WO2012075825A1 - 无线局域网中端站的安全配置方法、ap、sta、as及系统 - Google Patents

无线局域网中端站的安全配置方法、ap、sta、as及系统 Download PDF

Info

Publication number
WO2012075825A1
WO2012075825A1 PCT/CN2011/078158 CN2011078158W WO2012075825A1 WO 2012075825 A1 WO2012075825 A1 WO 2012075825A1 CN 2011078158 W CN2011078158 W CN 2011078158W WO 2012075825 A1 WO2012075825 A1 WO 2012075825A1
Authority
WO
WIPO (PCT)
Prior art keywords
end station
station sta
certificate
access point
key
Prior art date
Application number
PCT/CN2011/078158
Other languages
English (en)
French (fr)
Inventor
胡亚楠
铁满霞
黄振海
杜志强
张变玲
Original Assignee
西安西电捷通无线网络通信股份有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 西安西电捷通无线网络通信股份有限公司 filed Critical 西安西电捷通无线网络通信股份有限公司
Publication of WO2012075825A1 publication Critical patent/WO2012075825A1/zh

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
    • H04W12/043—Key management, e.g. using generic bootstrapping architecture [GBA] using a trusted network node as an anchor
    • H04W12/0431—Key distribution or pre-distribution; Key agreement
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H04W12/069—Authentication using certificates or pre-shared keys
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/10—Integrity
    • H04W12/106—Packet or message integrity
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W24/00—Supervisory, monitoring or testing arrangements
    • H04W24/02—Arrangements for optimising operational condition
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W84/00—Network topologies
    • H04W84/02—Hierarchically pre-organised networks, e.g. paging networks, cellular networks, WLAN [Wireless Local Area Network] or WLL [Wireless Local Loop]
    • H04W84/10—Small scale networks; Flat hierarchical networks
    • H04W84/12—WLAN [Wireless Local Area Networks]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W88/00—Devices specially adapted for wireless communication networks, e.g. terminals, base stations or access point devices
    • H04W88/08—Access point devices

Definitions

  • the invention belongs to the field of network security, and relates to a wireless local area network security configuration method and system, in particular to a security configuration method suitable for a wireless local area network identification and a network local end station in a national wireless local area network standard GB15629.il. And system. ⁇
  • WAPI the WLAN authentication and privacy infrastructure
  • WAPI is a wireless LAN security solution proposed in the IEEE 802.11 standard for wireless security in the IEEE 802.11 standard. Its main feature is that it can adopt the public key cryptosystem-based certificate scheme and pre-shared key scheme, and realize the end station (Station, STA) and the access point (Access Point, AP) by using the Authentication Server (AS).
  • AS Authentication Server
  • the two-way authentication between the STA and the AP requires the AS to manually configure the certificate that can identify itself and the corresponding private key before implementing the authentication process using the certificate scheme based on the public key cryptosystem.
  • WAPI is a brand new wireless LAN security system, a brand new technology standard with complete independent intellectual property rights in China.
  • the STA joins the wireless LAN composed of the AP and the AS
  • the default STA has been successfully configured for the certificate and the corresponding private key in the WAPI mechanism, but how to configure the STA
  • the certificate and corresponding private key method in the WAPI mechanism are not within the design scope of the WAPI mechanism. Whether the configuration process of the STA certificate and the corresponding private key is secure will affect whether the WAPI mechanism can be effectively performed.
  • the technical solution of the present invention is:
  • the present invention provides a security configuration method for an end station in a wireless local area network, and the method includes the following steps:
  • the access point AP uses the authentication server AS to configure the certificate and the corresponding private key used by the end station STA in the WAPI mechanism of the WLAN authentication and privacy infrastructure, and the authentication server AS authenticates the validity of the access point AP certificate;
  • the server AS and the end station STA have a shared password, the password is configured by the STA at the factory or randomly generated by the end station STA, and the authentication server AS knows the password;
  • the access point AP sends a configuration activation packet to the end station STA, where the configuration activation packet includes: an access point AP random number, an access point AP key data;
  • the end station STA After receiving the configuration activation packet from step 2), the end station STA sends a configuration request packet to the access point AP, where the configuration request packet includes: an end station STA universal unique identification code, an end station STA random number, Access point AP random number, end station STA key data, end station STA capability information, message authentication code, and message integrity check value; 4) After the access point AP receives the configuration request packet from step 3), the construction end station STA certificate configuration request packet is sent to the authentication server AS, and the end station STA certificate configuration request packet includes: Code, end station STA random number, access point AP random number, access point AP certificate, access point STA capability information, message authentication code, and access point AP signature;
  • the construction end station STA certificate configuration response packet is sent to the access point AP, and the end station STA certificate configuration response packet includes: Certificate and corresponding private key ciphertext, authentication server AS certificate, message authentication code and authentication server AS signature;
  • the configuration configuration response packet is sent to the end station STA, and the configuration response packet includes: end station STA random number, message integrity check Value and step 5) the content of the end station STA certificate and the corresponding private key ciphertext, the authentication server AS certificate, and the message authentication code in the mid-station STA certificate configuration response packet;
  • the end station STA processes the configuration response packet sent by the step 6) and obtains the end station STA certificate and the corresponding private key information distributed by the authentication server AS.
  • An access point AP is also provided, including:
  • a configuration unit configured to configure, by using the authentication server AS, a certificate and a corresponding private key used by the end station STA in the WAPI mechanism of the wireless local area network authentication and security infrastructure; and is further configured to cooperate with the authentication server AS to perform validity on the access point AP certificate Identification
  • a first sending unit configured to send a configuration activation packet to the end station STA, where the configuration activation packet includes: an access point AP random number, and an access point AP key data;
  • a first receiving unit configured to receive a configuration request packet sent by the end station STA, where the configuration request packet is configured by the end station STA after receiving the configuration activation packet, where the configuration request packet includes: Code, end station STA random number, access point AP random number, end station STA key data, end station STA capability information, message authentication code, and message integrity check value;
  • a second sending unit configured to send the end station STA certificate configuration request packet to the authentication server AS after receiving the configuration request packet, where the end station STA certificate configuration request packet includes: the end station STA universal unique identifier, the end station STA random number, access point AP random number, access point AP certificate, access point STA capability information, message authentication code, and access point AP signature;
  • a second receiving unit configured to receive an end station STA certificate configuration response packet sent by the authentication server AS, where the end station STA certificate configuration response packet is configured by the authentication server AS after receiving the end station STA certificate configuration request packet.
  • the end station STA certificate configuration response packet includes: an end station STA certificate and a corresponding private key ciphertext, an authentication server AS certificate, a message authentication code, and an authentication server AS signature; and a third sending unit, configured to receive the end station STA certificate configuration response After the grouping, the configuration response response packet is sent to the end station STA, where the configuration response packet includes: the end station STA random number, the message integrity check value, and the end station STA certificate and the corresponding private key secret in the end station STA certificate configuration response packet. And identifying the content of the server AS certificate and the message authentication code, so that the end station STA processes the configuration response packet to obtain the end station STA certificate and the corresponding private key information distributed by the authentication server AS.
  • An end station STA is also provided, including:
  • a storage unit configured to store a shared password between the authentication server AS and the end station STA, where the password is configured by the STA at the factory or randomly generated by the end station STA, and the authentication server AS knows Know the password;
  • a third receiving unit configured to receive a configuration activation packet sent by the access point AP, where the configuration activation packet includes: an access point AP random number, and an access point AP key data;
  • a fourth sending unit configured to send, by the third receiving unit, the configuration request packet to the access point AP, where the configuration request packet includes: the end station STA universal unique identifier, and the end station STA random number Access point AP random number, end station STA key data, end station STA capability information, message authentication code, and message integrity check value;
  • a fourth receiving unit configured to receive a configuration response packet sent by the access point AP, where the configuration response packet is sent after the access point AP receives the configuration request packet, where the configuration response packet includes: Number, message integrity check value, and step 5) the content of the end station STA certificate and the corresponding private key ciphertext, the authentication server AS certificate, and the message authentication code in the mid-station STA certificate configuration response packet;
  • the processing unit is configured to process the configuration response packet received by the fourth receiving unit, and obtain the end station STA certificate and the corresponding private key information distributed by the authentication server AS.
  • An authentication server AS is also provided, including:
  • the configuration identifying unit is configured to cooperate with the access point AP to configure a certificate and a corresponding private key used by the end station STA in the WAPI mechanism of the wireless local area network authentication and security infrastructure; and is further configured to identify the validity of the access point AP certificate;
  • a fifth receiving unit configured to receive an end station STA certificate configuration request packet sent by the access point AP;
  • the end station STA certificate configuration request packet includes: an end station STA universal unique identifier, an end station STA random number, and an access Point AP random number, access point AP certificate, access point STA capability information, message authentication code, and access point AP signature;
  • a fifth sending unit configured to send the end station STA certificate configuration response packet to the access point AP after receiving the end station STA certificate configuration request packet, where the end station STA certificate configuration response packet includes: Station STA certificate and corresponding private key ciphertext, authentication server AS certificate, message authentication code and authentication server AS signature.
  • a security configuration system for an end station in a wireless local area network including: an end station STA, an access point AP, and an authentication server AS;
  • Access point AP is used to:
  • the authentication server AS uses the authentication server AS to configure the WLAN authentication and privacy infrastructure.
  • the configuration activation packet includes: an access point AP random number, an access point AP key data;
  • the construction end station STA certificate configuration request packet is sent to the authentication server AS, where the end station STA certificate configuration request packet includes: the end station STA universal unique identification code, the end station STA random number, and the access point AP random Number, access point AP certificate, access point STA capability information, message authentication code, and access point AP signature;
  • the configuration configuration response packet After receiving the end station STA certificate configuration response packet, the configuration configuration response packet is sent to the end station STA, where the configuration response packet includes: end station STA random number, message integrity check value, and end station STA certificate configuration response packet end Station STA certificate and corresponding private key ciphertext, authentication server AS certificate, and The content of the message authentication code, so that the end station STA processes the configuration response packet to obtain the end station STA certificate and the corresponding private key information distributed by the authentication server AS;
  • the authentication server AS is used to:
  • the end station STA certificate configuration response packet is sent to the access point AP, and the end station STA certificate configuration response packet includes: the end station STA certificate and the corresponding private key ciphertext, the authentication server AS certificate, and the message authentication code. And the authentication server AS signature; the end station STA is used to:
  • the password is configured by the STA at the factory or randomly generated by the end station STA, and the authentication server AS knows the password; receiving the configuration sent by the access point AP After the activation packet is configured, the configuration request packet is sent to the access point AP, where the configuration request packet includes: an end station STA universal unique identification code, an end station STA random number, an access point AP random number, an end station STA key data, and an end station. Station STA capability information, message authentication code, and message integrity check value;
  • the STA in the WAPI mechanism implements and configures the STA certificate and the corresponding private key to the AS in a secure and convenient manner;
  • the present invention provides a method and system for the STA to implement security configuration in the wireless local area network.
  • FIG. 1 is a schematic diagram of a process framework of a security configuration method for an end station STA according to the present invention
  • FIG. 2 is a schematic structural diagram of an AP according to the present invention
  • FIG. 3 is a schematic structural view of another AP according to the present invention.
  • FIG. 4 is a schematic structural view of a STA according to the present invention.
  • FIG. 5 is a schematic structural diagram of another STA according to the present invention.
  • FIG. 6 is a schematic structural view of an AS according to the present invention.
  • Figure 7 is a schematic view showing the structure of another AS of the present invention.
  • the present invention provides a security configuration method for an end station in a wireless local area network, and the method includes the following steps:
  • the AP successfully configures the certificate used by the STA in the WAPI mechanism and the corresponding private key.
  • the AS can authenticate the validity of the AP certificate.
  • the AS and the STA have a shared password.
  • the password can be the STA. Configured at the time or randomly generated by the STA, and the AS knows the password; 2)
  • the AP locally generates a temporary private key X and AP key data ⁇ P for Elliptic Curve Diffie-Hellman (ECDH) exchange, and then constructs a configuration activation packet.
  • ECDH Elliptic Curve Diffie-Hellman
  • the AP sends a configuration activation packet to the STA, where the packet includes: a version number (Version), a message type (MessageType), an AP universal unique identifier (UUID-AP), an AP random number (Noce-AP), and an AP key data.
  • a version number (Version)
  • MessageType a message type
  • UUID-AP AP universal unique identifier
  • Noce-AP AP random number
  • ⁇ - ⁇ AP capability information
  • version number Version
  • messageType message type
  • UUID-AP AP Universal Unique Identifier
  • Des-AP AP capability information
  • the STA After receiving the configuration activation packet sent by the AP, the STA generates two types of keys.
  • the first type of key is used for processing information between the STA and the AP: the STA locally generates the temporary private key y and the STA key data y P for ECDH exchange, using its own temporary private key y and AP key data.
  • BK base key
  • MAK message authentication key
  • EUK Extended Use Key
  • the MCK is used to process content that needs to be kept secret in the STA or AP delivery information (eg, STA or AP key information, index, etc.), and the MAK is used to calculate the message.
  • the integrity check value and EUK are used for extension of other new keys (for example: other new applications require the key to perform confidentiality processing on the management of the STA or AP, and this EUK extension can be used to generate a new key);
  • the second type of key is used for processing information between the STA and the AS: the STA's password is used as the BK, and the BK is extended by the key derivation function to generate the MCK, MAK, and EUK, where the MCK is used to process the STA or the AS.
  • Content that needs to be kept secret in the information for example: key information of the STA or AS ⁇ index, etc.
  • MAK is used to authenticate the validity of the information
  • EUK is used for extension of other new keys (for example: Key pair STAs are required in other new applications) Or the management of the AS for confidentiality processing, you can use this EUK extension to generate a new key).
  • the configuration request packet is sent to the AP, and the packet includes: a version number (Version), a message type (MessageType), a STA universal unique identifier (UUID-STA), an AP universal unique identifier (UUID-AP), and a STA random number ( Nonce -STA ), AP random number ( Nonce -AP ), STA key data P ( PK-STA ), STA capability information (Des-STA ), message authentication code (MAC), and message integrity check value (MIC)
  • the version number (Version), the message type (MessageType), and/or the AP universal unique identifier (UUID-AP) are optional; wherein the message authentication code (MAC) part is determined by the STA and the AS.
  • Inter-MAK performs hash calculation on STA universal unique identifier (UUID-STA), STA random number (Nonce-STA), AP random number (Nonce-AP) and STA capability information (Des-STA), message integrity school
  • UUID-STA STA universal unique identifier
  • Nonce-STA STA random number
  • AP random number Nonce-AP
  • Des-STA STA capability information
  • the verification value (MIC) is generated by the MAK between the STA and the AP, and the hash calculation is performed on all the information except the message integrity check value (MIC) of the packet;
  • the AP After receiving the configuration request packet sent by the STA, the AP verifies whether the AP random number ( Nonce -AP ) in the configuration request packet is the same as the AP random number ( Nonce -AP ) in the configuration activation packet sent by itself, if different And discarding the packet; if the same, generating a processing key for information between the STA and the AP: performing ECDH calculation using its own temporary private key X and STA key data P, obtaining BK, and then using the key derivation function
  • the BK is extended to generate MCK, MAK, and EUK, where the MCK is used to process content that needs to be kept secret in the STA or AP delivery information (for example: STA Or the AP's key information ⁇ index, etc.), the MAK is used to calculate the message integrity check value, and the EUK is used for the extension of other new keys (for example: other new applications require the key to be confidential to the management of the STA or AP).
  • the MAK is used to verify the message integrity check value in the configuration request packet to determine whether it is correct. If not, the packet is discarded; if it is correct, the AP sends a STA certificate configuration request packet to the AS; the packet includes: (Version), message type (MessageType), STA Universal Unique Identifier (UUID-STA), AP Universal Unique Identifier (UUID-AP), STA Random Number (Nonce-STA), AP Random Number (Nonce-AP), AP certificate (CERT-AP), STA capability information (Des-STA), message authentication code (MAC), and AP signature (SIG-AP).
  • MessageType STA Universal Unique Identifier
  • UUID-AP AP Universal Unique Identifier
  • STA Random Number Nonce-STA
  • AP Random Number Nonce-AP
  • AP certificate CERT-AP
  • STA capability information Des-STA
  • MAC message authentication code
  • SIG-AP AP signature
  • the version number (Version), message type (MessageType) And/or the AP universal unique identifier (UUID-AP) is optional; wherein, the AP signature (SIG-AP) is signed by the AP using the private key of the AP configured in step 1) except for the AP (SIG- The signature operation performed by all the information outside the AP);
  • the AS After the AS receives the STA certificate configuration request packet sent by the AP, it verifies the validity of the AP certificate (CERT-AP). If it is incorrect, discards the packet. If it is correct, verify that the AP signature is correct, if not If the packet is correct, the STA is identified according to the STA Universal Unique Identifier (UUID-STA), and a key for processing the information between the STA and the AS is generated: the STA password known in step 1) is used as BK, and then use the key derivation function to extend the BK to generate the MCK, the MAK, and the EUK, where the MCK is used to process the content that needs to be kept secret in the STA or the AS (for example, the key information of the STA or the AS, the index, etc.), The MAK is used to authenticate the validity of the information, and the EUK is used for the extension of other new keys (for example: in other new applications, the key is required to perform confidentiality processing on the management of the STA or the AS, and the EU
  • the AS performs hash calculation on the STA Universal Unique Identification Code (UUID-STA), STA Random Number (Nonce-STA), AP Random Number (Nonce-AP), and STA Capability Information (Des-STA) according to the MAK between the STA and the AS.
  • UUID-STA STA Universal Unique Identification Code
  • Nonce-STA STA Random Number
  • AP AP Random Number
  • Des-STA STA Capability Information
  • the STA certificate configuration response packet includes: a version number (Version) ), message type (MessageType), STA Universal Unique Identifier (UUID-STA), AP Universal Unique Identifier (UUID-AP), STA certificate and corresponding private key ciphertext (ENC-CERT), AS capability information (Des- AS), AS certificate
  • CERT-AS message authentication code
  • MAC message authentication code
  • SIG-AS AS signature
  • version number Version
  • messageType message type
  • the STA certificate and the corresponding private key ciphertext (ENC-CERT) part are generated by the AS using the STA certificate and the corresponding private key information to be distributed by the MCK between the STA and the AS, wherein the STA certificate is grouped by the AS according to the STA certificate configuration request.
  • the content of the STA capability information (Des-STA) is generated; the message authentication code (MAC) part is performed by the MAK-to-STA certificate and the corresponding private key ciphertext (ENC-CERT) and the AS certificate (CERT-AS) between the STA and the AS.
  • the AP After receiving the STA certificate configuration response packet sent by the AS, the AP verifies that the AS signature (SIG-AS) is correct. If not, discards the packet. If correct, the configuration response packet is sent to the STA.
  • the group includes: version number (Version), message type (MessageType), STA Universal Unique Identifier (UUID-STA), AP Universal Unique Identifier (UUID-AP), STA Random Number (Nonce-STA), AP Random Number (Nonce-AP), Message Integrity Check Value (MIC), and
  • the version number (Version), Message Type (MessageType), STA Universal Unique Identifier (UUID-STA), AP Universal Unique Identifier (UUID-AP) and/or AP Random Number (Nonce-AP) are optional.
  • the message integrity check value is optional.
  • the STA After the STA receives the configuration response packet sent by the AP, it processes whether the STA random number (Nonce-STA) in the configuration response packet is the same as the STA random number (Nonce-STA) in the configuration request packet sent by itself. If it is different, discard the packet;
  • the message integrity check value (MIC) is calculated by using the MAK between the STA and the AP, and if not, the configuration response packet is discarded;
  • the STA uses the MAK between the STA and the AS to calculate the STA certificate in the packet and the data of the corresponding private key ciphertext (ENG-CERT) and AS certificate (CERT-AS) to determine whether the message authentication code (MAC) is correct. If not correct, discard the configuration response packet;
  • the STA certificate and the corresponding private key ciphertext (ENG-CERT) between the STA and the AS are used to obtain the STA certificate and the corresponding private key information distributed by the AS; the STA uses the AS certificate (CERT-AS)
  • the AS public key verifies the correctness of the AS signature included in the STA certificate. If the AS signature is incorrect, the configuration response packet is discarded. If the AS signature is correct, it is verified whether the data information contained in the STA certificate is related to the STA capability information (Des -STA) The content is consistent. If they are inconsistent, the configuration response packet is discarded. If they are consistent, the STA certificate and corresponding private key information obtained by the STA are valid.
  • the present invention provides a security configuration system for an end station in a wireless local area network, the system comprising an end station STA, an access point AP and an authentication server AS; the access point AP sends a configuration activation packet to the end station STA; After the configuration activation packet sent by the access point AP is configured, the configuration request packet is sent to the access point AP; after the access point AP receives the configuration request packet sent by the end station STA, the construction end station STA certificate configuration request packet is sent to the authentication server AS; After the authentication server AS receives the end station STA certificate configuration request packet sent by the access point AP, the construction end station STA certificate configuration response packet is sent to the access point AP; the access point AP receives the end station STA certificate configuration sent by the authentication server AS.
  • the configuration response packet is sent to the end station STA.
  • the end station STA After receiving the configuration response packet sent by the access point AP, the end station STA performs processing to obtain the end station STA certificate and the corresponding private key information distributed by the authentication server AS.
  • the access point AP is used to:
  • the authentication server AS uses the authentication server AS to configure the WLAN authentication and privacy infrastructure.
  • the configuration activation packet includes: an access point AP random number, an access point AP key data;
  • the construction end station STA certificate configuration request packet is sent to the authentication server AS, where the end station STA certificate configuration request packet includes: the end station STA universal unique identification code, the end station STA random number, and the access point AP random Number, access point AP certificate, access point STA capability letter Information, message authentication code and access point AP signature;
  • the configuration configuration response packet After receiving the end station STA certificate configuration response packet, the configuration configuration response packet is sent to the end station STA, where the configuration response packet includes: end station STA random number, message integrity check value, and end station STA certificate configuration response packet end And the content of the station STA certificate and the corresponding private key ciphertext, the authentication server AS certificate, and the message authentication code, so that the end station STA processes the configuration response packet to obtain the end station STA certificate and the corresponding private key information distributed by the authentication server AS;
  • the authentication server AS is used to:
  • the end station STA certificate configuration response packet is sent to the access point AP, and the end station STA certificate configuration response packet includes: the end station STA certificate and the corresponding private key ciphertext, the authentication server AS certificate, and the message authentication code. And the authentication server AS signature; the end station STA is used to:
  • the password is configured by the STA at the factory or randomly generated by the end station STA, and the authentication server AS knows the password; receiving the configuration sent by the access point AP After the activation packet is configured, the configuration request packet is sent to the access point AP, where the configuration request packet includes: an end station STA universal unique identification code, an end station STA random number, an access point AP random number, an end station STA key data, and an end station. Station STA capability information, message authentication code, and message integrity check value;
  • the present invention also provides an access point AP, as shown in FIG. 2, including:
  • the configuration unit 201 is configured to configure, by using the authentication server AS, a certificate and a corresponding private key used by the end station STA in the WAPI mechanism of the wireless local area network authentication and security infrastructure; and is also used to cooperate with the authentication server AS to validate the access point AP certificate. Identification;
  • the first sending unit 202 is configured to send a configuration activation packet to the end station STA, where the configuration activation packet includes: an access point AP random number, and an access point AP key data;
  • the first receiving unit 203 is configured to receive a configuration request packet sent by the end station STA.
  • the configuration request packet is configured by the end station STA after receiving the configuration activation packet, where the configuration request packet includes: Identification code, end station STA random number, access point AP random number, end station STA key data, end station STA capability information, message authentication code, and message integrity check value;
  • the second sending unit 204 is configured to send the end station STA certificate configuration request packet to the authentication server AS after receiving the configuration request packet, where the end station STA certificate configuration request packet includes: the end station STA universal unique identification code, the end Station STA random number, access point AP random number, access point AP certificate, access point STA capability information, message authentication code, and access point AP signature;
  • a second receiving unit 205 configured to receive an end station STA certificate configuration response packet sent by the authentication server AS, where the end station STA certificate configuration response packet is configured by the authentication server AS after receiving the end station STA certificate configuration request packet,
  • the end station STA certificate configuration response packet includes: an end station STA certificate and a corresponding private key ciphertext, an authentication server AS certificate, a message authentication code, and an authentication server AS signature;
  • the third sending unit 206 is configured to send the configuration response packet to the end station STA after receiving the end station STA certificate configuration response packet, where the configuration response packet includes: the end station STA random number, the message integrity check value, and the end station
  • the STA certificate configures the contents of the end station STA certificate and the corresponding private key ciphertext, the authentication server AS certificate, and the message authentication code in the response packet, so that the end station STA processes the configuration response packet to obtain the end station distributed by the authentication server AS.
  • STA certificate and corresponding private key information includes: an end station STA certificate and corresponding
  • the AP can also include:
  • the first constructing unit 207 is configured to generate a temporary private key X and an access point AP key data for the elliptic curve ECDH exchange, and construct the configuration activation packet, and send it to the first sending unit 202 for transmission.
  • the ⁇ can also include:
  • the first verification unit 208 is configured to: after receiving the configuration request packet, verify whether the access point ⁇ random number in the configuration request packet is the same as the access point ⁇ random number in the configuration activation packet sent by the first sending unit;
  • a first generating unit 209 configured to generate a key for processing information between the end station STA and the access point when the first verification unit verifies that the result is the same;
  • the first determining unit 210 is configured to determine, by using a message authentication key in the key generated by the generating unit, a message integrity check value in the configuration request packet, to determine whether the message integrity check value is correct;
  • the first discarding unit 211 is configured to: when the first verification unit verifies that the verification result is different, discarding the configuration request packet; and when the first determining unit determines that the result is incorrect, discarding the configuration request packet;
  • the second sending unit is configured to: when the first determining unit determines that the result is correct, send the end station STA certificate configuration request packet to the authentication server AS;
  • the first generating unit 209 can include:
  • a first calculating subunit configured to perform an ECDH calculation using the temporary private key X of the access point AP and the end station STA key data yP to generate a base key
  • a second calculating subunit configured to expand the base key by using a key derivation function to generate a message confidentiality key, a message authentication key, and an extended usage key;
  • the second sending unit may be further configured to generate, by using a private key of the configured access point AP, a signature operation performed on all information except the content of the signature part of the access point AP in the STA certificate configuration request packet, to generate an access point AP signature.
  • the AP may further include:
  • the second verification unit 212 is configured to: after receiving the end station STA certificate configuration response packet of the authentication server AS, verify that the authentication server AS signature is correct;
  • the third sending unit 206 is further configured to: when the verification result of the second verification unit 212 is correct, perform the step of sending the configuration configuration response packet to the end station STA;
  • the third sending unit 206 may be further configured to: by the message authentication key between the end station STA and the access point AP, all the information except the message integrity check value in the STA certificate configuration response packet The hash calculation generates a message integrity check value in the configuration response packet.
  • the present invention also provides an end station STA.
  • the end station STA may include: a storage unit 401, configured to store a shared password between the authentication server AS and the end station STA, where the password is a factory configuration of the STA. Or randomly generated by the end station STA, and the authentication server AS knows the password;
  • the third receiving unit 402 is configured to receive a configuration activation packet sent by the access point AP, where the configuration activation packet includes: an access point AP random number, and an access point AP key data;
  • the fourth sending unit 403 is configured to: after the third receiving unit receives the configuration activation packet, the configuration request packet is sent to the access point AP, where the configuration request packet includes: the end station STA universal unique identifier, and the end station STA random Number, access point AP random number, end station STA key data, end station STA capability information, message authentication code, and message integrity check value;
  • the fourth receiving unit 404 is configured to receive a configuration response packet sent by the access point AP, where the configuration response packet is sent after the access point AP receives the configuration request packet, where the configuration response packet includes: a random number, a message integrity check value, and a step 5) a content of the end station STA certificate and the corresponding private key ciphertext, the authentication server AS certificate, and the message authentication code in the mid-station STA certificate configuration response packet;
  • the processing unit 405 is configured to process the configuration response packet received by the fourth receiving unit, and obtain the end station STA certificate and the corresponding private key information distributed by the authentication server AS.
  • the STA may further include:
  • a second generating unit 406 configured to generate a key for information between the end station STA and the access point AP after receiving the configuration activation packet sent by the access point AP;
  • a third generating unit 407 configured to generate a key for information between the end station STA and the authentication server AS after receiving the configuration activation packet sent by the access point AP;
  • the second generating unit 406 can include:
  • a first generating subunit configured to generate a temporary private key y and an end station STA key data yP for ECDH exchange
  • a third calculating sub-unit configured to perform ECDH calculation by using the temporary private key y of the end station STA and the access point AP key data , ⁇ to obtain a base key;
  • a second generation subunit configured to expand the base key by using a key derivation function to generate a message confidentiality key, a message authentication key, and an extended usage key;
  • the third generating unit 407 may be specifically configured to: use the password of the end station STA as a base key, and expand the base key by using a key derivation function to generate a message confidentiality key, a message authentication key, and an extended use key.
  • the fourth sending unit 403 is further configured to: use the message between the end station STA and the authentication server AS to authenticate the key pair end station STA universal unique identifier, the end station STA random number, the access point AP random number, and The end station STA capability information is hashed to generate a message authentication code in the constructed configuration request packet;
  • the fourth sending unit 403 is further configured to: perform a hash calculation on all information except the message integrity check value of the packet by the message authentication key between the end station STA and the access point AP to generate the configured configuration request packet.
  • Message integrity check value Preferably, the processing unit 405 can include:
  • a first verification subunit configured to verify whether the end station STA random number in the configuration response packet is the same as the end station STA random number in the configuration request packet sent by the fourth sending unit;
  • a first authenticating subunit configured to calculate, by using a message authentication key between the end station STA and the access point AP, whether the message integrity check value is correct when the first verification subunit verification result is the same;
  • a second discriminating subunit configured to calculate an end station STA certificate and a corresponding private key ciphertext and an authentication server in the packet by using a message authentication key between the end station STA and the authentication server AS when the first discriminating subunit discriminating result is correct
  • the data of the AS certificate determines whether the message authentication code is correct
  • the second verification subunit when the second authentication subunit authentication result is correct, decrypts the end station STA certificate and the corresponding private key ciphertext by using the message confidentiality key between the end station STA and the authentication server AS to obtain the authentication server AS
  • the distributed end station STA certificate and the corresponding private key information verifying whether the authentication server AS signature included in the STA certificate of the end station is correct by using the authentication server AS public key included in the authentication server AS certificate;
  • the verification result for the second verification subunit is that when the authentication server AS signature is correct, it is verified whether the data information contained in the end station STA certificate is consistent with the end station STA capability information content, and if yes, the obtained authentication server AS The distributed end station STA certificate and the corresponding private key information are valid; the first discarding subunit is configured to discard the configuration response packet when the first verification unit has different verification results; and the first authentication subunit authentication result is incorrect And discarding the configuration response packet; when the second authentication subunit authentication result is incorrect, discarding the configuration response packet; and the verification result for the second verification subunit is when the authentication server AS signature is incorrect, discarding the configuration Response packet; when the verification result of the verification subunit is inconsistent, the configuration response packet is discarded.
  • the present invention further provides an authentication server AS.
  • the AS may include: a configuration authentication unit 601, configured to cooperate with the access point AP to configure a certificate used by the end station STA in the WAPI mechanism of the wireless local area network authentication and security infrastructure. And the corresponding private key; also used to identify the validity of the access point AP certificate;
  • the fifth receiving unit 602 is configured to receive an end station STA certificate configuration request packet sent by the access point AP, where the end station STA certificate configuration request packet includes: the end station STA universal unique identifier, the end station STA random number, and the Incoming AP random number, access point AP certificate, access point STA capability information, message authentication code, and access point AP signature;
  • the fifth sending unit 603 is configured to send, by the fifth receiving unit, the end station STA certificate configuration request packet to the access point AP, where the end station STA certificate configuration response packet includes: The end station STA certificate and the corresponding private key ciphertext, the authentication server AS certificate, the message authentication code, and the authentication server AS signature.
  • the AS may further include:
  • the third verification unit 604 is configured to verify the validity of the access point AP certificate in the end station STA certificate configuration request packet after receiving the end station STA certificate configuration request packet;
  • the fourth verification unit 605 is configured to: when the third verification unit is valid, verify that the access point AP signature in the end station STA certificate configuration request packet is correct; if not, discard the packet;
  • the universal unique identification code identifies the end station STA, generating a key for processing information between the end station STA and the authentication server AS;
  • a second determining unit 607 configured to use the message between the end station STA and the authentication server AS generated by the fourth generating unit to authenticate the key to the end station STA universal unique identifier, the end station STA random number, the access point Performing a hash calculation on the AP random number and the end station STA capability information, and determining whether the message authentication code in the end station STA certificate configuration request packet is correct;
  • the fifth sending unit 603 is further configured to: when the determining result of the second determining unit is correct, when the end station STA identity is valid, performing the step of sending the STA station certificate configuration response packet to the access point AP ;
  • the fourth generating unit 606 may be specifically configured to: use an end station STA password as a base key; and use a key derivation function to extend the base key to generate a message confidentiality key, a message authentication key, and an extended use key;
  • the fifth sending unit 603 is further configured to: generate, by the authentication server AS, the end station STA certificate to be distributed and the corresponding private key information by using a message confidentiality key between the end station STA and the authentication server AS to generate the end station. a STA certificate and a corresponding private key ciphertext portion; the authentication server AS generates an end station STA certificate according to the content of the end station STA certificate configuration requesting the end station STA capability information; and the message is authenticated by the end station STA and the authentication server AS And performing a hash calculation on the end station STA certificate and the corresponding private key ciphertext and the authentication server AS certificate in the packet to generate the message authentication code part; and all the data except the signature of the authentication server AS in the packet by the authentication server AS The signature constitutes the signature portion of the authentication server AS.
  • the process of implementing the method of the above embodiment may be completed by hardware related to program instructions, and the program may be stored in a readable storage medium, and the program executes the corresponding in the above method when executed. step.
  • the storage medium may be, for example, a ROM/RAM, a magnetic disk, an optical disk, or the like.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Mobile Radio Communication Systems (AREA)
  • Small-Scale Networks (AREA)

Abstract

一种无线局域网中端站的安全配置方法、AP、STA、AS及系统，该方法中，接入点AP向端站STA发送配置激活分组；STA收到AP发送的配置激活分组后构建配置请求分组发送给AP；AP收到STA发送的配置请求分组后构建STA证书配置请求分组发送给鉴别服务器AS；AS收到AP发送的STA证书配置请求分组后构建STA证书配置响应分组发给AP；AP收到STA证书配置响应分组后构建配置响应分组发给STA；STA收到AP发送的配置响应分组后进行处理可获得AS分发的STA证书及对应私钥信息。其解决了用户需要具备一定的专业知识才能成功完成手动向AS申请并配置STA证书及对应的私钥的困难。

Description

无线局域网中端站的安全配置方法、 AP、 STA、 AS及系统 本申请要求于 2010 年 12 月 6 日提交中国专利局、 申请号为 201010574613.8、发明名称为 "一种无线局域网中端站的安全配置方法和系统" 的中国专利申请的优先权， 其全部内容通过引用结合在本申请中。
技术领域
本发明属网络安全领域， 涉及一种无线局域网安全配置方法和系统， 尤其 涉及一种适合中国无线局域网国家标准 GB15629.il中基于无线局域网鉴别与 机 ί¾ ¾无 ί局域网中端站的安全配置方法和系统。 Υ
背景技术
WAPI , 即无线局域网鉴别与保密基础结构， 它是针对 IEEE802.11标准中 的安全问题， 在中国无线局域网国家标准 GB15629.il中提出的无线局域网安 全解决方案。它的主要特点是可以采用基于公钥密码体系的证书方案和预共享 密钥方案， 利用鉴别服务器 （Authentication Server, AS ) 真正实现了端站 ( Station, STA )与接入点（ Access Point, AP )间的双向鉴别， 在采用基于公 钥密码体系的证书方案实施鉴别过程之前， STA和 AP都需要利用 AS手动配 置可以标识自己身份的证书以及对应的私钥。 WAPI是一个全新的无线局域网 安全体系， 一个全新的我国拥有完整自主知识产权的技术标准。在 WAPI机制 的采用基于公钥密码体系的证书方案中， STA在加入 AP与 AS组成的无线局 域网时默认 STA已经配置成功了用于 WAPI机制中的证书及对应的私钥， 但 如何配置 STA用于 WAPI机制中的证书及对应的私钥方法不在 WAPI机制的 设计范围之内。 STA证书及对应的私钥的配置过程是否安全， 将影响到 WAPI 机制能否有效进行。
发明内容
鉴于以上内容，有必要提供一种安全有效的适合中国无线局域网国家标准 GB15629.il中基于 WAPI机制的无线局域网中端站的安全配置方法和系统。
本发明的技术解决方案是：本发明提供了一种无线局域网中端站的安全配 置方法， 所述方法包括以下步骤：
1 )接入点 AP利用鉴别服务器 AS配置无线局域网鉴别与保密基础结构 WAPI机制中端站 STA所使用的证书及对应的私钥， 鉴别服务器 AS对接入点 AP证书的有效性进行鉴别； 鉴别服务器 AS和端站 STA之间具有共享口令， 所述口令是 STA出厂时配置的或者是由端站 STA随机产生的， 且鉴别服务器 AS知晓该口令；
2 )接入点 AP向端站 STA发送配置激活分组， 所述配置激活分组包括： 接入点 AP随机数、 接入点 AP密钥数据；
3 )端站 STA收到来自步骤 2 ) 的所述配置激活分组后构建配置请求分组 发送给接入点 AP, 所述配置请求分组包括： 端站 STA通用唯一识别码、 端站 STA随机数、 接入点 AP随机数、 端站 STA密钥数据、 端站 STA能力信息、 消息鉴别码和消息完整性校验值； 4 )接入点 AP收到来自步骤 3 ) 的所述配置请求分组后构建端站 STA证 书配置请求分组发送给鉴别服务器 AS ,所述端站 STA证书配置请求分组包括： 端站 STA通用唯一识别码、 端站 STA随机数、 接入点 AP随机数、 接入点 AP 证书、 接入点 STA能力信息、 消息鉴别码和接入点 AP签名；
5 ) 当鉴别服务器 AS收到来自步骤 4 ) 的端站 STA证书配置请求分组后 构建端站 STA证书配置响应分组发给接入点 AP, 所述端站 STA证书配置响 应分组包括： 端站 STA证书及对应私钥密文、鉴别服务器 AS证书、 消息鉴别 码和鉴别服务器 AS签名；
6 ) 当接入点 AP收到来自步骤 5 ) 的端站 STA证书配置响应分组后构建 配置响应分组发给端站 STA, 所述配置响应分组包括： 端站 STA随机数、 消 息完整性校验值和步骤 5 ) 中端站 STA证书配置响应分组中的端站 STA证书 及对应私钥密文、 鉴别服务器 AS证书、 和消息鉴别码的内容；
7 )端站 STA对步骤 6 )发来的配置响应分组后进行处理获得鉴别服务器 AS分发的端站 STA证书及对应私钥信息。
还提供一种接入点 AP, 包括：
配置单元， 用于利用鉴别服务器 AS配置无线局域网鉴别与保密基础结构 WAPI机制中端站 STA所使用的证书及对应的私钥； 还用于配合鉴别服务器 AS对接入点 AP证书的有效性进行鉴别；
第一发送单元， 用于向端站 STA发送配置激活分组， 所述配置激活分组 包括： 接入点 AP随机数、 接入点 AP密钥数据；
第一接收单元， 用于接收端站 STA发来的配置请求分组； 所述配置请求 分组由端站 STA收到所述配置激活分组后构建， 所述配置请求分组包括： 端 站 STA通用唯一识别码、 端站 STA随机数、 接入点 AP随机数、 端站 STA密 钥数据、 端站 STA能力信息、 消息鉴别码和消息完整性校验值；
第二发送单元， 用于接收到所述配置请求分组后构建端站 STA证书配置 请求分组发送给鉴别服务器 AS, 所述端站 STA证书配置请求分组包括： 端站 STA通用唯一识别码、端站 STA随机数、接入点 AP随机数、接入点 AP证书、 接入点 STA能力信息、 消息鉴别码和接入点 AP签名；
第二接收单元，用于接收鉴别服务器 AS发来的端站 STA证书配置响应分 组， 所述端站 STA证书配置响应分组由鉴别服务器 AS收到所述端站 STA证 书配置请求分组后构建， 所述端站 STA证书配置响应分组包括： 端站 STA证 书及对应私钥密文、鉴别服务器 AS证书、消息鉴别码和鉴别服务器 AS签名； 第三发送单元， 用于接收到端站 STA证书配置响应分组后构建配置响应 分组发给端站 STA, 所述配置响应分组包括： 端站 STA随机数、 消息完整性 校验值和端站 STA证书配置响应分组中的端站 STA证书及对应私钥密文、 鉴 别服务器 AS证书、和消息鉴别码的内容， 以便端站 STA对所述配置响应分组 进行处理获得鉴别服务器 AS分发的端站 STA证书及对应私钥信息。
还提供一种端站 STA, 包括：
存储单元，用于存储鉴别服务器 AS和端站 STA之间的共享口令，所述口 令是 STA出厂时配置的或者是由端站 STA随机产生的， 且鉴别服务器 AS知 晓该口令；
第三接收单元， 用于接收接入点 AP发来的配置激活分组， 所述配置激活 分组包括： 接入点 AP随机数、 接入点 AP密钥数据；
第四发送单元，用于第三接收单元收到所述配置激活分组后构建配置请求 分组发送给接入点 AP, 所述配置请求分组包括： 端站 STA通用唯一识别码、 端站 STA随机数、 接入点 AP随机数、 端站 STA密钥数据、 端站 STA能力信 息、 消息鉴别码和消息完整性校验值；
第四接收单元， 用于接收接入点 AP发来的配置响应分组； 所述配置响应 分组在接入点 AP接收到所述配置请求分组后发送； 所述配置响应分组包括： 端站 STA随机数、 消息完整性校验值和步骤 5 ) 中端站 STA证书配置响应分 组中的端站 STA证书及对应私钥密文、鉴别服务器 AS证书、和消息鉴别码的 内容；
处理单元， 用于对第四接收单元接收到的配置响应分组进行处理， 获得鉴 别服务器 AS分发的端站 STA证书及对应私钥信息。
还提供一种鉴别服务器 AS, 包括：
配置鉴别单元， 用于配合接入点 AP配置无线局域网鉴别与保密基础结构 WAPI机制中端站 STA所使用的证书及对应的私钥； 还用于对接入点 AP证书 的有效性进行鉴别；
第五接收单元， 用于接收接入点 AP发来的端站 STA证书配置请求分组； 所述端站 STA证书配置请求分组包括： 端站 STA通用唯一识别码、 端站 STA 随机数、 接入点 AP随机数、 接入点 AP证书、 接入点 STA能力信息、 消息鉴 别码和接入点 AP签名；
第五发送单元， 用于第五接收单元接收到所述端站 STA证书配置请求分 组后构建端站 STA证书配置响应分组发给接入点 AP, 所述端站 STA证书配 置响应分组包括： 端站 STA证书及对应私钥密文、鉴别服务器 AS证书、 消息 鉴别码和鉴别服务器 AS签名。
还提供一种无线局域网中端站的安全配置系统， 包括： 端站 STA、接入点 AP和鉴别服务器 AS;
接入点 AP用于：
利用鉴别服务器 AS配置无线局域网鉴别与保密基础结构 WAPI机制中端 站 STA所使用的证书及对应的私钥；
向端站 STA发送配置激活分组，所述配置激活分组包括：接入点 AP随机 数、 接入点 AP密钥数据；
接收到配置请求分组后构建端站 STA证书配置请求分组发送给鉴别服务 器 AS, 所述端站 STA证书配置请求分组包括： 端站 STA通用唯一识别码、 端站 STA随机数、 接入点 AP随机数、 接入点 AP证书、 接入点 STA能力信 息、 消息鉴别码和接入点 AP签名；
接收到端站 STA证书配置响应分组后构建配置响应分组发给端站 STA, 所述配置响应分组包括： 端站 STA随机数、 消息完整性校验值和端站 STA证 书配置响应分组中的端站 STA证书及对应私钥密文、鉴别服务器 AS证书、和 消息鉴别码的内容， 以便端站 STA对所述配置响应分组进行处理获得鉴别服 务器 AS分发的端站 STA证书及对应私钥信息；
鉴别服务器 AS用于：
用于配合接入点 AP配置无线局域网鉴别与保密基础结构 WAPI机制中端 站 STA所使用的证书及对应的私钥； 对接入点 AP证书的有效性进行鉴别； 接收到所述端站 STA证书配置请求分组后构建端站 STA证书配置响应分 组发给接入点 AP, 所述端站 STA证书配置响应分组包括： 端站 STA证书及 对应私钥密文、 鉴别服务器 AS证书、 消息鉴别码和鉴别服务器 AS签名； 端站 STA用于：
存储鉴别服务器 AS和端站 STA之间的共享口令， 所述口令是 STA出厂 时配置的或者是由端站 STA随机产生的， 且鉴别服务器 AS知晓该口令； 接收接入点 AP发来的配置激活分组后构建配置请求分组发送给接入点 AP, 所述配置请求分组包括： 端站 STA通用唯一识别码、 端站 STA随机数、 接入点 AP随机数、 端站 STA密钥数据、 端站 STA能力信息、 消息鉴别码和 消息完整性校验值；
接收接入点 AP发来的配置响应分组， 对配置响应分组进行处理获得鉴别 服务器 AS分发的端站 STA证书及对应私钥信息。
本发明的优点是：
1 )安全和便捷地实现了 WAPI机制中的 STA向 AS申请并配置 STA证书 以及对应的私钥；
2 )有效地实现了 STA在安全配置过程中， 参与的实体之间 AS与 AP、 AS与 STA、 AP与 STA的相互鉴别。
为了解决用户需要具备一定的专业知识才能成功完成手动向 AS申请并配 置 STA证书及对应的私钥的困难， 本发明提供了一种无线局域网中的 STA可 以实现安全配置的方法和系统。
附图说明
图 1为本发明所提供的端站 STA的安全配置方法过程框架示意图； 图 2为本发明一种 AP的结构示意图；
图 3为本发明另一种 AP的结构示意图；
图 4为本发明一种 STA的结构示意图；
图 5为本发明另一种 STA的结构示意图；
图 6为本发明一种 AS的结构示意图；
图 7为本发明另一种 AS的结构示意图。
具体实施方式
参见图 1 , 本发明提供了一种无线局域网中端站的安全配置方法， 该方法 包括以下步骤：
1 )AP利用 AS成功配置了 WAPI机制中端站 STA所使用的证书及对应的 私钥， AS可以对 AP证书的有效性进行鉴别； AS和 STA之间具有共享口令， 该口令可以是 STA出厂时配置的或者是由 STA随机产生的， 且 AS知晓该口 令； 2 ) AP本地生成用于橢圓曲线（ Elliptic Curve Diffie-Hellman, ECDH )交 换的临时私钥 X和 AP密钥数据 χ· P , 然后构建配置激活分组。 AP向 STA发 送配置激活分组， 该分组包括： 版本号（ Version )、 消息类型（ MessageType )、 AP通用唯一识别码 ( UUID-AP )、 AP随机数 ( Nonce- AP )、 AP密钥数据 χ· Ρ
( ΡΚ-ΑΡ )、 AP能力信息（ Des-AP ),在其他具体实施例中，版本号（ Version )、 消息类型 （ MessageType )、 AP通用唯一识别码（ UUID-AP )和 /或 AP能力信 息 （Des-AP ) 为可选；
3 ) STA收到 AP发送的配置激活分组后， 产生两类密钥。
第一类密钥用于 STA和 AP之间信息的处理： STA本地生成用于 ECDH 交换的临时私钥 y和 STA密钥数据 y P ,使用自己的临时私钥 y和 AP密钥数 据 χ·Ρ进行 ECDH计算， 得到基密钥（Base Key, BK ), 再利用密钥导出函数 对 BK进行扩展生成消息机密性密钥 （ Message Confidential Key, MCK )、 消 息鉴别密钥 （Message Authentication Key , MAK )和扩展使用密钥 （Extended Use Key, EUK ), 其中， MCK用于处理 STA或者 AP传递信息中需要保密的 内容（例如： STA或 AP的密钥信息 \索引等）、 MAK用于计算消息完整性校 验值、 EUK用于其他新密钥的扩展（例如： 其他新应用中需要密钥对 STA或 AP的管理进行机密性处理， 可使用此 EUK扩展生成新的密钥）；
第二类密钥用于 STA和 AS之间信息的处理： 将 STA的口令作为 BK,再 利用密钥导出函数对 BK进行扩展生成 MCK、 MAK和 EUK, 其中， MCK 用于处理 STA或者 AS传递信息中需要保密的内容（例如： STA或 AS的密钥 信息 \索引等）、 MAK用于鉴别信息有效性、 EUK用于其他新密钥的扩展（例 如： 其他新应用中需要密钥对 STA或 AS的管理进行机密性处理， 可使用此 EUK扩展生成新的密钥）。
构建配置请求分组发送给 AP, 该分组包括： 版本号（ Version )、 消息类型 ( MessageType ), STA通用唯一识别码 ( UUID-STA ), AP通用唯一识别码 ( UUID-AP )、 STA随机数（ Nonce -STA )、 AP随机数（ Nonce -AP )、 STA密 钥数据 P ( PK-STA )、 STA能力信息 （Des-STA )、 消息鉴别码（MAC )和 消息完整性校验值（MIC ), 在其他具体实施例中， 版本号（ Version )、 消息类 型 （MessageType )和 /或 AP通用唯一识别码（UUID-AP ) 为可选； 其中， 消 息鉴别码（MAC )部分由 STA和 AS之间的 MAK对 STA通用唯一识别码 ( UUID-STA )、 STA随机数 ( Nonce -STA )、 AP随机数 ( Nonce -AP )和 STA 能力信息 （Des-STA )进行杂凑计算产生， 消息完整性校验值 ( MIC ) 由 STA 和 AP之间的 MAK对本分组除消息完整性校验值 ( MIC ) 以外所有信息进行 杂凑计算产生；
4 ) AP收到来自 STA发送的配置请求分组后， 验证配置请求分组中的 AP 随机数 ( Nonce -AP )是否与自己发送的配置激活分组中的 AP随机数 ( Nonce -AP )相同， 如果不同， 则丟弃该分组； 如果相同， 产生用于 STA和 AP之间 信息的处理密钥： 使用自己的临时私钥 X和 STA密钥数据 P进行 ECDH计 算，得到 BK,再利用密钥导出函数对 BK进行扩展生成 MCK、 MAK和 EUK, 其中， MCK用于处理 STA或者 AP传递信息中需要保密的内容（例如： STA 或 AP的密钥信息 \索引等）、 MAK用于计算消息完整性校验值、 EUK用于其 他新密钥的扩展（例如： 其他新应用中需要密钥对 STA或 AP的管理进行机密 性处理， 可使用此 EUK扩展生成新的密钥）。 利用 MAK验证配置请求分组中 的消息完整性校验值，判断其是否正确，如果不正确则丟弃该分组；如果正确， 则由 AP向 AS发送 STA证书配置请求分组； 该分组包括： 版本号（ Version )、 消息类型 （MessageType )、 STA通用唯一识别码（UUID-STA )、 AP通用唯一 识别码（ UUID-AP )、 STA随机数 ( Nonce -STA )、 AP随机数（ Nonce -AP )、 AP证书（CERT-AP )、 STA能力信息（Des-STA )、 消息鉴别码（MAC )和 AP 签名 （SIG-AP ) , 在其他具体实施例中， 版本号 （Version ) , 消息类型 ( MessageType )和 /或 AP通用唯一识别码 ( UUID-AP ) 为可选； 其中， AP 签名（ SIG-AP )由 AP利用步骤 1 )中配置的 AP自身的私钥对该分组中除 AP 签名 （SIG-AP )外所有信息进行的签名运算产生；
5 ) 当 AS收到来自 AP发送的 STA证书配置请求分组后， 验证 AP证书 ( CERT-AP ) 的有效性， 如果不正确， 则丟弃该分组； 如果正确， 验证 AP签 名是否正确， 如果不正确则丟弃该分组； 如果正确， 根据 STA通用唯一识别 码（UUID-STA )标识 STA, 产生用于处理 STA和 AS之间信息的密钥： 将通 过步骤 1 ) 中已知晓的 STA口令作为 BK, 再利用密钥导出函数对 BK进行扩 展生成 MCK、 MAK和 EUK, 其中， MCK用于处理 STA或者 AS传递信息 中需要保密的内容（例如： STA或 AS的密钥信息 \索引等）、 MAK用于鉴别 信息有效性、 EUK用于其他新密钥的扩展（例如： 其他新应用中需要密钥对 STA或 AS的管理进行机密性处理， 可使用此 EUK扩展生成新的密钥）。 AS 根据 STA和 AS之间的 MAK对 STA通用唯一识别码（ UUID-STA )、 STA随 机数 ( Nonce -STA )、 AP随机数 ( Nonce -AP )和 STA能力信息 （ Des-STA ) 进行杂凑计算， 判断消息鉴别码（MAC )是否正确， 如果不正确， 则丟弃该 分组； 如果正确， 则 STA身份有效， 构建 STA证书配置响应分组发给 AP, STA证书配置响应分组包括： 版本号 （Version ), 消息类型 （MessageType ), STA通用唯一识别码（ UUID-STA )、 AP通用唯一识别码（ UUID-AP )、 STA 证书及对应私钥密文 （ENC-CERT )、 AS 能力信息 （Des-AS )、 AS 证书
( CERT- AS ), 消息鉴别码（MAC )和 AS签名 （ SIG-AS ), 在其他具体实施 例中， 版本号 （Version ), 消息类型 （MessageType ), STA 通用唯一识别码
( UUID-STA )、 AP通用唯一识别码（ UUID-AP )和 /或 AS能力信息（ Des-AS ) 为可选。 STA证书及对应私钥密文（ENC-CERT )部分由 AS利用 STA和 AS 之间的 MCK加密要分发的 STA证书及对应私钥信息生成， 其中的 STA证书 由 AS根据 STA证书配置请求分组中 STA能力信息 （Des-STA ) 的内容生成； 消息鉴别码 ( MAC )部分由 STA和 AS之间的 MAK对 STA证书及对应私钥 密文（ ENC-CERT )和 AS证书（ CERT-AS )进行杂凑计算生成； AS签名（ SIG-AS ) 部分由 AS对该分组中除 AS签名 （ SIG-AS )之外的所有数据的签名；
6 ) 当 AP收到来自 AS发送的 STA证书配置响应分组后， 验证 AS签名 ( SIG-AS )是否正确， 如果不正确， 则丟弃该分组； 如果正确， 则构建配置 响应分组发给 STA,该分组包括：版本号（ Version )、消息类型（ MessageType )、 STA通用唯一识别码（UUID-STA )、 AP通用唯一识别码（ UUID-AP )、 STA 随机数 ( Nonce -STA )、 AP随机数 ( Nonce -AP )、 消息完整性校验值 ( MIC ) 和步骤 5 )中 STA证书配置响应分组中 STA证书及对应私钥密文（ ENC-CERT )、 AS证书 （CERT-AS )、 消息鉴别码（MAC ) 的内容， 在其他具体实施例中， 版本号 （ Version )、 消息类型 （ MessageType )、 STA 通用唯一识别码 ( UUID-STA ), AP通用唯一识别码 ( UUID-AP )和 /或 AP随机数 ( Nonce -AP ) 为可选。 其中， 消息完整性校验值（ MIC ) 由 STA和 AP之间的 MAK对本分 组除消息完整性校验值（MIC ) 以外所有信息进行杂凑计算产生；
7 ) 当 STA收到来自 AP发送的配置响应分组后进行处理， 验证配置响应 分组中的 STA随机数（ Nonce -STA )是否与自己发送的配置请求分组中的 STA 随机数（Nonce -STA )相同， 如果不同， 则丟弃该分组；
如果相同，则利用 STA和 AP之间的 MAK计算消息完整性校验值（ MIC ) 是否正确， 如果不正确， 则丟弃该配置响应分组；
如果正确， 则 STA利用 STA和 AS之间的 MAK计算分组中 STA证书及 对应私钥密文（ENG-CERT )和 AS证书 （ CERT- AS )部分的数据， 判断消息 鉴别码（MAC )是否正确， 如果不正确， 则丟弃该配置响应分组；
如果正确， 则利用 STA和 AS之间的 MCK解密 STA证书及对应私钥密 文（ ENG-CERT )得到 AS分发的 STA证书及对应私钥信息； STA利用 AS证 书 （ CERT-AS ) 中包含的 AS公钥验证 STA证书中包含的 AS签名的正确性， 如果 AS签名不正确，则丟弃该配置响应分组；如果 AS签名正确，则核实 STA 证书中包含的数据信息是否与 STA能力信息（Des-STA )内容一致， 如果不一 致， 则丟弃该配置响应分组； 如果一致则 STA得到的 AS分发的 STA证书及 对应私钥信息有效。
本发明提供了一种无线局域网中端站的安全配置系统， 该系统包括端站 STA, 接入点 AP和鉴别服务器 AS; 接入点 AP向端站 STA发送配置激活分 组；端站 STA收到接入点 AP发送的配置激活分组后构建配置请求分组发送给 接入点 AP;接入点 AP收到端站 STA发送的配置请求分组后构建端站 STA证 书配置请求分组发送给鉴别服务器 AS;鉴别服务器 AS收到接入点 AP发送的 端站 STA证书配置请求分组后构建端站 STA证书配置响应分组发给接入点 AP; 接入点 AP收到鉴别服务器 AS发送的端站 STA证书配置请求分组后构 建配置响应分组发给端站 STA; 端站 STA收到接入点 AP发送的配置响应分 组后进行处理可获得鉴别服务器 AS分发的端站 STA证书及对应私钥信息。
也即： 接入点 AP用于：
利用鉴别服务器 AS配置无线局域网鉴别与保密基础结构 WAPI机制中端 站 STA所使用的证书及对应的私钥；
向端站 STA发送配置激活分组，所述配置激活分组包括：接入点 AP随机 数、 接入点 AP密钥数据；
接收到配置请求分组后构建端站 STA证书配置请求分组发送给鉴别服务 器 AS, 所述端站 STA证书配置请求分组包括： 端站 STA通用唯一识别码、 端站 STA随机数、 接入点 AP随机数、 接入点 AP证书、 接入点 STA能力信 息、 消息鉴别码和接入点 AP签名；
接收到端站 STA证书配置响应分组后构建配置响应分组发给端站 STA, 所述配置响应分组包括： 端站 STA随机数、 消息完整性校验值和端站 STA证 书配置响应分组中的端站 STA证书及对应私钥密文、鉴别服务器 AS证书、和 消息鉴别码的内容， 以便端站 STA对所述配置响应分组进行处理获得鉴别服 务器 AS分发的端站 STA证书及对应私钥信息；
鉴别服务器 AS用于：
用于配合接入点 AP配置无线局域网鉴别与保密基础结构 WAPI机制中端 站 STA所使用的证书及对应的私钥； 对接入点 AP证书的有效性进行鉴别； 接收到所述端站 STA证书配置请求分组后构建端站 STA证书配置响应分 组发给接入点 AP, 所述端站 STA证书配置响应分组包括： 端站 STA证书及 对应私钥密文、 鉴别服务器 AS证书、 消息鉴别码和鉴别服务器 AS签名； 端站 STA用于：
存储鉴别服务器 AS和端站 STA之间的共享口令， 所述口令是 STA出厂 时配置的或者是由端站 STA随机产生的， 且鉴别服务器 AS知晓该口令； 接收接入点 AP发来的配置激活分组后构建配置请求分组发送给接入点 AP, 所述配置请求分组包括： 端站 STA通用唯一识别码、 端站 STA随机数、 接入点 AP随机数、 端站 STA密钥数据、 端站 STA能力信息、 消息鉴别码和 消息完整性校验值；
接收接入点 AP发来的配置响应分组， 对配置响应分组进行处理获得鉴别 服务器 AS分发的端站 STA证书及对应私钥信息。
另外， 本发明还提供了一种接入点 AP, 如图 2所示， 包括：
配置单元 201 , 用于利用鉴别服务器 AS配置无线局域网鉴别与保密基础 结构 WAPI机制中端站 STA所使用的证书及对应的私钥； 还用于配合鉴别服 务器 AS对接入点 AP证书的有效性进行鉴别；
第一发送单元 202,用于向端站 STA发送配置激活分组，所述配置激活分 组包括： 接入点 AP随机数、 接入点 AP密钥数据；
第一接收单元 203,用于接收端站 STA发来的配置请求分组； 所述配置请 求分组由端站 STA收到所述配置激活分组后构建， 所述配置请求分组包括： 端站 STA通用唯一识别码、 端站 STA随机数、 接入点 AP随机数、 端站 STA 密钥数据、 端站 STA能力信息、 消息鉴别码和消息完整性校验值；
第二发送单元 204,用于接收到所述配置请求分组后构建端站 STA证书配 置请求分组发送给鉴别服务器 AS, 所述端站 STA证书配置请求分组包括： 端 站 STA通用唯一识别码、 端站 STA随机数、 接入点 AP随机数、 接入点 AP 证书、 接入点 STA能力信息、 消息鉴别码和接入点 AP签名；
第二接收单元 205,用于接收鉴别服务器 AS发来的端站 STA证书配置响 应分组，所述端站 STA证书配置响应分组由鉴别服务器 AS收到所述端站 STA 证书配置请求分组后构建， 所述端站 STA证书配置响应分组包括： 端站 STA 证书及对应私钥密文、 鉴别服务器 AS证书、 消息鉴别码和鉴别服务器 AS签 名； 第三发送单元 206,用于接收到端站 STA证书配置响应分组后构建配置响 应分组发给端站 STA, 所述配置响应分组包括： 端站 STA随机数、 消息完整 性校验值和端站 STA证书配置响应分组中的端站 STA证书及对应私钥密文、 鉴别服务器 AS证书、和消息鉴别码的内容， 以便端站 STA对所述配置响应分 组进行处理获得鉴别服务器 AS分发的端站 STA证书及对应私钥信息。
优选地， 如图 3所示：
AP还可以包括：
第一构建单元 207,用于生成用于橢圓曲线 ECDH交换的临时私钥 X和接 入点 AP密钥数据 χ·Ρ, 构建所述配置激活分组， 发送给第一发送单元 202进 行发送。
优选地， ΑΡ还可以包括：
第一验证单元 208, 用于收到配置请求分组后， 验证配置请求分组中的接 入点 ΑΡ随机数是否与第一发送单元发送的配置激活分组中的接入点 ΑΡ随机 数相同；
第一产生单元 209, 用于第一验证单元验证结果为相同时， 产生用于处理 端站 STA和接入点 ΑΡ之间信息的密钥；
第一判断单元 210, 用于利用得以产生单元产生的所述密钥中的消息鉴别 密钥验证配置请求分组中的消息完整性校验值，判断消息完整性校验值是否正 确；
第一丟弃单元 211 , 用于第一验证单元验证结果为不同时， 丟弃所述配置 请求分组；还用于第一判断单元判断结果为不正确时，丟弃所述配置请求分组； 相应的， 第二发送单元用于： 第一判断单元判断结果为正确时， 向鉴别服 务器 AS发送端站 STA证书配置请求分组；
其中， 第一产生单元 209可以包括：
第一计算子单元，用于使用接入点 AP的临时私钥 X和端站 STA密钥数据 yP进行 ECDH计算生成基密钥；
第二计算子单元，用于利用密钥导出函数对基密钥进行扩展生成消息机密 性密钥、 消息鉴别密钥和扩展使用密钥；
其中，第二发送单元还可以用于：利用配置的接入点 AP自身的私钥对 STA 证书配置请求分组中除接入点 AP签名部分内容外所有信息进行的签名运算产 生接入点 AP签名。
优选地， AP还可以包括：
第二验证单元 212,用于收到鉴别服务器 AS的端站 STA证书配置响应分 组后， 验证鉴别服务器 AS签名是否正确；
第二丟弃单元 213 , 用于第二验证单元的验证结果为不正确时， 则丟弃端 站 STA证书配置响应分组；
相应的， 第三发送单元 206还可以用于： 第二验证单元 212的验证结果为 正确时， 则执行所述构建配置响应分组发给端站 STA的步骤；
另外，第三发送单元 206还可以用于： 由端站 STA和接入点 AP之间的消 息鉴别密钥对 STA证书配置响应分组中除消息完整性校验值以外所有信息进 行杂凑计算产生所述配置响应分组中消息完整性校验值。
本发明还提供一种端站 STA, 如图 4所示， 端站 STA可以包括： 存储单元 401 , 用于存储鉴别服务器 AS和端站 STA之间的共享口令， 所 述口令是 STA出厂时配置的或者是由端站 STA随机产生的，且鉴别服务器 AS 知晓该口令；
第三接收单元 402, 用于接收接入点 AP发来的配置激活分组， 所述配置 激活分组包括： 接入点 AP随机数、 接入点 AP密钥数据；
第四发送单元 403, 用于第三接收单元收到所述配置激活分组后构建配置 请求分组发送给接入点 AP, 所述配置请求分组包括： 端站 STA通用唯一识别 码、 端站 STA随机数、 接入点 AP随机数、 端站 STA密钥数据、 端站 STA能 力信息、 消息鉴别码和消息完整性校验值；
第四接收单元 404, 用于接收接入点 AP发来的配置响应分组； 所述配置 响应分组在接入点 AP接收到所述配置请求分组后发送； 所述配置响应分组包 括： 端站 STA随机数、 消息完整性校验值和步骤 5 ) 中端站 STA证书配置响 应分组中的端站 STA证书及对应私钥密文、鉴别服务器 AS证书、和消息鉴别 码的内容；
处理单元 405 , 用于对第四接收单元接收到的配置响应分组进行处理， 获 得鉴别服务器 AS分发的端站 STA证书及对应私钥信息。
优选地， 如图 5所示， STA还可以包括：
第二产生单元 406, 用于收到接入点 AP发送的配置激活分组后， 产生用 于端站 STA和接入点 AP之间信息的密钥；
第三产生单元 407, 用于收到接入点 AP发送的配置激活分组后， 产生用 于端站 STA和鉴别服务器 AS之间信息的密钥；
其中， 第二产生单元 406可以包括：
第一生成子单元， 用于生成用于 ECDH交换的临时私钥 y和端站 STA密 钥数据 yP;
第三计算子单元，用于利用端站 STA的临时私钥 y和接入点 AP密钥数据 χ·Ρ进行 ECDH计算， 得到基密钥；
第二生成子单元，用于利用密钥导出函数对基密钥进行扩展生成消息机密 性密钥、 消息鉴别密钥和扩展使用密钥；
第三产生单元 407具体可以用于： 将端站 STA的口令作为基密钥， 利用 密钥导出函数对基密钥进行扩展生成消息机密性密钥、消息鉴别密钥和扩展使 用密钥。
优选地， 第四发送单元 403还可以用于： 由端站 STA和鉴别服务器 AS 之间的消息鉴别密钥对端站 STA通用唯一识别码、 端站 STA随机数、 接入点 AP随机数和端站 STA能力信息进行杂凑计算产生构建的配置请求分组中的消 息鉴别码；
第四发送单元 403还可以用于：由端站 STA和接入点 AP之间的消息鉴别 密钥对本分组除消息完整性校验值以外所有信息进行杂凑计算产生所述构建 的配置请求分组中的消息完整性校验值。 优选地， 处理单元 405可以包括：
第一验证子单元， 用于验证配置响应分组中的端站 STA随机数是否与第 四发送单元发送的配置请求分组中的端站 STA随机数相同；
第一鉴别子单元，用于第一验证子单元验证结果为相同时，利用端站 STA 和接入点 AP之间的消息鉴别密钥计算消息完整性校验值是否正确；
第二鉴别子单元，用于第一鉴别子单元鉴别结果为正确时，利用端站 STA 和鉴别服务器 AS之间的消息鉴别密钥计算分组中端站 STA证书及对应私钥密 文和鉴别服务器 AS证书的数据， 判断消息鉴别码是否正确；
第二验证子单元，用于第二鉴别子单元鉴别结果为正确时， 利用端站 STA 和鉴别服务器 AS之间的消息机密性密钥解密端站 STA证书及对应私钥密文得 到鉴别服务器 AS分发的端站 STA证书及对应私钥信息； 利用鉴别服务器 AS 证书中包含的鉴别服务器 AS公钥验证端站 STA证书中包含的鉴别服务器 AS 签名是否正确；
核实子单元， 用于第二验证子单元的验证结果为鉴别服务器 AS签名正确 时，核实端站 STA证书中包含的数据信息是否与端站 STA能力信息内容一致， 如果一致则得到的鉴别服务器 AS分发的端站 STA证书及对应私钥信息有效； 第一丟弃子单元， 用于第一验证单元验证结果为不同时，丟弃配置响应分 组； 用于第一鉴别子单元鉴别结果为不正确时， 丟弃配置响应分组； 用于第二 鉴别子单元鉴别结果为不正确时，丟弃配置响应分组； 用于第二验证子单元的 验证结果为鉴别服务器 AS签名不正确时， 丟弃配置响应分组； 用于核实子单 元的核实结果为不一致时， 丟弃配置响应分组。
本发明还提供一种鉴别服务器 AS, 如图 6所示， AS可以包括： 配置鉴别单元 601 , 用于配合接入点 AP配置无线局域网鉴别与保密基础 结构 WAPI机制中端站 STA所使用的证书及对应的私钥； 还用于对接入点 AP 证书的有效性进行鉴别；
第五接收单元 602,用于接收接入点 AP发来的端站 STA证书配置请求分 组； 所述端站 STA证书配置请求分组包括： 端站 STA通用唯一识别码、 端站 STA随机数、 接入点 AP随机数、 接入点 AP证书、 接入点 STA能力信息、 消 息鉴别码和接入点 AP签名；
第五发送单元 603 ,用于第五接收单元接收到所述端站 STA证书配置请求 分组后构建端站 STA证书配置响应分组发给接入点 AP, 所述端站 STA证书 配置响应分组包括： 端站 STA证书及对应私钥密文、鉴别服务器 AS证书、 消 息鉴别码和鉴别服务器 AS签名。
优选地， 如图 7所示， AS还可以包括：
第三验证单元 604,用于收到端站 STA证书配置请求分组后验证所述端站 STA证书配置请求分组中的接入点 AP证书的有效性；
第四验证单元 605, 用于第三验证单元验证结果为有效时， 验证所述端站 STA证书配置请求分组中的接入点 AP签名是否正确； 如果不正确， 则丟弃该 分组；
第四产生单元 606,用于第四验证单元的验证结果为正确时，根据端站 STA 通用唯一识别码标识端站 STA, 产生用于处理端站 STA和鉴别服务器 AS之 间信息的密钥；
第二判断单元 607 ,用于根据第四产生单元产生的密钥中端站 STA和鉴别 服务器 AS之间的消息鉴别密钥对端站 STA通用唯一识别码、 端站 STA随机 数、接入点 AP随机数和端站 STA能力信息进行杂凑计算，判断所述端站 STA 证书配置请求分组中的消息鉴别码是否正确；
第三丟弃单元 608,用于第三验证单元的验证结果为无效时，丟弃端站 STA 证书配置请求分组； 用于第四验证单元的验证结果为不正确时，丟弃端站 STA 证书配置请求分组； 用于第二判断单元的判断结果为不正确时，丟弃端站 STA 证书配置请求分组；
相应的，第五发送单元 603还可以用于：第二判断单元的判断结果为正确， 则端站 STA身份有效时， 执行所述构建端站 STA证书配置响应分组发给接入 点 AP的步骤；
其中， 第四产生单元 606具体可以用于： 将端站 STA口令作为基密钥； 利用密钥导出函数对基密钥进行扩展生成消息机密性密钥、消息鉴别密钥和扩 展使用密钥；
其中，第五发送单元 603还可以用于： 由鉴别服务器 AS利用端站 STA和 鉴别服务器 AS之间的消息机密性密钥加密要分发的端站 STA证书及对应私钥 信息生成所述端站 STA证书及对应私钥密文部分；由鉴别服务器 AS根据端站 STA证书配置请求分组中端站 STA能力信息的内容生成端站 STA证书； 由端 站 STA和鉴别服务器 AS之间的消息鉴别密钥对该分组中端站 STA证书及对 应私钥密文和鉴别服务器 AS证书进行杂凑计算生成所述消息鉴别码部分； 由 鉴别服务器 AS对该分组中除鉴别服务器 AS签名之外的所有数据的签名构成 所述鉴别服务器 AS签名部分。 本领域普通技术人员可以理解，实现上述实施例方法的过程可以通过程序 指令相关的硬件来完成， 所述的程序可以存储于可读取存储介质中， 该程序在 执行时执行上述方法中的对应步骤。 所述的存储介质可以如： ROM/RAM、 磁 碟、 光盘等。
以上所述仅是本发明的优选实施方式，应当指出，对于本技术领域的普通 技术人员来说， 在不脱离本发明原理的前提下， 还可以做出若干改进和润饰， 这些改进和润饰也应视为本发明的保护范围。

Claims

权 利 要 求
1、 一种无线局域网中端站的安全配置方法， 其特征在于， 所述方法包括 以下步骤：
1 )接入点 AP利用鉴别服务器 AS配置无线局域网鉴别与保密基础结构 WAPI机制中端站 STA所使用的证书及对应的私钥， 鉴别服务器 AS对接入点 AP证书的有效性进行鉴别； 鉴别服务器 AS和端站 STA之间具有共享口令， 所述口令是 STA出厂时配置的或者是由端站 STA随机产生的， 且鉴别服务器 AS知晓该口令；
2 )接入点 AP向端站 STA发送配置激活分组， 所述配置激活分组包括： 接入点 AP随机数、 接入点 AP密钥数据；
3 )端站 STA收到来自步骤 2 ) 的所述配置激活分组后构建配置请求分组 发送给接入点 AP, 所述配置请求分组包括： 端站 STA通用唯一识别码、 端站 STA随机数、 接入点 AP随机数、 端站 STA密钥数据、 端站 STA能力信息、 消息鉴别码和消息完整性校验值；
4 )接入点 AP收到来自步骤 3 ) 的所述配置请求分组后构建端站 STA证 书配置请求分组发送给鉴别服务器 AS ,所述端站 STA证书配置请求分组包括： 端站 STA通用唯一识别码、 端站 STA随机数、 接入点 AP随机数、 接入点 AP 证书、 接入点 STA能力信息、 消息鉴别码和接入点 AP签名；
5 ) 当鉴别服务器 AS收到来自步骤 4 ) 的端站 STA证书配置请求分组后 构建端站 STA证书配置响应分组发给接入点 AP, 所述端站 STA证书配置响 应分组包括： 端站 STA证书及对应私钥密文、鉴别服务器 AS证书、 消息鉴别 码和鉴别服务器 AS签名；
6 ) 当接入点 AP收到来自步骤 5 ) 的端站 STA证书配置响应分组后构建 配置响应分组发给端站 STA, 所述配置响应分组包括： 端站 STA随机数、 消 息完整性校验值和步骤 5 ) 中端站 STA证书配置响应分组中的端站 STA证书 及对应私钥密文、 鉴别服务器 AS证书、 和消息鉴别码的内容；
7 )端站 STA对步骤 6 )发来的配置响应分组后进行处理获得鉴别服务器 AS分发的端站 STA证书及对应私钥信息。
2、 根据权利要求 1所述的无线局域网中端站的安全配置方法， 其特征在 于，还包括： 接入点 AP本地生成用于橢圓曲线 ECDH交换的临时私钥 X和接 入点 AP密钥数据 χ·Ρ, 构建所述配置激活分组。
3、 根据权利要求 2所述的无线局域网中端站的安全配置方法， 其特征在 于，还包括： 所述步骤 3 )中端站 STA收到接入点 ΑΡ发送的配置激活分组后， 产生用于端站 STA和接入点 ΑΡ之间信息的密钥以及用于端站 STA和鉴别服 务器 AS之间信息的密钥。
4、 根据权利要求 3所述的无线局域网中端站的安全配置方法， 其特征在 于， 端站 STA产生用于端站 STA和接入点 AP之间信息的密钥包括：
3.1.1 )端站 STA本地生成用于 ECDH交换的临时私钥 y和端站 STA密钥 数据 yP;
3.1.2 )利用端站 STA的临时私钥 y和接入点 AP密钥数据 χ·Ρ进行 ECDH 计算， 得到基密钥；
3.1.3 )利用密钥导出函数对基密钥进行扩展生成消息机密性密钥、 消息鉴 别密钥和扩展使用密钥；
STA产生用于端站 STA和鉴别服务器 AS之间信息的密钥包括：
3.2.1 )将端站 STA的口令作为基密钥；
3.2.2 )利用密钥导出函数对基密钥进行扩展生成消息机密性密钥、 消息鉴 别密钥和扩展使用密钥。
5、 根据权利要求 4所述的无线局域网中端站的安全配置方法， 其特征在 于， 还包括：
所述构建的配置请求分组中的消息鉴别码由端站 STA和鉴别服务器 AS 之间的消息鉴别密钥对端站 STA通用唯一识别码、 端站 STA随机数、 接入点 AP随机数和端站 STA能力信息进行杂凑计算产生；
所述构建的配置请求分组中的消息完整性校验值由端站 STA和接入点 AP 之间的消息鉴别密钥对本分组除消息完整性校验值以外所有信息进行杂凑计 算产生。
6、 根据权利要求 4或 5所述的无线局域网中端站的安全配置方法， 其特 征在于， 还包括：
接入点 AP收到配置请求分组后， 验证配置请求分组中的接入点 AP随机 数是否与自己发送的配置激活分组中的接入点 AP随机数相同， 如果不同， 则 丟弃该分组；
如果相同，产生用于处理端站 STA和接入点 AP之间信息的密钥，利用所 述用于处理端站 STA和接入点 AP之间信息的密钥中的消息鉴别密钥验证配置 请求分组中的消息完整性校验值， 判断消息完整性校验值是否正确，如果不正 确，则丟弃该分组；如果正确，则由接入点 AP向鉴别服务器 AS发送端站 STA 证书配置请求分组；
其中， 所述产生用户处理端站 STA和接入点 AP之间信息的密钥包括： 4.1 )使用接入点 AP的临时私钥 X和端站 STA密钥数据 yP进行 ECDH 计算生成基密钥；
4.2 ) 利用密钥导出函数对基密钥进行扩展生成消息机密性密钥、 消息鉴 别密钥和扩展使用密钥；
所述构建的端站 STA证书配置请求分组中的接入点 AP签名由接入点 AP 利用步骤 1 ) 中配置的接入点 AP 自身的私钥对该分组中除接入点 AP签名部 分内容外所有信息进行的签名运算产生。
7、 根据权利要求 6所述的无线局域网中端站的安全配置方法， 其特征在 于， 还包括：
鉴别服务器 AS收到端站 STA证书配置请求分组后， 首先验证所述端站 STA证书配置请求分组中的接入点 AP证书的有效性， 如果无效， 则丟弃该分 组；
如果有效，验证所述端站 STA证书配置请求分组中的接入点 AP签名是否 正确， 如果不正确， 则丟弃该分组； 如果正确， ^据端站 STA通用唯一识别码标识端站 STA, 产生用于处理 端站 STA和鉴别服务器 AS之间信息的密钥， 根据产生的密钥中端站 STA和 鉴别服务器 AS之间的消息鉴别密钥对端站 STA通用唯一识别码、 端站 STA 随机数、接入点 AP随机数和端站 STA能力信息进行杂凑计算，判断所述端站 STA证书配置请求分组中的消息鉴别码是否正确，如果不正确，则丟弃该分组； 如果正确， 则端站 STA身份有效， 执行所述构建端站 STA证书配置响应 分组发给接入点 AP的步骤；
其中，所述产生用于处理端站 STA和鉴别服务器 AS之间信息的密钥包括：
5.1 )将步骤 1 ) 中已知晓的端站 STA口令作为基密钥；
5.2 ) 利用密钥导出函数对基密钥进行扩展生成消息机密性密钥、 消息鉴 别密钥和扩展使用密钥；
构建的所述端站 STA证书配置响应分组中， 所述端站 STA证书及对应私 钥密文部分由鉴别服务器 AS利用端站 STA和鉴别服务器 AS之间的消息机密 性密钥加密要分发的端站 STA证书及对应私钥信息生成， 端站 STA证书由鉴 别服务器 AS根据端站 STA证书配置请求分组中端站 STA能力信息的内容生 成；
所述消息鉴别码部分由端站 STA和鉴别服务器 AS之间的消息鉴别密钥对 该分组中端站 STA证书及对应私钥密文和鉴别服务器 AS证书进行杂凑计算生 成；
所述鉴别服务器 AS签名部分由鉴别服务器 AS对该分组中除鉴别服务器 AS签名之外的所有数据的签名构成。
8、 根据权利要求 7所述的无线局域网中端站的安全配置方法， 其特征在 于， 还包括：
当接入点 AP收到鉴别服务器 AS的端站 STA证书配置响应分组后，验证 鉴别服务器 AS签名是否正确， 如果不正确， 则丟弃该分组； 如果正确， 则执 行所述构建配置响应分组发给端站 STA的步骤；
其中， 所述配置响应分组中消息完整性校验值由端站 STA 和接入点 AP 之间的消息鉴别密钥对本分组除消息完整性校验值以外所有信息进行杂凑计 算产生。
9、 根据权利要求 8所述的无线局域网中端站的安全配置方法， 其特征在 于， 端站 STA对发来的配置响应分组进行处理包括：
7.1 )验证配置响应分组中的端站 STA随机数是否与自己发送的配置请求 分组中的端站 STA随机数相同， 如果不同， 则丟弃该分组； 如果相同， 则进 行步骤 7.2 );
7.2 ) 当端站 STA收到接入点 AP的配置响应分组后利用端站 STA和接入 点 AP之间的消息鉴别密钥计算消息完整性校验值是否正确， 如果不正确， 则 丟弃该配置响应分组； 如果正确， 则进行步骤 7.3 );
7.3 ) 利用端站 STA和鉴别服务器 AS之间的消息鉴别密钥计算分组中端 站 STA证书及对应私钥密文和鉴别服务器 AS证书的数据，判断消息鉴别码是 否正确， 如果不正确， 则丟弃该配置响应分组； 如果正确， 则进行步骤 7.4 );
7.4 )利用端站 STA和鉴别服务器 AS之间的消息机密性密钥解密端站 STA 证书及对应私钥密文得到鉴别服务器 AS分发的端站 STA证书及对应私钥信 息；端站 STA利用鉴别服务器 AS证书中包含的鉴别服务器 AS公钥验证端站 STA证书中包含的鉴别服务器 AS签名是否正确， 鉴别服务器 AS签名如果不 正确，则丟弃该配置响应分组；鉴别服务器 AS签名如果正确，则核实端站 STA 证书中包含的数据信息是否与端站 STA能力信息内容一致， 如果不一致， 则 丟弃该配置响应分组；如果一致则端站 STA得到的鉴别服务器 AS分发的端站 STA证书及对应私钥信息有效。
10、 一种接入点 AP, 其特征在于， 包括：
配置单元， 用于利用鉴别服务器 AS配置无线局域网鉴别与保密基础结构 WAPI机制中端站 STA所使用的证书及对应的私钥； 还用于配合鉴别服务器 AS对接入点 AP证书的有效性进行鉴别；
第一发送单元， 用于向端站 STA发送配置激活分组， 所述配置激活分组 包括： 接入点 AP随机数、 接入点 AP密钥数据；
第一接收单元， 用于接收端站 STA发来的配置请求分组； 所述配置请求 分组由端站 STA收到所述配置激活分组后构建， 所述配置请求分组包括： 端 站 STA通用唯一识别码、 端站 STA随机数、 接入点 AP随机数、 端站 STA密 钥数据、 端站 STA能力信息、 消息鉴别码和消息完整性校验值；
第二发送单元， 用于接收到所述配置请求分组后构建端站 STA证书配置 请求分组发送给鉴别服务器 AS, 所述端站 STA证书配置请求分组包括： 端站 STA通用唯一识别码、端站 STA随机数、接入点 AP随机数、接入点 AP证书、 接入点 STA能力信息、 消息鉴别码和接入点 AP签名；
第二接收单元，用于接收鉴别服务器 AS发来的端站 STA证书配置响应分 组， 所述端站 STA证书配置响应分组由鉴别服务器 AS收到所述端站 STA证 书配置请求分组后构建， 所述端站 STA证书配置响应分组包括： 端站 STA证 书及对应私钥密文、鉴别服务器 AS证书、消息鉴别码和鉴别服务器 AS签名； 第三发送单元， 用于接收到端站 STA证书配置响应分组后构建配置响应 分组发给端站 STA, 所述配置响应分组包括： 端站 STA随机数、 消息完整性 校验值和端站 STA证书配置响应分组中的端站 STA证书及对应私钥密文、 鉴 别服务器 AS证书、和消息鉴别码的内容， 以便端站 STA对所述配置响应分组 进行处理获得鉴别服务器 AS分发的端站 STA证书及对应私钥信息。
11、 根据权利要求 10所述的接入点 AP, 其特征在于， 还包括：
第一构建单元， 用于生成用于橢圓曲线 ECDH交换的临时私钥 X和接入 点 AP密钥数据 χ·Ρ, 构建所述配置激活分组。
12、 根据权利要求 10或 11所述的接入点 ΑΡ, 其特征在于， 还包括： 第一验证单元， 用于收到配置请求分组后，验证配置请求分组中的接入点
ΑΡ随机数是否与第一发送单元发送的配置激活分组中的接入点 ΑΡ随机数相 同；
第一产生单元， 用于第一验证单元验证结果为相同时，产生用于处理端站 STA和接入点 ΑΡ之间信息的密钥； 第一判断单元，用于利用得以产生单元产生的所述密钥中的消息鉴别密钥 验证配置请求分组中的消息完整性校验值， 判断消息完整性校验值是否正确； 第一丟弃单元， 用于第一验证单元验证结果为不同时，丟弃所述配置请求 分组； 还用于第一判断单元判断结果为不正确时， 丟弃所述配置请求分组； 相应的， 第二发送单元具体用于： 第一判断单元判断结果为正确时， 则向 鉴别服务器 AS发送端站 STA证书配置请求分组；
其中， 第一产生单元包括：
第一计算子单元，用于使用接入点 AP的临时私钥 X和端站 STA密钥数据 yP进行 ECDH计算生成基密钥；
第二计算子单元，用于利用密钥导出函数对基密钥进行扩展生成消息机密 性密钥、 消息鉴别密钥和扩展使用密钥；
其中，第二发送单元还用于： 利用配置的接入点 AP自身的私钥对 STA证 书配置请求分组中除接入点 AP签名部分内容外所有信息进行的签名运算产生 接入点 AP签名。
13、 根据权利要求 12所述的接入点 AP, 其特征在于， 还包括：
第二验证单元，用于收到鉴别服务器 AS的端站 STA证书配置响应分组后， 验证鉴别服务器 AS签名是否正确；
第二丟弃单元， 用于第二验证单元的验证结果为不正确时， 则丟弃端站
STA证书配置响应分组；
相应的， 第三发送单元还用于： 第二验证单元的验证结果为正确时， 则执 行所述构建配置响应分组发给端站 STA的步骤；
另外，第三发送单元还用于： 由端站 STA和接入点 AP之间的消息鉴别密 钥对 STA证书配置响应分组中除消息完整性校验值以外所有信息进行杂凑计 算产生所述配置响应分组中消息完整性校险值。
14、 一种端站 STA, 其特征在于， 包括：
存储单元，用于存储鉴别服务器 AS和端站 STA之间的共享口令，所述口 令是 STA出厂时配置的或者是由端站 STA随机产生的， 且鉴别服务器 AS知 晓该口令；
第三接收单元， 用于接收接入点 AP发来的配置激活分组， 所述配置激活 分组包括： 接入点 AP随机数、 接入点 AP密钥数据；
第四发送单元，用于第三接收单元收到所述配置激活分组后构建配置请求 分组发送给接入点 AP, 所述配置请求分组包括： 端站 STA通用唯一识别码、 端站 STA随机数、 接入点 AP随机数、 端站 STA密钥数据、 端站 STA能力信 息、 消息鉴别码和消息完整性校验值；
第四接收单元， 用于接收接入点 AP发来的配置响应分组； 所述配置响应 分组在接入点 AP接收到所述配置请求分组后发送； 所述配置响应分组包括： 端站 STA随机数、 消息完整性校验值和步骤 5 ) 中端站 STA证书配置响应分 组中的端站 STA证书及对应私钥密文、鉴别服务器 AS证书、和消息鉴别码的 内容；
处理单元， 用于对第四接收单元接收到的配置响应分组进行处理， 获得鉴 别服务器 AS分发的端站 STA证书及对应私钥信息。
15、 根据权利要求 14所述的端站 STA, 其特征在于， 还包括：
第二产生单元， 用于收到接入点 AP发送的配置激活分组后， 产生用于端 站 STA和接入点 AP之间信息的密钥；
第三产生单元， 用于收到接入点 AP发送的配置激活分组后， 产生用于端 站 STA和鉴别服务器 AS之间信息的密钥；
其中， 第二产生单元包括：
第一生成子单元， 用于生成用于 ECDH交换的临时私钥 y和端站 STA密 钥数据 yP;
第三计算子单元，用于利用端站 STA的临时私钥 y和接入点 AP密钥数据 χ·Ρ进行 ECDH计算， 得到基密钥；
第二生成子单元，用于利用密钥导出函数对基密钥进行扩展生成消息机密 性密钥、 消息鉴别密钥和扩展使用密钥；
第三产生单元具体用于： 将端站 STA的口令作为基密钥， 利用密钥导出 函数对基密钥进行扩展生成消息机密性密钥、 消息鉴别密钥和扩展使用密钥。
16、根据权利要求 14或 15所述的端站 STA, 其特征在于， 第四发送单元 还用于： 由端站 STA和鉴别服务器 AS之间的消息鉴别密钥对端站 STA通用 唯一识别码、 端站 STA随机数、 接入点 AP随机数和端站 STA能力信息进行 杂凑计算产生构建的配置请求分组中的消息鉴别码；
第四发送单元还用于：由端站 STA和接入点 AP之间的消息鉴别密钥对本 分组除消息完整性校验值以外所有信息进行杂凑计算产生所述构建的配置请 求分组中的消息完整性校验值。
17、根据权利要求 14或 15所述的端站 STA,其特征在于，处理单元包括： 第一验证子单元， 用于验证配置响应分组中的端站 STA随机数是否与第 四发送单元发送的配置请求分组中的端站 STA随机数相同；
第一鉴别子单元，用于第一验证子单元验证结果为相同时， 利用端站 STA 和接入点 AP之间的消息鉴别密钥计算消息完整性校验值是否正确；
第二鉴别子单元，用于第一鉴别子单元鉴别结果为正确时， 利用端站 STA 和鉴别服务器 AS之间的消息鉴别密钥计算分组中端站 STA证书及对应私钥密 文和鉴别服务器 AS证书的数据， 判断消息鉴别码是否正确；
第二验证子单元，用于第二鉴别子单元鉴别结果为正确时， 利用端站 STA 和鉴别服务器 AS之间的消息机密性密钥解密端站 STA证书及对应私钥密文得 到鉴别服务器 AS分发的端站 STA证书及对应私钥信息； 利用鉴别服务器 AS 证书中包含的鉴别服务器 AS公钥验证端站 STA证书中包含的鉴别服务器 AS 签名是否正确；
核实子单元， 用于第二验证子单元的验证结果为鉴别服务器 AS签名正确 时，核实端站 STA证书中包含的数据信息是否与端站 STA能力信息内容一致， 如果一致则得到的鉴别服务器 AS分发的端站 STA证书及对应私钥信息有效； 第一丟弃子单元， 用于第一验证单元验证结果为不同时，丟弃配置响应分 组； 用于第一鉴别子单元鉴别结果为不正确时， 丟弃配置响应分组； 用于第二 鉴别子单元鉴别结果为不正确时，丟弃配置响应分组； 用于第二验证子单元的 验证结果为鉴别服务器 AS签名不正确时， 丟弃配置响应分组； 用于核实子单 元的核实结果为不一致时， 丟弃配置响应分组。
18、 一种鉴别服务器 AS, 其特征在于， 包括：
配置鉴别单元， 用于配合接入点 AP配置无线局域网鉴别与保密基础结构 WAPI机制中端站 STA所使用的证书及对应的私钥； 还用于对接入点 AP证书 的有效性进行鉴别；
第五接收单元， 用于接收接入点 AP发来的端站 STA证书配置请求分组； 所述端站 STA证书配置请求分组包括： 端站 STA通用唯一识别码、 端站 STA 随机数、 接入点 AP随机数、 接入点 AP证书、 接入点 STA能力信息、 消息鉴 别码和接入点 AP签名；
第五发送单元， 用于第五接收单元接收到所述端站 STA证书配置请求分 组后构建端站 STA证书配置响应分组发给接入点 AP, 所述端站 STA证书配 置响应分组包括： 端站 STA证书及对应私钥密文、鉴别服务器 AS证书、 消息 鉴别码和鉴别服务器 AS签名。
19、 根据权利要求 18所述的鉴别服务器 AS, 其特征在于， 还包括： 第三验证单元，用于收到端站 STA证书配置请求分组后验证所述端站 STA 证书配置请求分组中的接入点 AP证书的有效性；
第四验证单元，用于第三验证单元验证结果为有效时，验证所述端站 STA 证书配置请求分组中的接入点 AP签名是否正确；如果不正确，则丟弃该分组； 第四产生单元， 用于第四验证单元的验证结果为正确时， 根据端站 STA 通用唯一识别码标识端站 STA, 产生用于处理端站 STA和鉴别服务器 AS之 间信息的密钥；
第二判断单元， 用于根据第四产生单元产生的密钥中端站 STA和鉴别服 务器 AS之间的消息鉴别密钥对端站 STA通用唯一识别码、端站 STA随机数、 接入点 AP随机数和端站 STA能力信息进行杂凑计算， 判断所述端站 STA证 书配置请求分组中的消息鉴别码是否正确；
第三丟弃单元， 用于第三验证单元的验证结果为无效时， 丟弃端站 STA 证书配置请求分组； 用于第四验证单元的验证结果为不正确时，丟弃端站 STA 证书配置请求分组； 用于第二判断单元的判断结果为不正确时，丟弃端站 STA 证书配置请求分组；
相应的， 第五发送单元还用于： 第二判断单元的判断结果为正确， 则端站 STA身份有效时， 执行所述构建端站 STA证书配置响应分组发给接入点 AP 的步骤；
其中， 第四产生单元具体用于： 将端站 STA 口令作为基密钥； 利用密钥 导出函数对基密钥进行扩展生成消息机密性密钥、消息鉴别密钥和扩展使用密 钥；
其中，第五发送单元还用于： 由鉴别服务器 AS利用端站 STA和鉴别服务 器 AS之间的消息机密性密钥加密要分发的端站 STA证书及对应私钥信息生成 所述端站 STA证书及对应私钥密文部分； 由鉴别服务器 AS根据端站 STA证 书配置请求分组中端站 STA能力信息的内容生成端站 STA证书； 由端站 STA 和鉴别服务器 AS之间的消息鉴别密钥对该分组中端站 STA证书及对应私钥密 文和鉴别服务器 AS证书进行杂凑计算生成所述消息鉴别码部分； 由鉴别服务 器 AS对该分组中除鉴别服务器 AS签名之外的所有数据的签名构成所述鉴别 服务器 AS签名部分。
20、 一种无线局域网中端站的安全配置系统， 其特征在于， 包括： 端站 STA、 接入点 AP和鉴别服务器 AS;
接入点 AP用于：
利用鉴别服务器 AS配置无线局域网鉴别与保密基础结构 WAPI机制中端 站 STA所使用的证书及对应的私钥；
向端站 STA发送配置激活分组，所述配置激活分组包括：接入点 AP随机 数、 接入点 AP密钥数据；
接收到配置请求分组后构建端站 STA证书配置请求分组发送给鉴别服务 器 AS, 所述端站 STA证书配置请求分组包括： 端站 STA通用唯一识别码、 端站 STA随机数、 接入点 AP随机数、 接入点 AP证书、 接入点 STA能力信 息、 消息鉴别码和接入点 AP签名；
接收到端站 STA证书配置响应分组后构建配置响应分组发给端站 STA, 所述配置响应分组包括： 端站 STA随机数、 消息完整性校验值和端站 STA证 书配置响应分组中的端站 STA证书及对应私钥密文、鉴别服务器 AS证书、和 消息鉴别码的内容， 以便端站 STA对所述配置响应分组进行处理获得鉴别服 务器 AS分发的端站 STA证书及对应私钥信息；
鉴别服务器 AS用于：
用于配合接入点 AP配置无线局域网鉴别与保密基础结构 WAPI机制中端 站 STA所使用的证书及对应的私钥； 对接入点 AP证书的有效性进行鉴别； 接收到所述端站 STA证书配置请求分组后构建端站 STA证书配置响应分 组发给接入点 AP, 所述端站 STA证书配置响应分组包括： 端站 STA证书及 对应私钥密文、 鉴别服务器 AS证书、 消息鉴别码和鉴别服务器 AS签名； 端站 STA用于：
存储鉴别服务器 AS和端站 STA之间的共享口令， 所述口令是 STA出厂 时配置的或者是由端站 STA随机产生的， 且鉴别服务器 AS知晓该口令； 接收接入点 AP发来的配置激活分组后构建配置请求分组发送给接入点 AP, 所述配置请求分组包括： 端站 STA通用唯一识别码、 端站 STA随机数、 接入点 AP随机数、 端站 STA密钥数据、 端站 STA能力信息、 消息鉴别码和 消息完整性校验值；
接收接入点 AP发来的配置响应分组， 对配置响应分组进行处理获得鉴别 服务器 AS分发的端站 STA证书及对应私钥信息。
PCT/CN2011/078158 2010-12-06 2011-08-09 无线局域网中端站的安全配置方法、ap、sta、as及系统 WO2012075825A1 (zh)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN2010105746138A CN102045716B (zh) 2010-12-06 2010-12-06 一种无线局域网中端站的安全配置方法和系统
CN201010574613.8 2010-12-06

Publications (1)

Publication Number Publication Date
WO2012075825A1 true WO2012075825A1 (zh) 2012-06-14

Family

ID=43911372

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2011/078158 WO2012075825A1 (zh) 2010-12-06 2011-08-09 无线局域网中端站的安全配置方法、ap、sta、as及系统

Country Status (2)

Country Link
CN (1) CN102045716B (zh)
WO (1) WO2012075825A1 (zh)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN113746609A (zh) * 2019-09-29 2021-12-03 腾讯科技（深圳）有限公司 通信方法、装置、计算机可读介质及电子设备

Families Citing this family (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102045716B (zh) * 2010-12-06 2012-11-28 西安西电捷通无线网络通信股份有限公司 一种无线局域网中端站的安全配置方法和系统
CN102624531B (zh) * 2012-04-25 2014-12-03 西安西电捷通无线网络通信股份有限公司 一种数字证书自动申请方法和装置及系统
CN102833877B (zh) * 2012-08-06 2015-12-16 Tcl集团股份有限公司 一种Wi-Fi共享方法及系统
CN103501494B (zh) * 2013-10-14 2016-08-10 中国联合网络通信集团有限公司 移动热点终端接入方法、移动热点终端及移动管理实体
CN107302544B (zh) * 2017-08-15 2019-09-13 迈普通信技术股份有限公司 证书申请方法、无线接入控制设备及无线接入点设备
CN111600718B (zh) * 2020-05-13 2022-01-25 广东电网有限责任公司电力科学研究院 一种数字证书离线认证系统和方法
CN114697965B (zh) * 2020-12-30 2024-02-20 展讯半导体(南京)有限公司 接入设备的配置方法及装置、存储介质、接入设备、服务器
CN115988492A (zh) * 2022-12-12 2023-04-18 国网吉林省电力有限公司 物联网设备可信入网方法、装置、服务器及存储介质

Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1642073A (zh) * 2004-01-17 2005-07-20 神州亿品科技（北京）有限公司 无线局域网中组密钥的协商及更新方法
CN101114906A (zh) * 2006-07-26 2008-01-30 北京中电华大电子设计有限责任公司 802.11芯片中管理wpi密钥的方法和装置
CN101155396A (zh) * 2006-09-25 2008-04-02 联想(北京)有限公司 一种终端结点切换方法
CN101282215A (zh) * 2008-05-29 2008-10-08 杭州华三通信技术有限公司 证书鉴别方法和设备
CN101527907A (zh) * 2009-03-31 2009-09-09 刘建 无线局域网接入认证方法及无线局域网系统
CN102045716A (zh) * 2010-12-06 2011-05-04 西安西电捷通无线网络通信股份有限公司 一种无线局域网中端站的安全配置方法和系统

Family Cites Families (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1697370A (zh) * 2004-05-14 2005-11-16 华为技术有限公司 一种无线局域网移动终端申请证书的方法
CN100454876C (zh) * 2007-02-06 2009-01-21 西安西电捷通无线网络通信有限公司 无线局域网wapi安全机制中证书的申请方法
CN101364876B (zh) * 2008-09-12 2011-07-06 西安西电捷通无线网络通信股份有限公司 一种实现实体的公钥获取、证书验证及鉴别的方法

Patent Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1642073A (zh) * 2004-01-17 2005-07-20 神州亿品科技（北京）有限公司 无线局域网中组密钥的协商及更新方法
CN101114906A (zh) * 2006-07-26 2008-01-30 北京中电华大电子设计有限责任公司 802.11芯片中管理wpi密钥的方法和装置
CN101155396A (zh) * 2006-09-25 2008-04-02 联想(北京)有限公司 一种终端结点切换方法
CN101282215A (zh) * 2008-05-29 2008-10-08 杭州华三通信技术有限公司 证书鉴别方法和设备
CN101527907A (zh) * 2009-03-31 2009-09-09 刘建 无线局域网接入认证方法及无线局域网系统
CN102045716A (zh) * 2010-12-06 2011-05-04 西安西电捷通无线网络通信股份有限公司 一种无线局域网中端站的安全配置方法和系统

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN113746609A (zh) * 2019-09-29 2021-12-03 腾讯科技（深圳）有限公司 通信方法、装置、计算机可读介质及电子设备
CN113746609B (zh) * 2019-09-29 2022-11-22 腾讯科技（深圳）有限公司 通信方法、装置、计算机可读介质及电子设备

Also Published As

Publication number Publication date
CN102045716A (zh) 2011-05-04
CN102045716B (zh) 2012-11-28

Similar Documents

Publication Publication Date Title
WO2012075825A1 (zh) 无线局域网中端站的安全配置方法、ap、sta、as及系统
US8001381B2 (en) Method and system for mutual authentication of nodes in a wireless communication network
US8312278B2 (en) Access authentication method applying to IBSS network
CN101527908B (zh) 一种无线局域网终端的预鉴别方法及无线局域网系统
US20060094401A1 (en) Method and apparatus for authentication of mobile devices
WO2017049461A1 (zh) 用户设备ue的接入方法、设备及系统
US20100211790A1 (en) Authentication
JP2010503326A5 (ja) インフラストラクチャベースの無線マルチホップネットワークにおけるセキュリティ認証及び鍵管理方法
JP5399404B2 (ja) 一方向アクセス認証の方法
WO2013010469A1 (zh) 建立连接的方法、终端和接入点
WO2016101494A1 (zh) 一种无线智能接入方法
WO2011020274A1 (zh) 一种有线局域网的安全访问控制方法及其系统
WO2006131061A1 (fr) Procede d'authentification et procede de transmission d'informations correspondant
JP2010503330A (ja) アドホック無線ネットワークのノード間においてセキュリティ・アソシエーションを確立するための方法及び装置
JP2010504669A (ja) ネットワークのアクセス認証及び承認の方法、及び承認鍵のアップデート方法
KR20120091635A (ko) 통신 시스템에서 인증 방법 및 장치
WO2007028328A1 (fr) Procede, systeme et dispositif de negociation a propos d'une cle de chiffrement partagee par equipement utilisateur et equipement externe
WO2011022915A1 (zh) 一种基于预共享密钥的网络安全访问控制方法及其系统
WO2015100974A1 (zh) 一种终端认证的方法、装置及系统
Gehrmann et al. Security in personal area networks
WO2010135890A1 (zh) 基于对称加密算法的双向认证方法及系统
WO2011109960A1 (zh) 基于身份的双向认证方法及系统
WO2011020279A1 (zh) 一种基于公钥证书的身份鉴别方法及其系统
CN100525182C (zh) 用于无线网络的鉴别与保密方法
US20120017080A1 (en) Method for establishing safe association among wapi stations in ad-hoc network

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 11846103

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 11846103

Country of ref document: EP

Kind code of ref document: A1