CN101754203B - 一种wapi证书获取方法、装置及网络系统 - Google Patents

Abstract

本发明适用于移动通信领域，提供了一种WAPI证书获取方法、装置及网络系统，所述方法包括下述步骤：移动终端判断不存在与IMSI对应的WAPI证书时，利用预置的通用WAPI证书向接入点发起网络接入请求；接入点接收移动终端利用所述通用WAPI证书发起的网络接入请求，向认证服务器请求WAPI证书鉴权；认证服务器接收接入点的WAPI证书鉴权请求，从所述通用WAPI证书中提取移动终端的IMSI，向网络服务器请求IMSI验证；认证服务器根据网络服务器验证有效的IMSI生成专用WAPI证书，分发给移动终端。本发明获取证书的过程方便安全，不需要用户以及运营商员工的参与，且方便运营商管理和计费。

Description

一种WAPI证书获取方法、装置及网络系统

技术领域

本发明属于移动通信领域，尤其涉及一种WAPI证书获取方法、装置及网络系统。

背景技术

无线局域网鉴别与保密基础结构(WLAN Authentication and PrivacyInfrastructure，WAPI)是针对IEEE802.11中有线等效保密(Wired EquivalentPrivacy，WEP)协议安全问题，经多方参加，反复论证，充分考虑各种应用模式，在中国无线局域网国家标准GB15629.11中提出的WLAN安全解决方案。WAPI采用基于公钥密码体系的证书机制，真正实现了移动终端(Station，STA)与无线接入点(Access Point，AP)间的双向鉴别。用户只要安装一张证书就可在覆盖WLAN的不同地区漫游，方便用户使用。接入点设置好证书后，无须再对后台的验证、授权和记账(Authentication、Authorization、Accounting，AAA)服务器进行设置，安装、组网便捷，易于扩展。WAPI证书支持Windows98/2000/XP、Linux等操作系统，提供与现有计费技术兼容的服务，可实现按时计费、按流量计费、包月等多种计费方式。

目前，移动终端可以通过几种方式获取WAPI证书，一种方式是先获取用户名及口令，利用非加密的无线接入点进行连接，通过强制PORTAL的WEB认证方式进行用户名及口令认证，认证成功，移动终端可通过无线接入点访问Internet网，移动终端通过认证服务器(Authentication server，AS)的IP，访问认证服务器请求分发证书，证书分发后移动终端就下载该用户证书和服务器证书进行安装。第二种方式是利用网络中的电脑访问认证服务器，并请求分发证书，将证书下载到电脑上，然后拷贝到移动终端上进行安装。第三种就是移动终端用户到营业厅申请WAPI证书。

在上述方案中，第一种方案需要事先注册用户名及口令，并且通过强制PORTAL的WEB认证，在非加密方式下无线接入网络，存在安全隐患。第二种方式中用户需要有可以上网的电脑，并且不适合运营商对WAPI网络进行计费管理。第三种方式需要用户和营运商员工的参与，操作复杂。

发明内容

本发明实施例的目的在于提供一种WAPI证书获取方法，旨在解决现有移动终端在获取WAPI证书时操作不方便、不安全的问题。

本发明实施例是这样实现的，一种WAPI证书获取方法，所述方法包括下述步骤：

移动终端判断不存在与IMSI对应的WAPI证书时，利用预置的通用WAPI证书向接入点发起网络接入请求；

接入点接收移动终端利用所述通用WAPI证书发起的网络接入请求，向认证服务器请求WAPI证书鉴权；

认证服务器接收接入点的WAPI证书鉴权请求，从所述通用WAPI证书中提取移动终端的IMSI，向网络服务器请求IMSI验证；

认证服务器根据网络服务器验证有效的IMSI生成专用WAPI证书，分发给移动终端。

本发明实施例的另一目的在于提供一种基于WAPI协议的WLAN网络系统，所述系统包括：

至少一个移动终端，其预置有通用WAPI证书，用于在判断不存在与IMSI对应的WAPI证书时，利用所述通用WAPI证书发起网络接入请求；

至少一个接入点，用于接收所述移动终端利用所述通用WAPI证书发起的网络接入请求，发起WAPI证书鉴权请求；以及

认证服务器，用于接收所述接入点发起的WAPI证书鉴权请求，从所述通用WAPI证书中提取所述移动终端的IMSI，向网络服务器请求IMSI验证，接收网络服务器返回的IMSI验证结果信息，IMSI验证通过后，根据有效的IMSI生成专用WAPI证书，分发给所述移动终端。

本发明实施例的另一目的在于提供一种WAPI证书获取装置，所述装置包括：

通用WAPI证书存储单元，用于存储预置的通用WAPI证书；

网络接入判断单元，用于在向接入点发起网络接入时，判断是否存在与IMSI对应的专用WAPI证书；

专用WAPI证书接收单元，用于接收认证服务器分发的专用WAPI证书；以及

网络接入单元，用于利用所述通用WAPI证书或者专用WAPI证书向接入点发起网络接入请求。

本发明实施例的另一目的在于提供一种包含上述WAPI证书获取装置的移动终端。

本发明实施例的另一目的在于提供一种WAPI证书分发装置，所述装置包括：

IMSI验证单元，用于从移动终端的通用WAPI证书中提取移动终端的IMSI，向网络服务器发送IMSI验证请求，接收网络服务器返回的IMSI验证结果信息；

专用WAPI证书生成单元，用于在IMSI验证通过后，根据验证有效的IMSI生成专用WAPI证书；以及

WAPI证书分发单元，用于将所述专用WAPI证书分发给对应的移动终端。

本发明实施例的另一目的在于提供一种包含上述WAPI证书分发装置的认证服务器。

本发明实施例的另一目的在于提供一种包含上述认证服务器的WLAN网络系统。

本发明实施例中在WAPI证书获取中增加IMSI验证，使得移动终端可以利用预置的通用WAPI证书获取专有WAPI证书，获取证书的过程方便安全，不需要用户以及运营商员工的参与，且方便运营商管理和计费。

附图说明

图1是本发明实施例提供的基于WAPI协议的WLAN安全网络的结构图；

图2是本发明实施例提供的WAPI证书获取方法的实现流程图；

图3是本发明实施例提供的WAPI证书获取装置的结构图；

图4是本发明实施例提供的WAPI证书分发装置的结构图。

具体实施方式

为了使本发明的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本发明进行进一步详细说明。应当理解，此处所描述的具体实施例仅仅用以解释本发明，并不用于限定本发明。

本发明实施例将移动终端的IMSI作为生成专用WAPI证书的一个信息，移动终端通过通用WAPI证书请求接入网络，认证服务器从通用WAPI证书中提取移动终端的IMSI，生成专用WAPI证书，分发给移动终端，可以同时满足营运商移动终端的管理，以及用户操作的便利性和安全性

图1示出了本发明实施例提供的基于WAPI协议的WLAN网络系统的结构，为了便于说明，仅示出了本发明实施例相关的部分。

该网络系统由移动终端I、接入点2和认证服务器3三个实体组成，网络系统中的移动终端1和接入点2往往有多个。

认证服务器3负责WAPI证书的颁发、验证与吊销等。移动终端1与接入点2上都安装有认证服务器3颁发的公钥WAPI证书，作为自身的数字身份凭证。

当移动终端1登录至接入点2时，在使用或访问Internet网络之前必须通过认证服务器3对双方进行身份验证。根据身份验证的结果，持有合法WAPI证书的移动终端才能接入持有合法WAPI证书的接入点，通过接入点2访问网络。这样，不仅可以防止非法移动终端接入接入点2而访问网络并占用网络资源，而且还可以防止移动终端1登录至非法接入点而造成信息泄漏。

在本发明实施例中，移动终端1中预置有一个通用WAPI证书，一般由移动终端制造商在生产时实现。移动终端1在判断不存在与IMSI对应的WAPI证书时，利用该通用WAPI证书向接入点2发起网络接入请求，连接到接入点2。

接入点2接收移动终端1利用该通用WAPI证书发起的网络接入请求，向认证服务器3发起WAPI证书鉴权请求，将移动终端1的通用WAPI证书和自身的WAPI证书到认证服务器3申请鉴权。

认证服务器3接收接入点2发起的WAPI证书鉴权请求，从通用WAPI证书中提取移动终端1的国际移动用户识别码(International Mobile SubscriberIdentity，IMSI)，将该IMSI发送到网络服务器4，向网络服务器4请求IMSI验证，接收网络服务器4返回的IMSI验证结果信息。

网络服务器4验证该IMSI是否有效，如果网络服务器4验证该IMSI有效，则通知认证服务器3。

认证服务器3根据该有效的IMSI生成专用WAPI证书，分发给移动终端1。

移动终端1收到该专用WAPI证书后，安装该专用WAPI证书，重新发起连接。认证服务器3将该专用WAPI证书对应的IMSI发送给网络服务器4，网络服务器4对移动终端1进行管理和计费。

图2示出了本发明实施例提供的WAPI证书获取方法的实现流程，详述如下：

1.移动终端启动WAPI，搜索接入点；

作为本发明的一个实施例，移动终端在申请接入接入点时，判断是否存在与IMSI对应的专用WAPI证书，是则利用该WAPI证书连接接入点，否则执行第2步。

2.移动终端读取IMSI，利用移动终端预置的通用WAPI证书向接入点发起网络接入请求；

3.接入点向认证服务器请求WAPI证书鉴权，将移动终端的通用WAPI证书和自身的WAPI证书发送到认证服务器申请鉴权；

4.认证服务器从移动终端的通用WAPI证书中提取移动终端的IMSI，向网络服务器请求ISMI验证；

5.网络服务器对IMSI进行验证，向认证服务器返回验证结果信息；

在本发明实施例中，网络服务器验证IMSI是否有效，如果验证通过，则向认证服务器返回IMSI验证有效的验证结果信息，并执行第6步；如果验证未通过，则向认证服务器返回IMSI验证无效的验证结果信息，认证服务器将IMSI验证无效的验证结果信息通知接入点，接入点通知移动终端，并断开与移动终端的连接。

6.认证服务器根据验证有效的IMSI生成对应的专用WAPI证书；

7.认证服务器将生成的专用WAPI证书返回接入点；

8.接入点将该专用WAPI证书返回移动终端。

移动终端获得该专用WAPI证书后，利用该专用WAPI证书重新向接入点发起网络接入请求。

图3示出了本发明实施例提供的WAPI证书获取装置的结构，为了便于说明，仅示出了与本发明实施例相关的部分。

该WAPI证书获取装置可以用于具备将利用WAPI证书接入网络的移动终端中，可以是运行于这些移动终端内的软件单元、硬件单元，或者软硬结合的单元，也可以作为独立的挂件集成到这些移动终端中或者运行于这些移动终端的应用系统中，其中：

通用WAPI证书存储单元31存储预置的通用WAPI证书。

网络接入判断单元32在向接入点发起网络接入时，判断是否存在与IMSI对应的专用WAPI证书。

网络接入单元33在网络接入判断单元32判断不存在与IMSI对应的专用WAPI证书时，利用该通用WAPI证书向接入点发起网络接入请求。

专用WAPI证书接收单元34接收认证服务器分发的专用WAPI证书，移动终端安装该专用WAPI证书后，网络接入单元33可以利用该专用WAPI证书重新向接入点发起网络接入请求。

图4示出了本发明实施例提供的WAPI证书分发装置的结构，为了便于说明，仅示出了与本发明实施例相关的部分。

该WAPI证书分发装置可以用于WLAN网络系统中的认证服务器中，可以是运行于认证服务器内的软件单元、硬件单元，或者软硬结合的单元，也可以作为独立的挂件集成到认证服务器中或者运行于认证服务器的应用系统中，其中：

IMSI验证单元41从移动终端的通用WAPI证书中提取移动终端的IMSI，向网络服务器发送IMSI验证请求，接收网络服务器返回的IMSI验证结果信息。

专用WAPI证书生成单元42在IMSI验证通过后，根据验证有效的IMSI生成专用WAPI证书。

WAPI证书分发单元43将该专用WAPI证书分发给对应的移动终端。

本发明实施例中在WAPI证书获取中增加IMSI验证，使得移动终端可以利用预置的通用WAPI证书获取专有WAPI证书，获取证书的过程方便安全，不需要用户以及运营商员工的参与，且方便运营商管理和计费。

以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内所作的任何修改、等同替换和改进等，均应包含在本发明的保护范围之内。

Claims (10)

1.一种WAPI证书获取方法，其特征在于，所述方法包括下述步骤：

移动终端在申请接入接入点，判断不存在与IMSI对应的WAPI证书时，利用预置的通用WAPI证书向接入点发起网络接入请求；

接入点接收移动终端利用所述通用WAPI证书发起的网络接入请求，向认证服务器请求WAPI证书鉴权；

认证服务器接收接入点的WAPI证书鉴权请求，从所述通用WAPI证书中提取移动终端的IMSI，向网络服务器请求IMSI验证；

认证服务器根据网络服务器验证有效的IMSI生成专用WAPI证书，分发给移动终端。

2.如权利要求1所述的方法，其特征在于，所述方法进一步包括下述步骤：

在移动终端预置通用WAPI证书。

3.一种基于WAPI协议的WLAN网络系统，其特征在于，所述系统包括：

至少一个移动终端，其预置有通用WAPI证书，用于在申请接入接入点，判断不存在与IMSI对应的WAPI证书时，利用所述通用WAPI证书发起网络接入请求；

至少一个接入点，用于接收所述移动终端利用所述通用WAPI证书发起的网络接入请求，发起WAPI证书鉴权请求；以及

认证服务器，用于接收所述接入点发起的WAPI证书鉴权请求，从所述通用WAPI证书中提取所述移动终端的IMSI，向网络服务器请求IMSI验证，接收网络服务器返回的IMSI验证结果信息，IMSI验证通过后，根据有效的IMSI生成专用WAPI证书，分发给所述移动终端。

4.如权利要求3所述的系统，其特征在于，所述移动终端包括：

通用WAPI证书存储单元，用于存储预置的通用WAPI证书；

网络接入判断单元，用于在向所述接入点发起网络接入时，判断是否存在与IMSI对应的专用WAPI证书；

专用WAPI证书接收单元，用于接收所述认证服务器分发的专用WAPI证书；以及

网络接入单元，用于利用所述通用WAPI证书或者专用WAPI证书向所述接入点发起网络接入请求。

5.如权利要求3所述的系统，其特征在于，所述认证服务器包括：

IMSI验证单元，用于从所述通用WAPI证书中提取移动终端的IMSI，向网络服务器发送IMSI验证请求，接收网络服务器返回的IMSI验证结果信息；

专用WAPI证书生成单元，用于在IMSI验证通过后，根据验证有效的IMSI生成专用WAPI证书；以及

WAPI证书分发单元，用于将所述专用WAPI证书分发给对应的移动终端。

6.一种WAPI证书获取装置，其特征在，所述装置包括：

通用WAPI证书存储单元，用于存储预置的通用WAPI证书；

网络接入判断单元，用于在向接入点发起网络接入时，判断是否存在与IMSI对应的专用WAPI证书；

专用WAPI证书接收单元，用于接收认证服务器分发的专用WAPI证书；以及

网络接入单元，用于当不存在与IMSI对应的专用WAPI证书时，利用所述通用WAPI证书向接入点发起网络接入请求或者利用专用WAPI证书向接入点发起网络接入请求。

7.一种包含权利要求6的WAPI证书获取装置的移动终端。

8.一种WAPI证书分发装置，其特征在于，所述装置包括：

IMSI验证单元，用于从移动终端利用的向接入点发起网络接入请求的通用WAPI证书中提取移动终端的IMSI，向网络服务器发送IMSI验证请求，接收网络服务器返回的IMSI验证结果信息；

专用WAPI证书生成单元，用于在IMSI验证通过后，根据验证有效的IMSI生成专用WAPI证书；以及

WAPI证书分发单元，用于将所述专用WAPI证书分发给对应的移动终端。

9.一种包含权利要求8的WAPI证书分发装置的认证服务器。

10.一种包含权利要求9的认证服务器的WLAN网络系统。

Images