CN1874271B - 保护无线设备免受虚假接入点攻击的方法和系统 - Google Patents

保护无线设备免受虚假接入点攻击的方法和系统 Download PDF

Info

Publication number
CN1874271B
CN1874271B CN2006100998723A CN200610099872A CN1874271B CN 1874271 B CN1874271 B CN 1874271B CN 2006100998723 A CN2006100998723 A CN 2006100998723A CN 200610099872 A CN200610099872 A CN 200610099872A CN 1874271 B CN1874271 B CN 1874271B
Authority
CN
China
Prior art keywords
access point
mobile client
response message
designator
message
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Expired - Fee Related
Application number
CN2006100998723A
Other languages
English (en)
Other versions
CN1874271A (zh
Inventor
V·K·乔伊
B·马凯
F·加里亚杜尔
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Alcatel CIT SA
Alcatel Lucent SAS
Alcatel Lucent NV
Original Assignee
Alcatel NV
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Alcatel NV filed Critical Alcatel NV
Publication of CN1874271A publication Critical patent/CN1874271A/zh
Application granted granted Critical
Publication of CN1874271B publication Critical patent/CN1874271B/zh
Expired - Fee Related legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L61/00—Network arrangements, protocols or services for addressing or naming
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L61/00—Network arrangements, protocols or services for addressing or naming
    • H04L61/35—Network arrangements, protocols or services for addressing or naming involving non-standard use of addresses for implementing network functionalities, e.g. coding subscription information within the address or functional addressing, i.e. assigning an address to a function
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1466—Active attacks involving interception, injection, modification, spoofing of data unit addresses, e.g. hijacking, packet injection or TCP sequence number attacks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3226—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using a predetermined code, e.g. password, passphrase or PIN
    • H04L9/3228—One-time or temporary data, i.e. information which is sent for every authentication or authorization, e.g. one-time-password, one-time-token or one-time-key
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/12—Detection or prevention of fraud
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/12—Detection or prevention of fraud
    • H04W12/121—Wireless intrusion detection systems [WIDS]; Wireless intrusion prevention systems [WIPS]
    • H04W12/122—Counter-measures against attacks; Protection against rogue devices
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/80—Wireless
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/60—Context-dependent security
    • H04W12/69—Identity-dependent
    • H04W12/71—Hardware identity
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W48/00—Access restriction; Network selection; Access point selection
    • H04W48/20—Selecting an access point
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W8/00—Network data management
    • H04W8/26—Network addressing or numbering for mobility support

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Mobile Radio Communication Systems (AREA)
  • Transceivers (AREA)

Abstract

本发明提出了使用MAC地址保护来提供保护移动/无线设备免受虚假接入点/基站攻击的装置和方法。通过发现和选择性地与接入点关联，被称为移动客户机的移动/无线设备对无线网进行访问。在发现阶段，AP和MC之间所有通信期间保护AP和MC的MAC地址。这种保护减少了对AP和MC的MAC地址欺骗型攻击。

Description

保护无线设备免受虚假接入点攻击的方法和系统
技术领域
本发明涉及无线/移动网络，具体涉及在这样的网络中提供保护机制以防止无线/移动设备受到虚假访问点或虚假基站的攻击。 
背景技术
在当前的通信网络中，对于充分解决安全问题存在着显著需求，所述安全问题包括来自非法攻击者的不受欢迎的侵入。为达到这个目的，正在进行并且已经进行了相当大的努力以发现阻止由恶意和狡猾的攻击者发起的有害攻击的方法。典型地，当引入新的解决方案时，攻击者就寻找对抗它们的方式。 
鉴于从诸如停车场的不令人怀疑的位置和路边可以实现虚假基站攻击，无线局域网(WLAN)安全机制Enterprise对这种情况尤其关注。一般可以接受的是，只有实现了抵抗这些攻击的强健且简单的机制才可大规模采用WLAN。移动和无线制造商一直在尽力并取得了不同程度的成功以促进采用Enterprise WLAN，但是当前的数字表明在企业环境中仅25％的公司用户相信WLAN提供的安全性。本发明提供不限于公司环境，也可用于家庭和家庭办公室的安全性解决方案。 
一种现有技术解决方案提供了使用IEEE802.11i标准在接入点和移动/无线设备之间进行相互认证。在该现有技术解决方案中，在发现阶段和关联阶段完成后执行认证阶段。首先建立连接，接着执行认证。使用移动设备标识，通过位于家庭网络中的认证服务器(一般是Radius服务器)来认证移动设备。也可由移动设备与认证服务器相互认证，因为家庭操作者信任在可能由相同操作者控制的WLAN网络中执行接入控制的接入点，因此使用与所述接入点建立的现有安全性的认证服务器也信任它。 
一般地，现有技术集中致力于与WLAN业务的任何AP的连通性，但是本发明解决方案仅仅集中在对移动/无线设备有意义的AP。 
现有技术解决方案需要在移动设备和接入点(以下称为AP)之间建立信任之前进行相当多的消息传递。简而言之，直到认证阶段和关联阶段才建立AP的可靠性，所述认证阶段发生在探测交换、信标消息被发送之后。在这些消息交换期间，接入点可以发送能用于消耗射频和电池资源的恶意管理消息从而导致拒绝服务情况的发生。真实AP发送的、但是对特定移动客户机没有意义的信标帧被处理，即使这些信标帧并非来自感兴趣的AP，这再次消耗了有价值的计算/电池资源。 
发明内容
本发明提出一种用于防止虚假接入点或虚假基站攻击的机制，确保这种保护从发现阶段起对于移动/无线设备就有保证。这里该过程被称为选择性关联。 
因此，本发明旨在通过已经访问过网络的移动客户机(MC)发现无线通信网中的接入点(AP)。在发现阶段内，AP和MC的MAC地址在AP和MC之间的整个通信期间受保护，因此减少针对AP和MC的MAC地址的欺骗型攻击。尽管特定地参考了WLAN，应当理解，本发明不限于WLAN技术。对于本发明提供的解决方案，包括WiMax的其它无线技术可以视为理想选择。 
因此，根据本发明的第一个方面，提供一种在无线通信网中由移动客户(MC)选择性地关联接入点(AP)的方法，该方法包括以下步骤：a)形成包括两个受保护指示符的请求消息，第一个指示符唯一地标识了AP，第二个指示符唯一地标识了所述MC；b)将该请求消息发送到无线通信网；c)在所述AP上接收该请求消息并根据所述两个受保护的指示符确定所述MC是否为有效MC；d)响应于所述MC为有效MC，形成包括另外两个受保护指示符的响应消息，这两个指示符分别唯一地标识了所述AP和MC；e)将该响应消息发送到无线通信网；f)在所述MC上接收该响应 消息并根据所述另外两个受保护的指示符确定所述AP是否为有效AP；以及g)响应于所述AP为有效AP，使得所述MC与所述AP关联。 
根据本发明的第二个方面，提供一种在无线通信网中由移动客户机(MC)选择性地关联接入点(AP)的系统，该系统包括：a)用于形成包括两个受保护指示符的请求消息的装置，第一个指示符唯一地标识了AP，第二个指示符唯一地标识了所述MC；b)用于将该请求消息发送到无线通信网的装置；c)用于在所述AP上接收该请求消息并根据所述两个受保护的指示符确定所述MC是否为有效MC的装置；d)用于响应于所述MC为有效MC，形成包括另外两个受保护指示符的响应消息的装置，这两个指示符分别唯一地标识了所述AP和MC；e)用于将该响应消息发送到无线通信网中的装置；f)用于在所述MC上接收该响应消息并根据所述另外两个受保护的指示符确定所述AP是否为有效AP的装置；以及g)用于响应于所述AP为有效AP使所述MC与所述AP关联的装置。 
附图说明
下面将参照附图更详细地描述本发明，该图显示了执行选择性关联的移动设备的示例图。 
具体实施方式
在企业的情况下，这种情况是普通的：每次雇员进入办公大楼时，他/她的移动/无线设备，下文也称为MC(移动客户机)都连接到相同的AP(接入点)，且在AP工作期间MC连接到的AP数目可能是受限制的。 
当需要选择性关联时触发本发明的保护过程。能够使用位置坐标触发选择性关联(如，GPS可以用于提供位置信息)。例如，如果MC靠近用户的办公大楼或当靠近其住宅时，则其能触发选择性关联过程。如果远离其住宅或办公大楼，则能执行常规的关联。选择性关联的触发不仅需要基于位置也需要其它的内容。能触发选择性关联的另一个内容是诸如公司电子邮件或内联网访问的应用。MC的MAC地址(MAC@)不必是固定的。 参与选择性关联过程的AP能向MC提供下一次连接时期望的MAC@。因此，与具有固定MAC@的常规过程不同，该MAC@是动态的。因此MC在办公室使用不同的MAC@连接到AP，而在家使用另一个MAC@连接到AP，等等。使用的MAC@在会话持续期间或在连接结束时也能改变。期望用于不同会话的新MAC@在会话结束之前被传送到MC。接着MC更新其表格以反映MAC@的变化，MAC@的变化对于下一次连接时连接到能进行该特定选择性关联的AP来说是需要的。 
类似地，家庭网络越来越普及，且在每个住宅都安装了AP的居民区内，MC会接收来自AP而不是来自他/她自己的AP的多个探测/信标消息。即使只有一些住宅装备了AP，AP的范围意味着从仅仅大于几米远的AP接收探测/信标消息。这在公寓大厦中会变得更严重。在下面的讨论中，参考探测-请求和探测-响应消息。应当理解，本发明不仅限于探测消息，其它类型的消息也能受保护。这些类型一般包括管理消息，所述管理消息包括但不限于关联消息。在WiMax的应用中，能保护测距消息。 
以上讨论的多个探测/信标消息引出以下问题： 
1.MC接收来自对其无意义的真实AP的探测/信标消息，但是它仍然必须处理这些消息，这造成CPU/电池资源的浪费。 
2.在企业(公司网)或居民区的附近安装了虚假AP(恶意AP)的用户可通过耗尽MC的资源同时也耗尽射频资源来执行攻击，使得MC的性能降低。 
3.包括IEEE802.11i的传统认证机制仅在关联阶段之后提供相互认证，这意味着认证阶段之前交换的消息不进行真实性校验，这也造成MAC地址对于电子欺骗和其它攻击来说是公开的。 
本发明要求移动客户机了解接入点的公用或共享密钥及其相应的媒体访问控制(MAC)地址的现有信息。这里假定，要求移动客户机预先知道其想连接到的接入点，且具有各个AP的共享或公开密钥的列表，反之亦然。 
直到现在，WLAN访问主要集中在热点的情况，其中从一个热点移动 到另一个热点的MC请求连接到任何AP，而不管该AP的MAC地址、提供的安全性等。在当前情况下，焦点是连接到MC信任的特定AP或已知的特定AP的列表以提供特定业务(例如安全业务)。 
本发明提供的解决方案打算结合IEEE 802.11i标准使用，而不是要与该标准竞争。由于一直保护AP和MC的MAC地址，本发明提高了安全性级别。不仅隐藏地址能过滤不需要的消息，而且，用于保护WLAN(WiMax)会话的密钥的推导依赖于设备的MAC地址。保护地址为密钥强度提供了额外的鲁棒性。 
一旦进入WLAN(WiMax等)网络，移动客户机向AP发出探测-请求帧(在WiMax的情况下是到基站的测距消息)，该移动客户机将向该AP请求业务。客户机的MAC地址受保护，接入点的MAC地址也受保护。简而言之，源和目的MAC地址都受保护。无线设备的源MAC地址将使用随机值混合。类似地，目的端的MAC地址(AP的MAC)也使用相同的随机值混合。添加随机值以避免重放攻击(re-play attacks)。随机(伪随机)值的例子可以是消息创建时的时间和日期，随机值必须是完全随机的且应当在特定内容范围内适合。除了时间和日期之外，例如位置信息也能用作随机值。简而言之，只要随机值是独特的，它可以随参数范围而变。 
下面示出了MAC保护的例子。在下面给出的例子中，探测-请求/响应消息的MAC地址被隐藏。下面示出的是在MC上执行的计算： 
例如： 
Start{ 
RAND1＝Date+TimeofDay+someothervalues..(例如) 
保护源MAC地址-Src-MAC(移动设备的MAC)： 
MSMAC1＝(Src-MAC1)X’or(RAND1) 
EMSMAC1＝Encrypt(MSMAC1)key
保护目的MAC地址-Dest-MAC(AP的MAC)： 
MDMAC1＝(Dest-MAC1)X’or(RAND1) 
EMDMAC1＝Encrypt(MDMAC1)key
}END 
注：使用了以下变量： 
RAND1：这是用于混合源MAC地址和用于混合目的MAC地址的随机值。RAND1可以随使用的时间/日期/位置等...而变化 
混合的源MAC(MSMAC1)：通过将MC的MAC地址(源地址)与RAND1进行异或运算(X’or)将源MAC地址混合之后获得该值。 
加密的混合源MAC(EMSMAC1)：使用适当的算法并使用AP的共享或公用密钥将MSMAC1加密而获得这个值。 
混合的目的MAC(MDMAC1)：将AP的地址(目的地址)与RAND1进行异或运算之后获得的值。 
加密的混合目的MAC(EMDMAC1)：使用AP的共享/公用密钥对MDMAC1加密之后获得这个值。 
注：对MAC加密所需要的算法必须在密码上是强壮的。 
过程结束时的地址是： 
802.11帧的源MAC地址：EMSMAC1 
802.11帧的目的MAC地址：EMDMAC1 
注：两个地址都被混合并加密。 
使用源和目的地址发送探测-请求，所述源和目的地址已被混合并且使用预定算法并使用共享/公用密钥进行了加密。当AP接收探测-请求消息时，AP进行下面的操作： 
START{ 
1.DMDMAC1＝De-crypt(EMDMAC1)key
2.DRAND1＝(DMDMAC1)X’or(APMAC) 
3.如果(DRAND1)在当前时间的特定阈值范围内并与曾经用来计算其的日期或其它参数匹配，那么{ 
#处理源MAC@ 
4.导出的混合源MAC(DMSMAC1)＝De-crypt(EMSMAC1)key
5.导出的源MAC(DSMAC1)＝(DMSMAC1)X′or(DRAND1) 
6.如果(DSMAC1)是列表中的一个，那么就接受并发送探测-响应/信标帧。 
        } 
}END 
缩写含义如下： 
导出的混合目的MAC(DMDMAC1)：这是当MC发送的EMDMAC1由AP使用AP的共享/公用密钥解密时的值。 
导出的RAND(DRAND1)：这通过将AP的MAC与DMSMAC1进行异或运算导出。在所有真实的情况下导出的MAC必须等于RAND1。 
导出的混合源MAC(DMSMAC1)：这通过使用AP的共享/公用密钥对EMSMAC1解密导出。 
导出的源MAC(DSMAC1)：这通过将DMSMAC1与MC的MAC地址进行异或运算而获得。 
AP创建将移动客户机的MAC地址绑定到RAND值的表格，当AP从客户机接收具有新RAND值的附加消息时更新该表格。当AP发送探测-响应时，AP执行相同的过程但是使用依赖于不同的因素如时间等的不同RAND。AP进行以下计算： 
Start{ 
RAND2＝Date+TimeofDay+someothervalues..(例如) 
保护源MAC地址(AP的MAC)： 
MSMAC2＝(Src-MAC)X’or(RAND2) 
EMSMAC2＝Encrypt(MSMAC2)key
保护目的MAC地址(移动设备的MAC)： 
MDMAC2＝(Dest-MAC)X’or(RAND2) 
EMDMAC2＝Encrypt(MDMAC2)key
}END 
使用了以下变量： 
RAND2：这是由AP使用诸如日期/时间/位置等变量生成的。 
混合的源MAC(MSMAC2)：这是通过将AP的MAC@与RAND2混合(异或运算)而获得的。 
加密的混合源MAC(EMSMAC2)：使用MC的共享/公用密钥对MSMAC2加密而得到。 
混合的目的MAC(MDMAC2)：这是通过将MC的地址与RAND2混合(异或运算)而获得的。 
加密的混合的目的MAC(EMDMAC2)：使用MC的共享/公用密钥对MDMAC2加密。 
在移动客户机上对从AP接收到的信标或探测响应帧执行以下算法： 
START{ 
1.DMSMAC2＝De-crypt(EMDMAC2)key
2.DRAND2＝(DMSMAC1)X’or(MC-MAC@) 
3.如果(DRAND2)在当前时间的特定阈值范围内并与数据匹配，那么{ 
    #处理源MAC@ 
4.DMSMAC2＝De-crypt(EMSMAC2)key
5.DSMAC2＝(DMSMAC2)X′or(DRAND2) 
6.如果(DSMAC2)是列表中的一个时，那么就接受并发送探测-响应/关联消息。 
     } 
}END 
使用的缩写如下： 
解密的混合源MAC(DMSMAC2)：这是使用MC的共享/公用密钥对EMDMAC2解密而获得的。 
导出的RAND(DRAND2)：这是通过将DMSMAC2与MC的MAC@进行异或运算而导出的。 
导出的混合源MAC(DMSMAC2)：这通过使用MC的共享/公用密钥对EMSMAC2解密而获得的。 
导出的源MAC(DSMAC2)：这是通过将DMSMAC2与DRAND2进行异或运算而导出的。 
例子结束。 
移动设备可以将探测-请求消息发送给其知道的并且在移动设备邻近的多个AP。AP的目的MAC地址与随机值混合，并使用共享/公用密钥进 行加密，当然，应该预先决定加密算法，决定可以在配置时完成。通过相同的过程并使用相同的RAND保护源MAC。 
AP一接收到探测-请求消息就使用共享密钥或其私钥解密源和目的MAC地址。接着分析混合的目的MAC地址。能正确对源MAC地址解密的AP通过发送信标帧来响应探测-请求，所述信标帧的目的端是已加密的客户机的MAC地址。 
这确保只有能正确对地址解密的那些AP是合法的AP，或者客户机愿意被服务的AP。多个AP能用信标帧作出响应，但是满足信号强度或其它因素的AP是与之执行关联的那个AP。 
尽管与现有认证机制与本发明相比可能消耗了更大的计算开销，而考虑到在安全性方面大的收益这个开销仍然是相对小的。取决于使用周期和应用，可以想象地，计算开销比传统认证机制的低得多。 
虽然已描述和图解了本发明的特定实施例，但对本领域技术人员来说在不偏离基本思想的情况下进行大量改变是显而易见的。应当理解，这些改变将落在附加的权利要求所限定的本发明的整个范围内。 

Claims (33)

1.一种在无线通信网中由移动客户机(MC)选择性地关联接入点(AP)的方法，该方法包括如下步骤：
a)形成包括两个受保护指示符的请求消息，第一个指示符唯一地标识接入点，第二个指示符唯一地标识所述移动客户机；
b)将所述请求消息发送到所述无线通信网中；
c)在所述接入点接收所述请求消息，并根据所述两个受保护的指示符确定所述移动客户机是否为有效移动客户机；
d)响应于所述移动客户机为有效移动客户机，形成包括另外两个受保护指示符的响应消息，这两个指示符分别唯一地标识所述接入点和移动客户机；
e)将所述响应消息发送到所述无线通信网；
f)在所述移动客户机上接收所述响应消息，并根据所述另外两个受保护的指示符确定所述接入点是否为有效接入点；并且
g)响应于所述接入点为有效接入点，使所述移动客户机与所述接入点关联。
2.根据权利要求1的方法，其中，响应于特定内容触发选择性关联。
3.根据权利要求2的方法，其中，所述特定内容包括位置坐标。
4.根据权利要求2的方法，其中，所述特定内容包括申请。
5.根据权利要求1的方法，其中，所述请求和响应消息分别是探测-请求和探测-响应消息。
6.根据权利要求1的方法，其中，所述请求和响应消息是管理消息。
7.根据权利要求1的方法，其中，所述请求和响应消息是关联消息。
8.根据权利要求5的方法，其中，所述探测请求消息的所述受保护的指示符分别是接入点和移动客户机的媒体访问控制加密地址，所述加密的媒体访问控制地址已经首先与第一随机数进行了混合。
9.根据权利要求1的方法，其中，所述移动客户机对于多个接入点重 复步骤a)到f)，并选出满足特定标准的接入点。
10.根据权利要求9的方法，其中所述特定标准是关联的最强信号。
11.根据权利要求5的方法，其中包括所述两个受保护指示符的所述探测请求消息使用共享密钥加密。
12.根据权利要求5的方法，其中包括所述两个受保护指示符的所述探测请求消息使用公用密钥加密。
13.根据权利要求8的方法，其中所述探测响应消息的所述受保护的指示符分别是接入点和移动客户机的加密媒体访问控制地址，所述加密媒体访问控制地址首先已经与第二随机数进行了混合。
14.根据权利要求13的方法，其中，所述第一和第二随机数是不同的且基于独特参数。
15.根据权利要求14的方法，其中，所述独特参数包括时间、日期和位置值。
16.根据权利要求13的方法，其中，执行加密算法来对媒体访问控制地址加密。
17.根据权利要求16的方法，其中，在配置时决定所述加密算法。
18.根据权利要求8的方法，其中，所述接入点创建将所述移动客户机的MAC地址与所述第一随机数绑定的表格。
19.根据权利要求18的方法，其中，当所述接入点收到来自所述移动客户机的附加消息时更新所述表格。
20.根据权利要求19的方法，其中，所述移动客户机的媒体访问控制地址是动态的。
21.根据权利要求19的方法，其中，所述接入点向所述移动客户机提供给期望再次连接的媒体访问控制地址。
22.根据权利要求21的方法，其中，期望再次连接的所述媒体访问控制地址在当前的会话终止之前被传送到所述移动客户机。
23.根据权利要求22的方法，其中，所述接入点更新其表格以反映媒体访问控制地址的变化。 
24.根据权利要求1的方法，其中，所述无线通信网是无线局域网。
25.根据权利要求1的方法，其中，所述无线通信网是微波存取全球互通网。
26.根据权利要求25的方法，其中，所述请求和响应消息是测距消息。
27.一种在无线通信网中，由移动客户机(MC)选择性地关联接入点(AP)的系统，该系统包括：
a)用于形成包括两个受保护指示符的请求消息的装置，第一个指示符唯一地标识了接入点，第二个指示符唯一地标识了所述移动客户机；
b)用于将所述请求消息发送到所述无线通信网的装置；
c)用于在所述接入点上接收所述请求消息，并根据所述两个受保护的指示符确定所述移动客户机是否为有效移动客户机的装置；
d)用于响应于所述移动客户机为有效移动客户机，形成包括另外两个受保护指示符的响应消息的装置，其中这两个指示符分别唯一地标识了所述接入点和移动客户机；
e)用于将所述响应消息发送到所述无线通信网的装置；
f)用于在所述移动客户机上接收所述响应消息，并根据所述另外两个受保护的指示符确定所述接入点是否为有效接入点的装置；以及
g)用于响应于所述接入点为有效接入点，使所述移动客户机与所述接入点关联的装置。
28.根据权利要求27的系统，其中，所述请求和响应消息分别是探测-请求和探测-响应消息。
29.根据权利要求28的系统，其中，所述探测请求消息的所述受保护的指示符分别是接入点和移动客户机的加密媒体访问控制地址，所述加密媒体访问控制地址已经首先用随机数进行了混合。
30.根据权利要求29的系统，其中，用预定算法进行加密。
31.根据权利要求30的系统，其中，在所述加密过程使用共享密钥。
32.根据权利要求30的系统，其中，在所述加密过程使用公用密钥。
33.根据权利要求28的系统，其中，由所述接入点向确定其有效的所 述移动客户机发送探测-响应或关联消息。 
CN2006100998723A 2005-06-03 2006-06-02 保护无线设备免受虚假接入点攻击的方法和系统 Expired - Fee Related CN1874271B (zh)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
US11/143,620 2005-06-03
US11/143,620 US7783756B2 (en) 2005-06-03 2005-06-03 Protection for wireless devices against false access-point attacks

Publications (2)

Publication Number Publication Date
CN1874271A CN1874271A (zh) 2006-12-06
CN1874271B true CN1874271B (zh) 2011-03-30

Family

ID=37074610

Family Applications (1)

Application Number Title Priority Date Filing Date
CN2006100998723A Expired - Fee Related CN1874271B (zh) 2005-06-03 2006-06-02 保护无线设备免受虚假接入点攻击的方法和系统

Country Status (6)

Country Link
US (1) US7783756B2 (zh)
EP (1) EP1891791B1 (zh)
CN (1) CN1874271B (zh)
AT (1) ATE446640T1 (zh)
DE (1) DE602006009925D1 (zh)
WO (1) WO2007004054A1 (zh)

Families Citing this family (50)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
TWI307232B (en) * 2006-06-09 2009-03-01 Hon Hai Prec Ind Co Ltd Wireless local area network with protection function and method for preventing attack
KR101223235B1 (ko) * 2006-11-16 2013-01-17 삼성전자주식회사 무선랜 단말의 와이브로 네트워크 연동 방법 및 그 시스템
JP4410791B2 (ja) * 2006-12-20 2010-02-03 富士通株式会社 アドレス詐称チェック装置およびネットワークシステム
KR100907507B1 (ko) * 2007-03-05 2009-07-14 삼성전자주식회사 무선 랜 단말의 ｂｗａ 네트워크 연동시 사용자 인증 방법및 그 시스템
US8290357B2 (en) * 2007-03-15 2012-10-16 Nvidia Corporation Auto-exposure technique in a camera
US8340512B2 (en) * 2007-03-15 2012-12-25 Nvidia Corporation Auto focus technique in an image capture device
WO2009008642A2 (en) * 2007-07-06 2009-01-15 Samsung Electronics Co., Ltd. Method for maintaining the continuing existence of npd in ieee 802.22.1 operation
US8150414B2 (en) * 2007-07-06 2012-04-03 Samsung Electronics Co., Ltd. Method for maintaining the continuing existence of NPD in IEEE 802.22.1 operation
US20090061862A1 (en) * 2007-08-30 2009-03-05 Alberth Jr William P Peer to peer service discovery sharing
CN101388678B (zh) 2007-09-10 2013-02-06 北京三星通信技术研究有限公司 无线麦克风信标系统中保护设备的初始化方法及保护设备
US8705738B2 (en) * 2007-09-28 2014-04-22 Cisco Technology, Inc. Selective security termination in next generation mobile networks
US8503679B2 (en) * 2008-01-23 2013-08-06 The Boeing Company Short message encryption
US8830341B2 (en) * 2008-05-22 2014-09-09 Nvidia Corporation Selection of an optimum image in burst mode in a digital camera
US20100272080A1 (en) * 2009-04-24 2010-10-28 Eetay Natan Techniques for generating proof of WiMAX activation and safely handling a disconnect during a WiMAX provisioning session
CN102577261A (zh) * 2009-07-31 2012-07-11 惠普发展公司，有限责任合伙企业 用于检测欺骗无线接入点的方法
US9307402B2 (en) * 2010-03-25 2016-04-05 Nokia Solutions And Networks Oy Method of protecting an identity of a mobile station in a communications network
EP2372971A1 (en) 2010-03-30 2011-10-05 British Telecommunications Public Limited Company Method and system for authenticating a point of access
JP2011211612A (ja) * 2010-03-30 2011-10-20 Nec Access Technica Ltd 無線ｌａｎ端末、無線ｌａｎアクセスポイント及び無線ｌａｎシステム
US20120076072A1 (en) * 2010-09-24 2012-03-29 Marc Jalfon System and method for maintaining privacy in a wireless network
US8351354B2 (en) * 2010-09-30 2013-01-08 Intel Corporation Privacy control for wireless devices
CN102130825B (zh) * 2010-11-11 2014-01-08 华为技术有限公司 无源光网络系统中数据处理的方法、光线路终端及系统
JPWO2012098802A1 (ja) * 2011-01-20 2014-06-09 株式会社ビーマップ ローカル情報配信システム
US8824678B2 (en) * 2011-04-05 2014-09-02 Broadcom Corporation MAC address anonymizer
US9172678B2 (en) * 2011-06-28 2015-10-27 At&T Intellectual Property I, L.P. Methods and apparatus to improve security of a virtual private mobile network
KR101807523B1 (ko) * 2011-12-13 2017-12-12 삼성전자주식회사 무선 통신 시스템에서 무선 망 제공자를 확인하기 위한 장치 및 방법
CN103368737B (zh) * 2012-04-11 2017-07-14 华为技术有限公司 一种安全身份发现方法
CN103368738B (zh) * 2012-04-11 2017-02-15 华为技术有限公司 一种安全身份发现及通信方法
US9392158B2 (en) 2012-10-04 2016-07-12 Nvidia Corporation Method and system for intelligent dynamic autofocus search
US9621780B2 (en) 2012-10-04 2017-04-11 Nvidia Corporation Method and system of curve fitting for common focus measures
WO2014056744A1 (en) * 2012-10-11 2014-04-17 Nordic Semiconductor Asa Addressable radio device
US9107069B2 (en) 2012-10-11 2015-08-11 Nordic Semiconductor Asa Addressable radio device
EP2720404A1 (en) * 2012-10-11 2014-04-16 Nordic Semiconductor ASA Addressable radio device
GB2494550B (en) * 2012-10-11 2016-06-01 Nordic Semiconductor Asa Addressable radio device
US9369872B2 (en) 2013-03-14 2016-06-14 Vonage Business Inc. Method and apparatus for configuring communication parameters on a wireless device
US8799993B1 (en) * 2013-03-14 2014-08-05 Vonage Network Llc Method and apparatus for configuring communication parameters on a wireless device
US9031393B2 (en) 2013-06-12 2015-05-12 Nvidia Corporation Methods for enhancing camera focusing performance using camera orientation
CN105472606A (zh) * 2014-08-27 2016-04-06 中兴通讯股份有限公司 一种安全连接的方法、设备和系统
WO2017026930A1 (en) * 2015-08-11 2017-02-16 Telefonaktiebolaget Lm Ericsson (Publ) Methods and devices for privacy enhancement in networks
US20170238235A1 (en) 2016-02-17 2017-08-17 Zitovault, Inc. Wireless router and router management system
WO2017165043A1 (en) * 2016-03-25 2017-09-28 Zitovault, Inc. Mac address-bound wlan password
US11005809B2 (en) * 2016-03-29 2021-05-11 Motorola Solutions, Inc. Methods, devices, and systems for generating a plurality of network addresses for a plurality of communication devices
US10791093B2 (en) * 2016-04-29 2020-09-29 Avago Technologies International Sales Pte. Limited Home network traffic isolation
CN107786972B (zh) 2016-08-31 2020-07-24 华为技术有限公司 无线局域网中建立关联的方法、终端和接入点
US10979906B2 (en) * 2017-04-11 2021-04-13 Qualcomm Incorporated Detecting media access control (MAC) address spoofing in a wi-fi network using channel correlation
US10893466B2 (en) * 2017-10-27 2021-01-12 LGS Innovations LLC Rogue base station router detection with statistical algorithms
US10869195B2 (en) * 2018-04-23 2020-12-15 T-Mobile Usa, Inc. Network assisted validation of secure connection to cellular infrastructure
CN109714761A (zh) * 2019-02-25 2019-05-03 成都瑞小博科技有限公司 一种防止mac嗅探的方法及系统
GB202018926D0 (en) 2020-12-01 2021-01-13 Nordic Semiconductor Asa Digital radio communications
US11563665B2 (en) * 2021-03-05 2023-01-24 Zscaler, Inc. Detecting web probes versus regular traffic through a proxy including encrypted traffic
CN114866303B (zh) * 2022-04-26 2023-05-26 武昌理工学院 一种防劫持的探测信号鉴权方法

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1357986A (zh) * 2000-11-24 2002-07-10 艾利森电话股份有限公司 移动电信网络中的欺骗检测方法
WO2005011231A2 (en) * 2003-07-15 2005-02-03 Qualcomm Incorporated System and method for using an ip address as a wireless unit identifier

Family Cites Families (29)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR100319256B1 (ko) * 1999-12-30 2002-01-05 서평원 통신 프로토콜 운용 방법
JP3585422B2 (ja) * 2000-06-01 2004-11-04 シャープ株式会社 アクセスポイント装置及びその認証処理方法
JP3792154B2 (ja) * 2001-12-26 2006-07-05 インターナショナル・ビジネス・マシーンズ・コーポレーション ネットワークセキュリティシステム、コンピュータ装置、アクセスポイントの認識処理方法、アクセスポイントのチェック方法、プログラムおよび記憶媒体
FI113515B (fi) * 2002-01-18 2004-04-30 Nokia Corp Osoitteistus langattomissa lähiverkoissa
US7248858B2 (en) * 2002-05-04 2007-07-24 Broadcom Corporation Visitor gateway in a wireless network
US7965842B2 (en) * 2002-06-28 2011-06-21 Wavelink Corporation System and method for detecting unauthorized wireless access points
KR100878764B1 (ko) * 2002-07-06 2009-01-14 삼성전자주식회사 사용자의 익명성보장을 위한 무선 랜 시스템 및 사용자의익명성 보장방법
US7068999B2 (en) * 2002-08-02 2006-06-27 Symbol Technologies, Inc. System and method for detection of a rogue wireless access point in a wireless communication network
US7607015B2 (en) * 2002-10-08 2009-10-20 Koolspan, Inc. Shared network access using different access keys
US20040138900A1 (en) * 2003-01-14 2004-07-15 Read Theresa Karem Computerized random variable selector, apparatus, system and method
US7130646B2 (en) * 2003-02-14 2006-10-31 Atheros Communications, Inc. Positioning with wireless local area networks and WLAN-aided global positioning systems
US7342906B1 (en) * 2003-04-04 2008-03-11 Airespace, Inc. Distributed wireless network security system
US7505432B2 (en) * 2003-04-28 2009-03-17 Cisco Technology, Inc. Methods and apparatus for securing proxy Mobile IP
KR20040104778A (ko) * 2003-06-04 2004-12-13 삼성전자주식회사 스마트카드를 이용한 장치 인증을 통해 홈 도메인을구성하는 방법, 및 홈 도메인 구성을 위한 스마트카드
US7673146B2 (en) * 2003-06-05 2010-03-02 Mcafee, Inc. Methods and systems of remote authentication for computer networks
US7453840B1 (en) * 2003-06-30 2008-11-18 Cisco Systems, Inc. Containment of rogue systems in wireless network environments
US7286515B2 (en) * 2003-07-28 2007-10-23 Cisco Technology, Inc. Method, apparatus, and software product for detecting rogue access points in a wireless network
JP3961462B2 (ja) * 2003-07-30 2007-08-22 インターナショナル・ビジネス・マシーンズ・コーポレーション コンピュータ装置、無線ｌａｎシステム、プロファイルの更新方法、およびプログラム
US20050058112A1 (en) * 2003-09-15 2005-03-17 Sony Corporation Method of and apparatus for adaptively managing connectivity for mobile devices through available interfaces
US7558960B2 (en) * 2003-10-16 2009-07-07 Cisco Technology, Inc. Network infrastructure validation of network management frames
US7069024B2 (en) * 2003-10-31 2006-06-27 Symbol Technologies, Inc. System and method for determining location of rogue wireless access point
US7127258B2 (en) * 2003-11-10 2006-10-24 Symbol Technologies, Inc. WLAN roaming based on location
US7536723B1 (en) * 2004-02-11 2009-05-19 Airtight Networks, Inc. Automated method and system for monitoring local area computer networks for unauthorized wireless access
JP4621200B2 (ja) * 2004-04-15 2011-01-26 パナソニック株式会社 通信装置、通信システム及び認証方法
KR100636209B1 (ko) * 2004-11-12 2006-10-19 삼성전자주식회사 Ｍａｃ 주소 보안 방법 및 장치
US20060114863A1 (en) * 2004-12-01 2006-06-01 Cisco Technology, Inc. Method to secure 802.11 traffic against MAC address spoofing
US7706776B2 (en) * 2004-12-06 2010-04-27 Meshnetworks, Inc. Scheme for MAC address privacy in infrastructure-based multi-hop wireless networks
WO2007026230A2 (en) * 2005-09-02 2007-03-08 Nokia Corporation Arbitrary mac address usage in a wlan system
US8782745B2 (en) * 2006-08-25 2014-07-15 Qwest Communications International Inc. Detection of unauthorized wireless access points

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1357986A (zh) * 2000-11-24 2002-07-10 艾利森电话股份有限公司 移动电信网络中的欺骗检测方法
WO2005011231A2 (en) * 2003-07-15 2005-02-03 Qualcomm Incorporated System and method for using an ip address as a wireless unit identifier

Also Published As

Publication number Publication date
WO2007004054A1 (en) 2007-01-11
EP1891791A1 (en) 2008-02-27
US20060274643A1 (en) 2006-12-07
US7783756B2 (en) 2010-08-24
EP1891791B1 (en) 2009-10-21
ATE446640T1 (de) 2009-11-15
DE602006009925D1 (de) 2009-12-03
CN1874271A (zh) 2006-12-06

Similar Documents

Publication Publication Date Title
CN1874271B (zh) 保护无线设备免受虚假接入点攻击的方法和系统
JP4504192B2 (ja) 加入モジュールへのセキュアアクセス方法
US8726022B2 (en) Method for the access of the mobile terminal to the WLAN and for the data communication via the wireless link securely
CN1685694B (zh) 支持多个虚拟操作员的公共无线局域网的会话密钥管理
CN102204305B (zh) 家用节点b设备以及安全协议
US8429404B2 (en) Method and system for secure communications on a managed network
US9392453B2 (en) Authentication
US7231521B2 (en) Scheme for authentication and dynamic key exchange
CN113556227B (zh) 网络连接管理方法、装置、计算机可读介质及电子设备
CN101189826B (zh) 用于无线分布式系统的认证方法
DE112006001511T5 (de) Verfahren und Vorrichtungen zum Liefern von Integritätsschutz für Verwaltungs- und Steuerverkehr in drahtlosen Kommunikationsnetzwerken
CN103596173A (zh) 无线网络认证方法、客户端及服务端无线网络认证装置
Vanhoef et al. Operating channel validation: Preventing multi-channel man-in-the-middle attacks against protected Wi-Fi networks
JP4405309B2 (ja) アクセスポイント、無線ｌａｎ接続方法、無線ｌａｎ接続プログラムを記録した媒体および無線ｌａｎシステム
CN112566119A (zh) 终端认证方法、装置、计算机设备及存储介质
CN114173324A (zh) 用于多链路设备隐私保护的系统和方法
Al Naamany et al. IEEE 802.11 wireless LAN security overview
CN111080856A (zh) 蓝牙门禁开锁方法
Kılınçer et al. Automated fake access point attack detection and prevention system with IoT devices
EP1398934A1 (en) Secure access to a subscription module
CN114979170B (zh) 智能频谱共享系统、方法、装置、电子设备及存储介质
Li et al. Encryption as an effective tool in reducing wireless LAN vulnerabilities
Padilla et al. Weaknesses and Strengths Analysis over Wireless Network Security Standards
Chen et al. Research on the Analysis of Key Attack Modes in a Wireless Environment
Orukpe et al. Computer security and privacy in wireless local area network in Nigeria

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
C14 Grant of patent or utility model
GR01 Patent grant
CF01 Termination of patent right due to non-payment of annual fee
CF01 Termination of patent right due to non-payment of annual fee

Granted publication date: 20110330

Termination date: 20180602