WO2013104301A1 - 发送消息的方法、建立安全连接的方法、接入点和工作站 - Google Patents

发送消息的方法、建立安全连接的方法、接入点和工作站 Download PDF

Info

Publication number
WO2013104301A1
WO2013104301A1 PCT/CN2013/070242 CN2013070242W WO2013104301A1 WO 2013104301 A1 WO2013104301 A1 WO 2013104301A1 CN 2013070242 W CN2013070242 W CN 2013070242W WO 2013104301 A1 WO2013104301 A1 WO 2013104301A1
Authority
WO
WIPO (PCT)
Prior art keywords
sta
message
dhcp
reply message
mic
Prior art date
Application number
PCT/CN2013/070242
Other languages
English (en)
French (fr)
Inventor
朱李
Original Assignee
中兴通讯股份有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 中兴通讯股份有限公司 filed Critical 中兴通讯股份有限公司
Publication of WO2013104301A1 publication Critical patent/WO2013104301A1/zh

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
    • H04W12/043—Key management, e.g. using generic bootstrapping architecture [GBA] using a trusted network node as an anchor
    • H04W12/0431—Key distribution or pre-distribution; Key agreement
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L61/00—Network arrangements, protocols or services for addressing or naming
    • H04L61/50—Address allocation
    • H04L61/5007—Internet protocol [IP] addresses
    • H04L61/5014—Internet protocol [IP] addresses using dynamic host configuration protocol [DHCP] or bootstrap protocol [BOOTP]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
    • H04W12/041—Key generation or derivation
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/10—Integrity
    • H04W12/106—Packet or message integrity
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/12—Applying verification of the received information
    • H04L63/123—Applying verification of the received information received data contents, e.g. message integrity

Definitions

  • the present invention relates to the field of communications, and in particular, to a method for transmitting a message, a method for establishing a secure connection, an access point, and a workstation. Background technique
  • the Institute of Electrical and Electronics Engineers (IEEE) 802.11 is one of the first generation of Wireless Local Area Networks (WLAN) standards.
  • the standard defines specifications for the physical layer and media access control (MAC) protocols, allowing wireless LAN and wireless device manufacturers to establish interoperable network devices within a certain range.
  • MAC media access control
  • the IEEE 802.11 WLAN standard working group has developed a series of standard families, among which 802.11a, 802.11b, 802.l lg, 802.11 ⁇ and other standards have greater influence and application.
  • Wi-Fi Alliance which corresponds to IEEE 802.11, was established in 1999 as a non-profit international organization to test the interoperability of WLAN products based on the IEEE 802.11 specification.
  • the goal of Wi-Fi Alliance members is to increase user experience through product interoperability.
  • an IEEE 802.11 network includes: a station (STA) and a wireless access point (AP).
  • the STA is any device that has an IEEE 802.11 MAC layer and a physical (PHY) layer interface, and is usually composed of a PC or a notebook computer plus a wireless network card, and the wireless terminal can also be provided on a non-computer terminal.
  • Wirelessly connected embedded devices such as smart terminals with WLAN capabilities).
  • An AP can be thought of as a wireless hub that provides bridging between STAs and existing backbone networks (wired or wireless).
  • An AP and one or more STAs in its coverage form a Basic Service Set (BSS).
  • BSS Basic Service Set
  • the BSS is uniquely identified by a basic service set identifier (BSSID), which is the MAC address of the AP.
  • BSSID basic service set identifier
  • Terminals can communicate with each other within a BSS.
  • a larger-scale virtual BSS formed by multiple BSSs of the same service set identifier (SSID) is defined as an Extended Service Set (ESS).
  • ESS Extended Service Set
  • the terminals can communicate within the same ESS and can move between multiple BSSs of the subordinates.
  • a network in which multiple BSSs are connected in an ESS and a wired network are called a distribution system (DS).
  • DS can use wireless or have Line technology, usually using Ethernet technology.
  • the WLAN network also includes an Authentication Server (AS) and a Dynamic Host Configuration Protocol Server (DHCP) server, as shown in Figure 2.
  • AS Authentication Server
  • DHCP Dynamic Host Configuration Protocol Server
  • An AS is an entity that provides authentication services for STAs. Only authenticated STAs can be authorized to access 802.11 networks.
  • the AS can also be embedded in the AP.
  • the DHCP server assigns an IP address to the STA.
  • the STA can access the Internet through the WLAN network.
  • the secure key architecture introduced by IEEE 802.l li where the Pairwise Master Key (PMK) is the STA and AS in the Extended Authentication Protocol (EAP) authentication process.
  • the keys generated by each are 256 bits long.
  • a Pair Transient Key (PTK) is a key derived by the STA and the AP according to the PMK, and the random number generated by the STA (SNonce) and the random number generated by the AP (ANonce).
  • the lower 128 bits of the PTK are the Key Confirmation Key (KCK), the middle 128 bits are the Key Encryption Key (KEK), and the remaining high-order MSBs are temporary keys (Temporal Key, TK). ).
  • KCK is used to provide data source authentication for the LAN-based extended authentication protocol (EAP Over LAN, EAPOL)-key (KEY) message during the 4-way handshake process and the group key handshake process; KEK is used for 4 handshakes The EAPOL-KEY message handshaked with the group key provides confidentiality protection; the TK is used to protect the transmission of data messages between the STA and the AP.
  • EAPOL extended authentication protocol
  • KEY 4 handshakes
  • the EAPOL-KEY message handshaked with the group key provides confidentiality protection
  • the TK is used to protect the transmission of data messages between the STA and the AP.
  • IEEE 802.11 also defines a group temporary key (GTK).
  • GTK is a random number generated by the AP.
  • the GTK is encrypted and transmitted to the STA.
  • FIG. 4 it is a flowchart of a secure connection establishment with an IP address allocation when a STA initially accesses an IEEE 802.11 network in the prior art, and the specific steps are as follows:
  • Steps 401-402 related procedures before the STA completes association with the network; this includes the skipped Beacon or Probe Request/Response process that is skipped before step 401; the STA sends the EAP response (EAP_Response) /ID Auth message to the AP; the AP forwards the AAA EAP-Response/ID message to the AS;
  • Steps 403-409 This process is an EAP algorithm-specific authentication process, including the following steps:
  • the AS sends an AAA EAP Request (EAP-Request) message to the AP.
  • the AP generates a random number ANonce and carries it in the EAPoL-Key message.
  • the AP sends an Auth message to the STA, where the message includes an EAP_Request message and/or an EAPoL-Key message.
  • the STA may need to perform multi-step interaction with the AS to continue EAP authentication. After that, the STA generates a random number SNonce, generates MSK, PMK, generates PTK according to PMK, SNone and ANonce, and generates KCK and KEK according to PTK.
  • the STA sends an association request message to the AP, where the message includes the EAP_Response, the DHCP-Discover w/Rapid Commit, the EAPoL-Key message, and the message integrity coding (MIC) of all MAC service data units (MSDUs) protected by the KCK. .
  • the EAPoL-Key message contains the random number SNonce generated by ST A.
  • DHCP related messages can be encrypted with KEK.
  • the entire association request message is integrity protected with KCK and carries the calculated MIC value;
  • the AP caches the MSDU MIC and the encrypted DHPC Discover message
  • the AP sends an AAA EAP-Response message to the AS to continue EAP authentication.
  • Step 410 EAP authentication is successfully completed, and the AS generates MSK and/or PMK.
  • Step 411 The AS sends an AAA EAP Success (EAP-Success) message to the AP, where the message carries the PMK.
  • EAP-Success AAA EAP Success
  • Step 412 The AP generates a PTK according to the received PMK, SNonce, and ANonde, and generates KCK and KEK according to the PTK; the AP verifies the MSDU MIC by using the generated KCK. If the insurance certificate is successful, the AP uses the generated KEK to decrypt the DHCP-Discover message;
  • Step 413 The AP sends a DHCP discovery (DHCP-Discover w/Rapid Commit) message with a fast-distributed DHCP discovery or a fast allocation to the DHCP server.
  • DHCP discovery DHCP-Discover w/Rapid Commit
  • Step 414 The DHCP server allocates an IP address to the STA, and sends a DHCP-Ack w/Rapid Commit message to the AP to complete the DHCP procedure.
  • Step 415 The AP sends an association reply message to the STA, where the message includes an Association Identifier (AID) assigned by the AP for the STA, an EAP_Success, a DHCP-Ack w/Rapid Commit message, an EAPoL-Key message, and a KCK protection
  • AID Association Identifier
  • EAPoL-Key message includes GTK and IGTK (Integrity Group Temporal Key);
  • Step 416 The STA checks the MIC of the associated reply message. If the verification is successful, the STA installs the PTK. GTK and IGTK;
  • Step 417 The AP installs the PTK.
  • the secure connection between the STA and the AP is completed.
  • the associated reply message in step 415 is sent to the STA after the AP receives the DHCP-Ack w/Rapid Commit sent by the DHCP server.
  • the STA can enter the state of the authenticated association according to the content carried in the message, and the state machine enters the state of the full EAP context.
  • the AP After receiving a DHCPACK after a reasonable period of time has elapsed, the AP will send a message to inform the STA of this problem, and then use the appropriate
  • the default way to start a network program such as resending a DHCP request, etc., the STA cannot receive an associated reply message until the DHCP program is completed. If, for some reason, the DHCP server allocates an IP address to the STA for a long time, the STA does not receive the associated reply message sent by the AP after the STA expires. This will cause the STA to be unable to determine the problem of the security establishment process. This is not conducive to the control of the state machine in the STA. The STA cannot know whether the EAP authentication is successful or not.
  • the EAP re-authentication includes various EAP-related re-authentication protocols such as EAP-RP.
  • EAP-RP EAP-related re-authentication protocols
  • the mobile device When the mobile device initially enters an ESS, the mobile device must perform the process of establishing an initial link for the STA to initially enter the network as shown in FIG.
  • the process of establishing the initial link if a large number of users need to access the WLAN network in a short time at the same time (for example, at an airport, a large number of users need to connect to the WLAN network to obtain relevant traffic information after getting off the aircraft), The problem of longer delays will be more serious.
  • IEEE 802.il has established an 802.11ai working group to solve the problem of mobile devices without reducing the security level of the original 802.11 network Robust Security Network Association (RSNA). Quickly establish the problem of the initial link. As part of the process of quickly establishing a secure link for mobile devices, DHCP-related network access delays need to be addressed to enable rapid establishment of links between mobile devices and the network.
  • RSNA Robust Security Network Association
  • the network delay caused by the DHCP program in the security establishment process needs to be solved. It will speed up the speed of mobile users and improve the user experience.
  • the embodiment of the invention provides a method for sending a message, a method for establishing a secure connection, an access point and a workstation, to solve the problem of network access delay caused by DHCP.
  • An embodiment of the present invention provides a method for sending a message, the method comprising: an access point (AP) generating a pairwise temporary key (PTK) and/or a check message integrity coding (MIC); the AP to the workstation (STA) sends an association reply message and performs a DHCP procedure with a Dynamic Host Configuration Protocol (DHCP) server; or, only sends an associated reply message containing the IP address to the STA.
  • AP access point
  • PTK pairwise temporary key
  • MIC check message integrity coding
  • STA workstation
  • DHCP Dynamic Host Configuration Protocol
  • the associated reply message includes one of the following parameters or any combination thereof: an association identifier (AID), an extended authentication protocol (EAP) authentication success message, and a local area network-based extended authentication protocol secret assigned by the AP to the STA.
  • AID association identifier
  • EAP extended authentication protocol
  • MIC local area network-based extended authentication protocol secret assigned by the AP to the STA.
  • Key (EAPoL-Key) message and MIC the associated reply message including the IP address further includes the AID, the EAP authentication success message, the EAPoL-Key message, and the MIC; wherein the EAPoL-Key message includes a group temporary key (GTK) ) and / or integrity group temporary key (IGTK).
  • GTK group temporary key
  • IGTK integrity group temporary key
  • the process of performing DHCP by the AP and the DHCP server includes:
  • the AP sends a DHCP procedure request message to the DHCP server.
  • the performing the DHCP process by the AP and the DHCP server further includes:
  • the AP receives an IP address assigned by the DHCP server to the STA.
  • the DHCP process includes a DHCPv4, a DHCPv6, a neighbor discovery (ND), and a stateless address autoconfiguration process.
  • an association reply message to the STA includes:
  • the timer starts timing after the AP sends the DHCP procedure request message to the DHCP server, and if the timer expires, the AP has not received the DHCP server. Returning the DHCP procedure reply message, the AP sends the association reply message to the STA; or Setting a timer in the AP, the timer starts counting after the AP sends the DHCP procedure request message to the DHCP server, and if the timer is not expired, the AP receives the DHCP server to return.
  • the DHCP process replies to the message, and the AP sends the associated reply message including the IP address to the STA.
  • the method further includes: if the timer expires, the AP has not received the
  • the DHCP process response message or the DHCP process negative response message returned by the DHCP server sends an message to the STA, so that the STA performs the DHCP process again.
  • the method further includes: after receiving the DHCP process response message sent by the DHCP server, the AP sends the DHCP process response message to the STA .
  • the DHCP procedure response message is carried in an association response message sent by the AP to the STA.
  • An embodiment of the present invention provides a method for establishing a secure connection, where the method includes:
  • the workstation receives an associated reply message sent by the access point (AP); the STA checks the message integrity coding (MIC), and selects to re-extend the extended authentication protocol (EAP) authentication according to the check result, or selects to wait for the dynamic The Host Configuration Protocol (DHCP) process replies to the message.
  • MIC message integrity coding
  • EAP extended authentication protocol
  • DHCP Host Configuration Protocol
  • the associated reply message includes one of the following parameters or any combination thereof: an association identifier (AID) assigned by the AP to the STA, an EAP authentication success message, and a LAN-based extended authentication protocol key (EAPoL-Key) Message and MIC; wherein the EAPoL-Key message contains a group temporary key (GTK) and/or an integrity group temporary key (IGTK).
  • AID association identifier
  • EAPoL-Key LAN-based extended authentication protocol key
  • GTK group temporary key
  • IGTK integrity group temporary key
  • the method further includes: the STA checks the MIC, and installs the paired temporary key (PTK), the group temporary after the verification succeeds. Key (GTK) and integrity group temporary key (IGTK).
  • PTK paired temporary key
  • GTK integrity group temporary key
  • IGTK integrity group temporary key
  • the STA selects to re-authenticate according to the verification result, or selects to wait for a dynamic host configuration protocol (DHCP) process reply message, including: after the STA fails to verify the MIC, re-establish EAP authentication or re-establish After the STA successfully checks the MIC, the STA selects a DHCP procedure reply message waiting for the AP to return.
  • DHCP dynamic host configuration protocol
  • the The method further includes: the STA receiving a DHCP procedure reply message returned by the AP that includes an IP address assigned to the STA; or
  • the timer starts after the STA receives the association reply message or after the STA verifies that the MIC is successful, and if the timer expires, the STA has not yet Upon receiving the DHCP procedure reply message returned by the AP, the STA initiates the DHCP procedure again.
  • the method further includes: the STA enters an authenticated associated state, and the state machine corresponding to the STA enters a full EAP context state.
  • An embodiment of the present invention provides a method for sending a message, where the method includes:
  • the access point (AP) receives an EAP authentication failure message sent after the authentication server (AS) fails to perform Extended Authentication Protocol (EAP) authentication; the AP sends an association reply message to the workstation (STA), where the associated reply message includes EAP authentication. Failure message.
  • AS authentication server
  • EAP Extended Authentication Protocol
  • An embodiment of the present invention provides a method for establishing a secure connection, where the method includes:
  • STA receives an association reply message sent by the access point (AP), including an extended authentication protocol (EAP) authentication failure message; the STA re-establishes EAP authentication or re-establishes a secure connection.
  • AP access point
  • EAP extended authentication protocol
  • An embodiment of the present invention provides an access point (AP), where the AP includes:
  • Generate a verification module set to: generate a pairwise temporary key (PTK) and/or check message integrity code (MIC);
  • PTK pairwise temporary key
  • MIC check message integrity code
  • the processing module is configured to: send an association reply message to the workstation (STA) and perform a DHCP procedure with a dynamic host configuration protocol (DHCP) server; or send an association reply message including the IP address only to the STA.
  • STA workstation
  • DHCP dynamic host configuration protocol
  • the associated reply message includes one of the following parameters or any combination thereof: an association identifier (AID), an extended authentication protocol (EAP) authentication success message, and a local area network-based extended authentication protocol secret assigned by the AP to the STA.
  • AID association identifier
  • EAP extended authentication protocol
  • MIC local area network-based extended authentication protocol secret assigned by the AP to the STA.
  • Key (EAPoL-Key) message and MIC the associated reply message including the IP address further includes the AID, the EAP authentication success message, the EAPoL-Key message, and the MIC; wherein the EAPoL-Key message includes a group temporary key (GTK) ) and / or integrity group Pro Time key (IGTK).
  • GTK group temporary key
  • IGTK integrity group Pro Time key
  • the processing module is configured to: perform a DHCP process with the DHCP server, and send a DHCP procedure request message to the DHCP server.
  • the processing module is further configured to: receive an IP address allocated by the DHCP server for the STA.
  • the processing module is configured to: send an association reply message to the STA,
  • the timer starts timing after the processing module sends the DHCP procedure request message to the DHCP server, and if the timer expires, the DHCP server has not received the return.
  • DHCP reply message sending the associated reply message to the STA; or
  • the timer starts counting after the AP sends the DHCP procedure request message to the DHCP server, and if the timer is not expired, the AP receives the DHCP server to return.
  • the DHCP process replies to the message, and the AP sends the associated reply message including the IP address to the STA.
  • the processing module is further configured to: if the timer expires, and the DHCP process response message or the DHCP process negative response message returned by the DHCP server has not been received, send a message to the STA, so as to The STA re-executes the DHCP process.
  • the processing module is further configured to: after receiving the DHCP procedure response message sent by the DHCP server, after the DHCP process is performed, the DHCP process response message is directly sent or carried in the association response message. Sent to the STA.
  • the AP further includes:
  • the receiving module is configured to: receive an extended authentication protocol (EAP) authentication failure message sent after the authentication server (AS) fails to perform EAP authentication;
  • EAP extended authentication protocol
  • the processing module is configured to: send an associated reply message including an EAP authentication failure message to the STA.
  • An embodiment of the present invention provides a workstation (STA), where the STA includes: The receiving module is configured to: receive an associated reply message sent by the access point (AP); and the processing module is configured to: verify a message integrity code (MIC) in the associated reply message, and select to re-execute according to the check result Extended Authentication Protocol (EAP) authentication, or choose to wait for a Dynamic Host Configuration Protocol (DHCP) procedure reply message.
  • a workstation STA
  • the receiving module is configured to: receive an associated reply message sent by the access point (AP); and the processing module is configured to: verify a message integrity code (MIC) in the associated reply message, and select to re-execute according to the check result Extended Authentication Protocol (EAP) authentication, or choose to wait for a Dynamic Host Configuration Protocol (DHCP) procedure reply message.
  • MIC message integrity code
  • EAP Extended Authentication Protocol
  • DHCP Dynamic Host Configuration Protocol
  • the associated reply message includes an association identifier that is allocated by the AP to the STA.
  • EAP authentication success message EAPoL-Key
  • MIC LAN-based extended authentication protocol key
  • EAPoL-Key message includes a group temporary key (GTK) and/or an integrity group temporary key (IGTK).
  • GTK group temporary key
  • IGTK integrity group temporary key
  • the processing module is further configured to: when the associated reply message is an associated reply message including an IP address, verify the MIC, and install a pairwise temporary key (PTK) after the verification succeeds, Group temporary key (GTK) and integrity group temporary key (IGTK).
  • PTK pairwise temporary key
  • GTK Group temporary key
  • IGTK integrity group temporary key
  • the processing module is configured to:
  • the processing module is further configured to:
  • the timer After waiting for the DHCP procedure reply message returned by the AP, setting a timer in the STA, the timer starts after the STA receives the association reply message or after the STA verifies that the MIC is successful. If the timer expires and the DHCP procedure reply message returned by the AP has not been received, the DHCP process is initiated again.
  • the processing module is further configured to: when the associated reply message includes an EAP authentication failure message, perform EAP authentication or re-establish a secure connection.
  • the method for sending a message, the method for establishing a secure connection, the access point, and the workstation can speed up the STA to establish a secure link and reduce the delay of the terminal initially accessing the WLAN network; It is a scenario where a large number of users need to access the WLAN network in a very short time, and the performance is greatly improved, which improves the user experience.
  • Figure 1 is an architectural diagram of an IEEE 802.11 network
  • FIG. 2 is an architecture diagram of a WLAN network
  • FIG. 3 is a diagram of a key architecture introduced by IEEE 802.l li;
  • 4 is a signaling flow chart of a secure connection establishment with an IP address allocation when the STA initially accesses the IEEE 802.11 network;
  • FIG. 5 is a signaling flowchart of Embodiment 1 of a method for establishing a secure connection according to the present invention
  • Embodiment 6 is a signaling flowchart of Embodiment 2 of a method for establishing a secure connection according to the present invention
  • Embodiment 7 is a signaling flowchart of Embodiment 3 of a method for establishing a secure connection according to the present invention.
  • Embodiment 8 is a signaling flowchart of Embodiment 4 of a method for establishing a secure connection according to the present invention
  • Embodiment 9 is a signaling flowchart of Embodiment 5 of a method for establishing a secure connection according to the present invention.
  • Embodiment 10 is a signaling flowchart of Embodiment 6 of a method for establishing a secure connection according to the present invention
  • Embodiment 11 is a signaling flowchart of Embodiment 7 of a method for establishing a secure connection according to the present invention
  • Embodiment 8 is a signaling flowchart of Embodiment 8 of a method for establishing a secure connection according to the present invention
  • FIG. 13 is a schematic structural diagram of an AP embodiment of the present invention.
  • FIG. 14 is a schematic structural diagram of an embodiment of a STA according to the present invention.
  • An embodiment of the present invention provides a method for sending a message, where the method is described from the AP side, and the method includes:
  • Step 11 The access point (AP) generates a pairwise temporary key (PTK) and/or a verification message complete.
  • PTK pairwise temporary key
  • MIC Sexual coding
  • Step 12 The AP sends an association reply message to the workstation (STA) and performs a DHCP process with a dynamic host configuration protocol (DHCP) server. Alternatively, only the associated reply message including the IP address is sent to the STA.
  • STA workstation
  • DHCP dynamic host configuration protocol
  • GTK group temporary key
  • IGTK integrity group temporary key
  • the above method is performed after the EAP authentication succeeds. After the EAP authentication fails, the AP side performs the following operations:
  • the access point receives an EAP authentication failure message sent by the AS after the EAP authentication fails; the AP sends an association reply message to the workstation (STA), where the associated reply message includes an EAP authentication failure message.
  • the MME does not need to send an association response message to the STA after receiving the DHCP procedure reply message sent by the DHCP server, so that the STA can speed up the establishment of the secure link and reduce the initial access of the terminal to the WLAN network.
  • Delay especially for a large number of users who need to access the WLAN network in a very short time, the performance is greatly improved, and the user experience is improved.
  • the embodiment of the invention further provides a method for establishing a secure connection, which is described from the STA side, and the method includes:
  • Step 21 The workstation (STA) receives an associated reply message sent by the access point (AP);
  • EAP authentication success message EAPoL-Key message and message integrity coding (MIC); wherein the EAPoL-Key message includes a group temporary key (GTK) and an integrity group temporary key (IGTK).
  • GTK group temporary key
  • IGTK integrity group temporary key
  • Step 22 The STA checks a message integrity coding (MIC), and selects to perform EAP authentication again according to the verification result, or selects to wait for a dynamic host configuration protocol (DHCP) process reply message.
  • MIC message integrity coding
  • DHCP dynamic host configuration protocol
  • the method further includes: The STA verifies the MIC and installs a pairwise temporary key (PTK), a group temporary key (GTK), and an integrity group temporary key (IGTK) after the verification is successful.
  • PTK pairwise temporary key
  • GTK group temporary key
  • IGTK integrity group temporary key
  • the method further includes: the STA re-establishing EAP authentication or re-establishing a secure connection.
  • the STA can quickly receive the associated reply message sent by the AP, so that the secure link can be established as soon as possible, and the delay of the initial access of the terminal to the WLAN network is reduced; especially for a large number of users, it is required to be extremely short.
  • the scenario of accessing the WLAN network during the time has greatly improved the performance and improved the user experience.
  • Embodiment 1 The technical solution of the present invention is described in detail from the perspective of AP and STA interaction: Embodiment 1
  • FIG. 5 it is a signaling flowchart of Embodiment 1 of the method for establishing a secure connection according to the present invention, where the process includes:
  • Step 501 is the same as steps 401-411 in FIG. 4, and details are not described herein again;
  • Step 502 The AP generates a PTK according to the received PMK, and SNonce and ANonde, and generates KCK and KEK according to the PTK.
  • the AP uses the generated KCK to verify the MSDU MIC. After the verification succeeds, the AP uses the generated KEK to decrypt the DHCP-Discover message.
  • the process of decrypting the DHCP Discover message may also occur after step 503.
  • Step 503 The AP sends an association reply message to the STA, and the associated reply message sent by the AP to the STA may include an AID, an EAP_Success, an EAPoL-Key, and a MIC; wherein the EAPoL-Key includes a GTK and an IGTK;
  • Step 504 The AP sends a DHCP-Discover message to the DHCP server, where the Rapid Commit option is carried.
  • the DHCP-Discover message is a DHCP procedure request message; the Rapid Commit is a fast IP address allocation mechanism, which is optional.
  • the step may also be: the AP sends another DHCP procedure request message, such as a DHCP-Request (Request) message, to the DHCP server;
  • a DHCP-Request (Request) message such as a DHCP-Request (Request) message
  • step 504 are performed in chronological order, and step 504 can also be performed. Before step 503, it can also be performed simultaneously with step 503.
  • Step 505 After receiving the association reply message, the STA checks that the MIC is successful; the STA can enter the authenticated associated state, and the state machine enters the full EAP context state;
  • the STA chooses to wait for the DHCP-Ack w/Rapid Commit message.
  • the STA verifies that the MIC can be in parallel with the DHCP program after receiving the associated reply message, or before and after the DHCP program.
  • Step 506 The DHCP server sends a DHCP-Ack message to the AP, where the message carries a Rapid IP address allocation (Rapid Commit) option.
  • the fast IP address allocation mechanism is optional.
  • the DHCP-Ack message is a DHCP procedure reply message
  • the corresponding DHCP process reply message is a DHCP-Response message
  • Step 507 The AP sends a DHCP-Ack message to the STA, where the Rapid Commit option is carried.
  • the DHCP Ack message can be carried in the DHCP-Ack.
  • the signaling flow chart of Embodiment 2 of the method for establishing a secure connection according to the present invention includes:
  • Step 601 is the same as steps 401-411 in FIG. 4, and details are not described herein again;
  • Step 602 The AP generates a PTK according to the received PMK, and SNonce and ANonde, and generates KCK and KEK according to the PTK.
  • the AP uses the generated KCK to verify the MSDU MIC. After the verification succeeds, the AP uses the generated KEK to decrypt the DHCP-Discover message.
  • Step 603 The AP sends a DHCP-Discover message to the DHCP server, where the message carries a Rapid Commit option.
  • the fast IP address allocation mechanism is optional.
  • Step 604 A timer is set in the AP, and the time starts after the AP sends a DHCP-Discover message to the DHCP server. If the timer expires and the AP has not received the DHCP-Ack message sent by the DHCP server, the AP sends an association reply message to the STA, and the associated reply message may include an AID, an EAP_Success message, an EAPoL-Key message, and a MIC;
  • the EAPoL-Key message includes GTK and IGTK.
  • Step 605 After receiving the associated reply message, the STA checks that the MIC is successful, the STA can enter the authenticated associated state, and the state machine enters the full EAP context state.
  • the STA chooses to wait for the DHCP-Ack w/Rapid Commit message.
  • the STA verifies that the MIC can be in parallel with the DHCP program after receiving the associated reply message, or before and after the DHCP program.
  • Step 606 The DHCP server sends a DHCP-Ack w/Rapid Commit message to the AP.
  • the fast IP address allocation mechanism is optional.
  • Step 607 The AP sends a DHCP-Ack w/Rapid Commit message to the STA.
  • the signaling flow chart of Embodiment 3 of the method for establishing a secure connection according to the present invention includes:
  • Step 701 is the same as steps 401-411 in FIG. 4, and details are not described herein again;
  • Step 702 The AP generates a PTK according to the received PMK, and SNonce and ANonde, and generates KCK and KEK according to the PTK.
  • the AP uses the generated KCK to verify the MSDU MIC. After the verification succeeds, the AP uses the generated KEK to decrypt the DHCP-Discover message.
  • Step 703 The AP sends a DHCP-Discover w/Rapid Commit message to the DHCP server.
  • the fast IP address allocation mechanism is optional.
  • Step 704 The AP sends a DHCP-Discover message to the DHCP server, where the message carries the Rapid Commit option.
  • the AP sets a timer.
  • the AP starts timing after the AP sends a DHCP-Discover message to the DHCP server. If the timer expires, the AP still does not.
  • the AP After receiving the DHCP-Ack or DHCP NAK message sent by DHCP, the AP sends a message to the STA to notify the problem.
  • this message can be an associated reply message.
  • Step 705 After receiving the associated reply message, the STA checks that the MIC is successful, the STA can enter the authenticated associated state, and the state machine enters the full EAP context state.
  • the STA chooses to wait for a DHCP acknowledgement message.
  • the STA verifies that the MIC can be in parallel with the DHCP program after receiving the associated reply message, or before and after the DHCP procedure.
  • Step 706 The DHCP server sends a DHCP acknowledgement message to the AP, where the message carries a Rapid Commit option.
  • the fast IP address allocation mechanism is optional.
  • Step 707 If the AP receives the DHCP acknowledgement message within a specific time, the AP sends a DHCP acknowledgement message carrying the Rapid Commit option to the STA.
  • the DHCP acknowledgement message is carried in the associated reply message; if the AP still does not receive the DHCP acknowledgement message sent by the DHCP within a certain time, the AP sends a message to the STA to notify the problem. Preferably, this message is an associated reply message.
  • the STA or AP restarts the network procedure in a suitable default manner, such as resending a DHCP request to the DHCP server.
  • the signaling flow chart of Embodiment 4 of the method for establishing a secure connection according to the present invention includes:
  • Step 801 is the same as steps 401-411 in FIG. 4, and details are not described herein again;
  • Step 802 The AP generates a PTK according to the received PMK, and SNonce and ANonde, and generates KCK and KEK according to the PTK; the AP uses the generated KCK to verify the MSDU MIC; if the verification is successful, the AP uses the generated KEK to decrypt the DHCP-Discover message;
  • the process of decrypting the DHCP Discover message may also occur after step 803.
  • Step 803 The AP sends an association reply message to the STA, and the associated reply message sent by the AP to the STA may include an AID, EAP_Success, EAPoL-Key, MIC; wherein the EAPoL-Key includes GTK and IGTK;
  • Step 804 The AP sends a DHCP-Discover w/Rapid Commit message to the DHCP.
  • the fast IP address allocation mechanism is optional.
  • Step 803 and step 804 are not in chronological order, and step 804 may also occur before step 803, or may be performed simultaneously with step 803.
  • Step 805 After receiving the association reply message, the STA verifies that the MIC is successful, the STA can enter the authenticated associated state, and the state machine enters the full EAP context state; the STA selects to wait for the DHCP-Ack w/Rapid Commit message. The timer is set in the STA after the STA receives the associated reply message or the MIC check succeeds. The STA verifies that the MIC can be in parallel with the DHCP program after receiving the associated reply message, or before and after the DHCP program.
  • Step 806 The timer expires in the STA, the STA still does not receive the DHCP-related message sent by the AP, and the STA re-initiates the DHCP program or the initialization procedure or re-establishes the secure connection, where the DHCP program can be performed only on the data plane.
  • the signaling flow chart of Embodiment 5 of the method for establishing a secure connection according to the present invention includes:
  • Step 901 is the same as steps 401-411 in FIG. 4, and details are not described herein again;
  • Step 902 The AP generates a PTK according to the received PMK, and SNonce and ANonde, and generates KCK and KEK according to the PTK; the AP uses the generated KCK to verify the MSDU MIC, and the verification succeeds;
  • Step 903 The AP sends an association reply message to the STA, and the associated reply message sent by the AP to the STA may include an AID, an EAP_Success message, an EAPoL-Key message, and an MIC; wherein the EAPoL-Key includes GTK and IGTK.
  • Step 904 The AP decrypts the DHCP-Discover message, and the AP sends a DHCP-Discover w/Rapid Commit message to the DHCP.
  • the fast IP address allocation mechanism is optional.
  • the process of decrypting the DHCP Discover message may also occur in step 902.
  • step 903 and step 904 are performed in chronological order. Step 904 may also occur before step 903, or may be performed simultaneously with step 903.
  • Step 905 After receiving the associated reply message, the STA fails to verify the MIC.
  • Step 906 The STA re-establishes the EAP authentication process or re-establishes a secure connection.
  • FIG. 10 it is a signaling flowchart of Embodiment 6 of the method for establishing a secure connection according to the present invention, where the process includes:
  • Step 1001 is the same as steps 401-411 in FIG. 4, and details are not described herein again;
  • Step 1002 The AP generates a PTK according to the received PMK, and SNonce and ANode, and generates KCK and KEK according to the PTK, and the AP verifies the MSDU MIC by using the generated KCK, and the verification succeeds;
  • Step 1003 The AP sends an association reply message including the IP address information to the STA, and the associated reply message sent by the AP to the STA may include an AID, an EAP_Success, an EAPoL-Key, and an MIC; wherein the EAPoL-Key includes the GTK and the IGTK;
  • the AP has obtained the IP address allocation of the DHCP server.
  • Step 1004 After receiving the associated reply message, the STA verifies that the MIC is successful; and the STA performs the installation of PTK, GTK, and IGTK.
  • the signaling flow chart of Embodiment 7 of the method for establishing a secure connection according to the present invention includes:
  • Step 1101 is the same as steps 401-409 in FIG. 4, and details are not described herein again;
  • Step 1102 EAP authentication fails
  • Step 1103 The AS sends an EAP_Failure message to the AP.
  • Step 1104 The AP sends an association reply message to the STA, and the associated reply message sent by the AP to the STA includes an EAP—Failure message.
  • Step 1105 The STA re-establishes EAP authentication, or re-establishes a secure connection.
  • FIG. 12 it is a signaling flowchart of Embodiment 8 of the method for establishing a secure connection according to the present invention, where the process includes:
  • Step 1201 is the same as steps 401-411 in FIG. 4, and details are not described herein again;
  • Step 1202 The AP generates a PTK according to the received PMK, and SNonce and ANonde, and generates KCK and KEK according to the PTK; the AP verifies the MSDU MIC by using the generated KCK; the verification succeeds, and the AP uses the generated KEK to decrypt the DHCP-Discover message;
  • Step 1203 The AP sends a DHCP-Discover w/ message to the DHCP server, where the message carries the Rapid Commit option.
  • the fast IP address allocation mechanism is optional.
  • Step 1204 A timer is set in the AP, and the time starts after the AP sends a DHCP-Discover message to the DHCP server. If the timer has not expired, the AP receives a DHCP-Ack message sent by the DHCP server.
  • Step 1205 The AP sends an association reply message including an IP address to the STA, where the associated reply message may include an AID, an EAP_Success message, an EAPoL-Key message, and an MIC; wherein the EAPoL-Key message includes GTK and IGTK;
  • Step 1206 After receiving the associated reply message, the STA verifies that the MIC is successful, the STA can enter the authenticated associated state, and the state machine enters the full EAP context state.
  • Embodiment 1 to Embodiment 8 may occur when the STA quickly establishes a secure connection with the network, or when the STA performs EAP re-authentication with the network.
  • FIG. 13 it is a schematic structural diagram of an AP embodiment of the present invention.
  • the AP includes a generation verification module 1301 and a processing module 1302, where:
  • a processing module configured to send an association reply message to the workstation (STA) and perform a DHCP process with a dynamic host configuration protocol (DHCP) server; or send an association reply message including the IP address only to the STA.
  • STA workstation
  • DHCP dynamic host configuration protocol
  • the processing module and the DHCP server perform a DHCP process, specifically: sending a DHCP procedure request message to the DHCP server.
  • the processing module is further configured to receive an IP address that is allocated by the DHCP server to the STA.
  • the processing module sends an association reply message to the STA, where it is specifically configured to: directly send the association reply message to the STA; or, set a timer in the AP, where the timer is in the processing module
  • the DHCP server starts timing after sending the DHCP procedure request message, and if the timer expires, the DHCP procedure reply message returned by the DHCP server has not been received, and the associated reply message is sent to the STA; or Setting a timer in the AP, where the timer sends the DHCP procedure request message to the DHCP server at the AP After the timing starts, if the timer has not expired, the AP receives the complex message returned by the DHCP server.
  • the processing module is further configured to: if the timer expires, the DHCP process response message or the DHCP process negative response message returned by the DHCP server is not received, send a message to the STA, so that the STA performs the DHCP process.
  • processing module is further configured to: after receiving the DHCP process with the DHCP server, if the DHCP process response message sent by the DHCP server is received, the DHCP process response message is directly sent or carried in the association response message. Sent to the STA.
  • the AP further includes: a receiving module, configured to receive an extended authentication protocol (EAP) authentication failure message sent by the authentication server (AS) after the EAP authentication fails; the processing module is specifically configured to The STA sends an association reply message including an EAP authentication failure message.
  • EAP extended authentication protocol
  • the process of processing the AP is the same as that of the AP in Figure 5-12, and is not mentioned here.
  • the AP does not need to send an association response message to the STA after receiving the DHCP procedure reply message sent by the DHCP server, so that the STA can speed up the establishment of the secure link and reduce the delay of the terminal initially accessing the WLAN network; A large number of users need to access the WLAN network in a very short period of time, and the performance is greatly improved, which improves the user experience.
  • a schematic structural diagram of a STA embodiment of the present invention includes a receiving module 1401 and a processing module 1402, where:
  • a receiving module configured to receive an association reply message sent by an access point (AP);
  • a processing module configured to verify a message integrity coding (MIC) in the associated reply message, and select to re-extend the extended authentication protocol (EAP) authentication according to the verification result, or select to wait for a dynamic host configuration protocol (DHCP) process reply Message.
  • MIC message integrity coding
  • EAP extended authentication protocol
  • DHCP dynamic host configuration protocol
  • EAP authentication success message EAPoL-Key message and message integrity coding (MIC); wherein the EAPoL-Key message includes a group temporary key (GTK) and an integrity group temporary key (IGTK).
  • GTK group temporary key
  • IGTK integrity group temporary key
  • the processing The module is also used to verify the MIC and install a pairwise temporary key (PTK), a group temporary key (GTK), and an integrity group temporary key (IGTK) after the verification is successful.
  • PTK pairwise temporary key
  • GTK group temporary key
  • IGTK integrity group temporary key
  • the processing module is specifically configured to: after verifying that the MIC fails, perform EAP authentication or re-establish a secure connection; or, after verifying that the MIC is successful, select a DHCP process reply waiting for the AP to return. Message.
  • the processing module is further configured to: after waiting for the DHCP procedure reply message returned by the AP, receive a DHCP procedure reply message that is returned by the AP and includes an IP address allocated for the STA; or, select to wait for the AP to return After receiving the DHCP procedure reply message, the DHCP procedure reply message returned by the AP that does not include the IP address assigned to the STA is used to initiate the DHCP process again; or, after waiting for the DHCP procedure reply message returned by the AP, the STA is selected. Setting a timer, the timer starts after the STA receives the associated reply message or after the STA verifies that the MIC is successful, and if the timer expires, the AP has not received the return. The DHCP process replies to the message and initiates the DHCP process again.
  • the processing module is further used to perform EAP authentication or re-establish a secure connection.
  • the STA can quickly receive the association reply message sent by the AP, so that the security link can be established as soon as possible, and the delay of the initial access of the terminal to the WLAN network is reduced; especially for a large number of users who need to access the WLAN network in a very short time. Scenarios, performance has been greatly improved, and the user experience has been greatly improved.
  • the method for sending a message, the method for establishing a secure connection, the access point, and the workstation can speed up the STA to establish a secure link and reduce the delay of the initial access of the terminal to the WLAN network; especially for a large number of users in a very short time
  • the scenario of accessing the WLAN network greatly improves the performance and improves the user experience.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Mobile Radio Communication Systems (AREA)
  • Small-Scale Networks (AREA)

Abstract

一种发送消息的方法、建立安全连接的方法、接入点和工作站，其中，发送消息的方法包括：接入点（AP）生成成对临时密钥（PTK）和/或校验消息完整性编码（MIC）；所述AP向工作站（STA）发送关联答复消息并和动态主机配置协议（DHCP）服务器进行DHCP过程；或者，仅向所述STA发送包含IP地址的关联答复消息。上述发送消息的方法、建立安全连接的方法、接入点和工作站，可以加快STA建立安全链路的速度，减少终端初始接入WLAN网络的时延；特别是对于大量用户需要在极短时间内接入WLAN网络的场景，性能有极大的提升，很好地改善了用户体验。

Description

发送消息的方法、 建立安全连接的方法、 接入点和工作站
技术领域
本发明涉及通信领域， 尤其涉及一种发送消息的方法、 建立安全连接的 方法、 接入点和工作站。 背景技术
美国电气电子工程师学会（IEEE ) 802.11是第一代无线局域网（Wireless Local Area Networks, 即 WLAN )标准之一。 该标准定义了物理层和媒体访 问控制 (MAC)协议的规范， 允许无线局域网及无线设备制造商在一定范围内 建立互操作网络设备。 经过二十年的发展， IEEE 802.11 WLAN标准工作组 发展完善了一系列标准家族， 其中具有较大影响力以及应用较为广泛的是 802.11a, 802.11b, 802. l lg, 802.11η等标准。
与 IEEE 802.11相对应的无线保真（Wi-Fi )联盟是 1999年成立的非营 利性国际组织， 用来检验以 IEEE 802.11规格为基础的 WLAN产品的互操 作性。 Wi-Fi联盟成员的目标是通过产品的互操作性来提高使用者的经验。
如图 1所示， 一个 IEEE 802.11网络包括： 工作站（Station, STA )和无 线接入点（ Access Point, AP )。 其中， STA是任何具备 IEEE 802.11的 MAC 层和物理（PHY )层接口的设备， 通常由一台 PC机或笔记本计算机加上一 块无线网卡构成， 此外无线的终端还可以是非计算机终端上的能提供无线连 接的嵌入式设备（例如具备 WLAN功能的智能终端） 。 AP可以看成是一个 无线的 Hub, 用于提供 STA和现有骨干网络（有线或无线的）之间的桥接。 一个 AP 和在其覆盖范围的一个或多个 STA组成一个基本服务集 （Basic Service Set,即 BSS )。 BSS通过基本服务集标识（ BSSID )来进行唯一标识， BSSID即是 AP的 MAC地址。 终端在一个 BSS内可以互相通信。 釆用相同 的服务集标识（SSID )的多个 BSS形成的更大规模的虚拟 BSS, 则定义为扩 展服务集（Extended Service Set, 即 ESS ) 。 终端在同一 ESS内可以通信并 且可以在下属的多个 BSS间移动。 在 ESS内连接多个 BSS的网络以及有线 网络称为分布式系统（Distribution System, 即 DS ) 。 DS可以釆用无线或有 线技术， 通常釆用以太网技术。
为了完成认证以及 IP 地址分配功能， WLAN 网络还包括认证服务器 ( Authentication Server , AS ) 和动态主机西己置协议 ( Dynamic Host Configuration protocol Server, DHCP )服务器， 如图 2所示。 AS是为 STA 提供认证服务的实体， 仅有通过认证的 STA才能被授权接入 802.11 网络。 AS也可以嵌入在 AP中。 DHCP服务器则为 STA分配 IP地址。 STA通过该 WLAN网络可以接入 Internet„
如图 3所示， 为 IEEE 802. l li所引入的安全的密钥体系架构， 其中， 成 对主密钥（ Pairwise Master Key, PMK )是 STA和 AS在扩展认证协议（ EAP ) 认证过程中各自生成的密钥，长度为 256位。成对临时密钥（ Pair Transient Key, PTK )是 STA和 AP分别根据 PMK, 以及 STA生成的随机数（ SNonce )和 AP生成的随机数（ANonce ) , 各自推导出的密钥。 PTK的低 128位为密钥 确认密钥（Key Confirmation Key, KCK ) , 中间 128位为密钥加密密钥（Key Encryption Key, KEK ) ,剩下的高位 MSB为临时密钥（ Temporal Key, TK )。 其中， KCK用于为 4次握手过程和组密钥握手过程中的基于局域网的扩展认 证协议（ EAP Over LAN, EAPOL ) -密钥（ KEY )消息提供数据源认证； KEK 用于为 4次握手和组密钥握手的 EAPOL-KEY消息提供机密性保护； TK用 于保护 STA和 AP之间的数据报文的传输。
此外， IEEE 802.11还定义了组临时密钥 （ GTK ) 。 GTK是 AP生成的 一个随机数，在组密钥握手过程中，ΑΡ将 GTK用 ΚΕΚ加密后，传输给 STA。
如图 4所示， 为现有技术中一种 STA初始接入 IEEE 802.11网络时带有 IP地址分配的安全建立连接的流程图， 具体步骤如下：
步骤 401-402、 STA与网络完成关联之前的相关程序； 这包括被略过的 在步骤 401之前的被动扫描（ Beacon )或主动扫描 ( Probe Request/Response ) 过程； STA发送携带了 EAP响应 （ EAP_Response ) /ID的 Auth消息给 AP; AP将 AAA EAP-Response/ID消息转发给 AS;
步骤 403-409、 此过程为 EAP算法特定的认证过程， 包括以下步骤：
AS向 AP发送 AAA EAP请求（ EAP-Request ) 消息； AP生成随机数 ANonce, 并将其携带于 EAPoL-Key消息中； AP向 STA 发送 Auth消息， 此消息中包含了 EAP— Request消息和 /或 EAPoL-Key消息；
STA收到 Auth消息后， 可能需要和 AS进行多步的交互过程继续 EAP 认证；此后 STA生成随机数 SNonce,并生成 MSK、PMK,根据 PMK和 SNone 和 ANonce生成 PTK, 根据 PTK生成 KCK和 KEK;
STA 向 AP 发送关联请求消息， 此消息中包含了 EAP— Response , DHCP-Discover w/Rapid Commit, EAPoL-Key消息以及被 KCK保护的全部 MAC服务数据单元（MSDU )的消息完整性编码（MIC )。 其中 EAPoL-Key 消息包含了 ST A生成的随机数 SNonce。 DHCP相关消息可以用 KEK进行加 密保护。整个关联请求消息用 KCK进行完整性保护，并携带计算的 MIC值；
AP緩存 MSDU MIC和加密的 DHPC Discover消息；
AP向 AS发送 AAA EAP-Response消息 , 继续进行 EAP认证； 步骤 410、 EAP认证成功完成， AS生成 MSK和 /或 PMK;
步骤 411、 AS向 AP发送 AAA EAP成功（ EAP-Success )消息， 该消息 中携带 PMK;
步骤 412、 AP根据收到的 PMK、 SNonce和 ANonde生成 PTK, 并根据 PTK生成 KCK和 KEK; AP使用生成的 KCK校验 MSDU MIC。如果险证成 功 , AP使用生成的 KEK解密 DHCP-Discover消息；
步骤 413、 AP向 DHCP服务器发送有快速分配的 DHCP发现或没有快 速分配的 DHCP发现（ DHCP-Discover w/Rapid Commit ) 消息；
步骤 414、 DHCP服务器为 STA分配 IP地址， 向 AP发送 DHCP-Ack w/Rapid Commit消息来完成 DHCP程序；
步骤 415、 AP向 STA发送关联答复消息， 此消息包含了 AP为 STA分 配的关联标识（ Association Identifier, AID ) , EAP— Success , DHCP-Ack w/Rapid Commit消息， EAPoL-Key消息， KCK保护的全部 MSDU的 MIC。 该消息 使用 KCK进行完整性保护。 其中， EAPoL-Key消息包含了 GTK和 IGTK ( Integrity Group Temporal Key, 完整性组临时密钥） ；
步骤 416、 STA校验关联答复消息的 MIC ,如果校验成功， STA安装 PTK, GTK和 IGTK;
步骤 417、 AP安装 PTK。 至此 STA与 AP之间的安全连接建立完成。 在上述安全连接建立的过程中， 步骤 415中的关联答复消息需在 AP收 到 DHCP服务器发送的 DHCP-Ack w/Rapid Commit后才会发送给 STA。 STA 收到该关联答复消息后， 才能根据该消息中携带的内容， 进入已认证已关联 的状态， 状态机进入全 EAP上下文的状态。 但在 DHCP服务器进行 IP地址 分配的过程中可能会有一定的延时 （AP在合理的时间段过了之后仍未收到 DHCPACK时才会发送消息知会 STA此问题，然后再釆用合适的默认方式来 开始网络程序， 比如重新发送 DHCP请求等）， STA在 DHCP程序没有完成 之前无法收到关联答复消息。 如果因为某些原因， DHCP服务器为 STA分配 IP地址的时间比较长， STA处的定时器到期后 STA还未收到 AP发送的关联 答复消息。 这将导致 STA无法判断此安全建立的过程中何处出现问题， 不利 于 STA中状态机的控制， STA也无法及时获知 EAP认证是否成功，并在 EAP 认证失败时会导致 STA不能再次快速发起 EAP认证。 上述问题在 STA与网 络之间进行包含 IP地址分配的 EAP重新认证时同样存在， EAP重新认证包 含了 EAP-RP等各种 EAP相关的重新认证协议。因 DHCP程序导致的安全建 立过程的延时会大大降低 STA建立安全连接及初始入网的速度，影响用户体 验。
移动用户不断地进入或离开一个 ESS的覆盖区域。 当移动设备初始进入 一个 ESS时， 移动设备必须进行如图 4所示的 STA初始入网建立初始链路 的过程。 而在该初始链路建立的过程中， 如果大量用户同时在较短时间内需 要接入 WLAN网络时（例如在飞机场，大量用户下了飞机后需要连接 WLAN 网络获取相关的交通信息） ， 入网时延较长的问题会更严重。
为了解决移动用户的入网延迟问题， IEEE 802.i l 已经成立了 802.11ai 工作组， 旨在不降低原 802.11 网络健壮安全网络关联 （Robust Security Network Association, RSNA )安全级别的前提下， 解决移动设备能够快速建 立初始链路的问题。 作为移动设备快速建立安全链路程序的一部分， DHCP 相关的入网延时也需要被解决来实现移动设备与网络之间链路的快速建立。
综上所述， 由安全建立过程中 DHCP程序导致的入网延迟问题需要被解 决来加快移动用户入网速度以及改善用户体验。
发明内容
本发明实施例提供了一种发送消息的方法、 建立安全连接的方法、 接入 点和工作站， 以解决 DHCP导致的入网延迟问题。
本发明实施例提供了一种发送消息的方法， 该方法包括： 接入点 （AP ) 生成成对临时密钥 （PTK )和 /或校验消息完整性编码（MIC ) ； 所述 AP向 工作站 （STA )发送关联答复消息并和动态主机配置协议（DHCP )服务器 进行 DHCP过程； 或者， 仅向所述 STA发送包含 IP地址的关联答复消息。
优选地， 所述关联答复消息包含以下参数之一或其任意组合： 所述 AP 为所述 STA分配的关联标识（ AID )、扩展认证协议（ EAP )认证成功消息、 基于局域网的扩展认证协议密钥 （EAPoL-Key ) 消息和 MIC; 所述包含 IP 地址的关联答复消息还包含所述 AID、 EAP认证成功消息、 EAPoL-Key消息 和 MIC; 其中， EAPoL-Key消息包含组临时密钥 （GTK )和 /或完整性组临 时密钥 （IGTK ) 。
优选地， 所述 AP和 DHCP服务器进行 DHCP的过程包括：
所述 AP向所述 DHCP服务器发送 DHCP过程请求消息。
优选地， 所述 AP和 DHCP服务器进行 DHCP过程还包括：
所述 AP接收所述 DHCP服务器为所述 STA分配的 IP地址。
优选地， 所述 DHCP过程包括 DHCPv4、 DHCPv6、 邻居发现（ND )和 无状态地址自动配置过程。
优选地， 所述 AP向 STA发送关联答复消息包括：
所述 AP直接向所述 STA发送所述关联答复消息； 或者
所述 AP中设置一定时器， 该定时器在所述 AP向所述 DHCP服务器发 送所述 DHCP过程请求消息后开始计时， 如果该定时器到期， 所述 AP还未 收到所述 DHCP服务器返回的 DHCP过程答复消息，则所述 AP向所述 STA 发送所述关联答复消息； 或者 所述 AP中设置一定时器， 该定时器在所述 AP向所述 DHCP服务器发 送所述 DHCP过程请求消息后开始计时， 如果该定时器未到期， 所述 AP收 到所述 DHCP服务器返回的 DHCP过程答复消息， 则所述 AP向所述 STA 发送所述包含 IP地址的关联答复消息。
优选地， 所述方法还包括： 如果该定时器到期， 所述 AP还未收到所述
DHCP服务器返回的 DHCP过程应答消息或 DHCP过程否定应答消息， 则 AP向所述 STA发送消息， 以便所述 STA重新进行 DHCP过程。
优选地， 所述 AP和 DHCP服务器进行 DHCP过程之后， 所述方法还包 括： 所述 AP在收到所述 DHCP服务器发送的 DHCP过程应答消息后， 将所 述 DHCP过程应答消息发送给所述 STA。
优选地，所述 DHCP过程应答消息携带于所述 AP向所述 STA发送的关 联响应消息中。
本发明实施例提供了一种建立安全连接的方法， 该方法包括：
工作站（STA )接收接入点 （AP )发送的关联答复消息； 所述 STA校 验消息完整性编码（ MIC ),并根据校验结果选择重新进行扩展认证协议（ EAP ) 认证， 或选择等待动态主机配置协议（DHCP )过程答复消息。
优选地， 所述关联答复消息包含以下参数之一或其任意组合： 所述 AP 为所述 STA分配的关联标识（AID ) 、 EAP认证成功消息、 基于局域网的扩 展认证协议密钥（ EAPoL-Key )消息和 MIC; 其中 , EAPoL-Key消息包含组 临时密钥 （GTK )和 /或完整性组临时密钥 （IGTK ) 。
优选地， 当所述关联答复消息为包含 IP地址的关联答复消息时， 所述方 法还包括：所述 STA校验 MIC,并在校验成功后安装成对临时密钥（PTK )、 组临时密钥 （GTK )和完整性组临时密钥 （IGTK ) 。
优选地， 所述 STA根据校验结果选择重新进行 ΕΑΡ认证， 或选择等待 动态主机配置协议（DHCP )过程答复消息， 包括： 所述 STA校验所述 MIC 失败后， 重新进行 EAP认证或重新建立安全连接； 或者所述 STA校验所述 MIC成功后， 选择等待所述 AP返回的 DHCP过程答复消息。
优选地， 所述选择等待所述 AP返回的 DHCP过程答复消息之后， 所述 方法还包括： 所述 STA接收所述 AP返回的包含为 STA分配的 IP地址的 DHCP过程答复消息； 或者
所述 STA接收所述 AP返回的未包含为 STA分配的 IP地址的 DHCP过 程答复消息， 所述 STA再次发起 DHCP过程； 或者
所述 STA中设置定时器， 该定时器在所述 STA收到所述关联答复消息 后或者所述 STA校验所述 MIC成功后开始计时， 如果所述定时器到期， 所 述 STA还未收到所述 AP返回的 DHCP过程答复消息， 则所述 STA再次发 起 DHCP过程。
优选地， 所述 STA校验 MIC之后， 所述方法还包括： 所述 STA进入已 认证已关联状态， 所述 STA对应的状态机进入全 EAP上下文状态。
本发明实施例提供了一种发送消息的方法， 该方法包括：
接入点（ AP )接收认证服务器（ AS )进行扩展认证协议（ EAP )认证失 败后发送的 EAP认证失败消息； 所述 AP向工作站（STA )发送关联答复消 息， 所述关联答复消息包含 EAP认证失败消息。
本发明实施例提供了一种建立安全连接的方法， 所述方法包括： 工作站
( STA )接收接入点 （AP )发送的包含扩展认证协议（EAP )认证失败消息 的关联答复消息； 所述 STA重新进行 EAP认证或重新建立安全连接。
本发明实施例提供了一种接入点 （AP ) , 该 AP包括：
生成校验模块， 设置为： 生成成对临时密钥 （PTK )和 /或校验消息完整 性编码（MIC ) ；
处理模块， 设置为： 向工作站 （STA )发送关联答复消息并和动态主机 配置协议（ DHCP )服务器进行 DHCP过程； 或者， 仅向所述 STA发送包含 IP地址的关联答复消息。
优选地， 所述关联答复消息包含以下参数之一或其任意组合： 所述 AP 为所述 STA分配的关联标识（ AID )、扩展认证协议（ EAP )认证成功消息、 基于局域网的扩展认证协议密钥 （EAPoL-Key ) 消息和 MIC; 所述包含 IP 地址的关联答复消息还包含所述 AID、 EAP认证成功消息、 EAPoL-Key消息 和 MIC; 其中， EAPoL-Key消息包含组临时密钥 （GTK )和 /或完整性组临 时密钥 （IGTK ) 。
优选地， 所述处理模块设置为： 和 DHCP服务器进行 DHCP过程， 向所述 DHCP服务器发送 DHCP过程请求消息。
优选地， 所述处理模块， 还设置为： 接收所述 DHCP服务器为所述 STA 分配的 IP地址。
优选地， 所述处理模块设置为： 向 STA发送关联答复消息，
直接向所述 STA发送所述关联答复消息； 或者
在所述 AP中设置一定时器， 该定时器在所述处理模块向所述 DHCP服 务器发送所述 DHCP过程请求消息后开始计时， 如果该定时器到期， 还未收 到所述 DHCP服务器返回的 DHCP过程答复消息， 则向所述 STA发送所述 关联答复消息； 或者
所述 AP中设置一定时器， 该定时器在所述 AP向所述 DHCP服务器发 送所述 DHCP过程请求消息后开始计时， 如果该定时器未到期， 所述 AP收 到所述 DHCP服务器返回的 DHCP过程答复消息， 则所述 AP向所述 STA 发送所述包含 IP地址的关联答复消息。
优选地， 所述处理模块， 还设置为： 如果该定时器到期， 还未收到所述 DHCP服务器返回的 DHCP过程应答消息或 DHCP过程否定应答消息，则向 所述 STA发送消息， 以便所述 STA重新进行 DHCP过程。
优选地， 所述处理模块， 还设置为： 和 DHCP服务器进行 DHCP过程之 后， 若收到所述 DHCP服务器发送的 DHCP过程应答消息， 则将所述 DHCP 过程应答消息直接发送或携带在关联响应消息中发送给所述 STA。
优选地， 所述 AP还包括：
接收模块， 设置为： 接收认证服务器 （AS )进行 EAP认证失败后发送 的扩展认证协议（EAP )认证失败消息；
所述处理模块， 设置为： 向所述 STA发送包含 EAP认证失败消息的关 联答复消息。
本发明实施例提供了一种工作站（STA ) , 该 STA包括： 接收模块， 设置为： 接收接入点 （AP )发送的关联答复消息； 处理模块，设置为：校验所述关联答复消息中的消息完整性编码（ MIC ), 并根据校验结果选择重新进行扩展认证协议（EAP )认证， 或选择等待动态 主机配置协议（DHCP )过程答复消息。
优选地， 所述关联答复消息包含所述 AP为所述 STA分配的关联标识
( AID )、EAP认证成功消息、基于局域网的扩展认证协议密钥（ EAPoL-Key ) 消息和 MIC; 其中， EAPoL-Key消息包含组临时密钥 （GTK )和 /或完整性 组临时密钥 （IGTK ) 。
优选地， 所述处理模块， 还设置为： 当所述关联答复消息为包含 IP地址 的关联答复消息时，校验所述 MIC,并在校验成功后安装成对临时密钥（ PTK )、 组临时密钥 （GTK )和完整性组临时密钥 （IGTK ) 。
优选地， 所述处理模块， 设置为：
校验所述 MIC失败后， 重新进行 EAP认证或重新建立安全连接； 或者 校验所述 MIC成功后， 选择等待所述 AP返回的 DHCP过程答复消息。 优选地， 所述处理模块， 还设置为：
选择等待所述 AP返回的 DHCP过程答复消息之后， 接收所述 AP返回 的包含为 STA分配的 IP地址的 DHCP过程答复消息； 或者
选择等待所述 AP返回的 DHCP过程答复消息之后， 接收所述 AP返回 的未包含为 STA分配的 IP地址的 DHCP过程答复消息， 再次发起 DHCP过 程； 或者
选择等待所述 AP返回的 DHCP过程答复消息之后，在所述 STA中设置 定时器， 该定时器在所述 STA收到所述关联答复消息后或者所述 STA校验 所述 MIC成功后开始计时， 如果所述定时器到期， 还未收到所述 AP返回的 DHCP过程答复消息， 则再次发起 DHCP过程。
优选地， 所述处理模块， 还设置为： 当所述关联答复消息包含 EAP认证 失败消息时， 重新进行 EAP认证或重新建立安全连接。
上述发送消息的方法、 建立安全连接的方法、 接入点和工作站， 可以加 快 STA建立安全链路的速度， 减少终端初始接入 WLAN网络的时延； 特别 是对于大量用户需要在极短时间内接入 WLAN网络的场景，性能有极大的提 升， 很好地改善了用户体验。
附图概述
图 1为 IEEE 802.11网络的架构图；
图 2为 WLAN网络的架构图；
图 3为 IEEE 802. l li所引入的密钥体系架构图；
图 4为 STA初始接入 IEEE 802.11网络时带有 IP地址分配的安全建立连 接的信令流程图；
图 5为本发明建立安全连接方法实施例一的信令流程图；
图 6为本发明建立安全连接方法实施例二的信令流程图；
图 7为本发明建立安全连接方法实施例三的信令流程图；
图 8为本发明建立安全连接方法实施例四的信令流程图；
图 9为本发明建立安全连接方法实施例五的信令流程图；
图 10为本发明建立安全连接方法实施例六的信令流程图；
图 11为本发明建立安全连接方法实施例七的信令流程图；
图 12为本发明建立安全连接方法实施例八的信令流程图；
图 13为本发明 AP实施例的结构示意图；
图 14为本发明 STA实施例的结构示意图。
本发明的较佳实施方式
下文中将结合附图对本发明的实施例进行详细说明。 需要说明的是， 在 不冲突的情况下， 本申请中的实施例及实施例中的特征可以相互任意组合。
本发明实施例提供了一种发送消息的方法， 该方法从 AP侧进行描述， 该方法包括：
步骤 11、 接入点 （AP )生成成对临时密钥 （PTK )和 /或校验消息完整 性编码（MIC ) ；
步骤 12、 所述 AP向工作站（STA )发送关联答复消息并和动态主机配 置协议（ DHCP )服务器进行 DHCP过程； 或者， 仅向所述 STA发送包含 IP 地址的关联答复消息。
EAP认证成功消息、 EAPoL-Key消息和 MIC; 所述包含 IP地址的关联答复 消息还包含所述 AID、 EAP 认证成功消息、 EAPoL-Key 消息和 MIC; EAPoL-Key消息包含组临时密钥 （ GTK )和完整性组临时密钥 （IGTK ) 。
上述方法是在 EAP认证成功后进行的， 当 EAP认证失败后， AP侧执行 的操作可以为：
接入点（ AP )接收 AS进行 EAP认证失败后发送的 EAP认证失败消息； 所述 AP向工作站 （STA )发送关联答复消息， 所述关联答复消息包含 EAP认证失败消息。
上述发送消息的方法中，ΑΡ不需要在接收到 DHCP服务器发送的 DHCP 过程答复消息后就可以向 STA发送关联应答消息， 从而可以加快 STA建立 安全链路的速度，减少终端初始接入 WLAN网络的时延；特别是对于大量用 户需要在极短时间内接入 WLAN网络的场景，性能有极大的提升，很好地改 善了用户体验。 本发明实施例还提供了一种建立安全连接的方法，该方法从 STA侧进行 描述， 该方法包括：
步骤 21、 工作站（STA )接收接入点 （AP )发送的关联答复消息；
EAP认证成功消息、 EAPoL-Key 消息和消息完整性编码 ( MIC ) ； 其中， EAPoL-Key消息包含组临时密钥 （ GTK )和完整性组临时密钥 （IGTK ) 。
步骤 22、 所述 STA校验消息完整性编码（MIC ) , 并根据校验结果选 择重新进行 EAP认证， 或选择等待动态主机配置协议（DHCP )过程答复消 息。
当所述关联答复消息为包含 IP地址的关联答复消息时，所述方法还包括: 所述 STA校验 MIC, 并在校验成功后安装成对临时密钥（PTK )、 组临时密 钥 （GTK )和完整性组临时密钥 （IGTK ) 。
当所述关联答复消息包含 EAP认证失败消息时， 所述方法还包括： 所述 STA重新进行 EAP认证或重新建立安全连接。
上述建立安全连接的方法中， STA可以快速地收到 AP发送的关联答复 消息，从而可以尽快地建立安全链路，减少终端初始接入 WLAN网络的时延； 特别是对于大量用户需要在极短时间内接入 WLAN网络的场景，性能有极大 的提升， 很好地改善了用户体验。
下面从 AP和 STA交互的角度对本发明的技术方案进行详细描述： 实施例一
如图 5所示， 为本发明建立安全连接方法实施例一的信令流程图， 该过 程包括：
步骤 501、 与图 4中的步骤 401-411相同， 此处不再赘述；
步骤 502、 AP根据收到的 PMK, 以及 SNonce和 ANonde生成 PTK, 并 根据 PTK生成 KCK和 KEK; AP使用生成的 KCK校验 MSDU MIC; 验证 成功， AP使用生成的 KEK解密 DHCP-Discover消息；
解密 DHCP Discover消息的过程也可以发生于步骤 503之后。
步骤 503、 AP向 STA发送关联答复消息， AP向 STA发送的关联答复 消息可包含 AID, EAP— Success, EAPoL-Key和 MIC; 其中 EAPoL-Key包括 GTK和 IGTK;
步骤 504、 AP向 DHCP服务器发送 DHCP-Discover消息，其中携带 Rapid Commit选项；
其中， DHCP-Discover消息即是 DHCP过程请求消息； Rapid Commit是 快速 IP地址分配机制 , 为可选。
当然， 该步骤也可以为： AP向 DHCP服务器发送其他 DHCP过程请求 消息例如 DHCP-请求（Request ) 消息；
上述步骤 503和步骤 504的执行不分时间先后顺序， 步骤 504也可以发 生于步骤 503之前， 还可以和步骤 503同时进行。
步骤 505、 STA收到关联答复消息后， 校验 MIC成功； STA可以进入已 认证已关联状态， 状态机进入全 EAP上下文状态；
STA选择等待 DHCP-Ack w/Rapid Commit消息。 STA收到关联答复消 息后校验 MIC可与 DHCP程序并行， 或者在 DHCP程序之前和之后。
步骤 506、 DHCP服务器向 AP发送 DHCP-Ack消息， 该消息携带快速 IP地址分配 (Rapid Commit)选项； 其中， 快速 IP地址分配机制为可选；
相应地， DHCP-Ack消息即是 DHCP过程答复消息；
若上述 DHCP过程请求消息为 DHCP- Request消息，则相应的 DHCP过 程答复消息为 DHCP- 响应 （Response ) 消息；
步骤 507、 AP将 DHCP-Ack消息发送给 STA, 其中携带 Rapid Commit 选项。
优选地， DHCP Ack消息可携带于 DHCP-Ack中。
实施例二
如图 6所示， 为本发明建立安全连接方法实施例二的信令流程图， 该过 程包括：
步骤 601、 与图 4中的步骤 401-411相同， 此处不再赘述；
步骤 602、 AP根据收到的 PMK, 以及 SNonce和 ANonde生成 PTK, 并 根据 PTK生成 KCK和 KEK; AP使用生成的 KCK校验 MSDU MIC; 验证 成功， AP使用生成的 KEK解密 DHCP-Discover消息；
步骤 603、 AP向 DHCP服务器发送 DHCP-Discover消息， 该消息携带 Rapid Commit选项；
其中 , 快速 IP地址分配机制为可选。
步骤 604、 AP 中设置一个定时器， 在 AP 向 DHCP 服务器发送 DHCP-Discover 消息后开始计时。 如果定时器到期， AP还没有收到 DHCP 服务器发送的 DHCP-Ack消息， 则 AP发送关联答复消息给 STA, 此关联答 复消息可包含 AID , EAP— Success 消息， EAPoL-Key 消息， MIC; 其中 EAPoL-Key消息包括 GTK和 IGTK。
步骤 605、 STA收到关联答复消息后， 校验 MIC成功， STA可以进入已 认证已关联状态 , 状态机进入全 EAP上下文状态。
STA选择等待 DHCP-Ack w/Rapid Commit消息。 STA收到关联答复消 息后校验 MIC可与 DHCP程序并行， 或者在 DHCP程序之前和之后。
步骤 606、 DHCP服务器向 AP发送 DHCP-Ack w/Rapid Commit消息； 其中 , 快速 IP地址分配机制为可选。
步骤 607、 AP将 DHCP-Ack w/Rapid Commit消息发送给 STA。
实施例三
如图 7所示， 为本发明建立安全连接方法实施例三的信令流程图， 该过 程包括：
步骤 701、 与图 4中的步骤 401-411相同， 此处不再赘述；
步骤 702、 AP根据收到的 PMK, 以及 SNonce和 ANonde生成 PTK, 并 根据 PTK生成 KCK和 KEK; AP使用生成的 KCK校验 MSDU MIC; 验证 成功， AP使用生成的 KEK解密 DHCP-Discover消息；
步骤 703、 AP向 DHCP服务器发送 DHCP-Discover w/Rapid Commit消 息；
其中 , 快速 IP地址分配机制为可选。
步骤 704、 AP向 DHCP服务器发送 DHCP-Discover 消息， 该消息携带 Rapid Commit选项； AP 中设置一个定时器， 在 AP向 DHCP服务器发送 DHCP-Discover消息后开始计时， 如果定时器到期， AP仍未收到 DHCP发 送的 DHCP-Ack或 DHCP NAK消息， 则 AP向 STA发送消息通知此问题。 优选地， 此消息可以为关联答复消息。
步骤 705、 STA收到关联答复消息后， 校验 MIC成功， STA可以进入已 认证已关联状态， 状态机进入全 EAP上下文状态；
STA选择等待 DHCP确认消息。 STA收到关联答复消息后校验 MIC可 与 DHCP程序并行， 或者在 DHCP程序之前和之后。 步骤 706、 DHCP服务器向 AP发送 DHCP确认消息， 该消息中携带有 Rapid Commit选项；
其中 , 快速 IP地址分配机制为可选。
步骤 707、如果 AP在特定时间内接收到 DHCP确认消息，则 AP将携带 Rapid Commit选项的 DHCP确认消息发送给 STA。 优选地， 所述 DHCP确 认消息携带于关联答复消息中； 如果在特定时间内， AP仍未收到 DHCP发 送的 DHCP确认消息， AP给 STA发送消息通知此问题。 优选地， 此消息为 关联答复消息。 STA或 AP釆用合适的默认方式来重新开始网络程序， 比如 向 DHCP服务器重新发送 DHCP请求等。
实施例四
如图 8所示， 为本发明建立安全连接方法实施例四的信令流程图， 该过 程包括：
步骤 801、 与图 4中的步骤 401-411相同， 此处不再赘述；
步骤 802、 AP根据收到的 PMK, 以及 SNonce和 ANonde生成 PTK, 并 根据 PTK生成 KCK和 KEK; AP使用生成的 KCK校验 MSDU MIC; 验证 成功， AP使用生成的 KEK解密 DHCP-Discover消息；
解密 DHCP Discover消息的过程也可以发生于步骤 803之后。
步骤 803、 AP向 STA发送关联答复消息， AP向 STA发送的关联答复 消息可包含 AID, EAP— Success, EAPoL-Key, MIC; 其中 EAPoL-Key包括 GTK和 IGTK;
步骤 804、 AP向 DHCP发送 DHCP-Discover w/Rapid Commit消息； 其中 , 快速 IP地址分配机制为可选。
其中， 步骤 803和步骤 804不分时间先后顺序， 步骤 804也可以发生于 步骤 803之前， 也可以和步骤 803同时进行。
步骤 805、 STA收到关联答复消息后， 校验 MIC成功， STA可以进入已 认证已关联状态，状态机进入全 EAP上下文状态； STA选择等待 DHCP-Ack w/Rapid Commit消息。 STA中设置定时器在 STA收到关联答复消息后或者 MIC校验成功后开始计时； STA收到关联答复消息后校验 MIC可与 DHCP程序并行，或者在 DHCP 程序之前和之后。
步骤 806、 STA中定时器到期， STA仍未收到 AP发送的 DHCP相关消 息， STA重新发起 DHCP程序或初始化程序或重新建立安全连接，其中 DHCP 程序可以仅在数据面进行。
实施例五
如图 9所示， 为本发明建立安全连接方法实施例五的信令流程图， 该过 程包括：
步骤 901、 与图 4中的步骤 401-411相同， 此处不再赘述；
步骤 902、 AP根据收到的 PMK, 以及 SNonce和 ANonde生成 PTK, 并 根据 PTK生成 KCK和 KEK; AP使用生成的 KCK校验 MSDU MIC, 验证 成功；
步骤 903、 AP向 STA发送关联答复消息， AP向 STA发送的关联答复 消息可包含 AID , EAP— Success消息， EAPoL-Key消息， MIC;其中 EAPoL-Key 包括 GTK和 IGTK。
步骤 904、 AP解密 DHCP-Discover消息， AP向 DHCP发送 DHCP-Discover w/Rapid Commit消息；
其中，快速 IP地址分配机制为可选。解密 DHCP Discover消息的过程也 可以发生于步骤 902中。
其中， 步骤 903和步骤 904的执行不分时间先后顺序， 步骤 904也可以 发生于步骤 903之前， 也可以和步骤 903同时进行。
步骤 905、 STA收到关联答复消息后， 校验 MIC失败。
步骤 906、 STA会重新进行 EAP认证过程， 或重新建立安全连接。
实施例六
如图 10所示，为本发明建立安全连接方法实施例六的信令流程图，该过 程包括：
步骤 1001、 与图 4中的步骤 401-411相同， 此处不再赘述； 步骤 1002、 AP根据收到的 PMK, 以及 SNonce和 ANonde生成 PTK, 并根据 PTK生成 KCK和 KEK, AP使用生成的 KCK校验 MSDU MIC, 验 证成功；
步骤 1003、 AP向 STA发送包含 IP地址信息的关联答复消息， AP向 STA 发送的关联答复消息可包含 AID, EAP— Success, EAPoL-Key, MIC; 其中 EAPoL-Key包括 GTK和 IGTK;
其中， AP已经获取 DHCP服务器的 IP地址分配。
步骤 1004、 STA收到关联答复消息后，校验 MIC成功； STA进行 PTK、 GTK和 IGTK的安装。
实施例七
如图 11所示，为本发明建立安全连接方法实施例七的信令流程图，该过 程包括：
步骤 1101、 与图 4中的步骤 401-409相同， 此处不再赘述；
步骤 1102、 EAP认证失败；
步骤 1103、 AS向 AP发送 EAP_失败（ Failure ) 消息；
步骤 1104、 AP向 STA发送关联答复消息， AP向 STA发送的关联答复 消息包含 EAP—失败（ Failure ) 消息；
步骤 1105、 STA重新进行 EAP认证， 或重新建立安全连接。
实施例八
如图 12所示，为本发明建立安全连接方法实施例八的信令流程图，该过 程包括：
步骤 1201、 与图 4中的步骤 401-411相同， 此处不再赘述；
步骤 1202、 AP根据收到的 PMK, 以及 SNonce和 ANonde生成 PTK, 并根据 PTK生成 KCK和 KEK; AP使用生成的 KCK校验 MSDU MIC; 验 证成功 , AP使用生成的 KEK解密 DHCP-Discover消息；
步骤 1203、 AP向 DHCP服务器发送 DHCP-Discover w/消息， 该消息携 带 Rapid Commit选项； 其中， 快速 IP地址分配机制为可选。 步骤 1204、 AP 中设置一个定时器， 在 AP 向 DHCP 服务器发送 DHCP-Discover消息后开始计时。 如果定时器未到期， AP收到 DHCP服务 器发送的 DHCP-Ack消息；
步骤 1205、 AP发送包含 IP地址的关联答复消息给 STA, 此关联答复消 息可包含 AID , EAP— Success消息， EAPoL-Key消息， MIC;其中 EAPoL-Key 消息包括 GTK和 IGTK;
步骤 1206、 STA收到关联答复消息后， 校验 MIC成功， STA可以进入 已认证已关联状态 , 状态机进入全 EAP上下文状态。
上述实施例一至实施例八可以发生于 STA与网络快速建立安全连接时， 或 STA与网络进行 EAP重新认证时。
本发明上述实施例不限于 IEEE 802.11 系统， 可以将它的相关模式应用 于其它无线通信系统中。
如图 13所示， 为本发明 AP实施例的结构示意图， 该 AP包括生成校验 模块 1301和处理模块 1302, 其中：
生成校验模块， 用于生成成对临时密钥 （PTK )和 /或校验消息完整性编 码（ MIC ) ；
处理模块， 用于向工作站 （STA )发送关联答复消息并和动态主机配置 协议（DHCP )服务器进行 DHCP过程； 或者， 仅向所述 STA发送包含 IP 地址的关联答复消息。
其中， 所述处理模块和 DHCP服务器进行 DHCP过程， 具体用于： 向所 述 DHCP服务器发送 DHCP过程请求消息。 可选的， 所述处理模块， 还用于 接收所述 DHCP服务器为所述 STA分配的 IP地址。
另外， 所述处理模块向 STA发送关联答复消息， 具体用于： 直接向所述 STA发送所述关联答复消息； 或者， 在所述 AP中设置一定时器， 该定时器 在所述处理模块向所述 DHCP服务器发送所述 DHCP过程请求消息后开始计 时， 如果该定时器到期， 还未收到所述 DHCP服务器返回的 DHCP过程答复 消息， 则向所述 STA发送所述关联答复消息； 或者， 所述 AP中设置一定时 器， 该定时器在所述 AP向所述 DHCP服务器发送所述 DHCP过程请求消息 后开始计时， 如果该定时器未到期， 所述 AP收到所述 DHCP服务器返回的 复消息。 所述处理模块， 还用于如果该定时器到期， 还未收到所述 DHCP服 务器返回的 DHCP过程应答消息或 DHCP过程否定应答消息，则向所述 STA 发送消息， 以便所述 STA重新进行 DHCP过程。
进一步地，所述处理模块，还用于和 DHCP服务器进行 DHCP过程之后， 若收到所述 DHCP服务器发送的 DHCP过程应答消息，则将所述 DHCP过程 应答消息直接发送或携带在关联响应消息中发送给所述 STA。
针对 EAP认证失败的情况， 所述 AP还包括： 接收模块， 用于接收认证 服务器（AS )进行 EAP认证失败后发送的扩展认证协议（EAP )认证失败 消息； 所述处理模块， 具体用于向所述 STA发送包含 EAP认证失败消息的 关联答复消息。
上述 AP进行处理的过程与图 5-12中 AP对应的操作相同， 此处不再赘 述。
上述 AP不需要在接收到 DHCP服务器发送的 DHCP过程答复消息后就 可以向 STA发送关联应答消息， 从而可以加快 STA建立安全链路的速度， 减少终端初始接入 WLAN网络的时延；特别是对于大量用户需要在极短时间 内接入 WLAN网络的场景， 性能有极大的提升， 很好地改善了用户体验。
如图 14所示， 为本发明 STA实施例的结构示意图， 该 STA包括接收模 块 1401和处理模块 1402, 其中：
接收模块， 用于接收接入点 （ AP )发送的关联答复消息；
处理模块， 用于校验所述关联答复消息中的消息完整性编码（MIC ) , 并根据校验结果选择重新进行扩展认证协议（EAP )认证， 或选择等待动态 主机配置协议（DHCP )过程答复消息。
EAP认证成功消息、 EAPoL-Key 消息和消息完整性编码 ( MIC ) ； 其中， EAPoL-Key消息包含组临时密钥 （ GTK )和完整性组临时密钥 （IGTK ) 。
另外， 当所述关联答复消息为包含 IP地址的关联答复消息时， 所述处理 模块， 还用于校验所述 MIC, 并在校验成功后安装成对临时密钥 （PTK ) 、 组临时密钥 （GTK )和完整性组临时密钥 （IGTK ) 。
优选地， 所述处理模块， 具体用于： 校验所述 MIC 失败后， 重新进行 EAP认证或重新建立安全连接； 或者， 校验所述 MIC成功后， 选择等待所 述 AP返回的 DHCP过程答复消息。 所述处理模块， 还用于： 选择等待所述 AP返回的 DHCP过程答复消息之后， 接收所述 AP返回的包含为 STA分配 的 IP地址的 DHCP过程答复消息； 或者， 选择等待所述 AP返回的 DHCP 过程答复消息之后， 接收所述 AP返回的未包含为 STA分配的 IP地址的 DHCP过程答复消息， 再次发起 DHCP过程； 或者， 选择等待所述 AP返回 的 DHCP过程答复消息之后， 在所述 STA中设置定时器， 该定时器在所述 STA收到所述关联答复消息后或者所述 STA校验所述 MIC成功后开始计时， 如果所述定时器到期， 还未收到所述 AP返回的 DHCP过程答复消息， 则再 次发起 DHCP过程。
进一步地， 当所述关联答复消息包含 EAP认证失败消息时， 所述处理模 块， 还用于重新进行 EAP认证或重新建立安全连接。
上述 STA进行处理的过程与图 5-12中 STA对应的操作相同， 此处不再 赘述。
上述 STA可以快速地收到 AP发送的关联答复消息， 从而可以尽快地建 立安全链路，减少终端初始接入 WLAN网络的时延；特别是对于大量用户需 要在极短时间内接入 WLAN网络的场景，性能有极大的提升，很好地改善了 用户体验。
本领域普通技术人员可以理解上述方法中的全部或部分步骤可通过程序 来指令相关硬件完成， 上述程序可以存储于计算机可读存储介质中， 如只读 存储器、 磁盘或光盘等。 可选地， 上述实施例的全部或部分步骤也可以使用 一个或多个集成电路来实现。 相应地， 上述实施例中的各模块 /单元可以釆用 硬件的形式实现， 也可以釆用软件功能模块的形式实现。 本发明不限制于任 何特定形式的硬件和软件的结合。
以上实施例仅用以说明本发明的技术方案而非限制， 仅仅参照较佳实施 例对本发明进行了详细说明。 本领域的普通技术人员应当理解， 可以对本发 明的技术方案进行修改或者等同替换， 而不脱离本发明技术方案的精神和范 围， 均应涵盖在本发明的权利要求范围当中。
工业实用性
上述发送消息的方法、 建立安全连接的方法、 接入点和工作站， 可以加 快 STA建立安全链路的速度， 减少终端初始接入 WLAN网络的时延； 特别 是对于大量用户需要在极短时间内接入 WLAN网络的场景，性能有极大的提 升， 很好地改善了用户体验。

Claims

权 利 要 求 书
1、 一种发送消息的方法， 该方法包括：
接入点（ AP )生成成对临时密钥（ PTK )和/或校验消息完整性编码（ MIC ); 所述 AP 向工作站 （STA )发送关联答复消息并和动态主机配置协议 ( DHCP )服务器进行 DHCP过程； 或者， 仅向所述 STA发送包含 IP地址 的关联答复消息。
2、 根据权利要求 1所述的方法， 其中，
所述关联答复消息包含以下参数之一或其任意组合： 所述 AP 为所述 STA分配的关联标识（AID ) 、 扩展认证协议（EAP )认证成功消息、 基于 局域网的扩展认证协议密钥 （EAPoL-Key ) 消息和 MIC;
所述包含 IP地址的关联答复消息还包含所述 AID、 EAP认证成功消息、 EAPoL-Key消息和 MIC;
其中， EAPoL-Key 消息包含组临时密钥 （ GTK )和 /或完整性组临时密 钥 （IGTK ) 。
3、 根据权利要求 1所述方法， 其中，
所述 AP和 DHCP服务器进行 DHCP的过程包括：
所述 AP向所述 DHCP服务器发送 DHCP过程请求消息。
4、 根据权利要求 1所述的方法， 其中，
所述 AP和 DHCP服务器进行 DHCP过程还包括：
所述 AP接收所述 DHCP服务器为所述 STA分配的 IP地址。
5、根据权利要求 1所述的方法， 其中， 所述 DHCP过程包括 DHCPv4、 DHCPv6、 邻居发现（ND )和无状态地址自动配置过程。
6、 根据权利要求 3所述的方法， 其中，
所述 AP向 STA发送关联答复消息包括：
所述 AP直接向所述 STA发送所述关联答复消息； 或者
所述 AP中设置一定时器， 该定时器在所述 AP向所述 DHCP服务器发 送所述 DHCP过程请求消息后开始计时， 如果该定时器到期， 所述 AP还未 收到所述 DHCP服务器返回的 DHCP过程答复消息，则所述 AP向所述 STA 发送所述关联答复消息； 或者
所述 AP中设置一定时器， 该定时器在所述 AP向所述 DHCP服务器发 送所述 DHCP过程请求消息后开始计时， 如果该定时器未到期， 所述 AP收 到所述 DHCP服务器返回的 DHCP过程答复消息， 则所述 AP向所述 STA 发送所述包含 IP地址的关联答复消息。
7、 根据权利要求 6所述的方法， 其中， 所述方法还包括：
如果该定时器到期， 所述 AP还未收到所述 DHCP服务器返回的 DHCP 过程应答消息或 DHCP过程否定应答消息， 则 AP向所述 STA发送消息， 以 便所述 STA重新进行 DHCP过程。
8、 根据权利要求 1-7任一权利要求所述的方法， 其中，
所述 AP和 DHCP服务器进行 DHCP过程之后， 所述方法还包括： 所述 AP在收到所述 DHCP服务器发送的 DHCP过程应答消息后， 将所 述 DHCP过程应答消息发送给所述 STA。
9、 根据权利要求 8所述的方法， 其中， 所述 DHCP过程应答消息携带 于所述 AP向所述 STA发送的关联响应消息中。
10、 一种建立安全连接的方法， 该方法包括：
工作站（STA )接收接入点 （AP )发送的关联答复消息；
所述 STA校验消息完整性编码（MIC ) , 并根据校验结果选择重新进行 扩展认证协议（EAP )认证， 或选择等待动态主机配置协议（DHCP )过程 答复消息。
11、 根据权利要求 10所述的方法， 其中，
所述关联答复消息包含以下参数之一或其任意组合： 所述 AP 为所述 STA分配的关联标识（AID ) 、 EAP认证成功消息、 基于局域网的扩展认证 协议密钥（ EAPoL-Key )消息和 MIC; 其中 , EAPoL-Key消息包含组临时密 钥 （GTK )和 /或完整性组临时密钥 （IGTK ) 。
12、 根据权利要求 11所述的方法， 其中，
当所述关联答复消息为包含 IP地址的关联答复消息时，所述方法还包括: 所述 STA校验 MIC, 并在校验成功后安装成对临时密钥（PTK )、 组临 时密钥 （GTK )和完整性组临时密钥 （IGTK ) 。
13、 根据权利要求 10所述的方法， 其中，
所述 STA根据校验结果选择重新进行 EAP认证， 或选择等待动态主机 配置协议（DHCP )过程答复消息， 包括：
所述 STA校验所述 MIC失败后， 重新进行 EAP认证或重新建立安全连 接； 或者
所述 STA校验所述 MIC成功后， 选择等待所述 AP返回的 DHCP过程 答复消息。
14、 根据权利要求 13所述的方法， 其中， 所述选择等待所述 AP返回的 DHCP过程答复消息之后， 所述方法还包括：
所述 STA接收所述 AP返回的包含为 STA分配的 IP地址的 DHCP过程 答复消息； 或者
所述 STA接收所述 AP返回的未包含为 STA分配的 IP地址的 DHCP过 程答复消息， 所述 STA再次发起 DHCP过程； 或者
所述 STA中设置定时器， 该定时器在所述 STA收到所述关联答复消息 后或者所述 STA校验所述 MIC成功后开始计时， 如果所述定时器到期， 所 述 STA还未收到所述 AP返回的 DHCP过程答复消息， 则所述 STA再次发 起 DHCP过程。
15、 根据权利要求 10所述的方法， 其中，
所述 STA校验 MIC之后， 所述方法还包括： 所述 STA进入已认证已关 联状态， 所述 STA对应的状态机进入全 EAP上下文状态。
16、 一种发送消息的方法， 该方法包括：
接入点（ AP )接收认证服务器（ AS )进行扩展认证协议（ EAP )认证失 败后发送的 EAP认证失败消息； 所述 AP向工作站 （STA )发送关联答复消息， 所述关联答复消息包含 EAP认证失败消息。
17、 一种建立安全连接的方法， 所述方法包括：
工作站（STA )接收接入点 （AP )发送的包含扩展认证协议（EAP )认 证失败消息的关联答复消息；
所述 STA重新进行 EAP认证或重新建立安全连接。
18、 一种接入点 （AP ) , 该 AP包括：
生成校验模块， 设置为： 生成成对临时密钥 （PTK )和 /或校验消息完整 性编码（MIC ) ；
处理模块， 设置为： 向工作站 （STA )发送关联答复消息并和动态主机 配置协议（ DHCP )服务器进行 DHCP过程； 或者， 仅向所述 STA发送包含 IP地址的关联答复消息。
19、 根据权利要求 18所述的 AP, 其中，
所述关联答复消息包含以下参数之一或其任意组合： 所述 AP 为所述 STA分配的关联标识（AID ) 、 扩展认证协议（EAP )认证成功消息、 基于 局域网的扩展认证协议密钥 （ EAPoL-Key ) 消息和 MIC;
所述包含 IP地址的关联答复消息还包含所述 AID、 EAP认证成功消息、 EAPoL-Key消息和 MIC;
其中， EAPoL-Key 消息包含组临时密钥 （ GTK )和 /或完整性组临时密 钥 （IGTK ) 。
20、 根据权利要求 18所述的 AP, 其中，
所述处理模块设置为： 和 DHCP服务器进行 DHCP过程，
向所述 DHCP服务器发送 DHCP过程请求消息。
21、 根据权利要求 18所述的 AP, 其中，
所述处理模块， 还设置为： 接收所述 DHCP服务器为所述 STA分配的
IP地址。
22、 根据权利要求 18所述的 AP, 其中， 所述处理模块设置为： 向 STA发送关联答复消息，
直接向所述 STA发送所述关联答复消息； 或者
在所述 AP中设置一定时器， 该定时器在所述处理模块向所述 DHCP服 务器发送所述 DHCP过程请求消息后开始计时， 如果该定时器到期， 还未收 到所述 DHCP服务器返回的 DHCP过程答复消息， 则向所述 STA发送所述 关联答复消息； 或者
所述 AP中设置一定时器， 该定时器在所述 AP向所述 DHCP服务器发 送所述 DHCP过程请求消息后开始计时， 如果该定时器未到期， 所述 AP收 到所述 DHCP服务器返回的 DHCP过程答复消息， 则所述 AP向所述 STA 发送所述包含 IP地址的关联答复消息。
23、 根据权利要求 22所述的 AP, 其中，
所述处理模块， 还设置为： 如果该定时器到期， 还未收到所述 DHCP服 务器返回的 DHCP过程应答消息或 DHCP过程否定应答消息，则向所述 STA 发送消息， 以便所述 STA重新进行 DHCP过程。
24、 根据权利要求 18-23任一权利要求所述的 AP, 其中，
所述处理模块， 还设置为： 和 DHCP服务器进行 DHCP过程之后， 若收 到所述 DHCP服务器发送的 DHCP过程应答消息，则将所述 DHCP过程应答 消息直接发送或携带在关联响应消息中发送给所述 STA。
25、 根据权利要求 18所述的 AP, 其中， 所述 AP还包括：
接收模块， 设置为： 接收认证服务器 （AS )进行 EAP认证失败后发送 的扩展认证协议（EAP )认证失败消息；
所述处理模块， 设置为： 向所述 STA发送包含 EAP认证失败消息的关 联答复消息。
26、 一种工作站 （STA ) , 该 STA包括：
接收模块， 设置为： 接收接入点 （AP )发送的关联答复消息； 处理模块，设置为：校验所述关联答复消息中的消息完整性编码（ MIC ), 并根据校验结果选择重新进行扩展认证协议（EAP )认证， 或选择等待动态 主机配置协议（DHCP )过程答复消息。
27、 根据权利要求 26所述的 STA, 其中，
所述关联答复消息包含所述 AP为所述 STA分配的关联标识（ AID ) 、 EAP认证成功消息、 基于局域网的扩展认证协议密钥 （EAPoL-Key )消息和 MIC; 其中 , EAPoL-Key消息包含组临时密钥（ GTK )和 /或完整性组临时密 钥 （IGTK ) 。
28、 根据权利要求 27所述的 STA, 其中， 所述处理模块， 还设置为： 当所述关联答复消息为包含 IP地址的关联答复消息时，
校验所述 MIC, 并在校验成功后安装成对临时密钥 （PTK ) 、 组临时密 钥 （GTK )和完整性组临时密钥 （IGTK ) 。
29、 根据权利要求 26所述的 STA, 其中， 所述处理模块， 设置为： 校验所述 MIC失败后， 重新进行 EAP认证或重新建立安全连接； 或者 校验所述 MIC成功后， 选择等待所述 AP返回的 DHCP过程答复消息。
30、 根据权利要求 29所述的 STA, 其中， 所述处理模块， 还设置为： 选择等待所述 AP返回的 DHCP过程答复消息之后， 接收所述 AP返回 的包含为 STA分配的 IP地址的 DHCP过程答复消息； 或者
选择等待所述 AP返回的 DHCP过程答复消息之后， 接收所述 AP返回 的未包含为 STA分配的 IP地址的 DHCP过程答复消息， 再次发起 DHCP过 程； 或者
选择等待所述 AP返回的 DHCP过程答复消息之后，在所述 STA中设置 定时器， 该定时器在所述 STA收到所述关联答复消息后或者所述 STA校验 所述 MIC成功后开始计时， 如果所述定时器到期， 还未收到所述 AP返回的 DHCP过程答复消息， 则再次发起 DHCP过程。
31、 根据权利要求 26所述的 STA, 其中， 所述处理模块， 还设置为： 当所述关联答复消息包含 EAP认证失败消息时， 重新进行 EAP认证或 重新建立安全连接。
PCT/CN2013/070242 2012-01-09 2013-01-09 发送消息的方法、建立安全连接的方法、接入点和工作站 WO2013104301A1 (zh)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN201210004613.3 2012-01-09
CN201210004613.3A CN103200004B (zh) 2012-01-09 2012-01-09 发送消息的方法、建立安全连接的方法、接入点和工作站

Publications (1)

Publication Number Publication Date
WO2013104301A1 true WO2013104301A1 (zh) 2013-07-18

Family

ID=48722371

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2013/070242 WO2013104301A1 (zh) 2012-01-09 2013-01-09 发送消息的方法、建立安全连接的方法、接入点和工作站

Country Status (2)

Country Link
CN (1) CN103200004B (zh)
WO (1) WO2013104301A1 (zh)

Families Citing this family (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103491528B (zh) * 2013-09-18 2016-05-25 福建星网锐捷网络有限公司 表项处理方法及设备
CN104902500B (zh) * 2015-05-21 2019-11-22 南京创维信息技术研究院有限公司 无线网络设备与无线接入设备的自动连接方法及系统
CN109361459A (zh) * 2018-12-10 2019-02-19 朱新宁 一种光通信智能系统及方法

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101056177A (zh) * 2007-06-01 2007-10-17 清华大学 基于无线局域网安全标准wapi的无线网状网重认证方法
CN101119199A (zh) * 2006-08-02 2008-02-06 西安电子科技大学 一种在无线局域网中的安全快速切换方法

Family Cites Families (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1186906C (zh) * 2003-05-14 2005-01-26 东南大学 无线局域网安全接入控制方法
US20080072047A1 (en) * 2006-09-20 2008-03-20 Futurewei Technologies, Inc. Method and system for capwap intra-domain authentication using 802.11r
CN101155092B (zh) * 2006-09-29 2010-09-08 西安电子科技大学 一种无线局域网接入方法、设备及系统
CN102137401B (zh) * 2010-12-09 2018-07-20 华为技术有限公司 无线局域网集中式802.1x认证方法及装置和系统

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101119199A (zh) * 2006-08-02 2008-02-06 西安电子科技大学 一种在无线局域网中的安全快速切换方法
CN101056177A (zh) * 2007-06-01 2007-10-17 清华大学 基于无线局域网安全标准wapi的无线网状网重认证方法

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
FENG, CHENGYAN ET AL., 11/1426R00 FAST SECURITY SETUP, 7 November 2011 (2011-11-07), pages 1 - 12, Retrieved from the Internet <URL:http://grouper.ieee.org/groups/802/11/Reports/tgai_update/11-11-1426-00-00ai-fast-security-setup.ppt> [retrieved on 20130402] *

Also Published As

Publication number Publication date
CN103200004B (zh) 2018-11-20
CN103200004A (zh) 2013-07-10

Similar Documents

Publication Publication Date Title
US20200344604A1 (en) Method For Performing Verification By Using Shared Key, Method For Performing Verification By Using Public Key And Private Key, And Apparatus
US11825303B2 (en) Method for performing verification by using shared key, method for performing verification by using public key and private key, and apparatus
JP6727294B2 (ja) ユーザ機器ｕｅのアクセス方法、アクセスデバイス、およびアクセスシステム
KR100704675B1 (ko) 무선 휴대 인터넷 시스템의 인증 방법 및 관련 키 생성방법
TWI388180B (zh) 通信系統中之金鑰產生
CN101616410B (zh) 一种蜂窝移动通信网络的接入方法和系统
JP4921557B2 (ja) インフラストラクチャベースの無線マルチホップネットワークにおけるセキュリティ認証及び鍵管理方法
WO2013010469A1 (zh) 建立连接的方法、终端和接入点
RU2587417C2 (ru) Системы и способы для аутентификации
US20100211790A1 (en) Authentication
WO2009094942A1 (fr) Procédé et système de réseau de communication pour établir une conjonction de sécurité
WO2004102884A1 (fr) Procede d&#39;authentification par reseau local radio
WO2009097789A1 (zh) 建立安全关联的方法和通信系统
WO2013107423A1 (zh) 一种网络接入的认证方法、系统和设备
WO2009152749A1 (zh) 一种绑定认证的方法、系统和装置
WO2013181847A1 (zh) 一种无线局域网接入鉴权方法、设备及系统
WO2013166908A1 (zh) 密钥信息生成方法及系统、终端设备、接入网设备
JP2012520601A (ja) 通信システムにおける認証方法及びそのシステム
CN103096307A (zh) 密钥验证方法及装置
WO2010000157A1 (zh) 接入设备的配置方法、装置及系统
WO2013152740A1 (zh) 用户设备的认证方法、装置及系统
WO2016184351A1 (zh) 无线网络的ip地址分配方法和系统
WO2007041933A1 (fr) Procédé de mise à jour de clés secrètes contrôlées et appareil idoine
WO2013104301A1 (zh) 发送消息的方法、建立安全连接的方法、接入点和工作站
WO2011143977A1 (zh) 终端移动到增强通用陆地无线接入网络（utran）时建立增强密钥的方法及系统

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 13735713

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 13735713

Country of ref document: EP

Kind code of ref document: A1