WO2009094941A1 - Procédé, dispositif et système pour un accès d'authentification de réseau à sauts multiples sans fil basé sur id - Google Patents

Procédé, dispositif et système pour un accès d'authentification de réseau à sauts multiples sans fil basé sur id Download PDF

Info

Publication number
WO2009094941A1
WO2009094941A1 PCT/CN2009/070270 CN2009070270W WO2009094941A1 WO 2009094941 A1 WO2009094941 A1 WO 2009094941A1 CN 2009070270 W CN2009070270 W CN 2009070270W WO 2009094941 A1 WO2009094941 A1 WO 2009094941A1
Authority
WO
WIPO (PCT)
Prior art keywords
coordinator
terminal device
public key
query
authentication
Prior art date
Application number
PCT/CN2009/070270
Other languages
English (en)
French (fr)
Inventor
Yuelei Xiao
Jun Cao
Xiaolong Lai
Zhenhai Huang
Original Assignee
China Iwncomm Co., Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by China Iwncomm Co., Ltd filed Critical China Iwncomm Co., Ltd
Priority to JP2010543365A priority Critical patent/JP2011514032A/ja
Priority to US12/864,401 priority patent/US20100293378A1/en
Priority to EP09706805A priority patent/EP2247131A4/en
Priority to KR1020107018360A priority patent/KR101198570B1/ko
Publication of WO2009094941A1 publication Critical patent/WO2009094941A1/zh

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/06—Network architectures or network communication protocols for network security for supporting key management in a packet data network
    • H04L63/062—Network architectures or network communication protocols for network security for supporting key management in a packet data network for key distribution, e.g. centrally by trusted party
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • H04L63/205—Network architectures or network communication protocols for network security for managing network security; network security policies in general involving negotiation or determination of the one or more network security mechanisms to be used, e.g. by negotiation between the client and the server or between peers or by selection according to the capabilities of the entities involved
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/321—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving a third party or a trusted authority
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3263—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements
    • H04L9/3268—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements using certificate validation, registration, distribution or revocation, e.g. certificate revocation list [CRL]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
    • H04W12/043—Key management, e.g. using generic bootstrapping architecture [GBA] using a trusted network node as an anchor
    • H04W12/0431—Key distribution or pre-distribution; Key agreement
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/08—Access security
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W84/00—Network topologies
    • H04W84/18—Self-organising networks, e.g. ad-hoc networks or sensor networks

Definitions

  • ID-based wireless multi-hop network authentication access method device and system
  • the invention relates to a network authentication access method, in particular to an ID-based wireless multi-hop network authentication access method, a terminal device and a system.
  • the terminal device can communicate with other devices in the network, but the data cannot be forwarded for other devices in the network, that is, the routing function cannot be completed.
  • the route coordinator is also responsible for forwarding data for other devices in the network, that is, the routing function can be completed.
  • the network coordinator is responsible for transmitting network beacons, establishing a network, managing network nodes, storing network node information, finding routing messages between a pair of nodes, and continuously receiving information, and also forwarding data for other devices in the network. Complete the routing function.
  • the network coordinator and the route coordinator can be collectively referred to as a coordinator.
  • the Trust Center is the key management center for the network and is responsible for configuring key information for all devices in the network.
  • the trusted center can be acted upon by the network coordinator or by other devices specified by the network coordinator in the network.
  • the wireless multi-hop network supports two network topologies: a star network and a point-to-point network.
  • the network topology of the point-to-point network can be divided into a network structure and a cluster structure, as shown in FIG.
  • the first security solution the form of self-organizing networks.
  • the device first connects to the wireless multi-hop network, and then dynamically obtains key information from the wireless multi-hop network, such as: obtaining an ID-based (identity-based cryptosystem)-based private key from a distributed CA in the wireless multi-hop network, and finally utilizing the basis Public-private pairs of IDs for secure communication;
  • key information such as: obtaining an ID-based (identity-based cryptosystem)-based private key from a distributed CA in the wireless multi-hop network, and finally utilizing the basis Public-private pairs of IDs for secure communication;
  • the second security scheme the form of post-connection authentication.
  • the device is first connected to the wireless multi-hop network, and then the network coordinator completes the authentication of the device, and finally uses the negotiated session key for secure communication, for example: IEEE802.15.4/ZigBee standard.
  • any device can become a member of a wireless multi-hop network.
  • the difference between a legitimate device and an illegal device is obviously unsafe.
  • the network coordinator authenticates the device after it is connected to the wireless multi-hop network, any device can connect to a wireless multi-hop network and move it away from the network coordinator.
  • the network can communicate with other devices on the network before, which is also unsafe and also causes a certain amount of communication waste.
  • the invention provides an ID-based wireless multi-hop network authentication access method, a terminal device and a system, and solves the technical problem that the existing wireless multi-hop network authentication access method has a security risk.
  • the technical solution of the present invention is:
  • An ID-based wireless multi-hop network authentication access method includes the following steps:
  • the coordinator broadcasts a beacon frame;
  • the beacon frame includes an ID-based authentication and key management suite;
  • the coordinator authenticates the terminal device when receiving a connection request command sent by the terminal device supporting the ID-based authentication and the key management suite;
  • the coordinator opens the controlled port to connect the terminal device to the wireless multi-hop network
  • the coordinator sends a connection response command to the terminal device, where the connection response command is used to indicate that the terminal device accesses the wireless multi-hop network.
  • the method further includes:
  • the terminal device After receiving the beacon frame sent by the coordinator, the terminal device sends a connection request command to the coordinator; after receiving the connection response command sent by the coordinator, the terminal device opens the controlled port, and accesses the Wireless multi-hop network.
  • the method further includes:
  • the uncontrolled port and the controlled port of the coordinator and the terminal device are defined such that the uncontrolled port of the terminal device and the coordinator pass the authentication protocol data packet and the management information, and the controlled port of the terminal device and the coordinator pass the application packet.
  • the specific process of authenticating the terminal device includes:
  • the coordinator generates a coordinator authentication query according to the connection request command sent by the terminal device, and after receiving the authentication activation, the terminal device verifies the validity of the coordinator public key, and if the verification passes, generates a terminal device authentication query,
  • the public key revocation query identifier and the terminal device temporary public key, and the terminal device authentication query, the public key revocation query identifier, the terminal device temporary public key, the coordinator authentication query, the terminal device public key, and the terminal device sign the first five pieces of information
  • the constituent authentication request is sent to the coordinator;
  • the coordinator After receiving the authentication request, the coordinator verifies the validity of the signature in the authentication request, the consistency of the coordinator authentication query, and the validity of the temporary public key of the terminal device; if the verification is passed, the query identifier is revoked according to the public key. Determining whether to perform a public key revocation query; if yes, the coordinator sets the public key revocation query identifier and generates a coordinator public key revocation query query, and combines the coordinator public key revocation query query, the public key revocation query identifier, and the terminal device public key The public key revocation query request is sent to the trusted center;
  • the coordinator receives the public key revocation query response consisting of the coordinator public key revocation query query, the public key revocation query identifier, and the terminal device public key revocation result sent by the trusted center;
  • the coordinator verifies the public key revocation query identifier in the public key revocation query response, verifies the consistency of the coordinator public key revocation query query and the public key revocation query identifier; verifies the terminal device public key revocation result; if the verification passes, generates coordination Temporary public key and access result, and the public key revocation query identifier, terminal device authentication query, coordinator temporary public key, terminal device identity and access result, and coordinator signature of the first five pieces of information
  • the authentication response is sent to the terminal device; at the same time, the coordinator generates a base key between the terminal device and the coordinator according to the temporary public key of the terminal device and the temporary private key of the coordinator; after receiving the authentication response, the terminal device verifies the Declaring the validity of the signature of the public key in the authentication response, verifying the signature of the authentication response, verifying the consistency of the terminal device authentication query, the public key, the identity of the terminal device, and verifying the access result; Passing, generating a terminal device and a coordinator according to the terminal device
  • the specific process of authenticating the terminal device further includes:
  • the coordinator If the public key revocation query is not determined according to the public key revocation query, the coordinator generates a coordinator temporary public key and an access result, and the public key revocation query identifier, the terminal device authentication query, and the coordinator temporary The public key, the access result, and the authentication response of the coordinator to the signature of the previous four pieces of information are sent to the terminal device;
  • the terminal device After receiving the authentication response sent by the coordinator, the terminal device verifies the validity of the signature of the authentication response, the consistency of the terminal device authentication query, and the access result; if the verification fails, the authentication fails; if the verification succeeds, Then, the terminal device generates a base key between the terminal device and the coordinator according to the temporary public key of the terminal device and the temporary private key of the coordinator, and the authentication succeeds.
  • the specific process of authenticating the terminal device further includes:
  • the trusted center After receiving the public key revocation query request sent by the coordinator, the trusted center verifies the public key revocation public key revocation query query, the public key revocation query identifier, and the terminal device public key revocation result to form a public key revocation query response transmission. Give the coordinator.
  • the specific process of authenticating the terminal device includes:
  • the coordinator generates a coordinator authentication query according to the connection request command sent by the terminal device, and after the terminal device receives the authentication activation, verifies the validity of the coordinator public key; if the verification succeeds, the device generates the terminal device authentication query and the public key.
  • the authentication request is sent to the coordinator; after receiving the authentication request, the coordinator verifies the validity of the authentication request signature, the consistency of the coordinator authentication query, and the validity of the temporary public key of the terminal device; if the verification is passed, the public key is revoked according to the public key
  • the query identifier determines whether the public key revocation query is performed; if the public key revocation query is performed, the coordinator sets the public key revocation query identifier, and generates a coordinator public key revocation query query, and rectifies the coordinator public key revocation query and terminal device authentication. Inquiry, public key, ⁇ ⁇ query identifier and coordinator The key constitutes the public key.
  • the payment request is sent to the trusted center.
  • the coordinator receives the trusted center to send the coordinator public key revocation query query, the public key revocation query flag Public key revocation query response composed of knowledge, coordinator public key revocation query result and public key revocation query signature; after receiving the public key revocation query response, the coordinator verifies the public key revocation query identifier in the public key revocation query response Verifying the consistency of the coordinator public key revocation query query and the public key revocation query identifier, verifying the validity of the coordinator public key revocation query result and the public key revocation query signature, and if the verification passes, the coordinator generates the coordinator temporary public key And the access result, and the public key revocation query identifier, the terminal device authentication query, the coordinator temporary public key, the identity of the terminal device, the access result, the coordinator public key revocation query result, and the public key revocation query signature, and the front An authentication response consisting of signatures of the seven pieces of information is sent to the terminal device; at the same time, the coordinator generates a base key between the
  • the terminal device After receiving the authentication response, the terminal device verifies the public key revocation query identifier in the authentication response, verifies the validity of the signature of the authentication response, and verifies the terminal device authentication query, the public key, the query identifier, and the identity of the terminal device. Consistency of the identity and the verification of the access result; if the verification succeeds, the terminal device verifies that the coordinator public key revocation query result and the public key revocation query signature are valid, and generates the terminal device according to the terminal device temporary public key and the coordinator temporary private key. The base key between the coordinator and the coordinator succeeded.
  • the specific process of authenticating the terminal device further includes:
  • the coordinator judges that the public key revocation query identifier does not perform the public key revocation query, the coordinator temporary public key and the access result are generated, and the coordinator cancels the public key revocation query identifier, the terminal device authentication query, and the coordinator temporary The public key, the access result, and the authentication response of the coordinator to the signature of the previous four pieces of information are sent to the terminal device;
  • the terminal device After receiving the authentication response, the terminal device verifies the validity of the signature of the authentication response, the consistency of the terminal device authentication query, and the access result; if the verification is passed, the terminal device according to the terminal device temporary public key and the coordinator temporary private key The base key between the terminal device and the coordinator is generated, and the authentication is successful.
  • the specific process of authenticating the terminal device further includes:
  • the trusted center After receiving the public key revocation query request sent by the coordinator, the trusted center verifies the public key revocation query identifier in the public key revocation query request, verifies the validity of the coordinator public key, and generates a coordinator public key revocation query.
  • the trusted center public key is used to calculate the signature of the coordinator public key revocation query result, generate a public key revocation query signature, and the coordinator public key revocation query query, the public key revocation query identifier, the coordinator public key revocation query result, and
  • the public key revocation query signature is composed of a public key revocation query response sent to the coordinator.
  • the specific process of authenticating the terminal device includes:
  • the coordinator generates a coordinator authentication query according to the connection request command sent by the terminal device, and after the terminal device receives the authentication activation, verifies the validity of the coordinator public key in the authentication activation; if the verification succeeds, the terminal device authentication is generated.
  • the authentication request consisting of the signature of the information is sent to the coordinator; after receiving the authentication request, the coordinator verifies the validity of the authentication request signature, the consistency of the coordinator authentication query, and the validity of the temporary public key of the terminal device;
  • the public key revocation query identifier to determine whether to perform the public key revocation query; if the public key revocation query is performed, the coordinator sets the public key revocation query identifier, and generates the coordinator public key revocation query query, and the coordinator public key revocation query query , terminal device authentication query,
  • the coordinator receives the public key 4, which is composed of the coordinator public key revocation query query, the public key revocation query identifier, the terminal device public key revocation result, the coordinator public key revocation query result, and the public key revocation query signature sent by the trusted center.
  • Query response is composed of the coordinator public key revocation query query, the public key revocation query identifier, the terminal device public key revocation result, the coordinator public key revocation query result, and the public key revocation query signature sent by the trusted center.
  • the coordinator verifies the public key revocation query identifier in the public key revocation query response, verifies the consistency of the coordinator public key revocation query query and the public key revocation query identifier, and verifies the coordinator public key revocation query result and the public key revocation query signature. Validity and verification of the terminal device public key revocation result. If the verification passes, the coordinator generates the coordinator temporary public key and the access result, and the public key revocation query identifier, the terminal device authentication query, the coordinator temporary public key, and the terminal device.
  • the identity identifier, the access result, the coordinator public key revocation query result, and the public key revocation query signature, and the authentication response composed of the signatures of the previous seven pieces of information are sent to the terminal device; meanwhile, the coordinator according to the terminal device temporary public key and coordination The temporary private key generates a base key between the terminal device and the coordinator;
  • the terminal device After receiving the authentication response, the terminal device verifies the public key revocation query identifier in the authentication response, verifies the validity of the signature of the authentication response, and verifies the terminal device authentication query, the public key, the query identifier, and the identity of the terminal device. Consistency of the identity and the verification of the access result; if the verification succeeds, the terminal device verifies that the coordinator public key revocation query result and the public key revocation query signature are valid, and generates the terminal device according to the terminal device temporary public key and the coordinator temporary private key. The base key between the coordinator and the coordinator succeeded.
  • the specific process of authenticating the terminal device further includes:
  • the coordinator does not perform the public key revocation query; generate the coordinator temporary public key and the access result, and the coordinator will revoke the public key revocation query identifier, the terminal device authentication query, the coordinator temporary public key, the access result, and the coordinator
  • the signature of the first four pieces of information constitutes an authentication response and is sent to the terminal device;
  • the terminal device After receiving the authentication response, the terminal device verifies the validity of the signature of the authentication response, the consistency of the terminal device authentication query, and the access result; if the verification is passed, according to the terminal device temporary public key and the coordinator temporary private key The base key between the terminal device and the coordinator is generated, and the authentication is successful.
  • the specific process of authenticating the terminal device further includes:
  • the trusted center After receiving the public key revocation query request sent by the coordinator, the trusted center verifies the validity of the public key revocation public key and generates a coordinator public key revocation query result, and uses the trusted center private key to coordinate the coordinator
  • the composition public key revocation query response is sent to the coordinator.
  • the method further includes:
  • the coordinator and the terminal device After the authentication is successful, the coordinator and the terminal device perform unicast key negotiation.
  • the process of the unicast key negotiation between the coordinator and the terminal device includes: after the successful authentication, the coordinator needs to establish or update a unicast key, generate a coordinator unicast key negotiation query, and the coordinator Coordinator unicast key negotiation query constitutes a unicast key negotiation request and is sent to the terminal device;
  • the terminal device After receiving the unicast key negotiation request, the terminal device generates a terminal device unicast key negotiation query, and generates a terminal device and a coordinator according to the base key, the coordinator unicast key negotiation query, and the terminal device unicast key negotiation query. a unicast key between the unicast key; and a unicast key negotiation response consisting of the coordinator unicast key negotiation query, the terminal device unicast key negotiation query, and the message authentication code; wherein the message is The authentication code is a message authentication code calculated by the terminal device according to the coordinator unicast key negotiation query and the terminal device unicast key negotiation query;
  • the coordinator After receiving the unicast key negotiation response, the coordinator calculates the unicast key according to the base key, the coordinator unicast key negotiation query, and the terminal device unicast key negotiation query, and verifies the coordinator unicast key negotiation query. Consistency and validity of the message authentication code of the terminal device, if the verification is passed, the coordinator will coordinate the coordinator
  • the unicast key negotiation inquiry and the unicast key negotiation confirmation composed of the message authentication code calculated by the terminal device unicast key negotiation query are sent to the terminal device;
  • the terminal device After receiving the unicast key negotiation confirmation, the terminal device verifies the consistency of the unicast key negotiation query of the terminal device and the validity of the message authentication code of the coordinator; if the verification succeeds, the unicast key negotiation succeeds.
  • the method further includes: after the unicast key negotiation is completed, the coordinator and the terminal device perform multicast key advertisement.
  • the specific process of the multicast key advertisement includes:
  • the coordinator After the unicast key negotiation succeeds, when the coordinator establishes or updates the multicast key, the multicast key is calculated by using the advertised master key, and the advertised master key is encrypted by using the cipher key in the unicast key. And generating a multicast key advertisement identifier, and transmitting, by the multicast key advertisement identifier, the encrypted multicast advertisement master key, and the message authentication code, to the terminal device, where the message is authenticated
  • the code is a message authentication code calculated by the coordinator using the authentication key in the multicast key to the multicast key advertisement identifier and the encrypted multicast advertisement master key;
  • the terminal device After receiving the multicast key advertisement, the terminal device verifies whether the multicast key advertisement identifier is the same as the locally calculated multicast key advertisement identifier, and if the same, uses the advertisement master key to calculate the multicast key, and Continuing to verify the validity of the message authentication code of the coordinator, if the verification is passed, the terminal device sends a multicast key notification identifier and a message authentication code to form a multicast key response to the coordinator; wherein the message authentication code is The terminal device uses the authentication key in the locally generated multicast key to calculate the message authentication code of the multicast key advertisement identifier message;
  • the coordinator After receiving the multicast key response, the coordinator verifies the consistency of the multicast key advertisement identifier and the validity of the message authentication code of the terminal device. If the verification succeeds, the multicast key negotiation succeeds.
  • the invention also provides a coordinator, comprising:
  • a broadcast unit configured to broadcast a beacon frame;
  • the beacon frame includes an ID-based authentication and a key management suite;
  • An authentication unit configured to authenticate the terminal device when receiving a connection request command sent by the terminal device supporting the ID-based authentication and the key management suite
  • a sending unit configured to send a connection response command to the terminal device, where the connection response command is used to instruct the terminal device to access the wireless multi-hop network.
  • the method further comprises: a defining unit, configured to pre-define an uncontrolled port and a controlled port of the coordinator and the terminal device, so that the coordinator and the uncontrolled port of the terminal device pass the authentication protocol data packet and management information, and the coordinator and the terminal device The controlled port passes the application packet.
  • a defining unit configured to pre-define an uncontrolled port and a controlled port of the coordinator and the terminal device, so that the coordinator and the uncontrolled port of the terminal device pass the authentication protocol data packet and management information, and the coordinator and the terminal device The controlled port passes the application packet.
  • the present invention also provides a terminal device, including:
  • connection request sending unit configured to send a connection request command to the coordinator after receiving the beacon frame sent by the coordinator, where the beacon frame includes an ID-based authentication and key management suite; And after receiving the connection response command sent by the coordinator, opening the controlled port to access the wireless multi-hop network.
  • the present invention also provides an ID-based wireless multi-hop network authentication access system, including a coordinator and a terminal device, where
  • the coordinator includes:
  • a broadcast unit configured to broadcast a beacon frame;
  • the beacon frame includes an ID-based authentication and a key management suite;
  • An authentication unit configured to authenticate the terminal device when receiving a connection request command sent by the terminal device supporting the ID-based authentication and the key management suite
  • a sending unit configured to send a connection response command to the terminal device, where the connection response command is used to indicate that the terminal device accesses a wireless multi-hop network
  • the terminal device includes:
  • connection request sending unit configured to send a connection request command to the coordinator after receiving the beacon frame sent by the coordinator, where the beacon frame includes an ID-based authentication and key management suite; And after receiving the connection response command sent by the coordinator, opening the controlled port to access the wireless multi-hop network.
  • the advantages of the present invention include:
  • the terminal device can be connected to the coordinator after being authenticated, thereby realizing the authentication access of the terminal device to the wireless multi-hop network.
  • the terminal device can also authenticate the coordinator to determine whether to connect to the coordinator based on the result of the authentication. Therefore, the security and performance of the terminal device accessing the wireless multi-hop network are improved.
  • Both the terminal device and the coordinator define the uncontrolled port and the controlled port, and use the authentication result to control them, thereby forming a port access control system and improving the terminal device accessing the wireless multi-hop. Network security.
  • the terminal device and the coordinator define a unicast key negotiation process and a multicast key notification process for different security services, thereby ensuring communication security between the terminal device and the coordinator.
  • a ternary peer-to-peer authentication protocol is adopted.
  • the trusted center provides a public key revocation list for the terminal device and the coordinator to implement two-way authentication of the terminal device and the coordinator, thereby improving the security of the terminal device accessing the wireless multi-hop network.
  • the ID-based public key itself has a revocation characteristic and the ID-based public key has a short length, the number of public key revocation queries is reduced and the transmission traffic is reduced, thereby improving the terminal device accessing the wireless multi-hop network. Performance.
  • the information sent by the trusted center to the coordinator is transmitted in the secure channel, and the secure channel can be established in a non-interactive manner by using the public and private key pairs of the coordinator and the trusted center, eliminating the key negotiation process between them and The information complexity sent by the trusted center to the coordinator is reduced, thereby improving the performance of the terminal device accessing the wireless multi-hop network.
  • FIG. 1 is a network topology diagram of a wireless multi-hop network, wherein FIG. 1A is a star network topology structure diagram, FIG. 1B is a mesh network topology structure diagram, and FIG. 1C is a cluster network topology structure diagram, FIG. 1C is a cluster network topology structure diagram, FIG. “for the coordinator, "o" is the terminal device, which is the communication channel;
  • FIG. 2 is a schematic structural diagram of an authentication access system of a wireless multi-hop network; in FIG. 2, A is a terminal device requesting authentication access, B is a coordinator associated with A, and S is a trusted center of the wireless multi-hop network;
  • Figure 3 is a schematic diagram of an authentication process in the method of the present invention
  • FIG. 4 is a schematic diagram of a unicast key negotiation process in the method of the present invention.
  • FIG. 5 is a schematic diagram of a multicast key negotiation process in the method of the present invention.
  • FIG. 6 is a schematic flow chart of an authentication process in the method of the present invention.
  • N 2 a terminal device authentication challenge
  • N 3 Coordinator public key revocation query inquiry
  • N 4 Coordinator unicast key negotiation query
  • N 5 terminal device unicast key negotiation inquiry
  • N M multicast key announcement identifier
  • HMAC CU the message authentication code of the coordinator at the time of unicast key negotiation
  • HMACTU the message authentication code of the terminal device during the broadcast key negotiation
  • HMAC CM the message authentication code of the coordinator during multicast key negotiation
  • HMACTM the message authentication code of the terminal device during multicast key negotiation
  • ADDID Cascading value of the MAC address of the terminal device and the coordinator
  • PECC ECC domain parameters
  • SK ro-s Trusted Center Private Key
  • PK ro-s Trusted Center Public Key
  • PK ro-T terminal device public key
  • PK ro-c coordinator public key
  • ID C the identity of the coordinator
  • ID T the identity of the terminal device
  • ID S-CA The subject identity of the CA certificate of the trusted center in the wireless multi-hop network
  • TL T-PK the validity period of the terminal device public key
  • TLC-PK the validity period of the coordinator public key
  • QF PK public key sales query identifier
  • Re c coordinator public key revocation result
  • Results The coordinator public key revokes the query result
  • Sig T terminal device authentication request signature
  • Sig c coordinator authentication response signature
  • Sig s public key revocation query signature
  • UEK unicast encryption key
  • UCK unicast integrity check key
  • NMK multicast advertisement master key
  • NMK E Encrypted multicast advertisement master key
  • MEK multicast encryption key
  • MCK Multicast integrity check key
  • the present invention is applicable to a security application protocol when a WAPI framework method (TePA, an access control method based on ternary peer authentication) is applied on a specific network including a wireless local area network and a wireless metropolitan area network.
  • a WAPI framework method TePA, an access control method based on ternary peer authentication
  • the purpose of authentication is to establish trust between the terminal device and its associated coordinator and to protect the data passed over the link between them.
  • the terminal device and its associated coordinator belong to the same management domain, that is, a wireless multi-hop network, and the trusted center of the wireless multi-hop network needs to be configured for all devices in the wireless multi-hop network, such as: Configure key information under different authentication and key management suites.
  • the coordinator broadcasts a beacon frame, and in the beacon frame broadcast by the coordinator, the coordinator supports the authentication and key management suite as an ID-based authentication and key management suite. .
  • the terminal device identifies the authentication and key management suite supported by the coordinator through the beacon frame of the coordinator, and then verifies whether the terminal device supports the ID-based authentication and key management suite, if supported and has key information in the manner , the terminal device sends a connection request command to the coordinator.
  • the coordinator After the coordinator receives the connection request command from the terminal device, if it is learned from the connection request command that the terminal device also supports the ID-based authentication and key management suite, the coordinator is under the ID-based authentication and key management suite. An authentication process is performed with the terminal device, and then a connection response command is sent to the terminal device. If the authentication is successful, the coordinator connects the terminal device to the wireless multi-hop network, and the connection response command sent by the coordinator includes some access information, such as: the assigned network address. If the authentication is successful and the coordinator wants to perform unicast key negotiation with the terminal device, the coordinator performs a unicast key negotiation process with the terminal device. If the unicast key negotiation is passed and the coordinator wants to perform multicast key negotiation with the terminal device, the coordinator performs a multicast key advertisement process with the terminal device.
  • the connection response command sent by the coordinator is received.
  • the terminal device receives the connection response command of the coordinator, if the terminal device and the coordinator are authenticated, And the connection response command sent by the coordinator includes some access information, and the terminal device is connected to the coordinator to access the wireless multi-hop network. If the terminal device accesses the network and receives the unicast key negotiation request command sent by the coordinator, the terminal device performs a unicast key negotiation process with the coordinator. If the terminal device receives the multicast key advertisement request command sent by the coordinator after successfully completing the unicast key negotiation process, the terminal device and the coordinator perform a multicast key advertisement process.
  • Both the end device and the coordinator define uncontrolled and controlled ports with port control capabilities.
  • the uncontrolled port can only pass the authentication protocol data packet and the management information before the authentication succeeds, and the controlled port can pass the application data packet.
  • the terminal device and the coordinator are authenticated successfully, they can only communicate using the uncontrolled port, and only after they have successfully authenticated, they will open the controlled port for communication.
  • A is a terminal device requesting authentication access
  • B is a coordinator associated with A
  • S is a trusted center of the wireless multi-hop network, and requires both A and B. It has the key information configured by S.
  • the solid line indicates the authenticated access status
  • the dotted line indicates the status of the authentication access.
  • LR-WPAN, HR-WPAN and WSN support this wireless multi-hop network topology, so this authentication access method can be applied to them.
  • N 1 query is also called a challenge word, a random number, etc.
  • the terminal device After receiving the information sent by the coordinator in step 1], the terminal device performs the following processing: a) verifying the validity period TL CTK of the coordinator public key, discarding the information if it has expired; otherwise, generating the information by using a random number generator the terminal device authentication inquiry N 2;
  • the terminal device needs to request a revocation query for the coordinator public key PK ro . c , the value of the public key revocation query identifier QF PK bit 0 is set to 1; otherwise, it is set to 0;
  • the terminal device uses the terminal device private key SK ro .
  • the coordinator After receiving the information sent by the terminal device in step 2], the coordinator performs the following processing:
  • the sales inquiry inquiry N 3 sends the public key revocation query identifier QF PK , the coordinator public key revocation inquiry query N 3 , the identity identifier ID T of the terminal device, and the validity period TLCT K of the public key of the device to the trusted center; otherwise, the public
  • the value of bit 1 of the key ⁇ ⁇ query identifier QF PK is set to 0, and the temporary private key y for the ECDH exchange, the temporary public key yP is generated by using the pre-installed ECC domain parameter P ECC , and the temporary private key y is used.
  • ECDH calculation is performed with the temporary public key x P sent by the terminal device in step 2, and the master key seed (xy P) is obtained.
  • the abscissa e is extended by KD-HMAC-SHA256 (( xy P ) absdssa , ⁇ ⁇ ⁇ , ⁇ " Base key expansion for key and additional nonce” ), generating a base key BK between the terminal device and the controller, generating an access result Re I using the coordinator private key SK ro .
  • the terminal device authentication query N 2 , the temporary public key P, the identity identifier ID T of the terminal device, and the access result 1 ⁇ perform signature calculation, generate a coordinator authentication response signature Sig c , and send the public key revocation query identifier QF PK to the terminal device.
  • terminal equipment certification inquiry N 2 The temporary public key P, the identity of the terminal device ID T, the access result R ei and the coordinator generated by the coordinator an authentication response signature Sig c, and the step 6].
  • the trusted center After receiving the information sent by the coordinator in step 3], the trusted center performs the following processing:
  • the body identity of the wireless multi-hop cascaded network the CA certificate of the trusted center ID ⁇ CA, a wireless multihop network identification IDN et, valid identity ID T of the terminal device and the public key of the terminal device TL CTK, constituting the terminal device public ⁇ ⁇ , cascade wireless multi-hop network identity body trusted CA certificate center of IDs-CA ⁇ wireless multi-hop network identification IDN et, TL PK valid identity coordinator ID C and the coordinator of the public, Forming the coordinator public key PKn c , and then querying the ID-based public key revocation list of the wireless multi-hop network in the trusted center, generating the terminal device public key revocation result Re T and the coordinator public key revocation query result Resulted, using trusted
  • the central private key SKn s performs signature calculation on the coordinator public key revocation query Resulted, generates a public key revocation query signature Sig s , sends a public key revocation query identifier QF PK to the coordinator,
  • the key revocation query result is Resulted for signature calculation, generating a public key revocation query signature Sig s , sending a public key revocation query identifier QF PK to the coordinator, a coordinator public key revocation query N 3 , and a coordinator public key
  • a cascade wireless multi-hop network in the trusted center CA certificate subject identity ID S-CA, the wireless multi-hop network identifier IDNet, and valid identity ID T of the terminal device the public key of the terminal device TL T-PK, constituting The terminal device public key ⁇ ⁇ , and then query the identity-based public key revocation list of the wireless multi-hop network in the trusted center, generate the terminal device public key revocation result Re T , and send the public key revocation query identifier QF PK to the coordinator, coordinate Public key revocation query query N 3 and terminal device public key revocation result Re T ;
  • This information sent by the Trusted Center to the Coordinator is transmitted between the Coordinator and the Trusted Center and in the secure channel.
  • the secure channel can be established by the coordinator and the trusted center in a non-interactive manner, such as: The coordinator uses its own private key and the trusted center public key to generate the session key, and the trusted center utilizes its own private key and the coordinator public key. Generate a session key.
  • the coordinator After receiving the information sent by the trusted center in step 4], the coordinator performs the following processing:
  • PK and the public key revocation query signature Sig s perform signature calculation, and generate a coordinator authentication response signature Sig c , sends the public key revocation query identifier QF PK to the terminal device, the terminal device authentication inquiry N 2, the temporary public key P, the identity of the terminal device ID T, the access result R ei, the coordinator the public key revocation query result result e.
  • PK public key ⁇ ⁇ ⁇ Query Signature Sig s and coordinator authentication response signature Sig c ;
  • the coordinator uses the coordinator private key SK ro .c: the public key revocation query identifier QF PK , the terminal device authentication query N 2 , the temporary public key P, the terminal device identity ID T , access
  • the result R ei , the coordinator public key revocation query result Resulted and the public key revocation query signature Sig s perform signature calculation, generate a coordinator authentication response signature Sig e , send the public key to the terminal device, and the query identifier QF PK , the terminal device Authentication query N 2 , temporary public key P, identity identifier ID T of the terminal device, access result Re ⁇ coordinator public key revocation query result Resultc: PK , public key revocation query signature Sig s and coordinator authentication response signature Sig c ;
  • the terminal device After receiving the information sent by the coordinator in step 3] or step 5], the terminal device performs the following processing: a) verifying that the terminal device queries N 2 , the identity identifier ID T of the terminal device, and the public key revocation query identifier QF PK Whether the value of bit 0 is consistent with the corresponding value sent by the terminal device in step 2, and if not, discarding the information;
  • the terminal device uses its own temporary private key X and the coordinator's temporary public key P for ECDH calculation to obtain the master key seed ( xy P ) absC i Ssa , which is extended KD-HMAC-SHA256 (( xy P ) Abscissa, "base key expansion for key and additional nonce”), generates a base key BK between the terminal device and the coordinator.
  • the coordinator After the authentication succeeds, when the coordinator wants to establish or update the unicast key, the coordinator performs the following processing: The coordinator uses the random number generator to generate the coordinator unicast key negotiation query N 4 , and sends the coordinator list to the terminal device. Broadcast key negotiation query N 4 ;
  • the terminal device After receiving the information sent by the coordinator in step 1], the terminal device performs the following processing:
  • the terminal device generates a terminal device unicast key negotiation query N 5 by using a random number generator, and then calculates KD-HMAC-SHA256 (BK, ADDID
  • BK is the base key BK between the terminal device and the coordinator generated by the terminal device during the authentication process.
  • the coordinator After receiving the information sent by the terminal device in step 2], the coordinator performs the following processing: a) verify the coordinator unicast key negotiation query N 4 consistency, if not, discard the information; b) cascade the terminal device and the 64-bit extended address of the coordinator to obtain the MAC address of the terminal device and the coordinator Cascading value ADDID.
  • the terminal device After receiving the information sent by the coordinator in step 3], the terminal device performs the following processing:
  • the HMAC-SHA256 algorithm performs message authentication code calculation on the multicast key advertisement identifier N M and the encrypted multicast advertisement master key NMK E to obtain a message authentication code HMAC CM of the coordinator at the time of multicast key negotiation.
  • the multicast key advertisement identifier N M is an integer, and an initial value exists, and the value is incremented by one each time the key update notification is performed. If the advertised key does not change, the value remains unchanged.
  • the terminal device After receiving the information sent by the coordinator in step 1, the terminal device performs the following processing:
  • the coordinator After receiving the information sent by the terminal device in step 2], the coordinator performs the following processing:
  • the terminal device After the terminal device authenticates the access, the terminal device and the trusted center use the public-private key to establish a secure channel by using the ID-based non-interactive password sharing form.
  • the terminal device acts as a coordinator, it runs an authentication access letter. , ' , ' , ''. ⁇
  • the present invention further provides a coordinator, including: a broadcast unit, an authentication unit, and a sending unit, where the broadcast unit is configured to broadcast a beacon frame; and the beacon frame includes an ID-based authentication.
  • a key management suite configured to authenticate the terminal device when receiving a connection request command sent by the terminal device supporting the ID mode and the key management suite; the sending unit, And sending a connection response command to the terminal device, where the connection response command is used to indicate that the terminal device accesses the wireless multi-hop network.
  • the authentication process is the same, as detailed above, and will not be described here.
  • the coordinator further includes: a defining unit, configured to pre-define an uncontrolled port and a controlled port of the coordinator and the terminal device, so that the coordinator and the uncontrolled port of the terminal device pass the authentication protocol data packet and management information The coordinator and the controlled port of the terminal device pass the application packet.
  • a defining unit configured to pre-define an uncontrolled port and a controlled port of the coordinator and the terminal device, so that the coordinator and the uncontrolled port of the terminal device pass the authentication protocol data packet and management information The coordinator and the controlled port of the terminal device pass the application packet.
  • the present invention further provides a terminal device, comprising: a connection request sending unit and an access unit, wherein the connection request sending unit is configured to send a connection request command to the coordinator after receiving the beacon frame sent by the coordinator
  • the beacon frame includes an ID-based authentication and a key management suite.
  • the access unit is configured to open a controlled port after receiving the connection response command sent by the coordinator. To the wireless multi-hop network.
  • the present invention also provides an ID-based wireless multi-hop network authentication access system, including a coordinator and a terminal device, where the coordinator includes: a broadcast unit, an authentication unit, and a sending unit; the terminal device includes: a connection request The sending unit and the access unit, wherein the functions and functions of the units in the coordinator and the terminal device are implemented as described above, are not mentioned here.
  • the coordinator first authenticates the terminal device, and the terminal device that passes the authentication can be connected to the coordinator, thereby implementing the terminal device to the wireless multi-hop network. Authentication access.
  • the terminal device can also authenticate the coordinator to determine whether to connect to the coordinator based on the authentication result. Therefore, the security and performance of the terminal device accessing the wireless multi-hop network are improved.
  • both the terminal device and the coordinator define the uncontrolled port and the controlled port, and use the authentication result to control, thereby forming a port access control system, thereby improving the security of the terminal device accessing the wireless multi-hop network.
  • the terminal device and the coordinator define a unicast key negotiation process and a multicast key notification process for different security services, thereby ensuring communication security between the terminal device and the coordinator.
  • the invention adopts a ternary peer-to-peer authentication protocol, and the trusted center provides a public key revocation list for the terminal device and the coordinator to realize two-way authentication of the terminal device and the coordinator, thereby improving the security of the terminal device accessing the wireless multi-hop network. Since the ID-based public key itself has a revocation characteristic and the ID-based public key has a short length, the number of public key revocation queries is reduced and the transmission traffic is reduced, thereby improving the performance of the terminal device accessing the wireless multi-hop network. .
  • the information sent by the trusted center to the coordinator is transmitted in the secure channel, and the secure channel can be established in a non-interactive manner by using the public and private key pairs of the coordinator and the trusted center, eliminating the key negotiation process between them and reducing the number of keys.
  • the information complexity sent by the trusted center to the coordinator improves the performance of the terminal device accessing the wireless multi-hop network.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Mobile Radio Communication Systems (AREA)
  • Computer And Data Communications (AREA)

Description

基于 ID的无线多跳网络认证接入方法、 设备及系统
本申请要求于 2008 年 1 月 23 日提交中国专利局、 申请号为 200810017385.7、 发明名称为"一种基于 ID的无线多跳网络认证接入方法"的 中国专利申请的优先权， 其全部内容通过引用结合在本申请中。
技术领域
本发明涉及一种网络认证接入方法， 尤其涉及一种基于 ID的无线多跳网 络认证接入方法、 终端设备及系统。
背景技术
随着计算机网络和全球移动通信技术的发展，便携的数字处理终端设备已 经成为人们日常生活和办公的必需品，这些终端设备包括笔记本电脑、个人数 字助理（PDA )、 计算机外设、 移动电话、 寻呼机和家用电子产品等。 它们都 具有较强的处理能力和较大的存储空间， 从而形成了一个个人操作空间 ( POS ) 。 但是目前这些终端设备之间的信息交换大都还依赖于电缆的连接， 使用非常不方便，人们越来越需要一种无线技术将个人操作空间内的这些终端 设备连接起来， 真正实现终端设备之间可移动的、 自动的互联， 这就是无线多 跳网络技术。在无线多跳网络中， 非相邻终端设备之间的通信数据需要以多跳 路由的方式传输。
在无线多跳网络中存在着四种角色的设备： 终端设备、路由协调器、 网络 协调器和可信中心。终端设备可与该网络中的其他设备进行通信，但在该网络 中不能为其他设备转发数据， 即不能完成路由功能。路由协调器除了完成终端 设备的功能外还负责为该网络中的其他设备转发数据， 即能完成路由功能。 网 络协调器负责发送网络信标、 建立一个网络、 管理网络节点、存储网络节点信 息、寻找一对节点间的路由消息和不断地接收信息，也能为该网络中的其他设 备转发数据， 即能完成路由功能。 网络协调器和路由协调器可统称为协调器。 可信中心是该网络的密钥管理中心， 负责为该网络中的所有设备配置密钥信 息。可信中心可以由网络协调器充当，也可以由网络协调器在该网络中指定的 其他设备充当。无线多跳网络支持两种网络拓朴结构：星型网络和点到点网络， 点到点网络的网络拓朴结构又可分为网状结构和簇型结构， 如图 1所示。
对于无线多跳网络， 目前采用的安全方案为： 第一种安全方案： 自组织网的形式。设备首先连接到无线多跳网络中， 然 后从无线多跳网络动态获取密钥信息， 如： 从无线多跳网络中的分布式 CA获 取基于 ID (基于身份密码体制）的私钥， 最后利用基于 ID的公私对进行安全通 信；
第二种安全方案： 连接后认证的形式。 设备首先连接到无线多跳网络中， 然后网络协调器完成对设备的认证， 最后利用协商的会话密钥进行安全通信， 例如： IEEE802.15.4/ZigBee标准。
对于第一种安全方案，任何设备都可以成为无线多跳网络的成员， 没有合 法设备和非法设备的分别， 显然是不安全的。 对于第二种安全方案， 因为网络 协调器在设备连接到无线多跳网络之后才对设备进行认证，所以任何设备都可 以连接到某无线多跳网络中，且在网络协调器把它移离该网络之前可以与网络 中其他设备进行通信， 这也是不安全的， 同时也造成一定的通信浪费。
发明内容
本发明提供一种基于 ID的无线多跳网络认证接入方法、终端设备及系统， 解决了现有无线多跳网络的认证接入方法存在安全隐患的技术问题。
为解决上述技术问题， 本发明的技术解决方案是：
一种基于 ID的无线多跳网络认证接入方法， 包括步骤：
协调器广播信标帧； 所述信标帧中包括基于 ID方式的认证及密钥管理套 件；
协调器在接收到支持基于 ID方式的认证及密钥管理套件的终端设备发送 的连接请求命令时， 对所述终端设备进行认证；
若认证成功， 则所述协调器打开受控端口，将所述终端设备接入到无线多 跳网络；
所述协调器向所述终端设备发送连接响应命令，所述连接响应命令用于指 示所述终端设备接入无线多跳网络。
优选地， 所述方法还包括：
终端设备在接收到协调器发送的信标帧后 , 向协调器发送连接请求命令； 所述终端设备在接收到所述协调器发送的连接响应命令后， 打开受控端 口， 接入到所述无线多跳网络。 优选地， 所述方法还包括：
定义协调器与终端设备的非受控端口和受控端口，使得终端设备和协调器 的非受控端口通行认证协议数据包及管理信息，终端设备和协调器的受控端口 通行应用数据包。
优选地， 所述对所述终端设备进行认证的具体过程包括：
协调器根据接收到终端设备发送的连接请求命令， 生成协调器认证询问， 终端设备在接收到所述认证激活后，验证协调器公钥的有效性， 若验证通 过， 则生成终端设备认证询问、公钥撤销查询标识和终端设备临时公钥， 并将 终端设备认证询问、公钥撤销查询标识、终端设备临时公钥、协调器认证询问、 终端设备公钥以及终端设备对前面五项信息的签名组成的认证请求发送给协 调器；
协调器接收所述认证请求后，验证所述认证请求中签名的合法性、协调器 认证询问的一致性和终端设备临时公钥的有效性； 若验证通过， 则根据所述公 钥撤销查询标识判断是否进行公钥撤销查询； 若是，协调器设置公钥撤销查询 标识和生成协调器公钥撤销查询询问， 并将协调器公钥撤销查询询问、公钥撤 销查询标识和终端设备公钥组成的公钥撤销查询请求发送给可信中心；
协调器接收可信中心发送的协调器公钥撤销查询询问、公钥撤销查询标识 和终端设备公钥撤销结果组成的公钥撤销查询响应；
协调器验证所述公钥撤销查询响应中公钥撤销查询标识，验证协调器公钥 撤销查询询问和公钥撤销查询标识的一致性； 验证终端设备公钥撤销结果； 若 验证通过， 则生成协调器临时公钥和接入结果， 并将所述公钥撤销查询标识、 终端设备认证询问、协调器临时公钥、终端设备的身份标识和接入结果以及协 调器对前面五项信息的签名组成的认证响应发送给终端设备； 同时，协调器根 据终端设备临时公钥和协调器临时私钥生成终端设备和协调器之间的基密钥； 终端设备在接收到所述认证响应后，验证所述认证响应中公钥撤销查询标 识、验证认证响应的签名的有效性， 验证终端设备认证询问、公钥 ·ί歆销查询标 识和终端设备的身份标识的一致性以及验证接入结果； 若验证通过， 则根据终 端设备临时公钥和协调器临时私钥生成终端设备和协调器之间的基密钥，认证 成功。
优选地， 所述对所述终端设备进行认证的具体过程还包括：
若根据所述公钥撤销查询标识判断不需要进行公钥撤销查询 ,则协调器生 成协调器临时公钥和接入结果， 并将所述公钥撤销查询标识、终端设备认证询 问、协调器临时公钥、接入结果以及协调器对前面四项信息的签名组成的认证 响应发送给终端设备；
终端设备收到协调器发送的所述认证响应后，验证所述认证响应的签名的 有效性、终端设备认证询问的一致性和接入结果；若验证不通过，则认证失败； 若验证通过，则终端设备根据终端设备临时公钥和协调器临时私钥生成终端设 备和协调器之间的基密钥， 认证成功。
优选地， 所述对所述终端设备进行认证的具体过程还包括：
所述可信中心在接收到协调器发送的公钥撤销查询请求后 ,验证公钥撤销 调器公钥撤销查询询问、公钥撤销查询标识和终端设备公钥撤销结果组成公钥 撤销查询响应发送给协调器。
优选地， 所述对所述终端设备进行认证的具体过程包括：
协调器根据接收到终端设备发送的连接请求命令， 生成协调器认证询问， 终端设备收到认证激活后， 验证协调器公钥的有效性； 若验证通过， 则备 生成终端设备认证询问、公钥撤销查询标识和终端设备临时公钥， 并将终端设 备认证询问、 协调器认证询问、 终端设备公钥、 公钥撤销查询标识、 终端设备 临时公钥以及终端设备对前面五项信息的签名组成的认证请求发送给协调器； 协调器收到所述认证请求后，验证认证请求签名的合法性、协调器认证询 问的一致性和终端设备临时公钥的有效性； 若验证通过，根据公钥撤销查询标 识判断是否进行公钥撤销查询； 如果进行公钥撤销查询， 则协调器设置公钥撤 销查询标识， 以及生成协调器公钥撤销查询询问， 并将协调器公钥撤销查询询 问、终端设备认证询问、公钥 ·ί歆销查询标识和协调器公钥组成公钥 ·ί歆销查询请 求发送给可信中心；
协调器接收可信中心发送包括协调器公钥撤销查询询问、公钥撤销查询标 识、 协调器公钥撤销查询结果和公钥撤销查询签名组成的公钥撤销查询响应； 协调器接收到所述公钥撤销查询响应后，验证所述公钥撤销查询响应中公 钥撤销查询标识， 验证协调器公钥撤销查询询问和公钥撤销查询标识的一致 性，验证协调器公钥撤销查询结果和公钥撤销查询签名的有效性，若验证通过， 则协调器生成协调器临时公钥和接入结果， 并将公钥撤销查询标识、终端设备 认证询问、 协调器临时公钥、 终端设备的身份标识、 接入结果、 协调器公钥撤 销查询结果和公钥撤销查询签名以及对前面七项信息的签名组成的认证响应 发送给终端设备； 同时，协调器根据终端设备临时公钥和协调器临时私钥生成 终端设备和协调器之间的基密钥；
终端设备收到所述认证响应后， 验证所述认证响应中公钥撤销查询标识， 验证认证响应的签名的有效性，验证终端设备认证询问、公钥 ·ί歆销查询标识和 终端设备的身份标识的一致性以及验证接入结果； 若验证通过， 则终端设备验 证协调器公钥撤销查询结果和公钥撤销查询签名为有效后，根据终端设备临时 公钥和协调器临时私钥生成终端设备和协调器之间的基密钥 , 认证成功。
优选地， 所述对所述终端设备进行认证的具体过程还包括：
如果协调器判断^^据公钥撤销查询标识不进行公钥撤销查询，则生成协调 器临时公钥和接入结果 ,并将协调器将公钥撤销查询标识、终端设备认证询问、 协调器临时公钥、接入结果以及协调器对前面四项信息的签名组成的认证响应 发送给终端设备；
终端设备收到所述认证响应后，验证认证响应的签名的有效性、终端设备 认证询问的一致性和接入结果； 若验证通过， 则终端设备根据终端设备临时公 钥和协调器临时私钥生成终端设备和协调器之间的基密钥 , 认证成功。
优选地， 所述对所述终端设备进行认证的具体过程还包括：
可信中心在接收到所述协调器发送的公钥撤销查询请求后，验证所述公钥 撤销查询请求中公钥撤销查询标识 ,验证协调器公钥的有效性并生成协调器公 钥撤销查询结果，使用可信中心私钥对协调器公钥撤销查询结果计算签名， 生 成公钥撤销查询签名， 并将协调器公钥撤销查询询问、公钥撤销查询标识、 协 调器公钥撤销查询结果和公钥撤销查询签名组成公钥撤销查询响应发送给协 调器。 优选地， 所述对所述终端设备进行认证的具体过程包括：
协调器根据接收到终端设备发送的连接请求命令， 生成协调器认证询问， 终端设备收到认证激活后，验证所述认证激活中协调器公钥的有效性； 若 验证通过，则生成终端设备认证询问、公钥撤销查询标识和终端设备临时公钥 , 并将终端设备认证询问、协调器认证询问、终端设备公钥、公钥 ·ί歆销查询标识、 终端设备临时公钥以及对前面五项信息的签名组成的认证请求发送给协调器； 协调器接收到所述认证请求后，验证认证请求签名的合法性、协调器认证 询问的一致性和终端设备临时公钥的有效性； 若验证通过，根据公钥撤销查询 标识判断是否进行公钥撤销查询； 如果进行公钥撤销查询，协调器设置公钥撤 销查询标识， 以及生成协调器公钥撤销查询询问， 并将协调器公钥撤销查询询 问、 终端设备认证询问、公钥撤销查询标识、 终端设备公钥和协调器公钥组成 的公钥撤销查询请求发送给可信中心；
协调器接收可信中心发送的包括协调器公钥撤销查询询问、公钥撤销查询 标识、终端设备公钥撤销结果、协调器公钥撤销查询结果和公钥撤销查询签名 组成的公钥 4歆销查询响应；
协调器验证所述公钥撤销查询响应中公钥撤销查询标识，验证协调器公钥 撤销查询询问和公钥撤销查询标识的一致性，验证协调器公钥撤销查询结果和 公钥撤销查询签名的有效性以及验证终端设备公钥撤销结果， 若验证通过， 则 协调器生成协调器临时公钥和接入结果， 并将公钥撤销查询标识、终端设备认 证询问、 协调器临时公钥、 终端设备的身份标识、 接入结果、 协调器公钥撤销 查询结果和公钥撤销查询签名以及对前面七项信息的签名组成的认证响应发 送给终端设备； 同时，协调器根据终端设备临时公钥和协调器临时私钥生成终 端设备和协调器之间的基密钥；
终端设备收到所述认证响应后， 验证所述认证响应中公钥撤销查询标识， 验证认证响应的签名的有效性，验证终端设备认证询问、公钥 ·ί歆销查询标识和 终端设备的身份标识的一致性以及验证接入结果； 若验证通过， 则终端设备验 证协调器公钥撤销查询结果和公钥撤销查询签名为有效后，根据终端设备临时 公钥和协调器临时私钥生成终端设备和协调器之间的基密钥， 认证成功。 优选地， 所述对所述终端设备进行认证的具体过程还包括：
若协调器不进行公钥撤销查询； 则生成协调器临时公钥和接入结果， 并将 协调器将公钥撤销查询标识、 终端设备认证询问、 协调器临时公钥、接入结果 以及协调器对前面四项信息的签名组成认证响应发送给终端设备；
终端设备接收到所述认证响应后，验证所述认证响应的签名的有效性、终 端设备认证询问的一致性和接入结果； 若验证通过， 则根据终端设备临时公钥 和协调器临时私钥生成终端设备和协调器之间的基密钥 , 认证成功。
优选地， 所述对所述终端设备进行认证的具体过程还包括：
可信中心在接收到所述协调器发送的公钥撤销查询请求后 ,验证公钥撤销 调器公钥的有效性并生成协调器公钥撤销查询结果，使用可信中心私钥对协调 器公钥撤销查询结果计算签名， 生成公钥撤销查询签名， 并将协调器公钥撤销 查询询问、公钥撤销查询标识、 终端设备公钥撤销结果、 协调器公钥撤销查询 结果和公钥撤销查询签名组成公钥撤销查询响应发送给协调器。
优选地， 所述方法还包括：
在认证成功后， 协调器与终端设备进行单播密钥协商。
优选地， 所述协调器与终端设备进行单播密钥协商的过程包括： 在认证成功后，协调器需要建立或更新单播密钥时， 生成协调器单播密钥 协商询问 ,协调器将协调器单播密钥协商询问组成单播密钥协商请求发送给终 端设备；
终端设备收到单播密钥协商请求后，生成终端设备单播密钥协商询问，根 据基密钥、协调器单播密钥协商询问和终端设备单播密钥协商询问生成终端设 备与协调器之间的单播密钥； 并将协调器单播密钥协商询问、终端设备单播密 钥协商询问和消息鉴别码组成的单播密钥协商响应发送给协调器； 其中， 所述 的消息鉴别码是终端设备根据协调器单播密钥协商询问和终端设备单播密钥 协商询问计算得到的消息鉴别码；
协调器收到单播密钥协商响应后，根据基密钥、协调器单播密钥协商询问 和终端设备单播密钥协商询问计算单播密钥，并验证协调器单播密钥协商询问 的一致性和终端设备的消息鉴别码的有效性， 若验证通过， 则协调器将协调器 单播密钥协商询问以及对终端设备单播密钥协商询问计算的消息鉴别码组成 的单播密钥协商确认发送给终端设备；
终端设备收到单播密钥协商确认后 ,验证终端设备单播密钥协商询问的一 致性和协调器的消息鉴别码的有效性； 若验证通过， 则单播密钥协商成功。
优选地， 所述方法还包括： 在单播密钥协商完成后， 所述协调器与终端设 备进行组播密钥通告。
优选地， 所述组播密钥通告的具体过程包括：
在单播密钥协商成功后，协调器要建立或更新组播密钥时， 利用通告主密 钥计算组播密钥， 并利用单播密钥中的加密密钥对通告主密钥进行加密，生成 组播密钥通告标识， 以及将组播密钥通告标识、 已加密的组播通告主密钥和消 息鉴别码组成的组播密钥通告发送给终端设备； 其中， 所述的消息鉴别码是协 调器利用组播密钥中的鉴别密钥对组播密钥通告标识和已加密的组播通告主 密钥计算得到的消息鉴别码；
终端设备收到所述组播密钥通告后 ,验证所述组播密钥通告标识是否与本 地计算的组播密钥通告标识相同， 若相同， 利用通告主密钥计算组播密钥， 并 继续验证协调器的消息鉴别码的有效性， 若验证通过， 则终端设备将组播密钥 通告标识和消息鉴码组成组播密钥响应发送给协调器； 其中， 所述的消息鉴别 码是终端设备利用本地生成组播密钥中的鉴别密钥对组播密钥通告标识消息 计算得到的消息鉴别码；
协调器收到所述组播密钥响应后，协调器验证组播密钥通告标识的一致性 和终端设备的消息鉴别码的有效性； 若验证通过， 组播密钥协商成功。
本发明还提供一种协调器， 包括：
广播单元， 用于广播信标帧； 所述信标帧中包括基于 ID方式的认证及密 钥管理套件；
认证单元， 用于在接收到支持基于 ID方式的认证及密钥管理套件的终端 设备发送的连接请求命令时， 对所述终端设备进行认证；
发送单元， 用于向所述终端设备发送连接响应命令， 所述连接响应命令用 于指示所述终端设备接入无线多跳网络。
优选地， 还包括： 定义单元， 用于预先定义该协调器与终端设备的非受控端口和受控端口， 使得该协调器与终端设备的非受控端口通行认证协议数据包及管理信息，该协 调器与终端设备的受控端口通行应用数据包。
本发明还提供一种终端设备， 包括：
连接请求发送单元， 用于在接收到协调器发送的信标帧后， 向协调器发送 连接请求命令， 其中， 所述信标帧中包括基于 ID方式的认证及密钥管理套件； 接入单元， 用于在接收到所述协调器发送的连接响应命令后，打开受控端 口， 接入到所述无线多跳网络。
本发明还提供一种基于 ID的无线多跳网络认证接入系统 ,包括协调器和终 端设备， 其中，
所述协调器包括：
广播单元， 用于广播信标帧； 所述信标帧中包括基于 ID方式的认证及密 钥管理套件；
认证单元， 用于在接收到支持基于 ID方式的认证及密钥管理套件的终端 设备发送的连接请求命令时， 对所述终端设备进行认证；
发送单元， 用于向所述终端设备发送连接响应命令， 所述连接响应命令用 于指示所述终端设备接入无线多跳网络；
所述终端设备包括：
连接请求发送单元， 用于在接收到协调器发送的信标帧后， 向协调器发送 连接请求命令， 其中， 所述信标帧中包括基于 ID方式的认证及密钥管理套件； 接入单元， 用于在接收到所述协调器发送的连接响应命令后，打开受控端 口， 接入到所述无线多跳网络。
由上述技术方案可知， 本发明的优点包括：
1、 终端设备经认证后才能连接到协调器， 从而实现了终端设备到无线多 跳网络的认证接入。终端设备也可以对协调器进行认证，从而根据认证结果判 定是否连接到该协调器。 因此，提高了终端设备接入无线多跳网络的安全性和 性能。
2、 终端设备和协调器都定义了非受控端口和受控端口， 并利用认证结果 对它们进行控制，从而形成端口访问控制体系，提高了终端设备接入无线多跳 网络的安全性。
3、 终端设备和协调器为不同的安全服务定义了单播密钥协商过程和组播 密钥通告过程， 从而保证了终端设备和协调器之间的通信安全。
4、 采用了三元对等鉴别协议， 可信中心为终端设备和协调器提供公钥撤 销表， 实现终端设备和协调器的双向认证，提高了终端设备接入无线多跳网络 的安全性。
5、 由于基于 ID的公钥本身具有撤销特性且基于 ID的公钥长度较短， 所 以减少了公钥撤销查询的次数和减少了传输的通信量，从而提高了终端设备接 入无线多跳网络的性能。
6、 可信中心发送给协调器的信息在安全通道中传输， 而该安全通道可以 利用协调器和可信中心的公私钥对通过非交互方式建立，消除了它们之间的密 钥协商过程且降低了可信中心发送给协调器的信息复杂度，从而提高了终端设 备接入无线多跳网络的性能。
附图说明
图 1为无线多跳网络的网络拓朴结构图， 其中图 1A为星型网络拓朴结构 图， 图 1B为网状网络拓朴结构图， 图 1C为簇型网络拓朴结构图， 图 1中" 为协调器， "o"为终端设备， 为通信信道；
图 2是无线多跳网络的认证接入系统结构示意图； 图 2中， A为请求认证 接入的终端设备， B是 A所关联的协调器， S是该无线多跳网络的可信中心； 图 3是本发明方法中的认证过程示意图；
图 4是本发明方法中的单播密钥协商过程示意图；
图 5是本发明方法中的组播密钥协商过程示意图；
图 6是本发明方法中认证过程的流程示意图；
图 3、 4、 5中的符号意义如下：
N!i 协调器认证询问；
N2: 终端设备认证询问；
N3: 协调器公钥撤销查询询问；
N4: 协调器单播密钥协商询问；
N5: 终端设备单播密钥协商询问； NM: 组播密钥通告标识；
HMACCU: 单播密钥协商时协调器的消息鉴别码；
HMACTU : 播密钥协商时终端设备的消息鉴别码；
HMACCM: 组播密钥协商时协调器的消息鉴别码；
HMACTM: 组播密钥协商时终端设备的消息鉴别码；
ADDID: 终端设备和协调器的 MAC地址的级联值；
PECC: ECC域参数；
Pro: 基于 ID的公共参数；
SKro-s: 可信中心私钥；
PKro-s： 可信中心公钥；
SKro-T: 终端设备私钥；
PKro-T: 终端设备公钥；
SKro-c: 协调器私钥；
PKro-c: 协调器公钥；
IDC: 协调器的身份标识；
IDT: 终端设备的身份标识；
IDS-CA: 无线多跳网络中可信中心的 CA证书的主体身份;
IDNetl 无线多跳网络标识；
TLT-PK: 终端设备公钥的有效期；
TLC-PK: 协调器公钥的有效期；
QFPK: 公钥 销查询标识；
Rei: 接入结果；
ReT: 终端设备公钥撤销结果；
Rec: 协调器公钥撤销结果；
Results: 协调器公钥撤销查询结果；
SigT: 终端设备认证请求签名；
Sigc: 协调器认证响应签名；
Sigs: 公钥撤销查询签名；
UEK: 单播加密密钥； UCK: 单播完整性校验密钥；
UMAK: 单播消息鉴别密钥；
NMK: 组播通告主密钥；
NMKE: 已加密的组播通告主密钥；
MEK: 组播加密密钥；
MCK: 组播完整性校验密钥。
具体实施方式
本发明适用于 WAPI框架方法（TePA, 基于三元对等鉴别的访问控制方 法）在包括无线局域网、无线城域网在内的具体网络上应用时的安全应用协议。
在无线多跳网络的认证接入系统中，认证的目的是要在终端设备和它所关 联的协调器之间建立信任， 并对在它们之间的链路上传递的数据进行保护。终 端设备和它所关联的协调器属于同一个管理域，也就是某个无线多跳网络， 而 该无线多跳网络的可信中心需要为该无线多跳网络中的所有设备进行配置 , 如： 配置不同认证及密钥管理套件下的密钥信息。
在无线多跳网络的认证接入系统中，协调器广播信标帧，在协调器广播的 信标帧中 ,协调器支持的认证及密钥管理套件为基于 ID方式的认证及密钥管理 套件。 终端设备通过协调器的信标帧识别协调器所支持的认证及密钥管理套 件， 然后验证终端设备是否支持基于 ID方式的认证及密钥管理套件，若支持且 具有该方式下的密钥信息 , 则终端设备向该协调器发送连接请求命令。
当协调器收到终端设备的连接请求命令后 ,若从连接请求命令中获知终端 设备也支持基于 ID方式的认证及密钥管理套件，则协调器在基于 ID方式的认证 及密钥管理套件下与该终端设备进行认证过程 ,然后向该终端设备发送连接响 应命令。 若认证成功， 则协调器将该终端设备接入无线多跳网络， 它发送的连 接响应命令中包含一些接入信息， 如： 分配的网络地址。 若认证成功且协调器 想与该终端设备进行单播密钥协商，则协调器与该终端设备进行单播密钥协商 过程。若单播密钥协商通过且协调器想与该终端设备进行组播密钥协商， 则协 调器与该终端设备进行组播密钥通告过程。
终端设备与协调器进行认证过程后将收到该协调器发送的连接响应命令， 当终端设备收到该协调器的连接响应命令时，若终端设备与该协调器的认证成 功且该协调器发送的连接响应命令中包含一些接入信息，则终端设备连接到该 协调器，从而接入该无线多跳网络。若终端设备接入网络后收到该协调器发送 的单播密钥协商请求命令， 则终端设备与该协调器进行单播密钥协商过程。若 终端设备成功完成单播密钥协商过程后收到该协调器发送的组播密钥通告请 求命令， 则终端设备与该协调器进行组播密钥通告过程。
终端设备和协调器都定义了非受控端口和受控端口 , 且具有端口控制能 力。 非受控端口只能通行认证协议数据包和认证成功前的管理信息， 而受控端 口可以通行应用数据包。在终端设备和协调器在认证成功前， 它们只能使用非 受控端口进行通信， 而只有在它们认证成功后， 它们才会打开受控端口进行通 信。
图 2是无线多跳网络的认证接入系统， A为请求认证接入的终端设备， B 是 A所关联的协调器， S是该无线多跳网络的可信中心， 并要求 A和 B都拥 有 S所配置的密钥信息， 实线表示已认证接入状态，虚线表示需要进行认证接 入的状态。
LR-WPAN、： HR-WPAN和 WSN都支持这种无线多跳网络拓朴结构， 所以 这种认证接入方法可适用于它们。
认证过程的具体实现如下， 参见图 3。 认证过程的流程示意图参见图 6。 1] 当协调器从终端设备发送的连接请求命令中得知终端设备选定的认证 及密钥管理套件为基于 ID方式的认证及密钥管理套件时， 协调器进行如下处 理：
a)利用随机数产生器产生协调器认证询问 N1 询问也称为挑战字、随机数 等；
b)向终端设备发送协调器认证询问 协调器的身份标识 IDC和协调器公 钥的有效期 TLC.PK。
2]终端设备收到步骤 1]中协调器发送的信息后， 进行如下处理： a)验证协调器公钥的有效期 TLCTK, 若已经逾期， 则丢弃该信息； 否则， 利用随机数产生器产生终端设备认证询问 N2;
b)利用预安装的 ECC域参数 PECC产生用于 ECDH交换的临时私钥 x和临 时公钥 x P; c)若终端设备需要请求对协调器公钥 PKro.c进行撤销查询， 则将公钥撤销 查询标识 QFPK比特 0的值为设为 1; 否则， 设为 0;
d)终端设备使用终端设备私钥 SKro.T对公钥撤销查询标识 QFPK、 协调器 认证询问 Ni、 终端设备认证询问 N2、 临时公钥 χ·Ρ、 协调器的身份标识 IDC、 终端设备的身份标识 IDT和终端设备公钥的有效期 TLT.PK进行签名计算，生成 终端设备认证请求签名 SigT;
e)向协调器发送公钥撤销查询标识 QFPK、 协调器认证询问 终端设备 认证询问 N2、 临时公钥 χ·Ρ、 协调器的身份标识 IDC、 终端设备公钥 ΡΚπ τ中 的后两个字段和终端设备所生成的终端设备认证请求签名 SigT。
3]协调器收到步骤 2]中终端设备发送的信息后， 进行如下处理：
a)验证协调器认证询问 ^和协调器的身份标识 IDC是否与自己在步骤 1 中发送的对应值保持一致， 若不一致， 则丢弃该信息；
b)验证终端设备公钥的有效期 TLT_PK, 若已经逾期， 则丢弃该信息； c)级联终端设备公钥 ΡΚπ τ中的后两个字段、 无线多跳网络中可信中心的 CA证书的主体身份 IDS-CA和无线多跳网络标识 ID^, 构成终端设备公钥
ΡΚπ τ, 然后使用该终端设备公钥 ΡΚπ τ和预安装的基于身份的公开参数 Pro 验证终端设备认证请求签名 SigT, 若签名验证不成功， 则丢弃该信息；
d)检查公钥撤销查询标识 QFPK的比特 0, 若比特 0的值为 1 , 则执行 e) 操作； 否则， 执行 f)操作；
e)利用随机数生成算法生成协调器公钥撤销查询询问 N3。若协调器也需要 请求对终端设备公钥 PKro-T进行撤销查询， 则将公钥 ·ί歆销查询标识 QFPK的比 特 1的值设为 1 , 向可信中心发送公钥撤销查询标识 QFPK、终端设备认证询问 N2、协调器公钥撤销查询询问 N3、 终端设备的身份标识 IDT、设备的公钥的有 效期 TLT.PK、 协调器的身份标识 IDC和协调器公钥的有效期 TL PK; 否则， 将 公钥撤销查询标识 QFPK的比特 1的值设为 0, 向可信中心发送公钥撤销查询 标识 QFPK、 终端设备认证询问 N2、 协调器公钥撤销查询询问 N3、 协调器的身 份标识 IDC和协调器公钥的有效期 TLGPK;
f)若协调器需要请求对终端设备公钥 ΡΚπ τ进行撤销查询， 则将公钥撤销 查询标识 QFPK的比特 1的值设为 1， 利用随机数生成算法生成协调器公钥撤 销查询询问 N3, 向可信中心发送公钥撤销查询标识 QFPK、 协调器公钥撤销查 询询问 N3、 终端设备的身份标识 IDT和设备的公钥的有效期 TLCTK; 否则， 将 公钥 ·ί歆销查询标识 QFPK的比特 1的值设为 0, 利用预安装的 ECC域参数 PECC 生成用于 ECDH交换的临时私钥 y、 临时公钥 y-P, 使用自己的临时私钥 y和 步骤 2 中终端设备发送的临时公钥 x P进行 ECDH计算， 得到主密钥种子 ( x y P ) abscissa e对其进行扩展 KD-HMAC-SHA256 ( ( x y P )absdssa， Ν^Ν,ΙΙ "base key expansion for key and additional nonce" )， 生成终端设备与†办调器之间的基 密钥 BK，生成接入结果 ReI使用协调器私钥 SKro.c对公钥撤销查询标识 QFPK、 终端设备认证询问 N2、 临时公钥 P、 终端设备的身份标识 IDT和接入结果 1^进行签名计算， 生成协调器认证响应签名 Sigc, 向终端设备发送公钥撤销 查询标识 QFPK、 终端设备认证询问 N2、 临时公钥 P、 终端设备的身份标识 IDT、 接入结果 Rei和协调器所生成的协调器认证响应签名 Sigc, 然后执行步 骤 6]。
4]可信中心收到步骤 3]中协调器发送的信息后， 进行如下处理：
a)检查公钥撤销查询标识 QFPK的比特 0和比特 1的值，若比特 0和比特 1 的值都为 1， 则执行 b)操作； 若比特 0的值为 1而比特 1的值为 0, 则执行 c) 操作； 若比特 0的值为 0而比特 1的值为 1 , 则执行 d)操作；
b)级联无线多跳网络中可信中心的 CA证书的主体身份 ID^CA、 无线多跳 网络标识 IDNet、终端设备的身份标识 IDT和终端设备公钥的有效期 TLCTK, 构 成终端设备公钥 ΡΚπ τ, 级联无线多跳网络中可信中心的 CA证书的主体身份 IDs-CA^ 无线多跳网络标识 IDNet、 协调器的身份标识 IDC和协调器公钥的有效 期 TL PK, 构成协调器公钥 PKn c, 然后查询可信中心中该无线多跳网络的基 于 ID的公钥撤销表， 生成终端设备公钥撤销结果 ReT和协调器公钥撤销查询 结果 Resulted ,使用可信中心私钥 SKn s对协调器公钥撤销查询结果 Resulted 进行签名计算， 生成公钥撤销查询签名 Sigs, 向协调器发送公钥撤销查询标识 QFPK、 协调器公钥撤销查询询问 N3、 终端设备公钥撤销结果 ReT、 协调器公 钥撤销查询结果
Figure imgf000017_0001
和公钥撤销查询签名 Sigs。 协调器公钥撤销查询结 果 Resulted由终端设备询问 N2、 协调器公钥撤销结果 Rec、 协调器的身份标 识 IDC和协调器公钥的有效期 TL PK构成； c)级联无线多跳网络中可信中心的 CA证书的主体身份 ID^CA、 无线多跳 网络标识 IDNet、协调器的身份标识 IDC和协调器公钥的有效期 TLC-PK,构成协 调器公钥 PKn c,然后查询可信中心中该无线多跳网络的基于身份的公钥撤销 表， 生成协调器公钥撤销查询结果 Result^, 使用可信中心私钥 SKn s对协 调器公钥撤销查询结果 Resulted进行签名计算，生成公钥撤销查询签名 Sigs， 向协调器发送公钥撤销查询标识 QFPK、 协调器公钥撤销查询询问 N3、 协调器 公钥撤销查询结果 Resultc.PK和公钥撤销查询签名 Sigs;
d)级联无线多跳网络中可信中心的 CA证书的主体身份 IDS-CA、 无线多跳 网络标识 IDNet、终端设备的身份标识 IDT和终端设备公钥的有效期 TLT-PK, 构 成终端设备公钥 ΡΚπ τ, 然后查询可信中心中该无线多跳网络的基于身份的公 钥撤销表， 生成终端设备公钥撤销结果 ReT， 向协调器发送公钥撤销查询标识 QFPK、 协调器公钥撤销查询询问 N3和终端设备公钥撤销结果 ReT;
可信中心向协调器发送的这些信息在协调器与可信中心之间和安全通道 中传输。 该安全通道可由协调器和可信中心通过非交互方式建立， 如： 协调器 利用自身的私钥和可信中心公钥生成会话密钥，而可信中心利用自身的私钥和 协调器公钥生成会话密钥。
5]协调器收到步骤 4]中可信中心发送的信息后， 进行如下处理：
a)验证公钥撤销查询标识 QFPK和协调器公钥撤销查询询问 N3是否与步骤 3中协调器发送的对应值一致， 若不一致， 则丢弃信息； 否则， 则检查公钥撤 销查询标识 QFpK的比特 0和比特 1的值， 若比特 0和比特 1的值都为 1 , 则 执行 b)操作； 若比特 0的值为 1而比特 1的值为 0, 则执行 c)操作； 若比特 0 的值为 0而比特 1的值为 1， 则执行 d)操作；
b)验证终端设备公钥撤销结果 ReT。 若终端设备公钥 PKro.T已被撤销， 则 中止该认证过程； 否则，执行 e)操作后协调器使用协调器私钥 SKn c对公钥撤 销查询标识 QFPK、 终端设备认证询问 N2、 临时公钥 P、 终端设备的身份标 识 IDT、 接入结果 Rei、 协调器公钥撤销查询结果 Resultc.PK和公钥撤销查询签 名 Sigs进行签名计算， 生成协调器认证响应签名 Sigc, 向终端设备发送公钥 撤销查询标识 QFPK、 终端设备认证询问 N2、 临时公钥 P、 终端设备的身份 标识 IDT、 接入结果 Rei、 协调器公钥撤销查询结果 Resulte.PK、 公钥 ·ί歆销查询 签名 Sigs和协调器认证响应签名 Sigc;
c)执行 e)操作后协调器使用协调器私钥 SKro.c:对公钥撤销查询标识 QFPK、 终端设备认证询问 N2、临时公钥 P、终端设备的身份标识 IDT、接入结果 Rei、 协调器公钥撤销查询结果 Resulted和公钥撤销查询签名 Sigs进行签名计算， 生成协调器认证响应签名 Sige, 向终端设备发送公钥 ·ί歆销查询标识 QFPK、 终 端设备认证询问 N2、 临时公钥 P、 终端设备的身份标识 IDT、 接入结果 Re^ 协调器公钥撤销查询结果 Resultc:.PK、 公钥撤销查询签名 Sigs和协调器认证响 应签名 Sigc;
d)验证终端设备公钥撤销结果 ReT。 若终端设备公钥 PKro.T已被撤销， 则 中止该认证过程； 否则，执行 e)操作后协调器使用协调器私钥 SKn c^†公钥撤 销查询标识 QFPK、 终端设备认证询问 N2、 临时公钥 P、 终端设备的身份标 识 IDT和接入结果 Rei i行签名计算， 生成协调器认证响应签名 Sigc, 向终端 设备发送公钥撤销查询标识 QFPK、 终端设备认证询问 N2、 临时公钥 P、 终 端设备的身份标识 IDT、 接入结果 Rei和协调器所生成的协调器认证响应签名 Sigc;
e)利用预安装的 ECC域参数 PECC生成用于 ECDH交换的临时私钥 y、 临 时公钥 y-P, 使用自己的临时私钥 y和步骤 2中终端设备发送的临时公钥 x P 进行 ECDH 计算， 得到主密钥种子 （ χΎ·Ρ ) abscissa , 对其进行扩展 KD-HMAC-SHA256 ( ( x-y-P ) abscissa, N^llS "base key expansion for key and additional nonce" ), 生成终端设备与协调器之间的基密钥 BK, 生成接入结果 Re
6]终端设备收到步骤 3]或步骤 5]中协调器发送的信息后， 进行如下处理： a)验证终端设备询问 N2、 终端设备的身份标识 IDT和公钥撤销查询标识 QFPK的比特 0的值是否与步骤 2中终端设备发送的对应值一致， 若不一致， 则丢弃信息；
b)级联无线多跳网络中可信中心的 CA证书的主体身份 IDS-CA、 无线多跳 网络标识 IDNet、协调器的身份标识 IDC和协调器公钥的有效期 TLC-PK,构成协 调器公钥 PKn c， 使用协调器公钥 PKn c和预安装的基于身份的公开参数 Pro 验证协调器认证响应签名 Sige, 若签名验证不成功， 则丢弃该信息； c)若公钥撤销查询标识 QFPK的比特 0的值为 1时， 则执行 d)操作； 否则， 执行 e)操作；
d)使用可信中心公钥 PKn s和预安装的基于身份的公开参数 Pro验证公钥 撤销查询签名 Sigs, 若签名验证不成功， 则丢弃该信息； 否则， 验证协调器公 钥撤销查询结果 Resultc_PK中终端设备询问 N2、 协调器的身份标识 IDC和协调 器公钥的有效期 TL P]^々一致性以及协调器公钥撤销结果 Rec。若满足一致性 且协调器公钥未被撤销， 则执行 e)操作； 否则， 丢弃该信息；
e)终端设备使用自己的临时私钥 X和协调器的临时公钥 P进行 ECDH计 算，得到主密钥种子（ x y P ) absCiSsa,对其进行扩展 KD-HMAC-SHA256 ( ( x y P ) abscissa, "base key expansion for key and additional nonce" )， 生成终端设备 与协调器之间的基密钥 BK。
单播密钥协商过程的具体实现如下， 参见图 4。
1] 认证成功后， 协调器要建立或更新单播密钥时， 协调器进行如下处理： 协调器利用随机数产生器产生协调器单播密钥协商询问 N4, 向终端设备 发送协调器单播密钥协商询问 N4;
2]终端设备收到步骤 1]中协调器发送的信息后， 进行如下处理：
a)级联终端设备和协调器的 64 位扩展地址， 得到终端设备和协调器的 MAC地址的级联值 ADDID;
b)终端设备利用随机数产生器产生终端设备单播密钥协商询问 N5, 然后 计算 KD-HMAC-SHA256 ( BK , ADDID|| N4||N5||"pairwise key expansion for unicast and additional keys and nonce" ), 生成单播加密密钥 UEK、 单播完整性 校验密钥 UCK和单播消息鉴别密钥 UMAK。 BK是终端设备在认证过程中产 生的终端设备与协调器之间的基密钥 BK。
c)用单播消息鉴别密钥 UMAK通过 HMAC-SHA256算法对协调器单播密 钥协商询问 N4和终端设备单播密钥协商询问 N5进行消息鉴别码计算，生成单 播密钥协商时终端设备的消息鉴别码 HMACxu,然后向协调器发送协调器单播 密钥协商询问 N4、 终端设备单播密钥协商询问 N5和单播密钥协商时终端设备 的消息鉴别码 HMACxu。
3]协调器收到步骤 2]中终端设备发送的信息后， 进行如下处理： a)验证协调器单播密钥协商询问 N4的一致性， 若不一致， 则丢弃该信息； b)级联终端设备和协调器的 64位扩展地址， 得到终端设备和协调器的 MAC地址的级联值 ADDID。
c)计算 KD-HMAC-SHA256 ( BK , ADDID|| N4||N5H"pairwise key expansion for unicast and additional keys and nonce" ), 生成单播加密密钥 UEK、 单播完整 性校验密钥 UCK和单播消息鉴别密钥 UMAK。 BK是终端设备在认证过程中 产生的终端设备与协调器之间的基密钥 BK。 利用所生成的单播消息鉴别密钥 UMAK通过 HMAC-SHA256算法本地计算协调器单播密钥协商询问 N4和终端 设备单播密钥协商询问 N5的消息鉴别码， 与所接收到信息中的单播密钥协商 时终端设备的消息鉴别码 HMACxu比较， 若相同， 则执行操作 d ); 否则， 丢 弃该信息。
d)用协调器所生成的单播消息鉴别密钥 UMAK通过 HMAC-SHA256算法 对终端设备单播密钥协商询问 N5 ¾行消息鉴别码计算， 生成单播密钥协商时 协调器的消息鉴别码 HMACCU, 然后向终端设备发送终端设备单播密钥协商 询问 N5和单播密钥协商时协调器的消息鉴别码 HMACCU。
4]终端设备收到步骤 3]中协调器发送的信息后， 进行如下处理：
a)验证终端设备单播密钥协商询问 N5的一致性， 若不一致， 则丢弃该信 b)利用本地所生成的单播消息鉴别密钥 UMAK通过 HMAC-SHA256算法 本地计算终端设备单播密钥协商询问 N5的消息鉴别码， 与所接收到信息中的 单播密钥协商时协调器的消息鉴别码 HMACCU比较， 若相同， 则单播密钥协 商成功； 否则， 丢弃该信息。
组播密钥协商过程的具体实现如下， 参见图 5。
1]单播密钥协商成功后， 协调器要建立或更新组播密钥时， 协调器进行如 下处理：
a)利用随机数产生器产生组播密钥通告标识 NM和组播通告主密钥 NMK; b)利用协调器和终端设备之间的单播加密密钥 UEK对组播通告主密钥 NMK进行力口密；
c)利用协调器和终端设备之间的单播消息鉴别密钥 UMAK 通过 HMAC-SHA256 算法对组播密钥通告标识 NM和已加密的组播通告主密钥 NMKE进行消息鉴别码计算， 得到组播密钥协商时协调器的消息鉴别码 HMACCM。 其中， 组播密钥通告标识 NM为一个整数， 存在初始值， 在每次密 钥更新通告时该值加 1。 若通告的密钥不变， 则该值保持不变。
d)向终端设备发送组播密钥通告标识 NM、已加密的组播通告主密钥 NMKE 和组播密钥协商时协调器的消息鉴别码 HMACCM。
2]终端设备收到步骤 1中协调器发送的信息后， 进行如下处理：
a)利用协调器和终端设备之间的单播消息鉴别密钥 UMAK 通过 HMAC-SHA256算法本地计算组播密钥通告标识 NM和已加密的组播通告主密 钥 NMKE的消息鉴别码， 与所接收到信息中的组播密钥协商时协调器的消息 鉴别码 HMACCM比较， 若不相同， 则丢弃该信息；
b)检查组播密钥通告标识 NM是否单调递增， 若不是单调递增， 则丢弃该 信息；
c)利用协调器和终端设备之间的单播加密密钥 UEK对已加密的组播通告 主密钥 NMKE进行解密，得到组播通告主密钥 NMK,利用 KD-HMAC-SHA256 算法进行扩展， 则生成组播加密密钥 MEK和组播完整性校验密钥 MCK; d)利用协调器和终端设备之间的单播消息鉴别密钥 UMAK 通过 HMAC-SHA256算法对组播密钥通告标识 NM进行消息鉴别码计算， 得到组播 密钥协商时终端设备的消息鉴别码 HMAC™;
e)向协调器发送组播密钥通告标识 NM和组播密钥协商时终端设备的消息 鉴别码 HMAC™。
3]协调器收到步骤 2]中终端设备发送的信息后 , 进行如下处理：
a)利用协调器和终端设备之间的单播消息鉴别密钥 UMAK 通过 HMAC-SHA256算法本地计算组播密钥通告标识 NM的消息鉴别码， 与所接收 到信息中的组播密钥协商时终端设备的消息鉴别码 HMAC™比较，若不相同， 则丢弃该信息；
b)比较组播密钥通告标识 NM与步骤 1]协调器所发送的对应值， 若相同， 则本次组播密钥协商成功； 否则， 丢弃该信息。
c)利用 KD-HMAC-SHA256算法对自己生成的组播通告主密钥 NMK进行 扩展， 则生成组播加密密钥 MEK和组播完整性校验密钥 MCK。
终端设备认证接入之后， 终端设备和可信中心利用公私钥对采用基于 ID 的非交互密码分享形式建立安全通道。 当终端设备作为协调器运行认证接入 信。 、 ' 、 ' 、 ' '。 β Η
基于上述方法， 本发明还提供一种协调器， 包括： 广播单元、 认证单元和 发送单元， 其中， 所述广播单元， 用于广播信标帧； 所述信标帧中包括基于 ID 方式的认证及密钥管理套件； 所述认证单元，用于在接收到基于支持 ID方式的 认证及密钥管理套件的终端设备发送的连接请求命令时，对所述终端设备进行 认证； 所述发送单元， 用于向所述终端设备发送连接响应命令， 所述连接响应 命令用于指示所述终端设备接入无线多跳网络。 的认证过程相同， 具体详见上述， 在此不再赘述。
所述协调器还包括： 定义单元， 用于预先定义该协调器与终端设备的非受 控端口和受控端口，使得该协调器与终端设备的非受控端口通行认证协议数据 包及管理信息， 该协调器与终端设备的受控端口通行应用数据包。
本发明还提供一种终端设备， 包括：连接请求发送单元和接入单元，其中， 所述连接请求发送单元， 用于在接收到协调器发送的信标帧后， 向协调器发送 连接请求命令， 其中， 所述信标帧中包括基于 ID方式的认证及密钥管理套件； 所述接入单元， 用于在接收到所述协调器发送的连接响应命令后，打开受控端 口， 接入到所述无线多跳网络。
所述终端设备中各个单元的功能和作用的实现过程详见上述方法中对应 的实现过程， 在此不再赘述。
本发明还提供一种基于 ID的无线多跳网络认证接入系统 ,包括协调器和终 端设备， 其中， 所述协调器包括： 广播单元、 认证单元和发送单元； 所述终端 设备包括： 连接请求发送单元和接入单元，其中协调器和终端设备中各个单元 的功能和作用的实现过程详见上述， 在此不再赞述。
由上述可知， 本发明所述的技术方案中， 协调器先对终端设备进行验证， 认证通过的终端设备才能连接到协调器，从而实现了终端设备到无线多跳网络 的认证接入。终端设备也可以对协调器进行认证，从而根据认证结果判定是否 连接到该协调器。 因此， 提高了终端设备接入无线多跳网络的安全性和性能。 另外， 终端设备和协调器都定义了非受控端口和受控端口， 并利用认证结果进 行控制，从而形成端口访问控制体系，提高了终端设备接入无线多跳网络的安 全性。终端设备和协调器为不同的安全服务定义了单播密钥协商过程和组播密 钥通告过程，从而保证了终端设备和协调器之间的通信安全。本发明采用了三 元对等鉴别协议，可信中心为终端设备和协调器提供公钥撤销表， 实现终端设 备和协调器的双向认证，提高了终端设备接入无线多跳网络的安全性。 由于基 于 ID的公钥本身具有撤销特性且基于 ID的公钥长度较短，所以减少了公钥撤 销查询的次数和减少了传输的通信量，从而提高了终端设备接入无线多跳网络 的性能。可信中心发送给协调器的信息在安全通道中传输， 而该安全通道可以 利用协调器和可信中心的公私钥对通过非交互方式建立，消除了它们之间的密 钥协商过程且降低了可信中心发送给协调器的信息复杂度，从而提高了终端设 备接入无线多跳网络的性能。

Claims

权 利 要 求
1、 一种基于 ID的无线多跳网络认证接入方法， 其特征在于： 包括以下步 骤：
协调器广播信标帧； 所述信标帧中包括基于 ID方式的认证及密钥管理套 件；
协调器在接收到支持基于 ID方式的认证及密钥管理套件的终端设备发送 的连接请求命令时， 对所述终端设备进行认证；
若认证成功， 则所述协调器打开受控端口，将所述终端设备接入到无线多 跳网络；
所述协调器向所述终端设备发送连接响应命令，所述连接响应命令用于指 示所述终端设备接入无线多跳网络。
2、根据权利要求 1所述的基于 ID的无线多跳网络认证接入方法，其特征在 于： 所述方法还包括：
终端设备在接收到协调器发送的信标帧后 , 向协调器发送连接请求命令； 所述终端设备在接收到所述协调器发送的连接响应命令后， 打开受控端 口， 接入到所述无线多跳网络。
3、根据权利要求 2所述的基于 ID的无线多跳网络认证接入方法，其特征在 于： 所述方法还包括：
定义协调器与终端设备的非受控端口和受控端口，使得终端设备和协调器 的非受控端口通行认证协议数据包及管理信息，终端设备和协调器的受控端口 通行应用数据包。
4、根据权利要求 2所述的基于 ID的无线多跳网络认证接入方法，其特征 在于： 所述对所述终端设备进行认证的具体过程包括：
协调器根据接收到终端设备发送的连接请求命令， 生成协调器认证询问， 终端设备在接收到所述认证激活后，验证协调器公钥的有效性， 若验证通 过， 则生成终端设备认证询问、公钥撤销查询标识和终端设备临时公钥， 并将 终端设备认证询问、公钥撤销查询标识、终端设备临时公钥、协调器认证询问、 终端设备公钥以及终端设备对前面五项信息的签名组成的认证请求发送给协 调器；
协调器接收所述认证请求后，验证所述认证请求中签名的合法性、协调器 认证询问的一致性和终端设备临时公钥的有效性； 若验证通过， 则根据所述公 钥撤销查询标识判断是否进行公钥撤销查询； 若是，协调器设置公钥撤销查询 标识和生成协调器公钥撤销查询询问， 并将协调器公钥撤销查询询问、公钥撤 销查询标识和终端设备公钥组成的公钥撤销查询请求发送给可信中心；
协调器接收可信中心发送的协调器公钥撤销查询询问、公钥撤销查询标识 和终端设备公钥撤销结果组成的公钥撤销查询响应；
协调器验证所述公钥撤销查询响应中公钥撤销查询标识，验证协调器公钥 撤销查询询问和公钥撤销查询标识的一致性； 验证终端设备公钥撤销结果； 若 验证通过， 则生成协调器临时公钥和接入结果， 并将所述公钥撤销查询标识、 终端设备认证询问、协调器临时公钥、终端设备的身份标识和接入结果以及协 调器对前面五项信息的签名组成的认证响应发送给终端设备； 同时，协调器根 据终端设备临时公钥和协调器临时私钥生成终端设备和协调器之间的基密钥； 终端设备在接收到所述认证响应后，验证所述认证响应中公钥撤销查询标 识、验证认证响应的签名的有效性， 验证终端设备认证询问、公钥 ·ί歆销查询标 识和终端设备的身份标识的一致性以及验证接入结果； 若验证通过， 则根据终 端设备临时公钥和协调器临时私钥生成终端设备和协调器之间的基密钥 ,认证 成功。
5、根据权利要求 4所述的基于 ID的无线多跳网络认证接入方法，其特征 在于： 所述对所述终端设备进行认证的具体过程还包括：
若根据所述公钥撤销查询标识判断不需要进行公钥撤销查询 ,则协调器生 成协调器临时公钥和接入结果， 并将所述公钥撤销查询标识、终端设备认证询 问、协调器临时公钥、接入结果以及协调器对前面四项信息的签名组成的认证 响应发送给终端设备；
终端设备收到协调器发送的所述认证响应后，验证所述认证响应的签名的 有效性、终端设备认证询问的一致性和接入结果；若验证不通过，则认证失败； 若验证通过，则终端设备根据终端设备临时公钥和协调器临时私钥生成终端设 备和协调器之间的基密钥， 认证成功。
6、根据权利要求 4所述的基于 ID的无线多跳网络认证接入方法，其特征 在于： 所述对所述终端设备进行认证的具体过程还包括：
所述可信中心在接收到协调器发送的公钥撤销查询请求后 ,验证公钥撤销 调器公钥撤销查询询问、公钥撤销查询标识和终端设备公钥撤销结果组成公钥 撤销查询响应发送给协调器。
7、根据权利要求 2所述的基于 ID的无线多跳网络认证接入方法，其特征 在于： 所述对所述终端设备进行认证的具体过程包括：
协调器根据接收到终端设备发送的连接请求命令， 生成协调器认证询问， 终端设备收到认证激活后， 验证协调器公钥的有效性； 若验证通过， 则备 生成终端设备认证询问、公钥撤销查询标识和终端设备临时公钥， 并将终端设 备认证询问、 协调器认证询问、 终端设备公钥、 公钥撤销查询标识、 终端设备 临时公钥以及终端设备对前面五项信息的签名组成的认证请求发送给协调器； 协调器收到所述认证请求后 ,验证认证请求签名的合法性、协调器认证询 问的一致性和终端设备临时公钥的有效性； 若验证通过，根据公钥撤销查询标 识判断是否进行公钥撤销查询； 如果进行公钥撤销查询， 则协调器设置公钥撤 销查询标识， 以及生成协调器公钥撤销查询询问， 并将协调器公钥撤销查询询 问、终端设备认证询问、公钥 ·ί歆销查询标识和协调器公钥组成公钥 ·ί歆销查询请 求发送给可信中心；
协调器接收可信中心发送包括协调器公钥撤销查询询问、公钥撤销查询标 识、 协调器公钥撤销查询结果和公钥撤销查询签名组成的公钥撤销查询响应； 协调器接收到所述公钥撤销查询响应后，验证所述公钥撤销查询响应中公 钥撤销查询标识， 验证协调器公钥撤销查询询问和公钥撤销查询标识的一致 性，验证协调器公钥撤销查询结果和公钥撤销查询签名的有效性，若验证通过， 则协调器生成协调器临时公钥和接入结果， 并将公钥撤销查询标识、终端设备 认证询问、 协调器临时公钥、 终端设备的身份标识、 接入结果、 协调器公钥撤 销查询结果和公钥撤销查询签名以及对前面七项信息的签名组成的认证响应 发送给终端设备； 同时，协调器根据终端设备临时公钥和协调器临时私钥生成 终端设备和协调器之间的基密钥；
终端设备收到所述认证响应后 , 验证所述认证响应中公钥撤销查询标识 , 验证认证响应的签名的有效性，验证终端设备认证询问、公钥 ·ί歆销查询标识和 终端设备的身份标识的一致性以及验证接入结果； 若验证通过， 则终端设备验 证协调器公钥撤销查询结果和公钥撤销查询签名为有效后，根据终端设备临时 公钥和协调器临时私钥生成终端设备和协调器之间的基密钥 , 认证成功。
8、根据权利要求 Ί所述的基于 ID的无线多跳网络认证接入方法，其特征 在于： 所述对所述终端设备进行认证的具体过程还包括：
如果协调器判断^^据公钥撤销查询标识不进行公钥撤销查询，则生成协调 器临时公钥和接入结果，并将协调器将公钥撤销查询标识、终端设备认证询问、 协调器临时公钥、接入结果以及协调器对前面四项信息的签名组成的认证响应 发送给终端设备；
终端设备收到所述认证响应后，验证认证响应的签名的有效性、终端设备 认证询问的一致性和接入结果； 若验证通过， 则终端设备根据终端设备临时公 钥和协调器临时私钥生成终端设备和协调器之间的基密钥， 认证成功。
9、根据权利要求 Ί所述的基于 ID的无线多跳网络认证接入方法，其特征 在于： 所述对所述终端设备进行认证的具体过程还包括：
可信中心在接收到所述协调器发送的公钥撤销查询请求后，验证所述公钥 撤销查询请求中公钥撤销查询标识 ,验证协调器公钥的有效性并生成协调器公 钥撤销查询结果，使用可信中心私钥对协调器公钥撤销查询结果计算签名， 生 成公钥撤销查询签名， 并将协调器公钥撤销查询询问、公钥撤销查询标识、 协 调器公钥撤销查询结果和公钥撤销查询签名组成公钥撤销查询响应发送给协 调器。
10、 根据权利要求 2所述的基于 ID的无线多跳网络认证接入方法， 其特 征在于： 所述对所述终端设备进行认证的具体过程包括：
协调器根据接收到终端设备发送的连接请求命令， 生成协调器认证询问， 终端设备收到认证激活后，验证所述认证激活中协调器公钥的有效性； 若 验证通过，则生成终端设备认证询问、公钥撤销查询标识和终端设备临时公钥 , 并将终端设备认证询问、协调器认证询问、终端设备公钥、公钥 ·ί歆销查询标识、 终端设备临时公钥以及对前面五项信息的签名组成的认证请求发送给协调器； 协调器接收到所述认证请求后，验证认证请求签名的合法性、协调器认证 询问的一致性和终端设备临时公钥的有效性； 若验证通过，根据公钥撤销查询 标识判断是否进行公钥撤销查询； 如果进行公钥撤销查询，协调器设置公钥撤 销查询标识， 以及生成协调器公钥撤销查询询问， 并将协调器公钥撤销查询询 问、 终端设备认证询问、公钥撤销查询标识、 终端设备公钥和协调器公钥组成 的公钥撤销查询请求发送给可信中心；
协调器接收可信中心发送的包括协调器公钥撤销查询询问、公钥撤销查询 标识、终端设备公钥撤销结果、协调器公钥撤销查询结果和公钥撤销查询签名 组成的公钥 4歆销查询响应；
协调器验证所述公钥撤销查询响应中公钥撤销查询标识，验证协调器公钥 撤销查询询问和公钥撤销查询标识的一致性，验证协调器公钥撤销查询结果和 公钥撤销查询签名的有效性以及验证终端设备公钥撤销结果， 若验证通过， 则 协调器生成协调器临时公钥和接入结果， 并将公钥撤销查询标识、终端设备认 证询问、 协调器临时公钥、 终端设备的身份标识、 接入结果、 协调器公钥撤销 查询结果和公钥撤销查询签名以及对前面七项信息的签名组成的认证响应发 送给终端设备； 同时，协调器根据终端设备临时公钥和协调器临时私钥生成终 端设备和协调器之间的基密钥；
终端设备收到所述认证响应后， 验证所述认证响应中公钥撤销查询标识， 验证认证响应的签名的有效性，验证终端设备认证询问、公钥 ·ί歆销查询标识和 终端设备的身份标识的一致性以及验证接入结果； 若验证通过， 则终端设备验 证协调器公钥撤销查询结果和公钥撤销查询签名为有效后，根据终端设备临时 公钥和协调器临时私钥生成终端设备和协调器之间的基密钥 , 认证成功。
11、根据权利要求 10所述的基于 ID的无线多跳网络认证接入方法，其特 征在于： 所述对所述终端设备进行认证的具体过程还包括：
若协调器不进行公钥撤销查询； 则生成协调器临时公钥和接入结果， 并将 协调器将公钥撤销查询标识、 终端设备认证询问、 协调器临时公钥、接入结果 以及协调器对前面四项信息的签名组成认证响应发送给终端设备； 终端设备接收到所述认证响应后，验证所述认证响应的签名的有效性、终 端设备认证询问的一致性和接入结果； 若验证通过， 则根据终端设备临时公钥 和协调器临时私钥生成终端设备和协调器之间的基密钥 , 认证成功。
12、根据权利要求 10所述的基于 ID的无线多跳网络认证接入方法，其特 征在于： 所述对所述终端设备进行认证的具体过程还包括：
可信中心在接收到所述协调器发送的公钥撤销查询请求后 ,验证公钥撤销 调器公钥的有效性并生成协调器公钥撤销查询结果，使用可信中心私钥对协调 器公钥撤销查询结果计算签名， 生成公钥撤销查询签名， 并将协调器公钥撤销 查询询问、公钥撤销查询标识、 终端设备公钥撤销结果、 协调器公钥撤销查询 结果和公钥撤销查询签名组成公钥撤销查询响应发送给协调器。
13、 根据权利要求 2至 12任一项所述的基于 ID的无线多跳网络认证接入方 法， 其特征在于： 所述方法还包括：
在认证成功后， 协调器与终端设备进行单播密钥协商。
14、根据权利要求 13所述的基于 ID的无线多跳网络认证接入方法，其特 征在于： 所述协调器与终端设备进行单播密钥协商的过程包括：
在认证成功后，协调器需要建立或更新单播密钥时， 生成协调器单播密钥 协商询问 ,协调器将协调器单播密钥协商询问组成单播密钥协商请求发送给终 端设备；
终端设备收到单播密钥协商请求后 , 生成终端设备单播密钥协商询问 ,根 据基密钥、协调器单播密钥协商询问和终端设备单播密钥协商询问生成终端设 备与协调器之间的单播密钥； 并将协调器单播密钥协商询问、终端设备单播密 钥协商询问和消息鉴别码组成的单播密钥协商响应发送给协调器； 其中， 所述 的消息鉴别码是终端设备根据协调器单播密钥协商询问和终端设备单播密钥 协商询问计算得到的消息鉴别码；
协调器收到单播密钥协商响应后，根据基密钥、协调器单播密钥协商询问 和终端设备单播密钥协商询问计算单播密钥，并验证协调器单播密钥协商询问 的一致性和终端设备的消息鉴别码的有效性， 若验证通过， 则协调器将协调器 单播密钥协商询问以及对终端设备单播密钥协商询问计算的消息鉴别码组成 的单播密钥协商确认发送给终端设备；
终端设备收到单播密钥协商确认后 ,验证终端设备单播密钥协商询问的一 致性和协调器的消息鉴别码的有效性； 若验证通过， 则单播密钥协商成功。
15、根据权利要求 13所述的基于 ID的无线多跳网络认证接入方法，其特征 在于： 所述方法还包括： 在单播密钥协商完成后， 所述协调器与终端设备进行 组播密钥通告。
16、根据权利要求 15所述的基于 ID的无线多跳网络认证接入方法，其特 征在于： 所述组播密钥通告的具体过程包括：
在单播密钥协商成功后，协调器要建立或更新组播密钥时， 利用通告主密 钥计算组播密钥， 并利用单播密钥中的加密密钥对通告主密钥进行加密， 生成 组播密钥通告标识， 以及将组播密钥通告标识、 已加密的组播通告主密钥和消 息鉴别码组成的组播密钥通告发送给终端设备； 其中， 所述的消息鉴别码是协 调器利用组播密钥中的鉴别密钥对组播密钥通告标识和已加密的组播通告主 密钥计算得到的消息鉴别码；
终端设备收到所述组播密钥通告后，验证所述组播密钥通告标识是否与本 地计算的组播密钥通告标识相同， 若相同， 利用通告主密钥计算组播密钥， 并 继续验证协调器的消息鉴别码的有效性， 若验证通过， 则终端设备将组播密钥 通告标识和消息鉴码组成组播密钥响应发送给协调器； 其中， 所述的消息鉴别 码是终端设备利用本地生成组播密钥中的鉴别密钥对组播密钥通告标识消息 计算得到的消息鉴别码；
协调器收到所述组播密钥响应后 ,协调器验证组播密钥通告标识的一致性 和终端设备的消息鉴别码的有效性； 若验证通过， 组播密钥协商成功。
17、 一种协调器， 其特征在于： 包括：
广播单元， 用于广播信标帧； 所述信标帧中包括基于 ID方式的认证及密 钥管理套件；
认证单元， 用于在接收到支持基于 ID方式的认证及密钥管理套件的终端 设备发送的连接请求命令时， 对所述终端设备进行认证；
发送单元， 用于向所述终端设备发送连接响应命令， 所述连接响应命令用 于指示所述终端设备接入无线多跳网络。
18、 根据权利要求 17所述的协调器， 其特征在于： 还包括：
定义单元， 用于预先定义该协调器与终端设备的非受控端口和受控端口， 使得该协调器与终端设备的非受控端口通行认证协议数据包及管理信息，该协 调器与终端设备的受控端口通行应用数据包。
19、 一种终端设备， 其特征在于： 包括：
连接请求发送单元， 用于在接收到协调器发送的信标帧后， 向协调器发送 连接请求命令， 其中， 所述信标帧中包括基于 ID方式的认证及密钥管理套件； 接入单元， 用于在接收到所述协调器发送的连接响应命令后，打开受控端 口， 接入到所述无线多跳网络。
20、一种基于 ID的无线多跳网络认证接入系统， 其特征在于： 包括协调器 和终端设备， 其中，
所述协调器包括：
广播单元， 用于广播信标帧； 所述信标帧中包括基于 ID方式的认证及密 钥管理套件；
认证单元， 用于在接收到支持基于 ID方式的认证及密钥管理套件的终端 设备发送的连接请求命令时， 对所述终端设备进行认证；
发送单元， 用于向所述终端设备发送连接响应命令， 所述连接响应命令用 于指示所述终端设备接入无线多跳网络；
所述终端设备包括：
连接请求发送单元， 用于在接收到协调器发送的信标帧后， 向协调器发送 连接请求命令， 其中， 所述信标帧中包括基于 ID方式的认证及密钥管理套件； 接入单元， 用于在接收到所述协调器发送的连接响应命令后，打开受控端 口， 接入到所述无线多跳网络。
PCT/CN2009/070270 2008-01-23 2009-01-22 Procédé, dispositif et système pour un accès d'authentification de réseau à sauts multiples sans fil basé sur id WO2009094941A1 (fr)

Priority Applications (4)

Application Number Priority Date Filing Date Title
JP2010543365A JP2011514032A (ja) 2008-01-23 2009-01-22 Ｉｄに基づく無線マルチホップネットワーク認証アクセス方法、装置及びシステム
US12/864,401 US20100293378A1 (en) 2008-01-23 2009-01-22 Method, device and system of id based wireless multi-hop network authentication access
EP09706805A EP2247131A4 (en) 2008-01-23 2009-01-22 METHOD, DEVICE AND SYSTEM FOR ID-BASED WIRELESS MULTI-HOP NETWORK AUTHENTICATION ACCESS
KR1020107018360A KR101198570B1 (ko) 2008-01-23 2009-01-22 Ｉｄ 기반 무선 멀티-홉 네트워크 인증 액세스의 방법，장치 및 시스템

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN2008100173857A CN101222772B (zh) 2008-01-23 2008-01-23 一种基于id的无线多跳网络认证接入方法
CN200810017385.7 2008-01-23

Publications (1)

Publication Number Publication Date
WO2009094941A1 true WO2009094941A1 (fr) 2009-08-06

Family

ID=39632290

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2009/070270 WO2009094941A1 (fr) 2008-01-23 2009-01-22 Procédé, dispositif et système pour un accès d'authentification de réseau à sauts multiples sans fil basé sur id

Country Status (6)

Country Link
US (1) US20100293378A1 (zh)
EP (1) EP2247131A4 (zh)
JP (1) JP2011514032A (zh)
KR (1) KR101198570B1 (zh)
CN (1) CN101222772B (zh)
WO (1) WO2009094941A1 (zh)

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102065430A (zh) * 2010-12-28 2011-05-18 上海华御信息技术有限公司 实现物联网终端安全接入的方法
JP2013502762A (ja) * 2009-08-19 2013-01-24 西安西▲電▼捷通▲無▼▲線▼▲網▼▲絡▼通信股▲ふん▼有限公司 有線ｌａｎのセキュリティアクセス制御方法及びそのシステム
US9300468B2 (en) 2009-01-14 2016-03-29 Entropic Communications, Llc Secure node admission in a communication network
CN111083169A (zh) * 2019-12-31 2020-04-28 国网新疆电力有限公司电力科学研究院 一种用于工控网络的通信方法和系统

Families Citing this family (44)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101232378B (zh) 2007-12-29 2010-12-08 西安西电捷通无线网络通信股份有限公司 一种无线多跳网络的认证接入方法
CN101222325B (zh) 2008-01-23 2010-05-12 西安西电捷通无线网络通信有限公司 一种基于id的无线多跳网络密钥管理方法
CN101222772B (zh) * 2008-01-23 2010-06-09 西安西电捷通无线网络通信有限公司 一种基于id的无线多跳网络认证接入方法
US11985155B2 (en) * 2009-01-28 2024-05-14 Headwater Research Llc Communications device with secure data path processing agents
CN101521881A (zh) * 2009-03-24 2009-09-02 刘建 一种无线局域网接入方法及系统
CA2694500C (en) * 2010-02-24 2015-07-07 Diversinet Corp. Method and system for secure communication
CN102202302B (zh) * 2010-03-23 2016-01-20 中兴通讯股份有限公司 结合网络及无线传感器网络终端加入网络的方法
CN102202298B (zh) * 2010-03-23 2016-02-10 中兴通讯股份有限公司 结合网络及无线传感器网络终端加入网络的方法
US11026169B2 (en) * 2010-11-09 2021-06-01 Qualcomm Incorporated Physical layer power save facility
US9992738B2 (en) 2010-11-17 2018-06-05 Qualcomm Incorporated Physical layer power save facility with random offset
KR101299698B1 (ko) * 2010-12-06 2013-08-26 광주과학기술원 계층 구조를 갖는 무선 센서 네트워크에서 통신량에 따른 키 갱신 방법
FR2969439B1 (fr) * 2010-12-17 2018-06-22 Cryptoexperts Sas Procede et systeme d'acces conditionnel a un contenu numerique, terminal et dispositif d'abonne associes
US8630411B2 (en) 2011-02-17 2014-01-14 Infineon Technologies Ag Systems and methods for device and data authentication
CN102892115B (zh) * 2011-07-20 2017-10-24 中兴通讯股份有限公司 Wsn中网关之间通信的方法和发起方网关、目标方网关
US20130235757A1 (en) * 2012-03-07 2013-09-12 Samsung Electronics Co. Ltd. Apparatus and method for a biology inspired topological phase transition for wireless sensor network
US9054863B2 (en) * 2012-09-04 2015-06-09 Rockwell Automation Asia Pacific Business Center Pte. Ltd. Industrial protocol system authentication and firewall
US9100395B2 (en) 2013-09-24 2015-08-04 International Business Machines Corporation Method and system for using a vibration signature as an authentication key
US9450682B2 (en) 2013-10-07 2016-09-20 International Business Machines Corporation Method and system using vibration signatures for pairing master and slave computing devices
KR102139997B1 (ko) * 2014-03-21 2020-08-12 에스케이플래닛 주식회사 비콘장치의 보안 강화 방법, 이를 위한 시스템 및 장치
JP2016081169A (ja) * 2014-10-14 2016-05-16 富士通株式会社 情報処理装置、データ処理システム、データ処理管理プログラム、及び、データ処理管理方法
KR101691113B1 (ko) * 2014-12-30 2016-12-30 주식회사 시큐아이 비콘 장치 및 그것과 통신하는 휴대용 단말 장치의 인증 방법
US10999267B2 (en) * 2015-07-07 2021-05-04 Sony Corporation Information processing apparatus, information processing method, program, information processing system, and communication apparatus
CN105577699B (zh) * 2016-03-03 2018-08-24 山东航天电子技术研究所 一种双向动态无中心鉴权的安全接入认证方法
US10856374B2 (en) * 2017-08-21 2020-12-01 Tit Tsang CHONG Method and system for controlling an electronic device having smart identification function
CN108173641B (zh) * 2018-02-11 2021-12-21 福州大学 一种基于RSA的Zigbee安全通信方法
US10812337B2 (en) 2018-06-15 2020-10-20 Vmware, Inc. Hierarchical API for a SDDC
US10942788B2 (en) 2018-06-15 2021-03-09 Vmware, Inc. Policy constraint framework for an sddc
EP3841703A4 (en) * 2018-08-21 2022-05-18 LG Electronics Inc. SYSTEMS AND METHODS FOR A BUTTERFLY KEY EXCHANGE PROGRAM
US11086700B2 (en) 2018-08-24 2021-08-10 Vmware, Inc. Template driven approach to deploy a multi-segmented application in an SDDC
BR112021012274A2 (pt) * 2019-01-21 2021-08-31 Telefonaktiebolaget Lm Ericsson (Publ) Método e servidor de rede para autenticação e gerenciamento de chave, e, produto de programa de computador
CN110891273B (zh) * 2019-11-19 2022-09-02 成都亿佰特电子科技有限公司 一种基于ZigBee3.0的无线透传模组互联互通方法
US20210297853A1 (en) * 2020-03-17 2021-09-23 Qualcomm Incorporated Secure communication of broadcast information related to cell access
WO2021196080A1 (en) 2020-04-01 2021-10-07 Vmware Information Technology (China) Co., Ltd. Auto deploying network elements for heterogeneous compute elements
EP3902300B1 (en) * 2020-04-24 2023-08-30 Nokia Technologies Oy Prohibiting inefficient distribution of public keys from the public land mobile network
US11803408B2 (en) 2020-07-29 2023-10-31 Vmware, Inc. Distributed network plugin agents for container networking
US11863352B2 (en) 2020-07-30 2024-01-02 Vmware, Inc. Hierarchical networking for nested container clusters
JP7197630B2 (ja) * 2021-05-19 2022-12-27 ヤフー株式会社 端末装置、認証サーバ、認証方法及び認証プログラム
US11621963B2 (en) * 2021-05-27 2023-04-04 Western Digital Technologies, Inc. Fleet health management corrective action communication exchange
US11606254B2 (en) 2021-06-11 2023-03-14 Vmware, Inc. Automatic configuring of VLAN and overlay logical switches for container secondary interfaces
US11968215B2 (en) 2021-12-16 2024-04-23 Bank Of America Corporation Distributed sensor grid for intelligent proximity-based clustering and authentication
US20230231741A1 (en) 2022-01-14 2023-07-20 Vmware, Inc. Per-namespace ip address management method for container networks
CN115529127B (zh) * 2022-09-23 2023-10-03 中科海川(北京)科技有限公司 基于sd-wan场景的设备认证方法、装置、介质、设备
US11848910B1 (en) 2022-11-11 2023-12-19 Vmware, Inc. Assigning stateful pods fixed IP addresses depending on unique pod identity
US11831511B1 (en) 2023-01-17 2023-11-28 Vmware, Inc. Enforcing network policies in heterogeneous systems

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1564509A (zh) * 2004-03-23 2005-01-12 中兴通讯股份有限公司 一种无线局域网中密钥协商方法
US7194622B1 (en) * 2001-12-13 2007-03-20 Cisco Technology, Inc. Network partitioning using encryption
CN101068143A (zh) * 2007-02-12 2007-11-07 中兴通讯股份有限公司 一种网络设备认证方法
CN101222772A (zh) * 2008-01-23 2008-07-16 西安西电捷通无线网络通信有限公司 一种基于id的无线多跳网络认证接入方法

Family Cites Families (23)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US5303393A (en) * 1990-11-06 1994-04-12 Radio Satellite Corporation Integrated radio satellite response system and method
US5153919A (en) * 1991-09-13 1992-10-06 At&T Bell Laboratories Service provision authentication protocol
WO2000038392A2 (en) * 1998-12-23 2000-06-29 Nortel Networks Limited Apparatus and method for distributing authentication keys to network devices in a multicast
US6577609B2 (en) * 2000-09-29 2003-06-10 Symbol Technologies, Inc. Local addressing of mobile units in a WLAN with multicast packet addressing
JP4340626B2 (ja) * 2002-05-13 2009-10-07 トムソン ライセンシング シームレスな公衆無線ローカル・エリア・ネットワーク・ユーザ認証
US7634230B2 (en) * 2002-11-25 2009-12-15 Fujitsu Limited Methods and apparatus for secure, portable, wireless and multi-hop data networking
JP4578917B2 (ja) * 2003-10-03 2010-11-10 富士通株式会社 自己組織化マルチホップ無線アクセスネットワーク用の装置、方法及び媒体
US7805603B2 (en) * 2004-03-17 2010-09-28 Intel Corporation Apparatus and method of protecting management frames in wireless LAN communications
US8050409B2 (en) * 2004-04-02 2011-11-01 University Of Cincinnati Threshold and identity-based key management and authentication for wireless ad hoc networks
ITTV20040073A1 (it) * 2004-06-24 2004-09-24 Alpinestars Res Srl Indumento con nuovo sistema di ventilazione.
EP1615381A1 (en) * 2004-07-07 2006-01-11 Thomson Multimedia Broadband Belgium Device and process for wireless local area network association
CN1225942C (zh) * 2004-11-04 2005-11-02 西安西电捷通无线网络通信有限公司 一种改善无线ip系统移动终端越区切换性能的方法
JP4715239B2 (ja) * 2005-03-04 2011-07-06 沖電気工業株式会社 無線アクセス装置、無線アクセス方法及び無線ネットワーク
JP2006332788A (ja) * 2005-05-23 2006-12-07 Toshiba Corp 基地局装置、無線通信システム、基地局制御プログラムおよび基地局制御方法
JP4533258B2 (ja) * 2005-06-29 2010-09-01 株式会社日立製作所 アドホックネットワーク用の通信端末および通信制御方法
US7676676B2 (en) * 2005-11-14 2010-03-09 Motorola, Inc. Method and apparatus for performing mutual authentication within a network
US8023478B2 (en) * 2006-03-06 2011-09-20 Cisco Technology, Inc. System and method for securing mesh access points in a wireless mesh network, including rapid roaming
JP4806721B2 (ja) * 2006-03-15 2011-11-02 パナソニック株式会社 アドホックネットワークのための分散型無線メディアアクセス制御プロトコル
EP1860819B1 (de) * 2006-05-23 2013-09-11 Nokia Siemens Networks GmbH & Co. KG Verfahren und Vorrichtung zum dynamischen Aufbau und zur Steuerung von kurzzeitig gebildeten Kommunikationsgruppen mit gesicherter Übertragung
WO2008088052A1 (ja) * 2007-01-19 2008-07-24 Panasonic Corporation 無線通信方法および無線通信装置
CN100534036C (zh) * 2007-08-01 2009-08-26 西安西电捷通无线网络通信有限公司 一种基于三元对等鉴别的可信网络连接方法
CN101232378B (zh) * 2007-12-29 2010-12-08 西安西电捷通无线网络通信股份有限公司 一种无线多跳网络的认证接入方法
CN101232419B (zh) * 2008-01-18 2010-12-08 西安西电捷通无线网络通信股份有限公司 一种基于原语的无线个域网接入方法

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7194622B1 (en) * 2001-12-13 2007-03-20 Cisco Technology, Inc. Network partitioning using encryption
CN1564509A (zh) * 2004-03-23 2005-01-12 中兴通讯股份有限公司 一种无线局域网中密钥协商方法
CN101068143A (zh) * 2007-02-12 2007-11-07 中兴通讯股份有限公司 一种网络设备认证方法
CN101222772A (zh) * 2008-01-23 2008-07-16 西安西电捷通无线网络通信有限公司 一种基于id的无线多跳网络认证接入方法

Cited By (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US9300468B2 (en) 2009-01-14 2016-03-29 Entropic Communications, Llc Secure node admission in a communication network
US9906508B2 (en) 2009-01-14 2018-02-27 Entropic Communications, Llc Secure node admission in a communication network
JP2013502762A (ja) * 2009-08-19 2013-01-24 西安西▲電▼捷通▲無▼▲線▼▲網▼▲絡▼通信股▲ふん▼有限公司 有線ｌａｎのセキュリティアクセス制御方法及びそのシステム
US8689283B2 (en) 2009-08-19 2014-04-01 China Iwncomm Co., Ltd. Security access control method and system for wired local area network
CN102065430A (zh) * 2010-12-28 2011-05-18 上海华御信息技术有限公司 实现物联网终端安全接入的方法
CN102065430B (zh) * 2010-12-28 2013-07-24 上海华御信息技术有限公司 实现物联网终端安全接入的方法
CN111083169A (zh) * 2019-12-31 2020-04-28 国网新疆电力有限公司电力科学研究院 一种用于工控网络的通信方法和系统

Also Published As

Publication number Publication date
CN101222772A (zh) 2008-07-16
EP2247131A4 (en) 2012-12-19
US20100293378A1 (en) 2010-11-18
CN101222772B (zh) 2010-06-09
EP2247131A1 (en) 2010-11-03
KR20100112176A (ko) 2010-10-18
JP2011514032A (ja) 2011-04-28
KR101198570B1 (ko) 2012-11-06

Similar Documents

Publication Publication Date Title
WO2009094941A1 (fr) Procédé, dispositif et système pour un accès d'authentification de réseau à sauts multiples sans fil basé sur id
WO2009089738A1 (fr) Système et procédé d'accès pour authentification destinés à un réseau sans fil à sauts multiples
JP5414898B2 (ja) 有線ｌａｎのセキュリティアクセス制御方法及びそのシステム
US20200195445A1 (en) Registration method and apparatus based on service-based architecture
JP6406681B2 (ja) プレアソシエーションサービスディスカバリのためのシステムおよび方法
US8156337B2 (en) Systems and methods for authenticating communications in a network medium
CN101222331B (zh) 一种认证服务器及网状网中双向认证的方法及系统
KR101135254B1 (ko) Ｉｂｓｓ 네트워크에 적용하는 액세스 인증 방법
WO2011006341A1 (zh) 一种传感器网络鉴别与密钥管理机制的融合方法
WO2006086932A1 (fr) Methode d'authentification d'acces adaptee aux reseaux avec et sans fils
US20110035592A1 (en) Authentication method selection using a home enhanced node b profile
WO2009094938A1 (fr) Procédé de gestion d'une clé de un réseau à sauts multiples sans fil
WO2007028328A1 (fr) Procede, systeme et dispositif de negociation a propos d'une cle de chiffrement partagee par equipement utilisateur et equipement externe
WO2011022915A1 (zh) 一种基于预共享密钥的网络安全访问控制方法及其系统
WO2007147354A1 (fr) Procédé et système pour extraire une clé de messagerie instantanée
CN112333705B (zh) 一种用于5g通信网络的身份认证方法及系统
JPWO2019183032A5 (zh)
JP5472977B2 (ja) 無線通信装置
Zemmoudj et al. Securing D2D Therapeutic Hiking Group in 5G Networks for Partial Coverage Scenario
Jegatheesan et al. Secure and efficient key sharing scheme for manet using a symmetric approach
Li et al. Fast authentication for mobile hosts in wireless mesh networks
Sivakumar Analysis of Ad-Hoc Network Security using Zero knowledge Proof and Wi-Fi Protected Access 2

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 09706805

Country of ref document: EP

Kind code of ref document: A1

WWE Wipo information: entry into national phase

Ref document number: 12864401

Country of ref document: US

Ref document number: 2010543365

Country of ref document: JP

NENP Non-entry into the national phase

Ref country code: DE

WWE Wipo information: entry into national phase

Ref document number: 2009706805

Country of ref document: EP

ENP Entry into the national phase

Ref document number: 20107018360

Country of ref document: KR

Kind code of ref document: A