[發明專利]基于射頻標簽的無線局域網接入認證抗拒絕服務攻擊方法

有效

• 申請號: 201310628370.5
• 申請日: 2013-11-29
• 公開（公告）號: CN103596179B
• 公開（公告）日: 2016-10-12
• 發明（設計）人: 董慶寬;劉曉婷;陳原;王俊平;方建平;丁文秀
• 申請（專利權）人: 西安電子科技大學昆山創新研究院;西安電子科技大學
• 主分類號: H04W12/06
• 分類號: H04W12/06;H04W12/04;H04L29/06;H04L9/08
• 代理公司: 陜西電子工業專利中心 61205
• 代理人: 王品華;朱紅星

1.一種基于射頻標簽的無線局域網接入認證抗拒絕服務攻擊方法，包括：

（1）系統初始化步驟：采用可信服務器作為密鑰管理中心KDC，為標簽與無線設備接入點AP分發初始密鑰，設用戶STA具有讀卡器功能，將標簽貼在用戶STA設備上，并與用戶STA通過讀卡器通信；

（2）標簽與用戶STA的綁定步驟：

（2a）用戶STA以自己的MAC地址STA-addr向密鑰管理中心KDC申請標簽，密鑰管理中心KDC為用戶分發標簽以及標記隨機數Ni；

（2b）密鑰管理中心KDC將用戶STA的MAC地址、標簽的身份ID_t、標簽的初始密鑰K_t和標記隨機數Ni對應起來，并以列表形式保存，該列表稱為LMAC；

（3）標簽與接入點AP協商會話密鑰步驟：

（3a）標簽生成會話密鑰請求Request，并用初始密鑰K_t對身份ID_t進行加密，得到加密信息E_t(ID_t)，將會話密鑰請求Request和加密信息E_t(ID_t)一起發送給用戶STA;

（3b）用戶STA收到標簽發來的消息后，在此消息后面添加上標記隨機數Ni以及自己的MAC地址STA-addr構成申請信息，將該申請信息發送給密鑰管理中心KDC；

（3c）密鑰管理中心KDC收到用戶STA發來的申請信息后，首先檢查列表LMAC，檢驗標記隨機數Ni和MAC地址STA-addr是否存在于列表LMAC中，若不是，直接做拋棄處理，否則查出對應標簽的初始密鑰K_t，并用該密鑰進行解密運算，求解出標簽的身份ID_t；

（3d）密鑰管理中心KDC生成一個會話密鑰Ks，用標簽初始密鑰K_t對會話密鑰Ks和標簽的身份ID_t進行加密，得到密文E_t（Ks||ID_t），并將該密文、標簽的會話密鑰請求Request、用戶STA的MAC地址STA-addr一起作為回復包發送給用戶STA；

（3e）用戶STA收到回復包后檢查MAC地址是否是自己的地址，若是則將該回復包發送給標簽，否則丟棄處理；標簽收到用戶STA轉發的回復包后，先檢查會話密鑰請求Request的正確性，若正確，則解密，從而獲得與接入點AP共享的會話密鑰Ks，否則將該包丟棄；

（3f）接入點AP生成會話密鑰請求Request2，用初始密鑰K_A對自己的身份ID_A進行加密得到密文E_A(ID_A)，并將會話密鑰請求Request2、密文E_A(ID_A)和自己的MAC地址MAC_A一同發送給密鑰管理中心KDC；

（3g）密鑰管理中心KDC核對接入點AP的地址信息后，用接入點AP的初始密鑰K_A對會話密鑰Ks和接入點AP的身份信息ID_A以及列表LMAC進行加密，得到加密信息E_A(Ks||ID_A||LMAC)，再將該加密信息發送給接入點AP；

（3h）接入點AP用初始密鑰K_A解密，獲得會話密鑰Ks和列表LMAC，同時生成一個密鑰隨機數Nr將其加入列表LMAC中，并用會話密鑰Ks對密鑰隨機數Nr加密后傳遞給用戶STA，用戶STA再傳遞給標簽；

（4）基于射頻標簽的無線局域網接入認證步驟：

（4a）接入點AP選擇廣播隨機數R₁和難度系數d，并要求申請接入的用戶在認證請求中添加哈希值h；

（4b）接入點AP將廣播隨機數R₁和難度系數d在網絡中周期性地廣播；

（4c）用戶STA監聽信道獲得的廣播隨機數R₁和難度系數d，若d=0，則用戶直接根據802.1X擴展認證協議完成接入認證過程；若d>0，用戶STA生成終端隨機數R₂，并將難度系數d、廣播隨機數R₁、終端隨機數R₂以及MAC地址STA-addr發送給自己的標簽；

（4d）標簽對收到的信息和身份ID_t進行哈希運算，運算時間為t₀，得到哈希值h，即：

h＝hash(ID_t||STA-addr||R₁||R₂)，

式中hash為哈希運算函數，“||”為連接符；

（4e）標簽運算結束后，將哈希值h和密鑰隨機數Nr延遲時間t后發送給用戶STA，其中延遲時間t由難度系數d和哈希運算時間t₀乘積決定，即：

t＝d×t₀，

（4f）用戶STA將標簽計算的哈希值h和MAC地址STA-addr以及廣播隨機數R₁、終端隨機數R₂放在一起構成認證請求，將該認證請求發送給接入點AP；

（4g）接入點AP對認證請求中的哈希值h進行驗證，驗證通過后則建立關聯，否則終止該用戶的接入請求。

2.根據權利要求1中所述的一種基于射頻標簽的無線局域網接入認證抗拒絕服務攻擊方法，其中步驟（4g）所述的接入點AP對認證請求中的哈希值h進行驗證，按如下步驟進行：

（4g1）接入點AP檢驗認證請求中的廣播隨機數R₁是否為當前正在廣播的隨機數，如果不是，則終止該接入請求，否則比較認證請求中攜帶的密鑰隨機數Nr與列表LMAC中用戶STA對應的隨機數是否一致，若一致，則根據用戶的MAC地址STA-addr在列表LMAC中查詢到該用戶對應的標簽身份ID_t；

（4g2）接入點AP對獲得的信息進行哈希運算，得到驗證哈希值h₁：

h₁＝hash(ID_t||STA-addr||R₁||R₂)，

式中hash為哈希運算函數，“||”為連接符；

（4g3）接入點AP將驗證哈希值h₁與用戶認證請求中的哈希值h進行比較，若兩者相等，則向用戶STA發送認證響應消息并完成以后的關聯過程，否則終止該用戶的接入請求。