CN116266911A - 一种非法无线接入点反制设备、系统及方法 - Google Patents

Abstract

本发明涉及无线通信技术，其公开了一种非法无线接入点反制设备、系统及方法，提高对非法无线接入点的反制效果。本发明中，无线接入控制器获取当前网络环境中的非法无线接入点的相关信息并通告反制设备；反制设备接收通告信息后，根据通告信息对非法AP进行反制，反制可以从信号反制、接入反制和数据反制三个层面进行。本发明通过反制设备模拟终端和非法无线接入点的信号扫描、接入、数据通信等行为，从多个层面来提高反制效果，从而达到干扰、阻止终端用户接入使用非法无线接入点，保护用户机密信息不泄露。

Description

一种非法无线接入点反制设备、系统及方法

技术领域

本发明涉及无线通信技术，具体涉及一种非法无线接入点反制设备、系统及方法。

背景技术

非法AP(Access Point，无线接入点)，是指在无线局域网中的所有未知、未被信任的无线设备，其通常冒充合法AP的SSID(服务集标识)，欺骗用户与其进行连接，进而威胁到用户的网络安全。

非法AP一旦被识别出来，就需要立即对其进行反制，第一时间避免用户机密信息被套取。然而，现有的反制措施通常为模拟非法AP发送Deauthentication(解除认证)管理帧数据使当前连接到此非法AP的终端设备与之断开连接。

该方法效果有限，因为终端设备断连之后会马上再次连接该非法AP。而且该方案是在终端设备接入非法AP之后再采取动作，此时可能已经泄露部分机密信息了。因此，上述方案的反制效果有限。

发明内容

本发明所要解决的技术问题是：提出一种非法无线接入点反制设备、系统及方法，提高对非法无线接入点的反制效果。

本发明解决上述技术问题采用的技术方案是：

一方面，本发明提供了一种非法无线接入点反制设备，包括：

信息接收模块，用于接收无线控制器的通告，获得当前网络环境中的非法无线接入点的相关信息；所述相关信息包括：非法无线接入点的BSSID(基础服务集标识)、SSID(服务集标识)、认证方式、信道和beacon(信标)帧间隔；

模拟模块，用于模拟非法无线接入点的BSSID，在相同的信道对外广播beacon帧信号，beacon帧信号中的SSID与非法无线接入点不同，且不断变化；

以及，在收到终端的探测请求帧后，模拟非法无线接入点的BSSID回复探测响应帧，但探测响应帧中的SSID和认证类型与非法无线接入点不同。

作为进一步优化，所述模拟模块还用于，在收到终端发送的鉴权请求帧和关联请求帧时，模拟非法无线接入点的BSSID向终端对应发送去鉴权响应帧或去关联响应帧。

作为进一步优化，所述模拟模块还用于，模拟非法无线接入点的BSSID，向已接入非法无线接入点的终端发送BSS(基本服务集)切换管理请求，并在请求中指定切换到合法无线接入点的BSSID。

作为进一步优化，反制设备还包括：监测模块，用于在反制设备向已接入非法无线接入点的终端发送BSS切换管理请求后，监测终端是否在一定时间内切换连接的无线接入点；若未切换，则通知所述模拟模块；

所述模拟模块还用于，模拟非法无线接入点的BSSID向终端发送去鉴权请求帧和去关联请求帧。

作为进一步优化，所述模拟模块还用于，通过变更自身的MAC地址模拟大量终端，并依次向非法无线接入点发起接入认证请求，当成功接入非法无线接入点后，模拟发送部分数据报文。

第二方面，本发明还提供了一种非法无线接入点反制系统，包括上述反制设备，还包括无线控制器和合法无线接入点；所述反制设备和合法无线接入点与无线控制器处于同一局域网中；

所述合法无线接入点，用于对周围无线接入点的信息进行扫描，将扫描的信息上报无线控制器；

所述无线控制器，用于根据合法无线接入点上报的周围无线接入点的信息判断出非法无线接入点，并将非法无线接入点的相关信息通告所述反制设备。

作为进一步优化，所述无线控制器还用于，在合法无线接入点上配置一个和非法无线接入点的SSID名称和认证方式相同的SSID，并且将该合法无线接入点的信号调至最大。

第三方面，本发明还提供了一种非法无线接入点反制方法，应用于上述非法无线接入点反制系统中，该方法包括以下步骤：

无线控制器获取当前网络环境中的非法无线接入点的相关信息并通告反制设备；所述相关信息包括：非法无线接入点的BSSID、SSID、认证方式、信道和beacon帧间隔；

反制设备模拟非法无线接入点的BSSID，在相同的信道对外广播beacon帧信号，beacon帧信号中的SSID与非法无线接入点不同，且不断变化；

反制设备收到终端的探测请求帧后，模拟非法无线接入点的BSSID回复探测响应帧，但探测响应帧中的SSID和认证类型与非法无线接入点不同。

作为进一步优化，反制设备模拟在相同的信道对外广播的beacon帧信号的间隔比非法无线接入点发送的beacon帧间隔更短。

作为进一步优化，该方法还包括：

反制设备在收到终端发送的鉴权请求帧和关联请求帧时，模拟非法无线接入点的BSSID向终端对应发送去鉴权响应帧或去关联响应帧。

作为进一步优化，该方法还包括：

无线控制器在获取到当前网络环境中的非法无线接入点的相关信息后，在合法无线接入点上配置一个和非法无线接入点的SSID名称和认证方式相同的SSID，并且将该合法无线接入点的信号调至最大；

反制设备模拟非法无线接入点的BSSID，向已接入该非法无线接入点的终端发送BSS切换管理请求，并在请求中指定切换到合法无线接入点的BSSID。

作为进一步优化，在反制设备向已接入该非法无线接入点的终端发送BSS切换管理请求后，还包括：反制设备监测终端是否在一定时间内切换连接的无线接入点，若未切换，则反制设备模拟非法无线接入点的BSSID向终端发送去鉴权请求帧和去关联请求帧。

作为进一步优化，该方法还包括：

反制设备通过变更自身的MAC地址模拟大量终端，并依次向非法无线接入点发起接入认证请求，当成功接入非法无线接入点后，模拟发送部分数据报文。

本发明的有益效果是：

本发明通过反制设备模拟终端和非法无线接入点的信号扫描、接入、数据通信等行为，从多个层面来提高反制效果，从而达到干扰、阻止终端用户接入使用非法无线接入点，保护用户机密信息不泄露：

(1)信号反制层面：

通过反制设备模拟非法AP的BSSID，在相同的信道对外广播beacon帧信号，其中SSID和认证类型与非法AP不同，且不断变化，从而使得被动扫描的用户终端难以扫描锁定非法AP的SSID和认证类型；

对于主动扫描的用户终端，若是反制设备收到终端的探测请求帧，则模拟非法无线接入点的BSSID回复探测响应帧，但探测响应帧中的SSID和认证类型与非法无线接入点不同，从而干扰终端扫描到非法AP信号；

(2)接入反制层面：

反制设备在收到终端发送的鉴权请求帧和关联请求帧时，模拟非法AP的BSSID向终端对应发送去鉴权响应帧或去关联响应帧，从而阻止终端接入非法AP,而对于已经接入非法AP的终端，通过反制设备发送BTM请求用来通知用户终端离开当前BSS，接入合法AP，并在BTM请求帧中指定切换到合法AP的BSSID地址，从而让终端断开与非法AP之间的连接；

(3)数据反制层面：

反制设备通过变更MAC地址模拟大量终端，并依次向非法AP设备发起接入认证请求，从而在达到非法AP的最大接入终端数的上限之后，拒绝接入用户终端，以阻止用户终端与非法AP的连接。

附图说明

图1为本发明中的非法无线接入点反制设备结构图；

图2为本发明中的非法无线接入点反制系统结构图；

图3为本发明中的非法无线接入点反制方法流程图；

图4为实施例中的AP-AC组网环境示意图。

具体实施方式

本发明旨在提出一种非法无线接入点(以下简称AP)反制设备、系统及方法，提高对非法AP的反制效果。本发明中，利用反制设备通过模拟终端和非法AP的信号扫描、接入、数据通信等行为，从多个层面来提高反制效果，从而达到干扰、阻止终端用户接入使用非法AP，保护用户机密信息不泄露。

具体实施上，本发明中的非法无线接入点反制设备如图1所示，其包括：

信息接收模块，用于接收无线控制器(以下简称AC)的通告，获得当前网络环境中的非法AP的相关信息；所述相关信息包括：非法AP的BSSID、SSID、认证方式、信道和beacon帧间隔；

模拟模块，用于模拟非法AP的BSSID，在相同的信道对外广播beacon帧信号，beacon帧信号中的SSID与非法AP不同，且不断变化；

以及，在收到终端的探测请求帧后，模拟非法AP的BSSID回复探测响应帧，但探测响应帧中的SSID和认证类型与非法AP不同。

基于上述反制设备，可以根据AC的通告来获取当前网络环境中的非法AP信息，从而模拟非法AP的BSSID，在相同的信道对外广播beacon帧信号，其中SSID和认证类型与非法AP不同，且不断变化，从而对于被动扫描的用户终端而言，难以扫描锁定非法AP的SSID和认证类型；从而达到干扰终端扫描到非法AP信号的目的。

对于主动扫描的用户终端而言，反制设备收到终端的探测请求帧后，则模拟非法AP的BSSID回复探测响应帧，但探测响应帧中的SSID和认证类型与非法AP不同，从而干扰终端扫描到非法AP信号。

作为进一步优化方案，所述模拟模块还用于，在收到终端发送的鉴权请求帧和关联请求帧时，模拟非法无线接入点的BSSID向终端对应发送去鉴权响应帧或去关联响应帧。此方案针对部分锁定了非法AP信号并发起了接入非法AP设备的请求的终端，通过模拟非法AP的鉴权回复和关联回复，以去鉴权响应帧作为模拟的鉴权回复，以去关联响应帧作为模拟的关联回复，从而使得用户终端向非法AP认证失败，以阻止用户终端接入非法AP。

作为进一步优化方案，所述模拟模块还用于，模拟非法AP的BSSID，向已接入AP的终端发送BSS切换管理请求，并在请求中指定切换到合法AP的BSSID。此方案是针对已经接入了非法AP的用户终端，通过模拟非法AP的BSSID地址，向已接入非法AP的终端发送BSS切换管理请求，用来通知用户终端离开当前BSS，接入合法AP，从而及时断开用户终端与非法AP的连接。

作为进一步优化方案，所述反制设备还包括监测模块，用于在反制设备向已接入非得AP点的终端发送BSS切换管理请求后，监测终端是否在一定时间内切换连接的无线接入点；若未切换，则通知所述模拟模块；所述模拟模块还用于，模拟非法AP的BSSID向终端发送去鉴权请求帧和去关联请求帧。此方案是对终端是否从非法AP切出连接进行监测，若在一定时间未切出连接，则模拟非法AP的BSSID向终端发送去鉴权请求帧和去关联请求帧，从而强制断开终端与非法AP的连接。

作为进一步优化方案，所述模拟模块还用于，通过变更自身的MAC地址模拟大量终端，并依次向非法无线接入点发起接入认证请求，当成功接入非法无线接入点后，模拟发送部分数据报文。此方案是通过对大量终端进行模拟，当非法AP的接入终端数被反制设备模拟的终端占满时，非法AP将不能再接入新的终端，从而避免正常的用户终端再接入非法AP。

本发明提供的非法无线接入点反制系统如图2所示，其包括上述反制设备，还包括AC和合法AP；所述反制设备、合法AP、AC通过交换设备相连，从而处于同一局域网中；

所述合法AP，用于对周围AP的信息进行扫描，将扫描的信息上报AC；

所述AC，用于根据合法AP上报的周围AP的信息判断出非法AP，并将非法AP的相关信息通告所述反制设备。

本方案中，通过合法AP(指经过所有者授权的在无线局域网中的已知、被信任的无线设备)对周围AP设备的扫描并上报AC，由AC判断出非法AP，并将非法AP的相关信息(包括非法AP的BSSID、SSID、认证方式、信道和beacon帧间隔)通告给反制设备，反制设备根据非法AP的相关信息模拟非法AP的行为进行反制，从而达到干扰、阻止终端用户接入使用非法无线接入点；或者，反制设备模拟大量终端来接入非法AP，使得正常终端无法接入该非法AP。

基于上述非法无线接入点反制系统，本发明提供的非法无线接入点反制方法如图3所示，其包括以下实施步骤：

一、AC判断出非法AP，并将非法AP的相关信息通告反制设备：

本步骤中，AC通过合法AP扫描上报的邻居AP信息，判断出非法AP的存在，并将非法AP的BSSID、SSID、认证类型(OPEN/WEP/WPA/WPA2/PSK等)、信道、beacon帧发送间隔等信息通告给反制设备。

二、反制设备根据非法AP的相关信息对非法AP进行反制：

本步骤中，反制设备根据从AC收到的非法AP的相关信息对非法AP进行反制，为了达到更好的反制效果，可以从三个层面进行反制：

①信号反制层面：

对于用户终端而言，无线信号扫描分为被动扫描和主动扫描两种。被动扫描是指AP定期对外广播beacon帧；主动扫描是指终端主动发送probe request(探测请求)信号探测帧，AP收到之后回复probe response(探测响应)帧。

在被动扫描情况下，反制设备模拟非法AP设备的BSSID，在相同的信道对外广播beacon帧信号，其中SSID和认证类型与非法AP不同，且不断变化。

由于模拟发送的beacon帧的BSSID和非法AP的BSSID一样，终端会认为这些报文都是同一设备发送的信号，同时该信号的SSID和认证类型在不断变化，会导致终端设备难以扫描锁定非法AP的SSID和认证类型，从而达到干扰终端扫描到非法AP信号的目的。

为了增强干扰效果，模拟发送的beacon帧间隔要比非法AP发送的beacon间隔更短。比如：非法AP的beacon帧发送间隔是200毫秒，模拟发送的beacon帧发送间隔可以设置为20毫秒。这样的情况下，终端每收到10个模拟的beacon帧，才会收到1个非法AP的beacon帧，非法AP的信号基本上被淹没了，终端很难扫描到，反制成功。

在主动扫描情况下，非法AP和反制设备都会收到终端发送的probe request帧。反制设备收到该帧后，模拟非法AP设备的BSSID回复probe response帧，但其中SSID和认证类型与非法AP不同。若终端先收到非法AP回复的probe response帧，则可以成功扫描到非法AP信号；若终端先收到反制设备回复的probe response帧，则无法扫面到非法AP信号，反制成功。

②接入反制层面：

若经过前面信号反制阶段，部分终端可能仍然锁定了非法AP信号，并发起了接入非法AP设备的请求，则通过接入反制可以作为一种补充手段，继续进行反制。

具体而言，终端请求接入非法AP的信号，非法AP和反制设备都会收到终端发送的Authentication(鉴权)和Association(关联)请求帧。反制设备收到该帧后，模拟非法AP设备的BSSID向终端发送Deauthentication(去鉴权)和Disassociation(去关联)响应帧。若终端先收到非法AP回复的Authentication和Association成功帧，则成功接入非法AP；若终端先收到反制设备回复的Deauthentication和Disassociation响应帧，则接入非法AP失败，反制成功；

若终端已经成功接入了非法AP，现有的反制方案是持续的模拟非法AP设备的BSSID向终端发送Deauthentication和Disassociation请求帧，将终端设备踢下线。但是终端被踢下线之后会再次链接非法AP，因此效果有限。

为了提高反制效果，本发明在合法AP上配置一个和非法AP的SSID名称和认证方式相同的SSID，并且将信号调到最大。反制设备利用802.11V协议，模拟非法AP的BSSID地址，向已接入非法AP的终端发送BTM(BSS Transition Management，BSS切换管理)请求用来通知用户终端离开当前BSS(基本服务集)接入合法AP，并在BTM请求帧中指定切换到合法AP的BSSID地址。若终端接受BTM请求的指令，则会主动切换接入合法AP；若超过一定时间终端未主动切换，则由反制设备模拟非法AP设备的BSSID向终端发送Deauthentication和Disassociation请求帧，将终端设备踢下线。终端设备被踢下线后，再次链接时则会选择信号质量更好的合法AP接入，从而避免了终端被直接踢下线之后，再次接入非法AP的情况。

③数据反制层面：

由于非法AP接入终端的数量是有限的，当达到最大接入终端数的上限之后，非法AP就不能再接入新的终端。

基于此思想，本发明中，反制设备通过变更MAC地址模拟大量终端，并依次向非法AP设备发起接入认证请求，成功接入非法AP之后，模拟发送部分数据报文，防止模拟终端因为数据静默被非法AP踢下线。当非法AP的接入终端数被反制设备模拟的终端占满时，非法AP将不能再接入新的终端，此时正常的终端想要再接入非法AP，将会被非法AP拒绝接入。

实施例：

本实施例为应用于如图4所示的典型AP-AC组网环境的反制方法的示例，图4所示的组网环境中，包括反制设备、AC和合法AP；所述反制设备、合法AP、AC通过交换设备相连，从而处于同一局域网中；该局域网中还会有非法AP。

本实施例中，假设合法AP的SSID名称为“test”，非法AP的SSID名称为“test1”。合法AP扫描到非法AP的无线信号后上报给AC，AC判断出无线信号中的SSID名称与合法AP的SSID名称极为相似，很可能是钓鱼AP，用于骗取用户信息，判定为非法AP，并将该非法AP的信息通告给反制设备进行反制。

通告的非法AP信息如下：BSSID(00:11:22:00:00:01)、SSID(test1)、认证方式(open)、信道(36)、beacon间隔(200ms)。同时，AC在合法AP上也配置test1信号，包括：在合法AP上配置一个和非法AP的SSID名称和认证方式相同的SSID，并且将该合法AP的信号调至最大。

反制设备在收到AC的通告后，根据非法AP的信息，对非法AP的反制手段如下：

反制设备首先对非法AP进行信号反制，模拟非法AP的BSSID(00:11:22:00:00:01)对外广播beacon帧，发送间隔20ms，信道36，认证方式open，SSID名称随机变化。此时终端上查看周围可接入的AP信号时会发现很难锁定非法AP的test1信号，可能刚出现该信号，但是马上就变成其他随机信号。

如果终端经过大量的反复连接尝试之后，最终还是连接上了非法AP的test1信号，则反制设备继续进行接入反制，具体的，反制设备利用802.11V协议，模拟非法AP的BSSID(00:11:22:00:00:01)，向已接入非法AP的终端发送BTM请求，BTM请求帧中指定切换到合法AP的BSSID地址，终端收到该请求后，会断开与非法AP的连接，切换到与合法AP的连接上。

最后反制设备通过改变MAC地址的方式，模拟大量终端去连接非法AP的test1信号。假设非法AP接入终端数的上限时100。当接入非法AP的模拟终端数超过100时，将不能再接入新的终端。此时，终端上即使能看到非法AP的test1信号而尝试连接时，也会被非法AP拒绝接入。

Claims (13)

1.一种非法无线接入点反制设备，其特征在于，包括：

信息接收模块，用于接收无线控制器的通告，获得当前网络环境中的非法无线接入点的相关信息；所述相关信息包括：非法无线接入点的BSSID、SSID、认证方式、信道和beacon帧间隔；

模拟模块，用于模拟非法无线接入点的BSSID，在相同的信道对外广播beacon帧信号，beacon帧信号中的SSID与非法无线接入点不同，且不断变化；以及，在收到终端的探测请求帧后，模拟非法无线接入点的BSSID回复探测响应帧，但探测响应帧中的SSID和认证类型与非法无线接入点不同。

2.如权利要求1所述的非法无线接入点反制设备，其特征在于，

所述模拟模块还用于，在收到终端发送的鉴权请求帧和关联请求帧时，模拟非法无线接入点的BSSID向终端对应发送去鉴权响应帧或去关联响应帧。

3.如权利要求1所述的非法无线接入点反制设备，其特征在于，

所述模拟模块还用于，模拟非法无线接入点的BSSID，向已接入非法无线接入点的终端发送BSS切换管理请求，并在请求中指定切换到合法无线接入点的BSSID。

4.如权利要求1所述的非法无线接入点反制设备，其特征在于，反制设备还包括：

监测模块，用于在反制设备向已接入非法无线接入点的终端发送BSS切换管理请求后，监测终端是否在一定时间内切换连接的无线接入点；若未切换，则通知所述模拟模块；

所述模拟模块还用于，模拟非法无线接入点的BSSID向终端发送去鉴权请求帧和去关联请求帧。

5.如权利要求1-4任一项所述的非法无线接入点反制设备，其特征在于，

所述模拟模块还用于，通过变更自身的MAC地址模拟大量终端，并依次向非法无线接入点发起接入认证请求，当成功接入非法无线接入点后，模拟发送部分数据报文。

6.一种非法无线接入点反制系统，其特征在于，

包括如权利要求1-5任一项所述的反制设备，还包括无线控制器和合法无线接入点；所述反制设备和合法无线接入点与无线控制器处于同一局域网中；

所述合法无线接入点，用于对周围无线接入点的信息进行扫描，将扫描的信息上报无线控制器；

所述无线控制器，用于根据合法无线接入点上报的周围无线接入点的信息判断出非法无线接入点，并将非法无线接入点的相关信息通告所述反制设备。

7.如权利要求6所述的非法无线接入点反制系统，其特征在于，

所述无线控制器还用于，在合法无线接入点上配置一个和非法无线接入点的SSID名称和认证方式相同的SSID，并且将该合法无线接入点的信号调至最大。

8.一种非法无线接入点反制方法，应用于如权利要求6或7所述的非法无线接入点反制系统，其特征在于，该方法包括以下步骤：

无线控制器获取当前网络环境中的非法无线接入点的相关信息并通告反制设备；所述相关信息包括：非法无线接入点的BSSID、SSID、认证方式、信道和beacon帧间隔；

反制设备模拟非法无线接入点的BSSID，在相同的信道对外广播beacon帧信号，beacon帧信号中的SSID与非法无线接入点不同，且不断变化；

反制设备收到终端的探测请求帧后，模拟非法无线接入点的BSSID回复探测响应帧，但探测响应帧中的SSID和认证类型与非法无线接入点不同。

9.如权利要求8所述的非法无线接入点反制方法，其特征在于，反制设备模拟在相同的信道对外广播的beacon帧信号的间隔比非法无线接入点发送的beacon帧间隔更短。

10.如权利要求8所述的非法无线接入点反制方法，其特征在于，该方法还包括：

反制设备在收到终端发送的鉴权请求帧和关联请求帧时，模拟非法无线接入点的BSSID向终端对应发送去鉴权响应帧或去关联响应帧。

11.如权利要求8所述的非法无线接入点反制方法，其特征在于，该方法还包括：

无线控制器在获取到当前网络环境中的非法无线接入点的相关信息后，在合法无线接入点上配置一个和非法无线接入点的SSID名称和认证方式相同的SSID，并且将该合法无线接入点的信号调至最大；

反制设备模拟非法无线接入点的BSSID，向已接入该非法无线接入点的终端发送BSS切换管理请求，并在请求中指定切换到合法无线接入点的BSSID。

12.如权利要求8所述的非法无线接入点反制方法，其特征在于，在反制设备向已接入该非法无线接入点的终端发送BSS切换管理请求后，该方法还包括：反制设备监测终端是否在一定时间内切换连接的无线接入点，若未切换，则反制设备模拟非法无线接入点的BSSID向终端发送去鉴权请求帧和去关联请求帧。

13.如权利要求8-12任一项所述的非法无线接入点反制方法，其特征在于，该方法还包括：

反制设备通过变更自身的MAC地址模拟大量终端，并依次向非法无线接入点发起接入认证请求，当成功接入非法无线接入点后，模拟发送部分数据报文。

Images