WO2006086931A1 - Methode de controle d'acces pair a pair basee sur les ports - Google Patents

Methode de controle d'acces pair a pair basee sur les ports Download PDF

Info

Publication number
WO2006086931A1
WO2006086931A1 PCT/CN2006/000248 CN2006000248W WO2006086931A1 WO 2006086931 A1 WO2006086931 A1 WO 2006086931A1 CN 2006000248 W CN2006000248 W CN 2006000248W WO 2006086931 A1 WO2006086931 A1 WO 2006086931A1
Authority
WO
WIPO (PCT)
Prior art keywords
authentication
entity
port
peer
control
Prior art date
Application number
PCT/CN2006/000248
Other languages
English (en)
French (fr)
Inventor
Xiaolong Lai
Jun Cao
Bianling Zhang
Zhenhai Huang
Hong Guo
Original Assignee
China Iwncomm Co., Ltd.
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Family has litigation
First worldwide family litigation filed litigation Critical https://patents.darts-ip.com/?family=34894446&utm_source=google_patent&utm_medium=platform_link&utm_campaign=public_patent_search&patent=WO2006086931(A1) "Global patent litigation dataset” by Darts-ip is licensed under a Creative Commons Attribution 4.0 International License.
Application filed by China Iwncomm Co., Ltd. filed Critical China Iwncomm Co., Ltd.
Priority to US11/816,715 priority Critical patent/US8176325B2/en
Priority to JP2007555443A priority patent/JP5112884B2/ja
Priority to ES06705669.7T priority patent/ES2667530T3/es
Priority to EP06705669.7A priority patent/EP1858195B1/en
Publication of WO2006086931A1 publication Critical patent/WO2006086931A1/zh

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0869—Network architectures or network communication protocols for network security for authentication of entities for achieving mutual authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0894—Escrow, recovery or storing of secret information, e.g. secret key escrow or cryptographic key storage
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/321—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving a third party or a trusted authority
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/80—Wireless

Definitions

  • the present invention relates to a network technology, and in particular, to a port-based peer-to-peer access control method. Background technique
  • Network access control generally involves three systems: users, access points, and back-end servers.
  • the back-end servers centrally manage users and access points.
  • IEEE 802. lx is called Port based network acces s control protocol.
  • the emerging access method is based on IEEE802. lx technology.
  • IEEE 802. lx technology has the advantages of control and service separation, high flexibility, strong adaptability, etc., and has been widely used in various networks.
  • many wireless networks such as the wireless local area network IEEE 802.11 and the wireless metropolitan area network IEEE802.16e adopt IEEE 802 ⁇ lx technology.
  • the key to network access control is authentication.
  • the purpose of authentication is to establish trust between users and access points. This is the basis for providing network services. Whether it is wired network access or wireless network access, a certain security mechanism is needed to achieve mutual authentication between the network and the user.
  • IEEE 802.lx is a method of implementing authentication at the link layer, which is a port-based technology.
  • a system port provides a means by which the system can access services and provide services to other systems.
  • IEEE 802. lx defines three entities:
  • Authentication End (Authenticator) -
  • the system's port control entity authenticates and authorizes the requesting end before the system provides services that are allowed to be accessed.
  • the system is called the authentication end system, and its port control entity is called the authentication end;
  • the system is to access the services provided by the authentication system.
  • the system is called a requesting system, and its port control entity is called a requesting end;
  • Authentication Authenticate Server Authentication Server
  • An authentication server is an entity that authenticates the requester on behalf of the authentication end and determines whether the requesting system can Authorized to access the services provided by the authentication system.
  • the authentication end system and the transmission medium have two access points.
  • An access point is called a controlled port. It has two states: authenticated and unauthenticated. When its state is authenticated, packets are allowed to pass; and another access point is called uncontrolled port. Packets are allowed to pass regardless of state.
  • Figure 1 shows the functional entity relationships of IEEE 802. lx.
  • IEEE 802. lx Since IEEE 802. lx only provides a framework for authentication, in actual use it is combined with the Extensible Authentication Protocol (EAP) to provide authentication and key agreement.
  • the structure of IEEE 802. lx is The peer-to-peer structure has very different functions between the requesting end and the authentication end. The requesting end does not have a port control function, and the authentication end does not have an authentication function. The authentication is performed between the requesting end and the authentication server. Although the authentication server can be authenticated.
  • the implementation is implemented in one system, but this will greatly reduce the advantage of IEEE 802. lx for centralized control of the authentication end.
  • the currently widely used method is that the authentication server and the authentication end are implemented in different systems. When authenticating, the authentication server directly The authentication result is passed to the authentication end.
  • the key negotiation needs to be performed between the authentication server and the requesting end, and then the authentication server sends the negotiated key to the authentication end, the requesting end, and the authentication.
  • the terminal performs authentication and key negotiation based on the dynamic shared key. Therefore, its disadvantages are:
  • the structure of IEEE 802. lx is a non-equivalent structure, and the functions of the requesting end and the authentication end are quite different.
  • the requesting end does not have a port control function, and the authentication end does not have an authentication function.
  • the authentication is performed between the requesting end and the authentication server.
  • the authentication server can be implemented in one system with the authentication end, this will greatly reduce the advantages of IEEE 802. lx for centralized control of the authentication end.
  • the key negotiation process is complicated. The key is used for data protection between the requester and the authentication end, but it is negotiated between the requesting end and the authentication server, and then negotiated between the requesting end and the authentication end.
  • the object of the present invention is to solve the deficiencies of the background art and to provide a peer-to-peer access control method by changing the inequality of the background art.
  • the method of the invention not only satisfies the requirements of centralized management, but also solves the technical problems of the complicated process, poor security performance and poor scalability of the existing network access control method, and provides a fundamental guarantee for the secure access of the network.
  • a port-based peer-to-peer access control method comprising
  • the authentication control entity When the user and the access point want to communicate, first enable the authentication control entity; the authentication control entity has a unique identity for authentication, which includes the authentication subsystem and the connection authentication subsystem and transmission Two access points of the medium; the two access points include a controlled port and an uncontrolled port; the authentication subsystem includes an authentication and port control function, and the authentication subsystem is connected to an uncontrolled port. The state transition of the controlled port is controlled by the authentication subsystem;
  • Two authentication control entities mutually authenticate two authentication control entities communicate through uncontrolled ports, and their authentication subsystems perform mutual authentication;
  • the above method may also include
  • Enabling the authentication server entity when the user and the access point are to communicate, first enabling the authentication control entity and the authentication server entity; the authentication server entity storing security management information about the authentication control entity; the authentication server entity and the authentication control The authentication subsystem of the entity is connected, and the authentication subsystem in the authentication server entity and the authentication control entity exchange security management messages to provide information necessary for authentication; the authentication subsystem completes the authentication process with the assistance of the authentication server entity, or Complete the certification process yourself.
  • the above authentication server entity stores attribute information of the authentication control entity, and the authentication service The entity passes the attribute information to the occupant control entity.
  • the above method may also include
  • the two authentication subsystems perform key negotiation: the authentication subsystem includes a key negotiation function, and when the two authentication control entities authenticate each other, key negotiation may be performed during the authentication process or after the authentication is completed; After the authentication is completed independently, the key negotiation is performed by the two authentication control entities.
  • the authentication subsystem may complete the key negotiation process with the assistance of the authentication JI server entity, or complete the key negotiation process by itself.
  • the above authentication server entity stores attribute information of the authentication control entity, and the authentication server entity passes the attribute information to the certificate control entity.
  • the above method may also include
  • the authentication subsystem sets the status of the controlled port to authenticated, and the controlled port changes from the disconnected state to the closed state, allowing the data packet to pass. If the authentication and key negotiation process is unsuccessful, the authentication subsystem sets the status of the controlled port to unauthenticated, and the controlled port remains disconnected.
  • the above-mentioned authentication control entity and the authentication server entity may be in one system or in different systems; the one system may include one authentication control entity or multiple authentication control entities.
  • Peer-to-peer control The method enables the user and the access point to include the authentication control entity, and the user and the access point can directly perform authentication, that is, equalization, and provide more powerful support for the authentication function;
  • the certification control entity is distinguishable.
  • the authentication control entity has an independent identity and is no longer a simple controller of the authentication server.
  • the identity of the authentication control entity is separated from the essential dependence on the authentication server entity, so that the authentication control entity itself is distinguishable;
  • the authentication control entity can directly perform key negotiation with other authentication control entities, which restores the directness of key negotiation, simplifies network implementation, and enhances Safety;
  • the key negotiation process is simple.
  • the authentication control entity can perform key negotiation directly with other authentication control entities, which reduces complexity and improves the efficiency of key negotiation.
  • the authentication server entity is a security manager of the authentication control entity, and includes the function of key management in the authentication technology.
  • the several entities of the present invention together constitute a complete security system, and independently complete the authentication and key negotiation functions;
  • the authentication server entity can provide a wealth of additional features with great flexibility;
  • the implementation is flexible.
  • the functional entities defined by this method are not required to be implemented in different network systems, and one network system can implement one or more functional entities.
  • the authentication control entity and the authentication server entity are implemented in the same network system.
  • an authentication server entity is not required to correspond to one authentication control entity, and one authentication server entity can correspond to and manage multiple authentication control entities.
  • the authentication control entity 1 communicates with the authentication server entity through the uncontrolled port of the authentication control entity 2. Illustration of the drawing
  • Figure 1 is a functional entity connection diagram of IEEE 802. lx;
  • FIG. 3 is a schematic diagram of an authentication server entity and an authentication control entity implemented in a system according to the present invention
  • FIG. 4 is a schematic diagram of an authentication server entity corresponding to multiple authentication control entities according to the present invention. detailed description
  • the invention comprises the following two entities:
  • the authentication control entity includes two access points connected to the transmission medium.
  • An access point is called a controlled port and has two states: the status of the certificate and the status of the unauthenticated.
  • a packet is allowed to pass when its state is authenticated, and another access point is called an uncontrolled port, which allows packets to pass regardless of state.
  • the controlled and uncontrolled ports of the authentication control entity receive packets from the underlying transport medium simultaneously.
  • the authentication control entity includes an authentication subsystem, and the authentication subsystem implements authentication and key agreement. And other security features and port control features.
  • the authentication subsystem is connected to the uncontrolled port, and the state transition of the controlled port is controlled by the authentication subsystem.
  • the authentication control entity has a unique identity for authentication and can implement authentication functions independently.
  • the authentication server entity stores security management information about the authentication control entity, which is coupled to the authentication subsystem of the authentication control entity.
  • the authentication server entity and the authentication subsystem in the authentication control entity exchange security management messages to provide information necessary for authentication, but the authentication server entity does not perform authentication on behalf of the authentication control entity.
  • the authentication server entity also stores attribute information of the authentication control entity, and the authentication server entity passes the attribute information to the authentication control entity according to the application requirements.
  • Two authentication control entities mutually authenticate Two authentication control entities communicate through uncontrolled ports, and their authentication subsystems authenticate each other.
  • the authentication subsystem can complete the authentication process on its own without the assistance of an authentication server entity.
  • Two authentication control entities perform key negotiation: If two authentication control entities need to perform key negotiation, the key negotiation may be completed simultaneously with the authentication in the authentication process, or may be performed independently after the authentication process is completed. If the key negotiation is performed independently after the authentication is completed, the key negotiation is completed by the two authentication control entities themselves, and the participation of the authentication server entity is not required.
  • Two authentication control entities mutually authenticate two authentication control entities pass uncontrolled
  • the authentication subsystem can complete the authentication process with the assistance of the authentication server entity, and can complete the authentication process by itself without the assistance of the authentication server entity.
  • Two authentication control entities perform key negotiation: If two authentication control entities need to perform key negotiation, the key negotiation may be completed simultaneously with the authentication in the authentication process, or may be performed independently after the authentication process is completed. If the key negotiation is performed independently after the authentication is completed, the key negotiation is completed by the two authentication control entities themselves, and the participation of the authentication server entity is not required.
  • both the user and the access point include the authentication control entity
  • the user and the access point can directly authenticate, that is, peer-to-peer access control, which provides more powerful support for the authentication function.
  • the authentication control entity has an independent identity and is no longer a simple controller of the authentication server entity. The identity of the authentication control entity is separated from the essential dependence on the authentication server entity, so that the authentication control entity itself is distinguishable.
  • the authentication control entity can directly perform key negotiation with other authentication control entities, which restores the directness of key negotiation.
  • the authentication server is the security manager of the authentication control entity. It includes the key management function in the authentication technology, which constitutes a complete security system and independently completes the authentication and key negotiation functions.
  • both the user and the access point in the network access control implement authentication through the authentication control entity, and the background server performs security management through the authentication server entity.
  • PPPoE Point to Point Protocol over Ethernet
  • IEEE 802.11 Wireless LAN

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Small-Scale Networks (AREA)
  • Computer And Data Communications (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Mobile Radio Communication Systems (AREA)

Description

基于端口的对等访问控制方法 技术领域
本发明涉及一种网络技术， 尤其涉及一种基于端口的对等访问控 制方法。 背景技术
网络访问控制一般涉及三个系统： 用户、 接入点和后台服务器， 后台服务器对用户和接入点进行集中管理。 IEEE 802. lx 称为基于端 口的访问控制协议 ( Port based network acces s control protocol ) 。 当前有线网络中， 除了传统的浏览器 （WEB/Portal )访问控制方法和 以太网上的点到点协议 PPPoE ( Point to Point Protocol over Ethernet )访问控制方法以外， 新兴的访问方法则基于 IEEE802. lx 技术。 IEEE 802. lx技术具有控制和业务分离， 高灵活性， 强适应性 等优点， 已在各种网絡中广泛应用。 而且众多的无线网絡如无线局域 网 IEEE 802. 11、 无线城域网 IEEE802. 16e等都采用 IEEE 802· lx技 术。
网络访问控制的关键是认证， 认证的目的是要在用户和接入点之 间建立信任， 这是提供网络服务的基础。 无论是有线网络接入还是无 线网絡接入都需要采用某一种安全机制来实现网络和用户之间的相互 认证。
IEEE 802. lx是在链路层实现认证的方法， 它是基于端口的技术。 一个系统的端口提供了一个方法， 通过这种方法使该系统访问其他系 统的服务和提供服务给其他系统。
IEEE 802. lx定义了三种实体：
认证端 （ Authenticator ) - -在系统提供的服务在允许被访问 前， 系统的端口控制实体要对请求端进行 证和授权。 该系统称为认 证端系统， 它的端口控制实体称为认证端；
请求端（Suppl icant ) - -系统要访问由认证端系统所提供服务。 该系统称为请求端系统， 它的端口控制实体称为请求端；
认证 JI良务器（Authent icat ion Server) 一 -认证 务器是这样一 个实体， 它代表认证端来鉴别请求端的资格， 决定请求端系统是否能 获得授权， 去访问由认证端系统所提供的服务。
认证端系统和传输媒介有两个访问点。 一个访问点称为受控端 口， 它有两个状态： 认证的和未认证的， 当它的状态是认证的时， 才 允许数据包通过； 而另一个访问点称为非受控端口， 它无论状态如何， 都允许数据包通过。
图 1给出了 IEEE 802. lx的功能实体关系。
由于 IEEE 802. lx只提供了一个认证的框架， 在实际使用中则是 和可 "展认证协议 EAP ( Extens ible Authent icat ion Protocol ) 结 合来提供认证及密钥协商。 IEEE 802. lx 的结构是不对等结构， 请求 端和认证端功能相差很大。 请求端没有端口控制功能， 而认证端没有 认证功能， 认证是在请求端和认证 ϋ良务器之间进行的。 虽然认证服务 器可以和认证端在一个系统中实现， 但这将大大减弱 IEEE 802. lx对 认证端集中控制的优势。 而目前普遍采用的方法是认证服务器和认证 端在不同的系统中实现。 认证时， 认证服务器直接把认证结果传递给 认证端； 若还要进行密钥协商， 密钥协商需在认证服务器和渚求端之 间进行， 然后由认证服务器将协商的出来的密钥发送给认证端， 请求 端和认证端基于动态的共享密钥进行认证与密钥协商。 因此其存在的 缺点是：
1、 IEEE 802. lx的结构是不对等结构， 请求端和认证端功能相差 很大。 请求端没有端口控制功能， 而认证端没有认证功能， 认证是在 请求端和认证服务器之间进行的。 虽然认证服务器可以和认证端在一 个系统中实现， 但这将大大减弱 IEEE 802. lx对认证端集中控制的优 势。
2、 可扩展性差。 在每一个认证端和认证服务器之间存在预定义 的安全通道。 安全通道越多， 需要耗费的认证服务器系统资源越多， 管理也越复杂， 因此不宜配置大量的安全通道， 网络扩展性受限；
3、 密钥协商过程复杂。 密钥用于请求端和认证端之间的数据保 护， 却要先在请求端和认证服务器之间协商， 再在请求端和认证端之 间协商。
4、 引入新的攻击点， 安全性有所降低。 请求端和认证服务器协 商出来的主密钥由认证服务器传递给认证端。 密钥在网络上传递， 引 入了新的安全攻击点。 5、 认证端没有独立的身份。 对于请求端， 同一认证服务器管理 下的认证端的身份是不可区分的， 在需要区分认证端的应用环境下要 增加额外的功能实体， 这带来了复杂性。 发明内容
本发明的目的要解决背景技术的不足之处， 通过改变背景技术的 不对等性， 提供一种对等的访问控制方法。 本发明的方法既能满足 集中管理的要求， 又解决了现有网络访问控制方法的过程复杂、 安 全性能差、 可扩展性差等技术问题， 为网絡的安全访问提供了根本 保障。
本发明的技术解决方案如下： 一种基于端口的对等访问控制方 法， 该方法包括
1) 启用认证控制实体： 当用户和接入点要进行通信时， 先启用 认证控制实体； 所述的认证控制实体具有用于认证的唯一身份， 其包 括认证子系统以及连接认证子系统和传输媒介的两个访问点； 所述的 两个访问点包括受控端口和非受控端口； 所述的认证子系统包括实现 认证和端口控制功能， 所述的认证子系统和非受控端口相连， 受控端 口的状态转变由认证子系统控制；
2) 两个认证控制实体相互认证： 两个认证控制实体通过非受控 端口进行通信， 它们的认证子系统进行相互的认证；
3) 设定受控端口的状态： 当认证成功， 认证子系统设定受控端 口的状态为认证的， 受控端口从断开状态转变为闭合状态， 允许数据 包通过； 若认证不成功， 认证子系统设定受控端口的状态为未认证的， 受控端口仍然保持断开状态。
上述方法还可包括
启用认证服务器实体： 当用户和接入点要进行通信时， 先启用认 证控制实体和认证服务器实体； 所述认证服务器实体存储有关认证控 制实体的安全管理信息； 所述的认证服务器实体和认证控制实体的认 证子系统相连接， 认证服务器实体和认证控制实体中的认证子系统交 互安全管理消息， 提供认证所必须的信息； 所述认证子系统是在认证 服务器实体的辅助下完成认证过程， 或自行完成认证过程。
上述的认证服务器实体存储认证控制实体的属性信息， 认证服务 器实体把属性信息传递给认征控制实体。
上述方法还可包括
两个认证子系统进行密钥协商： 所述的认证子系统包括密钥协商 功能， 所述的两个认证控制实体相互认证时， 在认证过程中或认证完 成后， 可进行密钥协商； 若是在认证完成后独立进行密钥协商， 那么 密钥协商由两个认证控制实体自行完成。
上述的密钥协商在认证过程中和认证同时完成时， 认证子系统可 以在认证 JI艮务器实体的辅助下完成密钥协商过程， 或自行完成密钥协 商过程。
上述的认证服务器实体存储认证控制实体的属性信息， 认证服务 器实体把属性信息传递给 证控制实体。
上述方法还可包括
设定受控端口的状态： 当认证及密钥协商过程都成功完成后， 认 证子系统设定受控端口的状态为认证的， 受控端口从断开状态转变为 闭合状态， 允许数据包通过； 若认证及密钥协商过程不成功， 认证子 系统设定受控端口的状态为未认证的， 受控端口仍然保持断开状态。
上述认证控制实体和认证服务器实体可以在一个系统中， 也可以 在不同系统中； 所述一个系统可以包含一个认证控制实体， 也可以包 含多个认证控制实体。
本发明的优点是：
1、 对等化控制。 本方法使用户和接入点都包含认证控制实体， 则用户和接入点可以直接进行认证， 即对等化， 对认证功能提供了更 强大的支持；
2、 认证控制实体具有可区分性。 认证控制实体具有独立的身份， 不再是认证服务器的简单受控者， 认证控制实体独立的身份使之脱离 了对认证服务器实体的本质依赖， 从而认证控制实体本身具有可区分 性；
3、 扩展性好。 认证控制实体和认证服务器实体之间不必存在预 定义的安全通道， 便于认证服务器实体对认证控制实体进行集中控 制， 具有很好的扩展性；
4、 安全性好。 认证控制实体可以直接和其他的认证控制实体进 行密钥协商， 还原了密钥协商的直接性， 简化了网络的实现， 并增强 了安全性；
5、 密钥协商过程简单。 认证控制实体可以直接和其他的认证控 制实体进行密钥协商， 降低了复杂性， 提高了密钥协商的效率；
6、 系统相对完整。 认证服务器实体是认证控制实体的安全管理 者， 包含了认证技术中密钥管理的功能， 本发明的几个实体一起构成 了完整的安全系统， 独立完成认证及密钥协商功能；
7、 灵活性高。 认证服务器实体可以提供丰富的附加功能， 具有 很强的灵活性；
8、 实现方式灵活。 本方法定义的功能实体并不要求在不同的网 络系统中实现， 一个网络系统可以实现一个或多个功能实体。 如图 3 所示， 认证控制实体和认证服务器实体在同一个网络系统内实现。 同 时也不要求一个认证服务器实体对应一个认证控制实体， 一个认证服 务器实体可以对应、 管理多个认证控制实体。 如图 4 所示， 认证控制 实体 1通过认证控制实体 2的非受控端口和认证服务器实体通信。 附图图面说明
图 1是 IEEE 802. lx的功能实体连接关系图；
图 2是本发明的功能实体连接关系图；
图 3 是本发明认证服务器实体和认证控制实体在一个系统内实现 的原理图；
图 4 是本发明一个认证服务器实体对应多个认证控制实体的原理 图。 具体实施方式
本发明包含以下两种实体：
1) 认证控制实体：
认证控制实体包括和传输媒介相连的两个访问点。 一个访问点称 为受控端口， 它有两个状态： 认证的状态和未认证的状态。 当它的状 态是认证的时， 才允许数据包通过； 而另一个访问点称为非受控端口， 它无论状态如何， 都允许数据包通过。 认证控制实体的受控端口和非 受控端口会同时收到下层传输媒介的数据包。
认证控制实体包含认证子系统， 认证子系统实现认证、 密钥协商 等安全功能和端口控制功能。 认证子系统和非受控端口相连， 受控端 口的状态转变由认证子系统控制。
认证控制实体具有用于认证的唯一身份， 可以独立的实现认证功 能。
2) 认证服务器实体：
认证服务器实体存储有关认证控制实体的安全管理信息， 它和认 证控制实体的认证子系统相连接。 在认证控制实体和其他认证控制实 体进行认证时， 认证服务器实体和认证控制实体中的认证子系统交互 安全管理消息， 提供认证所必须的信息， 但认证服务器实体并不代表 认证控制实体完成认证。 认证服务器实体还存储认证控制实体的属性 信息， 根据应用需要， 认证服务器实体把属性信息传递给认证控制实 体。
认证控制实体和认证服务器实体的关系如附图 2所示。
本发明的对等访问控制方法的一种具体过程：
1) 启用认证控制实体： 当用户和接入点要进行通信时， 它们都 必须先启用认证控制实体。
2) 两个认证控制实体相互认证： 两个认证控制实体通过非受控 端口进行通信， 它们的认证子系统进行相互的认证。 认证子系统可以 不需要认证服务器实体的辅助， 自行完成认证过程。
3) 两个认证控制实体进行密钥协商： 如果两个认证控制实体需 要进行密钥协商， 则密钥协商可以在认证过程中和认证同时完成， 也 可以在认证过程完成后独立进行。 若是在认证完成后独立进行密钥协 商， 那么密钥协商由两个认证控制实体自行完成， 不需要认证服务器 实体的参加。
4) 设定受控端口的状态： 当认证及密钥协商成功， 认证子系统 设定受控端口的状态为认证的， 受控端口从断开状态转变为闭合状 态， 允许数据包通过； 若认证不成功， 认证子系统设定受控端口的状 态为未认证的， 受控端口仍然保持断开状态。
本发明的对等访问控制方法的另一种具体过程：
1) 启用认证控制实体和认证 Ji 务器实体： 当用户和接入点要进 行通信时， 它们都启用认证控制实体和认证服务器实体。
2) 两个认证控制实体相互认证： 两个认证控制实体通过非受控 端口进行通信， 它们的认征子系统进行相互的认证。 认证子系统可以 在认证服务器实体的辅助下完成认证过程， 还可以不需要认证 Ji艮务器 实体的辅助， 自行完成认证过程。
3) 两个认证控制实体进行密钥协商： 如果两个认证控制实体需 要进行密钥协商， 则密钥协商可以在认证过程中和认证同时完成， 也 可以在认证过程完成后独立进行。 若是在认证完成后独立进行密钥协 商， 那么密钥协商由两个认证控制实体自行完成， 不需要认证服务器 实体的参加。
4) 设定受控端口的状态： 当认证及密钥协商成功， 认证子系统 设定受控端口的状态为认证的， 受控端口从断开状态转变为闭合状 态， 允许数据包通过； 若认证不成功， 认证子系统设定受控端口的状 态为未认证的， 受控端口仍然保持断开状态。
认证控制实体和认证服务器实体的关系如附图 2所示。
本发明的原理是：
使用户和接入点都包含认证控制实体， 则用户和接入点可以直接 进行认证， 即对等的访问控制， 对认证功能提供了更强大的支持。 认 证控制实体具有独立的身份， 不再是认证服务器实体的简单受控者。 认证控制实体独立的身份使之脱离了对认证服务器实体的本质依赖， 从而认证控制实体本身具有可区分性。 认证控制实体可以直接和其他 的认证控制实体进行密钥协商， 还原了密钥协商的直接性。 认证服务 器是认证控制实体的安全管理者， 包含了认证技术中密钥管理的功 能， 构成了完整的安全系统， 独立完成认证及密钥协商功能。
在实践应用中， 网络接入控制中的用户和接入点都通过认证控制 实体实现认证， 而后台服务器通过认证服务器实体进行安全管理。
本发明所涉及的技术术语如下：
IEEE 802. lx 基于端口的访问控制协议 ( Port based network access control protocol ) ；
PPPoE -点到点协议 ( Point to Point Protocol over Ethernet ) ； IEEE 802. 11 -无线局域网；
IEEE802. 16e -无线城域网；
Authent icator -认证端；
Suppl icant -请求端； Authentication Server -认证服务器；
EAP一可护展认证协议 ( Extensible Authentication Protocol )

Claims

权 利 要 求
1、 一种基于端口的对等访问控制方法， 其特征在于： 所述方法 包括
1) 启用认证控制实体： 当用户和接入点要进行通信时， 先启用 认证控制实体； 所述的认证控制实体具有用于认证的唯一身份， 其包 括认证子系统以及连接认证子系统和传输媒介的两个访问点； 所述的 两个访问点包括受控端口和非受控端口； 所述的认证子系统包括实现 认证和端口控制功能， 所述的认证子系统和非受控端口相连， 受控端 口的状态转变由认证子系统控制；
2) 两个认证控制实体相互认证： 两个认证控制实体通过非受控 端口进行通信， 它们的认证子系统进行相互的认证；
3) 设定受控端口的状态： 当认证成功， 认证子系统设定受控端 口的状态为认证的， 受控端口从断开状态转变为闭合状态， 允许数据 包通过； 若认证不成功， 认证子系统设定受控端口的状态为未认证的， 受控端口仍然保持断开状态。
2、 根据权利要求 1 所述的基于端口的对等访问控制方法， 其特 征在于： 所述方法包括
启用认证服务器实体： 当用户和接入点要进行通信时， 先启用认 证控制实体和认证服务器实体； 所述认证服务器实体存储有关认证控 制实体的安全管理信息； 所述的认证服务器实体和认证控制实体的认 证子系统相连接， 认证服务器实体和认证控制实体中的认证子系统交 互安全管理消息， 提供认证所必须的信息； 所述认证子系统是在认证 服务器实体的辅助下完成认证过程， 或自行完成认证过程。
3、 根据权利要求 1 或 1 所述的基于端口的对等访问控制方法， 其特征在于： 所述方法包括
两个认证子系统进行密钥协商： 所述的认证子系统包括密钥协商 功能， 所述的两个认证控制实体相互认证时， 在认证过程中或认证完 成后， 可进行密钥协商； 若是在认证完成后独立进行密钥协商， 那么 密钥协商由两个认证控制实体自行完成。
4、 根据权利要求 3 所述的基于端口的对等访问控制方法， 其特 征在于： 所述的密钥协商在认证过程中和认证同时完成时， 认证子系 统可以在认证服务器实体的辅助下完成密钥协商过程， 或自行完成密 钥协商过程。
5、 根据权利要求 1 或 2 所述的基于端口的对等访问控制方法， 其特征在于： 所述的认证服务器实体存储认证控制实体的属性信息， 认证服务器实体把属性信息传递给认证控制实体。
6、 根据权利要求 3 所述的基于端口的对等访问控制方法， 其特 征在于： 所述的认证服务器实体存储认证控制实体的属性信息， 认证 服务器实体把属性信息传递给认证控制实体。
7、 根据权利要求 3 所述的基于端口的对等访问控制方法， 其特 征在于： 所述方法包括
设定受控端口的状态： 当认证及密钥协商过程都成功完成后， 认 证子系统设定受控端口的状态为认证的， 受控端口从断开状态转变为 闭合状态， 允许数据包通过； 若认证及密钥协商过程不成功， 认证子 系统设定受控端口的状态为未认证的， 受控端口仍然保持断开状态。
8、 根据权利要求 1 或 2 所述的基于端口的对等访问控制方法， 其特征在于： 所述认证控制实体和认证 JI良务器实体可以在一个系统 中， 也可以在不同系统中； 所述一个系统可以包含一个认证控制实体， 也可以包含多个认证控制实体。
PCT/CN2006/000248 2005-02-21 2006-02-21 Methode de controle d'acces pair a pair basee sur les ports WO2006086931A1 (fr)

Priority Applications (4)

Application Number Priority Date Filing Date Title
US11/816,715 US8176325B2 (en) 2005-02-21 2006-02-21 Peer-to-peer access control method based on ports
JP2007555443A JP5112884B2 (ja) 2005-02-21 2006-02-21 ポートベースのピアアクセス制御方法
ES06705669.7T ES2667530T3 (es) 2005-02-21 2006-02-21 Método de control de acceso entre iguales basado en puertos
EP06705669.7A EP1858195B1 (en) 2005-02-21 2006-02-21 A peer-to-peer access control method based on ports

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN200510041713A CN1655504B (zh) 2005-02-21 2005-02-21 基于端口的对等访问控制方法
CN200510041713.3 2005-02-21

Publications (1)

Publication Number Publication Date
WO2006086931A1 true WO2006086931A1 (fr) 2006-08-24

Family

ID=34894446

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2006/000248 WO2006086931A1 (fr) 2005-02-21 2006-02-21 Methode de controle d'acces pair a pair basee sur les ports

Country Status (7)

Country Link
US (1) US8176325B2 (zh)
EP (1) EP1858195B1 (zh)
JP (1) JP5112884B2 (zh)
KR (1) KR101218701B1 (zh)
CN (1) CN1655504B (zh)
ES (1) ES2667530T3 (zh)
WO (1) WO2006086931A1 (zh)

Cited By (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2008282298A (ja) * 2007-05-14 2008-11-20 Panasonic Corp システム管理作業承認システム、システム管理作業承認方法及びそのプログラム
JP2009065623A (ja) * 2007-09-10 2009-03-26 Ricoh Co Ltd 通信装置
JP2011503732A (ja) * 2007-11-16 2011-01-27 西安西▲電▼捷通▲無▼綫▲網▼絡通信股▲分▼有限公司 ３エレメントピア認証に基づく信頼されているネットワークアクセス制御方法
JP2011512699A (ja) * 2007-12-29 2011-04-21 西安西電捷通無線網絡通信有限公司 無線マルチホップネットワークのための認証アクセス方法及び認証アクセスシステム
JP2014241142A (ja) * 2008-06-30 2014-12-25 アゾス アイ リミテッド ライアビリティ カンパニー 自律型セキュリティ保護を組み込まれるデータ認知のシステムおよび方法

Families Citing this family (12)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1655504B (zh) * 2005-02-21 2010-05-05 西安西电捷通无线网络通信有限公司 基于端口的对等访问控制方法
CN100566252C (zh) * 2007-08-03 2009-12-02 西安西电捷通无线网络通信有限公司 一种基于三元对等鉴别的可信网络连接系统
CN101217811B (zh) * 2008-01-17 2010-06-02 西安西电捷通无线网络通信有限公司 一种宽带无线多媒体网络广播通信的安全传输方法
US8484705B2 (en) * 2008-04-25 2013-07-09 Hewlett-Packard Development Company, L.P. System and method for installing authentication credentials on a remote network device
KR101017972B1 (ko) 2008-06-26 2011-03-02 삼성전자주식회사 이동통신 단말기에서 보안 연계 상태 동기화 장치 및 방법
CN101527718B (zh) 2009-04-16 2011-02-16 西安西电捷通无线网络通信股份有限公司 一种建立三元对等鉴别可信网络连接架构的方法
CN101540676B (zh) 2009-04-28 2012-05-23 西安西电捷通无线网络通信股份有限公司 一种适合三元对等鉴别可信网络连接架构的平台鉴别方法
US9294447B2 (en) 2011-04-18 2016-03-22 Hewlett-Packard Development Company, L.P. Access control
US8909929B2 (en) * 2012-05-31 2014-12-09 Atmel Corporation Stored public key validity registers for cryptographic devices and systems
US9549024B2 (en) 2012-12-07 2017-01-17 Remote Media, Llc Routing and synchronization system, method, and manager
CN104168171B (zh) * 2014-08-12 2017-12-01 深信服科技股份有限公司 接入点的访问方法及装置
US20180013798A1 (en) * 2016-07-07 2018-01-11 Cisco Technology, Inc. Automatic link security

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2003079191A1 (en) * 2002-03-11 2003-09-25 Visionshare, Inc. Method and system for peer-to-peer secure communication
CN1466273A (zh) * 2002-09-06 2004-01-07 联想(北京)有限公司 一种无线设备间进行连接认证的方法

Family Cites Families (12)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6311218B1 (en) * 1996-10-17 2001-10-30 3Com Corporation Method and apparatus for providing security in a star network connection using public key cryptography
JP2000004433A (ja) * 1998-06-16 2000-01-07 Toshiba Corp データ処理装置および同装置に適用される認証処理方法
US6569316B2 (en) * 2000-04-17 2003-05-27 Exxonmobil Research And Engineering Company Cycle oil conversion process incorporating shape-selective zeolite catalysts
JP2002344438A (ja) * 2001-05-14 2002-11-29 Nippon Telegr & Teleph Corp <Ntt> 鍵共有システム及び装置並びにプログラム
US7181530B1 (en) * 2001-07-27 2007-02-20 Cisco Technology, Inc. Rogue AP detection
MXPA05001699A (es) * 2002-08-16 2005-07-22 Togewa Holding Ag Metodo y sistema para autentificacion gsm al navegar en wlan.
CN1142662C (zh) * 2002-10-16 2004-03-17 华为技术有限公司 同时支持基于不同设备网络接入认证的方法
CN100341305C (zh) * 2002-11-26 2007-10-03 华为技术有限公司 基于802.1x协议的组播控制方法
TWI249316B (en) * 2004-02-10 2006-02-11 Ind Tech Res Inst SIM-based authentication method for supporting inter-AP fast handover
US7447166B1 (en) * 2004-11-02 2008-11-04 Cisco Technology, Inc. Method to distribute IEEE 802.1X authenticated users among multiple broadcast domains
ATE431033T1 (de) * 2004-12-30 2009-05-15 Telecom Italia Spa Verfahren und system zur erkennung von attacken in drahtlosen datenkommunikationsnetzen
CN1655504B (zh) * 2005-02-21 2010-05-05 西安西电捷通无线网络通信有限公司 基于端口的对等访问控制方法

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2003079191A1 (en) * 2002-03-11 2003-09-25 Visionshare, Inc. Method and system for peer-to-peer secure communication
CN1466273A (zh) * 2002-09-06 2004-01-07 联想(北京)有限公司 一种无线设备间进行连接认证的方法

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
See also references of EP1858195A4 *

Cited By (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2008282298A (ja) * 2007-05-14 2008-11-20 Panasonic Corp システム管理作業承認システム、システム管理作業承認方法及びそのプログラム
JP2009065623A (ja) * 2007-09-10 2009-03-26 Ricoh Co Ltd 通信装置
JP2011503732A (ja) * 2007-11-16 2011-01-27 西安西▲電▼捷通▲無▼綫▲網▼絡通信股▲分▼有限公司 ３エレメントピア認証に基づく信頼されているネットワークアクセス制御方法
US8424060B2 (en) 2007-11-16 2013-04-16 China Iwncomm Co., Ltd. Trusted network access controlling method based on tri-element peer authentication
JP2011512699A (ja) * 2007-12-29 2011-04-21 西安西電捷通無線網絡通信有限公司 無線マルチホップネットワークのための認証アクセス方法及び認証アクセスシステム
US8656153B2 (en) 2007-12-29 2014-02-18 China Iwncomm Co., Ltd. Authentication access method and authentication access system for wireless multi-hop network
JP2014241142A (ja) * 2008-06-30 2014-12-25 アゾス アイ リミテッド ライアビリティ カンパニー 自律型セキュリティ保護を組み込まれるデータ認知のシステムおよび方法

Also Published As

Publication number Publication date
EP1858195A4 (en) 2010-06-02
US20080288777A1 (en) 2008-11-20
JP2008530698A (ja) 2008-08-07
KR101218701B1 (ko) 2013-01-07
JP5112884B2 (ja) 2013-01-09
CN1655504A (zh) 2005-08-17
ES2667530T3 (es) 2018-05-11
KR20070122459A (ko) 2007-12-31
CN1655504B (zh) 2010-05-05
EP1858195A1 (en) 2007-11-21
US8176325B2 (en) 2012-05-08
EP1858195B1 (en) 2018-04-04

Similar Documents

Publication Publication Date Title
WO2006086931A1 (fr) Methode de controle d&#39;acces pair a pair basee sur les ports
KR101144572B1 (ko) 무선 다중?홉 네트워크에 대한 인증 엑세스 방법 및 인증 엑세스 시스템
KR101198570B1 (ko) Ｉｄ 기반 무선 멀티-홉 네트워크 인증 액세스의 방법，장치 및 시스템
EP1997292B1 (en) Establishing communications
EP1713289B1 (en) A method for establishing security association between the roaming subscriber and the server of the visited network
WO2006086932A1 (fr) Methode d&#39;authentification d&#39;acces adaptee aux reseaux avec et sans fils
WO2007085175A1 (fr) Procédé, système d&#39;authentification et centre d&#39;authentification reposant sur des communications de bout en bout dans le réseau mobile
WO2008083628A1 (fr) Serveur d&#39;authentification, procédé, système et dispositif d&#39;authentification mutuelle dans un réseau sans fil maillé
CN101335621B (zh) 一种802.11i密钥管理方法
WO2008080351A1 (fr) Procédé d&#39;exploitation de réseau local sans fil basé sur une infrastructure d&#39;authentification et de confidentialité de wlan (wapi)
WO2008074233A1 (fr) Procédé de contrôle d&#39;accès p2p faisant intervenir une structure à trois éléments
US9736156B2 (en) WLAN user fixed network accessing method and system
WO2007131426A1 (en) Aaa system and authentication method of multi-hosts network
WO2007112692A1 (fr) Procédé de communication dans le réseau d&#39;utilisateur et système correspondant
WO2008074234A1 (fr) Système de contrôle d&#39;accès p2p faisant intervenir une structure à trois éléments et dispositif d&#39;autorisation associé
CN101521884A (zh) 一种自组网模式下安全关联建立方法及终端
CN101272297B (zh) 一种WiMAX网络用户EAP认证方法
WO2012113225A1 (zh) 安全访问wapi网络的方法、装置及系统
JP4584776B2 (ja) ゲートウェイ装置およびプログラム
CN101902507B (zh) 一种地址分配方法、装置和系统
WO2011035514A1 (zh) 一种基于隧道技术的三元鉴别可扩展方法及其系统
WO2011072512A1 (zh) 一种支持多受控端口的访问控制方法及其系统
Park et al. A new user authentication protocol for mobile terminals in wireless network
Prasad Securing Mesh Networks: A Novel Solution for Home Scenario
CN102035802A (zh) 一种认证控制的方法,认证服务器和系统

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application
WWE Wipo information: entry into national phase

Ref document number: 2007555443

Country of ref document: JP

NENP Non-entry into the national phase

Ref country code: DE

WWE Wipo information: entry into national phase

Ref document number: 2006705669

Country of ref document: EP

WWE Wipo information: entry into national phase

Ref document number: 1020077021552

Country of ref document: KR

WWP Wipo information: published in national office

Ref document number: 2006705669

Country of ref document: EP

WWE Wipo information: entry into national phase

Ref document number: 11816715

Country of ref document: US