CN111970699B - 一种基于ipk的终端wifi登录认证方法以及系统 - Google Patents

一种基于ipk的终端wifi登录认证方法以及系统 Download PDF

Info

Publication number
CN111970699B
CN111970699B CN202010804068.0A CN202010804068A CN111970699B CN 111970699 B CN111970699 B CN 111970699B CN 202010804068 A CN202010804068 A CN 202010804068A CN 111970699 B CN111970699 B CN 111970699B
Authority
CN
China
Prior art keywords
authentication
ipk
network
terminal
key
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN202010804068.0A
Other languages
English (en)
Other versions
CN111970699A (zh
Inventor
牛毅
卢学强
韩雁文
牛涛
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Individual
Original Assignee
Individual
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Individual filed Critical Individual
Priority to CN202010804068.0A priority Critical patent/CN111970699B/zh
Publication of CN111970699A publication Critical patent/CN111970699A/zh
Application granted granted Critical
Publication of CN111970699B publication Critical patent/CN111970699B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H04L63/0435—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload wherein the sending and receiving network entities apply symmetric encryption, i.e. same key used for encryption and decryption
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0876—Network architectures or network communication protocols for network security for authentication of entities based on the identity of the terminal or configuration, e.g. MAC address, hardware or software configuration or device fingerprint
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0861—Generation of secret information including derivation or calculation of cryptographic keys or passwords
    • H04L9/0866—Generation of secret information including derivation or calculation of cryptographic keys or passwords involving user or device identifiers, e.g. serial number, physical or biometrical information, DNA, hand-signature or measurable physical characteristics
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3247—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3297—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving time stamps, e.g. generation of time stamps
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/02—Protecting privacy or anonymity, e.g. protecting personally identifiable information [PII]
    • Y—GENERAL TAGGING OF NEW TECHNOLOGICAL DEVELOPMENTS; GENERAL TAGGING OF CROSS-SECTIONAL TECHNOLOGIES SPANNING OVER SEVERAL SECTIONS OF THE IPC; TECHNICAL SUBJECTS COVERED BY FORMER USPC CROSS-REFERENCE ART COLLECTIONS [XRACs] AND DIGESTS
    • Y02—TECHNOLOGIES OR APPLICATIONS FOR MITIGATION OR ADAPTATION AGAINST CLIMATE CHANGE
    • Y02D—CLIMATE CHANGE MITIGATION TECHNOLOGIES IN INFORMATION AND COMMUNICATION TECHNOLOGIES [ICT], I.E. INFORMATION AND COMMUNICATION TECHNOLOGIES AIMING AT THE REDUCTION OF THEIR OWN ENERGY USE
    • Y02D30/00—Reducing energy consumption in communication networks
    • Y02D30/70—Reducing energy consumption in communication networks in wireless communication networks

Abstract

本发明公开了一种基于IPK的终端WIFI登录认证方法以及系统，属于WIFI认证技术领域。现在的先连接后认证的方式存在安全漏洞。在本发明认证方法中，待入网终端只有先通过认证后，才能够被准许与无线上网模块连接，进行数据传输，相比现有的先通过后认证的方式，更加安全可靠。本发明基于IPK的终端WIFI登录认证方法能够满足国家安全的合规要求，能够实现重点核心区域的网络安全自主可控，便于建立基于终端物联网的轻量级新型数据安全体系，形成全面的精细化安全策略，有效实现了安全可靠的资源共享，有效提升公钥或办公核心区域的网络安全防护水平，实现安全核心数据的有效保护，从而能够更好地保障企业核心利益。

Description

一种基于IPK的终端WIFI登录认证方法以及系统
技术领域
本发明涉及一种基于IPK的终端WIFI登录认证方法以及系统，属于WIFI认证技术领域。
背景技术
随着WIFI技术的发展，WIFI被广泛应用于各个行业，在工业生产或办公的重点核心区域中，WIFI的安全防御正在成为网络安全的核心，其安全防护与传统的IT思维及互联网思维都不相同，需依据重点核心区网络应用的特点，进行针对性的安全防护。
传统的WIFI认证方式基于IEEE 802.11系列协议：入网终端与无线上网模块先进行连接后；再进行入网认证；认证通过进行数据传输，在数据安全上存在漏洞。当入网终端与无线上网模块实施连接时，虽然没有数据传输，但实际上已经建立了网络连接，从而形成了IEEE 802.11系列协议认证的漏洞。
进一步，我国推出了WAPI的方式实现WIFI的强认证，但由于硬件设备已经形成了对IEEE 802.11系列协议的依赖，所以，WARI在推广过程中遇到了很大的障碍。
发明内容
针对现有技术的缺陷，本发明的目的一在于提供一种安全认证协议：待入网终端只有先通过认证后，才能够被准许与无线上网模块连接，进行数据传输的基于IPK的终端WIFI登录认证方法以及系统。
本发明的目的二在于提供一种兼容IEEE 802.11协议标准的，便于与现有硬件设备融合的，易于推广使用的基于IPK的终端WIFI登录认证系统。
为实现上述目的一，本发明的技术方案为：
一种基于IPK的终端WIFI登录认证方法，
包括：
第一步，获取待入网终端的标识参数，
所述标识参数包括MAC地址和设备名称、设备编号、设备条码中的一种或多种；
第二步，通过IPK标识公钥算法，将上述的MAC地址作为密钥因子进行IPK运算，生成相对应的设备标识CID；
所述设备标识CID包括设备公钥、设备私钥；
第三步，利用IPK标识公钥算法，产生随机的会话密钥；
使用会话密钥对上述标识参数，进行加密；
第四步，使用设备私钥对会话密钥进行签名，并制作数字信封和时间戳；
一到四步的数据获取和数据处理可以通过待入网终端上的一个模块，或者独立运行的软件或者硬件，或其他设备上的一模块来完成，本领域技术人员可根据具体情况进行选择。
第五步，把上述加密数据、签名信息、数字信封以及时间戳传送给认证模块SCU；
第六步，认证模块SCU通过设备公钥验证时间戳，验证不通过，则停止认证，并运行第十步；如果时间戳验证通过，则进行第七步；
第七步，拆解数字信封，获得会话密钥和加密数据，使用会话密钥解密加密数据获得待入网终端的标识参数；
第八步，认证模块SCU使用设备公钥对待入网终端的签名进行验证，验证不通过，则停止认证，并运行第十步；如果验证通过则运行第九步；
第九步，对待入网终端的MAC地址进行查询，确认是否存在；
若该MAC地址不存在，则认证模块SCU拒绝认证，并运行第十步；
如果MAC地址存在，则运行第十一步；
第十步，拒绝该设备入网；
第十一步，待入网终端认证通过，允许该设备入网。
本发明通过IPK标识公钥算法，结合待入网终端MAC地址，生成设备公钥和设备私钥；并使用会话密钥对入网终端MAC地址等参数信息进行加密；同时使用设备私钥对会话密钥进行签名，制作数字信封和时间戳，随加密数据一起发送至认证模块SCU或通过无线上网模块转送给认证模块SCU。
认证模块SCU收到数据后，验证时间戳，验证通过，则拆解数字信封，获得会话密钥和密文，使用会话密钥解密密文获得入网终端MAC地址等参数的明文信息。认证模块SCU使用待入网终端的公钥对待入网终端的签名进行验证，验证不通过，则停止认证，并拒绝该设备入网。
待入网终端只有先通过认证后，才能够被准许与无线上网模块连接，进行数据传输，相比现有的先通过后认证的方式，更加安全可靠。
进一步，本发明基于IPK的终端WIFI登录认证方法能够满足国家安全的合规要求，能够实现重点核心区域的网络安全自主可控，便于建立基于终端物联网的轻量级新型数据安全体系，形成全面的精细化安全策略，有效实现了安全可靠的资源共享，有效提升公钥或办公核心区域的网络安全防护水平，实现安全核心数据的有效保护，从而能够更好地保障企业核心利益。
作为优选技术措施：
所述IPK标识公钥算法为由标识产生公私钥对的密钥体制；
所述会话密钥skey通过椭圆曲线算法计算生成；
通过取椭圆曲线点R的x坐标并对椭圆曲线参数n求模得到，其计算公式如下:
skey＝R.x mod n，
R＝r·G＝(x,y)，
其中：G为椭圆曲线的一个基点，其阶为素数；r为加密随机数；n为基点G的阶；(x,y)为曲线点R的坐标。
作为优选技术措施：
使用会话密钥skey对随机数r进行加密，得到密文数据C，
其计算公式为：
C＝Eskey(r)，
其中：E为对称加密算法。
作为优选技术措施：
计算认证模块SCU的标识公钥和标识私钥：
根据认证模块SCU的MAC地址和公钥矩阵M，并通过IPK运算计算产生认证模块SCU所对应的标识公钥CIDA；
认证模块SCU事先通过密钥管理系统KMS获得自己的标识私钥iskA，且满足IPKA＝iskA·G；
将密文C、数字信封D及辅助信息矩阵标识、收方标识、加密算法标识、椭圆曲线标识数据按照ASN.1编码规范打包为IPK的加密数据包。
作为优选技术措施：
认证模块SCU获取会话密钥的方法：
认证模块SCU接收到加密数据包cipherPackage和签名数据包signaturePackage后；
利用IPK标识公钥算法，使用自己的标识私钥iskA和加密数据包中的数字信封D计算得到会话密钥skey，iskA-1·r·IPKA＝iskA-1·r·(iskA·G)＝r·G＝(x,y)，skey＝xmod n；
认证模块SCU使用会话密钥skey，解密密文数据C，得到明文数据data，data＝Dskey(C)，
其中D为对称解密算法，与E相对应。
作为优选技术措施：
认证模块SCU获取设备公钥的方法：
认证模块SCU从签名数据包signaturePackage中得到签名标识即待入网终端的MAC，通过IPK标识公钥算法的公钥矩阵计算得到设备公钥CIDa；
验证时间戳、签名的真实性方法，包括：
首先从签名数据包中得到数字摘要算法，并对解密后的数据data，计算数字摘要，
摘要的计算公式：
h＝Hash(data)；
再用设备公钥对数字签名进行验证，其验证公式为：
VerifyIPKB(h,sig)
其中：Hash为散列函数，VerifyIPKB为标识公钥验证算法，sig为数字签名。
为实现上述目的二，本发明的技术方案为：
一种基于IPK的终端WIFI登录认证系统，
应用上述的一种基于IPK的终端WIFI登录认证方法，
其包括认证模块SCU、能够安装在待入网终端中的认证客户端、无线上网模块；
认证模块SCU：内置网络访问控制和身份认证服务，负责终端设备接入认证，安全检查和安全策略的执行，支持以网关或者透明网桥方式串联到现有网络中；
认证客户端：提供基于IPK接入认证协议，兼容802.1X的身份认证功能，根据入网终端的系统提供各支持版本；
无线上网模块：采用IPK接入认证协议，兼容802.1X协议，通过认证模块SCU实现对入网终端的准入认证。
本发明的认证客户端以及无线上网模块能够兼容IEEE 802.11协议标准，可直接在现有的待入网终端以及无线上网模块基础上，增加认证客户端、认证模块SCU，实现现有硬件设备的升级改造，易于推广使用，使用成本低。
所述的认证客户端可以通过硬件形式与待入网终端相连接，或通过软件形式安装在待入网终端里面，本领域技术人员可以根据实际情况进行选择。
所述认证模块SCU可以通过硬件形式与无线上网模块相连接，或通过软件形式安装在无线上网模块里面，本领域技术人员可以根据实际情况进行选择。
作为优选技术措施：
还包括管理控制服务器MCS、密钥管理系统KMS；
管理控制服务器MCS，用于对认证模块SCU提供模块注册、模块认证、准入控制、安全策略等管理控制功能；
密钥管理系统KMS，用于实现对待入网终端、认证模块SCU、管理控制服务器MCS的密钥生产与签发。
基于IPK标识公钥技术，完成本系统内各设备密钥的生产、管理与签发。KMS完成密钥的生产与签发后，密钥下发至各设备端，KMS将不再参与系统安全认证与应用的过程。
作为优选技术措施：
第一步，认证客户端获取待入网终端的标识参数；
所述标识参数包括MAC地址；
第二步，认证客户端通过IPK标识公钥算法，将上述的MAC地址作为密钥因子进行IPK运算，生成相对应的设备标识CID；
所述设备标识CID包括设备公钥、设备私钥；
第三步，认证客户端利用IPK标识公钥算法，产生随机的会话密钥；
使用会话密钥对上述标识参数，进行加密；
第四步，认证客户端使用设备私钥对会话密钥进行签名，并制作数字信封和时间戳，随加密数据一起发送至无线上网模块；
第五步，无线上网模块转发认证客户端发送来的数据给认证模块SCU；
第六步，认证模块SCU通过设备公钥验证时间戳，验证不通过，则停止认证，并通知无线上网模块，并运行第十步；如果时间戳验证通过，则进行第七步；
第七步，拆解数字信封，获得会话密钥和加密数据，使用会话密钥解密加密数据获得待入网终端的标识参数；
第八步，认证模块SCU使用设备公钥对待入网终端的签名进行验证，验证不通过，则停止认证，并通知无线上网模块，并运行第十步；如果验证通过则运行第九步；
第九步，认证模块SCU将获得的待入网终端MAC地址发送至管理控制服务器MCS，
管理控制服务器MCS对认证模块SCU发送来的MAC地址进行查询，确认是否存在，并将反馈结果给认证模块SCU；
若该MAC地址不存在，则认证模块SCU拒绝认证，并通知无线上网模块，并运行第十步；
如果MAC地址存在，则运行第十一步；
第十步，无线上网模块拒绝该设备入网；
第十一步，待入网终端认证通过，无线上网模块允许该设备入网，连接wifi网络。
作为优选技术措施：。
认证模块SCU与管理控制服务器MCS实时更新交互，检查入网终端MAC的地址信息，如果入网终端的MAC地址不存在，认证模块SCU将其移除认证设备名单，并通知无线上网模块，断开该入网终端的WiFi连接。
与现有技术相比，本发明具有以下有益效果：
本发明通过IPK标识公钥算法，结合待入网终端MAC地址，生成设备公钥和设备私钥；并使用会话密钥对入网终端MAC地址等参数信息进行加密；同时使用设备私钥对会话密钥进行签名，制作数字信封和时间戳，随加密数据一起发送至认证模块SCU或通过无线上网模块转送给认证模块SCU。
认证模块SCU收到数据后，验证时间戳，验证通过，则拆解数字信封，获得会话密钥和密文，使用会话密钥解密密文获得入网终端MAC地址等参数的明文信息。认证模块SCU使用待入网终端的公钥对待入网终端的签名进行验证，验证不通过，则停止认证，并拒绝该设备入网。
待入网终端只有先通过认证后，才能够被准许与无线上网模块连接，进行数据传输，相比现有的先通过后认证的方式，更加安全可靠。
进一步，本发明基于IPK的终端WIFI登录认证方法能够满足国家安全的合规要求，能够实现重点核心区域的网络安全自主可控，便于建立基于终端物联网的轻量级新型数据安全体系，形成全面的精细化安全策略，有效实现了安全可靠的资源共享，有效提升公钥或办公核心区域的网络安全防护水平，实现安全核心数据的有效保护，从而能够更好地保障企业核心利益。
本发明的认证客户端以及无线上网模块能够兼容IEEE 802.11协议标准，可直接在现有的待入网终端以及无线上网模块基础上，增加认证客户端、认证模块SCU，实现现有硬件设备的升级改造，易于推广使用，使用成本低。
本发明的工序简洁、实用，方案切实可行，易于编程实现。
附图说明
图1为本发明一种认证流程图；
图2为本发明一种IPK认证流程图；
图3为本发明一种网络部署架构示图。
具体实施方式
为了使本发明的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本发明进行进一步详细说明。应当理解，此处所描述的具体实施例仅仅用以解释本发明，并不用于限定本发明。
相反，本发明涵盖任何由权利要求定义的在本发明的精髓和范围上做的替代、修改、等效方法以及方案。进一步，为了使公众对本发明有更好的了解，在下文对本发明的细节描述中，详尽描述了一些特定的细节部分。对本领域技术人员来说没有这些细节部分的描述也可以完全理解本发明。
如图1-2所示，一种基于IPK的终端WIFI登录认证方法，
包括：
第一步，获取待入网终端的标识参数，
所述标识参数包括MAC地址和设备名称、设备编号、设备条码中的一种或多种。
第二步，通过IPK标识公钥算法，将上述的MAC地址作为密钥因子进行IPK运算，生成相对应的设备标识CID。
所述设备标识CID包括设备公钥、设备私钥。
第三步，利用IPK标识公钥算法，产生随机的会话密钥；
使用会话密钥对上述标识参数，进行加密。
第四步，使用设备私钥对会话密钥进行签名，并制作数字信封和时间戳。
一到四步的数据获取和数据处理可以通过待入网终端上的一个模块，或者独立运行的软件或者硬件，或其他设备上的一模块来完成，本领域技术人员可根据具体情况进行选择。
第五步，把上述加密数据、签名信息、数字信封以及时间戳传送给认证模块SCU。
第六步，认证模块SCU通过设备公钥验证时间戳，验证不通过，则停止认证，并运行第十步；如果时间戳验证通过，则进行第七步。
第七步，拆解数字信封，获得会话密钥和加密数据，使用会话密钥解密加密数据获得待入网终端的标识参数。
第八步，认证模块SCU使用设备公钥对待入网终端的签名进行验证，验证不通过，则停止认证，并运行第十步；如果验证通过则运行第九步。
第九步，对待入网终端的MAC地址进行查询，确认是否存在。
若该MAC地址不存在，则认证模块SCU拒绝认证，并运行第十步；
如果MAC地址存在，则运行第十一步。
第十步，拒绝该设备入网。
第十一步，待入网终端认证通过，允许该设备入网。
本发明通过IPK标识公钥算法，结合待入网终端MAC地址，生成设备公钥和设备私钥；并使用会话密钥对入网终端MAC地址等参数信息进行加密；同时使用设备私钥对会话密钥进行签名，制作数字信封和时间戳，随加密数据一起发送至认证模块SCU或通过无线上网模块转送给认证模块SCU。
认证模块SCU收到数据后，验证时间戳，验证通过，则拆解数字信封，获得会话密钥和密文，使用会话密钥解密密文获得入网终端MAC地址等参数的明文信息。认证模块SCU使用待入网终端的公钥对待入网终端的签名进行验证，验证不通过，则停止认证，并拒绝该设备入网。
待入网终端只有先通过认证后，才能够被准许与无线上网模块连接，进行数据传输，相比现有的先通过后认证的方式，更加安全可靠。
进一步，本发明基于IPK的终端WIFI登录认证方法能够满足国家安全的合规要求，能够实现重点核心区域的网络安全自主可控，便于建立基于终端物联网的轻量级新型数据安全体系，形成全面的精细化安全策略，有效实现了安全可靠的资源共享，有效提升公钥或办公核心区域的网络安全防护水平，实现安全核心数据的有效保护，从而能够更好地保障企业核心利益。
所述待入网终端可以是手机或电脑或笔记本或智能手表或平板电脑或其他需联网设备或智能设备。
所述认证模块SCU通过硬件形式与无线上网模块相连接；所述认证模块SCU为认证设备SCE。
所述无线上网模块为AP设备，其包括但不限于：无线路由器、无线网关、无线网桥或其他无线基站等。
本发明生成会话密钥的一种具体实施例：
所述IPK标识公钥算法为由标识产生公私钥对的密钥体制。
所述会话密钥skey通过椭圆曲线算法计算生成。
通过取椭圆曲线点R的x坐标并对椭圆曲线参数n求模得到，其计算公式如下:
skey＝R.x mod n，
R＝r·G＝(x,y)，
其中：G为椭圆曲线的一个基点，其阶为素数；r为加密随机数；n为基点G的阶；(x,y)为曲线点R的坐标。
本发明获得密文数据的一种具体实施例：
使用会话密钥skey对随机数r进行加密，得到密文数据C，
其计算公式为：
C＝Eskey(r)，
其中：E为对称加密算法。
本发明计算认证模块SCU的标识公钥和标识私钥的一种具体实施例：
根据认证模块SCU的MAC地址和公钥矩阵M，并通过IPK运算计算产生认证模块SCU所对应的标识公钥CIDA。
认证模块SCU事先通过密钥管理系统KMS获得自己的标识私钥iskA，且满足IPKA＝iskA·G。
将密文C、数字信封D及辅助信息矩阵标识、收方标识、加密算法标识、椭圆曲线标识数据按照ASN.1编码规范打包为IPK的加密数据包。
本发明认证模块SCU获取会话密钥的方法的一种具体实施例：
认证模块SCU接收到加密数据包cipherPackage和签名数据包signaturePackage后。
利用IPK标识公钥算法，使用自己的标识私钥iskA和加密数据包中的数字信封D计算得到会话密钥skey，iskA-1·r·IPKA＝iskA-1·r·(iskA·G)＝r·G＝(x,y)，skey＝xmod n。
认证模块SCU使用会话密钥skey，解密密文数据C，得到明文数据data，data＝Dskey(C)，
其中D为对称解密算法，与E相对应。
本发明认证模块SCU获取设备公钥的方法的一种具体实施例：
认证模块SCU从签名数据包signaturePackage中得到签名标识即待入网终端的MAC，通过IPK标识公钥算法的公钥矩阵计算得到设备公钥CIDa。
验证时间戳、签名的真实性方法，包括：
首先从签名数据包中得到数字摘要算法，并对解密后的数据data，计算数字摘要，
摘要的计算公式：
h＝Hash(data)。
再用设备公钥对数字签名进行验证，其验证公式为：
VerifyIPKB(h,sig)
其中：Hash为散列函数，VerifyIPKB为标识公钥验证算法，sig为数字签名。
本发明应用上述的一种基于IPK的终端WIFI登录认证方法的一种具体实施例：
一种基于IPK的终端WIFI登录认证系统，
其包括认证模块SCU、能够安装在待入网终端中的认证客户端、无线上网模块。
认证模块SCU：内置网络访问控制和身份认证服务，负责终端设备接入认证，安全检查和安全策略的执行，支持以网关或者透明网桥方式串联到现有网络中。
认证客户端：提供基于IPK接入认证协议，兼容802.1X的身份认证功能，根据入网终端的系统提供各支持版本。
无线上网模块：采用IPK接入认证协议，兼容802.1X协议，通过认证模块SCU实现对入网终端的准入认证。
本发明的认证客户端以及无线上网模块能够兼容IEEE 802.11协议标准，能够直接应用于现有待入网终端以及无线上网模块上，无需更换现有设备，只需要额外增加认证客户端、认证模块SCU，即可实现现有硬件设备的升级改造，易于推广使用，使用成本低。
所述的认证客户端可以通过硬件形式与待入网终端相连接，或通过软件形式安装在待入网终端里面，本领域技术人员可以根据实际情况进行选择。
本发明增加MCS和KMS模块的一种具体实施例：
还包括管理控制服务器MCS、密钥管理系统KMS。
管理控制服务器MCS，用于对认证模块SCU提供模块注册、模块认证、准入控制、安全策略等管理控制功能。
密钥管理系统KMS，用于实现对待入网终端、认证模块SCU、管理控制服务器MCS的密钥生产与签发。
本发明一种最佳认证方法实施例：
第一步，认证客户端获取待入网终端的标识参数；
所述标识参数包括MAC地址。
第二步，认证客户端通过IPK标识公钥算法，将上述的MAC地址作为密钥因子进行IPK运算，生成相对应的设备标识CID。
所述设备标识CID包括设备公钥、设备私钥。
第三步，认证客户端利用IPK标识公钥算法，产生随机的会话密钥。
使用会话密钥对上述标识参数，进行加密。
第四步，认证客户端使用设备私钥对会话密钥进行签名，并制作数字信封和时间戳，随加密数据一起发送至无线上网模块。
第五步，无线上网模块转发认证客户端发送来的数据给认证模块SCU。
第六步，认证模块SCU通过设备公钥验证时间戳，验证不通过，则停止认证，并通知无线上网模块，并运行第十步；如果时间戳验证通过，则进行第七步。
第七步，拆解数字信封，获得会话密钥和加密数据，使用会话密钥解密加密数据获得待入网终端的标识参数。
第八步，认证模块SCU使用设备公钥对待入网终端的签名进行验证，验证不通过，则停止认证，并通知无线上网模块，并运行第十步；如果验证通过则运行第九步。
第九步，认证模块SCU将获得的待入网终端MAC地址发送至管理控制服务器MCS，
管理控制服务器MCS对认证模块SCU发送来的MAC地址进行查询，确认是否存在，并将反馈结果给认证模块SCU。
若该MAC地址不存在，则认证模块SCU拒绝认证，并通知无线上网模块，并运行第十步。
如果MAC地址存在，则运行第十一步。
第十步，无线上网模块拒绝该设备入网。
第十一步，待入网终端认证通过，无线上网模块允许该设备入网，连接wifi网络。
认证模块SCU与管理控制服务器MCS实时更新交互，检查入网终端MAC的地址信息，如果入网终端的MAC地址不存在，认证模块SCU将其移除认证设备名单，并通知无线上网模块，断开该入网终端的WiFi连接。
本发明认证客户端与认证模块SCU之间的一种认证实施例：
认证客户端与认证模块SCU首先须集成IPK SDK，待KMS完成密钥签发后，认证客户端与认证模块SCU通过IPK SDK调用密钥实现认证应用。
其认证流程如下：
认证客户端调用IPK SDK产生随机数r，并使用自己的标识私钥iska对r签名，得到数字签名sig＝Sigisk(h)。
将数字签名sig按照ASN.1编码规范进行打包，形成基于IPK的数字签名协议数据包(记为signaturePackage)，其结构定义为：
Signature information::＝SEQUENCE{
version ASN1_INTEGER,//版本号
matrixId ASN1_UTF8STRING,//矩阵标识
signerId ASN1_UTF8STRING,//签名者标识
signTime ASN1_UCTIME,//签名时间戳
mdOid ASN1_OBJECT,//数字摘要算法对象标识
sigrS ASN1_OCTET_STRING//签名值(r,s)
R ASN1_OCTET_STRING//自定义公钥
}
认证客户端调用IPK SDK，通过椭圆曲线算法计算生成会话密钥skey，即R＝r·G＝(x,y)，取椭圆曲线点R的x坐标并对椭圆曲线参数n求模得到skey＝R.x mod n，注：G为椭圆曲线的一个基点，其阶为素数。n为基点G的阶。认证客户端使用会话密钥skey加密随机数r，得到数据密文C，C＝Eskey(data)，E为对称加密算法。
认证客户端调用IPK SDK，根据认证模块SCU的MAC(或已设定标识)和公钥矩阵M通过IPK运算计算产生认证模块SCU所对应的标识公钥CIDA，认证模块SCU事先通过KMS获得自己的标识私钥iskA，且满足IPKA＝iskA·G。
认证客户端将数据密文C、数字信封D及辅助信息矩阵标识、收方标识、加密算法标识、椭圆曲线标识等数据按照ASN.1编码规范打包为IPK的加密数据包(记为cipherPackage)，其数据结构定义为：
Ciphertext information::＝SEQUENCE{
version ASN1_INTEGER,//版本号
matrixId ASN1_UTF8STRING,//矩阵标识
addresseeId ASN1_UTF8STRING,//收方标识
ecOid ASN1_OBJECT,//椭圆曲线对象标识
env ASN1_OCTET_STRING//数字信封
cipherData ASN1_OCTET_STRING//密文数据
}
认证客户端将加密数据包cipherPackage和签名数据包signaturePackage发送给认证模块SCU。
认证模块SCU接收到认证客户端发送的加密数据包cipherPackage和签名数据包signaturePackage。调用IPK SDK，使用自己的标识私钥iskA和加密数据包中的数字信封D计算得到得到会话密钥skey，iskA -1·r·IPKA＝iskA -1·r·(iskA·G)＝r·G＝(x,y)，skey＝xmod n。
认证模块SCU使用会话密钥skey，解密密文数据C，得到明文数据data，data＝Dskey(C),D为对称解密，与E相对应。
认证模块SCU从签名数据包signaturePackage中得到签名标识(即入网终端的MAC)，调用IPK SDK通过公钥矩阵计算得到认证客户端的标识公钥CIDa，验证认证客户端时间戳、签名的真实性，首先从签名数据包中得到数字摘要算法，并对解密后的数据data计算数字摘要，h＝Hash(data),再用标识公钥对数字签名进行验证，VerifyIPKB(h,sig)。
验证通过表示则准予入网终端认证通过，否则拒绝认证。
本发明生成公、私钥的一种具体实施例：
基于标识的IPK公钥体制是由标识产生公私钥对密钥体制，其工作原理如下：
入网终端MAC地址作为标识为A，isk表示A的私钥，CID表示公钥，私钥的映射算法为σ1，公钥的映射算法为σ2，那么可以得出：A→σ1→isk。A→σ2→CID。其中，σ1仅存在于密钥管理系统(KMS)中，因此只有KMS才能生成私钥，而σ2在系统中的每一设备都可以拥有，因此，系统中的认证模块SCU只要知道入网终端的标识(即MAC地址)就可以生成对应的公钥CID。
如图3所示，本发明一种网络部署架构实施例：
通过IPK密钥管理系统KMS，实现对入网终端、认证模块SCU、管理控制服务器MCS的密钥生产与签发。安装认证客户端的入网终端在网络接入层，系统基于入网终端的MAC值生成终端的唯一标识CID，无线上网模块采用IPK接入认证协议(兼容802.1X协议)，通过认证模块SCU实现对入网终端的准入认证。认证采用国密SM2算法，基于双向认证实现。
本领域内的技术人员应明白，本申请的实施例可提供为方法、系统、或计算机程序产品。因此，本申请可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本申请可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。
本申请是参照根据本申请实施例的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。
这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。
这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。
以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内所作的任何修改、等同替换和改进等，均应包含在本发明的保护范围之内。

Claims (10)

1.一种基于IPK的终端WIFI登录认证方法，其特征在于，
包括：
第一步，获取待入网终端的标识参数，
所述标识参数包括MAC地址；
第二步，通过IPK标识公钥算法，将上述的MAC地址作为密钥因子进行IPK运算，生成相对应的设备标识CID；
所述设备标识CID包括设备公钥、设备私钥；
第三步，利用IPK标识公钥算法，产生随机的会话密钥；
使用会话密钥对上述标识参数，进行加密；
第四步，使用设备私钥对会话密钥进行签名，并制作数字信封和时间戳；
第五步，把加密数据、签名信息、数字信封以及时间戳传送给认证模块SCU；
第六步，认证模块SCU通过设备公钥验证时间戳，验证不通过，则停止认证，并运行第十步；如果时间戳验证通过，则进行第七步；
第七步，拆解数字信封，获得会话密钥和加密数据，使用会话密钥解密加密数据获得待入网终端的标识参数；
第八步，认证模块SCU使用设备公钥对待入网终端的签名进行验证，验证不通过，则停止认证，并运行第十步；如果验证通过则运行第九步；
第九步，对待入网终端的MAC地址进行查询，确认是否存在；
若该MAC地址不存在，则认证模块SCU拒绝认证，并运行第十步；
如果MAC地址存在，则运行第十一步；
第十步，拒绝该设备入网；
第十一步，待入网终端认证通过，允许该设备入网。
2.如权利要求1所述的一种基于IPK的终端WIFI登录认证方法，其特征在于，
所述IPK标识公钥算法为由标识产生公私钥对的密钥体制；
所述会话密钥skey通过椭圆曲线算法计算生成；
通过取椭圆曲线点R的x坐标并对椭圆曲线参数n求模得到，其计算公式如下:
skey＝R.x mod n，
R＝r·G＝(x,y)，
其中：G为椭圆曲线的一个基点，其阶为素数；r为加密随机数；n为基点G的阶；(x,y)为曲线点R的坐标。
3.如权利要求2所述的一种基于IPK的终端WIFI登录认证方法，其特征在于，
使用会话密钥skey对随机数r进行加密，得到密文数据C，
其计算公式为：
C＝Eskey(r)，
其中：E为对称加密算法。
4.如权利要求3所述的一种基于IPK的终端WIFI登录认证方法，其特征在于，
计算认证模块SCU的标识公钥和标识私钥：
根据认证模块SCU的MAC地址和公钥矩阵M，并通过IPK运算计算产生认证模块SCU所对应的标识公钥CIDA；
认证模块SCU事先通过密钥管理系统KMS获得自己的标识私钥iskA，且满足IPKA＝iskA·G；
将密文C、数字信封D及辅助信息矩阵标识、收方标识、加密算法标识、椭圆曲线标识数据按照ASN.1编码规范打包为IPK的加密数据包。
5.如权利要求4所述的一种基于IPK的终端WIFI登录认证方法，其特征在于，
认证模块SCU获取会话密钥的方法：
认证模块SCU接收到加密数据包cipherPackage和签名数据包signaturePackage后；
利用IPK标识公钥算法，使用自己的标识私钥iskA和加密数据包中的数字信封D计算得到会话密钥skey，iskA-1·r·IPKA＝iskA-1·r·(iskA·G)＝r·G＝(x,y)，skey＝x modn；
认证模块SCU使用会话密钥skey，解密密文数据C，得到明文数据data，data＝Dskey(C)，
其中D为对称解密算法，与E相对应。
6.如权利要求5所述的一种基于IPK的终端WIFI登录认证方法，其特征在于，
认证模块SCU获取设备公钥的方法：
认证模块SCU从签名数据包signaturePackage中得到签名标识即待入网终端的MAC，通过IPK标识公钥算法的公钥矩阵计算得到设备公钥CIDa；
验证时间戳、签名的真实性方法，包括：
首先从签名数据包中得到数字摘要算法，并对解密后的数据data，计算数字摘要，
摘要的计算公式：
h＝Hash(data)；
再用设备公钥对数字签名进行验证，其验证公式为：
VerifyIPKB(h,sig)
其中：Hash为散列函数，VerifyIPKB为标识公钥验证算法，sig为数字签名。
7.一种基于IPK的终端WIFI登录认证系统，其特征在于，
应用如权利要求1-6任一所述的一种基于IPK的终端WIFI登录认证方法，
其包括认证模块SCU、能够安装在待入网终端中的认证客户端、无线上网模块；
认证模块SCU：内置网络访问控制和身份认证服务，负责终端设备接入认证，安全检查和安全策略的执行，支持以网关或者透明网桥方式串联到现有网络中；
认证客户端：提供基于IPK接入认证协议，兼容802.1X的身份认证功能，根据入网终端的系统提供各支持版本；
无线上网模块：采用IPK接入认证协议，兼容802.1X协议，通过认证模块SCU实现对入网终端的准入认证。
8.如权利要求7所述的一种基于IPK的终端WIFI登录认证系统，其特征在于，
还包括管理控制服务器MCS、密钥管理系统KMS；
管理控制服务器MCS，用于对认证模块SCU提供模块注册、模块认证、准入控制、安全策略等管理控制功能；
密钥管理系统KMS，用于实现对待入网终端、认证模块SCU、管理控制服务器MCS的密钥生产与签发。
9.如权利要求8所述的一种基于IPK的终端WIFI登录认证系统，其特征在于，
第一步，认证客户端获取待入网终端的标识参数；
所述标识参数包括MAC地址；
第二步，认证客户端通过IPK标识公钥算法，将上述的MAC地址作为密钥因子进行IPK运算，生成相对应的设备标识CID；
所述设备标识CID包括设备公钥、设备私钥；
第三步，认证客户端利用IPK标识公钥算法，产生随机的会话密钥；
使用会话密钥对上述标识参数，进行加密；
第四步，认证客户端使用设备私钥对会话密钥进行签名，并制作数字信封和时间戳，随加密数据一起发送至无线上网模块；
第五步，无线上网模块转发认证客户端发送来的数据给认证模块SCU；
第六步，认证模块SCU通过设备公钥验证时间戳，验证不通过，则停止认证，并通知无线上网模块，并运行第十步；如果时间戳验证通过，则进行第七步；
第七步，拆解数字信封，获得会话密钥和加密数据，使用会话密钥解密加密数据获得待入网终端的标识参数；
第八步，认证模块SCU使用设备公钥对待入网终端的签名进行验证，验证不通过，则停止认证，并通知无线上网模块，并运行第十步；如果验证通过则运行第九步；
第九步，认证模块SCU将获得的待入网终端MAC地址发送至管理控制服务器MCS，
管理控制服务器MCS对认证模块SCU发送来的MAC地址进行查询，确认是否存在，并将反馈结果给认证模块SCU；
若该MAC地址不存在，则认证模块SCU拒绝认证，并通知无线上网模块，并运行第十步；
如果MAC地址存在，则运行第十一步；
第十步，无线上网模块拒绝该设备入网；
第十一步，待入网终端认证通过，无线上网模块允许该设备入网，连接wifi网络。
10.如权利要求9所述的一种基于IPK的终端WIFI登录认证系统，其特征在于，
认证模块SCU与管理控制服务器MCS实时更新交互，检查入网终端MAC的地址信息，如果入网终端的MAC地址不存在，认证模块SCU将其移除认证设备名单，并通知无线上网模块，断开该入网终端的WiFi连接。
CN202010804068.0A 2020-08-11 2020-08-11 一种基于ipk的终端wifi登录认证方法以及系统 Active CN111970699B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202010804068.0A CN111970699B (zh) 2020-08-11 2020-08-11 一种基于ipk的终端wifi登录认证方法以及系统

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202010804068.0A CN111970699B (zh) 2020-08-11 2020-08-11 一种基于ipk的终端wifi登录认证方法以及系统

Publications (2)

Publication Number Publication Date
CN111970699A CN111970699A (zh) 2020-11-20
CN111970699B true CN111970699B (zh) 2023-09-05

Family

ID=73365188

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202010804068.0A Active CN111970699B (zh) 2020-08-11 2020-08-11 一种基于ipk的终端wifi登录认证方法以及系统

Country Status (1)

Country Link
CN (1) CN111970699B (zh)

Families Citing this family (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN112615834B (zh) * 2020-12-08 2023-04-07 北京北信源软件股份有限公司 一种安全认证方法及系统
CN112615829A (zh) * 2020-12-08 2021-04-06 北京北信源软件股份有限公司 一种终端接入认证方法及系统
CN112702776B (zh) * 2020-12-15 2023-03-21 锐捷网络股份有限公司 一种实现无线终端接入无线局域网的方法和无线接入点
CN112287312B (zh) * 2020-12-31 2021-04-06 飞天诚信科技股份有限公司 一种登录Windows操作系统的方法及系统
CN115102745B (zh) * 2022-06-16 2023-10-27 慧之安信息技术股份有限公司 一种基于轻量级的物联网终端身份安全认证方法

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2008030184A1 (en) * 2006-07-04 2008-03-13 Khee Seng Chua Improved authentication system
CN108134787A (zh) * 2017-12-21 2018-06-08 恒宝股份有限公司 一种身份认证方法及认证装置
CN109412810A (zh) * 2019-01-03 2019-03-01 李维刚 一种基于标识的密钥生成方法

Family Cites Families (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US11698979B2 (en) * 2018-03-27 2023-07-11 Workday, Inc. Digital credentials for access to sensitive data

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2008030184A1 (en) * 2006-07-04 2008-03-13 Khee Seng Chua Improved authentication system
CN108134787A (zh) * 2017-12-21 2018-06-08 恒宝股份有限公司 一种身份认证方法及认证装置
CN109412810A (zh) * 2019-01-03 2019-03-01 李维刚 一种基于标识的密钥生成方法

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
基于无线路由器的Wi-Fi审计程序设计与实现;智昊;张伟;;软件导刊(02);全文 *

Also Published As

Publication number Publication date
CN111970699A (zh) 2020-11-20

Similar Documents

Publication Publication Date Title
CN111970699B (zh) 一种基于ipk的终端wifi登录认证方法以及系统
US10601594B2 (en) End-to-end service layer authentication
CN109347809B (zh) 一种面向自主可控环境下的应用虚拟化安全通信方法
CN108650227B (zh) 基于数据报安全传输协议的握手方法及系统
WO2017185999A1 (zh) 密钥分发、认证方法，装置及系统
KR102051492B1 (ko) 머신-대-머신 서비스 제공 방법 및 장치
CN103095696B (zh) 一种适用于用电信息采集系统的身份认证和密钥协商方法
CN101409619B (zh) 闪存卡及虚拟专用网密钥交换的实现方法
CN101969638B (zh) 一种移动通信中对imsi进行保护的方法
EP3311321A1 (en) Method for enabling a secure provisioning of a credential, and related wireless devices and servers
CN103098414B (zh) 用于基于证书进行认证的方法
CN104754581A (zh) 一种基于公钥密码体制的lte无线网络的安全认证方法
CN104145465A (zh) 机器类型通信中基于群组的自举
CN111050322A (zh) 基于gba的客户端注册和密钥共享方法、装置及系统
CN112804356B (zh) 一种基于区块链的联网设备监管认证方法及系统
CN114765534B (zh) 基于国密标识密码算法的私钥分发系统和方法
CN108259486B (zh) 基于证书的端到端密钥交换方法
CN114398602A (zh) 一种基于边缘计算的物联网终端身份认证方法
KR101704540B1 (ko) M2m 환경의 다중 디바이스 데이터 공유를 위한 그룹키 관리 방법
CN114024698A (zh) 一种基于国密算法的配电物联网业务安全交互方法及系统
WO2021093811A1 (zh) 一种网络接入方法及相关设备
CN112399407B (zh) 一种基于dh棘轮算法的5g网络认证方法及系统
Li IoT node authentication
CN102006298A (zh) 接入网关实现负荷分担的方法和装置
CN107104888B (zh) 一种安全的即时通信方法

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant