下处理：
2.2.1)如果此次鉴别过程为身份鉴别的更新过程，则请求者REQ检查鉴别激活分组中的鉴别标识字段值与上一次身份鉴别过程中计算的鉴别标识是否一致，如果不一致，则丢弃该分组；否则执行2.2.2)；如果此次鉴别过程不是身份鉴别的更新过程，为首次身份鉴别过程，则直接执行2.2.2)；
2.2.2)验证TIEAAC字段值与安全策略协商过程中收到的安全策略协商请求分组中的TIEAAC字段值是否一致，如果不一致，则丢弃该分组；否则执行2.2.3)；
2.2.3)如果收到的鉴别激活分组中包含SIGAAC字段，则验证SIGAAC字段的正确性，如果不正确则丢弃该分组，否则执行2.2.4)；如果收到的鉴别激活分组中未包含SIGAAC字段，则直接执行2.2.4)；
2.2.4)根据鉴别激活分组中的IDAS-AAC字段选择由该鉴别服务器AS颁发的请求者REQ的证书CertREQ或者根据本地策略选择请求者REQ的证书CertREQ，并产生用于ECDH交换的请求者REQ密钥数据x·P和请求者REQ询问NREQ，生成接入鉴别请求分组，发送给鉴别访问控制器AAC。
接入鉴别请求分组主要内容包括：
  SNonce   NREQ   x·P   IDAAC   CertREQ   ParaECDH   ListAS-REQ   TIEREQ   SigREQ
其中：
SNonce字段：表示鉴别标识，其值同鉴别激活分组中的SNonce字段的值。若为首次身份鉴别过程，则该字段值直接取决于鉴别激活分组中的SNonce字段的值；若为更新的身份鉴别过程，则该字段值为上一次身份鉴别过程中计算的鉴别标识值。
NREQ字段：表示请求者REQ询问，是请求者REQ产生的随机数。
x·P字段：表示请求者REQ的密钥数据，是请求者REQ生成的用于ECDH交换的临时公钥x·P。
IDAAC字段：表示鉴别访问控制器AAC的身份标识ID，是根据鉴别激活分组中鉴别访问控制器AAC的证书CertAAC字段得到。
CertREQ字段：表示请求者REQ的证书。
ParaECDH字段：表示ECDH参数，是请求者REQ和鉴别访问控制器AAC进行ECDH计算时采用的椭圆曲线密码参数。其值同鉴别激活分组中的ParaECDH字段的值。
ListAS-REQ字段：表示请求者REQ所信任的鉴别服务器AS列表，但不包含请求者REQ的证书CertREQ的颁发者。若请求者REQ除了信任其证书颁发者以外，还信任其他的某些实体，可以通过该字段通知鉴别服务器AAC。本字段为可选字段。
TIEREQ字段：表示请求者REQ选择的鉴别和密钥管理套件及密码套件。其值同安全策略协商响应分组中的TIEREQ字段的值。
SigREQ字段：表示请求者REQ的签名，是请求者REQ利用自己的私钥对本分组中除本字段之外所有字段进行的签名。
2.3)证书鉴别请求：鉴别访问控制器AAC收到接入鉴别请求分组后，进行如下处理：
2.3.1)如果鉴别访问控制器AAC发送了鉴别激活分组，则检查收到的分组中的SNonce、ParaECDH字段值和鉴别激活分组中对应的字段值是否一致，如果有一个不一致，则丢弃该分组，否则执行2.3.2)；如果鉴别访问控制器AAC没有发送鉴别激活分组，则检查SNonce字段值和上一次证书鉴别过程中计算的鉴别标识是否一致，并检查ParaECDH字段和上一次鉴别激活分组中的ParaECDH是否一致，如果有一个不一致，则丢弃该分组，否则执行2.3.2)；
2.3.2)检查IDAAC与自己的身份是否一致，并检查TIEREQ字段的值与安全策略协商过程中收到的安全策略协商响应分组中的TIEREQ字段值是否一致，如果有一个不一致，则丢弃该分组，否则执行2.3.3)；
2.3.3)验证请求者REQ的签名SigREQ字段的正确性，如果正确，则执行2.3.4)；否则，执行丢弃该分组；
2.3.4)如果鉴别访问控制器AAC的本地策略要求使用鉴别服务AS来鉴别请求者REQ的证书CertREQ，则鉴别访问控制器AAC生成证书鉴别请求分组，发送鉴别服务器AS；否则执行2.3.5)；
2.3.5)鉴别访问控制器AAC本地鉴别请求者REQ的证书CertREQ，即根据本地缓存的请求者REQ的证书CertREQ的验证结果及根据本地策略所定义的时效性确认请求者REQ的证书CertREQ的验证结果。若合法，则本地生成用于ECDH交换的密钥数据(鉴别访问控制器AAC的临时公钥y·P)以及AAC询问NAAC，并根据请求者REQ的临时公钥x·P以及自己的临时私钥y进行ECDH计算得到基密钥BK(Base key)以及下一次证书鉴别过程的鉴别标识并保存，然后设定接入结果为成功，构造接入鉴别响应分组发送给请求者REQ，并允许用户访问网络；若CertREQ的验证结果为不合法，则鉴别访问控制器AAC设定接入结果为不成功，鉴别访问控制器AAC的询问NAAC和密钥数据y·P可设置为任意值，构造接入鉴别响应分组发送给请求者REQ，然后解除与该请求者REQ的链路验证。
证书鉴别请求分组主要内容包括：
  NAAC   NREQ   CertREQ   CertAAC   ListAS-REQ
其中：
NAAC字段：表示鉴别访问控制器AAC询问，是鉴别访问控制器AAC产生的随机数。
NREQ字段：表示请求者REQ询问，是请求者REQ产生的随机数。其值同请求者REQ发送的接入鉴别请求分组中NREQ字段的值。
CertREQ字段：表示请求者REQ的证书，其值同接入鉴别请求分组中CertREQ字段的值。
CertAAC字段：表示鉴别访问控制器AAC的证书，其值同鉴别激活分组中CertAAC字段的值。
ListAS-REQ字段：表示请求者REQ信任的鉴别服务器AS列表，其值同请求者REQ发送的接入鉴别请求分组中的ListAS-REQ字段的值。本字段为可选字段。
2.4)证书鉴别响应：鉴别服务器AS收到证书鉴别请求分组后，进行如下处理：
2.4.1)如果此次鉴别过程为单向鉴别，则只需验证请求者REQ的证书CertREQ，如果是双向鉴别则需要同时验证鉴别访问控制器AAC的证书CertAAC和请求者REQ的证书CertREQ。参照RFC3280进行证书的验证，若无法验证，则将相应证书的验证结果置为证书的颁发者不明确，否则验证证书的状态，然后执行2.4.2)；
2.4.2)根据证书的验证结果，构造证书鉴别响应分组，并且附加相应的签名，发往鉴别访问控制器AAC。
证书鉴别响应分组主要内容包括：
  RESCert   SIGAS-REQ   SIGAS-AAC
其中：
RESCert字段：表示证书的验证结果，本字段包括鉴别访问控制器AAC询问值NAAC、请求者REQ询问值NREQ、以及CertAAC的验证结果、CertREQ的验证结果。如果只是单向验证则不包括鉴别访问控制器AAC的证书CertAAC的验证结果。
SIGAS-REQ字段：表示请求者REQ信任的鉴别服务器AS对本分组中证书的验证结果RESCert字段进行的签名。
SIGAS-AAC字段：表示鉴别访问控制器AAC信任的鉴别服务器AS对证书鉴别响应分组中除本字段之外所有字段进行的签名，本字段为可选字段，如果对证书验证结果进行签名的鉴别服务器AS和鉴别访问控制器AAC信任的鉴别服务器AS相同，则不需要本字段。
2.5)接入鉴别响应：鉴别访问控制器AAC收到证书鉴别响应分组后，进行如下处理：
2.5.1)检查证书的验证结果RESCert字段中的鉴别访问控制器AAC的询问NAAC与证书鉴别请求分组中的NAAC字段值是否相同，若不同，丢弃该分组，否则执行2.5.2)；
2.5.2)如果分组中含有两个签名字段，则检查鉴别访问控制器AAC所信任的鉴别服务器AS的签名SIGAS-AAC字段是否正确，若不正确，则丢弃该分组；若正确则执行2.5.3)；如果分组中只含有一个签名字段，即表明对证书验证结果进行签名的鉴别服务器AS也是鉴别访问控制器AAC所信任的鉴别服务器AS，则检查SIGAS-REQ字段是否正确，若不正确，则丢弃该分组；若正确则执行2.5.3)；
2.5.3)检查证书的验证结果RESCert字段中CertREQ的验证结果是否合法，若合法，则本地生成用于ECDH交换的密钥数据(鉴别访问控制器AAC的临时公钥y·P)以及鉴别访问控制器AAC询问NAAC，并根据请求者REQ的临时公钥x·P以及自己的临时私钥y进行ECDH计算得到基密钥BK以及下一次身份鉴别过程的鉴别标识并保存，然后设定接入结果为成功，构造接入鉴别响应分组发送给请求者REQ，并允许用户访问网络；若CertREQ的验证结果为不合法，则鉴别访问控制器AAC设定接入结果为不成功，鉴别访问控制器AAC的询问NAAC和密钥数据y·P可设置为任意值，构造接入鉴别响应分组发送给请求者REQ，然后解除与请求者REQ的链路验证。
接入鉴别响应分组主要内容包括：
NREQ NAAC AccRES x·P y·P IDAAC IDREQ MRESCert   SIGAAC/MIC
其中：
NREQ字段：表示请求者REQ询问，是请求者REQ产生的随机数。该字段为可选字段，仅为单向鉴别过程时，接入鉴别响应分组需包含此字段。若存在，其值同请求者REQ发送的接入鉴别请求分组中NREQ字段的值。
NAAC字段：表鉴别访问控制器AAC的询问，是鉴别访问控制器AAC产生的随机数。该字段为可选字段，仅为单向鉴别过程时，接入鉴别响应分组需包含此字段。若存在，其值同鉴别访问控制器AAC发送的证书鉴别请求分组中NAAC字段的值。
AccRES字段：表示接入结果，是鉴别访问控制器AAC根据鉴别结果设定的接入成功或失败以及失败的原因。
x·P：表示请求者REQ的密钥数据，是请求者REQ生成的用于ECDH交换的临时公钥x·P。其值同请求者REQ发送的接入鉴别请求分组中x·P字段的值。
y·P：表示鉴别访问控制器AAC的密钥数据，是鉴别访问控制器AAC生成的用于ECDH交换的临时公钥y·P。
IDAAC字段：表示鉴别访问控制器AAC的身份标识ID，是根据鉴别访问控制器AAC的证书CertAAC字段得到。
IDREQ字段：表示请求者REQ的身份标识ID，是根据收到的接入鉴别请求分组中的请求者REQ的证书CertREQ字段得到。
MRESCert字段：表示复合的证书验证结果。本字段是可选字段，仅为双向鉴别过程时，在接入鉴别响应分组中需包含此字段。若存在，则该字段由证书鉴别响应分组中的各个字段组成，并且值相同。
SIGAAC字段：表示鉴别访问控制器AAC的签名，是鉴别访问控制器AAC利用自己的私钥对接入鉴别响应分组中除本字段外所有字段的签名。
MIC字段：表示消息鉴别码，是鉴别访问控制器AAC利用鉴别过程中协商生成的基密钥BK对接入鉴别响应分组中除了本字段外的所有字段及下一次证书鉴别过程的鉴别标识计算得到的杂凑值。
接入鉴别响应分组只需要包含SIGAAC字段和MIC字段二者之一即可。如果在此次身份鉴别过程中存在鉴别激活分组，且鉴别激活分组包含SIGAAC字段，则此分组中只包含MIC字段；如果此次身份鉴别过程不存在鉴别激活分组或者鉴别激活分组中没有包含SIGAAC字段，则此分组中只包含SIGAAC字段。
2.6)接入鉴别确认：请求者REQ收到接入鉴别响应分组后，进行如下处理：
2.6.1)根据分组中的IDAAC和IDREQ字段判断是否为对应当前接入鉴别请求分组的接入鉴别响应分组，如果不是，则丢弃该分组，否则执行2.6.2)；
2.6.2)比较分组中请求者REQ密钥数据x·P字段值与自己发送的接入鉴别请求分组中的x·P字段值是否一致，若不一致，则丢弃该分组，否则执行2.6.3)；
2.6.3)如果是单向鉴别过程，则比较NREQ字段值与之前发送的接入鉴别请求分组中的NREQ字段值是否一致，若不一致，则丢弃该分组，否则执行2.6.4)；如果是双向鉴别过程，则直接执行2.6.4)；
2.6.4)查看分组中的AccRES字段，如果接入结果为不成功，则解除与该鉴别访问控制器AAC的链路验证；否则执行2.6.5)；
2.6.5)如果收到的接入鉴别响应分组中含有SIGAAC字段，则验证SIGAAC的正确性，如果不正确，则丢弃该分组，否则执行2.6.6)；如果收到的分组中含有MIC字段，则验证MIC字段的正确性，如果不正确，则丢弃分组，否则执行2.6.6)；
2.6.6)如果是单向鉴别过程，则执行2.6.8)，否则验证复合的证书验证结果MRESCert字段中所包含的NREQ字段值与自己发送的接入鉴别请求分组中NREQ字段值是否一致，若不一致，则丢弃该分组，否则验证签名SIGAS-REQ是否正确，如果不正确则丢弃该分组，否则执行2.6.7)；；
2.6.7)验证复合的证书验证结果MRESCert字段中鉴别访问控制器AAC证书验证结果是否为合法，如果不合法，则得知该网络不合法，不可以访问该网络；否则得到该网络是合法的，可以进行访问，并执行2.6.8)；
2.6.8)请求者REQ根据鉴别访问控制器AAC的临时公钥y·P和自己的临时私钥x进行ECDH计算得到基密钥BK以及下一次证书鉴别过程的鉴别标识并保存；
2.6.9)如果收到的接入鉴别响应分组中含有MIC字段，则是否发送接入鉴别确认分组是可选的；如果收到的分组中含有鉴别访问控制器AAC的签名SIGAAC字段，则需要构造接入鉴别确认分组，发送给鉴别访问控制器AAC。
接入鉴别确认分组主要内容包括：
MIC
其中：
MIC字段：表示消息鉴别码，是请求者REQ利用鉴别过程中协商生成的基密钥BK对鉴别访问控制器AAC询问值NAAC、请求者REQ询问值NREQ及下一次证书鉴别过程的鉴别标识计算得到的杂凑值。
鉴别访问控制器AAC在发送接入鉴别响应分组给请求者REQ之后，如果发送的接入鉴别响应分组中包含的是鉴别访问控制器AAC的签名SIGAAC字段，则鉴别访问控制器AAC需要等接收接入鉴别确认分组。
鉴别访问控制器AAC在收到请求者REQ发送的接入鉴别确认分组之后，要验证分组中MIC字段的正确性，如果正确，则意味着请求者REQ具有和自己一致的基密钥BK，否则，丢弃该分组。
该协议功能高度集中，即可实现双向鉴别，又可实现单向鉴别，还支持鉴别更新以及简化的鉴别更新。所谓简化的鉴别更新就是指不需要鉴别服务器AS验证证书，鉴别访问控制器AAC与请求者REQ之间直接进行签名验证。反映在分组中的内容上，就是接入鉴别响应分组中不包含复合的证书验证结果字段。简化的鉴别过程只能用作鉴别更新过程，不能用作客户端与网络连接时的首次鉴别。
3)单播密钥协商过程如图4所示，具体过程如下：
3.1)单播密钥协商请求：在鉴别访问控制器AAC完成身份鉴别过程后，鉴别访问控制器AAC向请求者REQ发送单播密钥协商请求分组开始与请求者REQ进行单播密钥协商。单播密钥协商请求分组主要内容包括：
  NAAC   MIC
其中：
NAAC字段：表示鉴别访问控制器AAC的询问，若为首次单播密钥协商，则该字段为由鉴别访问控制器AAC产生的随机数；若为单播密钥的更新过程，则该字段的值是上一次单播密钥协商过程中保存的NAAC值；
MIC字段：表示消息鉴别码，由鉴别访问控制器AAC利用其与请求者REQ之间共同拥有的基密钥BK进行计算得到的杂凑值。
3.2)单播密钥协商响应。
请求者REQ收到单播密钥协商请求分组后，进行如下处理：
3.2.1)如果此次密钥协商过程为单播密钥的更新过程，则检查分组中NAAC字段与上次密钥协商过程中保存的NAAC是否一致，若不一致，则丢弃该分组；否则执行3.2.2)；如果此次密钥协商过程不是单播密钥的更新过程则直接执行3.2.2)；
3.2.2)验证MIC字段是否正确，如果不正确则丢弃该分组，否则执行3.2.3)；
3.2.3)请求者REQ产生请求者REQ询问NREQ，然后通过哈希计算得到单播会话密钥，以及下次密钥协商过程使用的NAAC并保存。其中单播会话密钥包含单播加密密钥UEK(unicast encryption key)、单播完整性校验密钥UCK(unicastcheck key)、消息鉴别密钥MAK(message authentication key)以及密钥加密密钥KEK(key encryption key)；
利用消息鉴别密钥MAK计算消息鉴别码MIC，构造单播密钥协商响应分组，发送给鉴别访问控制器AAC；
请求者REQ安装新协商的单播会话密钥。
单播密钥协商响应分组主要内容包括：
  NREQ   NAAC   MIC
其中：
NREQ字段：表示请求者REQ的询问，是请求者REQ产生的随机数。
NAAC字段：表示鉴别访问控制器AAC的询问，其值同单播密钥协商请求分组中的NAAC字段的值。若为首次单播密钥协商过程，则该字段值直接取决于单播密钥协商请求分组中的NAAC字段的值；若为单播密钥更新过程，则该字段值为上一次单播密钥协商过程中保存的NAAC值。
MIC字段：表示消息鉴别码，由请求者REQ利用生成的消息鉴别密钥MAK对单播密钥协商响应分组中除本字段外所有字段进行计算得到的杂凑值。
3.3)单播密钥协商确认。
鉴别访问控制器AAC收到单播密钥协商响应分组后，进行如下处理：
3.3.1)如果此次密钥协商过程为单播密钥的更新过程，则检查分组中的NAAC字段与上次密钥协商过程中保存的NAAC是否一致，若不一致，则丢弃该分组，否则执行3.3.2)；如果此次密钥协商过程不是单播密钥的更新过程，则需要检查分组中的NAAC字段值是否与单播密钥协商请求分组中的NAAC字段值一致，如果不一致则丢弃该分组，否则执行3.3.2)；
3.3.2)根据分组中的字段NREQ和NAAC字段，通过哈希计算得到单播会话密钥以及下次密钥协商过程使用的NAAC并保存。其中单播会话密钥包含单播加密密钥UEK、单播完整性校验密钥UCK、消息鉴别密钥MAK以及密钥加密密钥KEK；
3.3.3)利用消息鉴别密钥MAK，验证分组中的MIC是否正确，如果不正确则丢弃该分组，否则执行3.3.4)；
3.3.4)利用消息鉴别密钥MAK计算消息鉴别码MIC，构造单播密钥协商确认分组，发送给请求者REQ；
3.3.5)鉴别访问控制器AAC安装新协商的单播会话密钥；启用新安装的单播会话密钥的收发功能，即允许利用该新密钥对单播数据进行加解密。若此次单播密钥协商过程为更新过程，则还需删除旧的单播会话密钥。
单播密钥协商确认分组主要内容包括：
NREQ MIC
其中：
NREQ字段：表示请求者REQ的询问，是请求者REQ产生的随机数。其值同单播密钥协商响应分组中的NREQ字段的值。
MIC字段：表示消息鉴别码，由鉴别访问控制器AAC利用生成的消息鉴别密钥MAK对单播密钥协商确认分组中除本字段外所有字段进行计算得到的杂凑值。
3.4)请求者REQ收到单播密钥协商确认分组后，进行如下处理：
3.4.1)检查NREQ字段与自己发送的单播密钥协商响应分组中的NREQ字段是否相同，若不同，则丢弃该分组；否则，执行3.4.2)；
3.4.2)利用消息鉴别密钥MAK，验证分组中的MIC是否正确，如果不正确则丢弃该分组，否则执行3.4.3)；
3.4.3)启用新安装的单播会话密钥的发送功能，即允许利用该新密钥加密发送单播数据。若此次单播密钥协商过程为更新过程，则还需删除旧的单播会话密钥。
4)组播密钥/站间密钥通告过程如图5所示，具体过程如下：
4.1)组播密钥/站间密钥通告：
组播密钥/站间密钥通告分组主要内容包括：
KN ENMK MIC
其中：
KN字段：表示密钥通告标识，初始化为一个整数，在每次密钥更新通告时该字段值加1，若通告的密钥不变，则该字段值保持不变。
ENMK字段：表示密钥加密数据，是鉴别访问控制器AAC利用密钥加密密钥KEK对通告主密钥NMK(Notification Master Key)加密后的数据。
MIC字段：表示消息鉴别码，由鉴别访问控制器AAC利用单播密钥协商过程中生成的消息鉴别密钥MAK对组播密钥/站间密钥通告分组中除本字段外所有字段进行计算得到的。
4.2)组播密钥/站间密钥响应：
请求者REQ收到组播密钥/站间密钥通告分组后，进行如下处理：
4.2.1)利用单播密钥协商过程中生成的消息鉴别密钥MAK验证MIC字段是否正确，若不正确，则丢弃该分组；否则，执行4.2.2)；
4.2.2)查看KN字段是否单调递增，如果不是则丢弃该分组；否则执行4.2.3)；
4.2.3)利用单播密钥协商过程中生成的密钥加密密钥KEK解密ENMK字段即可得到通告主密钥NMK；利用哈希算法即可得到会话密钥；
4.2.4)保存此次的密钥通告标识KN字段的值，并生成组播密钥/站间密钥响应分组，发送给鉴别访问控制器AAC；
4.2.5)安装密钥。
组播密钥/站间密钥响应分组主要内容包括：
  KN   MIC
其中：
KN字段：表示密钥通告标识。其值同组播密钥/站间密钥通告分组中的KN字段的值。
MIC字段：表示消息鉴别码，由请求者REQ利用单播密钥协商过程中生成的消息鉴别密钥MAK对组播密钥/站间密钥确认分组中除本字段外所有字段进行计算得到的。
4.3)鉴别访问控制器AAC收到组播密钥/站间密钥响应分组后，将进行如下处理：
4.3.1)利用单播密钥协商过程中生成的消息鉴别密钥MAK验证MIC字段是否正确，若不正确，则丢弃该分组；否则，执行4.3.2)；
4.3.2)比较KN字段是否与之前发送的组播密钥/站间密钥通告密钥分组中对应的字段值一致，如果不一致，则丢弃该分组；否则安装密钥。
本发明在提供一种有线局域网的安全访问控制方法的同时，还提供了一种有线局域网的安全访问控制系统，该系统实现包括三个实体部分：请求者REQ(Requester)、鉴别访问控制器AAC(Authentication Access Controller)和鉴别服务器AS(Authenticator Server)。请求者REQ和鉴别服务器AS分别和鉴别访问控制器AAC连接，鉴别访问控制器AAC为请求者REQ提供服务端口；鉴别服务器AS为请求者REQ和鉴别访问控制器AAC提供鉴别服务。

Claims (9)

1、一种有线局域网的安全访问控制方法，其特征在于：所述方法包括以下步骤：
1)请求者REQ与鉴别访问控制器AAC进行安全策略协商；
2)请求者REQ与鉴别访问控制器AAC进行身份鉴别；
3)请求者REQ与鉴别访问控制器AAC进行密钥协商。
2、根据权利要求1所述的有线局域网的安全访问控制方法，其特征在于：所述步骤1)的具体实现方式是：
1.1)安全策略协商请求：当请求者REQ接入鉴别访问控制器AAC时，鉴别访问控制器AAC向请求者REQ发送安全策略协商请求分组，该分组包括：TIEACC；
其中：
TIEACC字段：表示鉴别访问控制器AAC所支持的TePA的信息元素，包含鉴别访问控制器AAC所支持的鉴别和密钥管理套件及密码套件；
1.2)安全策略协商响应：请求者REQ收到安全策略协商请求分组后，进行如下处理：
请求者REQ根据安全策略协商请求分组中TIEACC字段给出的鉴别访问控制器AAC所支持的鉴别和密钥管理套件及密码套件，结合本地策略选择一种双方共有的鉴别和密钥管理套件及密码套件，组成安全策略协商响应分组发送给鉴别访问控制器AAC；若请求者REQ不支持安全策略协商请求分组中鉴别访问控制器AAC所支持的任一鉴别和密钥管理套件或密码套件，根据本地策略可丢弃该分组；
安全策略协商响应分组的主要内容包括：TIEREQ；
其中：
TIEREQ字段：表示请求者REQ选择的TePA信息元素，包含请求者REQ所选择的鉴别和密钥管理套件及密码套件；
1.3)鉴别访问控制器AAC收到安全策略协商响应分组后，进行如下处理：
1.3.1)鉴别访问控制器AAC判断是否支持请求者REQ所选择的鉴别和密钥管理套件及密码套件，若不支持，则丢弃该分组；若支持，则执行1.3.2)；
1.3.2)根据请求者REQ选择的鉴别和密钥管理套件开始相应的身份鉴别。
3、根据权利要求2所述的有线局域网的安全访问控制方法，其特征在于：所述步骤1.3)中请求者REQ选择的鉴别和密钥管理套件是基于证书的鉴别协议TAEP-CAAP。
4、根据权利要求3所述的有线局域网的安全访问控制方法，其特征在于：当请求者REQ选择的鉴别和密钥管理套件是基于证书的鉴别协议TAEP-CAAP时，所述步骤2)的具体实现方式是：
2.1.1)鉴别激活：当请求者REQ与鉴别访问控制器AAC在安全策略协商过程中协商选择采用证书鉴别和密钥管理套件时，鉴别访问控制器AAC向请求者REQ发送鉴别激活分组以激活请求者REQ进行证书鉴别，鉴别激活分组包括：SNonce、IDAS-AAC、CertAAC、ParaECDH、TIEACC以及SIGAAC；
其中：
SNonce字段：表示鉴别标识，若为首次身份鉴别，则该字段为由鉴别访问控制器AAC产生的随机数；若为更新的身份鉴别过程，则该字段的值是上一次身份鉴别过程中协商生成的鉴别标识值；
IDAS-AAC字段：表示鉴别访问控制器AAC所信任的鉴别服务器AS的身份标识ID(identity)，是鉴别访问控制器AAC的证书CertAAC的颁发者鉴别服务器AS的身份标识ID；
CertAAC字段：表示鉴别访问控制器AAC的证书；
ParaECDH字段：表示椭圆曲线密码体制的Diffie-Hellman交换ECDH参数，是请求者REQ和鉴别访问控制器AAC进行ECDH计算时采用的椭圆曲线密码参数；
TIEAAC字段：表示鉴别访问控制器AAC所支持的鉴别和密钥管理套件及密码套件；其值同安全策略协商请求分组中的TIEAAC字段的值；
SIGAAC字段：表示鉴别访问控制器AAC的签名，是鉴别访问控制器AAC利用自己的私钥对本分组中除本字段之外所有字段进行的签名，此字段为可选字段；
2.1.2)接入鉴别请求：请求者REQ收到鉴别激活分组后，进行如下处理：
2.1.2.1)如果此次鉴别过程为身份鉴别的更新过程，则请求者REQ检查鉴别激活分组中的鉴别标识字段值与上一次身份鉴别过程中保存的鉴别标识是否一致，如果不一致，则丢弃该分组；否则执行2.1.2.2)；如果此次鉴别过程不是证书鉴别的更新过程，为首次身份鉴别过程，则直接执行2.1.2.2)；
2.1.2.2)验证TIEAAC字段值与安全策略协商过程中收到的安全策略协商请求分组中的TIEAAC字段值是否一致，如果不一致，则丢弃该分组；如果一致，则执行2.1.2.3)；
2.1.2.3)如果收到的鉴别激活分组中包含SIGAAC字段，则验证SIGAAC字段的正确性，如果不正确，则丢弃该分组；若正确，则执行2.1.2.4)；如果收到的鉴别激活分组中未包含SIGAAC字段，则直接执行2.1.2.4)；
2.1.2.4)根据鉴别激活分组中的IDAS-AAC字段选择由该鉴别服务器AS颁发的请求者REQ的证书CertREQ或者根据本地策略选择请求者REQ的证书CertREQ，并产生用于ECDH交换的请求者REQ密钥数据x·P和请求者REQ询问NREQ，生成接入鉴别请求分组，发送给鉴别访问控制器AAC；接入鉴别请求分组主要内容包括：SNonce、NREQ、x·P、IDAAC、CertREQ、ParaECDH、ListAS-REQ、TIEREQ以及SigREQ；
其中：
SNonce字段：表示鉴别标识，其值同鉴别激活分组中的SNonce字段的值；若为首次身份鉴别过程，则该字段值直接取决于鉴别激活分组中的SNonce字段的值；若为更新的身份鉴别过程，则该字段值为上一次身份鉴别过程中计算的鉴别标识值；
NREQ字段：表示请求者REQ询问，是请求者REQ产生的随机数；
x·P字段：表示请求者REQ的密钥数据，是请求者REQ生成的用于ECDH交换的临时公钥x·P；
IDAAC字段：表示鉴别访问控制器AAC的身份标识ID，是根据鉴别激活分组中鉴别访问控制器AAC的证书CertAAC字段得到；
CertREQ字段：表示请求者REQ的证书；
ParaECDH字段：表示ECDH参数，是请求者REQ和鉴别访问控制器AAC进行ECDH计算时采用的椭圆曲线密码参数，其值同鉴别激活分组中的ParaECDH字段的值；
ListAS-REQ字段：表示请求者REQ所信任的鉴别服务器AS列表，但不包含请求者REQ的证书CertREQ的颁发者，若请求者REQ除了信任其证书颁发者以外，还信任其他的某些实体，可以通过该字段通知鉴别服务器AAC，本字段为可选字段；
TIEREQ字段：表示请求者REQ选择的鉴别和密钥管理套件及密码套件；其值同安全策略协商响应分组中的TIEREQ字段的值；
SigREQ字段：表示请求者REQ的签名，是请求者REQ利用自己的私钥对本分组中除本字段之外所有字段进行的签名；
2.1.3)证书鉴别请求：鉴别访问控制器AAC收到接入鉴别请求分组后，进行如下处理：
2.1.3.1)如果鉴别访问控制器AAC发送了鉴别激活分组，则检查收到的分组中的SNonce、ParaECDH字段值和鉴别激活分组中对应的字段值是否一致，如果有一个不一致，则丢弃该分组，否则执行2.1.3.2)；如果鉴别访问控制器AAC没有发送鉴别激活分组，则检查SNonce字段值和上一次证书鉴别过程中计算的鉴别标识是否一致，并检查ParaECDH字段和上一次鉴别激活分组中的ParaECDH是否一致，如果有一个不一致，则丢弃该分组；否则执行2.1.3.2)；
2.1.3.2)检查IDAAC与自己的身份是否一致，并检查TIEREQ字段的值与安全策略协商过程中收到的安全策略协商响应分组中的TIEREQ字段值是否一致，如果有一个不一致，则丢弃该分组；否则执行2.1.3.3)；
2.1.3.3)验证请求者REQ的签名SigREQ字段的正确性，如果正确，则执行2.1.3.4)；否则，执行丢弃该分组；
2.1.3.4)如果鉴别访问控制器AAC的本地策略要求使用鉴别服务AS来鉴别请求者REQ的证书CertREQ，则鉴别访问控制器AAC生成证书鉴别请求分组，发送鉴别服务器AS；否则执行2.1.3.5)；
2.1.3.5)鉴别访问控制器AAC本地鉴别请求者REQ的证书CertREQ，即根据本地缓存的请求者REQ的证书CertREQ的验证结果及根据本地策略所定义的时效性确认请求者REQ的证书CertREQ的验证结果；若合法，则本地生成用于ECDH交换的密钥数据以及AAC询问NAAC，该密钥数据是鉴别访问控制器AAC的临时公钥y·P，并根据请求者REQ的临时公钥x·P以及自己的临时私钥y进行ECDH计算得到基密钥BK(Base key)以及下一次身份鉴别过程的鉴别标识并保存，然后设定接入结果为成功，构造接入鉴别响应分组发送给请求者REQ，并允许用户访问网络；若CertREQ的验证结果为不合法，则鉴别访问控制器AAC设定接入结果为不成功，鉴别访问控制器AAC的询问NAAC和密钥数据y·P可设置为任意值，构造接入鉴别响应分组发送给请求者REQ，然后解除与该请求者REQ的链路验证；
证书鉴别请求分组主要内容包括：NAAC、NREQ、CertREQ、CertAAC以及ListAS-REQ；
其中：
NAAC字段：表示鉴别访问控制器AAC询问，是鉴别访问控制器AAC产生的随机数；
NREQ字段：表示请求者REQ询问，是请求者REQ产生的随机数，其值同请求者REQ发送的接入鉴别请求分组中NREQ字段的值；
CertREQ字段：表示请求者REQ的证书，其值同接入鉴别请求分组中CertREQ字段的值；
CertAAC字段：表示鉴别访问控制器AAC的证书，其值同鉴别激活分组中CertAAC字段的值；
ListAS-REQ字段：表示请求者REQ信任的鉴别服务器AS列表，其值同请求者REQ发送的接入鉴别请求分组中的ListAS-REQ字段的值，本字段为可选字段；
2.1.4)证书鉴别响应：鉴别服务器AS收到证书鉴别请求分组后，进行如下处理：
2.1.4.1)如果此次鉴别过程为单向鉴别，则只需验证请求者REQ的证书CertREQ，如果是双向鉴别则需要同时验证鉴别访问控制器AAC的证书CertAAC和请求者REQ的证书CertREQ，参照RFC3280进行的证书的验证，若无法验证，则将相应证书的验证结果置为证书的颁发者不明确，否则验证证书的状态，然后执行2.1.4.2)；
2.1.4.2)根据证书的验证结果，构造证书鉴别响应分组，并且附加相应的签名，发往鉴别访问控制器AAC；证书鉴别响应分组主要内容包括：RESCert、SIGAS-REQ以及SIGAS-AAC；
其中：
RESCert字段：表示证书的验证结果，本字段包括鉴别访问控制器AAC询问值NAAC、请求者REQ询问值NREQ、以及CertAAC的验证结果、CertREQ的验证结果；如果只是单向验证则不包括鉴别访问控制器AAC的证书CertAAC的验证结果；
SIGAS-REQ字段：表示请求者REQ信任的鉴别服务器AS对本分组中证书的验证结果RESCert字段进行的签名；
SIGAS-AAC字段：表示鉴别访问控制器AAC信任的鉴别服务器AS对证书鉴别响应分组中除本字段之外所有字段进行的签名，本字段为可选字段，如果对证书验证结果进行签名的鉴别服务器AS和鉴别访问控制器AAC信任的鉴别服务器AS相同，则不需要本字段；
2.1.5)接入鉴别响应：鉴别访问控制器AAC收到证书鉴别响应分组后，进行如下处理：
2.1.5.1)检查证书的验证结果RESCert字段中的鉴别访问控制器AAC的询问NAAC与证书鉴别请求分组中的NAAC字段值是否相同，若不同，丢弃该分组；若相同，则执行2.1.5.2)；
2.1.5.2)如果分组中含有两个签名字段，则检查鉴别访问控制器AAC所信任的鉴别服务器AS的签名SIGAS-AAC字段是否正确，若不正确，则丢弃该分组；若正确则执行2.1.5.3)；如果分组中只含有一个签名字段，即表明对证书验证结果进行签名的鉴别服务器AS也是鉴别访问控制器AAC所信任的鉴别服务器AS，则检查SIGAS-REQ字段是否正确，若不正确，则丢弃该分组；若正确则执行2.1.5.3)；
2.1.5.3)检查证书的验证结果RESCert字段中CertREQ的验证结果是否合法，若合法，则本地生成用于ECDH交换的密钥数据(鉴别访问控制器AAC的临时公钥y·P)以及鉴别访问控制器AAC询问NAAC，并根据请求者REQ的临时公钥x·P以及自己的临时私钥y进行ECDH计算得到基密钥BK以及下一次身份鉴别过程的鉴别标识并保存，然后设定接入结果为成功，构造接入鉴别响应分组发送给请求者REQ，并允许用户访问网络；若CertREQ的验证结果为不合法，则鉴别访问控制器AAC设定接入结果为不成功，鉴别访问控制器AAC的询问NAAC和密钥数据y·P可设置任意值，构造接入鉴别响应分组发送给请求者REQ，然后解除与请求者REQ的链路验证，接入鉴别响应分组主要内容包括：NREQ、NAAC、AccRES、x·P、y·P、IDAAC、IDREQ、MRESCert以及SIGAAC或MIC；
其中：
NREQ字段：表示请求者REQ询问，是请求者REQ产生的随机数；该字段为可选字段，仅为单向鉴别过程时，接入鉴别响应分组需包含此字段；若存在，其值同请求者REQ发送的接入鉴别请求分组中NREQ字段的值；
NAAC字段：表鉴别访问控制器AAC的询问，是鉴别访问控制器AAC产生的随机数；该字段为可选字段，仅为单向鉴别过程时，接入鉴别响应分组需包含此字段；若存在，其值同鉴别访问控制器AAC发送的证书鉴别请求分组中NAAC字段的值；
AccRES字段：表示接入结果，是鉴别访问控制器AAC根据鉴别结果设定的接入成功或失败以及失败的原因；
x·P：表示请求者REQ的密钥数据，是请求者REQ生成的用于ECDH交换的临时公钥x·P，其值同请求者REQ发送的接入鉴别请求分组中x·P字段的值；
y·P：表示鉴别访问控制器AAC的密钥数据，是鉴别访问控制器AAC生成的用于ECDH交换的临时公钥y·P；
IDAAC字段：表示鉴别访问控制器AAC的身份标识ID，是根据鉴别访问控制器AAC的证书CertAAC字段得到；
IDREQ字段：表示请求者REQ的身份标识ID，是根据收到的接入鉴别请求分组中的请求者REQ的证书CertREQ字段得到；
MRESCert字段：表示复合的证书验证结果，本字段是可选字段，仅为双向鉴别过程时，在接入鉴别响应分组中需包含此字段；若存在，则该字段由证书鉴别响应分组中的各个字段组成，并且值相同；
SIGAAC字段：表示鉴别访问控制器AAC的签名，是鉴别访问控制器AAC利用自己的私钥对接入鉴别响应分组中除本字段外所有字段的签名；
MIC字段：表示消息鉴别码，是鉴别访问控制器AAC利用鉴别过程中协商生成的基密钥BK对接入鉴别响应分组中除了本字段外的所有字段及下一次证书鉴别过程的鉴别标识计算得到的杂凑值；
接入鉴别响应分组只需要包含SIGAAC字段和MIC字段二者之一即可；如果在此次身份鉴别过程中存在鉴别激活分组，且鉴别激活分组包含SIGAAC字段，则此分组中只包含MIC字段；如果此次身份鉴别过程不存在鉴别激活分组或者鉴别激活分组中没有包含SIGAAC字段，则此分组中只包含SIGAAC字段；
2.1.6)接入鉴别确认：请求者REQ收到接入鉴别响应分组后，进行如下处理：
2.1.6.1)根据分组中的IDAAC和IDREQ字段判断是否为对应当前接入鉴别请求分组的接入鉴别响应分组，如果不是，则丢弃该分组；若是，则执行2.1.6.2)；
2.1.6.2)比较分组中请求者REQ密钥数据x·P字段值与自己发送的接入鉴别请求分组中的x·P字段值是否一致，若不一致，则丢弃该分组，否则执行2.1.6.3)；
2.1.6.3)如果是单向鉴别过程，则比较NREQ字段值与之前发送的接入鉴别请求分组中的NREQ字段值是否一致，若不一致，则丢弃该分组，否则执行2.1.6.4)；如果是双向鉴别过程，则直接执行2.1.6.4)；
2.1.6.4)查看分组中的AccRES字段，如果接入结果为不成功，则解除与该鉴别访问控制器AAC的链路验证；否则执行2.1.6.5)；
2.1.6.5)如果收到的接入鉴别响应分组中含有SIGAAC字段，则验证SIGAAC的正确性，如果不正确，则丢弃该分组，否则执行2.1.6.6)；如果收到的分组中含有MIC字段，则验证MIC字段的正确性，如果不正确，则丢弃分组，否则执行2.1.6.6)；
2.1.6.6)如果是单向鉴别过程，则执行2.1.6.8)，否则验证复合的证书验证结果MRESCert字段中所包含的NREQ字段值与自己发送的接入鉴别请求分组中NREQ字段值是否一致，若不一致，则丢弃该分组；否则验证签名SIGAS-REQ是否正确，如果不正确则丢弃该分组，如果正确，则执行2.1.6.7)；
2.1.6.7)验证复合的证书验证结果MRESCert字段中鉴别访问控制器AAC证书验证结果是否为合法，如果不合法，则得知该网络不合法，不可以访问该网络；否则得到该网络是合法的，可以进行访问，并执行2.1.6.8)；
2.1.6.8)请求者REQ根据鉴别访问控制器AAC的临时公钥y·P和自己的临时私钥x进行ECDH计算得到基密钥BK以及下一次证书鉴别过程的鉴别标识并保存；
2.1.6.9)如果收到的接入鉴别响应分组中含有MIC字段，则是否发送接入鉴别确认分组是可选的；如果收到的分组中含有鉴别访问控制器AAC的签名SIGAAC字段，则需要构造接入鉴别确认分组，发送给鉴别访问控制器AAC，接入鉴别确认分组主要内容包括：MIC；
其中：
MIC字段：表示消息鉴别码，是请求者REQ利用鉴别过程中协商生成的基密钥BK对鉴别访问控制器AAC询问值NAAC、请求者REQ询问值NREQ及下一次证书鉴别过程的鉴别标识计算得到的杂凑值。
5、根据权利要求4所述的有线局域网的安全访问控制方法，其特征在于：所述步骤2.1.6)中鉴别访问控制器AAC在发送接入鉴别响应分组给请求者REQ之后，如果发送的接入鉴别响应分组中包含的是鉴别访问控制器AAC的签名SIGAAC字段，则鉴别访问控制器AAC需要等待接收接入鉴别确认分组。
6、根据权利要求4所述的有线局域网的安全访问控制方法，其特征在于：所述步骤2.1.6)中鉴别访问控制器AAC在收到请求者REQ发送的接入鉴别确认分组之后，要验证分组中MIC字段的正确性，如果正确，则请求者REQ具有和自己一致的基密钥BK；如果不正确则丢弃该分组。
7、根据权利要求4或5或6所述的有线局域网的安全访问控制方法，其特征在于：所述步骤3)的具体实现方式是：
3.1.1)单播密钥协商请求：在鉴别访问控制器AAC完成身份鉴别过程后，鉴别访问控制器AAC向请求者REQ发送单播密钥协商请求分组开始与请求者REQ进行单播密钥协商，单播密钥协商请求分组主要内容包括：NAAC以及MIC；
其中：
NAAC字段：表示鉴别访问控制器AAC的询问，若为首次单播密钥协商，则该字段为由鉴别访问控制器AAC产生的随机数；若为单播密钥的更新过程，则该字段的值是上一次单播密钥协商过程中保存的NAAC值；
MIC字段：表示消息鉴别码，由鉴别访问控制器AAC利用其与请求者REQ之间共同拥有的基密钥BK进行计算得到的杂凑值；
3.1.2)单播密钥协商响应：
请求者REQ收到单播密钥协商请求分组后，进行如下处理：
3.1.2.1)如果此次密钥协商过程为单播密钥的更新过程，则检查分组中NAAC字段与上次密钥协商过程中保存的NAAC是否一致，若不一致，则丢弃该分组，若一致，则执行3.1.2.2)；如果此次密钥协商过程不是单播密钥的更新过程则直接执行3.1.2.2)；
3.1.2.2)验证MIC字段是否正确，若不正确则丢弃该分组；若正确则执行3.1.2.3)；
3.1.2.3)请求者REQ产生请求者REQ询问NREQ，然后通过哈希计算得到单播会话密钥，以及下次密钥协商过程使用的NAAC并保存；其中单播会话密钥包含单播加密密钥UEK、单播完整性校验密钥UCK、消息鉴别密钥MAK以及密钥加密密钥KEK；
利用消息鉴别密钥MAK计算消息鉴别码MIC，构造单播密钥协商响应分组，发送给鉴别访问控制器AAC；
请求者REQ安装新协商的单播会话密钥；
单播密钥协商响应分组主要内容包括：NREQ、NAAC以及MIC；
其中：
NREQ字段：表示请求者REQ的询问，是请求者REQ产生的随机数；
NAAC字段：表示鉴别访问控制器AAC的询问，其值同单播密钥协商请求分组中的NAAC字段的值；若为首次单播密钥协商过程，则该字段值直接取决于单播密钥协商请求分组中的NAAC字段的值；若为单播密钥更新过程，则该字段值为上一次单播密钥协商过程中保存的NAAC值；
MIC字段：表示消息鉴别码，由请求者REQ利用生成的消息鉴别密钥MAK对单播密钥协商响应分组中除本字段外所有字段进行计算得到的杂凑值；
3.1.3)单播密钥协商确认：
鉴别访问控制器AAC收到单播密钥协商响应分组后，进行如下处理：
3.1.3.1)如果此次密钥协商过程为单播密钥的更新过程，则检查分组中的NAAC字段与上次密钥协商过程中保存的NAAC是否一致，若不一致，则丢弃该分组；若一致，则执行3.1.3.2)；如果此次密钥协商过程不是单播密钥的更新过程，则需要检查分组中的NAAC字段值是否与单播密钥协商请求分组中的NAAC字段值一致，如果不一致则丢弃该分组，否则执行3.1.3.2)；
3.1.3.2)根据分组中的字段NREQ和NAAC字段，通过哈希计算得到单播会话密钥以及下次密钥协商过程使用的NAAC并保存；其中单播会话密钥包含单播加密密钥UEK、单播完整性校验密钥UCK、消息鉴别密钥MAK以及密钥加密密钥KEK；
3.1.3.3)利用消息鉴别密钥MAK，验证分组中的MIC是否正确，如果不正确则丢弃该分组；如果正确，则执行3.1.3.4)；
3.1.3.4)利用消息鉴别密钥MAK计算消息鉴别码MIC，构造单播密钥协商确认分组，发送给请求者REQ；
3.1.3.5)鉴别访问控制器AAC安装新协商的单播会话密钥；启用新安装的单播会话密钥的收发功能，即允许利用该新密钥对单播数据进行加解密。若此次单播密钥协商过程为更新过程，则还需删除旧的单播会话密钥；
单播密钥协商确认分组主要内容包括：NREQ、TIEAAC以及MIC；
其中：
NREQ字段：表示请求者REQ的询问，是请求者REQ产生的随机数，其值同单播密钥协商响应分组中的NREQ字段的值；
MIC字段：表示消息鉴别码，由鉴别访问控制器AAC利用生成的消息鉴别密钥MAK对单播密钥协商确认分组中除本字段外所有字段进行计算得到的杂凑值；
3.1.4)请求者REQ收到单播密钥协商确认分组后，进行如下处理：
3.1.4.1)检查NREQ字段与自己发送的单播密钥协商响应分组中的NREQ字段是否相同，若不同，则丢弃该分组；若相同，则执行3.1.4.2)；
3.1.4.2)利用消息鉴别密钥MAK，验证分组中的MIC是否正确，若不正确则丢弃该分组；若正确则执行3.1.4.3)；
3.1.4.3)启用新安装的单播会话密钥的发送功能，即允许利用该新密钥加密发送单播数据；若此次单播密钥协商过程为更新过程，则还需删除旧的单播会话密钥。
8、根据权利要求4或5或6所述的有线局域网的安全访问控制方法，其特征在于：所述步骤3)的具体实现方式是：
3.2.1)组播密钥或站间密钥通告：
组播密钥或站间密钥通告分组主要内容包括：KN、ENMK以及MIC；
其中：
KN字段：表示密钥通告标识，初始化为一个整数，在每次密钥更新通告时该字段值加1，若通告的密钥不变，则该字段值保持不变；
ENMK字段：表示密钥加密数据，是鉴别访问控制器AAC利用密钥加密密钥KEK对通告主密钥NMK(Notification Master Key)加密后的数据；
MIC字段：表示消息鉴别码，由鉴别访问控制器AAC利用单播密钥协商过程中生成的消息鉴别密钥MAK对组播密钥/站间密钥通告分组中除本字段外所有字段进行计算得到的；
3.2.2)组播密钥/站间密钥响应：
请求者REQ收到组播密钥/站间密钥通告分组后，进行如下处理：
3.2.2.1)利用单播密钥协商过程中生成的消息鉴别密钥MAK验证MIC字段是否正确，若不正确，则丢弃该分组；若正确则执行3.2.2.2)；
3.2.2.2)查看KN字段是否单调递增，如果不是则丢弃该分组；如果是则执行3.2.2.3)；
3.2.2.3)利用单播密钥协商过程中生成的密钥加密密钥KEK解密ENMK字段得到通告主密钥NMK；利用哈希算法即可得到会话密钥；
3.2.2.4)保存此次的密钥通告标识KN字段的值，并生成组播密钥/站间密钥响应分组，发送给鉴别访问控制器AAC；
3.2.2.5)安装密钥；
组播密钥/站间密钥响应分组主要内容包括：KN以及MIC；
其中：
KN字段：表示密钥通告标识，其值同组播密钥/站间密钥通告分组中的KN字段的值；
MIC字段：表示消息鉴别码，由请求者REQ利用单播密钥协商过程中生成的消息鉴别密钥MAK对组播密钥/站间密钥确认分组中除本字段外所有字段进行计算得到的；
3.2.3)鉴别访问控制器AAC收到组播密钥/站间密钥响应分组后，将进行如下处理：
3.2.3.1)利用单播密钥协商过程中生成的消息鉴别密钥MAK验证MIC字段是否正确，若不正确，则丢弃该分组；若正确则执行3.2.3.2)；
3.2.3.2)比较KN字段是否与之前发送的组播密钥/站间密钥通告密钥分组中对应的字段值一致，如果不一致，则丢弃该分组；如果一致，则安装密钥。
9、一种有线局域网的安全访问控制系统，其特征在于：所述有线局域网的安全访问控制系统包括请求者REQ、鉴别访问控制器AAC以及鉴别服务器AS；所述请求者REQ和鉴别服务器AS分别和鉴别访问控制器AAC连接，所述鉴别访问控制器AAC为请求者REQ提供服务端口；所述鉴别服务器AS为请求者REQ和鉴别访问控制器AAC提供鉴别服务。
CN2009100236282A 2009-08-19 2009-08-19 一种有线局域网的安全访问控制方法及其系统 Active CN101631113B (zh)

Priority Applications (6)

Application Number Priority Date Filing Date Title
CN2009100236282A CN101631113B (zh) 2009-08-19 2009-08-19 一种有线局域网的安全访问控制方法及其系统
US13/391,051 US8689283B2 (en) 2009-08-19 2009-12-23 Security access control method and system for wired local area network
PCT/CN2009/075895 WO2011020274A1 (zh) 2009-08-19 2009-12-23 一种有线局域网的安全访问控制方法及其系统
JP2012525018A JP5414898B2 (ja) 2009-08-19 2009-12-23 有線ｌａｎのセキュリティアクセス制御方法及びそのシステム
EP09848415.7A EP2469788B1 (en) 2009-08-19 2009-12-23 Security access control method and system for wired local area network
KR1020127006978A KR101505590B1 (ko) 2009-08-19 2009-12-23 유선 근거리 통신망을 위한 보안 액세스 제어 방법 및 시스템

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN2009100236282A CN101631113B (zh) 2009-08-19 2009-08-19 一种有线局域网的安全访问控制方法及其系统

Publications (2)

Publication Number Publication Date
CN101631113A true CN101631113A (zh) 2010-01-20
CN101631113B CN101631113B (zh) 2011-04-06

Family

ID=41576059

Family Applications (1)

Application Number Title Priority Date Filing Date
CN2009100236282A Active CN101631113B (zh) 2009-08-19 2009-08-19 一种有线局域网的安全访问控制方法及其系统

Country Status (6)

Country Link
US (1) US8689283B2 (zh)
EP (1) EP2469788B1 (zh)
JP (1) JP5414898B2 (zh)
KR (1) KR101505590B1 (zh)
CN (1) CN101631113B (zh)
WO (1) WO2011020274A1 (zh)

Cited By (13)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102065086A (zh) * 2010-12-20 2011-05-18 西安西电捷通无线网络通信股份有限公司 一种适合可信连接架构的平台鉴别过程管理方法
CN105933125A (zh) * 2016-07-07 2016-09-07 北京邮电大学 一种软件定义网络中的南向安全认证方法及装置
CN108322464A (zh) * 2018-01-31 2018-07-24 中国联合网络通信集团有限公司 一种密钥验证方法及设备
CN109561431A (zh) * 2019-01-17 2019-04-02 西安电子科技大学 基于多口令身份鉴别的wlan接入访问控制系统及方法
CN114024767A (zh) * 2021-11-25 2022-02-08 郑州信大信息技术研究院有限公司 密码定义网络安全体系构建方法、体系架构及数据转发方法
WO2022135378A1 (zh) * 2020-12-26 2022-06-30 西安西电捷通无线网络通信股份有限公司 一种身份鉴别方法和装置
WO2022135380A1 (zh) * 2020-12-26 2022-06-30 西安西电捷通无线网络通信股份有限公司 一种身份鉴别方法和装置
WO2022135394A1 (zh) * 2020-12-26 2022-06-30 西安西电捷通无线网络通信股份有限公司 身份鉴别方法、装置、存储介质、程序、及程序产品
WO2022135398A1 (zh) * 2020-12-26 2022-06-30 西安西电捷通无线网络通信股份有限公司 身份鉴别方法、装置、设备、芯片、存储介质及程序
WO2022135384A1 (zh) * 2020-12-26 2022-06-30 西安西电捷通无线网络通信股份有限公司 一种身份鉴别方法和装置
WO2022135391A1 (zh) * 2020-12-26 2022-06-30 西安西电捷通无线网络通信股份有限公司 身份鉴别方法、装置、存储介质、程序、及程序产品
WO2022135387A1 (zh) * 2020-12-26 2022-06-30 西安西电捷通无线网络通信股份有限公司 一种身份鉴别方法和装置
WO2022135377A1 (zh) * 2020-12-26 2022-06-30 西安西电捷通无线网络通信股份有限公司 身份鉴别方法、装置、设备、芯片、存储介质及程序

Families Citing this family (13)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20120291106A1 (en) * 2010-01-19 2012-11-15 Nec Corporation Confidential information leakage prevention system, confidential information leakage prevention method, and confidential information leakage prevention program
GB201106976D0 (en) * 2011-10-03 2011-10-03 Corcost Ltd Corcost-SG002
US9462005B2 (en) * 2013-05-24 2016-10-04 Qualcomm Incorporated Systems and methods for broadcast WLAN messages with message authentication
US9712323B2 (en) * 2014-10-09 2017-07-18 Fujitsu Limited Detection of unauthorized entities in communication systems
US9621575B1 (en) * 2014-12-29 2017-04-11 A10 Networks, Inc. Context aware threat protection
KR101532024B1 (ko) * 2015-04-29 2015-06-29 한밭대학교 산학협력단 차량 통신에서의 메시지 전송 방법 및 장치
US9692757B1 (en) * 2015-05-20 2017-06-27 Amazon Technologies, Inc. Enhanced authentication for secure communications
US9591479B1 (en) * 2016-04-14 2017-03-07 Wickr Inc. Secure telecommunications
KR102382851B1 (ko) * 2017-07-04 2022-04-05 삼성전자 주식회사 eSIM 단말과 서버가 디지털 인증서를 협의하는 방법 및 장치
KR102657527B1 (ko) 2019-03-21 2024-04-15 삼성전자주식회사 계정 관련 정보에 기반하여 장치를 설정하는 방법 및 그 전자 장치
CN113612802B (zh) * 2021-10-08 2022-02-18 苏州浪潮智能科技有限公司 一种访问控制方法、装置、设备及可读存储介质
CN115134154A (zh) * 2022-06-30 2022-09-30 长城汽车股份有限公司 认证方法、装置、远程控制车辆的方法及系统
CN115242509B (zh) * 2022-07-22 2023-10-17 河南警察学院 一种基于数据分析的网络接入用身份验证系统

Family Cites Families (17)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6691227B1 (en) * 2000-09-08 2004-02-10 Reefedge, Inc. Location-independent packet routing and secure access in a short-range wireless networking environment
US7516485B1 (en) * 2001-05-29 2009-04-07 Nortel Networks Limited Method and apparatus for securely transmitting encrypted data through a firewall and for monitoring user traffic
US7167919B2 (en) * 2001-12-05 2007-01-23 Canon Kabushiki Kaisha Two-pass device access management
US7996888B2 (en) * 2002-01-11 2011-08-09 Nokia Corporation Virtual identity apparatus and method for using same
US7574603B2 (en) * 2003-11-14 2009-08-11 Microsoft Corporation Method of negotiating security parameters and authenticating users interconnected to a network
CN100389555C (zh) * 2005-02-21 2008-05-21 西安西电捷通无线网络通信有限公司 一种适合有线和无线网络的接入认证方法
JP2006243791A (ja) 2005-02-28 2006-09-14 Hitachi Software Eng Co Ltd セキュリティポリシー配布システム及び配布方法
US7975140B2 (en) * 2005-04-08 2011-07-05 Nortel Networks Limited Key negotiation and management for third party access to a secure communication session
US7656795B2 (en) * 2005-04-11 2010-02-02 International Business Machines Corporation Preventing duplicate sources from clients served by a network address port translator
US7676676B2 (en) * 2005-11-14 2010-03-09 Motorola, Inc. Method and apparatus for performing mutual authentication within a network
US8037510B2 (en) 2006-09-18 2011-10-11 Intel Corporation Techniques for negotiation of security policies in wireless mesh networks
CN100566251C (zh) 2007-08-01 2009-12-02 西安西电捷通无线网络通信有限公司 一种增强安全性的可信网络连接方法
CN100512112C (zh) * 2007-10-16 2009-07-08 西安西电捷通无线网络通信有限公司 一种wapi证书鉴别方法
CN101227362B (zh) * 2008-01-18 2012-05-23 西安西电捷通无线网络通信股份有限公司 一种无线个域网接入方法
CN101222772B (zh) 2008-01-23 2010-06-09 西安西电捷通无线网络通信有限公司 一种基于id的无线多跳网络认证接入方法
US8792646B2 (en) 2008-03-25 2014-07-29 Qualcomm Incorporated Systems and methods for group key distribution and management for wireless communications systems
CN101447992B (zh) * 2008-12-08 2011-04-06 西安西电捷通无线网络通信股份有限公司 一种基于三元对等鉴别的可信网络连接实现方法

Cited By (16)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102065086A (zh) * 2010-12-20 2011-05-18 西安西电捷通无线网络通信股份有限公司 一种适合可信连接架构的平台鉴别过程管理方法
CN102065086B (zh) * 2010-12-20 2013-01-16 西安西电捷通无线网络通信股份有限公司 一种适合可信连接架构的平台鉴别过程管理方法
CN105933125A (zh) * 2016-07-07 2016-09-07 北京邮电大学 一种软件定义网络中的南向安全认证方法及装置
CN105933125B (zh) * 2016-07-07 2019-08-09 北京邮电大学 一种软件定义网络中的南向安全认证方法及装置
CN108322464A (zh) * 2018-01-31 2018-07-24 中国联合网络通信集团有限公司 一种密钥验证方法及设备
CN109561431A (zh) * 2019-01-17 2019-04-02 西安电子科技大学 基于多口令身份鉴别的wlan接入访问控制系统及方法
WO2022135380A1 (zh) * 2020-12-26 2022-06-30 西安西电捷通无线网络通信股份有限公司 一种身份鉴别方法和装置
WO2022135378A1 (zh) * 2020-12-26 2022-06-30 西安西电捷通无线网络通信股份有限公司 一种身份鉴别方法和装置
WO2022135394A1 (zh) * 2020-12-26 2022-06-30 西安西电捷通无线网络通信股份有限公司 身份鉴别方法、装置、存储介质、程序、及程序产品
WO2022135398A1 (zh) * 2020-12-26 2022-06-30 西安西电捷通无线网络通信股份有限公司 身份鉴别方法、装置、设备、芯片、存储介质及程序
WO2022135384A1 (zh) * 2020-12-26 2022-06-30 西安西电捷通无线网络通信股份有限公司 一种身份鉴别方法和装置
WO2022135391A1 (zh) * 2020-12-26 2022-06-30 西安西电捷通无线网络通信股份有限公司 身份鉴别方法、装置、存储介质、程序、及程序产品
WO2022135387A1 (zh) * 2020-12-26 2022-06-30 西安西电捷通无线网络通信股份有限公司 一种身份鉴别方法和装置
WO2022135377A1 (zh) * 2020-12-26 2022-06-30 西安西电捷通无线网络通信股份有限公司 身份鉴别方法、装置、设备、芯片、存储介质及程序
GB2617017A (en) * 2020-12-26 2023-09-27 China Iwncomm Co Ltd Identity authentication method and apparatus
CN114024767A (zh) * 2021-11-25 2022-02-08 郑州信大信息技术研究院有限公司 密码定义网络安全体系构建方法、体系架构及数据转发方法

Also Published As

Publication number Publication date
JP2013502762A (ja) 2013-01-24
WO2011020274A1 (zh) 2011-02-24
KR101505590B1 (ko) 2015-03-24
US20120151554A1 (en) 2012-06-14
KR20120052396A (ko) 2012-05-23
EP2469788B1 (en) 2018-08-01
JP5414898B2 (ja) 2014-02-12
EP2469788A4 (en) 2017-07-26
EP2469788A1 (en) 2012-06-27
CN101631113B (zh) 2011-04-06
US8689283B2 (en) 2014-04-01

Similar Documents

Publication Publication Date Title
CN101631113B (zh) 一种有线局域网的安全访问控制方法及其系统
US10638321B2 (en) Wireless network connection method and apparatus, and storage medium
US10257161B2 (en) Using neighbor discovery to create trust information for other applications
US11496320B2 (en) Registration method and apparatus based on service-based architecture
US7707412B2 (en) Linked authentication protocols
CN101222331B (zh) 一种认证服务器及网状网中双向认证的方法及系统
CN112039872A (zh) 基于区块链的跨域匿名认证方法及系统
CN101635710B (zh) 一种基于预共享密钥的网络安全访问控制方法及其系统
CN101631114B (zh) 一种基于公钥证书的身份鉴别方法及其系统
JP5513482B2 (ja) ネットワーク内のステーション分散識別方法
WO2009094941A1 (fr) Procédé, dispositif et système pour un accès d'authentification de réseau à sauts multiples sans fil basé sur id
CN105577680A (zh) 密钥生成方法、解析加密数据方法、装置及密钥管理中心
CN109905877B (zh) 通信网络系统的消息验证方法、通信方法和通信网络系统
Jiang et al. Two-factor authentication protocol using physical unclonable function for IoV
CN104901940A (zh) 一种基于cpk标识认证的802.1x网络接入方法
He et al. An accountable, privacy-preserving, and efficient authentication framework for wireless access networks
CN101610515A (zh) 一种基于wapi的认证系统及方法
CN102487506A (zh) 一种基于wapi协议的接入认证方法、系统和服务器
CN101282215A (zh) 证书鉴别方法和设备
KR20090002328A (ko) 무선 센서 네트워크에서의 새로운 장치 참여 방법
CN112333705B (zh) 一种用于5g通信网络的身份认证方法及系统
WO2014084711A1 (en) A system and method for duty-shared authenticated group key transport
KR101057650B1 (ko) 사회적 커뮤니티 생성 권한 위임 방법
Cui et al. A Dynamic C-V2X anonymous authentication and group keyagreement protocol
CN116707793A (zh) 一种电力物联终端设备的认证方法及装置

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
C14 Grant of patent or utility model
GR01 Patent grant