CN1744540A - 一种实现无线局域网接入的方法 - Google Patents

Abstract

本发明涉及一种实现无线局域网接入的方法，包括：A.在支持WAPI插件中设置登陆无线局域网所需的BSS数字证书列表、公私钥以及WAPI算法，并在无线移动终端设置支持该插件的接口；B.当STA进入AP的有效范围时，AP发起鉴别BSS标识鉴别激活；C.STA根据专用插件中的BSS证书列表判断其是否具备接入条件，如果具备，则进行接入鉴别，如果不具备，则拒绝该鉴别激活。本发明该插件中可存放多张证书，从而解决用户在两个或多个无线局域网之间交叉登陆上网的问题。

Description

一种实现无线局域网接入的方法

技术领域

本发明涉及通信领域，尤其涉及一种实现无线局域网接入的方法。

技术背景

由宽带无线IP标准工作组制定的WLAN(无线局域网)国家标准WAPI(无线局域网鉴别与保密基础结构)到2004年6月1号正式开始实行，并在中国国内销售使用的WLAN产品将强制推行WAPI标准。此标准在充分考虑和兼顾无线局域网产品互联互通的基础上，针对无线局域网的安全问题，给出了技术解决方案和规范要求。该标准的颁布将规范WLAN产品在我国的应用，将使WLAN技术在我国得到广泛发展，并将催生出许多新的市场商机。但在规范中存在一些薄弱环节，如：现有规范中STA(无线移动终端)无法自动支持多个BSS网络，易用性不强的问题；不能有效防止简单的存储转发攻击，易造成ASU(鉴别服务单元)阻塞。这些问题的存在将影响我国WLAN规范的推广与有效的应用实施。

WLAN国标规范中存在的一些薄弱环节如下：

1、当STA支持多个BSS(基本服务组)网络时，无法自动识别或必须用户手动干预，易用性不强。

在实际应用中，可能出现用户希望在两个或两个以上的无线局域网中登陆上网的应用需求。但在WLAN国标规范中没有规定接入无线网络的设备中存放的ASU颁发证书个数，也就无法满足用户登陆多个无线局域网的需求。

2、WAI鉴别基础结构中，不能有效防止简单的存储转发攻击，容易造成ASU的阻塞。

原规范P51页中关于“AP(英文：access point，解释：任何一个具有站点功能，通过无线媒体为关联的站点提供访问分布式服务的能力的实体。注：一般情况下称其为“无线接入点”)每次收到STA发送的接入鉴别请求时，设置该STA的状态为“已链路验证、已关联、未鉴别”，即鉴别过程重新开始。”

如果有恶意用户通过截获正常的STA向AP发送的证书鉴别请求，不断重发或简单修改后重发，可能使ASU处理鉴别请求的资源被占用，导致合法用户无法进行正常的身份确认过程，影响整个网络的运行。

发明内容

本发明的目的是在满足我国WLAN协议框架内有关安全套接层的应用服务需求的前提下，使用增加无线局域网移动终端支持WAPI专用插件的方法，解决网卡与AP等接入设备之间的安全问题，提供满足我国无线局域网规范的WAPI服务。

为此，本发明采用如下技术方案：

一种实现无线局域网接入的方法，其特征在于包括：

A、在支持无线局域网鉴别与保密基础结构(WAPI)插件中设置登陆无线局域网所需的BSS数字证书列表、公私钥以及WAPI算法，并在无线移动终端设置支持该插件的接口；

B、当无线移动终端(STA)进入无线接入点(AP)的有效范围时，AP发起鉴别BSS标识的鉴别激活；

C、STA根据专用插件中的BSS证书列表判断其是否具备接入条件，如果具备，则进行接入鉴别，如果不具备，则拒绝该鉴别激活。

所述的步骤C进一步包括：

C1、如STA载取得的证书列表中查找到有符合AP鉴别激活中BSS标识信息的证书，则STA选择此证书并生成新的鉴别请求。

所述的方法，进一步包括步骤：

D、以插件中的私钥进行签名，并将签名后的接入鉴别请求发送给AP；

E、如果AP鉴别通过，则接入STA；如果AP鉴别失败，则拒绝接入请求。

所述的步骤D进一步包括：

D1、采用本STA私钥将接入鉴别请求中的鉴别请求时间进行签名，并将签名后的鉴别请求发送给AP；

D2、AP采用该STA公钥验证该签名。

所述的步骤D进一步包括：

D3、判断该鉴别请求与上一次接入请求是否一致，如果一致，进入步骤D4；如果不一致，进入步骤D5；

D4、拒绝此次接入请求；

D5、鉴别通过。

所述的步骤D4进一步包括：

D41、AP验证签名，如果验证通过，则设置该STA的状态为“已链路验证、已关联、未鉴别”。

所述的步骤D，进一步包括：

D6、AP记录鉴别请求时间，并向ASU发送证书鉴别请求，并设置超时时间。

所述的方法，还包括在STA设置该插件的标准函数接口的步骤。

本发明通过支持WAPI专用插件以硬件或软件的产品形态实现WAPI部分的服务；该专用插件采用内置商密办WAPI专用算法，装载移动终端登录至无线接入点AP时所需的数字证书，并通过标准接口提供鉴权、签名、认证和加密的安全服务。本发明便于基于国际无线局域网技术或类似技术的STA产品方便、快速的提供符合我国标准要求的产品。当无此插件时，原无线网卡可接入普通的AP设备，满足国际漫游的需要。

支持WAPI专用插件独立发行，并可存放多张证书及可自动匹配的证书列表，从而解决用户在两个或多个无线局域网之间交叉登陆上网的问题。

本发明具有如下技术效果：

1、支持WAPI专用插件可独立发行，符合目前典型运营商典型的商业模式。

2、该插件提供了可互操作的标准接口，便于基于国际无线局域网技术或类似技术的STA产品更便于实施地达到符合《信息技术系统间远程通信和信息交换局域网和城域网特定要求第11部分：无线局域网媒体访问控制和物理层规范》要求的标准。

3、该插件可存放多张证书，从而解决用户在两个或多个无线局域网之间交叉登陆上网的问题。

附图说明

图1是本发明的支持WAPI专用插件的芯片的逻辑结构框图；

图2是本发明的支持WAPI专用插件与移动终端的通讯原理图；

图3是本发明的支持WAPI专用插件的工作流程；

图4是本发明的STA收到增加BSS标识的AP的鉴别激活的处理流程图；

图5是本发明的AP收到STA接入鉴别请求后的处理流程图；

图6是本发明的WAPI专用插件标准函数接口调用流程图；

图7是本发明的WAPI专用插件标准函数接口与其他部分关系示意图。

具体实施方式

下面结合说明书附图来说明本发明的具体实施方式。

一、支持WAPI专用插件的结构原理及工作流程说明：

支持WAPI专用插件是利用具有USB通讯接口的高速智能芯片为核心为用户提供满足我国无线局域网规范的WAPI服务的信息安全产品。该插件严格按照我国《无线局域网产品密码算法应用规范》实现GB 15629.11-2003使用的对称密码算法、椭圆曲线加密算法、椭圆曲线数字签名算法、杂凑算法和随机数产生算法，同时装载移动终端登录至AP时所需的数字证书，及生成、保存密钥协商阶段的临时WPI(无线局域网保密基础结构)会话密钥，并在支持WAPI专用插件中完成鉴权、签名、认证和加密的安全服务。

WPI是无线局域网保密基础结构，在我国GB 15629.11-2003《信息技术系统间远程通信和信息交换局域网和城域网特定要求第11部分：无线局域网媒体访问控制和物理层规范》中的第8章对其进行了详细的描述。其采用国家密码管理委员会办公室批准的用于WLAN的对称密码算法实现数据保护，对MAC(媒体访问控制)子层的MSDU(MAC服务数据单元)进行加、解密处理。在WAPI中通过WAI(鉴别基础结构)中的证书鉴别、单播密钥协商与组播密钥通告从而形成WPI会话密钥。)

支持WAPI专用插件的芯片是一个基于32位RISC处理器的高安全SOC芯片，具备高处理能力、高安全性、低功耗、低成本等特点。

如图1所示，是本发明中支持WAPI专用插件的芯片的逻辑结构框图。从图中可以看到本发明使用的芯片的关键特性：

1)处理器性能

●专门定制的高安全CPU核

○32位RISC

○5级流水线

○频率可变，主频可工作在100MHz以上

○硬件乘法协处理器

●整体安全概念，优异的安全性能和处理能力

●高性能CACHE

○1K字节指令CACHE

○1K字节数据CACHE

●存储管理和保护单元(MMU)

○可以配置关闭，关闭后支持段管理模式；

○最大支持128MB空间；

○面向应用的存储分区；

○支持可变页长，多级查找结构；

○支持虚拟存储空间管理；

○支持硬件安全访问控制，外围组件访问受控。

2)片上存储单元

●32KB EEROM用于数据和程序的存储空间

○可进行单字节的读、擦除、写；

○可进行单字节或多字节(最大64字节)的擦除、写；

○最少檫写次数30次；

○室温下数据保持时间最少10年；

○檫写性能

■单字节写时间：20us

■页檫除时间：4ms

○EEPROM编程电压在芯片内产生。

●128KB FLASH用于存储、函数库以及设备驱动存储空间

○128字节页的擦除、写；

○最少檫写次数2万次；

○室温下数据保持时间最少10年。

○檫写性能

■单字节写时间：20us

■页檫除时间：4ms

●RAM：8KB

3)外围组件

●硬件ECC协处理器

●硬件DES协处理器

○支持DES、3DES(2KEY和3KEY)算法的加密解密

○支持EBC模式和CBC模式的加密和解密

○优化的数据传送通道，端口数据加解密速度达到3Mbps(双向)

●高速真随机数发生器

○随机数发生码率为2Mbps

○通过国家密码管理委员会办公室测试

●USB接口

○支持USB1.1协议全速率

○支持三端点，每一个端点支持Buffer，端口利用率高

●1个串行接口

○符合ISO7816-3标准，时钟最大支持5MHz，速率最高支持310Kbps

●1个GPIO接口

●2个32位定时器

●内置振荡控制器和PLL，可外部接4MHz晶体

●支持上电复位

4)安全特性

●硬件存储管理和保护功能

●高低电压检测

●高低频率检测

●防止DPA/SPA攻击

●存储区域加密

●总线加扰

●时钟和复位信号脉冲过滤

●安全优化布线

●每一个芯片唯一序列号

5)电气特性

●整个芯片的功耗小于200mw(5V情况下)

●3级低功耗模式控制

○维持模式

○休眠模式

○掉电模式

●电源

○ISO模式：2.7-5.5V

○USB模式：3.6V-5.5V

●ESD保护：4000V以上

●Bond位置符合ISO7816-2规范

如图2所示，是本发明中支持WAPI专用插件与移动终端的通讯原理图，由图中可见，支持WAPI专用插件通过USB端口与移动终端进行数据信息的传递。

如图3所示，是本发明中支持WAPI专用插件的工作流程，由图中可见本发明的实现过程如下：

1、用户将支持WAPI专用插件安装入已配有无线网卡的用户端上，计算机操作系统检测到有此专用插件接入系统，并根据专用标识检查该插件是否为符合本发明规定的标准函数接口的插件。

2、如果确认该插件为符合本发明规定的标准函数接口的插件，则STA由该插件中取得BSS证书列表。

3、当STA进入一个BSS网络的AP的有效范围内时，AP发起鉴别激活，此时鉴别激活中增加BSS标识以便STA根据证书列表判断是否具备接入条件，避免无效的请求，提高网络的效率。

4、STA将利用支持WAPI专用插件中的私钥进行签名后的接入鉴别请求发送给AP，以便AP判断STA的真实性。

当受到简单的存储转发攻击时，AP应能过滤掉与上一次接入请求一致的请求，并通过验证签名过滤掉攻击性的请求，从而保证ASU可以高效的处理正常的证书鉴别请求，避免ASU的阻塞。

5、当完成证书鉴别过程后，进入密钥协商阶段。在此阶段中生成的临时WPI会话密钥保存在支持WAPI专用插件中，根据标准的加密、解密接口提供WPI服务。

二、解决当STA支持多个BSS网络时，无法自动识别或必须用户手动干预，易用性不强的说明：

本发明利用在AP的鉴别激活中增加BSS标识的方法解决以上问题。即当STA进入一个BSS网络的AP的有效范围内时，AP发起鉴别激活，此时鉴别激活中增加BSS标识以便STA根据证书列表判断是否具备接入条件，避免无效的请求，提高网络的效率。

将原规范更改如下：

●原规范P52页8.3.2.1.1鉴别激活分组中原文：“由AP发往STA，鉴别分组类型为0，分组中的数据内容为空。”

●更改为：“由AP发往STA，鉴别分组类型为0，分组中的数据内容如下图。”

颁发者名称

八位位组数

←6-256→

颁发者名称内容表示WAI证书内容定义中的颁发者名称字段。

如图4所示，是本发明中STA收到增加BSS标识的AP的鉴别激活的处理流程图，由图中可见本发明的实现过程如下：

当STA关联或重新关联至AP时，AP向STA发送鉴别激活，激活STA进行双向证书鉴别。

1、STA接收到AP发出的鉴别激活后，进行如下处理：

2、STA接收到AP的鉴别激活；

3、STA通过标准接口取得支持WAPI专用插件中的BSS证书列表；

4、若STA在取得的支持WAPI专用插件中的证书列表中查找到有符合AP鉴别激活中BSS标识信息的证书，则STA自动选择此证书，并生成新的接入鉴别请求，发给AP；否则STA丢弃该鉴别激活。

三、解决WAI鉴别基础结构中，不能有效防止简单的存储转发攻击，容易造成ASU的阻塞的说明：

本发明利用STA将接入鉴别请求进行私钥签名后发送给AP，以便AP判断STA的真实性的方法解决以上问题。即STA将接入鉴别请求中的鉴别请求时间利用本STA的私钥进行签名后发送给AP，AP接到鉴别请求时用STA的公钥验证数据签名，判断STA的真实性。当受到简单的存储转发攻击时，AP应能过滤掉与上一次接入请求一致的请求，并通过验证签名过滤掉攻击性的请求，从而保证ASU可以高效的处理正常的证书鉴别请求，避免ASU的阻塞。

将原规范更改如下：

●更改为：“AP每次收到STA发送的接入鉴别请求时，AP先判断其鉴别请求是否与上一次接入请求一致，如果一致则抛弃此请求；然后AP再验证签名，如果验证通过则设置该STA的状态为“已链路验证、已关联、未鉴别”，即鉴别过程重新开始；否则抛弃此请求。”

●原规范P52页中图50接入鉴别请求分组的数据字段的原图：

STA证书

鉴别请求时间

八位位组数：

←155-1300→←4→

更改为：

STA证书

鉴别请求时间

STA签名

八位位组数：

←155-1300→←4→←41-256→

STA签字内容表示STA利用私钥对接入鉴别请求中STA签名字段前所有的数据字段的签名。

如图5所示，是本发明中AP收到STA接入鉴别请求后的处理流程图，由图中可见本发明的实现过程如下：

AP接收到STA发来的接入鉴别请求后，进行如下处理：

1)AP接收到STA的接入鉴别请求；

2)AP验证SAT的签字是否有效，如STA签字出错，则丢弃该接入鉴别请求；

3)AP记录鉴别请求时间，然后向ASU发送证书鉴别请求，并设置超时时间。

四、解决未能明确WAPI接口的标准，对于典型商用模式下单独发行证书缺乏有效的支持，不能实现证书的独立发放的说明：

本发明利用增加STA端支持WAPI专用插件的标准函数接口的方法解决此问题。当STA接收到AP发出的鉴别激活开始，到完成证书鉴别过程后，进入密钥协商阶段，以及随后进行的加密、解密的WPI服务，STA均可利用本方案的WAPI标准函数接口实现与WAPI专用插件建立连接、WAPI专用插件模块的管理、WAPI专用插件模块的会话管理、WAPI专用插件模块的对象管理、WAPI专用插件模块的加密和解密操作、WAPI专用插件模块的摘要操作、WAPI专用插件模块的签名与验证操作、WAPI专用插件模块的生成密钥操作、WAPI专用插件模块的生成随机数等功能的调用。

如图6所示，是本发明中WAPI专用插件标准函数接口调用流程图。

如图7所示，是本发明中WAPI专用插件标准函数接口与其他部分关系示意图。

无线移动终端中无线网卡驱动层将需要进行鉴别与保密服务的信息数据通过调用专用插件的标准函数传送给支持WAPI专用插件进行处理，并取得处理结果。

以上所述，仅是本发明的较佳实施方式，但本发明保护范围并不仅限于此，任何熟悉该技术的人在本发明所揭露地技术范围内，可以轻易想到的变化或替代，都涵盖在本发明的保护范围之内，本发明保护范围以权利要求书为准。

Claims (8)

1、一种实现无线局域网接入的方法，其特征在于包括：

A、在支持无线局域网鉴别与保密基础结构(WAPI)插件中设置登陆无线局域网所需的BSS数字证书列表、公私钥以及WAPI算法，并在无线移动终端设置支持该插件的接口；

B、当无线移动终端(STA)进入无线接入点(AP)的有效范围时，AP发起鉴别BSS标识的鉴别激活；

C、STA根据专用插件中的BSS证书列表判断其是否具备接入条件，如果具备，则进行接入鉴别，如果不具备，则拒绝该鉴别激活。

2、如权利要求1所述的方法，其特征在于所述的步骤C进一步包括：

C1、如STA载取得的证书列表中查找到有符合AP鉴别激活中BSS标识信息的证书，则STA选择此证书并生成新的鉴别请求。

3、如权利要求1所述的方法，其特征在于进一步包括步骤：

D、以插件中的私钥进行签名，并将签名后的接入鉴别请求发送给AP；

E、如果AP鉴别通过，则接入STA；如果AP鉴别失败，则拒绝接入请求。

4、如权利要求3所述的方法，其特征在于所述的步骤D进一步包括：

D1、采用本STA私钥将接入鉴别请求中的鉴别请求时间进行签名，并将签名后的鉴别请求发送给AP；

D2、AP采用该STA公钥验证该签名。

5、如权利要求4所述的方法，其特征在于所述的步骤D进一步包括：

D3、判断该鉴别请求与上一次接入请求是否一致，如果一致，进入步骤D4；如果不一致，进入步骤D5；

D4、拒绝此次接入请求；

D5、鉴别通过。

6、如权利要求5所述的方法，其特征在于所述的步骤D4进一步包括：

D41、AP验证签名，如果验证通过，则设置该STA的状态为“已链路验证、已关联、未鉴别”。

7、如权利要求6所述的方法，其特征在于所述的步骤D，进一步包括：

D6、AP记录鉴别请求时间，并向ASU发送证书鉴别请求，并设置超时时间。

8、如权利要求1所述的方法，其特征在于还包括在STA设置该插件的标准函数接口的步骤。

Images