CN102256247A - 无线网络中安全有效的切换认证方案的通用构造 - Google Patents

Abstract

本发明公开了无线网络中安全有效的切换认证方案的通用构造，包括初始化全认证过程和切换认证过程；首先设置系统参数，然后描述通用方法的两个过程；所述初始化全认证过程包括网络认证阶段和切换初始化阶段；所述切换初始化阶段为：在切换初始化阶段，MN和AAA服务器之间的通信是经由AP₁通过安全信道实现的；证书请求，证书生成，证书响应，切换参数设置。

Description

无线网络中安全有效的切换认证方案的通用构造

技术领域

本发明涉及无线网络中安全有效的切换认证方案的通用构造，可用于无线网络中的移动节点和接入点之间进行安全有效的互相认证和会话密钥协商。

背景技术

随着电子技术的快速发展，各种移动节点MN(Mobile Node)已经出现，如手机、手提电脑、个人数字助理等；越来越多针对MN的电子交易是在无线网络中实现的，这些无线网络包括无线局域网WLAN(Wireless Local Area Network)、WiMAX(WorldwideInteroperability for Microwave Access)、3GPP(the 3^rd GenerationPartnership Project)等；对于MN来说，在任何地点任何时间进行数据传送是非常必要的；这一实际的应用需求引出了无线网络中的切换认证技术。

在无线网络中，一个可取的切换认证方案的实现必须考虑以下几个方面：(1)当一个MN从当前的接入点AP(Access Point)所覆盖的区域移动到一个新的接入点所覆盖的区域时，这个MN和新的接入点必须互相认证；(2)由于MN的计算能力很有限，所以要求MN进行大量计算的切换认证方案是不实用的；(3)与有线网络相比，无线网络有着更小的带宽和更高的误码率；因此，在切换认证方案中，消息的大小及传输次数要尽可能的小；(4)MN和AP之间必须协商一个会话密钥，以保证接下来的通信的机密性；(5)为了保证通信的连续性，即实现无缝切换，一个理想的切换认证方案的切换时延应该不超过20毫秒。

近几年来，关于切换认证已经有了大量的研究结果；在802.11i中，切换认证超过了200毫秒，这对实时通信而言是无法接受的；为了实现快速的切换认证，Mishra等提出了一个密钥预分配方法，利用邻接图知识在任何邻近的接入点之间分发成对主密钥PMK(PairwiseMaster Key)；该方法将平均切换时延降低到21毫秒，但代价是增加了AAA服务器的负担和丧失了可扩展性；此外，Pack和Choi提出了一个基于预认证的切换认证方案；Hong等基于哈希链提出了一个预认证方案，其中的哈希链由AP和AAA服务器共享；尽管以上两个方案都实现了切换认证，但仍然没有克服增加AAA服务器的负担这一缺点；以上几个方案都是基于AAA服务器的，由于增加了系统复杂性及AP和AAA服务器之间的连接失败，这些方案的应用都很有限。

为了克服上述缺点，Wang和Prasad通过交换一个随机数提出了一个快速切换认证方案，被称为安全文本传输方案(Security ContextTransfer，SCT)；该方案在切换过程中不需要AAA服务器的参与，但仍然需要在AP之间建立信任关系，从而增加了系统复杂性。

与基于AAA服务器的方案和SCT方案不同，Kim等提出了基于身份的切换认证方案，从而降低了系统发杂性；然而，由于密钥托管问题和双线性对运算的使用，该方案并不适用于MN资源受限的无线网络。

后来，Choi和Jung利用基于变色龙哈希函数的证书提出了一个切换认证方案；该方案不需要与AAA服务器通信，也不需要在AP之间建立信任关系；然而，该方案的通信量和计算量太大；此外，Yoon等证明了该方案不具有前项安全性(PFS)和后向安全性(PBS)。

变色龙哈希函数由Krawczyk和Rabin首次提出，是一类陷门单向哈希函数，可以防止除陷门信息的拥有者之外的任何人计算出任何给定输入的碰撞；变色龙哈希函数最早被用于设计变色龙签名，为被签名消息提供不可否认性和不可转让性；在变色龙签名中，陷门信息的拥有者是接收者；Ateniese和Medeiros首次指出最早的变色龙签名方案都存在密钥泄漏问题，他们引入了基于身份的变色龙哈希函数以解决这一问题；Chen等首次提出了无密钥泄漏的变色龙哈希函数的完全构造。

Even等在1989年提出了“在线/离线”数字签名方案；一个“在线/离线”数字签名方案首先是一种数字签名方案，可以生成和验证数字签名，并具有以离线/在线方式完成数字签名的良好性质；在“在线/离线”数字签名方案中，陷门信息的拥有者是签名者；Shamir和Tauman等在2001年使用变色龙函数，提出“杂凑—签名—转换”的方式来实现在线/离线数字签名方案，意在提高效率；然而Shamir等实现的数字签名方案具有密钥泄漏的问题；当签名者使用相同的变色龙函数生成值来对不同的被签名数字内容进行运算，获得不同的数字签名时，验证者就可以获得签名者的签名私钥。Chen等人在2007年提出了一种解决密钥泄露的方法，其中使用了一种特殊的双陷门变色龙函数，并把具体签名方案的签名值作为用户的公开信息，减少了带宽和计算消耗，具有很好的效率。

在基于变色龙哈希函数的切换认证方案中，陷门信息的拥有者是移动节点MN。

由上述可知，现有技术中已公布的无线网络中的切换认证方案并不理想；我们希望给出一种安全有效的切换认证方案的通用构造，使得对于任意一个具体的双陷门变色龙哈希函数，我们可以设计一个具体的切换认证方案，不但可以提供前项安全性和后向安全性等健壮的安全属性，而且在计算量、通信量和存储量等技术指标上进一步优化。

发明内容

为了克服上述现有技术存在的缺陷，本发明提供无线网络中安全有效的切换认证方案的通用构造。

为实现上述目的，本发明的具体方案为：

无线网络中安全有效的切换认证方案的通用构造，包括初始化全认证过程和切换认证过程；首先设置系统参数，然后描述通用方法的两个过程；

所述初始化全认证过程包括网络认证阶段和切换初始化阶段；

所述网络认证阶段为：网络认证过程由传输层安全的扩展认证协议EAP-TLS实现；一旦认证成功，MN就与AP₁共享一个PMK，PMK可用于保证之后的切换初始化阶段的通信安全；

所述切换初始化阶段为：在切换初始化阶段，MN和AAA服务器之间的通信是经由AP₁通过安全信道实现的；如果网络认证成功，则每次切换初始化之后，MN可以从AAA服务器那里获得一个短期的证书Cert_MN，每当证书过期时，AAA服务器都会把过期的证书信息发送给所有的AP；切换初始化阶段是切换认证过程的准备，可以预进行，具体描述如下：秘密参数生成，MN首先生成秘密参数SecParas，包括长期陷门密钥；然后，MN由SecParas和SysParas推导出h，将h作为所采取的双陷门变色龙哈希函数H_HK的值；则证书请求消息就是Message_CertReq＝h‖ID_MN；

证书请求：MN发送证书请求消息Message_CertReq给AAA服务器；

证书生成：收到MN的证书请求消息Message_CertReq后，AAA服务器生成证书Cert_MN＝Sign_SK(Message_CertReq‖T_Exp)；

证书响应：AAA服务器把证书响应消息Message_CertRes发送给MN；所述Message_CertRes＝Cert_MN‖T_Exp；

切换参数设置：收到AAA服务器的Message_CertRes后，MN设置并存储切换参数。

本发明中，所述切换认证过程为：当MN移动到AP₂所覆盖的区域后，MN和AP₂必须进行互相认证；通过切换认证过程，MN和AP₂不但可以实现互相认证，而且可以进行密钥协商；具体描述如下：

陷门碰撞：MN计算一个新的陷门碰撞，然后利用一次性陷门计算验证信息VerifyInfo_MN；

发送验证信息：MN把VerifyInfo_MN发送给AP₂；

当收到MN的VerifyInfo_MN后，AP₂可以根据下面的身份认证过程检验MN的身份的有效性；如果MN的身份有效，才执行接下来的陷门碰撞和密钥协商；

身份认证：当收到MN的VerifyInfo_MN后，AP₂推导出与MN对应的Message_CertReq，并提取Cert_MN和T_Exp；然后，AP₂根据下面的方程(1)对MN进行认证；

Verify_VK(Cert_MN，Message_CertReq‖T_Exp)＝“valid”(1)

其中，Verify表示与Sign相对应的签名验证算法，VK表示AAA服务器的公钥，AP₂认为MN是合法的节点当且仅当方程(1)成立；

陷门碰撞：如果MN是合法的，则AP₂计算一个新的陷门碰撞，并利用一次性陷门推导出验证信息

密钥协商：AP₂计算PTK，并推导出确认信息

发送验证-确认信息：AP₂把

发送给MN；当收到AP₂的

后，MN可以根据下面的身份认证过程检验AP₂的身份的有效性；如果AP₂的身份有效，则执行接下来的密钥协商和PTK确认；

身份认证：当收到AP₂的

后，MN推导出与AP₂对应的Message_CertReq，并提取

和T_Exp；然后，MN根据下面的方程(2)对AP₂进行认证；

其中，Verify表示与Sign相对应的签名验证算法，VK表示AAA服务器的公钥；MN认为AP₂是合法的节点当且仅当方程(2)成立；

密钥协商：如果AP₂是合法的，则MN计算PTK；

PTK确认：MN根据

判断AP₂是否已经成功的得到了PTK；如果成功，MN就计算确认信息ConfirmInfo_MN；

确认响应：在确认AP₂已经成功的得到了PTK之后，MN把ConfirmInfo_MN发送给AP₂；

PTK确认：根据ConfirmInfo_MN，AP₂可以判断MN是否已经成功的得到了PTK；

在确定了MN已经成功的得到了PTK的基础上，AP₂可以与MN在一个逻辑过程内实现互相认证和密钥协商；之后，MN和AP₂之间的通信的机密性由PTK保证。

本发明中，所述系统参数生成为：系统参数由所有节点保存，记为SysParas，包括所采取的变色龙哈希函数和可证明安全的数字签名方案的公共参数；此外，秘密签名密钥SK由AAA服务器保存，相应的验证公钥由所有节点保存。

本发明中，Sign是所采取的可证明安全的数字签名算法，SK是AAA服务器所拥有的签名密钥；所述证书响应消息为Message_CertReq‖T_Exp。

所述MN(Mobile Node)为移动节点，所述AP(Access Point)为接入点AP。

本发明的有益效果是：该切换认证方案的通用构造方法简单、实用性强，具有推广作用。

附图说明

图1为初始化全认证过程的步骤框图；

图2为切换认证过程的框图。

具体实施方式：

为了使本发明的技术手段、创作特征与达成目的易于明白理解，以下结合具体实施例进一步阐述本发明

变色龙哈希函数是一种带陷门的抗碰撞哈希函数，它有一个陷门/哈希密钥对(TK，HK)；任何人都可以利用公钥HK有效地计算出与任意输入值相对应的哈希值；然而，对于除秘密TK的拥有者之外的任何用户，不存在有效的算法来计算出给定值的碰撞；首先描述系统参数的生成，接着介绍该函数族及其性质。

系统参数生成：设t是一个素数幂，E(F_t)是有限域F_t上的一个椭圆曲线；令#E(F_t)表示E(F_t)上点的个数，P为E(F_t)上一个阶为素数q的点，其中q|#E(F_t)；G表示由P生成的子群；定义一个密码学安全的哈希函数f：Z_q×G→Z_q，选择两个随机值

同时计算K＝kP，Y＝xP；哈希密钥(即公钥)为HK＝(K，Y)，陷门信息(即私钥)为TK＝(k，x)。

哈希函数族：给定哈希密钥HK，双陷门哈希函数H_HK：Z_q×Z_q→G定义如下：

H_HK(m，r)＝f(m，K)×K+rY；

上述双陷门哈希函数满足如下性质：

1.有效性：给定哈希密钥HK和(m，r)∈Z_q×Z_q，可以在多项式时间内计算出H_HK(m，r)＝f(m，K)·K+rY；

2.抗碰撞性：在不知道陷门信息TK的情况下，寻找(m₁，r₁)，(m₂，r₂)∈Z_q×Z_q，使得m₁≠m₂且H_HK(m₁，r₁)＝H_HK(m₂，r₂)在计算上不可行；

3.陷门碰撞性：假设已知哈希和陷门密钥对(HK，TK)，(m₁，r₁)∈Z_q×Z_q以及一个消息m₂∈Z_q，欲计算r₂∈Z_q，使得

f(m₁，kP)·kP+r₁Y＝f(m₂，kP)·kP+r₂Y；

r₂的值可以在多项式时间内计算，如下所示：

r₂＝r₁+kx^-1(f(m₁，kP)-f(m₂，kP))mod q；

同时，如果r₁在Z_q上满足均匀分布，则r₂与Z_q上的均匀分布是计算上不可区分的。

当一个移动节点MN与AAA服务器进行了互相认证后，MN就接入了一个无线网络，也就是说，MN通过一个接入点AP₁从AAA服务器那里获得了一个成对主密钥PMK；AP₁是MN连接的第一个接入点；由于实际通信的需要，MN需要移动到新的接入点AP₂所覆盖的区域；所以，当通过信道扫描和探测发现AP₂之后，MN必须和AP₂实现带有密钥协商的互相认证，以保证未来的通信安全。

无线网络中安全有效的切换认证方案的通用构造，包括初始化全认证过程和切换认证过程；首先设置系统参数，然后描述通用方法的两个过程。

所述系统参数生成：系统参数由所有节点保存，记为SysParas，包括所采取的变色龙哈希函数和可证明安全的数字签名方案的公共参数；此外，秘密签名密钥SK由AAA服务器保存，相应的验证公钥VK由所有节点保存。

所述初始化全认证过程包括网络认证阶段和切换初始化阶段，如图1所示。

所述网络认证阶段：网络认证就是对无线网络的初始认证；类似于IEEE802.1x的认证过程，网络认证过程可以由传输层安全的扩展认证协议EAP-TLS实现；一旦认证成功，MN就与AP₁共享一个PMK，PMK可用于保证之后的切换初始化阶段的通信安全。

所述切换初始化阶段：在切换初始化阶段，MN和AAA服务器之间的通信是经由AP₁通过安全信道实现的；如果网络认证成功，则每次切换初始化之后，MN就可以从AAA服务器那里获得一个短期的证书Cert_MN；值得注意的是，每当证书过期时，AAA服务器都会把过期的证书信息发送给所有的AP；切换初始化阶段是切换认证过程的准备，可以预进行，所以对效率的影响很小；切换初始化阶段的详细步骤见图1，具体描述如下：秘密参数生成：MN首先生成秘密参数SecParas，包括长期陷门密钥；然后，MN由SecParas和SysParas推导出h，将h作为所采取的双陷门变色龙哈希函数H_HK的值；则证书请求消息就是Message_CertReq＝h‖ID_MN。

证书请求：MN发送证书请求消息Message_CertReq给AAA服务器。

证书生成：收到MN的证书请求消息Message_CertReq后，AAA服务器生成证书Cert_MN＝Sign_SK(Message_CertReq‖T_Exp)；其中，Sign是所采取的可证明安全的数字签名算法，SK是AAA服务器所拥有的签名密钥；证书响应消息就是Message_CertRes＝Cert_MN‖T_Exp。

证书响应：AAA服务器把Message_CertRes发送给MN。

切换参数设置：收到AAA服务器的Message_CertRes后，MN设置并存储切换参数，这些参数在切换认证过程是必不可少的。

所述切换认证过程：当MN移动到AP₂所覆盖的区域后，MN和AP₂必须进行互相认证；通过切换认证过程，MN和AP₂不但可以实现互相认证，而且可以进行密钥协商；切换认证过程的详细步骤见图2，具体描述如下：

陷门碰撞：MN计算一个新的陷门碰撞，然后利用一次性陷门计算验证信息VerifyInfo_MN。

发送验证信息：MN把VerifyInfo_MN发送给AP₂。

当收到MN的VerifyInfo_MN后，AP₂可以根据下面的身份认证过程检验MN的身份的有效性；如果MN的身份有效，则执行接下来的陷门碰撞和密钥协商。

身份认证：当收到MN的VerifyInfo_MN后，AP₂推导出和MN对应的Message_CertReq，并提取Cert_MN和T_Exp；然后，AP₂根据下面的方程(1)对MN进行认证。

Verify_VK(Cert_MN，Message_CertReq‖T_Exp)＝“valid”(1)

其中，Verify表示与Sign相对应的签名验证算法，VK表示AAA服务器的公钥；AP₂认为MN是合法的节点当且仅当方程(1)成立。

陷门碰撞：如果MN是合法的，则AP₂计算一个新的陷门碰撞，并利用一次性陷门推导出验证信息

密钥协商：AP₂计算PTK，并推导出确认信息

发送验证-确认信息：AP₂把

发送给MN，当收到AP₂的

后，MN可以根据下面的身份认证过程检验AP₂的身份的有效性；如果AP₂的身份有效，则执行接下来的密钥协商和PTK确认。

身份认证：当收到AP₂的

后，MN推导出和AP₂对应的Message_CertReq，并提取

和T_Exp；然后，MN根据下面的方程(2)对AP₂进行认证。

其中，Verify表示与Sign相对应的签名验证算法，VK表示AAA服务器的公钥；MN认为AP₂是合法的节点当且仅当方程(2)成立；

密钥协商：如果AP₂是合法的，则MN计算PTK。

PTK确认：MN根据

判断AP₂是否已经成功获得PTK；如果成功，MN就计算确认信息ConfirmInfo_MN。

确认响应：在确认AP₂已经成功得到PTK之后，MN把ConfirmInfo_MN发送给AP₂。

PTK确认：根据ConfirmInfo_MN，AP₂可以判断MN是否已经成功获得PTK。

在确定MN已经成功地得到了PTK的基础上，AP₂可以与MN在一个逻辑过程内实现互相认证和密钥协商；之后，MN和AP₂之间的通信的机密性由PTK保证。

其中，|k|：正整数k的二进制表示的比特长度；s₁‖s₂：比特串s₁和s₂的级联；A→B：Info：节点A发送信息Info给节点B；x^-1：x模q的逆元，即x^-1x＝1mod q，这里x与q均为正整数且互素；q是一个素数，

是一个有限域，

有限域

的乘法群，

从

中随机选取x；ID_n：移动节点n的身份；Cert_n：移动节点n的证书；T_Curr：当前时间；T_Exp：证书过期时间；SK/VK：AAA服务器的签名/验证密钥。

以上显示和描述了本发明的基本原理、主要特征和本发明的优点；本行业的技术人员应该了解，本发明不受上述实施例的限制，上述实施例和说明书中描述的只是说明本发明的原理，在不脱离本发明精神和范围的前提下本发明还会有各种变化和改进，这些变化和改进都落入要求保护的本发明范围内；本发明要求保护范围由所附的权利要求书及其等同物界定。

Claims (4)

1.无线网络中安全有效的切换认证方案的通用构造，其特征在于：包括初始化全认证过程和切换认证过程；首先设置系统参数，然后描述通用方法的两个过程；

所述初始化全认证过程包括网络认证阶段和切换初始化阶段；

所述网络认证阶段为：网络认证过程由传输层安全的扩展认证协议EAP-TLS实现；一旦认证成功，MN就与AP₁共享一个PMK，PMK可用于保证之后的切换初始化阶段的通信安全；

所述切换初始化阶段为：在切换初始化阶段，MN和AAA服务器之间的通信是经由AP₁通过安全信道实现的；如果网络认证成功，则每次切换初始化之后，MN可以从AAA服务器那里获得一个短期的证书Cert_MN，每当证书过期时，AAA服务器都会把过期的证书信息发送给所有的AP；切换初始化阶段是切换认证过程的准备，可以预进行，具体描述如下：秘密参数生成，MN首先生成秘密参数SecParas，包括长期陷门密钥；然后，MN由SecParas和SysParas推导出h，将h作为所采取的双陷门变色龙哈希函数H_HK的值；则证书请求消息就是Message_CertReq＝h‖ID_MN；

证书请求：MN发送证书请求消息Message_CertReq给AAA服务器；

证书生成：收到MN的证书请求消息Message_CertReq后，AAA服务器生成证书Cert_MN＝Sign_SK(Message_CertReq‖T_Exp)；

证书响应：AAA服务器把证书响应消息Message_CertRes发送给MN；所述Message_CertRes＝Cert_MN‖T_Exp；

切换参数设置：收到AAA服务器的Message_CertRes后，MN设置并存储切换参数。

2.根据权利要求1所述无线网络中安全有效的切换认证方案的通用构造，其特征在于：所述切换认证过程为：当MN移动到AP₂所覆盖的区域后，MN和AP₂必须进行互相认证；通过切换认证过程，MN和AP₂不但可以实现互相认证，而且可以进行密钥协商；具体描述如下：

陷门碰撞：MN计算一个新的陷门碰撞，然后利用一次性陷门计算验证信息VerifyInfo_MN；

发送验证信息：MN把VerifyInfo_MN发送给AP₂；

当收到MN的VerifyInfo_MN后，AP₂可以根据下面的身份认证过程检验MN的身份的有效性；如果MN的身份有效，则执行接下来的陷门碰撞和密钥协商；

身份认证：当收到MN的VerifyInfo_MN后，AP₂推导出和MN对应的Message_CertReq，并提取Cert_MN和T_Exp；然后，AP₂根据下面的方程(1)对MN进行认证；

Verify_VK(Cert_MN，Message_CertReq‖T_Exp)＝“valid”(1)

其中，Verify表示与Sign相对应的签名验证算法，VK表示AAA服务器的公钥，AP₂认为MN是合法的节点当且仅当方程(1)成立；

陷门碰撞：如果MN是合法的，则AP₂计算一个新的陷门碰撞，并利用一次性陷门推导出验证信息

密钥协商：AP₂计算PTK，并推导出确认信息AP₂发送验证-确认信息：AP₂把

发送给MN，当收到AP₂的

后，MN可以根据下面的身份认证过程检验AP₂的身份的有效性；如果AP₂的身份有效，则执行接下来的密钥协商和PTK确认；

身份认证：当收到AP₂的

后，MN推导出和AP₂对应的Message_CertReq，并提取

和T_Exp；然后，MN根据下面的方程(2)对AP₂进行认证；

其中，Verify表示与Sign相对应的签名验证算法，VK表示AAA服务器的公钥；MN认为AP₂是合法的节点当且仅当方程(2)成立；

密钥协商：如果AP₂是合法的，则MN计算PTK；

PTK确认：MN根据

判断AP₂是否已经成功的得到了PTK；如果成功，MN就计算确认信息ConfirmInfo_MN；

确认响应：在确认AP₂已经成功获得PTK之后，MN把ConfirmInfo_MN发送给AP₂；

PTK确认：根据ConfirmInfo_MN，AP₂可以判断MN是否已经成功获得PTK；

在确定了MN已经成功地得到了PTK的基础上，AP₂可以与MN在一个逻辑过程内实现互相认证和密钥协商；之后，MN和AP₂之间的通信的机密性由PTK保证。

3.根据权利要求1所述无线网络中安全有效的切换认证方案的通用构造，其特征在于：所述系统参数生成为：系统参数由所有节点保存，记为SysParas，包括所采取的变色龙哈希函数和可证明安全的数字签名方案的公共参数；此外，秘密签名密钥SK由AAA服务器保存，相应的验证公钥VK由所有节点保存。

4.根据权利要求1所述无线网络中安全有效的切换认证方案的通用构造，其特征在于：Sign是所采取的可证明安全的数字签名算法，SK是AAA服务器所拥有的签名密钥；证书响应消息就是Message_CertReq‖T_Exp。

Images