無線區域網移動終端的安全接入與無線鏈路的數據保密通信方法
2023-11-06 13:16:37 1
專利名稱：無線區域網移動終端的安全接入與無線鏈路的數據保密通信方法
技術領域：
本發明涉及一種無線區域網移動終端的安全接入與無線鏈路的數據保密通信方法，它是無線通信技術與密碼技術相結合的產物。
個人通信的目標，就是使人們能夠在任何時候、任何地點和其他任何人進行任意的通信聯繫，自由地享用網絡提供的多種業務。無線區域網技術融合目前最熱門的兩大技術——IP技術和無線通信技術，順應寬帶化的發展趨勢，為移動主機或移動終端提供方便、快捷、高速的網際網路接入服務，以適應人們對高速網絡和多媒體通信業務不斷增長的需求。無線區域網WLAN(Wireless Local Area Network)不僅支持移動計算，而且具有構架的靈活性、快捷性及可擴展性。
圖1所示為以無線區域網為基礎的寬帶無線接入網絡結構示意圖。它主要由移動終端MT(Mobile Terminal)、無線接入點AP(Access Point)及無線接入伺服器WAS(Wireless Access Server)等設備組成，其中移動終端MT可在網中任意移動，無線接入點AP實現包括越區切換在內的小區管理、對移動終端MT的管理和橋接功能，無線接入伺服器WAS實現移動終端MT的網間漫遊管理。從固定接入到移動無線接入網際網路，基於無線區域網的寬帶無線IP技術為世界網絡環境帶來了全新的觀念和巨大的衝擊。該系統的應用非常廣泛，在商務網絡，如主要是公司內部網、機構用戶網絡，如公安、金融、政府各部門等、小區網如學校、醫院、住宅區等、遠程監測或集中監控等、臨時網絡，如臨時會議等、戶外移動用戶以及布線不易的場合、需要經常變動的場合等都非常有用。
對於無線區域網來說，其安全問題遠比有線網嚴重的多，為此無線區域網引入了幾個層次的手段來解決安全問題。首先是通過對每個無線接入點AP設置不同的業務組標識符SSID(Service Set ID)，並強迫移動終端MT接入時提供相應的業務組標識符SSID，從而可以允許不同群組的用戶接入，並對資源訪問的權限進行區別限制。但利用業務組標識符SSID是最直觀的一種認證方式，是較低級的安全認證，因為任何人只要知道業務組標識符SSID就可以接入網絡。其次是地址限制，即通過在無線接入點AP上設置被授權的移動終端MT無線網卡的媒體訪問控制MAC(Medium Access Control)地址表來杜絕非授權的訪問。但是無線網卡的MAC地址並不難獲得，而且可以偽造，因此這也屬於較低級別的授權認證。總之，以上兩種方式都不能有效地控制移動終端MT的接入，更無法保障通信的保密性。
除上述兩種方法外，目前更多採用的一種措施是依據無線區域網WLAN的國際標準(IEEE802.11)，在無線區域網WLAN中引入基於RC-4的有線等價保密協議WEP(Wired Equivalent Privacy)保密機制對數據進行加密傳輸。WEP算法採用單鑰體制，即加解密為同一密鑰，其密鑰長度為64位或128位。其中40位或104位為固定部分，稱為初始化密鑰，即在無線接入點AP和移動終端MT設置的密鑰，餘下的24位為可變部分，稱為初始化矢量，該矢量在通信過程中由網卡的驅動軟體來改變，也就是說用於加密的密鑰可變，這在某種程度上保證了無線通信的保密性。但由於初始化矢量變化的規律性，因此WEP算法的安全程度並不高，這一點由美國加利福尼亞大學一研究小組最先於2001年3月發現，他們指出採用WEP算法的無線區域網WLAN僅在5個小時即可被攻破。其中的原因解釋如下假設初始化矢量值以每幀遞增1的速度改變，每幀長度為1500位元組，數據發送速率為11兆位/秒則初始化矢量重複的周期為 即每隔5小時就可得到經過同一密鑰加密的兩幀密文，由此便可猜測到或計算出初始密鑰值。這裡必須指出的是密鑰的長度並不影響其破譯的時間，只是增加了猜測或計算的複雜度。2001年8月兩名以色列魏茲曼研究所的專家與一位思科公司的研究人員——三位全球頂尖解碼專家進行了WEP安全測試，他們根據竊取網絡中的一小部分資料，不到一小時即破解了無線區域網WLAN使用的密鑰，同時ATT實驗室研究團體也以同樣的方法成功破解，這充分說明WEP協議不能保障無線區域網的安全。安全問題已成為阻礙無線區域網應用普及的主要障礙之一，安全接入和保密通信也已成為無線區域網技術研究的重中之重。
本發明的目的在於克服上述現有技術的不足，提供一種無線區域網移動終端的安全接入與無線鏈路的數據保密通信方法。其採用公鑰密碼技術，解決了無線區域網WLAN中沒有對移動終端MT進行有效的安全接入控制，克服了無線鏈路的數據通信保密的克服了局限性，不僅實現了對移動終端MT的接入控制，而且保障了移動終端MT接入的安全性、通信的高保密性。
本發明設計方案如下一種無線區域網移動終端的安全接入與無線鏈路的數據保密通信方法，其特殊之處在於當移動終端MT登錄至無線接入點AP時，移動終端MT與無線接入點AP通過認證伺服器AS進行雙向證書認證；認證成功後，移動終端MT與無線接入點AP進行會話密鑰協商；其主要步驟如下1]證書認證所述的證書認證是指採用認證伺服器AS對移動終端MT和無線接入點AP進行證書認證；2]會話密鑰協商。
上述證書認證包括1]接入認證請求，移動終端MT將移動終端MT證書與一串隨機數據組成接入認證請求報文發往無線接入點AP，以隨機數據串為接入認證請求標識；
2]證書認證請求，無線接入點AP收到移動終端MT接入認證請求後，將移動終端MT證書、接入認證請求標識、無線接入點AP證書及用無線接入點AP的私鑰對其進行的籤名信息構成證書認證請求報文發送給認證伺服器AS；3]證書認證響應，認證伺服器AS收到無線接入點AP的證書認證請求後，驗證無線接入點AP的籤名與無線接入點AP證書的合法性，若不正確，則認證過程失敗；否則再驗證移動終端MT證書的合法性；然後認證伺服器AS將移動終端MT證書認證結果信息、無線接入點AP證書認證結果信息及認證伺服器AS的籤名構成證書認證響應報文發回給無線接入點AP；所述的移動終端MT證書認證結果信息包括移動終端MT證書、認證結果及認證伺服器AS對它們的籤名，所述的無線接入點AP證書認證結果信息包括無線接入點AP證書、認證結果、接入認證請求標識及認證伺服器AS對它們的籤名；4]接入認證響應，無線接入點AP對認證伺服器AS返回的證書認證響應報文進行籤名驗證，得到移動終端MT證書的認證結果；無線接入點AP將移動終端MT的認證結果、無線接入點AP證書認證結果信息及無線接入點AP的籤名組成接入認證響應報文回送至移動終端MT，移動終端MT便得到無線接入點AP證書的認證結果，移動終端MT與無線接入點AP之間的證書認證過程完成。
上述當移動終端MT接入指定的無線接入點AP時，認證之前移動終端MT須得到該無線接入點AP的相關信息或無線接入點AP的證書。
上述會話密鑰協商是指移動終端MT或無線接入點AP利用無線接入點AP或移動終端MT的公鑰與自己的私鑰生成會話密鑰。
上述會話密鑰協商可包括1]移動終端MT秘密選取一個整數a，由此計算出整數f(a)，將整數f(a)與移動終端MT對其的籤名傳給無線接入點AP；所述的f為一函數，其使得由整數f(a)得出整數a在計算上不可行；2]無線接入點AP秘密選取一個整數b，由此計算出整數f(b)，將整數f(b)與無線接入點AP對其的籤名傳給移動終端MT；所述的f為一函數，其使得由整數f(b)得出整數b在計算上不可行；3]移動終端MT計算g(a，f(b))，無線接入點AP計算g(b，f(a))，以其作為通信過程中的會話密鑰；所述的g為一函數，其使得g(a，f(b))＝g(b，f(a))。
上述會話密鑰協商亦可為1]無線接入點AP秘密選取一個整數b，由此計算出整數f(b)，將整數f(b)與無線接入點AP對其的籤名傳給移動終端MT；所述的f為一函數，其使得由整數f(b)得出整數b在計算上不可行；2]移動終端MT秘密選取一個整數a，由此計算出整數f(a)，將整數f(a)與移動終端MT對其的籤名傳給無線接入點AP；所述的f為一函數，其使得由整數f(a)得出整數a在計算上不可行；3]移動終端MT計算g(a，f(b))，無線接入點AP計算g(b，f(a))，以其作為通信過程中的會話密鑰；所述的g為一函數，其使得g(a，f(b))＝g(b，f(a))。
上述會話密鑰協商可包括1]密鑰協商請求，移動終端MT或無線接入點AP產生一串隨機數據，利用無線接入點AP或移動終端MT的公鑰加密後傳遞給無線接入點AP或移動終端MT；2]密鑰協商響應，無線接入點AP或移動終端MT收到移動終端MT或無線接入點AP發來的密鑰協商請求後，利用自己的私鑰進行解密，得到對方產生的隨機數據；然後無線接入點AP或移動終端MT再產生一串隨機數據，利用移動終端MT或無線接入點AP的公鑰加密後傳遞給移動終端MT或無線接入點AP；移動終端MT與無線接入點AP均利用自己與對方分別產生的隨機數據生成會話密鑰。
上述會話密鑰協商可指移動終端MT或無線接入點AP產生一串隨機數據，利用無線接入點AP或移動終端MT的公鑰加密後，再附上自己的籤名傳送給無線接入點AP或移動終端MT；無線接入點AP或移動終端MT先利用移動終端MT或無線接入點AP的公鑰進行籤名驗證，再利用自己的私鑰將收到的密文進行解密，以此隨機數據作為雙方的會話密鑰。
本發明與現有技術相比具有如下優點它解決了無線區域網WLAN中沒有對移動終端MT進行有效的安全接入控制的問題，克服了無線鏈路數據通信的保密的局限性。它利用公鑰密碼體系，實現了移動終端MT和無線接入點AP的雙向認證，更進一步提高了接入的安全性；通過動態會話密鑰協商完成每認證每密鑰及會話過程中密鑰的動態修改，以實現數據的保密通信，大大增加了破解的難度。總之，該方法不僅實現了對移動終端MT的接入控制，而且保障了移動終端MT接入的安全性、通信的高保密性。
附面說明如下圖1為已有技術寬帶無線IP系統的結構示意圖；圖2為本發明基於認證伺服器AS的無線區域網安全認證系統的邏輯結構示意圖；圖3為本發明移動終端MT接入時的認證流程圖。
下面將結合附圖及實施例對本發明作進一步詳述圖2所示是基於認證伺服器AS(Authentication Server)的無線區域網安全認證系統的邏輯結構示意圖。採用公鑰密碼技術，當移動終端MT登錄至無線接入點AP時，必須利用認證伺服器AS進行雙向身份認證，只有持有合法證書的移動終端MT才能接入持有合法證書的無線接入點AP，否則無線接入點AP拒絕移動終端MT接入或移動終端MT拒絕登錄至無線接入點AP。認證成功後，移動終端MT與無線接入點AP進行會話密鑰協商，以實現無線鏈路的數據保密通信。整個過程如圖3所示。其中證書內容主要包含證書的序列號、證書頒發者的名稱、證書的有效期、證書持有者的名稱、證書持有者的公鑰信息、證書頒發者採用的籤名算法以及證書頒發者對證書的籤名等內容。1、證書認證移動終端MT登錄至無線接入點AP時，認證伺服器AS證書認證流程如下a)接入認證請求。移動終端MT向無線接入點AP發出接入認證請求報文，即將移動終端MT證書與一串隨機數據發往無線接入點AP，其中隨機數據串被稱為接入認證請求標識；b)證書認證請求。無線接入點AP收到移動終端MT接入認證請求後，向認證伺服器AS發出證書認證請求，即將移動終端MT證書、接入認證請求標識、無線接入點AP證書及用無線接入點AP的私鑰對它們的籤名構成證書認證請求報文發送給認證伺服器AS；c)證書認證響應。認證伺服器AS收到無線接入點AP的證書認證請求後，驗證無線接入點AP的籤名與無線接入點AP證書的合法性，若不正確，則認證過程失敗；否則再驗證移動終端MT證書的合法性。驗證完畢，認證伺服器AS將[1].移動終端MT證書認證結果信息包括移動終端MT證書及認證結果及認證伺服器AS對它們的籤名，[2].無線接入點AP證書認證結果信息包括無線接入點AP證書及認證結果及接入認證請求標識及認證伺服器AS對它們進行的籤名，[3].認證伺服器AS的籤名構成證書認證響應報文發回給無線接入點AP；d)接入認證響應。無線接入點AP對認證伺服器AS返回的證書認證響應報文的籤名進行驗證，便得到移動終端MT證書的認證結果。無線接入點AP將移動終端MT的認證結果、認證伺服器AS對無線接入點AP證書認證結果信息及無線接入點AP的籤名組成接入認證響應報文回送至移動終端MT，移動終端MT便得到無線接入點AP證書的認證結果。
至此移動終端MT與無線接入點AP之間完成了證書的雙向認證過程。
若雙方證書驗證成功，則無線接入點AP允許移動終端MT接入，否則拒絕其接入或者移動終端MT拒絕登錄到無線接入點AP。至此，具有合法證書的移動終端MT才成功地接入具有合法證書的無線接入點AP，從而完成無線接入點AP對移動終端MT的安全接入控制功能。2、會話密鑰協商移動終端MT與無線接入點AP證書認證成功之後，即完成了移動終端MT的成功登錄。此時雙方在本機利用對方的公鑰與自己的私鑰生成會話密鑰，用於通信數據報文的加解密，從而實現移動終端MT與無線接入點AP之間的無線安全保密通信。然而值得注意的是，在證書有效期內，移動終端MT與無線接入點AP之間的會話密鑰始終不變。為了做到每認證每密鑰，則需進行會話密鑰的動態協商。動態密鑰協商的過程如下a)密鑰協商請求。移動終端MT或無線接入點AP產生一串隨機數據，利用無線接入點AP或移動終端MT的公鑰加密後，向無線接入點AP或移動終端MT發出請求密鑰協商報文；b)密鑰協商響應。無線接入點AP或移動終端MT收到移動終端MT或無線接入點AP發來的密鑰協商請求報文後，利用自己的私鑰進行解密，得到對方產生的隨機數據。然後本地產生一串隨機數據，利用移動終端MT或無線接入點AP的公鑰加密後，向移動終端MT或無線接入點AP回應密鑰協商響應報文。移動終端MT與無線接入點AP均在利用自己與對方分別產生的兩個隨機數據生成會話密鑰，用於對通信數據報文的加解密。
為了進一步提高通信的保密性，在移動終端MT與無線接入點AP通信一段時間或交換一定數量的報文之後，還可以進行會話密鑰的重新協商。
證書認證完成了移動終端MT的安全接入，會話密鑰協商則充分保證了移動終端MT與無線接入點AP之間的高保密性通信。
特別指出的是(1)在具體實現過程中，證書認證與會話鑰協商過程不僅沒有先後順序，而且還可合併進行。
(2)若移動終端MT欲接入指定的無線接入點AP，則認證之前MT應知曉該AP的相關信息或存有AP的證書，以便MT對接收到的接入認證響應報文進行判斷。
(3)會話密鑰的動態協商還可以如下實現，即移動終端MT或無線接入點AP在本地產生一串隨機數據，利用對方的公鑰加密後再附上自己的籤名傳送給對方，無線接入點AP或移動終端MT先利用對方的公鑰驗證是否是對方發送的數據，然後利用自己的私鑰將收到的密文進行解密，雙方將此隨機數據作為會話密鑰對通信數據進行加解密。
(4)會話密鑰協商還可如下進行a)移動終端MT秘密選取一個整數a，計算出f(a)，將f(a)與移動終端MT對此的籤名傳給無線接入點AP。其中f為一函數，使得由f(a)得出a在計算上是不可行的；b)無線接入點AP秘密選取一個整數b，計算出f(b)，將f(b)與無線接入點AP對此的籤名傳給移動終端MT。其中f函數的定義同a)；c)移動終端MT計算g(a，f(b))，無線接入點AP計算g(b，f(a))，作為通信過程中的會話密鑰。其中g為一函數，使得g(a，f(b))＝g(b，f(a))。
權利要求
1.一種無線區域網移動終端的安全接入與無線鏈路數據保密通信方法，其特徵在於當移動終端MT登錄至無線接入點AP時，移動終端MT與無線接入點AP通過認證伺服器AS進行雙向證書認證；認證成功後，移動終端MT與無線接入點AP進行會話密鑰協商；其主要步驟如下1].證書認證所述的證書認證是指採用認證伺服器AS對移動終端MT和無線接入點AP進行證書認證；2].會話密鑰協商。
2.根據權利要求1所述的無線區域網移動終端的安全接入與無線鏈路數據保密通信方法，其特徵在於所述的證書認證包括1].接入認證請求，移動終端MT將移動終端MT證書與一串隨機數據組成接入認證請求報文發往無線接入點AP，以隨機數據串為接入認證請求標識；2].證書認證請求，無線接入點AP收到移動終端MT接入認證請求後，將移動終端MT證書、接入認證請求標識、無線接入點AP證書及用無線接入點AP的私鑰對其進行的籤名信息構成證書認證請求報文發送給認證伺服器AS；3].證書認證響應，認證伺服器AS收到無線接入點AP的證書認證請求後，驗證無線接入點AP的籤名與無線接入點AP證書的合法性，若不正確，則認證過程失敗；否則再驗證移動終端MT證書的合法性；然後認證伺服器AS將移動終端MT證書認證結果信息、無線接入點AP證書認證結果信息及認證伺服器AS的籤名構成證書認證響應報文發回給無線接入點AP；所述的移動終端MT證書認證結果信息包括移動終端MT證書、認證結果及認證伺服器AS對它們的籤名，所述的無線接入點AP證書認證結果信息包括無線接入點AP證書、認證結果、接入認證請求標識及認證伺服器AS對它們的籤名；4].接入認證響應，無線接入點AP對認證伺服器AS返回的證書認證響應報文進行籤名驗證，得到移動終端MT證書的認證結果；無線接入點AP將移動終端MT的認證結果、無線接入點AP證書認證結果信息及無線接入點AP的籤名組成接入認證響應報文回送至移動終端MT，移動終端MT便得到無線接入點AP證書的認證結果，移動終端MT與無線接入點AP之間的證書認證過程完成。
3.如權利要求2所述的無線區域網移動終端的安全接入和無線鏈路數據保密通信方法，其特徵在於所述的當移動終端MT接入指定的無線接入點AP時，認證之前移動終端MT須得到該無線接入點AP的相關信息或無線接入點AP的證書。
4.如權利要求1或2或3所述的無線區域網移動終端的安全接入與無線鏈路數據保密通信方法，其特徵在於所述的會話密鑰協商是指移動終端MT或無線接入點AP利用無線接入點AP或移動終端MT的公鑰與自己的私鑰生成會話密鑰。
5.如權利要求4所述的無線區域網移動終端的安全接入和無線鏈路數據保密通信方法，其特徵在於所述的會話密鑰協商包括1].移動終端MT秘密選取一個整數a，由此計算出整數f(a)，將整數f(a)與移動終端MT對其的籤名傳給無線接入點AP；所述的f為一函數，其使得由整數f(a)得出整數a在計算上不可行；2].無線接入點AP秘密選取一個整數b，由此計算出整數f(b)，將整數f(b)與無線接入點AP對其的籤名傳給移動終端MT；所述的f為一函數，其使得由整數f(b)得出整數b在計算上不可行；3].移動終端MT計算g(a，f(b))，無線接入點AP計算g(b，f(a))，以其作為通信過程中的會話密鑰；所述的g為一函數，其使得g(a，f(b))＝g(b，f(a))。
6.如權利要求5所述的無線區域網移動終端的安全接入與無線鏈路數據保密通信方法，其特徵在於所述的會話密鑰協商包括1].密鑰協商請求，移動終端MT或無線接入點AP產生一串隨機數據，利用無線接入點AP或移動終端MT的公鑰加密後傳遞給無線接入點AP或移動終端MT；2].密鑰協商響應，無線接入點AP或移動終端MT收到移動終端MT或無線接入點AP發來的密鑰協商請求後，利用自己的私鑰進行解密，得到對方產生的隨機數據；然後無線接入點AP或移動終端MT再產生一串隨機數據，利用移動終端MT或無線接入點AP的公鑰加密後傳遞給移動終端MT或無線接入點AP；移動終端MT與無線接入點AP均利用自己與對方分別產生的隨機數據生成會話密鑰。
7.如權利要求4所述的無線區域網移動終端的安全接入與無線鏈路數據保密通信方法，其特徵在於所述的會話密鑰協商是指移動終端MT或無線接入點AP產生一串隨機數據，利用無線接入點AP或移動終端MT的公鑰加密後，再附上自己的籤名傳送給無線接入點AP或移動終端MT；無線接入點AP或移動終端MT先利用移動終端MT或無線接入點AP的公鑰進行籤名驗證，再利用自己的私鑰將收到的密文進行解密，以此隨機數據作為雙方的會話密鑰。
全文摘要
一種無線區域網移動終端的安全接入與無線鏈路數據保密通信方法，當移動終端MT登錄至無線接入點AP時，移動終端MT與無線接入點AP通過認證伺服器AS進行雙向證書認證；認證成功後，移動終端MT與無線接入點AP進行會話密鑰協商；其主要步驟包括1.證書認證。所述的證書認證是指採用認證伺服器AS對移動終端MT和無線接入點AP進行證書認證。2.會話密鑰協商。本發明採用公鑰密碼技術，解決了無線區域網WLAN中沒有對移動終端MT進行有效的安全接入控制，克服了無線鏈路的數據通信保密的克服了局限性，不僅實現了對移動終端MT的接入控制，而且保障了移動終端MT接入的安全性、通信的高保密性。
文檔編號H04L9/28GK1426200SQ02139508
公開日2003年6月25日 申請日期2002年11月6日 優先權日2002年11月6日
發明者鐵滿霞, 唐厚儉, 張變玲, 張寧, 葉續茂 申請人:西安西電捷通無線網絡通信有限公司