[發明專利]基于無線局域網安全標準WAPI的無線網狀網重認證方法

有效

• 申請號: 200710099959.5
• 申請日: 2007-06-01
• 公開（公告）號: CN101056177A
• 公開（公告）日: 2007-10-17
• 發明（設計）人: 李賀武;張鵬;李風華;陳榮第;吳建平
• 申請（專利權）人: 清華大學
• 主分類號: H04L9/32
• 分類號: H04L9/32;H04L12/28;H04Q7/38
• 代理公司: 暫無信息
• 代理人: 暫無信息

1.基于無線局域網安全標準WAPI的無線網狀網重認證方法，其特征在于依次含有以下步驟：

步驟(1)把無線網狀網中若干相鄰的物理接入點AP虛擬為同一個虛擬接入點AP，在所連各物理接入點AP中安裝相同的虛擬AP證書，其數據格式依次如下：版本號、序列號、頒發者名稱、有效期、虛擬接入點AP的名稱、虛擬接入點AP的公鑰、虛擬接入點AP擴展項、簽名算法和頒發者簽名；

步驟(2)虛擬接入點AP向連接在接入點虛擬域中的終端STA發送鑒別激活分組，其數據格式與無線局域網安全標準WAPI中定義的鑒別激活分組一致，它包括標識字段、鑒別標識字段、鑒別服務器AS身份字段、證書字段和參數字段，其中的證書字段使用步驟(1)所述的虛擬AP證書；

步驟(3)所連終端STA收到步驟(2)所述的鑒別激活分組后，按照WAPI標準處理并生成鑒別請求分組發送給該終端當前所連接的物理接入點AP；

步驟(4)步驟(3)中所述的物理接入點AP收到步驟(3)中所述的鑒別請求分組后，按照WAPI標準驗證并生成證書鑒別請求分組，并以虛擬接入點AP的名義發送給鑒別服務器AS，所述證書鑒別請求分組中的證書字段是步驟(1)所述的虛擬AP證書，同時還發送該終端STA的證書；

步驟(5)該鑒別服務器AS收到步驟(4)所述的證書鑒別請求分組以后按照WAPI標準對所述虛擬AP證書和STA證書進行驗證；在驗證結束后，該鑒別服務器AS按照WAPI標準，構造包括虛擬AP證書認證結果信息在內的證書鑒別響應分組，并發送給所述終端STA目前所連的物理接入點AP；在虛擬AP證書認證結果信息內包含：該虛擬AP證書、認證結果以及鑒別服務器AS對這兩項的簽名；

步驟(6)該終端STA目前所連接的物理接入點AP收到步驟(5)所述的證書鑒別響應分組以后依次按以下步驟處理：

步驟(6.1)若該終端STA的證書驗證成功，則按WAPI標準生成基密鑰BK，并生成一個密鑰分組，其中包括生成的基密鑰BK以及物理接入點AP所連接的終端STA的無線局域網媒體訪問控制MAC地址信息；

步驟(6.2)步驟(6)中所連的物理接入點AP利用自己虛擬AP證書中的公鑰對步驟(6.1)所述的密鑰分組進行加密，并把已加密的密鑰分組發送給虛擬接入點AP中的其它物理接入點AP；

步驟(6.3)虛擬接入點AP中的其它物理接入點在收到該終端STA所連接的物理接入點AP發送的密鑰分組后依次進行以下步驟：

步驟(6.3.1)利用虛擬接入點AP的私鑰對該密鑰分組進行解密運算；

步驟(6.3.2)在虛擬接入點AP中每一個其它物理接入點AP中生成一個列表緩存該終端STA的MAC地址和基密鑰BK，兩者呈一一對應關系；

步驟(6.3.3)該終端STA所連接的物理接入點AP在發送密鑰分組后按WAPI標準構造一個鑒別響應分組并發送給該終端STA，該分組中的密鑰數據和簽名字段是虛擬接入點AP的密鑰數據和簽名，身份字段是虛擬接入點AP的身份，其包含虛擬AP證書中的序列號字段、頒發者名稱字段和虛擬AP名稱字段；

步驟(7)該終端STA收到步驟(6.3.3)中所述鑒別響應分組后，按WAPI標準處理并生成基密鑰BK；

步驟(8)STA在完成首次鑒別后，在無線網狀網域中移動時，重新認證過程如下：按照現有WAPI標準預鑒別機制重新建立物理連接：1)STA向物理接入點AP發送探尋請求，2)物理接入點AP向STA發送探尋響應，3)STA向物理接入點AP發送鏈路驗證請求，4)物理接入點AP向STA發送鏈路驗證響應，5)STA向物理接入點AP發送關聯請求，其中WAPI信息元素中的基密鑰列表字段為同上一個物理接入點AP協商生成的基密鑰信息；

步驟(9)STA所關聯新物理接入點AP收到關聯請求后，新的物理接入點AP進行如下處理：1)檢查STA提交基密鑰信息是否在有效期內，2)有效則將STA提交的BK和物理接入點AP中緩存的BK進行對比，3)對比結果為相同，則跳過WAPI證書鑒別過程，直接使用基密鑰BK，按照現有WAPI標準規定進行單播會話密鑰協商和組播會話密鑰通告，對比結果為不同，則按照現有WAPI標準進行完整的WAPI證書鑒別和密鑰協商過程。