CN103716795B - 一种无线网络安全接入方法、装置和系统 - Google Patents

Abstract

本发明公开了一种无线网络安全接入方法、装置和系统，所述方法包括：接入点AP接收站STA发送的探测请求帧，获取所述探测请求帧中携带的用户名、用户密码以及所述STA的MAC地址；所述AP调用预先配置的白名单，利用所述白名单，检测所述用户名、用户密码以及所述STA的MAC地址是否合法，并在检测结果均合法时，向所述STA反馈携带有加密方式和密钥信息的探测请求响应帧。本发明提供的接入方式，不需要用户进行任何复杂设置，不需要用户了解AP采用何种加密算法，也不需要用户输入复杂的WLAN网络密码，方便用户使用；另外，本发明中通过设置白名单，来捆绑式的检测接入用户的合法性，可以有效保护无线网络的安全。

Description

一种无线网络安全接入方法、装置和系统

技术领域

本发明涉及通信技术领域，尤其涉及一种无线网络安全接入方法、装置和系统。

背景技术

WLAN（Wireless Local Area Network，无线局域网）技术是当今通信领域的热点之一，和有线相比，无线局域网的启动和实施相对简单，维护的成本低廉，一般只要安放一个或多个接入点设备就可建立覆盖整个建筑或地区的局域网络。在一个典型的无线网络系统中，STA（Station，站）是指带有无线网卡的PC或便携式笔记本电脑等终端，AP（AccessPoint，接入点）提供无线客户端到局域网的桥接功能，在无线客户端与无线局域网之间进行无线到有线和有线到无线的帧转换。STA首先需要通过主动/被动扫描，再通过认证和关联两个过程后与AP建立连接。

由于无线局域网的信道开放的特点，使攻击者能够很容易的进行窃听，恶意修改，因此安全性成为阻碍无线局域网发展的最重要的因素。目前，对于无线网络安全，无论是企事业单位还是家庭用户，安全意识依然薄弱，再加上国内普遍不重视无线网络安全技术，加密情况令人堪忧。特别是企业，由于办公机器数量众多及人员流动频繁等原因，很难控制接入网络的用户数量以及进行适当的分配，若由外部通过不安全的无线接入点攻入内部网络，然后进行嗅探等攻击来盗取企业内部资料，造成企业的损失将难以估计。

为了保护WLAN安全，IEEE先后提出WEP（Wired Equivalent Privacy，加密技术）、WPA（Wi-Fi Protected Access，Wi-Fi网络安全存取）、WPA2等加密方式。当用户进行设置时，需要掌握较深的无线网络安全知识。为了解决上述问题，方便用户使用，Wi-Fi联盟提出WPS（Wi-Fi Protected Setup，Wi-Fi保护设置）加密方式。此外，用户还可以通过隐藏SSID（Service Set Identifier，服务集标识）、MAC（Medium/MediaAccess Control,介质访问控制）地址过滤等手段来保护无线网络安全。另外，还存在一些专利技术，为无线网络安全接入提供解决方案，例如：无线接入点实时地检测接入指令，以及当检测到接入指令时，在预定时间段内许可来自无线工作站的接入请求。

然而，由于无线局域网信道开放的特点，上述任何一种加密方式都存在一定的缺陷，例如，当获取足够数据包时，加密方式就会遭到破解；通过SSID扫描软件，可以发现隐藏的SSID等等。可见，无论是IEEE提出的WEP、WPA、WPA2加密方式，还是Wi-Fi联盟提出的WPS加密方式，或者是专利技术提出的解决方案，都存在着操作过程复杂、加密方式易于暴漏等问题和缺陷。

发明内容

鉴于上述问题，提出了本发明以便提供一种克服上述问题或者至少部分地解决上述问题的无线网络安全接入方法、装置和系统。

具体地，本发明提供的一种无线网络安全接入方法，包括：

接入点AP接收站STA发送的探测请求帧，获取所述探测请求帧中携带的用户名、用户密码以及所述STA的MAC地址；

所述AP调用预先配置的白名单，利用所述白名单，检测所述用户名、用户密码以及所述STA的MAC地址是否合法，并在检测结果均合法时，向所述STA反馈携带有加密方式和密钥信息的探测请求响应帧。

优选地，本发明所述方法中，所述预先配置的白名单内记录有合法的用户名、用户密码和MAC地址，以及三者间的匹配对应关系。

优选地，本发明所述方法中，所述检测结果均合法是指所述用户名、用户密码和STA的MAC地址均在所述白名单内，且三者间的对应关系与所述白名单内记录的对应关系相匹配。

进一步地，本发明所述方法还包括：

所述STA接收到所述探测请求响应帧后，向所述AP发起认证和关联请求，并在接收到所述AP反馈的认证成功和关联成功响应消息时，建立起与所述AP的连接。

再者，本发明还提供一种接入点AP，包括：

消息接收单元，用于接收站STA发送的探测请求帧，获取所述探测请求帧中携带的用户名、用户密码以及所述STA的MAC地址；

消息处理单元，用于调用预先配置的白名单，利用所述白名单，检测所述用户名、用户密码和所述STA的MAC地址是否合法，并在检测结果均合法时，向所述STA反馈携带有加密方式和密钥信息的探测请求响应帧。

优选地，本发明所述AP中，所述消息处理单元调用的所述白名单内记录有合法的用户名、用户密码和MAC地址，以及三者间的匹配对应关系。

优选地，本发明所述AP中，所述消息处理单元，具体用于检测所述用户名、用户密码和所述STA的MAC地址是否均在所述白名单内，且三者间的对应关系是否与所述白名单内记录的对应关系相匹配，当检测结果均为是时，判定检测结果为均合法。

再者，本发明还提供一种无线网络安全接入系统，包括

站STA，用于向接入点AP发送探测请求帧，所述探测请求帧中携带有用户名、用户密码和STA的MAC地址；以及接收所述AP反馈的探测请求响应帧；

接入点AP，用于接收所述STA发送的探测请求帧，调用预先配置的白名单，利用所述白名单，检测所述用户名、用户密码和所述STA的MAC地址是否合法，并在检测结果均合法时，向所述STA反馈携带有加密方式和密钥信息的探测请求响应帧。

优选地，本发明所述系统中，所述预先配置的白名单内记录有合法的用户名、用户密码和MAC地址，以及三者间的匹配对应关系；

所述检测结果均合法是指所述用户名、用户密码和STA的MAC地址均在所述白名单内，且三者间的对应关系与所述白名单内记录的对应关系相匹配。

进一步地，本发明所述系统中，所述STA，还用于在接收到所述探测请求响应帧后，向所述AP发送认证请求帧，在接收到AP发送的认证成功响应帧后，向所述AP发送关联请求帧，并在接收到所述AP发送的关联成功响应帧后，建立起与所述AP的连接；

所述AP，还用于在接收到所述认证请求帧后，对所述STA进行认证，并将认证结果反馈至所述STA；以及，在接收到所述关联请求帧后，建立与所述STA的关联，并将关联结果反馈至所述STA。

本发明有益效果如下：

采用本发明所述方法、装置和系统提供的接入方式，不需要用户进行任何复杂设置，不需要用户了解AP采用何种加密算法，也不需要用户输入复杂的WLAN网络密码，方便用户使用；另外，本发明中通过设置白名单，来捆绑式的检测接入用户的合法性，可以有效保护无线网络的安全。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作一简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1为本发明实施例提供的一种无线网络安全接入方法的流程图；

图2为本发明实施例中STA与AP建立连接过程示意图；

图3为本发明实施例提供的一种接入点的结构示意图；

图4为本发明实施例提供的一种无线网络安全接入系统的示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

为了解决现有技术中存在的无线网络接入操作过程复杂、加密方式易于暴漏等问题，本发明实施例提供一种无线网络安全接入方法、装置和系统。本发明适用于任何用户，优选地，适用于接入WLAN网络用户较多的企业用户。

本发明所述技术方案实现了特定权限的用户使用特定的WLAN网络，同时兼顾到WLAN网络安全，在用户需要接入特定WLAN网络时，只需要输入用户名和用户密码，同时选择对应的SSID，然后就可以自动接入对应的WLAN网络。接入过程中，不需要用户进行任何复杂设置，不需要用户了解AP采用何种加密算法，也不需要用户输入复杂的WLAN网络密码，方便用户使用。

具体而言，当用户输入用户名、用户密码，选择对应的SSID后，STA会发送ProbeRequest（探测请求）帧。与目前Probe Request帧不同的是，STA会将当前STA的MAC地址、用户名、用户密码三部分信息放到扩展字段中。当AP接收到Probe Request帧后，调用预先配置的白名单，首先，检查MAC地址是否为合法用户；接着，检查用户名、用户密码是否正确；最后，检查该用户名在白名单中对应的MAC地址是否为当前MAC地址。上述操作任何一步存在问题，AP将不会响应STA的probe request帧。如果MAC地址、用户名、用户密码三者信息均正确，则AP会与STA继续进行认证、关联操作，与STA建立连接，随后STA可以通过该AP进行数据业务。

下面通过几个具体实施例对本发明的实现过程进行详细说明。

方法实施例

如图1所示，本发明实施例提供的一种无线网络安全接入方法，具体包括：

步骤S101，AP接收STA发送的探测请求帧，获取探测请求帧中携带的用户名、用户密码以及STA的MAC地址；

进一步地，本实施例所述方法中，AP还定期广播Beacon（信标）帧，目的是将自己的SSID、信道、支持速率等信息告诉周围的STA，供STA进行接入选择。

步骤S102，AP调用预先配置的白名单，利用白名单，检测所述用户名、用户密码以及STA的MAC地址是否合法，并在检测结果均合法时，向STA反馈携带有加密方式和密钥信息的探测请求响应帧。

优选地，所述白名单内记录有合法的用户名、用户密码和MAC地址，以及三者间的匹配对应关系；

该步骤中，检测结果均合法是指：用户名、用户密码和STA的MAC地址均在白名单内，且三者间的对应关系与白名单内记录的对应关系相匹配。

确切地讲，AP进行检测时，具体进行如下操作：

步骤1，AP接收探测请求帧后，检查白名单，确认探测请求帧中携带的MAC地址是否为合法用户，若是，执行步骤2；否则，AP不响应STA的probe request帧；

步骤2，AP检查用户名、用户密码是否正确，若是，执行步骤3；否则，AP不响应STA的probe request帧；

步骤3，AP检查白名单中用户名对应的MAC地址是否是探测请求帧中携带的MAC地址，若是，判定用户名、用户密码以及STA的MAC地址均合法；否则，AP不响应STA的proberequest帧。

进一步地，本发明实施例所述方法在执行所述步骤S102后，还进行如下操作：

（1）STA发送Authentication Request帧（认证请求帧）；

（2）AP发送Authentication Response帧，确认认证成功；

（3）STA发送Association Request帧（关联请求帧）；

（4）AP发送Association Response帧，确认关联成功；

（5）STA和AP成功建立连接，两者采用相同的加密方式和密匙进行通信。

为了更清楚的阐述本发明的实施过程，下面结合STA与AP的连接建立过程示意图，对本发明方法实施例提供的无线网络安全接入方法进行进一步详细说明，如图2所示，具体包括：

步骤1，AP开机进行初始化，主控进程读取Wi-Fi配置项来决定是否调用Wi-Fi进程；

步骤2，当Wi-Fi配置项关闭时，不调用Wi-Fi进程。此时，AP以modem方式工作；

步骤3，当Wi-Fi配置项开启时，调用Wi-Fi进程。此时，AP以modem&wi-fi方式工作；

步骤4，Wi-Fi进程调用wifi_ap_whitename_read()函数，更新ap_whitename.xml文件；

步骤5，WEB SERVER进程调用web_server_whitename_read()函数，读取上述xml文件；

步骤6，WEB UI进程调用web_ui_whitename_show()函数，读取上述xml文件，并显示在WEB UI上；

步骤7，网络管理员登陆WEB UI，添加允许接入的白名单，WEB UI进程通过HTTP请求将上述信息传递给WEB SERVER进程；

步骤8，WEB SERVER进程通过消息队列机制将上述信息传递给Wi-Fi进程；

步骤9，Wi-Fi进程调用wifi_ap_whitename_read()函数，将上述信息写入ap_whitename.xml文件；

步骤10，Wi-Fi进程调用wifi_ap_beacon_broadcast()函数，定期将自己的SSID、信道、支持速率等信息告诉周围的STA；

步骤11，当STA需要接入AP时，STA输入用户名、用户密码，并选择对应的SSID；此时，STA向AP发送包含用户名、用户密码和STA的MAC地址的Probe Request帧；

步骤12，AP接收到Probe Request帧后，Wi-Fi进程调用wifi_ap_mac_filter()函数，检查帧中携带的MAC地址是否为合法用户；

步骤13，根据步骤12的运行结果，如果不是合法用户，AP不响应STA的proberequest帧；

步骤14，根据步骤12的运行结果，如果是合法用户，Wi-Fi进程调用wifi_ap_id_pwd()函数，判断STA输入的用户名、用户密码是否正确；

步骤15，根据步骤14的运行结果，如果不正确，AP不响应STA的Probe Request帧；

步骤16，根据步骤14的运行结果，如果正确，Wi-Fi进程调用wifi_ap_mac_id()函数，判断白名单中当前用户名对应的MAC地址是否是Probe Request帧携带的MAC地址；

步骤17，根据步骤16的运行结果，如果不是，AP不响应STA的Probe Request帧；

步骤18，根据步骤16的运行结果，如果是，Wi-Fi进程调用wifi_ap_probe_response()函数，应答上述请求帧，并将加密方式、密匙等信息发送给STA；

步骤19，当STA接收到Probe Response帧后，STA发送Authentication帧；

步骤120，AP接收该帧后，Wi-Fi进程调用wifi_ap_authentication_response()函数，响应该帧，确认认证成功；

步骤21，当STA接收到Authentication帧时，STA发送Association Request帧；

步骤22，AP接收该帧后，Wi-Fi进程调用wifi_ap_association_response()函数，响应该帧，确认关联成功；

步骤23，STA和AP成功建立连接，两者采用相同的加密方式和密匙进行通信。

综上所述，本发明实施例所述方法提供的接入方式，不需要用户进行任何复杂设置，不需要用户了解AP采用何种加密算法，也不需要用户输入复杂的WLAN网络密码，方便用户使用；另外，本发明实施例中通过设置白名单，来捆绑式的检测接入用户的合法性，可以有效保护无线网络的安全。

装置实施例

如图3所示，本发明实施例提供一种接入点AP，具体包括：

消息接收单元310，用于接收STA发送的探测请求帧，获取所述探测请求帧中携带的用户名、用户密码以及所述STA的MAC地址；

消息处理单元320，用于调用预先配置的白名单，利用所述白名单，检测所述用户名、用户密码和所述STA的MAC地址是否合法，并在检测结果均合法时，向所述STA反馈携带有加密方式和密钥信息的探测请求响应帧。

优选地，消息处理单元320调用的所述白名单内记录有合法的用户名、用户密码和MAC地址，以及三者间的匹配对应关系。

优选地，消息处理单元320，具体用于检测所述用户名、用户密码和所述STA的MAC地址是否均在所述白名单内，且三者间的对应关系是否与所述白名单内记录的对应关系相匹配，当检测结果均为是时，判定检测结果为均合法。

进一步地，本发明实施例所述接入点AP在完成上述发现过程后，继续与STA进行认证和关联操作。

为了更清楚的阐述本发明装置实施例的实施过程，下面通过一具体示例对本发明装置实施例提供的接入点AP进行进一步详细说明，接入点AP具体包括：

WEB UI模块（WEB界面模块）、Web Server模块（处理用户界面操作的后台服务器模块）、Main Control模块（主控模块）、WLAN Control模块（WLAN网络控制模块）、WLAN Beacon模块（WLAN网络信标模块）、WLAN Probe模块（WLAN网络探查模块）、WLAN Authentication模块（WLAN网络认证模块）、WLAN Association模块（WLAN网络关联模块）、以及InternetConnect模块（网络连接模块）；其中，WLAN Probe模块具体包括：消息接收单元310和消息处理单元320。其中：

WEB UI模块为用户与AP的交互界面，通过该界面用户可以进行选择网络连接方式、查询电话本、发送短消息等操作。

Web Server模块是WEB UI模块的后台处理程序模块，主要用来处理WEB UI模块提交的各种请求。

Main Control模块为AP的主控模块，维护AP的一个状态机，根据不同的消息给网络连接、电话本、短消息等功能模块。

WLAN Control模块是WLAN网络控制模块，主要实现WLAN网络下扫描、认证、关联等功能。

WLAN Beacon模块负责定期广播Beacon帧，目的是将自己的SSID、信道、支持速率等信息告诉周围的STA。

WLAN Probe模块根据消息接收单元310和消息处理单元320，接收STA发送的ProbeRequest帧，以及对携带的MAC地址、用户名、用户密码进行校验，检测STA的合法性，从而完成对STA的Probe Request帧的响应；

WLAN Authentication模块负责响应STA的Authentication Request帧，即认证请求帧。

WLAN Association模块负责响应STA的Association Request帧，即关联请求帧。

Internet Connect模块主要控制当STA与AP关联成功后，是否访问互联网。

综上所述，本发明实施例所述装置提供的接入方式，不需要用户进行任何复杂设置，不需要用户了解AP采用何种加密算法，也不需要用户输入复杂的WLAN网络密码，方便用户使用；另外，本发明实施例中通过设置白名单，来捆绑式的检测接入用户的合法性，可以有效保护无线网络的安全。

系统实施例

如图4所示，本发明实施例还提供一种无线网络安全接入系统，具体包括：STA 410和AP 420，其中：

STA 410，用于向AP 420发送探测请求帧，所述探测请求帧中携带有用户名、用户密码和STA的MAC地址；以及接收AP 420反馈的探测请求响应帧；

AP 420，用于接收STA 410发送的探测请求帧，调用预先配置的白名单，利用所述白名单，检测所述用户名、用户密码和所述STA的MAC地址是否合法，并在检测结果均合法时，向STA 410反馈携带有加密方式和密钥信息的探测请求响应帧。

优选地，本发明实施例所述系统中，预先配置的白名单内记录有合法的用户名、用户密码和MAC地址，以及三者间的匹配对应关系；

优选地，本发明实施例所述系统中，检测结果均合法是指所述用户名、用户密码和STA的MAC地址均在所述白名单内，且三者间的对应关系与所述白名单内记录的对应关系相匹配。

进一步地，本发明实施例所述系统中：

STA 410，还用于在接收到所述探测请求响应帧后，向AP 420发送认证请求帧，在接收到AP 420发送的认证成功响应帧后，向AP 420发送关联请求帧，并在接收到AP 420发送的关联成功响应帧后，建立起与AP 420的连接；

AP 420，还用于在接收到认证请求帧后，对STA 410进行认证，并将认证结果反馈至STA 410；以及，在接收到所述关联请求帧后，建立与STA 410的关联，并将关联结果反馈至STA 410。

综上所述，本发明实施例所述系统提供的接入方式，不需要用户进行任何复杂设置，不需要用户了解AP采用何种加密算法，也不需要用户输入复杂的WLAN网络密码，方便用户使用；另外，本发明实施例中通过设置白名单，来捆绑式的检测接入用户的合法性，可以有效保护无线网络的安全。

显然，本领域的技术人员可以对本发明进行各种改动和变型而不脱离本发明的精神和范围。这样，倘若本发明的这些修改和变型属于本发明权利要求及其等同技术的范围之内，则本发明也意图包含这些改动和变型在内。

Claims (10)

1.一种无线网络安全接入方法，其特征在于，包括：

接入点AP接收站STA发送的探测请求帧，获取所述探测请求帧的扩展字段中携带的用户名、用户密码以及所述STA的MAC地址；

所述AP调用预先配置的白名单，利用所述白名单，检测所述用户名、用户密码以及所述STA的MAC地址是否合法，并在检测结果均合法时，向所述STA反馈携带有加密方式和密钥信息的探测请求响应帧；

所述AP在接收到所述STA发送的Authentication帧时，响应该帧，确认认证成功。

2.如权利要求1所述的方法，其特征在于，所述预先配置的白名单内记录有合法的用户名、用户密码和MAC地址，以及三者间的匹配对应关系。

3.如权利要求2所述的方法，其特征在于，所述检测结果均合法是指所述用户名、用户密码和STA的MAC地址均在所述白名单内，且三者间的对应关系与所述白名单内记录的对应关系相匹配。

4.如权利要求1或2或3所述的方法，其特征在于，所述方法还包括：

所述STA接收到所述探测请求响应帧后，向所述AP发起认证和关联请求，并在接收到所述AP反馈的认证成功和关联成功响应消息时，建立起与所述AP的连接。

5.一种接入点AP，其特征在于，包括：

消息接收单元，用于接收站STA发送的探测请求帧，获取所述探测请求帧的扩展字段中携带的用户名、用户密码以及所述STA的MAC地址；

消息处理单元，用于调用预先配置的白名单，利用所述白名单，检测所述用户名、用户密码和所述STA的MAC地址是否合法，并在检测结果均合法时，向所述STA反馈携带有加密方式和密钥信息的探测请求响应帧；当接收到所述STA发送的Authentication帧时，响应该帧，确认认证成功。

6.如权利要求5所述的AP，其特征在于，所述消息处理单元调用的所述白名单内记录有合法的用户名、用户密码和MAC地址，以及三者间的匹配对应关系。

7.如权利要求6所述的AP，其特征在于，所述消息处理单元，具体用于检测所述用户名、用户密码和所述STA的MAC地址是否均在所述白名单内，且三者间的对应关系是否与所述白名单内记录的对应关系相匹配，当检测结果均为是时，判定检测结果为均合法。

8.一种无线网络安全接入系统，其特征在于，包括：

站STA，用于向接入点AP发送探测请求帧，所述探测请求帧的扩展字段中携带有用户名、用户密码和STA的MAC地址；以及接收所述AP反馈的探测请求响应帧；

接入点AP，用于接收所述STA发送的探测请求帧，调用预先配置的白名单，利用所述白名单，检测所述用户名、用户密码和所述STA的MAC地址是否合法，并在检测结果均合法时，向所述STA反馈携带有加密方式和密钥信息的探测请求响应帧；当接收到所述STA发送的Authentication帧时，响应该帧，确认认证成功。

9.如权利要求8所述的系统，其特征在于，所述预先配置的白名单内记录有合法的用户名、用户密码和MAC地址，以及三者间的匹配对应关系；

所述检测结果均合法是指所述用户名、用户密码和STA的MAC地址均在所述白名单内，且三者间的对应关系与所述白名单内记录的对应关系相匹配。

10.如权利要求8或9所述的系统，其特征在于，

所述STA，还用于在接收到所述探测请求响应帧后，向所述AP发送认证请求帧，在接收到AP发送的认证成功响应帧后，向所述AP发送关联请求帧，并在接收到所述AP发送的关联成功响应帧后，建立起与所述AP的连接；

所述AP，还用于在接收到所述认证请求帧后，对所述STA进行认证，并将认证结果反馈至所述STA；以及，在接收到所述关联请求帧后，建立与所述STA的关联，并将关联结果反馈至所述STA。