安全无线网络中的动态认证 |
|||||||
申请号 | CN201310291285.4 | 申请日 | 2007-04-18 | 公开(公告)号 | CN103441984B | 公开(公告)日 | 2017-09-05 |
申请人 | 鲁库斯无线公司; | 发明人 | 朱延书; 舒明; 杨博杰; 林天元; 郭德才; | ||||
摘要 | 提供用于在安全无线网络中使用成对动态密码来认证的系统和方法。每一认证用户被分配所生成的、对所述用户唯一的随机密码。该密码与属于所述用户的无线 接口 关联,从而没有其它无线接口可以使用相同密码来 访问 网络。可以周期性地、或者根据网络管理员的 请求 来对密码进行更新,并且可以要求所述无线网络的重新认证。 | ||||||
权利要求 | 1.一种允许对安全无线网络进行访问的方法,所述方法包括: |
||||||
说明书全文 | 安全无线网络中的动态认证[0001] 本申请为于2008年11月26日提交、申请号为200780019389.2、发明名称为“安全无线网络中的动态认证”的中国专利申请的分案申请。所述母案申请的国际申请日为2007年4月18日,国际申请号为PCT/US2007/009503。 [0002] 相关申请的交叉引用 [0003] 本申请要求于2006年4月24日提交的题为“Mechanisms and Apparatus to Provide Pre-Shared Key Authentication with Dynamic Secret on Wireless Networks”的美国临时专利申请60/794,625以及于2006年5月2日提交的题为“Mechanisms and Apparatus for Automatic Wireless Connection Based on Provisioned Configuration”的美国临时专利申请60/796,845的优先权。这两个申请的公开通过引用合并到此。 技术领域[0004] 本发明总体涉及信息网络安全性。更具体地说,本发明涉及用于安全无线网络的用户友好的低维护性认证。 背景技术[0005] 很多专业组织已经提议了用于无线网络的各种用户认证和安全性措施。这些专业组织包括电气和电子工程师协会(IEEE)802.11工作组、Wi-Fi联盟、互联网工程任务组(IETF)。实现这些提议通常很复杂、难以维护,并且需要那些实现具体提议的人的高级技术知识。因此,因为很多商业组织(例如小型公司和中型公司)缺少专家和/或全职专业技术支持,所以他们无法部署这样的措施。 [0006] 在早期的无线网络(例如IEEE802.11或Wi-Fi)中,通过有线等效保密(WEP)系统来实现安全性。部署WEP系统仅需要网络管理员在接入点或接入设备处定义WEP密钥集。任意用户可以通过拥有在该用户的客户机站(例如膝上型设备或移动设备)中手动配置的相同WEP密钥集来访问WEP安全无线网络。将使用共享WEP密钥集通过定义的加密算法来对客户机站与接入点之间的无线数据通信进行加密。 [0007] 尽管WEP可以防止偶发的入侵者访问无线网络,但是WEP不可能抵挡更严重的安全性攻击。例如,通过使用公共可用的软件可以很容易地发现WEP密钥。此外,由于所有用户共享相同密钥,因此WEP不能保护网络用户免受彼此的攻击。因为基于WEP的安全性系统中的这些缺陷,所以发展出了替代的安全性措施。这些新的措施通常需要无线网络用户首先以某种方式被认证,然后导出密钥集并用于无线业务加密。这些已提议的认证措施通常可以被分为两组:可扩展认证协议(EAP)和预共享密钥(PSK)。 [0008] EAP组的安全性措施通常采用IEEE802.1x标准,其使用可扩展认证协议。基于EAP的安全性系统使得能够在认证服务器与其用户之间进行相互认证。认证服务器可以驻留在接入点、基站或外部设备中。通常,认证服务器提供推导出的成对主密钥,以在接入点与用户客户机站之间进行共享。成对主密钥可以用于导出密钥集,密钥集可以用于数据加密。 [0009] 实现基于EAP或IEEE802.1x的安全性系统的主要障碍在于它们的复杂性。部署这样的系统需要高级技术专家以及对用户进行持续技术支持。例如,很多基于EAP的系统需要将安全性证书安装到认证服务器。根据基于EAP的系统的确切需求,客户机站可能还需要被授权确立证书更新,和/或在可被批准访问无线网络之前预装安全性证书。 [0010] 与之对照,PSK安全性系统是基于在客户机站与接入点两者之间共享的并且在客户机站与接入点上存储的密码的。该密码可以是例如长比特流(例如过关短语、口令、十六进制串等等)。由客户机站和接入点用于对彼此进行认证的密码也可以用于生成加密密钥集。 [0011] 基于PSK的系统的主要缺点在于,必须将密码手动输入到客户机站,并且由所有客户机站共享该密码。一旦共享的密码被未授权的人员获知,则危及整个网络的安全性。这可能在需要向临时雇员提供网络访问或具有高流动性的劳动力的组织中产生问题。为了维护基于PSK的系统的安全性,只要知道密码的人离开组织或者不再被授权访问网络,都必须改变所有客户机站上的密码。 [0012] 虽然很多措施可用于确保无线网络安全,但实现这些措施中的任意一项都可能很复杂、困难,和/或需要大量维护。因此,本领域需要改进的方法和系统,其为无线网络提供对用户友好的并且容易维护的安全性,而不需要高级技术专家和持续技术支持。 发明内容[0013] 本发明的示例性系统和方法提供在安全无线网络中对动态密码进行配对。对于每一认证用户生成随机密码。该密码是对所述用户唯一的,并且网络中的其它用户不可以使用该密码来访问网络。此外,将所述密码与属于所述用户的无线接口关联或者绑定,从而属于其它用户的其它无线接口不可以使用该密码来访问网络。 [0014] 本发明的各个实施例包括用于对所述动态密码进行配对的方法。在生成所述密码和/或将其与访问简档关联之后,密码即与无线接口关联,或者在延迟之后密码与所述无线接口关联。某些实施例通过生成可执行指令来配置无线接口访问无线网络而将密码与无线接口关联。配置可以包括:连同所述密码的拷贝、从所述密码推导出的任意安全性密钥以及用户的访问简档一起将所述可执行指令的拷贝传送到所述无线接口。本发明的各个实施例进一步包括:更新所述密钥,这需要在允许所述无线接口重新连接到所述无线网络或者继续其对所述无线网络的连接之前对所述无线接口进行重新认证。 [0015] 本发明的实施例包括用于在安全无线网络中对动态密码进行配对的系统。所述系统可以包括:密码生成模块、绑定模块、密码数据库。所述密码由密码生成模块来生成,并且由绑定模块将其与无线接口关联(绑定)。所述密码数据库存储关于密码、与用户简档的关联关系、与无线接口的关联关系等等的信息。某些实施例进一步包括:访问简档生成模块、可执行指令生成模块等等。所述访问简档生成模块生成用于用户的访问简档。所述可执行指令生成模块生成用于配置无线接口以便访问无线网络的可执行指令。 [0017] 图1是根据本发明示例性实施例的用于安全无线网络的认证系统的示图。 [0018] 图2是示出在安全无线网络中使用成对密码的方法的流程图。 [0019] 图3是示出在安全无线网络中使用成对密码的替代方法的流程图。 [0020] 图4是示出在安全无线网络中使用安全性密钥的方法的流程图。 具体实施方式[0021] 本发明包括通过使用动态密码在安全无线网络中使用对用户友好的低维护性认证的系统和方法。成对密码在客户机站与接入点之间被共享。针对每一认证用户动态地生成这些密码,并且将这些密码与用户的访问简档关联。这些密码还可以与属于该用户的特定客户机站或无线接口关联。在本发明某些实施例中,在密码过期的时间点,用户必须进行重新认证,以继续访问无线网络。 [0022] 图1是根据本发明示例性实施例的用于安全无线网络170的认证系统100的示图。图1所示的认证服务器100包括:认证模块110、访问简档生成模块120、密码生成模块130、密码数据库140、绑定模块150、可执行指令生成模块160。认证服务器100可以用于维护网络 170中的安全性。各种客户机设备(例如无线工作站180a、膝上计算机180b和移动设备180c)属于网络170的潜在用户。 [0023] 本发明中所指的模块(或应用)应该广义地理解为执行各种系统级功能的程序的集合,并且可以根据需要由硬件和设备动态地加载或者卸载。在此所描述的模块化软件部件也可以被合并为更大的软件平台的一部分,或被集成为应用特定部件的一部分。 [0024] 认证模块110对用户(例如膝上计算机180b)进行认证,并且验证该用户是否是他们所声称的用户,否则验证他们是否被授权访问网络170。认证模块110可以用于验证用户提供的用户名和口令。可以通过与认证数据库中存储的用户名和口令进行比较来进行验证,认证数据库可以独立于认证模块110,或者被合并到认证模块110。在某些实施例中,认证数据库可以与如下所述的密码数据库140集成。一旦由认证模块110进行了认证,用户就可以基于由网络管理员定义的、并且可以进一步受成对密码或导出密钥管制的用户的安全许可级别、用户在组织中的角色的参数而在网络170内访问数据和执行动作。 [0025] 访问简档生成模块120针对认证模块110所认证的用户生成访问简档。用户访问简档可以至少包括随机成对密码和可执行指令,在此进一步描述。访问简档可以进一步包括关于用户的信息,例如认证信息、安全信息、用户爱好等等。为了访问网络170,用户将用户访问简档拷贝、下载或者另外传送到用户客户机设备(例如膝上计算机180b)。可以通过利用基于安全套接层的超文本传输协议(HTTPS)的公共web浏览器来安全地获得访问简档。可执行指令自动配置无线设备,从而它们可以访问无线网络170。 [0026] 密码生成模块130生成用于每一用户的随机密码。可以由密码生成模块130使用各种算法和公式来随机地生成密码。通过提供随机密码,密码生成模块130给潜在入侵者增加了对特定密码进行推演或者确定并非法获取对网络170的访问的难度。密码生成模块130进一步被配置为:确定每一密码是对每一用户唯一的,从而每一密码可以仅由一个用户使用。密码可以被绑定为访问简档的一部分。密码将用于对无线设备进行认证,使得无线设备可以访问无线网络170。在某些实施例中,密码生成模块130可以从特定密码推导出用于用户的一个或多个安全性密钥集。类似于密码,安全性密钥可以与无线设备关联,并且用于配置无线接口,从而其可以访问无线网络170。同样类似于密码,没有其它无线设备其后可以使用这些相同安全性密钥来访问网络170。 [0027] 密码数据库140存储有关由密码生成模块130生成的各种密码的信息。密码数据库140还可以存储关于以下方面的信息:哪个用户与特定密码、从密码推导出的任意安全性密钥关联、如果有任意无线设备,则哪个无线设备与用户的密码或安全性密钥关联等等。密码数据库140可以进一步存储关于用户名、口令、安全认可级别等等的信息。密码数据库140可以结合认证模块110来操作,以对用户以及属于该用户对网络170的接口进行认证。 [0028] 绑定模块150被配置为:将用户的密码关联(绑定)到属于该用户的无线接口设备(例如工作站180a、膝上计算机180b或移动设备180c)。对于无线接口,要求对由绑定模块150形成的密码与用户的无线接口设备之间的关联关系进行认证并且允许访问无线网络 170。在某些情况下,在密码生成和/或与访问简档关联之后,绑定模块150立即将用户密码关联到用户的无线接口设备(如果用户正使用无线接口设备)或分配给该接口设备的简档。 绑定模块150的即刻操作可以被称为快速绑定。或者,绑定模块150的操作可以延迟,直到用户经由无线接口发起第一无线连接,并且用户的无线设备的MAC地址可以被确定。绑定模块 150的延迟操作可以被称为延迟绑定。 [0029] 可执行指令生成模块160生成可执行应用,其配置用于访问无线网络170的无线接口。然后可以将由可执行指令生成模块160生成的可执行指令拷贝、下载或者另外传送到属于用户的无线接口。可执行指令可以被绑定为访问简档的一部分。可执行指令将由访问简档生成模块120生成的访问简档以及由密码生成模块130生成的密码安装到无线设备。在美国临时专利申请60/796,845中进一步公开了这种可执行指令以及前述访问简档的生成,该公开先前已经通过引用合并到此。 [0030] 网络170可以被配置为:发送各种电磁波(包括例如无线电信号)。网络170可以是IEEE802.11(Wi-Fi或无线LAN)网络、IEEE802.16(WiMax)网络、IEEE802.16c网络等等。网络170可以将各种信息传送给接口设备(例如客户机接口设备180a-180c)。网络170可以是本地私有网络,或者可以是更大的广域网的一部分。各种辅助网络可以驻留在较大网络170(例如对等网络或无线网格网络)的领域内。 [0031] 客户机接口设备180a-180c示出各种有无线能力的接口,包括桌上型计算机、膝上型计算机、手持计算机等等。期望通过无线接口180a访问无线网络170的用户例如可以通过以下方式来进行这种操作:将由访问简档生成模块120生成的用户的访问简档、由密码生成模块130生成的密码以及由可执行指令生成模块160生成的安装可执行指令拷贝、下载或者另外传送到无线接口180a。作为整个认证操作的一部分,可执行指令配置无线接口180a,使得无线接口180a可以使用访问简档和成对密码来访问无线网络170。可以用相似方式来配置无线接口180b和无线接口180c。 [0032] 可以周期性地或者响应于网络管理员的请求而更新用户的密码。可以由密码生成模块130生成用于用户的新的密码,该密码与用户的访问简档关联,并且被保存到密码数据库140。如果先前的密码已经过期,则必须对无线接口进行重新认证。用户必须要么立即进行重新认证,要么在下一无线连接时进行重新认证。对无线设备进行重新认证可以包括:对用户进行重新认证,传送用户新密码、访问简档和/或新的可执行指令的拷贝,并使用绑定模块140,形成无线接口与新的密码之间的新的关联关系。 [0033] 图2是示出在安全无线网络170中使用成对密码的方法200的流程图。在方法200中,对用户进行认证,针对用户生成随机且唯一的成对密码,将密码与属于用户的访问简档关联,并且将密码进一步与属于该用户的无线接口关联,并且进一步与特定访问简档关联。 [0034] 在步骤210,利用认证模块110对用户进行认证。初始认证可以包括:提供将用户标识为特定用户的用户名和口令。该用户可以被授权访问网络170,或者可以不被授权访问网络170,如可以相对于成对密码进行确定。如果通过简单的用户名和口令匹配(或者后续关于成对密码)不能对用户进行认证,则不能允许用户访问无线网络170。 [0035] 在步骤220,针对临时认证过的用户生成密码。可以通过各种算法和公式来确定由密码生成模块130生成的密码,从而为认证过的用户产生随机生成的密码。此外,在网络170中,密码对于每一用户是唯一的。密码对于每一用户的唯一性提供了保护每一用户免受网络170中所有其它用户干扰。因为每一用户具有唯一绑定到该特定用户(或他们的简档和/或接口设备)的密码,因此该用户无法使用另一用户的密码。此外,当不再授权特定用户使用网络170时,对用户的解除授权不影响其它用户继续使用网络170的能力,如同在很多现有技术网络安全性解决方案中的情况那样。进一步地,对特定用户的解除授权不需要任何特定技术专家或技术支持来维护网络170的安全性。此外,在步骤220,可以生成与无线认证机制关联的其它信息实体(例如授权证书)。 [0036] 在步骤230,将为认证用户生成的密码与该用户的访问简档关联,其还可以进一步与特定接口设备关联。可以将有关密码与用户访问简档之间的关联关系的信息保存在密码数据库150中。 [0037] 在步骤240,该密码与属于该认证用户的无线接口、他们的简档和/或设备关联(绑定)。这种关联关系可以由绑定模块140来形成,并且允许无线接口设备访问无线网络170。所述关联关系或绑定可以包括:下载访问简档、成对密码以及关联的导出的安全性密钥,以及可执行指令,以用于配置无线接口设备并且将其与密码关联。可以通过将密码与无线接口的特定无线电、无线接口的MAC地址等等关联而将密码与无线接口关联。可以将有关成对密码与无线接口之间的关联关系的信息保存在密码数据库150中。 [0038] 图3是示出在安全无线网络170中使用密码的替代方法的流程图。在所述方法300中,如通过初始用户名和口令验证处理可发生的,对用户进行认证,生成访问简档,并且生成密码。如果已知的无线接口连接到网络170,则该无线接口与密码关联(绑定)。如果当前没有已知的无线接口连接到网络170,则可以保存不关联的密码,并且可以稍后将其与无线接口关联。 [0039] 在步骤310,由认证模块110对用户进行认证。可以通过与在步骤210中执行的认证操作相似的方式来执行该认证。 [0040] 在步骤320,针对认证用户生成访问简档。由访问简档生成模块120生成的访问简档可以用于配置属于用户的无线接口,使得它们可以访问网络170。 [0041] 在步骤330,针对用户生成密码。可以通过与图2的步骤220相似的方式来执行密码的生成。 [0042] 在步骤340,确定当前网络连接是否是通过已知的无线接口的。这种确定可以是基于认证信息、用户输入等等的。 [0043] 在步骤350,在(例如)确定连接不是已经具有绑定密码的已知无线接口的情况下,将最近生成的密码保存到表中。该表可以被包括在密码数据库150中。在以下情况下,可以将密码保存到所述表中以供稍后使用:用户不在使用无线接口,该无线接口不是将要在多无线接口(无线电)设备中使用的期望接口,用户不在使用用户自身的无线接口,或者用户不准备将无线接口与密码关联。. [0044] 在步骤360,当该连接被确定为是没有绑定密码、具有过期的密码、或者需要绑定密码的已知无线接口的情况下,将密码与无线接口绑定。可以通过与在步骤240中形成的关联关系相似的方式来形成这种关联关系。 [0045] 图4是示出在安全无线网络170中使用安全性密钥的方法400的流程图。在该方法中,从无线接口接收认证请求,然后确定安全性密钥是否与接口关联,如果关联,则确定该安全性密钥是否有效。如果安全性密钥有效,则无线接口被成功认证。如果安全性密钥无效,则拒绝认证请求。如果没有与接口关联的安全性密钥,则确定是否有针对用户的任意不关联的安全性密钥。如果存在不关联的安全性密钥,则获得下一不关联的安全性密钥,然后确定安全性密钥是否有效。如果安全性密钥无效,则再次确定是否存在任意不关联的安全性密钥。如果没有留下不关联的安全性密钥,则拒绝认证请求。如果存在可用的不关联的安全性密钥并且其有效,则将安全性密钥绑定到接口,并且成功地认证了无线接口。 [0046] 在步骤410,接收来自属于用户的无线接口的认证请求。针对安全性密钥已经过期的无线接口、针对连接被终止的无线接口等等,当无线接口对于网络170是新的时,可以产生这种请求。 [0047] 在步骤420,确定是否存在与无线接口关联的安全性密钥。可以根据无线接口认证处理中的信息来进行确定。如果存在已关联的安全性密钥,则该方法进入步骤430。如果不存在已关联的安全性密钥,则该方法进入步骤440。 [0048] 在步骤430,在确定安全性密钥与无线接口关联的情况下,紧接着确定该安全性密钥是否有效。通过将来自认证请求的安全性密钥信息与密码数据库150中的安全性密钥进行比较来进行确定。 [0049] 在步骤440,在没有与无线网络170关联的安全性密钥的情况下,确定是否有用于用户的任意不关联的安全性密钥。可以基于来自认证请求的信息、与密码数据库150中保存的用户访问简档关联的安全性密钥信息等等来进行确定。如果存在可用的不关联的安全性密钥,则该方法进入步骤450。如果不存在可用的不关联的安全性密钥,则该方法进入步骤490。 [0050] 在步骤450,在确定存在可用的不关联的安全性密钥的情况下,获得下一不关联的安全性密钥。将所有不关联的安全性密钥保存到表,如步骤350中所描述的那样。在某些实施例中,所述表被包括在密码数据库150中。在步骤450,考虑来自该表的下一可用的不关联的安全性密钥。 [0051] 在步骤460,确定在考虑下的安全性密钥是否有效。安全性密钥是否有效的确定与在步骤430进行的确定相似。如果安全性密钥无效,则该方法返回步骤440。如果安全性密钥有效,则该方法进入步骤470。 [0052] 在步骤470,将安全性密钥绑定到无线接口。与在步骤240和360中形成的关联关系相似地形成所述绑定或关联关系。 [0053] 在步骤480,由安全性密钥进行的无线接口的认证是成功的。在某些实施例中,该方法可以继续进一步的认证步骤。例如,在步骤500,可以对有关安全性密钥是否过期进行确定。如果密钥已经过期,则可以在步骤520开始重新产生密钥的处理。然而,在中间时期,用户可能经受受限的访问或没有任何访问。在某些实施例中,在用户具有受限的访问权限或没有访问权限的同时,重新产生密钥的处理可以是不同处理的一部分。然而,在步骤510,如果密钥仍然有效,则用户可以享受全部服务访问。然而,对无线接口进行认证允许无线接口访问无线网络170。 [0054] 在步骤490,拒绝认证请求。不允许无线接口访问无线网络170,或者,如果存在已有的连接,则可以终止该连接。 |