CN110366173A - 一种实现终端设备接入网络的方法和网关 - Google Patents

Abstract

本发明提供一种实现终端设备接入网络的方法，所述方法包括：接收到待接入的终端设备发送的扫描请求消息后，利用第一临时网络标识地址生成并发送扫描响应消息；接收到接入请求消息后，执行握手操作；与所述待接入的终端设备握手成功后，为其分配真实网络标识地址。本发明所提供的方法中，网关所发出的扫描响应消息中的网络标识地址为临时网络标识地址，在终端设备握手成功后才为该终端设备分配网关的真实网络标识地址，从而阻止了黑客设备在未通过接入验证的情况下获取网关设备的真实网络标识地址并利用真实网络标识地址建立用户隐私信息与用户住宅区域之间的对应关系，保护了用户隐私。同时，本发明还提供相应的网关。

Description

一种实现终端设备接入网络的方法和网关

技术领域

本发明涉及通信技术领域，具体地，涉及一种实现终端设备接入网络的方法和一种能够实现该方法的网关。

背景技术

介质访问控制(MAC，Media Access Control)地址(以下简称MAC地址)是一种用于区分用户终端设备，防止用户的IP地址等信息被盗用的地址，通常也被称为物理地址、硬件地址或链路地址。

现有的网关设备(如路由器)通常有一个固定的MAC地址，用户终端设备(如智能手机、平板电脑等)通过该MAC地址与网关设备进行验证并通过网关设备接入网络。

发明内容

本发明旨在提供一种实现终端设备接入网络的方法，网关设备采用该方法将终端设备接入网络时，网关的真实网络识别地址不会被黑客设备盗取。

为实现上述目的，作为本发明的第一个方面，提供一种实现终端设备接入网络的方法，所述方法包括：

接收到待接入的终端设备发送的扫描请求消息后，利用第一临时网络标识地址生成并发送扫描响应消息；

接收到接入请求消息后，执行握手操作，其中，所述接入请求消息为所述待接入的终端设备根据所述扫描响应消息生成的接入请求消息；

与所述待接入的终端设备握手成功后，为该终端设备分配真实网络标识地址。

优选地，所述方法还包括：

接收到重连请求后，使用第二临时网络标识地址对发出重连请求的终端设备进行身份验证；

当所述发出重连请求的终端设备通过身份验证时，为该终端设备分配真实网络标识地址。

优选地，所述方法还包括：

当到达生成临时网络地址的周期节点、且存在正在握手的设备时，停止生成所述临时网络地址；

当所述正在握手的设备握手结束时，开始生成临时网络地址。

优选地，所述方法还包括：

周期性地将临时网络地址广播至广播区域中。

作为本发明的第二个方面，提供一种网关，所述网关包括：

扫描请求接收模块，用于接收待接入的终端设备发送的扫描请求消息；

扫描响应发送模块，用于在所述扫描请求接收模块接收到待接入的终端设备发送的扫描请求消息后，利用第一临时网络标识地址生成并发送扫描响应消息；

接入请求接收模块，用于接入请求消息，其中，所述接入请求消息为所述待接入的终端设备根据所述扫描响应消息生成的接入请求消息；

握手模块，用于在所述接入请求接收模块接收到接入请求消息后，执行握手操作；

地址分配模块，用于在所述握手模块与所述待接入的终端设备握手成功后，为该终端设备分配真实网络标识地址。

优选地，所述网关还包括：

重连请求接收模块，用于接收终端设备发出的重连请求；

身份验证模块，用于在所述重连请求接收模块接收到重连请求后，使用第二临时网络标识地址对发出重连请求的终端设备进行身份验证；

所述地址分配模块还用于在所述发出重连请求的终端设备通过身份验证时，为该终端设备分配真实网络标识地址。

优选地，所述网关还包括：

网络地址生成模块，用于周期性地生成临时网络地址。

优选地，所述网络地址生成模块在到达生成临时网络地址的周期节点、且存在正在握手的设备时，停止生成所述临时网络地址；

在所述正在握手的设备握手结束时，开始生成临时网络地址。

优选地，所述网关还包括：

网络地址广播模块，用于周期性地将临时网络地址广播至广播区域中。

在本发明所提供的实现终端设备接入网络的方法中，网关发出的扫描响应消息中的网络标识地址为临时网络标识地址，在终端设备握手成功后才为该终端设备分配网关的真实网络标识地址，从而使得终端设备或探针无法在扫描阶段获取网关的真实网络标识地址，进而阻止了不法分子通过WiFi探针获取区域内网关设备的真实网络标识地址并利用真实网络标识地址建立用户隐私信息与用户住宅区域之间的对应关系，保护了用户隐私。

此外，当本发明提供的实现终端设备接入网络的方法应用于运营商的网关设备时，还能够防止运营商网络设备被黑客设备探测、入侵，从而保护运营商客户的利益。

附图说明

附图是用来提供对本发明的进一步理解，并且构成说明书的一部分，与下面的具体实施方式一起用于解释本发明，但并不构成对本发明的限制。在附图中：

图1是本发明提供的实现终端设备接入网络的方法的一种实施方式的流程图；

图2是本发明提供的实现终端设备接入网络的方法的另一种实施方式的流程图；

图3是本发明提供的实现终端设备接入网络的方法的另一种实施方式的流程图；

图4是本发明提供的实现终端设备接入网络的方法的另一种实施方式的流程图；

图5是本发明提供的实现终端设备接入网络的方法的另一种实施方式的流程图；

图6是本发明提供的网关的一种实施方式的结构示意图；

图7是本发明提供的网关的另一种实施方式的结构示意图；

图8是本发明提供的网关的另一种实施方式的结构示意图；

图9是本发明提供的网关的另一种实施方式的结构示意图。

具体实施方式

以下结合附图对本发明的具体实施方式进行详细说明。应当理解的是，此处所描述的具体实施方式仅用于说明和解释本发明，并不用于限制本发明。

无线保真(WiFi，Wireless Fidelity)探针盒子(以下简称WiFi探针盒子)是一种能够基于WiFi探测技术识别无线访问接入点(AP，Access Point)的探测设备，WiFi探针盒子能够在附近用户手机连接WiFi网络时，识别出用户手机的MAC地址，转换成国际移动设备识别码(IMEI，International Mobile Equipment Identity)，再转换成手机号码。在用户毫不知情的情况下，搜集用户的手机号、婚姻情况、教育程度，收入水平等个人信息。

目前，用户避免WiFi探针盒子获取手机信息的主要措施通常是尽量不搜索连接公共区域的WiFi网络。然而，本发明的发明人研究后发现，即便手机等终端设备不主动连接陌生网络，WiFi探针仍然可以与违规应用(App，Application)或者黑客技术配合盗取用户信息。例如：

不法分子通过违规App、黑客技术窃取用户手机号等隐私信息以及用户联网时的MAC地址，同时通过WiFi探针实地获取居民楼等居住区域中各楼层的路由器等网关设备广播的MAC地址，从而利用MAC地址建立用户手机号等隐私信息与用户住址之间的对应关系，进而向用户发送房产买卖、租赁等骚扰信息。

为解决上述技术问题，作为本发明的第一个方面，提供一种实现终端设备接入网络的方法，如图1所示，该方法包括：

S1、接收到待接入的终端设备发送的扫描请求消息后，利用第一临时网络标识地址生成并发送扫描响应消息；

S2、接收到接入请求消息后，执行握手操作，其中，所述接入请求消息为所述待接入的终端设备根据所述扫描响应消息生成的接入请求消息；

S3、与所述待接入的终端设备握手成功后，为该终端设备分配真实网络标识地址。

需要说明的是，本发明的上述实现终端设备接入网络的方法是通过网关侧实施的。所述网络标识地址是指用于识别并区分网络设备的地址，例如，所述网络标识地址可以包括MAC地址。本发明对所述握手操作的步骤不作具体限定，例如，作为一种实施方式，所述“握手”操作可以是指网关与终端设备之间基于IEEE 802.11协议的数据加密和认证操作。在为终端设备分配真实网络标识地址后，网关即可使用真实网络标识地址与终端设备进行后续的验证步骤或将终端设备接入网络等步骤。

本发明对终端设备如何连接网关不作具体限定，只要终端设备在扫描阶段无法获取网关的真实网络标识地址即可，例如，终端设备可以以主动扫描(Active Scanning)的方式连接网关，也可以以被动扫描(Passive Scanning)的方式连接网关。

需要说明的是，终端设备(或WiFi探针)以主动扫描的方式尝试与网关连接的步骤通常包括：接收到网关发送的信标帧(即beacon帧)广播消息时，向网关发送扫描请求消息(probe request)，接收到网关发送的扫描响应消息(probe responses)后，与该网关进行握手。为便于下一步握手操作，网关向WiFi探针发送的扫描响应消息中通常包含网关的网络标识地址。

在本发明所提供的实现终端设备接入网络的方法中，网关发出的扫描响应消息中的网络标识地址为临时网络标识地址，在终端设备握手成功后才为该终端设备分配网关的真实网络标识地址，从而使得终端设备(或WiFi探针)无法在扫描阶段获取网关的真实网络标识地址，进而阻止了不法分子通过WiFi探针获取区域内网关设备的真实网络标识地址并利用真实网络标识地址建立用户隐私信息与用户住宅区域(用户家庭住址或基站覆盖的小区)之间的对应关系，保护了用户隐私。

此外，本发明提供的实现终端设备接入网络的方法不仅可以通过用户家庭网关实现，还可以应用在运营商的网关设备，例如基站等。当本发明提供的实现终端设备接入网络的方法应用于运营商的网关设备时，还能够防止运营商网络设备被黑客设备探测、入侵，从而保护运营商客户的利益。

经过多方面的研究与试验，本发明的发明人还发现，由于曾经连接过网关的终端设备中通常存储有网关的真实网络标识地址或者与网关的真实网络标识地址相对应的密钥等信息，因此在曾经连接过网关的终端设备与网关进行握手操作时通常使用的是真实网络标识地址。因此，存在WiFi探针冒充曾经连接过网关的终端设备盗取网关的真实网络标识地址的安全隐患。

为解决上述安全隐患，优选地，如图2所示，所述方法还包括：

S4、接收到重连请求后，使用第二临时网络标识地址对发出重连请求的终端设备进行身份验证；

S5、当所述发出重连请求的终端设备通过身份验证时，为该终端设备分配真实网络标识地址。

需要说明的是，在本申请中，在终端设备与网关的初次握手操作中，终端设备会将与终端设备唯一对应的私钥存储在终端设备中，该私钥由该设备对应的第一临时网络标识经过匹配算法得到。而同一设备对应的第二临时网络标识地址是由与第一临时网络标识地址相同的算法得到的，即，同一设备对应的第二临时网络标识地址与第一临时网络标识地址均可以与该终端设备中存储的私钥对应，因此携带该私钥的终端设备能够在握手操作中通过第二临时网络标识地址的身份验证。

在本发明中，曾经通过本地网关接入过网络的终端设备请求重新连接时，也使用临时网络标识地址构造相关的验证信息对该终端设备进行身份验证，从而避免了冒充曾经连接过网关的终端设备的WiFi探针盗取网关的真实网络标识地址，进一步阻止不法分子通过WiFi探针获取区域内网关设备的真实网络标识地址并利用真实网络标识地址建立用户隐私信息与用户住宅区域之间的对应关系，保护了用户隐私。

为进一步提高网络连接的安全性，优选地，如图3所示，所述方法还包括：

S01、周期性地生成临时网络地址。

需要说明的是，所述临时网络地址即是指前面所述的第一临时网络地址或第二临时网络地址。在本发明中，临时网络标识是周期性地生成的，因此，即便不法分子能够获取到终端设备连接网关时使用的临时网络标识，该临时网络标识与WiFi探针获取的临时网络标识也会因为不在同一信标帧周期内而不具有对应关系，从而进一步避免不法分子找到终端设备的隐私信息与网关之间的对应关系，保护了用户隐私。

为提高终端设备与网关之间连接过程的稳定性，优选地，如图4所示，所述方法还包括：

当到达生成临时网络地址的周期节点、且存在正在握手的设备时，停止生成所述临时网络地址；

当所述正在握手的设备握手结束时，开始生成临时网络地址。

需要说明的是，所述周期节点是指上一轮周期(即，旧的临时网络标识地址对应的周期)结束，下一轮周期(即，新的临时网络标识地址对应的周期)开始的时间点。在本发明中，终端设备与网关之间进行握手时，将当前临时网络标识地址对应的周期延长至握手结束，从而避免了在进行握手操作时临时网络标识地址变更造成握手失败，提高了终端设备与网关之间的连接过程的稳定性。

本发明的发明人在研究中还发现另一安全隐患：终端设备通常还可以以被动扫描的方式连接网关提供的WiFi网络，其步骤通常包括：监听网关发送的信标帧(beacon帧)广播消息，当监听到需要连接的网关的信标帧广播消息时，与该网关进行握手等接入验证操作。因此，部分网关为支持终端设备的被动扫描连接，会在信标帧广播中加入网络标识地址，即，存在WiFi探针直接通过网关发出的信标帧广播消息获取网关的真实网络标识地址的安全隐患。

为解决上述安全隐患，提高网络连接的安全性，优选地，如图5所示，所述方法还包括：

S0、周期性地将临时网络地址广播至广播区域中。

需要说明的是，所述广播区域是指终端设备能够接收到网关广播消息的区域，例如，当所述网关为家庭网关时，广播区域即为用户住宅区域，当所述网关为运营商基站时，广播区域即为该基站提供的信号所覆盖的整个小区。本发明对所述周期性地将临时网络地址广播至广播区域中的方式不作具体限定，例如，可以包括：利用包含临时网络标识地址在内的信息构造信标帧广播消息，并周期性地将该信标帧广播消息广播至所述广播区域中。

在本发明中，向终端设备向广播区域广播的网络标识地址即为所述临时网络标识地址，从而阻止了WiFi探针直接通过网关发出的信标帧广播消息获取网关的真实网络标识地址，保护了用户的隐私信息。

作为本发明的第二个方面，提供一种网关，如图6所示，所述网关包括：扫描请求接收模块10、扫描响应发送模块20、接入请求接收模块30、握手模块40和地址分配模块50，其中：

扫描请求接收模块10和扫描响应发送模块20用于执行步骤S1，即，描请求接收模块10用于接收待接入的终端设备发送的扫描请求消息，扫描响应发送模块20用于在所述扫描请求接收模块接收到待接入的终端设备发送的扫描请求消息后，利用第一临时网络标识地址生成并发送扫描响应消息；

接入请求接收模块30和握手模块40用于执行步骤S2，即，接入请求接收模块30用于接入请求消息，其中，所述接入请求消息为所述待接入的终端设备根据所述扫描响应消息生成的接入请求消息，握手模块40用于在所述接入请求接收模块接收到接入请求消息后，执行握手操作；

地址分配模块50用于执行步骤S3，即，地址分配模块50用于在所述握手模块与所述待接入的终端设备握手成功后，为该终端设备分配真实网络标识地址。

本发明已经对所述网关用于实现的实现终端设备接入网络的方法的有益效果进行了充分的描述，此处不再赘述。

为解决发明人发现的WiFi探针冒充曾经连接过网关的终端设备盗取网关的真实网络标识地址的安全隐患，进一步保护用户隐私，优选地，如图7所示，所述网关还包括重连请求接收模块60和身份验证模块70，其中：

重连请求接收模块60和身份验证模块70用于执行步骤S4，即，重连请求接收模块60用于接收终端设备发出的重连请求，身份验证模块70用于在所述重连请求接收模块接收到重连请求后，使用第二临时网络标识地址对发出重连请求的终端设备进行身份验证；

地址分配模块50还用于在所述发出重连请求的终端设备通过身份验证时，为该终端设备分配真实网络标识地址。

为进一步提高网络连接的安全性，优选地，如图8所示，所述网关还包括：

网络地址生成模块01，用于执行步骤S01，即，网络地址生成模块01用于周期性地生成临时网络地址。

为提高终端设备与网关之间连接过程的稳定性，优选地，网络地址生成模块01在到达生成临时网络地址的周期节点、且存在正在握手的设备时，停止生成所述临时网络地址；在所述正在握手的设备握手结束时，开始生成临时网络地址。

为解决发明人发现的WiFi探针直接通过网关发出的信标帧广播消息获取网关的真实网络标识地址的安全隐患，提高网络连接的安全性，优选地，如图9所示，所述网关还包括：

网络地址广播模块00，用于执行步骤S0，即，网络地址广播模块00用于周期性地将临时网络地址广播至广播区域中。

本发明提供的网关所发出的扫描响应消息中的网络标识地址为临时网络标识地址，在终端设备握手成功后才为该终端设备分配网关的真实网络标识地址，从而使得终端设备(或WiFi探针)无法在扫描阶段获取网关的真实网络标识地址，进而阻止了不法分子通过WiFi探针获取区域内网关设备的真实网络标识地址并利用真实网络标识地址建立用户隐私信息与用户住宅区域(用户家庭住址或基站覆盖的小区)之间的对应关系，保护了用户隐私。

此外，本发明提供的实现终端设备接入网络的方法不仅可以通过用户家庭网关实现，还可以应用在运营商的网关设备，例如基站等。当本发明提供的实现终端设备接入网络的方法应用于运营商的网关设备时，还能够防止运营商网络设备被黑客设备探测、入侵，从而保护运营商客户的利益。

可以理解的是，以上实施方式仅仅是为了说明本发明的原理而采用的示例性实施方式，然而本发明并不局限于此。对于本领域内的普通技术人员而言，在不脱离本发明的精神和实质的情况下，可以做出各种变型和改进，这些变型和改进也视为本发明的保护范围。

Claims (10)

1.一种实现终端设备接入网络的方法，其特征在于，所述方法包括：

接收到待接入的终端设备发送的扫描请求消息后，利用第一临时网络标识地址生成并发送扫描响应消息；

接收到接入请求消息后，执行握手操作，其中，所述接入请求消息为所述待接入的终端设备根据所述扫描响应消息生成的接入请求消息；

与所述待接入的终端设备握手成功后，为该终端设备分配真实网络标识地址。

2.根据权利要求1所述的实现终端设备接入网络的方法，其特征在于，所述方法还包括：

接收到重连请求后，使用第二临时网络标识地址对发出重连请求的终端设备进行身份验证；

当所述发出重连请求的终端设备通过身份验证时，为该终端设备分配真实网络标识地址。

3.根据权利要求1或2所述的实现终端设备接入网络的方法，其特征在于，所述方法还包括：

周期性地生成临时网络地址。

4.根据权利要求3所述的实现终端设备接入网络的方法，其特征在于，所述方法还包括：

当到达生成临时网络地址的周期节点、且存在正在握手的设备时，停止生成所述临时网络地址；

当所述正在握手的设备握手结束时，开始生成临时网络地址。

5.根据权利要求1或2所述的实现终端设备接入网络的方法，其特征在于，所述方法还包括：

周期性地将临时网络地址广播至广播区域中。

6.一种网关，其特征在于，所述网关包括：

扫描请求接收模块，用于接收待接入的终端设备发送的扫描请求消息；

扫描响应发送模块，用于在所述扫描请求接收模块接收到待接入的终端设备发送的扫描请求消息后，利用第一临时网络标识地址生成并发送扫描响应消息；

接入请求接收模块，用于接入请求消息，其中，所述接入请求消息为所述待接入的终端设备根据所述扫描响应消息生成的接入请求消息；

握手模块，用于在所述接入请求接收模块接收到接入请求消息后，执行握手操作；

地址分配模块，用于在所述握手模块与所述待接入的终端设备握手成功后，为该终端设备分配真实网络标识地址。

7.根据权利要求6所述的网关，其特征在于，所述网关还包括：

重连请求接收模块，用于接收终端设备发出的重连请求；

身份验证模块，用于在所述重连请求接收模块接收到重连请求后，使用第二临时网络标识地址对发出重连请求的终端设备进行身份验证；

所述地址分配模块还用于在所述发出重连请求的终端设备通过身份验证时，为该终端设备分配真实网络标识地址。

8.根据权利要求6或7所述的网关，其特征在于，所述网关还包括：

网络地址生成模块，用于周期性地生成临时网络地址。

9.根据权利要求8所述的网关，其特征在于，所述网络地址生成模块在到达生成临时网络地址的周期节点、且存在正在握手的设备时，停止生成所述临时网络地址；

在所述正在握手的设备握手结束时，开始生成临时网络地址。

10.根据权利要求6或7所述的网关，其特征在于，所述网关还包括：

网络地址广播模块，用于周期性地将临时网络地址广播至广播区域中。