CN103179560A - 用于无线接入点的可撤销安全系统和方法 - Google Patents

Abstract

本发明公开了用于无线接入点的可撤销安全系统和方法。实施方式包括建立与无线网络相关的主预共享密钥、获得对于无线网络与客户端装置建立连接的请求、以及针对该客户端装置生成与预共享密钥不同的可撤销密钥。

Description

用于无线接入点的可撤销安全系统和方法

相关文件引用

本申请要求于2011年12月22日提交的美国在先申请第13/334,615号的权益，其全部内容结合于此作为参考。

技术领域

本发明大体上涉及网络连接，更具体地，涉及用于无线接入点的安全系统和方法。

背景技术

存在着用于家庭联网的多种不同技术。通常在很多家庭和/或企业环境中使用（例如）采用了一个或多个电气和电子工程师协会（IEEE）802.11无线局域网标准的无线接入点，从而有助于多个客户端装置访问广域网或接入点耦接的另一个局域网。此外，由这种无线接入点促成的无线网络可使用加密技术，对客户端装置和接入点之间的通信进行加密。常用于家庭环境的加密技术涉及使用预共享密钥（PSK），从该密钥中获得装置专用的以及数据包专用的密钥。家庭用户可能希望准许其他装置的访问，诸如，属于其他用户、访客、朋友等等的装置。

这可以通过与其他用户共享PSK或从PSK中获得的密钥而实现，该PSK或密钥可安装或高速缓存在用户装置上，从而在客户端装置和接入点之间可交换加密的数据包。因此，可将其视为向访问客户端装置授予第2层访问无线网络。然而，当准许第2层以这种方式访问客户端装置时，在现有技术的多个实施方式中，撤销装置对网络的访问的唯一方法就是改变接入点和网络中剩余的客户端装置所依赖的PSK，从而以安全的方式进行通信。

发明内容

（1）一种无线接入点，包括：

至少一个处理器；以及

安全应用程序，能够由所述至少一个处理器执行，并且所述安全应用程序包括：

建立与无线网络相关的主预共享密钥的逻辑电路，所述无线网络与服务设置标识符（SSID）相关；

获得对于建立所述无线网络与客户端装置的连接的请求的逻辑电路；

生成针对所述客户端装置的可撤销密钥的逻辑电路，所述可撤销密钥不同于所述预共享密钥；

至少基于所述可撤销密钥生成认证凭证的逻辑电路；

将认证凭证发送至所述客户端装置的逻辑电路，所述认证凭证至少基于所述可撤销密钥；

确定是否发生针对所述客户端的撤销事件的逻辑电路；以及

当发生所述撤销事件时撤销所述可撤销密钥的逻辑电路。

（2）根据（1）所述的系统，其中，所述安全应用程序进一步包括：在将所述认证凭证发送至所述客户端装置之前，获得向所述客户端装置授予对于所述无线网络的访问的管理授权的逻辑电路。

（3）根据（1）所述的系统，其中，所述安全应用程序进一步包括：

确定与所述客户端装置相关的唯一标识符的逻辑电路；以及

其中，所述可撤销密钥至少基于所述唯一标识符。

（4）根据（1）所述的无线接入点，其中，所述认证凭证包括成对主密钥。

（5）根据（1）所述的无线接入点，其中，所述可撤销密钥与所述客户端装置唯一地相关，所述可撤销密钥由所述安全应用程序生成。

（6）根据（1）所述的系统，其中，从所述客户端装置获得与所述无线网络建立连接的请求的所述逻辑电路进一步包括：获得发起会话的请求的逻辑电路，在所述会话中由所述至少一个处理器生成认证凭证并且将所述认证凭证发送至所述客户端装置。

（7）根据（6）所述的系统，其中，所述会话进一步包括Wi-Fi安全设定会话。

（8）根据（1）所述的无线接入点，其中，所述安全应用程序进一步包括：通过使用无线安全协议来保护所述无线网络的逻辑电路，所述无线安全协议包括Wi-Fi访问保护和Wi-Fi访问保护II中的一个。

（9）根据（8）所述的无线接入点，其中，所述安全应用程序进一步包括：建立与所述客户端装置相关的通信会话的逻辑电路，所述通信会话包括加密的无线通信会话，其中，使用所述认证凭证对所述加密的无线通信会话进行加密。

（10）根据（1）所述的无线接入点，其中，确定是否发生对于所述客户端的撤销事件的所述逻辑电路进一步包括：

跟踪与所述无线网络上的所述客户端装置相关的数据使用量的逻辑电路；

确定所述数据使用是否超过使用上限的逻辑电路；以及

在所述数据使用超过所述使用上限时识别撤销事件的逻辑电路。

（11）根据（1）所述的无线接入点，其中，确定是否发生对于所述客户端的撤销事件的所述逻辑电路进一步包括：

识别自至少基于所述可撤销密钥生成所述认证凭证所经过的时间量的逻辑电路；

确定所述时间量是否超过预定义阈值的逻辑电路；以及

在所述时间量超过所述预定义阈值时识别撤销事件的逻辑电路。

（12）根据（1）所述的无线接入点，其中，确定是否发生对于所述客户端的撤销事件的所述逻辑电路进一步包括：接收与所述可撤销密钥和所述认证凭证中的至少一个相关的撤消命令的逻辑电路。

（13）根据（1）所述的无线接入点，其中，当发生所述撤销事件时撤销所述可撤销密钥的所述逻辑电路进一步包括：拒绝所述客户端装置访问所述无线网络的逻辑电路。

（14）一种方法，包括以下步骤：

在无线接入点中建立与无线网络相关的主预共享密钥，所述无线网络与服务设置标识符（SSID）相关；

在所述无线接入点中获得对于建立所述无线网络与客户端装置的连接的请求；

在所述无线接入点中针对所述客户端装置生成可撤销密钥，所述可撤销密钥不同于所述预共享密钥；

在所述无线接入点中至少基于所述可撤销密钥生成认证凭证；

在所述无线接入点中将认证凭证发送至所述客户端装置，所述认证凭证至少基于所述可撤销密钥；

在所述无线接入点中确定是否发生针对所述客户端的撤销事件；以及

当发生所述撤销事件时在所述无线接入点中撤销所述临时密钥。

（15）根据（14）所述的方法，进一步包括以下步骤：在将所述认证凭证发送至所述客户端装置之前，在所述无线接入点中获得向所述客户端装置授予对于所述无线网络的访问的管理授权。

（16）根据（14）所述的方法，进一步包括以下步骤：在所述无线接入点中确定与所述客户端装置相关的唯一标识符，其中，所述另一密钥至少基于所述唯一标识符。

（17）根据（14）所述的方法，其中，所述另一密钥包括与所述客户端装置唯一相关的可撤销密钥，所述可撤销密钥由所述安全应用程序生成。

（18）根据（14）所述的方法，其中，在所述无线接入点中从所述客户端装置获得对于建立与所述无线网络连接的请求的所述步骤进一步包括：在所述无线接入点中获得发起会话的请求的步骤，在所述会话中由至少一个处理器生成认证凭证并且将所述认证凭证发送至所述客户端装置。

（19）根据（14）所述的方法，进一步包括以下步骤：在所述无线接入点中通过使用无线安全协议来保护所述无线网络的步骤，所述无线安全协议包括Wi-Fi访问保护和Wi-Fi访问保护II中的一个。

（20）一种系统，包括：

用于建立与无线网络相关的主预共享密钥的装置，所述无线网络与服务设置标识符（SSID）相关；

用于获得对于建立所述无线网络与客户端装置的连接的请求的装置；

用于生成针对所述客户端装置的可撤销密钥的装置，所述可撤销密钥不同于所述预共享密钥；

用于至少基于所述可撤销密钥生成认证凭证的装置；

用于将认证凭证发送至所述客户端装置的装置，所述认证凭证至少基于所述可撤销密钥；

用于确定是否发生针对所述客户端的撤销事件的装置；以及

用于在发生所述撤销事件时撤销所述临时密钥的装置。

附图说明

参看下图，可更好地理解本发明的多个方面。附图中的部件不必按比例绘出，而是将重点放在清晰地示出本发明的原理。而且，在附图中，相似的参考数字表示几幅视图中相应的部件。

图1为根据本公开的各个实施方式的包括执行安全应用程序的无线接入点的联网环境的示图；

图2至图4为示出了根据本公开的各个实施方式的在安全应用程序和客户端装置之间交换数据的实例的序列图；

图5为示出了根据本公开的各个实施方式的被实现为图1的联网环境中的无线接入点内所执行的安全应用程序部分的功能的非限制性实例的流程图；以及

图6为提供了根据本公开的各个实施方式的在图1的联网环境中使用的无线接入点的一个实例说明的示意性方框图。

具体实施方式

本公开涉及的系统和方法便于临时准许或可撤销的准许第2层以平衡现有无线局域网标准和技术的方式来访问对于客户端装置的无线网络。如上所述，IEEE802.11标准通常用于便于在无线网络接入点和客户端装置之间的通信。此外，各种安全协议也可用于保护客户端装置和无线网络接入点之间的通信。诸如，Wi-Fi访问保护（WPA）、Wi-Fi访问保护II（WPA2）、IEE802.11i、或用于限制未经批准的用户和/或装置通过接入点访问无线网络的各种其他安全和加密协议。此外，诸如Wi-Fi安全设置（WPS）的标准和/或协议用于便于在客户端和接入点之间交换密钥或其他认证信息，使得客户端能够以最小的设置或用户干扰来访问安全的无线网络。此外，本公开的实施方式可同样适用于蓝牙标准、近场通信（NFC）或可包括涉及使用预共享密钥的安全框架的任何其他无线通信标准。

使用无线安全协议（该协议涉及使用预共享密钥（PSK））的家庭或企业环境中的用户通过使用他们选择的PSK来配置接入点以及使用相同的PSK来配置多种客户端装置，能够使能多种客户端装置对于安全无线网络的访问。根据各种无线安全协议（诸如，WPA2），接入点和客户端装置然后执行握手，并且各自生成成对密钥，便于随后通过安全链路进行通信。某些用户可利用接入点以及执行WPS或类似协议的客户端装置从而潜在地对于使能客户端装置和无线接入点之间通信的处理简化。诸如WPS的协议有助于交换允许接入点和客户端装置使用诸如WPA2的安全协议进行通信所需的信息。

如上所述，如果拥有和/或管理无线接入点进而访问其所连接的网络的用户希望准许其他客户端装置的访问，那么可将与网络服务设置标识符（SSID）相关的PSK输入到客户端装置上所设置的用户界面，该用户界面可获得与接入点安全地交换数据包所需的任何其他密钥或认证凭证。此外，在用户输入与接入点有关的个人识别号码（PIN）、激活与客户或接入点相关的物理或虚拟按钮以便开始进行WPS处理、或者执行协议所支持的任何其他初始化流时，也可利用这种协议（诸如，WPS）来配置客户端装置。这两个处理的结果通常涉及接入点和用户许可访问的客户端装置之间永久地关联，至少直到与SSID相关的PSK改变。在用户希望准许客户端装置（诸如，属于朋友和/或访客的装置）访问的情况下，这可能是不是期望的结果。管理员可能不希望在接入点和访问客户端装置之间创建永久性的关联，但是也可能不希望必须改变PSK以及更新该用户确实希望永久地关联的潜在大量剩余客户端装置。

因此，本公开的实施方式允许以使用现有的IEEE802.11标准可执行的方式，针对这种访问客户端装置创建临时的和/或可撤销的凭证。因此，现在参看图1，该图显示了根据本公开的一个实施方式的联网环境100的一个实例。所描述的联网环境100包括耦接到网络112以及多个客户端装置的无线接入点101。网络112包括（例如）互联网、内联网、外联网、广域网（WAN）、局域网（LAN）、有线网络、无线网络、或其他合适的网络等、或两个以上这种网络的任意组合。无线接入点101和网络112之间的连接可包括有线连接（诸如以太网连接）、无线连接（诸如Wi-Fi和任何广域或局域无线网络标准）、或其任意组合。

在某些实施方式中，无线接入点101可包括专用无线局域网接入点。在其他实施方式中，无线接入点101可表示热点设备、包括热点功能的智能手机、移动接入点、或提供无线接入点功能的任何其他等效装置。此外，车载或机载无线接入点也可实现本文中所述的功能。在一些实施方式中，无线接入点101可促进可公共访问的无线网络，诸如在机场、咖啡厅内，等等。

因此，无线接入点101可包括接入点系统103，安全应用程序105，主预共享密钥107，包含一个或多个可撤销密钥111、会话密钥119和/或其他数据的客户表109。接入点101可为正在与其进行通信的各种客户端装置提供对于网络112的访问。在某些情况下，无线接入点101可包括集成路由功能。在其他情况下，无线接入点101仅仅将客户端装置耦接到有线或其他网络，而不包括路由功能。无线接入点101也可在无线接入点101促成的无线网络上的各种客户端装置之间中继数据。接入点系统103可表示与无线接入点101内的各种硬件元件交互的一个或多个应用程序、服务、和/或处理，诸如无线局域网控制器、天线系统、基带处理器等等，从而实现路由功能、防火墙功能、网络地址转换（NAT）功能、和/或其他功能。

由无线接入点101执行安全应用程序105，以便生成、管理和/或撤销如本文中所述的针对访问客户端装置所生成的认证凭证。可理解的是，安全应用程序105也可执行一个或多个无线安全协议，诸如，但不限于WPA、WPA2和其他协议。主预共享密钥107包括密码、通行码、或客户端装置利用其可访问接入点系统103促成的网络的其他凭证。客户表109可包括与访问网络的客户端装置相关的临时或可撤销凭证有关的数据，诸如，可撤销密钥111。可撤销密钥111包括以下数据，根据本公开的各种实施方式的安全应用程序105通过这些数据可生成认证凭证，诸如，成对密钥。会话密钥119可包括以下数据，即，安全应用程序105通过这些数据可生成基于会话的认证凭证，诸如，成对密钥。

此外，无线接入点101也可实现能够由组策略121定义的一个或多个组策略。这种组策略121可采取组多播策略的形式。在这种情况下，组策略121可包括与作为该组成员的客户端相对应的一个或多个条目。组策略121也可包括一个或多个相应的可撤销密钥123，这些密钥也为以下数据，即，通过这些数据，根据本公开的各种实施方式的安全应用程序105可生成认证凭证，诸如，成对密钥。因此，通过撤销与组策略121的成员相对应的可撤销密钥123，可从该组中移走该组的一个或多个成员。安全应用程序105也可定期地，尤其当成员从组策略121中移走时，启动密钥更新事件（rekeying event），以便促使该组的多个成员以及无线接入点101根据可撤销密钥123生成新的成对密钥。这样，安全应用程序105可确保只有组策略121中授权的成员才可与无线接入点101进行通信。

各种类型的客户端装置可与接入点101交换数据。在图1的实例中，显示了家庭客户端装置113、管理客户端装置115以及访问客户端装置117。这些客户端装置中的任何装置表示经由接入点101可耦接到网络112的多种类型的客户端或计算装置。客户端可包括（例如）基于处理器的系统，诸如计算机系统和/或移动装置。这种计算机系统可体现为以下形式：台式计算机、膝上型计算机、个人数字助理、蜂窝电话、智能手机、机顶盒、音乐播放器、无线上网机、平板计算机系统、游戏机、光盘播放机、或具有类似能力的任何其他装置。客户端可配置有实现与接入点101通信的无线功能。客户端也可执行有助于无线通信以及无线安全的多个IEEE802.11标准中的任何标准。

因此，根据本公开的实施方式的无线接入点101可允许用户（例如，管理无线接入点101的管理员、接入点所属的房主等等）发布或授权接入点101发布对于无线网络进行访问的临时和/或可撤销凭证。在图1的背景中，家庭客户端装置113表示无线网络的管理员或所有者希望与网络建立持久或永久连接的一个或多个客户端装置。因此，可建立并且与家庭客户端装置113共享主预共享密钥107。可理解的是，家庭客户端装置113和无线接入点101可使用主预共享密钥107来执行握手处理和/或生成成对密钥，以便用于无线安全协议。

作为替代，通过采用WPS或有助于在接入点101和客户端装置之间配置安全信息的类似协议，可将家庭客户端装置113和无线接入点101配对。因此，通过触发无线接入点101上的物理或虚拟按钮，可发起WPS会话，这有助于设置无线安全协议（诸如WPA、WPA2等等）所使用的安全信息。在使用WPA2协议保护的无线网络中，例如，通过在WPS会话中交换信息，可以将家庭客户端装置113和无线接入点101配对。

因此，本公开的实施方式可平衡无线安全协议（诸如，WPA和/或WPA2）以及初始化协议（诸如WPS），从而推进允许发布临时凭证和/或可撤销凭证的方案。在一个实施方式中，安全应用程序105可从访问客户端装置117或代表其接收对于连接到与无线接入点101所公布的SSID相关的无线网络的请求。安全应用程序105可获得这种请求作为WPS会话的发起，以便将访问客户端装置117和接入点101配对，从而访问客户端装置117可访问接入点101所促成的无线网络。

因此，安全应用程序105可生成与主预共享密钥107不同的可撤销密钥111。可撤销密钥111对于访问客户端装置117可以是唯一的，并且基于与该装置相关的唯一标识符。诸如，可撤销密钥111可基于在WPS会话中从访问客户端装置117接收的信息。在一些实施方式中，可撤销密钥111可以是利用将任何数据量作为输入的哈希函数生成的值，这些数据可与访问客户端装置117唯一地相关并且可由接入点101接收作为对于连接到无线网络的请求的一部分。这样，安全应用程序105可提供准许以开放式系统互连（OSI）模式的第2层等级所控制的临时访问，与在许多公共可访问无线网络（诸如，机场、咖啡厅等等）情况中以第3层等级进行控制的其他方案形成对比。因此，安全应用程序105甚至可防止网络上未经授权的客户端与无线接入点101和网络上的其他客户端装置交换数据包，而以第3层等级所控制的访问会允许未经授权的客户与接入点以及其他客户端交换数据。

在一个实施方式中，接入点101可以向访问客户端装置117提供从与访问客户端装置117唯一地相关联的可撤销密钥111中获得的成对主密钥。随后，访问客户端装置117和接入点101可从基于可撤销密钥111的成对主密钥中获得成对的短暂密钥，这些密钥可用于对该装置和接入点101之间交换的数据进行加密。这样，接入点101可将不是基于主预共享密钥107而是基于不同的密钥的认证凭证提供给访问客户端装置117。

类似地，安全应用程序105也可代表客户端生成会话密钥119，通过该密钥可生成成对的主密钥并被提供给访问客户端装置117。会话密钥119可表示针对与无线电接入点101进行特定通信会话（诸如在进行网络电话（VoIP）会话时）而生成的认证凭证。因此，以通过移走可撤销密钥111的用户级或者以通过移走会话密钥119及其相关的成对主密钥的会话级可撤销访问客户端装置117。

在某些实施方式中，当安全应用程序105获得代表访问客户端装置117的对于加入无线网络的请求时，该安全应用程序将请求传输至管理客户端装置115，以便获得对于准许访问客户端装置117加入网络的授权。可以经由电子邮件、短消息服务（SMS）、或管理员规定的任何其他类型的消息传送，来发送对于获得授权的这种请求。因此，该请求包括由访问客户端装置117所提供的识别信息（诸如，装置参数）、由访问客户端装置117的用户所提供的用户名、或可有助于识别访问客户端装置117的任何其他信息。

因此，一旦向管理客户端装置115提出认证请求，管理员可批准或拒绝该请求。一经批准，安全应用程序105可为访问客户端装置117生成可撤销密钥111以及根据针对接入点101所使用的保护网络的无线安全协议的调用所获得的任何成对密钥或其他认证凭证。此外，如果管理员不再希望访问客户端装置117访问无线网络，那么管理员可经由管理客户端装置115发起对于可撤销密钥111的撤销。这样，从访问客户端装置117的角度来看，安全应用程序105实现标准的无线安全协议，然而实际上，安全应用程序105发布访问客户端装置117认证凭证，通过这些认证凭证访问网络，这些认证凭证为临时和/或可撤销的凭证并且由管理员潜在地批准和/或撤销。

因此，通过简单地撤销可撤销密钥111，在稍后的时间，接入点101可撤销提供给访问客户端装置117的认证凭证。换言之，安全应用程序105可从客户表109中移走可撤销密钥111，或者将该密钥标记为撤销，一旦撤销，这可使得接入点系统103拒绝路由或确认从访问客户端装置117发送的数据包。从这种意义上来说，一旦检测到撤销事件，安全应用程序105撤销可撤销密钥111并且撤销访问客户装置对无线接入点101促成的无线网络的访问。

撤销事件可以多种形式发生。安全应用程序105可被配置为一旦时段超时以及超出带宽使用上限就撤销与访问客户端装置117相关的可撤销密钥111。该时间段和/或带宽使用上限可由管理员预定义、预配置，和/或当准许来自安全应用程序105的对于向访问客户端装置117提供认证凭证以便访问无线网络的请求时由管理员规定。

现在参看图2至图4，其示出了根据本公开的各种实施方式、无线接入点101所执行的安全应用程序105能够如何管理无线网络的各种非限制性实例。图2示出了无线接入点101以及访问客户端装置117之间的数据流的一个实例。如图2中所示，安全应用程序105获得由访问客户端装置117发送或代表其发送的对于获得经由接入点101对于无线网络进行访问的请求201。如上所述，可接收这种请求作为WPS会话的一部分。一旦接收到这种请求，安全应用程序可生成可撤销密钥111和/或对于访问客户端装置117唯一的其他认证凭证。

将可撤销密钥111和/或根据无线安全协议的任何其他信息发送给访问客户端装置117。因此，无线接入点101和访问客户端装置117可至少基于可撤销密钥111来完成配对处理。一旦检测到撤销事件203，安全应用程序105可撤销该可撤销密钥111并且将无线接入点101与访问客户端装置117解关联。从访问客户端装置117的角度来看，图2中所示的示图似乎是无线安全参数的典型WPS配置，这些参数与涉及预共享密钥的WPA和/或WPA2无线安全相关。在这种意义上来说，通过触发与WPS会话初始化相关的物理或虚拟按钮，可获得请求201。然而，如上所述，在访问客户端装置117和无线接入点101之间配对时的预共享密钥并非基于主预共享密钥107。

现在参看图3，该图示出了根据本发明的实施方式、在访问客户端装置117和无线接入点101之间配对的替代实例。图3示出了当从访问客户端装置117获得或代表其的对于加入网络的请求201时，安全应用程序105能够如何向管理员请求来自管理客户端装置115的授权，以便授权访问客户端装置117加入网络。如上所述，一旦从管理客户端装置115接收到授权，安全应用程序105可生成与访问客户端装置117相关的可撤销密钥111，并将认证凭证发送给访问客户端装置117。图4示出了管理客户端装置115据此可向无线接入点101发布撤销命令的实例的另一变形例，无线接入点可撤销一个或多个可撤销密钥111和与访问客户端装置117相关的相应认证凭证。这样，管理员可对于访问了无线网络的访问客户端装置117的访问进行管理。

接下来参看图5，示出了提供根据各种实施方式的可在无线接入点101（图1）中执行的安全应用程序105（图1）部分的操作的一个实例的流程图。要理解的是，图5的流程图仅仅提供了可用于实现本文中所述的安全应用程序105部分的操作的多种类型功能配置的实例。作为替换，图5的流程图可视为描述在根据一个或多个实施方式的无线接入点101中实现的方法的步骤的实例。

首先，在方框501中，无线接入点101可建立与特定的无线网络SSID相关的主预共享密钥。该主预共享密钥可包括根据各种无线安全协议（WPA、WPA2等等）的密钥，从该密钥获得针对家庭客户端装置113的认证凭证。在方框503中，安全应用程序105可获得与访问客户端装置117（图1）建立连接的请求。如上所述，该请求可与WPS会话发起有关。在方框505内，安全应用程序105可生成可撤销密钥111。该可撤销密钥111对于访问客户端装置117可以是唯一的，使得网络上的任何其他装置与一个不同的预共享密钥相关（无论该预共享密钥为主预共享密钥还是另一可撤销密钥111）。

在方框507内，安全应用程序105可基于可撤销密钥111生成认证凭证。可理解的是，根据无线接入点101所执行的无线安全协议的类型，认证凭证可以仅为可撤销密钥111本身、从可撤销密钥111中获得的其他密钥或数据、或其他信息。在方框509内，安全应用程序105可基于所产生的认证凭证，将无线接入点101和访问客户端装置117配对。如果在方框511内检测到随后的撤销事件，那么在方框513内，安全应用程序105可撤销该可撤销密钥111，从而不再将无线接入点101和访问客户端装置117配对。

图6示出了根据本公开的实施方式的无线接入点101的示意性方框图的一个实例。无线接入点101包括至少一个处理器电路，诸如具有处理器603和存储器606，这两者均耦接到本地接口609。为此，无线接入点101可包括诸如至少一个通用计算装置、至少一个嵌入式计算装置、路由器、交换机、和/或可耦接到网络112（图1）的任何其他装置。可理解的是，本地接口609可包括诸如一个或多个数据总线，具有附属地址/控制总线或其他总线结构。一个或多个无线网络接口612a…612N和局域网（LAN）接口614也可耦接到本地接口309。LAN接口614用于将网关109连接到网络112（图1）。

在储存器606中存储了可由处理器603执行的数据和若干部分。具体地，接入点系统103、安全应用程序105、以及可能的其他应用程序储存在存储器606中并且可由处理器603执行。主预共享密钥107、包括一个或多个可撤销密钥111的客户表109、以及其他数据也可储存在储存器606中。此外，操作系统可储存在储存器606内，并且可由处理器603执行。在各种实施方式中，所有或部分接入点系统103和安全应用程序105可对应于不单独由处理器603执行的数字逻辑。

返回至图5，要理解的是，存在着存储于存储器606中并可由处理器603执行的其他应用程序，正如所理解的。在以软件形式执行本文中所讨论的任何部分的情况下，可使用多种编程语言中的任何一种语言，诸如C、C++、C#、Objective C、

Perl、PHP、Visual

Ruby、

或者其他编程语言。

多个软件部分可存储在存储器606内并可由处理器603执行。在这方面，术语“可执行”表示具有最终可由处理器603运行的形式的程序文件。可执行的程序的实例可为诸如编译程序，该程序可转化成以下格式的机器代码，即，该代码可载入存储器606的随机存取部分内并且可由处理器603执行；该程序可转化成源代码，该代码可用适当的格式表达，诸如，能够载入存储器606的随机存取部分内并且可由处理器603执行的目标代码；或者该程序可转化成源代码，该代码可由另一个可执行的程序解释，从而在存储器606的随机存取部分内生成指令，以便由处理器603执行，等等。可执行的程序可存储在存储器606的任何部分或元件内，包括诸如随机存取存储器（RAM）、只读存储器（ROM）、硬盘驱动器、固态驱动器、USB闪存驱动器、储存卡、光盘（诸如密致盘（CD）或数字通用光盘（DVD））、软盘、磁带或其他存储器元件。

在本文中将存储器606定义为包括易失性和非易失性存储器以及数据储存元件。易失性元件在电力消失时不保持数据值。非易失性元件在电力消失时保持数据。因此，存储器606可包括诸如随机存取存储器（RAM）、只读存储器（ROM）、硬盘驱动器、固态驱动器、USB闪存驱动器、经由读卡器存取的储存卡、经由相关的软盘驱动器存取的软盘、经由光盘驱动器存取的光盘、经由适当的磁带驱动器存取的磁带、和/或其他存储器元件、或者这些存储器元件中的任何两个以上元件的组合。此外，RAM可包括诸如静态随机存取存储器（SRAM）、动态随机存取存储器（DRAM）、或磁性随机存取存储器（MRAM）和其他这种装置。ROM可包括诸如可编程只读存储器（PROM）、可擦可编程只读存储器（EPROM）、电可擦可编程只读存储器（EEPROM）、或其他类似的存储器装置。

同样，处理器603可表示多个处理器603，存储器606可表示多个存储器606，多个这种处理器和存储器可分别在并行处理电路内运行。在这种情况下，本地接口609可为适当的网络，有助于在多个处理器603的任何两个处理器之间、任何处理器603和任何存储器606之间、或者任何两个存储器606之间进行通信，等等。本地接口609可包括额外的系统，这些系统被设计成协调该通信，包括诸如进行负载平衡。处理器603可具有电气或某个其他可用的结构。

虽然本文中所述的接入点系统103、安全应用程序105以及各种其他系统可体现为上述通用硬件所执行的软件或代码，但是作为替代，接入点系统、安全应用程序以及各种其他系统也可体现为专用硬件或软件/通用硬件和专用硬件的组合。如果体现为专用硬件，那么接入点系统、安全应用程序以及各种其他系统中的每一个可实现为电路或状态机，该电路或状态机使用多种技术中的任何一个或其组合。这些技术可包括但不限于具有当施加一个或多个数据信号时实现多种逻辑功能的逻辑门的离散逻辑电路、具有适当的逻辑门的特定用途集成电路、或其他元件等等。本领域的技术人员通常非常了解这种技术，因此，本文中不详细描述这种技术。

图5的流程图示出了安全应用程序105的一个实例的实现方式的功能和操作。如果体现为软件，那么每个块体可表示代码模块、区段或部分，该代码包括程序指令，以便实现特定的逻辑功能。程序指令可体现为源代码或机器代码的形式，源代码包括用编程语言编写的人类可读语句，机器代码包括合适的执行系统（诸如计算机系统或其他系统内的处理器603）可识别的数字指令。可从源代码中转换机器代码，等等。如果体现为硬件，那么每个块体可表示一个电路或多个互连电路，以便实现特定的逻辑功能。

虽然图5的流程图显示了特定的执行顺序，但是要理解的是，执行顺序可与描述的顺序不同。例如，两个以上块的执行顺序相对于所显示的顺序可改变。同样，可同时或部分同时执行图5中连续显示的两个以上块。而且，在一些实施方式中，可略过或忽略图5中所示的一个或多个块。此外，可将任何数量的计算器、状态变量、警告信号灯、或消息加入本文所述的逻辑流程内，用于增强实用性、计算、性能测量或提供故障排除援助等等。要理解的是，所有这种变化均在本公开的范围内。

同样，本文中所述的包括软件或代码的任何逻辑电路或应用程序（包括接入点系统103、安全应用程序105、或本文中所述的任何其他数据或步骤）可体现在任何非临时性计算机可读介质中，由指令执行系统使用或结合指令执行系统使用，诸如计算机系统或其他系统内的处理器603。在这个意义上来说，逻辑电路可包括诸如包含指令的语句以及可从计算机可读介质中获取并且可由指令执行系统执行的声明。在本公开的背景中，“计算机可读介质”可为任何介质，可包括、存储或保持本文中所述的逻辑或应用程序，由指令执行系统使用或结合指令执行系统使用。计算机可读介质可包括多个物理介质中的任何一个，诸如磁性、光学或半导体介质。合适的计算机可读介质更多的特定实例包括但不限于磁带、磁性软盘、磁性硬盘驱动器、存储卡、固态驱动器、USB闪存驱动器、或光盘。同样，计算机可读介质可为随机存取存储器（RAM），包括诸如，静态随机存取存储器（SRAM）和动态随机存取存储器（DRAM）、或磁性随机存取存储器（MRAM）。此外，计算机可读介质可为只读存储器（ROM）、可编程只读存储器（PROM）、可擦可编程只读存储器（EPROM）、电可擦可编程只读存储器（EEPROM）、或其他类型的存储器装置。

应强调的是，本发明的上述实施方式仅为所提出的实施方式可能具有的实例，以便清晰地理解本公开的原理。在基本上不背离本发明的精神和原理的情况下，可对本发明的上述实施方式进行多种变化和修改。所有这种修改和变化用于在本文中包含在本公开和本发明的范围内，并且受到以下权利要求书的保护。

Claims (10)

1.一种无线接入点，包括：

至少一个处理器；以及

安全应用程序，能够由所述至少一个处理器执行，并且所述安全应用程序包括：

建立与无线网络相关的主预共享密钥的逻辑电路，所述无线网络与服务设置标识符（SSID）相关；

获得对于建立所述无线网络与客户端装置的连接的请求的逻辑电路；

生成针对所述客户端装置的可撤销密钥的逻辑电路，所述可撤销密钥不同于所述预共享密钥；

至少基于所述可撤销密钥生成认证凭证的逻辑电路；

将认证凭证发送至所述客户端装置的逻辑电路，所述认证凭证至少基于所述可撤销密钥；

确定是否发生针对所述客户端的撤销事件的逻辑电路；以及

当发生所述撤销事件时撤销所述可撤销密钥的逻辑电路。

2.    根据权利要求1所述的系统，其中，所述安全应用程序进一步包括：在将所述认证凭证发送至所述客户端装置之前，获得向所述客户端装置授予对于所述无线网络的访问的管理授权的逻辑电路。

3.根据权利要求1所述的系统，其中，所述安全应用程序进一步包括：

确定与所述客户端装置相关的唯一标识符的逻辑电路；以及

其中，所述可撤销密钥至少基于所述唯一标识符。

4.根据权利要求1所述的系统，其中，从所述客户端装置获得与所述无线网络建立连接的请求的所述逻辑电路进一步包括：获得发起会话的请求的逻辑电路，在所述会话中由所述至少一个处理器生成认证凭证并且将所述认证凭证发送至所述客户端装置。

5.根据权利要求1所述的无线接入点，其中，所述安全应用程序进一步包括：通过使用无线安全协议来保护所述无线网络的逻辑电路，所述无线安全协议包括Wi-Fi访问保护和Wi-Fi访问保护II中的一个。

6.根据权利要求1所述的无线接入点，其中，确定是否发生对于所述客户端的撤销事件的所述逻辑电路进一步包括：

跟踪与所述无线网络上的所述客户端装置相关的数据使用量的逻辑电路；

确定所述数据使用是否超过使用上限的逻辑电路；以及

在所述数据使用超过所述使用上限时识别撤销事件的逻辑电路。

7.根据权利要求1所述的无线接入点，其中，确定是否发生对于所述客户端的撤销事件的所述逻辑电路进一步包括：

识别自至少基于所述可撤销密钥生成所述认证凭证所经过的时间量的逻辑电路；

确定所述时间量是否超过预定义阈值的逻辑电路；以及

在所述时间量超过所述预定义阈值时识别撤销事件的逻辑电路。

8.根据权利要求1所述的无线接入点，其中，确定是否发生对于所述客户端的撤销事件的所述逻辑电路进一步包括：接收与所述可撤销密钥和所述认证凭证中的至少一个相关的撤消命令的逻辑电路。

9.一种方法，包括以下步骤：

在无线接入点中建立与无线网络相关的主预共享密钥，所述无线网络与服务设置标识符（SSID）相关；

在所述无线接入点中获得对于建立所述无线网络与客户端装置的连接的请求；

在所述无线接入点中针对所述客户端装置生成可撤销密钥，所述可撤销密钥不同于所述预共享密钥；

在所述无线接入点中至少基于所述可撤销密钥生成认证凭证；

在所述无线接入点中将认证凭证发送至所述客户端装置，所述认证凭证至少基于所述可撤销密钥；

在所述无线接入点中确定是否发生针对所述客户端的撤销事件；以及

当发生所述撤销事件时在所述无线接入点中撤销所述临时密钥。

10.一种系统，包括：

用于建立与无线网络相关的主预共享密钥的装置，所述无线网络与服务设置标识符（SSID）相关；

用于获得对于建立所述无线网络与客户端装置的连接的请求的装置；

用于生成针对所述客户端装置的可撤销密钥的装置，所述可撤销密钥不同于所述预共享密钥；

用于至少基于所述可撤销密钥生成认证凭证的装置；

用于将认证凭证发送至所述客户端装置的装置，所述认证凭证至少基于所述可撤销密钥；

用于确定是否发生针对所述客户端的撤销事件的装置；以及

用于在发生所述撤销事件时撤销所述临时密钥的装置。

Images