[發明專利]WLAN網絡中一種基于認證方法的嗅探防御方法

在審

• 申請號: 201410030004.4
• 申請日: 2014-01-22
• 公開（公告）號: CN103763321A
• 公開（公告）日: 2014-04-30
• 發明（設計）人: 金志剛;劉自鑫;張博林
• 申請（專利權）人: 天津大學
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04W12/08
• 代理公司: 天津市北洋有限責任專利代理事務所 12201
• 代理人: 程毓英

1.一種WLAN網絡中通過選擇優良認證方法來防御無線嗅探攻擊的網絡安全方法，基于一次性認證身份的認證方式依賴于設定在客戶端和服務器之間的預共享密鑰PSK，利用PSK導出K1和K2來驗證服務器和客戶端的身份，其中導出算法f采用HMAC-SHA-1或者HMAC-MD5，而對應于某個用戶的PSK使用該用戶的一次性用戶ID對應標識，所謂一次性，是指該ID只在某一用戶本次登入認證時出示使用（稱為ID_current），在認證結束之后即被新的ID(稱為ID_new)替代。

2.根據權利要求1所述的方法，其特征在于，包括下列步驟：

步驟一：AP新檢測到網絡中新加入的STA即發送一個EAP-Request?Identity質詢；

步驟二：STA在接收到AP的identity身份質詢之后回復以一個一次性的Identity，即ID_current即作為回應；

步驟三：服務器接收到identity響應以后，查詢本地數據庫中是否存在ID_current用戶，如果存在則使用request報文發送自身的ID_server同時附加一個實時性的隨機碼Ns；

步驟四：客戶端接收到該請求之后同樣產生一個實時性的隨機碼Nc，并導出K1和K2：

K1=f(PSK,ID_server&?Ns?&?Nc)

K2=f(PSK,ID_current?&?Nc?&?Ns)

MIC1=f(K1,ID_current&?Nc?&?Ns)

然后客戶端將Nc和f(K1,MIC1)一同發送給服務器，并在其中附加客戶端支持的加密算法；

步驟五：服務器使用同樣的參數和算法計算出MIC1和K1的單向散列值，用以校驗客戶端的身份；如果校驗成功，那么服務器將產生一個新的用戶標識ID_new來代替數據庫中的ID_current；然后使用如下公式計算出MIC2：

MIC2=f(MIC1,ID_new?&?Nc?&?Ns)

然后使用步驟四報文中選定客戶端支持的某加密算法encode，使用K2作為加密密鑰，加密MIC2、ID_new和一個新的48Byte數據數(前主密鑰)，然后將密文發送給客戶端并附加所選的加密算法信息，之后利用前主密鑰導出會話主密鑰；

步驟六：客戶端接收到密文和加密算法類型之后使用K2進行解碼，得到MIC2和ID_new；首先計算出MIC2值驗證服務器的身份，如果驗證通過，則使用ID_new替換原來的ID_current，并利用前主密鑰結合PSK導出會話主密鑰；然后發送一個空響應標識認證過程結束；

步驟七：服務端接收到客戶端的空響應則回復以EAP-Success標識認證成功。