抗阻塞攻擊的終端連接建立方法和終端訪問認證系統的製作方法
2023-10-17 02:19:09 3
專利名稱：抗阻塞攻擊的終端連接建立方法和終端訪問認證系統的製作方法
技術領域：
本發明屬於一種用戶終端訪問通信服務網絡的登錄方法及其實現系統，尤其是一種用於對抗阻塞攻擊的在入網用戶終端與網絡接入終端之間建立連接的方法和終端訪問 認證實現系統。
背景技術：
伴隨著網絡技術的發展和網絡通信的普及，網絡安全已經日益成為人們關注的焦 點。當前網絡面臨的安全威脅主要來自於黑客攻擊、網絡缺陷、軟體漏洞以及管理欠缺等。 由網絡黑客或計算機病毒發起的阻塞攻擊是其中較難防範的一種。「阻塞攻擊」又稱「拒絕服務攻擊」。它是這樣一種網絡攻擊當通信網絡在受到這 種形式的攻擊以後，部分或全部喪失了正常服務響應能力，不再繼續向「合法授權用戶提供 承諾的網絡服務」。由少量攻擊者發起的阻塞攻擊的主要形式包括TCP同步風暴攻擊、ICMP 廣播風暴攻擊、UDP服務攻擊、流量反彈攻擊、入侵檢測攻擊等。在TCP同步風暴攻擊中，攻擊者發送大量的半連接，且連接的源地址是偽造的，這 樣伺服器在將確認消息返回給用戶時將不會收到偽造源地址用戶的確認，這時伺服器只能 等待並不斷重發確認消息，直到這種半連接超時。攻擊者在短時間內持續發送大量偽造了 源地址的半連接請求，必然使伺服器過載而不能提供服務。在ICMP廣播攻擊中，攻擊者發送大量目的地址指向高速區域網廣播地址，源地址 指向受害主機的ICMP反射請求廣播包，從而引發目的區域網大量廣播包反射到受害主機， 造成受害主機網絡阻塞。在UDP服務攻擊中，攻擊者通過多個伺服器向受害主機海量發送不限速的UDP包， 將受害主機淹沒在不斷湧入的垃圾數據中，使得正常的網絡服務被阻塞。在流量反彈攻擊中，攻擊者通過多個伺服器向海量反彈伺服器發送源地址為偽造 的受害主機的攻擊數據，通過反彈伺服器的正常服務，將海量垃圾服務應答數據匯聚於受 害主機，將受害主機淹沒在不斷湧入的垃圾數據中，使得正常的網絡服務被阻塞。在入侵檢測攻擊中，攻擊者故意發送含有特殊字符串的數據包，使得受害主機的 入侵檢測系統誤認為發現入侵而產生大量警告，最終使入侵檢測系統超過記錄能力而過載 或崩潰，從而掩蓋真正的網絡入侵行為。總結阻塞攻擊的種種形式不難發現，造成拒絕服務的原理就是利用網絡協議的缺 陷，使受害主機或主機網絡過載而失去服務響應能力。而為了保證通信網絡的「授權用戶始 終能夠獲得網絡服務」，通信網絡系統必須能夠抵抗這種「阻塞攻擊」。通信網絡系統的網絡業務服務，邏輯上是通過網絡接入終端來提供的。當用戶需 要某種網絡服務時，其入網用戶終端首先建立起與網絡接入終端的通信連接，然後進行單 向或雙向的數據信息交流，實現網絡業務服務，最後當結束服務時關閉通信連接。作為用戶 終端獲得網絡訪問服務的門戶，網絡接入終端是辨識合法用戶和非法流量的最佳位置，同 時也是網絡系統中最容易遭受阻塞攻擊的部位之一。
通信網絡接入終端被設計為向大量用戶終端提供網絡訪問服務。作為一個合理的 假設，其配置應該滿足最大設計數量用戶終端同時申請入網的峰值業務量需求。在此前提 下如果網絡接入終端仍然發生了過載，必然是同時到達了大量虛假用戶終端的網絡訪問， 處理這些虛假用戶終端網絡訪問所需要的運算量超出了網絡接入終端配置的處理能力。因 此為了對抗阻塞攻擊，必須能夠動態限制用戶終端的網絡訪問負載量，同時能夠懲罰單個 終端假冒多個終端身份的行為。目前的系統多採用序列號和口令保護的方式來進行用戶身份認證，確保用戶和終 端的真實性。這種方式要求用戶和網絡終端共享相同的口令數據，並且序列號和口令數據 需要在網絡中以明文方式傳輸，極易被截獲和假冒。如果事先建立加密信道，將序列號和口 令數據在加密信道中傳輸，固然可以防範敏感數據被非法截獲，但是建立加密信道的過程 本身計算量很大，足以被非法用戶 用於發起阻塞攻擊。另一些系統採用密碼學身份認證來確保用戶身份的唯一合法性。比如基於智慧卡 的身份認證系統，智慧卡中存儲了用戶私鑰和網絡公鑰。用戶使用自己的私鑰對認證數據 籤名，再用網絡公鑰對數字籤名加密；網絡端必須使用自己的私鑰解密數據，再用用戶的公 鑰驗證籤名。然而這種密碼學身份認證運算量很大，例如產生或驗證一個1024位的RSA公 開密鑰算法加密的數字籤名，奔騰IV-2G的臺式機需要1 2秒的時間。因此身份認證過 程本身常成為阻塞攻擊的目標。例如用戶以隨機產生的數據作為自己的身份數據要求進行身份認證，網絡接入終 端需要花費大量處理能力才能證實該身份數據是非法的。如果用戶用不斷變化的隨機數據 來作為自己的身份標誌，持續要求網絡接入終端進行大運算量的密碼學驗證。這樣攻擊者 只需要很少的開銷，就可以迫使網絡接入終端不得不執行大規模的運算，最終導致網絡接 入終端過載，達到阻塞系統的目的。在基於IP的路由器網絡中，如果用戶終端與伺服器不在同一個網段，那麼只有目 標地址與用戶終端地址相同的分組包才能被路由器正確轉發到用戶終端。這樣伺服器可以 通過給要求服務的用戶終端發送一個「甜餅」，並要求用戶終端回發給伺服器來驗證用戶終 端的唯一性。該小甜餅與用戶終端的網絡地址相關聯。如果用戶提供了虛假的網絡地址， 那麼它將不能收到伺服器生成的小甜餅，從而避免了後繼的網絡應答操作。但是這種方法不適用於廣播網絡，或處於同一個廣播域中的網絡。因為此時用戶 總能收到伺服器生成的小甜餅，使得入網過程能夠繼續進行。隨著區域網規模的擴大和長 距離無線網絡的規模應用，需要向越來越大的廣播網絡或網絡廣播域中的各種不同身份用 戶提供網絡服務，基於小甜餅交換的終端身份驗證方法就不再有效。
發明內容
本發明的目的就是提供一種同時適用於路由網絡和廣播網絡、性能穩定可靠並且 簡單易於實施的、基於計算量的、在入網用戶終端與網絡接入終端之間建立連接的方法和 終端訪問認證實現系統。本發明的入網用戶終端與網絡接入終端建立連接的方法是網絡接入終端通過與 入網用戶終端多次交換信息，建立入網用戶終端和網絡接入終端之間的通信連接，同時防 範入網用戶終端以虛構的多重身份發動阻塞攻擊，其特徵在於，該方法將網絡接入終端和入網用戶終端之間的信息交換分成六個步驟第一步入網用戶終端以明文方式發送包括用戶密鑰種子矢量的入網請求報文；第二步網絡接入終端以明文方式發送網絡密鑰種子矢 量；第三步網絡接入終端收到入網用戶終端發來的入網請求報文後，為入網用戶終端分配 終端登錄令牌，以密文方式發送包括用戶入網請求報文摘要和終端登錄令牌的入網應答報 文，所述密文加密密鑰包含用戶密鑰種子矢量、網絡密鑰種子矢量和密鑰調料的信息；第四 步入網用戶終端解密收到的每一個入網應答報文，通過比較解密後明文信息中的用戶入網 請求報文摘要，識別出針對自己的入網應答報文，取得網絡終端提供的終端登錄令牌；第五 步入網用戶終端向網絡接入終端發送包括終端登錄令牌識別信息的登錄報文；第六步網絡 接入終端收到登錄報文後，驗證登錄報文中包含正確的終端登錄令牌識別信息，確認入網 用戶終端合法，完成通信連接的建立，為其分配連接資源。本發明改進的方法是網絡接入終端通過與入網用戶終端多次交換信息，建立入 網用戶終端和網絡接入終端之間的通信連接，同時防範入網用戶終端以虛構的多重身份發 動阻塞攻擊，其特徵在於，該方法將網絡接入終端和入網用戶終端之間的信息交換分成六 個步驟第一步入網用戶終端以明文方式發送包括終端用戶證書和用戶密鑰種子矢量的入 網請求報文；第二步網絡接入終端收到入網用戶終端發來的入網請求報文後，使用終端用 戶證書中載明的終端用戶公開密鑰加密網絡密鑰種子矢量，將加密後的網絡密鑰種子矢量 密文發送給入網用戶終端；第三步網絡接入終端收到入網用戶終端發來的入網請求報文 後，還為入網用戶終端分配終端登錄令牌，以密文方式發送包括用戶入網請求報文摘要和 終端登錄令牌的入網應答報文，所述密文加密密鑰包含用戶密鑰種子矢量、網絡密鑰種子 矢量和密鑰調料的信息；第四步入網用戶終端解密收到的每一個入網應答報文，通過比較 解密後明文信息中的用戶入網請求報文摘要，識別出針對自己的入網應答報文，取得網絡 終端提供的登錄令牌；第五步入網用戶終端向網絡接入終端發送包括終端登錄令牌識別信 息的登錄報文；第六步網絡接入終端收到登錄報文後，驗證登錄報文中包含正確的終端登 錄令牌識別信息，確認入網用戶終端合法，完成通信連接的建立，為其分配連接資源。本發明進一步改進的方法的特徵在於所述的用戶密鑰種子矢量中包括報文當前 發送時間。本發明再進一步改進的方法的特徵在於所述的網絡密鑰種子矢量中包括報文當 前發送時間。本發明更進一步改進的方法的特徵在於所述的登錄令牌中除了包括登錄令牌識 別號以外還包括用於後續通信的會話密鑰。本發明改進的方法的特徵還在於所述的登錄令牌中除了包括登錄令牌識別號以 外還包括指定的登錄時間。本發明還提出了一種終端訪問認證實現系統，包括入網用戶終端和網絡接入終 端，其中網絡接入終端通過與入網用戶終端多次交換信息，建立入網用戶終端和網絡接入 終端之間的通信連接，同時防範入網用戶終端以虛構的多重身份發動阻塞攻擊。所述網 絡接入終端包括數據收發裝置(131)，用於接收入網用戶終端發送的包括用戶密鑰種子 矢量的入網請求報文，以明文方式發送網絡密鑰種子矢量，發送加密的入網應答報文，和 接收入網用戶終端發送的登錄報文；微處理器模塊(132)，用於在接收到入網用戶終端發 送的入網請求報文之後，計算用戶入網請求報文摘要，為入網用戶終端準備登錄令牌和密鑰調料，加密包括用戶入網請求報文摘要和登錄令牌的入網應答報文，所述的加密密鑰包括用戶密鑰種子矢量、網絡密鑰種子矢量和密鑰調料的信息，和在接收到入網用戶終端發 送的登錄報文之後，驗證登錄報文中包含正確的登錄令牌識別信息，確認入網用戶終端合 法。所述入網用戶終端包括數據收發裝置(113)，用於以明文方式發送包括用戶密鑰種子 矢量的入網請求報文，接收由網絡接入終端發送的網絡密鑰種子矢量，接收網絡接入終端 發送的入網應答報文，並向網絡接入終端發送包括登錄令牌識別信息的登錄報文；隨機數 據存儲器(114)，用於存儲所述用戶密鑰種子矢量和網絡密鑰種子矢量；和微處理器模塊 (112)，用於根據其用戶密鑰種子矢量、網絡密鑰種子矢量和密鑰調料信息生成解密密鑰， 解密收到的入網應答報文密文，獲得入網應答報文明文，根據上述解密結果，識別出針對自 己的入網應答報文，獲得分配給自己的終端登錄令牌，並將所述終端登錄令牌識別信息包 括在所述登錄報文中。本發明的進一步改進的終端訪問認證實現系統包括入網用戶終端和網絡接入終 端，其中網絡接入終端通過與入網用戶終端多次交換信息，建立入網用戶終端和網絡接入 終端之間的通信連接，同時防範入網用戶終端以虛構的多重身份發動阻塞攻擊。所述網絡 接入終端包括數據收發裝置(131)，用於接收入網用戶終端發送的包括用戶密鑰種子矢 量的入網請求報文，發送以終端用戶公開密鑰加密的網絡密鑰種子矢量密文，發送入網應 答報文，和接收入網用戶終端發送的登錄報文；微處理器模塊(132)，用於在接收到入網用 戶終端發送的入網請求報文之後，計算用戶入網請求報文摘要，為入網用戶終端準備登錄 令牌和密鑰調料，和在接收到入網用戶終端發送的登錄報文之後，驗證登錄報文中包含正 確的登錄令牌識別信息，確認入網用戶終端合法；和密碼運算協處理器模塊(136)，用於在 接收到入網用戶終端發送的入網請求報文之後，以終端用戶公開密鑰加密網絡密鑰種子矢 量，根據用戶密鑰種子矢量、網絡密鑰種子矢量和密鑰調料信息生成加密密鑰，並加密包括 用戶入網請求報文摘要和登錄令牌的入網應答報文。所述入網用戶終端包括數據收發裝 置(113)，用於以明文方式發送包括用戶密鑰種子矢量的入網請求報文，接收由網絡接入終 端發送的網絡密鑰種子矢量密文，接收網絡接入終端發送的入網應答報文，並向網絡接入 終端發送包括登錄令牌識別信息的登錄報文；隨機數據存儲器(114)，用於存儲所述用戶 密鑰種子矢量和網絡密鑰種子矢量；密碼運算協處理器(115)，用於以終端用戶的私鑰來 解密接收到的網絡密鑰種子矢量密文，根據用戶密鑰種子矢量、網絡密鑰種子矢量和密鑰 調料信息生成解密密鑰，和解密收到的入網應答報文密文，獲得入網應答報文明文；和微處 理器模塊(112)，根據上述解密結果，識別出針對自己的入網應答報文，獲得分配給自己的 終端登錄令牌，並將所述終端登錄令牌識別信息包括在所述登錄報文中。本發明的優點在於1.能夠抵抗拒絕服務攻擊本發明中提供網絡服務的網絡接入終端只接收用戶端發來的明文報文，分析和處 理報文的計算量小，接收處理工作可以實時完成，即使到達大量申請報文也不會過載。網絡接入終端只需要保留全局性的終端登錄令牌信息，在完成用戶合法性認證前 完全不保留與特定用戶相關的信息，因此不會出現緩存溢出現象。加密運算只需要針對需要實際發出的入網應答報文數據進行，並且只需要採用計 算速度很快的對稱加密算法，即使不是用硬體加速也能夠實現實時運算，不會因為執行了密碼運算而造成處理量過載。2.用戶假冒多個終端身份代價極高本發明第三步中網絡接入終端使用密文方式發送入網應答報文。用戶必須使用與 自己發送的用戶密鑰種子矢量和接收到的網絡密鑰種子矢量相對應的解密密鑰，實時解密 收到的每一個入網應答報文，才能獲得用戶終端登錄令牌信息，繼續進行以後的信息交換 步驟。如果密鑰調料不為零，用戶還必須進行多次解密嘗試，才能獲得正確的登錄令牌。而 對於假冒了多個入網用戶終端身份的用戶，它必須同時使用與多個用戶密鑰種子矢量對應 的多個解密密鑰，同時實時並行嘗試解密收到的每一個入網應答報文。假冒的用戶數量增 加時，計算量和數據存儲量將超線性增大，對實時運算能力的要求也以接近平方關係的比 例相應提高。例如對於一個假冒了 100個虛假終端的用戶終端來說，它的影響只是使 設計 同時服務於1000個入網登錄用戶的網絡接入終端增加了 10%的工作負荷，至多瞬間進入 比較飽滿的工作狀態，卻對非法用戶終端自己產生了近萬倍的計算量和數據存儲量要求。3.適用範圍廣泛本發明六個步驟所進行的信息交換都假定在不安全的傳輸環境下進行，沒有限定 信息交換與網絡地址是否相關。與傳統的基於「甜餅交換」的認證方法相比，「甜餅交換」認 證協議只有當用戶終端與認證伺服器不在同一個路由廣播域時，非法用戶終端才收不到認 證伺服器發出的「甜餅」，認證方法才有效。本發明假定非法用戶終端總是能夠收到所有交 互信息，在此假設下仍然具有良好的針對非法用戶的計算懲罰效果，因此沒有「甜餅交換」 協議對路由廣播域的限制。4.易於與其他身份認證技術相結合大多數身份認證技術都需要使用計算量極大的非對稱密碼算法，或者使用複雜的 密鑰分發技術。如果不能事先確保認證過程是一對一實時進行，很容易招致拒絕服務攻擊。 本發明的網絡接入終端無需事先知道任何入網用戶終端的知識，就可以杜絕單個用戶終端 假冒多個用戶終端身份，不需要其他普通身份認證技術做任何改變，就可以彌補易於遭到 拒絕服務攻擊的不足。5.易於實施採用本發明的方法，只需要在入網用戶終端和網絡接入終端之間分6個步驟、進 行2次往返報文交換，就可以完成終端唯一性識別工作。所有工作只需要一個普通的嵌入 式微處理器系統就可以勝任。如果採用個人計算機系統或其他高性能計算機系統來實現則 更加方便。
圖1是本發明的一個實施方案系統結構和數據信息傳遞示意圖。圖2是本發明的方法步驟和各步驟所傳遞數據信息示意圖。圖3是本發明改進的方法步驟和各步驟所傳遞數據信息示意圖。圖4是本發明進一步改進的方法步驟和各步驟所傳遞數據信息示意圖。圖5是本發明進一步改進的方法步驟和各步驟所傳遞數據信息示意圖。圖6是本發明進一步改進的方法步驟和各步驟所傳遞數據信息示意圖。圖7是本發明進一步改進的方法步驟和各步驟所傳遞數據信息示意圖。
圖8是本發明進一步改進的方法步驟和各步驟所傳遞數據信息示意圖。圖9是本發明進一步改進的方法步驟和各步驟所傳遞數據信息示意圖。圖10是本發明進一步改進的方法步驟和各步驟所傳遞數據信息示意圖。圖11是本發明進一步改進的方法步驟和各步驟所傳遞數據信息示意圖。圖12用於本發明的入網用戶終端入網請求報文內容示意圖。圖13用於本發明的入網用戶終端改進的入網請求報文內容示意圖。圖14用於本發明的入網用戶終端進一步改進的入網請求報文內容示意圖。圖15用於本發明的入網用戶終端進一步改進的入網請求報文內容示意圖。圖16用於本發明的網絡接入終端的網絡密鑰種子矢量報文內容構成示意圖。圖17用於本發明的網絡接入終端改進的網絡密鑰種子矢量報文內容構成示意 圖。圖18用於本發明的網絡接入終端進一步改進的網絡密鑰種子矢量報文內容構成 示意圖。圖19用於本發明的網絡接入終端進一步改進的網絡密鑰種子矢量報文內容構成 示意圖。圖20用於本發明的網絡接入終端的入網應答報文內容示意圖。圖21用於本發明的網絡接入終端改進的入網應答報文內容示意圖。圖22用於本發明的網絡接入終端進一步改進的入網應答報文內容示意圖。圖23用於本發明的網絡接入終端進一步改進的入網應答報文內容示意圖。圖24用於本發明的入網用戶終端的登錄報文內容示意圖。圖25用於本發明的入網用戶終端改進的登錄報文內容示意圖。圖26用於本發明的入網用戶終端進一步改進的登錄報文內容示意圖。圖27用於本發明的入網用戶終端進一步改進的登錄報文內容示意圖。圖28用於本發明的改進的終端登錄令牌的內容示意圖。圖29用於本發明的改進的終端登錄令牌的內容示意圖。圖30用於本發明的改進的終端登錄令牌的內容示意圖。圖31用於本發明的改進的終端登錄令牌的內容示意圖。圖32用於本發明的改進的終端登錄令牌的內容示意圖。圖33用於本發明的改進的終端登錄令牌的內容示意圖。圖34用於本發明的改進的終端登錄令牌的內容示意圖。圖35用於本發明的改進的終端登錄令牌的內容示意圖。圖36用於本發明的改進的終端登錄令牌的內容示意圖。圖37是本發明一個改進的實施方案系統結構和數據信息傳遞示意圖。圖38是本發明進一步改進的實施方案系統結構和數據信息傳遞示意圖。
具體實施例方式本發明的實施方案如下本發明的一個實施方案系統如圖1所示，其中包括入網用戶終端11、網絡接入終端13、以及位於入網用戶終端11和網絡接入終端13之間的傳輸鏈路12，所述的入網用戶終端11內部又包括用戶終端配置存儲器111、微處理器模塊112、數據收發裝置113和隨機 數據存儲器114，所述的網絡接入終端13又包括數據收發裝置131、微處理器模塊132、網間 接口收發模塊133、網絡接入終端配置存儲器134和登錄用戶資料庫模塊135。本發明的一個改進的實施方案系統如圖37所示，其中包括入網用戶終端11A、網絡接入終端13A、以及入網用戶終端與網絡接入終端之間的傳輸鏈路12，所述的入網用戶 終端IlA內部又包括用戶終端配置存儲器111、微處理器模塊112、數據收發裝置113、隨機 數據存儲器114和密碼運算協處理器115，所述的網絡接入終端13A又包括數據收發裝置 131、微處理器模塊132、網間數據收發模塊133、網絡接入終端配置存儲器134、登錄用戶數 據庫模塊135和密碼運算協處理器模塊136。本發明進一步改進的實施方案系統如圖38所示，其中包括入網用戶終端11B、網 絡接入終端13B、以及入網用戶終端與網絡接入終端之間的傳輸鏈路12，所述的入網用戶 終端IlB內部又包括數據收發裝置113、入網請求裝置11B1、解密搜索裝置11B2、登錄認證 發送裝置11B5和隨機數據存儲器114，所述的網絡接入終端13B又包括數據收發裝置131、 入網應答裝置13B2、報文加密裝置13B3、登錄認證裝置13B4和登錄用戶資料庫模塊135。第一實施例入網用戶終端11與網絡接入終端13之間的登錄連接的建立過程包括如圖2所示 的步驟S11-S16。入網用戶終端為了與網絡接入終端建立連接，第一步驟(Sll)是入網用戶終端以 明文方式發送包括用戶密鑰種子矢量的入網請求報文。入網用戶終端11中的微處理器模 塊112根據用戶終端配置存儲器111中的配置內容生成用戶密鑰種子矢量211，然後通過數 據收發裝置113以明文方式向網絡接入終端13發送入網請求報文21，所述的入網請求報文 21內容包括所確定的用戶密鑰種子矢量211和其他信息213，同時在隨機數據存儲器114 中記錄用戶密鑰種子矢量211，隨後微處理器模塊112計算入網請求報文21的摘要214並 存入隨機數據存儲器114中。第二步驟(S12)，網絡接入終端以明文方式發送網絡密鑰種子矢量。網絡接入終端 13中的微處理器模塊132根據網絡接入終端配置存儲器134中的配置內容生成網絡密鑰 種子矢量221，然後通過數據收發裝置131以明文方式向入網用戶終端11發送報文22，所 述的報文22內容包括所確定的網絡密鑰種子矢量221和其他信息222。入網用戶終端11 從數據收發裝置113接收到由網絡用戶終端13發送的包括網絡密鑰種子矢量221的報文 22，然後在隨機數據存儲器114中記錄網絡密鑰種子矢量221。第三步驟(S13)，網絡接入終端13從數據收發裝置131收到入網用戶終端11發 來的入網請求報文21後，根據網絡接入終端配置存儲器134中的配置內容為入網用戶終端 11分配終端登錄令牌232，同時準備密鑰調料234，微處理器模塊132還計算用戶入網請求 報文21的摘要231，並形成入網應答報文明文23，所述的入網應答報文明文23中包括用戶 入網請求報文摘要231、終端登錄令牌232和其他信息233。然後以密文方式向入網用戶終 端11發送包括用戶入網請求報文摘要231和終端登錄令牌232的入網應答報文密文230， 所述密文的加密密鑰包含用戶密鑰種子矢量211、網絡密鑰種子矢量221和密鑰調料234的 fn息ο第四步驟(S14)，入網用戶終端11從數據收發裝置113每接收到一個入網應答報文密文230後，解密入網應答報文密文230，得到入網應答報文明文23 ；入網用戶終端11中 的微處理器模塊112，通過比較解密後的入網應答報文明文23信息中用戶入網請求報文摘 要231與隨機數據存儲器114中保存的入網請求報文摘要214相符合，識別出針對自己入 網應答報文，取得網絡接入終端13指配給自己的終端登錄令牌232，存入隨機數據存儲器 114。第五步驟(S15)，入網用戶終端11通過數據收發裝置113向網絡接入終端13發送登錄報文24，所述的登錄報文24包括網絡接入終端13頒發的終端登錄令牌232的識別信 息241和其它信息242。第六步驟(S16)，網絡接入終端13從數據收發裝置131收到入網用產終端11發回 的登錄報文24以後，微處理器模塊132驗證登錄報文24中包含正確的終端登錄令牌識別 信息241，確認入網用戶終端11合法，完成通信連接的建立，為其分配連接資源，並將用戶 信息存入登錄用戶資料庫模塊135。經過上述步驟S11-S16，入網用戶終端11與網絡接入終端13之間建立了通信連 接，網絡接入終端13可以為入網用戶終端11分配帶寬資源，繼續後續網絡服務，如通過網 間數據收發模塊133向其它網絡節點轉發數據，或將從網間數據收發模塊133收到的其他 網絡節點的數據轉發給入網用戶終端11。第二實施例為了提高入網用戶終端11與網絡接入終端13之間登錄連接建立過程的安全性， 可以對入網用戶終端11與網絡接入終端13之間登錄連接的建立過程作如下改進，如圖3 所示的步驟S21-S26。入網用戶終端為了與網絡接入終端建立連接，第一步驟(S21)是入網用戶終端以 明文方式發送包括用戶密鑰種子矢量的入網請求報文。入網用戶終端11中的微處理器模 塊112根據用戶終端配置存儲器111中配置的碼字長度和隨機數種子等內容生成一個隨 機數X，然後由χ進一步生成用戶密鑰種子矢量211 (數學上記為X)，X = (χ)，生成函數 f^x)是包括加、減、乘、除、模除、異或、指數、對數、微分、積分、三角函數、替換、擴散、取系 統時間、附加隨機數或指定常數等一種或多種數學運算的多項式。然後通過數據收發裝置113以明文方式向網絡接入終端13發送入網請求報文21， 所述的入網請求報文21內容包括所述的用戶密鑰種子矢量211和其他信息213，同時在隨 機數據存儲器114中記錄用戶密鑰種子矢量211，隨後微處理器模塊112計算所述入網請 求報文21的摘要214並存入隨機數據存儲器114中，所述摘要的具體計算方法可以有多種 選擇，並將這種選擇作為其他信息213的一部分包含在入網請求報文21中。例如可以節選 入網請求報文的部分片段；也可以是對入網請求報文內容的任何一種運算，比如入網請求 報文的循環冗餘校驗，或者用戶密鑰種子矢量211的MD5散列值，或者以用戶密鑰種子矢量 211為加密密鑰，對入網請求報文21的加密運算結果。通常可以只規定一種計算摘要的簡 單方法，從而減少入網請求報文21中必須包含的數據量，達到簡化實現複雜度的目的。第二步驟(S22)，網絡接入終端以明文方式發送網絡密鑰種子矢量。網絡接入終端 13中的微處理器模塊132根據網絡接入終端配置存儲器134中配置的碼字長度和隨機數種 子等內容生成一個隨機數y，然後由y進一步生成網絡密鑰種子矢量221 (數學上記為Y)， Y = &(7)，生成函數&(》是包括加、減、乘、除、模除、異或、指數、對數、微分、積分、三角函數、替換、擴散、取系統時間、附加隨機數或指定常數等一種或多種數學運算的多項式。然後通過數據收發裝置131以明文方式向入網用戶終端11發送報文22，所述的報文22內容包括所述的網絡密鑰種子矢量221和其他信息222。入網用戶終端11從數據收 發裝置113接收到由網絡用戶終端13發送的包括網絡密鑰種子矢量221的報文22後，在 隨機數據存儲器114中記錄網絡密鑰種子矢量221。第三步驟(S23)，網絡接入終端13從數據收發裝置131收到入網用戶終端11發來 的入網請求報文21後，根據網絡接入終端配置存儲器134的配置ζ為入網用戶終端11分 配終端登錄令牌232(數學上記為Z)，Z = f3(z)，生成函數f3(z)是包括加、減、乘、除、模除、 異或、指數、對數、微分、積分、三角函數、替換、擴散、取系統時間、附加隨機數或指定常數等 一種或多種數學運算的多項式，可以在終端登錄令牌中加入後續通信的會話密鑰，也可以 在終端登錄令牌中加入指定的登錄時間。同時根據網絡接入終端配置存儲器134中的配置內容為入網用戶終端11隨機生 成密鑰調料234 (數學上記為R)，所述密鑰調料234為一個m比特的隨機數。微處理器模 塊132還計算用戶入網請求報文21的摘要231，所述的摘要231的計算方法以與第一步驟 中所述的方法相同，然後形成入網應答報文明文23，所述的入網應答報文明文23中包括用 戶入網請求報文摘要231、終端登錄令牌232和其他信息233。該入網應答報文明文23經 對稱密鑰加密算法加密成密文230後，經數據收發裝置131向入網用戶終端11發送。所述 密文230的對稱加密密鑰K包含用戶密鑰種子矢量211、網絡密鑰種子矢量221和密鑰調料 234的信息，其生成方法為K = &(乂3，1 )，生成函數&(乂3，10是包括加、減、乘、除、模除、 異或、指數、對數、微分、積分、三角函數、替換、擴散、取系統時間、附加隨機數或指定常數等 一種或多種數學運算的多項式。例如，直接將X、Y、R相乘後取模，得到最後的加密密鑰K; 再比如，將[(X2+Y2) R]作為最後的加密密鑰K ；再比如，加密密鑰K還可以分兩步實現首 先採用常規的Diffie-Hellman方法，由X和本地已知的y = Iog(Y)生成一個確定的加密 密鑰Kl = Xy，然後與密鑰調料R異或，得到最後的加密密鑰K=Kl θ R。所述的加密入網應答報文明文23的對稱密鑰加解密密碼運算算法可以有多種選 擇，並將這種選擇作為其他信息222的一部分包括在第二步驟的報文22中。例如可以選擇 非常經典的國際標準加密算法RC4、DES、3DES、IDEA、AES等，也可以是新設計的某種未公開 密碼算法。第四步驟(S24)，入網用戶終端11從數據收發裝置113每接收到一個入網應答報 文密文230後，嘗試窮舉可能的對稱解密密鑰K2解密入網應答報文密文230，得到入網應 答報文明文23。所述對稱解密密鑰K2包括用戶密鑰種子矢量211、網絡密鑰種子矢量221 和一個被窮舉出的密鑰調料S的信息，其生成方法與第三步驟中的對稱加密密鑰K的生成 方法相當，K2 = f5(X，Y，S)，生成函數f5(X，Y，S)是包括加、減、乘、除、模除、異或、指數、對 數、微分、積分、三角函數、替換、擴散、取系統時間、附加隨機數或指定常數等一種或多種數 學運算的多項式。例如，直接將X、Y、S相乘後取模，得到最後的對稱解密密鑰K2 ；再比如， 將[(X2+Y2) S]作為最後的解密密鑰K2 ；再比如，解密密鑰K2還可以分兩步實現首先採 用常規的Diffie-Hellman方法，由Y和本地已知的χ = Iog(X)生成一個確定的對稱解密 密鑰Κ3 = Υχ，然後與密鑰調料S異或，得到最後的解密密鑰Κ2=Κ3 S。入網用戶終端11中的微處理器模塊112，通過比較解密後的入網應答報文明文23信息中用戶入網請求報文摘要231與隨機數據存儲器114中保存的入網請求報文摘要214 相符合，識別出針對自己入網應答報文明文23，取得網絡接入終端13指配給自己的終端登 錄令牌232，存入隨機數據存儲器114。第五步驟(S25)，入網用戶終端11通過數據收發裝置113向網絡接入終端13發送 登錄報文24，所述的登錄報文24包括網絡接入終端13頒發的終端登錄令牌232的識別信 息241和其它信息242。
0102]第六步驟(S26)，網絡接入終端13從數據收發裝置131收到入網用戶終端11發回 的登錄報文24以後，微處理器模塊132驗證登錄報文24中包含正確的終端登錄令牌識別 信息241，確認入網用戶終端11合法，完成通信連接的建立，為其分配連接資源，並將用戶 信息存入登錄用戶資料庫模塊135。經過上述步驟S21-S26，入網用戶終端11與網絡接入終端13之間建立了通信連 接，網絡接入終端13可以為入網用戶終端11分配帶寬資源，繼續後續網絡服務，如通過網 間數據收發模塊133向其它網絡節點轉發數據，或將從網間數據收發模塊133收到的其他 網絡節點的數據轉發給入網用戶終端11。第三實施例為了進一步提高入網用戶終端11與網絡接入終端13之間登錄連接的建立過程的 安全性，還可以對入網用戶終端11與網絡接入終端13之間的登錄連接的建立過程作如下 改進，如圖4所示的步驟S31-S36。入網用戶終端為了與網絡接入終端建立連接，第一步驟(S31)是入網用戶終端以 明文方式發送包括終端用戶證書和用戶密鑰種子矢量的入網請求報文。入網用戶終端11 中的微處理器模塊112根據用戶終端配置存儲器111中的配置內容生成用戶密鑰種子矢 量211和終端用戶證書212，然後通過數據收發裝置113以明文方式向網絡接入終端13發 送入網請求報文21A，所述的入網請求報文21A內容包括所確定的用戶密鑰種子矢量211、 終端用戶證書212和其他信息213，同時在隨機數據存儲器114中記錄用戶密鑰種子矢量 211，隨後微處理器模塊112計算入網請求報文21A的摘要214並存入隨機數據存儲器114 中。第二步驟(S32)，網絡接入終端13從數據收發裝置131收到入網用戶終端11發來 的入網請求報文21A後，網絡接入終端13中的微處理器模塊132根據網絡接入終端配置存 儲器134中的配置內容生成網絡密鑰種子矢量221，然後使用終端用戶證書212中載明的終 端用戶公開密鑰加密網絡密鑰種子矢量221，並形成報文22A，所述的報文22A中包括網絡 密鑰種子矢量密文223和其他信息222，然後通過數據收發裝置131將加密後的網絡密鑰 種子矢量密文223的報文22k發送給入網用戶終端11。入網用戶終端11從數據收發裝置 113接收到由網絡用戶終端13發送的包括網絡密鑰種子矢量密文223的報文22A後，根據 用戶本地的終端用戶私有密鑰解密網絡密鑰種子矢量密文223，獲得網絡密鑰種子矢量明 文221，然後在隨機數據存儲器114中記錄網絡密鑰種子矢量明文221。第三步驟(S33)，網絡接入終端13從數據收發裝置131收到入網用戶終端11發來 的入網請求報文21A後，微處理器模塊132根據網絡接入終端配置存儲器134中的配置內 容為入網用戶終端11分配終端登錄令牌232，同時準備密鑰調料234，微處理器模塊132還 計算用戶入網請求報文21A的摘要231，並形成入網應答報文明文23，所述的入網應答報文明文23中包括用戶入網請求報文摘要231、終端登錄令牌232和其他信息233。然後以密 文方式向入網用戶終端11發送包括用戶入網請求報文摘要231和終端登錄令牌232的入 網應答報文密文230，所述密文的加密密鑰包含用戶密鑰種子矢量211、網絡密鑰種子矢量 221和密鑰調料234信息。第四步驟(S34)，入網用戶終端11從數據收發裝置113每接收到一個入網應答報文密文230後，解密入網應答報文密文230，得到入網應答報文明文23 ；入網用戶終端11中 的微處理器模塊112，通過比較解密後的入網應答報文明文23信息中用戶入網請求報文摘 要231與隨機數據存儲器114中保存的入網請求報文摘要214相符合，識別出針對自己入 網應答報文，取得網絡接入終端13指配給自己的終端登錄令牌232，存入隨機數據存儲器 114。第五步驟(S35)，入網用戶終端11通過數據收發裝置113向網絡接入終端13發送 登錄報文24，所述的登錄報文24包括網絡接入終端13頒發的終端登錄令牌232的識別信 息241和其它信息242。第六步驟(S36)，網絡接入終端13從數據收發裝置131收到入網用戶終端11發回 的登錄報文24以後，微處理器模塊132驗證登錄報文24中包含正確的終端登錄令牌識別 信息241，確認入網用戶終端11合法，完成通信連接的建立，為其分配連接資源，並將用戶 信息存入登錄用戶資料庫模塊135。經過上述步驟S31-S36，入網用戶終端11與網絡接入終端13之間建立了通信連 接，網絡接入終端13可以為入網用戶終端11分配帶寬資源，繼續後續網絡服務，如通過網 間數據收發模塊133向其它網絡節點轉發數據，或將從網間數據收發模塊133收到的其他 網絡節點的數據轉發給入網用戶終端11。第四實施例為了進一步提高入網用戶終端11與網絡接入終端13之間登錄連接的建立過程的 安全性，還可以對入網用戶終端11與網絡接入終端13之間的登錄連接的建立過程作如下 改進，如圖5所示的步驟S41-S46。入網用戶終端為了與網絡接入終端建立連接，第一步驟(S41)是入網用戶終端以 明文方式發送包括終端用戶證書和用戶密鑰種子矢量的入網請求報文。入網用戶終端11 中的微處理器模塊112首先根據用戶終端配置存儲器111中的配置內容生成終端用戶證書 212，同時微處理器模塊112根據用戶終端配置存儲器111中的配置內容生成一個隨機數X， 然後由χ進一步生成用戶密鑰種子矢量211 (數學上記為X)，X = (χ)，生成函數(χ)是 包括加、減、乘、除、模除、異或、指數、對數、微分、積分、三角函數、替換、擴散、取系統時間、 附加隨機數或指定常數等一種或多種數學運算的多項式。然後通過數據收發裝置113以明文方式向網絡接入終端13發送入網請求報文 21Α，所述的入網請求報文21Α內容包括所述的用戶密鑰種子矢量211、用戶終端證書212和 其他信息213，同時在隨機數據存儲器114中記錄用戶密鑰種子矢量211，隨後微處理器模 塊112計算入網請求報文21Α的摘要214並存入隨機數據存儲器114中，所述摘要的具體 計算方法可以有多種選擇，並將這種選擇作為其他信息213的一部分包含在入網請求報文 21Α中。例如可以節選入網請求報文的部分片段；也可以是對入網請求報文內容的任何一 種運算，比如入網請求報文的循環冗餘校驗，或者用戶密鑰種子矢量211的MD5散列值，或者以用戶密鑰種子矢量211為加密密鑰，對入網請求報文21A的加密運算結果。通常可以 只規定一種計算摘要的簡單方法，從而減少入網請求報文21A中必須包含的數據量，達到 簡化實現複雜度的目的。第二步驟(S42)，網絡接入終端13從數據收發裝置131收到入網用戶終端11發來 的入網請求報文21A後，網絡接入終端13中的微處理器模塊132根據網絡接入終端配置存 儲器134中的配置內容生成一個隨機數y，然後由y進一步生成網絡密鑰種子矢量221 (數 學上記為Y)，Y = f2(y)，生成函數f2(y)是包括加、減、乘、除、模除、異或、指數、對數、微分、 積分、三角函數、替換、擴散、取系統時間、附加隨機數或指定常數等一種或多種數學運算的 多項式。然後使用終端用戶證書212中載明的終端用戶公開密鑰加密網絡密鑰種子矢量 明文221，並形成報文22A，所述的報文22A中包括網絡密鑰種子矢量密文223和其他信息 222。然後通過數據收發裝置131將加密後的網絡密鑰種子矢量密文223的報文22A發送 給入網用戶終端11。入網用戶終端11從數據收發裝置113接收到由網絡用戶終端13發送 的包括網絡密鑰種子矢量密文223的報文22A後，根據用戶本地的終端用戶私有密鑰解密 網絡密鑰種子矢量密文223，獲得網絡密鑰種子矢量明文221，在隨機數據存儲器114中記 錄網絡密鑰種子矢量明文221。第三步驟(S43)，網絡接入終端13從數據收發裝置131收到入網用戶終端11發來 的入網請求報文21A後，根據網絡接入終端配置存儲器134的配置z為入網用戶終端11分 配終端登錄令牌232(數學上記為Z)，Z = f3(z)，生成函數f3(z)是包括加、減、乘、除、模除、 異或、指數、對數、微分、積分、三角函數、替換、擴散、取系統時間、附加隨機數或指定常數等 一種或多種數學運算的多項式，可以在終端登錄令牌中加入指定的登錄時間，也可以在終 端登錄令牌中加入後續通信的會話密鑰。同時根據網絡接入終端配置存儲器134所配置的要求為入網用戶終端11隨機生 成密鑰調料234 (數學上記為R)，所述密鑰調料234為一個m比特的隨機數。微處理器模塊 132還計算用戶入網請求報文21A的摘要231，所述的摘要231的計算方法以與第一步驟中 所述的方法相同，然後形成入網應答報文明文23，所述的入網應答報文明文23中包括用戶 入網請求報文摘要231、終端登錄令牌232和其他信息233。該入網應答報文明文23經對 稱密鑰加密算法加密成密文230後，經數據收發裝置131向入網用戶終端11發送。所述密 文230的對稱加密密鑰K包含用戶密鑰種子矢量211、網絡密鑰種子矢量221和密鑰調料 234的信息，其生成方法為K = f4(X，Y，R)，生成函數&(乂，￥，1 )是包括加、減、乘、除、模除、 異或、指數、對數、微分、積分、三角函數、替換、擴散、取系統時間、附加隨機數或指定常數等 一種或多種數學運算的多項式。例如，直接將X、Y、R相乘後取模，得到最後的加密密鑰K; 再比如，將[(X2+Y2) R]作為最後的加密密鑰K ；再比如，加密密鑰K還可以分兩步實現首 先採用常規的Diffie-Hellman方法，由X和本地已知的y = log(Y)生成一個確定的加密 密鑰Kl = V,然後與密鑰調料R異或，得到最後的加密密鑰K=K1 R。所述的加密入網應答報文明文23的對稱密鑰加解密密碼運算算法可以有多種選 擇，並將這種選擇作為其他信息222的一部分包括在第二步驟的報文22A中。例如可以選 擇非常經典的國際標準加密算法RC4、DES、3DES、IDEA、AES等，也可以是新設計的某種未公 開密碼算法。
16
第四步驟(S44)，入網用戶終端11從數據收發裝置113每接收到一個入網應答報 文密文230後，嘗試窮舉可能的對稱加解密密鑰K2解密入網應答報文密文230，得到入網 應答報文明文23。所述對稱解密密鑰K2包括用戶密鑰種子矢量211、網絡密鑰種子矢量 221和一個被窮舉出的密鑰調料S的信息，其生成方法與第三步驟中的對稱加密密鑰K的生 成方法相當，K2 = f5(X，Y，S)，生成函數f5(X，Y，S)是包括加、減、乘、除、模除、異或、指數、 對數、微分、積分、三角函數、替換、擴散、取系統時間、附加隨機數或指定常數等一種或多種 數學運算的多項式。例如，直接將X、Y、S相乘後取模，得到最後的解密密鑰K2;再比如，將 [(X2+Y2) S]作為最後的解密密鑰K2 ；再比如，解密密鑰K2還可以分兩步實現首先採用常 規的Diffie-Hellman方法，由Y和本地已知的x = log(X)生成一個確定的解密密鑰K3 = Yx，然後與密鑰調料S異或，得到最後的解密密鑰K2=K3 So入網用戶終端11中的微處理器模塊112，通過比較解密後的入網應答報文明文23 信息中用戶入網請求報文摘要231與隨機數據存儲器114中保存的入網請求報文摘要214 相符合，識別出針對自己入網應答報文明文23，取得網絡接入終端13指配給自己的終端登 錄令牌232，存入隨機數據存儲器114。第五步驟(S45)，入網用戶終端11通過數據收發裝置113向網絡接入終端13發送 登錄報文24，所述的登錄報文24包括網絡接入終端13頒發的終端登錄令牌232的識別信 息241和其它信息242。第六步驟(S46)，網絡接入終端13從數據收發裝置131收到入網用戶終端11發回 的登錄報文24以後，微處理器模塊132驗證登錄報文24中包含正確的終端登錄令牌識別 信息241，確認入網用戶終端11合法，完成通信連接的建立，為其分配連接資源，並將用戶 信息存入登錄用戶資料庫模塊135。經過上述步驟S41-S46，入網用戶終端11與網絡接入終端13之間建立了通信連 接，網絡接入終端13可以為入網用戶終端11分配帶寬資源，繼續後續網絡服務，如通過網 間數據收發模塊133向其它網絡節點轉發數據，或將從網間數據收發模塊133收到的其他 網絡節點的數據轉發給入網用戶終端11。第五實施例為了進一步提高入網用戶終端11與網絡接入終端13之間登錄連接的建立過程的 安全性，還可以對入網用戶終端11與網絡接入終端13之間的登錄連接的建立過程作如下 改進，如圖6所示的步驟S51-S56。入網用戶終端為了與網絡接入終端建立連接，第一步驟(S51)是入網用戶終端以 明文方式發送包括用戶密鑰種子矢量的入網請求報文。入網用戶終端11中的微處理器模 塊112根據用戶終端配置存儲器111中配置的碼字長度和隨機數種子等內容生成一個隨機 數x，然後由x和當前系統時間tx共同生成用戶密鑰種子矢量211A(數學上記為，= f6(x,、)，生成函數4(1 tx)是包括加、減、乘、除、模除、異或、指數、對數、微分、積分、三角 函數、替換、擴散、取系統時間、附加隨機數或指定常數等一種或多種數學運算的多項式。然後通過數據收發裝置113以明文方式向網絡接入終端13發送入網請求報文 21B，所述的入網請求報文21B內容包括所確定的用戶密鑰種子矢量211A和其他信息213， 同時在隨機數據存儲器114中記錄用戶密鑰種子矢量211A，隨後微處理器模塊112計算入 網請求報文21B的摘要214並存入隨機數據存儲器114中。
17
第二步驟(S52)，網絡接入終端以明文方式發送網絡密鑰種子矢量。網絡接入終端 13中的微處理器模塊132根據網絡接入終端配置存儲器134中配置的碼字長度和隨機數種 子等內容生成一個隨機數y，然後由y進一步生成網絡密鑰種子矢量221 (數學上記為Y)， Y = &(7)，生成函數&(》是包括加、減、乘、除、模除、異或、指數、對數、微分、積分、三角函 數、替換、擴散、取系統時間、附加隨機數或指定常數等一種或多種數學運算的多項式。然後通過數據收發裝置131以明文方式向入網用戶終端11發送報文22，所述的報 文22內容包括所確定的網絡密鑰種子矢量221和其他信息222。入網用戶終端11從數據 收發裝置113接收到由網絡用戶終端13發送的包括網絡密鑰種子矢量221的報文22，然後 在隨機數據存儲器114中記錄網絡密鑰種子矢量221。第三步驟(S53)，網絡接入終端13從數據收發裝置131收到入網用戶終端11發 來的入網請求報文21B後，根據網絡接入終端配置存儲器134中的配置內容為入網用戶終 端11分配終端登錄令牌232，同時準備密鑰調料234，微處理器模塊132還計算用戶入網請 求報文21B的摘要231，並形成入網應答報文明文23，所述的入網應答報文明文23中包括 用戶入網請求報文摘要231、終端登錄令牌232和其他信息233。然後以密文方式向入網用 戶終端11發送包括用戶入網請求報文摘要231和終端登錄令牌232的入網應答報文密文 230，所述密文的加密密鑰包含用戶密鑰種子矢量211A、網絡密鑰種子矢量221和密鑰調料 234 fp 肩、o第四步驟(S54)，入網用戶終端11從數據收發裝置113每接收到一個入網應答報 文密文230後，解密入網應答報文密文230，得到入網應答報文明文23 ；入網用戶終端11中 的微處理器模塊112，通過比較解密後的入網應答報文明文23信息中用戶入網請求報文摘 要231與隨機數據存儲器114中保存的入網請求報文摘要214相符合，識別出針對自己入 網應答報文，取得網絡接入終端13指配給自己的終端登錄令牌232，存入隨機數據存儲器 114。第五步驟(S55)，入網用戶終端11通過數據收發裝置113向網絡接入終端13發送 登錄報文24，所述的登錄報文24包括網絡接入終端13頒發的終端登錄令牌232的識別信 息241和其它信息242。第六步驟(S56)，網絡接入終端13從數據收發裝置131收到入網用戶終端11發回 的登錄報文24以後，微處理器模塊132驗證登錄報文24中包含正確的終端登錄令牌識別 信息241，確認入網用戶終端11合法，完成通信連接的建立，為其分配連接資源，並將用戶 信息存入登錄用戶資料庫模塊135。經過上述步驟S51-S56，入網用戶終端11與網絡接入終端13之間建立了通信連 接，網絡接入終端13可以為入網用戶終端11分配帶寬資源，繼續後續網絡服務，如通過網 間數據收發模塊133向其它網絡節點轉發數據，或將從網間數據收發模塊133收到的其他 網絡節點的數據轉發給入網用戶終端11。第六實施例為了進一步提高入網用戶終端11與網絡接入終端13之間登錄連接的建立過程的安全性，還可以對入網用戶終端11與網絡接入終端13之間的登錄連接的建立過程作如下 改進，如圖7所示的步驟S61-S66。入網用戶終端為了與網絡接入終端建立連接，第一步驟(S61)入網用戶終端11中的微處理器模塊112根據用戶終端配置存儲器111中配置的碼字長度和隨機數種子等內容 生成一個隨機數X，然後由x進一步生成用戶密鑰種子矢量211 (數學上記為X)，X = f工(x)， 生成函數4 00是包括加、減、乘、除、模除、異或、指數、對數、微分、積分、三角函數、替換、擴 散、取系統時間、附加隨機數或指定常數等一種或多種數學運算的多項式。然後通過數據收發裝置113以明文方式向網絡接入終端13發送入網請求報文21， 所述的入網請求報文21內容包括所確定的用戶密鑰種子矢量211和其他信息213，同時在 隨機數據存儲器114中記錄用戶密鑰種子矢量211，隨後微處理器模塊112計算入網請求報 文21的摘要214並存入隨機數據存儲器114中。第二步驟(S62)，網絡接入終端以明文方式發送網絡密鑰種子矢量。網絡接入終 端13中的微處理器模塊132根據網絡接入終端配置存儲器134中配置的碼字長度和隨機 數種子等內容生成一個隨機數y，然後由y和當前系統時間ty進一步生成網絡密鑰種子矢 量221A (數學上記為Yi)，Yi = f7(y, ty)，生成函數f7 (y，ty)是包括加、減、乘、除、模除、異 或、指數、對數、微分、積分、三角函數、替換、擴散、取系統時間、附加隨機數或指定常數等一 種或多種數學運算的多項式。然後通過數據收發裝置131以明文方式向入網用戶終端11發送報文22B，所述的 報文22B內容包括所確定的網絡密鑰種子矢量221A和其他信息222。入網用戶終端11從 數據收發裝置113接收到由網絡用戶終端13發送的包括網絡密鑰種子矢量221A的報文 22B，然後在隨機數據存儲器114中記錄網絡密鑰種子矢量221A。第三步驟(S63)，網絡接入終端13從數據收發裝置131收到入網用戶終端11發 來的入網請求報文21後，根據網絡接入終端配置存儲器134中的配置內容為入網用戶終端 11分配終端登錄令牌232，同時準備密鑰調料234，微處理器模塊132還計算用戶入網請求 報文21的摘要231，並形成入網應答報文明文23，所述的入網應答報文明文23中包括用戶 入網請求報文摘要231、終端登錄令牌232和其他信息233。然後以密文方式向入網用戶終 端11發送包括用戶入網請求報文摘要231和終端登錄令牌232的入網應答報文密文230， 所述密文的加密密鑰包含用戶密鑰種子矢量211、網絡密鑰種子矢量221A和密鑰調料234信息。第四步驟(S64)，入網用戶終端11從數據收發裝置113每接收到一個入網應答報 文密文230後，解密入網應答報文密文230，得到入網應答報文明文23 ；入網用戶終端11中 的微處理器模塊112，通過比較解密後的入網應答報文明文23信息中用戶入網請求報文摘 要231與隨機數據存儲器114中保存的入網請求報文摘要214相符合，識別出針對自己入 網應答報文，取得網絡接入終端13指配給自己的終端登錄令牌232，存入隨機數據存儲器 114。第五步驟(S65)，入網用戶終端11通過數據收發裝置113向網絡接入終端13發送 登錄報文24，所述的登錄報文24包括網絡接入終端13頒發的終端登錄令牌232的識別信 息241和其它信息242。第六步驟(S66)，網絡接入終端13從數據收發裝置131收到入網用戶終端11發回 的登錄報文24以後，微處理器模塊132驗證登錄報文24中包含正確的終端登錄令牌識別 信息241，確認入網用戶終端11合法，完成通信連接的建立，為其分配連接資源，並將用戶 信息存入登錄用戶資料庫模塊135。
經過上述步驟S61-S66，入網用戶終端11與網絡接入終端13之間建立了通信連 接，網絡接入終端13可以為入網用戶終端11分配帶寬資源，繼續後續網絡服務，如通過網 間數據收發模塊133向其它網絡節點轉發數據，或將從網間數據收發模塊133收到的其他 網絡節點的數據轉發給入網用戶終端11。第七實施例為了進一步提高入網用戶終端11與網絡接入終端13之間登錄連接的建立過程的 安全性，還可以對入網用戶終端11與網絡接入終端13之間的登錄連接的建立過程作如下 改進，如圖8所示的步驟S71-S76。入網用戶終端為了與網絡接入終端建立連接，第一步驟(S71)是入網用戶終端以 明文方式發送包括終端用戶證書和用戶密鑰種子矢量的入網請求報文。入網用戶終端11 中的微處理器模塊112首先根據用戶終端配置存儲器111中的配置內容生成終端用戶證書 212，同時根據用戶終端配置存儲器111中配置的碼字長度和隨機數種子等內容生成一個 隨機數x，然後由x和當前系統時間、共同生成用戶密鑰種子矢量211A(數學上記為&)，& =f6(x, tx)，生成函數4(1 tx)是包括力卩、減、乘、除、模除、異或、指數、對數、微分、積分、三 角函數、替換、擴散、取系統時間、附加隨機數或指定常數等一種或多種數學運算的多項式。然後通過數據收發裝置113以明文方式向網絡接入終端13發送入網請求報文 21C，所述的入網請求報文21C內容包括所確定的用戶密鑰種子矢量211A、用戶終端證書 212和其他信息213，同時在隨機數據存儲器114中記錄用戶密鑰種子矢量211A，隨後微處 理器模塊112計算入網請求報文21C的摘要214並存入隨機數據存儲器114中。第二步驟(S72)，網絡接入終端13從數據收發裝置131收到入網用戶終端11發來 的入網請求報文21C後，網絡接入終端13中的微處理器模塊132根據網絡接入終端配置存 儲器134中配置的碼字長度和隨機數種子等內容生成一個隨機數y，然後由y和當前系統時 間ty進一步生成網絡密鑰種子矢量221A(數學上記為A)，A = f7(y，ty)，生成函數f7(y， ty)是包括加、減、乘、除、模除、異或、指數、對數、微分、積分、三角函數、替換、擴散、取系統 時間、附加隨機數或指定常數等一種或多種數學運算的多項式。然後使用終端用戶證書212中載明的終端用戶公開密鑰加密網絡密鑰種子矢量 221A，並形成報文22C，所述的報文22C中包括網絡密鑰種子矢量密文223A和其他信息 222，然後通過數據收發裝置131向入網用戶終端11發送包括網絡密鑰種子矢量密文223A 的報文22C。入網用戶終端11從數據收發裝置113接收到由網絡用戶終端13發送的包括 網絡密鑰種子矢量密文223A的報文22C後，根據用戶本地的終端用戶私有密鑰解密網絡密 鑰種子矢量密文223A，獲得網絡密鑰種子矢量明文221A，然後在隨機數據存儲器114中記 錄網絡密鑰種子矢量明文221A。第三步驟(S73)，網絡接入終端13從數據收發裝置131收到入網用戶終端11發 來的入網請求報文21C後，根據網絡接入終端配置存儲器134中的配置內容為入網用戶終 端11分配終端登錄令牌232，同時準備密鑰調料234，微處理器模塊132還計算用戶入網請 求報文21C的摘要231，並形成入網應答報文明文23，所述的入網應答報文明文23中包括 用戶入網請求報文摘要231、終端登錄令牌232和其他信息233。然後以密文方式向入網用 戶終端11發送包括用戶入網請求報文摘要231和終端登錄令牌232的入網應答報文密文 230，所述密文的加密密鑰包含用戶密鑰種子矢量211A、網絡密鑰種子矢量221A和密鑰調料234信息。第四步驟(S74)，入網用戶終端11從數據收發裝置113每接收到一個入網應答報 文密文230後，解密入網應答報文密文230，得到入網應答報文明文23 ；入網用戶終端11中 的微處理器模塊112，通過比較解密後的入網應答報文明文23信息中用戶入網請求報文摘 要231與隨機數據存儲器114中保存的入網請求報文摘要214相符合，識別出針對自己入 網應答報文，取得網絡接入終端13指配給自己的終端登錄令牌232，存入隨機數據存儲器 114。第五步驟(S75)，入網用戶終端11通過數據收發裝置113向網絡接入終端13發送 登錄報文24，所述的登錄報文24包括網絡接入終端13頒發的終端登錄令牌232的識別信 息241和其它信息242。第六步驟(S76)，網絡接入終端13從數據收發裝置131收到入網用戶終端11發回 的登錄報文24以後，微處理器模塊132驗證登錄報文24中包含正確的終端登錄令牌識別 信息241，確認入網用戶終端11合法，完成通信連接的建立，為其分配連接資源，並將用戶 信息存入登錄用戶資料庫模塊135。經過上述步驟S71-S76，入網用戶終端11與網絡接入終端13之間建立了通信連 接，網絡接入終端13可以為入網用戶終端11分配帶寬資源，繼續後續網絡服務，如通過網 間數據收發模塊133向其它網絡節點轉發數據，或將從網間數據收發模塊133收到的其他 網絡節點的數據轉發給入網用戶終端11。第八實施例為了進一步提高入網用戶終端11與網絡接入終端13之間登錄連接的建立過程的 安全性，還可以對入網用戶終端11與網絡接入終端13之間的登錄連接的建立過程作如下 改進，如圖9所示的步驟S81-S86。入網用戶終端為了與網絡接入終端建立連接，第一步驟(S81)是入網用戶終端以 明文方式發送包括用戶密鑰種子矢量的入網請求報文。入網用戶終端11中的微處理器模 塊112根據用戶終端配置存儲器111中的配置內容生成用戶密鑰種子矢量211，然後通過數 據收發裝置113以明文方式向網絡接入終端13發送入網請求報文21，所述的入網請求報文 21內容包括所確定的用戶密鑰種子矢量211和其他信息213，同時在隨機數據存儲器114 中記錄用戶密鑰種子矢量211，隨後微處理器模塊112計算入網請求報文21的摘要214並 存入隨機數據存儲器114中。第二步驟(S82)，網絡接入終端以明文方式發送網絡密鑰種子矢量。網絡接入終端 13中的微處理器模塊132根據網絡接入終端配置存儲器134中的配置內容生成網絡密鑰 種子矢量221，然後通過數據收發裝置131以明文方式向入網用戶終端11發送報文22，所 述的報文22內容包括所確定的網絡密鑰種子矢量221和其他信息222。入網用戶終端11 從數據收發裝置113接收到由網絡用戶終端13發送的包括網絡密鑰種子矢量221的報文 22，然後在隨機數據存儲器114中記錄網絡密鑰種子矢量221。第三步驟(S83)，網絡接入終端13從數據收發裝置131收到入網用戶終端11發來 的入網請求報文21後，根據網絡接入終端配置存儲器134的配置z為入網用戶終端11分 配終端登錄令牌232A，所述的終端登錄令牌232A包括終端登錄令牌初值Z1和後期通信的 會話密鑰K4，所述的終端登錄令牌初值Z1 = &(2)，生成函數&(2)是包括加、減、乘、除、模除、異或、指數、對數、微分、積分、三角函數、替換、擴散、取系統時間、附加隨機數或指定常 數等一種或多種數學運算的多項式。例如，如圖28所示，直接在後期通信的會話密鑰K4後 附加終端登錄令牌初值Zl，得到最後的終端登錄令牌232A ；再比如，如圖29所示，將後期通 信的會話密鑰K4附加到終端登錄令牌初值Zl後，將所得的整個值作為終端登錄令牌232A ； 再比如，如圖30所示，可以將後期通信的會話密鑰K4插入到終端登錄令牌初值Zl的內部 指定位置，最後所得的值作為終端登錄令牌232A。同時還準備密鑰調料234，微處理器模塊132還計算用戶入網請求報文21的摘要 231，並形成入網應答報文明文23A，所述的入網應答報文明文23A中包括用戶入網請求報 文摘要231、終端登錄令牌232A和其他信息233。然後以密文方式向入網用戶終端11發送 包括用戶入網請求報文摘要231和終端登錄令牌232A的入網應答報文密文230A，所述密文 的加密密鑰包含用戶密鑰種子矢量211、網絡密鑰種子矢量221和密鑰調料234信息。第四步驟(S84)，入網用戶終端11從數據收發裝置113每接收到一個入網應答報 文密文230A後，解密入網應答報文密文230A，得到入網應答報文明文23A ；入網用戶終端 11中的微處理器模塊112，通過比較解密後的入網應答報文明文23A信息中用戶入網請求 報文摘要231與隨機數據存儲器114中保存的入網請求報文摘要214相符合，識別出針對 自己入網應答報文，取得網絡接入終端13指配給自己的終端登錄令牌232A，存入隨機數據 存儲器114。第五步驟(S85)，入網用戶終端11通過數據收發裝置113向網絡接入終端13發送 登錄報文24A，所述的登錄報文24A包括網絡接入終端13頒發的終端登錄令牌232A的識別 信息24IA和其它信息242。
第六步驟(S86)，網絡接入終端13從數據收發裝置131收到入網用戶終端11發回 的登錄報文24A以後，微處理器模塊132驗證登錄報文24A中包含正確的終端登錄令牌識 別信息241A，確認入網用戶終端11合法，完成通信連接的建立，為其分配連接資源，並將用 戶信息存入登錄用戶資料庫模塊135。經過上述步驟S81-S86，入網用戶終端11與網絡接入終端13之間建立了通信連 接，網絡接入終端13可以為入網用戶終端11分配帶寬資源，繼續後續網絡服務，如通過網 間數據收發模塊133向其它網絡節點轉發數據，或將從網間數據收發模塊133收到的其他 網絡節點的數據轉發給入網用戶終端11。第九實施例為了進一步提高入網用戶終端11與網絡接入終端13之間登錄連接的建立過程的 安全性，還可以對入網用戶終端11與網絡接入終端13之間的登錄連接的建立過程作如下 改進，如圖10所示的步驟S91-S96。入網用戶終端為了與網絡接入終端建立連接，第一步驟(S91)是入網用戶終端以 明文方式發送包括用戶密鑰種子矢量的入網請求報文。入網用戶終端11中的微處理器模 塊112根據用戶終端配置存儲器111中的配置內容生成用戶密鑰種子矢量211，然後通過數 據收發裝置113以明文方式向網絡接入終端13發送入網請求報文21，所述的入網請求報文 21內容包括所確定的用戶密鑰種子矢量211和其他信息213，同時在隨機數據存儲器114 中記錄用戶密鑰種子矢量211，隨後微處理器模塊112計算入網請求報文21的摘要214並 存入隨機數據存儲器114中。
第二步驟(S92)，網絡接入終端以明文方式發送網絡密鑰種子矢量。網絡接入終端 13中的微處理器模塊132根據網絡接入終端配置存儲器134中的配置內容生成網絡密鑰 種子矢量221，然後通過數據收發裝置131以明文方式向入網用戶終端11發送報文22，所 述的報文22內容包括所確定的網絡密鑰種子矢量221和其他信息222。入網用戶終端11 從數據收發裝置113接收到由網絡用戶終端13發送的包括網絡密鑰種子矢量221的報文 22，然後在隨機數據存儲器114中記錄網絡密鑰種子矢量221。第三步驟(S93)，網絡接入終端13從數據收發裝置131收到入網用戶終端11發來 的入網請求報文21後，根據網絡接入終端配置存儲器134的配置ζ為入網用戶終端11分 配終端登錄令牌232B，所述的終端登錄令牌232B包括終端登錄令牌初值Zl和指定的登錄 時間T，所述的終端登錄令牌初值Zl = f8(ζ)，生成函數f8(ζ)是包括加、減、乘、除、模除、異 或、指數、對數、微分、積分、三角函數、替換、擴散、取系統時間、附加隨機數或指定常數等一 種或多種數學運算的多項式。例如，如圖31所示，直接在指定的登錄時間T後附加終端登 錄令牌初值Z1，得到最後的終端登錄令牌232B ；再比如，如圖32所示，將指定的登錄時間T 附加到終端登錄令牌初值Zl後，將所得的整個值作為終端登錄令牌232B ；再比如，如圖33 所示，可以將指定的登錄時間T插入到終端登錄令牌初值Zl的內部指定位置，最後所得的 值作為終端登錄令牌232B。同時還準備密鑰調料234，微處理器模塊132還計算用戶入網請求報文21的摘要 231，並形成入網應答報文明文23B，所述的入網應答報文明文23B中包括用戶入網請求報 文摘要231、終端登錄令牌232B和其他信息233。然後以密文方式向入網用戶終端11發送 包括用戶入網請求報文摘要231和終端登錄令牌232B的入網應答報文密文230B，所述密文 的加密密鑰包含用戶密鑰種子矢量211、網絡密鑰種子矢量221和密鑰調料234信息。第四步驟(S94)，入網用戶終端11從數據收發裝置113每接收到一個入網應答報 文密文230B後，解密入網應答報文密文230B，得到入網應答報文明文23B ；入網用戶終端 11中的微處理器模塊112，通過比較解密後的入網應答報文明文23B信息中用戶入網請求 報文摘要231與隨機數據存儲器114中保存的入網請求報文摘要214相符合，識別出針對 自己入網應答報文，取得網絡接入終端13指配給自己的終端登錄令牌232B，存入隨機數據 存儲器114。第五步驟(S95)，入網用戶終端11通過數據收發裝置113向網絡接入終端13發送 登錄報文24B，所述的登錄報文24B包括網絡接入終端13頒發的終端登錄令牌232B的識別 信息24IB和其它信息242。第六步驟(S96)，網絡接入終端13從數據收發裝置131收到入網用戶終端11發回 的登錄報文24B以後，微處理器模塊132驗證登錄報文24B中包含正確的終端登錄令牌識 別信息241B，確認入網用戶終端11合法，完成通信連接的建立，為其分配連接資源，並將用 戶信息存入登錄用戶資料庫模塊135。經過上述步驟S91-S96，入網用戶終端11與網絡接入終端13之間建立了通信連 接，網絡接入終端13可以為入網用戶終端11分配帶寬資源，繼續後續網絡服務，如通過網 間數據收發模塊133向其它網絡節點轉發數據，或將從網間數據收發模塊133收到的其他 網絡節點的數據轉發給入網用戶終端11。第十實施例
為了進一步提高入網用戶終端11與網絡接入終端13之間登錄連接的建立過程的 安全性，還可以對入網用戶終端11與網絡接入終端13之間的登錄連接的建立過程作如下 改進，如圖11所示的步驟S101-S106。入網用戶終端為了與網絡接入終端建立連接，第一步驟(SlOl)是入網用戶終端 以明文方式發送包括終端用戶證書和用戶密鑰種子矢量的入網請求報文。入網用戶終端11 中的微處理器模塊112根據用戶終端配置存儲器111中的配置內容生成用戶密鑰種子矢 量211和終端用戶證書212，然後通過數據收發裝置113以明文方式向網絡接入終端13發 送入網請求報文21A，所述的入網請求報文21A內容包括所確定的用戶密鑰種子矢量211、 用戶終端證書212和其他信息213，同時在隨機數據存儲器114中記錄用戶密鑰種子矢量 211，隨後微處理器模塊112計算入網請求報文21A的摘要214並存入隨機數據存儲器114 中。第二步驟(S102)，網絡接入終端13從數據收發裝置131收到入網用戶終端11發 來的入網請求報文21A後，網絡接入終端13中的微處理器模塊132根據網絡接入終端配置 存儲器134中的配置內容生成網絡密鑰種子矢量221，然後使用終端用戶證書212中載明的 終端用戶公開密鑰加密網絡密鑰種子矢量221，並形成報文22A，所述的報文22A中包括網 絡密鑰種子矢量密文223和其他信息222，然後通過數據收發裝置131將加密後的網絡密鑰 種子矢量密文223的報文22A發送給入網用戶終端11。入網用戶終端11從數據收發裝置 113接收到由網絡用戶終端13發送的包括網絡密鑰種子矢量密文223的報文22A後，根據 用戶本地的終端用戶私有密鑰解密網絡密鑰種子矢量密文223，獲得網絡密鑰種子矢量明 文221，然後在隨機數據存儲器114中記錄網絡密鑰種子矢量明文221。第三步驟(S103)，網絡接入終端13從數據收發裝置131收到入網用戶終端11發 來的入網請求報文21A後，根據網絡接入終端配置存儲器134的配置ζ為入網用戶終端11 分配終端登錄令牌232C，所述的終端登錄令牌232C包括終端登錄令牌初值Zl、後期通信的 會話密鑰K4和指定的登錄時間T，所述的終端登錄令牌初值Zl = f8(z)，生成函數&(2)是 包括加、減、乘、除、模除、異或、指數、對數、微分、積分、三角函數、替換、擴散、取系統時間、 附加隨機數或指定常數等一種或多種數學運算的多項式。例如，如圖34所示，直接在後期 通信的會話密鑰K4後附加指定的登錄時間T，在指定的登錄時間T後附加終端登錄令牌初 值Zl，得到最後的終端登錄令牌232C ；再比如，如圖35所示將後期通信的會話密鑰K4和指 定的登錄時間T都附加到終端登錄令牌初值Zl的後面，將所得的整個值作為終端登錄令牌 232C ；再比如，如圖36所示，可以將後期通信的會話密鑰K4和指定的登錄時間T分別插入 到終端登錄令牌初值Zl的內部指定位置，最後所得的值作為終端登錄令牌232C。同時還準備密鑰調料234，微處理器模塊132還計算用戶入網請求報文21A的摘 要231，並形成入網應答報文明文23C，所述的入網應答報文明文23C中包括用戶入網請求 報文摘要231、終端登錄令牌232C和其他信息233。然後以密文方式向入網用戶終端11發 送包括用戶入網請求報文摘要231和終端登錄令牌232C的入網應答報文密文230C，所述密 文的加密密鑰包含用戶密鑰種子矢量211、網絡密鑰種子矢量221和密鑰調料234信息。第四步驟(S104)，入網用戶終端11從數據收發裝置113每接收到一個入網應答報文密文230C後，解密入網應答報文密文230C，得到入網應答報文明文23C ；入網用戶終端 11中的微處理器模塊112，通過比較解密後的入網應答報文明文23C信息中用戶入網請求報文摘要231與隨機數據存儲器114中保存的入網請求報文摘要214相符合，識別出針對自己入網應答報文，取得網絡接入終端13指配給自己的終端登錄令牌232C，存入隨機數據 存儲器114。第五步驟(S105)，入網用戶終端11通過數據收發裝置113向網絡接入終端13發 送登錄報文24C，所述的登錄報文24C包括網絡接入終端13頒發的終端登錄令牌232C的識 別信息241C和其它信息242。第六步驟(S106)，網絡接入終端13從數據收發裝置131收到入網用戶終端11發 回的登錄報文24C以後，微處理器模塊132驗證登錄報文24C中包含正確的終端登錄令牌 識別信息241C，確認入網用戶終端11合法，完成通信連接的建立，為其分配連接資源，並將 用戶信息存入登錄用戶資料庫模塊135。經過上述步驟S101-S106，入網用戶終端11與網絡接入終端13之間建立了通信連 接，網絡接入終端13可以為入網用戶終端11分配帶寬資源，繼續後續網絡服務，如通過網 間數據收發模塊133向其它網絡節點轉發數據，或將從網間數據收發模塊133收到的其他 網絡節點的數據轉發給入網用戶終端11。網絡接入終端13為入網用戶終端11分配的終端登錄令牌包含終端登錄令牌初值 信息但是不僅限於終端登錄令牌初值信息，所述的終端登錄令牌還可以包含後期的會話密 鑰、指定的登錄時間、指定的登錄信道、指定的發送頻率等等。當採用的強度較高的加密算法時，微處理器模塊112和132的運算能力可能難以 滿足要求，此時可以採用圖28所示的系統實現方案。其中入網用戶終端IlA中增加了密碼 運算協處理器模塊115，在網絡接入終端13A中增加了密碼運算協處理器模塊136。在以上 所述五個步驟中，所有需要進行密碼運算的工作都可以由微處理器模塊控制轉交給密碼運 算協處理器模塊執行。第—^一實施例入網用戶終端IlB與網絡接入終端13B之間的登錄連接的建立過程包括如圖2所 示的步驟S11-S16。入網用戶終端為了與網絡接入終端建立連接，第一步驟(Sll)是入網用戶終端以 明文方式發送包括用戶密鑰種子矢量的入網請求報文。入網用戶終端IlB中的入網請求裝 置IlBl產生用戶密鑰種子矢量211，然後通過數據收發裝置113以明文方式向網絡接入終 端13B發送入網請求報文21，所述的入網請求報文21內容包括所確定的用戶密鑰種子矢 量211和其他信息213，同時在隨機數據存儲器114中記錄用戶密鑰種子矢量211，隨後計 算入網請求報文21的摘要214並存入隨機數據存儲器114中。第二步驟(S12)，網絡接入終端以明文方式發送網絡密鑰種子矢量。網絡接入終 端13B中的入網應答裝置13B2生成網絡密鑰種子矢量221，然後通過數據收發裝置131以 明文方式向入網用戶終端IlB發送報文22，所述的報文22內容包括所確定的網絡密鑰種子 矢量221和其他信息222。入網用戶終端IlB中的入網請求裝置IlBl從數據收發裝置113 接收到由網絡用戶終端13B發送的包括網絡密鑰種子矢量221的報文22，然後在隨機數據 存儲器114中記錄網絡密鑰種子矢量221。第三步驟(S13)，網絡接入終端13B從數據收發裝置131收到入網用戶終端11發 來的入網請求報文21後，入網應答裝置13B2為入網用戶終端IlB分配終端登錄令牌232，同時準備密鑰調料234，計算用戶入網請求報文21的摘要231，並形成入網應答報文23。 所述的入網應答報文23中包括用戶入網請求報文摘要231、終端登錄令牌232和其他信息 233。然後報文加密裝置13B3對入網應答報文明文23加密，通過數據收發裝置131向入 網用戶終端IlB發送入網應答報文密文230，所述密文的加密密鑰包含用戶密鑰種子矢量 211、網絡密鑰種子矢量221和密鑰調料234信息。第四步驟(S14)，入網用戶終端IlB從數據收發裝置113每收到一個入網應答報文 密文230後，解密搜索裝置11B2解密入網應答報文密文230，得到入網應答報文明文23，通 過比較解密後的入網應答報文明文23信息中用戶入網請求報文摘要231與隨機數據存儲 器114中保存的入網請求報文摘要214相符合，識別出針對自己入網應答報文，取得網絡接 入終端13指配給自己的終端登錄令牌232，存入隨機數據存儲器114。第五步驟(S15)，入網用戶終端IlB中的登錄認證發送裝置11B4通過數據收發裝 置113，向網絡接入終端13B發送登錄報文24。所述的登錄報文24包括網絡接入終端13B 頒發的終端登錄令牌232的識別信息241和其它信息242。第六步驟(S16)，網絡接入終端13B從數據收發裝置131收到入網用戶終端IlB發 回的登錄報文24以後，登錄認證裝置13B5驗證登錄報文24中包含正確的終端登錄令牌識 別信息241，確認入網用戶終端11合法，完成通信連接的建立，為其分配連接資源，並將用 戶信息存入登錄用戶資料庫模塊135。經過上述步驟S11 -S 16，入網用戶終端1IB與網絡接入終端13B之間建立了通信連 接，網絡接入終端13B可以為入網用戶終端IlB分配帶寬資源，繼續後續網絡服務。第十二實施例為了提高入網用戶終端IlB與網絡接入終端13B之間登錄連接建立過程的安全 性，可以對入網用戶終端IlB與網絡接入終端13B之間的登錄連接的建立過程作如下改進， 如圖4所示的步驟S31-S36。入網用戶終端為了與網絡接入終端建立連接，第一步驟(S31)是入網用戶終端以 明文方式發送包括終端用戶證書和用戶密鑰種子矢量的入網請求報文。入網用戶終端IlB 中的入網請求裝置IlBl產生用戶密鑰種子矢量211和終端用戶證書212，通過數據收發裝 置113以明文方式向網絡接入終端13B發送入網請求報文21A，所述的入網請求報文21A內 容包括所確定的用戶密鑰種子矢量211、終端用戶證書212和其他信息213，同時在隨機數 據存儲器114中記錄用戶密鑰種子矢量211，隨後計算入網請求報文21A的摘要214並存入 隨機數據存儲器114中。第二步驟(S32)，網絡接入終端13B從數據收發裝置131收到入網用戶終端IlB發 來的入網請求報文21A後，入網應答裝置13B2生成網絡密鑰種子矢量221，然後報文加密 裝置13B3使用終端用戶證書212中載明的終端用戶公開密鑰加密網絡密鑰種子矢量明文 221，並生成報文22A，所述的報文22A內容包括所網絡密鑰種子矢量密文223和其他信息 222。然後通過數據收發裝置131將加密後的網絡密鑰種子矢量密文223的報文22A發送 給入網用戶終端11B。入網用戶終端IlB中的入網請求裝置IlBl從數據收發裝置113接收 到由網絡用戶終端13B發送的包括網絡密鑰種子矢量密文223的報文22A，解密搜索裝置 11B2根據用戶本地的終端用戶私有密鑰解密網絡密鑰種子矢量密文223，獲得網絡密鑰種 子矢量221明文，然後在隨機數據存儲器114中記錄網絡密鑰種子矢量221。
第三步驟(S33)，網絡接入終端13B從數據收發裝置131收到入網用戶終端IlB發來的入網請求報文21A後，入網應答裝置13B2為入網用戶終端IlB分配終端登錄令牌232， 同時準備密鑰調料234，計算用戶入網請求報文21A的摘要231，並形成入網應答報文明文 23。所述的入網應答報文明文23中包括用戶入網請求報文摘要231、終端登錄令牌232和 其他信息233。然後報文加密裝置13B3加密入網應答報文明文23，通過數據收發裝置131 以密文方式向入網用戶終端11發送包括用戶入網請求報文摘要231和終端登錄令牌232 的入網應答報文密文230，所述密文的加密密鑰包含用戶密鑰種子矢量211、網絡密鑰種子 矢量221和密鑰調料234信息。第四步驟(S34)，入網用戶終端IlB從數據收發裝置113每接收到一個入網應答報 文密文230後，解密搜索裝置11B2解密入網應答報文密文230，得到入網應答報文明文23， 然後通過比較後的入網應答報文明文23信息中用戶入網請求報文摘要231與隨機數據存 儲器114中保存的入網請求報文摘要214相符合，識別出針對自己入網應答報文，取得網絡 接入終端13B指配給自己的終端登錄令牌232，存入隨機數據存儲器114。第五步驟(S35)，入網用戶終端IlB中的登錄認證發送裝置11B5通過數據收發裝 置113向網絡接入終端13B發送登錄報文24。所述的登錄報文24包括網絡接入終端13B 頒發的終端登錄令牌232的識別信息241和其它信息242。第六步驟(S36)，網絡接入終端13B從數據收發裝置131收到入網用戶終端IlB發 回的登錄報文24以後，登錄認證裝置13B4驗證登錄報文24中包含正確的終端登錄令牌識 別信息241，確認入網用戶終端IlB合法，完成通信連接的建立，為其分配連接資源，並將用 戶信息存入登錄用戶資料庫模塊135。經過上述步驟S31-S36，入網用戶終端IlB與網絡接入終端13B之間建立了通信連 接，網絡接入終端13B可以為入網用戶終端IlB分配帶寬資源，繼續後續網絡服務。下面描述網絡接入終端中的數據收發裝置、微處理器模塊和入網用戶終端中的數 據收發裝置、隨機數據存儲器、微處理器模塊的具體功能，以有助於本領域的技術人員理解 本發明。網絡接入終端中的數據收發裝置131，用於接收入網用戶終端發送的包括用戶密 鑰種子矢量的入網請求報文，以明文方式發送網絡密鑰種子矢量，發送加密的入網應答報 文，和接收入網用戶終端發送的登錄報文。網絡接入終端中的微處理器模塊132，用於在 接收到入網用戶終端發送的入網請求報文之後，計算用戶入網請求報文摘要，為入網用戶 終端準備登錄令牌和密鑰調料，加密包括用戶入網請求報文摘要和登錄令牌的入網應答報 文，所述的加密密鑰包括用戶密鑰種子矢量、網絡密鑰種子矢量和密鑰調料的信息，和在接 收到入網用戶終端發送的登錄報文之後，驗證登錄報文中包含正確的登錄令牌識別信息， 確認入網用戶終端合法。入網用戶終端中的數據收發裝置113，用於以明文方式發送包括用戶密鑰種子矢 量的入網請求報文，接收由網絡接入終端發送的網絡密鑰種子矢量，接收網絡接入終端發 送的入網應答報文，並向網絡接入終端發送包括登錄令牌識別信息的登錄報文。入網用戶 終端中的隨機數據存儲器114，用於存儲所述用戶密鑰種子矢量和網絡密鑰種子矢量。入 網用戶終端中的微處理器模塊112，用於存儲所述用戶密鑰種子矢量和網絡密鑰種子矢量； 和微處理器模塊(112)，用於根據其用戶密鑰種子矢量、網絡密鑰種子矢量和密鑰調料信息生成解密密鑰，解密收到的入網應答報文密文，獲得入網應答報文明文，根據上述解密結果，識別出針對自己的入網應答報文，獲得分配給自己的終端登錄令牌，並將所述終端登錄 令牌識別信息包括在所述登錄報文中。作為改進，網絡接入終端中的數據收發裝置131，用於接收入網用戶終端發送的包 括用戶密鑰種子矢量的入網請求報文，發送以終端用戶公開密鑰加密的網絡密鑰種子矢量 密文，發送入網應答報文，和接收入網用戶終端發送的登錄報文。網絡接入終端中的微處理 器模塊132，用於在接收到入網用戶終端發送的入網請求報文之後，計算用戶入網請求報文 摘要，為入網用戶終端準備登錄令牌和密鑰調料，和在接收到入網用戶終端發送的登錄報 文之後，驗證登錄報文中包含正確的登錄令牌識別信息，確認入網用戶終端合法。網絡接入 終端中的密碼運算協處理器模塊136，用於在接收到入網用戶終端發送的入網請求報文之 後，以終端用戶公開密鑰加密網絡密鑰種子矢量，根據用戶密鑰種子矢量、網絡密鑰種子矢 量和密鑰調料信息生成加密密鑰，並加密包括用戶入網請求報文摘要和登錄令牌的入網應 答報文。入網用戶終端中的數據收發裝置113，用於以明文方式發送包括用戶密鑰種子矢 量的入網請求報文，接收由網絡接入終端發送的網絡密鑰種子矢量密文，接收網絡接入終 端發送的入網應答報文，並向網絡接入終端發送包括登錄令牌識別信息的登錄報文。入網 用戶終端中的隨機數據存儲器114，用於存儲所述用戶密鑰種子矢量和網絡密鑰種子矢量。 入網用戶終端中的密碼運算協處理器115，用於以終端用戶的私鑰來解密接收到的網絡密 鑰種子矢量密文，根據用戶密鑰種子矢量、網絡密鑰種子矢量和密鑰調料信息生成解密密 鑰，和解密收到的入網應答報文密文，獲得入網應答報文明文。入網用戶終端中的微處理器 模塊112，用於根據上述解密結果，識別出針對自己的入網應答報文，獲得分配給自己的終 端登錄令牌，並將所述終端登錄令牌識別信息包括在所述登錄報文中。需要指出，正如對於本領域的技術人員來說顯而易見的，網絡接入終端或用戶接 入終端中的微處理器模塊也可以實現密碼協處理器的功能。根據上述描述，本領域的技術 人員將理解在不脫離本發明的精神的情況下，可以對本發明的各種實施例中進行修改和改 變。也就是，本說明書中的描述僅用於說明性的目的，而不應當理解為對本發明的限制。本 發明的保護範圍僅取決於權利要求書的保護範圍。
權利要求
一種用於對抗阻塞攻擊的在入網用戶終端與網絡接入終端之間建立連接的方法，其中網絡接入終端通過與入網用戶終端多次交換信息，建立入網用戶終端和網絡接入終端之間的通信連接，同時防範入網用戶終端以虛構的多重身份發動阻塞攻擊，其特徵在於，該方法包含步驟入網用戶終端以明文方式發送包括用戶密鑰種子矢量的入網請求報文，網絡接入終端以明文方式發送網絡密鑰種子矢量，網絡接入終端收到入網用戶終端發來的入網請求報文後，為入網用戶終端分配終端登錄令牌，以密文方式發送包括用戶入網請求報文摘要和終端登錄令牌的入網應答報文，所述密文加密密鑰包含用戶密鑰種子矢量、網絡密鑰種子矢量和密鑰調料的信息，入網用戶終端解密收到的每一個入網應答報文，通過比較解密後明文信息中的用戶入網請求報文摘要，識別出針對自己的入網應答報文，取得網絡終端提供的終端登錄令牌，入網用戶終端向網絡接入終端發送包括終端登錄令牌識別信息的登錄報文，和網絡接入終端收到登錄報文後，驗證登錄報文中包含正確的終端登錄令牌識別信息，確認入網用戶終端合法，完成通信連接的建立，為其分配連接資源。
2.一種用於對抗阻塞攻擊的在入網用戶終端與網絡接入終端之間建立連接的方法，其 中網絡接入終端通過與入網用戶終端多次交換信息，建立入網用戶終端和網絡接入終端之 間的通信連接，同時防範入網用戶終端以虛構的多重身份發動阻塞攻擊，其特徵在於，該方 法包含步驟入網用戶終端以明文方式發送包括終端用戶證書和用戶密鑰種子矢量的入網請求報文，網絡接入終端收到入網用戶終端發來的入網請求報文後，使用終端用戶證書中載明的 終端用戶公開密鑰加密網絡密鑰種子矢量，將加密後的網絡密鑰種子矢量密文發送給入網 用戶終端，網絡接入終端收到入網用戶終端發來的入網請求報文後，還為入網用戶終端分配終端 登錄令牌，以密文方式發送包括用戶入網請求報文摘要和終端登錄令牌的入網應答報文， 所述密文加密密鑰包含用戶密鑰種子矢量、網絡密鑰種子矢量和密鑰調料的信息，入網用戶終端解密收到的每一個入網應答報文，通過比較解密後明文信息中的用戶入 網請求報文摘要，識別出針對自己的入網應答報文，取得網絡終端提供的登錄令牌， 入網用戶終端向網絡接入終端發送包括終端登錄令牌識別信息的登錄報文，和 網絡接入終端收到登錄報文後，驗證登錄報文中包含正確的終端登錄令牌識別信息， 確認入網用戶終端合法，完成通信連接的建立，為其分配連接資源。
3.如權利要求1-2中任一權利要求所述的用於對抗阻塞攻擊的在入網用戶終端與網 絡接入終端之間建立連接的方法，其特徵還在於，所述的用戶密鑰種子矢量中包括報文當 前發送時間。
4.如權利要求1-2中任一權利要求所述的用於對抗阻塞攻擊的在入網用戶終端與網 絡接入終端之間建立連接的方法，其特徵還在於，所述的網絡密鑰種子矢量中包括報文當 前發送時間。
5.如權利要求1-2中任一權利要求所述的用於對抗阻塞攻擊的在入網用戶終端與網 絡接入終端之間建立連接的方法，其特徵還在於，所述的登錄令牌中除了包括登錄令牌識別號以外還包括用於後續通信的會話密鑰。
6.如權利要求1-2中任一權利要求所述的用於對抗阻塞攻擊的在入網用戶終端與網 絡接入終端之間建立連接的方法，其特徵還在於，所述的登錄令牌中除了包括登錄令牌識 別號以外還包括指定的登錄時間。
7.一種通信系統，包括用戶入網終端和網絡接入終端，其中網絡接入終端通過與入網 用產終端多次交換信息，建立入網用戶終端和網絡接入終端之間的通信連接，同時防範入 網用戶終端以虛構的多重身份發動阻塞攻擊，其特徵在於，所述網絡接入終端包括數據收發裝置(131)，用於接收入網用戶終端發送的包括用戶密鑰種子矢量的入網請 求報文，以明文方式發送網絡密鑰種子矢量，發送加密的入網應答報文，和接收入網用戶終 端發送的登錄報文；和微處理器模塊(132)，用於在接收到入網用戶終端發送的入網請求報文之後，計算用戶 入網請求報文摘要，為入網用戶終端準備登錄令牌和密鑰調料，加密包括用戶入網請求報 文摘要和登錄令牌的入網應答報文，所述的加密密鑰包括用戶密鑰種子矢量、網絡密鑰種 子矢量和密鑰調料的信息，和在接收到入網用戶終端發送的登錄報文之後，驗證登錄報文 中包含正確的登錄令牌識別信息，確認入網用戶終端合法；所述用戶入網終端包括數據收發裝置(113)，用於以明文方式發送包括用戶密鑰種子矢量的入網請求報文，接 收由網絡接入終端發送的網絡密鑰種子矢量，接收網絡接入終端發送的入網應答報文，並 向網絡接入終端發送包括登錄令牌識別信息的登錄報文；隨機數據存儲器(114)，用於存儲所述用戶密鑰種子矢量和網絡密鑰種子矢量；和微處理器模塊(112)，用於根據用戶密鑰種子矢量、網絡密鑰種子矢量和密鑰調料信 息生成解密密鑰，解密收到的入網應答報文密文，獲得入網應答報文明文，根據上述解密結 果，識別出針對自己的入網應答報文，獲得分配給自己的終端登錄令牌，並將所述終端登錄 令牌識別信息包括在所述登錄報文中。
8.一種通信系統，包括用戶入網終端和網絡接入終端，其中網絡接入終端通過與入網 用戶終端多次交換信息，建立入網用戶終端和網絡接入終端之間的通信連接，同時防範入 網用戶終端以虛構的多重身份發動阻塞攻擊，其特徵在於，所述網絡接入終端包括數據收發裝置(131)，用於接收入網用戶終端發送的包括用戶密鑰種子矢量的入網請 求報文，發送以終端用戶公開密鑰加密的網絡密鑰種子矢量密文，發送入網應答報文，和接 收入網用戶終端發送的登錄報文；微處理器模塊(132)，用於在接收到入網用戶終端發送的入網請求報文之後，計算用戶 入網請求報文摘要，為入網用戶終端準備登錄令牌和密鑰調料，和在接收到入網用戶終端 發送的登錄報文之後，驗證登錄報文中包含正確的登錄令牌識別信息，確認入網用戶終端 合法；和密碼運算協處理器模塊(136)，用於在接收到入網用戶終端發送的入網請求報文之後， 以終端用戶公開密鑰加密網絡密鑰種子矢量，根據用戶密鑰種子矢量、網絡密鑰種子矢量 和密鑰調料信息生成加密密鑰，並加密包括用戶入網請求報文摘要和登錄令牌的入網應答報文；所述用戶入網終端包括數據收發裝置(113)，用於以明文方式發送包括用戶密鑰種子矢量的入網請求報文， 接收由網絡接入終端發送的網絡密鑰種子矢量密文，接收網絡接入終端發送的入網應答報 文，並向網絡接入終端發送包括登錄令牌識別信息的登錄報文；隨機數據存儲器(114)，用於存儲所述用戶密鑰種子矢量和網絡密鑰種子矢量； 密碼運算協處理器(115)，用於以終端用戶的私鑰來解密接收到的網絡密鑰種子矢量 密文，根據用戶密鑰種子矢量、網絡密鑰種子矢量和密鑰調料信息生成解密密鑰，和解密收 到的入網應答報文密文，獲得入網應答報文明文；和微處理器模塊(112)，根據上述解密結果，識別出針對自己的入網應答報文，獲得分配 給自己的終端登錄令牌，並將所述終端登錄令牌識別信息包括在所述登錄報文中。
全文摘要
本發明公開了一種抗阻塞攻擊的終端連接建立方法和終端訪問認證實現系統，它屬於用戶終端訪問通信服務網絡的方法及其實現系統，其特徵在於該方法將確認用戶入網終端合法身份的雙向信息交換分成入網用戶終端發送包括用戶密鑰種子矢量的入網請求報文，網絡接入終端發送網絡密鑰種子矢量，網絡接入終端以密文方式發送包括用戶入網請求報文摘要和終端登錄令牌的入網應答報文，入網用戶終端取得終端登錄令牌，入網用戶終端向網絡接入終端回傳終端登錄令牌信息，以及網絡接入終端驗證終端登錄令牌信息六個步驟。
文檔編號H04L29/06GK101827079SQ20101010154
公開日2010年9月8日 申請日期2010年1月27日 優先權日2010年1月27日
發明者張鵬, 陳相寧 申請人:南京大學