CN1838594A - 用于适应认证的系统和方法 - Google Patents

用于适应认证的系统和方法 Download PDF

Info

Publication number
CN1838594A
CN1838594A CNA2006100658191A CN200610065819A CN1838594A CN 1838594 A CN1838594 A CN 1838594A CN A2006100658191 A CNA2006100658191 A CN A2006100658191A CN 200610065819 A CN200610065819 A CN 200610065819A CN 1838594 A CN1838594 A CN 1838594A
Authority
CN
China
Prior art keywords
network
authentication
information processing
processing system
wireless
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CNA2006100658191A
Other languages
English (en)
Other versions
CN1838594B (zh
Inventor
H·M·埃尔南德斯
R·L·温特
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Dell Products LP
Original Assignee
Dell Products LP
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Dell Products LP filed Critical Dell Products LP
Publication of CN1838594A publication Critical patent/CN1838594A/zh
Application granted granted Critical
Publication of CN1838594B publication Critical patent/CN1838594B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • H04L63/205—Network architectures or network communication protocols for network security for managing network security; network security policies in general involving negotiation or determination of the one or more network security mechanisms to be used, e.g. by negotiation between the client and the server or between peers or by selection according to the capabilities of the entities involved
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L69/00—Network arrangements, protocols or services independent of the application payload and not provided for in the other groups of this subclass
    • H04L69/18—Multiprotocol handlers, e.g. single devices capable of handling multiple protocols
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials

Abstract

使用以前用于认证网络通信的客户设备的认证方法/多种方法的一个或多个特点、用于在网络中认证客户设备的系统和方法。

Description

用于适应认证的系统和方法
技术领域
本发明一般涉及网络，更特别是涉及网络环境中的设备认证。
背景技术
由于信息的价值和使用持续增长，个人和企业都在寻找对信息进行处理和存储的其他方式。一种对于用户有用的可选项是信息处理系统。信息处理系统通常对信息或数据进行处理、编辑、存储和/或传递，用于企业、个人或其他目的，从而使用户对信息的价值加以利用。由于技术和信息处理对于不同的用户或应用有不同的需要和要求，所以信息处理系统还可以对以下情况进行不同的对待，即，被处理的信息是什么，信息是怎样被处理的，有多少信息被处理、存储或传递，以及信息可以被处理、存储或传递得多么快速和有效。信息处理系统的变化使得信息处理系统可以是通用的，或被配置用于特殊用户或例如财政事物处理、航班预约、企业数据存储或全球通讯的特殊使用。此外，信息处理系统可以包括多个硬件和软件组件，其可以被配置成对信息进行处理、存储和传递，还可以包括一个或多个计算机系统、数据存储系统和网络系统。
在典型的无线网络中，无线信息处理系统设备在被准予接入网络设备之前必须得到认证。为了完成该任务，可以建立以认证服务器或其他类型的网络认证设备的形式进行配置的信息处理系统，用于以安全模式和算法的形式支持多种无线认证方法。作为客户与网络认证设备进行通信的给定无线信息处理系统通常被建立成使用这些无线认证方法之一。当认证无线客户时，认证设备必须花费时间以循环(cyclethrough)全部无线认证方法，直到它发现受到客户支持的正确的无线认证方法时为止。
在一种传统的网络认证方案中，用于无线客户设备的边缘认证可以通过无线接入点(无线转换或无线接入点)进行实施，其中无线接入点支持多种不同的认证方法，并在允许接入可以产生其他认证的核心网络之前为给定客户选择正确的认证方法。可扩展认证协议(EAP)是用于允许网络接入的标准机制，并以互联网工程工作组(IETF)请求注解(RFC)3746进行限定。EAP限定了使用认证机构(通常是远程认证拨号用户服务(RADIUS)服务器)用于请求并允许网络接入的过程。EAP是用于认证的机制，但是认证说明(authentication specifies)在EAP框架内被支持(carried)。随后，EAP框架在第二层有线或无线(802.11)网络中、在IEEE 802.1X框架内被支持。图1示出了在现有技术中在给定客户设备和无线网关接入点之间被实践的传统802.1X和EAP认同融合方案(identity convergence scheme)，其中无线网关接入点跟随在客户设备与接入点的关联(association)之后。如下所述，对所需认证方法的融合可以进行多次尝试，每次尝试由EAP请求/响应对表示。
在图1中，接入设备必须通过重复传输EAP认同请求，“猜测”由给定无线客户设备所使用的EAP认证方法，每个请求包括不同类型的EAP认证方法(类型(TYPE))。当所接收的EAP认同请求不包含对给定无线客户设备而言正确类型的EAP认证方法时，无线客户以包含否定确认(NAK)的EAP认同响应对各EAP认同请求做出响应。该过程持续进行任意所需次数，直到产生EAP融合(即，在客户设备和网关设备之间同意特殊的EAP认证方法)为止，并且无线客户以包含由客户使用的正确EAP认证方法的肯定确认(类型)的EAP认同响应对特殊的EAP认同请求做出响应。由于EAP协议最大支持256种认证方法(目前已知有超过50种认证方法由EAP所使用)，所以对于要产生的EAP融合可能占用相当大量的时间。由于这种反复实验的方法，使用基于传统的802.IX和EAP(可扩展认证协议)方法的无线认证融合可能消耗相当大量的时间，同时许多无线设备(语音，视频)却需要低等待时间的认证。
发明内容
这里所公开的是在网络中对作为客户设备的信息处理系统进行认证的系统和方法。使用所公开的系统和方法，由给定客户设备(例如，无线客户设备)以前使用的一种认证方法/多种认证方法(例如，认证模式/多种模式和算法/多种算法)的一个或多个特点可以由网络认证设备(例如，认证服务器，无线网关接入点等)进行存储，以便由认证设备在选择用于与给定客户设备进行通信的认证方法时使用。这种认证方法的特点包括、但不限于，认同由给定客户所使用的最近的认证方法、由给定客户所使用的两种或更多种不同认证方法的相对使用频率、由给定客户所使用的两种或更多种不同认证方法的使用模式(pattern)以及它们的组合等。有利的是，所公开的系统和方法可以在一个实施例中进行实施，以相对于由传统方法所需要的融合时间而言，缩短需用于获得认证融合所需的时间。
在一个示例性实施例中，高速缓存(cache)机制可以在无线认证设备上进行实施，以存储由无线认证设备所使用的最近的无线认证方法(例如，认证模式和算法)，以认证给定无线客户设备。下一次给定无线客户设备希望利用无线认证设备进行认证时，无线认证设备可以默认为所存储的无线认证方法，以通过更快识别由给定无线客户设备当前使用的正确的认证方法而尝试缩短认证时间。例如，无线设备可以高速缓存或保存由EAP交换(exchange)所选择的最近的认证方法，并把该EAP方法在未来的认证方法选择事件用作第一尝试。在一个实施例中，所公开的系统和方法可以实施成在与认证方法相似(homogeneous)的无线网络中使用，以便高速缓存EAP方法，并以符合标准的方式在无线设备和认证无线认证设备(例如，接入点)之间组织(streamline)EAP方法融合。
在另一个实施例中，无线认证设备可以相对于其他无线认证方法/多种方法，另外或可选地跟踪(例如，使用计数器/多个计数器)给定无线客户使用给定无线认证方法(例如，认证模式和算法)的频率或次数。在这种实施中，无线认证设备可以使用所跟踪的给定无线认证方法的相对使用频率对两种或更多种不同认证方法进行优先顺序排列。例如，如果最近的无线认证方法不是对于由无线客户设备所使用的当前认证方法的正确匹配，则无线认证设备可以接着以所跟踪的相对使用频率的次序对剩下的可能无线认证方法进行尝试，直到找到正确的当前无线认证方法为止。可选地，无线认证设备可以通过以所跟踪的相对使用频率的次序来尝试可能的无线认证方法而开始，而不是开始于由给定无线客户最近使用的无线认证方法。
在一方面，这里所公开的是一种与信息处理系统进行通信的方法，该方法包括：选择网络认证方法；并把选择的网络认证方法的认同传递给信息处理系统，其中，认证方法基于以前用于认证网络通信的信息处理系统的至少一种认证方法的一个或多个特点进行选择。
在另一个方面，这里所公开的是一种与配置为客户设备的第一信息处理系统进行通信的方法，该方法包括：把以前由网络认证设备用于认证有线或无线网络通信的客户设备的至少一种认证方法的一个或多个特点存储在配置为网络认证设备的第二信息处理系统的存储器中；通过有线或无线通信，在网络认证设备中接收来自客户设备的的认证请求；基于存储在网络认证设备的存储器中的、由网络认证设备以前用于认证有线或无线网络通信的客户设备的至少一种认证方法的一个或多个特点，选择第一网络认证方法；并且通过有线或无线通信，把第一选择的网络认证方法的认同传递给客户设备。
在又一方面，这里所公开的是一种信息处理系统，该信息处理系统被配置为：基于以前用于认证网络通信的客户信息处理系统的至少一种认证方法的一个或多个特点对网络认证方法进行选择；并把选择的网络认证方法的认同传递给客户信息处理系统。
附图说明
图1示出无线客户设备和无线网关接入点之间传统的认同融合方案；
图2是根据所公开的系统和方法的一个示例性实施例的联网环境的简化图；
图3是根据所公开的系统和方法的一个示例性实施例的联网环境的简化图；
图4示出根据所公开的系统和方法的一个示例性实施例的、在认证设备和客户设备之间通信的简化框图；
图5示出了根据所公开的系统和方法的一个示例性实施例的认证方法的流程图；
图6示出了根据所公开的系统和方法的一个示例性实施例的、在无线客户设备和无线网关接入点之间的认同融合方案；
具体实施方式
图2是根据一个示例性实施例的联网环境200的简化图，其中，可以对所公开的系统和方法进行实施，以认证有线和无线网络设备两者。如图所示，联网环境200包括多个示例性无线和有线设备，它们可以被配置成分别通过无线或有线通信而相互之间进行通信。虽然无线和有线设备都被示出，但将会理解，所公开的系统和方法可以实施成在任何类型的联网环境，例如仅包括无线设备的联网环境或仅包括有线设备的联网环境中，用于认证用于联网通信的设备。此外，所公开的系统和方法可以实施成在多种联网环境类型(例如家庭联网环境、办公室联网环境等)中用于认证网络通信。
在图2的示例性实施例中，联网环境200包括无线客户设备210和212，其被示为便携式信息处理系统，分别具有笔记本计算机和个人数据助理(PDA)的形式。联网环境200还包括具有台式计算机形式的有线客户设备206。如图所示，各无线客户设备210和212都被配置成通过无线接入点208和网络交换机202与联网环境200的其他设备进行通信。有线客户设备206被示为配置成通过交换机202与联网环境200的其他设备进行通信。认证设备204被示出与交换机202相连，用于与联网环境200的有线或无线客户设备通信。在图2所示出的实施例中，认证设备204被示为认证服务器(例如，RADIUS服务器)，其被连接成通过硬件连接到网络交换机202与其他的网络设备进行通信。
对于图2的示例性配置，将会理解，所示出的无线和有线客户设备的数量和类型仅为示例性的，而所公开的系统和方法可以使用在给定联网环境中适合配置用于有线和/或无线通信的任何其他数量和/或类型/多种类型的信息处理系统进行实践。此外，将会理解，网络交换机202、无线接入点208和认证服务器204的特别示出的配置也仅仅是示例性的，并且可以使用任何其他适当配置的网络通信和认证设备/多个设备，例如，配置为执行无线接入点、网络路由器和认证设备的任务的单一的普通设备。
例如，图3示出了联网环境300的简化图，其中，所公开的系统和方法可以实施在另一个示例性实施例中，以执行用于网络设备的边缘认证。如图所示，联网环境300包括多个示例性无线客户设备310、312和314，它们可以被配置成通过认证设备302经由无线通信在相互之间进行通信，认证设备302也被配置成作为无线网关接入点，例如802.1X接入点进行工作。如图所示，通过在核心网络320中经由有线连接，把认证设备302连接到认证服务器304(例如，RADIUS服务器)。认证设备302被配置成接收来自无线设备310、312和314的认证请求，并通过与请求的客户设备交换信息而执行边缘认证，以便在允许无线客户接入核心网络320之前，融合正确的认证方法，其中无线设备310、312和314不识别由请求的客户设备所使用的认证方法。在所示出的实施例中，认证服务器304被配置成在给定客户设备310是边缘认证的并被允许通过认证设备302接入核心网络320之后，执行核心网络认证任务(例如，用户确认等)。在核心网络320中还被示出进行通信的是无线客户设备312和314，它们在之前已经被许可接入核心网络320。
虽然无线和有线设备都被示出，如图2和图3的联网环境中所示的那样，但是将会理解，所公开的系统和方法可以实施成在任何其他类型的联网环境中(例如在仅包括无线设备的联网环境中或仅包括有线设备的联网环境中)认证联网通信的设备。此外，所公开的系统和方法可以实施成在多种联网环境类型(例如家庭联网环境、办公室联网环境等)中认证网络通信。
图4示出了根据所公开的系统和方法的一个示例性实施例的、在认证设备402和客户设备420之间通信的简化框图。虽然设备402和420在图4中被示为进行无线通信，但是将会理解，认证设备402和420之间的通信可以可选地经由有线连接。在这方面，无线认证设备402的认证能力可以用于表示图2的认证服务器204或图3的无线网关接入点302的能力。
在图4示出的实施例中，无线认证设备402被示为配置有处理器406，其与存储器408相连接，并被配置为经由所连接的无线网络接口卡(NIC)404和天线414接收并产生网络通信。同样，无线客户设备420被示为配置有处理器424，其与存储器426相连接，并被配置为经由所连接的无线网络接口卡(NIC)422和天线428接收并产生网络通信。存储器408和426可以是任何适合的存储器设备(例如，固态存储器、硬盘等)或存储器设备的组合，其适于存储对于实现这里要进一步描述的所公开的系统和方法的特点而言所必须和期望的信息。同样，处理器424可以是任何处理设备/多个设备(例如，微处理器、微控制器等)，其适于把信息恢复或存储到相连的存储器设备，并执行对实现这里要进一步描述的所公开的系统和方法的特点而言所必须和期望的算法或程序。NIC 404和428可以是适于经由天线414和428在无线认证设备402和无线客户设备420之间实现无线网络通信的任何网络接口卡或网络适配器组件，应该明白，有线网络实施例可以通过使用NIC组件进行实施，该NIC组件适于在有线认证设备和有线客户设备之间进行有线网络通信。
在该实施例中，无线客户设备420的处理器424和存储器426被配置成执行至少一种无线认证方法(例如，安全模式和/或算法)，以便产生认证信息，其经由NIC 428传递给认证设备402。无线认证设备402被配置成使用在处理器406上执行的两种或更多种不同的无线认证方法(例如，安全模式和/或算法)，处理通过天线414和NIC 404从无线通信设备420所接收的认证信息。
仍参考图4，无线认证设备402能够支持多种无线认证方法416，例如，对于不同的无线客户设备和/或用户的相应于不同类型和/或品牌的客户设备、不同的网络策略(例如，安全级或工作组策略)，等。这些多个无线安全方法416可以存储在无线认证设备402的存储器408中，并被选择和用作必须项，以在动态的按需的基础(as-needed basis)上，认证不同的无线客户设备和/或用户。表1是能够被存储在无线认证设备402的存储器408中的无线认证方法416的示例性列表，并且该表并不全面，应该理解，所存储的无线认证方法416的数量可以更多或更少，和/或可以在存储器408中存储不同类型的无线认证方法。
                          表1-认证方法
  安全类型   网络认证算法   隧道协议   数据加密方法   网络认证模式   高速缓存进入ID
  无   开放(open)   N/A   有线等效加密(WEP)   N/A   1
  无   2
  基本   共享   N/A   WEP   N/A   3
  无   4
  Wi-Fi保护的接入预共享密钥(WPA-PSK)   N/A   WEP   N/A   5
  临时密钥完整性协议(TKIP) 6
  高级加密标准(AES)   7
  高级   信息摘要算法5(MD5)   N/A   WEP   802.1x   8
  Cisco密钥完整性协议(CKIP) 9
  轻权重可扩展身份验证协议(LEAP)   N/A   WEP   802.1x，Cisco集中密钥管理(CCKM) 10
  CKIP   802.1x，Cisco兼容的扩展(CCX)，CCKM 11
  TKIP   Wi-Fi保护的接入(WPA)，CCKM 12
  传输层安全(TLS)   N/A   WEP   802.1x   13
  CKIP   802.1x   14
  TKIP   WPA   15
  AES   WPA   16
  受保护的可扩展身份验证协议(PEAP)   通用令牌卡(GTC)，TLS，微软邀请-握手认证协议(MS-CHAP)v2   WEP   802.1x   17
  CKIP   802.1x   18
  TKIP   WPA   19
  AES   WPA   20
  隧道传输层安全(TTLS)   密码认证协议(PAP)，挑战-握手认证协议(CHAP)，MD5，MS-CHAP v2   WEP   802.1x   21
  CKIP   802.1x   22
  TKIP   WPA   23
  AES   WPA   24
如表1所示，该示例性无线认证实施例的每种无线认证方法可以选择成对应于以下认证特点的特殊组合，即，无线局域网(WLAN)安全类型(例如，无、基本或高级)、网络认证算法、隧道协议、数据加密方法和网络认证模式。不过，将会理解，在其他实施例中，单独的有线或无线认证方法可以对应于可适于在给定无线联网环境中用于实施所公开的系统和方法的一个或更多个特征的任何其他认证特点或认证特点的组合。在一个示例性实施例中，包含在表1中的信息可以作为认证方法查找表在无线认证设备402的存储器408中进行存储。在这种情况下，高速缓存进入标识符(ID)可以用于识别受到无线认证设备402支持的认证特点的每个组合。
如图4所示，无线认证设备402的存储器408还可以包括认证高速缓存412，其用于保持涉及被无线客户设备420和其他无线客户设备420(如果存在)所使用的认证方法/多种方法的识别的信息，例如，由各无线客户设备420以前使用的全部认证方法的列表、由各无线客户设备420最后使用的认证方法、由各无线客户设备420所支持的全部认证方法的列表等。存储器408还可以包括可选的计数器410，用于跟踪对于由各无线客户设备420所使用的各无线认证方法(例如，算法和模式)的使用频率或累积的使用次数。
表2示出了认证方法跟踪表的示例性实施例，其可以由用于多个无线客户设备420的无线认证设备402的可选计数器410(当存在时)进行保持。如表2所示，使用计数器(例如，从最后的系统启动以来)可以为各无线客户设备420(例如，客户A、客户B等)、对由给定无线客户设备420所使用的各无线认证方法进行保持。在所示出的实施例中，对于由各无线客户设备420所使用的各认证方法的最后的使用日期和时间还可以保持时间标记(stamps)，虽然这不是必须的。如表所示，表2包括高速缓存进入标识符(ID)，其对应于表1的高速缓存进入标识符，其用于允许识别包括在表2中的各无线认证方法。
                            表2-认证方法跟踪
  高速缓存进入ID                    客户A                  客户B
  自最后启动以来的使用计数器   最后使用的日期标记   最后使用的时间标记   自最后启动以来的使用计数器   最后使用的日期标记   最后使用的时间标记
  1   1   2/14/2003   13:15   0
  2   2   3/1/2004   8:00   0
  3   0   0
  4   0   2   6/12/2003   16:15
  5   0   3   5/12/2003   15:30
表3示出了认证方法高速缓存信息表，其可以根据所公开的系统和方法的一个示例性实施例保持在无线认证设备402的高速缓存412中。如表所示，表3包括对应于以前已经由无线认证设备402认证过(或可能尝试认证)的各无线客户设备A到Z的各标识符A到Z。在该示例性实施例中，表3的认证模式高速缓存结构包括对于各无线客户设备A到Z的最后使用的(LU)认证方法的高速缓存进入识别符，以及对于各无线客户设备A到Z的最常使用的(MU)认证方法的高速缓存进入识别符。
       表3-认证方法高速缓存
客户介质接入控制(MAC)地址 LU高速缓存进入ID MU高速缓存进入ID
A 2 2
B 5 4
· · ·
· · ·
· · ·
Z 6 2
图5示出了认证算法500的流程图，其可以根据所公开的系统和方法的一个示例性实施例进行实施，例如，作为无线客户设备和无线认证设备之间的握手操作部分。算法500可以例如由认证服务器204进行实施，以认证图2的有线客户设备206和/或无线客户设备210和212。不过，将会理解，类似的算法可以由使用无线和/或有线通信的其他类型的认证设备，例如由用于边缘认证目的的图3的无线网关接入点302进行实施。
如图所示，认证算法开始于步骤502，在该步骤中，处于等待的认证服务器接收来自给定客户的认证请求。认证请求不识别由给定客户使用的认证方法。作为对认证请求的响应，认证服务器在步骤504中访问认证方法高速缓存信息(例如，在图4的认证高速缓存412中所包含的表3的信息)，并查找最后使用的(LU)高速缓存进入标识符(ID)，其对应于用于已请求认证的给定客户的MAC地址的最后使用的认证方法。在步骤506中，认证服务器访问认证方法信息(例如，在图4的认证方法信息416中所包含的表1的信息)，并查找最后使用的认证方法，其对应于在步骤504中获得的LU高速缓存进入标识符。在步骤508中，认证服务器把认同请求发送给给定客户，其包含在步骤506中获得的最近使用的认证方法。仍参考图5，请求的客户设备接收在步骤506中从认证服务器发送的认同请求，并在步骤510中确定包含在认同请求中的最后使用的认证方法是否与当前客户认证方法配置匹配。如果包含在认同请求中的最后使用的认证方法与当前客户认证方法配置匹配，则客户设备在步骤512中以肯定的认同响应对认证服务器做出响应，并且认证服务器随后从认证方法存储器416中选择认证方法(例如，认证模式和算法)，并认证给定请求的客户设备。
在步骤514中，认证服务器利用高速缓存进入标识符更新认证方法高速缓存信息(例如，在图4的高速缓存412中所包含的表3的信息)的LU高速缓存进入标识符，其中，所述高速缓存进入标识符对应于在步骤512中使用的、用于给定客户的认证方法的认同。在步骤514中，认证服务器还更新包含在认证方法跟踪信息(例如，在图4的计数器410中所包含的表2的信息)中的累积使用次数(其反映累积的使用次数)和时间标记，所述认证方法跟踪信息对应于在步骤512中用于给定客户的认证方法。在步骤516中，认证服务器利用高速缓存进入标识符更新认证方法高速缓存信息(例如，在图4的高速缓存412中所包含的表3的信息)的MU高速缓存进入标识符，所述高速缓存进入标识符对应于在步骤512执行之后用于给定客户的最常使用的认证方法。在此处，算法500终止，而认证服务器等待在步骤502中从客户设备接收的下一个认证请求，算法500在步骤502处重新开始，以处理下一个认证请求。
回到图5的步骤510，如果包含在认同请求中的最后使用的认证方法与当前客户认证方法配置不匹配，则客户设备以步骤518中被认证服务器接收的否定的认同响应做出响应。基于在步骤518中所接收的否定的认同响应，认证服务器在步骤520中访问认证方法高速缓存信息(例如，在图4的认证高速缓存412中所包含的表3的信息)，并查找最常使用的(MU)高速缓存进入标识符(ID)，其对应于已请求认证的给定客户的MAC地址的最常使用的认证方法。在步骤522中，认证服务器访问认证方法信息(例如，在图4的认证方法信息416中所包含的表1的信息)，并查找最常使用的认证方法，其对应于在步骤520中获得的MU高速缓存进入标识符。在步骤524中，认证服务器把认同请求发送给给定客户，其包含在步骤522中获得的最常使用的认证方法。
仍参考图5，请求的客户设备接收在步骤524中从认证服务器发送的认同请求，并在步骤526中确定包含在认同请求中的最常使用的认证方法是否与当前客户认证方法配置匹配。如果包含在认同请求中的最常使用的认证方法与当前客户认证方法配置匹配，则客户设备在步骤512中以肯定的认同响应对认证服务器做出响应，并以上述方式完成步骤514和516。不过，如果包含在步骤524中发送的认同请求中的最常使用的认证方法与当前客户认证方法配置不匹配，则客户设备在步骤528中以否定的认同响应做出响应。
基于在步骤528中所接收的否定的认同响应，认证服务器在步骤530中默认成这种连续的过程，即，选择各认证方法，并对于这些所选择的认证方法一次一个地发送认同请求，直到客户设备以肯定的认同响应对认证服务器做出响应(图5中未示出)。基于从客户设备所接收的这种肯定的认同响应，认证服务器随后从认证方法存储器416中选择认证方法(例如，认证模式和算法)，并认证给定的请求客户设备。此时，LU高速缓存进入ID、MU高速缓存进入ID和使用计数器以及时间标记可以用类似于在步骤514和516中所描述的方式进行更新。在此处，认证服务器等待在步骤502中从客户设备接收的下一个认证请求，算法500在步骤502处重新开始，以处理下一个认证请求。
将会理解，图5的算法500仅是示例性的，而所公开的系统和方法可以利用与算法500中所包括的相比增加或减少的步骤、和/或使用可选的步骤顺序在其他实施例中进行实施。例如，有可能实施类似于算法500的认证方法，其使用任一个或多个适当的认证方法特点，以选择用于与给定客户设备进行通信的认证方法，例如，仅使用最后使用的(LU)认证信息，仅使用最常使用的(MU)认证信息，或使用最常使用的(MU)认证信息，以在使用最后使用的(LU)认证信息之前选择可能的认证方法。此外，将会理解，有必要默认成如在步骤530中所描述的连续的认证方法选择过程，和/或一个或多个其他认证方法特点可以用在对与给定客户设备进行通信的认证方法的选择中，例如，在最后使用的认证信息之后使用，在最常使用的认证信息之后选择，等。
将会理解，算法500可以被配置成当高速缓存(例如，图4的认证高速缓存412)不包含用于给定认证-请求客户设备(例如，给定客户第一次请求认证)的以前的认证信息时，使用任何适当的认证方法确定方法。例如，如果在步骤504和/或520中没有发现用于给定客户设备的高速缓存进入标识符(ID)信息，算法500可以跳过步骤530，用于对给定客户设备的认证方法的第一次选择。在使用认证方法对给定无线客户进行第一次进行认证之后，LU高速缓存进入ID、MU高速缓存进入ID和使用计数器以及时间标记可以用类似于在步骤514和516中所描述的方式进行更新。如果有必要，可以把客户设备MAC地址加入存储器，如果以前没有出现过。
图6示出了根据所公开的系统和方法的一个示例性实施例的802.1X和EAP认同融合方案，其可以在给定客户设备和无线网关接入点设备之间进行实施，其中无线网关接入点跟随在客户设备与接入点的关联之后。在此实施例中，无线网关接入点已经高速缓存了在未来EAP交换中使用的先前认证方法信息。如图6所示，接入点设备开始于通过基于以前由给定客户设备(例如，使用类似于在图5中所示出和描述的方法)所使用的认证方法/多种方法的一个或多个特点对EAP认证方法进行选择，然后传输包含选择的EAP认证方法(类型)的EAP认同请求。无线客户以EAP认同响应对该第一EAP认同请求做出响应，所述EAP认同响应包含由客户使用的正确EAP认证方法的肯定类型(类型)。
因此，在图6的示例性实施例中，有利的是，对正确认证方法的融合仅进行一次尝试，即，由单一的EAP请求/响应对表示。这与通常被图1的传统方法所需的、以获得对正确认证方法的融合的多次尝试(以及响应的多个EAP请求/响应对)形成对照。虽然将会理解，在某些情况下，当使用所公开的系统和方法时，有可能进行多于一次的尝试(即，多于一个EAP请求/响应对)，以获得对正确认证方法的融合，但是与使用例如在图1中所示出和描述的传统方法相比，其将通常需要更少次的尝试(以及更少的处理时间)，以获得与所公开的系统和方法的融合。
为了此次公开的目的，信息处理系统可以包括可操作地进行计算、分类、处理、传输、接收、恢复、产生、转换、存储、显示、表明、检测、记录、再现、处理的任何手段(instrumentalities)或手段的集合体，或可以利用任何形式的信息、智力或用于企业、科学、控制、娱乐或其他目的的数据。例如，信息处理系统可以是个人计算机、PDA、用户电子设备、网络存储设备或任何其他合适的设备，并可以在尺寸、形状、性能、功能性和价格上不同。信息处理系统可以包括存储器、例如中央处理单元(CPU)或硬件或软件控制逻辑的一个或多个处理资源。信息处理系统的其他组件可以包括一个或多个存储设备、用于与外设进行通信的一个或多个通信端口，以及例如键盘、鼠标和视频显示器的不同的输入输出(I/O)设备。信息处理系统还可以包括在多个硬件组件之间可操作地传输通信(transmit communications)的一条或多条总线。
本发明可适于多种更改，可选的形式、特定实施例已经以例子的方式示出，并在此进行描述。不过，应该理解，本发明不希望被限于所公开的特定形式。而是，本发明覆盖落入在本发明的精神和范围内由所附权利要求所限定的全部更改、等价项和可选项。此外，所公开的系统和方法的不同方面可以以不同的组合和/或独立地进行使用。因此，本发明不限于仅在这里被示出的那些组合，而是可以包括其他组合。

Claims (20)

1.一种与信息处理系统进行通信的方法，所述方法包括：
选择网络认证方法；
把所述选择的网络认证方法的认同传递给所述信息处理系统；
其中，基于以前用于认证网络通信的所述信息处理系统的至少一种认证方法的一个或多个特点选择所述认证方法。
2.根据权利要求1所述的方法，还包括把所述网络认证方法选择成与最后用于认证网络通信的所述信息处理系统的认证方法相同。
3.根据权利要求1所述的方法，还包括把所述网络认证方法选择成与以前用于认证网络通信的所述信息处理系统的最常使用的认证方法相同。
4.根据权利要求1所述的方法，其中所述方法还包括把所述选择的网络认证方法的所述认同通过无线通信传递给所述信息处理系统。
5.根据权利要求4所述的方法，其中所述网络认证方法包括可扩展认证协议。
6.根据权利要求1所述的方法，其中所述方法包括从以前用于认证网络通信的所述信息处理系统的两种或更多种网络认证方法中，选择所述网络认证方法。
7.根据权利要求1所述的方法，还包括如果所述选择的网络认证方法与由所述信息处理系统当前使用的认证方法匹配，则认证用于网络通信的所述信息处理系统。
8.一种与配置为客户设备的第一信息处理系统进行通信的方法，所述方法包括：
把以前由所述网络认证设备用于认证有线或无线网络通信的所述客户设备的至少一种认证方法的一个或多个特点存储在配置为网络认证设备的第二信息处理系统的存储器中；
在所述网络认证设备中通过有线或无线通信，接收来自所述客户设备的认证请求；
基于存储在所述网络认证设备的所述存储器中的、由所述网络认证设备以前用于认证有线或无线网络通信的所述客户设备的所述至少一种认证方法的所述一个或多个特点，选择第一网络认证方法；以及
通过有线或无线通信，把所述第一选择的网络认证方法的认同传递给所述客户设备。
9.根据权利要求8所述的方法，还包括：
在所述网络认证设备中通过有线或无线通信从所述客户设备接收第一响应，所述第一响应指示所述选择的第一网络认证方法的所述认同是否与由所述客户设备当前使用的认证方法匹配；
如果所述第一响应指示为所述选择的第一网络认证方法与由所述客户设备当前使用的认证方法匹配，则认证用于有线或无线网络通信的所述客户设备；以及
更新所述网络认证设备的所述存储器，以包括所述选择的第一网络认证方法的一个或多个特点；
其中，所述方法包括从由所述网络认证设备以前用于认证有线或无线网络通信的所述客户设备的两种或更多种网络认证方法中，选择所述第一网络认证方法；以及
其中，所述选择的第一认证方法与由所述网络认证设备最后用于认证有线或无线网络通信的所述客户设备使用的认证方法相同。
10.根据权利要求8所述的方法，还包括：
在所述网络认证设备中通过有线或无线通信，从所述客户设备接收第一响应，所述第一响应指示所述选择的第一网络认证方法的所述认同是否与由所述客户设备当前使用的认证方法匹配；
如果所述第一响应指示为所述选择的第一网络认证方法与由所述客户设备当前使用的认证方法不匹配，则基于存储在所述网络认证设备的所述存储器中的、由所述网络认证设备以前用于认证有线或无线网络通信的所述客户设备的所述至少一种认证方法的所述一个或多个特点，选择第二网络认证方法；以及
通过有线或无线通信，把所述选择的第二网络认证方法的认同传递给所述无线客户设备；
在所述网络认证设备中通过有线或无线通信从所述客户设备接收第二响应，所述第二响应指示所述选择的第二网络认证方法的所述认同是否与由所述客户设备当前使用的认证方法匹配；
如果所述第二响应指示为所述选择的第二网络认证方法与由所述客户设备当前使用的认证方法匹配，则认证用于有线或无线通信的所述客户设备；以及
更新所述网络认证设备的所述存储器，以包括所述选择的第二网络认证方法的一个或多个特点；
其中所述方法包括从由所述网络认证设备以前用于认证有线或无线网络通信的所述客户设备的两种或更多种网络认证方法中，选择所述第一和第二网络认证方法；
其中所述选择的第一认证方法与由所述网络认证设备最后用于认证有线或无线网络通信的所述客户设备的认证方法相同；
其中所述选择的第二认证方法与以前用于认证有线或无线网络通信的所述客户设备的最常使用的认证方法相同。
11.根据权利要求8所述的方法，其中所述客户设备包括无线客户设备；并且其中所述网络认证设备包括无线网络认证设备。
12.根据权利要求11所述的方法，其中所述无线网络认证设备包括被配置成执行边缘网络认证的无线网关接入点。
13.根据权利要求8所述的方法，其中所述网络认证设备包括被配置成执行核心网络认证的认证服务器。
14.一种信息处理系统，所述信息处理系统被配置成：
基于以前用于认证网络通信的客户信息处理系统的至少一种认证方法的一个或多个特点，选择网络认证方法；以及
把所述选择的网络认证方法的认同传递给所述客户信息处理系统。
15.根据权利要求14所述的信息处理系统，其中所述信息处理系统还被配置成从以前用于认证网络通信的所述客户信息处理系统的两种或更多种网络认证方法中，选择所述网络认证方法；用于把所述选择的网络认证方法的认同传递给所述客户信息处理系统；并且如果所述选择的网络认证方法与由所述客户信息处理系统当前使用的认证方法匹配，则用于认证网络通信的所述客户信息处理系统。
16.根据权利要求15所述的信息处理系统，其中所述信息处理系统还被配置成把所述网络认证方法选择成与最后用于认证网络通信的所述客户信息处理系统的认证方法相同。
17.根据权利要求15所述的信息处理系统，其中所述信息处理系统还被配置成把所述网络认证方法选择成与以前用于认证用于网络通信的所述客户信息处理系统的最常使用的认证方法相同。
18.根据权利要求15所述的信息处理系统，其中所述客户设备包括无线客户设备；并且其中所述网络认证设备包括无线网络认证设备。
19.根据权利要求18所述的信息处理系统，其中所述信息处理系统还被配置成无线网关接入点，其被配置成执行边缘网络认证。
20.根据权利要求15所述的信息处理系统，其中所述信息处理系统还被配置成认证服务器，其被配置成执行核心网络认证。
CN200610065819.1A 2005-03-23 2006-03-23 用于适应认证的系统和方法 Active CN1838594B (zh)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
US11/088,214 2005-03-23
US11/088,214 US20060218393A1 (en) 2005-03-23 2005-03-23 Systems and methods for adaptive authentication

Publications (2)

Publication Number Publication Date
CN1838594A true CN1838594A (zh) 2006-09-27
CN1838594B CN1838594B (zh) 2014-08-06

Family

ID=36383976

Family Applications (1)

Application Number Title Priority Date Filing Date
CN200610065819.1A Active CN1838594B (zh) 2005-03-23 2006-03-23 用于适应认证的系统和方法

Country Status (12)

Country Link
US (1) US20060218393A1 (zh)
JP (1) JP2006268855A (zh)
CN (1) CN1838594B (zh)
AU (1) AU2006201199B2 (zh)
DE (1) DE102006012646B4 (zh)
FR (2) FR2887720B1 (zh)
GB (1) GB2424559B (zh)
HK (1) HK1100149A1 (zh)
IT (1) ITTO20060215A1 (zh)
MY (1) MY139907A (zh)
SG (2) SG126085A1 (zh)
TW (1) TWI407747B (zh)

Families Citing this family (26)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US9281945B2 (en) 2003-12-30 2016-03-08 Entrust, Inc. Offline methods for authentication in a client/server authentication system
US9191215B2 (en) 2003-12-30 2015-11-17 Entrust, Inc. Method and apparatus for providing authentication using policy-controlled authentication articles and techniques
US8966579B2 (en) * 2003-12-30 2015-02-24 Entrust, Inc. Method and apparatus for providing authentication between a sending unit and a recipient based on challenge usage data
US8060915B2 (en) * 2003-12-30 2011-11-15 Entrust, Inc. Method and apparatus for providing electronic message authentication
US8230486B2 (en) * 2003-12-30 2012-07-24 Entrust, Inc. Method and apparatus for providing mutual authentication between a sending unit and a recipient
US8676922B1 (en) 2004-06-30 2014-03-18 Google Inc. Automatic proxy setting modification
US8126145B1 (en) * 2005-05-04 2012-02-28 Marvell International Ltd. Enhanced association for access points
JPWO2007007690A1 (ja) * 2005-07-07 2009-01-29 株式会社東芝 認証システム、装置及びプログラム
US7810149B2 (en) * 2005-08-29 2010-10-05 Junaid Islam Architecture for mobile IPv6 applications over IPv4
EP1770901B1 (en) * 2005-09-28 2009-12-09 Nortel Networks Limited Authentication method and related devices
US7966489B2 (en) * 2006-08-01 2011-06-21 Cisco Technology, Inc. Method and apparatus for selecting an appropriate authentication method on a client
US8812651B1 (en) * 2007-02-15 2014-08-19 Google Inc. Systems and methods for client cache awareness
JP5018559B2 (ja) * 2008-03-03 2012-09-05 富士電機リテイルシステムズ株式会社 記録媒体処理装置
GB2459434A (en) * 2008-03-31 2009-10-28 Vodafone Plc Configuration of access points in a telecommunications network
TWI380169B (en) * 2008-10-03 2012-12-21 Wistron Corp A method for storing a time of boot
EP2200358A3 (en) * 2008-12-04 2010-11-03 Huawei Device Co., Ltd. Method, device and system for negotiating authentication mode
US8756661B2 (en) * 2009-08-24 2014-06-17 Ufp Identity, Inc. Dynamic user authentication for access to online services
US8666403B2 (en) * 2009-10-23 2014-03-04 Nokia Solutions And Networks Oy Systems, methods, and apparatuses for facilitating device-to-device connection establishment
US10235511B2 (en) 2013-04-19 2019-03-19 Pearson Education, Inc. Authentication integrity protection
US10693874B2 (en) 2013-04-19 2020-06-23 Pearson Education, Inc. Authentication integrity protection
US10069811B2 (en) 2013-10-17 2018-09-04 Arm Ip Limited Registry apparatus, agent device, application providing apparatus and corresponding methods
US9307405B2 (en) 2013-10-17 2016-04-05 Arm Ip Limited Method for assigning an agent device from a first device registry to a second device registry
US9203823B2 (en) 2013-10-30 2015-12-01 At&T Intellectual Property I, L.P. Methods and systems for selectively obtaining end user authentication before delivering communications
GB2530028B8 (en) * 2014-09-08 2021-08-04 Advanced Risc Mach Ltd Registry apparatus, agent device, application providing apparatus and corresponding methods
WO2017025149A1 (en) * 2015-08-13 2017-02-16 Telefonaktiebolaget Lm Ericsson (Publ) Method and apparatus for extensible authentication protocol
US11822637B2 (en) * 2018-10-18 2023-11-21 Oracle International Corporation Adaptive authentication in spreadsheet interface integrated with web service

Family Cites Families (12)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6842860B1 (en) * 1999-07-23 2005-01-11 Networks Associates Technology, Inc. System and method for selectively authenticating data
CN1182479C (zh) * 2000-01-07 2004-12-29 国际商业机器公司 有效地收集、整理和访问证书吊销表的系统和方法
US6795701B1 (en) * 2002-05-31 2004-09-21 Transat Technologies, Inc. Adaptable radio link for wireless communication networks
US20030017826A1 (en) * 2001-07-17 2003-01-23 Dan Fishman Short-range wireless architecture
JP3983035B2 (ja) * 2001-11-19 2007-09-26 富士通株式会社 ユーザ端末認証プログラム
US20030115142A1 (en) * 2001-12-12 2003-06-19 Intel Corporation Identity authentication portfolio system
US7448068B2 (en) * 2002-10-21 2008-11-04 Microsoft Corporation Automatic client authentication for a wireless network protected by PEAP, EAP-TLS, or other extensible authentication protocols
DE60206634T2 (de) 2002-10-22 2006-06-01 Telefonaktiebolaget Lm Ericsson (Publ) Verfahren und System zur Authentifizierung von Benutzern in einem Telekommunikationssystem
KR100548354B1 (ko) * 2003-06-14 2006-02-02 엘지전자 주식회사 동기화 프로토콜에서의 사용자 인증 방법
JP3642336B2 (ja) * 2003-07-01 2005-04-27 松下電器産業株式会社 目画像撮像装置
US7461248B2 (en) 2004-01-23 2008-12-02 Nokia Corporation Authentication and authorization in heterogeneous networks
US8413213B2 (en) * 2004-12-28 2013-04-02 Intel Corporation System, method and device for secure wireless communication

Also Published As

Publication number Publication date
JP2006268855A (ja) 2006-10-05
GB2424559A (en) 2006-09-27
IE20060220A1 (en) 2006-10-04
DE102006012646A1 (de) 2006-11-30
AU2006201199A1 (en) 2006-10-12
FR2915045A1 (fr) 2008-10-17
CN1838594B (zh) 2014-08-06
MY139907A (en) 2009-11-30
AU2006201199B2 (en) 2009-01-08
FR2887720A1 (fr) 2006-12-29
ITTO20060215A1 (it) 2006-09-24
GB2424559B (en) 2007-07-18
TWI407747B (zh) 2013-09-01
SG126085A1 (en) 2006-10-30
DE102006012646B4 (de) 2018-03-01
US20060218393A1 (en) 2006-09-28
TW200704093A (en) 2007-01-16
GB0605759D0 (en) 2006-05-03
FR2887720B1 (fr) 2009-04-10
SG146667A1 (en) 2008-10-30
HK1100149A1 (zh) 2007-09-07
IE20080305A1 (en) 2008-06-11

Similar Documents

Publication Publication Date Title
CN1838594A (zh) 用于适应认证的系统和方法
US8474023B2 (en) Proactive credential caching
US10735405B2 (en) Private simultaneous authentication of equals
US10477397B2 (en) Method and apparatus for passpoint EAP session tracking
US20050254652A1 (en) Automated network security system and method
US9461980B1 (en) Predictive prefetching of attribute information
CN101032107A (zh) 移动单元在无线网络中快速漫游的方法和系统
CN101406021A (zh) 基于sim的认证
CN101599967B (zh) 基于802.1x认证系统的权限控制方法及系统
US20050071682A1 (en) Layer 2 switch device with verification management table
US7477746B2 (en) Apparatus for dynamically managing group transient key in wireless local area network system and method thereof
EP3061227A1 (en) Network access control
CN101662768B (zh) 基于个人手持电话系统的用户标识模块的认证方法和设备
US20100100738A1 (en) Method for establishing a secure ad hoc wireless lan
JP4536051B2 (ja) 無線ｌａｎ端末を認証する認証システム、認証方法、認証サーバ、無線ｌａｎ端末、及びプログラム
CN1750533A (zh) 一种实现安全联盟备份和切换的方法
GB2435161A (en) Selecting authentication protocol for a device in an EAP system from preferably the most recently used or most often used by that device
KR101192442B1 (ko) Ｅａｐ-ｔｌｖ 메시지를 이용한 공중 무선랜 서비스 접속프로그램의 버전 관리 및 갱신 방법
CN1301608C (zh) 中心认证的对等无线局域网的实现方法
US20140359731A1 (en) Establishing communications sessions over multiple network protocols using a stored key
US11546339B2 (en) Authenticating client devices to an enterprise network
KR101050835B1 (ko) 모바일 네트워크 상에서 부인방지 서비스를 제공하는 최소 공개키 기반의 이동 모바일 단말기의 인증방법
IE85213B1 (en) Systems and methods for adaptive authentication
IE85009B1 (en) Systems and methods for adaptive authentication

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
REG Reference to a national code

Ref country code: HK

Ref legal event code: DE

Ref document number: 1100149

Country of ref document: HK

C14 Grant of patent or utility model
GR01 Patent grant
REG Reference to a national code

Ref country code: HK

Ref legal event code: GR

Ref document number: 1100149

Country of ref document: HK