WO2010121462A1 - 一种自组网络下wapi站点间安全关联的建立方法 - Google Patents

一种自组网络下wapi站点间安全关联的建立方法 Download PDF

Info

Publication number
WO2010121462A1
WO2010121462A1 PCT/CN2009/074155 CN2009074155W WO2010121462A1 WO 2010121462 A1 WO2010121462 A1 WO 2010121462A1 CN 2009074155 W CN2009074155 W CN 2009074155W WO 2010121462 A1 WO2010121462 A1 WO 2010121462A1
Authority
WO
WIPO (PCT)
Prior art keywords
key
multicast
sta1
sta2
index
Prior art date
Application number
PCT/CN2009/074155
Other languages
English (en)
French (fr)
Inventor
刘家兵
施元庆
康望星
Original Assignee
中兴通讯股份有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 中兴通讯股份有限公司 filed Critical 中兴通讯股份有限公司
Priority to US13/259,904 priority Critical patent/US20120017080A1/en
Priority to EP09843566.2A priority patent/EP2424184A4/en
Publication of WO2010121462A1 publication Critical patent/WO2010121462A1/zh

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/02—Details
    • H04L12/16—Arrangements for providing special services to substations
    • H04L12/18—Arrangements for providing special services to substations for broadcast or conference, e.g. multicast
    • H04L12/189—Arrangements for providing special services to substations for broadcast or conference, e.g. multicast in combination with wireless systems
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0838—Key agreement, i.e. key establishment technique in which a shared key is derived by parties as a function of information contributed by, or associated with, each of these
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3236—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using cryptographic hash functions
    • H04L9/3242—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using cryptographic hash functions involving keyed hash functions, e.g. message authentication codes [MACs], CBC-MAC or HMAC
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3271—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using challenge-response
    • H04L9/3273—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using challenge-response for mutual authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/50—Secure pairing of devices
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/80—Wireless
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W84/00—Network topologies
    • H04W84/18—Self-organising networks, e.g. ad-hoc networks or sensor networks

Definitions

  • the present invention relates to the field of wireless local area network communication, and particularly relates to a method for establishing a security association between WAPI (WLAN Authentication and Privacy Infrastructure) under the ad hoc network.
  • WAPI WLAN Authentication and Privacy Infrastructure
  • wireless network security mainly uses the security mechanism of the IEEE-defined wireless local area network standard (IEEE 802.11), which uses WEP (Wried Equivalent Privacy), which has been widely proved to have no equivalent wired.
  • IEEE 802.11 IEEE-defined wireless local area network standard
  • WEP Wired Equivalent Privacy
  • Security brings huge security risks to wireless LANs.
  • China introduced the national standard GB15629.il for wireless local area networks in May 2003, introducing a new security mechanism, WAPI, to realize the security of wireless local area networks, and released an improved national standard in 2006 (GB15629). .11-2003/XG1-2006). It consists of a WLAN Authentication Infrastructure (WAI) and a WPI (WLAN Privacy Infrastructure).
  • WAI WLAN Authentication Infrastructure
  • WPI WLAN Privacy Infrastructure
  • WAI uses a public key certificate system based on elliptic curve
  • the wireless client STA and the access point AP perform two-way identity authentication through the authentication server AS, and in the privacy of the transmitted data, the WPI uses the national commercial password management.
  • the symmetric cryptographic algorithm SMS4 provided by the committee office encrypts and decrypts to ensure the security of data transmission.
  • the site STA there are generally three entities: the site STA, the wireless access point AP, and the authentication server unit ASU, which is called a basic service set (BSS), as shown in Figure 1.
  • BSS basic service set
  • ⁇ is responsible for communication between all STAs in the service set. If one station STA wants to communicate with another STA, it must first establish a security association with ⁇ to transmit data securely.
  • the establishment of security association is divided into two parts: one is that the identity certificate is used to generate the base key, and the other is the key-key-based key negotiation, including unicast key negotiation and multicast key advertisement.
  • IBSS independent basic service set
  • ASSU authentication supplicant entity
  • AE uthenticator entity a discriminator entity
  • ASU authentication service unit
  • WPAI-based security association establishment in the ad hoc network mode is divided into two cases: based on pre-shared key and certificate-based.
  • STAs choose to use the certificate-based authentication method, they will each initiate a certificate authentication process, establish two independent base keys BK, and then perform two five-step handshakes (the first three-step handshake completes the unicast key negotiation process).
  • the two-step handshake completes the multicast key advertisement process.
  • Two independent unicast keys are negotiated and their respective multicast keys are advertised.
  • the unicast data between the STAs uses the STA with the larger MAC address as the unicast encryption key UEK and the unicast integrity check key UCK negotiated by the unicast key negotiation process initiated by the AE. Perform encryption and decryption.
  • the broadcast/multicast data sent by each STA is encrypted by the multicast encryption key MEK and the multicast integrity check key MCK derived from the multicast master key advertised by itself, and is used by the sender STA when receiving.
  • the multicast encryption key MEK and the multicast integrity check key MCK derived from the advertised multicast master key are decrypted, as shown in FIG. 3.
  • Establishing a security association based on a pre-shared key is similar to a certificate-based process, except that the pre-shared key is directly used as the base key BK.
  • two STAs must perform two authentication negotiations between the STAs before they can communicate. For example, when there are two STAs, two authentication negotiation processes are required. When there are three STAs, six authentication negotiation processes are required. When there are N STAs, N*(N-1) authentication negotiation processes are required. When there are multiple STAs in a group network, the time taken for network establishment is very large.
  • the technical problem to be solved by the present invention is to provide a method for establishing a security association between WAPI sites in an ad hoc network, which simplifies the authentication negotiation process and reduces the multicast key notification time.
  • the present invention provides a method for establishing a security association between WAPI sites under an ad hoc network, including:
  • one station STA1 is used as the authentication requester entity, and the other station STA2 is used as the discriminator entity, and the station STA2 as the discriminator entity.
  • the authentication negotiation is initiated to the STA1 as the authentication requester entity.
  • the two parties perform the multicast key negotiation.
  • the security association is established. .
  • the site of the ad hoc network is added to the site of the ad hoc network as the discriminator entity.
  • the multicast key negotiation process includes:
  • the STA2 sends a multicast key advertisement packet to the STA1 to start the multicast key negotiation process; the STA1 verifies the multicast key advertisement packet, and after the verification succeeds, the STA1 returns a multicast key response packet to the STA2;
  • the STA2 verifies the multicast key response packet to complete the multicast key advertisement of the STA2, and determines whether the multicast key advertisement of the STA2 is successful, and determines the multicast of the STA2. After the key advertisement is successful, STA2 returns a multicast key confirmation packet to STA1;
  • the STA1 verifies the multicast key acknowledgment packet to complete the multicast key advertisement of the STA1, and determines whether the multicast key advertisement of the STA1 is successful, and determines the multicast key advertisement of the STA1. After the success, the multicast key negotiation process between the STA1 and the STA2 ends.
  • the multicast key advertisement packet includes an identifier, a multicast session key index, a unicast session key index, an address index, a data sequence number, a key advertisement identifier, a key data, and a message authentication code;
  • the STA1 verifies the multicast key advertisement packet, that is, the STA1 detects whether the message authentication code is correct and the key advertisement identifier is monotonously incremented. If the message authentication code is correct and the key advertisement identifier is monotonically increasing, the verification is performed. Succeeded, if the message authentication code is incorrect, or the message authentication code is correct but the key notification identifier is not monotonically increasing, the verification fails, and the multicast key advertisement packet is discarded.
  • the STA1 calculates the multicast session key of the STA2 according to the advertised master key in the key data, and installs the multicast session key of the STA2 by using a primitive, and invokes a primitive to enable The receiving function of the multicast session key of the STA2.
  • the multicast key response packet includes an identifier, a multicast session key index, a unicast session key index, an address index, a data sequence number, a key notification identifier, a key data, and a message authentication.
  • the address index field is consistent with the address index field in the multicast key advertisement packet; the multicast session key index field includes not only the multicast session key index of STA2, but also the multicast session key index of STA1.
  • the unicast session key index field includes not only the unicast session key index of STA2, but also the unicast session key index of STA1.
  • the key advertisement identifier field includes not only the key advertisement identifier of STA2 but also the key advertisement of STA1. logo.
  • the STA2 performing the verification of the multicast key response packet means: the STA2 detects whether the message authentication code is correct, and compares the multicast session key index of STA2 in the multicast key response packet, The unicast session key index, the address index, and the key advertisement identifier are the same as the corresponding field values in the multicast key advertisement packet. If the message authentication code is correct and the corresponding field values are the same, the STA2 multicast secret is Key notification success;
  • the STA2 uses a primitive to enable a sending function of the STA2 multicast session key
  • the STA2 calculates a multicast session key of the STA1 according to the advertised master key in the key data in the multicast key response packet, and installs the multicast session key of the STA1 by using a primitive, and The primitive is invoked to enable the receiving function of the multicast session key of the STA1.
  • the multicast key confirmation packet includes an identifier, a multicast session key index, a unicast session key index, an address index, a key advertisement identifier, and a message authentication code; the address index field and the multicast key The address index fields in the advertisement packet and the multicast key response packet are consistent;
  • the multicast session key index is the multicast session key index of the STA1
  • the unicast session key index is the unicast session key index of the STA1
  • the key advertisement identifier is the key advertisement identifier of the station that is the STA1.
  • the STA1 uses a primitive to enable a sending function of the multicast session key of the STA1. Further, before the STA2 initiates the authentication negotiation to the STA1, it is determined whether the ad hoc network is in the pre-shared key mode or the certificate mode. If the certificate mode is in the certificate mode, the STA2 sends the authentication activation packet to the STA1 to start the certificate authentication process, and the certificate is authenticated. After the process is successfully completed, STA2 and STA1 perform unicast key negotiation. If it is in the pre-shared key mode, STA2 sends a unicast key request packet to STA1, and the two parties directly perform unicast key negotiation.
  • the present invention provides a method for establishing a security association between WAPI sites in an ad hoc network, which reduces the number of two authentication negotiation processes between two STAs to one, and reduces the total number of authentication consultations to the original one.
  • the multicast key notification process is optimized at the same time, and the multicast key notification time is reduced.
  • Figure 1 is a schematic diagram of an existing basic service set
  • IBSS independent basic service set
  • FIG. 4 is a flow chart of the inter-STA multicast key advertisement process in the IBSS mode of the present invention.
  • the STA that joins the ad hoc network can be used as the ASUE, and the STA that joins the network is selected as the AE to initiate the authentication activation process, so that the STAs are The two certification negotiation processes were reduced to one.
  • Simultaneous in group The broadcast key response packet is advertised as the multicast session key of the ASUE terminal, and the group key advertisement process is optimized to reduce the multicast key advertisement time.
  • the specific implementation process is as follows:
  • Step 401 The STA1 starts, ignores the beacon of the AP, and detects whether there is a STA beacon in the IBSS mode. If the STA beacon is not found, the STA1 is the first STA in the network, and starts to send the beacon.
  • Step 402 STA2 starts, and detects that the STA1 beacon is synchronized with it.
  • Step 403 The STA2 determines whether the ad hoc network is in the pre-shared key mode or the certificate mode. If the certificate mode is in the certificate mode, the STA2 sends the authentication activation packet to the STA1 to start the certificate authentication process. After the certificate authentication process is successfully completed, STA2 and STA1 perform the process. Unicast key negotiation process. If it is in the pre-shared key mode, STA2 sends a unicast key request packet to STA1, and directly performs a unicast key negotiation process with STA1. In the unicast key negotiation process, STA1 and STA2 respectively derive key data such as respective unicast encryption key UEK, unicast integrity check key UCK, message authentication key MAK and key encryption key. .
  • the certificate authentication process and the unicast key negotiation process are the same as the unicast key negotiation process between the STA and the AP in the BSS network.
  • Step 405 a) After receiving the multicast key advertisement packet of the STA2, the STA1 detects whether the message authentication code is correct. If not, the STA discards the packet. If it is correct, it determines whether the value of the key advertisement identifier field is monotonically increasing. Monotonically incrementing step b), otherwise discarding the packet;
  • the method for detecting whether the message authentication code is correct is that STA1 uses the message authentication key identified by the USKID field to calculate a check value, and compares it with the message authentication code field value. If the same, the message authentication code is correct, otherwise it is incorrect.
  • STA1 decrypts the key data in the multicast key advertisement packet to obtain 16 octets NMK, and calculate STA2's multicast session key (including encryption key and integrity check key) according to the NMK.
  • the MSKID, the USKID, and the key advertisement identifier field not only include the MSKID of the STA1,
  • the USKID and the key advertisement identifier also include the MSKID, the USKID, and the key advertisement identifier of the STA2.
  • the STA1 uses the primitive to install the multicast session key of the STA2, and invokes the primitive to enable the multicast session key advertised according to the STA2. Receive function.
  • Step 406 After receiving the multicast key response packet, STA2 detects whether the message authentication code is correct. If not, the STA discards the packet. If it is correct, it determines whether the value of the key advertisement identifier field is monotonically increasing, if it is monotonically increasing. Then perform step b), otherwise discard the packet;
  • STA2 uses the primitive to enable the function of sending the advertised multicast session key.
  • STA2 decrypts the key data in the multicast key response packet to obtain the NMK of 16 octets, and calculates the multicast session key of STA1 (including the encryption key and the integrity check key according to the NMK). ), STA2 uses the primitive to install the multicast session key of STA1, and invokes the primitive to enable the root. According to the reception function of the multicast session key advertised by STA1.
  • STA2 constructs a multicast key acknowledgement packet to STA1 and opens the controlled port.
  • the multicast key acknowledgement packet includes: FLAG, MSKID, USKID, ADDID, key advertisement identifier, and message authentication code; wherein, the ADDID field is consistent with the ADDID field in the multicast key advertisement packet and the multicast key response packet;
  • the MSKID, USKID, and key advertisement identifier fields are the MSKID, USKID, and key advertisement identifier fields of STA1, and the message authentication code is newly calculated.
  • Step 407 After receiving the multicast key acknowledgement packet, the STA1 detects whether the message authentication code is correct, and if the packet is not correctly discarded, otherwise performs b;).
  • the method for detecting whether the message authentication code is correct is to use the message authentication key identified by the USKID field to calculate a check value, and compare it with the message authentication code field value. If the same, the message authentication code is correct, otherwise it is incorrect.
  • STA1 uses the primitive to enable the function of sending the multicast session key advertised, and opens the controlled port.
  • steps 402 to 407 are performed with STA1 and STA2 respectively to implement security association establishment.
  • the invention provides a method for establishing a security association between WAPI sites in an ad hoc network, which reduces the number of two authentication negotiation processes between two STAs to one, and reduces the total number of authentication consultations to half, and optimizes at the same time.
  • the multicast key advertisement process reduces the multicast key notification time.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Power Engineering (AREA)
  • Mobile Radio Communication Systems (AREA)
  • Small-Scale Networks (AREA)

Description

一种自组网络下 WAPI站点间安全关联的建立方法
技术领域
本发明涉及无线局域网通信领域， 具体涉及一种自组网络下 WAPI(WLAN Authentication and Privacy Infrastructure ,无线局域网鉴别与保密 基础结构)站点间安全关联的建立方法。
背景技术
目前无线网络安全主要釆用 IEEE制订的无线局域网标准（ IEEE 802.11 ) 的安全机制， 其釆用了 WEP(Wried Equivalent Privacy, 有线等效隐私）， 这种 机制已被广泛证明不具备等效有线的安全性， 给无线局域网带来了巨大的安 全隐患。 在这种情况下， 我国在 2003 年 5 月份提出了无线局域网国家标准 GB15629.i l , 引入一种全新的安全机制一 WAPI来实现无线局域网的安全， 并于 2006 年发布了改进版国家标准（GB15629.11-2003/XG1-2006 ) 。 它由 无线局域网鉴别基础结构 WAI(WLAN Authentication Infrastructure)和无线局 域网保密基础结构 WPI(WLAN Privacy Infrastructure)组成。 其中， WAI釆用 基于椭圓曲线的公钥证书体制， 无线客户端 STA和接入点 AP通过鉴别服务 器 AS进行双向身份鉴别， 而在对传输数据的保密方面， WPI釆用了国家商 用密码管理委员会办公室提供的对称密码算法 SMS4进行加密和解密， 来保 障数据传输的安全。
在 WAPI机制中， 一般有三个实体： 站点 STA、 无线访问点 AP及鉴别 服务器单元 ASU, 称为基本服务集（basic service set, BSS ) , 如图 1所示。 在 BSS中， ΑΡ负责服务集内所有站点 STA间的通信， 一个站点 STA若想和 另一站点 STA通信， 必须先与 ΑΡ建立安全关联， 才能安全传输数据。 安全 关联的建立分两部分： 一是身份证书鉴别产生基密钥， 二是基于基密钥的密 钥协商， 包括单播密钥协商及组播密钥通告。
然而， 无线网络中还存在一种特殊的基本服务集， 称为独立基本服务集 ( independent BSS, IBSS ) , 又称自组网络（ ad-hoc ) , 如图 2所示。 在 IBSS 中不存在 AP, 所有站点 STA都具有同等的地位， 站点间可以相互直接通信， 此时站点 STA既是 ASUE ( authentication supplicant entity,鉴别请求者实体）， 又是 AE uthenticator entity,鉴别器实体），还可能存在鉴别服务单元 ASU, 这和 BSS 不同， 为此其安全关联的建立也会和 BSS 有所不同。 根据 GB15629.11-2003/XG1-2006, 自组网模式中基于 WPAI的安全关联建立分为 两种情况： 基于预共享密钥和基于证书。 当两个 STA选择使用基于证书的鉴 别方法， 它们将各自发起证书鉴别过程， 建立两个独立的基密钥 BK, 然后进 行两次五步握手 （其中前三步握手完成单播密钥协商过程， 后两步握手完成 组播密钥通告过程）， 协商出两个独立的单播密钥， 并通告各自的组播密钥。 实际通信过程中， STA间的单播数据釆用 MAC地址较大的 STA作为 AE启 动的单播密钥协商过程所协商推导出的单播加密密钥 UEK、 单播完整性校验 密钥 UCK进行加解密。 每个 STA发送的广播 /组播数据釆用由自己通告的组 播主密钥导出的组播加密密钥 MEK、 组播完整性校验密钥 MCK进行加密， 接收时釆用由发送方 STA通告的组播主密钥所导出的组播加密密钥 MEK、 组播完整性校验密钥 MCK进行解密， 如图 3所示。 基于预共享密钥建立安 全关联与基于证书过程类似， 只不过直接使用预共享密钥作为基密钥 BK。
通过上述内容及图 3可知， 在现有标准下站点 STA两两之间必须进行两 次认证协商， 方能通信。 例如有两个 STA时需要进行 2次认证协商过程， 有 3个 STA时需要进行 6次认证协商过程， 有 N个 STA时需要进行 N*(N-1)次 认证协商过程， 因此当一个自组网络中有多个 STA时， 网络建立所花费的时 间是十分巨大的。
发明内容
本发明要解决的技术问题是提供一种自组网络下 WAPI站点间安全关联 的建立方法， 简化了认证协商过程， 并减少了组播密钥通告时间。
为了解决上述问题， 本发明提供了一种自组网络下 WAPI站点间安全关 联的建立方法， 包括：
自组网络下两个站点之间建立安全关联时， 将一站点 STA1作为鉴别请 求者实体， 另一站点 STA2作为鉴别器实体， 作为鉴别器实体的站点 STA2 向作为鉴别请求者实体的 STA1发起认证协商， 当完成单播密钥协商后双方 进行组播密钥协商， 在组播密钥协商过程中成功通告双方的组播会话密钥后 安全关联建立完成。
进一步地， 先加入自组网络的站点作为鉴别请求者实体， 后加入自组网 络的站点作为鉴别器实体。
进一步地， 所述组播密钥协商过程包括：
STA2向 STA1发送组播密钥通告分组开始组播密钥协商过程； 所述 STA1 对所述组播密钥通告分组进行验证， 验证成功后 STA1 向 STA2返回组播密钥响应分组；
所述 STA2对所述组播密钥响应分组进行验证， 以完成所述 STA2的组 播密钥通告，并判断所述 STA2的组播密钥通告是否成功，在判断所述当 STA2 的组播密钥通告成功后， STA2向 STA1返回组播密钥确认分组； 以及
所述 STA1验证所述组播密钥确认分组， 以完成所述 STA1 的组播密钥 通告，并判断所述 STA1的组播密钥通告是否成功，在判断所述 STA1的组播 密钥通告成功后， 所述 STA1与所述 STA2间的组播密钥协商过程结束。
进一步地， 所述组播密钥通告分组包括标识、 组播会话密钥索引、 单播 会话密钥索引、 地址索引、 数据序号、 密钥通告标识、 密钥数据及消息鉴别 码；
所述 STA1对所述组播密钥通告分组进行验证是指， 所述 STA1检测消 息鉴别码是否正确及密钥通告标识是否单调递增， 若消息鉴别码正确且密钥 通告标识单调递增， 则验证成功， 若所述消息鉴别码不正确， 或所述消息鉴 别码正确但所述密钥通告标识非单调递增， 则验证失败， 丟弃所述组播密钥 通告分组。
进一步地， 所述 STA1 根据所述密钥数据中的通告主密钥计算出所述 STA2的组播会话密钥， 并利用原语安装所述 STA2的组播会话密钥， 以及调 用原语启用所述 STA2的组播会话密钥的接收功能。
进一步地， 所述组播密钥响应分组包括标识、 组播会话密钥索引、 单播 会话密钥索引、 地址索引、 数据序号、 密钥通告标识、 密钥数据及消息鉴别 码； 所述地址索引字段与组播密钥通告分组中的地址索引字段一致； 组播会话密钥索引字段不仅包含 STA2 的组播会话密钥索引， 还包含 STA1的组播会话密钥索引，单播会话密钥索引字段不仅包含 STA2的单播会 话密钥索引， 还包含 STA1 的单播会话密钥索引， 密钥通告标识字段不仅包 括 STA2的密钥通告标识， 还包含 STA1的密钥通告标识。
进一步地， 所述 STA2对所述组播密钥响应分组进行验证是指： 所述 STA2检测消息鉴别码是否正确， 比较所述组播密钥响应分组中的 STA2的组播会话密钥索引、单播会话密钥索引、地址索引及密钥通告标识与 所述组播密钥通告分组中的相应字段值是否相同， 若消息鉴别码正确且各相 应字段值均相同， 则 STA2的组播密钥通告成功；
若消息鉴别码错误或各相应字段值部分或全部不同， 则 STA2的组播密 钥通告失败， 丟弃该组播密钥响应分组。
进一步地， 所述 STA2利用原语启用所述 STA2的组播会话密钥的发送 功能； 以及
所述 STA2根据所述组播密钥响应分组中密钥数据中的通告主密钥计算 出所述 STA1的组播会话密钥， 并利用原语安装所述 STA1的组播会话密钥， 以及调用原语启用所述 STA1的组播会话密钥的接收功能。
进一步地， 所述组播密钥确认分组包括标识、 组播会话密钥索引、 单播 会话密钥索引、 地址索引、 密钥通告标识及消息鉴别码； 所述地址索引字段 与组播密钥通告分组及组播密钥响应分组中的地址索引字段一致；
所述组播会话密钥索引为 STA1 的组播会话密钥索引、 单播会话密钥索 引为 STA1的单播会话密钥索引、密钥通告标识为作为 STA1的站点的密钥通 告标识。
进一步地， 所述 STA1验证所述组播密钥确认分组是指： 所述 STA1检 测消息鉴别码是否正确， 比较其中组播会话密钥索引、 单播会话密钥索引及 密钥通告标识与组播密钥响应分组中对应的 STA1 的组播会话密钥索引、 单 播会话密钥索引及密钥通告标识是否相同， 以及组播密钥确认分组中的地址 索引字段与组播密钥响应分组中的地址索引字段是否相同， 若消息鉴别码正 确且各相应字段均相同则 STA1 的组播密钥通告成功， 若消息鉴别码错误或 者各相应字段部分或全部不同， 则 STA1 的组播密钥通告失败， 丟弃该组播 密钥确认分组。
进一步地， 所述 STA1利用原语启用所述 STA1 的组播会话密钥的发送 功能。 进一步地， 所述 STA2向 STA1发起认证协商之前， 先判断该自组网络 是处于预共享密钥模式还是证书模式， 若处于证书模式， 则 STA2 向 STA1 发送鉴别激活分组启动证书鉴别过程， 证书鉴别过程成功结束后， STA2 和 STA1进行单播密钥协商； 若处于预共享密钥模式， STA2向 STA1发送单播 密钥请求分组， 双方直接进行单播密钥协商。
综上所述， 本发明提供了一种自组网络下 WAPI站点间安全关联的建立 方法， 使两个 STA间的两次认证协商过程减为 1次， 使总的认证协商次数减 为原来的一半， 同时优化了组播密钥通告过程， 减少组播密钥通告时间。
附图概述
图 1是现有基本服务集示意图；
图 2是现有独立基本服务集 IBSS示意图；
图 3是现有技术 IBSS模式下 STA间认证协商流程；
图 4是本发明 IBSS模式下 STA间组播密钥通告过程流程图。
本发明的较佳实施方式
本发明通过对现有自组网络模式下安全关联建立流程进行优化， 使两个 STA间的两次认证协商过程减为 1次，使总的认证协商次数减为原来的一半， 同时优化组播密钥通告过程， 减少组播密钥通告时间。
本实施例通过对现有自组网络模式下安全关联建立流程进行优化， 可以 将先加入自组网络的 STA作为 ASUE, 通过选择最后加入网络的 STA作为 AE, 发起鉴别激活过程， 使 STA间的两次认证协商过程减为 1次。 同时在组 播密钥响应分组中通告作为 ASUE的终端的组播会话密钥， 优化组密钥通告 过程， 减少组播密钥通告时间， 如图 4所示， 具体实施过程如下：
步骤 401 : STA1启动， 忽略 AP的信标， 探测是否存在处于 IBSS模式的 STA信标， 若没有发现 STA信标， 则 STA1为该网络下第一个 STA, 开始发 送信标。
步骤 402: STA2启动， 探测到 STA1信标与其同步。
步骤 403: STA2判断该自组网络处于预共享密钥模式还是证书模式， 若 处于证书模式，则 STA2作为 AE向 STA1发送鉴别激活分组启动证书鉴别过 程， 证书鉴别过程成功结束后， STA2和 STA1进行单播密钥协商过程。 若处 于预共享密钥模式， STA2向 STA1发送单播密钥请求分组， 和 STA1直接进 行单播密钥协商过程。 单播密钥协商过程中， STA1和 STA2分别推导出各自 的单播加密密钥 UEK、 单播完整性校验密钥 UCK等密钥数据， 消息鉴别密 钥 MAK及密钥加密密钥等数据。
该步骤中， 证书鉴别过程与单播密钥协商过程同 BSS网络下 STA与 AP 间的证书鉴别过程与单播密钥协商过程一致。
步骤 404: STA2作为 AE, 生成 16个八位位组的随机数作为 NMK (通 告主密钥）， 构造组播密钥通告分组发往 STA1 , 开始组播密钥通告过程。 组 播密钥通告分组格式包括以下内容： FLAG (标识） 、 MSKID (组播会话密 钥索引）、 USKID (单播会话密钥索引）、 ADDID (地址索引）、 数据序号、 密钥通告标识、 密钥数据、 消息鉴别码； 密钥数据的内容字段是 STA2利用 密钥加密密钥釆用协商选择的单播密码算法对 NMK加密后的密文。
步骤 405: a ) STA1收到 STA2的组播密钥通告分组后，检测消息鉴别码 是否正确， 若不正确则丟弃该分组， 若正确则判断密钥通告标识字段值是否 单调递增， 若为单调递增则执行步骤 b ) , 否则丟弃该分组；
检测消息鉴别码是否正确的方法为， STA1利用 USKID 字段标识的消息 鉴别密钥计算校验值， 与消息鉴别码字段值进行比较， 若相同则消息鉴别码 正确， 否则不正确。
b ) STA1对组播密钥通告分组中的密钥数据解密得到 16 个八位位组的 NMK, 并根据该 NMK计算 STA2的组播会话密钥 （包括加密密钥与完整性 校验密钥） 。
c )完成上述操作后， STA1计算自己的通告主密钥 NMK, 构造组播密钥 响应分组发往 STA2,组播密钥响应分组数据字段格式与组播密钥通告分组类 似， 即包括以下内容： FLAG (标识）、 MSKID (组播会话密钥索引）、 USKID (单播会话密钥索引） 、 ADDID (地址索引） 、 数据序号、 密钥通告标识、 密钥数据、 消息鉴别码； 密钥数据的内容字段是 STA1 利用密钥加密密钥釆 用协商选择的单播密码算法对 NMK加密后的密文。其中的 ADDID与组播密 钥通告分组中的 ADDID—致。
其中， MSKID、 USKID及密钥通告标识字段不仅包含 STAl的 MSKID、
USKID与密钥通告标识， 还包含 STA2的 MSKID、 USKID与密钥通告标识； 同时， STA1利用原语安装 STA2的组播会话密钥， 并调用原语启用根据 STA2通告的组播会话密钥的接收功能。
步骤 406: a) STA2收到组播密钥响应分组后，检测消息鉴别码是否正确， 若不正确则丟弃该分组， 若正确则判断密钥通告标识字段值是否单调递增， 若为单调递增则执行步骤 b ) , 否则丟弃该分组；
检测消息鉴别码是否正确的方法为， STA2利用 STA1的 USKID 字段标 识的消息鉴别密钥计算校验值， 与消息鉴别码字段值进行比较， 若相同则消 息鉴别码正确， 否则不正确。
b) 比较组播密钥响应分组中的 STA2的 MSKID字段、 STA2的 USKID 字段、 ADDID字段及 STA2密钥通告标识字段是否与 STA2发送的组播密钥 通告分组中的相应字段值相同， 若均相同， 则 STA2的组播密钥通告成功； 若部分或全部不同， 则丟弃该分组。
c ) STA2的组播密钥通告成功后， STA2利用原语启用其通告的组播会话 密钥的发送功能。
d ) STA2对组播密钥响应分组中的密钥数据解密得到 16 个八位位组的 NMK, 并根据该 NMK计算 STA1的组播会话密钥 （包括加密密钥与完整性 校验密钥）， STA2利用原语安装 STA1的组播会话密钥， 并调用原语启用根 据 STA1通告的组播会话密钥的接收功能。
e ) STA2构造组播密钥确认分组发往 STA1 , 并打开受控端口。 此组播密 钥确认分组包括： FLAG、 MSKID、 USKID、 ADDID、 密钥通告标识、 消息 鉴别码； 其中， ADDID 字段与组播密钥通告分组及组播密钥响应分组中的 ADDID字段一致； MSKID、USKID及密钥通告标识字段均为 STA1的 MSKID、 USKID及密钥通告标识字段， 消息鉴别码是新计算的。
步骤 407: a) STA1收到组播密钥确认分组后，检测消息鉴别码是否正确， 若不正确丟弃该分组， 否则执行 b；)。
检测消息鉴别码是否正确的方法为，利用 USKID字段标识的消息鉴别密 钥计算校验值， 与消息鉴别码字段值进行比较， 若相同则消息鉴别码正确， 否则不正确。
b) STA1比较组播密钥确认分组中的 MSKID字段、 USKID字段及 STA1 密钥通告标识字段， 与发送的组播密钥响应分组中的相应 STA1 的字段值是 否相同， 以及 ADDID字段与组播密钥响应分组中的 ADDID字段是否相同， 若均相同， 则 STA1 的组播密钥通告成功； 若部分或全部不同， 则丟弃该分 组。
c) STA1的组播密钥通告成功后， STA1利用原语启用其通告的组播会话 密钥的发送功能， 并打开受控端口。
之后若有其他 STA加入网络， 则分别与 STA1和 STA2进行步骤 402至 步骤 407的过程实现安全关联建立。
工业实用性
本发明提供了一种自组网络下 WAPI站点间安全关联的建立方法， 使两 个 STA间的两次认证协商过程减为 1次， 使总的认证协商次数减为原来的一 半， 同时优化了组播密钥通告过程， 减少组播密钥通告时间。

Claims

权 利 要 求 书
1、 一种自组网络下 WAPI站点间安全关联的建立方法， 包括：
自组网络下两个站点之间建立安全关联时， 将一站点 STA1作为鉴别请 求者实体， 另一站点 STA2作为鉴别器实体， 作为鉴别器实体的站点 STA2 向作为鉴别请求者实体的 STA1发起认证协商， 当完成单播密钥协商后双方 进行组播密钥协商， 在所述组播密钥协商过程中成功通告双方的组播会话密 钥后安全关联建立完成。
2、 如权利要求 1所述的方法， 其中，
所述 STA1为先加入所述自组网络的站点， 所述 STA2为后加入所述自 组网络的站点。
3、 如权利要求 1所述的方法， 其中，
所述组播密钥协商过程包括步骤：
所述 STA2向所述 STA1发送组播密钥通告分组， 以开始组播密钥协商 过程；
所述 STA1 对所述组播密钥通告分组进行验证， 验证成功后所述 STA1 向所述 STA2返回组播密钥响应分组；
所述 STA2对所述组播密钥响应分组进行验证， 以完成所述 STA2的组 播密钥通告， 并判断所述 STA2的组播密钥通告是否成功， 在判断所述 STA2 的组播密钥通告成功后，所述 STA2向所述 STA1返回组播密钥确认分组； 以 及
所述 STA1验证所述组播密钥确认分组， 以完成所述 STA1 的组播密钥 通告，并判断所述 STA1的组播密钥通告是否成功，在判断所述 STA1的组播 密钥通告成功后， 所述 STA1与所述 STA2间的组播密钥协商过程结束。
4、 如权利要求 3所述的方法， 其中，
所述组播密钥通告分组包括标识、 组播会话密钥索引、 单播会话密钥索 引、 地址索引、 数据序号、 密钥通告标识、 密钥数据及消息鉴别码；
所述 STA1 对所述组播密钥通告分组进行验证的所述步骤包括： 所述 STAl检测所述消息鉴别码是否正确及所述密钥通告标识是否单调递增，若所 述消息鉴别码正确且所述密钥通告标识单调递增， 则验证成功， 若所述消息 鉴别码不正确， 或所述消息鉴别码正确但所述密钥通告标识非单调递增， 则 验证失败， 丟弃所述组播密钥通告分组。
5、 如权利要求 4所述的方法， 其中，
在所述 STA1对所述组播密钥通告分组进行验证的所述步骤之后， 所述 方法还包括：
所述 STA1根据所述密钥数据中的通告主密钥计算出所述 STA2的组播 会话密钥， 并利用原语安装所述 STA2的组播会话密钥， 以及调用原语启用 所述 STA2的组播会话密钥的接收功能。
6、 如权利要求 3所述的方法， 其中，
所述组播密钥响应分组包括标识、 组播会话密钥索引、 单播会话密钥索 引、 地址索引、 数据序号、 密钥通告标识、 密钥数据及消息鉴别码； 所述地 址索引与组播密钥通告分组中的地址索引一致； 所述组播会话密钥索引不仅包含所述 STA2的组播会话密钥索引， 还包 含所述 STA1 的组播会话密钥索引， 所述单播会话密钥索引不仅包含所述 STA2的单播会话密钥索引， 还包含所述 STA1的单播会话密钥索引， 所述密 钥通告标识不仅包括 STA2的密钥通告标识， 还包含 STA1的密钥通告标识。
7、 如权利要求 6所述的方法， 其中，
所述 STA2对所述组播密钥响应分组进行验证的所述步骤包括： 所述 STA2检测所述消息鉴别码是否正确， 比较所述组播密钥响应分组 中的 STA2的组播会话密钥索引、 单播会话密钥索引、 地址索引及密钥通告 标识与所述组播密钥通告分组中的相应字段值是否相同， 若所述消息鉴别码 正确且所述相应字段值均相同， 则所述 STA2的组播密钥通告成功；
若所述消息鉴别码错误或所述相应字段值中的部分字段值或全部不同， 则所述 STA2的组播密钥通告失败， 丟弃所述组播密钥响应分组。
8、 如权利要求 7所述的方法， 其中，
在判断所述 STA2的组播密钥通告成功的所述步骤之后， 所述方法还包 括：
所述 STA2利用原语启用所述 STA2的组播会话密钥的发送功能； 以及 所述 STA2根据所述组播密钥响应分组中密钥数据中的通告主密钥计算 出所述 STA1的组播会话密钥， 并利用原语安装所述 STA1的组播会话密钥， 以及调用原语启用所述 STA1的组播会话密钥的接收功能。
9、 如权利要求 3所述的方法， 其中，
所述组播密钥确认分组包括标识、 组播会话密钥索引、 单播会话密钥索 引、 地址索引、 密钥通告标识及消息鉴别码； 所述地址索引字段与组播密钥 通告分组及组播密钥响应分组中的地址索引一致；
所述组播会话密钥索引为所述 STA1 的组播会话密钥索引、 所述单播会 话密钥索引为所述 STA1 的单播会话密钥索引、 所述密钥通告标识为所述 STA1的密钥通告标识。
10、 如权利要求 9所述的方法， 所述 STA1验证所述组播密钥确认分组 的所述步骤包括：
所述 STA1检测所述消息鉴别码是否正确， 比较所述组播密钥确认分组 中的组播会话密钥索引、 单播会话密钥索引及密钥通告标识与所述组播密钥 响应分组中对应的所述 STA1 的组播会话密钥索引、 单播会话密钥索引及密 钥通告标识是否相同， 以及所述组播密钥确认分组中的地址索引字段与所述 组播密钥响应分组中的地址索引字段是否相同， 若所述消息鉴别码正确且所 述比较的结果均为相同， 则所述 STA1 的组播密钥通告成功， 若所述消息鉴 别码错误或者所述比较的结果部分不同或全部不同， 则所述 STA1 的组播密 钥通告失败， 丟弃所述组播密钥确认分组。
11、 如权利要求 10所述的方法， 其中，
在所述 STA1的组播密钥通告成功的所述步骤之后， 所述方法还包括： 所述 STA1利用原语启用所述 STA1的组播会话密钥的发送功能。
12、 如权利要求 1所述的方法， 其中， 断所述自组网络是处于预共享密钥模式还是证书模式， 若处于证书模式， 则 所述 STA2向所述 STA1发送鉴别激活分组启动证书鉴别过程，鉴别所述激活 分组启动证书的鉴别过程成功结束后， 所述 STA2和 STA1进行单播密钥协 商；若处于预共享密钥模式，所述 STA2向所述 STA1发送单播密钥请求分组， 所述 STA2与所述 STA1直接进行单播密钥协商。
PCT/CN2009/074155 2009-04-21 2009-09-23 一种自组网络下wapi站点间安全关联的建立方法 WO2010121462A1 (zh)

Priority Applications (2)

Application Number Priority Date Filing Date Title
US13/259,904 US20120017080A1 (en) 2009-04-21 2009-09-23 Method for establishing safe association among wapi stations in ad-hoc network
EP09843566.2A EP2424184A4 (en) 2009-04-21 2009-09-23 Method for establishing safe association among wapi stations in ad-hoc network

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN200910135528.9 2009-04-21
CN2009101355289A CN101540671B (zh) 2009-04-21 2009-04-21 一种自组网络下wapi站点间安全关联的建立方法

Publications (1)

Publication Number Publication Date
WO2010121462A1 true WO2010121462A1 (zh) 2010-10-28

Family

ID=41123677

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2009/074155 WO2010121462A1 (zh) 2009-04-21 2009-09-23 一种自组网络下wapi站点间安全关联的建立方法

Country Status (4)

Country Link
US (1) US20120017080A1 (zh)
EP (1) EP2424184A4 (zh)
CN (1) CN101540671B (zh)
WO (1) WO2010121462A1 (zh)

Families Citing this family (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101800943B (zh) * 2010-03-31 2012-03-07 西安西电捷通无线网络通信股份有限公司 一种适合组呼系统的组播密钥协商方法及系统
CN101964708B (zh) * 2010-10-25 2013-01-16 西安西电捷通无线网络通信股份有限公司 一种节点间会话密钥的建立系统及方法
CN102647802A (zh) * 2012-03-28 2012-08-22 青岛海信移动通信技术股份有限公司 一种无线数据共享的方法及实现共享的终端
CN103368738B (zh) * 2012-04-11 2017-02-15 华为技术有限公司 一种安全身份发现及通信方法
US9609512B2 (en) * 2014-10-09 2017-03-28 Userstar Information System Co., Ltd. Wireless authentication system and wireless authentication method
DE102015219992A1 (de) * 2015-10-15 2017-04-20 Robert Bosch Gmbh Verfahren und Vorrichtung zum Verifizieren eines Gruppenschlüssels
US10476850B2 (en) * 2017-07-19 2019-11-12 Nicira, Inc. Supporting unknown unicast traffic using policy-based encryption virtualized networks

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
GB1562911A (en) 1976-09-17 1980-03-19 Girling Ltd Hydraulically operated disc brakes for vehicles
CN1564514A (zh) * 2004-03-26 2005-01-12 中兴通讯股份有限公司 无线局域网自组网模式共享密钥认证和会话密钥协商方法
CN1564509A (zh) * 2004-03-23 2005-01-12 中兴通讯股份有限公司 一种无线局域网中密钥协商方法
CN101521884A (zh) * 2009-03-25 2009-09-02 刘建 一种自组网模式下安全关联建立方法及终端
CN101527907A (zh) * 2009-03-31 2009-09-09 刘建 无线局域网接入认证方法及无线局域网系统

Family Cites Families (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2004266342A (ja) * 2003-02-03 2004-09-24 Sony Corp 無線アドホック通信システム、端末、その端末における復号方法、暗号化方法及びブロードキャスト暗号鍵配布方法並びにそれらの方法を端末に実行させるためのプログラム
WO2005086412A1 (en) * 2004-03-05 2005-09-15 Electronics And Telecommunications Research Institute Method for managing traffic encryption key in wireless portable internet system and protocol configuration method thereof, and operation method of traffic encryption key state machine in subscriber station
CN100534037C (zh) * 2007-10-30 2009-08-26 西安西电捷通无线网络通信有限公司 一种适用于ibss网络的接入认证方法

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
GB1562911A (en) 1976-09-17 1980-03-19 Girling Ltd Hydraulically operated disc brakes for vehicles
CN1564509A (zh) * 2004-03-23 2005-01-12 中兴通讯股份有限公司 一种无线局域网中密钥协商方法
CN1564514A (zh) * 2004-03-26 2005-01-12 中兴通讯股份有限公司 无线局域网自组网模式共享密钥认证和会话密钥协商方法
CN101521884A (zh) * 2009-03-25 2009-09-02 刘建 一种自组网模式下安全关联建立方法及终端
CN101527907A (zh) * 2009-03-31 2009-09-09 刘建 无线局域网接入认证方法及无线局域网系统

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
See also references of EP2424184A4 *

Also Published As

Publication number Publication date
CN101540671A (zh) 2009-09-23
US20120017080A1 (en) 2012-01-19
EP2424184A4 (en) 2017-11-29
EP2424184A1 (en) 2012-02-29
CN101540671B (zh) 2011-05-25

Similar Documents

Publication Publication Date Title
US8533461B2 (en) Wireless local area network terminal pre-authentication method and wireless local area network system
CN108650227B (zh) 基于数据报安全传输协议的握手方法及系统
US7461253B2 (en) Method and apparatus for providing a key for secure communications
JP4286224B2 (ja) 無線ローカルエリアネットワーク（ｗｌａｎ）に用いられる安全な機密通信のための方法
US7676676B2 (en) Method and apparatus for performing mutual authentication within a network
US8881305B2 (en) Methods and apparatus for maintaining secure connections in a wireless communication network
US20100211790A1 (en) Authentication
JP2010503330A (ja) アドホック無線ネットワークのノード間においてセキュリティ・アソシエーションを確立するための方法及び装置
US7421582B2 (en) Method and apparatus for mutual authentication at handoff in a mobile wireless communication network
WO2010108347A1 (zh) 一种数字证书的更新和使用方法及系统
WO2016101494A1 (zh) 一种无线智能接入方法
WO2010020186A1 (zh) 基于单播会话密钥的组播密钥分发方法、更新方法及基站
WO2010121462A1 (zh) 一种自组网络下wapi站点间安全关联的建立方法
WO2010012203A1 (zh) 鉴权方法、重认证方法和通信装置
WO2009097789A1 (zh) 建立安全关联的方法和通信系统
WO2010139163A1 (zh) 一种实时数据业务的实现方法和实时数据业务系统
WO2012019466A1 (zh) 邻居用户终端间保密通信方法、终端、交换设备及系统
WO2012075825A1 (zh) 无线局域网中端站的安全配置方法、ap、sta、as及系统
WO2011015060A1 (zh) 一种可扩展的鉴权协议认证方法、基站及鉴权服务器
WO2010020190A1 (zh) 一种增强广播或组播系统安全性的方法
CN101527907A (zh) 无线局域网接入认证方法及无线局域网系统
CN112399407A (zh) 一种基于dh棘轮算法的5g网络认证方法及系统
CN112822018B (zh) 一种基于双线性对的移动设备安全认证方法及系统
WO2012113225A1 (zh) 安全访问wapi网络的方法、装置及系统
CA2708898C (en) Methods and apparatus for maintaining secure connections in a wireless communication network

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 09843566

Country of ref document: EP

Kind code of ref document: A1

WWE Wipo information: entry into national phase

Ref document number: 13259904

Country of ref document: US

NENP Non-entry into the national phase

Ref country code: DE

WWE Wipo information: entry into national phase

Ref document number: 2009843566

Country of ref document: EP