TWI345427B - System and method for determining location of rogue wireless access point - Google Patents

Description

1345427 九、發明說明： 【發明所屬之技術領域】 較隨著無線網路之快速發展，許多組織（例如公司、大學與 醫院等)已建立或計劃建立無線網路，作為有線網路之補充 或替代方案。相信該等無線網路能夠增加效率與生產力。 =而’無線網路的-缺點㈣等網路之安全。有線網路通 常封閉於組織之安全與受保護之房屋内，與有線網路不同， 無線網路之元件（例如無線存取點「Ap」）可能分散在組織 之所有房屋内。 【先前技術】 對無線網路安全的一主要威脅係未授權AP。未授權Ap係 —未認可API未認可Ap允許m未馳織允許之情 况下存取組織之網路。例如，可能由於惡意企圖（例如擬存 取組織之儲存在網路中之資料）建立未授權AP。未授權AP 之運用之另一範例係威脅較小之情形：組織的成員(例如雇 員）可能在沒有正確認可之情況下將未授權Ap接人組織之 祠路換。之，可能已認可該雇員使用組織之網路，但可 能並未認可使用該特^Αρ。例如，如果雇員決枝用其個 人AP以更方便地存取組織之網路，則可能發生以上情況。 如果AP未被正確配置成提供認可使用者之安全存取，則使 用兼谷硬體之未認可使用者也可能獲得對網路之存取。 ’函蓋組織房屋之外之實體區域時，以上問題可能係要特別 關心之處。此時，未認可使用者可能無需實體地進入組織 之房屋即可存取網路。 97096.doc 1345427 網路管理員需監視網路之流

織之房屋内以高精度（例如兩英呎之内）決定未授權Ap之特 定位置之系統與方法。 為解決未授權AP之威脅，網路管: 量。一旦彳貞 將其移除。 能將AP隱藏 權AP隱藏在 【發明内容】

可A P之通知後，該通信網路之至少三個認可a p開始追蹤該 未認可AP的一信標。 部分地依據追蹤該追蹤信標期間獲得之資訊產生一追蹤 資料記錄。該追蹤資料記錄可能包括該等認可AP2每一認 可AP的一位置，以及⑴一第一強度資料與（u)一第一時間資 料中之至少一項，其中該第一強度資料對應於藉由該等認 可AP之每一認可Ap測量之該追蹤信標的一強度，該第一時 間資料對應於該追蹤信標到達該等認可Ap之每一認可Ap 所花費之一時間週期。根據⑴該追蹤記錄與（ii)一校準記錄 t之至少一項來決定該未認可AP之位置。該校準記錄可能 包括（a)—第二強度資料與一第二時間資料中之至少一項， 其中該第二強度資料對應於從該通信網路内的一預定位置 傳送並由該等認可AP之每一認可AP接收的一校準信標之 強度’該第二時間資料對應於該校準信標從該預定位置到 97096.doc 1345427 達該等認可AP之每一認可AP所花費之時間週期，（b)該預 定位置與（c)該等認可AP之每一認可AP之位置。 【實施方式】 圖1顯示依據本發明之無線網路（尤其係無線區域網路 (「WLAN」）1 00)之範例性具體實施例。WLAN 100可能包 括複數個認可存取點（「AP」）10、20與30。WLAN 100可能 也包括複數個認可行動單元MU(例如MU 1至5)與至少一伺 服器（例如伺服器70)。可能直接將AP 1 0至30連接至伺服器 70。WLAN 100包括資料庫82，該資料庫82儲存關於認可裝 置、認可使用者與WLAN之資產之位置等之資料。該資料 庫82可能也包括關於被明確禁止存取WLAN 100之裝置之 識別資訊。 MU 1藉由AP 10至30存取WLAN 100之各項資產。依據 MU 1在特定時間所處之位置，MU 1可能藉由最接近之AP 存取WLAN 100。所有AP週期性地傳送信標信號，可能使 用該信標信號決定最接近之AP。例如，MU 1可能決定AP 20 係最接近之AP。因此，MU 1藉由AP 20與WLAN 100建立無 線通信，而不係藉由AP 10或AP 30。 如果MU 1之使用者嘗試存取伺服器70，則MU 1首先等待 與AP 20通信之通信通道可用。一旦該通信通道可用時， MU 1向AP 20傳送鑑認訊息，要求存取WLAN 100。該鑑認 訊息可能包含使用者之識別資料（例如登陸名稱與密碼）。 AP 20從MU 1接收到該鑑認訊息後，AP 20便啟動鑑認程 序。鑑認程序可能包括確認從使用者處接收到之識別資料 97096.doc 1345427 與儲存在資料庫82中之資料。如果未能確認識別資料，則 拒絕MU 1存取WLAN 100。但如果確認識別資料，則AP 20 傳送對應之回應，認可MU 1存取WLAN 100。MU 1接收到 認可後，MU 1可能藉由AP 20存取WLAN 100。例如，MU 1 之使用者可能隨後存取伺服器70。 未認可使用者可能希望運用未認可或未授權AP 60獲得 對WLAN 100之存取，尤其係對伺服器70之存取。可能配置 未授權AP 60，以在批准對WLAN 100之存取前檢查其居民 資料庫。例如，藉由未認可使用者配置之AP 60之居民資料 庫可能包含該未認可使用者之登陸名稱及/或密碼。或者， 可能配置未授權AP 60，以在未經確認來自鑑認訊息之識別 資料之情況下批准存取。然後，未授權AP 60可能提供未授 權MU 6對WLAN 100之存取。 未認可使用者可能藉由未授權AP 60使用MU 6存取伺服 器70。MU 6向未授權AP 60傳送鑑認訊息，其中由該未認 可使用者配置該未授權AP 60，以允許MU 6存取WLAN 100。未認可使用者可能藉由與認可使用者相同之方式登錄 來獲得對伺服器70之存取。 圖2顯示依據本發明之範例性具體實施例的一方法，該方 法用於以高精度（例如兩英p尺内）決定未授權AP 6 0之位置。 可能按照與另一已知物體或位置之關係決定未授權AP 60 可能所處之位置或特定區域（例如，在以Smith或Alex先生之 辦公室内的一印表機為中心三英呎直徑内，或接待區内一 靠近門口，等等）。參考圖1說明該方法。熟悉技術人士應 97096.doc 1345427 瞭解’可能使用具有不同配置之其他系統，例如不同數目 之AP、WLAN或MU，以實施該範例性方法。 在步驟11.0 ’偵測到未授權AP 60，並將其識別為未認可 AP。熟悉技術人士應瞭解，可能以多種方法實現對未授權 AP 60之偵測。例如，網路管理員可能使用檢漏器程式監視 WLAN 100之流量’以偵測任何未授權ap 60。 用於偵測未授權AP 60之另一方法可能涉及信標信號。所 有AP週期性地傳送該等信標。信標信號可能包括資訊，該 資訊包括傳送方AP之MAC位址、服務集識別（r ssm」）與 支援的資料速率等。MAC位址係由製造商指定之識別符， 因此其用作AP之製造商識別。SSID識別由特定WLAN飼服 之虛擬區域網路（「VLAN」）。VLAN可能包括單一 WLAN(例 如WLAN 100)或複數個WLAN。反之，WLAN 100可能作為 複數個VLAN ’且來自與WLAN 1 〇〇關聯之AP之特定AP信標 包含一 SSID清單。 依據儲存於信標信號中之資訊，決定接收到之該信標信 號是來自認可AP還是來自未認可ap ^可以依據兩範例性準 則進行此決定。可能在該等準則中選擇一準則使用，或聯 合使用該等準則’以決定該特定AP是否係未認可ap。熟悉 技術人士應瞭解’可能存在用於作出該決定之其他複數個 準則。 第一個範例性準則係依據對傳送方AP之MAC位址之製 造商識別之確認。比較儲存於信標信號中之資料與儲存於 資料庫82中之資料’儲存於資料庫82中之資料包含認可Ap 97096.doc 1345427 之資料。

第二個範例性準則係依據確認儲存於信標信號中之SSID 與儲存於資料庫82中認可SSID。如果運用此準則，則網路 官理員或另一認可使用者可能產生有效SSID之清單。因 此’如果未授權AP 60係由認可之製造商製造，但信標中之 SSID係無效的，則會摘測到未授權Ap 6〇之存在。熟悉技術 人士應瞭解，網路管理員也可能在認可Ap之信標中插入其 他代碼’可能使用該等代碼來識別認可/未認可AP。 在步驟120 ’ 一旦決定該信標係從未認可之未授權ap 6〇 處接收到的，則啟動「設置陷阱」程序。該「設置陷阱」 程序建立可能對追縱未授權Ap 60有用之資訊之資料記 錄。3亥負料記錄可能包括’例如，ap 1〇之MAC與SSID位 址以及未授權AP 60之MAC與SSID位址。該資料記錄也可 月b包括建立該資料記錄之時間與曰期以及用於偵測未授權 AP 60之準則（例如，未確認之製造商MAc位址與沒有匹配 之SSID等）。 啟動「設置陷阱」程序後，指示位於距未授權Ap 6〇預定 範圍内之AP(即偵測到未授權Ap之該等Ap)追蹤未授權Ap 60發射之信標信號，例如，假設全部Ap丨〇至3〇都偵測到未 授權AP 60，則全部AP 1〇至3〇也都追蹤所偵測到之未授權 AP 60之信號。 可能藉由運用接收信號強度指示（r RSSI」，以dBm為單 位測量）資料及/或到達時間差（「DT〇A」，以ns為單位測量） 資料決定未授權AP 60之實體位置，如以下所詳細討論。雖 97096.doc -10- 1345427 然可能只需DTOA資料或RSSI資料中之一項資料即足以計 算出未授權AP 60之位置。但較佳兼用該等資料組，以提供 未授權AP 60之位置之最精確之計算。 如果要運用RSSI，則設置陷阱程序之前，需要執行校準 程序。校準程序對DTOA係可選的。可能藉由在WLAN 100 内之多個特定位置（即地標）放置計算裝置（例如MU 4或任 何AP)實現校準程序。地標可能係接待區域、刊物室、儲物 間與伺服器室等。校準程序期間產生如下所示之校準資料。 校準表 AP 10 AP20 AP30 接待區域 -10 dBm 4 ns -20 dBm 3 ns -30 dBm 2 ns 刊物室 -40 dBm 1 ns -20 dBm 3 ns -20 dBm 3 ns 儲物間 -30 dBm 2 ns -10 dBm 4 ns -20 dBm 3 ns 伺服器室 -20 dBm 3 ns -30 dBm 2 ns -10 dBm 4 ns 此校準表顯示包括RSSI資料與DTOA資料之範例性校準 資料，其中藉由每一 AP 10至30在WLAN 100内之四個不同 地標處記錄該校準資料。特定言之，每一 AP 1 0至30獲得不 同之資料讀取，此係由於每一 AP 10至30與MU 4之間之距 離不同。較佳使校準程序重複幾分鐘，以獲得精確的校準 資料。 在步驟1 32，AP 1 0至30可能記錄並分析信標信號，以產 生RSSI資料。然後，將RSSI資料傳送至伺服器70，以進一 步分析（步驟140)。或者，由對應AP儲存RSSI資料，並由伺 服器70週期性地擷取RSSI資料，或自動週期性地將RSSI資 97096.doc 11 1345427 料轉遞至伺服器7。可能使用通用之簡單網絡管理協定 (SNMP」）或類似協定實施用於處理該RSSI資料之通信之 系統。 為使用RS SI資料決定未授權Ap 之位置，較佳至少使用 三個參考點（即AP 10至30)。三個參考點（例如Ap 1〇至3〇) 表示计异第四個點（即未授權Ap 6〇)之位置所需之三維空間 (即WLAN 100所處之建築）内之最小數目之位置。由於未授 權AP 60連續傳送信標信號，所以AP 1〇至30可能連續接收 並編輯對應RSSI資料。此三維空間内僅存在一點與由Αρ Μ 至30從未授權AP 60處收集之所有三個RSSI資料點關聯。 也可能使用DTOA資料藉由對未授權Ap 6〇與三個參考點 (AP 1 〇至30)之間之距離進行三角測量來決定未授權 之位置。在補充或替代之方案中，可能使用DT〇A資料以及 杈準育料決定位置。在步驟13〇, Ap 1〇至3〇獨自或結合rssi 資料集合產生DTOA資料。可能藉由處理自未授權Ap 6〇接 收到之信標信號並測量該等信標信號到達對應Ap 1〇至3〇 所·化費之時間產生DT0A資料。為使用DT〇A資料決定未授 權AP 60之位置，至少需要三個參考點（即Ap 1〇至3〇)。 在步驟150，伺服器70分析自Ap 1〇至3〇接收之RSS]^/ 或DTOA資料’並比較該等資料與校準程序間產生之rssi 及/或DTOA資料。RSSI及/或DTOA資料允許伺服器70決定 未授權AP 60與該等對應AP 1〇至3〇之間之距離。例如，如 果AP20記錄下比AP3〇更強之信號強度值，則可能八卩仰位 於更靠近AP20處。如果八？2〇與八1>3〇中有一者或兩者都使 97096.doc 1345427 用定向天線，則可能以更高之精度作出決定。 RSSI及/或DTOA資料向伺服器70提供充足之距離資料， 以決定WLAN 100内之未授權AP 60之位置。換言之，由於 伺服器70具有從RSSI及/或DTOA資料獲得之每一 Ap 1〇至 3 〇與未授權AP 60之間之距離資料’所以伺服器％可以計算 未授權AP 60相對於該等AP 10至30之位置。以下係決定未 授權AP 60之位置的一範例性方法。首先，使用RSSI資料與 校準資料決定未授權AP 60之位置。然後，藉由使用dT〇a 資料之三角測量進一步精確定位未授權Ap 6〇之位置。 然後，伺服器70可能在WLAN 100之圖（例如圖丨）上顯示 計算之結果，並且由於AP 10至30之位置係已知的，可能在 該圖上覆蓋AP 1〇至30。可能結合組織之建築之實體圖（例 如建築設計圊）使用WLAN 100之圖。 已參考具有WLAN 100的一具體實施例說明本發明，其中 該WLAN 1〇〇具有AP 1〇至3〇、單一未授權Ap 6〇 一認可 MU 1與伺服器7〇。熟悉技術人士應瞭解，例如，也可能針 對WLAN中之複數個未授權Ap與複數個Ap等成功實施本 心月據此，可以對該等具體實施例進行各種修改與更改， 而無需背離在以下申請專利範圍中所述之本發明最廣泛之 精神與範。因此，應將本說明書及圖式視為說明性的， 而不係具有限制意義。 【圖式簡單說明】 圖1顯不依據本發明之系統之範例性具體實施例；及 圖2顯不依據本發明之方法之範例性具體實施例。 97096.doc 1345427 【主要元件符號說明】 1 認可行動單元 2 認可行動單元 3 認可行動單元 4 認可行動單元 5 認可行動單元 6 未授權行動單元 10 認可存取點 20 認可存取點 30 認可存取點 60 未認可存取點 70 伺服器 82 資料庫 97096.doc

Claims (1)

134542¾ 093133047號專利申請案 t文申請專利範圍替換本(100年1月^ * ' 十、申請專利範圍： 1 _ 一種用以決定存取一通信網路的一未認可無線存取點· (AP)的一位置之方法，其包括： . · 接到存在該未認可AP之通知後，使用該通信網路之至 少三個認可AP追蹤該未認可ap的一信標； 部分地依據該追蹤步驟中獲得之資訊產生一追蹤資料 記錄，該追蹤資料記錄包括該等認可Ap之每一認可Ap的 一位置以及⑴一第一強度資料與（ii) 一第一時間資料中之 至少一項，其中該第一強資料對應於藉由該等認可AP之 _ 每一認可AP測量之該信標的一強度，該第一時間資料對 應於该彳§標到達該等認可AP之每一認可ap所花費之一 時間週期；及 根據⑴該追蹤資料記錄與（ii) 一校準記錄中之至少一 項來決定該未認可AP之該位置，該校準記錄可能包括（a) 一第二強度資料與一第二時間資料中之至少一項，其中 該第二強度資料對應於從該通信網路内的一預定位置傳 送並由該等認可AP之每一認可AP接收的一校準信標之 參 強度’該第二時間資料對應於該校準信標從該預定位置 到達該等認可AP之每一認可AP所花費的一時間週期，（b) 該預定位置與（c)該等認可AP之每一認可AP之該位置。 2·如請求項1之方法，其中該追蹤資料記錄包括該第一強度 資料，該決定包括一根據該等第一與第二強度資料來計 算S玄未認可AP之該位置之子步驟。 3.如請求項1之方法，其中該追蹤資料記錄包括該第一時間 97096-1000128.doc 資料，兮A h 夕# 士 疋包括⑴使用該第一時間資料對該未認可ΛΡ 、:位置進行三角測量之子步驟與（Π)根據該等第一與 ，間t料來計算該未認可ΑΡ之該位置之子步驟兩者 中之至少一子步驟。 4·如清求項1之方法，其進一步包括： 在錢縱步驟之前，執行包括町子步驟的—校準程 序· 在该通信網路内之複數個預定位置放置一校準裝置； 上使用„亥等s忍可Ap之每一認可Ap追蹤該校準裝置之 5亥校準信標，·及 依據該追蹤子步驟中產生之資料產生該校準記錄。 5·如請求項】之方法，其進一步包括： 在6亥通信網路的一地圖上標出該等認可A P之每一認可 AP之該位置與該決定之該等結果。 6·如請求項1之方法’其中該追縱資料記錄包括該未認可AP 的一 mac位址。 月求項1之方法，其中該追縱步驟包括根據該等認可Ap 之地理位置從该通信網路之複數個可用認可AP中選擇至 少二個認可AP之子步驟。 8.如請求項1之方法，其進一步包括： 在邊產生之後，將該追蹤資料記錄儲存於該等認可A? 之每一認可AP的一記憶體配置中；及 向》玄通k網路的-電腦提供該追縱資料記錄， 其中藉由該電腦執行該決定。 97096-1000128.doc -2- 1345427 一種用以決定存取一通信網路的一未認可無線存取點 (AP)的一位置之系統，其包括： 複數個認可AP ;及 · 一計算配置， 其中接到存在該未認可AP之通知後，該等複數個認可 AP之至少三個認可AP追蹤該未認可AP的一信標，該等至 少二個s忍可AP產生一追縱資料記錄，該追縱資料記錄包 括該等認可AP之每一認可AP的一位置，及⑴一第—強度 資料與（ii)一第一時間資料中之至少一項，其中該第一強 度資料對應於藉由該等認可AP之每一認可AP測量之該 信標的一強度’該第一時間資料對應於一該信標到達該等 認可AP之每一認可AP所花費之一時間週期，及 其中一電腦根據該追蹤資料記錄與一校準資料記錄來 決夂該未認可AP之精確位置，該校準資料記錄包括（&)(〇 一第二強度資料與（ii)一第二時間資料中之至少一項，其 中遠第二強度資料對應於從該通信網路内的一預定位置 傳送並由該等認可AP之每一認可AP接收的一校準信標 的一強度，該第二時間資料對應於該校準信標從該預定 位置到達該等認可AP之每一認可Ap所花費的一時間週 期（b)。玄預疋位置與（c)該等認可Ap之每一認可Ap之該位 置。 10.如請求項9之系統，其進—步包含： 傳送該校準彳§標的一校準裝置，該校準裝置包括一無 線發射器。 97096-1000128.doc 1345427 Η.如請求項10之系統，其中該校準裝置係一無線行動裝置 與一AP中的一項。 12. 如印求項9之系統，其中如果該追蹤資料記錄包括該第一 強度資料，則該計算配置根據該等第一與第二強度資料 來計算該未認可AP之該位置。 13. 如請求項9之系統，其中如果該追蹤資料記錄包括該第一 時間資料，則該計算配置包括以下至少一項：⑴使用該 第時間資料對該未認可AP之該精確位置進行三角測量 與（11)根據該等第一與第二時間資料來計算該未認可Ap 之该位置。 14. 如請求項9之系統，其中該計算配置在該通信網路的一地 圖上覆蓋該等認可AP之每一認可AP與該未認可Ap之位 置。 15’如吻求項9之系統，其中該追蹤資料記錄包括該未認可A? 的一 mac位址。 16.如凊求項9之系統，其中該計算配置從複數個認可中選 擇至少三個認可AP，以根據該等認可AP之每一認可AP之 该位置來追蹤該未認可AP。 1 7.如明求項9之系統，其中將該追蹤資料記錄置於該等認可 AP之每—認可Ap的一記憶體配置中，並在⑴一預定時間 週期到期時或（Π)存在來自該計算配置之請求時，將該追 縱資料記錄提供至該計算配置。 1 8_如清求項9之系統，其中該計算配置決定該未認可AP之該 存在’该計算配置指示該等至少三個認可Ap啟動對該未 97096-1000128.doc 1345427 認可AP之該信標之追蹤。 19 ,一種用以決定存取一ίδ Ai-i i. k L、.周路的一未認可無線存取點 (AP)的一位置之計算裝置，其包括： »己It體配置’其用於儲存—校準資料記錄； 通仏配置’其用於與該等認可AP通信；及 -處理#’其根據—追縱資料記錄與該校準資料記錄 中之至少一項來決定該未認可Ap之該精確位置， 其中藉由追蹤該未認可Ap期間之複數個認可Ap中之 至少三個認可AP產生該追蹤資料記錄’該追蹤資料記錄 包括該等認可AP之每一認可八卩的一位置，並包括⑴一第 一強度資料與（Π)一第一時間資料中之至少一項，其t該 第一強度資料對應於藉由該等認可A p之每一認可A p測 董的-追蹤信標的-強度’該第—時間資料對應於該追 縱信標到達該等認可ΑΡΜ —認可Ap所花f之—時間週 期，及 α中》亥k準寊料5己錄包括（a)⑴一第二強度資料與（H) -第二時間資料中之至少一項’其中該第二強度資料對 應於從該通信網路内的一預定位置傳送並由該等認可Ap 之每一認可AP接收的一校準信標的一強度，該第二時間 貧料對應於該校準信標從該預定位置到達該等認可Ap之 每-認可AP所花費之時間週期’該校準記錄還包括⑻該 預疋位置與（c)該等認可AP之每一認可Ap之位置。 97096-1000i28.doc 1345427 丄第〇93i33〇47號專利申請案yg 中文說明書替換頁(100年1月f 七、指定代表圖： (一) 本案指定代表圖為：第（2 )圖。 (二) 本代表圖之元件符號簡單說明： (無元件符號說明） 八、本案若有化學式時，請揭示最能顯示發明特徵的化學式： (無） 97096-1000128.doc -4-