[發明專利]一種基于WAPI的認證系統及方法

無效

• 申請號: 200910160652.0
• 申請日: 2009-07-22
• 公開（公告）號: CN101610515A
• 公開（公告）日: 2009-12-23
• 發明（設計）人: 周偉
• 申請（專利權）人: 中興通訊股份有限公司
• 主分類號: H04W12/06
• 分類號: H04W12/06;H04L9/32
• 代理公司: 北京安信方達知識產權代理有限公司
• 代理人: 龍 洪;霍育棟

1、一種基于無線局域網鑒別與保密基礎架構的認證方法，包括：當訪問接入點和移動終端之間實現證書認證時，所述訪問接入點選擇一個或多個鑒別服務器完成證書的鑒別。

2、如權利要求1所述的方法，其特征在于：

所述訪問接入點存儲一鑒別服務器當前使用情況表，該使用情況表記錄的各鑒別服務器的當前負載狀況及是否可用；

所述訪問接入點從可用的鑒別服務器中選擇當前負載最小的一個或多個鑒別服務器完成證書的鑒別。

3、如權利要求1所述的方法，其特征在于：

當所述訪問接入點選擇多個鑒別服務器完成證書的鑒別時，訪問接入點將證書認證請求報文發送至選擇的每個鑒別服務器，鑒別服務器均對移動終端的證書進行認證，并構成證書認證響應報文發送給訪問接入點；

所述訪問接入點對接收的各證書認證響應報文進行簽名驗證，得到各鑒別服務器對移動終端證書認證結果，若各鑒別服務器對移動終端證書認證結果中至少一個正確則允許所述移動終端接入該訪問接入點，若各鑒別服務器對移動終端證書認證結果均不正確則不允許所述移動終端接入該訪問接入點。

4、如權利要求3所述的方法，其特征在于：

所述判斷鑒別服務器對移動終端證書認證結果的方法為，若各鑒別服務器對移動終端證書認證結果一致則認證各鑒別服務器對移動終端證書認證結果均正確，若存在移動終端證書認證結果不一致認為存在欺騙行為，所述訪問接入點將各鑒別服務器對移動終端證書認證結果發送至可信中心，所述可信中心驗證各鑒別服務器對移動終端證書認證結果，檢測出存在欺騙行為的鑒別服務器，并通知給訪問接入點。

5、如權利要求1所述的方法，其特征在于：

所述訪問接入點將不存在欺騙行為的鑒別服務器產生的移動終端證書認證結果信息、訪問接入點證書認證結果信息以及訪問接入點對所述移動終端證書認證結果信息及訪問接入點證書認證結果信息的簽名構成接入認證響應報文，并將所述接入認證響應報文發送給移動終端；

所述移動終端收到所述接入認證響應報文后，驗證其中的訪問接入點的簽名及鑒別服務器的簽名，得到訪問接入點的證書驗證結果，并判斷訪問接入點證書認證結果是否均正確，是則決定接入該訪問接入點，否則不接入該訪問接入點。

6、如權利要求1所述的方法，其特征在于：

所述訪問接入點按照鑒別服務器的數量對移動終端的安全級別進行劃分，移動終端的安全級別的等級數與鑒別服務器的數量一致；

當選擇進行證書鑒別的鑒別服務器時，所述訪問接入點根據移動終端的安全級別選擇完成證書鑒別的鑒別服務器的數量，當移動終端的安全級別為n時，選擇n個鑒別服務器進行證書鑒別，若當前可用的鑒別服務器小于n，則選擇所有可用的鑒別服務器進行證書鑒別。

7、一種基于無線局域網鑒別與保密基礎架構的認證系統，包括訪問接入點、移動終端及鑒別服務器；其特征在于：

所述訪問接入點用于和移動終端實現證書認證時，選擇一個或多個鑒別服務器完成證書的鑒別；

所述鑒別服務器用于對訪問接入點證書及移動終端證書進行認證。

8、如權利要求7所述的系統，其特征在于：

所述訪問接入點還用于存儲一鑒別服務器當前使用情況表，該使用情況表記錄的各鑒別服務器的當前負載狀況及是否可用；

所述訪問接入點從可用的鑒別服務器中選擇當前負載最小的一個或多個鑒別服務器完成證書的鑒別。

9、如權利要求7所述的系統，其特征在于：

當所述訪問接入點選擇多個鑒別服務器完成證書的鑒別時，訪問接入點將證書認證請求報文發送至選擇的每個鑒別服務器，各鑒別服務器均對移動終端的證書進行認證，并構成證書認證響應報文發送給訪問接入點；

所述訪問接入點對接收的各證書認證響應報文進行簽名驗證，得到各鑒別服務器對移動終端證書認證結果，若各鑒別服務器對移動終端證書認證結果中至少一個正確則允許所述移動終端接入該訪問接入點，若各鑒別服務器對移動終端證書認證結果均不正確則不允許所述移動終端接入該訪問接入點。