WO2013152632A1 - 一种安全身份发现及通信方法 - Google Patents

一种安全身份发现及通信方法 Download PDF

Info

Publication number
WO2013152632A1
WO2013152632A1 PCT/CN2013/070962 CN2013070962W WO2013152632A1 WO 2013152632 A1 WO2013152632 A1 WO 2013152632A1 CN 2013070962 W CN2013070962 W CN 2013070962W WO 2013152632 A1 WO2013152632 A1 WO 2013152632A1
Authority
WO
WIPO (PCT)
Prior art keywords
site
identity
mac address
ciphertext
station
Prior art date
Application number
PCT/CN2013/070962
Other languages
English (en)
French (fr)
Inventor
黄开缔
杨国瑞
夏林峰
Original Assignee
华为技术有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 华为技术有限公司 filed Critical 华为技术有限公司
Priority to EP13775581.5A priority Critical patent/EP2822310B1/en
Publication of WO2013152632A1 publication Critical patent/WO2013152632A1/zh
Priority to US14/496,902 priority patent/US9357389B2/en

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0869—Network architectures or network communication protocols for network security for authentication of entities for achieving mutual authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0876—Network architectures or network communication protocols for network security for authentication of entities based on the identity of the terminal or configuration, e.g. MAC address, hardware or software configuration or device fingerprint
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/14—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols using a plurality of keys or algorithms
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2101/00—Indexing scheme associated with group H04L61/00
    • H04L2101/60—Types of network addresses
    • H04L2101/618—Details of network addresses
    • H04L2101/622—Layer-2 addresses, e.g. medium access control [MAC] addresses
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/02—Protecting privacy or anonymity, e.g. protecting personally identifiable information [PII]

Definitions

  • the present invention claims the priority of a Chinese patent application filed on April 11, 2012 by the Chinese Patent Office, the application number is 201210104825.9, and the invention is entitled "a secure identity discovery and communication method". The entire contents are incorporated herein by reference.
  • TECHNICAL FIELD The present invention relates to the field of wireless communication technologies, and in particular, to a secure identity discovery and communication method.
  • 802.11 is a wireless LAN standard developed by the IEEE (Institute of Electrical and Electronics Engineers, IEEE), which is mainly used to solve wireless access between users and user terminals in office local area networks and campus networks.
  • IEEE 802.11 technology establishes a common MAC (Medium Access Control) layer for multiple PHYs (Physical Layers) to build a standard WLAN.
  • the main task of the medium access control layer MAC is to establish an addressing and channel access control mechanism for multiple sites in the same network, which makes communication between multiple sites possible.
  • BSS Basic Service Set
  • AP Access Point
  • ESS Extended Service Set
  • the station STAs can also directly communicate with each other by self-organizing the network, which is an independent BSS or IBSS, such as BSS1 shown in FIG.
  • NAN Neighborhood Network, Community Network
  • Class 1 information carries: Control Frame, Management frames, and Data frames.
  • the site mainly uses broadcast beacon frames to realize mutual discovery between sites. That is: the station is on a certain channel, starting from a random event, according to a certain beacon frame transmission period (value range 20ms to 1000ms, preset value is 100ms), periodic broadcast transmission carries its own information and beacon frame .
  • the surrounding sites understand the existence of the site and the information of the site by accepting and interpreting the beacon frame information of the above broadcast.
  • the MAC address or hardware address, is used to define the location of the network device. It is composed of 48-bit long and hexadecimal digits. The 0 to 23 digits are the organization-unique identifiers. They are the identifiers for identifying the LAN nodes. 24-47 bits. According to the manufacturer of the network device, it is allocated by itself.
  • the packet format is shown in Table 1:
  • the Address 1 field is filled in as the immediate accepted address of the frame; the Address 2 field is filled in as the immediate sending address of the frame; and the Frame Body field is loaded with the upper layer content (such as an IP packet) to be delivered through the MAC packet.
  • the MAC address is a unique identifier of each station in the communication range of the MAC layer. Therefore, when the surrounding station listens to the beacon frame carrying a certain MAC address in the channel, it can judge that there is a site corresponding to the MAC address. presence.
  • the beacon frame broadcast by each station can be received by any station around it. According to the Pre-Association status between sites, there is no key negotiation, and you cannot
  • the broadcast beacon frame is encrypted, so the beacon frame broadcasted by each station can be interpreted by any surrounding site, and the own MAC address information carried in the beacon frame can also be known by any site around it, and the MAC address is obtained.
  • the disclosure of information will result in the privacy of users at each site being unprotected.
  • the present invention provides a secure identity discovery method to improve the degree of privacy protection when performing identity discovery between sites, the method comprising:
  • the first station sends an identity discovery frame;
  • the identity discovery frame carries the first site identity code and target site information, and the target site information includes a first ciphertext;
  • the first station receives an identity authentication frame sent by the second station;
  • the identity authentication frame carries the second site identity code, the first site identity code, and the second ciphertext;
  • the first site verifies the identity of the second site
  • the identity confirmation frame carries the second site identity code; or the identity confirmation frame carries the first site identity code and the first Two-site identity encoding.
  • the present invention provides a secure identity discovery method to improve the degree of privacy protection when performing identity discovery between sites, the method comprising:
  • the second site receives an identity discovery frame sent by the first site, where the identity discovery frame carries the first site identity code and target site information, the target site information includes a first ciphertext; State the identity of the first site;
  • the second station sends an identity authentication frame to the first site, where the identity authentication frame carries the second site identity code, the first site identity code, and the second ciphertext;
  • the present invention also provides a first site for secure identity discovery, including:
  • a first sending module configured to send an identity discovery frame;
  • the identity discovery frame carries the first site identity code and target site information, where the target site information includes a first ciphertext;
  • a receiving module configured to receive an identity authentication frame sent by the second station; the identity authentication frame carries the second site identity code, the first site identity code, and a second ciphertext; Verifying the identity of the second site;
  • a second sending module configured to send an identity confirmation frame to the second site, where the identity confirmation frame carries the second site identity code; or the identity confirmation frame carries the first site identity code and The second site identity code is described.
  • the present invention also provides a second site for secure identity discovery, including:
  • a first receiving module configured to receive an identity discovery frame sent by the first station, where the identity discovery frame carries the first site identity code and target site information, where the target site information includes a first ciphertext;
  • a verification module configured to verify the identity of the first site
  • a first sending module configured to send an identity authentication frame to the first site, where the identity authentication frame carries the second site identity code, the first site identity code, and the second ciphertext; And for receiving an identity confirmation frame sent by the first station, where the identity confirmation frame carries the second site identity code; or the identity confirmation frame carries the first site identity code and the second Site identity encoding.
  • the frames for identity discovery between the first site and the second site hide or omit the MAC addresses of the two sites, and the identity code is used to identify the identity of the two sites, and the ciphertext is used. Authentication improves the degree of privacy protection between sites for identity discovery.
  • FIG. 1 is a conceptual diagram of IBSS, BSS, and ESS of a WLAN in the prior art
  • FIG. 2 is a flowchart of a method for discovering a security identity according to an embodiment of the present invention
  • FIG. 3 is a flowchart of a method for secure identity communication according to an embodiment of the present invention.
  • FIG. 4 is a first site structure diagram for secure identity discovery according to an embodiment of the present invention
  • FIG. 5 is a first site structure diagram for secure identity communication according to an embodiment of the present invention
  • FIG. 7 is a second site structure diagram for secure identity communication according to an embodiment of the present invention
  • FIG. 8 is a schematic diagram of a second site structure for secure identity communication according to an embodiment of the present invention
  • system and "network” are used interchangeably herein.
  • the term “and / or,,” is just an association describing the associated object, indicating that there can be three relationships, for example, A and / or B, which can mean: A exists separately, and A and B exist simultaneously, alone There are three cases of B.
  • the character ",” in this article, generally means that the contextual object is an "or" relationship.
  • GSM Global System of Mobile communication
  • CDMA Code Division Multiple Access
  • WCDMA Wideband Code Division Multiple Access
  • GPRS General Packet Radio
  • LTE Long Term Evolution
  • FDD-LTE Frequency Division Duplex
  • TDD-LTE Time Division Duplex
  • UMTS Universal Mobile Telecommunication System
  • Embodiment 1 Telecommunication System, Universal Mobile Communication System, WiMAX (Worldwide Interoperability for Microwave Access) communication system, £ wave communication system, etc.
  • Embodiment 1 Embodiment 1:
  • the first embodiment of the present invention provides a security identity discovery method, where the method mainly includes: sending, by the first station, an identity discovery frame, where the identity discovery frame carries the first site identity code TID and target site information, where the target The site information includes a first ciphertext Challenge Textl; the second site receives the identity discovery frame and verifies the identity of the first site;
  • the second station sends an identity authentication frame to the first site, where the identity authentication frame carries a second site identity code RID, a first site identity code TID, and a second ciphertext Challenge Text2;
  • the first station receives the identity authentication frame and verifies the identity of the first site
  • the first station sends an identity confirmation frame to the second station, where the identity confirmation frame carries the RID, or the identity confirmation frame carries the RID and the TID.
  • Embodiment 2 :
  • Embodiment 2 of the present invention provides a secure identity discovery method
  • FIG. 2 shows a schematic flow chart of the method. Referring to Figure 2, the method includes:
  • the first station sends an identity discovery frame.
  • the first station sends the identity discovery frame to the target site by means of periodic broadcast, that is, the friend site to be searched by the first site, and the non-target site may also receive the identity discovery frame.
  • the frame structure of the identity discovery frame is shown in Table 2 below:
  • the RA field is filled with the sending address, and the TID Seq. is a first site identity code generated or pre-configured according to a preset algorithm, where the target site information includes the first site and the first site shared by the target site sent by the identity discovery frame.
  • the first ciphertext can be pre-configured in the site.
  • the frame structure of the identity discovery frame can also be as shown in Table 3 below:
  • Target site information includes:
  • the meanings of the RA, TID Seq. and target site information fields are the same as those in Table 2.
  • the difference from Table 2 is that the target site information also includes a Partial MAC field, and the Partial MAC is a partial MAC of the target site sent by the identity discovery frame. Address information.
  • the part of the MAC address information shown may be the first X bits, the last X bits, and the intermediate X bits of the target site, and the specific selection algorithm may be pre-configured in the site.
  • the identity discovery frame can also be as shown in Table 4 below:
  • Target site information includes:
  • the meanings of the RA, TID Seq., first ciphertext and Partial MAC fields are the same as those in Table 3.
  • the target site information also includes a PMC (Partial MAC Choose) field, and the PMC is Select the policy indicator bit to indicate the selection of the Partial MAC Algorithm.
  • PMC Partial MAC Choose
  • the PMC is Select the policy indicator bit to indicate the selection of the Partial MAC Algorithm.
  • the PMC is 1
  • the selection algorithm of the Partial MAC is the last X-bit MAC address information of the target station MAC address
  • the PMC is 2
  • the selection algorithm of the Partial MAC is the last X-bit even number of the target site MAC address.
  • MAC address information etc.
  • the PMC can be pre-configured in the site.
  • the first ciphertext is calculated by the default algorithm 1 according to the MAC address of the first station and the MAC address of the target station of the frame, and the default algorithm 1 may be pre-configured in the station.
  • the default algorithm 1 is additive
  • the first ciphertext is obtained by adding the MAC address of the first station and the MAC address of the target station of the frame.
  • the identity discovery frame further carries the first information, where the first ciphertext is calculated according to the MAC address of the first site, the MAC address of the target site, and the first information by using a default algorithm 1 Pre-configured in the site.
  • the first information includes but is not limited to: time information, identity coded information, and the like.
  • the frame structure of the identity discovery frame can also be as shown in Table 5 below:
  • Target Site Information includes:
  • the meanings of the RA and TID Seq. fields are the same as those in Table 2.
  • the difference from Table 2 is that the first ciphertext is calculated by Algorithm 1 according to the MAC address of the first station and the MAC address of the target station of the frame;
  • the site information further includes a CAC (Coding Algorithm Choose) field, where the CAC is the first indicator bit, indicating the algorithm 1 for deriving the first ciphertext in Table 5.
  • the frame structure of the identity discovery frame can also be as shown in Table 6 below:
  • Target site information includes: Dialog Token first ciphertext
  • the meanings of the RA and TID Seq. fields are the same as those in Table 2.
  • the difference from Table 2 is that the NoF field is added, and the identity discovery frame includes multiple target site information, and NoF is the number of target sites sent by the identity discovery frame.
  • the target site information further includes a number corresponding to each target site, and the first ciphertext is a ciphertext shared by the first site and the corresponding numbered target site.
  • the target site information 3 includes the number 3 and the ciphertext shared by the first site and the target site numbered 3.
  • the first site can simultaneously perform secure identity verification to multiple friend sites, which is the target site sent by the identity discovery frame. At the same time, it is also possible for the non-target site to receive the identity discovery frame.
  • the target site information may further include partial MAC address information of each target site;
  • the target site information may further include a target site Partial MAC and a selection policy indicator bit PMC;
  • the first ciphertext in the target site information may be calculated by using the default algorithm 1 according to the MAC address of the first site and the MAC address of the target site corresponding to the number;
  • the first ciphertext in the target site information may be calculated by Algorithm 1 according to the MAC address of the first site and the MAC address of the corresponding site of the corresponding site, and the target site information further includes the first indicator bit CAC.
  • the second station receives the identity discovery frame, and verifies the identity of the first site. Because the second site is not necessarily the friend site of the first site, after receiving the identity discovery frame, the second site needs to determine whether it is The target site of the identity discovery frame sent by the first site is specifically: parsing the first ciphertext carried by the identity authentication frame, verifying whether the first ciphertext is the same as the shared ciphertext, and sharing the ciphertext as the second site and The ciphertext shared by the friend site, the shared ciphertext can be pre-configured in the site. If the first ciphertext and the shared ciphertext are the same, step 203a is performed; if not, the second site discards the identity discovery frame, and the following steps are not performed.
  • the second site receives the identity discovery frame, according to its own MAC address and the first A ciphertext, the third MAC address is calculated by the default algorithm 2.
  • the default algorithm 2 can be pre-configured in the site, and the third MAC address can be the MAC address of the first site or the MAC address of other sites other than the first site.
  • the default algorithm 2 can be the inverse of the default algorithm 1. For example, when the default algorithm 1 is additive, the first ciphertext is obtained by adding the MAC address of the first station and the MAC address of the target site of the frame, and the default algorithm 2 is subtraction, and the second site can use the first A ciphertext minus its own MAC address gets the third MAC address.
  • the second site looks up the presence or absence of the third MAC address in its buddy site. If there is a matching site in the friend site, S203b is performed to perform further confirmation of the security identity; if there is no matching site in the friend site, the second site discards the identity discovery frame, and the following steps are not performed.
  • the reason for further confirming the security identity is that the identity discovery frame sent by the first site may be received by the non-target station, and each receiving site may calculate the third MAC address according to its own MAC address and the received first ciphertext.
  • the default algorithm 1 is a subtraction operation
  • the default algorithm 2 is an addition operation.
  • the first station with a MAC address of 5 needs to find a second station with a MAC address of 3, and the first ciphertext sent is 2 (5-2), MAC.
  • the site with the address 4 considers that the MAC address of the sending site of the frame is 6 (4+2) by default algorithm 2, and the third site with the MAC address of 6 exists in the own friend site. At this point, an incorrect security identity confirmation has occurred, so further confirmation of the security identity is required.
  • the identity discovery frame further carries the first information
  • the first ciphertext is calculated according to the MAC address of the first site, the MAC address of the frame target site, and the first information by using the default algorithm 1
  • the second site receives After the identity discovery frame, the third MAC address is calculated by default algorithm 2 according to the own MAC address, the first ciphertext, and the first information.
  • the second site looks up the presence or absence of the third MAC address in its buddy site.
  • the following buddy site refers to a list of MAC addresses corresponding to the buddy sites and the buddy sites pre-configured in the site. If there is a matching site in the friend site, S203b is performed to perform further confirmation of the security identity; if there is no matching site in the friend site, the second site discards the identity discovery frame, and the following steps are not performed.
  • the second site receives After the identity discovery frame, the third MAC address is calculated by default algorithm 2. Then, the second site searches for the third MAC address in the buddy site of the friend: if there is a matching site in the buddy site, execute S203b to perform further confirmation of the security identity; if there is no matching site in the buddy site, then The second site discards the identity discovery frame and does not perform the following steps.
  • the second site when the frame structure of the identity discovery frame is as shown in Table 5, after receiving the identity discovery frame, the second site first confirms the algorithm 2 according to the first indicator bit, and when the second site is the identity discovery frame
  • the second site can obtain the third MAC address through Algorithm 2.
  • algorithm 2 may be an inverse operation of algorithm 1, and the second station calculates a third MAC address by algorithm 2, and then the second station searches for a third MAC address in its own friend site, if there is a match in the friend site.
  • the site performs S203c; if there is no matching site in the second site buddy site, the second site discards the identity discovery frame and does not perform the following steps.
  • the second station first determines the algorithm 2 according to the first indicator bit, and then calculates the third MAC address by using the second indicator. Then the second station searches for the third MAC address in the buddy site: if there is a matching site in the buddy site, execute S203b to perform further confirmation of the security identity; if there is no buddy site For the matching site, the second site discards the identity discovery frame and does not perform the following steps.
  • the second site sequentially parses the first ciphertext carried in each target site information, if present and the second site. If the first ciphertext with the same ciphertext is shared with the buddy site, S203d is executed; if not, the identity discovery frame is discarded, and the following steps are not performed.
  • the second site receives the identity discovery frame, verifying the identity of the first site, first verifying Whether the partial MAC address information of the target site sent by the identity discovery frame matches the own MAC address. For example, if the Partial MAC selects the last X-bit MAC address of the target site, it compares whether its own last X-bit address matches the Partial MAC. If the Partial MAC matches its own MAC address, the verification continues. The identity of a site; if the Partial MAC does not match its own MAC address, the second site discards the identity discovery frame and does not perform the following steps.
  • the second site receives the identity discovery frame, verifying the identity of the first site, according to The policy indicator bit PMC is selected to determine the selection algorithm of the Partial MAC, and it is verified whether the Partial MAC and its own MAC address match. If the Partial MAC matches its own MAC address, the identity of the first site is continued to be verified; if the Partial MAC does not match its own MAC address, the second site discards the identity discovery frame and does not perform the following steps.
  • S203a The second station sends an identity authentication frame to the first station.
  • the frame structure of the identity authentication frame is as shown in Table 7:
  • the RID Seq. is a second site identity code generated or pre-configured according to a preset algorithm.
  • the RID Seq. may be generated according to a preset algorithm, or may be pre-configured with a fixed identity code, and may also be taken from the first site.
  • Identity code TID Seq. the specific selection algorithm can be pre-site Configuration.
  • TID Seq. is the first site identity code, and the second ciphertext may be the same as or different from the ciphertext in the identity discovery frame.
  • the identity authentication frame also carries the corresponding number.
  • the second site is one of the target sites sent by the identity discovery frame, and the number in the identity discovery frame is 3. After the second site verifies that the first site is its friend site, the second site carries the identity authentication frame. There is number 3.
  • S203b The second station sends an identity authentication frame to the first station.
  • the frame structure of the identity authentication frame is as shown in Table 7, wherein the meanings of the RID Seq. and TID Seq. fields are the same as those in Table 7, and the difference from Table 7 is that the second ciphertext is the second site according to the third MAC address. And its own MAC address, calculated by the default algorithm 3. This default algorithm 3 can be pre-configured in the site.
  • the third MAC address is calculated by the default algorithm 2 according to the MAC address
  • the first ciphertext and the first information of the second station is the second station according to the own MAC address and the third MAC address.
  • the address and the second information are calculated by the default algorithm 3
  • the identity authentication frame further carries the second information.
  • the first information includes, but is not limited to, time information, identity code information, and the like.
  • the identity authentication frame further carries a corresponding code S203c: the second site sends the identity authentication frame to the first site;
  • the frame structure of the identity authentication frame is as shown in Table 8:
  • RID Seq. and TID Seq. fields are the same as those in Table 7.
  • the difference from Table 7 is that the second ciphertext in Table 8 is the second site according to the MAC address and the third MAC address of the second site.
  • Algorithm 3 calculates the result and adds a second indicator bit CAC, which indicates Algorithm 3.
  • the identity authentication frame also carries the corresponding code.
  • S203d The second station sends an identity authentication frame to the first
  • the frame structure of the identity authentication frame is as shown in Table 9:
  • S204 The first station receives the identity authentication frame, and verifies the identity of the second site.
  • the first site After receiving the identity authentication frame, the first site parses the second ciphertext carried by the identity authentication frame, and verifies whether the second ciphertext is the same as the shared ciphertext, and the shared ciphertext is sent by the first site and the identity discovery frame.
  • the ciphertext shared by the target site If they are the same, execute S205a; if they are not the same, execute
  • the first site receives After the identity authentication frame, the fourth MAC address is calculated by default algorithm 4 according to the own MAC address and the second ciphertext, and then the first station searches for the fourth MAC address in the target station sent by the identity discovery frame.
  • Address that is, verifying whether the fourth MAC address matches the target station sent by the identity discovery frame, and if the fourth MAC address is included in the target station sent by the identity discovery frame, executing S205a; if not, executing S205b, Or discard the authentication frame and no longer perform the following steps.
  • the default algorithm 4 can be pre-configured in the site, and can be the inverse algorithm of the default algorithm 3. For example, when the default algorithm 3 is multiplication, the second ciphertext is obtained by multiplying the MAC address of the second site by the third MAC address. The default algorithm 4 is the division, and the first station can obtain the fourth MAC address by dividing the second ciphertext by its own MAC address.
  • the first station calculates the fourth MAC address by using the default algorithm 4 according to the own MAC address, the second ciphertext, and the second information, and then the first site sends the target site in the identity discovery frame.
  • the middle MAC address is searched for whether the fourth MAC address matches the target station sent by the identity discovery frame. If the fourth MAC address is included in the target site sent by the identity discovery frame, S205a is executed. If not, execute S205b, or discard the identity authentication frame, and do not perform the following steps.
  • the first station calculates the fourth MAC address, it searches for the MAC address in the corresponding numbered target site.
  • the second site is one of the target sites sent by the identity discovery frame, and the number in the identity discovery frame is 3.
  • the second site verifies that the first site is its friend site, the second site carries the identity authentication frame. If there is a number 3, the first station verifies that the target station MAC address numbered 3 sent by the identity discovery frame matches the calculated second station MAC address, and if yes, executes S205a; if not, then Execute S205b, or discard the identity authentication frame, and no longer perform the following steps.
  • the first station when the frame structure of the identity authentication frame is as shown in Table 8, after receiving the identity authentication frame, the first station first selects algorithm 4 according to the second indicator bit CAC, and calculates a fourth MAC address, and then A site searches for the presence or absence of the MAC address in the target site sent by the identity discovery frame. If the MAC address is included in the target site sent by the identity discovery frame, S205a is performed; if not, S205b is executed, or the identity authentication is discarded. Frame, and no longer perform the following steps.
  • the first station calculates the fourth MAC address, it searches for the MAC address in the corresponding numbered target site.
  • the second site is one of the target sites sent by the identity discovery frame, and the number in the identity discovery frame is 3.
  • the second site verifies that the first site is its friend site, the second site carries the identity authentication frame. With number 3, the first site verifies the number sent by the identity discovery frame. If the target site MAC address of 3 matches the calculated second site MAC address, if yes, S205a is performed; if not, S205b is executed, or the identity authentication frame is discarded, and the following steps are not performed.
  • S205a The first station sends an identity confirmation frame to the second site, where the identity confirmation frame carries the second site identity code, or the identity confirmation frame carries the first site identity code and the second site identity code.
  • S205b The first station sends an identity confirmation frame to the second site, where the identity confirmation frame carries the second site identity code, or the identity confirmation frame carries the first site identity code and the second site identity code.
  • the identity confirmation frame further carries the denied information, indicating that the second site does not pass the identity authentication; or the identity confirmation frame carries the denied information and the special value, indicating that the second site does not pass the identity authentication, the special value
  • the indication identity confirmation frame carries the denied information.
  • S206 The second station receives the identity confirmation frame and completes the security identity confirmation.
  • the second site After receiving the identity confirmation frame carrying the denied information, the second site records the identity code of the first site into the stranger list, and discards the data packet carrying the identity coded information for a period of time.
  • the length of the period of time can be controlled according to a counter within the station.
  • the secure identity discovery method provided in this embodiment performs a security identity discovery process before the two sites in the non-associative Pre-Association state communicate with each other, so that the first site and the second site mutually confirm each other.
  • the security identity, and the message frame in this embodiment hides or omits the MAC address of both sites, which improves the degree of privacy protection of the user when using wireless communication.
  • the third embodiment of the present invention provides a secure identity communication method, which is a subsequent communication method of the secure identity discovery method of the second embodiment.
  • Figure 3 shows a schematic flow chart of the method. Referring to Figure 3, the method includes: Following S206 in the second embodiment, the second station receives the identity confirmation frame, and after the security identity authentication:
  • S301 The first station sends a data packet to the second site.
  • the packets sent by the first site are authenticated using the identity codes of the two sites.
  • the identity of the first site is encoded as TID Seq.
  • the identity of the second site is encoded as RID Seq.
  • the first site may fill in the TID Seq. in the sender address field of the packet, at the receiver address field. Fill in RID Seq.
  • the shortened identity code may be extracted from the identity codes of the two sites according to a certain default manner, for example, the last 48 bits are taken, and then the shortened identity code is correspondingly placed. Address field.
  • the frame structure of the data packet is as shown in Table 10:
  • Payload is the packaged transmission content.
  • Payload can be a specific data content, or it can be a packaged frame body.
  • the packet is vacant or the address bits are omitted.
  • S302 The second station sends a data packet to the first site.
  • the packets sent by the second site also use the identity codes of the two sites for secure identity identification.
  • the identity of the first site is encoded as TID Seq.
  • the identity of the second site is encoded as RID Seq.
  • the second site may fill in the RID Seq. in the sender address field of the packet, at the receiver address field. Fill in TID Seq.
  • the shortened identity code may be extracted from the identity codes of the two sites according to a certain default manner, for example, the last 48 bits are taken, and then the shortened identity code is correspondingly placed. Address field.
  • the secure identity communication method by using two sites that mutually confirm the security identity of the other party, uses identity coding to identify the security identity of both parties for communication, and the implementation
  • the message frames in the example hide or omit the MAC addresses of both sites, which improves the privacy protection of users when using wireless communication.
  • Embodiment 4 of the present invention provides a secure identity first site
  • FIG. 5 shows a schematic structural diagram of the site.
  • the site includes:
  • a first sending module configured to send an identity discovery frame;
  • the identity discovery frame carries a first site identity code and a first ciphertext;
  • a receiving module configured to receive an identity authentication frame sent by the second station; the identity authentication frame carries the second site identity code, the first site identity code, and the second ciphertext;
  • a verification module configured to verify the identity of the second site
  • a second sending module configured to send an identity confirmation frame to the second site, where the identity confirmation frame carries the second site identity code.
  • the first sending module may send the identity discovery frame by periodically broadcasting to multiple friend sites, and the non-friend site may also receive the identity discovery frame.
  • the first site identity code and the second site identity code are both identity codes generated or pre-configured according to a preset algorithm.
  • the first ciphertext is a ciphertext shared by the first site and the second site, and/or the second ciphertext is a ciphertext shared by the first site and the second site.
  • the verification module is specifically used by the first site to verify whether the first ciphertext is the same as the shared ciphertext, and the shared ciphertext is the ciphertext shared by the target site sent by the first site and the identity discovery frame.
  • the identity confirmation frame also carries the first site identity code.
  • the identity discovery frame also carries the number of the target site information, the target site information further includes the target site number, and the first ciphertext is the ciphertext corresponding to the corresponding numbered target site; the identity authentication frame also carries the corresponding number.
  • the first site further includes a calculation module, configured to use, according to the MAC address of the first site, a MAC address of the target site sent by the identity discovery frame, or according to the The first site's MAC address and the corresponding numbered target site are calculated by the default algorithm 1 to obtain the first ciphertext; and when the second ciphertext is based on the second site's MAC address and the third MAC address, the default is adopted.
  • the algorithm 3 calculates the result
  • the fourth MAC address is calculated by the default algorithm 4 according to the MAC address of the first station and the second ciphertext.
  • the verification module is specifically configured to verify whether the fourth MAC address matches the target site sent by the identity discovery frame.
  • the first site further includes an encryption module, configured to use, according to the MAC address of the first site and the MAC address of the target site sent by the identity discovery frame, or according to the MAC address of the first site and corresponding
  • the numbered target station calculates the first ciphertext by algorithm 1; and is further configured to: when the second ciphertext is calculated according to the MAC address and the third MAC address of the second station, by algorithm 3, and the second
  • the algorithm 4 is first determined according to the second indicator bit, and then the fourth MAC address is calculated according to the algorithm 4.
  • the verification module is specifically configured to verify whether the fourth MAC address matches the target site sent by the identity discovery frame.
  • Embodiment 5 of the present invention provides a first site for secure identity communication, and FIG. 5 shows a schematic structural diagram of the site.
  • the site further includes, based on the fourth embodiment and its preferred embodiments, the following:
  • a third sending module configured to send a data packet to the second station, where the data packet carries sender address information and receiver address information; the sender address information is the first station identity code, and the receiver address information is The second site identity code.
  • the first site further includes an extraction module, configured to extract a shortened identity code from the first site identity code when the first site identity coded digit exceeds a normal MAC address digit, and shorten the identifier The identity code is placed in the address information corresponding to the packet.
  • an extraction module configured to extract a shortened identity code from the first site identity code when the first site identity coded digit exceeds a normal MAC address digit, and shorten the identifier The identity code is placed in the address information corresponding to the packet.
  • Example 6 Embodiment 6 of the present invention provides a second site of secure identity, and FIG. 6 shows a schematic structural diagram of the site. Referring to Figure 6, the site includes:
  • a first receiving module configured to receive an identity discovery frame sent by the first station, where the identity discovery frame carries the first site identity code and the first ciphertext;
  • a verification module configured to verify the identity of the first site
  • a first sending module configured to send an identity authentication frame to the first site, where the identity authentication frame carries the second site identity code, the first site identity code, and the second ciphertext;
  • a second receiving module configured to receive an identity confirmation frame sent by the first station, where the identity confirmation frame carries the second site identity code.
  • the verification module is specifically configured to verify whether the first ciphertext is the same as the shared ciphertext, and the shared ciphertext is the ciphertext shared by the second site and the friend site.
  • the first site identity code and the second site identity code are both identity codes generated or pre-configured according to a preset algorithm.
  • the first ciphertext is a ciphertext shared by the first site and the second site, and/or the second ciphertext is a ciphertext shared by the first site and the second site.
  • the identity discovery frame also carries the number of the target site information, the target site information further includes the target site number, and the first ciphertext is the ciphertext corresponding to the corresponding numbered target site; the identity authentication frame also carries the corresponding number.
  • the second station further includes a determining module, configured to determine, according to the selection policy indicator bit, a selection algorithm of the partial MAC address information when the identity discovery frame further carries the selection policy indication bit.
  • a determining module configured to determine, according to the selection policy indicator bit, a selection algorithm of the partial MAC address information when the identity discovery frame further carries the selection policy indication bit.
  • the second site further includes a calculation module, configured to: when the first ciphertext is based on the MAC address of the first site and the MAC address of the target site sent by the identity discovery frame, or according to the first site
  • the MAC address and the MAC address of the corresponding numbered target site are calculated by the default algorithm 1.
  • the third MAC address is calculated by the default algorithm 2; the verification module is specifically configured to verify whether the third MAC address is configured in the second In the buddy site of the battle point.
  • the calculation module is further configured to pass the default algorithm 3 according to the MAC address of the second site and the third MAC address. Calculate the second ciphertext.
  • the second station further includes an encryption module, configured to: when the first ciphertext is based on the MAC address of the first site and the MAC address of the target site sent by the identity discovery frame, or according to the first site
  • the MAC address and the MAC address of the corresponding numbered target site are calculated by Algorithm 1, and the identity discovery frame further carries a first indicator bit.
  • the first indicator bit indicates the algorithm 1
  • the first indicator bit is first
  • the algorithm 2 is determined, and the third MAC address is calculated according to the algorithm 2;
  • the verification module is specifically configured to verify whether the third MAC address is configured in the friend site of the second battle point.
  • the encryption module is further configured to calculate the second ciphertext by using the third station according to the MAC address and the third MAC address of the second station.
  • the second site further includes a recording module, where the recording module is configured to: when the identity confirmation frame further carries the denied information, where the denied information indicates that the second site does not pass the identity authentication, the first site identity code record is recorded Enter the stranger list and discard the packet carrying the first site identity code for a period of time.
  • the recording module is configured to: when the identity confirmation frame further carries the denied information, where the denied information indicates that the second site does not pass the identity authentication, the first site identity code record is recorded Enter the stranger list and discard the packet carrying the first site identity code for a period of time.
  • Embodiment 7 of the present invention provides a second site for secure identity communication, and FIG. 7 shows a schematic structural diagram of the site.
  • the site further includes, based on the sixth embodiment and its preferred embodiments, the following:
  • a second sending module configured to send a data packet to the first station, where the data packet carries sender address information and receiver address information; the sender address information is the second site identity code, and the receiver address information is First site identity code.
  • the first site further includes an extraction module, configured to extract a shortened identity code from the second site identity code when the second site identity coded digit exceeds a normal MAC address digit, and shorten the identifier The identity code is placed in the address information corresponding to the packet.
  • an extraction module configured to extract a shortened identity code from the second site identity code when the second site identity coded digit exceeds a normal MAC address digit, and shorten the identifier The identity code is placed in the address information corresponding to the packet.
  • Example 8 Embodiment 8 of the present invention provides a secure identity discovery system, and FIG. 8 shows a schematic structural diagram of the site. Referring to FIG. 8, the system includes a first station and a second station,
  • the first station further includes the first sending module, the receiving module, the verifying module, and the second sending module, which are described in the fourth embodiment;
  • the second site further includes the first receiving module, the verifying module, the first sending module, and the second receiving module described in Embodiment 6;
  • the second site in the secure identity discovery system further includes the determining module described in Embodiment 6;
  • the second site in the secure identity discovery system further includes the recording module described in Embodiment 6.
  • the first site in the secure identity discovery system further includes the computing module described in the fifth embodiment
  • the second site further includes the computing module described in the eighth embodiment.
  • the first site in the secure identity discovery system further includes the encryption module described in Embodiment 5
  • the second site further includes the encryption module described in Embodiment 8.
  • Example 9 :
  • Embodiment 9 of the present invention provides a secure identity communication system, and FIG. 8 shows a schematic structural diagram of the site.
  • the system includes a first site and a second site:
  • the first station further includes the first sending module, the receiving module, the verifying module, and the second sending module, and the third sending module described in the fifth embodiment.
  • the second site further includes the first receiving module, the verifying module, the first transmitting module, and the second receiving module described in Embodiment 6, and the second transmitting module described in Embodiment 9.
  • the first site in the secure identity discovery system further includes the extraction module described in Embodiment 5.
  • the second site in the secure identity discovery system further includes the extraction module described in Embodiment 7.
  • the first site in the secure identity discovery system further includes the extraction module described in Embodiment 5, and correspondingly, the second site further includes the extraction module described in Embodiment 7.
  • the disclosed apparatus and method may be implemented in other manners.
  • the device embodiments described above are merely illustrative.
  • the division of the unit is only a logical function division.
  • there may be another division manner for example, multiple units or components may be combined or Can be integrated into another system, or some features can be ignored, or not executed.
  • the mutual coupling or direct coupling or communication connection shown or discussed may be an indirect coupling or communication connection through some interface, device or unit, and may be in an electrical, mechanical or other form.
  • the components displayed as units may or may not be physical units, i.e., may be located in one place, or may be distributed over multiple network units. Some or all of the units may be selected according to actual needs to achieve the purpose of the solution of the embodiment.
  • each functional unit in each embodiment of the present invention may be integrated into one processing unit, or each unit may exist physically separately, or two or more units may be integrated into one unit.
  • the above integrated unit can be implemented in the form of hardware or in the form of a software functional unit.
  • the integrated unit if implemented in the form of a software functional unit and sold or used as a standalone product, may be stored in a computer readable storage medium.
  • the technical solution of the present invention may contribute to the prior art or all or part of the technical solution may be embodied in the form of a software product stored in a storage medium.
  • the foregoing storage medium includes: a U disk, a removable hard disk, a read-only memory (ROM), a random access memory (RAM), a magnetic disk, or an optical disk, and the like, which can store program codes. .

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Power Engineering (AREA)
  • Mobile Radio Communication Systems (AREA)
  • Small-Scale Networks (AREA)

Abstract

本发明提供了一种安全身份发现方法，第一站点和第二站点间进行身份发现的帧均隐藏或者省略了双方站点的MAC地址，而采用身份编码来标识双方站点的身份，采用密文来进行身份验证，提高了站点间在进行身份发现时的私密性保护程度。

Description

一种安全身份发现及通信方法 本申请要求于 2012 年 4 月 11 日提交中国专利局、 申请号为 201210104825.9、发明名称为"一种安全身份发现及通信方法"的中国专利申 请的优先权， 其全部内容通过引用结合在本申请中。 技术领域 本发明涉及无线通讯技术领域， 具体涉及一种安全身份发现及通信方 法。
背景技术
802.11是 IEEE ( Institute of Electrical and Electronics Engineers , 电气和 电子工程师协会）制定的一个无线局域网标准， 主要用于解决办公室局域 网和校园网中， 用户与用户终端的无线接入。
IEEE 802.11技术为多个 PHY ( Physical Layer, 物理层 )制定一个通用 的 MAC ( Medium Access Control, 介质访问控制）层以标准无线局域网的 建设。其中媒介接入控制层 MAC的主要任务就是为同网络中的多个站点建 立寻址和信道接入控制机制， 使得多站点之间的通信成为可能。
WLAN ( Wireless Local Area Networks, 无线局域网） 的基本组成部分 是 BSS ( Basic Service Set, 基本服务集）， 其根据某一特定覆盖区域之内， 并具有某种关联的站点 STA组成， 如图 1中所示的 BSS2和 BSS3。 在 BSS 网络中具有专职管理 BSS的中央站点被称为 AP ( Access Point, 接入点）， 而在该网络中的其它站点 STA都与它相关联。 而多个 BSS网通过 DS相互 连接即可组成 ESS ( Extended Service Set, 扩展服务集）。 在 AP缺失的情况 下， 站点 STA也可以自组网络而相互直接通信， 此网络即为独立 BSS或者 IBSS, 如图 1所示的 BSS1。 NAN ( Neighborhood Area Network, 社区网络）是 WFA于 2011年 12 月成立的一个项目组， 其致力于各无线设备间， 在 pre-association的状态， 在低能耗的情况下， 不通过中转设备（如 AP或基站等）辅助， 以直连的形 式相互获取信息。 主要携带有以下 3个要求： 1、 低功耗（节能）； 2、 无中 转设备， 直接连接； 3、 在 Pre-Association状态（只能进行 Class 1信息的发 送）。其中 Class 1信息又携带有： Control Frame(控制帧）、Management frames (管理帧）和 Data frames (数据帧）。
在 NAN技术中， 站点主要采用广播信标帧来实现站点之间的相互发 现。 即： 站点在某一信道上， 以随机事件为起点， 按照一定的信标帧发送 周期（取值范围 20ms到 1000ms, 预设值为 100ms )， 周期性广播发送携带 有有自己信息和信标帧。 其周围站点通过接受和解读上述广播的信标帧信 息了解该站点的存在和该站点的信息。
MAC地址， 或称为硬件地址， 用来定义网络设备的位置， 根据 48比 特长， 16进制数字组成， 0到 23位是组织唯一标识符， 是识别局域网结点 的标志， 24-47位根据该网络设备的厂家自己分配。数据包格式如表 1所示:
Octets: 2 2 6 6 6 2 6 2 4 0-7951 4
Frame Duration Address Address Address Sequence Address Qos HT Frame FCS Control /ID 1 2 3 Control 4 Control Control Body
MAC Header
表 1
其中 Address 1字段填写为该帧的立即接受地址； Address 2字段填写为 该帧的立即发送地址； Frame Body字段装载着准备通过 MAC包传递的上 层内容（如 IP包）。 MAC地址是各站点在 MAC层通信范围内的唯一身份 标识，因此当周围站点在信道中监听到携带有有某一 MAC地址的信标帧出 现， 便可判断其周围有该 MAC地址对应的站点存在。
各站点所广播出的信标帧可以被其身边任意站点接收。 又根据于站点 之间在 Pre-Association (非关联）状态下， 没有进行密钥协商， 不能对自己
2
替換页 （细则第 26条） 所广播的信标帧进行加密， 因此各站点所广播处的信标帧可以被周围任意 站点解读，信标帧中携带有的自己的 MAC地址信息也可以被其周围任意站 点获知， 而 MAC地址信息的泄露会导致各站点用户的私密性将得不到保 护。
发明内容 本发明提供了一种安全身份发现方法， 以提高在站点间进行身份发现 时的私密性保护程度， 该方法包括：
第一站点发送身份发现帧； 所述身份发现帧携带有所述第一站点身份 编码和目标站点信息， 所述目标站点信息包括第一密文；
所述第一站点接收第二站点发送的身份认证帧； 所述身份认证帧携带 有所述第二站点身份编码、 所述第一站点身份编码和第二密文；
所述第一站点验证所述第二站点的身份；
所述第一站点发送身份确认帧给所述第二站点， 所述身份确认帧携带 有所述第二站点身份编码； 或者所述身份确认帧携带有所述第一站点身份 编码和所述第二站点身份编码。
本发明提供了一种安全身份发现方法， 以提高在站点间进行身份发现 时的私密性保护程度， 该方法包括：
第二站点接收第一站点发送的身份发现帧， 所述身份发现帧携带有所 述第一站点身份编码和目标站点信息， 所述目标站点信息包括第一密文； 所述第二站点验证所述第一站点的身份；
所述第二站点发送身份认证帧给所述第一站点， 所述身份认证帧携带 有所述第二站点身份编码、 所述第一站点身份编码和第二密文；
所述第二站点接收所述第一站点发送的身份确认帧， 所述身份确认帧 携带有所述第二站点身份编码； 或者所述身份确认帧携带有所述第一站点 身份编码和所述第二站点身份编码。
本发明还提供了一种用于安全身份发现的第一站点， 包括：
第一发送模块， 用于发送身份发现帧； 所述身份发现帧携带有所述第 一站点身份编码和目标站点信息， 所述目标站点信息包括第一密文；
接收模块， 用于接收所述第二站点发送的身份认证帧； 所述身份认证 帧携带有所述第二站点身份编码、 所述第一站点身份编码和第二密文； 验证模块， 用于验证所述第二站点的身份；
第二发送模块， 用于发送身份确认帧给所述第二站点， 所述身份确认 帧携带有所述第二站点身份编码； 或者所述身份确认帧携带有所述第一站 点身份编码和所述第二站点身份编码。
本发明还提供了一种用于安全身份发现的第二站点， 包括：
第一接收模块， 用于接收第一站点发送的身份发现帧， 所述身份发现 帧携带有所述第一站点身份编码和目标站点信息， 所述目标站点信息包括 第一密文；
验证模块， 用于验证所述第一站点的身份；
第一发送模块， 用于发送身份认证帧给所述第一站点， 所述身份认证 帧携带有所述第二站点身份编码、 所述第一站点身份编码和第二密文； 第二接收模块， 用于接收所述第一站点发送的身份确认帧， 所述身份 确认帧携带有所述第二站点身份编码； 或者所述身份确认帧携带有所述第 一站点身份编码和所述第二站点身份编码。
本发明提供的该安全身份发现方法， 第一站点和第二站点间进行身份 发现的帧均隐藏或者省略了双方站点的 MAC地址，而采用身份编码来标识 双方站点的身份， 采用密文来进行身份验证， 提高了站点间在进行身份发 现时的私密性保护程度。
附图说明 图 1为现有技术中 WLAN的 IBSS、 BSS和 ESS概念图； 图 2为本发明实施例提供的一种安全身份发现方法流程图；
图 3为本发明实施例提供的一种安全身份通信方法流程图；
图 4为本发明实施例提供的一种用于安全身份发现的第一站点结构图； 图 5为本发明实施例提供的一种用于安全身份通信的第一站点结构图； 图 6为本发明实施例提供的一种用于安全身份发现的第二站点结构图； 图 7为本发明实施例提供的一种用于安全身份通信的第二站点结构图； 图 8 为本发明实施例提供的一种用于安全身份发现或通信的系统结构
具体实施方式 为了使本技术领域的人员更好地理解本发明中的技术方案， 下面将结 合本发明实施例中的附图， 对本发明实施例中的技术方案进行清楚、 完整 地描述， 显然， 所描述的实施例仅仅是本发明一部分实施例， 而不是全部 的实施例。 基于本发明中的实施例， 本领域普通技术人员在没有做出创造 性劳动前提下所获得的所有其他实施例， 都应当属于本发明保护的范围。
本文中术语 "系统" 和 "网络" 在本文中常被可互换使用。 本文中术 语 "和 /或，， ， 仅仅是一种描述关联对象的关联关系， 表示可以存在三种关 系， 例如， A和 /或 B, 可以表示： 单独存在 A, 同时存在 A和 B, 单独存在 B 这三种情况。 另外， 本文中字符 " , —般表示前后关联对象是一种 "或" 的关系。
应理解， 本发明实施例的技术方案可以应用于各种通信系统， 例如： GSM( Global System of Mobile communication,全球移动通讯 )系统、 CDMA ( Code Division Multiple Access ,码分多址）系统、 WCDMA( Wideband Code Division Multiple Access,宽带码分多址）系统、 GPRS ( General Packet Radio Service, 通用分组无线业务） 、 LTE ( Long Term Evolution, 长期演进） 系 统、 FDD -LTE ( Frequency Division Duplex, 频分双工） 系统、 TDD -LTE ( Time Division Duplex, 时分双工） 、 UMTS ( Universal Mobile
Telecommunication System, 通用移动通信系统） 、 WiMAX ( Worldwide Interoperability for Microwave Access, 全球互联敖波接入）通信系统、 £波 通信系统等。 实施例一：
本发明实施例一提供了一种安全身份发现方法， 该方法主要包括： 第一站点发送身份发现帧， 所述身份发现帧携带有所述第一站点身份 编码 TID和目标站点信息，所述目标站点信息包括第一密文 Challenge Textl ; 第二站点接收该身份发现帧， 并验证该第一站点的身份；
第二站点向第一站点发送身份认证帧， 所述身份认证帧携带有第二站 点身份编码 RID、 第一站点身份编码 TID和第二密文 Challenge Text2;
第一站点接收所述身份认证帧， 并验证该第一站点的身份；
第一站点发送身份确认帧给第二站点， 所述身份确认帧携带有所述 RID, 或者所述身份确认帧携带有所述 RID和所述 TID。 实施例二：
本发明实施例二提供了一种安全身份发现方法， 图 2示出了该方法示意 性流程图。 参考图 2, 该方法包括：
S201 , 第一站点发送身份发现帧；
第一站点通过周期性广播的方式来发送身份发现帧给目标站点， 即第 一站点要查找的好友站点， 同时， 非目标站点也有可能接收到该身份发现 帧。
该身份发现帧的帧结构如下表 2所示：
Figure imgf000009_0001
第一密文
表 2
其中， RA字段中填写发送地址， TID Seq.为根据预设算法生成或预先 配置的第一站点身份编码， 目标站点信息包括第一站点和该身份发现帧所 发送的目标站点共享的第一密文， 该第一密文可以预先配置在站点中。
优选的， 该身份发现帧的帧结构还可以如下表 3所示：
Figure imgf000009_0002
目标站点信息包括:
Partial MAC 第一密文
表 3
其中， RA、 TID Seq.和目标站点信息字段的含义与表 2相同， 与表 2的 区别在于， 目标站点信息还包括 Partial MAC字段， Partial MAC为该身份发 现帧所发送的目标站点的部分 MAC地址信息。 所示部分 MAC地址信息可以 为该目标站点的前 X位、 后 X位、 中间 X位的 MAC地址信息等， 具体选取算 法可以预先配置在站点中。
优选的， 该身份发现帧还可以如下表 4所示：
Figure imgf000009_0003
目标站点信息包括:
PMC Partial MAC 第一密文
表 4
其中， RA、 TID Seq., 第一密文和 Partial MAC字段的含义与表 3相同， 与表 3的区别在于， 目标站点信息还包括 PMC ( Partial MAC Choose, 部分 MAC地址选取）字段， PMC为选取策略指示位， 指示了 Partial MAC的选取 算法。 例如， 当 PMC为 1时， 表示 Partial MAC的选取算法为目标站点 MAC 地址的后 X位 MAC地址信息； 当 PMC为 2时，表示 Partial MAC的选取算法为 目标站点 MAC地址的后 X位偶数位的 MAC地址信息等。 该 PMC可以预先配 置在站点中。
优选的， 第一密文根据第一站点的 MAC地址和该帧目标站点的 MAC地 址通过默认算法 1计算所得， 该默认算法 1可以预先配置在站点中。 例如， 当默认算法 1为加法时，该第一密文即为第一站点的 MAC地址和该帧目标站 点的 MAC地址相加所得。
优选的， 所述身份发现帧还携带有第一信息， 第一密文根据第一站点 的 MAC地址、 该帧目标站点的 MAC地址和第一信息通过默认算法 1计算所 得， 该默认算法 1可以预先配置在站点中。 该第一信息包括但不限于： 时间 信息、 身份编码信息等。
优选的， 该身份发现帧的帧结构还可以如下表 5所示:
Frame Control RA TID Seq. 目标站点信息 FCS 目标站点信息包括：
CAC 第一密又
表 5
其中， RA和 TID Seq.字段的含义与表 2相同， 与表 2的区别在于， 第一 密文是根据第一站点的 MAC地址和该帧目标站点的 MAC地址， 通过算法 1 计算所得； 目标站点信息还包括 CAC ( Coding Algorithm Choose, 加密算法 选取）字段， 该 CAC为第一指示位， 指示了得出表 5中第一密文的算法 1。
优选的， 该身份发现帧的帧结构还可以如下表 6所示：
Figure imgf000010_0001
目标站点信息包括: Dialog Token 第一密文
表 6
其中， RA、 TID Seq.字段的含义与表 2相同， 与表 2的区别在于， 加入 了 NoF字段， 并且身份发现帧包括多个目标站点信息， NoF为该身份发现帧 所发送的目标站点数量， 其中目标站点信息还包括每一个目标站点对应的 编号， 第一密文为第一站点和相应编号的目标站点所共享的密文。 例如， 目标站点信息 3包括编号 3和第一站点和编号为 3的目标站点共享的密文。 使 得第一站点可以同时向多个好友站点进行安全身份确认， 该好友站点即为 身份发现帧所发送的目标站点。 同时， 非目标站点也有可能接收到该身份 发现帧。
优选的， 该身份发现帧的帧结构如表 6所示时， 目标站点信息还可以包 括每一个目标站点的部分 MAC地址信息 Partial MAC;
或者， 目标站点信息还可以包括每一个目标站点 Partial MAC和选取策 略指示位 PMC;
或者， 目标站点信息中的第一密文可以根据第一站点的 MAC地址和相 应编号的目标站点的 MAC地址通过默认算法 1计算所得；
或者， 目标站点信息中的第一密文可以根据第一站点的 MAC地址和相 应编号目标站点的 MAC地址通过算法 1计算所得，并且目标站点信息还包括 第一指示位 CAC。
S202: 第二站点接收该身份发现帧， 并验证第一站点的身份； 由于第二站点不一定为第一站点的好友站点， 因此第二站点接收到该 身份发现帧后， 需要判断自己是否为第一站点所发送的身份发现帧的目标 站点， 具体为： 解析所述身份认证帧携带的第一密文， 验证该第一密文是 否和共享密文相同， 共享密文为第二站点和其好友站点共享的密文， 该共 享密文可以预先配置在站点中。 若该第一密文和共享密文相同， 则执行步 骤 203a; 若不相同， 则第二站点丢弃该身份发现帧， 并不再执行以下步骤。 优选的， 当第一密文是根据第一站点的 MAC地址和该帧目标站点的 MAC地址通过默认算法 1计算所得时， 第二站点接收到该身份发现帧后，根 据自己的 MAC地址和第一密文， 通过默认算法 2计算出第三 MAC地址。
该默认算法 2可以预先配置在站点中，该第三 MAC地址可以为第一站点 的 MAC地址， 也可以为第一站点以外的其他站点的 MAC地址。 默认算法 2 可以为默认算法 1的逆算法。 例如， 当默认算法 1为加法时， 该第一密文即 为第一站点的 MAC地址和该帧目标站点的 MAC地址相加所得， 该默认算法 2即为减法，第二站点可以通过用第一密文减去自己的 MAC地址得到该第三 MAC地址。
然后第二站点在自己的好友站点中查找有无该第三 MAC地址。 若好友 站点中有匹配的站点， 则执行 S203b, 进行安全身份的进一步确认； 若好友 站点中没有匹配的站点， 则第二站点丢弃该身份发现帧， 并不再执行以下 步骤。
之所以要进一步确认安全身份， 是因为第一站点发送的身份发现帧可 能被非目标站点接收， 每一个接收站点都可以根据自己的 MAC地址和接收 到的第一密文计算出第三 MAC地址。 例如， 默认算法 1为减法运算， 默认算 法 2为加法运算， MAC地址为 5的第一站点需要查找 MAC地址为 3的第二站 点， 发送的第一密文为 2 ( 5-2 ) , MAC地址为 4的站点接收到该身份发现帧 后， 通过默认算法 2, 认为该帧的发送站点的 MAC地址为 6 ( 4+2 ) , 且自己 好友站点中存在 MAC地址为 6的第三站点，此时便出现了错误的安全身份确 认， 故需要进行进一步确认安全身份。
优选的， 当身份发现帧还携带有第一信息， 且第一密文根据第一站点 的 MAC地址、 该帧目标站点的 MAC地址和第一信息通过默认算法 1计算所 得时， 第二站点接收到该身份发现帧后， 根据自己的 MAC地址、 第一密文 和第一信息、 通过默认算法 2计算出第三 MAC地址。
然后第二站点在自己的好友站点中查找有无该第三 MAC地址。 此处及 以下的好友站点是指预先配置在站点中， 记录有其好友站点和各好友站点 对应的 MAC地址的列表。 若好友站点中有匹配的站点， 则执行 S203b, 进行 安全身份的进一步确认； 若好友站点中没有匹配的站点， 则第二站点丢弃 该身份发现帧， 并不再执行以下步骤。
优选的， 当身份发现帧的帧结构如表 6所示， 且第一密文是根据第一站 点的 MAC地址和相应编号的目标站点的 MAC地址通过默认算法 1计算所得 时， 第二站点接收到该身份发现帧后， 先通过默认算法 2计算出第三 MAC 地址。 然后第二站点在自己的好友站点中查找有无该第三 MAC地址： 若好 友站点中有匹配的站点， 则执行 S203b, 进行安全身份的进一步确认； 若好 友站点中没有匹配的站点， 则第二站点丢弃该身份发现帧， 并不再执行以 下步骤。
优选的， 当该身份发现帧的帧结构如表 5所示时， 第二站点接收到该身 份发现帧后， 先根据第一指示位， 确认算法 2, 当第二站点为该身份发现帧 所发送的目标站点时， 第二站点即可通过算法 2得到第三 MAC地址。 例如， 算法 2可以为算法 1的逆运算， 第二站点通过算法 2计算出第三 MAC地址， 然 后第二站点在自己的好友站点中查找有无该第三 MAC地址， 若好友站点中 有匹配的站点， 则执行 S203c; 若第二站点好友站点中没有匹配的站点， 则 第二站点丢弃该身份发现帧， 并不再执行以下步骤。
之所以要进一步确认安全身份的理根据如上述优选的实施例类似， 不 再赘述。
优选的， 当身份发现帧的格式如表 6所示， 且第一密文是根据第一站点 的 MAC地址和相应编号的目标站点的 MAC地址通过算法 1计算所得， 表 7中 的目标站点信息还携带有第一指示位时， 第二站点接收到该身份发现帧后， 先根据第一指示位确定算法 2, 再通过算法 2计算出第三 MAC地址。 然后第 二站点在自己的好友站点中查找有无该第三 MAC地址： 若好友站点中有匹 配的站点， 则执行 S203b, 进行安全身份的进一步确认； 若好友站点中没有 匹配的站点， 则第二站点丢弃该身份发现帧， 并不再执行以下步骤。
优选的， 当该身份发现帧的帧结构如表 6所示时， 第二站点接收到该身 份发现帧后， 依次解析每一个目标站点信息中携带的第一密文， 如果存在 和第二站点和其好友站点共享密文相同的第一密文， 则执行 S203d; 若不存 在， 则丢弃该身份发现帧， 并不再执行以下步骤。
优选的， 当该身份发现帧的帧结构如表 3所示时， 则在 S202及其优选的 实施例中， 第二站点接收到该身份发现帧后， 验证第一站点的身份之前， 先验证该身份发现帧所发送的目标站点的部分 MAC地址信息 Partial MAC 和自己的 MAC地址是否匹配。 例如， 若该 Partial MAC选取的是目标站点的 后 X位 MAC地址，则比较自己的后 X位地址是否与该 Partial MAC相匹配，若 该 Partial MAC和自己的 MAC地址相匹配， 则继续验证第一站点的身份； 若 该 Partial MAC和自己的 MAC地址不匹配， 则第二站点丢弃该身份发现帧， 并不再执行以下步骤。
优选的， 当该身份发现帧的帧结构如表 4所示时， 则在 S202及其优选的 实施例中， 第二站点接收到该身份发现帧后， 验证第一站点的身份之前， 先根据选取策略指示位 PMC确定 Partial MAC的选取算法， 并验证该 Partial MAC和自己的 MAC地址是否匹配。 若该 Partial MAC和自己的 MAC地址相 匹配， 则继续验证第一站点的身份； 若该 Partial MAC和自己的 MAC地址不 匹配， 则第二站点丢弃该身份发现帧， 并不再执行以下步骤。
S203a: 第二站点发送身份认证帧给第一站点；
该身份认证帧的帧结构如表 7所示:
Figure imgf000014_0002
Figure imgf000014_0001
其中， RID Seq.为根据预设算法生成或预先配置的第二站点身份编码， 该 RID Seq.可以完全根据预设算法生成， 也可以预先配置好固定的身份编 码， 还可以取自第一站点身份编码 TID Seq., 具体选取算法可以预先为站点 配置。 TID Seq.为第一站点身份编码， 第二密文可以与身份发现帧中的密文 相同， 也可以不同。
当身份发现帧的帧结构如表 6所示时， 该身份认证帧还携带有相应编 号。 例如， 第二站点为身份发现帧所发送的目标站点之一， 且在身份发现 帧中的编号为 3, 则第二站点验证第一站点为其好友站点后， 则在身份认证 帧中还携带有编号 3。
S203b: 第二站点发送身份认证帧给第一站点；
该身份认证帧的帧结构如表 7所示，其中， RID Seq.和 TID Seq.字段的含 义和表 7相同， 与表 7的区别在于， 第二密文是第二站点根据第三 MAC地址 和自己的 MAC地址， 通过默认算法 3计算所得。 该默认算法 3可以预先配置 在站点中。
当第三 MAC地址是第二站点根据自己的 MAC地址、 第一密文和第一信 息，通过默认算法 2计算得出时，第二密文是第二站点根据自己的 MAC地址、 第三 MAC地址和第二信息，通过默认算法 3计算所得， 并且该身份认证帧还 携带有所述第二信息。 该第一信息包括但不限于： 时间信息、 身份编码信 息等。
当身份认证帧的帧结构如表 6所示时， 该身份认证帧还携带有相应编 S203c: 第二站点发送身份认证帧给第一站点；
该身份认证帧的帧结构如表 8所示:
Figure imgf000015_0001
表 8
其中， RID Seq.和 TID Seq.字段的含义与表 7相同， 与表 7的区别在于, 表 8中的第二密文是第二站点根据第二站点的 MAC地址和第三 MAC地址, 通过算法 3计算所得， 并加入了第二指示位 CAC, 该 CAC指示了算法 3。 当身份认证帧的帧结构如表 6所示时， 该身份认证帧还携带有相应编
S203d: 第二站点发送身份认证帧给第
该身份认证帧的帧结构如表 9所示：
Figure imgf000016_0001
表 9
其中， RID Seq.和 TID Seq.字段的含义与表 7相同， 与表 7的区别在于， 表 9加入了相应编号 Dialog Token。
S204: 第一站点接收身份认证帧， 并验证第二站点的身份；
第一站点接收到该身份认证帧后， 解析该身份认证帧携带的第二密文， 验证该第二密文是否和共享密文相同， 共享密文为第一站点和身份发现帧 所发送的目标站点共享的密文： 若相同， 则执行 S205a; 若不相同， 则执行
S205b。
优选的， 若该身份认证帧的帧结构如表 7所示， 且第二密文是根据第二 站点的 MAC地址和第三 MAC地址， 通过默认算法 3计算所得时， 则第一站 点接收到该身份认证帧后， 先根据自己的 MAC地址和第二密文， 通过默认 算法 4计算出第四 MAC地址，然后第一站点在身份发现帧所发送的目标站点 中查找有无该第四 MAC地址， 即验证该第四 MAC地址是否和身份发现帧所 发送的目标站点相匹配， 若身份发现帧所发送的目标站点中有该第四 MAC 地址， 则执行 S205a; 若没有， 则执行 S205b, 或者丢弃该身份认证帧， 并 不再执行以下步骤。
默认算法 4可以预先配置在站点中， 可以为默认算法 3的逆算法， 例如 当默认算法 3为乘法时， 该第二密文即为第二站点的 MAC地址和第三 MAC 地址相乘所得， 该默认算法 4即为除法， 第一站点可以通过用第二密文除以 自己的 MAC地址得到第四 MAC地址。 优选的， 当第二密文是第二站点根据自己的 MAC地址、 第三 MAC地址 和第二信息， 通过默认算法 3计算所得， 并且该身份认证帧还携带有所述第 二信息时， 第一站点在接收到身份认证帧后， 先根据自己的 MAC地址、 第 二密文和第二信息，通过默认算法 4计算出第四 MAC地址， 然后第一站点在 身份发现帧所发送的目标站点中查找有无该第四 MAC地址， 即验证该第四 MAC地址是否和身份发现帧所发送的目标站点相匹配， 若身份发现帧所发 送的目标站点中有该第四 MAC地址， 则执行 S205a; 若没有， 则执行 S205b, 或者丢弃该身份认证帧， 并不再执行以下步骤。
当身份发现帧的帧结构如表 6所示时， 且身份认证帧还携带有相应编号 时， 第一站点计算出第四 MAC地址后， 在相应编号的目标站点中查找有无 该 MAC地址。 例如， 第二站点为身份发现帧所发送的目标站点之一， 且在 身份发现帧中的编号为 3, 则第二站点验证第一站点为其好友站点后， 则在 身份认证帧中还携带有编号 3, 则第一站点验证身份发现帧所发送的、 编号 为 3的目标站点 MAC地址是否和计算出来的第二站点 MAC地址相匹配， 若 匹配， 则执行 S205a; 若不相匹配， 则执行 S205b, 或者丢弃该身份认证帧， 并不再执行以下步骤。
优选的， 当该身份认证帧的帧结构如表 8所示， 则第一站点接收到该身 份认证帧后， 先根据第二指示位 CAC, 选取算法 4, 计算出第四 MAC地址， 然后第一站点在身份发现帧所发送的目标站点中查找有无该 MAC地址， 若 身份发现帧所发送的目标站点中有该 MAC地址， 则执行 S205a; 若没有， 则 执行 S205b, 或者丢弃该身份认证帧， 并不再执行以下步骤。
当身份发现帧的帧结构如表 6所示时， 且身份认证帧还携带有相应编号 时， 第一站点计算出第四 MAC地址后， 在相应编号的目标站点中查找有无 该 MAC地址。 例如， 第二站点为身份发现帧所发送的目标站点之一， 且在 身份发现帧中的编号为 3, 则第二站点验证第一站点为其好友站点后， 则在 身份认证帧中还携带有编号 3, 则第一站点验证身份发现帧所发送的、 编号 为 3的目标站点 MAC地址是否和计算出来的第二站点 MAC地址相匹配， 若 匹配， 则执行 S205a; 若不相匹配， 则执行 S205b, 或者丢弃该身份认证帧， 并不再执行以下步骤。
S205a: 第一站点向第二站点发送身份确认帧， 该身份确认帧携带有第 二站点身份编码， 或者所述身份确认帧携带有所述第一站点身份编码和所 述第二站点身份编码；
S205b: 第一站点向第二站点发送身份确认帧， 该身份确认帧携带有第 二站点身份编码， 或者所述身份确认帧携带有所述第一站点身份编码和所 述第二站点身份编码；
优选的， 该身份确认帧还携带有否认信息， 指示所述第二站点未通过 身份认证； 或者身份确认帧携带有否认信息和特殊值， 所指示所述第二站 点未通过身份认证， 特殊值指示身份确认帧携带有否认信息。
S206: 第二站点接收身份确认帧， 完成安全身份确认。
优选的， 当第二站点接收到携带有否认信息的身份确认帧后， 将第一 站点的身份编码记录入陌生人列表， 并在之后一段时间内丢弃携带有该身 份编码信息的数据包。 所述一段时间的长度可以根据站点内的计数器控制。
本实施例提供的该安全身份发现方法， 通过处于非关联 Pre- Association 状态下的两个站点在进行相互通信之前， 执行一个安全身份的发现程序， 使得第一站点和第二站点相互确认对方的安全身份， 并且本实施例中的消 息帧均隐藏或者省略了双方站点的 MAC地址， 提高了用户在使用无线通信 时的私密性保护程度。 实施例三：
本发明实施例三提供了一种安全身份通信方法， 该方法为实施例二的 安全身份发现方法的后续通信方法。 图 3示出了该方法示意性流程图。 参考 图 3, 该方法包括： 续实施例二中的 S206, 第二站点接收身份确认帧， 通过安全身份认证 后：
S301: 第一站点发送数据包给第二站点；
第一站点发送的数据包使用双方站点的身份编码进行安全身份标识。 例如， 第一站点的身份编码为 TID Seq., 第二站点的身份编码为 RID Seq., 则第一站点可以在该数据包的发送方地址字段处填写 TID Seq.,在接收方地 址字段处填写 RID Seq.„
若双方站点的身份编码位数超过正常的 MAC地址时， 可以按照一定默 认的方式， 从双方站点的身份编码中提取缩短的身份编码， 例如取后 48比 特， 再将缩短的身份编码放入对应的地址字段。
优选的， 该数据包的帧结构如表 10所示：
Figure imgf000019_0001
表 10
其中， Payload为封装的传输内容。 Payload可以为具体的数据内容， 也 可以是一个封装的帧体。 该数据包空缺或者省略了地址位。
S302: 第二站点发送数据包给第一站点；
第二站点发送的数据包也使用双方站点的身份编码进行安全身份标 识。例如，第一站点的身份编码为 TID Seq.,第二站点的身份编码为 RID Seq., 则第二站点可以在该数据包的发送方地址字段处填写 RID Seq.,在接收方地 址字段处填写 TID Seq.„
若双方站点的身份编码位数超过正常的 MAC地址时， 可以按照一定默 认的方式， 从双方站点的身份编码中提取缩短的身份编码， 例如取后 48比 特， 再将缩短的身份编码放入对应的地址字段。
本实施例提供的该安全身份通信方法， 通过相互确认过对方安全身份 的两个站点， 使用身份编码来标识双方的安全身份进行通信， 并且本实施 例中的消息帧均隐藏或者省略了双方站点的 MAC地址， 提高了用户在使用 无线通信时的私密性保护程度。 实施例四：
本发明实施例四提供了一种安全身份第一站点， 图 5示出了该站点示意 性结构图。 参考图 4, 该站点包括：
第一发送模块， 用于发送身份发现帧； 该身份发现帧携带有第一站点 身份编码和第一密文；
接收模块， 用于接收该第二站点发送的身份认证帧； 该身份认证帧携 带有该第二站点身份编码、 该第一站点身份编码和第二密文；
验证模块， 用于验证该第二站点的身份；
第二发送模块， 用于发送身份确认帧给该第二站点， 该身份确认帧携 带有该第二站点身份编码。
其中， 第一发送模块可以通过向多个好友站点进行周期性广播的方式 来发送身份发现帧， 同时， 非好友站点也有可能接收到该身份发现帧。 第 一站点身份编码和第二站点身份编码均为根据预设算法生成或预先配置的 身份编码。 第一密文为第一站点和第二站点共享的密文， 和 /或第二密文为 第一站点和第二站点共享的密文。
其中， 验证模块具体用于第一站点验证第一密文是否和共享密文相同， 共享密文为第一站点和身份发现帧所发送的目标站点共享的密文。
其中， 身份确认帧还携带有第一站点身份编码。
其中， 身份发现帧还携带有目标站点信息的数量， 目标站点信息还包 括目标站点编号， 所述第一密文为相应编号的目标站点所对应的密文； 身 份认证帧还携带有相应编号。
优选的， 该第一站点还包括计算模块， 该计算模块用于根据该第一站 点的 MAC地址和该身份发现帧所发送的目标站点的 MAC地址， 或者根据该 第一站点的 MAC地址和相应编号的目标站点，通过默认算法 1计算得出该第 一密文； 还用于当该第二密文根据第二站点的 MAC地址和第三 MAC地址， 通过默认算法 3计算所得时，根据所述第一站点的 MAC地址和第二密文， 通 过默认算法 4计算出第四 MAC地址。 此时验证模块具体用于验证第四 MAC 地址是否和身份发现帧所发送的目标站点相匹配。
优选的， 该第一站点还包括加密模块， 该加密模块用于根据该第一站 点的 MAC地址和该身份发现帧所发送的目标站点的 MAC地址， 或者根据该 第一站点的 MAC地址和相应编号的目标站点，通过算法 1计算得出该第一密 文； 还用于当该第二密文根据第二站点的 MAC地址和第三 MAC地址， 通过 算法 3计算所得时， 并且该第二站点返回的身份认证帧还携带有第二指示位 时， 先根据该第二指示位确定算法 4,再根据该算法 4计算出第四 MAC地址。 此时所述验证模块具体用于验证第四 MAC地址是否和身份发现帧所发送的 目标站点相匹配。 实施例五：
本发明实施例五提供了一种用于安全身份通信的第一站点， 图 5示出了 该站点示意性结构图。 参考图 5, 该站点在实施例四及其优选的实施例的基 础上还包括：
第三发送模块， 用于发送数据包给该第二站点， 该数据包携带有发送 方地址信息和接收方地址信息； 该发送方地址信息为该第一站点身份编码， 该接收方地址信息为该第二站点身份编码。
优选的， 该第一站点还包括提取模块， 该提取模块用于当第一站点身 份编码位数超过正常 MAC地址位数时， 从该第一站点身份编码中提取缩短 的身份编码， 并将缩短的身份编码放入该数据包对应的地址信息中。 实施例六: 本发明实施例六提供了一种安全身份第二站点， 图 6示出了该站点示意 性结构图。 参考图 6, 该站点包括：
第一接收模块， 用于接收第一站点发送的身份发现帧， 该身份发现帧 携带有该第一站点身份编码和第一密文；
验证模块， 用于验证该第一站点的身份；
第一发送模块， 用于发送身份认证帧给该第一站点， 该身份认证帧携 带有该第二站点身份编码、 该第一站点身份编码和第二密文；
第二接收模块， 用于接收该第一站点发送的身份确认帧， 该身份确认 帧携带有该第二站点身份编码。
其中， 验证模块具体用于验证第一密文是否和共享密文相同， 共享密 文为第二站点和其好友站点共享的密文。 所述第一站点身份编码为和第二 站点身份编码均为根据预设算法生成或预先配置的身份编码。 第一密文为 第一站点和第二站点共享的密文， 和 /或第二密文为第一站点和第二站点共 享的密文。
其中， 身份发现帧还携带有目标站点信息的数量， 目标站点信息还包 括目标站点编号， 所述第一密文为相应编号的目标站点所对应的密文； 身 份认证帧还携带有相应编号。
优选的， 第二站点还包括确定模块， 该确定模块用于当该身份发现帧 还携带有选取策略指示位时， 根据该选取策略指示位确定该部分 MAC地址 信息的选取算法。
优选的， 该第二站点还包括计算模块， 该计算模块用于当该第一密文 根据该第一站点的 MAC地址和该身份发现帧所发送的目标站点的 MAC地 址， 或者根据第一站点的 MAC地址和相应编号的目标站点的 MAC地址， 通 过默认算法 1计算所得时， 通过默认算法 2计算出第三 MAC地址； 此时验证 模块具体用于验证该第三 MAC地址是否配置在第二战点的好友站点中。 计 算模块还用于根据第二站点的 MAC地址和第三 MAC地址， 通过默认算法 3 计算得出第二密文。
优选的， 该第二站点还包括加密模块， 该加密模块用于当该第一密文 根据该第一站点的 MAC地址和该身份发现帧所发送的目标站点的 MAC地 址， 或者根据第一站点的 MAC地址和相应编号的目标站点的 MAC地址， 通 过算法 1计算所得， 并且该身份发现帧还携带有第一指示位， 该第一指示位 指示了算法 1时， 先根据该第一指示位确定算法 2, 再根据该算法 2计算出第 三 MAC地址； 此时所述验证模块具体用于验证该第三 MAC地址是否配置在 第二战点的好友站点中。 加密模块还用于根据第二站点的 MAC地址和第三 MAC地址， 通过算法 3计算得出第二密文。
优选的， 该第二站点还包括记录模块， 该记录模块用于当该身份确认 帧还携带有否认信息， 该否认信息指示该第二站点未通过身份认证时， 将 该第一站点身份编码记录入陌生人列表， 并在之后一段时间内丢弃携带有 该第一站点身份编码的数据包。 实施例七：
本发明实施例七提供了一种用于安全身份通信的第二站点， 图 7示出了 该站点示意性结构图。 参考图 7, 该站点在实施例六及其优选的实施例的基 础上还包括：
第二发送模块， 用于发送数据包给第一站点， 该数据包携带有发送方 地址信息和接收方地址信息； 该发送方地址信息为该第二站点身份编码， 该接收方地址信息为该第一站点身份编码。
优选的， 该第一站点还包括提取模块， 该提取模块用于当第二站点身 份编码位数超过正常 MAC地址位数时， 从该第二站点身份编码中提取缩短 的身份编码， 并将缩短的身份编码放入该数据包对应的地址信息中。 实施例八: 本发明实施例八提供了一种安全身份发现系统， 图 8示出了该站点示意 性结构图。 参考图 8 , 该系统包括第一站点和第二站点，
其中， 第一站点又包括实施例四中所述的第一发送模块、 接收模块、 验证模块和第二发送模块；
第二站点又包括实施例六中所述的第一接收模块、 验证模块、 第一发 送模块和第二接收模块；
优选的， 该安全身份发现系统中的第二站点还包括实施例六中所述的 确定模块；
优选的， 该安全身份发现系统中的第二站点还包括实施例六中所述的 记录模块。
优选的， 该安全身份发现系统中的第一站点还包括实施例五中所述的 计算模块， 第二站点还包括实施例八中所述的计算模块。
优选的， 该安全身份发现系统中的第一站点还包括实施例五中所述的 加密模块， 第二站点还包括实施例八中所述的加密模块。 实施例九：
本发明实施例九提供了一种安全身份通信系统， 图 8示出了该站点示意 性结构图。 参考图 8 , 该系统包括第一站点和第二站点：
其中， 第一站点又包括实施例四中所述的第一发送模块、 接收模块、 验证模块、 和第二发送模块， 以及实施例五中所述的第三发送模块；
第二站点又包括实施例六中所述的第一接收模块、 验证模块、 第一发 送模块和第二接收模块 , 以及实施例九中所述的第二发送模块。
优选的， 该安全身份发现系统中的第一站点还包括实施例五中所述的 提取模块。
优选的， 该安全身份发现系统中的第二站点还包括实施例七中所述的 提取模块。 优选的， 该安全身份发现系统中的第一站点还包括实施例五中所述的 提取模块， 相应的， 第二站点还包括实施例七中所述的提取模块。 所属领域的技术人员可以清楚地了解到， 为描述的方便和筒洁， 上述 描述的装置和单元的具体工作过程， 可以参考前述方法实施例中的对应过 程， 在此不再赘述。
在本发明所提供的几个实施例中， 应该理解到， 所揭露的装置和方法, 可以通过其它的方式实现。 例如， 以上所描述的装置实施例仅仅是示意性 的， 例如， 所述单元的划分， 仅仅为一种逻辑功能划分， 实际实现时可以 有另外的划分方式， 例如多个单元或组件可以结合或者可以集成到另一个 系统， 或一些特征可以忽略， 或不执行。 另一点， 所显示或讨论的相互之 间的耦合或直接耦合或通信连接可以是通过一些接口， 装置或单元的间接 耦合或通信连接， 可以是电性， 机械或其它的形式。 作为单元显示的部件可以是或者也可以不是物理单元， 即可以位于一个地 方， 或者也可以分布到多个网络单元上。 可以根据实际的需要选择其中的 部分或者全部单元来实现本实施例方案的目的。
另外， 在本发明各个实施例中的各功能单元可以集成在一个处理单元 中， 也可以是各个单元单独物理存在， 也可以两个或两个以上单元集成在 一个单元中。 上述集成的单元既可以采用硬件的形式实现， 也可以采用软 件功能单元的形式实现。
所述集成的单元如果以软件功能单元的形式实现并作为独立的产品销 售或使用时， 可以存储在一个计算机可读取存储介质中。 基于这样的理解, 本发明的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方 案的全部或部分可以以软件产品的形式体现出来， 该计算机软件产品存储 在一个存储介质中， 包括若干指令用以使得一台计算机设备（可以是个人 计算机， 服务器， 或者网络设备等）执行本发明各个实施例所述方法的全 部或部分。 而前述的存储介质包括： U盘、 移动硬盘、 只读存储器（ROM, Read-Only Memory )、 随机存取存储器（RAM, Random Access Memory ) 、 磁碟或者光盘等各种可以存储程序代码的介质。
以上所述仅是本发明的优选实施方式， 使本领域技术人员能够理解或 实现本发明。 对这些实施例的多种修改对本领域的技术人员来说将是显而 易见的， 本文中所定义的一般原理可以在不脱离本发明的精神或范围的情 况下， 在其它实施例中实现。 因此， 本发明将不会被限制于本文所示的这 些实施例， 而是要符合与本文所公开的原理和新颖特点相一致的最宽的范 围。

Claims

权利要求
1、 一种安全身份发现方法， 其特征在于， 包括：
第一站点发送身份发现帧； 所述身份发现帧携带有所述第一站点身份 编码和目标站点信息， 所述目标站点信息包括第一密文；
所述第一站点接收第二站点发送的身份认证帧； 所述身份认证帧携带 有所述第二站点身份编码、 所述第一站点身份编码和第二密文；
所述第一站点验证所述第二站点的身份；
所述第一站点发送身份确认帧给所述第二站点， 所述身份确认帧携带 有所述第二站点身份编码； 或者所述身份确认帧携带有所述第一站点身份 编码和所述第二站点身份编码。
2、 根据权利要求 1所述的方法， 其特征在于， 所述第一站点身份编码 为根据预设算法生成或预先配置的身份编码； 所述第二站点身份编码为根 据预设算法生成或预先配置的身份编码。
3、 根据权利要求 1所述的方法， 其特征在于， 所述身份发现帧还携带 有所述目标站点信息的数量， 所述目标站点信息还包括目标站点编号， 所 述第一密文为相应编号的目标站点所对应的密文； 所述身份认证帧还携带 有所述相应编号。
4、 根据权利要求 1或 3所述的方法， 其特征在于， 所述第一密文为所 述第一站点和第二站点共享的密文， 和 /或所述第二密文为所述第一站点和 第二站点共享的密文。
5、 根据权利要求 1或 3所述的方法， 其特征在于， 所述第一站点验证 所述第二站点的身份， 具体为： 所述第一站点验证所述第二密文是否和共 享密文相同； 所述共享密文为所述第一站点和所述身份发现帧所发送的目 标站点共享的密文。
6、 根据权利要求 1所述的方法， 其特征在于， 所述第一密文根据所述 第一站点的介质访问控制 MAC 地址和所述身份发现帧所发送的目标站点 的 MAC地址，通过默认算法 1计算所得； 所述第二密文根据所述第二站点 的 MAC地址和第三 MAC地址，通过默认算法 3计算所得；所述第三 MAC 地址由所述第二站点根据所述第二站点 MAC地址和所述第一密文，通过默 认算法 2计算所得；
所述第一站点验证所述第二站点的身份， 具体为：
所述第一站点根据所述第一站点的 MAC地址和第二密文，通过默认算 法 4计算出第四 MAC地址， 并验证所述第四 MAC地址是否和所述身份发 现帧所发送的目标站点相匹配。
7、 根据权利要求 3所述的方法， 其特征在于， 所述第一密文根据所述 第一站点的 MAC地址和相应编号的目标站点的 MAC地址， 通过默认算法 1计算所得； 所述第二密文根据所述第二站点的 MAC地址和第三 MAC地 址， 通过默认算法 3计算所得； 所述第三 MAC地址由所述第二站点根据所 述第二站点 MAC地址和所述第一密文， 通过默认算法 2计算所得；
所述第一站点验证所述第二站点的身份， 具体为：
所述第一站点根据所述第一站点的 MAC地址和第二密文，通过默认算 法 4计算出第四 MAC地址， 并验证所述第四 MAC地址是否和所述相应编 号的目标站点相匹配。
8、 根据权利要求 1所述的方法， 其特征在于， 所述第一密文根据所述 第一站点的 MAC地址和所述身份发现帧所发送的目标站点的 MAC地址通 过算法 1 计算所得； 所述目标站点信息还包括第一指示位， 所述第一指示 位指示了所述算法 1;
所述第二密文根据所述第二站点的 MAC地址和第三 MAC地址， 通过 算法 3计算所得； 所述身份认证帧还携带有第二指示位， 所述第二指示位 指示了所述算法 3; 所述第三 MAC地址由所述第二站点根据所述第二站点 MAC地址和所述第一密文， 通过算法 2计算所得； 所述第一站点验证所述第二站点的身份， 具体为：
所述第一站点根据所述第二指示位确定算法 4,然后根据所述第一站点 的 MAC地址和所述第二密文， 通过算法 4计算出第四 MAC地址， 并验证 所述第四 MAC地址是否和所述身份发现帧所发送的目标站点相匹配。
9、 根据权利要求 3所述的方法， 其特征在于， 所述第一密文根据所述 第一站点的 MAC地址和相应编号的目标站点的 MAC地址通过算法 1计算 所得； 所述目标站点信息还包括第一指示位， 所述第一指示位指示了所述 算法 1;
所述第二密文根据所述第二站点的 MAC地址和第三 MAC地址， 通过 算法 3计算所得； 所述身份认证帧还携带有第二指示位， 所述第二指示位 指示了所述算法 3; 所述第三 MAC地址由所述第二站点根据所述第二站点 MAC地址和所述第一密文， 通过算法 2计算所得；
所述第一站点验证所述第二站点的身份， 具体为：
所述第一站点根据所述第二指示位确定算法 4,然后根据所述第一站点 的 MAC地址和所述第二密文， 通过算法 4计算出第四 MAC地址， 并验证 所述第四 MAC地址是否和所述相应编号的目标站点相匹配。
10、 根据权利要求 1或 3所述的方法， 其特征在于， 所述身份确认帧 还携带有否认信息， 所述否认信息指示所述第二站点未通过身份认证； 或 者所述身份确认帧携带有否认信息和特殊值， 所述否认信息指示所述第二 站点未通过身份认证， 所述特殊值指示所述身份确认帧携带有所述否认信
11、 根据权利要求 1一 3任一项所述的方法， 其特征在于， 该方法之后 还包括：
第一站点发送数据包给所述第二站点， 所述数据包携带有发送方地址 信息和接收方地址信息； 所述发送方地址信息为所述第一站点身份编码， 所述接收方地址信息为所述第二站点身份编码； 当所述身份编码位数超过正常 MAC地址位数时，从所述身份编码中提 取缩短的身份编码， 并将所述缩短的身份编码放入所述数据包对应的地址 信息中。
12、 一种安全身份发现方法， 其特征在于， 包括：
第二站点接收第一站点发送的身份发现帧， 所述身份发现帧携带有所 述第一站点身份编码和目标站点信息， 所述目标站点信息包括第一密文； 所述第二站点验证所述第一站点的身份；
所述第二站点发送身份认证帧给所述第一站点， 所述身份认证帧携带 有所述第二站点身份编码、 所述第一站点身份编码和第二密文；
所述第二站点接收所述第一站点发送的身份确认帧， 所述身份确认帧 携带有所述第二站点身份编码； 或者所述身份确认帧携带有所述第一站点 身份编码和所述第二站点身份编码。
13、 根据权利要求 12所述的方法， 其特征在于， 所述第一站点身份编 码为根据预设算法生成或预先配置的身份编码； 所述第二站点身份编码为 根据预设算法生成或预先配置的身份编码。
14、 根据权利要求 12所述的方法， 其特征在于， 所述身份发现帧还携 带有所述目标站点信息的数量， 所述目标站点信息还包括目标站点编号， 所述第一密文为相应编号的目标站点所对应的密文； 所述身份认证帧还携 带有所述相应编号。
15、 根据权利要求 12或 14所述的方法， 其特征在于， 所述第一密文 为所述第一站点和第二站点共享的密文， 和 /或所述第二密文为所述第一站 点和第二站点共享的密文。
16、 根据权利要求 12所述的方法， 其特征在于， 所述第二站点验证所 述第一站点的身份， 具体为： 所述第二站点验证所述第一密文是否和共享 密文相同； 所述共享密文为所述第二站点和其好友站点共享的密文。
17、 根据权利要求 14所述的方法， 其特征在于， 所述第二站点验证所 述第一站点的身份， 具体为： 所述第二站点验证所述第一密文是否和共享 密文相同； 所述共享密文为所述第二站点和其好友站点共享的密文。
18、 根据权利要求 12所述的方法， 其特征在于， 所述第一密文根据所 述第一站点的介质访问控制 MAC地址和所述身份发现帧所发送的目标站 点的 MAC地址， 通过默认算法 1计算所得；
所述第二站点验证所述第一站点的身份， 具体为：
所述第二站点根据所述第二站点的 MAC地址和所述第一密文，通过默 认算法 2计算出第三 MAC地址， 并验证所述第三 MAC地址是否和自己的 好友站点相匹配；
所述第二站点发送身份认证帧给所述第一站点， 具体为：
若所述第三 MAC地址和所述第二站点的好友站点相匹配，则发送身份 认证帧给所述第一站点； 所述身份认证帧携带的所述第二密文根据所述第 二站点的 MAC地址和所述第三 MAC地址， 通过默认算法 3计算所得。
19、 根据权利要求 14所述的方法， 其特征在于， 所述第一密文根据所 述第一站点的 MAC地址和相应编号的目标站点的 MAC地址， 通过默认算 法 1计算所得；
所述第二站点验证所述第一站点的身份， 具体为：
所述第二站点根据所述第二站点的 MAC地址和所述第一密文，通过默 认算法 2计算出第三 MAC地址， 并验证所述第三 MAC地址是否和自己的 好友站点相匹配；
所述第二站点发送身份认证帧给所述第一站点， 具体为：
若所述第三 MAC地址和所述第二站点的好友站点相匹配，则发送身份 认证帧给所述第一站点； 所述身份认证帧携带有所述相应编号和所述第二 密文；所述第二密文根据所述第二站点的 MAC地址和所述第三 MAC地址， 通过默认算法 3计算所得。
20、 根据权利要求 12所述的方法， 其特征在于， 所述第一密文根据所 述第一站点的 MAC地址和所述身份发现帧所发送的目标站点的 MAC地址 通过算法 1 计算所得； 所述目标站点信息还包括第一指示位， 所述第一指 示位指示了所述算法 1;
所述第二站点验证所述第一站点的身份， 具体为：
所述第二站点根据所述第一指示位确定算法 2,再根据所述第二站点的 MAC地址和所述第一密文， 通过所述算法 2计算出第三 MAC地址， 并验 证所述第三 MAC地址是否和自己的好友站点相匹配；
所述第二站点发送身份认证帧， 具体为：
若所述第三 MAC地址和所述第二站点的好友站点相匹配，则发送身份 认证帧给所述第一站点； 所述身份认证帧携带有第二密文和第二指示位； 所述第二密文根据所述第二站点的 MAC地址和第三 MAC地址， 通过算法 3计算所得； 所述第二指示位指示了所述算法 3。
21、 根据权利要求 14所述的方法， 其特征在于， 所述第一密文根据所 述第一站点的 MAC地址和相应编号的目标站点的 MAC地址通过算法 1计 算所得； 所述目标站点信息还包括第一指示位， 所述第一指示位指示了所 述算法 1;
所述第二站点验证所述第一站点的身份， 具体为：
所述第二站点根据所述第一指示位确定算法 2,再根据所述第二站点的 MAC地址和所述第一密文， 通过所述算法 2计算出第三 MAC地址， 并验 证所述第三 MAC地址是否和自己的好友站点相匹配；
所述第二站点发送身份认证帧， 具体为：
若所述第三 MAC地址和所述第二站点的好友站点相匹配，则发送身份 认证帧给所述第一站点； 所述身份认证帧携带有所述相应编号、 所述第二 密文和第二指示位； 所述第二密文根据所述第二站点的 MAC地址和第三 MAC地址通过算法 3计算所得； 所述第二指示位指示了所述算法 3。
22、 根据权利要求 16— 21任一项所述的方法， 其特征在于， 所述目标 站点信息还包括所述身份发现帧所发送的目标站点的部分介质访问控制
MAC地址信息； 则所述第二站点在所述部分 MAC地址信息和所述第二站 点的 MAC地址相匹配时， 验证所述第一站点的身份。
23、 根据权利要求 22所述的方法， 其特征在于， 所述目标站点信息还 包括选取策略指示位， 所述选取策略指示位指示了在所述目标站点的 MAC 地址中选取所述部分 MAC地址信息的算法；则所述第二站点根据所述选取 策略指示位确定所述部分 MAC地址信息的选取算法， 并在所述部分 MAC 地址信息和所述第二站点的 MAC地址相匹配时， 验证所述第一站点的身 份。
24、 根据权利要求 12或 14所述的方法， 其特征在于， 所述身份确认 帧还携带有否认信息， 所述否认信息指示所述第二站点未通过身份认证； 或者所述身份确认帧携带有否认信息和特殊值， 所述否认信息指示所述第 二站点未通过身份认证， 所述特殊值指示所述身份确认帧携带有所述否认 信息。
25、 根据权利要求 24所述的方法， 其特征在于， 该方法之后还包括： 所述第二站点将所述第一站点身份编码记录入陌生人列表， 并在之后 一段时间内丢弃携带有所述第一站点身份编码的数据包； 所述一段时间的 长度根据第二站点内的计数器控制。
26、 根据权利要求 12— 14任一项所述的方法， 其特征在于， 该方法之 后还包括：
第二站点发送数据包给所述第一站点， 所述数据包携带有发送方地址 信息和接收方地址信息； 所述发送方地址信息为所述第二站点身份编码， 所述接收方地址信息为所述第一站点身份编码；
当所述身份编码位数超过正常 MAC地址位数时，从所述身份编码中提 取缩短的身份编码， 并将所述缩短的身份编码放入所述数据包对应的地址 信息中。
27、 一种安全身份第一站点， 其特征在于， 包括：
第一发送模块， 用于发送身份发现帧； 所述身份发现帧携带有所述第 一站点身份编码和目标站点信息， 所述目标站点信息包括第一密文；
接收模块， 用于接收所述第二站点发送的身份认证帧； 所述身份认证 帧携带有所述第二站点身份编码、 所述第一站点身份编码和第二密文； 验证模块， 用于验证所述第二站点的身份；
第二发送模块， 用于发送身份确认帧给所述第二站点， 所述身份确认 帧携带有所述第二站点身份编码； 或者所述身份确认帧携带有所述第一站 点身份编码和所述第二站点身份编码。
28、 根据权利要求 27所述的第一站点， 其特征在于， 所述第一站点还 包括计算模块， 所述计算模块用于根据所述第一站点的介质访问控制 MAC 地址和所述身份发现帧所发送的目标站点的 MAC地址， 通过默认算法 1 计算得出所述第一密文； 或者， 当所述身份发现帧还携带有所述目标站点 信息的数量， 所述目标站点信息还包括目标站点编号， 所述第一密文为相 应编号的目标站点所对应的密文时， 所述所述计算模块用于根据所述第一 站点的 MAC地址和相应编号的目标站点的 MAC地址， 通过默认算法 1计 算得出所述第一密文；
所述计算模块还用于当所述第二密文根据所述第二站点的 MAC地址 和第三 MAC地址，通过默认算法 3计算所得时，根据所述第一站点的 MAC 地址和第二密文， 通过默认算法 4计算出第四 MAC地址； 所述第三 MAC 地址由所述第二站点根据所述第二站点 MAC地址和所述第一密文，通过默 认算法 2计算所得；
此时所述验证模块具体用于验证所述第四 MAC地址是否和所述身份 发现帧所发送的目标站点相匹配。
29、 根据权利要求 27所述的第一站点， 其特征在于， 所述第一站点还 包括加密模块，所述加密模块用于根据所述第一站点的 MAC地址和所述身 份发现帧所发送的目标站点的 MAC地址，通过算法 1计算得出所述第一密 文； 或者， 当所述身份发现帧还携带有所述目标站点信息的数量， 所述目 标站点信息还包括目标站点编号， 所述第一密文为相应编号的目标站点所 对应的密文时，所述加密模块用于根据所述第一站点的 MAC地址和相应编 号的目标站点的 MAC地址， 通过算法 1计算得出所述第一密文；
所述加密模块还用于当所述第二密文根据所述第二站点的 MAC地址 和第三 MAC地址，通过算法 3计算所得、并且所述身份认证帧还携带有第 二指示位， 所述第二指示位指示了所述算法 3 时， 先根据所述第二指示位 确定算法 4, 再根据所述第一站点的 MAC地址和所述第二密文， 通过算法 4计算出第四 MAC地址； 所述第三 MAC地址由所述第二站点根据所述第 二站点 MAC地址和所述第一密文， 通过算法 2计算所得；
此时所述验证模块具体用于验证所述第四 MAC地址是否和所述身份 发现帧所发送的目标站点相匹配。
30、 根据权利要求 27所述的第一站点， 其特征在于， 所述第一站点还 包括第三发送模块， 所述第三发送模块用于发送数据包给所述第二站点， 所述数据包携带有发送方地址信息和接收方地址信息； 所述发送方地址信 息为所述第一站点身份编码， 所述接收方地址信息为所述第二站点身份编 码； 或者，
所述第一站点还包括第三发送模块和提取模块， 所述第三发送模块用 于发送数据包给所述第二站点， 所述数据包携带有发送方地址信息和接收 方地址信息； 所述发送方地址信息为所述第一站点身份编码， 所述接收方 地址信息为所述第二站点身份编码； 所述提取模块用于当所述身份编码位 数超过正常 MAC地址位数时，从所述身份编码中提取缩短的身份编码， 并 将所述缩短的身份编码放入所述数据包对应的地址信息中。
31、 一种安全身份第二站点， 其特征在于， 包括：
第一接收模块， 用于接收第一站点发送的身份发现帧， 所述身份发现 帧携带有所述第一站点身份编码和目标站点信息， 所述目标站点信息包括 第一密文；
验证模块， 用于验证所述第一站点的身份；
第一发送模块， 用于发送身份认证帧给所述第一站点， 所述身份认证 帧携带有所述第二站点身份编码、 所述第一站点身份编码和第二密文； 第二接收模块， 用于接收所述第一站点发送的身份确认帧， 所述身份 确认帧携带有所述第二站点身份编码； 或者所述身份确认帧携带有所述第 一站点身份编码和所述第二站点身份编码。
32、 根据权利要求 31所述的第二站点， 其特征在于， 所述第二站点还 包括计算模块， 所述计算模块用于当所述第一密文根据所述第一站点的介 质访问控制 MAC地址和所述身份发现帧所发送的目标站点的 MAC地址， 通过默认算法 1计算所得时，通过默认算法 2计算出第三 MAC地址；或者， 当所述身份发现帧还携带有所述目标站点信息的数量， 所述目标站点信息 还包括目标站点编号， 所述第一密文为相应编号的目标站点所对应的密文， 并且所述第一密文根据所述第一站点的 MAC地址和相应编号的目标站点 的 MAC地址，通过默认算法 1计算所得时， 所述计算模块用于通过默认算 法 2计算出第三 MAC地址
此时所述验证模块具体用于验证所述第三 MAC地址是否和所述第二 战点的好友站点相匹配；
所述计算模块还用于根据所述第二站点的 MAC地址和所述第三 MAC 地址， 通过默认算法 3计算得出所述第二密文。
33、 根据权利要求 31所述的第二站点， 其特征在于， 所述第二站点还 包括加密模块， 所述加密模块用于当所述第一密文根据所述第一站点的 MAC地址和所述身份发现帧所发送的目标站点的 MAC地址通过算法 1计 算所得， 并且所述目标站点信息还包括第一指示位时， 先根据所述第一指 示位确定算法 2, 再根据所述第二站点的 MAC地址和所述第一密文， 通过 所述算法 2计算出第三 MAC地址；此时所述验证模块具体用于验证所述第 三 MAC地址是否和所述第二战点的好友站点相匹配；
所述加密模块还用于根据所述第二站点的 MAC地址和所述第三 MAC 地址， 通过算法 3计算得出所述第二密文。
34、 根据权利要求 31所述的第二站点， 其特征在于， 所述第二站点还 包括记录模块， 所述记录模块用于当所述身份确认帧还携带有否认信息， 所述否认信息指示所述第二站点未通过身份认证时， 将所述第一站点身份 编码记录入陌生人列表， 并在之后一段时间内丢弃携带有所述第一站点身 份编码的数据包。
35、 根据权利要求 31所述的第二站点， 其特征在于， 所述第二站点还 包括第二发送模块， 所述第二发送模块用于发送数据包给所述第一站点， 所述数据包携带有发送方地址信息和接收方地址信息； 所述发送方地址信 息为所述第二站点身份编码， 所述接收方地址信息为所述第一站点身份编 码； 或者，
所述第二站点还包括第二发送模块和提取模块， 所述第二发送模块用 于发送数据包给所述第一站点， 所述数据包携带有发送方地址信息和接收 方地址信息； 所述发送方地址信息为所述第二站点身份编码， 所述接收方 地址信息为所述第一站点身份编码； 所述提取模块用于当所述身份编码位 数超过正常 MAC地址位数时，从所述身份编码中提取缩短的身份编码， 并 将所述缩短的身份编码放入所述数据包对应的地址信息中。
36、 一种安全身份发现系统， 其特征在于， 包括权利要求 27所述的第 一站点和权利要求 31所述的第二站点。
37、 一种安全身份通信系统， 其特征在于， 包括权利要 30所述的第一 站点和权利要求 35所述的第二站点。
PCT/CN2013/070962 2012-04-11 2013-01-25 一种安全身份发现及通信方法 WO2013152632A1 (zh)

Priority Applications (2)

Application Number Priority Date Filing Date Title
EP13775581.5A EP2822310B1 (en) 2012-04-11 2013-01-25 Secure identity discovery and communication method
US14/496,902 US9357389B2 (en) 2012-04-11 2014-09-25 Security identity discovery and communication method

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN201210104825.9A CN103368738B (zh) 2012-04-11 2012-04-11 一种安全身份发现及通信方法
CN201210104825.9 2012-04-11

Related Child Applications (1)

Application Number Title Priority Date Filing Date
US14/496,902 Continuation US9357389B2 (en) 2012-04-11 2014-09-25 Security identity discovery and communication method

Publications (1)

Publication Number Publication Date
WO2013152632A1 true WO2013152632A1 (zh) 2013-10-17

Family

ID=49327062

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2013/070962 WO2013152632A1 (zh) 2012-04-11 2013-01-25 一种安全身份发现及通信方法

Country Status (4)

Country Link
US (1) US9357389B2 (zh)
EP (1) EP2822310B1 (zh)
CN (1) CN103368738B (zh)
WO (1) WO2013152632A1 (zh)

Families Citing this family (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US9872232B2 (en) * 2013-12-02 2018-01-16 Qualcomm Incorporated Methods and apparatus for neighborhood area network detection
US10148769B2 (en) * 2015-09-11 2018-12-04 Blackberry Limited Pre-association discovery of services
US20170311341A1 (en) * 2016-04-25 2017-10-26 Qualcomm Incorporated Neighbor awareness networking schedule negotiation
US10778449B2 (en) * 2018-01-26 2020-09-15 Huawei Technologies Co., Ltd. System and method for shared sessions in communication networks

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20030018219A (ko) * 2001-08-27 2003-03-06 아이피원(주) 무선 랜에서의 인증 제공을 위한 로그인 ｉｄ 인증 방법및 시스템
CN101540671A (zh) * 2009-04-21 2009-09-23 中兴通讯股份有限公司 一种自组网络下wapi站点间安全关联的建立方法
CN101588573A (zh) * 2009-06-29 2009-11-25 方秀芹 安全验证方法、系统及移动终端、服务器
US20100070771A1 (en) * 2008-09-17 2010-03-18 Alcatel-Lucent Authentication of access points in wireless local area networks
CN101820629A (zh) * 2010-04-15 2010-09-01 华为终端有限公司 一种无线局域网中身份认证的方法、装置及系统

Family Cites Families (17)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP1466261B1 (en) * 2002-01-08 2018-03-07 Seven Networks, LLC Connection architecture for a mobile network
US8271786B1 (en) * 2002-10-16 2012-09-18 Hewlett-Packard Development Company, L.P. Method and system for providing secure communications between a first and a second peer device
US8230480B2 (en) * 2004-04-26 2012-07-24 Avaya Inc. Method and apparatus for network security based on device security status
US7506042B2 (en) * 2004-08-06 2009-03-17 Sharp Laboratories Of America, Inc. Hierarchical ad hoc network organizational method involving with proxy networking
EP1849261A1 (fr) * 2005-02-18 2007-10-31 France Télécom Procede, dispositif et programme de detection d'usurpation d'adresse dans un reseau sans fil
US7616594B2 (en) * 2005-04-22 2009-11-10 Microsoft Corporation Wireless device discovery and configuration
US7783756B2 (en) * 2005-06-03 2010-08-24 Alcatel Lucent Protection for wireless devices against false access-point attacks
US8122482B2 (en) * 2008-01-24 2012-02-21 Cisco Technology, Inc. Cryptographic peer discovery, authentication, and authorization for on-path signaling
WO2009129337A1 (en) * 2008-04-15 2009-10-22 Problem Resolution Enterprise, Llc Method and process for registering a device to verify transactions
US8769682B2 (en) * 2008-09-18 2014-07-01 Alcatel Lucent Mechanism for identifying malicious content, DoS attacks, and illegal IPTV services
KR20100049472A (ko) * 2008-11-03 2010-05-12 엘지전자 주식회사 이동국 식별방법
US8370920B2 (en) * 2009-10-28 2013-02-05 Aunigma Network Security Corp. System and method for providing unified transport and security protocols
EP2372971A1 (en) * 2010-03-30 2011-10-05 British Telecommunications Public Limited Company Method and system for authenticating a point of access
US9794731B2 (en) * 2010-12-31 2017-10-17 Google Technology Holdings LLC Method and apparatus for providing secure communication in a self-organizing network
US8699379B2 (en) * 2011-04-08 2014-04-15 Blackberry Limited Configuring mobile station according to type of wireless local area network (WLAN) deployment
US9215234B2 (en) * 2012-01-24 2015-12-15 Hewlett Packard Enterprise Development Lp Security actions based on client identity databases
US8719573B2 (en) * 2012-01-27 2014-05-06 Intuit Inc. Secure peer discovery and authentication using a shared secret

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20030018219A (ko) * 2001-08-27 2003-03-06 아이피원(주) 무선 랜에서의 인증 제공을 위한 로그인 ｉｄ 인증 방법및 시스템
US20100070771A1 (en) * 2008-09-17 2010-03-18 Alcatel-Lucent Authentication of access points in wireless local area networks
CN101540671A (zh) * 2009-04-21 2009-09-23 中兴通讯股份有限公司 一种自组网络下wapi站点间安全关联的建立方法
CN101588573A (zh) * 2009-06-29 2009-11-25 方秀芹 安全验证方法、系统及移动终端、服务器
CN101820629A (zh) * 2010-04-15 2010-09-01 华为终端有限公司 一种无线局域网中身份认证的方法、装置及系统

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
See also references of EP2822310A4 *

Also Published As

Publication number Publication date
EP2822310A1 (en) 2015-01-07
EP2822310A4 (en) 2015-03-11
EP2822310B1 (en) 2017-05-03
CN103368738B (zh) 2017-02-15
CN103368738A (zh) 2013-10-23
US20150012749A1 (en) 2015-01-08
US9357389B2 (en) 2016-05-31

Similar Documents

Publication Publication Date Title
JP7428723B2 (ja) 無線通信におけるセキュアなアクセス制御のための方法および装置
CN104854892B (zh) 用于从wwan安全性上下文推导wlan安全性上下文的方法和设备
US9769732B2 (en) Wireless network connection establishment method and terminal device
EP2979401B1 (en) System and method for indicating a service set identifier
CN103609154B (zh) 一种无线局域网接入鉴权方法、设备及系统
KR102024653B1 (ko) 사용자 장비(ue)를 위한 액세스 방법, 디바이스 및 시스템
JP5597676B2 (ja) 鍵マテリアルの交換
WO2020010515A1 (en) Identity-based message integrity protection and verification for wireless communication
WO2019004929A2 (zh) 网络切片分配方法、设备及系统
WO2015096138A1 (zh) 分流方法、用户设备、基站和接入点
US20240107313A1 (en) Control frame processing method, control frame generating method, station, access point, and storage medium
CN104066083B (zh) 一种接入无线局域网的方法和装置
US11490252B2 (en) Protecting WLCP message exchange between TWAG and UE
US11019037B2 (en) Security improvements in a wireless data exchange protocol
WO2014026489A1 (zh) 用于端对端通信的方法、终端以及网络侧
WO2013152632A1 (zh) 一种安全身份发现及通信方法
WO2017177975A1 (zh) 服务提供商标识指示方法和装置、用户设备和接入设备
JP7192107B2 (ja) システム間変更中のセキュリティ・コンテキストを扱う方法及び装置
KR102104844B1 (ko) 데이터 전송 방법， 제1 장치 및 제2 장치
CN102056154B (zh) Ike认证方法、系统、ike响应设备和ike发起设备
CN104335621B (zh) 关联标识通信装置和关联标识通信方法
WO2013152635A1 (zh) 一种安全身份发现方法
EP4061038B1 (en) Wireless network switching method and device
CN102625308A (zh) 一种基于lte-lan实现双向认证的方法、装置及系统
WO2024088863A1 (en) Method for resynchronizing the mac address of a non-ap station

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 13775581

Country of ref document: EP

Kind code of ref document: A1

REEP Request for entry into the european phase

Ref document number: 2013775581

Country of ref document: EP

WWE Wipo information: entry into national phase

Ref document number: 2013775581

Country of ref document: EP

NENP Non-entry into the national phase

Ref country code: DE