CN1253054C - 全局信任的无线ip系统移动终端的漫游接入方法 - Google Patents

Abstract

本发明是一种全局信任的无线IP系统移动终端的漫游接入方法，包括接入节点自动更新协议和漫游认证协议两部分。自动更新协议用于接入节点从本地认证服务器获得信任的认证服务器列表，在接入节点和本地认证服务器的安全信道的保护下运行；漫游认证协议用于移动终端接入无线IP网络时的鉴别过程，移动终端不需要区分漫游状态。本发明在证书鉴别响应消息中的签名由移动终端的归属认证服务器生成，通过自动更新协议，接入节点获得所有信任的认证服务器列表，可以验证移动终端MT的归属认证服务器的签名。这既保证了与无线局域网国家标准GB 15629.11的兼容性，又支持了移动终端的漫游。

Description

全局信任的无线IP系统移动终端的漫游接入方法

技术领域

本发明属于无线IP系统领域，具体地说是一种全局信任的无线IP系统移动终端的漫游接入方法。

背景技术

无线IP网络(Wireless IP Network)不仅支持移动计算，而且具有构架的灵活性、快捷性及可扩展性。它主要由移动终端MT(Mobile Terminal)、无线接入点AP(Access Point)及认证服务器AS(Authentication Server)等设备组成，其中移动终端MT可在无线IP网络中任意移动，无线接入点AP实现包括越区切换在内的小区管理、对移动终端MT的管理及桥接功能，认证服务器AS实现对无线接入终端的认证和网间漫游管理，其应用非常广泛。

对于无线IP网络来说，其安全问题远比有线网严重得多。无线局域网是无线IP网络的重要实现形式，我国在2003年5月份颁布了无线局域网国家标准GB 15629.11，这是目前我国在无线IP系统领域惟一获得批准的标准。标准中包含了无线局域网鉴别和保密基础结构WAPI(WLAN Authenticationand Privacy Infrastructure)安全机制，这种安全机制由无线局域网鉴别基础结构WAI(WLAN Authentication Infrastructure)和无线局域网保密基础结构WPI(WLAN Privacy Infrastructure)两部分组成，WAI和WPI分别实现对用户身份的鉴别和对传输数据的加密。

WAI的工作过程如下：

1)移动终端MT关联到接入节点AP后，接入节点AP把鉴别激活消息发给移动终端MT；

2)移动终端MT向接入节点AP发送接入鉴别请求消息，消息包括移动终端MT的证书和接入鉴别请求时间；

3)接入节点AP收到消息后，将移动终端MT的证书、接入鉴别请求时间和自己的证书一起用自己的私钥形成签名，并将这个签名连同移动终端MT的证书、接入鉴别请求时间和接入节点AP的证书一起形成证书鉴别请求消息发给认证服务器AS；

4)当认证服务器AS收到接入节点AP发来的证书鉴别请求消息后，验证接入节点AP的签名和接入节点AP的证书以及移动终端MT的证书。验证完成之后，构造证书鉴别响应消息，包括接入节点AP的证书鉴别结果信息、移动终端MT的证书鉴别结果信息和认证服务器AS对前两者的签名，发送给接入节点AP；

5)接入节点AP验证认证服务器AS的签名并判断证书鉴别响应消息中的移动终端MT的证书鉴别结果信息，若证书鉴别结果成功，则根据证书鉴别响应消息生成接入鉴别响应消息，消息内容和证书鉴别响应消息相同，发送给移动终端MT，然后进入密钥协商阶段；否则解除与移动终端MT的链路验证；

6)移动终端MT收到消息后，验证认证服务器AS的签名并判断接入节点AP的证书鉴别结果信息，成功后进入密钥协商阶段；否则解除与接入节点AP的链路验证。

从上面的过程可以看出，移动终端MT和接入节点AP在收到响应后，都要验证认证服务器AS的签名。而在证书鉴别响应消息和接入鉴别响应消息中，只允许一个认证服务器AS进行签名，这隐含要求移动终端MT和接入节点AP信任同一个认证服务器AS。

随着无线IP技术的发展，无线IP网络在实际应用中越来越普遍。无线IP系统的建设者们在很多地方建设了无线IP网络，这些网络可以属于不同的建设者或管理者。用户在某个网络建设者处注册后，可以在该建设者所属的区域(归属域)使用网络资源。当用户到了一个他没有注册的建设者的区域(拜访域)时，如果拜访域和用户的归属域有相应的合约，用户就可以使用拜访域的网络资源，这种情况称为漫游。

在漫游时，移动终端MT和接入节点AP分属不同的管理域，信任的认证服务器AS是不同的，如何建立移动终端MT和接入节点AP共同信任的认证服务器AS是一个关键问题。这个问题对于无线IP系统的应用具有重大影响，目前还没有针对此问题的解决方法。

发明内容

本发明要解决的问题是提供一种全局信任的无线IP系统移动终端的漫游接入方法，该方法在保持对移动终端MT透明的情况下，在接入节点AP中建立全局认证服务器信任列表，解决移动终端MT和接入节点AP共同信任认证服务器的问题。

解决上述问题所采用的技术方案是：所提供的全局信任的无线IP系统移动终端的漫游接入方法包括接入节点AP自动更新协议APAU(Access PointAuto Update protocol)和漫游认证协议RWAI(Roaming WLAN AuthenticationInfrastructure)两个部分。接入节点AP自动更新协议APAU用于接入节点AP从本地认证服务器获得信任的认证服务器列表，在接入节点AP和本地认证服务器的安全信道的保护下运行。漫游认证协议用于移动终端MT接入无线IP网络时的鉴别过程，移动终端MT不需要区分漫游状态(漫游中或者非漫游)，漫游时的鉴别过程和非漫游时的鉴别过程对移动终端MT而言是相同的。

其中接入节点AP自动更新协议APAU参见图2如下：

1)当本地认证服务器通过AS之间的信任维护协议更新信任的认证服务器列表后，使用更新通知消息通知接入节点AP认证服务器列表已经发生改变；

2)接入节点AP收到更新通知消息后，或由于它的信任的认证服务器列表到达定时刷新时间后，发送更新请求消息给本地认证服务器；

3)本地认证服务器将更新响应消息发送给接入节点AP，消息中包含最新的信任的认证服务器列表。

漫游认证协议RWAI参见图3如下：

1)移动终端MT关联到接入节点AP后，接入节点AP把鉴别激活消息发给移动终端MT；

2)移动终端MT将移动终端MT的证书通过接入鉴别请求消息发往接入节点AP；

3)接入节点AP将移动终端MT的证书和接入节点AP的证书通过证书鉴别请求消息发给外地认证服务器F-AS；

4)外地认证服务器F-AS验证证书鉴别请求消息中接入节点AP的签名和接入节点AP的证书，并判断移动终端MT是否为本地节点。若移动终端MT是本地节点，则外地认证服务器F-AS即为归属认证服务器H-AS，执行步骤5)；否则外地认证服务器F-AS将接入节点AP的证书鉴别结果信息和移动终端MT的证书构成漫游证书鉴别请求消息发送到移动终端MT的归属认证服务器H-AS；

5)归属认证服务器H-AS验证移动终端MT的证书，构造漫游证书鉴别响应消息，通过外地认证服务器F-AS发送给接入节点AP。

若移动终端MT为本地节点，则归属认证服务器H-AS构造证书鉴别响应消息，直接发送给接入节点AP；

6)接入节点AP根据移动终端MT的证书的颁发者信息，在信任的认证服务器列表中查询对应的公钥，若移动终端MT的证书的颁发者在列表中且归属认证服务器H-AS的签名通过验证，并且证书鉴别响应消息中的移动终端MT的证书鉴别结果为成功，则根据证书鉴别响应消息生成接入鉴别响应消息，消息内容和证书鉴别响应消息一样，将接入鉴别响应消息发送给移动终端MT，然后进入密钥协商阶段；否则与移动终端MT解除链路验证；

7)移动终端MT收到接入鉴别响应消息后，验证归属认证服务器H-AS的签名并判断接入节点AP的证书鉴别结果信息，成功后进入密钥协商阶段；否则与接入节点AP解除链路验证。

上述2)中的接入鉴别请求消息是指移动终端MT将移动终端MT证书与接入鉴别请求时间组成接入鉴别请求消息发往接入节点AP。

上述3)中的证书鉴别请求消息是指接入节点AP收到接入鉴别请求消息后，将移动终端MT的证书、接入鉴别请求时间、接入节点AP的证书及接入节点AP对前述移动终端MT证书、接入鉴别请求时间和接入节点AP的证书的签名构成证书鉴别请求消息，发给外地认证服务器F-AS。

前述的接入鉴别请求时间可以是当前时间，也可以是一串随机数据。

上述4)中的漫游证书鉴别请求消息包括接入节点AP的证书鉴别结果信息和移动终端MT的证书。

上述5)中的漫游证书鉴别响应消息包括接入节点AP的证书鉴别结果信息、移动终端MT的证书鉴别结果信息和归属认证服务器H-AS对前述接入节点AP的证书鉴别结果信息和移动终端MT的证书鉴别结果信息的签名。

上述5)中的证书鉴别响应消息包括接入节点AP的证书鉴别结果信息、移动终端MT的证书鉴别结果信息和归属认证服务器H-AS对接入节点AP的证书鉴别结果信息和移动终端MT的证书鉴别结果信息的签名。

上述6)中的接入鉴别响应消息包括接入节点AP的证书鉴别结果信息、移动终端MT的证书鉴别结果信息和归属认证服务器H-AS对接入节点AP的证书鉴别结果信息和移动终端MT的证书鉴别结果信息的签名。

附图说明

图1是本发明的系统逻辑结构图。

图2是本发明的接入节点AP自动更新协议APAU过程图。

图3是本发明的漫游认证协议RWAI过程图。

具体实施方式

如图1所示，其中MT是移动终端，AP是接入节点，F-AS和H-AS分别是外地认证服务器和归属认证服务器。图中的虚线表示逻辑上的安全连接，实线表示实际的物理连接。移动终端MT和它的归属认证服务器H-AS共享安全联系K_<MT，H-AS>。接入节点AP和外地认证服务器F-AS存在安全信道A_<AP，F-AS>，接入节点AP和外地认证服务器F-AS相互信任；外地认证服务器F-AS和归属认证服务器H-AS也存在安全信道A_<F-AS，H-AS>，外地认证服务器F-AS是被归属认证服务器H-AS信任的。在所有的认证服务器AS中都有本网络域所信任的其他认证服务器的列表，当信任关系发生变化时，认证服务器AS之间的信任维护协议会自动更新该列表。

图2给出了接入节点AP自动更新协议APAU的过程。接入节点AP自动更新协议APAU用于接入节点AP从本地认证服务器获得信任的认证服务器列表，该过程在接入节点AP和本地认证服务器的安全信道的保护下进行。另外，接入节点AP中的信任的认证服务器列表要设置定时刷新超时。

图3给出了漫游认证协议RWAI的过程。漫游认证协议RWAI用于移动终端MT接入无线IP网络时的鉴别过程，移动终端MT不需要区分其漫游状态，漫游时的鉴别过程和非漫游时的鉴别过程对移动终端MT而言是相同的。

图3中符号：Cert_AP、Cert_MT、Sig_AP、Sig_H-AS、Time、RES_AP、RES_MT为消息内容，其说明为：

Cert_AP——接入节点AP的公钥证书；Cert_MT——移动终端MT的公钥证书；Sig_AP——接入节点AP的签名；Sig_H-AS——归属认证服务器H-AS的签名；Time——接入鉴别请求时间；RES_AP——接入节点AP的证书鉴别结果信息，包括Cert_AP、接入节点AP的证书鉴别结果和Time；RES_MT——移动终端MT的证书鉴别结果信息，包括Cert_MT和移动终端MT证书鉴别结果。

本发明方案基于中国无线局域网国家标准GB 15629.11，移动终端MT和接入节点AP以及外地认证服务器F-AS之间的消息和GB 15629.11中规定的一致，外地认证服务器F-AS和归属认证服务器H-AS之间定义的消息在无线局域网国家标准GB15629.11中没有定义。该方案兼容无线局域网国家标准GB 15629.11。

本发明基于无线局域网国家标准GB 15629.11中的WAPI(无线局域网鉴别和保密基础结构)安全机制，其安全性程度等同于无线局域网国家标准GB 15629.11中的WAPI安全机制。因为：

1)外地认证服务器F-AS和归属认证服务器H-AS之间存在信任关系和安全信道，所以在证书鉴别响应消息中归属认证服务器H-AS的签名能够保证鉴别结果的有效性；

2)证书鉴别响应消息中的签名是移动终端MT的归属认证服务器H-AS的签名，但是因为接入节点AP通过自动更新协议APAU，保存有所有信任的认证服务器列表，所以接入节点AP可以对证书鉴别响应消息进行有效验证；

3)对于移动终端MT，接入鉴别响应消息在漫游和非漫游时是相同的，并且与无线局域网国家标准GB 15629.11中的WAPI安全机制规定的一致。

本发明在证书鉴别响应消息中的签名由移动终端MT的归属认证服务器H-AS生成。通过自动更新协议APAU，接入节点AP获得所有信任的认证服务器列表，可以验证移动终端MT的归属认证服务器H-AS的签名；而移动终端MT也信任其归属认证服务器H-AS，也可以验证H-AS的签名。这即保证了与无线局域网国家标准GB 15629.11的兼容性，又支持了移动终端MT的漫游。

Claims (8)

1、一种全局信任的无线IP系统移动终端的漫游接入方法，包括接入节点AP自动更新协议和漫游认证协议，

其中接入节点AP自动更新协议如下：

1)当本地认证服务器通过AS之间的信任维护协议更新信任的认证服务器列表后，使用更新通知消息通知接入节点AP认证服务器列表已经发生改变；

2)接入节点AP收到更新通知消息后，或由于它的信任的认证服务器列表到达定时刷新时间后，发送更新请求消息给本地认证服务器；

3)本地认证服务器将更新响应消息发送给接入节点AP，消息中包含最新的信任的认证服务器列表；

漫游认证协议如下：

1)移动终端MT关联到接入节点AP后，接入节点AP把鉴别激活消息发给移动终端MT；

2)移动终端MT将移动终端MT的证书通过接入鉴别请求消息发往接入节点AP；

3)接入节点AP将移动终端MT的证书和接入节点AP的证书通过证书鉴别请求消息发给外地认证服务器F-AS；

4)外地认证服务器F-AS验证证书鉴别请求消息中接入节点AP的签名和接入节点AP的证书，并判断移动终端MT是否为本地节点，若移动终端MT是本地节点，则外地认证服务器F-AS即为归属认证服务器H-AS，执行步骤5)；否则外地认证服务器F-AS将接入节点AP的证书鉴别结果信息和移动终端MT的证书构成漫游证书鉴别请求消息发送到移动终端MT的归属认证服务器H-AS；

5)归属认证服务器H-AS验证移动终端MT的证书，构造漫游证书鉴别响应消息，通过外地认证服务器F-AS发送给接入节点AP；

若移动终端MT为本地节点，则归属认证服务器H-AS构造证书鉴别响应消息，直接发送给接入节点AP；

6)接入节点AP根据移动终端MT的证书的颁发者信息，在信任的认证服务器列表中查询对应的公钥，若移动终端MT的证书的颁发者在列表中且归属认证服务器H-AS的签名通过验证，并且证书鉴别响应消息中的移动终端MT的证书鉴别结果为成功，则根据证书鉴别响应消息生成接入鉴别响应消息，消息内容和证书鉴别响应消息一样，将接入鉴别响应消息发送给移动终端MT，然后进入密钥协商阶段；否则与移动终端MT解除链路验证；

7)移动终端MT收到接入鉴别响应消息后，验证归属认证服务器H-AS的签名并判断接入节点AP的证书鉴别结果信息，成功后进入密钥协商阶段；否则与接入节点AP解除链路验证。

2、根据权利要求1所述的方法，其特征在于所述的接入鉴别请求消息是指移动终端MT将移动终端MT证书与接入鉴别请求时间组成接入鉴别请求消息发往接入节点AP。

3、根据权利要求1所述的方法，其特征在于所述的证书鉴别请求消息是指接入节点AP收到接入鉴别请求消息后，将移动终端MT的证书、接入鉴别请求时间、接入节点AP的证书及接入节点AP对前述移动终端MT证书、接入鉴别请求时间和接入节点AP的证书的签名构成证书鉴别请求消息，发给外地认证服务器F-AS。

4、根据权利要求1所述的方法，其特征在于所述的漫游证书鉴别请求消息包括接入节点AP的证书鉴别结果信息和移动终端MT的证书。

5、根据权利要求1所述的方法，其特征在于所述的漫游证书鉴别响应消息包括接入节点AP的证书鉴别结果信息、移动终端MT的证书鉴别结果信息和归属认证服务器H-AS对前述接入节点AP的证书鉴别结果信息和移动终端MT的证书鉴别结果信息的签名。

6、根据权利要求1所述的方法，其特征在于所述的证书鉴别响应消息包括接入节点AP的证书鉴别结果信息、移动终端MT的证书鉴别结果信息和归属认证服务器H-AS对接入节点AP的证书鉴别结果信息和移动终端MT的证书鉴别结果信息的签名。

7、根据权利要求1所述的方法，其特征在于所述的接入鉴别响应消息包括接入节点AP的证书鉴别结果信息、移动终端MT的证书鉴别结果信息和归属认证服务器H-AS对接入节点AP的证书鉴别结果信息和移动终端MT的证书鉴别结果信息的签名。

8、根据权利要求2或3所述的方法，其特征在于所述的接入鉴别请求时间是当前时间或一串随机数据。

Images