WO2006120316A1 - Wireless network communication method using management frames comprising an electronic signature - Google Patents

Wireless network communication method using management frames comprising an electronic signature Download PDF

Info

Publication number
WO2006120316A1
WO2006120316A1 PCT/FR2006/000922 FR2006000922W WO2006120316A1 WO 2006120316 A1 WO2006120316 A1 WO 2006120316A1 FR 2006000922 W FR2006000922 W FR 2006000922W WO 2006120316 A1 WO2006120316 A1 WO 2006120316A1
Authority
WO
WIPO (PCT)
Prior art keywords
access point
signature
station
value
field
Prior art date
Application number
PCT/FR2006/000922
Other languages
French (fr)
Inventor
Fabrice Stevens
Laurent Butti
Franck Veysset
Original Assignee
France Telecom
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by France Telecom filed Critical France Telecom
Publication of WO2006120316A1 publication Critical patent/WO2006120316A1/en

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/12—Applying verification of the received information
    • H04L63/123—Applying verification of the received information received data contents, e.g. message integrity
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/50—Secure pairing of devices
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2463/00—Additional details relating to network architectures or network communication protocols for network security covered by H04L63/00
    • H04L2463/061—Additional details relating to network architectures or network communication protocols for network security covered by H04L63/00 applying further key derivation, e.g. deriving traffic keys from a pair-wise master key
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W84/00—Network topologies
    • H04W84/18—Self-organising networks, e.g. ad-hoc networks or sensor networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W88/00—Devices specially adapted for wireless communication networks, e.g. terminals, base stations or access point devices
    • H04W88/08—Access point devices

Definitions

  • the present invention relates to wireless networks, including the operations necessary to secure the exchange of data between a station and at least one access point to a wireless network.
  • the present invention relates to a method of communication between at least one station and at least one access point to a wireless network, for example WiFi or Wimax, in which management frames, used for the dissemination of information. (Access point capabilities, measurement of radio resources, etc.), the association, or authentication between the station and at least one access point, is exchanged prior to the exchange of data frames.
  • a wireless network for example WiFi or Wimax
  • management frames used for the dissemination of information.
  • wireless networks such as WiFi
  • radius of several tens of meters indoors generally between twenty and fifty meters
  • several hundred meters in open environment or more in the case of Wimax.
  • Wireless networks are increasingly used in open networks called "Hot-Spots" (public areas with a high concentration of users and clearly delineated such as cafes, libraries, train stations, airports, hotels, trains ...), or corporate or residential networks.
  • Hot-Spots public areas with a high concentration of users and clearly delineated such as cafes, libraries, train stations, airports, hotels, trains Certainly, or corporate or residential networks.
  • the solutions proposed at the present time are based on the use of SSL / IPsec tunnels techniques to make secure connections to, for example, an Intranet; but these solutions do not solve the problem of association with a legitimate access point (il).
  • the invention relates to a method of communication between a station and at least one access point to a wireless network in which management frames are exchanged prior to the exchange of data frames.
  • the management frames are used in particular for the association, or 1 authentication between the station and at least one access point, and are exchanged prior to the exchange of data frames.
  • the method of the invention is characterized in that it comprises a step consisting in generating and including an electronic signature, at at least one access point, by electronic signature means, in at least one of the management frames transmitted by this access point; and a validation step of the authenticity of these frames, at the station, by means of validation of the authenticity of the electronic signature.
  • the access point includes a signature in at least one management frame, so that the client (station) validates preferentially, ie manually (the user of the station validating his choices) or automatically ( according to a previous configuration of the station) the authenticity of the access points present in the geographical zone in which it is located, so that it can decide, or not, to connect to it.
  • the access point can sign all management frames issued or only some of them.
  • the station retrieves information - to be authenticated - on the nearby access points
  • beacon frames transmitted by at least one access point where at least one frame transmitted by at least one access point comprises a signature generated by signature means.
  • electronic a validation operation of the authenticity of this frame being performed at the station, by means of validation of the authenticity of the electronic signature.
  • the station is able to distinguish on the one hand the access points considered as authenticated; and secondly, unauthenticated access points. These can, moreover, be perfectly valid but, not being authenticated, it is difficult to grant them any confidence.
  • the electronic signature is effected by signature means based on an asymmetric key logic, for example a Public Key Infrastructure (PKI) or an Infrastructure based on Identity (IBC).
  • PKI Public Key Infrastructure
  • IBC Infrastructure based on Identity
  • the asymmetric key is used to perform the electronic signature operations and can also be used for encryption operations. It can thus be used for sending by the station a master symmetric key, from which one or more signature and encryption keys can be derived.
  • the use of a symmetric key thereafter increases the speed of calculation.
  • the invention relates to a wireless network configured in infrastructure mode where each station connects to an access point via a wireless link, but may also be implemented when the wireless network is configured in ad mode. hoc where an access point may be constituted by another station. In ad hoc mode the client wireless machines connect to each other in order to constitute a point-to-point network ("peer to peer" in English), that is to say a network in which each machine plays at the same time the client role and the access point role.
  • each frame sent by a station wishing to obtain authenticated responses to at least one access point comprises a field (SNONCE) whose value is a random one, different for each transmitted frame; and each frame transmitted by an access point and which one wishes to authenticate comprises in particular a field (ANONCE) whose value is an incremented counter to each management frame transmitted, and a field containing the electronic signature.
  • SNONCE field
  • ANONCE field whose value is an incremented counter to each management frame transmitted
  • each frame including a signature, issued by an access point, and responding to a frame from the client further comprises a field SNONCE containing the value of the randomness equal to the randomness of the frame from the client to which she answers.
  • the electronic signature is applied, for example, to at least one of the following elements: the source address of the management frame, the destination address of this frame, the counter of the field (ANONCE), and the field (SNONCE) for frames that understand it.
  • a hash function In an alternative, it is performed from a hash function. In one embodiment, it is performed from a hash using the asymmetrical key possessed by the access point, or from the symmetrical signature key derived from the master symmetric key described above.
  • the hash function can also be applied, for example, to at least one of the following elements: the source address of the management frame, the destination address of this frame, the counter of the ANONCE field and the SNONCE field. for the frames that understand it.
  • the invention also relates to an access point to a wireless network, for example WiFi or Wimax, comprising communication means, at least one data frame and management frame, to at least one station, this access point. characterized in that it further comprises electronic signature means configured to include a signature in at least one of the management frames transmitted by that access point.
  • the access point comprises means for counting the frames transmitted, for example a counter (ANONCE) incremented to each management frame comprising a signature and issued by this access point.
  • ANONCE a counter incremented to each management frame comprising a signature and issued by this access point.
  • the present invention relates to a station configured to communicate with at least one access point to a wireless network, for example WiFi or Wimax, by communication means comprising at least data frames and management frames, said station being characterized in that, said access point transmitting management frames comprising an electronic signature, the station further comprises means for validating the authenticity of these frames transmitted by the access point, by means for validating the authenticity of the electronic signature.
  • the station comprises means for randomly generating (SNONCE) at each management frame transmitted.
  • FIG. 1 represents a diagram of machine operation in the state for the WiFi type networks
  • FIG. 2 represents a diagram of the operation of the method, according to the preferred embodiment, for the search, authentication and association steps
  • FIG. 3 represents a diagram of the operation of the method, according to FIG. preferred embodiment, for the re-association steps
  • FIG. 4 represents an operating diagram of the method, according to the preferred embodiment, for the dis-association steps
  • FIG. 5 represents a diagram of the operation of the method, according to the preferred embodiment, for the de-authentication steps, - FIG.
  • All the management frames involved in the process are as follows: - Beacon frames: frames sent regularly by the access points in order to inform the client equipment (stations) of their presence and a set characteristics of their own (network name %),
  • - Re-association request from a station to an access point. Reassociations occur when the station is removed from its access point or when there is too much traffic on an access point (load balancing function).
  • - Re-association response from an access point to a station, contains a notification of acceptance or rejection of reassociation,
  • beacon frames are most often of "broadcast” type (broadcast), and issued by the access point.
  • Query frames (sent by a station to at least one access point) are the source of the client, and destination the access point.
  • ANONCE and SNONCE refer respectively to the fields ANONCE and SNONCE or their value.
  • the wireless network is preferably configured in infrastructure mode.
  • the set formed by the access point and the stations located in its coverage area is called a basic service set (BSS) and constitutes a cell.
  • BSS basic service set
  • Each BSS is identified by a BSSID, a 6-byte (48-bit) identifier.
  • the BSSID is the MAC address of the wireless interface of the access point.
  • the distribution system can be either a wired network, a cable between two access points or even a wireless network.
  • An ESS is identified by an ESSID ("Service Set Identifier"), that is to say an identifier serving as a name for the network.
  • Probe Request a probe request containing I 1 ESSID for which it is configured so that the flow rates that its wireless adapter supports. If no ESSID is configured, the station listens to the network for an SSID.
  • each access point broadcasts regularly (at a rate of about every 0.1 seconds) a beacon (called “beacon” in English) giving information on its BSSID, its characteristics and possibly its ESSID.
  • the network can be configured in ad hoc mode where an access point is constituted by another station.
  • the present invention is part of an authentication process where different types of management frames are sent by each part of the system (station and access point), in order to be able to change state upon reception of certain categories. of frames.
  • Such an operation is described in the state machine shown in FIG. 1, where one passes successively from the state 10 (unauthenticated, not associated) to the state 20 (authenticated, not associated) by a step 12 of successful authentication; and from state 20 to state 30 (authenticated, associated) by a step 23 of successful association or re-association.
  • state 30 is changed to state 20 by a disassociation step; and from the state 20 to the state 10 by a de-authentication step 21, or from the state 30 to the state 10 by a de-authentication step 31.
  • the present invention is based on the same state machine, performing operations on frames sent / received in order to validate the transition from one state to another according to the information contained in the management frames.
  • the electronic signature is effected by signature means based on an asymmetric key logic (techniques based on public key infrastructures).
  • a public key infrastructure PKI
  • an identity-based infrastructure can be used.
  • IBC identity-based infrastructure
  • the advantage of such solutions (IBC) being that the client (station) has, in this case, not need certificate but only a known public key known (for example the couple ⁇ SSID, BSSID ⁇ of the point d access).
  • the asymmetric key can be used to send a master symmetric key from the station, from which one or more signature and encryption keys can be derived.
  • each frame transmitted by a station to at least one access point is a frame comprising a field (SNONCE) whose value is a random different to each transmitted frame.
  • Each frame transmitted by an access point comprises in particular a field (ANONCE) whose value is an incremented counter for each management frame sent, and a field containing the electronic signature.
  • ANONCE a field whose value is an incremented counter for each management frame sent
  • the value of the field is a cryptographic signature using a secret key specific to the access point. It is performed, for example, from a hash function.
  • the hash function is applied to at least one of the following elements: the source address of the management frame, the destination address of this frame, the counter of the field ( ANONCE) and the field (SNONCE) for frames that understand it.
  • the value (ANONCE) is a counter incremented by the access point to each management frame comprising a signature and issued by this access point. In this sense, it starts at a certain value, typically zero, and is increased by one at each management frame transmission including a signature.
  • each signed frame sent by an access point responds to a frame from the client and preferably includes, besides the signature and the field (ANONCE), a field containing the value randomness (SNONCE) equal to the randomness of the frame from the client to which it responds.
  • ANONCE signature and the field
  • SNONCE value randomness
  • the station At each reception by the station of a response frame to a frame previously sent by it, the station furthermore verifies that the value (SNONCE) in the response frame, or in the signature, is equal to the value (SNONCE ) of his previous request.
  • the invention also relates to an access point to a wireless network, for example WiFi or Wimax, comprising communication means, at least data frames and management frames, to at least one station.
  • a wireless network for example WiFi or Wimax
  • the access point further includes electronic signature means configured to include a signature in at least one of the management frames transmitted by that access point.
  • the access point comprises means for counting the frames transmitted, for example a counter (ANONCE) incremented to each management frame comprising a signature and issued by this access point.
  • ANONCE a counter incremented to each management frame comprising a signature and issued by this access point.
  • it is configured to receive from at least one station, first frames of management each comprising a field (SNONCE) whose value is a random one, different for each transmitted frame, and respectively sending second management frames in response to these first frames; this access point comprising means for copying the random (SNONCE) of each first frame received in each second frame respectively transmitted in response to this first frame.
  • first frames of management each comprising a field (SNONCE) whose value is a random one, different for each transmitted frame, and respectively sending second management frames in response to these first frames;
  • this access point comprising means for copying the random (SNONCE) of each first frame received in each second frame respectively transmitted in response to this first frame.
  • the invention also relates to a station configured to communicate with at least one access point to a wireless network, for example WiFi or Wimax, by communication means comprising at least data frames and management frames.
  • a wireless network for example WiFi or Wimax
  • Said access point transmitting management frames comprising an electronic signature the station further comprises means for validating the authenticity of the access point, including means for validating the authenticity of the electronic signature of this access point. frame.
  • the station comprises means for randomly generating (SNONCE) at each management frame transmitted.
  • SNONCE randomly generating
  • the station comprises a memory and is configured to, upon receipt of each management frame comprising a field (ANONCE) transmitted by the access point, check the presence of a field value (ANONCE) in memory.
  • ANONCE field value
  • the station checks the validity of the signature and updates the value (ANONCE) in memory for that access point with the value (ANONCE) received, when the signature is authenticated.
  • the station verifies that the value of the (ANONCE) field received is greater than that it contains in memory for this access point. Then, if so, it checks the validity of the signature and updates the value (ANONCE) in memory for that access point with the value (ANONCE) received, when the signature is authenticated.
  • the process of communicating a station to an access point is done in "open" mode, in a public key infrastructure (PKI) where the signature generated by the access point is a hash function applied to a combination of key, field
  • PKI public key infrastructure
  • the station sends a "Probe Request" frame with a field (SNONCEl);
  • the access point responds to this frame with a "Probe Response" frame containing fields (SNONCEl), (ANONCEl), and (SIGNATURE).
  • the customer checks several points: a. If the client has an (ANONCE) in memory for this access point, then it verifies by means of verification that the (ANONCEl) received is greater than the (ANONCE) contained in memory i. If the check of the field (ANONCE) is positive, it verifies the validity of the signature thanks to the PKI (certificates) and the elements (SNONCEl), (ANONCEl).
  • ANONCE in memory with received (ANONCEl) then go to step 3. 2. If the signature check is negative, then the client silently rejects the management frame and waits for a specified time. During this time, he can receive new frames which he will have to check by following again step 2. If he does not receive any, he returns to step 1. ii. If the field check (ANONCE) is negative, then the client silently rejects the management frame and waits for a specified time. During this time, it can receive new frames that it will have to check by following again step 2. If it does not receive it, it returns to step 1. b.
  • the client If the client does not have (ANONCE) in memory for this access point then it checks the validity of the signature thanks to the PKI (certificates) and the elements (SNONCEl), (ANONCEl) i. If the signature verification is positive, the client updates the (ANONCE) value in memory with (ANONCEl) received and then proceeds to step 3. ii. If the verification of the signature is negative, then the client silently rejects the management frame and waits for a specified period. During this time, it can receive new frames that it will have to check by following again step 2. If it does not receive it, it returns to step 1. For the process of association, 3. The client requests an "Open" authentication with an authentication request frame containing a field (SNONCE2);
  • SNONCE2 (ANONCE2), (ANONCE2) and (SIGNATURE).
  • the customer then checks several points: a. If the client has a (ANONCE) in memory for this access point then it verifies by means of verification that the (ANONCE2) received is greater than the (ANONCE) contained in memory i. If the check of the field (ANONCE) is positive, it checks the validity of the signature thanks to the PKI (certificates) and the elements (SNONCE2), (ANONCE2).
  • step 5 If the signature verification is positive, the client updates the value of the (ANONCE) in memory with the (AN0NCE2) received and then proceeds to step 5. 2. If the signature check is negative, then the client silently rejects the management frame and waits for a specified period. During this time, he can receive new frames that he will have to check by following step 4 again. If he does not receive any, he returns to step 3. ii. If the field check (ANONCE) is negative, then the client silently rejects the management frame and waits for a specified time. During this time, he can receive new frames which he will have to check in following step 4 again. If he does not receive it, he returns to step 3. b.
  • the client If the client does not have (ANONCE) in memory for this access point then it checks the validity of the signature thanks to the PKI (certificates) and the elements (SNONCE2), (AN0NCE2) i. If the signature verification is positive, the client updates the value of (ANONCE) in memory with (AN0NCE2) received and then proceeds to step 5. ii. If the verification of the signature is negative, then the client silently rejects the management frame and waits for a specified period. During this time, it can receive new frames that it will have to check by following again step 4. If it does not receive it, it returns to step 3.
  • the client sends an "Association Request" frame containing a field (SNONCE3); 6.
  • the access point responds to this frame with a frame
  • ANONCE3 and (SIGNATURE).
  • the client now necessarily has one (ANONCE) in memory for this access point because steps 3 and 4 are mandatory in the association process.
  • the customer then checks several points: a. It verifies that the (ANONCE3) received is greater than the (ANONCE) contained in memory i. If the check of the field (ANONCE) is positive, it checks the validity of the signature thanks to the PKI (certificates) and the elements (SNONCE3), (AN0NCE3). 1. If the signature verification is positive, the client updates the value of (ANONCE) in memory with (AN0NCE3) received and then proceeds to step 7. 2. If the signature check is negative, then the client silently rejects the management frame and waits for a specified time.
  • step 6 he can receive new frames which he will have to check by following step 6 again. If he does not receive any, he returns to step 5. ii. If the field check (ANONCE) is negative, then the client silently rejects the management frame and waits for a specified time. During this time, it can receive new frames that it will have to check by following again the step 6. If it does not receive it, it returns to step 5. 7. The customer is then associated with the point access and was able to verify the signature of each of the access point responses.
  • ANONCE field check
  • the client requests an "Open" authentication with an authentication request frame containing a field (SNONCE4);
  • SNONCE4 (ANONCE4), (ANONCE4) and (SIGNATURE).
  • the customer then checks several points: a. If the client has an (ANONCE) in memory for this access point then it verifies by means of verification that the (ANONCE4) received is greater than the (ANONCE) contained in memory i. If the check of the field (ANONCE) is positive, it checks the validity of the signature thanks to the PKI (certificates) and the elements (SNONCE4), (ANONCE4).
  • step 1 If the signature verification is positive, the client updates the value of (ANONCE) in memory with the (ANONCE4) received and then proceeds to step 3. 2. If the signature check is negative, then the client silently rejects the management frame and waits for a specified period. During this time, it can receive new frames that it will have to check by following again step 2. If it does not receive it, it returns to step 1. ii. If the field check (ANONCE) is negative, then the client silently rejects the management frame and waits for a specified time. During this time, he can receive new frames which he will have to check in next step 2. If it does not receive it, it returns to step 1. b.
  • the client If the client does not have (ANONCE) in memory for this access point then it checks the validity of the signature thanks to the PKI (certificates) and the elements (SNONCE4), (ANONCE4) i. If the signature verification is positive, the client updates the (ANONCE) value in memory with (ANONCE4) received and then proceeds to step 3. ii. If the verification of the signature is negative, then the client silently rejects the management frame and waits for a specified period. During this time, it can receive new frames that it will have to check by following again step 2. If it does not receive it, it returns to step 1.
  • the client sends a "Reassociation” frame containing a field (SNONCE5); 4.
  • the access point responds to this frame with a "Reassociation Response” frame containing fields (SNONCE5), (ANONCE5), and (SIGNATURE).
  • the client now necessarily has the (ANONCE) in memory because steps 1 and 2 are mandatory in the reassociation process.
  • the customer then checks several points: a. It verifies that the (ANONCE5) received is greater than the (ANONCE) contained in memory for this access point i. If the check of the field (ANONCE) is positive, it checks the validity of the signature thanks to the PKI (certificates) and to the elements
  • step 5 If the signature verification is positive, the client updates the value of (ANONCE5) in memory with (ANONCE5) received and then proceeds to step 5. 2. If the signature check is negative, then the client silently rejects the management frame and waits for a specified time. During this time, he may receive new frames which he will have to check by following step 4 again. If he does not receive any, return to step 3. ii. If the field check (ANONCE) is negative, then the client silently rejects the management frame and waits for a specified time. During this time, it can receive new frames that it will have to check by following again step 4. If it does not receive it, it returns to step 3. 5. The customer is then reassociated at the point access and was able to verify the signature of each of the answers point 1 access.
  • the principle is the same as above for verifying the authenticity of the frame transmitted by the access point.
  • the access point sends a "Dis-association" frame containing the field (ANONCE6) and the signature of the frame. at.
  • the client checks that '(ANONCE6) received is greater than the (Anonce) contained in the memory for this access point (there is necessarily one, since a dis-association can only take place after an association) i. If the check of the field (ANONCE) is positive, it checks the validity of the signature thanks to the PKI (certificates) and to the element
  • the client updates the (ANONCE) value in memory with (ANONCE6) and then proceeds to step 2.
  • the principle is the same as above for verifying the authenticity of the frame transmitted by the access point.
  • the access point sends an authentication frame containing the field (ANONCE7) and the signature of the frame, a.
  • the client verifies that the (ANONCE7) is greater than the (ANONCE) contained in memory i. If the check of the field (ANONCE) is positive, it checks the validity of the signature thanks to the PKI (certificates) and the element (ANONCE7).
  • the client updates the value of (ANONCE) in memory with (AN0NCE7) received and then proceeds to step 2.
  • beacon frames (beacon)
  • Figure 6 L 1 authentication and verification of the authenticity of beacon frames ( "beacon"), Figure 6, and more generally, any frame from the access point to one or more clients, and n not being a response to a prior request from the client, is performed as that of disassociation frames or de-authentication.
  • the access point sends a beacon frame containing the field (ANONCE8) and the signature of the frame. i. If the client has no (ANONCE) in memory for the access point from which it receives a frame, it goes directly to step l.ii.l. ii. The client verifies that the (ANONCE8) received is greater than the (ANONCE) contained in memory 1.
  • the client verifies the validity of the signature thanks to the PKI (certificates) and the element (ANONCE8). at. If the signature verification is positive, the client updates the (ANONCE) value in memory with (ANONCEl) received and then proceeds to step 2. b. If the signature check is negative, then the client silently rejects the management frame. 2. If the field check (ANONCE) is negative, then the client silently rejects the management frame.
  • the method comprises, upon reception by the station of each management frame transmitted by the access point, a step of checking the value of the received field (ANONCE) in which the station verifies, by means of verification, a field value (ANONCE) is already stored in memory. If not, the station checks the validity of the signature, and updates the value (ANONCE) in memory with the value (ANONCE) received when the signature is authenticated. If yes, the station verifies that the value of the (ANONCE) field received is greater than the value it contains in memory, then, if so, verifies the validity of the signature, and updates the value (ANONCE) ) in memory with the value (ANONCE) received when the signature is authenticated.
  • an illegitimate access point pretending to be a legitimate access point, may Traffic replay previously issued by the legitimate access point, to ensure that the client starts the authentication procedure 1 to the illegitimate access point.
  • the customer will notice upon receipt of a frame authentication in response to its request for authentication 1 that the access point in question is not able to properly sign messages, and can react accordingly (for example, a client may choose to ignore beacon frames from that access point, or issue polling requests to ensure that the information on the capabilities and characteristics of the access point is transmitted. in real time) .
  • the client can assume that either a transmission error has occurred or an active attack is in progress .
  • the client silently rejects invalid management frames.

Abstract

The invention relates to a communication method using at least data frames and management frames and suitable for use between a station and at least one wireless network access point, particularly for a WiFi or Wimax network, wherein the management frames used for information transmission, combination or authentication between the station and at least one access point are exchanged before the data frames are exchanged. The method further comprises a step of using electronic signature means at at least one access point to include a signature in at least one of the management frames from said access point, and a step of using electronic signature authenticity validation means in the station to validate the authenticity of said frames.

Description

PROCEDE DE COMMUNICATION POUR RESEAUX SANS FIL PAR TRAMES DE GESTION COMPORTANT UNE SIGNATURE ELECTRONIQUE.COMMUNICATION METHOD FOR WIRELESS NETWORKS BY MANAGEMENT ARRAYS HAVING ELECTRONIC SIGNATURE.
La présente invention concerne les réseaux sans fil, notamment les opérations nécessaires pour sécuriser l'échange de données entre une station et au moins un point d'accès à un réseau sans fil.The present invention relates to wireless networks, including the operations necessary to secure the exchange of data between a station and at least one access point to a wireless network.
Plus précisément, la présente invention concerne un procédé de communication entre au moins une station et au moins un point d'accès à un réseau sans fil, par exemple WiFi ou Wimax, dans lequel des trames de gestion, utilisées pour la diffusion d'informations (capacités du point d'accès, mesure des ressources radios, etc.), l'association, ou 1 ' authentification entre la station et au moins un point d'accès, sont échangées préalablement à l'échange de trames de données.More specifically, the present invention relates to a method of communication between at least one station and at least one access point to a wireless network, for example WiFi or Wimax, in which management frames, used for the dissemination of information. (Access point capabilities, measurement of radio resources, etc.), the association, or authentication between the station and at least one access point, is exchanged prior to the exchange of data frames.
Ce type de réseaux est bien connu de l'état de la technique et permet de créer des réseaux locaux sans fil à haut débit pour peu que la station à connecter ne soit pas trop distante par rapport au point d'accès. Dans la pratique, les réseaux sans fil, tels que le WiFi, permettent de relier des ordinateurs portables, des machines de bureau, des assistants personnels (PDA) ou tout type de périphérique par une liaison haut débit (11 Mbps ou supérieur) sur un rayon de plusieurs dizaines de mètres en intérieur (généralement entre une vingtaine et une cinquantaine de mètres) à plusieurs centaines de mètres en environnement ouvert, voire plus dans le cas du Wimax .This type of network is well known in the state of the art and allows to create high speed wireless local area networks as long as the station to be connected is not too far away from the access point. In practice, wireless networks, such as WiFi, can connect laptops, desktops, PDAs, or any type of device with a high-speed (11 Mbps or higher) link over a network. radius of several tens of meters indoors (generally between twenty and fifty meters) to several hundred meters in open environment, or more in the case of Wimax.
Les réseaux sans fil sont de plus en plus utilisés dans les réseaux ouverts dits "Hot-Spots" (zones publiques à forte concentration d'utilisateurs et clairement délimitées telles que cafés, bibliothèques, gares, aéroports, hôtels, trains...) , ou les réseaux Entreprises ou Résidentiels .Wireless networks are increasingly used in open networks called "Hot-Spots" (public areas with a high concentration of users and clearly delineated such as cafes, libraries, train stations, airports, hotels, trains ...), or corporate or residential networks.
Cependant, parallèlement à l'intérêt grandissant pour ce type de technologies d'accès, des techniques de piratage sont apparues .However, in parallel with the growing interest in this type of access technology, piracy techniques have emerged.
Aussi différentes solutions relatives à la sécurité ont-elles vu le jour. Cependant, la grande majorité d'entre elles vise à protéger les trames de données. A l'heure actuelle, une problématique importante des réseaux sans fil, par exemple WiFi, est la possibilité pour un attaquant de créer un faux point d'accès diffusant le même nom de réseau que le réseau WiFi valide, et ce, sans que le client (station) puisse faire la différence entre un point d'accès légitime et un point d'accès illégitime, ce qui permet des attaques très efficaces .As a result, various security solutions have emerged. However, the vast majority of them are aimed at protecting data frames. At present, an important problem of wireless networks, for example WiFi, is the possibility for an attacker to create a false access point broadcasting the same network name as the valid WiFi network, and this without the client (station) can tell the difference between a legitimate access point and an illegitimate access point, which allows very effective attacks.
Les solutions proposées à l'heure actuelle sont basées sur l'utilisation de techniques à base de tunnels SSL/IPsec pour réaliser des connexions sécurisées vers, par exemple, un Intranet ; mais ces solutions ne résolvent en rien la problématique d'association à un point d'accès (il) légitime.The solutions proposed at the present time are based on the use of SSL / IPsec tunnels techniques to make secure connections to, for example, an Intranet; but these solutions do not solve the problem of association with a legitimate access point (il).
Aussi l'invention concerne un procédé de communication entre une station et au moins un point d'accès à un réseau sans fil dans lequel des trames de gestion sont échangées préalablement à l'échange de trames de données .Also the invention relates to a method of communication between a station and at least one access point to a wireless network in which management frames are exchanged prior to the exchange of data frames.
Les trames de gestion sont utilisées notamment pour l'association, ou 1 ' authentification entre la station et au moins un point d'accès, et sont échangées préalablement à l'échange de trames de données. Avec cet objectif d' authentification des points d'accès en vue, le procédé de l'invention, par ailleurs conforme à la définition générique qu'en donne le préambule sus-évoqué, est caractérisé en ce qu'il comprend une étape consistant à générer et à inclure une signature électronique , au niveau d'au moins un point d'accès, par des moyens de signature électronique, dans au moins l'une des trames de gestion émises par ce point d'accès ; et une étape de validation de l'authenticité de ces trames, au niveau de la station, par des moyens de validation de l'authenticité de la signature électronique.The management frames are used in particular for the association, or 1 authentication between the station and at least one access point, and are exchanged prior to the exchange of data frames. With this objective of authentication of the access points in view, the method of the invention, moreover in conformity with the generic definition given in the above-mentioned preamble, is characterized in that it comprises a step consisting in generating and including an electronic signature, at at least one access point, by electronic signature means, in at least one of the management frames transmitted by this access point; and a validation step of the authenticity of these frames, at the station, by means of validation of the authenticity of the electronic signature.
Ainsi selon l'invention, le point d'accès inclut une signature dans au moins une trame de gestion, afin que le client (station) valide de manière préférentielle, i.e. manuellement (l'utilisateur de la station validant ses choix) ou automatiquement (en fonction d'une configuration préalable de la station) l'authenticité des points d'accès présents dans la zone géographique dans laquelle il se situe, afin qu'il puisse décider, ou non, de s'y connecter.Thus according to the invention, the access point includes a signature in at least one management frame, so that the client (station) validates preferentially, ie manually (the user of the station validating his choices) or automatically ( according to a previous configuration of the station) the authenticity of the access points present in the geographical zone in which it is located, so that it can decide, or not, to connect to it.
On trouvera ci-dessous divers exemples de données pouvant être utilisées pour ladite signature électronique . Par ailleurs, le point d'accès peut signer toutes les trames de gestion émises ou seulement certaines d'entre elles.Various examples of data that can be used for the electronic signature are given below. In addition, the access point can sign all management frames issued or only some of them.
Selon des caractéristiques particulières, la station récupère des informations - à authentifier - sur les points d'accès l'avoisinantAccording to particular characteristics, the station retrieves information - to be authenticated - on the nearby access points
• soit, depuis la station, par trames de requête de sondage ("Probe Request" en anglais) auquel au moins un point d'accès répond par au moins une trame de réponse ("Probe Response" en anglais) ;• from the station, by polling request frames ("Probe Request" in English) to which at least one access point responds with at least one response frame ("Probe Response" in English);
• soit, par la réception de trames de balises ("Beacon" en anglais) émises par au moins un point d'accès, où au moins une trame émise par au moins un point d'accès comprend une signature générée par des moyens de signature électronique, une opération de validation de l'authenticité de cette trame étant effectuée au niveau de la station, par des moyens de validation de l'authenticité de la signature électronique.Or by receiving beacon frames transmitted by at least one access point, where at least one frame transmitted by at least one access point comprises a signature generated by signature means. electronic, a validation operation of the authenticity of this frame being performed at the station, by means of validation of the authenticity of the electronic signature.
Grâce à cet agencement, la station est capable de distinguer d'une part les points d'accès considérés comme authentifiés ; et d'autre part, les points d'accès non authentifiés. Ceux-ci pouvant, par ailleurs, être parfaitement valides mais, n'étant pas authentifiés, il est difficile de leur accorder une quelconque confiance.Thanks to this arrangement, the station is able to distinguish on the one hand the access points considered as authenticated; and secondly, unauthenticated access points. These can, moreover, be perfectly valid but, not being authenticated, it is difficult to grant them any confidence.
Dans un mode de réalisation de l'invention, la signature électronique est effectuée par des moyens de signature basés sur une logique de clé asymétrique, par exemple une Infrastructure à Clé Publique (ICP, ou "PKI" en anglais) ou une Infrastructure Basée sur l'Identité (IBC) . La clé asymétrique est utilisée pour effectuer les opérations de signature électronique et peut également être utilisée pour des opérations de chiffrement. Elle peut ainsi être utilisée pour l'envoi par la station d'une clé symétrique maîtresse, à partir de laquelle pourront être dérivées une ou plusieurs clés de signature et de chiffrement. L'utilisation d'une clé symétrique par la suite permet d'augmenter la vitesse de calcul. De préférence, l'invention porte sur un réseau sans fil configuré en mode infrastructure où chaque station se connecte à un point d'accès via une liaison sans fil, mais peut également être mis en œuvre lorsque le réseau sans fil est configuré en mode ad hoc où un point d'accès peut être constitué par une autre station. En mode ad hoc les machines sans fil clientes se connectent les unes aux autres afin de constituer un réseau point à point (« peer to peer » en anglais), c'est-à-dire un réseau dans lequel chaque machine joue en même temps le rôle de client et le rôle de point d'accès.In one embodiment of the invention, the electronic signature is effected by signature means based on an asymmetric key logic, for example a Public Key Infrastructure (PKI) or an Infrastructure based on Identity (IBC). The asymmetric key is used to perform the electronic signature operations and can also be used for encryption operations. It can thus be used for sending by the station a master symmetric key, from which one or more signature and encryption keys can be derived. The use of a symmetric key thereafter increases the speed of calculation. Preferably, the invention relates to a wireless network configured in infrastructure mode where each station connects to an access point via a wireless link, but may also be implemented when the wireless network is configured in ad mode. hoc where an access point may be constituted by another station. In ad hoc mode the client wireless machines connect to each other in order to constitute a point-to-point network ("peer to peer" in English), that is to say a network in which each machine plays at the same time the client role and the access point role.
Dans un mode de réalisation, chaque trame émise par une station désirant obtenir des réponses authentifiées vers au moins un point d'accès comprend un champ (SNONCE) dont la valeur est un aléa, différent à chaque trame émise ; et chaque trame émise par un point d'accès et que l'on souhaite authentifier comprend notamment un champ (ANONCE) dont la valeur est un compteur incrémenté à chaque trame de gestion émise, et un champ contenant la signature électronique.In one embodiment, each frame sent by a station wishing to obtain authenticated responses to at least one access point comprises a field (SNONCE) whose value is a random one, different for each transmitted frame; and each frame transmitted by an access point and which one wishes to authenticate comprises in particular a field (ANONCE) whose value is an incremented counter to each management frame transmitted, and a field containing the electronic signature.
A ce titre, chaque trame comprenant une signature, émise par un point d'accès, et répondant à une trame issue du client comprend en outre un champ SNONCE contenant la valeur de l'aléa égal à l'aléa de la trame issue du client à laquelle elle répond.As such, each frame including a signature, issued by an access point, and responding to a frame from the client further comprises a field SNONCE containing the value of the randomness equal to the randomness of the frame from the client to which she answers.
La signature électronique est appliquée, par exemple, à au moins l'un des éléments suivants: l'adresse source de la trame de gestion, l'adresse de destination de cette trame, le compteur du champ (ANONCE) , et le champ (SNONCE) pour les trames qui le comprennent.The electronic signature is applied, for example, to at least one of the following elements: the source address of the management frame, the destination address of this frame, the counter of the field (ANONCE), and the field ( SNONCE) for frames that understand it.
Dans une alternative, elle est réalisée à partir d'une fonction de hachage . Dans un mode de réalisation, elle est réalisée, à partir d'un haché au moyen de la clé asymétrique possédée par le point d'accès, ou de la clé symétrique de signature dérivée de la clé symétrique maîtresse décrite précédemment. La fonction de hachage peut aussi être appliquée, par exemple, à au moins l'un des éléments suivants: l'adresse source de la trame de gestion, l'adresse de destination de cette trame, le compteur du champ ANONCE et le champ SNONCE pour les trames qui le comprennent. L'invention concerne également un point d'accès à un réseau sans fil, par exemple WiFi ou Wimax, comprenant des moyens de communication, par trames de données et trames de gestion au moins, vers au moins une station, ce point d'accès étant caractérisé en ce qu'il comprend, en outre, des moyens de signature électronique configurés pour inclure une signature dans au moins l'une des trames de gestion émises par ce point d'accès.In an alternative, it is performed from a hash function. In one embodiment, it is performed from a hash using the asymmetrical key possessed by the access point, or from the symmetrical signature key derived from the master symmetric key described above. The hash function can also be applied, for example, to at least one of the following elements: the source address of the management frame, the destination address of this frame, the counter of the ANONCE field and the SNONCE field. for the frames that understand it. The invention also relates to an access point to a wireless network, for example WiFi or Wimax, comprising communication means, at least one data frame and management frame, to at least one station, this access point. characterized in that it further comprises electronic signature means configured to include a signature in at least one of the management frames transmitted by that access point.
De préférence, le point d'accès comprend des moyens pour comptabiliser les trames émises, par exemple un compteur (ANONCE) incrémentê à chaque trame de gestion comprenant une signature et émise par ce point d'accès.Preferably, the access point comprises means for counting the frames transmitted, for example a counter (ANONCE) incremented to each management frame comprising a signature and issued by this access point.
Enfin, la présente invention porte sur une station configurée pour communiquer avec au moins un point d'accès à un réseau sans fil, par exemple WiFi ou Wimax, par des moyens de communication comprenant au moins des trames de données et des trames de gestion, la dite station étant caractérisée en ce que, le dit point d'accès émettant des trames de gestion comportant une signature électronique, la station comprend en outre des moyens de validation de l'authenticité de ces trames émises par le point d'accès, par des moyens de validation de l'authenticité de la signature électronique. De préférence, la station comprend des moyens pour générer des aléas (SNONCE) aléatoirement à chaque trame de gestion émise.Finally, the present invention relates to a station configured to communicate with at least one access point to a wireless network, for example WiFi or Wimax, by communication means comprising at least data frames and management frames, said station being characterized in that, said access point transmitting management frames comprising an electronic signature, the station further comprises means for validating the authenticity of these frames transmitted by the access point, by means for validating the authenticity of the electronic signature. Preferably, the station comprises means for randomly generating (SNONCE) at each management frame transmitted.
D'autres caractéristiques et avantages de la présente invention apparaîtront plus clairement à la lecture de la description suivante donnée à titre d' exemple illustratif et non limitatif et faite en référence aux figures annexées dans lesquelles : la figure 1 représente un schéma de fonctionnement de machine à état pour les réseaux de type WiFi, la figure 2 représente un schéma de fonctionnement du procédé, selon le mode de réalisation préféré, pour les étapes de recherche, authentification et association, la figure 3 représente un schéma de fonctionnement du procédé, selon le mode de réalisation préféré, pour les étapes de ré-association, la figure 4 représente un schéma de fonctionnement du procédé, selon le mode de réalisation préféré, pour les étapes de dis-association, la figure 5 représente un schéma de fonctionnement du procédé, selon le mode de réalisation préféré, pour les étapes de dé-authentification, - la figure 6 représente un schéma de fonctionnement du procédé, selon le mode de réalisation préféré, pour les étapes d'envoi de trames de balises. L'ensemble des trames de gestion impliquées dans le procédé sont les suivantes : - Trames de balise : trames émises régulièrement par les points d'accès afin d'informer les équipements clients (stations) de leur présence et d'un ensemble de caractéristiques qui leur sont propres (nom de réseau...) ,Other features and advantages of the present invention will emerge more clearly on reading the following description given by way of illustrative and nonlimiting example and with reference to the appended figures in which: FIG. 1 represents a diagram of machine operation in the state for the WiFi type networks, FIG. 2 represents a diagram of the operation of the method, according to the preferred embodiment, for the search, authentication and association steps, FIG. 3 represents a diagram of the operation of the method, according to FIG. preferred embodiment, for the re-association steps, FIG. 4 represents an operating diagram of the method, according to the preferred embodiment, for the dis-association steps, FIG. 5 represents a diagram of the operation of the method, according to the preferred embodiment, for the de-authentication steps, - FIG. and a scheme of operation of the method, according to the preferred embodiment, for the steps of sending tag frames. All the management frames involved in the process are as follows: - Beacon frames: frames sent regularly by the access points in order to inform the client equipment (stations) of their presence and a set characteristics of their own (network name ...),
- Requêtes de sondage : trames de découverte de points d'accès émises par les stations afin de découvrir les points d'accès et d'obtenir un ensemble de caractéristiques qui leur sont propres,- Polling requests: access point discovery frames emitted by the stations to discover the access points and obtain a set of characteristics that are specific to them,
- Réponses à une requête de sondage : trames de notification au client de la présence d'un point d'accès et d'un ensemble de caractéristiques propres au dit point d'accès,- Answers to a polling request: frames for notifying the client of the presence of an access point and a set of characteristics specific to said access point,
- Requêtes d' authentification : de la station vers le point d'accès. Il existe deux modes d' authentification, l'un « ouvert » qui ne nécessite pas de secret partagé ; et l'autre « partagé » qui nécessite la connaissance d'un secret partagé entre le client et le point d'accès,- Authentication requests: from the station to the access point. There are two modes of authentication, one "open" that does not require a shared secret; and the other "shared" which requires knowledge of a shared secret between the client and the access point,
- Réponse d' authentification : d'un point d'accès à une station. La réponse est « succès » ou « échec », Requête d'association : d'une station vers un point d'accès. Diffuse des informations sur la station (par exemple, les débits supportés) et le SSID du réseau avec lequel elle souhaite s'associer,- Authentication response: from an access point to a station. The answer is "success" or "failure", Association request: from a station to an access point. Displays information about the station (for example, supported speeds) and the SSID of the network with which it wishes to associate,
- Réponse d'association : d'un point d'accès vers une station, contient une notification d'acceptation ou de rejet,- Association response: from an access point to a station, contains an acceptance or rejection notification,
- Requête de Réassociation : d'une station vers un point d'accès. Les réassociations se produisent lors de l ' éloignement de la station de son point d'accès ou lors d'un trafic trop important sur un point d'accès (fonction d'équilibrage des charges). - Réponse de Réassociation : d'un point d'accès vers une station, contient une notification d'acceptation ou de rejet de réassociation,- Re-association request: from a station to an access point. Reassociations occur when the station is removed from its access point or when there is too much traffic on an access point (load balancing function). - Re-association response: from an access point to a station, contains a notification of acceptance or rejection of reassociation,
- Dis-association : trame envoyée par une station ou un point d'accès pour notifier à l'équipement destination qu'il n'est plus associé,- Dis-association: frame sent by a station or an access point to notify the destination device that it is no longer associated,
- Dé-authentification : trame envoyée par une station ou un point d'accès pour notifier à l'équipement destination qu'il n'est plus authentifié. Les trames de balise sont le plus souvent de type « broadcast » (à diffusion générale) , et émises par le point d'accès.- Un-authentication: frame sent by a station or an access point to notify the destination device that it is no longer authenticated. The beacon frames are most often of "broadcast" type (broadcast), and issued by the access point.
Les trames de Réponse, de Dis-association et de De- authentification sont de type « unicast » (à diffusion individuelle) .Response, Dis-association and De-authentication frames are unicast (unicast).
Les trames de Requête (émises par une station vers au moins un point d'accès) sont de source le client, et de destination le point d'accès.Query frames (sent by a station to at least one access point) are the source of the client, and destination the access point.
Par convention d'écriture, (ANONCE) et (SNONCE) se rapportent respectivement aux champs ANONCE et SNONCE ou à leur valeur.By writing convention, (ANONCE) and (SNONCE) refer respectively to the fields ANONCE and SNONCE or their value.
Dans le cadre de l'invention, le réseau sans fil est, de préférence, configuré en mode infrastructure.In the context of the invention, the wireless network is preferably configured in infrastructure mode.
L'ensemble formé par le point d'accès et les stations situées dans sa zone de couverture est appelé ensemble de services de base (en anglais « basic service set », noté BSS) et constitue une cellule. Chaque BSS est identifié par un BSSID, un identifiant de 6 octets (48 bits) . Dans le mode infrastructure, le BSSID correspond à l'adresse MAC de l'interface sans-fil du point d'accès.The set formed by the access point and the stations located in its coverage area is called a basic service set (BSS) and constitutes a cell. Each BSS is identified by a BSSID, a 6-byte (48-bit) identifier. In infrastructure mode, the BSSID is the MAC address of the wireless interface of the access point.
Il est possible de relier plusieurs points d'accès entre eux (ou plus exactement plusieurs BSS) par une liaison appelée système de distribution (notée DS pour « Distribution System ») afin de constituer un ensemble de services étendu (« extended service set » ou ESS) . Le système de distribution (DS) peut être aussi bien un réseau filaire, qu'un câble entre deux points d'accès ou bien même un réseau sans fil. Un ESS est repéré par un ESSID (« Service Set Identifier ») , c'est-à-dire un identifiant servant de nom pour le réseau.It is possible to connect several access points between them (or more exactly several BSS) by a link called the distribution system (denoted DS for "Distribution System") in order to constitute an extended service set (ESS). The distribution system (DS) can be either a wired network, a cable between two access points or even a wireless network. An ESS is identified by an ESSID ("Service Set Identifier"), that is to say an identifier serving as a name for the network.
Lors de l'entrée d'une station dans la zone de couverture d'un point d'accès, celle-ci diffuse une requête de sondage (« Probe Request ») contenant I1ESSID pour lequel elle est configurée ainsi que les débits que son adaptateur sans fil supporte. Si aucun ESSID n'est configuré, la station écoute le réseau à la recherche d'un SSID.Upon entry of a station in the coverage area of an access point, it broadcasts a probe request ( "Probe Request") containing I 1 ESSID for which it is configured so that the flow rates that its wireless adapter supports. If no ESSID is configured, the station listens to the network for an SSID.
En effet chaque point d'accès diffuse régulièrement (à raison d'un envoi toutes les 0.1 secondes environ) une trame balise (nommée « beacon » en anglais) donnant des informations sur son BSSID, ses caractéristiques et éventuellement son ESSID.Indeed, each access point broadcasts regularly (at a rate of about every 0.1 seconds) a beacon (called "beacon" in English) giving information on its BSSID, its characteristics and possibly its ESSID.
A titre d'alternative, le réseau peut être configuré en mode ad hoc où un point d'accès est constitué par une autre station.As an alternative, the network can be configured in ad hoc mode where an access point is constituted by another station.
La présente invention se place dans le cadre de processus d' authentification où différents types de trames de gestion sont émis par chacune des parties du système (station et point d'accès), afin de pouvoir changer d'état à la réception de certaines catégories de trames . Un tel fonctionnement est décrit dans la machine à état représentée sur la figure 1, où l'on passe successivement de l'état 10 (non authentifié, non associé) à l'état 20 (authentifié, non associé) par une étape 12 d' authentification réussie ; et de l'état 20 à l'état 30 (authentifié, associé) par une étape 23 d'association ou de ré-association réussie. Réciproquement on passe de l'état 30 à l'état 20 par une étape de dis-association ; et de l'état 20 à l'état 10 par une étape 21 de dés-authentification, ou de l'état 30 à l'état 10 par une étape 31 de des-authentification.The present invention is part of an authentication process where different types of management frames are sent by each part of the system (station and access point), in order to be able to change state upon reception of certain categories. of frames. Such an operation is described in the state machine shown in FIG. 1, where one passes successively from the state 10 (unauthenticated, not associated) to the state 20 (authenticated, not associated) by a step 12 of successful authentication; and from state 20 to state 30 (authenticated, associated) by a step 23 of successful association or re-association. Conversely, state 30 is changed to state 20 by a disassociation step; and from the state 20 to the state 10 by a de-authentication step 21, or from the state 30 to the state 10 by a de-authentication step 31.
La présente invention se base sur cette même machine à état, en réalisant des opérations sur les trames envoyées / reçues afin de pouvoir valider le passage d'un état à l'autre en fonction des informations contenues dans les trames de gestion.The present invention is based on the same state machine, performing operations on frames sent / received in order to validate the transition from one state to another according to the information contained in the management frames.
La signature électronique est effectuée par des moyens de signature basés sur une logique de clé asymétrique (techniques à base d'infrastructures à clés publiques) . Dans un mode de réalisation, une infrastructure à clé publique (PKI) est utilisée. Dans cette configuration, on suppose le certificat de confiance pré-distribué ou envoyé, par exemple, par un point d'accès, dans les trames de balise ou les trames de réponse (« Probe Response ») .The electronic signature is effected by signature means based on an asymmetric key logic (techniques based on public key infrastructures). In one embodiment, a public key infrastructure (PKI) is used. In this configuration, it is assumed the pre-distributed trust certificate or sent, for example, by an access point, in beacon frames or response frames ("Probe Response").
A titre d'alternative, on peut utiliser une infrastructure basée sur l'identité (IBC). L'avantage de telles solutions (IBC) étant que le client (station) n'a, dans ce cas, pas besoin de certificat mais seulement d'une clé publique présupposée connue (par exemple le couple { SSID, BSSID } du point d'accès) .Alternatively, an identity-based infrastructure (IBC) can be used. The advantage of such solutions (IBC) being that the client (station) has, in this case, not need certificate but only a known public key known (for example the couple {SSID, BSSID} of the point d access).
La clé asymétrique peut être utilisée pour l'envoi par la station d'une clé symétrique maîtresse, à partir de laquelle peuvent être dérivées une ou plusieurs clés de signature et de chiffrement. L'utilisation de clé symétrique par la suite permettant d'augmenter la vitesse de calcul.The asymmetric key can be used to send a master symmetric key from the station, from which one or more signature and encryption keys can be derived. The use of key symmetrical thereafter to increase the speed of calculation.
En effet, la cryptographie à clés asymétriques est réputée être lente, contrairement à la cryptographie à clés symétriques. Dans un contexte d'équipements légers (points d'accès ayant peu de ressources en terme de CPU) , il apparaît intéressant d'optimiser les temps de calculs faits par le point d'accès, en dérivant des clés symétriques à partir du matériel cryptographique du point d'accès (clé publique) et de valeurs aléatoires fournies par le client (station) et le point d'accès. Ces clés seront alors utilisées par la suite pour l'inclusion de signature (et éventuellement le chiffrement) dans des trames de gestion. Sur le plan du fonctionnement, chaque trame émise par une station vers au moins un point d'accès est une trame comprenant un champ (SNONCE) dont la valeur est un aléa différent donc à chaque trame émise.Indeed, asymmetric key cryptography is considered to be slow, unlike symmetric key cryptography. In a context of light equipment (access points having few resources in terms of CPU), it seems interesting to optimize the computation time done by the access point, by deriving symmetric keys from the cryptographic material the access point (public key) and random values provided by the client (station) and the access point. These keys will then be used later for the inclusion of signature (and possibly encryption) in management frames. Operationally, each frame transmitted by a station to at least one access point is a frame comprising a field (SNONCE) whose value is a random different to each transmitted frame.
Chaque trame émise par un point d'accès comprend notamment un champ (ANONCE) dont la valeur est un compteur incrémenté à chaque trame de gestion émise, et un champ contenant la signature électronique.Each frame transmitted by an access point comprises in particular a field (ANONCE) whose value is an incremented counter for each management frame sent, and a field containing the electronic signature.
La valeur du champ (SIGNATURE) est une signature cryptographique utilisant une clé secrète propre au point d'accès. Elle est réalisée, par exemple, à partir d'une fonction de hachage. De préférence, pour garantir le non- rejeu, la fonction de hachage est appliquée à au moins l'un des éléments suivants: l'adresse source de la trame de gestion, l'adresse de destination de cette trame, le compteur du champ (ANONCE) et le champ (SNONCE) pour les trames qui le comprennent . Typiquement, la valeur (ANONCE) est un compteur incrémenté par le point d'accès à chaque trame de gestion comprenant une signature et émise par ce point d'accès. En ce sens, il débute à une certaine valeur, typiquement zéro, puis est augmenté de un à chaque émission de trame de gestion comprenant une signature.The value of the field (SIGNATURE) is a cryptographic signature using a secret key specific to the access point. It is performed, for example, from a hash function. Preferably, to guarantee non-replay, the hash function is applied to at least one of the following elements: the source address of the management frame, the destination address of this frame, the counter of the field ( ANONCE) and the field (SNONCE) for frames that understand it. Typically, the value (ANONCE) is a counter incremented by the access point to each management frame comprising a signature and issued by this access point. In this sense, it starts at a certain value, typically zero, and is increased by one at each management frame transmission including a signature.
Lorsqu'elle est à diffusion individuelle (« unicast ») , chaque trame signée émise par un point d'accès répond à une trame issue du client et comprend de préférence, outre la signature et le champ (ANONCE), un champ contenant la valeur de l'aléa (SNONCE) égal à l'aléa de la trame issue du client à laquelle elle répond.When it is unicast, each signed frame sent by an access point responds to a frame from the client and preferably includes, besides the signature and the field (ANONCE), a field containing the value randomness (SNONCE) equal to the randomness of the frame from the client to which it responds.
A chaque réception par la station d'une trame de réponse à une trame précédemment envoyée par elle, la station vérifie en outre que la valeur (SNONCE) dans la trame de réponse, ou dans la signature, est bien égale à la valeur (SNONCE) de sa requête précédente.At each reception by the station of a response frame to a frame previously sent by it, the station furthermore verifies that the value (SNONCE) in the response frame, or in the signature, is equal to the value (SNONCE ) of his previous request.
L'invention concerne également un point d'accès à un réseau sans fil, par exemple WiFi ou Wimax, comprenant des moyens de communication, par trames de données et trames de gestion au moins, vers au moins une station.The invention also relates to an access point to a wireless network, for example WiFi or Wimax, comprising communication means, at least data frames and management frames, to at least one station.
Le point d'accès comprend, en outre, des moyens de signature électronique configurés pour inclure une signature dans au moins l'une des trames de gestion émises par ce point d'accès.The access point further includes electronic signature means configured to include a signature in at least one of the management frames transmitted by that access point.
De préférence, le point d'accès comprend des moyens pour comptabiliser les trames émises, par exemple un compteur (ANONCE) incrémenté à chaque trame de gestion comprenant une signature et émise par ce point d'accès.Preferably, the access point comprises means for counting the frames transmitted, for example a counter (ANONCE) incremented to each management frame comprising a signature and issued by this access point.
Dans un mode de réalisation, il est configuré pour recevoir d'au moins une station, des premières trames de gestion comprenant chacune un champ (SNONCE) dont la valeur est un aléa, différent à chaque trame émise, et émettre respectivement des deuxièmes trames de gestion en réponse à ces premières trames ; ce point d'accès comprenant des moyens pour copier l'aléa (SNONCE) de chaque première trame reçue dans chaque deuxième trame émise respectivement en réponse à cette première trame.In one embodiment, it is configured to receive from at least one station, first frames of management each comprising a field (SNONCE) whose value is a random one, different for each transmitted frame, and respectively sending second management frames in response to these first frames; this access point comprising means for copying the random (SNONCE) of each first frame received in each second frame respectively transmitted in response to this first frame.
Enfin, l'invention concerne également une station configurée pour communiquer avec au moins un point d'accès à un réseau sans fil, par exemple WiFi ou Wimax, par des moyens de communication comprenant au moins des trames de données et des trames de gestion.Finally, the invention also relates to a station configured to communicate with at least one access point to a wireless network, for example WiFi or Wimax, by communication means comprising at least data frames and management frames.
Le dit point d'accès émettant des trames de gestion comportant une signature électronique, la station comprend en outre des moyens de validation de l'authenticité du point d'accès, comprenant des moyens de validation de l'authenticité de la signature électronique de cette trame .Said access point transmitting management frames comprising an electronic signature, the station further comprises means for validating the authenticity of the access point, including means for validating the authenticity of the electronic signature of this access point. frame.
De préférence, la station comprend des moyens pour générer des aléas (SNONCE) aléatoirement à chaque trame de gestion émise.Preferably, the station comprises means for randomly generating (SNONCE) at each management frame transmitted.
Dans un mode de réalisation, la station comprend une mémoire et est configurée pour, à réception de chaque trame de gestion comprenant un champ (ANONCE) émise par le point d'accès, vérifier la présence d'une valeur du champ (ANONCE) en mémoire.In one embodiment, the station comprises a memory and is configured to, upon receipt of each management frame comprising a field (ANONCE) transmitted by the access point, check the presence of a field value (ANONCE) in memory.
Dans la négative, la station vérifie alors la validité de la signature et met à jour la valeur (ANONCE) en mémoire pour ce point d'accès avec la valeur (ANONCE) reçue, lorsque la signature est authentifiée.If not, the station then checks the validity of the signature and updates the value (ANONCE) in memory for that access point with the value (ANONCE) received, when the signature is authenticated.
Dans l'affirmative, la station vérifie que la valeur du champ (ANONCE) reçue est supérieure à celle qu'elle contient en mémoire pour ce point d'accès. Puis, dans l'affirmative, elle vérifie la validité de la signature et met à jour la valeur (ANONCE) en mémoire pour ce point d'accès avec la valeur (ANONCE) reçue, lorsque la signature est authentifiée.If yes, the station verifies that the value of the (ANONCE) field received is greater than that it contains in memory for this access point. Then, if so, it checks the validity of the signature and updates the value (ANONCE) in memory for that access point with the value (ANONCE) received, when the signature is authenticated.
Selon un mode de réalisation particulier, le processus de communication d'une station à un point d'accès se fait en mode « ouvert », dans une infrastructure à clé publique (PKI) où la signature générée par le point d'accès est une fonction de hachage appliquée sur une combinaison de la clé, du champAccording to a particular embodiment, the process of communicating a station to an access point is done in "open" mode, in a public key infrastructure (PKI) where the signature generated by the access point is a hash function applied to a combination of key, field
(ANONCE) et du champ (SNONCE) . Ce mode particulier fonctionne de la manière suivante (figure 2) :(ANONCE) and the field (SNONCE). This particular mode works as follows (Figure 2):
En amont du processus d'association, 1. La station envoie une trame « Probe Request » avec un champ (SNONCEl) ;Before the association process, 1. The station sends a "Probe Request" frame with a field (SNONCEl);
2. Le point d ' accès répond à cette trame avec une trame « Probe Response » contenant des champs (SNONCEl) , (ANONCEl) et (SIGNATURE) . Le client vérifie alors plusieurs points: a. Si le client a un (ANONCE) en mémoire pour ce point d'accès, alors il vérifie par des moyens de vérification que le (ANONCEl) reçu est supérieur au (ANONCE) contenu en mémoire i. Si la vérification du champ (ANONCE) est positive, il vérifie la validité de la signature grâce à la PKI (certificats) et aux éléments (SNONCEl) , (ANONCEl) .2. The access point responds to this frame with a "Probe Response" frame containing fields (SNONCEl), (ANONCEl), and (SIGNATURE). The customer then checks several points: a. If the client has an (ANONCE) in memory for this access point, then it verifies by means of verification that the (ANONCEl) received is greater than the (ANONCE) contained in memory i. If the check of the field (ANONCE) is positive, it verifies the validity of the signature thanks to the PKI (certificates) and the elements (SNONCEl), (ANONCEl).
1. Si la vérification de la signature est positive, le client met à jour la valeur du1. If the signature verification is positive, the client updates the value of the
(ANONCE) en mémoire avec le (ANONCEl) reçu puis passe à l'étape 3. 2. Si la vérification de la signature est négative, alors le client rejette silencieusement la trame de gestion et attend pendant une durée déterminée. Durant cette durée, il peut recevoir de nouvelles trames qu'il devra vérifier en suivant à nouveau l'étape 2. S'il n'en reçoit pas, il retourne à 1 ' étape 1. ii . Si la vérification du champ (ANONCE) est négative, alors le client rejette silencieusement la trame de gestion et attend pendant une durée déterminée. Durant cette durée, il peut recevoir de nouvelles trames qu'il devra vérifier en suivant à nouveau l'étape 2. S'il n'en reçoit pas, il retourne à l'étape 1. b. Si le client n'a pas de (ANONCE) en mémoire pour ce point d'accès alors il vérifie la validité de la signature grâce à la PKI (certificats) et aux éléments (SNONCEl) , (ANONCEl) i. Si la vérification de la signature est positive, le client met à jour la valeur du (ANONCE) en mémoire avec (ANONCEl) reçu puis passe à l'étape 3. ii . Si la vérification de la signature est négative, alors le client rejette silencieusement la trame de gestion et attend pendant une durée déterminée. Durant cette durée, il peut recevoir de nouvelles trames qu'il devra vérifier en suivant à nouveau l'étape 2. S'il n'en reçoit pas, il retourne à l'étape 1. Pour le processus d'association, 3. Le client demande une authentification « Open » avec une trame de requête d' authentification contenant un champ (SNONCE2) ;(ANONCE) in memory with received (ANONCEl) then go to step 3. 2. If the signature check is negative, then the client silently rejects the management frame and waits for a specified time. During this time, he can receive new frames which he will have to check by following again step 2. If he does not receive any, he returns to step 1. ii. If the field check (ANONCE) is negative, then the client silently rejects the management frame and waits for a specified time. During this time, it can receive new frames that it will have to check by following again step 2. If it does not receive it, it returns to step 1. b. If the client does not have (ANONCE) in memory for this access point then it checks the validity of the signature thanks to the PKI (certificates) and the elements (SNONCEl), (ANONCEl) i. If the signature verification is positive, the client updates the (ANONCE) value in memory with (ANONCEl) received and then proceeds to step 3. ii. If the verification of the signature is negative, then the client silently rejects the management frame and waits for a specified period. During this time, it can receive new frames that it will have to check by following again step 2. If it does not receive it, it returns to step 1. For the process of association, 3. The client requests an "Open" authentication with an authentication request frame containing a field (SNONCE2);
4. Le point d ' accès répond à cette trame avec une trame de réponse d' authentification contenant des champs4. The access point responds to this frame with an authentication response frame containing fields
(SNONCE2) , (ANONCE2) et (SIGNATURE) . Le client vérifie alors plusieurs points : a. Si le client a un (ANONCE) en mémoire pour ce point d'accès alors il vérifie par des moyens de vérification que le (ANONCE2) reçu est supérieur au (ANONCE) contenu en mémoire i. Si la vérification du champ (ANONCE) est positive, il vérifie la validité de la signature grâce à la PKI (certificats) et aux éléments (SNONCE2) , (ANONCE2) .(SNONCE2), (ANONCE2) and (SIGNATURE). The customer then checks several points: a. If the client has a (ANONCE) in memory for this access point then it verifies by means of verification that the (ANONCE2) received is greater than the (ANONCE) contained in memory i. If the check of the field (ANONCE) is positive, it checks the validity of the signature thanks to the PKI (certificates) and the elements (SNONCE2), (ANONCE2).
1. Si la vérification de la signature est positive, le client met à jour la valeur du (ANONCE) en mémoire avec le (AN0NCE2) reçu puis passe à l'étape 5. 2. Si la vérification de la signature est négative, alors le client rejette silencieusement la trame de gestion et attend pendant une durée déterminée . Durant cette durée, il peut recevoir de nouvelles trames qu'il devra vérifier en suivant à nouveau l'étape 4. S'il n'en reçoit pas, il retourne à l ' étape 3. ii. Si la vérification du champ (ANONCE) est négative, alors le client rejette silencieusement la trame de gestion et attend pendant une durée déterminée. Durant cette durée, il peut recevoir de nouvelles trames qu'il devra vérifier en suivant à nouveau l'étape 4. S'il n'en reçoit pas, il retourne à l'étape 3. b. Si le client n'a pas de (ANONCE) en mémoire pour ce point d'accès alors il vérifie la validité de la signature grâce à la PKI (certificats) et aux éléments (SNONCE2) , (AN0NCE2) i. Si la vérification de la signature est positive, le client met à jour la valeur du (ANONCE) en mémoire avec (AN0NCE2) reçu puis passe à l'étape 5. ii . Si la vérification de la signature est négative, alors le client rejette silencieusement la trame de gestion et attend pendant une durée déterminée. Durant cette durée, il peut recevoir de nouvelles trames qu'il devra vérifier en suivant à nouveau l'étape 4. S'il n'en reçoit pas, il retourne à l'étape 3.1. If the signature verification is positive, the client updates the value of the (ANONCE) in memory with the (AN0NCE2) received and then proceeds to step 5. 2. If the signature check is negative, then the client silently rejects the management frame and waits for a specified period. During this time, he can receive new frames that he will have to check by following step 4 again. If he does not receive any, he returns to step 3. ii. If the field check (ANONCE) is negative, then the client silently rejects the management frame and waits for a specified time. During this time, he can receive new frames which he will have to check in following step 4 again. If he does not receive it, he returns to step 3. b. If the client does not have (ANONCE) in memory for this access point then it checks the validity of the signature thanks to the PKI (certificates) and the elements (SNONCE2), (AN0NCE2) i. If the signature verification is positive, the client updates the value of (ANONCE) in memory with (AN0NCE2) received and then proceeds to step 5. ii. If the verification of the signature is negative, then the client silently rejects the management frame and waits for a specified period. During this time, it can receive new frames that it will have to check by following again step 4. If it does not receive it, it returns to step 3.
5. Le client envoie une trame « Association Request » contenant un champ (SNONCE3) ; 6. Le point d'accès répond à cette trame avec une trame5. The client sends an "Association Request" frame containing a field (SNONCE3); 6. The access point responds to this frame with a frame
« Association Response » contenant des champs (SNONCE3),Association Response containing fields (SNONCE3),
(ANONCE3) et (SIGNATURE) . Le client a maintenant nécessairement un (ANONCE) en mémoire pour ce point d'accès car les étapes 3 et 4 sont obligatoires dans le processus d'association. Le client vérifie alors plusieurs points: a. Il vérifie que le (ANONCE3) reçu est supérieur au (ANONCE) contenu en mémoire i. Si la vérification du champ (ANONCE) est positive, il vérifie la validité de la signature grâce à la PKI (certificats) et aux éléments (SNONCE3 ) , (AN0NCE3 ) . 1. Si la vérification de la signature est positive, le client met à jour la valeur du (ANONCE) en mémoire avec (AN0NCE3) reçu puis passe à l'étape 7. 2. Si la vérification de la signature est négative, alors le client rejette silencieusement la trame de gestion et attend pendant une durée déterminée . Durant cette durée, il peut recevoir de nouvelles trames qu'il devra vérifier en suivant à nouveau l'étape 6. S'il n'en reçoit pas, il retourne à l'étape 5. ii. Si la vérification du champ (ANONCE) est négative, alors le client rejette silencieusement la trame de gestion et attend pendant une durée déterminée. Durant cette durée, il peut recevoir de nouvelles trames qu'il devra vérifier en suivant à nouveau l'étape 6. S'il n'en reçoit pas, il retourne à l'étape 5. 7. Le client est alors associé au point d'accès et a pu vérifier la signature de chacune des réponses du point d' accès .(ANONCE3) and (SIGNATURE). The client now necessarily has one (ANONCE) in memory for this access point because steps 3 and 4 are mandatory in the association process. The customer then checks several points: a. It verifies that the (ANONCE3) received is greater than the (ANONCE) contained in memory i. If the check of the field (ANONCE) is positive, it checks the validity of the signature thanks to the PKI (certificates) and the elements (SNONCE3), (AN0NCE3). 1. If the signature verification is positive, the client updates the value of (ANONCE) in memory with (AN0NCE3) received and then proceeds to step 7. 2. If the signature check is negative, then the client silently rejects the management frame and waits for a specified time. During this time, he can receive new frames which he will have to check by following step 6 again. If he does not receive any, he returns to step 5. ii. If the field check (ANONCE) is negative, then the client silently rejects the management frame and waits for a specified time. During this time, it can receive new frames that it will have to check by following again the step 6. If it does not receive it, it returns to step 5. 7. The customer is then associated with the point access and was able to verify the signature of each of the access point responses.
La description ci-dessus permet d'assurer au client qu'il communique bien avec un point d'accès légitime. En mode « secret partagé » (Shared Key) , le principe est exactement le même . Seul un échange de deux messages supplémentaires (partage du secret) a lieu pour réaliser une authentification dans ce mode .The above description ensures that the customer communicates well with a legitimate access point. In "Shared Key" mode, the principle is exactly the same. Only an exchange of two additional messages (secret sharing) takes place to perform authentication in this mode.
Pour un processus de réassociation, le principe est également le même que précédemment pour la vérification de l'authenticité de la trame émise par le point d'accès (voir figure 3) . 1. Le client demande une authentification « Open » avec une trame de requête d' authentification contenant un champ (SNONCE4) ;For a reassociation process, the principle is also the same as above for verifying the authenticity of the frame transmitted by the access point (see Figure 3). 1. The client requests an "Open" authentication with an authentication request frame containing a field (SNONCE4);
2. Le point d'accès répond à cette trame avec une trame de réponse d' authentification contenant des champs2. The access point responds to this frame with an authentication response frame containing fields
(SNONCE4), (ANONCE4) et (SIGNATURE). Le client vérifie alors plusieurs points : a. Si le client a un (ANONCE) en mémoire pour ce point d'accès alors il vérifie par des moyens de vérification que le (ANONCE4) reçu est supérieur au (ANONCE) contenu en mémoire i. Si la vérification du champ (ANONCE) est positive, il vérifie la validité de la signature grâce à la PKI (certificats) et aux éléments (SNONCE4), (ANONCE4).(SNONCE4), (ANONCE4) and (SIGNATURE). The customer then checks several points: a. If the client has an (ANONCE) in memory for this access point then it verifies by means of verification that the (ANONCE4) received is greater than the (ANONCE) contained in memory i. If the check of the field (ANONCE) is positive, it checks the validity of the signature thanks to the PKI (certificates) and the elements (SNONCE4), (ANONCE4).
1. Si la vérification de la signature est positive, le client met à jour la valeur du (ANONCE) en mémoire avec le (ANONCE4) reçu puis passe à l'étape 3. 2. Si la vérification de la signature est négative, alors le client rejette silencieusement la trame de gestion et attend pendant une durée déterminée . Durant cette durée, il peut recevoir de nouvelles trames qu'il devra vérifier en suivant à nouveau l'étape 2. S'il n'en reçoit pas, il retourne à l'étape 1. ii . Si la vérification du champ (ANONCE) est négative, alors le client rejette silencieusement la trame de gestion et attend pendant une durée déterminée. Durant cette durée, il peut recevoir de nouvelles trames qu'il devra vérifier en suivant à nouveau l'étape 2. S'il n'en reçoit pas, il retourne à l'étape 1. b. Si le client n'a pas de (ANONCE) en mémoire pour ce point d'accès alors il vérifie la validité de la signature grâce à la PKI (certificats) et aux éléments (SNONCE4) , (ANONCE4) i. Si la vérification de la signature est positive, le client met à jour la valeur du (ANONCE) en mémoire avec (ANONCE4) reçu puis passe à l'étape 3. ii. Si la vérification de la signature est négative, alors le client rejette silencieusement la trame de gestion et attend pendant une durée déterminée. Durant cette durée, il peut recevoir de nouvelles trames qu'il devra vérifier en suivant à nouveau l'étape 2. S'il n'en reçoit pas, il retourne à l'étape 1.1. If the signature verification is positive, the client updates the value of (ANONCE) in memory with the (ANONCE4) received and then proceeds to step 3. 2. If the signature check is negative, then the client silently rejects the management frame and waits for a specified period. During this time, it can receive new frames that it will have to check by following again step 2. If it does not receive it, it returns to step 1. ii. If the field check (ANONCE) is negative, then the client silently rejects the management frame and waits for a specified time. During this time, he can receive new frames which he will have to check in next step 2. If it does not receive it, it returns to step 1. b. If the client does not have (ANONCE) in memory for this access point then it checks the validity of the signature thanks to the PKI (certificates) and the elements (SNONCE4), (ANONCE4) i. If the signature verification is positive, the client updates the (ANONCE) value in memory with (ANONCE4) received and then proceeds to step 3. ii. If the verification of the signature is negative, then the client silently rejects the management frame and waits for a specified period. During this time, it can receive new frames that it will have to check by following again step 2. If it does not receive it, it returns to step 1.
3. Le client envoie une trame « Réassociation » contenant un champ (SNONCE5) ; 4. Le point d'accès répond à cette trame avec une trame « Réponse de Réassociation» contenant des champs (SNONCE5) , (ANONCE5) et (SIGNATURE) . Le client a maintenant nécessairement le (ANONCE) en mémoire car les étapes 1 et 2 sont obligatoires dans le processus de réassociation. Le client vérifie alors plusieurs points: a. Il vérifie que le (ANONCE5) reçu est supérieur au (ANONCE) contenu en mémoire pour ce point d'accès i. Si la vérification du champ (ANONCE) est positive, il vérifie la validité de la signature grâce à la PKI (certificats) et aux éléments3. The client sends a "Reassociation" frame containing a field (SNONCE5); 4. The access point responds to this frame with a "Reassociation Response" frame containing fields (SNONCE5), (ANONCE5), and (SIGNATURE). The client now necessarily has the (ANONCE) in memory because steps 1 and 2 are mandatory in the reassociation process. The customer then checks several points: a. It verifies that the (ANONCE5) received is greater than the (ANONCE) contained in memory for this access point i. If the check of the field (ANONCE) is positive, it checks the validity of the signature thanks to the PKI (certificates) and to the elements
(SN0NCE5) , (ANONCE5) . 1. Si la vérification de la signature est positive, le client met à jour la valeur du (ANONCE5) en mémoire avec (ANONCE5) reçu puis passe à l'étape 5. 2. Si la vérification de la signature est négative, alors le client rejette silencieusement la trame de gestion et attend pendant une durée déterminée . Durant cette durée, il peut recevoir de nouvelles trames qu'il devra vérifier en suivant à nouveau l'étape 4. S'il n'en reçoit pas, retour à 1 ' étape 3. ii. Si la vérification du champ (ANONCE) est négative, alors le client rejette silencieusement la trame de gestion et attend pendant une durée déterminée. Durant cette durée, il peut recevoir de nouvelles trames qu'il devra vérifier en suivant à nouveau l'étape 4. S'il n'en reçoit pas, il retourne à l'étape 3. 5. Le client est alors réassocié au point d'accès et a pu vérifier la signature de chacune des réponses du point d1 accès .(SN0NCE5), (ANONCE5). 1. If the signature verification is positive, the client updates the value of (ANONCE5) in memory with (ANONCE5) received and then proceeds to step 5. 2. If the signature check is negative, then the client silently rejects the management frame and waits for a specified time. During this time, he may receive new frames which he will have to check by following step 4 again. If he does not receive any, return to step 3. ii. If the field check (ANONCE) is negative, then the client silently rejects the management frame and waits for a specified time. During this time, it can receive new frames that it will have to check by following again step 4. If it does not receive it, it returns to step 3. 5. The customer is then reassociated at the point access and was able to verify the signature of each of the answers point 1 access.
Le processus d'envoi d'une trame de dis-association d'un point d'accès vers un client selon l'invention fonctionne comme suit (figure 4) :The process of sending a dis-association frame from an access point to a client according to the invention operates as follows (FIG. 4):
Le principe est le même que précédemment pour la vérification de l'authenticité de la trame émise par le point d'accès.The principle is the same as above for verifying the authenticity of the frame transmitted by the access point.
1. Le point d'accès envoie une trame « Dis-association » contenant le champ (ANONCE6) et la signature de la trame. a. Le client vérifie que' le (ANONCE6) reçu est supérieur au (ANONCE) contenu en mémoire pour ce point d'accès (il y en a nécessairement un, puisqu'une dis-association ne peut avoir lieu qu'après une association) i. Si la vérification du champ (ANONCE) est positive, il vérifie la validité de la signature grâce à la PKI (certificats) et à l'élément1. The access point sends a "Dis-association" frame containing the field (ANONCE6) and the signature of the frame. at. The client checks that '(ANONCE6) received is greater than the (Anonce) contained in the memory for this access point (there is necessarily one, since a dis-association can only take place after an association) i. If the check of the field (ANONCE) is positive, it checks the validity of the signature thanks to the PKI (certificates) and to the element
(ANONCE6) .(ANONCE6).
1. Si la vérification de la signature est positive, le client met à jour la valeur du (ANONCE) en mémoire avec (ANONCE6) puis passe à l ' étape 2.1. If the signature verification is positive, the client updates the (ANONCE) value in memory with (ANONCE6) and then proceeds to step 2.
2. Si la vérification de la signature est négative, alors le client rejette silencieusement la trame de gestion. ii. Si la vérification du champ (ANONCE) est négative, alors le client rejette silencieusement la trame de gestion. 2. Le client est désassocié du point d'accès.2. If the signature check is negative, then the client silently rejects the management frame. ii. If the field check (ANONCE) is negative, then the client silently rejects the management frame. 2. The client is unassociated from the access point.
La description ci-dessus permet d'assurer au client qu'il communique bien avec un point d'accès légitime.The above description ensures that the customer communicates well with a legitimate access point.
Le processus d'envoi d'une trame de dé- authentification d'un point d'accès vers un client fonctionne comme suit (figure 5) :The process of sending a de-authentication frame from an access point to a client works as follows (Figure 5):
Le principe est le même que précédemment pour la vérification de l'authenticité de la trame émise par le point d'accès.The principle is the same as above for verifying the authenticity of the frame transmitted by the access point.
1. Le point d'accès envoie une trame dê-authentification contenant le champ (ANONCE7) et la signature de la trame, a. Le client vérifie que le (ANONCE7) est supérieur au (ANONCE) contenu en mémoire i. Si la vérification du champ (ANONCE) est positive, il vérifie la validité de la signature grâce à la PKI (certificats) et à l'élément (ANONCE7) .1. The access point sends an authentication frame containing the field (ANONCE7) and the signature of the frame, a. The client verifies that the (ANONCE7) is greater than the (ANONCE) contained in memory i. If the check of the field (ANONCE) is positive, it checks the validity of the signature thanks to the PKI (certificates) and the element (ANONCE7).
1. Si la vérification de la signature est positive, le client met à jour la valeur du (ANONCE) en mémoire avec (AN0NCE7) reçu puis passe à l ' étape 2.1. If the signature verification is positive, the client updates the value of (ANONCE) in memory with (AN0NCE7) received and then proceeds to step 2.
2. Si la vérification de la signature est négative, alors le client rejette silencieusement la trame de gestion. ii. Si la vérification du champ (ANONCE) est négative, alors le client rejette silencieusement la trame de gestion. 2. Le client n'est plus authentifié au point d'accès.2. If the signature check is negative, then the client silently rejects the management frame. ii. If the field check (ANONCE) is negative, then the client silently rejects the management frame. 2. The client is no longer authenticated at the access point.
La description ci-dessus permet d'assurer au client qu'il communique bien avec un point d'accès légitime.The above description ensures that the customer communicates well with a legitimate access point.
L1 authentification et la vérification de l'authenticité des trames de balise (« beacons ») , figure 6, et plus généralement, de toute trame en provenance du point d'accès, à destination d'un ou de plusieurs clients, et n'étant pas une réponse à une requête préalable du client, est effectuée comme celle des trames de dis-association ou de dé-authentification. 1. Le point d'accès envoie une trame de balise contenant le champ (ANONCE8) et la signature de la trame. i. Si le client n'a pas de (ANONCE) en mémoire pour le point d'accès duquel il reçoit une trame, il passe directement à l'étape l.ii.l. ii. Le client vérifie que le (ANONCE8) reçu est supérieur au (ANONCE) contenu en mémoire 1. Si la vérification du champ (ANONCE) est positive, le client vérifie la validité de la signature grâce à la PKI (certificats) et à l ' élément (ANONCE8 ) . a. Si la vérification de la signature est positive, le client met à jour la valeur du (ANONCE) en mémoire avec (ANONCEl) reçu puis passe à l'étape 2. b. Si la vérification de la signature est négative, alors le client rejette silencieusement la trame de gestion. 2. Si la vérification du champ (ANONCE) est négative, alors le client rejette silencieusement la trame de gestion.L 1 authentication and verification of the authenticity of beacon frames ( "beacon"), Figure 6, and more generally, any frame from the access point to one or more clients, and n not being a response to a prior request from the client, is performed as that of disassociation frames or de-authentication. 1. The access point sends a beacon frame containing the field (ANONCE8) and the signature of the frame. i. If the client has no (ANONCE) in memory for the access point from which it receives a frame, it goes directly to step l.ii.l. ii. The client verifies that the (ANONCE8) received is greater than the (ANONCE) contained in memory 1. If the check of the field (ANONCE) is positive, the client verifies the validity of the signature thanks to the PKI (certificates) and the element (ANONCE8). at. If the signature verification is positive, the client updates the (ANONCE) value in memory with (ANONCEl) received and then proceeds to step 2. b. If the signature check is negative, then the client silently rejects the management frame. 2. If the field check (ANONCE) is negative, then the client silently rejects the management frame.
La description ci-dessus permet d'assurer au client qu'il reçoit bien les trames de balise en provenance d'un point d'accès légitime.The above description assures the client that it is receiving beacon frames from a legitimate access point.
Ainsi, le procédé comprend, à réception par la station de chaque trame de gestion émise par le point d'accès, une étape de vérification de la valeur du champ (ANONCE) reçu dans laquelle, la station vérifie, par des moyens de vérification, qu'une valeur du champ (ANONCE) est déjà contenue en mémoire. Dans la négative, la station vérifie la validité de la signature, et met à jour la valeur (ANONCE) en mémoire avec la valeur (ANONCE) reçue lorsque la signature est authentifiée. Dans l'affirmative, la station vérifie que la valeur du champ (ANONCE) reçue est supérieure à celle qu'elle contient en mémoire, puis, dans l'affirmative, vérifie la validité de la signature, et met à jour la valeur (ANONCE) en mémoire avec la valeur (ANONCE) reçue lorsque la signature est authentifiée.Thus, the method comprises, upon reception by the station of each management frame transmitted by the access point, a step of checking the value of the received field (ANONCE) in which the station verifies, by means of verification, a field value (ANONCE) is already stored in memory. If not, the station checks the validity of the signature, and updates the value (ANONCE) in memory with the value (ANONCE) received when the signature is authenticated. If yes, the station verifies that the value of the (ANONCE) field received is greater than the value it contains in memory, then, if so, verifies the validity of the signature, and updates the value (ANONCE) ) in memory with the value (ANONCE) received when the signature is authenticated.
Il est à noter qu'un point d'accès illégitime, et se faisant passer pour, un point d'accès légitime, peut rejouer du trafic émis auparavant par ce point d'accès légitime, pour faire en sorte que le client démarre la procédure d1 authentification vers le point d'accès illégitime. Cependant, le client s'apercevra dès la réception d'une trame d' authentification en réponse à sa requête d1 authentification que le point d'accès en question n'est pas capable de signer correctement les messages, et pourra réagir en conséquence (par exemple, un client peut choisir d'ignorer les trames de balise provenant de ce point d'accès, ou bien d'émettre des requêtes de sondage pour s'assurer que les informations sur les capacités et caractéristiques du point d'accès soient transmises en temps réel) .It should be noted that an illegitimate access point, pretending to be a legitimate access point, may Traffic replay previously issued by the legitimate access point, to ensure that the client starts the authentication procedure 1 to the illegitimate access point. However, the customer will notice upon receipt of a frame authentication in response to its request for authentication 1 that the access point in question is not able to properly sign messages, and can react accordingly ( for example, a client may choose to ignore beacon frames from that access point, or issue polling requests to ensure that the information on the capabilities and characteristics of the access point is transmitted. in real time) .
Si la vérification de la signature montre que la signature est invalide (dans le sens ne permet pas d'authentifier le point d'accès), alors le client peut supposer que soit une erreur de transmission est arrivée, soit une attaque active est en cours .If the signature check shows that the signature is invalid (in the sense does not authenticate the access point), then the client can assume that either a transmission error has occurred or an active attack is in progress .
Dans tous les cas, le client rejette silencieusement les trames de gestion invalides.In all cases, the client silently rejects invalid management frames.
Selon les implêmentations, il est possible d'avertir le client, par des moyens d'alerte, qu'une attaque est en cours, au bout d'un certain nombre de trames de gestion présentant des signatures invalides. According to the implementations, it is possible to warn the client, by means of alert, that an attack is in progress, after a certain number of management frames with invalid signatures.

Claims

REVENDICATIONS
1. Procédé de communication entre une station et au moins un point d'accès à un réseau sans fil dans lequel des trames de gestion sont échangées préalablement à l'échange de trames de données, caractérisé en ce que le procédé comprend,A method of communication between a station and at least one access point to a wireless network in which management frames are exchanged prior to the exchange of data frames, characterized in that the method comprises,
• une étape consistant à générer et inclure une signature électronique, au niveau d'au moins un point d'accès, par des moyens de signature électronique, dans au moins l'une des trames de gestion émises par ce point d'accès, etA step of generating and including an electronic signature, at the level of at least one access point, by electronic signature means, in at least one of the management frames transmitted by this access point, and
• une étape de validation de l'authenticité de ladite au moins une trame, au niveau de la station, par des moyens de validation de l'authenticité de la signature électronique.A validation step of the authenticity of said at least one frame, at the station, by means of validation of the authenticity of the electronic signature.
2. Procédé de communication selon la revendication 1 dans lequel les moyens de signature sont basés sur une logique de clé asymétrique . The communication method according to claim 1 wherein the signature means is based on an asymmetric key logic.
3. Procédé de communication selon la revendication 2, dans lequel ladite clé asymétrique est ensuite utilisée pour l'envoi par la station d'une clé symétrique maîtresse, à partir de laquelle sont dérivées une ou plusieurs clés de signature et de chiffrement. 3. The communication method according to claim 2, wherein said asymmetrical key is then used for sending by the station a master symmetric key, from which are derived one or more signature and encryption keys.
4. Procédé de communication selon l ' une quelconque des revendications précédentes dans lequel le réseau sans fil est configuré en mode ad hoc.4. The communication method as claimed in claim 1, in which the wireless network is configured in ad hoc mode.
5. Procédé de communication selon 1 ' une quelconque des revendications précédentes dans lequel chaque trame de gestion émise par ledit point d'accès comprend au moins un champ (ANONCEl à ANONCE8) dont la valeur est un compteur incrémenté à chaque trame de gestion émise, et un champ (SIGNATURE) contenant ladite signature électronique .5. The communication method as claimed in claim 1, wherein each management frame transmitted by said access point comprises at least one field (ANONCE1 to ANONCE8) whose value is an incremented counter for each management frame transmitted, and a field (SIGNATURE) containing said electronic signature.
6. Procédé de communication selon la revendication 5 dans lequel, chaque trame de gestion émise par la station vers ledit point d'accès comprend un champ (SNONCEl à SNONCE5) dont la valeur est un aléa, différent à chaque trame émise ; et chaque trame de gestion émise avec une signature électronique en réponse par un point d'accès comprend en outre un champ contenant la valeur de l'aléa (SNONCEl à SNONCE5) égal à l'aléa de la trame à laquelle elle répond.6. The communication method according to claim 5 wherein, each management frame transmitted by the station to said access point comprises a field (SNONCE1 to SNONCE5) whose value is a random, different to each transmitted frame; and each management frame transmitted with an electronic signature in response by an access point further comprises a field containing the value of the hazard (SNONCE1 to SNONCE5) equal to the randomness of the frame to which it responds.
7. Procédé de communication selon l'une quelconque des revendications 5 et 6, comprenant, à réception par la station de chaque trame de gestion émise par le point d'accès, une étape de vérification de la valeur du champ7. A method of communication according to any one of claims 5 and 6, comprising, on receiving by the station of each management frame transmitted by the access point, a step of checking the value of the field
(ANONCEl à AN0NCE8) reçu dans laquelle, la station vérifie qu'une valeur du champ (ANONCEl à AN0NCE8) pour ce point d'accès est déjà contenue en mémoire et, dans la négative, la station vérifie la validité de la signature et met à jour la valeur (ANONCEl à AN0NCE8) en mémoire pour ce point d'accès avec la valeur (ANONCEl à AN0NCE8) reçue lorsque la signature est authentifiée.(ANONCEl to AN0NCE8) received in which, the station checks that a value of the field (ANONCEl AN0NCE8) for this access point is already contained in memory and, if not, the station checks the validity of the signature and puts update the value (ANONCE1 to AN0NCE8) in memory for this access point with the value (ANONCE1 to AN0NCE8) received when the signature is authenticated.
8. Procédé de communication selon l'une quelconque des revendications 5 et 6, comprenant, à réception par la station de chaque trame de gestion émise par le point d'accès, une étape de vérification de la valeur du champ (ANONCEl à AN0NCE8) reçu dans laquelle la station vérifie qu'une valeur du champ (ANONCEl à ANONCE8) pour ce point d'accès est déjà contenue en mémoire et dans l'affirmative, la station vérifie que la valeur du champ (ANONCEl à AN0NCE8) reçue est supérieure à celle qu'elle contient en mémoire pour ce point d'accès, puis, dans l'affirmative, vérifie la validité de la signature et met à jour la valeur (ANONCEl à AN0NCE8) en mémoire pour ce point d'accès avec la valeur (ANONCEl à AN0NCE8) reçue lorsque la signature est authentifiée. 8. A method of communication according to any one of claims 5 and 6, comprising, on receipt by the station of each management frame transmitted by the access point, a step of checking the value of the field (ANONCEl AN0NCE8) received in which the station verifies that a value of the field (ANONCE1 to ANONCE8) for this access point is already contained in memory and if so, the station verifies that the value of the field (ANONCE1 to AN0NCE8) received is greater than to the one it contains in memory for that access point, then, in in the affirmative, checks the validity of the signature and updates the value (ANONCE1 to AN0NCE8) in memory for this access point with the value (ANONCE1 to AN0NCE8) received when the signature is authenticated.
9. Procédé de communication selon l'une quelconque des revendications 5 à 8, dans lequel la signature électronique est appliquée à au moins l'un des éléments suivants: l'adresse source de la trame de gestion, l'adresse de destination de cette trame, le compteur du champ (ANONCEl à ANONCE8) , et le champ (SNONCEl à SNONCE5) pour les trames qui le comprennent .The communication method according to any one of claims 5 to 8, wherein the electronic signature is applied to at least one of the following elements: the source address of the management frame, the destination address of this frame, the field counter (ANONCE1 to ANONCE8), and the field (SNONCE1 to SNONCE5) for the frames that understand it.
10. Procédé de communication selon l'une quelconque des revendications précédentes, dans lequel la signature électronique est réalisée à partir d'une fonction de hachage .The communication method as claimed in any one of the preceding claims, wherein the electronic signature is made from a hash function.
11. Point d'accès à un réseau sans fil comprenant des moyens de communication, par trames de données et trames de gestion au moins, vers au moins une station, caractérisé en ce que ledit point d'accès comprend, en outre, des moyens de signature électronique configurés pour inclure une signature dans au moins l'une des trames de gestion émises par ce point d'accès.11. Access point to a wireless network comprising communication means, at least data frames and management frames, to at least one station, characterized in that said access point further comprises means electronic signature configured to include a signature in at least one of the management frames transmitted by this access point.
12. Point d'accès à un réseau sans fil selon la revendication 11 comprenant des moyens pour comptabiliser les trames de gestion comprenant une signature émises.The wireless network access point of claim 11 including means for accounting for the management frames comprising an issued signature.
13. Point d'accès à un réseau sans fil selon l'une quelconque des revendications 11 ou 12, configuré pour recevoir d'au moins une station, des premières trames de gestion comprenant chacune un champ (SNONCEl à SNONCE5) dont la valeur est un aléa, différent à chaque trame de gestion émise, et émettre respectivement des deuxièmes trames de gestion en réponse auxdites premières trames , ce point d'accès comprenant des moyens pour copier l'aléa (SNONCEl à SNONCE5) de chaque première trame reçue dans chaque deuxième trame émise respectivement en réponse à cette première trame . 13. Access point to a wireless network according to any one of claims 11 or 12, configured to receive from at least one station, first management frames each comprising a field (SNONCE1 to SNONCE5) whose value is a hazard, different to each management frame transmitted, and transmit respectively second management frames in response to said first frames, this access point comprising means for copying the random (SNONCE1 to SNONCE5) of each first frame received in each second frame respectively transmitted in response to this first frame.
14. Station configurée pour communiquer avec au moins un point d'accès à un réseau sans fil par des moyens de communication comprenant au moins des trames de données et des trames de gestion, caractérisée en ce que, le dit point d'accès émettant des trames de gestion comportant une signature électronique, la station comprend en outre des moyens de validation de l'authenticité dudit point d'accès, comprenant des moyens de validation de l'authenticité de la signature électronique de ladite trame. A station configured to communicate with at least one access point to a wireless network by communication means comprising at least data frames and management frames, characterized in that said access point transmitting management frames comprising an electronic signature, the station further comprises means for validating the authenticity of said access point, comprising means for validating the authenticity of the electronic signature of said frame.
15. Station configurée pour communiquer avec au moins un point d'accès à un réseau sans fil selon la revendication 14, comprenant des moyens pour générer des aléas (SNONCEl à SNONCE5) à chaque trame de gestion émise . A station configured to communicate with at least one access point to a wireless network according to claim 14, comprising means for generating random events (SNONCE1 to SNONCE5) for each transmitted management frame.
16. Station selon l'une quelconque des revendications 14 et 15, comprenant une mémoire et configurée pour, à réception de chaque trame de gestion comprenant un champ (ANONCEl à ANONCE8) émise par le point d'accès, vérifier la présence d'une valeur du champ (ANONCEl à ANONCE8) en mémoire, et pour vérifier, dans la négative, la validité de la signature et mettre à jour la valeur (ANONCEl à ANONCE8) en mémoire pour ce point d'accès avec la valeur (ANONCEl à ANONCE8) reçue lorsque la signature est authentifiée. 16. Station according to any one of claims 14 and 15, comprising a memory and configured to, on receipt of each management frame comprising a field (ANONCEl ANONCE8) issued by the access point, check the presence of a the value of the field (ANONCEl to ANONCE8) in memory, and to check, in the negative, the validity of the signature and update the value (ANONCEl to ANONCE8) in memory for this access point with the value (ANONCEl to ANONCE8 ) received when the signature is authenticated.
17. Station selon l'une quelconque des revendications 14 et 15, comprenant une mémoire et configurée pour, à réception de chaque trame de gestion comprenant un champ (ANONCEl à ANONCE8) émise par le point d'accès, vérifier la présence d'une valeur du champ17. Station according to any one of claims 14 and 15, comprising a memory and configured for, upon receipt of each management frame comprising a field (ANONCE1 to ANONCE8) transmitted by the access point, checking the presence of a field value
(ANONCEl à ANONCE8) en mémoire, et pour vérifier, dans l'affirmative, que la valeur du champ (ANONCEl à ANONCE8) reçue est supérieure à celle qu'elle contient en mémoire pour ce point d'accès, puis, dans l'affirmative, vérifier la validité de la signature et mettre à jour la valeur(ANONCEl to ANONCE8) in memory, and to verify, if so, that the value of the field (ANONCEl to ANONCE8) received is greater than that it contains in memory for this access point, then, in the in the affirmative, check the validity of the signature and update the value
(ANONCEl à ANONCE8) en mémoire pour ce point d'accès avec la valeur (ANONCEl à AN0NCE8) reçue lorsque la signature est authentifiée. (ANONCE1 to ANONCE8) in memory for this access point with the value (ANONCE1 to AN0NCE8) received when the signature is authenticated.
PCT/FR2006/000922 2005-05-13 2006-04-25 Wireless network communication method using management frames comprising an electronic signature WO2006120316A1 (en)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
FR0504850A FR2885753A1 (en) 2005-05-13 2005-05-13 COMMUNICATION METHOD FOR WIRELESS NETWORKS BY MANAGEMENT FRAMES COMPRISING AN ELECTRONIC SIGNATURE
FR0504850 2005-05-13

Publications (1)

Publication Number Publication Date
WO2006120316A1 true WO2006120316A1 (en) 2006-11-16

Family

ID=35519084

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/FR2006/000922 WO2006120316A1 (en) 2005-05-13 2006-04-25 Wireless network communication method using management frames comprising an electronic signature

Country Status (2)

Country Link
FR (1) FR2885753A1 (en)
WO (1) WO2006120316A1 (en)

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
RU2517410C2 (en) * 2009-06-26 2014-05-27 Хуавей Текнолоджиз Ко., Лтд. Key derivation method, apparatus and system
JP2014531812A (en) * 2011-09-12 2014-11-27 クゥアルコム・インコーポレイテッドＱｕａｌｃｏｍｍ Ｉｎｃｏｒｐｏｒａｔｅｄ System and method for performing link setup and authentication
CN112887974A (en) * 2021-01-23 2021-06-01 深圳市智开科技有限公司 Management frame protection method for WAPI wireless network
WO2023020164A1 (en) * 2021-08-19 2023-02-23 支付宝(杭州)信息技术有限公司 Method and apparatus for managing communication channel

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US5524052A (en) * 1993-08-25 1996-06-04 International Business Machines Corp. Communication network access method and system
WO2005041531A1 (en) * 2003-10-16 2005-05-06 Cisco Technology, Inc. System and method for protecting network management frames

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US5524052A (en) * 1993-08-25 1996-06-04 International Business Machines Corp. Communication network access method and system
WO2005041531A1 (en) * 2003-10-16 2005-05-06 Cisco Technology, Inc. System and method for protecting network management frames

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
"A Comprehensive Review of 802.11 Wireless LAN Security and the Cisco Wireless Security Suite", 1, 1 January 2002 (2002-01-01), XP002311109 *

Cited By (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
RU2517410C2 (en) * 2009-06-26 2014-05-27 Хуавей Текнолоджиз Ко., Лтд. Key derivation method, apparatus and system
US11240019B2 (en) 2009-06-26 2022-02-01 Huawei Technologies Co., Ltd. Method, device, and system for deriving keys
JP2014531812A (en) * 2011-09-12 2014-11-27 クゥアルコム・インコーポレイテッドＱｕａｌｃｏｍｍ Ｉｎｃｏｒｐｏｒａｔｅｄ System and method for performing link setup and authentication
JP2016136724A (en) * 2011-09-12 2016-07-28 クゥアルコム・インコーポレイテッドＱｕａｌｃｏｍｍ Ｉｎｃｏｒｐｏｒａｔｅｄ System and method for link setting and authentication
JP2016136723A (en) * 2011-09-12 2016-07-28 クゥアルコム・インコーポレイテッドＱｕａｌｃｏｍｍ Ｉｎｃｏｒｐｏｒａｔｅｄ System and method for link setting and authentication
US9426648B2 (en) 2011-09-12 2016-08-23 Qualcomm Incorporated Systems and methods of performing link setup and authentication
US9439067B2 (en) 2011-09-12 2016-09-06 George Cherian Systems and methods of performing link setup and authentication
CN112887974A (en) * 2021-01-23 2021-06-01 深圳市智开科技有限公司 Management frame protection method for WAPI wireless network
WO2023020164A1 (en) * 2021-08-19 2023-02-23 支付宝(杭州)信息技术有限公司 Method and apparatus for managing communication channel

Also Published As

Publication number Publication date
FR2885753A1 (en) 2006-11-17

Similar Documents

Publication Publication Date Title
EP2823595B1 (en) Method, apparatuses, and computer-readable storage medium for securely accessing social networking data
EP2721857B1 (en) Method of processing a data packet on transmission, method of processing a data packet on reception, device and node equipment associated therewith
EP2335431B1 (en) Distribution of an authentication function in a mobile network
EP3386162A1 (en) Secure end-to-end communication for mobile sensor in an iot network
EP1520390A1 (en) Method and control member for controlling access to a radiocommunication cellular system through a wireless local network
EP2294850B1 (en) Method of securing exchanges between an applicant node and a destination node
WO2005079090A1 (en) Emission of a public key by a mobile terminal
US7751569B2 (en) Group admission control apparatus and methods
WO2006120316A1 (en) Wireless network communication method using management frames comprising an electronic signature
EP2926617B1 (en) Direct mode communication in a wideband radio communication system
EP3876129B1 (en) Integrity for mobile network data storage
WO2019228853A1 (en) Method for establishing keys for controlling access to a service or a resource
EP2665224B1 (en) Method of distributing a digital encryption key to telecommunication terminals
Tchepnda Authentification dans les réseaux véhiculaires opérés
EP3785403A1 (en) Method for formulating usage data in respect of relays used in the course of a communication between two devices, for searching said data, and associated devices
WO2012052434A1 (en) Method for optimizing the transfer of a stream of secure data via an autonomic network
EP2710820B1 (en) Communication system and corresponding method, computer program, and storage means
EP1883199B1 (en) Method for controlling the access of a mobile station to a base station
EP4156606A1 (en) Method for managing a user involved in a group communication
FR3116978A1 (en) Access control to a local communication network, and access gateway implementing such control
WO2007042664A1 (en) Verifying a message received in multicast mode in a communication network
FR3122796A1 (en) Method of defense against a disconnection attempt between two entities, associated system
WO2016005386A1 (en) Method and device for the stealthy establishment of wireless communications
FR2924294A1 (en) Authentication identifier e.g. medium access control address, and random sequence transmitting method for e.g. portable computer, involves sending authentication request nearer to communicating device by terminal
WO2006035137A1 (en) Filtering method and device for detecting a counterfeit address to an information system

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application
NENP Non-entry into the national phase

Ref country code: DE

WWW Wipo information: withdrawn in national office

Country of ref document: DE

NENP Non-entry into the national phase

Ref country code: RU

WWW Wipo information: withdrawn in national office

Country of ref document: RU

122 Ep: pct application non-entry in european phase

Ref document number: 06743740

Country of ref document: EP

Kind code of ref document: A1