KR100847145B1

KR100847145B1 - Method for detecting illegal Access Point

Info

Publication number: KR100847145B1
Application number: KR1020070048107A
Authority: KR
Inventors: 이정우; 전성익
Original assignee: 한국전자통신연구원
Priority date: 2006-12-04
Filing date: 2007-05-17
Publication date: 2008-07-18
Also published as: KR20080050946A

Abstract

본 발명에 따른 불법 액세스 포인트 검출 방법은, USIM(Universal Subscriber Identity Module)를 통하여 인증 서버에서 제공받은 불법 액세스 포인트 목록을 관리하며, 접속할 액세스 포인트의 MAC 정보를 획득하여 상기 불법 액세스 포인트 목록에 포함되는지를 확인하면서, 상기 확인된 액세스 포인트의 MAC 정보와, 상기 불법 액세스 포인트 목록을 암호화하여 인증 서버에 전송하여 인증 서버로부터 해당 액세스 포인트의 불법 여부와, 갱신된 불법 액세스 포인트 목록을 전달받는 것으로서, 불법 액세스 포인트로 판단되는 경우 접속을 차단하고, 그 반대이면 EAP 인증 과정을 수행하도록 하는 것이다. The illegal access point detection method according to the present invention manages a list of illegal access points provided by an authentication server through a universal subscriber identity module (USIM), obtains MAC information of an access point to be accessed, and is included in the list of illegal access points. While verifying, the MAC information of the identified access point and the illegal access point list is encrypted and transmitted to an authentication server to receive an illegal status of the access point and an updated illegal access point list from the authentication server, If it is determined that the access point, the access is blocked, and vice versa, the EAP authentication process is performed.

USIM, 액세스 포인트, 불법 액세스 포인트 목록 USIM, Access Points, List of Illegal Access Points

Description

Method for detecting illegal access point

도 1은 본 발명에 따른 불법 액세스 포인트 검출 방법이 적용된 무선 네트워크 연결 구성을 나타낸 도면, 1 is a diagram illustrating a wireless network connection configuration to which an illegal access point detection method according to the present invention is applied;

도 2는 본 발명에 따른 불법 액세스 포인트 검출을 위한 메시지 송수신 흐름을 나타낸 도면.2 is a diagram illustrating a message transmission and reception flow for detecting an illegal access point according to the present invention.

도 3은 본 발명에 따른 무선 단말 및 USIM 카드에서의 불법 액세스 포인트 검출 방법을 나타낸 플로우챠트, 그리고 3 is a flowchart showing a method for detecting an illegal access point in a wireless terminal and a USIM card according to the present invention; and

도 4는 본 발명에 따른 인증 서버에서의 불법 액세스 포인트 검출 방법을 나타낸 흐름도이다.4 is a flowchart illustrating a method for detecting an illegal access point in an authentication server according to the present invention.

본 발명은 불법 액세스 포인트(Access Point:이하 AP라 칭함) 검출 방법에 관한 것으로서, 더 상세하게는 USIM(Universal Subscriber Identity Module)을 사용하여 불법 AP와의 접속에 의한 정보의 유출을 방지할 수 있도록 한 불법 AP 검출 방법에 관한 것이다. The present invention relates to a method for detecting an illegal access point (hereinafter, referred to as an AP), and more particularly, to prevent information leakage by access to an illegal AP using a universal subscriber identity module (USIM). It relates to a method for detecting an illegal AP.

일반적으로, 유럽의 시분할 다중 접속 방식 GSM(Global System for Mobile Communication) 방식의 이동 통신 단말기에는 SIM 카드가 삽입된다. 이동통신 단말기는 AMPS(Advanced Mobile Phone Service)/CDMA(Code Division Multiple Access)방식인 경우에 이동통신 단말기 내부의 EEPROM에 기지국과 통신하기 위한 전자 시리얼 번호(ESN:Electronic Serial Number)를 저장하거나, 이러한 전자 시리얼 번호를 스마트 카드에 저장하여 휴대용 단말기와 분리하여 발행, 관리, 운용할 수 있고, 전자 시리얼 번호뿐만 아니라 암호 및 복호화를 포함한 선불카드 등 다양한 기능을 포함하는 SIM/UIM 카드가 도입되고 있다. In general, a SIM card is inserted into a mobile communication terminal of a time division multiple access type GSM (Global System for Mobile Communication) system in Europe. In the case of the Advanced Mobile Phone Service (AMPS) / Code Division Multiple Access (CDMA) method, the mobile communication terminal stores an electronic serial number (ESN) for communicating with a base station in an internal EEPROM. SIM / UIM cards have been introduced that store electronic serial numbers in smart cards so that they can be issued, managed, and operated separately from portable terminals, and include various functions such as prepaid cards including encryption and decryption as well as electronic serial numbers.

SIM 카드는 휴대용 단말기에 탈 부착이 가능하고, 마이크로프로세서와 메모리 칩으로 구성되어 있어 사용자의 각종 정보들을 저장하고 있다. 한편 가입자 확인 모듈용 스마트 카드로는 SIM 카드외에 USIM(범용 가입자 확인 모듈: Universal Subscriber Identification Module) 카드가 있다. The SIM card can be attached or detached to a portable terminal, and is composed of a microprocessor and a memory chip to store various information of the user. The smart card for the subscriber identification module is, in addition to the SIM card, a USIM (Universal Subscriber Identification Module) card.

USIM은 휴대용 단말기나 컴퓨터 사용자들이 세계 어디에 있던지 장소에 관계없이 광대역 패킷 기반의 텍스트, 디지털화된 음성이나 영상 그리고 멀티미디어 데이터를 2Mbps 이상의 고속으로 전송할 수 있는 제3세대 통신 서비스인 UMTS에 적용하기 위한 스마트 카드로서 제3 세대 이동통신 단말기에 내장되거나 탈 부착이 가능하도록 하여 비밀 인증 데이터와 함께 사용자 데이터를 저장하고 있어 사용자 인증을 수행할 수 있도록 한 것이다. USIM is a smart card for UMTS, the third generation of telecommunications services that can transmit broadband packet-based text, digitized voice or video, and multimedia data at high speeds of 2Mbps or higher, regardless of where mobile devices or computer users are in the world. As a third-generation mobile communication terminal is embedded or detachable to store user data together with secret authentication data so that user authentication can be performed.

즉, 3세대 이동 단말이나 휴대 인터넷 단말의 경우 USIM 카드와 같은 스마트 카드를 사용하여 인증을 수행한다. USIM 카드는 복제 위험이 적어 보안성이 뛰어나며 여러 가지 카드 응용 프로그램에 해당하는 애플릿을 설치하여 여러 용도로 사용이 가능하다. 따라서 3세대 이동통신이나 휴대인터넷 같은 무선 통신의 인증과정에 이런 스마트 카드를 이용한다.That is, the third generation mobile terminal or portable Internet terminal performs authentication using a smart card such as a USIM card. USIM cards are highly secure due to low duplication risk, and can be used for various purposes by installing applets corresponding to various card applications. Therefore, these smart cards are used for the authentication process of wireless communication such as 3G mobile communication and portable internet.

한편, 무선 랜이나 휴대 인터넷 같은 무선 서비스 이용함에 있어서, 이동 단말이나 휴대 인터넷 단말(이하 무선 단말이라 통칭한다)은 먼저 각각의 액세스 포인트(Access Point, 이하 AP라 약칭한다)를 통해 인증 서버로부터 인증을 받고 합당한 사용자임을 증명받아야한다. 이러한 인증방법에는 여러 가지가 있는데 그 중 EAP(Extensible Authentication Protocol)를 이용한 인증은 여러 가지 망을 연동할 때 사용하기 적당한 프로토콜이다.On the other hand, in using a wireless service such as a wireless LAN or a portable Internet, a mobile terminal or a portable internet terminal (hereinafter referred to as a wireless terminal) is first authenticated from an authentication server through each access point (abbreviated as AP). Must be verified and verified as a valid user. There are several such authentication methods. Among them, authentication using EAP (Extensible Authentication Protocol) is an appropriate protocol to use when interworking various networks.

무선랜이나 휴대인터넷에서 EAP-AKA를 이용하여 인증하는 경우, 상기 USIM 카드를 가진 무선 단말이 인증 서버와의 상호인증을 통해 서로를 확인할 수 있다.When authenticating using EAP-AKA in a wireless LAN or a portable Internet, wireless terminals having the USIM card may identify each other through mutual authentication with an authentication server.

USIM 카드를 사용하여 EAP-AKA(Extensible Authentication Protocol - Authentication and Key Agreement)를 이용하는 경우 인증정보에 대한 연산은 USIM카드에서 이루어지기 때문에 안전한 인증과정을 수행할 수 있다. When using EAP-AKA (Extensible Authentication Protocol-Authentication and Key Agreement) using a USIM card, the authentication information is performed on the USIM card, thereby enabling a secure authentication process.

그러나 이런 인증정보를 중간에서 전달하는 AP가 허가된 AP를 가장한 불법적인 무허가 AP인 경우, 중간에서 이런 인증정보를 가로채거나 서비스를 불법적으로 이용할 수 있게 되는 문제점을 안고 있다.However, when an AP that delivers such authentication information in the middle is an illegal unlicensed AP that pretends to be an authorized AP, there is a problem that it can intercept such authentication information or use the service illegally.

그러나 기존에는 주로 불법적인 무선 단말을 검출하여 무허가의 단말이 서비스를 이용하지 못하게 하는 기술들만이 개발되어 있으며, 불법 AP에 대해서 전혀 고려되어 있지 않다.However, conventionally, only technologies for detecting illegal wireless terminals and preventing unauthorized terminals from using the service have been developed, and no illegal AP has been considered.

따라서, 본 발명은 상기한 종래 기술에 따른 문제점을 해결하기 위한 것으로 그 목적은, USIM을 통하여 불법적인 AP를 검출하여 그 연결을 차단하도록 함으로써, 불법 AP에 의한 정보 유출 및 불법 서비스 이용을 방지할 수 있는 불법 AP 검출 방법을 제공하는 것이다. Accordingly, an object of the present invention is to solve the problems according to the prior art, and an object thereof is to detect an illegal AP through USIM and block its connection, thereby preventing information leakage and illegal service use by an illegal AP. It is to provide an illegal AP detection method that can be.

상기한 목적을 달성하기 위한 수단으로서, 본 발명은, 무선 단말이 접속하고자 하는 액세스 포인트에 대한 식별 정보를 획득하는 단계; USIM 카드를 통하여 상기 접속하고자 하는 액세스 포인트에 대한 식별 정보를 암호화하여 인증 서버로 전송하는 단계; 상기 인증 서버로부터 상기 접속하고자 하는 액세스 포인트에 대한 암호화된 검증 결과를 수신하고 상기 USIM 카드를 통하여 복호화하는 단계; 상기 복호화된 검증 결과에 근거하여, 상기 액세스 포인트에 대한 접속을 차단 또는 허용하는 단계를 포함하는 불법 액세스 포인트 검출 방법을 제공한다.As a means for achieving the above object, the present invention includes the steps of obtaining identification information for an access point to which the wireless terminal is to connect; Encrypting identification information of the access point to be accessed through a USIM card and transmitting the encrypted identification information to an authentication server; Receiving an encrypted verification result for the access point to be accessed from the authentication server and decrypting it through the USIM card; Based on the decrypted verification result, a method for detecting an illegal access point comprising blocking or allowing access to the access point.

또한 상기 목적을 달성하기 위한 다른 수단으로서, 본 발명은, 인증 서버가 무선 단말로부터 암호화된 액세스 포인트에 대한 식별 정보를 수신하여, 복호화하는 단계; 상기 복호화에 의해 획득된 액세스 포인트의 식별정보와 기 저장된 불법 액세스 포인트 목록을 비교하여 불법 액세스 포인트인지를 검증하는 단계; 및 상기 검증 결과를 암호화하여 상기 무선 단말로 전송하는 단계를 포함하는 불법 액세스 포인트 검출 방법을 제공한다.In addition, as another means for achieving the above object, the present invention, the authentication server receives the identification information for the encrypted access point from the wireless terminal, and decrypting; Comparing the identification information of the access point obtained by the decryption with a list of previously stored illegal access points to verify whether the access point is an illegal access point; And encrypting the verification result and transmitting the encrypted result to the wireless terminal.

이하 첨부된 도면을 참조하여 본 발명이 속하는 기술분야에서 통상의 지식을 가진 자가 본 발명을 용이하게 실시할 수 있는 바람직한 실시 예를 상세히 설명한다. 다만, 본 발명의 바람직한 실시 예에 대한 동작 원리를 상세하게 설명함에 있어 관련된 공지 기능 또는 구성에 대한 구체적인 설명이 본 발명의 요지를 불필요하게 흐릴 수 있다고 판단되는 경우에는 그 상세한 설명을 생략한다. DETAILED DESCRIPTION Hereinafter, exemplary embodiments of the present invention will be described in detail with reference to the accompanying drawings. However, in describing in detail the operating principle of the preferred embodiment of the present invention, if it is determined that the detailed description of the related known function or configuration may unnecessarily obscure the subject matter of the present invention, the detailed description thereof will be omitted.

또한, 도면 전체에 걸쳐 유사한 기능 및 작용을 하는 부분에 대해서는 동일한 도면 부호를 사용한다.In addition, the same reference numerals are used for parts having similar functions and functions throughout the drawings.

덧붙여, 명세서 전체에서, 어떤 부분이 다른 부분과 '연결'되어 있다고 할때, 이는 '직접적으로 연결'되어 있는 경우뿐만 아니라, 그 중간에 다른 소자를 사이에 두고 '전기적으로 연결'되어 있는 경우도 포함한다. 또한 어떤 구성 요소를 '포함'한다는 것은, 특별히 반대되는 기재가 없는 한 다른 구성요소를 제외하는 것이 아니라, 다른 구성요소를 더 포함할 수 있는 것을 의미한다.In addition, throughout the specification, when a part is said to be 'connected' to another part, it is not only 'directly connected' but also 'electrically connected' with another element in between. Include. In addition, the term 'comprising' a certain component means that the component may be further included, without excluding the other component unless specifically stated otherwise.

도 1은 본 발명이 적용된 무선 서비스 네트워크의 구성을 나타낸 도면이다.1 is a diagram showing the configuration of a wireless service network to which the present invention is applied.

도 1에 도시된 바와 같이, 무선 단말(200)은 사용자 인증뿐만 아니라 불법 AP 검출 기능을 갖는 USIM 카드(100)에 연결되며, 또한 소정의 AP(300)를 통하여 인증 서버(400)와 연결된다.As shown in FIG. 1, the wireless terminal 200 is connected to the USIM card 100 having illegal AP detection function as well as user authentication, and is also connected to the authentication server 400 through a predetermined AP 300. .

상기 USIM 카드(100)는 EAP-AKA 인증을 수행하게 되는데, 이때 무선 단 말(200)을 통해 상기 인증 서버(400)와 인증 정보를 주고 받으며 상호 인증과정을 수행하여 정당한 인증서버(400) 및 사용자인지를 확인하게 된다. 이와 함께 상기 USIM 카드(100)는 상기 AP(300)가 불법 AP인지를 확인하기 위하여 상술한 EAP-AKA 인증을 수행하기 전에, 상기 AP(300)에 대한 정보를 인증 서버(400)와 주고 받아, 불법 AP 인지를 확인하며 불법 AP 인 경우, 상기 무선 단말(200)은 이후 상기 AP(300)와의 연결을 차단한다.The USIM card 100 performs the EAP-AKA authentication, in which case the authentication server 400 and the authentication information is exchanged with the authentication server 400 through the wireless terminal 200 and the mutual authentication process is performed. You will be verified as a user. In addition, the USIM card 100 exchanges information about the AP 300 with the authentication server 400 before performing the above-described EAP-AKA authentication to confirm whether the AP 300 is an illegal AP. If it is an illegal AP, the wireless terminal 200 blocks the connection with the AP 300.

이러한 불법 AP를 검출하기 위해 인증 서버(400)는 현재 접속 중인 AP의 정보와, 이전에 검출된 불법 AP 목록을 관리하며, 이를 참조하여 불법 AP인지를 판단하고, 더하여 상기 수집된 불법 AP 목록을 무선 단말(200)을 통해 USIM 카드(100)d에 제공한다.In order to detect such an illegal AP, the authentication server 400 manages the information of the currently accessed AP and a list of previously detected illegal APs, determines whether it is an illegal AP, and adds the collected illegal AP lists. Provided to USIM card 100d via wireless terminal 200.

상술한 불법 AP 에 대한 처리 과정에서, AP에 대한 식별정보는 AP의 MAC(Medium Access Control)값으로 나타내며, 인증 서버(400)에서 정당한 AP(300)인지 확인한 결과는 불법 여부를 정의하는 1바이트 값에 MAC 값을 붙이고 이를 암호화한 값으로 정의하여 사용할 수 있다. In the process of processing the above-mentioned illegal AP, the identification information of the AP is represented by a medium access control (MAC) value of the AP, and the result of confirming whether the AP 300 is a legitimate AP 300 by the authentication server 400 is one byte that defines whether it is illegal. You can add MAC value to the value and define it as encrypted value.

더하여, 상기 USIM 카드(100)와 인증서버(400)와의 사이에 불법 AP인지를 검증하기 위해서 교환되는 정보는 암호화되며, 상기 암호화에는 이전 EAP-AKA 인증에서 생성하는 MK(Master Key)를 사용한다.In addition, information exchanged between the USIM card 100 and the authentication server 400 to verify whether it is an illegal AP is encrypted, and the encryption uses a master key (MK) generated by the previous EAP-AKA authentication. .

더하여, 불법 AP 목록에는 AP의 식별정보와 함께 불법으로 판별된 시간의 정보도 같이 기록하여 추후 목록을 업데이트 시 활용한다.In addition, the illegal AP list is recorded along with the identification information of the AP together with information of the illegally determined time to be used when updating the list later.

이하, 상기 USIM 카드(100)와 무선 단말(200)과 인증 서버(400)간의 불법 AP 검출 과정을 도 2 내지 도 4를 참조하여 상세하게 설명한다.Hereinafter, a process of detecting an illegal AP between the USIM card 100, the wireless terminal 200, and the authentication server 400 will be described in detail with reference to FIGS. 2 to 4.

도 2는 본 발명에 따른 불법 AP 검출을 위한 무선 서비스 네트워크에서의 메시지 흐름을 나타낸 도면이다.2 is a diagram illustrating a message flow in a wireless service network for illegal AP detection according to the present invention.

도 2를 참조하면, 불법 AP의 검출을 위하여 먼저 무선단말(200)은 AP(300)로부터 전송되는 비콘 메시지를 통해 연결할 AP(300)에 대한 식별정보(즉, MAC정보)를 획득하고, 이후 접속을 위한 인증 처리를 위하여, 상기 AP(300)로부터 EAP Request/Identity 메시지가 전달되면, 상기 해당 AP(300)의 식별 정보를 상기 수신된 EAP Request/Identity 메시지에 실어 USIM카드(100)로 전송한다(S101).Referring to FIG. 2, in order to detect an illegal AP, the wireless terminal 200 first acquires identification information (ie, MAC information) of an AP 300 to be connected through a beacon message transmitted from the AP 300, and then When the EAP Request / Identity message is transmitted from the AP 300 for authentication processing for the access, the identification information of the AP 300 is included in the received EAP Request / Identity message and transmitted to the USIM card 100. (S101).

상기 메시지를 수신한 USIM 카드(100)는 상기 AP의 식별정보와 자신의 식별정보(Identity값)와 기 저장되어 있는 불법 AP 목록을 암호화하고, 상기 암호화된 자신의 식별 정보와 검증 대상 AP의 식별정보와 불법 AP 목록을 EAP Response/Identity 메시지에 실어 무선 단말(200) 및 AP(300)를 통해 인증 서버(400)로 전송한다(S102). 여기서, 상기 불법 AP 목록은 이전에 인증 서버(400)로부터 제공받아 저장되거나 이전의 불법 AP 검출 과정에서 검출된 것이다.The USIM card 100 receiving the message encrypts the identification information of the AP, its identification information (Identity value), and the illegal AP list previously stored, and identifies the encrypted identification information and the verification target AP. The information and the illegal AP list are included in the EAP Response / Identity message and transmitted to the authentication server 400 through the wireless terminal 200 and the AP 300 (S102). Here, the illegal AP list has been previously received from the authentication server 400 and stored or detected in the previous illegal AP detection process.

이때, 상기 암호화는 USIM 카드(100)가 이전 EAP-AKA 인증과정에서 생성한 MK값을 사용한다. 따라서 USIM 카드(100)와 인증서버(400)는 이전 EAP-AKA과정에서 생성된 MK를 저장하고 있어야 한다. At this time, the encryption uses the MK value generated by the USIM card 100 in the previous EAP-AKA authentication process. Therefore, the USIM card 100 and the authentication server 400 should store the MK generated in the previous EAP-AKA process.

상기 EAP Response/Identity 메시지를 수신한 인증서버(400)는 상기 메시지에 포함된 암호화된 정보들을 복호화하고, 이 중에서 복호화된 AP 정보는 현재 인증서버(400)에서 관리하고 있는 접속 AP 목록 및 불법 AP 목록과 비교하여 불법 AP 인지를 판단하며, 복호화된 불법 AP 목록은 인증 서버(400)에 저장된 불법 AP 목록에 추가한다. 상기를 통하여 인증 서버(400)는 여러 USIM 카드들로부터 불법 AP 목록들을 수집할 수 있으며, 보다 신뢰성있는 불법 AP 목록을 보유할 수 있게 된다. 그리고 인증 서버(400)는 상기와 같이 수집된 불법 AP 목록을 통해 추후 불법 AP로부터 접속 요구가 있는 경우, 해당 접속을 차단한다.Upon receiving the EAP Response / Identity message, the authentication server 400 decrypts the encrypted information included in the message, and the decrypted AP information includes the list of access APs and illegal APs currently managed by the authentication server 400. It is determined whether the illegal AP is compared with the list, and the decrypted illegal AP list is added to the illegal AP list stored in the authentication server 400. Through the above, the authentication server 400 may collect illegal AP lists from various USIM cards, and may maintain a more reliable illegal AP list. The authentication server 400 blocks the access when there is a request for access from the illegal AP through the illegal AP list collected as described above.

그리고 상기 비교 결과, 상기 복호화된 AP의 식별정보가 상기 불법 AP 목록에 포함되지 않고, 현재 접속된 허가된 AP 목록에 포함되어 있으며, 합법적인 AP?판단하고, 반대로, 상기 복호화된 AP의 식별정보가 불법 AP 목록에 포함되어 있는 경우 불법 AP라 판단한다. As a result of the comparison, the identification information of the decrypted AP is not included in the illegal AP list, but is included in the list of authorized APs that are currently connected, and is determined to be a legitimate AP. Is included in the illegal AP list, it is determined to be an illegal AP.

그리고, 상기 인증 서버(400)는 상기 불법 AP인지에 대한 판단 결과를 상기 USIM 카드(100)에서 사용하는 키로 암호화한 후, 암호화된 판단 결과를 다시 EAP Request/Identity 메시지에 실어 AP(300) 및 무선 단말(200)을 통해 상기 USIM 카드(100)로 전송한다(S103). 이때, 상기 인증 서버(400)에서 새로 갱신된 불법 AP 목록을 함께 암호화하여 전송할 수 있다.In addition, the authentication server 400 encrypts the determination result of the identification of the illegal AP with a key used in the USIM card 100, and then loads the encrypted determination result in an EAP Request / Identity message again to the AP 300 and The wireless terminal 200 transmits to the USIM card 100 (S103). At this time, the authentication server 400 may encrypt and transmit the newly updated illegal AP list together.

이를 수신한 USIM 카드(100)는 상기 메시지에서 불법 AP 판단 결과를 복호화하여, 블법 AP에 대한 검증 결과를 확인하고, 그 결과에 따라 상기 접속할 AP(300)가 허가된 AP인지 아니면 불법 AP인지를 인식하며, 해당 AP가 허가된 AP로 판단되는 경우, 상기 AP(300)를 통한 정상적인 EAP 인증 과정을 수행하고, 반대로 상기 해당 AP가 불법 AP로 판단되는 경우 상기 AP(300)와의 연결 설정을 차단하고, 해당 AP를 불법 AP 목록에 등록 저장하여 추후 해당 AP로부터 접속 요구가 있는 경우 무 선 단말(200)에 접속 요구한 AP가 불법 AP라는 정보를 통지하여 접속을 차단하도록 한다. The received USIM card 100 decrypts the illegal AP determination result in the message, checks the verification result for the illegal AP, and according to the result, the USIM card 100 determines whether the AP 300 to be accessed is an authorized AP or an illegal AP. If the AP is determined to be an authorized AP, the AP performs a normal EAP authentication process through the AP 300 and, on the contrary, if the AP is determined to be an illegal AP, blocks connection establishment with the AP 300. Then, the AP is registered and stored in the illegal AP list so that when there is a request for access from the AP, the AP requesting access to the wireless terminal 200 notifies the information of the illegal AP to block the access.

상기한 동작과 상응하는 본 발명에 따른 불법 AP 검출 방법에 대하여 도 3 및 도 4의 플로우챠트를 참조하여 단계적이면서 상세하게 설명하기로 한다.A method for detecting an illegal AP according to the present invention corresponding to the above operation will be described step by step and in detail with reference to the flowcharts of FIGS. 3 and 4.

도 3은 상기 USIM 카드(100) 및 무선 단말(200) 측에서 이루어지는 불법 AP 검출 방법을 나타낸 플로우챠트이고, 도 4는 인증 서버(400)에서의 불법 AP 검출 방법을 나타낸 플로우차트이다.3 is a flowchart illustrating a method for detecting an illegal AP performed at the USIM card 100 and the wireless terminal 200, and FIG. 4 is a flowchart showing a method for detecting an illegal AP at the authentication server 400.

도 3을 참조하면, 상기 무선단말(200)은 AP(300)로부터 수신되는 비콘 메시지를 통해 검증 대상인 AP(300)의 MAC 정보를 획득한다. 그리고, 상기 AP(300)로부터 식별 확인 요청 메시지인 EAP Request / Identity 메시지가 수신되면, 상기 메시지와 상기 획득한 검증 대상 AP(300)의 MAC 정보를 USIM 카드(100)로 전달한다(S200).Referring to FIG. 3, the wireless terminal 200 obtains MAC information of the AP 300 to be verified through a beacon message received from the AP 300. When the EAP Request / Identity message, which is an identification confirmation request message, is received from the AP 300, the message and the MAC information of the acquired verification target AP 300 are transferred to the USIM card 100 (S200).

상기 USIM 카드(100)는 상기 무선 단말(200)을 통해 전송되는 AP(300)의 MAC 정보를 포함하는 EAP Request / Identity 메시지를 수신하면, 먼저 내부에 기 저장된 불법 AP 목록에 상기 AP가 포함되는 지를 확인한다(S201).When the USIM card 100 receives an EAP Request / Identity message including MAC information of the AP 300 transmitted through the wireless terminal 200, the AP is first included in an illegal AP list stored therein. Check whether (S201).

즉, 무선 단말(200)에서 획득한 MAC 정보를 갖는 AP(300)가 메모리에 저장된 다수의 불법 AP 목록중 하나의 AP와 일치하는지 판단하게 되는 것이다. That is, it is determined whether the AP 300 having the MAC information obtained from the wireless terminal 200 matches one of the plurality of illegal AP lists stored in the memory.

상기 판단 결과, 기 저장된 불법 AP 목록에 일치하는 값이 있으면, 상기 AP(300)를 불법 AP로 판단하여, 단계S210에서 해당 AP(200)와의 연결 설정을 끊는다.As a result of the determination, if there is a value matching the previously stored illegal AP list, the AP 300 is determined to be an illegal AP, and in step S210, the connection setup with the corresponding AP 200 is terminated.

반대로 상기 판단 결과, 상기 획득한 AP(300)의 MAC 정보가 메모리에 저장된 불법 AP 목록의 MAC 정보와 일치하지 않는 MAC 정보인 경우에는, 자신의 식별 정보(Identity)와 함께 상기 AP(300)의 MAC 정보 및 메모리에 저장된 불법 AP 리스트 정보를 EAP-AKA인증과정에서 생성하여 저장하고 있는 MK로 암호화한다(S203).On the contrary, if the obtained MAC information of the AP 300 is MAC information that does not match the MAC information of the illegal AP list stored in the memory, the identification information (Identity) of the AP 300 of the The MAC information and the illegal AP list information stored in the memory are encrypted with the MK generated and stored in the EAP-AKA authentication process (S203).

여기서, 모든 정보의 암호 및 복호화는 AES 암호알고리즘을 이용하여 수행하게 되는데, AES 암호 알고리즘은 일반적으로 공지된 기술이기 때문에 그 상세 방법에 대하여는 그 설명을 생략하기로 한다. Here, the encryption and decryption of all information is performed using the AES encryption algorithm. Since the AES encryption algorithm is a generally known technique, a detailed description thereof will be omitted.

이어, 상기 USIM 카드(100)는 상기한 AES 암호화 알고리즘을 통해 암호화된 AP MAC 정보와 이전에 검출된 불법 AP 목록과 자신의 식별 정보를 EAP Response / Identity 메시지에 실어 무선 단말(200) 및 AP(300)를 통해 인증서버(400)로 전송한다(S204).Subsequently, the USIM card 100 carries the AP MAC information encrypted through the AES encryption algorithm, a list of previously detected illegal APs, and its identification information in an EAP Response / Identity message. 300 is transmitted to the authentication server 400 (S204).

그리고 상기 USIM 카드(100)는 타이머(미도시)를 구동하여 상기 EAP Response/Identity 메시지 전송후의 경과 시간을 카운트하며(S205), 기 설정된 일정시간 안에 인증 서버(400)로부터 상기 메시지에 대한 응답(즉, 불법 AP 검증 결과 메시지)가 수신되는지를 판단한다(S206).The USIM card 100 drives a timer (not shown) to count the elapsed time after transmitting the EAP Response / Identity message (S205), and responds to the message from the authentication server 400 within a predetermined time. That is, it is determined whether an illegal AP verification result message is received (S206).

상기 판단 결과, 설정된 시간 내에 인증 서버(400)로부터 불법 AP 검증결과 메시지가 도착하지 않는 경우에 USIM 카드(100)는 상기 AP(300)가 인증서버(400)에 연결되지 않은 불법 AP로 판단하여, 상기 AP의 MAC 정보를 불법 AP 목록에 추가하여 저장시키고(S211), 무선 단말(200)에 통보하여 상기 AP(300)와의 연결 설정을 종료한다(S210).As a result of the determination, when the illegal AP verification result message does not arrive from the authentication server 400 within the set time, the USIM card 100 determines that the AP 300 is an illegal AP that is not connected to the authentication server 400. In addition, the MAC information of the AP is added to the list of illegal APs and stored (S211), and the wireless terminal 200 is notified to terminate the connection setup with the AP 300 (S210).

한편, 상기 S206 단계에서 설정된 시간내에 인증 서버(400)로부터 암호화된 AP 검증 결과 정보가 포함된 EAP Request / Identity 메시지가 수신되면, 상기 USIM 카드(100)는 상기 암호화된 검증 결과 정보를 AES 복호화 알고리즘을 이용하여 복호화한다(S207). 이때 상기 인증 서버(400)로부터 검증 결과와 함께 갱신된 불법 AP 목록이 함께 암호화되어 전송될 수 있으며, 상기 단계S207에서는 상기 불법 AP 목록을 함께 복호화한다. 상기 복호화된 불법 AP 목록은 내부 메모리에 함께 저장된다.On the other hand, when the EAP Request / Identity message including the encrypted AP verification result information is received from the authentication server 400 within the time set in step S206, the USIM card 100 AES decryption algorithm for the encrypted verification result information Decode by using (S207). In this case, the updated illegal AP list may be encrypted and transmitted together with the verification result from the authentication server 400. In step S207, the illegal AP list is decrypted together. The decrypted illegal AP list is stored together in the internal memory.

그리고, 상기 복호화된 결과를 참조하여 해당 AP(300)가 정당한 AP 인지를 판단하고(S208), 판단 결과, 해당 AP(300)가 정당한 AP로 판단되는 경우 USIM 카드(100)는 이후의 EAP-AKA 인증 과정을 수행하여 AP 연결 설정을 유지하여 서비스를 받을 수 있도록 한다(S209).In addition, the AP 300 determines whether the AP is a legitimate AP with reference to the decoded result (S208). When the AP 300 is determined to be a legitimate AP, the USIM card 100 determines the subsequent EAP-. By performing the AKA authentication process to maintain the AP connection settings to receive the service (S209).

그러나, 상기 S208 단계에서, 현재 접속된 해당 AP가 정당한 AP가 아니면, 이 정보를 무선 단말(200)로 제공하여 상기 AP(300)와의 연결 설정을 종료할 수 있도록 한다(S210).However, in step S208, if the AP currently connected is not a legitimate AP, this information is provided to the wireless terminal 200 to terminate the connection setup with the AP 300 (S210).

다음으로, 도 4를 참조하여, 인증 서버(400)에서의 불법 AP 검출 과정을 설명하면, 상기 인증 서버(400)는 무선 단말(200)로부터 암호화된 AP MAC 정보와, 암호화된 불법 AP 목록을 포함하는 EAP Response / Identity 메시지가 수신되면(S301), 상기 수신한 EAP Response / Identity 메시지에 포함된 identity값을 이용하여 등록된 사용자인지 확인하며 더하여, 상기 메시지에 실린 암호화된 AP의 MAC정보와 불법 AP 목록을 복호화한다(S302). 상기 복호화는 AES 알고리즘을 통해 이루어질 수 있다. Next, referring to FIG. 4, the illegal AP detection process in the authentication server 400 will be described. The authentication server 400 may encrypt the encrypted AP MAC information from the wireless terminal 200 and the encrypted illegal AP list. If an EAP Response / Identity message is received (S301), the user is registered using the identity value included in the received EAP Response / Identity message. In addition, the MAC information of the encrypted AP and the illegal AP included in the message are illegal. Decode the AP list (S302). The decryption can be done through the AES algorithm.

그리고 상기 인증 서버(400)는 상기 복호화된 AP의 MAC 정보와 자신이 현재 보유하고 있는 현재 접속된 AP 목록 및 불법 AP 목록을 비교한다(S303). The authentication server 400 compares the MAC information of the decrypted AP with the currently accessed AP list and the illegal AP list currently owned (S303).

상기 비교 결과, 상기 복호화된 AP의 MAC 정보가 현재 접속 중인 AP 목록에 존재하면 합법적인 AP로 판단하고, 불법 AP 목록에 포함되어 있으면 불법 AP로 판단하여, 상기 판단 결과를 암호화한 후, EAP Request / Identity 메시지에 실어 무선 단말(200)에 연결된 USIM 카드(100)로 전송한다(S304).As a result of the comparison, if the MAC information of the decrypted AP is present in the currently accessed AP list, it is determined to be a legitimate AP, and if it is included in the illegal AP list, it is determined to be an illegal AP, after encrypting the determination result, EAP Request / Identity message is sent to the USIM card 100 connected to the wireless terminal 200 (S304).

또한, 상기 복호화된 불법 AP 목록을 자신의 불법 AP 목록에 추가한다(S305).In addition, the decoded illegal AP list is added to its illegal AP list (S305).

더하여, 상기 단계S304에서, 인증 서버(400)는 자신이 보유한 최신의 불법 AP 목록을 암호화하여 상기 판단 결과와 함께 전송할 수 있다.In addition, in step S304, the authentication server 400 may encrypt the latest illegal AP list held by the authentication server 400 and transmit it with the determination result.

상술한 바와 같이, USIM 카드(100)와 인증서버(400)간에 AP에 대한 정보(MAC)를 주고 받음으로서, 무선 단말(200)에서 불법적인 AP와 연결되는 것을 방지하게 되는 것이다. 여기서 사용된 암호알고리즘은 AES 이외에 다른 최신 암호알고리즘을 사용할 수도 있으며 상기 AES 알고리즘에 한정되는 것은 아니다. As described above, by transmitting and receiving the information (MAC) information about the AP between the USIM card 100 and the authentication server 400, the wireless terminal 200 is to prevent the connection with the illegal AP. The encryption algorithm used herein may use other modern encryption algorithms other than AES, but is not limited to the AES algorithm.

또한, 휴대 인터넷의 경우 AP 대신에 불법적인 RAS를 검출하여 차단하는데 있어 상기한 바와 같은 동일한 방법을 이용할 수도 있음을 이해해야 할 것이다. In addition, it should be understood that the same method as described above may be used to detect and block an illegal RAS instead of the AP for the portable Internet.

이상에서 설명한 본 발명은 전술한 실시 예 및 첨부된 도면에 의해 한정되는 것이 아니고, 본 발명의 기술적 사상을 벗어나지 않는 범위 내에서 여러 가지 치환, 변형 및 변경할 수 있다는 것은 본 발명이 속하는 기술 분야에서 통상의 지식을 가진 당업자에게 있어 명백할 것이다. The present invention described above is not limited to the above-described embodiments and the accompanying drawings, and it is common in the art that various substitutions, modifications, and changes can be made without departing from the technical spirit of the present invention. It will be apparent to those skilled in the art.

상기한 바와 같은 본 발명에 따른 불법 AP 검출 방법은, AP의 MAC 정보를 획득하여 해당 정보를 자신에게 등록된 불법 AP 리스트의 각 MAC 정보와 비교하여 불법 AP의 검증을 수행하고, 불법 AP 리스트의 MAC 정보와 일치하지 않은 경우 이 정보를 인증 서버로 전송하여 인증 서버로부터 해당 AP의 불법 여부를 자신이 보유하고 있는 불법 AP 리스트의 MAC 정보와 비교하여 다시 불법 AP의 검증을 수행하여 검증 결과를 다시 USIM 카드로 전송하여 불법 AP 리스트에 등록함으로써, 추후 동일한 AP로부터 접속이 시도되는 경우 접속을 차단할 수 있도록 한 것이다. 따라서, 불법적인 AP의 접속을 통해 정보의 유출이나 불법적인 서비스의 제공을 미리 차단할 수 있는 것이다. The illegal AP detection method according to the present invention as described above, by acquiring the MAC information of the AP and compares the information with each MAC information of the illegal AP list registered to the user to verify the illegal AP, If the MAC information does not match, the information is sent to the authentication server, and the authentication server compares the AP status with the MAC information of the list of illegal APs owned by the authentication server, and performs the verification of the illegal AP again to reconfirm the verification result. By registering to the illegal AP list by sending to the USIM card, if the connection is attempted later from the same AP can be blocked. Therefore, it is possible to block the leakage of information or the provision of illegal services in advance through the access of an illegal AP.

Claims

Obtaining identification information about an access point to which the wireless terminal intends to connect;

Encrypting identification information of the access point to be accessed through a USIM card and transmitting the encrypted identification information to an authentication server;

Receiving an encrypted verification result for the access point to be accessed from the authentication server and decrypting it through the USIM card;

Blocking or allowing access to the access point based on the decrypted verification result.

The method of claim 1,

Receiving the verification result and decrypting through the USIM card, the illegal access point detection method, characterized in that further receiving and decrypt the encrypted illegal access point list from the authentication server with the verification result.

The method of claim 2,

And storing the decrypted list of illegal access points in a USIM card.

The method of claim 3,

Comparing identification information of the access point to be accessed in the USIM card with a list of previously stored illegal access points; And

And blocking access to the access point if identification information of the access point to be accessed exists in the list of illegal access points as a result of the comparison.

The method of claim 3,

Counting an elapsed time after encrypting the identification information of the access point to be accessed by the USIM card to the authentication server;

Confirming whether a verification result is received from an authentication server before the counted elapsed time exceeds a preset time; And

And if the verification result is not received within a predetermined time as a result of the checking, adding the access point to the list of illegal access points stored in the USIM card and blocking access to the access point. Access Point Detection Method.

The method of claim 1,

And identification information of the access pointer includes MAC information.

The method of claim 6, wherein the step of encrypting the identification information of the access point to be accessed through the USIM card to transmit to the authentication server,

Upon receiving the EAP Request / Identity message from the access point, after encrypting the identification information of the access point with a key (MK) generated in the previous EAP-AKA authentication process, the encrypted access point through the EAP Response / Identity message And transmitting identification information of the wireless terminal together with identification information of the wireless terminal.

The method of claim 7, further comprising: receiving an encrypted verification result for the access point to be accessed from the authentication server and decrypting the same through the USIM card.

The wireless terminal detects an illegal access point, characterized in that for receiving a verification result through an EAP Request / Identity message.

The method of claim 8, wherein based on the decrypted verification result, blocking or allowing access to the access point comprises:

When the access point to be accessed is determined to be an illegal access point, the connection with the corresponding access point is blocked, and when the access point is not an illegal access point, an illegal access point detection is performed. Way.

Receiving and decrypting, by the authentication server, identification information about the encrypted access point from the wireless terminal;

Comparing the identification information of the access point obtained by the decryption with a list of previously stored illegal access points to verify whether the access point is an illegal access point; And

Encrypting the verification result and transmitting the encrypted result to the wireless terminal.

The method of claim 10, wherein the authentication server receives and decrypts the identification information about the encrypted access point from the wireless terminal.

And receiving and decrypting an illegal access point list of the wireless terminal encrypted together with the identification information of the encrypted access point from the wireless terminal, and decrypting the illegal access point.

The method of claim 11,

And adding the decrypted illegal access point list to the illegal access point list stored in the authentication server.

The method of claim 12, wherein encrypting the verification result and transmitting the encrypted result to the wireless terminal comprises:

Encrypting the illegal access point list and transmitting the encrypted access point together with the encrypted verification result to a wireless terminal.

The method of claim 13, wherein the authentication server receives the identification information about the encrypted access point from the wireless terminal and decrypts the information.

And the authentication server receives identification information of the encrypted access point or a list of encrypted illegal access points through an EAP Response / Identity message.

The method of claim 14, wherein encrypting the verification result and transmitting the encrypted result to the wireless terminal include:

And the authentication server transmits the encrypted verification result or the encrypted illegal access point list to the wireless terminal through an EAP Request / Identity message.

The method of claim 10,

And identification information of the access point includes MAC information of the access point.