CN104125566B

CN104125566B - 复用智能终端无线ap防蹭网方法

Info

Publication number: CN104125566B
Application number: CN201410222850.6A
Authority: CN
Inventors: 范正海; 周宝忠; 郑仁圳
Original assignee: Eostek (shenzhen) Co ltd
Current assignee: Eostek (shenzhen) Co ltd
Priority date: 2014-05-23
Filing date: 2014-05-23
Publication date: 2023-06-23
Anticipated expiration: 2034-05-23
Also published as: CN104125566A

Abstract

本发明公开了一种复用智能终端无线AP防蹭网方法，包括：管理终端上传鉴权信息步骤；用户终端请求鉴权步骤，用户终端连接无线AP后，通过提交用户信息及所要求的设备信息进行鉴权；无线AP进行鉴权步骤，无线AP按照随机算法选择当前鉴权方法集合中的一种或者几种作为当前鉴权机制，并利用当前鉴权机制进行鉴权认证，认证通过则允许访问，否则拒绝访问；用户终端访问网络步骤，用户终端通过无线AP访问网络，并获得网络资源；无线AP进行动态鉴权复核步骤：无线AP随机动态地切换鉴权机制，并在切换时再次进行鉴权认证，认证通过则允许继续访问，否则拒绝访问。本发明是一种防止非法用户通过该AP服务使用无线网络的方法。

Description

复用智能终端无线AP防蹭网方法

技术领域

本发明涉及无线网络通信及信息安全技术领域，尤其涉及智能终端在提供无线AP服务时，防止非法用户通过该AP服务使用无线网络的方法。

背景技术

无线网络(Wireless Network)是指任何型式的无线电计算机网络，不需电缆即可在节点之间相互链接，无线电信网络一般被应用在使用电磁波的信息传输系统，像是无线电波作为载波和物理层的网络，并最终连接到有线Internet网络，是有线网络末梢的延伸，主要接入大量的无线终端设备。

一般使用无线网络时需要一个无线AP(Access Point)，即无线接入点，终端设备首先通过无线的方式与AP建立连接，在得到AP的允许后，通过该无线AP访问最终的有线网络资源。

为了提高无线网络效率，专利201110003807.7(申请号)，提出了一种接入控制的方法及装置，通过对接入终端或业务进行优先级分级，在网络负荷较大时，进行无线资源控制以提高接入网络效率；而专利WO2013010402A1(公开号)，提出一种混合模式家庭基站的接入控制方法及系统，将位于混合模式家庭基站管辖的成员用户终端，根据家庭基站广播的系统消息中的接入等级控制(ACB)参数进行接入判决。

除此之外，由于无线网络资源有限，或由于无线网络传输内容保密需要，除部分公共区域的无线AP可以不受限制的提供接入服务外(如机场、图书馆、

百货商场等公共场所)，大部分无线AP都设置有安全保护措施，以保证只有合法用户才能通过该无线AP使用网络资源。

目前主流的无线网络保护方法主要是通过密码访问的加密方式，其主要包括三种网络加密方法：64/128位WEP加密、WPA加密以及WPA2加密，WPA/WPA2加密算法主要用于替换WPA加密，加密效果更好，目前的AP产品一般都采用WPA/WPA2加密算法。WPA/WPA2加密采用的是哈希(hash)算法，有研究指出作为替换WPA加密的WPA/WPA2加密算法，虽然安全性较高，但采用暴力破解、哈希表破解等依然可以获得密码(参见文献白珅，王轶骏，薛质WPA/WPA2协议安全性研究，信息安全与通信保密，2012(1)：106-108.)。事实上，网络上也充斥着大量的WPA/WPA2破解教程，包括《无线网络密码破解WPA/WPA2教程》，以及《无线网密码破解，让你轻松蹭网》等，利用这些教程和网络上的公开资源，就可轻松突破所设置的安全防护。

针对无线AP接入所存在的安全问题，有大量的相关研究，主要可以分为有两大类：

一类是针对无线仿冒AP接入点问题：有专利CN200480026469(申请号)提出了一种用于检测恶意接入点并对之反应的方法、设备和系统，通过引入安全代理来比较接收信息的至少一个子集与以前存储的信息，以确定是否存在恶意接入点；以及专利CN200610169954(申请号)提出了一种无线局域网中监控非法接入点的方法、设备及系统，通过保存监控AP需要攻击的非法AP的信息，监控AP在无线局域网中的信道上进行切换，并根据所述保存的该监控AP需要攻击的非法AP的信息，在当前切换到的信道上对非法AP进行攻击；而专利CN200480020307(申请号)提出了一种用于检测无线网络中的欺骗性接入点的方法、装置和软件产品，该方法利用维护的AP数据库，通过AP的MAC地址身份识别来确定该AP是被管理的或友好的；专利CN200610172875(申请号)提出的无线网络中的欺骗接入点检测，主要是利用移动台(MS)向正在服务的AP报告的其移动区域内所有AP的信号强度(RSS)与正在服务AP的RSS不一致性来检测欺骗AP。

另一类是针对非法访问无线AP的问题：专利CN201310581758(申请号)提出了一种检测非法无线接入点的方法、装置及系统，采用认证客户端通过操作系统API获取连接无线信号的BSSID；然后将连接无线信号的BSSID与合法BSSID列表进行比对；当连接无线信号的BSSID不存在合法BSSID列表中，认证客户端确定连接无线信号的BSSID对应的AP为非法AP；并生成提示消息，该提示消息用于说明连接无线信号的BSSID对应的AP为非法AP；以及专利US20030186679A1(公开号)提出的一种用于网络安全监控的方法、设备和程序产品，通过扫描、监测在网络中交换的数据，以确定一个未经授权的访问点及其位置。

上述针对非法访问无线AP资源的改进对简单直接攻击有一定的防护作用，但由于一般无线AP无法实现远程控制，其安全设置更新速度较慢，因此攻击者通过一定时间的信息刺探后，利用仿冒伪装就很容易突破所设置的安全防护措施，实施非法访问，如专利CN201310581758(申请号)的方法在攻击者仿冒BSSID时，则难以发觉；而专利US20030186679A1(公开号)的方法在通过信息刺探、协议内容分析获得信息后，也可以通过伪装访问。事实上，也可以通过采用更高强度的加密措施提高安全等级，但由此带来的算法复杂度提高所引起的设备成本的提高也使其不具有实际应用价值，因此，针对大众用户需求以及智能终端无线AP的特点，设计和使用一种简单经济的方法以改善无线AP的安全环境具有很高的社会经济效益，而目前的方法并不能很好的满足以上要求。

发明内容

本发明的目的是提供一种智能终端在提供无线AP服务时，防止非法用户通过该AP服务使用无线网络的方法。

为了实现上述目的，本发明提供的技术方案为：提供一种复用智能终端无线AP防蹭网方法，包括：

S1：管理终端上传鉴权方法的集合、所有合法用户信息到无线AP；

S2：用户终端连接无线AP后，通过提交用户信息及所要求的设备信息进行鉴权；

S3：无线AP按照随机算法选择当前鉴权方法集合中的一种或者几种作为当前鉴权机制，并利用当前鉴权机制进行鉴权认证，认证通过则允许访问，否则拒绝访问；

S4：用户终端通过无线AP访问网络，并获得网络资源。

还包括步骤S5，无线AP可随机动态地切换鉴权机制，并在切换时再次进行鉴权认证，认证通过则允许继续访问，否则拒绝访问。

用户信息包括用户名及访问密码。

鉴权方法为一种算法及其所要求的参数，且算法可由设备用户自行定义，也可从缺省算法集合中选择，缺省算法集合由设备生产厂家在设备生产时置入。

步骤S2包括：

S21：用户终端通过无线方式与无线AP建立IP连接；

S22：用户终端向无线AP发送请求访问的Internet资源的URL；

S23：无线AP重定向到鉴权页面要求用户终端鉴权；

S24：用户在鉴权页面输入用户信息，用户终端将用户信息并自动携带用户设备信息后，一并反馈给无线AP进行鉴权。

用户信息与设备信息进行安全绑定，绑定的设备信息包括MAC地址、设备SN序列号、CPU序列号，绑定设备信息可以是一个，也可以是部分或全部设备信息的组合。

用户信息与设备信息在传输时进行加密处理，加密方法包括MD5，且加密方法也属于鉴权方法的一种。

步骤S3包括：

S31：无线AP从用户终端反馈信息中获取用户终端的用户信息及用户设备信息；

S32：无线AP按照随机选择方法从鉴权方法集合中选择鉴权机制；

S33：无线AP根据鉴权机制中每个鉴权方法的参数要求，输入参数并调用该鉴权方法算法进行计算，结果为“真”时选择一个鉴权方法继续计算，直到鉴权机制中所有鉴权方法计算完成或其中有一个鉴权方法计算结果为“假”时终止计算；所有结果为“真”表示鉴权成功，则允许访问；否则表示鉴权失败，则拒绝访问；

S34：无线AP记录鉴权成功的用户终端和鉴权成功时间，删除鉴权失败的用户终端和记录数据。步骤S5包括：

S51：定时扫描每个用户终端鉴权成功的时间，并与当前时间比较，若时间差大于设定的再次鉴权延迟时间阈值，则通过随机概率判断是否需要立即进行再次鉴权；

S52：再次鉴权的过程通过步骤S2、S3执行；

S53：扩大连续鉴权成功用户终端的再次鉴权延迟时间阈值。

再次鉴权延迟时间阈值的初始值通过系统配置设置，也可以通过管理终端进行远程配置。

随机概率选择根据用户终端的信任级别确定，而用户终端信任级别通过用户终端的鉴权成功次数、鉴权识别次数以及连续鉴权成功次数计算得到，且用户终端信任级别计算方法包括算术加权平均法。

与现有技术相比，本发明具有的有益效果为：采用本发明所述方法的智能终端无线AP设备，通过可更新的动态鉴权机制，对非法用户访问智能终端提供的无线AP服务进行劫持，通过将用户信息与设备信息进行安全绑定，并利用信任计算获得的随机概率进行重复鉴权，实现智能、动态的无线AP防蹭网功能。

通过以下的描述并结合附图，本发明将变得更加清晰，这些附图用于解释本发明的实施例。

附图说明

图1为本发明复用智能终端无线AP防蹭网方法的总体流程框图。

图2为如图1所示的复用智能终端无线AP防蹭网方法的步骤1的流程框图。

图3为如图1所示的复用智能终端无线AP防蹭网方法的步骤2的流程框图。

图4为如图1所示的复用智能终端无线AP防蹭网方法的步骤3的流程框图。

图5为如图1所示的复用智能终端无线AP防蹭网方法的步骤5的流程框图。

图6为如图5所示的步骤5中的步骤5.1的流程框图。

具体实施方式

现在参考附图描述本发明的实施例，附图中类似的元件标号代表类似的元件。如上所述，如图1所示，本发明实现了一种智能的无线AP防止非法访问的方法，通过动态鉴权机制和基于信任计算的随机概率重复鉴权方法，对非法用户访问智能终端提供的无线AP服务进行劫持，实现智能、动态的无线AP防蹭网功能，具体流程如图1、2所示，包括：

步骤1：管理终端上传鉴权信息。包括鉴权方法集合、所有合法用户终端的用户名及其访问密码到无线AP。无线AP只有事先设置合法用户列表以及如何确定某用户为合法用户，才能在用户访问时对请求的用户进行识别，具体地如图2所示，步骤步骤1包括：

步骤1.1：用户在管理终端操作界面输入所有合法用户的用户信息。每个用户的用户信息包括用户名、用户密码以及用户设备信息，包括设备的序列号和MAC地址；

步骤1.2：用户在管理终端操作界面输入鉴权方法集合，每个鉴权方法包含一个可执行的鉴权算法程序文件以及要求参数及类型列表；

步骤1.4：管理终端通过HTTPS连接无线AP。

步骤1.5：管理终端通过HTTPS连接将用户所输入的数据传输给无线AP；

步骤1.6：无线AP解析收到的用户所输入数据，并存储在本地配置文件中；

步骤1.7：管理终端通过HTTPS连接将用户配置的所输入的鉴权算法程序文件上传到无线AP；

步骤1.8：无线AP接收鉴权算法程序文件并安装后设置为自动运行。

步骤1.9：无线AP自动重新启动。

特别的，鉴权方法集合可以为空，则系统使用内置的鉴权方法集合。

特别的，为防止信息泄密，传输和存储在无线AP本地配置文件中的信息可加密，加密方法包括但不限于RSA、DES。

步骤2：用户终端请求进行鉴权。用户终端在连接无线AP后，通过提交用户名和访问密码以及所要求的设备信息进行鉴权。用户初次访问时，无线AP会自动要求用户进行鉴权认证，以保证只有合法用户才能使用服务，具体地，如图3所示，步骤2包括：

步骤2.1：用户终端通过无线方式与无线AP建立IP连接；

步骤2.2：用户终端向无线AP发送HTTP请求；

步骤2.3：无线AP重定向到鉴权页面要求用户终端输入用户名和密码后进行鉴权确认；

步骤2.4：用户在用户终端的鉴权页面输入用户名和密码，用户终端将用户所输入信息并自动携带用户设备信息后，以HTTP参数的形式，一并反馈给无线AP进行鉴权。

特别的，用户设备信息和步骤1中用户输入的设备信息类型一致，即包含用户设备的序列号和MAC地址。

特别的，用户设备信息通过用户终端程序自动获取。

步骤3：无线AP选择鉴权机制。无线AP按照随机算法选择当前鉴权方法集合中的一种或几种作为当前鉴权机制，并利用当前鉴权机制进行鉴权认证，认证通过则允许访问，否则拒绝访问，具体地，如图4所示，步骤3包括：

步骤3.1：无线AP从用户终端反馈信息中解析获取用户终端的用户名、密码以及用户设备的序列号和MAC地址；

步骤3.2：无线AP按照统计获得当前的鉴权方法集合大小N，并以当前时间t为基数，调用标准rand(t)函数生成一个随机数M。设置获取M的计算次数K＝1，如果M≥N，则设置M＝M/2，且K++；循环执行此过程直到M<N。继续判断K，如果K>N/2，则K＝K/2，循环执行此过程直到K≤N/2。此时得到的M即为所选择的第1个鉴权方法的索引号，M＝0表示第1个鉴权方法，M＝1表示第2个鉴权方法，依次类推；而K则表示本次需要使用的鉴权方法的个数，第1个鉴权方法由M指定，而剩余的K-1个鉴权方法为由M指定的第1个鉴权方法的邻居，即若M＝4，K＝3，则对应的鉴权机制为第4，5，6个鉴权方法；

步骤3.3：无线AP根据鉴权机制中每个鉴权方法的索引号获得对应的鉴权算法程序文件及参数，输入参数并调用该鉴权算法程序进行计算，结果为“真”则选择下一个鉴权算法程序继续计算，直到鉴权机制中所有鉴权算法程序计算完成或其中有一个鉴权算法程序计算结果为“假”时终止计算；所有结果为”真“表示鉴权成功，则允许访问；否则表示鉴权失败，则拒绝访问；

步骤3.4：无线AP将用户终端和鉴权成功时间以无线AP本地配置文件的形式存储记录，记录方法为格式文本文件。如果鉴权失败，则删除对应的用户终端鉴权记录格式文本文件。鉴权成功时，用户终端鉴权成功加1，否则用户终端鉴权失败次数加1，并将刷新用户终端鉴权成败记录，该记录存储在用户终端的另一个配置文件中，记录格式也为文本文件。

步骤4：用户终端使用无线AP服务。用户终端通过无线AP访问Internet，获得网络资源，使用方法为直接HTTP代理。

特别的，为安全起见，无线AP实时记录和比较所代理用户终端的MAC地址信息，当出现信息差异时直接启动步骤5进行动态鉴权复核。

步骤5：无线AP进行动态鉴权复核。无线AP随机动态的切换鉴权机制，并在切换时再次进行鉴权认证，即鉴权复核，认证通过则允许继续访问，否则拒绝访问，具体地，步骤5的具体如图5和6包括：

步骤5.1：无线AP定时扫描每个用户终端鉴权成功的时间t0，并与当前时间t1比较，若t1-t0≤t(t为再次鉴权延迟时间阈值)，步骤结束，继续等待下次扫描判断，否则继续执行以下步骤：

步骤5.1.1：从配置文件获得对应用户终端的鉴权成功次数S和失败次数F；

步骤5.1.2：计算用户终端的信任级别T＝S/(S+F)；

步骤5.1.3：根据当前时间t1，调用标准随机函数rand(t)得到随机数P，如果P>1，则P＝P/2，循环执行直到满足P≤1的要求；

步骤5.1.4：如果P<1-T，则立即进行再次鉴权，否则步骤结束，继续等待下次扫描判断。

步骤5.2：再次进行鉴权，其过程和步骤2、3相同；

步骤5.3：鉴权成功时，以延长下次进行鉴权复核的等待时间，满足条件：t1-t0≤2t。

特别的，初始的再次鉴权延迟时间阈值t通过配置文件获得，没有配置时，缺省为10分钟。

应用时，管理终端通过远程配置将合法用户的用户名、用户密码以及对应的访问设备信息，包括设备序列号和MAC地址，通过HTTPS安全通信的方式传输给无线AP，用户在通过无线AP访问INTERNET网络时，无线AP根据记录的信息自动要求用户输入用户名和密码进行鉴权，所采用的鉴权方法进行随机选择，只有鉴权成功的用户才用使用无线AP服务访问网络；同时，在用户获得合法授权访问网络时，无线AP根据设置的概率计算机制，定时进行鉴权复核，以保证非授权用户不能通过密码探测等方法获得非法访问，该方法简单有效，能较好的解决针对无线AP的蹭网行为。

以上所揭露的仅为本发明的优选实施例而已，当然不能以此来限定本发明之权利范围，因此依本发明申请专利范围所作的等同变化，仍属本发明所涵盖的范围。

Claims

1.一种复用智能终端无线AP防蹭网方法，其特征在于，包括：

S1：管理终端上传鉴权信息步骤，管理终端上传鉴权方法的集合、所有合法用户信息到无线AP；

S2：用户终端请求鉴权步骤，用户终端连接无线AP后，通过提交用户信息及所要求的设备信息进行鉴权；

S3：无线AP进行鉴权步骤，无线AP按照随机算法选择当前鉴权方法集合中的一种或者几种作为当前鉴权机制，并利用当前鉴权机制进行鉴权认证，认证通过则允许访问，否则拒绝访问；

S4：用户终端访问网络步骤，用户终端通过无线AP访问网络，并获得网络资源；

S5：无线AP进行动态鉴权复核步骤：无线AP随机动态地切换鉴权机制，并在切换时再次进行鉴权认证，认证通过则允许继续访问，否则拒绝访问；

S5包括：

S52：再次鉴权的过程通过步骤S2、S3执行；

S53：扩大连续鉴权成功用户终端的再次鉴权延迟时间阈值。

2.如权利要求1所述的复用智能终端无线AP防蹭网方法，其特征在于：用户信息包括用户名及访问密码。

3.如权利要求1所述的复用智能终端无线AP防蹭网方法，其特征在于：鉴权方法为一种算法及其所要求的参数，且算法可由设备用户自行定义，也可从缺省算法集合中选择，缺省算法集合由设备生产厂家在设备生产时置入。

4.如权利要求1所述的复用智能终端无线AP防蹭网方法，其特征在于：步骤S2包括：

S21：用户终端通过无线方式与无线AP建立IP连接；

S22：用户终端向无线AP发送请求访问的Internet资源的URL；

S23：无线AP重定向到鉴权页面要求用户终端鉴权；

S24：用户在鉴权页面输入用户信息，用户终端将用户信息和用户的设备信息一并反馈给无线AP进行鉴权。

5.如权利要求4所述的复用智能终端无线AP防蹭网方法，其特征在于：用户信息与设备信息进行安全绑定，绑定的设备信息包括MAC地址、设备SN序列号、CPU序列号，绑定设备信息可以是一个，也可以是部分或全部设备信息的组合。

6.如权利要求5所述的复用智能终端无线AP防蹭网方法，其特征在于：用户信息与设备信息在传输时进行加密处理，加密方法包括MD5，且加密方法也属于鉴权方法的一种。

7.如权利要求1所述的复用智能终端无线AP防蹭网方法，其特征在于：步骤S3包括：

S31：无线AP从用户终端反馈信息中获取用户终端的用户信息及用户的设备信息；

S34：无线AP记录鉴权成功的用户终端和鉴权成功时间，删除鉴权失败的用户终端和记录数据。

8.如权利要求1所述的复用智能终端无线AP防蹭网方法，其特征在于：再次鉴权延迟时间阈值的初始值通过系统配置设置，也可以通过管理终端进行远程配置。

9.如权利要求1所述的复用智能终端无线AP防蹭网方法，其特征在于：随机概率选择根据用户终端的信任级别确定，而用户终端信任级别通过用户终端的鉴权成功次数、鉴权识别次数以及连续鉴权成功次数计算得到，且用户终端信任级别计算方法包括算术加权平均法。