WO2017016415A1 - 一种无线局域网络的接入认证方法、服务器和认证系统 - Google Patents
一种无线局域网络的接入认证方法、服务器和认证系统 Download PDFInfo
- Publication number
- WO2017016415A1 WO2017016415A1 PCT/CN2016/090439 CN2016090439W WO2017016415A1 WO 2017016415 A1 WO2017016415 A1 WO 2017016415A1 CN 2016090439 W CN2016090439 W CN 2016090439W WO 2017016415 A1 WO2017016415 A1 WO 2017016415A1
- Authority
- WO
- WIPO (PCT)
- Prior art keywords
- user equipment
- server
- access
- information
- challenge code
- Prior art date
Links
Images
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04W—WIRELESS COMMUNICATION NETWORKS
- H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
- H04W12/08—Access security
Definitions
- the present invention relates to the field of wireless communication technologies, and in particular, to an access authentication method, a server, and an authentication system for a wireless local area network.
- WIFI technology is a technology that can connect terminals such as personal computers and handheld devices wirelessly. With the rapid development of network technology, WIFI technology has penetrated into every aspect of life. On the other hand, with the rapid increase and popularity of portable communication devices, more and more user devices will perform WIFI access. This puts higher demands on the security of wireless communication.
- portable devices including card devices and cardless devices usually use a user name and password as input information for identity authentication when performing WIFI access.
- this method is easy to use, it has certain drawbacks: if the username or password is too complicated, it is difficult to remember; if the username or password is relatively simple, it is vulnerable to dictionary attacks.
- the so-called dictionary attack means that the intruder first enumerates the password sequences that all users may select, and generates a file, which is a "dictionary". When cracking the password or the key, try the dictionary one by one according to the customized dictionary. The way a word or phrase is attacked.
- the intruder obtains some verification information related to the password, it can perform a series of operations in conjunction with the dictionary to make a guess, and use the obtained information to verify the correctness of the guess.
- the present invention provides an access authentication method, a server, and an authentication system for a wireless local area network.
- a challenge code can be generated according to the access information of the first user equipment, and the static password set by the user is no longer used. To solve the problem of dictionary attacks.
- a first aspect of the present invention provides a method for access authentication of a wireless local area network, including:
- the server receives the access information sent by the first user equipment, where the access information carries the identity information of the first user equipment;
- the server If the server receives the confirmation command sent by the second user equipment for the access request, the server generates a challenge code according to the identity information of the first user equipment, and generates a first connection according to the challenge code. Enter the password;
- the server completes EAP authentication with the first user equipment by using the first access password.
- the method further includes:
- the server detects, according to the identity information of the first user equipment, whether a first access password corresponding to the first user equipment exists locally;
- the server completes EAP authentication with the first user equipment by using the first access password corresponding to the first user equipment;
- the server performs the step of sending an access request to the second user equipment according to the access information.
- the identity information of the first user equipment includes an international mobile device identity code (IMEI) of the first user equipment;
- IMEI international mobile device identity code
- the generating, by the server, the challenge code according to the identity information of the first user equipment includes:
- the server combines the IMEI of the first user equipment, the current time, and the self-increasing value starting from a certain random number into a character string, and uses the character string as the challenge code.
- the generating, by the server, the first access password according to the challenge code includes:
- the server encrypts the challenge code into a ciphertext by using a server public key in a server certificate
- the server performs one-way hashing on the ciphertext by using a one-way hash function, and processes the ciphertext after one-way hashing by using a reduction function to obtain the first access password.
- the server generates, according to the challenge code After the first access password, the method further includes:
- the server saves the first access password according to the identity information of the first user equipment, and starts a timer;
- the server When the timer reaches a preset duration, the server deletes the first access password.
- the method further includes:
- the server sends the EAP authentication result to the second user equipment.
- the sending, by the server, the access request to the second user equipment according to the access information includes:
- the server obtains the contact information corresponding to the identity information of the first user equipment according to the preset correspondence between the identity information and the contact information, and sends the access information to the second user equipment by using the obtained contact information. request.
- the access information further includes the contact information
- the sending, by the server, the access request to the second user equipment according to the access information includes:
- the server sends an access request to the second user equipment by using the contact information carried by the access information.
- the server sends the challenge code to the first user After the device, the method further includes:
- the completing, by the server, the EAP authentication by using the first access password and the first user equipment includes:
- the server determines whether the first access password and the second access password are the same
- the server determines that the EAP authentication is successful
- the server determines that the EAP authentication has failed.
- the server by using the first access password and the first A user equipment completes EAP authentication including:
- the first user equipment generates a second expected response value according to the random number and the second access password, and sends the second expected response value to the server;
- the server determines that the EAP authentication is successful
- the server determines that the EAP authentication has failed.
- a second aspect of the present invention provides a server, including:
- the information receiving module is configured to receive the access information sent by the first user equipment, where the access information carries the identity information of the first user equipment;
- An access request sending module configured to send an access request to the second user equipment according to the access information
- An instruction receiving module configured to receive an acknowledgement instruction sent by the second user equipment for the access request
- a challenge code generating module configured to generate a challenge code according to the identity information of the first user equipment
- An access password generating module configured to generate a first access password according to the challenge code
- An information sending module configured to send the challenge code to the first user equipment, so that the first user equipment generates a second access password according to the challenge code
- the authentication module is configured to complete EAP authentication with the first user equipment by using the first access password.
- the method further includes:
- a detecting module configured to detect, according to the identity information of the first user equipment, whether a first access password corresponding to the first user equipment exists locally, and if it is detected that the first user equipment does not exist locally
- the first access password triggers the access request sending module to send an access request to the second user equipment according to the access information
- the authentication module is further configured to:
- the detecting module detects that the first access password corresponding to the first user equipment exists locally, the first access password corresponding to the first user equipment is completed by the first user equipment. EAP certification.
- the identity information packet of the first user equipment Including the international mobile device identity code IMEI of the first user equipment;
- the challenge code generating module is specifically configured to:
- the IMEI of the first user equipment, the current time, and the self-increasing value starting from a certain random number are combined into a character string, and the character string is used as the challenge code.
- the access password generating module is specifically configured to:
- the ciphertext is unidirectionally hashed by a one-way hash function, and the ciphertext after one-way hashing is processed by a reduction function to obtain the first access cipher.
- the method further includes:
- a storage module configured to save the first access password according to the identity information of the first user equipment, and start a timer
- the deleting module is configured to delete the first access password when the timer reaches a preset duration.
- the method further includes:
- the notification module is configured to send the EAP authentication result to the second user equipment.
- the access request sending module is specifically configured to:
- the access information further carries the contact information, where the access request sending module is specifically configured to:
- the information receiving module is further configured to:
- the authentication module is specifically configured to:
- the authentication module is specifically configured to:
- a third aspect of the present invention provides an access authentication system for a wireless local area network, including a first user equipment, an access point device, a server, and a second user equipment, where:
- the first user equipment is configured to send, by using the access point device, access information to the server, where the access information carries identity information of the first user equipment;
- the server is configured to send an access request to the second user equipment according to the access information
- the second user equipment is configured to verify the access request
- the server is further configured to: if the server receives the confirmation instruction sent by the second user equipment for the access request, generate a challenge code, and generate a first access password according to the challenge code;
- the server is further configured to send the challenge code to the first user equipment by using the access point device;
- the first user equipment is further configured to generate a second access password according to the challenge code
- the server is further configured to complete EAP authentication with the first user equipment by using the first access password.
- the server When receiving the access information sent by the first user equipment, the server sends an access request to the second user equipment according to the contact information of the second user equipment that is carried in the access information, and the server receives the second user equipment.
- the server generates a challenge code for the confirmation command sent by the access request, and Transmitting the challenge code to the first user equipment, and the server and the first user equipment complete the EAP authentication by using the password generated by the challenge code, because the server and the first user equipment complete the EAP authentication by using the password generated by the challenge code,
- the static password set by the user is no longer used, thus solving the problem of dictionary attacks.
- FIG. 1 is a flowchart of a method for access authentication of a wireless local area network according to an embodiment of the present invention
- FIG. 2 is a flowchart of another method for access authentication of a wireless local area network according to an embodiment of the present invention
- FIG. 3 is a flowchart of still another method for access authentication of a wireless local area network according to an embodiment of the present invention.
- FIG. 4 is a schematic structural diagram of a server according to an embodiment of the present invention.
- FIG. 5 is a schematic diagram of an authentication system according to an embodiment of the present invention.
- EAP Extensible Authentication Protocol
- EAP-MD5 EAP-MD5
- EAP-TLS EAP-TLS
- EAP-TTLS EAP-PEAP
- the present invention introduces the invention by taking the more common EAP-TTLS as an example.
- the present invention is also applicable to other EAP authentication methods using username-password authentication.
- FIG. 1 is a flowchart of a method for access authentication of a wireless local area network according to an embodiment of the present invention; the embodiment of the present invention is described from the perspective of a server.
- the method as shown in Figure 1 includes:
- Step S101 The server receives the access information sent by the first user equipment, where the access information carries the identity information of the first user equipment.
- the device may send an EAP-Start message to the access point device of the wireless local area network to request access to the wireless local area network; wherein the first user equipment may be a card.
- the device that is, the device itself is equipped with a wireless network card
- the device may be a cardless device (that is, the device itself does not have a wireless network card installed), and the present invention is not limited;
- the first user equipment when receiving the identity request message, sends the access information to the access point device, where the access information carries the identity information of the first user equipment and the contact of the second user equipment. And the access point device sends the access information to the server, where the server further receives the access information sent by the first user equipment.
- the identity information of the first user equipment may include at least an International Mobile Equipment Identity (IMEI) of the first user equipment, and the identity of the first user equipment.
- the information may also include a media access control address (full name: Media Access Control, MAC address), a device model, or a device name of the first user equipment.
- Step S102 The server sends an access request to the second user equipment according to the access information.
- the second user equipment is configured to perform access authentication on the first user equipment.
- the second user equipment and the first user equipment may be the same user equipment or different user equipments, and the present invention is not limited; if the second user equipment and the first user equipment are the same user equipment, Corresponding to the traffic fee generated by the first user equipment accessing the WLAN by the user equipment; if the second user equipment and the first user equipment are not the same user equipment, The traffic cost generated by a user equipment accessing the WLAN is borne by the second user equipment.
- the server acquires contact information corresponding to the identity information of the first user equipment according to the preset correspondence between the identity information and the contact information, and obtains the obtained contact information by using the contact information. Sending an access request to the second user equipment.
- the access information further carries contact information
- the server sends an access request to the second user equipment by using the contact information carried by the access information.
- the contact information of the second user equipment may be a mobile phone number of the second user equipment or a mailbox number associated with the second user equipment.
- the contact information of the second user equipment is the The mobile number of the second user device.
- the server may send an access request to the second user equipment in a short message manner, where the access request carries identity information of the second user equipment.
- the first user equipment may further authenticate the server.
- the server may further send an EAP-TTLS message to the first user equipment, where the first user equipment receives the EAP-TTLS message, the first A user equipment sends a client Hello message to the server to start a handshake process, where the client Hello message includes a TTLS version, a session ID, an RC, and an encryption mode supported by the first user equipment, and the server receives the client.
- the server determines whether the session ID in the client Hello message matches the locally pre-stored session ID. If the determination result is yes, the server sends an acknowledgement message to the first user equipment.
- the confirmation message carries a server Hello, a server certificate, a key switch, and a sever-Hello-done message; when the first user equipment receives the confirmation message, it determines whether the server Hello and the server certificate in the confirmation message are legal, if If the result of the determination is yes, the server passes the authentication; when the server is authenticated, the first user equipment may be randomly generated. a string, and encrypting the string by a server public key in the server certificate, and sending it to the server together with a change cipher specification (full name: Change Cipher Spec, CCS); the server receives the string In the case of CCS, the steps of step S102 are performed.
- the server when the client (ie, the first user device) requests the session object for the first time, the server creates a session for the client, and calculates a session ID by using a special algorithm to identify the session object, when the client When the browser of the terminal requests another resource next time (the session is valid), the browser will place the session ID in the request header, and after receiving the request, the server receives the request.
- the session ID of the request is obtained, and the server finds the session of the ID and returns it to the requester (Servlet) for use.
- Step S103 if the server receives the confirmation instruction sent by the second user equipment for the access request, the server generates a challenge code according to the identity information of the first user equipment, and generates according to the challenge code.
- the first access password if the server receives the confirmation instruction sent by the second user equipment for the access request, the server generates a challenge code according to the identity information of the first user equipment, and generates according to the challenge code.
- the first access password if the server receives the confirmation instruction sent by the second user equipment for the access request, the server generates a challenge code according to the identity information of the first user equipment, and generates according to the challenge code.
- the first access password if the server receives the confirmation instruction sent by the second user equipment for the access request, the server generates a challenge code according to the identity information of the first user equipment, and generates according to the challenge code.
- the second user equipment may prompt the user according to the access request, such as displaying a message that the first user equipment accesses the wireless local area network, etc., if the user allows the A user equipment accesses the wireless local area network, and the second user equipment may send an acknowledgement instruction for the access request to the server in a short message manner.
- the server generates a challenge code when receiving a confirmation command for the access request.
- the server may combine the IMEI of the first user equipment, the current time, and the self-increasing value starting from a certain random number into a character string, and use the character string as the challenge code.
- the server further generates a first access password according to the challenge code.
- the server encrypts the challenge code into a ciphertext by using a server public key in a server certificate, and then unidirectionally hashes the ciphertext through a one-way hash function, and performs a one-way hash by using a reduction function.
- the hashed ciphertext is processed to obtain the first access password.
- Step S104 The server sends the challenge code to the first user equipment, so that the first user equipment generates a second access password according to the challenge code.
- the first user equipment may encrypt the received challenge code into a ciphertext by using a server public key in the server certificate, and then unidirectionally hash the ciphertext through a one-way hash function and pass the ciphertext.
- the reduction function processes the ciphertext after the one-way hash to obtain the second access password.
- the server after the server generates the first access password according to the challenge code, the server sends the challenge code to the first user equipment.
- the server may first Sending a challenge code to the first user equipment, and then generating a first access password according to the challenge code, or the server simultaneously performing to generate a first access password according to the challenge code and sending the challenge code to the
- the first user equipment is not limited by the present invention.
- Step S105 The server completes EAP authentication with the first user equipment by using the first access password.
- the server determines whether the first access password and the second access password are the same; if the determination result is yes, the server determines that the EAP authentication is successful; if the judgment result is no The server determines that the EAP authentication has failed.
- the server may generate a random number, generate a first expected response value according to the first access password and the random number, and send the random number to the a first user equipment; the first user equipment generates a second expected response value according to the random number and the second access password, and sends the second expected response value to the server; the server determines Whether the first expected response value and the second expected response value are the same; if the determination result is yes, the server determines that the EAP authentication is successful; if the determination result is no, the server determines that the EAP authentication fails.
- the server when receiving the access information sent by the first user equipment, the server sends an access request to the second user equipment according to the access information, and if the server receives the The server generates a challenge code for the acknowledgment command sent by the user equipment, and sends the challenge code to the first user equipment, where the server and the first user equipment complete the EAP authentication by using the password generated by the challenge code. Because the server and the first user equipment complete the EAP authentication by using the password generated by the challenge code, the static password set by the user is no longer used, thus solving the problem of the dictionary attack.
- FIG. 2 is another access authentication method for a wireless local area network according to an embodiment of the present invention; the embodiment of the present invention is described from the perspective of a server;
- Step S201 The server receives the access information sent by the first user equipment, where the access information carries the identity information of the first user equipment and the contact information of the second user equipment.
- the EAP-Start message may be sent to the access point device of the wireless local area network to request access to the wireless local area network;
- the first user equipment when receiving the identity request message, sends the access information to the access point device, where the access information carries the identity information of the first user equipment and the contact of the second user equipment. And the access point device sends the access information to the server, where the server further receives the access information sent by the first user equipment.
- Step S202 the server detects, according to the identity information of the first user equipment, whether the first access password corresponding to the first user equipment exists locally; if the first connection corresponding to the first user equipment exists locally, Enter the password, proceed to step S203; otherwise, perform step S204;
- the identity information of the first user equipment may include at least the IMEI of the first user equipment, and the identity information of the first user equipment may further include the MAC address and the device model of the first user equipment. Or device name, etc.
- the server may save the generated first access password locally for a period of time. If the server receives the access information sent by the first user equipment, the server may directly pass the first The access password and the first user equipment complete the EAP authentication, which further improves the authentication efficiency, and further improves the WIFI access efficiency.
- Step S203 The server completes EAP authentication with the first user equipment by using the first access password corresponding to the first user equipment.
- the server may request the first user equipment to send a second access password, when the server receives the second access password sent by the first user equipment The server determines whether the first access password and the second access password are the same; if the determination result is yes, the server determines that the EAP authentication is successful; if the determination result is no, the server determines the EAP authentication. failure.
- the server may generate a random number, generate a first expected response value according to the first access password and the random number, and send the random number to the a first user equipment; the first user equipment generates a second expected response value according to the random number and the second access password, and sends the second expected response value to the server; the server determines Whether the first expected response value and the second expected response value are the same; if the determination result is yes, the server determines that the EAP authentication is successful; if the determination result is no, the server determines that the EAP authentication fails.
- Step S204 The server sends an access request to the second user equipment according to the contact information of the second user equipment.
- the server may send an access request to the second user equipment in a short message manner, where the access request carries identity information of the second user equipment.
- the first user equipment may further authenticate the server.
- the server may further send an EAP-TTLS message to the first user equipment, where the first user equipment receives the EAP-TTLS message,
- the first user equipment sends a client Hello message to the server to start a handshake process, where the client Hello message includes a TTLS version, a session ID, an RC, and an encryption mode supported by the first user equipment, and the server receives the
- the client Hello message includes a TTLS version, a session ID, an RC, and an encryption mode supported by the first user equipment
- the server receives the
- the confirmation message carries a server Hello, a server certificate, a key switch, and a sever-Hello-done message.
- the first user device receives the confirmation message, it determines whether the server Hello and the server certificate in the confirmation message are legal. If the judgment result is yes, the server passes the authentication; when the server authentication passes, the first user equipment may follow Generating a string and encrypting the string by the server public key in the server certificate, and sending it to the server together with a change cipher specification (full name: Change Cipher Spec, CCS); the server receives the character In the case of the string and the CCS, the steps of step S204 are performed.
- Step S205 If the server receives the confirmation instruction sent by the second user equipment for the access request, the server generates a challenge code according to the identity information of the first user equipment.
- the second user equipment may prompt the user according to the access request, such as displaying a message that the first user equipment accesses the wireless local area network, etc., if the user allows the A user equipment accesses the wireless local area network, and the second user equipment may send an acknowledgement instruction for the access request to the server in a short message manner.
- the server generates a challenge code when receiving a confirmation command for the access request.
- the server may combine the IMEI of the first user equipment, the current time, and the self-increasing value starting from a certain random number into a character string, and use the character string as the challenge code.
- Step S206 the server generates a first access password according to the challenge code.
- the server encrypts the challenge code into a ciphertext by using a server public key in a server certificate, and then unidirectionally hashes the ciphertext through a one-way hash function, and performs a one-way hash by using a reduction function.
- the hashed ciphertext is processed to obtain the first access password.
- Step S207 the server sends the challenge code to the first user equipment, so that the server The first user equipment generates a second access password according to the challenge code.
- the first user equipment may encrypt the received challenge code into a ciphertext by using a server public key in the server certificate, and then unidirectionally hash the ciphertext through a one-way hash function and pass the ciphertext.
- the reduction function processes the ciphertext after the one-way hash to obtain the second access password.
- Step S208 the server completes EAP authentication with the first user equipment by using the first access password.
- the server determines the first access password and the second connection If the result of the determination is yes, the server determines that the EAP authentication is successful; if the determination result is no, the server determines that the EAP authentication fails.
- the server may generate a random number, generate a first expected response value according to the first access password and the random number, and send the random number to the a first user equipment; the first user equipment generates a second expected response value according to the random number and the second access password, and sends the second expected response value to the server; the server determines Whether the first expected response value and the second expected response value are the same; if the determination result is yes, the server determines that the EAP authentication is successful; if the determination result is no, the server determines that the EAP authentication fails.
- Step S209 the server saves the first access password according to the identity information of the first user equipment, and starts timer counting.
- Step S210 when the timer reaches a preset duration, the server deletes the first access password.
- the server may save the first access password generated according to the first user equipment locally for a period of time, if the server receives the connection sent by the first user equipment again during the period of time.
- the information is obtained, and the server can complete the EAP authentication with the first user equipment by using the first access password, thereby further improving the authentication efficiency, and further improving the WIFI access efficiency.
- FIG. 3 is a method for access authentication of a wireless local area network according to an embodiment of the present invention; the embodiment of the present invention is described from the perspective of an authentication system;
- the first user equipment is abbreviated as “STA1”
- the second user equipment is simply referred to as “STA2”
- the access point device is simply referred to as “AP”
- the server is simply referred to as “Server”.
- the method as shown in FIG. 3 may include:
- step S301 the STA1 sends an EAP-Start message to the AP in the WLAN.
- an EAP-Start message can be sent to the AP in the wireless local area network.
- Step S302 the AP sends an identity request message to STA1.
- Step S303 the STA1 sends the access information to the AP, where the access information carries the identity information of the STA1 and the contact information of the STA2.
- Step S304 the AP sends the access information to the server.
- the AP can also perform format conversion on the received access information and convert it into a packet format that the server can recognize.
- Step S305 the server sends an EAP-TTLS message to the AP.
- Step S306 the AP sends an EAP-TTLS message to STA1.
- the AP can also perform format conversion on the received EAP-TTLS message and convert it into a message format that STA1 can recognize.
- Step S307 STA1 sends a client Hello message to the AP, where the client Hello message includes a TTLS version, a session ID, an RC, and an encryption mode supported by STA1.
- Step S308 the AP sends a client Hello message to the server.
- step S309 the server determines whether the session ID in the client Hello message matches the locally pre-stored session ID. If the determination result is yes, step S310 is performed.
- Step S310 the server sends an acknowledgement message to the AP, where the acknowledgement message carries a server Hello, a server certificate, a key switch, and a sever-Hello-done message.
- Step S311 the AP sends the acknowledgement message to STA1.
- step S312 STA1 determines whether the server Hello and the server certificate in the confirmation message are legal. If the determination result is yes, indicating that the server authentication is passed, step S313 is performed.
- Step S313 STA1 randomly generates a character string, and encrypts the character string by using a server public key in the server certificate, and sends the encrypted character string and CCS to the AP.
- Step S314 the AP sends the encrypted character string and the CCS to the server.
- Step S315 the server sends an access request to the STA2 according to the contact information of the STA2.
- Step S316 the server receives the confirmation instruction sent by the STA2 for the access request, and generates a challenge code according to the confirmation instruction.
- Step S317 the server generates a first access password according to the challenge code.
- Step S319 the AP sends the challenge code to STA1.
- Step S320 STA1 generates a second access password according to the challenge code.
- Step S321 STA1 sends the second access password to the AP.
- Step S322 the AP sends the second access password to the server.
- step S323 the server determines whether the second access password and the first access password are the same. If they are the same, the EAP authentication is successful.
- the server when receiving the access information sent by the STA1, the server sends an access request to the STA2 according to the contact information of the STA2 carried in the access information, and the server receives the access request from the STA2.
- the second access password is sent to the server, and the server completes the EAP authentication by using the first access password and the second access password.
- the static password set by the user is no longer used in the embodiment of the present invention. Therefore, the problem of the dictionary attack is solved.
- FIG. 4 is a schematic structural diagram of a server according to an embodiment of the present invention.
- the server 4 shown in FIG. 4 may at least include: an information receiving module 401, an access request sending module 402, an instruction receiving module 403, a challenge code generating module 404, an access password generating module 405, an information sending module 406, and an authentication module. 407, where:
- the information receiving module 401 is configured to receive the access information sent by the first user equipment, where the access information carries the identity information of the first user equipment.
- the access request sending module 402 is configured to send an access request to the second user equipment according to the access information.
- the access request sending module 402 is specifically configured to:
- the access information further carries the contact information, where the access request sending module 402 is specifically configured to:
- the instruction receiving module 403 is configured to receive an acknowledgement instruction sent by the second user equipment for the access request.
- a challenge code generating module 404 configured to generate a challenge code according to the identity information of the first user equipment
- the identity information of the first user equipment includes an IMEI of the first user equipment
- the challenge code generating module 404 can be specifically configured to:
- the IMEI of the first user equipment, the current time, and the self-increasing value starting from a certain random number are combined into a character string, and the character string is used as the challenge code.
- the access password generating module 405 is configured to generate a first access password according to the challenge code
- the access password generating module 405 is specifically configured to:
- the ciphertext is unidirectionally hashed by a one-way hash function, and the ciphertext after one-way hashing is processed by a reduction function to obtain the first access cipher.
- the information sending module 406 is configured to send the challenge code to the first user equipment, so that the first user equipment generates a second access password according to the challenge code.
- the authentication module 407 is configured to complete EAP authentication with the first user equipment by using the first access password.
- the information receiving module 401 is further configured to:
- the authentication module 407 is specifically configured to:
- the authentication module 407 is specifically configured to:
- the server 4 may further include a detecting module 408, configured to detect, according to the identity information of the first user equipment, whether a first access password corresponding to the first user equipment exists locally, and if local detection is not detected If the first access password corresponding to the first user equipment exists, the access request sending module 402 is triggered to send an access request to the second user equipment according to the access information;
- a detecting module 408 configured to detect, according to the identity information of the first user equipment, whether a first access password corresponding to the first user equipment exists locally, and if local detection is not detected If the first access password corresponding to the first user equipment exists, the access request sending module 402 is triggered to send an access request to the second user equipment according to the access information;
- the authentication module 407 is further configured to:
- the detecting module 408 detects that the first access password corresponding to the first user equipment exists locally, the first access password corresponding to the first user equipment and the first user equipment Complete EAP certification.
- server 4 may further include a storage module 409 and a deletion module 410, where:
- the storage module 409 is configured to save the first access password according to the identity information of the first user equipment, and start timer counting;
- the deleting module 410 is configured to delete the first access password stored by the storage module 409 when the timer reaches a preset duration.
- the server 4 may further include a notification module 411, configured to send the EAP authentication result to the second user equipment.
- FIG. 5 is a schematic diagram of an authentication system according to an embodiment of the present invention.
- the authentication system shown in FIG. 5 includes a first user equipment 51, an access point device 52, a server 53, and a second user.
- Household device 54 wherein:
- the first user equipment 51 is configured to send, by using the access point device 52, access information to the server 53, where the access information carries identity information of the first user equipment 51;
- the server 53 is configured to send an access request to the second user equipment 54 according to the access information, where the server 53 may be the server described in FIG. 4 above.
- the second user equipment 54 is configured to verify the access request.
- the server 53 is further configured to: if the server 53 receives the confirmation instruction sent by the second user equipment 54 for the access request, generate a challenge code according to the identity information of the first user equipment, and generate a challenge code according to the The challenge code generates a first access password;
- the server 53 is further configured to send the challenge code to the first user equipment 51 by using the access point device 52;
- the first user equipment 51 is further configured to generate a second access password according to the challenge code
- the server 53 is further configured to complete EAP authentication with the first user equipment 51 by using the first access password.
- the server 53 may further perform the following operations:
- the EAP authentication is completed with the first user equipment 51;
- the step of transmitting an access request to the second user equipment 54 according to the access information is performed.
- the server 53 After the server 53 generates the first access password according to the challenge code, the following operations may also be performed:
- the server 53 saves the first access password according to the identity information of the first user equipment 51, and starts timer counting;
- the timer When the timer counts up to a preset duration, the first access password is deleted.
- the server 53 may also perform the following operations:
- the server When receiving the access information sent by the first user equipment, the server sends an access request to the second user equipment according to the contact information of the second user equipment that is carried in the access information, and the server receives the second user equipment. And the server generates a challenge code, and sends the challenge code to the first user equipment, where the server and the first user equipment complete the EAP authentication by using the password generated by the challenge code, because The server and the first user equipment complete the EAP authentication by using the password generated by the challenge code, and no longer use the static password set by the user, thus solving the problem of the dictionary attack.
- the modules in the apparatus of the embodiment of the present invention may be combined, divided, and deleted according to actual needs.
- the module in the embodiment of the present invention may be implemented by a general-purpose integrated circuit, such as a CPU (Central Processing Unit) or an ASIC (Application Specific Integrated Circuit).
- a general-purpose integrated circuit such as a CPU (Central Processing Unit) or an ASIC (Application Specific Integrated Circuit).
- the storage medium may be a magnetic disk, an optical disk, a read-only memory (ROM), or a random access memory (RAM).
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Mobile Radio Communication Systems (AREA)
Abstract
本发明公开了一种无线局域网络的接入认证方法，包括：服务器接收第一用户设备发送的接入信息，所述接入信息携带所述第一用户设备的身份信息；所述服务器根据所述接入信息向第二用户设备发送接入请求；若所述服务器接收到所述第二用户设备针对所述接入请求发送的确认指令，所述服务器生成挑战码，并根据所述挑战码生成第一接入密码；所述服务器将所述挑战码发送给所述第一用户设备，以使所述第一用户设备根据所述挑战码生成第二接入密码；所述服务器通过所述第一接入密码与所述第一用户设备完成EAP认证。相应地，本发明还公开了一种服务器和认证系统。采用本发明，可以解决字典攻击的问题。
Description
本申请要求于2015年07月30日提交中国专利局，申请号为201510459273.7、发明名称为“一种无线局域网络的接入认证方法、服务器和认证系统”的中国专利申请的优先权，其全部内容通过引用结合在本申请中。
本发明涉及无线通信技术领域，尤其涉及一种无线局域网络的接入认证方法、服务器和认证系统。
WIFI技术是一种可以将个人电脑、手持设备等终端以无线方式相互连接的技术。随着网络技术的迅速发展，WIFI技术已深入到生活的方方面面。另一方面，便携式通信设备的迅速增加以及普及，越来越多地用户设备会进行WIFI接入。这都对无线通信的安全性提出了更高的要求。
目前，便携式设备(包括有卡设备和无卡设备)在进行WIFI接入时，通常采用用户名和密码作为输入信息的方式来进行身份认证。这种方式虽然使用简便，却存在一定的弊端：若用户名或密码过于复杂，则很难进行记忆；若用户名或密码相对简单，则很容易受到字典攻击。
所谓字典攻击，是指入侵者先把所有用户可能选取的密码序列列举出来，并生成一个文件，这个文件即“字典”，在破解密码或密钥时，根据自定义的字典，逐一尝试字典中的单词或者短语的攻击方式。当入侵者获得一些与密码相关的验证信息后，就可以结合字典进行一系列的运算才进行猜测，并利用得到的信息来验证猜测的正确性。
发明内容
本发明提供一种无线局域网络的接入认证方法、服务器和认证系统，在WIFI接入认证过程中，可以根据第一用户设备的接入信息生成挑战码，不再使用用户设定的静态密码，从而解决字典攻击的问题。
本发明第一方面提供了一种无线局域网络的接入认证方法，包括：
服务器接收第一用户设备发送的接入信息，所述接入信息携带所述第一用户设备的身份信息；
所述服务器根据所述接入信息向第二用户设备发送接入请求；
若所述服务器接收到所述第二用户设备针对所述接入请求发送的确认指令，所述服务器根据所述第一用户设备的身份信息生成挑战码，并根据所述挑战码生成第一接入密码；
所述服务器将所述挑战码发送给所述第一用户设备，以使所述第一用户设备根据所述挑战码生成第二接入密码；
所述服务器通过所述第一接入密码与所述第一用户设备完成EAP认证。
在第一方面的第一种可能的实现方式中，所述服务器接收第一用户设备发送的接入信息之后，所述方法还包括：
所述服务器根据所述第一用户设备的身份信息检测本地是否存在所述第一用户设备对应的第一接入密码；
若是，所述服务器通过检测到的所述第一用户设备对应的所述第一接入密码与所述第一用户设备完成EAP认证；
若否，所述服务器执行所述根据所述接入信息向第二用户设备发送接入请求的步骤。
在第一方面的第二种可能的实现方式中，所述第一用户设备的身份信息包括所述第一用户设备的国际移动设备身份码IMEI；
所述服务器根据所述第一用户设备的身份信息生成挑战码包括：
所述服务器将所述第一用户设备的IMEI、当前时刻以及从某一随机数开始的自增数值组合成字符串，并将所述字符串作为所述挑战码。
在第一方面的第三种可能的实现方式中，所述服务器根据所述挑战码生成第一接入密码包括：
所述服务器通过服务器证书中的服务器公钥将所述挑战码加密成密文；
所述服务器通过单向散列函数对所述密文进行单向散列，并通过削减函数对单向散列后的所述密文进行处理获得所述第一接入密码。
在第一方面的第四种可能的实现方式中，所述服务器根据所述挑战码生成
第一接入密码之后，所述方法还包括：
所述服务器根据所述第一用户设备的身份信息保存所述第一接入密码，并启动计时器计时；
当所述计时器计时达到预设时长，所述服务器则删除所述第一接入密码。
在第一方面的第五种可能的实现方式中，所述服务器通过所述第一接入密码与所述第一用户设备完成EAP认证之后，所述方法还包括：
所述服务器向所述第二用户设备发送所述EAP认证结果。
在第一方面的第六种可能的实现方式中，所述服务器根据所述接入信息向第二用户设备发送接入请求包括：
所述服务器根据预设的身份信息与联系信息的对应关系，获取所述第一用户设备的身份信息对应的联系信息，并通过获取得到的所述联系信息向所述第二用户设备发送接入请求。
在第一方面的第七种可能的实现方式中，所述接入信息还携带联系信息，所述服务器根据所述接入信息向第二用户设备发送接入请求包括：
所述服务器通过所述接入信息携带的所述联系信息向所述第二用户设备发送接入请求。
结合第一方面或第一方面的第一种至第七种中任一种可能的实现方式，在第八种可能的实现方式中，所述服务器将所述挑战码发送给所述第一用户设备之后，所述方法还包括：
所述服务器接收所述第一用户设备发送的所述第二接入密码；
所述服务器通过所述第一接入密码与所述第一用户设备完成EAP认证包括：
所述服务器判断所述第一接入密码和所述第二接入密码是否相同；
若判断结果为是，所述服务器判定EAP认证成功；
若判断结果为否，所述服务器判定EAP认证失败。
结合第一方面或第一方面的第一种至第七种中任一种可能的实现方式，在第九种可能的实现方式中，所述服务器通过所述第一接入密码与所述第一用户设备完成EAP认证包括：
所述服务器生成随机数，并根据所述第一接入密码和所述随机数生成第一
期望响应值，并将所述随机数发送给所述第一用户设备；
所述第一用户设备根据所述随机数和所述第二接入密码生成第二期望响应值，并将所述第二期望响应值发送给所述服务器；
所述服务器判断所述第一期望响应值和所述第二期望响应值是否相同；
若判断结果为是，所述服务器判定EAP认证成功；
若判断结果为否，所述服务器判定EAP认证失败。
本发明第二方面提供了一种服务器，包括：
信息接收模块，用于接收第一用户设备发送的接入信息，所述接入信息携带所述第一用户设备的身份信息；
接入请求发送模块，用于根据所述接入信息向第二用户设备发送接入请求；
指令接收模块，用于接收所述第二用户设备针对所述接入请求发送的确认指令；
挑战码生成模块，用于根据所述第一用户设备的身份信息生成挑战码；
接入密码生成模块，用于根据所述挑战码生成第一接入密码；
信息发送模块，用于将所述挑战码发送给所述第一用户设备，以使所述第一用户设备根据所述挑战码生成第二接入密码；
认证模块，用于通过所述第一接入密码与所述第一用户设备完成EAP认证。
在第二方面的第一种可能的实现方式中，还包括：
检测模块，用于根据所述第一用户设备的身份信息检测本地是否存在所述第一用户设备对应的第一接入密码，且若检测到本地不存在所述第一用户设备对应的所述第一接入密码，则触发所述接入请求发送模块根据所述接入信息向第二用户设备发送接入请求；
所述认证模块还用于：
若所述检测模块检测到本地存在所述第一用户设备对应的所述第一接入密码，则通过所述第一用户设备对应的所述第一接入密码与所述第一用户设备完成EAP认证。
在第二方面的第二种可能的实现方式中，所述第一用户设备的身份信息包
括所述第一用户设备的国际移动设备身份码IMEI；
所述挑战码生成模块具体用于：
将所述第一用户设备的IMEI、当前时刻以及从某一随机数开始的自增数值组合成字符串，并将所述字符串作为所述挑战码。
在第二方面的第三种可能的实现方式中，所述接入密码生成模块具体用于：
通过服务器证书中的服务器公钥将所述挑战码加密成密文；
通过单向散列函数对所述密文进行单向散列，并通过削减函数对单向散列后的所述密文进行处理获得所述第一接入密码。
在第二方面的第四种可能的实现方式中，还包括：
存储模块，用于根据所述第一用户设备的身份信息保存所述第一接入密码，并启动计时器计时；
删除模块，用于当所述计时器计时达到预设时长，则删除所述第一接入密码。
在第二方面的第五种可能的实现方式中，还包括：
通知模块，用于向所述第二用户设备发送所述EAP认证结果。
在第二方面的第六种可能的实现方式中，所述接入请求发送模块具体用于：
根据预设的身份信息与联系信息的对应关系，获取所述第一用户设备的身份信息对应的联系信息，并通过获取得到的所述联系信息向所述第二用户设备发送接入请求。
在第二方面的第七种可能的实现方式中，所述接入信息还携带联系信息，所述接入请求发送模块具体用于：
通过所述接入信息携带的所述联系信息向所述第二用户设备发送接入请求。
结合第二方面或第二方面的第一种至第七种中任一种可能的实现方式，在第八种可能的实现方式中，所述信息接收模块还用于：
接收所述第一用户设备发送的所述第二接入密码；
所述认证模块具体用于：
判断所述第一接入密码和所述第二接入密码是否相同；
若判断结果为是，判定EAP认证成功；
若判断结果为否，判定EAP认证失败。
结合第二方面或第二方面的第一种至第五种中任一种可能的实现方式，在第九种可能的实现方式中，所述认证模块具体用于：
生成随机数，并根据所述第一接入密码和所述随机数生成第一期望响应值，并将所述随机数发送给所述第一用户设备，以使所述第一用户设备根据所述随机数和所述第二接入密码生成第二期望响应值；
接收所述第一用户设备发送的所述第二期望响应值；
判断所述第一期望响应值和所述第二期望响应值是否相同；
若判断结果为是，判定EAP认证成功；
若判断结果为否，判定EAP认证失败。
本发明第三方面还提供了一种无线局域网络的接入认证系统，包括第一用户设备、接入点设备、服务器和第二用户设备，其中：
所述第一用户设备，用于通过所述接入点设备向所述服务器发送接入信息，所述接入信息携带所述第一用户设备的身份信息；
所述服务器，用于根据所述接入信息向第二用户设备发送接入请求；
所述第二用户设备，用于对所述接入请求进行验证；
所述服务器还用于，若所述服务器接收到所述第二用户设备针对所述接入请求发送的确认指令，生成挑战码，并根据所述挑战码生成第一接入密码；
所述服务器还用于，通过所述接入点设备将所述挑战码发送给所述第一用户设备；
所述第一用户设备还用于，根据所述挑战码生成第二接入密码；
所述服务器还用于，通过所述第一接入密码与所述第一用户设备完成EAP认证。
采用本发明实施例，具有以下有益效果：
服务器在接收到第一用户设备发送的接入信息时，根据接入信息携带的第二用户设备的联系信息向所述第二用户设备发送接入请求，服务器若接收到所述第二用户设备针对所述接入请求发送的确认指令，服务器则生成挑战码，并
将所述挑战码发送给第一用户设备，服务器和第一用户设备通过所述挑战码生成的密码完成EAP认证，由于，服务器和第一用户设备是通过挑战码生成的密码完成EAP认证的，不再使用用户设定的静态密码，因此，解决了字典攻击的问题。
为了更清楚地说明本发明实施例中的技术方案，下面将对实施例中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。
图1是本发明实施例提供的一种无线局域网络的接入认证方法的流程图；
图2是本发明实施例提供的另一种无线局域网络的接入认证方法的流程图；
图3是本发明实施例提供的又一种无线局域网络的接入认证方法的流程图。
图4是本发明实施例提供的一种服务器的结构示意图；
图5是本发明实施例提供的一种认证系统的示意图。
下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。
在此部分，对各个实施例均会涉及到的一些基本概念进行说明。
扩展认证协议(全称：Extensible Authentication Protocol，简称：EAP)是一个认证框架，提供一些公共功能，允许协商所希望的认证机制，这些机制被称为EAP方法，包括EAP-MD5，EAP-TLS，EAP-TTLS，EAP-PEAP等，本发明以较常用的EAP-TTLS为例介绍发明内容。本发明也适用于其他使用用户名-密码方式认证的EAP认证方法。
请参阅图1，图1是本发明实施例提供的一种无线局域网络的接入认证方法的流程图；本发明实施例是从服务器角度描述的。如图1所示所述方法包括：
步骤S101，服务器接收第一用户设备发送的接入信息，所述接入信息携带所述第一用户设备的身份信息。
第一用户设备需要接入某无线局域网络时，可以向该无线局域网络的接入点设备发送EAP-Start消息，请求接入该无线局域网络；其中，所述第一用户设备可以是有卡设备(即设备本身安装有无线网卡)，也可以是无卡设备(即设备本身没有安装无线网卡)，本发明不限定；
所述接入点设备接收到该EAP-Start消息时，向所述第一用户设备发送身份请求消息；
所述第一用户设备在接收到所述身份请求消息时，向所述接入点设备发送接入信息，所述接入信息携带所述第一用户设备的身份信息和第二用户设备的联系信息，所述接入点设备将所述接入信息发送给服务器，所述服务器进而接收到所述第一用户设备发送的接入信息。
所述第一用户设备的身份信息至少可以包括所述第一用户设备的国际移动设备身份码(全称：International Mobile Equipment Identity，简称：IMEI)，除此之外，所述第一用户设备的身份信息还可以包括所述第一用户设备的媒体访问控制地址(全称：Media Access Control，简称：MAC)、设备型号或设备名称等。
可理解的是，第一用户设备和服务器之间的交互是通过接入点设备中转的。
步骤S102，所述服务器根据所述接入信息向第二用户设备发送接入请求。
所述第二用户设备用于对所述第一用户设备进行接入认证。其中，所述第二用户设备和所述第一用户设备可以是同一用户设备或不同的用户设备，本发明不限定；若所述第二用户设备和所述第一用户设备是同一用户设备时，相当于所述第一用户设备接入所述无线局域网络产生的流量费用由自身用户设备承当；若所述第二用户设备和所述第一用户设备不是同一用户设备，相当于所述第一用户设备接入所述无线局域网里产生的流量费用由第二用户设备承当。
在一种可选的实施方式中，所述服务器根据预设的身份信息与联系信息的对应关系，获取所述第一用户设备的身份信息对应的联系信息，并通过获取得到的所述联系信息向所述第二用户设备发送接入请求。
在另一种可选的实施方式中，所述接入信息还携带联系信息，所述服务器通过所述接入信息携带的所述联系信息向所述第二用户设备发送接入请求。
其中，第二用户设备的联系信息可以为所述第二用户设备的手机号码或与所述的第二用户设备关联的邮箱号码；优选的，所述第二用户设备的联系信息为所述第二用户设备的手机号码。
优选的，所述服务器可以以短消息的方式向所述第二用户设备发送接入请求，所述接入请求携带所述第二用户设备的身份信息。
进一步的，所述第一用户设备还可以对所述服务器进行认证。
具体实现中，所述服务器当接收到所述接入信息时，还可以向所述第一用户设备发送EAP-TTLS消息，第一用户设备当接收到所述EAP-TTLS消息时，所述第一用户设备向所述服务器发送客户端Hello消息以启动握手过程，其中，所述客户端Hello消息包括TTLS版本、session ID、RC和第一用户设备支持的加密方式，服务器当接收到所述客户端Hello消息时，先判断所述客户端Hello消息中的session ID与本地预先存储的session ID是否匹配，若判断结果为是，所述服务器则向所述第一用户设备发送确认消息，所述确认消息携带服务器Hello、服务器证书、密钥切换和sever-Hello-done消息；所述第一用户设备接收到所述确认消息时，判断所述确认消息中的服务器Hello和服务器证书是否合法，若判断结果为是，所述服务器则认证通过；当所述服务器认证通过，所述第一用户设备可以随机生成字符串，并通过所述服务器证书中的服务器公钥对所述字符串加密，并和更改密码规范(全称：Change Cipher Spec，简称：CCS)一起发送给服务器；服务器在接收到所述字符串和CCS时，执行步骤S102的步骤。
其中，当客户端(即第一用户设备)第一次请求session对象时，服务器会为该客户端创建一个session，并通过特殊算法算出一个session的ID，用来标识该session对象，当该客户端的浏览器下次(session有效时)请求别的资源时，所述浏览器会将该session ID放置到请求头中，服务器接收到该请求后
就得到该请求的session ID，服务器找到该ID的session返还给请求者(Servlet)使用。
步骤S103，若所述服务器接收到所述第二用户设备针对所述接入请求发送的确认指令，所述服务器根据所述第一用户设备的身份信息生成挑战码，并根据所述挑战码生成第一接入密码。
所述第二用户设备当接收到所述接入请求时，可以根据所述接入请求提示用户，如显示所述第一用户设备接入无线局域网的消息等，若所述用户允许所述第一用户设备接入所述无线局域网，所述第二用户设备则可以以短消息的方式向所述服务器发送针对所述接入请求的确认指令。
服务器当接收到针对所述接入请求的确认指令时，则生成挑战码。具体实现中，所述服务器可以将所述第一用户设备的IMEI、当前时刻以及从某一随机数开始的自增数值组合成字符串，并将所述字符串作为所述挑战码。
所述服务器再根据所述挑战码生成第一接入密码。具体实现中，所述服务器通过服务器证书中的服务器公钥将所述挑战码加密成密文，再通过单向散列函数对所述密文进行单向散列，并通过削减函数对单向散列后的所述密文进行处理获得所述第一接入密码。
步骤S104，所述服务器将所述挑战码发送给所述第一用户设备，以使所述第一用户设备根据所述挑战码生成第二接入密码。
同样，所述第一用户设备可以通过服务器证书中的服务器公钥将接收到的所述挑战码加密成密文，再通过单向散列函数对所述密文进行单向散列，并通过削减函数对单向散列后的所述密文进行处理获得所述第二接入密码。
在本发明实施例中，服务器根据所述挑战码生成第一接入密码之后，再将所述挑战码发送给所述第一用户设备，在其他可选实施例中，服务器可以先将所述挑战码发送给所述第一用户设备，再根据所述挑战码生成第一接入密码，或者，服务器同时执行根据所述挑战码生成第一接入密码和将所述挑战码发送给所述第一用户设备，本发明不限定。
步骤S105，所述服务器通过所述第一接入密码与所述第一用户设备完成EAP认证。
在一种可选的实施方式中，若所述服务器接收到所述第一用户设备发送的
所述第二接入密码，所述服务器则判断所述第一接入密码和所述第二接入密码是否相同；若判断结果为是，所述服务器判定EAP认证成功；若判断结果为否，所述服务器判定EAP认证失败。
在另一种可选的实施方式中，所述服务器可以生成随机数，并根据所述第一接入密码和所述随机数生成第一期望响应值，并将所述随机数发送给所述第一用户设备；所述第一用户设备根据所述随机数和所述第二接入密码生成第二期望响应值，并将所述第二期望响应值发送给所述服务器；所述服务器判断所述第一期望响应值和所述第二期望响应值是否相同；若判断结果为是，所述服务器判定EAP认证成功；若判断结果为否，所述服务器判定EAP认证失败。
在图1所示的实施例中，服务器在接收到第一用户设备发送的接入信息时，根据所述接入信息向所述第二用户设备发送接入请求，服务器若接收到所述第二用户设备针对所述接入请求发送的确认指令，服务器则生成挑战码，并将所述挑战码发送给第一用户设备，服务器和第一用户设备通过所述挑战码生成的密码完成EAP认证，由于，服务器和第一用户设备是通过挑战码生成的密码完成EAP认证的，不再使用用户设定的静态密码，因此，解决了字典攻击的问题。
请参阅图2，图2是本发明实施例提供的另一种无线局域网络的接入认证方法；本发明实施例是从服务器角度描述的；如图2所示所述方法可以包括：
步骤S201，服务器接收第一用户设备发送的接入信息，所述接入信息携带所述第一用户设备的身份信息和第二用户设备的联系信息。
第一用户设备需要接入某无线局域网络时，可以向该无线局域网络的接入点设备发送EAP-Start消息，请求接入该无线局域网络；
所述接入点设备接收到该EAP-Start消息时，向所述第一用户设备发送身份请求消息；
所述第一用户设备在接收到所述身份请求消息时，向所述接入点设备发送接入信息，所述接入信息携带所述第一用户设备的身份信息和第二用户设备的联系信息，所述接入点设备将所述接入信息发送给服务器，所述服务器进而接收到所述第一用户设备发送的接入信息。
可理解的是，第一用户设备和服务器之间的交互是通过接入点设备中转的。
步骤S202，所述服务器根据所述第一用户设备的身份信息检测本地是否存在所述第一用户设备对应的第一接入密码；若检测到本地存在所述第一用户设备对应的第一接入密码，则执行步骤S203；否则，执行步骤S204；
所述第一用户设备的身份信息至少可以包括所述第一用户设备的IMEI，除此之外，所述第一用户设备的身份信息还可以包括所述第一用户设备的MAC地址、设备型号或设备名称等。
服务器可以将生成的所述第一接入密码在本地保存一段时间，若在这一段时间内服务器又接收到所述第一用户设备发送的接入信息，所述服务器可以直接通过所述第一接入密码与所述第一用户设备完成EAP认证，进一步提高了认证效率，进而，提高了WIFI接入效率。
步骤S203，所述服务器通过检测到的所述第一用户设备对应的所述第一接入密码与所述第一用户设备完成EAP认证。
在一种可选的实施方式中，所述服务器可以请求所述第一用户设备发送第二接入密码，当所述服务器接收到所述第一用户设备发送的所述第二接入密码时，所述服务器则判断所述第一接入密码和所述第二接入密码是否相同；若判断结果为是，所述服务器判定EAP认证成功；若判断结果为否，所述服务器判定EAP认证失败。
在另一种可选的实施方式中，所述服务器可以生成随机数，并根据所述第一接入密码和所述随机数生成第一期望响应值，并将所述随机数发送给所述第一用户设备；所述第一用户设备根据所述随机数和所述第二接入密码生成第二期望响应值，并将所述第二期望响应值发送给所述服务器；所述服务器判断所述第一期望响应值和所述第二期望响应值是否相同；若判断结果为是，所述服务器判定EAP认证成功；若判断结果为否，所述服务器判定EAP认证失败。
步骤S204，所述服务器根据所述第二用户设备的联系信息向所述第二用户设备发送接入请求。
优选的，所述服务器可以以短消息的方式向所述第二用户设备发送接入请求，所述接入请求携带所述第二用户设备的身份信息。
进一步的，所述第一用户设备还可以对所述服务器进行认证。
具体实现中，所述服务器当接收到所述接入信息时，还可以向所述第一用户设备发送一个EAP-TTLS消息，第一用户设备当接收到所述EAP-TTLS消息时，所述第一用户设备向所述服务器发送客户端Hello消息以启动握手过程，其中，所述客户端Hello消息包括TTLS版本、session ID、RC和第一用户设备支持的加密方式，服务器当接收到所述客户端Hello消息时，先判断所述客户端Hello消息中的session ID与本地预先存储的session ID是否匹配，若判断结果为是，所述服务器则向所述第一用户设备发送确认消息，所述确认消息携带服务器Hello、服务器证书、密钥切换和sever-Hello-done消息；所述第一用户设备接收到所述确认消息时，判断所述确认消息中的服务器Hello和服务器证书是否合法，若判断结果为是，所述服务器则认证通过；当所述服务器认证通过，所述第一用户设备可以随机生成字符串，并通过所述服务器证书中的服务器公钥对所述字符串加密，并和更改密码规范(全称：Change Cipher Spec，简称：CCS)一起发送给服务器；服务器在接收到所述字符串和CCS时，执行步骤S204的步骤。
步骤S205，若所述服务器接收到所述第二用户设备针对所述接入请求发送的确认指令，所述服务器根据所述第一用户设备的身份信息生成挑战码。
所述第二用户设备当接收到所述接入请求时，可以根据所述接入请求提示用户，如显示所述第一用户设备接入无线局域网的消息等，若所述用户允许所述第一用户设备接入所述无线局域网，所述第二用户设备则可以以短消息的方式向所述服务器发送针对所述接入请求的确认指令。
服务器当接收到针对所述接入请求的确认指令时，则生成挑战码。具体实现中，所述服务器可以将所述第一用户设备的IMEI、当前时刻以及从某一随机数开始的自增数值组合成字符串，并将所述字符串作为所述挑战码。
步骤S206，所述服务器根据所述挑战码生成第一接入密码。
具体实现中，所述服务器通过服务器证书中的服务器公钥将所述挑战码加密成密文，再通过单向散列函数对所述密文进行单向散列，并通过削减函数对单向散列后的所述密文进行处理获得所述第一接入密码。
步骤S207，所述服务器将所述挑战码发送给所述第一用户设备，以使所
述第一用户设备根据所述挑战码生成第二接入密码。
同样，所述第一用户设备可以通过服务器证书中的服务器公钥将接收到的所述挑战码加密成密文，再通过单向散列函数对所述密文进行单向散列，并通过削减函数对单向散列后的所述密文进行处理获得所述第二接入密码。
步骤S208，所述服务器通过所述第一接入密码与所述第一用户设备完成EAP认证。
在一种可选的实施方式中，若所述服务器接收到所述第一用户设备发送的所述第二接入密码，所述服务器则判断所述第一接入密码和所述第二接入密码是否相同；若判断结果为是，所述服务器判定EAP认证成功；若判断结果为否，所述服务器判定EAP认证失败。
在另一种可选的实施方式中，所述服务器可以生成随机数，并根据所述第一接入密码和所述随机数生成第一期望响应值，并将所述随机数发送给所述第一用户设备；所述第一用户设备根据所述随机数和所述第二接入密码生成第二期望响应值，并将所述第二期望响应值发送给所述服务器；所述服务器判断所述第一期望响应值和所述第二期望响应值是否相同；若判断结果为是，所述服务器判定EAP认证成功；若判断结果为否，所述服务器判定EAP认证失败。
步骤S209，所述服务器根据所述第一用户设备的身份信息保存所述第一接入密码，并启动计时器计时。
需要说明的是，步骤S206、S207和S209之间没有严格的先后顺序，也可以同时执行。
步骤S210，当所述计时器计时达到预设时长，所述服务器则删除所述第一接入密码。
在图2所示的实施例中，服务器可以将根据第一用户设备生成的第一接入密码在本地保存一段时间，若在这一段时间内服务器又接收到所述第一用户设备发送的接入信息，所述服务器可以直接通过所述第一接入密码与所述第一用户设备完成EAP认证，进一步提高了认证效率，进而，提高了WIFI接入效率。
请参阅图3，图3是本发明实施例提供的又一种无线局域网络的接入认证方法；本发明实施例是从认证系统的角度描述的；为了便于描述，在本发明实
施例中，第一用户设备简称为“STA1”，第二用户设备简称为“STA2”，接入点设备简称为“AP”，服务器简称为“Server”。如图3所示所述方法可以包括：
步骤S301，STA1向无线局域网络中的AP发送EAP-Start消息。
当STA1需要接入某无线局域网络时，可以向该无线局域网络中的AP发送EAP-Start消息。
步骤S302，AP向STA1发送身份请求消息。
步骤S303，STA1向AP发送接入信息，所述接入信息携带STA1的身份信息和STA2的联系信息。
步骤S304，AP将所述接入信息发送给Server。
当然，AP还可以对接收到的接入信息进行格式转换，转换成Server能够识别的报文格式。
步骤S305，Server向AP发送一个EAP-TTLS消息。
步骤S306，AP将EAP-TTLS消息发送给STA1。
当然，AP还可以对接收到的EAP-TTLS消息进行格式转换，转换成STA1能够识别的报文格式。
步骤S307，STA1向AP发送客户端Hello消息，所述客户端Hello消息包括TTLS版本、session ID、RC和STA1支持的加密方式。
步骤S308，AP将客户端Hello消息发送给Server。
步骤S309，Server判断客户端Hello消息中的session ID与本地预先存储的session ID是否匹配；若判断结果为是，则执行步骤S310。
步骤S310，Server向AP发送确认消息，所述确认消息携带服务器Hello、服务器证书、密钥切换和sever-Hello-done消息。
步骤S311，AP将所述确认消息发送给STA1。
步骤S312，STA1判断所述确认消息中的服务器Hello和服务器证书是否合法，若判断结果为是，说明所述服务器认证通过，则执行步骤S313。
步骤S313，STA1随机生成字符串，并通过所述服务器证书中的服务器公钥对所述字符串加密，并将加密后的所述字符串和CCS发送给AP。
步骤S314，AP将加密后的所述字符串和CCS发送给Server。
步骤S315，Server根据所述STA2的联系信息向STA2发送接入请求。
步骤S316，Server接收STA2针对所述接入请求发送的确认指令，并根据所述确认指令生成挑战码。
步骤S317，Server根据所述挑战码生成第一接入密码。
步骤S318，Server将所述挑战码发送给AP。
步骤S319，AP将所述挑战码发送给STA1。
步骤S320，STA1根据所述挑战码生成第二接入密码。
步骤S321，STA1将所述第二接入密码发送给AP。
步骤S322，AP将所述第二接入密码发送给Server。
步骤S323，Server判断第二接入密码和第一接入密码是否相同，若相同，说明EAP认证成功。
在图3所示的实施例中，Server在接收到STA1发送的接入信息时，根据接入信息携带的STA2的联系信息向STA2发送接入请求，Server若接收到STA2针对所述接入请求发送的确认指令，则生成挑战码，并根据所述挑战码生成第一接入密码，并将所述挑战码发送给STA1，STA1根据所述挑战码生成第二接入密码，并将所述第二接入密码发送给Server，Server通过第一接入密码和第二接入密码完成EAP认证，本发明实施例不再使用用户设定的静态密码，因此，解决了字典攻击的问题。
请参阅图4，图4是本发明实施例提供的一种服务器的结构示意图。如图4所示所述服务器4至少可以包括：信息接收模块401、接入请求发送模块402、指令接收模块403、挑战码生成模块404、接入密码生成模块405、信息发送模块406以及认证模块407，其中：
信息接收模块401，用于接收第一用户设备发送的接入信息，所述接入信息携带所述第一用户设备的身份信息。
接入请求发送模块402，用于根据所述接入信息向第二用户设备发送接入请求。
在一种可选的实施方式中，所述接入请求发送模块402具体用于：
根据预设的身份信息与联系信息的对应关系，获取所述第一用户设备的身份信息对应的联系信息，并通过获取得到的所述联系信息向所述第二用户设备
发送接入请求。
在另一种可选的实施方式中，所述接入信息还携带联系信息，所述接入请求发送模块402具体用于：
通过所述接入信息携带的所述联系信息向所述第二用户设备发送接入请求。
指令接收模块403，用于接收所述第二用户设备针对所述接入请求发送的确认指令。
挑战码生成模块404，用于根据所述第一用户设备的身份信息生成挑战码；
所述第一用户设备的身份信息包括所述第一用户设备的IMEI；
所述挑战码生成模块404具体可以用于：
将所述第一用户设备的IMEI、当前时刻以及从某一随机数开始的自增数值组合成字符串，并将所述字符串作为所述挑战码。
接入密码生成模块405，用于根据所述挑战码生成第一接入密码；
可选的，所述接入密码生成模块405具体可以用于：
通过服务器证书中的服务器公钥将所述挑战码加密成密文；
通过单向散列函数对所述密文进行单向散列，并通过削减函数对单向散列后的所述密文进行处理获得所述第一接入密码。
信息发送模块406，用于将所述挑战码发送给所述第一用户设备，以使所述第一用户设备根据所述挑战码生成第二接入密码。
认证模块407，用于通过所述第一接入密码与所述第一用户设备完成EAP认证；
在一种可选的实施方式中，所述信息接收模块还401还用于：
接收所述第一用户设备发送的所述第二接入密码；
所述认证模块407具体还用于：
判断所述第一接入密码和所述第二接入密码是否相同；
若判断结果为是，判定EAP认证成功；
若判断结果为否，判定EAP认证失败。
在另一种可选的实施方式中，所述认证模块407具体可以用于：
生成随机数，并根据所述第一接入密码和所述随机数生成第一期望响应值，并将所述随机数发送给所述第一用户设备，以使所述第一用户设备根据所述随机数和所述第二接入密码生成第二期望响应值；
接收所述第一用户设备发送的所述第二期望响应值；
判断所述第一期望响应值和所述第二期望响应值是否相同；
若判断结果为是，判定EAP认证成功；
若判断结果为否，判定EAP认证失败。
进一步的，所述服务器4还可以包括检测模块408，用于根据所述第一用户设备的身份信息检测本地是否存在所述第一用户设备对应的第一接入密码，且若检测到本地不存在所述第一用户设备对应的所述第一接入密码，则触发所述接入请求发送模块402根据所述接入信息向第二用户设备发送接入请求；
相应地，所述认证模块407还用于：
若所述检测模块408检测到本地存在所述第一用户设备对应的所述第一接入密码，则通过所述第一用户设备对应的所述第一接入密码与所述第一用户设备完成EAP认证。
再进一步的，所述服务器4还可以包括存储模块409和删除模块410，其中：
存储模块409，用于根据所述第一用户设备的身份信息保存所述第一接入密码，并启动计时器计时；
删除模块410，用于当所述计时器计时达到预设时长，则删除所述存储模块409存储的所述第一接入密码。
再进一步的，所述服务器4还可以包括通知模块411，用于向所述第二用户设备发送所述EAP认证结果。
可理解的是，本实施例的服务器4的各功能模块的功能可根据上述方法实施例中的方法具体实现，可以具体对应参考图1或图3方法实施例的相关描述，此处不再赘述。
请参阅图5，图5是本发明实施例提供的一种认证系统的示意图。如图5所示所述认证系统包括第一用户设备51、接入点设备52、服务器53和第二用
户设备54，其中：
所述第一用户设备51，用于通过所述接入点设备52向所述服务器53发送接入信息，所述接入信息携带所述第一用户设备51的身份信息；
所述服务器53，用于根据所述接入信息向所述第二用户设备54发送接入请求；其中，所述服务器53可以为前文图4所描述的服务器。
所述第二用户设备54，用于对所述接入请求进行验证；
所述服务器53，还用于若所述服务器53接收到所述第二用户设备54针对所述接入请求发送的确认指令，根据所述第一用户设备的身份信息生成挑战码，并根据所述挑战码生成第一接入密码；
所述服务器53，还用于通过所述接入点设备52将所述挑战码发送给所述第一用户设备51；
所述第一用户设备51，还用于根据所述挑战码生成第二接入密码；
所述服务器53，还用于通过所述第一接入密码与所述第一用户设备51完成EAP认证。
进一步的，所述服务器53在接收到接入信息之后，还可以执行以下操作：
根据所述第一用户设备51的身份信息检测本地是否存在所述第一用户设备51对应的第一接入密码；
若是，通过检测到的所述第一用户设备51对应的所述第一接入密码与所述第一用户设备51完成EAP认证；
若否，执行所述根据所述接入信息向所述第二用户设备54发送接入请求的步骤。
再进一步的，所述服务器53根据所述挑战码生成第一接入密码之后，还可以执行以下操作：
所述服务器53根据所述第一用户设备51的身份信息保存所述第一接入密码，并启动计时器计时；
当所述计时器计时达到预设时长，则删除所述第一接入密码。
再进一步的，所述服务器53通过所述第一接入密码与所述第一用户设备51完成EAP认证之后，还可以执行以下操作：
向所述第二用户设备54发送所述EAP认证结果。
服务器在接收到第一用户设备发送的接入信息时，根据接入信息携带的第二用户设备的联系信息向所述第二用户设备发送接入请求，服务器若接收到所述第二用户设备针对所述接入请求发送的确认指令，服务器则生成挑战码，并将所述挑战码发送给第一用户设备，服务器和第一用户设备通过所述挑战码生成的密码完成EAP认证，由于，服务器和第一用户设备是通过挑战码生成的密码完成EAP认证的，不再使用用户设定的静态密码，因此，解决了字典攻击的问题。
需要说明的是，在上述实施例中，对各个实施例的描述都各有侧重，某个实施例中没有详细描述的部分，可以参见其他实施例的相关描述。其次，本领域技术人员也应该知悉，说明书中所描述的实施例均属于优选实施例，所涉及的动作和模块并不一定是本发明实施例所必须的。
本发明实施例方法中的步骤可以根据实际需要进行顺序调整、合并和删减。
本发明实施例装置中的模块可以根据实际需要进行合并、划分和删减。
本发明实施例中所述模块，可以通过通用集成电路，例如CPU(Central Processing Unit，中央处理器)，或通过ASIC(Application Specific Integrated Circuit，专用集成电路)来实现。
本领域普通技术人员可以理解实现上述实施例方法中的全部或部分流程，是可以通过计算机程序来指令相关的硬件来完成，所述的程序可存储于一计算机可读取存储介质中，该程序在执行时，可包括如上述各方法的实施例的流程。其中，所述的存储介质可为磁碟、光盘、只读存储记忆体(Read-Only Memory，ROM)或随机存储记忆体(Random Access Memory，RAM)等。
以上所揭露的仅为本发明较佳实施例而已，当然不能以此来限定本发明之权利范围，因此依本发明权利要求所作的等同变化，仍属本发明所涵盖的范围。
Claims (21)
- 一种无线局域网络的接入认证方法，其特征在于，包括：服务器接收第一用户设备发送的接入信息，所述接入信息携带所述第一用户设备的身份信息；所述服务器根据所述接入信息向第二用户设备发送接入请求；若所述服务器接收到所述第二用户设备针对所述接入请求发送的确认指令，所述服务器根据所述第一用户设备的身份信息生成挑战码，并根据所述挑战码生成第一接入密码；所述服务器将所述挑战码发送给所述第一用户设备，以使所述第一用户设备根据所述挑战码生成第二接入密码；所述服务器通过所述第一接入密码与所述第一用户设备完成EAP认证。
- 如权利要求1所述的方法，其特征在于，所述服务器接收第一用户设备发送的接入信息之后，所述方法还包括：所述服务器根据所述第一用户设备的身份信息检测本地是否存在所述第一用户设备对应的第一接入密码；若是，所述服务器通过检测到的所述第一用户设备对应的所述第一接入密码与所述第一用户设备完成EAP认证；若否，所述服务器执行所述根据所述接入信息向第二用户设备发送接入请求的步骤。
- 如权利要求1所述的方法，其特征在于，所述第一用户设备的身份信息包括所述第一用户设备的国际移动设备身份码IMEI；所述服务器根据所述第一用户设备的身份信息生成挑战码包括：所述服务器将所述第一用户设备的IMEI、当前时刻以及从某一随机数开始的自增数值组合成字符串，并将所述字符串作为所述挑战码。
- 如权利要求1所述的方法，其特征在于，所述服务器根据所述挑战码 生成第一接入密码包括：所述服务器通过服务器证书中的服务器公钥将所述挑战码加密成密文；所述服务器通过单向散列函数对所述密文进行单向散列，并通过削减函数对单向散列后的所述密文进行处理获得所述第一接入密码。
- 如权利要求1所述的方法，其特征在于，所述服务器根据所述挑战码生成第一接入密码之后，所述方法还包括：所述服务器根据所述第一用户设备的身份信息保存所述第一接入密码，并启动计时器计时；当所述计时器计时达到预设时长，所述服务器则删除所述第一接入密码。
- 如权利要求1所述的方法，其特征在于，所述服务器通过所述第一接入密码与所述第一用户设备完成EAP认证之后，所述方法还包括：所述服务器向所述第二用户设备发送所述EAP认证结果。
- 如权利要求1所述的方法，其特征在于，所述服务器根据所述接入信息向第二用户设备发送接入请求包括：所述服务器根据预设的身份信息与联系信息的对应关系，获取所述第一用户设备的身份信息对应的联系信息，并通过获取得到的所述联系信息向所述第二用户设备发送接入请求。
- 如权利要求1所述的方法，其特征在于，所述接入信息还携带联系信息，所述服务器根据所述接入信息向第二用户设备发送接入请求包括：所述服务器通过所述接入信息携带的所述联系信息向所述第二用户设备发送接入请求。
- 如权利要求1-8中任一项所述的方法，其特征在于，所述服务器将所述挑战码发送给所述第一用户设备之后，所述方法还包括：所述服务器接收所述第一用户设备发送的所述第二接入密码；所述服务器通过所述第一接入密码与所述第一用户设备完成EAP认证包括：所述服务器判断所述第一接入密码和所述第二接入密码是否相同；若判断结果为是，所述服务器判定EAP认证成功；若判断结果为否，所述服务器判定EAP认证失败。
- 如权利要求1-8中任一项所述的方法，其特征在于，所述服务器通过所述第一接入密码与所述第一用户设备完成EAP认证包括：所述服务器生成随机数，并根据所述第一接入密码和所述随机数生成第一期望响应值，并将所述随机数发送给所述第一用户设备；所述第一用户设备根据所述随机数和所述第二接入密码生成第二期望响应值，并将所述第二期望响应值发送给所述服务器；所述服务器判断所述第一期望响应值和所述第二期望响应值是否相同；若判断结果为是，所述服务器判定EAP认证成功；若判断结果为否，所述服务器判定EAP认证失败。
- 一种服务器，其特征在于，包括：信息接收模块，用于接收第一用户设备发送的接入信息，所述接入信息携带所述第一用户设备的身份信息；接入请求发送模块，用于根据所述接入信息向第二用户设备发送接入请求；指令接收模块，用于接收所述第二用户设备针对所述接入请求发送的确认指令；挑战码生成模块，用于根据所述第一用户设备的身份信息生成挑战码；接入密码生成模块，用于根据所述挑战码生成第一接入密码；信息发送模块，用于将所述挑战码发送给所述第一用户设备，以使所述第一用户设备根据所述挑战码生成第二接入密码；认证模块，用于通过所述第一接入密码与所述第一用户设备完成EAP认证。
- 如权利要求11所述的服务器，其特征在于，还包括：检测模块，用于根据所述第一用户设备的身份信息检测本地是否存在所述第一用户设备对应的第一接入密码，且若检测到本地不存在所述第一用户设备对应的所述第一接入密码，则触发所述接入请求发送模块根据所述接入信息向第二用户设备发送接入请求；所述认证模块还用于：若所述检测模块检测到本地存在所述第一用户设备对应的所述第一接入密码，则通过所述第一用户设备对应的所述第一接入密码与所述第一用户设备完成EAP认证。
- 如权利要求11所述的服务器，其特征在于，所述第一用户设备的身份信息包括所述第一用户设备的国际移动设备身份码IMEI；所述挑战码生成模块具体用于：将所述第一用户设备的IMEI、当前时刻以及从某一随机数开始的自增数值组合成字符串，并将所述字符串作为所述挑战码。
- 如权利要求11所述的服务器，其特征在于，所述接入密码生成模块具体用于：通过服务器证书中的服务器公钥将所述挑战码加密成密文；通过单向散列函数对所述密文进行单向散列，并通过削减函数对单向散列后的所述密文进行处理获得所述第一接入密码。
- 如权利要求11所述的服务器，其特征在于，还包括：存储模块，用于根据所述第一用户设备的身份信息保存所述第一接入密码，并启动计时器计时；删除模块，用于当所述计时器计时达到预设时长，则删除所述第一接入密码。
- 如权利要求11所述的服务器，其特征在于，还包括：通知模块，用于向所述第二用户设备发送所述EAP认证结果。
- 如权利要求11所述的服务器，其特征在于，所述接入请求发送模块具体用于：根据预设的身份信息与联系信息的对应关系，获取所述第一用户设备的身份信息对应的联系信息，并通过获取得到的所述联系信息向所述第二用户设备发送接入请求。
- 如权利要求11所述的服务器，其特征在于，所述接入信息还携带联系信息，所述接入请求发送模块具体用于：通过所述接入信息携带的所述联系信息向所述第二用户设备发送接入请求。
- 如权利要求11-18中任一项所述的服务器，其特征在于，所述信息接收模块还用于：接收所述第一用户设备发送的所述第二接入密码；所述认证模块具体用于：判断所述第一接入密码和所述第二接入密码是否相同；若判断结果为是，判定EAP认证成功；若判断结果为否，判定EAP认证失败。
- 如权利要求11-18中任一项所述的服务器，其特征在于，所述认证模块具体用于：生成随机数，并根据所述第一接入密码和所述随机数生成第一期望响应值，并将所述随机数发送给所述第一用户设备，以使所述第一用户设备根据所述随机数和所述第二接入密码生成第二期望响应值；接收所述第一用户设备发送的所述第二期望响应值；判断所述第一期望响应值和所述第二期望响应值是否相同；若判断结果为是，判定EAP认证成功；若判断结果为否，判定EAP认证失败。
- 一种无线局域网络的接入认证系统，其特征在于，包括第一用户设备、接入点设备、服务器和第二用户设备，其中：所述第一用户设备，用于通过所述接入点设备向所述服务器发送接入信息，所述接入信息携带所述第一用户设备的身份信息；所述服务器，用于根据所述接入信息向第二用户设备发送接入请求；所述服务器还用于，根据所述第二用户设备的联系信息向所述第二用户设备发送接入请求；所述第二用户设备，用于对所述接入请求进行验证；所述服务器还用于，若所述服务器接收到所述第二用户设备针对所述接入请求发送的确认指令，根据所述第一用户设备的身份信息生成挑战码，并根据所述挑战码生成第一接入密码；所述服务器还用于，通过所述接入点设备将所述挑战码发送给所述第一用户设备；所述第一用户设备还用于，根据所述挑战码生成第二接入密码；所述服务器还用于，通过所述第一接入密码与所述第一用户设备完成EAP认证。
Applications Claiming Priority (2)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN201510459273.7A CN106713222B (zh) | 2015-07-30 | 2015-07-30 | 一种无线局域网络的接入认证方法、服务器和认证系统 |
| CN201510459273.7 | 2015-07-30 |
Publications (1)
| Publication Number | Publication Date |
|---|---|
| WO2017016415A1 true WO2017016415A1 (zh) | 2017-02-02 |
Family
ID=57884098
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| PCT/CN2016/090439 WO2017016415A1 (zh) | 2015-07-30 | 2016-07-19 | 一种无线局域网络的接入认证方法、服务器和认证系统 |
Country Status (2)
| Country | Link |
|---|---|
| CN (1) | CN106713222B (zh) |
| WO (1) | WO2017016415A1 (zh) |
Cited By (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN111049640A (zh) * | 2019-12-25 | 2020-04-21 | 南京施罗德网络科技有限公司 | 基于硬件指纹和aes加解密算法的物联网鉴权认证方法 |
Families Citing this family (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN112260995B (zh) * | 2018-03-31 | 2022-05-24 | 华为云计算技术有限公司 | 接入认证方法、装置及服务器 |
Citations (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN1937498A (zh) * | 2006-10-09 | 2007-03-28 | 网之易信息技术（北京）有限公司 | 一种动态密码认证方法、系统及装置 |
| US20090063850A1 (en) * | 2007-08-29 | 2009-03-05 | Sharwan Kumar Joram | Multiple factor user authentication system |
| WO2013050738A2 (en) * | 2011-10-03 | 2013-04-11 | Barclays Bank Plc | User authentication |
Family Cites Families (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN103607712B (zh) * | 2013-11-29 | 2018-11-02 | 深圳Tcl新技术有限公司 | 无线网络的接入方法和装置 |
-
2015
- 2015-07-30 CN CN201510459273.7A patent/CN106713222B/zh active Active
-
2016
- 2016-07-19 WO PCT/CN2016/090439 patent/WO2017016415A1/zh active Application Filing
Patent Citations (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN1937498A (zh) * | 2006-10-09 | 2007-03-28 | 网之易信息技术（北京）有限公司 | 一种动态密码认证方法、系统及装置 |
| US20090063850A1 (en) * | 2007-08-29 | 2009-03-05 | Sharwan Kumar Joram | Multiple factor user authentication system |
| WO2013050738A2 (en) * | 2011-10-03 | 2013-04-11 | Barclays Bank Plc | User authentication |
Cited By (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN111049640A (zh) * | 2019-12-25 | 2020-04-21 | 南京施罗德网络科技有限公司 | 基于硬件指纹和aes加解密算法的物联网鉴权认证方法 |
Also Published As
| Publication number | Publication date |
|---|---|
| CN106713222B (zh) | 2020-10-09 |
| CN106713222A (zh) | 2017-05-24 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| JP6701364B2 (ja) | パスワードなしのコンピュータログインのサービス支援モバイルペアリングのためのシステム及び方法 | |
| US11451614B2 (en) | Cloud authenticated offline file sharing | |
| US10491587B2 (en) | Method and device for information system access authentication | |
| US20230007475A1 (en) | Method for Performing Verification by Using Shared Key, Method for Performing Verification by Using Public Key and Private Key, and Apparatus | |
| US8594632B1 (en) | Device to-device (D2D) discovery without authenticating through cloud | |
| US9781105B2 (en) | Fallback identity authentication techniques | |
| WO2015062398A1 (zh) | 信息系统访问认证方法及装置 | |
| US11451959B2 (en) | Authenticating client devices in a wireless communication network with client-specific pre-shared keys | |
| WO2015154488A1 (zh) | 一种访问路由器的方法及装置 | |
| BR102018074209A2 (pt) | Método seguro para configurar dispositivos de internet das coisas (iot) por meio de tecnologias sem fio | |
| WO2015043131A1 (zh) | 无线网络认证方法及无线网络认证装置 | |
| WO2011017924A1 (zh) | 无线局域网的认证方法、系统、服务器和终端 | |
| US20130339736A1 (en) | Periodic platform based web session re-validation | |
| JP2016524248A (ja) | 身元情報の窃盗又は複製行為から保護する方法及びシステム | |
| CN104284331B (zh) | 一种连接便携式wlan热点的方法及系统 | |
| WO2012075825A1 (zh) | 无线局域网中端站的安全配置方法、ap、sta、as及系统 | |
| CN113424161A (zh) | 用于使用区块链来认证用户的方法、系统和介质 | |
| WO2018099407A1 (zh) | 账户认证登录方法及装置 | |
| CN111901116B (zh) | 一种基于eap-md5改进协议的身份认证方法及系统 | |
| WO2013152740A1 (zh) | 用户设备的认证方法、装置及系统 | |
| WO2017016415A1 (zh) | 一种无线局域网络的接入认证方法、服务器和认证系统 | |
| CN106714158B (zh) | 一种WiFi接入方法及装置 | |
| US20230171110A1 (en) | Systems and Methods for Using Signed Device Information to Authenticate a User | |
| Guo et al. | Extending registration and authentication processes of FIDO2 external authenticator with qr codes | |
| WO2015014171A1 (zh) | 认证方法、生成信任状的方法及相关装置 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| 121 | Ep: the epo has been informed by wipo that ep was designated in this application |
Ref document number: 16829781 Country of ref document: EP Kind code of ref document: A1 |
|
| NENP | Non-entry into the national phase |
Ref country code: DE |
|
| 122 | Ep: pct application non-entry in european phase |
Ref document number: 16829781 Country of ref document: EP Kind code of ref document: A1 |