WO2013181830A1 - 关联标识通信装置和关联标识通信方法 - Google Patents

关联标识通信装置和关联标识通信方法 Download PDF

Info

Publication number
WO2013181830A1
WO2013181830A1 PCT/CN2012/076610 CN2012076610W WO2013181830A1 WO 2013181830 A1 WO2013181830 A1 WO 2013181830A1 CN 2012076610 W CN2012076610 W CN 2012076610W WO 2013181830 A1 WO2013181830 A1 WO 2013181830A1
Authority
WO
WIPO (PCT)
Prior art keywords
association
request message
session key
identifier
communication device
Prior art date
Application number
PCT/CN2012/076610
Other languages
English (en)
French (fr)
Inventor
董贤东
Original Assignee
宇龙计算机通信科技(深圳)有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 宇龙计算机通信科技(深圳)有限公司 filed Critical 宇龙计算机通信科技(深圳)有限公司
Priority to PCT/CN2012/076610 priority Critical patent/WO2013181830A1/zh
Priority to CN201280073336.XA priority patent/CN104335621B/zh
Publication of WO2013181830A1 publication Critical patent/WO2013181830A1/zh

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/03—Protecting confidentiality, e.g. by encryption
    • H04W12/037—Protecting confidentiality, e.g. by encryption of the control plane, e.g. signalling traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
    • H04W12/047—Key management, e.g. using generic bootstrapping architecture [GBA] without using a trusted network node as an anchor
    • H04W12/0471—Key exchange
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H04W12/062—Pre-authentication

Definitions

  • the present invention relates to the field of communication technologies, and in particular, to an association identification communication device and an associated identification communication method. Background technique
  • the l lah project team was established in IEEE (American Institute of Electrical and Electronics Engineers) 802.11.
  • the main feature of l lah is to support long-distance, low-speed communication.
  • the so-called long distance means that the coverage radius is 1km, and the traditional signal coverage radius is 100m, low speed means the minimum transmission rate is 200kbps, and the traditional transmission rate is Mbps.
  • l lah project is mainly applied to sensor networks or to smart meters, such as gas meter. This network or instrument has a characteristic that the amount of data transmitted each time is very small, which may be several bits ( Bit), but communication is frequent.
  • the frame format of the MAC (Media Access Control) frame in the message is shown in Figure 1.
  • the frame body is the amount of data mentioned above.
  • the amount of data per communication in the sensor network is very small, but in the existing specification, the MAC header has 36 bytes, that is, 288 bits. In this way, the amount of data may be smaller than the MAC header each time data is transmitted, which brings unnecessary overhead (it is top-heavy), which is not conducive to STA (station, terminal, site) power saving. Therefore, in the l lah project, a new definition of the MAC frame format # is called a compressed MAC frame, and its format is Compressed MAC frame format: 3 ⁇ 4 port shown in Figure 2.
  • the compressed MAC frame format removes some sub-domains than the normal frame format, such as Address4, Duration/ID, QoS Control, etc., while using AID (2 octets) , 2 bytes) instead of Address 1,
  • AID is (association identifier) association identifier
  • the length is 16 bits
  • the AP access point, access point
  • this WLAN Wireless LAN
  • the AP sends the message to the STA in plaintext.
  • the STA obtains the AID flow diagram as shown in Figure 3, and the newly defined compressed MAC frame format in l lah has replaced the MAC address with the AID (Address 1). ) to address, so AID is easily captured and exploited by attackers, and even fake AID attacks on the network.
  • the technical problem to be solved by the present invention is to provide a new technical solution, which can ensure that the AP sends the AID securely to the STA, preventing the AID from being easily acquired and utilized by the attacker, thereby attacking the wireless network and jeopardizing the wireless network. Safety.
  • the present invention provides an association identifier communication apparatus, including: a service processing module, receiving an initial network connection request message of a terminal by using a wireless transceiver module, performing identity authentication and session key negotiation with the terminal, to obtain the session. a key, the association identifier is encrypted by the session key, and sent to the terminal by the wireless transceiver module; the wireless transceiver module is configured to exchange data with the external identifier communication device.
  • the associated identifier communication device may be a router, a mobile phone, a tablet computer, a notebook computer, etc., and can be used as an AP
  • the service processing module is equivalent to a chip for processing a wireless local area network service
  • the wireless transceiver module is equivalent to transmitting and receiving a wireless local area network signal.
  • the antenna before the AP provides the AID to the STA, can perform authentication and session key negotiation with the STA through the authentication server to securely transmit the AID to the STA, avoiding being provided to the malicious attacker, and ensuring the wireless local area network. Safety.
  • the initial network connection request message includes a probe request message and/or an association request message.
  • the AP may perform identity authentication and key negotiation with the STA when receiving a probe request message or an association request message.
  • the service processing module receives the association, please After the message is obtained, the association response message is returned to the terminal by the wireless transceiver module, where the association response message does not include the association identifier.
  • the AID is not included in the association response message returned to the STA, which ensures that the malicious attacker can no longer easily obtain the AID from the association response message, thereby ensuring network security.
  • the session key includes a group temporary key.
  • the session key may be a GTK (group temporal key), and those skilled in the art should understand that other similar types of encryption keys may be used in the technical solution in addition to the GTK. .
  • the present invention also provides an association identifier communication method, including: receiving an initial network connection request message of a terminal, performing identity authentication and session key negotiation with the terminal; obtaining the session key, and encrypting the association identifier by using the session key Send to the terminal.
  • the authentication server and the STA can perform identity verification and session key negotiation to securely transmit the AID to the STA, thereby avoiding being provided to the malicious attacker, thereby ensuring that the AID is securely transmitted to the STA.
  • Wireless LAN security before the AID is provided to the STA, the authentication server and the STA can perform identity verification and session key negotiation to securely transmit the AID to the STA, thereby avoiding being provided to the malicious attacker, thereby ensuring that the AID is securely transmitted to the STA.
  • the initial network connection request message includes a probe request message and/or an association request message.
  • the AP may perform identity authentication and key negotiation with the STA when receiving a probe request message or an association request message.
  • the method further includes: after receiving the association request message, returning an association response message to the terminal, where the association response message does not include the association identifier.
  • the association response message returned to the STA is no longer included in the association response message, which ensures that the malicious attacker can no longer easily obtain the AID from the association response message, thereby ensuring the security of the network.
  • the session key includes a group temporary key.
  • the session key may be a GTK (group temporal key), and those skilled in the art should understand that other similar types of encryption keys may be used in the technical solution in addition to the GTK. .
  • the invention also provides an association identifier communication device, comprising: a service processing module, generating an initial Initiating a network connection request message, transmitting the initial network connection request message by using a wireless transceiver module, performing identity authentication and key agreement with the access point, and obtaining a session key, and receiving the encryption from the access point by using the wireless transceiver module Correlation identifier; a wireless transceiver module, configured to exchange data with the external identifier communication device externally.
  • the associated identifier communication device may be a mobile phone, a tablet computer and a notebook computer, and can be used as a STA
  • the service processing module is equivalent to a chip for processing a wireless local area network service
  • the wireless transceiver module is equivalent to an antenna for transmitting and receiving a wireless local area network signal
  • the STA is After the initial network connection request message is sent, based on network security considerations, it is necessary to perform identity verification and key agreement with the AP first to avoid obtaining the AID by a malicious attacker, thereby ensuring the security of the wireless local area network.
  • the initial network connection request message includes a probe request message and/or an association request message.
  • the AP may perform identity authentication and key negotiation with the STA when receiving a probe request message or an association request message.
  • the service processing module further receives an association response message from the access point by using the wireless transceiver module, where the association response message does not include the The associated identifier.
  • the STA receives the association response message from the AP, it is known that the AID is not included, so the information in the AID field in the association response can be ignored, and the possibility of obtaining the wrong AID is eliminated.
  • the service processing module decrypts the association identifier by using the session key.
  • the STA decrypts the AID according to the agreed session key, the STA can successfully establish an initial network connection with the AP by using the AID.
  • the session key includes a group temporary key.
  • the session key may be a GTK (group temporal key), and those skilled in the art should understand that other similar types of encryption keys may be used in the technical solution in addition to the GTK. .
  • the present invention also provides an association identifier communication method, including: generating an initial network connection request message; transmitting the initial network connection request message, performing identity authentication and key agreement with an access point, and obtaining a session key; The access point receives the encrypted association identifier.
  • an association identifier communication method including: generating an initial network connection request message; transmitting the initial network connection request message, performing identity authentication and key agreement with an access point, and obtaining a session key; The access point receives the encrypted association identifier.
  • the STA needs to perform identity authentication and key negotiation with the AP first, so as to avoid the AID being acquired by the malicious attacker, thereby ensuring the wireless local area network. Safety.
  • the initial network connection request message includes a probe request message and/or an association request message.
  • the AP may perform identity authentication and key negotiation with the STA when receiving a probe request message or an association request message.
  • the method further includes: after sending the association request message, receiving an association response message from the access point, where the association response message does not include the association identifier.
  • the STA After the STA receives the association response message from the AP, it is known that the AID is not included, so the information in the AID field in the association response can be ignored, and the possibility of obtaining the wrong AID is eliminated.
  • the method further includes: after receiving the association identifier, decrypting the association identifier by using the session key.
  • the STA after the STA decrypts the AID according to the agreed session key, the STA can successfully establish an initial network connection with the AP by using the AID.
  • the session key includes a group temporary key.
  • the session key may be a GTK (group temporal key), and those skilled in the art should understand that other similar types of encryption keys may be used in the technical solution in addition to the GTK. .
  • association identifier communication device and the association identifier communication method can be implemented, which can ensure that the AID is securely transmitted to the STA, preventing the AID from being easily acquired and utilized by the attacker, thereby attacking the wireless network and jeopardizing the wireless network.
  • FIG. 1 is a schematic diagram of a format of a medium access control frame in the prior art
  • FIG. 2 is a schematic diagram of a format of a compressed medium access control frame
  • FIG. 4 is a block diagram of an association identification communication device in accordance with one embodiment of the present invention
  • FIG. 5 is a flow diagram of an association identification communication method in accordance with one embodiment of the present invention
  • Figure 6 is a block diagram of an association identification communication device in accordance with one embodiment of the present invention
  • Figure 7 is a flow diagram of an association identification communication method in accordance with one embodiment of the present invention
  • Figure 8 is an association identification in accordance with one embodiment of the present invention.
  • FIG. 4 is a block diagram of an associated identity communication device in accordance with one embodiment of the present invention.
  • the present invention provides an association identifier communication device 400, including: a service processing module 402, which receives an initial network connection request message of a terminal through a wireless transceiver module 404, performs identity authentication and session key negotiation with the terminal. Obtaining the session key, encrypting the association identifier by using the session key, and sending the identifier to the terminal by using the wireless transceiver module 404; the wireless transceiver module 404 is configured to be external to the associated identity communication device 400 Interactive data.
  • the association identifier communication device 400 can be a router, a mobile phone, a tablet computer, a notebook computer, etc., and can be used as an AP.
  • the service processing module 402 is equivalent to a chip for processing a wireless local area network service
  • the wireless transceiver module 404 is equivalent to transmitting and receiving wireless.
  • the antenna of the LAN signal before the AP provides the AID to the STA, it can first authenticate with the STA and negotiate the session key to securely transmit the AID to the STA, avoiding being provided to the malicious attacker, and ensuring the wireless local area network. Safety.
  • the initial network connection request message includes a probe request message and/or an association request message.
  • the AP may perform identity authentication with the STA and key negotiation when receiving a probe request message or an association request message.
  • the service processing module 402 receives the association request cancellation. After the information is received, the association response message is returned to the terminal by the wireless transceiver module 404, where the association response message does not include the association identifier.
  • the AID is not included in the association response message returned to the STA, which ensures that the malicious attacker can no longer easily obtain the AID from the association response message, thereby ensuring network security.
  • the session key includes a group temporary key.
  • the session key may be a GTK (group temporal key), and those skilled in the art should understand that other similar types of encryption keys may be used in the technical solution in addition to the GTK. .
  • Figure 5 is a flow diagram of a method of association identification communication in accordance with one embodiment of the present invention.
  • the present invention further provides an association identifier communication method, including: Step 502: Receive an initial network connection request message of a terminal, perform identity authentication with a terminal, and negotiate a session key.
  • the STA and the STA can be authenticated and the session key can be negotiated to securely transmit the AID to the STA, thereby avoiding being provided to the malicious attacker, thereby ensuring the wireless local area network. Security.
  • the initial network connection request message includes a probe request message and/or an association request message.
  • the AP may perform identity authentication and key negotiation with the STA upon receiving a probe request message or an association request message.
  • the method further includes: after receiving the association request message, returning an association response message to the terminal, where the association response message does not include the association identifier.
  • the association response message returned to the STA is no longer included in the association response message, which ensures that the malicious attacker can no longer easily obtain the AID from the association response message, thereby ensuring the security of the network.
  • the session key includes a group temporary key.
  • the session key may be a GTK (group temporal key), and those skilled in the art should understand that other similar types of encryption keys may be used in the technical solution in addition to the GTK.
  • GTK group temporal key
  • the present invention further provides an association identifier communication device 600, including: a service processing module 602, generating an initial network connection request message, and sending the initial network connection request message to the access point by using the wireless transceiver module 604 Performing identity authentication and key agreement and obtaining a session key, and receiving, by the wireless transceiver module 604, an encrypted association identifier from the access point; the wireless transceiver module 604, configured to exchange data with the association identifier communication device 600 externally .
  • the association identifier communication device 600 can be a mobile phone, a tablet computer, and a notebook computer, and can be used as a STA.
  • the service processing module 602 is equivalent to a chip for processing a wireless local area network service
  • the wireless transceiver module 604 is equivalent to an antenna for transmitting and receiving a wireless local area network signal.
  • the initial network connection request message includes a probe request message and/or an association request message.
  • the AP may perform identity authentication with the STA and key negotiation when receiving a probe request message or an association request message.
  • the service processing module 602 further receives an association response message from the access point by using the wireless transceiver module 604, where the association response message does not include the Associated ID.
  • the STA receives the association response message from the AP, it is known that the AID is not included, so the information in the AID field in the association response can be ignored, and the possibility of obtaining the wrong AID is eliminated.
  • the association identifier is decrypted by using the session key.
  • the STA decrypts the AID according to the predetermined session key, the AID can successfully establish an initial network connection with the AP.
  • the session key includes a group temporary key.
  • the session key may be a GTK (group temporal key), and those skilled in the art should understand that other similar types of encryption keys may be used in the technical solution in addition to the GTK.
  • GTK group temporal key
  • the present invention further provides an association identifier communication method, including: Step 702: Generate an initial network connection request message; Step 704: Send the initial network connection request message, perform identity authentication and encryption with an access point. The key is negotiated, and a session key is obtained; Step 706: Receive an encrypted association identifier from the access point.
  • Step 702 Generate an initial network connection request message
  • Step 704 Send the initial network connection request message, perform identity authentication and encryption with an access point. The key is negotiated, and a session key is obtained
  • Step 706 Receive an encrypted association identifier from the access point.
  • the STA needs to perform identity verification and key negotiation with the AP first, so as to avoid the AID being acquired by the malicious attacker, thereby ensuring the wireless. The security of the local area network.
  • the initial network connection request message includes a probe request message and/or an association request message.
  • the AP may perform identity authentication and key negotiation with the STA when receiving a probe request message or an association request message.
  • the method further includes: after sending the association request message, receiving an association response message from the access point, where the association response message does not include the association identifier.
  • the STA After the STA receives the association response message from the AP, it is known that the AID is not included, so the information in the AID field in the association response can be ignored, and the possibility of obtaining the wrong AID is eliminated.
  • the method further includes: after receiving the association identifier, decrypting the association identifier by using the session key.
  • the STA after the STA decrypts the AID according to the agreed session key, the STA can successfully establish an initial network connection with the AP by using the AID.
  • the session key includes a group temporary key.
  • the session key may be a GTK (group temporal key), and those skilled in the art should understand that other similar types of encryption keys may be used in the technical solution in addition to the GTK. .
  • Figure 8 is a schematic illustration of association identification communication between associated identification communication devices in accordance with one embodiment of the present invention.
  • the present invention provides a scheme for AID encrypted transmission, which effectively prevents the AID from being acquired by a network attacker to attack the network by using the AID.
  • the AP and the STA implemented by the association identifier communication device in this embodiment change the specification flow of the existing AID allocation, that is, the association response returned by the AP to the STA.
  • the AP does not carry the AID in the message, but waits until the STA and the AP complete the EAP authentication.
  • the STA and the AP negotiate the session key, the STA sends the initial network connection request message to the AP to obtain the AID, and the AP sends the session ID to encrypt the AID.
  • Figure 8 the specific process is shown in Figure 8:
  • Step 802 The STA sends an association request message to the AP.
  • Step 804 The AP returns an association response message to the STA, where the AID is not included.
  • Step 806 Perform EAP (Extensible Identity Authentication Protocol) authentication between the STA and the AP, and complete the four-way handshake.
  • EAP Extensible Identity Authentication Protocol
  • Step 808 After the identity authentication is completed, the STA sends an AID request (Associate Identity Request) to the AP, and stipulates an encryption key with the AP.
  • AID request Associate Identity Request
  • Step 810 The AP returns an AID response message to the STA, where the message includes an AID encrypted by the session key.
  • the AP may perform identity verification and key negotiation with the STA, encrypt the AID according to the agreed key, and send the AID to the STA.
  • association identifier communication device and the association identifier communication method can be implemented, and the problem that the AID is exploited by the attacker to attack the network is solved, and the security of the network is improved.

Abstract

本发明提供关联标识通信装置和方法，其中，装置包括：业务处理模块，通过无线收发模块接收终端的初始入网连接请求消息，与终端进行身份认证以及会话密钥协商，得到会话密钥，用会话密钥加密关联标识，并通过无线收发模块发送给终端；无线收发模块，用于与关联标识通信装置外部交互数据。通过本发明，能够保证AP将AID安全地发送到STA，防止AID被攻击者轻易获取并利用，从而对无线网络攻击，而危害到无线网络的安全。

Description

关联标识通信装置和关联标识通信方法 技术领域
本发明涉及通信技术领域， 具体而言， 涉及关联标识通信装置和关联 标识通信方法。 背景技术
在 IEEE (美国电气和电子工程师协会） 802.11 中成立了 l lah 项目 组， l lah的主要特点就是支持长距、 低速通信， 所谓长距就是指覆盖半径 范围为 1km, 而传统的信号覆盖半径为 100m, 低速是指最低传输速率为 200kbps, 传统的传输速率都是 Mbps 级。 l lah 项目主要应用到传感网络 或是应用到智能仪表， 像 gas meter (煤气表） ， 这种网络或仪表有一个特 点， 就是每次传输的数据量都很小， 可能就是几个 bit (比特） ， 但是通 信频繁。
在现有标准中， 消息中 MAC (媒介访问控制） 帧的帧格式如图 1 所 示。 其中 Frame body (帧体） 中就是上面提到的数据量， 在传感网络中每 次通信的数据量都很小， 但现有规范中 MAC 头有 36个字节， 即 288 个 比特位， 这样每次传输数据时可能数据量比 MAC 头还要小， 这样带来了 不必要的开销 （显得头重脚轻） ， 不利于 STA ( station, 终端、 站点） 省 电。 所以在 l lah项目中， 对 MAC帧格式 #文了新的定义， 称为压缩 MAC 帧， 其格式 Compressed MAC frame format :¾口图 2所示。
对比图 1和图 1示出的这两种帧格式， 可以发现压缩的 MAC帧格式 比正常帧格式除掉了一些子域， 像 Address4、 Duration/ID、 QoS Control 等， 同时用 AID ( 2 octets , 2 个字节 ） 代替了 Address 1 , AID 为 ( association identifier ) 关联标识， 长度是 16 比特位， 是 STA 加入 WLAN网络时， 由 AP ( access point, 接入点 ) 分配给 STA在这个 WLAN (无线局域网） 网络中的唯一标识， 且这个 AID 是由 AP 在 Association response关联相应消息中以明文的形式发送给 STA的。
由于 AID是在关联响应过程中， AP以明文的方式发送给 STA, STA 获得 AID流程示意图如图 3所示， 且在 l lah新定义的压缩 MAC帧格式 已经用 AID来替代 MAC地址 （Address 1 ) 来进行寻址， 所以 AID很容 易被攻击者抓包获得且利用， 甚至伪造 AID对网络进行攻击。
因此， 需要一种新的技术方案， 能够保证 AP 将 AID 安全地发送到 STA, 防止 AID被攻击者轻易获取并利用， 从而对无线网络攻击， 而危害 到无线网络的安全。 发明内容
本发明所要解决的技术问题在于， 提供一种新的技术方案， 能够保证 AP将 AID安全地发送到 STA, 防止 AID被攻击者轻易获取并利用， 从而 对无线网络攻击， 而危害到无线网络的安全。
有鉴于此， 本发明提供一种关联标识通信装置， 包括： 业务处理模 块， 通过无线收发模块接收终端的初始入网连接请求消息， 与所述终端进 行身份认证以及会话密钥协商， 得到所述会话密钥， 用所述会话密钥加密 关联标识， 并通过所述无线收发模块发送给所述终端； 所述无线收发模 块， 用于与所述关联标识通信装置外部交互数据。 在该技术方案中， 关联 标识通信装置可以是路由器、 手机、 平板电脑、 笔记本电脑等设备， 可作 为 AP , 业务处理模块相当于处理无线局域网业务的芯片， 无线收发模块 相当于收发无线局域网信号的天线， AP将 AID提供给 STA之前， 可以先 通过认证服务器与 STA进行身份验证以及会话密钥协商， 以将 AID安全 地传输给 STA, 避免提供给恶意攻击者， 也就保证了无线局域网络的安 全。
在上述技术方案中， 优选地， 所述初始入网连接请求消息包括探测请 求消息和 /或关联请求消息。 在该技术方案中， AP 可以在接收到 probe request (探测请求） 消息或 association request (关联请求） 消息时， 执行 与 STA的身份认证以及密钥协商。
在上述技术方案中， 优选地， 所述业务处理模块在接收到所述关联请 求消息后， 还通过所述无线收发模块向所述终端返回关联响应消息， 其 中， 所述关联响应消息中不包含所述关联标识。 在该技术方案中， 保证返 回给 STA的 association response消息中， 不再包含 AID , 这就保证恶意攻 击者不再能够从关联响应消息中即可轻易地获取 AID , 保证了网络的安 全。
在上述技术方案中， 优选地， 所述会话密钥包括组临时密钥。 在该技 术方案中， 会话密钥可以是 GTK ( group temporal key , 组临时密钥） ， 本 领域技术人员应当理解， 除了 GTK之外， 其他类似类型的加密密钥也可 以使用在本技术方案中。
本发明还提供一种关联标识通信方法， 包括： 接收终端的初始入网连 接请求消息， 与终端进行身份认证以及会话密钥协商； 得到所述会话密 钥， 用所述会话密钥加密关联标识并发送给所述终端。 在该技术方案中， ΑΡ将 AID提供给 STA之前， 可以先通过认证服务器与 STA进行身份验 证以及会话密钥协商， 以将 AID 安全地传输给 STA, 避免提供给恶意攻 击者， 也就保证了无线局域网络的安全。
在该技术方案中， 优选地， 所述初始入网连接请求消息包括探测请求 消息和 /或关联请求消息。 在该技术方案中， AP 可以在接收到 probe request (探测请求） 消息或 association request (关联请求） 消息时， 执行 与 STA的身份认证以及密钥协商。
在上述技术方案中， 优选地， 还包括： 在接收到所述关联请求消息 后， 向所述终端返回关联响应消息， 其中， 所述关联响应消息不包含所述 关联标识。 在该技术方案中， 保证返回给 STA的 association response消息 中， 不再包含 AID , 这就保证恶意攻击者不再能够从关联响应消息中即可 轻易地获取 AID , 保证了网络的安全。
在上述技术方案中， 优选地， 所述会话密钥包括组临时密钥。 在该技 术方案中， 会话密钥可以是 GTK ( group temporal key , 组临时密钥） ， 本 领域技术人员应当理解， 除了 GTK之外， 其他类似类型的加密密钥也可 以使用在本技术方案中。
本发明还提供一种关联标识通信装置， 包括： 业务处理模块， 生成初 始入网连接请求消息， 通过无线收发模块发送所述初始入网连接请求消 息， 与接入点进行身份认证以及密钥协商并得到会话密钥， 通过所述无线 收发模块从所述接入点接收加密的关联标识； 无线收发模块， 用于与所述 关联标识通信装置外部交互数据。 在该技术方案中， 关联标识通信装置可 以是手机、 平板电脑和笔记本电脑， 可作为 STA, 业务处理模块相当于处 理无线局域网业务的芯片， 无线收发模块相当于收发无线局域网信号的天 线， STA在发出初始入网连接请求消息之后， 基于网络安全方面的考虑， 需要先与 AP进行身份验证以及密钥协商， 以避免将 AID被恶意攻击者获 取， 也就保证了无线局域网络的安全。
在上述技术方案中， 优选地， 所述初始入网连接请求消息包括探测请 求消息和 /或关联请求消息。 在该技术方案中， AP 可以在接收到 probe request (探测请求） 消息或 association request (关联请求） 消息时， 执行 与 STA的身份认证以及密钥协商。
在上述技术方案中， 优选地， 所述业务处理模块在发出所述关联请求 消息后， 还通过所述无线收发模块从所述接入点接收关联响应消息， 所述 关联响应消息中不包含所述关联标识。 在该技术方案中， STA从 AP接收 到的 association response消息后， 已知其中不会包括 AID , 所以可以忽略 association response中 AID域中的信息， 消除了获取错误 AID的可能性。
在上述技术方案中， 优选地， 所述业务处理模块接收所述关联标识 后， 用所述会话密钥对所述关联标识进行解密处理。 在该技术方案中， STA按约定的会话密钥解密 AID后， 可以利用 AID顺利地与 AP建立初 始入网连接。
在上述技术方案中， 优选地， 所述会话密钥包括组临时密钥。 在该技 术方案中， 会话密钥可以是 GTK ( group temporal key , 组临时密钥） ， 本 领域技术人员应当理解， 除了 GTK之外， 其他类似类型的加密密钥也可 以使用在本技术方案中。
本发明还提供一种关联标识通信方法， 包括： 生成初始入网连接请求 消息； 发送所述初始入网连接请求消息， 与接入点进行身份认证以及密钥 协商， 并得到会话密钥； 从所述接入点接收加密的关联标识。 在该技术方 案中， STA 在发出初始入网连接请求消息之后， 基于网络安全方面的考 虑， 需要先与 AP进行身份验证以及密钥协商， 以避免将 AID被恶意攻击 者获取， 也就保证了无线局域网络的安全。
在上述技术方案中， 优选地， 所述初始入网连接请求消息包括探测请 求消息和 /或关联请求消息。 在该技术方案中， AP 可以在接收到 probe request (探测请求） 消息或 association request (关联请求） 消息时， 执行 与 STA的身份认证以及密钥协商。
在上述技术方案中， 优选地， 还包括： 在发出所述关联请求消息后， 从所述接入点接收关联响应消息， 所述关联响应消息中不包含所述关联标 识。 STA从 AP接收到的 association response消息后， 已知其中不会包括 AID , 所以可以忽略 association response中 AID域中的信息， 消除了获取 错误 AID的可能性。
在上述技术方案中， 优选地， 还包括： 接收所述关联标识后， 用所述 会话密钥对所述关联标识进行解密处理。 在该技术方案中， STA按约定的 会话密钥解密 AID后， 可以利用 AID顺利地与 AP建立初始入网连接。
在上述技术方案中， 优选地， 所述会话密钥包括组临时密钥。 在该技 术方案中， 会话密钥可以是 GTK ( group temporal key , 组临时密钥） ， 本 领域技术人员应当理解， 除了 GTK之外， 其他类似类型的加密密钥也可 以使用在本技术方案中。
通过以上技术方案， 可以实现关联标识通信装置和关联标识通信方 法， 能够保证 ΑΡ将 AID安全地发送到 STA, 防止 AID被攻击者轻易获 取并利用， 从而对无线网络攻击， 而危害到无线网络的安全。 附图说明
图 1是现有技术的媒介访问控制帧的格式示意图；
图 2是压缩媒介访问控制帧的格式示意图；
图 3是根据现有技术的关联标识通信的示意图；
图 4是根据本发明的一个实施例的关联标识通信装置的框图； 图 5是根据本发明的一个实施例的关联标识通信方法的流程图； 图 6是根据本发明的一个实施例的关联标识通信装置的框图； 图 7是根据本发明的一个实施例的关联标识通信方法的流程图； 图 8是根据本发明的一个实施例的关联标识通信装置进行关联标识通 信的示意图。 具体实施方式
为了能够更清楚地理解本发明的上述目的、 特征和优点， 下面结合附 图和具体实施方式对本发明进行进一步的详细描述。 需要说明的是， 在不 沖突的情况下， 本申请的实施例及实施例中的特征可以相互组合。
在下面的描述中阐述了很多具体细节以便于充分理解本发明， 但是， 本发明还可以采用其他不同于在此描述的其他方式来实施， 因此， 本发明 的保护范围并不受下面公开的具体实施例的限制。
图 4是根据本发明的一个实施例的关联标识通信装置的框图。
如图 4所示， 本发明提供一种关联标识通信装置 400, 包括： 业务处 理模块 402 , 通过无线收发模块 404接收终端的初始入网连接请求消息， 与所述终端进行身份认证以及会话密钥协商， 得到所述会话密钥， 用所述 会话密钥加密关联标识， 并通过所述无线收发模块 404发送给所述终端； 所述无线收发模块 404 , 用于与所述关联标识通信装置 400 外部交互数 据。 在该技术方案中， 关联标识通信装置 400可以是路由器、 手机、 平板 电脑、 笔记本电脑等设备， 可作为 AP, 业务处理模块 402 相当于处理无 线局域网业务的芯片， 无线收发模块 404相当于收发无线局域网信号的天 线， AP将 AID提供给 STA之前， 可以先与 STA进行身份验证以及会话 密钥协商， 以将 AID 安全地传输给 STA, 避免提供给恶意攻击者， 也就 保证了无线局域网络的安全。
在上述技术方案中， 所述初始入网连接请求消息包括探测请求消息和 /或关联请求消息。 在该技术方案中， AP 可以在接收到 probe request (探 测请求） 消息或 association request (关联请求） 消息时， 执行与 STA 的 身份认证以及密钥协商。
在上述技术方案中， 所述业务处理模块 402在接收到所述关联请求消 息后， 还通过所述无线收发模块 404 向所述终端返回关联响应消息， 其 中， 所述关联响应消息中不包含所述关联标识。 在该技术方案中， 保证返 回给 STA的 association response消息中， 不再包含 AID , 这就保证恶意攻 击者不再能够从关联响应消息中即可轻易地获取 AID , 保证了网络的安 全。
在上述技术方案中， 所述会话密钥包括组临时密钥。 在该技术方案 中， 会话密钥可以是 GTK ( group temporal key , 组临时密钥） ， 本领域技 术人员应当理解， 除了 GTK之外， 其他类似类型的加密密钥也可以使用 在本技术方案中。
图 5是根据本发明的一个实施例的关联标识通信方法的流程图。
如图 5 所示， 本发明还提供一种关联标识通信方法， 包括： 步骤 502 , 接收终端的初始入网连接请求消息， 与终端进行身份认证以及会话 密钥协商； 步骤 504 , 得到所述会话密钥， 用所述会话密钥加密关联标识 并发送给所述终端。 在该技术方案中， ΑΡ将 AID提供给 STA之前， 可以 先与 STA 进行身份验证以及会话密钥协商， 以将 AID 安全地传输给 STA, 避免提供给恶意攻击者， 也就保证了无线局域网络的安全。
在该技术方案中， 所述初始入网连接请求消息包括探测请求消息和 / 或关联请求消息。 在该技术方案中， AP可以在接收到 probe request (探测 请求） 消息或 association request (关联请求） 消息时， 执行与 STA 的身 份认证以及密钥协商。
在上述技术方案中， 还包括： 在接收到所述关联请求消息后， 向所述 终端返回关联响应消息， 其中， 所述关联响应消息不包含所述关联标识。 在该技术方案中， 保证返回给 STA的 association response消息中, 不再包 含 AID , 这就保证恶意攻击者不再能够从关联响应消息中即可轻易地获取 AID, 保证了网络的安全。
在上述技术方案中， 所述会话密钥包括组临时密钥。 在该技术方案 中， 会话密钥可以是 GTK ( group temporal key , 组临时密钥） ， 本领域技 术人员应当理解， 除了 GTK之外， 其他类似类型的加密密钥也可以使用 在本技术方案中。 图 6是根据本发明的一个实施例的关联标识通信装置的框图。
如图 6所示， 本发明还提供一种关联标识通信装置 600 , 包括： 业务 处理模块 602 , 生成初始入网连接请求消息， 通过无线收发模块 604发送 所述初始入网连接请求消息， 与接入点进行身份认证以及密钥协商并得到 会话密钥， 通过所述无线收发模块 604 从所述接入点接收加密的关联标 识； 无线收发模块 604 , 用于与所述关联标识通信装置 600 外部交互数 据。 在该技术方案中， 关联标识通信装置 600可以是手机、 平板电脑和笔 记本电脑， 可作为 STA, 业务处理模块 602相当于处理无线局域网业务的 芯片， 无线收发模块 604相当于收发无线局域网信号的天线， STA在发出 初始入网连接请求消息之后， 基于网络安全方面的考虑， 需要先与 AP 进 行身份验证以及密钥协商， 以避免将 AID 被恶意攻击者获取， 也就保证 了无线局域网络的安全。
在上述技术方案中， 所述初始入网连接请求消息包括探测请求消息和 /或关联请求消息。 在该技术方案中， AP 可以在接收到 probe request (探 测请求） 消息或 association request (关联请求） 消息时， 执行与 STA 的 身份认证以及密钥协商。
在上述技术方案中， 所述业务处理模块 602在发出所述关联请求消息 后， 还通过所述无线收发模块 604从所述接入点接收关联响应消息， 所述 关联响应消息中不包含所述关联标识。 在该技术方案中， STA从 AP接收 到的 association response消息后， 已知其中不会包括 AID , 所以可以忽略 association response中 AID域中的信息， 消除了获取错误 AID的可能性。
在上述技术方案中， 所述业务处理模块 602接收所述关联标识后， 用 所述会话密钥对所述关联标识进行解密处理。 在该技术方案中， STA按约 定的会话密钥解密 AID后， 可以利用 AID顺利地与 AP建立初始入网连 接。
在上述技术方案中， 所述会话密钥包括组临时密钥。 在该技术方案 中， 会话密钥可以是 GTK ( group temporal key , 组临时密钥） ， 本领域技 术人员应当理解， 除了 GTK之外， 其他类似类型的加密密钥也可以使用 在本技术方案中。 图 7是根据本发明的一个实施例的关联标识通信方法的流程图。
如图 7 所示， 本发明还提供一种关联标识通信方法， 包括： 步骤 702 , 生成初始入网连接请求消息； 步骤 704 , 发送所述初始入网连接请 求消息， 与接入点进行身份认证以及密钥协商， 并得到会话密钥； 步骤 706 , 从所述接入点接收加密的关联标识。 在该技术方案中， STA 在发出 初始入网连接请求消息之后， 基于网络安全方面的考虑， 需要先与 AP 进 行身份验证以及密钥协商， 以避免将 AID 被恶意攻击者获取， 也就保证 了无线局域网络的安全。
在上述技术方案中， 优选地， 所述初始入网连接请求消息包括探测请 求消息和 /或关联请求消息。 在该技术方案中， AP 可以在接收到 probe request (探测请求） 消息或 association request (关联请求） 消息时， 执行 与 STA的身份认证以及密钥协商。
在上述技术方案中， 优选地， 还包括： 在发出所述关联请求消息后， 从所述接入点接收关联响应消息， 所述关联响应消息中不包含所述关联标 识。 STA从 AP接收到的 association response消息后， 已知其中不会包括 AID , 所以可以忽略 association response中 AID域中的信息， 消除了获取 错误 AID的可能性。
在上述技术方案中， 优选地， 还包括： 接收所述关联标识后， 用所述 会话密钥对所述关联标识进行解密处理。 在该技术方案中， STA按约定的 会话密钥解密 AID后， 可以利用 AID顺利地与 AP建立初始入网连接。
在上述技术方案中， 优选地， 所述会话密钥包括组临时密钥。 在该技 术方案中， 会话密钥可以是 GTK ( group temporal key , 组临时密钥） ， 本 领域技术人员应当理解， 除了 GTK之外， 其他类似类型的加密密钥也可 以使用在本技术方案中。
图 8是根据本发明的一个实施例的关联标识通信装置间进行关联标识 通信的示意图。
在本发明的一个实施例中， 本发明提供了一种 AID 加密传输的方 案， 有效的制止了 AID 被网络攻击者获取， 以利用 AID 对网络进行攻 击。 为了不让 AID 以明文的方式暴露给攻击者， 通过本实施例中的关联 标识通信装置所实现的 AP和 STA, 改变了现有 AID分配的规范流程， 即 AP返回给 STA的 association response (关联响应 ) 消息中不带 AID, 而 是等到 STA与 AP完成 EAP认证， STA与 AP双方协商完会话密钥后， 由 STA向 AP发送初始入网连接请求消息获得 AID, AP用会话密钥加密 AID发送给 STA, 具体流程如图 8所示：
步骤 802 , STA向 AP发出 association request (关联请求 ) 消息。 步骤 804, AP向 STA返回 association response (关联响应 ) 消息, 这 其中不包含 AID。
步骤 806, STA与 AP之间进行 EAP (可扩展身份认证协议 )认证， 完成四次握手。
步骤 808 , 身份认证完成后， STA向 AP发出 AID request (关联标识 请求） ， 并与 AP约定加密密钥。
步骤 810, AP向 STA返回 AID response (关联标识响应 ) 消息， 该 消息中包含了通过会话密钥加密过的 AID。
需要注意的是， 本实施中 AP也可以在接收到 STA的 probe request之 后， 就执行与 STA 的身份验证以及密钥协商， 并根据约定的密钥将 AID 加密， 再发送给 STA。
通过本发明的技术方案， 可以实现关联标识通信装置和关联标识通信 方法， 解决了 AID 被攻击者利用， 对网络进行攻击的问题， 提高了网络 的安全性。
以上所述仅为本发明的优选实施例而已， 并不用于限制本发明， 对于 本领域的技术人员来说， 本发明可以有各种更改和变化。 凡在本发明的精 神和原则之内， 所作的任何修改、 等同替换、 改进等， 均应包含在本发明 的保护范围之内。

Claims

权 利 要 求 书
1. 一种关联标识通信装置， 其特征在于， 包括：
业务处理模块， 通过无线收发模块接收终端的初始入网连接请求消 息， 与所述终端进行身份认证以及会话密钥协商， 得到所述会话密钥， 用 所述会话密钥加密关联标识， 并通过所述无线收发模块发送给所述终端； 所述无线收发模块， 用于与所述关联标识通信装置外部交互数据。
2. 根据权利要求 1 所述的关联标识通信装置， 其特征在于， 所述初 始入网连接请求消息包括探测请求消息和 /或关联请求消息。
3. 根据权利要求 2 所述的关联标识通信装置， 其特征在于， 所述业 务处理模块在接收到所述关联请求消息后， 还通过所述无线收发模块向所 述终端返回关联响应消息， 其中， 所述关联响应消息中不包含所述关联标 识。
4. 根据权利要求 1 至 3 中任一项所述的关联标识通信装置， 其特征 在于， 所述会话密钥包括组临时密钥。
5. 一种关联标识通信方法， 其特征在于， 包括：
接收终端的初始入网连接请求消息， 与所述终端进行身份认证以及会 话密钥协商；
得到所述会话密钥， 用所述会话密钥加密关联标识并发送给所述终 端。
6. 根据权利要求 5 所述的关联标识通信方法， 其特征在于， 所述初 始入网连接请求消息包括探测请求消息和 /或关联请求消息。
7. 根据权利要求 6 所述的关联标识通信方法， 其特征在于， 还包 括：
在接收到所述关联请求消息后， 向所述终端返回关联响应消息， 其 中， 所述关联响应消息不包含所述关联标识。
8. 根据权利要求 5 至 7 中任一项所述的关联标识通信方法， 其特征 在于， 所述会话密钥包括组临时密钥。
9. 一种关联标识通信装置， 其特征在于， 包括：
业务处理模块， 生成初始入网连接请求消息， 通过无线收发模块发送 所述初始入网连接请求消息， 与接入点进行身份认证以及密钥协商并得到 会话密钥， 通过所述无线收发模块从所述接入点接收加密的关联标识； 无线收发模块， 用于与所述关联标识通信装置外部交互数据。
10. 根据权利要求 9 所述的关联标识通信装置， 其特征在于， 所述初 始入网连接请求消息包括探测请求消息和 /或关联请求消息。
11. 根据权利要求 10 所述的关联标识通信装置， 其特征在于， 所述 业务处理模块在发出所述关联请求消息后， 还通过所述无线收发模块从所 述接入点接收关联响应消息， 所述关联响应消息中不包含所述关联标识。
12. 根据权利要求 9所述的关联标识通信装置， 其特征在于， 所述业 务处理模块接收所述关联标识后， 用所述会话密钥对所述关联标识进行解 密处理。
13. 根据权利要求 9 至 12 中任一项所述的关联标识通信装置， 其特 征在于， 所述会话密钥包括组临时密钥。
14. 一种关联标识通信方法， 其特征在于， 包括：
生成初始入网连接请求消息；
发送所述初始入网连接请求消息， 与接入点进行身份认证以及密钥协 商， 并得到会话密钥；
从所述接入点接收加密的关联标识。
15. 根据权利要求 14所述的关联标识通信方法， 其特征在于， 所述初 始入网连接请求消息包括探测请求消息和 /或关联请求消息。
16. 根据权利要求 15 所述的关联标识通信方法， 其特征在于， 还包 括：
在发出所述关联请求消息后， 从所述接入点接收关联响应消息， 所述 关联响应消息中不包含所述关联标识。
17. 根据权利要求所述 14 的关联标识通信方法， 其特征在于， 还包 括：
接收所述关联标识后， 用所述会话密钥对所述关联标识进行解密处 理。
18. 根据权利要求 14至 17中任一项所述的关联标识通信方法， 其特 征在于， 所述会话密钥包括组临时密钥。
PCT/CN2012/076610 2012-06-07 2012-06-07 关联标识通信装置和关联标识通信方法 WO2013181830A1 (zh)

Priority Applications (2)

Application Number Priority Date Filing Date Title
PCT/CN2012/076610 WO2013181830A1 (zh) 2012-06-07 2012-06-07 关联标识通信装置和关联标识通信方法
CN201280073336.XA CN104335621B (zh) 2012-06-07 2012-06-07 关联标识通信装置和关联标识通信方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/CN2012/076610 WO2013181830A1 (zh) 2012-06-07 2012-06-07 关联标识通信装置和关联标识通信方法

Publications (1)

Publication Number Publication Date
WO2013181830A1 true WO2013181830A1 (zh) 2013-12-12

Family

ID=49711298

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2012/076610 WO2013181830A1 (zh) 2012-06-07 2012-06-07 关联标识通信装置和关联标识通信方法

Country Status (2)

Country Link
CN (1) CN104335621B (zh)
WO (1) WO2013181830A1 (zh)

Families Citing this family (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN106792687B (zh) * 2016-12-14 2020-10-30 上海斐讯数据通信技术有限公司 移动终端wifi网络的连接方法及系统
CN109039627A (zh) * 2018-11-02 2018-12-18 美的集团股份有限公司 密钥协商方法、设备、存储介质以及系统
CN110912871A (zh) * 2019-10-31 2020-03-24 全球能源互联网研究院有限公司 一种低功耗物联网防止入网攻击的方法和系统

Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1805391A (zh) * 2005-01-13 2006-07-19 华为技术有限公司 在无线局域网中支持多个逻辑网络的方法及装置

Patent Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1805391A (zh) * 2005-01-13 2006-07-19 华为技术有限公司 在无线局域网中支持多个逻辑网络的方法及装置

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
IEEE COMPUTER SOCIETY: "IEEE Standard for Information technology - Telecommunications and information exchange between systems Local and metropolitan area networks - Specific requirements Part 11: Wireless LAN Medium Access Control (MAC) and Physical Layer (PHY) Specifications", IEEE STANDARDS ASSOCIATION, 29 March 2012 (2012-03-29), pages 84, 85, 131, 1014 - 1019, 1214, 1215 *

Also Published As

Publication number Publication date
CN104335621B (zh) 2019-03-22
CN104335621A (zh) 2015-02-04

Similar Documents

Publication Publication Date Title
US9392453B2 (en) Authentication
US7028186B1 (en) Key management methods for wireless LANs
JP4506856B2 (ja) 通信装置、及び通信方法
JP5120417B2 (ja) 通信装置、通信方法、及び通信システム
US8959333B2 (en) Method and system for providing a mesh key
US20100119069A1 (en) Network relay device, communication terminal, and encrypted communication method
JP2009533932A (ja) キー導出におけるパラメータ結合に基づくチャネル結合機構
JP5527906B2 (ja) セキュリティアソシエーションに関連した多数の接続パケットを連結し、暗号化オーバーヘッドを減少させるシステム及び方法
CN107005927A (zh) 用户设备ue的接入方法、设备及系统
CN105553981A (zh) 一种wlan网络快速认证和密钥协商方法
CN101707767B (zh) 一种数据传输方法及设备
CN101895882A (zh) 一种WiMAX系统中的数据传输方法、系统及装置
CN104883372B (zh) 一种基于无线自组织网的防欺骗和抗攻击的数据传输方法
WO2012075825A1 (zh) 无线局域网中端站的安全配置方法、ap、sta、as及系统
CN101527907B (zh) 无线局域网接入认证方法及无线局域网系统
CN101483863B (zh) 即时消息的传送方法、系统及wapi终端
Hager et al. Demonstrating vulnerabilities in bluetooth security
US11019037B2 (en) Security improvements in a wireless data exchange protocol
WO2013181830A1 (zh) 关联标识通信装置和关联标识通信方法
KR101695050B1 (ko) 서비스 플로우의 암호화 처리 방법 및 시스템
CN101521884A (zh) 一种自组网模式下安全关联建立方法及终端
CN104902467A (zh) 基于近场通信nfc的无线局域网wlan接入方法
WO2014153908A1 (zh) 通信装置和无线通信方法
US8359470B1 (en) Increased security during network entry of wireless communication devices
WO2013104301A1 (zh) 发送消息的方法、建立安全连接的方法、接入点和工作站

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 12878562

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 12878562

Country of ref document: EP

Kind code of ref document: A1