CN1254143C - 一种移动终端在无线局域网接入站间安全切换的方法 - Google Patents
一种移动终端在无线局域网接入站间安全切换的方法 Download PDFInfo
- Publication number
- CN1254143C CN1254143C CN02136928.3A CN02136928A CN1254143C CN 1254143 C CN1254143 C CN 1254143C CN 02136928 A CN02136928 A CN 02136928A CN 1254143 C CN1254143 C CN 1254143C
- Authority
- CN
- China
- Prior art keywords
- portable terminal
- safety
- access station
- wireless local
- information
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Expired - Fee Related
Links
- 238000000034 method Methods 0.000 title claims abstract description 51
- 230000000977 initiatory effect Effects 0.000 claims description 5
- 230000005540 biological transmission Effects 0.000 claims description 2
- 238000004891 communication Methods 0.000 abstract description 5
- 238000010586 diagram Methods 0.000 description 10
- 238000002834 transmittance Methods 0.000 description 4
- 238000005516 engineering process Methods 0.000 description 1
- 239000002699 waste material Substances 0.000 description 1
Images
Landscapes
- Mobile Radio Communication Systems (AREA)
Abstract
本发明提出了一种移动终端在无线局域网接入站间安全切换的方法，具体说是一种防止攻击者假冒切换用户并保护移动终端安全切换的方法。本发明涉及无线局域网内接入站(AP)与移动终端之间的通信。该方法通过在移动终端、新AP即移动终端切换目的AP、旧AP即移动终端切换前连接AP之间传递安全标记，确认向新AP发出切换请求的用户确实曾经经过旧AP的认证，并曾同旧AP建立连接，从而防止攻击者假冒切换用户。
Description
技术领域
本发明涉及无线局域网内接入站(AP)与移动终端之间的通信，特别涉及移动终端在AP之间的切换方法。
背景技术
无线局域网借助无线信道传输数据、话音和视频信号。相对于传统布线网络，无线局域网具有安装便捷、使用灵活、经济节约和易于扩展等优点，因而日益受到重视。
无线局域网的可覆盖区域称为服务集，一般分为基本服务集(BSS)12和扩展服务集(ESS)11，其中基本服务集(BSS)12指由无线局域网中各单元的无线收发机以及地理环境所确定的通信覆盖区域，常称为小区，范围一般较小；为了扩大无线局域网覆盖区域，通常采用如图1所示的方法，即通过接入站(AP)121经无线网关13将基本服务集(BSS)12与骨干网相连接，使多个基本服务集(BSS)12中的移动终端(MT)122经由接入站(AP)121和无线网关13与有线骨干网连接，从而构成扩展服务集。其中骨干网通常是指有线局域网。
无线局域网的终端可移动性是其相对于布线网络的重要优势之一。移动终端122想要在较大的范围内实现对用户透明的移动，势必要实现接入站(AP)121间的切换，如图2所示。
图2中，移动终端A(MT1)212起初和接入站A(AP1)211建立连接。在移动过程中移动终端A(MT1)212离接入站A(AP1)211越来越远，移动终端A(MT1)212和接入站A(AP1)211之间的通信链路质量会下降。移动终端A(MT1)212继续远离接入站A(AP1)211，移动终端A(MT1)212和接入站A(AP1)211之间的通信链路质量会继续下降，如果不及时将连接从接入站A(AP1)211转移到其他更近的接入站AP，如接入站B(AP2)23，移动终端A(MT1)212和接入站A(AP1)211之间的连接就很有可能中断。这种将通信连接从一个接入站A(AP1)211转移到另一个接入站B(AP2)23的过程就称为切换。
在切换过程中，移动终端与接入站AP之间的通信链路很容易受到攻击。比如，在切换时，攻击者会伪装成合法的移动终端，请求接入新AP即移动终端准备切换的AP。如果新AP没能识别伪装，将攻击者作为合法移动终端接入，它就会将本来准备发送给合法移动终端的信息发送给攻击者。
公开号为WO0139538的专利文献提出了一种节省资源、减小时延的安全切换方法。其主要原理为：当移动终端切换到新的接入点后，新接入点发送挑战信息给移动终端，然后终端利用已经建立的安全联系中的相关信息对该挑战信息进行计算，并回送给新接入点。新接入点对回送结果进行计算，从而验证该移动终端是否已经建立安全联系。如果验证正确，新接入点可以直接利用从老接入点得到的安全联系信息，从而重用已经建立的安全联系。
该方法问题在于，由于对移动终端进行验证的功能在新接入点完成，因此在移动终端被验证身份之前，新接入点就必须从旧接入点获取所有原来安全联系相关的信息。如果移动终端验证不成功，就会造成浪费，并且会造成某些安全隐患。
公开号为US6370380B的专利文献也提出了一种安全切换方法。其主要原理为：在切换之前，老接入点发送一个安全标记给移动终端，移动终端切换到新接入点后，再通过无线发送给新接入点，接着老接入点也把同样的安全标记发送给新接入点。新接入点对安全标记进行验证，如果相同，则认为移动终端正确。
该方法和前一方法类似，仍然在新接入点对用户进行验证。
为此，本发明提出了一种在老接入点对切换用户进行认证的安全切换方法。
发明内容
本发明的目的在于提出了一种移动终端在无线局域网接入站间安全切换的方法，采用该方法后，可以使移动终端在切换过程中，防止攻击者假冒合法用户接入网络，从而提高了移动终端切换过程的安全，并有助于系统安全性的提高。
本发明是通过下面的方法实现的，该方法包括以下步骤：
移动终端在发起切换前，根据移动终端和当前连接接入站(AP)共享的信息组I计算出安全标记T。该信息组I可以是接入站(AP)和移动终端共享的任何信息，包括移动终端的MAC地址、IP地址，AP的MAC地址、IP地址，当前加密密钥，当前会话标识，或者切换前两者交换的信息。
该移动终端通过无线接口，向新AP即移动终端切换目的AP发起切换请求，并将安全标记T传递给新AP。该新AP将切换用户标识和安全标记T通过有线网络发送给旧AP即移动终端切换前连接AP。该切换用户标识也可以包含在安全标记T内，这样新AP只需要传递安全标记T。该旧AP根据同样的信息组I计算出安全标记T′，并同T进行比较，如果两者相同如图3所示，证明该用户为合法用户，通知新AP允许该用户切换，表示切换成功；若两者不相同如图4所示，则证明该用户为非法用户，通知新AP拒绝该用户切换，表示切换失败。
上述步骤为本发明的基本过程。在此基本过程的基础上可以增加很多改进措施：
该旧AP可以在移动终端切换前发送信息C给移动终端，作为计算安全标记T的共享信息组I或其中的一部分，或将信息C作为安全标记T。该信息C可以是任何字符序列，比如一个随机数。
该旧AP可以将信息C加密后传递给移动终端，并/或携带信息C的校验码，防止信息C传送过程中被窃取或篡改。该旧AP可以仅对校验码进行加密，也可以对整个信息，包括信息C和校验码进行加密，加解密密钥可以预先在移动终端和旧AP之间共享，也可以从公共密钥数据库得到。其中校验码可以使用哈希函数计算。
该移动终端可以将安全标记T加密后传递给新AP，并/或携带安全标记的校验码，防止安全标记在传递过程中被窃取或篡改。该移动终端可以仅对校验码进行加密，也可以对整个信息，包括安全标记和校验码进行加密，加密密钥是移动终端和旧AP之间的密钥，即加密后的安全标记只能由旧AP解密，新AP无需解密。其中校验码可以使用哈希函数计算。
该新AP可以将收到的安全标记加密后传递给旧AP，并/或携带安全标记的校验码，防止安全标记在传递过程中被窃取或篡改。该新AP可以仅对校验码进行加密，也可以对整个信息，包括安全标记和校验码进行加密，加密密钥是新AP和旧AP之间的密钥，即加密后的安全标记只能由旧AP解密。其中校验码可以使用哈希函数计算。
该信息C和安全标记T都可以携带时间戳，防止重放攻击。该旧AP收到带有时间戳的安全标记T后，应该计算出该时间戳离当前时刻的时间，如果该时间超过某个阈值，应该拒绝该切换用户的接入。时间戳可以加密后传递。
本发明的显著效果为：本发明通过在移动终端、新旧AP间传递安全标记，确认向新AP发出切换请求的用户确实曾经经过旧AP的认证，并曾同旧AP建立连接，从而防止攻击者在移动终端的切换过程中假冒切换用户接入网络，保护了移动终端的安全切换，提高了系统的安全性。
附图说明
图1是无线局域网构架的示意图；
图2是移动终端(MT)在接入点(AP)间切换的示意图；
图3是移动终端切换成功过程的示意图；
图4是移动终端切换失败过程的示意图；
图5是本发明实施例之一的示意图；
图6是本发明实施例之二的示意图；
图7是本发明实施例之三的示意图；
图8是本发明实施例之四的示意图；
图9是本发明实施例之五的示意图；
图10是本发明实施例之六的示意图。
具体实施方式
下面结合附图及实施例对本发明作进一步的详细说描述：
图5是本发明的实施例之一。在本实施例中，移动终端在发起切换前，首先从旧AP处得到信息C，作为计算安全标记T的其中一部分，该信息C可以是任何字符序列，比如一个随机数。并根据共享信息组I加上信息C计算得到安全标记T，其中信息组I可以是接入站(AP)和移动终端共享的任何信息，包括移动终端的MAC地址、IP地址，AP的MAC地址、IP地址，当前加密密钥，当前会话标识，或者切换前两者交换的信息。然后通过无线接口，向新AP发起切换请求，同时将安全标记T传递给新AP。该新AP将切换用户标识和安全标记T通过有线网络发送给旧AP，该切换用户标识也可以包含在安全标记T内，这样新AP只需要传递安全标记T。该旧AP根据同样的信息组I计算出安全标记T′，并与T进行比较，若两者相同，证明该用户为合法用户，通知新AP接入，即允许该用户切换，否则证明该用户为非法用户，通知新AP拒绝接入，即拒绝该用户切换。
图6是本发明的实施例之二。其基本过程与实施例一相似，只不过在本实施例中，移动终端发送安全标记T时进行加密，图中用Enc_MT_APO(T)表示，加密密钥是移动终端和旧AP之间共享的密钥，即加密后的安全标记只能由旧AP解密，新AP无需解密，并传递给新AP，防止安全标记在传递过程中被窃取或篡改。新AP收到后不做任何处理，直接转发给旧AP。旧AP首先解密，然后计算T′，并与T进行比较，如果相同则通知新AP接入，否则通知新AP拒绝接入。
图7是本发明的实施例之三。本实施例的过程与实施例二相似，首先旧AP发送信息C时，用它和移动终端共享的密钥进行加密，图中用Enc_MT_APO(信息C)表示，防止信息C在传递过程中被窃取或篡改。移动终端收到加密的信息C后，首先解密，然后根据信息I和C计算T。移动终端发送T时，附带T的哈希码作为校验码，图中用Hash(T)表示。该校验码用移动终端和旧AP共享的密钥加密。新AP收到后，转发给旧AP。旧AP首先解密，并检验哈希码是否正确。如果正确再计算T′，检验收到的T是否正确。只有两者都正确，旧AP才通知新AP接入用户。
图8是本发明的实施例之四。本实施例的过程与实施例三相似，不同的是，移动终端发送T时用它和旧AP共享的密钥加密。新AP收到加密后的T后，用它和新AP共享的密钥再次加密，图中用Enc_APO_APN(Enc_MT_APO(T))表示。旧AP收到后，要进行两次解密。
图9是本发明的实施例之五。本实施例的过程与实施例三相似，不同的是，移动终端发送T时，同时加上时间戳，防治重放攻击，并用它和旧AP共享的密钥加密，图中用Enc_MT_APO(T+TimeStamp)表示。移动终端收到后转发给旧AP，旧AP收到带有时间戳的安全标记T后，应该计算出该时间戳离当前时刻的时间，如果该时间超过某个阈值，应该拒绝该切换用户的接入。旧AP收到后先解密，然后计算T′，并与T进行比较，同时还要检查TimeStamp是否在允许范围内。只有两者都满足条件，才通知新AP接入用户。
图10是本发明的实施例之六。其基本过程与实施例一相似，只不过在本实施例中，直接将信息C作为安全标识，并且带上时间戳TimeStamp，并用旧AP独有密钥加密，图中用Enc_APO(信息C+TimeStamp)表示。移动终端以及新AP收到后仅做转发，最终到达旧AP。旧AP先解密，将发出的安全标识和收到的安全标识做比较，同时检查TimeStamp是否在允许范围内，若两者都满足条件，通知新AP接入该用户，否则通知新AP拒绝接入该用户。
以上是对本发明的较佳实施例的详细描述，使得本技术领域的人员能够理解和进行本发明。但是，对本发明的其他细节变化也应落在本发明的构思和范围内。
Claims (14)
1.一种移动终端在无线局域网接入站间安全切换的方法，其特征在于包含以下步骤：
a：移动终端在发起切换前，根据移动终端和当前连接接入站共享的信息组I计算出安全标记T；
b：所述移动终端通过无线接口，向新接入站即移动终端切换目的接入站发起切换请求，并将安全标记T传递给新接入站；
c：所述新接入站将切换用户标识和安全标记T通过有线网络发送给旧接入站即移动终端切换前连接接入站；
d：所述旧接入站根据同样的信息组I计算出安全标记T′；
e：所述旧接入站将T′同T进行比较，如果两者相同，则证明该用户为合法用户，通知新接入站允许该用户切换，否则通知新接入站拒绝该用户切换。
2.如权利要求1所述的一种移动终端在无线局域网接入站间安全切换的方法，其特征在于，所述信息组I可以是接入站和移动终端共享的信息，包括移动终端的MAC地址及IP地址，接入站的MAC地址及IP地址，当前加密密钥，当前会话标识，或者切换前两者交换的信息。
3.如权利要求1所述的一种移动终端在无线局域网接入站间安全切换的方法，其特征在于，所述步骤c中的切换用户标识也可以包含在安全标记T内。
4.如权利要求1所述的一种移动终端在无线局域网接入站间安全切换的方法，其特征在于，所述旧接入站可以在移动终端切换前发送信息C给移动终端，作为计算安全标记T的共享信息组I或其中的一部分，或将信息C作为安全标记T。
5.如权利要求4所述的一种移动终端在无线局域网接入站间安全切换的方法，其特征在于，所述信息C可以是任何字符序列。
6.如权利要求4所述的一种移动终端在无线局域网接入站间安全切换的方法，其特征在于，所述旧接入站可以将信息C加密后传递给移动终端，并/或携带信息C的校验码。
7.如权利要求4所述的一种移动终端在无线局域网接入站间安全切换的方法，其特征在于，所述信息C和安全标记T都可以携带时间戳。
8.如权利要求6所述的一种移动终端在无线局域网接入站间安全切换的方法，其特征在于，所述旧接入站可以仅对校验码进行加密，也可以对整个信息，包括信息C和校验码进行加密，加解密密钥可以预先在移动终端和旧接入站之间共享，也可以从公共密钥数据库得到。
9.如权利要求7所述的一种移动终端在无线局域网接入站间安全切换的方法，其特征在于，所述时间戳可以加密后传递。
10.如权利要求1所述的一种移动终端在无线局域网接入站间安全切换的方法，其特征在于，所述移动终端可以将安全标记T加密后传递给新接入站，并/或携带安全标记的校验码。
11.如权利要求10所述的一种移动终端在无线局域网接入站间安全切换的方法，其特征在于，所述移动终端可以仅对校验码进行加密，也可以对整个信息，包括安全标记和校验码进行加密，加密密钥是移动终端和旧接入站之间的密钥。
12.如权利要求1所述的一种移动终端在无线局域网接入站间安全切换的方法，其特征在于，所述新接入站可以将收到的安全标记加密后传递给旧接入站，并/或携带安全标记的校验码。
13.如权利要求12所述的一种移动终端在无线局域网接入站间安全切换的方法，其特征在于，所述新接入站可以仅对校验码进行加密，也可以对整个信息，包括安全标记和校验码进行加密，加密密钥是新接入站和旧接入站之间的密钥。
14.如权利要求6、10或12所述的一种移动终端在无线局域网接入站间安全切换的方法，其特征在于，所述校验码可以使用哈希函数计算。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN02136928.3A CN1254143C (zh) | 2002-09-10 | 2002-09-10 | 一种移动终端在无线局域网接入站间安全切换的方法 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN02136928.3A CN1254143C (zh) | 2002-09-10 | 2002-09-10 | 一种移动终端在无线局域网接入站间安全切换的方法 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| CN1482832A CN1482832A (zh) | 2004-03-17 |
| CN1254143C true CN1254143C (zh) | 2006-04-26 |
Family
ID=34146750
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| CN02136928.3A Expired - Fee Related CN1254143C (zh) | 2002-09-10 | 2002-09-10 | 一种移动终端在无线局域网接入站间安全切换的方法 |
Country Status (1)
| Country | Link |
|---|---|
| CN (1) | CN1254143C (zh) |
Families Citing this family (12)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN100401841C (zh) * | 2005-03-04 | 2008-07-09 | 华为技术有限公司 | 一种空闲切换的方法 |
| CN100403717C (zh) * | 2005-10-21 | 2008-07-16 | 华为技术有限公司 | 一种无线局域网中网络共享的方法 |
| CN101345995B (zh) * | 2007-07-12 | 2012-02-22 | 华为技术有限公司 | 终端跨网络切换方法、设备和系统 |
| CN101420726B (zh) * | 2007-10-26 | 2010-06-02 | 中兴通讯股份有限公司 | 实现连接状态下的接入网络间硬切换的方法 |
| CN101277528B (zh) * | 2008-03-24 | 2012-02-22 | 华为技术有限公司 | 一种增强网络通讯安全性的方法和无线接入设备 |
| JP4901800B2 (ja) * | 2008-04-14 | 2012-03-21 | 株式会社日立製作所 | 無線端末および基地局制御局ならびに無線通信システムにおけるハンドオフ制御方法 |
| CN101730093B (zh) * | 2009-02-20 | 2013-01-16 | 中兴通讯股份有限公司 | 安全切换方法及系统 |
| CN102271388B (zh) * | 2011-08-01 | 2017-09-29 | 中兴通讯股份有限公司 | 一种无线移动装置及其省电方法 |
| WO2013173988A1 (en) * | 2012-05-23 | 2013-11-28 | Nokia Corporation | A key derivation method and apparatus for local access under control of a cellular network |
| CN105430651A (zh) * | 2015-11-02 | 2016-03-23 | 上海斐讯数据通信技术有限公司 | 检测非法无线接入点的方法及系统 |
| CN106357496A (zh) * | 2016-10-28 | 2017-01-25 | 美的智慧家居科技有限公司 | 家用电器的切换控制方法、装置和云服务器 |
| DE102018203072A1 (de) * | 2018-03-01 | 2019-09-05 | Siemens Aktiengesellschaft | Verfahren und Anordnung zum gesicherten Übertragen einer Nachricht von einer Sendeeinrichtung zu einer Empfangseinrichtung |
-
2002
- 2002-09-10 CN CN02136928.3A patent/CN1254143C/zh not_active Expired - Fee Related
Also Published As
| Publication number | Publication date |
|---|---|
| CN1482832A (zh) | 2004-03-17 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| EP1414262B1 (en) | Authentication method for fast handover in a wireless local area network | |
| US9641494B2 (en) | Method and apparatus for handling keys used for encryption and integrity | |
| CN1268093C (zh) | 无线局域网加密密钥的分发方法 | |
| EP0998080B1 (en) | Method for securing over-the-air communication in a wireless system | |
| US8295488B2 (en) | Exchange of key material | |
| RU2424629C2 (ru) | Системы и способы для управления ключами в системах беспроводной связи | |
| US8831227B2 (en) | Method and system for establishing secure connection between stations | |
| EP2293610B1 (en) | Method and device for preventing loss of network security synchronization | |
| US8959333B2 (en) | Method and system for providing a mesh key | |
| KR100991522B1 (ko) | 휴대인터넷 시스템의 핸드오버용 보안 콘텍스트 전달 방법 | |
| JP2005110112A (ja) | 通信システムにおける無線通信装置の認証方法及び無線通信装置及び基地局及び認証装置。 | |
| CN1254143C (zh) | 一种移动终端在无线局域网接入站间安全切换的方法 | |
| US8929543B2 (en) | Enhanced key management for SRNS relocation | |
| KR20100080861A (ko) | Ｌｔｅ 모바일 유닛에서의 비접속 계층(ｎａｓ) 보안을 가능하게 하는 방법 및 장치 | |
| CN1249588A (zh) | 在无线通信系统中更新加密共享数据的方法 | |
| CN101518032A (zh) | 无线电信中的加密 | |
| US20110002272A1 (en) | Communication apparatus and communication method | |
| US20080176572A1 (en) | Method of handoff | |
| EP3182639B1 (en) | A method and apparatus for handling keys for encryption and integrity | |
| EP1406423B1 (en) | Network structure for encrypting of mobile communication system terminal and the method of realizing it | |
| JP2004207965A (ja) | 無線ｌａｎの高速認証方式及び高速認証方法 | |
| CN1200544C (zh) | 通信系统及其方法 | |
| CN116709338B (zh) | 一种能防御中间人MitM攻击的Wi-Fi存取点 | |
| KR20040063035A (ko) | 이동 전화망을 이용하는 공중 무선 랜의 접속 인증 방법 | |
| Cheng et al. | Token Based Authentication for Handover Security |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| C06 | Publication | ||
| PB01 | Publication | ||
| C10 | Entry into substantive examination | ||
| SE01 | Entry into force of request for substantive examination | ||
| C14 | Grant of patent or utility model | ||
| GR01 | Patent grant | ||
| ASS | Succession or assignment of patent right |
Owner name: HUAWEI DIGITAL TECHNOLOGY CO. Free format text: FORMER OWNER: HUAWEI TECHNOLOGY CO., LTD. Effective date: 20081010 |
|
| C41 | Transfer of patent application or patent right or utility model | ||
| TR01 | Transfer of patent right |
Effective date of registration: 20081010 Address after: No. 3, information road, Haidian District, Beijing Patentee after: Huawei Digit Technology Co., Ltd. Address before: Shenzhen province HUAWEI science and Technology Park Guangdong branch User Service Center Building Patentee before: Huawei Technologies Co., Ltd. |
|
| CP01 | Change in the name or title of a patent holder | ||
| CP01 | Change in the name or title of a patent holder |
Address after: 100085 Beijing, Haidian District on the road, No. 3 Patentee after: Beijing Huawei Digital Technology Co.,Ltd. Address before: 100085 Beijing, Haidian District on the road, No. 3 Patentee before: Huawei Digit Technology Co., Ltd. |
|
| CF01 | Termination of patent right due to non-payment of annual fee |
Granted publication date: 20060426 Termination date: 20200910 |
|
| CF01 | Termination of patent right due to non-payment of annual fee |