CN101707769A - 一种在无线局域网中wapi重认证的方法及系统 - Google Patents

Abstract

一种在无线局域网中WAPI重认证的方法，任一AP获取其它AP的身份证书；在STA首次与AP关联的WAPI认证过程中，所述STA完成与所述无线局域网中其他AP的证书鉴别和基密钥协商；所述STA与其他任一目的AP的WAPI认证，只需使用缓存的BK进行单播会话密钥协商和组播会话密钥通告。一种在无线局域网中WAPI重认证的系统，包括：AP用于获取并缓存局域网内所有AP的身份证书，并缓存为目的AP身份证书列表；用于在WAPI认证过程中，生成所有AP的基密钥，并发送给对应的AP；用于接收并缓存第一个关联AP发送的基密钥，用于完成自身缓存基密钥与来自STA发送的基密钥列表的比对；STA用于在首次WAPI认证的过程中生成并缓存目的AP基密钥列表，用于向目的AP发送WAPI信息的关联请求；ASU：用于与AP的交互，完成身份验证。

Description

一种在无线局域网中WAPI重认证的方法及系统

技术领域

本发明涉及无线通讯领域，尤其是涉及一种在无线局域网环境下，STA(Staion，工作站)在多个AP(Access Point，接入点)之间关联切换过程中使用WAPI进行快速重认证方法及系统。

背景技术

WAPI(WLAN Authentication and Privacy Infrastructure，无线局域网鉴别与保密基础结构)包含有2个部分：WAI(WLAN Authentication Infrastructure，无线局域网鉴别基础结构)和WPI(WLAN Privacy Infrastructure，无线局域网保密基础结构)。WAI鉴别基础结构采用公开密钥技术，用于在AP和STA之间实现身份鉴别和密钥协商，是实现WAPI的基础。WAI通过AS(authentication server，鉴别服务器)对STA和AP进行双向的身份认证，若采用基于证书的方式，整个过程包括证书鉴别、单播密钥协商与组播密钥通告；若采用预共享密钥的方式，整个过程则为单播密钥协商与组播密钥通告。

在无线局域网的扩展服务集(ESS Extended Service Set)中漫游的STA从一个AP覆盖范围移动到另一个AP的覆盖范围时需要进行WAPI的重认证。目前快速从认证的方法主要是与鉴别的认证方法，具体的说就是：若STA已经和ESS中某个AP完成了BKSA和USKSA(unicast session keysecurity association，单播会话密钥安全关联)的建立，它可以和该ESS中的其他AP在关联之前进行预鉴别过程，建立BKSA。如果预鉴别过程成功完成，STA和AP将缓存BKSA，基于BKSA，STA通过单播密钥协商过程建立USKSA，通过组播密钥通告过程建立MSKSA(multicast session key securityassociation，组播会话密钥安全关联)。该方法的弊端在于，随着需要进行预鉴别AP数量的增多，每一个AP都需要通过已关联AP进行预鉴别，在此过程中耗费的时间也是非常多的；而且当需要预鉴别的AP数量很大时，这会影响AP正常的数据通讯，对AP的处理性能产生影响。因此，WAPI机制预鉴别的方法，虽然在一定程度上实现了快速漫游，但是随着无线局域网中无线AP数量的增多，这会影响AP和STA的性能，降低AP和STA的处理速度。

发明内容

为缩短重认证需要的时间，同时避免预鉴别对于AP和STA的影响，本发明提供了一种STA在无线局域网中WAPI重认证的方法。该方法实现了STA在首次与AP关联进行WAPI认证的过程中，即完成与一组AP的证书鉴别和基密钥协商，有效缩短了STA在AP间切换的延时。

本发明提供的一种无线局域网中的WAPI重认证的方法，其特征在于，

无线局域网中任一AP获取其它AP的身份证书；

在STA首次与AP关联的WAPI认证过程中，所述STA完成与所述无线局域网中其他AP的证书鉴别和基密钥协商；

所述STA与其他任一目的AP的WAPI认证，只需使用缓存的BK进行单播会话密钥协商和组播会话密钥通告.

本发明提供的方法，其特征在于，在所述的方法实施之前，还包括对无线局域网中的AP划分成若干个AP域，而所述的WAPI认证方法适用于每一个AP域；AP域的划分条件包括：同一AP域内的AP物理位置向邻近，AP域中的AP数量以平衡首次关联时WAPI认证速度和重认证速度为宜。

本发明还公开了一种WAPI重认证的系统，包括：

AP：用于获取并缓存局域网内所有AP的身份证书，并缓存为目的AP身份证书列表；作为第一个关联AP时，用于在WAPI认证过程中，生成所述局域网内所有AP的基密钥，并把生成的基密钥发送给对应的AP；作为其他AP时，用于接收并缓存第一个关联AP发送的基密钥，用于完成自身缓存基密钥与来自STA发送的基密钥列表的比对；

STA：用于在首次与AP关联进行WAPI认证的过程中生成并缓存目的AP基密钥列表，用于向目的AP发送WAPI信息的关联请求；

ASU：用于与AP的交互，完成身份验证。

本发明公开的方法和系统，STA只需和关联AP进行一次身份鉴别过程，即可生成一组AP或者整个AP域中的基密钥列表。STA在一组AP或者AP域中漫游时，STA利用已生成的基密钥列表与其它AP进行单播密钥和组播密钥的协商。目的AP证书列表的应用和传统的WAPI机制相比有以下优势：首先，将STA和所连AP的鉴别过程以及STA和多个AP的预鉴别过程，统一为和已关联AP的鉴别过程，只不过此时AP使用的身份证书是包括它自身以及域中其它AP证书在内的目的AP证书列表，这与现有WAPI机制中逐个完成预鉴别过程相比，节省了重认证的时间，应用效率上有了明显的提高。其次，对于AP来说，因为在首次鉴别过程中就实现STA和AP域所有AP的认证，随后的预鉴别不会发生，而预鉴别过程是在STA和所连AP完成单播会话密钥的协商并安装密钥之后才可启动，因此会影响到后续的数据通信，而采用本发明所述的方法即可使AP处理普通数据通信速度不受影响，也就是提升了AP的处理能力。另外，通过对AP域空间范围的合理划分，可以进一步加快STA在整个无线局域网内部的漫游认证。

附图说明

图1为本发明实施例方法流程图；

图2为本发明第一实施例认证过程的示意图；

图3为本发明第二实施例AP域划分的示意图。

具体实施方式

本发明的构思是：STA与无线局域网中任一AP身份鉴别过程，即可生成针对一组AP的基密钥列表。当STA需要与其他AP关联时，STA只需要利用已生成的基密钥列表与其它AP进行单播密钥和组播密钥的协商即可。

旨在节省重认证的时间，应用效率上获得明显的改善，同时避免预鉴别及其带来的对数据通信的影响。

下面结合附图和具体实施方式对本发明所述技术方案进行详细描述。

第一实施例

本实施例是STA在一个包含AP数量较少的无线局域网的WAPI重认证的方法。该方法的实施步骤如图1所示，包括以下步骤：

步骤101：任一AP获取其他AP的身份证书，并缓存为一个身份证书列表。

步骤102：STA与首次与无线局域网中任一AP关联时完成与所有AP的身份认证及密钥协商。

步骤103：STA经漫游与其他AP关联，向目的AP发送携带WAPI信息的关联请求。

步骤104：第二AP用缓存的基密钥与STA提交的基密钥列表进行比对，存在一致的基密钥则跳过证书鉴别过程，只需使用缓存的BK进行单播会话密钥协商和组播会话密钥通告。

进一步地，

如图2所示，步骤102包含分步骤，

步骤202：在鉴别激活过程中，STA关联至某一个AP时(该AP成为关联AP)，关联AP向STA发送鉴别激活分组以启动整个鉴别过程。鉴别激活分组的格式包括标识FLAG、鉴别标识、本地ASU(鉴别服务单元)身份、AE证书、ECDH参数。其中AE证书中存放的是目的AP证书列表，其中缓存有AP域中所有AP的身份证书，首证书为关联AP的身份证书，证书之间有分隔符区分。

步骤204：STA接收到鉴别激活分组后，它根据鉴别激活分组中的AP信任的ASU身份选择由该ASU颁发的证书，随机产生STA挑战，并产生用于ECDH交换的临时私钥x和临时公钥x·P。

步骤206：STA构造接入鉴别请求分组，发送给关联AP，该鉴别请求分组包括：STA挑战、用于ECDH交换的STA的临时私钥x和临时公钥x·P、关联AP信任的ASU(鉴别服务器单元)颁发的证书、在AE身份字段存放目的AP身份证书列表。

步骤208：关联AP收到STA接入鉴别请求后，对收到的分组进行检查，首先关联AP会验证证书鉴别请求分组中的AP身份字段和自身的列表是否一致，以及ECDH参数和自己先前发送的分组是否一致，不一致则丢弃，一致则验证STA的数字签名，通过后则按照现有WAPI机制生成证书鉴别请求分组并发送给ASU，所述证书鉴别请求分组中AE证书字段使用目的AP身份证书列表。

步骤210：ASU收到关联AP的证书鉴别请求后，验证关联AP的签名和目的AP身份证书列表的有效性，若签名不正确，则鉴别过程失败，正确则进一步验证STA证书。

步骤212：验证完毕后，ASU将STA证书鉴别结果信息(包括STA证书和鉴别结果)、AP证书鉴别结果信息(包括更新后的目的AP证书列表、鉴别结果及接入鉴别请求时间)和ASU对它们的签名构成证书鉴别响应发送回给关联AP。

步骤214：关联AP对ASU返回的证书鉴别响应进行ASU签名的验证，若不正确，则丢弃该接入鉴别响应分组，若正确则得到STA证书的鉴别结果，根据此结果对STA进行接入控制；

关联AP根据证书的验证结果更新目的AP身份证书列表，即删除列表中证书验证未通过的目的AP证书；

关联AP根据所述更新后的目的AP身份证书列表中的每一个AP身份证书，相应地生成各个AP用于ECDH交换的临时私钥y和临时公钥y·P，利用各个AP的临时私钥y和STA的临时公钥y·P计算生成BK列表.

步骤216：关联AP设定接入结果为成功，并构造接入鉴别响应分组并发送给STA，所述接入鉴别响应分组中AE密钥数据使用的是已验证通过的目的AP的密钥数据；

此时关联AP将证书鉴别结果以及生成的基密钥列表中的每个基密钥发送给AP域中对应的AP，这些AP先对关联AP和STA的身份进行验证，验证成功后则缓存关联AP发送过来的基密钥；

步骤218：STA得到接入鉴别响应分组之后，先根据分组中目的AP身份列表中的首AP身份和STA的身份来判断是否为对应当前接入鉴别请求分组的接入鉴别响应分组，不是则丢弃该分组；是，则比较STA挑战、STA密钥与发送的接入鉴别请求分组中的是否一致，一致则验证AP的签名正确性，若证书鉴别结果有效，则STA利用自己的临时私钥x，以及AE密钥数据中各个已通过验证的AP的临时公钥y·P，生成密钥种子，通过运算生成基密钥列表。

至此，STA即完成了与AP的首次鉴别。同时，STA缓存有所述的基密钥列表，局域网所有AP均缓存有其对应的基密钥。

第二实施例

在大规模的无线网络中，只要将网络的划分合理，也可以利用实施例一所述的方法。具体实施步骤如下：

首先，如图二所示，把无线网络中的AP分为若干个AP域，每个AP域中的AP均获取了其所在AP域内其他AP的身份证书，并缓存有一个本AP域的目的AP身份证书列表。

STA首次和某一个AP关联时，依照第二实施例所述方法完成对所述AP域中所有AP的证书鉴别和基密钥协商。

STA与原关联AP域内其他AP关联时，即可跳过证书鉴别过程，直接使用缓存的基密钥进行单播会话密钥协商和组播会话密钥协商过程

当STA超越了首次证书鉴别所在AP域，需要与其他AP域关联时，则需需要重复首次与AP关联时的认证方法。

本发明所述的方法，由于在首次进入AP域时，身份鉴别成功后即可对域中所有AP生成基密钥列表，不需要再次进行证书鉴别和基密钥协商，所以缩短了STA在同域AP间切换的延时。与预鉴别机制相比，STA只需要一次验证，就可以实现在整个AP域中的漫游。基于这个原因，该方法在应用于大规模网络时，可以减轻STA负担，并在更大范围内实现快速移动。而且对于AP来说，预鉴别次数的减少也意味着AP处理普通数据通信速度受预鉴别影响的程度降低。在大规模的无线网络中，只要将网络的划分合理，即可实现STA的快速漫游，减少STA的鉴别次数。

以上所述仅为本发明的实施例而已，并不用于限制本发明，对于本领域的技术人员来说，本发明可以有各种更改和变化。凡在本发明的精神和原则之内，所作的任何修改、等同替换、变化等，均应包含在本发明的权利要求范围之内。

Claims (14)

1.一种无线局域网中的WAPI重认证的方法，其特征在于，

无线局域网中任一接入点(AP)获取其它接入点的身份证书；

在工作站(STA)首次与AP关联的WAPI认证过程中，所述STA完成与所述无线局域网中其他AP的证书鉴别和基密钥协商；

所述STA与其他任一目的AP的WAPI认证，只需使用缓存的基密钥(BK)进行单播会话密钥协商和组播会话密钥通告。

2.根据权利要求1所述的方法，其特征在于，所述任一AP获取其他AP的身份证书后，把所有AP身份证书缓存为一个目的身份证书列表。

3.根据权利要求1所述的方法，其特征在于，完成所述STA与所述无线局域网中其他AP的证书鉴别和基密钥协商的方法包括：所述STA首次与AP关联，(前面这句似乎不通顺。。)所述AP向所述STA发送鉴别激活分组，启动鉴别过程，所述鉴别激活分组中的鉴别器实体(AE)身份字段中存放有所述目的AP身份列表。

4.根据权利要求3所述的方法，其特征在于，所述STA在收到所述鉴别激活分组后，随机生成挑战，产生用于ECDH交换的STA的临时私钥x和临时公钥x·P，附上关联AP信任的鉴别服务单元(ASU)颁发的证书，连同存放有所述目的AP身份证书列表的AE身份字段，构造接入鉴别请求分组发送给关联AP。

5.根据权利要求4所述的方法，其特征在于，所述关联AP收到接入鉴别请求分组后，验证所述接入请求分组为有效时，随机生成挑战，连同所述目的AP身份证书列表、STA挑战、STA身份证书等构成证书鉴别请求分组发送给ASU。

6.根据权利要求5所述的方法，其特征在于，ASU在收到所述证书鉴别请求分组后，验证所述目的AP身份证书列表和STA身份证书，验证通过则构造证书鉴别响应分组，附加相应的签名，发送给所述关联AP。

7.根据权利要求6所述的方法，其特征在于，

AP收到所述证书鉴别响应分组后，验证所述证书鉴别响应分组有效性；

更新目的AP身份证书列表，并针对更新后目的AP身份证书列表中每一个身份证书生成各自的用于ECDH交换的临时私钥y和临时公钥y·P，利用每个AP的临时私钥y和STA的临时公钥有y·P生成基密钥列表，关联AP将证书鉴别结果以及基密钥列表中的每个基密钥发送给对应的AP；

收到基密钥的每个AP对所述关联AP和STA的身份进行验证，验证成功后缓存收到的基密钥；

关联AP构造接入响应分组并发送给STA，所述接入响应分组中的AE使用的数据为通过验证所述目的AP的密钥数据。

8.根据权利要求7所述的方法，其特征在于，所述STA接收到所述接入响应分组后，验证所述接入响应分组的有效性，验证不通过则丢弃该分组，验证通过后，STA利用其临时私钥x，以及所述AP密钥数据中所述目的AP的临时公钥y·P生成基密钥列表，并缓存。

9.根据权利要求1所述的方法，其特征在于，所述STA与其他任一目的AP关联进行WAPI认证的具体步骤为：

所述STA向所述目的AP发送携带WAPI信息的关联请求，所述WAPI信息中至少包含已经协商出的基密钥列表；

所述目的AP收到关联请求后，检查自身缓存的基密钥的有效性，有效，则将缓存的基密钥与所述WAPI信息中的基密钥列表比对，比对结果为存在一致的基密钥时，跳过证书鉴别过程，使用缓存的基密钥进行单播会话密钥和组播会话密钥通告。

10.根据权利要求1至9任一项述的方法，其特征在于，在所述的方法实施之前，还包括对无线局域网中的AP划分成若干个AP域，而所述的WAPI认证方法适用于每一个AP域；AP域的划分条件包括：同一AP域内的AP物理位置向邻近，AP域中的AP数量以平衡首次关联时WAPI认证速度和重认证速度为宜。

11.一种无线局域网中的WAPI重认证的系统，其特征在于，所述系统包括：

AP：用于获取其他目的AP的身份证书；作为第一个关联AP时，用于在WAPI认证过程中，生成所述局域网内所有AP的基密钥，并把生成的基密钥发送给对应的AP；作为其他AP时，用于接收并缓存首次关联AP发送的基密钥；作为重认证AP时，用于完成自身缓存基密钥与来自STA发送的基密钥列表的比对；

STA：用于在首次与AP关联进行WAPI认证的过程中生成并缓存目的AP基密钥列表；用于向目的AP发送WAPI信息的关联请求；

ASU：用于与AP的交互，完成身份验证。

12.根据权利要求11所述的系统，其特征在于，所述AP还用于将获取的AP身份证书缓存为目的AP身份证书列表；用于根据证书验证结果，更新目的AP身份证书列表。

13.根据权利要求11所述的系统，其特征在于，所述STA还用于接收接入响应分组后，验证所述接入响应分组的有效性；STA利用临时私钥x，以及所述AP密钥数据中所述目的AP的临时公钥y·P生成基密钥列表，并缓存。

14.根据权利要求11所述的系统，其特征在于ASU还用于，接收证书鉴别请求分组；验证目的AP身份证书列表和STA身份证书；构造证书鉴别响应分组，附加相应的签名，发送给关联AP。

Images