CN100389555C - 一种适合有线和无线网络的接入认证方法 - Google Patents

一种适合有线和无线网络的接入认证方法 Download PDF

Info

Publication number
CN100389555C
CN100389555C CNB2005100417148A CN200510041714A CN100389555C CN 100389555 C CN100389555 C CN 100389555C CN B2005100417148 A CNB2005100417148 A CN B2005100417148A CN 200510041714 A CN200510041714 A CN 200510041714A CN 100389555 C CN100389555 C CN 100389555C
Authority
CN
China
Prior art keywords
access node
user side
key
message
authentication
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CNB2005100417148A
Other languages
English (en)
Other versions
CN1668005A (zh
Inventor
赖晓龙
曹军
郭宏
黄振海
张变玲
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
China Iwncomm Co Ltd
Original Assignee
China Iwncomm Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by China Iwncomm Co Ltd filed Critical China Iwncomm Co Ltd
Priority to CNB2005100417148A priority Critical patent/CN100389555C/zh
Publication of CN1668005A publication Critical patent/CN1668005A/zh
Priority to US11/816,743 priority patent/US8225092B2/en
Priority to EP06705670.5A priority patent/EP1852999B1/en
Priority to JP2007555444A priority patent/JP4820826B2/ja
Priority to PCT/CN2006/000249 priority patent/WO2006086932A1/zh
Priority to KR1020077021553A priority patent/KR101260536B1/ko
Application granted granted Critical
Publication of CN100389555C publication Critical patent/CN100389555C/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0823—Network architectures or network communication protocols for network security for authentication of entities using certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0819—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s)
    • H04L9/083—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s) involving central third party, e.g. key distribution center [KDC] or trusted third party [TTP]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0891—Revocation or update of secret information, e.g. encryption key update or rekeying
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3263—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3271—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using challenge-response
    • H04L9/3273—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using challenge-response for mutual authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/80—Wireless

Abstract

一种适合有线和无线网络的接入认证方法，包括在接入节点的认证服务器和用户端的认证服务器之间预先建立安全信道以及在用户端和接入节点进行认证的过程，该认证过程包括：1)接入节点发送认证激活消息；2)用户端向用户端认证服务器发送请求消息；3)用户端认证服务器向用户端发送响应消息；4)认证完成。本发明方法解决了现有网络用户无法采用同一身份接入多种网络的技术问题，可用于各种网络环境，满足网络用户以同一身份访问多个网络的要求，满足某些网络环境不需要密钥进行加密的要求，消除了接入节点和本地认证服务器之间的强安全关联的需求，增强了扩展性，提高了性能和安全性。

Description

一种适合有线和无线网络的接入认证方法
技术领域
本发明涉及一种网络技术，尤其涉及一种适合有线和无线网络的接入认证方法。
背景技术
目前网络种类数量很多，它们以各种方式提供资源，供使用者使用。从物理介质上来看，网络接入可以分为有ADSL、HomePNA、Cable Modem、VDSL、以太网等多种接入方式，而以太网因其低廉的价格和高带宽的特点逐渐成为宽带接入网主要接入方式，同时利用现有电话线的ADSL接入成为小区用户、小型/家庭办公室的主要接入方式。无线网络接入有无线局域网IEEE 802.11、宽带无线接入IEEE 802.16、移动宽带无线接入IEEE 802.20、移动通信全球系统GSM和第三代移动通信3G等网络形式。
不论是有线网络接入和无线网络接入都需要采用一种用户和网络之间的认证方法。各种接入方式都提供了各自的认证方法，这些方法有共同点也存在着差异。
现在宽带有线接入中，用户认证方法主要有PPPoE、Web/Portal和802.1x三种认证方法，它们都是单向认证，即只对用户进行认证，而用户无条件信任网络，用户对网络的信任是通过物理线路的连接保证的。但是在PPPoE和802.1X认证方法中，已经开始使用可扩展认证协议EAP(Extensible AuthenticationProtocol)认证方法，支持进行双向认证。
目前在有线接入网络中都没有使用链路加密的方法，其中Web/Portal认证方法不能产生会话密钥，不支持用户和会话密钥的绑定以及链路加密，而PPPoE和802.1X认证方式都支持链路加密，但一般并不使用。
对于无线网络，安全问题远比有线网络严重的多，各种无线技术都采用认证及链路加密提供安全。
IEEE 802.11最初采用的是基于静态共享密钥+有线等价保密WEP(WiredEquivalent Privacy)的安全认证及加密方法，IEEE 802.16采用的是基于公钥证书的单向认证方法。它们都已不适应目前的需要，现在IEEE 802.11采用了新的安全方法：WiFi保护接入WPA(WiFi Protected Access)/IEEE 802.11i和无线局域网鉴别与保密基础结构WAPI(WLAN Authentication and PrivacyInfrastructure)，IEEE 802.16也成立新的工作组IEEE 802.16e对原先IEEE 802.16技术进行发展，其中包括安全方法。
WPA/802.11i采用的是802.1x+EAP的安全技术；WAPI安全系统采用公钥密码技术，WAPI中的鉴别服务器负责证书的颁发、验证与吊销等，移动终端与无线接入点上都安装有鉴别服务器颁发的公钥证书，作为自己的数字身份凭证。当移动终端登录至无线接入点时，双方必须通过鉴别服务器进行相互身份验证。
IEEE 802.16e目前还处于草案讨论阶段，其认证方法对IEEE 802.16中的方法作了改进，支持双向认证，但目前采用的具体方法还在讨论。
GSM是第二代移动通信技术，采用的是基于单钥的单向认证技术。3G是第三代移动通信技术，它的认证技术改进了GSM所采用的认证技术，支持双向认证。
从上面的分析可以看出，不论对于有线网络还是无线网络，认证都是非常必要的。目前的趋势是一个用户使用不同的网络接入方式访问网络资源，但希望采用同一个身份来进行认证。采用同一个身份进行认证将要求认证方法趋于一致，这对目前存在的各种各样的认证方法提出了新的要求。因此，对目前的认证方法进行整合，建立一种适合于有线网络和无线网络的认证方法是非常必要的。
而上面所提到的各种认证方法都不适合采用同一个身份来进行认证的要求。以GSM/3G为代表的基于对称钥的认证方法密钥管理复杂，很难满足一个用户以同一个身份访问多个网络的要求。IEEE 802.16认证方式依赖于公钥基础设施PKI(Public Key Infrastructure)系统，在接入系统中应用PKI技术存在一个难点：由于PKI技术隐含着分布式访问，用户可以访问多个不确定资源，而在接入系统中，用户终端在认证没有通过时，是不允许访问资源的，或者仅允许访问有限的、确定的资源。这使IEEE 802.16认证方法只能实现单向认证。
以IEEE 802.11i为代表的802.1x+EAP的认证方法可以支持单钥和公钥认证方法，该方法是认证服务器直接和用户端之间进行密钥协商，然后由认证服务器将协商的出来的密钥发送给接入节点，用户端和接入节点基于动态的共享密钥进行认证与会话密钥协商。这种认证技术目前应用广泛，比较成熟，但是这也存在一些问题：
1、IEEE 802.1x的结构是不对等结构。用户端和接入节点的功能相差很大。用户端没有端口控制功能，而接入节点没有认证功能，认证是在用户端和认证服务器之间进行的。虽然认证服务器可以和接入节点在一个系统中实现，但这将大大减弱IEEE 802.1x对接入节点集中控制的优势。
2、可扩展性差。在每一个在接入节点和认证服务器之间存在预定义的安全通道。安全通道越多，需要耗费的认证服务器系统资源越多，管理也越复杂，因此不宜配置大量的安全通道，网络扩展性受限；
3、密钥协商过程复杂。密钥用于用户端和接入节点之间的数据保护，却要先在用户端和认证服务器之间协商，再在用户端和接入节点之间协商。
4、引入新的攻击点，安全性有所降低。用户端和认证服务器协商出来的主密钥由认证服务器传递给接入节点，密钥在网络上传递，引入了新的安全攻击点。
5、认证端没有独立的身份。对于用户端，同一认证服务器管理下的认证端的身份是不可区分的，在需要区分认证端的应用环境下要增加额外的功能实体，这带来了复杂性。
从上面的分析可以看出，目前的接入认证方法都不能满足我们的需要。
发明内容
本发明目的是提供一种同时适合于有线网络和无线网络的接入认证方法，解决了现有网络用户无法采用同一身份接入多种网络的技术问题。
本发明方法所基于的网络结构图如图1所示，其中User是用户端，AP是接入节点，F-AS和H-AS分别是接入节点的认证服务器和用户端的认证服务器，用户端User和接入节点AP都有各自所属认证服务器颁发的公钥证书和相应的私钥。图中的虚线表示逻辑上的安全连接，实线表示实际的物理连接。用户端的认证服务器H-AS和接入节点的认证服务器F-AS之间存在安全信道A_<F-AS，H-AS>，他们相互信任。在F-AS和H-AS之间要跨越未知网络，安全威胁的不可控因素增多，因此在它们之间预先建立安全信道来保护消息。由于一个F-AS要管理很多AP，而且它们属于同一管理域，从扩展性上考虑，在F-AS和AP之间不预先建立安全信道，在它们之间传递的消息由认证协议本身来保证安全。
本发明的技术解决方案是：一种适合有线和无线网络的接入认证方法，该方法包括以下步骤：
1)建立安全信道：在接入节点的认证服务器F-AS和用户端的认证服务器H-AS之间预先建立安全信道来保护消息；
2)用户端和接入节点进行认证过程，完成相互的身份认证，具体如下：
2.1)接入节点发送认证激活消息：接入节点向用户端发送认证激活消息，消息中包含认证挑战NCH；
2.2)用户端向用户端认证服务器发送请求消息，具体如下：
2.2.1)用户端发送接入认证请求消息：用户端收到认证激活消息后向接入节点发送接入认证请求消息，消息中包含用户端收到的认证挑战NCH、用户端的证书CertU和用户端随机数NU及用户端对前述内容的签名；
2.2.2)接入节点发送鉴别请求消息：接入节点收到接入认证请求信息后，若收到的认证挑战NCH和自己所发送的认证挑战NCH相同，并且依据用户端的证书验证签名正确，则向接入节点认证服务器发送鉴别请求消息，消息中包含用户端的证书CertU、接入节点的证书CertAP和接入节点随机数NAP、用户端随机数NU，以及接入节点对前述内容的签名；若收到的认证挑战NCH和自己所发送的认证挑战NCH不相同，接入节点停止认证过程；
2.2.3)接入节点认证服务器发送漫游鉴别请求消息：接入节点认证服务器收到鉴别请求消息后，根据接入节点的证书验证接入节点的签名，根据验证结果构造接入节点的初次证书验证结果RESAP，该初次证书验证结果包括接入节点的证书及接入节点证书的有效状态信息；根据用户端的证书确定用户端认证服务器的位置，构造漫游鉴别请求消息发往用户端认证服务器，消息包含接入节点的初次证书验证结果、用户端随机数NU和用户端的证书CertU；
2.3)用户端认证服务器向用户端发送响应消息：
2.3.1)用户端认证服务器发送漫游鉴别响应消息：用户端认证服务器收到漫游鉴别请求消息后，验证用户端的证书，根据验证结果构造用户端的初次证书验证结果RESU，该初次证书验证结果包括用户端的证书及用户端证书的有效状态信息；然后生成接入节点的最终证书验证结果，该最终证书验证结果包括用户端的初次证书验证结果RESU、接入节点的初次证书验证结果RESAP、用户端随机数NU以及用户端认证服务器对前述内容的签名SigH-AS；用户端认证服务器构造漫游鉴别响应消息发送给接入节点认证服务器，消息中包含用户端的初次证书验证结果、用户端的属性和接入节点的最终证书验证结果；
2.3.2)接入节点认证服务器发送鉴别响应消息：接入节点的认证服务器收到漫游鉴别响应消息后，生成用户端的最终证书验证结果，该最终证书验证结果包括用户端的初次证书验证结果RESU、接入节点的初次证书验证结果RESAP、接入节点随机数NAP以及接入节点认证服务器对前述内容的签名SigF-AS；接入节点的认证服务器构造鉴别响应消息发送给接入节点，消息中包含用户端的最终证书验证结果和接入节点的最终证书验证结果；
2.3.3)接入节点发送认证响应消息：接入节点收到鉴别响应消息后，把包含接入节点最终证书验证结果的认证响应消息发送给用户端。然后检查用户端的最终证书验证结果，若用户端的最终证书验证结果为合法，则接入节点继续和用户端进行下一步通信；否则，接入节点停止认证过程；
2.4)认证完成：用户端收到消息后，若接入节点的最终证书验证结果为合法，则认证完成，用户端继续和接入节点进行下一步通信；否则，用户端停止认证过程。
上述用户端和接入节点进行认证的步骤包括确定双方进行密钥协商的方法：
1)接入节点向用户端发送的认证激活消息中包含接入节点支持的密钥协商方法的类型；
2)用户端向接入节点发送的接入认证请求消息中包含用户端选择的密钥协商方法的类型，所选择的类型由用户端签名。
上述用户端和接入节点进行认证的步骤包括确定双方所采用的认证方法类型：
1)接入节点向用户端发送的认证激活消息中包含接入节点支持的认证方法类型；
2)用户端向接入节点发送的接入认证请求消息中包含用户端选择的认证方法类型，所选认证方法类型表示采用本发明的认证方法并由用户端签名；
3)所述鉴别请求消息、漫游鉴别请求消息、漫游鉴别响应消息、鉴别响应消息、认证响应消息中均包含用户端选择的认证方法类型，在鉴别请求消息中的所选认证方法类型由接入节点签名。
上述漫游鉴别请求消息包括接入节点的各项属性ATTAP；所述漫游鉴别响应消息包括用户端的各项属性ATTU；所述接入节点的最终证书验证结果包括用户端的初次证书验证结果RESU、接入节点的初次证书验证结果RESAP、用户端随机数NU、接入节点的属性ATTAP以及用户端认证服务器对前述内容的签名SigH-AS；所述用户端的最终证书验证结果包括用户端的初次证书验证结果RESU、接入节点的初次证书验证结果RESAP、接入节点随机数NAP、用户端的属性ATTU以及接入节点认证服务器对前述内容的签名SigF-AS；
上述方法包括用户端和接入节点完成认证过程后进行密钥协商的过程：
1)接入节点发送密钥协商挑战消息：接入节点根据用户端和接入节点的身份生成接入节点安全索引SPIAP，同时产生随机数N1，把包含安全索引SPIAP和随机数N1的密钥协商挑战消息传送给用户端；
2)用户端发送密钥协商请求消息：用户端收到密钥协商挑战消息后，根据用户端和接入节点的身份生成用户端安全索引SPIU，检查SPIAP和SPIU是否一致，若一致则产生随机数NKEY作为共享秘密，使用接入节点的公钥加密NKEY生成密钥协商信息；然后用户端构造密钥协商请求消息发送给接入节点，消息中包含用户端安全索引SPIU、密钥协商信息、随机数N1以及用户端对前述信息的签名；
3)接入节点发送密钥协商响应消息：接入节点收到密钥协商请求消息后，验证用户端的签名正确后，使用接入节点的私钥解密得到NKEY；检查SPIAP和SPIU是否一致以及收到的随机数N1和自己在密钥挑战消息中发送的随机数N1是否一致，若都一致则利用密钥生成函数f(NKEY，N1，SPIAP，“字符串”)计算各个密钥，包括数据单播密钥UK、HMAC密钥和单/组播密钥加密密钥KK；接入节点生成组播密钥GK，根据系统状态设定组播数据序号SN和组播密钥通告序号Gn，然后接入节点使用单/组播密钥加密密钥KK加密组播密钥GK，将其和接入节点安全索引SPIAP、组播数据序号SN、组播密钥通告序号Gn以及它们的HMAC值一起作为密钥协商响应消息传送给用户端；
4)用户端发送密钥协商确认消息：用户端收到消息后，检查SPIAP和SPIU是否一致，若一致则利用密钥生成函数f(NKEY，N1，SPIU，“字符串”)计算各个密钥，包括数据单播密钥UK、HMAC密钥和单/组播密钥加密密钥KK；验证收到消息的HMAC值正确后，使用单/组播密钥加密密钥KK解密得到组播密钥GK；将用户端安全索引SPIU、组播数据序号SN、组播密钥通告序号Gn和它们的HAMC值作为密钥协商确认消息发送给接入节点；用户端打开受控端口，允许和接入节点通信；
5)密钥协商完成：接入节点收到消息后，检查SPIAP和SPIU是否一致，若一致则验证组播数据序号SN、组播密钥通告序号Gn和HMAC值正确后，打开受控端口，允许和用户端通信。
上述方法包括用户端和接入节点进行单播密钥更新过程：
1)用户端发送单播密钥更新请求消息：用户端发起单播密钥更新，它产生新的单播密钥UK，产生随机数作为挑战Nonce，选择一个新鲜的单播密钥更新序列号Un，使用单/组播密钥加密密钥KK加密UK，将其和用户端安全索引SPIU、加密后的单播密钥UK、单播密钥更新序列号Un、挑战Nonce及它们的HMAC值一起作为单播密钥更新请求消息传递给接入节点；
2)接入节点发送单播密钥更新响应消息：接入节点收到消息后，检查SPIAP和SPIU是否一致，若一致则验证单播密钥更新序列号Un是新鲜的和HMAC值正确后，解密得到新的单播密钥UK，然后用新的单播密钥UK加密挑战Nonce；将其和接入节点安全索引SPIAP、单播密钥更新序列号Un及它们的HMAC值一起作为单播密钥更新响应消息传送给用户端；
3)用户端安装新的单播密钥：用户端收到消息后，检查SPIAP和SPIU是否一致，若一致则验证单播密钥更新序列号Un和自己发送的值相同，并且验证HMAC值正确后，解密得到Nonce，比较该Nonce与自己在单播密钥更新请求消息中发送Nonce是否一致，若一致则安装新的单播密钥；若上述比较或验证有任何一项没有通过，则重新进行单播密钥更新过程。
上述单播密钥更新可由接入节点发起。
上述方法包括用户端和接入节点进行组播密钥通告过程：
1)接入节点发送组播密钥通告消息：接入节点产生一个新的组播密钥GK，根据系统状态设定组播数据序号SN和新鲜的组播密钥通告序号Gn，使用单/组播密钥加密密钥KK加密新的组播密钥GK，将其和组播数据序号SN、组播密钥通告序号Gn以及它们的HMAC值一起作为组播密钥通告消息传送给用户端；
2)用户端发送组播密钥确认消息：用户端收到消息后，验证组播密钥通告序号Gn是新鲜的，并且HMAC值是正确的，则使用单/组播密钥加密密钥KK解密得到新的组播密钥GK并安装GK，将组播数据序号SN、组播密钥通告序号Gn和它们的HAMC值作为组播密钥确认消息发送给接入节点；
3)组播密钥通告完成：接入节点收到消息后，验证组播密钥通告序号Gn和组播数据序号SN与自己发送的是否一致，若一致并且验证HMAC值是正确的，通告过程结束。
本发明的优点是：
1、本发明方法可用于各种网络环境，可采用同样认证过程，从而满足网络用户以同一身份访问多个网络的要求；
2、本发明方法采用了模块化设计思想，认证过程和密钥协商过程分离，满足了某些网络环境不需要密钥进行加密的要求，而且两个过程可以独立被改进、被替换，具有很大的灵活性；
3、单播密钥更新过程和密钥协商过程独立，当采用不同密钥协商过程时，不影响单播密钥更新过程；
4、本发明采用了对等的思想，赋予了接入节点独立的身份，使接入节点自身有了可区分性，解除了接入节点和本地认证服务器的本质依赖，从而消除了接入节点和本地认证服务器之间的强安全关联的需求，增强了扩展性；
5、密钥协商在用户端和接入节点之间直接进行，提高了性能和安全性。
附图图面说明
图1是本发明的方法所基于的网络结构图。
图2是本发明的认证过程图。
图3是本发明的密钥协商过程图。
图4是本发明的单播密钥更新过程图。
图5是本发明的组播密钥通告过程图。
具体实施方式
本发明所提供的适合有线和无线网络的接入认证方法具体如下：
用户端的认证服务器H-AS和接入节点的认证服务器F-AS之间存在安全信道A_<F-AS，H-AS>，他们相互信任。在F-AS和H-AS之间要跨越未知网络，安全威胁的不可控因素增多，因此在它们之间预先建立安全信道来保护消息。由于一个F-AS要管理很多接入节点AP，而且它们属于同一管理域，从扩展性上考虑，在F-AS和AP之间不预先建立安全信道，在它们之间传递的消息由认证协议本身来保证安全。
1、用户端和接入节点进行认证过程，完成相互的身份认证并确定双方进行密钥协商所采用的方法，参见图2，具体如下：
1.1)接入节点向用户端发送认证激活消息，消息中包含接入节点支持的认证类型、密钥协商类型和认证挑战NCH；
1.2)用户端收到认证激活消息后向接入节点发送接入认证请求消息，消息包含用户端选择的认证类型和密钥协商类型以及相应的数据内容及用户端对前述内容的签名。所选认证类型表示采用本发明的认证方法，数据内容包括收到的认证挑战NCH、用户端的证书CertU和用户端随机数NU；
1.3)接入节点收到接入认证请求信息后，若收到的认证挑战NCH和自己所发送的认证挑战NCH相同，并且依据用户端的证书验证签名正确，则向接入节点的认证服务器发送鉴别请求消息，消息包含用户端选择的认证类型，用户端的证书CertU、接入节点的证书CertAP和接入节点随机数NAP、用户端随机数NU，以及接入节点对前述内容的签名；否则，接入节点停止认证过程；
1.4)接入节点的认证服务器收到消息后，根据接入节点的证书验证接入节点的签名，根据验证结果构造接入节点的初次证书验证结果RESAP{接入节点的证书，接入节点证书的有效状态信息}。根据从证书得到的用户端身份，确定用户端认证服务器的位置，构造漫游鉴别请求消息发往用户端的认证服务器，消息包含认证类型、接入节点的初次证书验证结果、接入节点的各项属性ATTAP(可根据需要包含相应的信息，比如接入节点用于加密的公钥证书等)、用户端随机数NU和用户端的证书CertU；
1.5)用户端的认证服务器收到消息后，验证用户端的证书，根据验证结果构造用户端的初次证书验证结果RESU{用户端的证书，用户端证书的有效状态信息}。然后生成接入节点的最终证书验证结果{RESU，RESAP，NU，ATTAP，SigH-AS}。用户端的认证服务器中存储用户端的属性ATTU，属性内容可根据实际应用情况设置。用户端的认证服务器将包含认证类型、用户端的初次证书验证结果、用户端的属性和接入节点的最终证书验证结果的漫游鉴别响应消息发送给接入节点的认证服务器；
1.6)接入节点的认证服务器收到消息后，生成用户端的最终证书验证结果{RESU，RESAP，NAP，ATTU，SigF-AS}。接入节点的认证服务器将包含认证类型、用户端的最终证书验证结果和接入节点的最终证书验证结果的鉴别响应消息发送给接入节点；
1.7)接入节点收到消息后，把包含认证类型、接入节点最终证书验证结果的认证响应消息发送给用户端。然后检查用户端的最终证书验证结果，若用户端的最终证书验证结果为合法，则接入节点继续和用户端进行下一步通信；否则接入节点停止认证过程。如果认证过程后不进行密钥协商过程，则接入节点开放受控端口；否则，接入节点不开放受控端口；
1.8)用户端收到消息后，若接入节点的最终证书验证结果为合法，则用户端继续和接入节点进行下一步通信；否则，用户端停止认证过程。如果认证过程后不进行密钥协商过程，则用户端开放受控端口；否则，用户端不开放受控端口。
2、用户端和接入节点完成认证过程后，它们进行密钥协商过程，完成密钥的协商，参见图3，具体如下。
2.1)接入节点根据用户端和接入节点的身份生成接入节点安全索引SPIAP，同时产生随机数N1，把包含接入节点安全索引SPIAP和随机数N1的密钥协商挑战消息传送给用户端；
2.2)用户端收到消息后，根据用户端和接入节点的身份生成用户端安全索引SPIU，检查SPIAP和SPIU是否一致，若一致则产生随机数NKEY作为共享秘密，使用接入节点的公钥加密NKEY生成密钥协商信息。然后用户端对用户端安全索引SPIU、随机数N1和密钥协商信息签名，用户端把包含用户端安全索引SPIU、密钥协商信息、随机数N1和签名的密钥协商请求消息传递给接入节点；
2.3)接入节点收到消息后，验证用户端的签名正确后，使用接入节点的私钥解密得到NKEY。检查SPIAP和SPIU是否一致以及收到的随机数N1和自己在密钥挑战消息中发送的随机数N1是否一致，若都一致则利用密钥生成函数f(NKEY，N1，SPIAP，“字符串”)计算各个密钥，包括数据单播密钥UK、HMAC密钥和单/组播密钥加密密钥KK。接入节点生成组播密钥GK，根据系统状态设定组播数据序号SN和组播密钥通告序号Gn，然后接入节点使用单/组播密钥加密密钥KK加密组播密钥GK，将其和接入节点安全索引SPIAP、组播数据序号SN、组播密钥通告序号Gn以及它们的HMAC值一起作为密钥协商响应消息传送给用户端；
2.4)用户端收到消息后，检查SPIAP和SPIU是否一致，若一致则利用密钥生成函数f(NKEY，N1，SPIU，“字符串”)计算各个密钥，包括数据单播密钥UK、HMAC密钥和单/组播密钥加密密钥KK；验证收到消息的HMAC值正确后，使用单/组播密钥加密密钥KK解密得到组播密钥GK；将用户端安全索引SPIU、组播数据序号SN、组播密钥通告序号Gn和它们的HAMC值作为密钥协商确认消息发送给接入节点；用户端打开受控端口，允许和接入节点通信；
2.5)接入节点收到消息后，检查SPIAP和SPIU是否一致，若一致则验证组播数据序号SN、组播密钥通告序号Gn和HMAC值正确后，打开受控端口，允许和用户端通信。
3、用户端和接入节点进行单播密钥更新过程，单播密钥更新过程可以由用户端或接入节点发起，该过程中计算HMAC值采用的密钥是在密钥协商过程中得到的HMAC密钥，使用的单/组播密钥加密密钥是在密钥协商过程中得到的单/组播密钥加密密钥KK，参见图4，具体如下：
3.1)用户端发起单播密钥更新，它产生新的单播密钥UK，产生随机数作为挑战Nonce，选择一个新鲜的单播密钥更新序列号Un，使用单/组播密钥加密密钥KK加密UK，将其和用户端安全索引SPIU、加密后的单播密钥UK、单播密钥更新序列号Un、挑战Nonce及它们的HMAC值一起作为单播密钥更新请求消息传递给接入节点；
3.2)接入节点收到消息后，检查SPIAP和SPIU是否一致，若一致则验证单播密钥更新序列号Un是新鲜的和HMAC值正确后，解密得到新的单播密钥UK，然后用新的单播密钥UK加密挑战Nonce；将其和接入节点安全索引SPIAP、单播密钥更新序列号Un及它们的HMAC值一起作为单播密钥更新响应消息传送给用户端；
3.3)用户端安装新的单播密钥：用户端收到消息后，检查SPIAP和SPIU是否一致，若一致则验证单播密钥更新序列号Un和自己发送的值相同，并且验证HMAC值正确后，解密得到Nonce，比较该Nonce与自己在单播密钥更新请求消息中发送Nonce是否一致，若一致则安装新的单播密钥；若上述比较或验证有任何一项没有通过，则重新进行单播密钥更新过程。
4、用户端和接入节点进行组播密钥通告过程，该过程中计算HMAC值采用的密钥是在密钥协商过程中得到的HMAC密钥，使用的单/组播密钥加密密钥是在密钥协商过程中得到的单/组播密钥加密密钥KK，参见图5，具体如下：
4.1)接入节点产生一个新的组播密钥GK，根据系统状态设定组播数据序号SN和新鲜的组播密钥通告序号Gn，使用单/组播密钥加密密钥KK加密新的组播密钥GK，将其和组播数据序号SN、组播密钥通告序号Gn以及它们的HMAC值一起作为组播密钥通告消息传送给用户端；
4.2)用户端收到消息后，验证组播密钥通告序号Gn是新鲜的，并且HMAC值是正确的，则使用单/组播密钥加密密钥KK解密得到新的组播密钥GK并安装GK，将组播数据序号SN、组播密钥通告序号Gn和它们的HAMC值作为组播密钥确认消息发送给接入节点；
4.3)入节点收到消息后，验证组播密钥通告序号Gn和组播数据序号SN与自己发送的是否一致，若一致并且验证HMAC值是正确的，通告过程结束。
本发明方法的用户端和接入节点间所进行的认证过程、密钥协商过程、单播密钥更新过程、组播密钥通告过程是相互独立的，其中认证过程是必须完成的过程；其余三个过程是可选完成的，且只能在认证过程之后进行；单播密钥更新过程和组播密钥通告过程必须在密钥协商过程完成后才能进行，这两个过程无顺序要求。
本发明所涉及的技术术语解释如下：
ADSL           非对称数字用户线路
HomePNA        家庭电话线网络联盟
Cable Modem    线缆调制解调器
VDSL           甚高速数字用户环路
PPPoE          以太网上的点对点协议
Web/portal     浏览器/门户
802.1x         基于端口的访问控制协议
AP             接入节点
本发明所涉及的技术符号定义如下：
AUTHType       认证方法类型
KeyType        密钥协商方法类型
NCH            认证挑战
NU             用户端用于鉴别接入节点证书的随机数
NAP            接入节点用于鉴别用户端证书的随机数
CertU          用户端的公钥证书
CertAP         接入节点的公钥证书
RESU           用户端证书的鉴别结果
RESAP          接入节点证书的鉴别结果
ATTU           用户端的属性
ATTAP          接入节点的属性
SigU           用户端的签名
SigAP          接入节点的签名
SigF-AS        接入节点认证服务器
SigH-AS           用户端认证服务器
ENCAP()           使用接入节点的公钥加密
ENC(Key；)        使用密钥Key的对称密钥算法加密
SPI               安全索引
NKey              随机共享秘密
N1                随机数
Nonce             随机数
SN                组播数据序列号
Gn                组播密钥序列号
HMAC              带密钥的杂凑函数
(，，，Sig)       Sig指对括号内其他内容的签名
Un                单播密钥序列号
GK                组播密钥
UK                单播密钥
KK                单、组播密钥加密密钥
SPIU              用户端的安全索引
SPIAP             接入节点的安全索引

Claims (8)

1.一种适合有线和无线网络的接入认证方法，其特征在于：该方法包括以下步骤
1)建立安全信道：在接入节点的认证服务器和用户端的认证服务器之间预先建立安全信道来保护消息；
2)用户端和接入节点进行认证过程，完成相互的身份认证，具体如下：
2.1)接入节点发送认证激活消息：接入节点向用户端发送认证激活消息，消息中包含认证挑战NCH；
2.2)用户端向用户端认证服务器发送请求消息，具体如下：
2.2.1)用户端发送接入认证请求消息：用户端收到认证激活消息后向接入节点发送接入认证请求消息，消息中包含用户端收到的认证挑战NCH、用户端的证书CertU和用户端随机数NU及用户端对前述内容的签名；
2.2.2)接入节点发送鉴别请求消息：接入节点收到接入认证请求信息后，若收到的认证挑战NCH和自己所发送的认证挑战NCH相同，并且依据用户端的证书验证签名正确，则向接入节点认证服务器发送鉴别请求消息，消息中包含用户端的证书CertU、接入节点的证书CertAP和接入节点随机数NAP、用户端随机数NU，以及接入节点对前述内容的签名；若收到的认证挑战NCH和自己所发送的认证挑战NCH不相同，接入节点停止认证过程；
2.2.3)接入节点认证服务器发送漫游鉴别请求消息：接入节点认证服务器收到鉴别请求消息后，根据接入节点的证书验证接入节点的签名，根据验证结果构造接入节点的初次证书验证结果RESAP，该初次证书验证结果包括接入节点的证书及接入节点证书的有效状态信息；接入节点认证服务器根据用户端的证书确定用户端认证服务器的位置，构造漫游鉴别请求消息发往用户端认证服务器，消息包含接入节点的初次证书验证结果、用户端随机数NU和用户端的证书CertU；
2.3)用户端认证服务器向用户端发送响应消息：
2.3.1)用户端认证服务器发送漫游鉴别响应消息：用户端认证服务器收到漫游鉴别请求消息后，验证用户端的证书，根据验证结果构造用户端的初次证书验证结果RESU，该初次证书验证结果包括用户端的证书及用户端证书的有效状态信息；然后生成接入节点的最终证书验证结果，该最终证书验证结果包括用户端的初次证书验证结果RESU、接入节点的初次证书验证结果RESAP、用户端随机数NU以及用户端认证服务器对前述内容的签名SigH-AS；用户端认证服务器构造漫游鉴别响应消息发送给接入节点认证服务器，消息中包含用户端的初次证书验证结果、用户端的属性和接入节点的最终证书验证结果；
2.3.2)接入节点认证服务器发送鉴别响应消息：接入节点的认证服务器收到漫游鉴别响应消息后，生成用户端的最终证书验证结果，该最终证书验证结果包括用户端的初次证书验证结果RESU、接入节点的初次证书验证结果RESAP、接入节点随机数NAP以及接入节点认证服务器对前述内容的签名SigF-AS；接入节点的认证服务器构造鉴别响应消息发送给接入节点，消息中包含用户端的最终证书验证结果和接入节点的最终证书验证结果；
2.3.3)接入节点发送认证响应消息：接入节点收到鉴别响应消息后，把包含接入节点最终证书验证结果的认证响应消息发送给用户端。然后检查用户端的最终证书验证结果，若用户端的最终证书验证结果为合法，则接入节点继续和用户端进行下一步通信；否则，接入节点停止认证过程；
2.4)认证完成：用户端收到消息后，若接入节点的最终证书验证结果为合法，则认证完成，用户端继续和接入节点进行下一步通信；否则，用户端停止认证过程。
2.根据权利要求1所述的一种适合有线和无线网络的接入认证方法，其特征在于：所述用户端和接入节点进行认证的步骤包括确定双方进行密钥协商的方法类型：
1)接入节点向用户端发送的认证激活消息中包含接入节点支持的密钥协商方法的类型；
2)用户端向接入节点发送的接入认证请求消息中包含用户端选择的密钥协商方法的类型，所选择的类型由用户端签名。
3.根据权利要求1或2所述的一种适合有线和无线网络的接入认证方法，其特征在于：所述用户端和接入节点进行认证的步骤包括确定双方所采用的认证方法类型：
1)接入节点向用户端发送的认证激活消息中包含接入节点支持的认证方法类型；
2)用户端向接入节点发送的接入认证请求消息中包含用户端选择的认证方法类型；
3)所述鉴别请求消息、漫游鉴别请求消息、漫游鉴别响应消息、鉴别响应消息、认证响应消息中均包含用户端选择的认证方法类型，在鉴别请求消息中的所选认证方法类型由接入节点签名。
4.根据权利要求3所述的一种适合有线和无线网络的接入认证方法，其特征在于：所述漫游鉴别请求消息包括接入节点的各项属性ATTAP；所述漫游鉴别响应消息包括用户端的各项属性ATTU；所述接入节点的最终证书验证结果包括用户端的初次证书验证结果RESU、接入节点的初次证书验证结果RESAP、用户端随机数NU、接入节点的属性ATTAP以及用户端认证服务器对前述内容的签名SigH-AS；所述用户端的最终证书验证结果包括用户端的初次证书验证结果RESU、接入节点的初次证书验证结果RESAP、接入节点随机数NAP、用户端的属性ATTU以及接入节点认证服务器对前述内容的签名SigF-AS。
5.根据权利要求2所述的一种适合有线和无线网络的接入认证方法，其特征在于：所述方法包括用户端和接入节点完成认证过程后进行密钥协商的过程：
1)接入节点发送密钥协商挑战消息：接入节点根据用户端和接入节点的身份生成接入节点安全索引SPIAP，同时产生随机数N1，把包含安全索引SPIAP和随机数N1的密钥协商挑战消息传送给用户端；
2)用户端发送密钥协商请求消息：用户端收到密钥协商挑战消息后，根据用户端和接入节点的身份生成用户端安全索引SPIU，检查SPIAP和SPIU是否一致，若一致则产生随机数NKEY作为共享秘密，使用接入节点的公钥加密NKEY生成密钥协商信息；然后用户端构造密钥协商请求消息发送给接入节点，消息中包含用户端安全索引SPIU、密钥协商信息、随机数N1以及用户端对前述信息的签名；
3)接入节点发送密钥协商响应消息：接入节点收到密钥协商请求消息后，验证用户端的签名正确后，使用接入节点的私钥解密得到NKEY；检查SPIAP和SPIU是否一致以及收到的随机数N1和自己在密钥挑战消息中发送的随机数N1是否一致，若都一致则利用密钥生成函数f(NKEY，N1，SPIAP，“字符串”)计算各个密钥，包括数据单播密钥UK、HMAC密钥和单/组播密钥加密密钥KK；接入节点生成组播密钥GK，根据系统状态设定组播数据序号SN和组播密钥通告序号Gn，然后接入节点使用单/组播密钥加密密钥KK加密组播密钥GK，将其和接入节点安全索引SPIAP、组播数据序号SN、组播密钥通告序号Gn以及它们的HMAC值一起作为密钥协商响应消息传送给用户端；
4)用户端发送密钥协商确认消息：用户端收到消息后，检查SPIAP和SPIU是否一致，若一致则利用密钥生成函数f(NKEY，N1，SPIU，“字符串”)计算各个密钥，包括数据单播密钥UK、HMAC密钥和单/组播密钥加密密钥KK；验证收到消息的HMAC值正确后，使用单/组播密钥加密密钥KK解密得到组播密钥GK；将用户端安全索引SPIU、组播数据序号SN、组播密钥通告序号Gn和它们的HAMC值作为密钥协商确认消息发送给接入节点；用户端打开受控端口，允许和接入节点通信；
5)密钥协商完成：接入节点收到消息后，检查SPIAP和SPIU是否一致，若一致则验证组播数据序号SN、组播密钥通告序号Gn和HMAC值正确后，打开受控端口，允许和用户端通信。
6.根据权利要求5所述的一种适合有线和无线网络的接入认证方法，其特征在于：所述方法包括用户端和接入节点进行单播密钥更新过程：
1)用户端发送单播密钥更新请求消息：用户端发起单播密钥更新，它产生新的单播密钥UK，产生随机数作为挑战Nonce，选择一个新鲜的单播密钥更新序列号Un，使用单/组播密钥加密密钥KK加密UK，将其和用户端安全索引SPIU、加密后的单播密钥UK、单播密钥更新序列号Un、挑战Nonce及它们的HMAC值一起作为单播密钥更新请求消息传递给接入节点；
2)接入节点发送单播密钥更新响应消息：接入节点收到消息后，检查SPIAP和SPIU是否一致，若一致则验证单播密钥更新序列号Un是新鲜的和HMAC值正确后，解密得到新的单播密钥UK，然后用新的单播密钥UK加密挑战Nonce；将其和接入节点安全索引SPIAP、单播密钥更新序列号Un及它们的HMAC值一起作为单播密钥更新响应消息传送给用户端；
3)用户端安装新的单播密钥：用户端收到消息后，检查SPIAP和SPIU是否一致，若一致则验证单播密钥更新序列号Un和自己发送的值相同，并且验证HMAC值正确后，解密得到Nonce，比较该Nonce与自己在单播密钥更新请求消息中发送Nonce是否一致，若一致则安装新的单播密钥；若上述比较或验证有任何一项没有通过，则重新进行单播密钥更新过程。
7.根据权利要求6所述的一种适合有线和无线网络的接入认证方法，其特征在于：所述单播密钥更新可由接入节点发起。
8.根据权利要求5或6或7所述的一种适合有线和无线网络的接入认证方法，其特征在于：所述方法包括用户端和接入节点进行组播密钥通告过程：
1)接入节点发送组播密钥通告消息：接入节点产生一个新的组播密钥GK，根据系统状态设定组播数据序号SN和新鲜的组播密钥通告序号Gn，使用单/组播密钥加密密钥KK加密新的组播密钥GK，将其和组播数据序号SN、组播密钥通告序号Gn以及它们的HMAC值一起作为组播密钥通告消息传送给用户端；
2)用户端发送组播密钥确认消息：用户端收到消息后，验证组播密钥通告序号Gn是新鲜的，并且HMAC值是正确的，则使用单/组播密钥加密密钥KK解密得到新的组播密钥GK并安装GK，将组播数据序号SN、组播密钥通告序号Gn和它们的HAMC值作为组播密钥确认消息发送给接入节点；
3)组播密钥通告完成：接入节点收到消息后，验证组播密钥通告序号Gn和组播数据序号SN与自己发送的是否一致，若一致并且验证HMAC值是正确的，通告过程结束。
CNB2005100417148A 2005-02-21 2005-02-21 一种适合有线和无线网络的接入认证方法 Active CN100389555C (zh)

Priority Applications (6)

Application Number Priority Date Filing Date Title
CNB2005100417148A CN100389555C (zh) 2005-02-21 2005-02-21 一种适合有线和无线网络的接入认证方法
US11/816,743 US8225092B2 (en) 2005-02-21 2006-02-21 Access authentication method suitable for the wire-line and wireless network
EP06705670.5A EP1852999B1 (en) 2005-02-21 2006-02-21 An access authentication method suitable for the wire-line and wireless network
JP2007555444A JP4820826B2 (ja) 2005-02-21 2006-02-21 有線ネットワークおよび無線ネットワークに適したアクセス認証方法
PCT/CN2006/000249 WO2006086932A1 (fr) 2005-02-21 2006-02-21 Methode d'authentification d'acces adaptee aux reseaux avec et sans fils
KR1020077021553A KR101260536B1 (ko) 2005-02-21 2006-02-21 유무선 네트워크에 적합한 액세스 인증 방법

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CNB2005100417148A CN100389555C (zh) 2005-02-21 2005-02-21 一种适合有线和无线网络的接入认证方法

Publications (2)

Publication Number Publication Date
CN1668005A CN1668005A (zh) 2005-09-14
CN100389555C true CN100389555C (zh) 2008-05-21

Family

ID=35038898

Family Applications (1)

Application Number Title Priority Date Filing Date
CNB2005100417148A Active CN100389555C (zh) 2005-02-21 2005-02-21 一种适合有线和无线网络的接入认证方法

Country Status (6)

Country Link
US (1) US8225092B2 (zh)
EP (1) EP1852999B1 (zh)
JP (1) JP4820826B2 (zh)
KR (1) KR101260536B1 (zh)
CN (1) CN100389555C (zh)
WO (1) WO2006086932A1 (zh)

Families Citing this family (71)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP1843508A1 (en) * 2005-03-04 2007-10-10 Matsushita Electric Industrial Co., Ltd. Key distribution control apparatus, radio base station apparatus, and communication system
CN100455120C (zh) * 2005-12-26 2009-01-21 华为技术有限公司 一种异构网络切换中链路建立前的消息安全传送方法
CN100448239C (zh) * 2006-02-28 2008-12-31 西安西电捷通无线网络通信有限公司 鉴别服务实体的安全接入协议符合性测试的方法及其系统
US7764650B2 (en) * 2006-03-02 2010-07-27 Intel Corporation Mobile station and method for fast roaming with integrity protection and source authentication using a common protocol
CN1889575B (zh) * 2006-07-18 2010-05-12 华为技术有限公司 在ip层实现头压缩及复用的方法
CN101094063B (zh) * 2006-07-19 2011-05-11 中兴通讯股份有限公司 一种游牧终端接入软交换网络系统的安全交互方法
CN100463391C (zh) * 2006-09-23 2009-02-18 西安西电捷通无线网络通信有限公司 一种网络密钥管理及会话密钥更新方法
CN100495963C (zh) 2006-09-23 2009-06-03 西安西电捷通无线网络通信有限公司 一种公钥证书状态的获取及验证方法
CN100488305C (zh) * 2006-09-23 2009-05-13 西安西电捷通无线网络通信有限公司 一种网络接入鉴别与授权方法以及授权密钥更新方法
CN101193426B (zh) * 2006-11-24 2010-12-01 中兴通讯股份有限公司 保护通信系统接入过程完整性的方法
US8005224B2 (en) * 2007-03-14 2011-08-23 Futurewei Technologies, Inc. Token-based dynamic key distribution method for roaming environments
EP1976322A1 (en) * 2007-03-27 2008-10-01 British Telecommunications Public Limited Company An authentication method
US9198033B2 (en) 2007-09-27 2015-11-24 Alcatel Lucent Method and apparatus for authenticating nodes in a wireless network
CN100534037C (zh) * 2007-10-30 2009-08-26 西安西电捷通无线网络通信有限公司 一种适用于ibss网络的接入认证方法
CN101159639B (zh) * 2007-11-08 2010-05-12 西安西电捷通无线网络通信有限公司 一种单向接入认证方法
CN100488099C (zh) * 2007-11-08 2009-05-13 西安西电捷通无线网络通信有限公司 一种双向接入认证方法
KR100936530B1 (ko) 2007-11-13 2010-01-13 주식회사 케이티 네트워크 장치 및 네트워크 장치의 인증 정보 공유 방법
CN101222328B (zh) * 2007-12-14 2010-11-03 西安西电捷通无线网络通信股份有限公司 一种实体双向鉴别方法
CN100593936C (zh) * 2008-05-09 2010-03-10 西安西电捷通无线网络通信有限公司 一种基于wapi的漫游认证方法
KR101017972B1 (ko) 2008-06-26 2011-03-02 삼성전자주식회사 이동통신 단말기에서 보안 연계 상태 동기화 장치 및 방법
JP4987820B2 (ja) * 2008-08-11 2012-07-25 日本電信電話株式会社 認証システム、接続制御装置、認証装置および転送装置
CN100581169C (zh) 2008-08-21 2010-01-13 西安西电捷通无线网络通信有限公司 一种基于单播会话密钥的组播密钥分发方法及其更新方法
US8176328B2 (en) * 2008-09-17 2012-05-08 Alcatel Lucent Authentication of access points in wireless local area networks
CN101447992B (zh) * 2008-12-08 2011-04-06 西安西电捷通无线网络通信股份有限公司 一种基于三元对等鉴别的可信网络连接实现方法
CN101431518B (zh) * 2008-12-09 2011-06-01 西安西电捷通无线网络通信股份有限公司 一种认证关联套件的发现与协商方法
CN101547096B (zh) * 2009-02-11 2012-02-15 广州杰赛科技股份有限公司 基于数字证书的网络会议系统及其管理方法
US20100250921A1 (en) * 2009-03-27 2010-09-30 Gil Spencer Authorizing a Login Request of a Remote Device
CN101610273B (zh) * 2009-08-03 2011-12-28 西安西电捷通无线网络通信股份有限公司 一种安全的远程证明方法
CN101631113B (zh) * 2009-08-19 2011-04-06 西安西电捷通无线网络通信股份有限公司 一种有线局域网的安全访问控制方法及其系统
CN102006671B (zh) * 2009-08-31 2014-06-18 中兴通讯股份有限公司 一种实现来电转接的系统及方法
CN101699894B (zh) * 2009-11-10 2012-07-25 广州杰赛科技股份有限公司 在认证服务器集群中处理认证请求的方法和装置
US20110113146A1 (en) * 2009-11-10 2011-05-12 Li Gordon Yong Dynamic quality of service (qos) setup over wired and wireless networks
CN101741548B (zh) * 2009-12-18 2012-02-01 西安西电捷通无线网络通信股份有限公司 交换设备间安全连接的建立方法及系统
US8495371B2 (en) * 2010-01-06 2013-07-23 Calix, Inc. Network device authentication
US8312275B2 (en) * 2010-01-06 2012-11-13 Calix, Inc. Network device authentication
CN102223347B (zh) * 2010-04-13 2015-01-28 中兴通讯股份有限公司 下一代网络中多接入认证方法及系统
CN102238000B (zh) * 2010-04-21 2015-01-21 华为技术有限公司 加密通信方法、装置及系统
CN101867923B (zh) * 2010-06-11 2012-12-05 西安电子科技大学 基于身份自证实的异构无线网络安全接入认证方法
CN101997688B (zh) 2010-11-12 2013-02-06 西安西电捷通无线网络通信股份有限公司 一种匿名实体鉴别方法及系统
CN101984577B (zh) 2010-11-12 2013-05-01 西安西电捷通无线网络通信股份有限公司 匿名实体鉴别方法及系统
EP2514711A1 (en) 2011-04-18 2012-10-24 Anheuser-Busch InBev S.A. Liquid dispensing appliance comprising a solid gas-adsorbent
US8644510B2 (en) * 2011-05-11 2014-02-04 Alcatel Lucent Discovery of security associations for key management relying on public keys
US10068084B2 (en) * 2011-06-27 2018-09-04 General Electric Company Method and system of location-aware certificate based authentication
EP2562129A1 (en) 2011-08-23 2013-02-27 Anheuser-Busch InBev S.A. Roving beverage dispensing unit
CN103052063B (zh) * 2011-10-11 2015-10-07 中国移动通信集团公司 一种接入无线局域网的方法、系统、无线共享设备和终端
CN102378178B (zh) * 2011-12-09 2015-01-28 武汉虹旭信息技术有限责任公司 一种wlan用户综合认证系统及其方法
CN103312499B (zh) 2012-03-12 2018-07-03 西安西电捷通无线网络通信股份有限公司 一种身份认证方法及系统
CN103312670A (zh) 2012-03-12 2013-09-18 西安西电捷通无线网络通信股份有限公司 一种认证方法及系统
EP2660188A1 (en) 2012-05-02 2013-11-06 Anheuser-Busch InBev S.A. Beverage dispensing unit with openable pinch valve
US10682759B1 (en) 2012-10-26 2020-06-16 The United States Of America, As Represented By The Secretary Of The Navy Human-robot interaction function allocation analysis
CN103442383B (zh) * 2013-09-17 2016-05-25 西安西电捷通无线网络通信股份有限公司 一种鉴别服务器的测试方法及系统
CN104954130B (zh) * 2014-03-31 2019-08-20 西安西电捷通无线网络通信股份有限公司 一种实体鉴别方法及装置
JP6545966B2 (ja) * 2015-01-27 2019-07-17 ルネサスエレクトロニクス株式会社 中継装置、端末装置および通信方法
US9451421B1 (en) 2015-06-30 2016-09-20 Blackberry Limited Method and system to authenticate multiple IMS identities
US11297111B2 (en) 2015-06-30 2022-04-05 Blackberry Limited Establishing a session initiation protocol session
CN106572065B (zh) * 2015-10-10 2019-11-22 西安西电捷通无线网络通信股份有限公司 一种多ttp参与的实体身份有效性验证方法及装置
CN106572064B (zh) * 2015-10-10 2019-10-29 西安西电捷通无线网络通信股份有限公司 一种多ttp参与的实体身份有效性验证方法及装置
CN106572066B (zh) * 2015-10-10 2019-11-22 西安西电捷通无线网络通信股份有限公司 一种实体身份有效性验证方法及其装置
US10517126B2 (en) * 2015-10-19 2019-12-24 Time Warner Cable Enterprises Llc Communication management and wireless roaming support
EP3408993B1 (en) * 2016-01-25 2020-11-04 BlackBerry Limited Establishing a session initiation protocol session
CN107040922B (zh) * 2016-05-05 2019-11-26 腾讯科技（深圳）有限公司 无线网络连接方法、装置及系统
US20170359344A1 (en) * 2016-06-10 2017-12-14 Microsoft Technology Licensing, Llc Network-visitability detection control
US11265347B2 (en) * 2017-09-18 2022-03-01 Fortinet, Inc. Automated testing of network security policies against a desired set of security controls
JP7263098B2 (ja) * 2018-12-27 2023-04-24 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ 端末、通信方法、および、プログラム
CN111416824B (zh) * 2020-03-23 2022-04-15 阳光凯讯(北京)科技有限公司 一种网络接入认证控制系统
WO2022041141A1 (zh) * 2020-08-28 2022-03-03 华为技术有限公司 一种通信方法及相关装置
CN112867082B (zh) * 2020-12-09 2022-12-23 国网宁夏电力有限公司检修公司 无线传感器网安全多跳传输路径的获取方法、介质及系统
CN114760029A (zh) * 2020-12-26 2022-07-15 西安西电捷通无线网络通信股份有限公司 一种身份鉴别方法和装置
CN114760034A (zh) * 2020-12-26 2022-07-15 西安西电捷通无线网络通信股份有限公司 一种身份鉴别方法和装置
CN113316149B (zh) * 2021-06-04 2023-05-12 广东电网有限责任公司 身份安全认证方法、装置、系统、无线接入点及介质
CN115242509B (zh) * 2022-07-22 2023-10-17 河南警察学院 一种基于数据分析的网络接入用身份验证系统

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20030039234A1 (en) * 2001-08-10 2003-02-27 Mukesh Sharma System and method for secure network roaming
US6823452B1 (en) * 1999-12-17 2004-11-23 International Business Machines Corporation Providing end-to-end user authentication for host access using digital certificates
CN1549526A (zh) * 2003-05-16 2004-11-24 华为技术有限公司 一种实现无线局域网鉴权的方法

Family Cites Families (11)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2002058357A2 (en) 2001-01-17 2002-07-25 Arcot Systems, Inc. Pre-authentication of users using one-time passwords
US8140845B2 (en) 2001-09-13 2012-03-20 Alcatel Lucent Scheme for authentication and dynamic key exchange
JP3822555B2 (ja) * 2001-11-09 2006-09-20 株式会社エヌ・ティ・ティ・ドコモ 安全なネットワークアクセス方法
US7529933B2 (en) 2002-05-30 2009-05-05 Microsoft Corporation TLS tunneling
JP3905803B2 (ja) * 2002-08-08 2007-04-18 株式会社エヌ・ティ・ティ・ドコモ 無線通信における認証システム、認証方法及び端末装置
CN1191696C (zh) * 2002-11-06 2005-03-02 西安西电捷通无线网络通信有限公司 一种无线局域网移动设备安全接入及数据保密通信的方法
JP3792648B2 (ja) * 2002-12-25 2006-07-05 日本電気通信システム株式会社 無線ｌａｎの高速認証方式及び高速認証方法
CN1265580C (zh) * 2002-12-26 2006-07-19 华为技术有限公司 一种对网络用户进行认证和业务管理的方法
JP2004235890A (ja) * 2003-01-29 2004-08-19 Canon Inc 認証方法
US20070008937A1 (en) * 2003-07-22 2007-01-11 Thomson Licensing S.A. Method and apparatus for controlling credit based access (prepaid) to a wireless network
US8023478B2 (en) * 2006-03-06 2011-09-20 Cisco Technology, Inc. System and method for securing mesh access points in a wireless mesh network, including rapid roaming

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6823452B1 (en) * 1999-12-17 2004-11-23 International Business Machines Corporation Providing end-to-end user authentication for host access using digital certificates
US20030039234A1 (en) * 2001-08-10 2003-02-27 Mukesh Sharma System and method for secure network roaming
CN1549526A (zh) * 2003-05-16 2004-11-24 华为技术有限公司 一种实现无线局域网鉴权的方法

Also Published As

Publication number Publication date
US8225092B2 (en) 2012-07-17
JP2008530919A (ja) 2008-08-07
KR101260536B1 (ko) 2013-05-06
US20110055561A1 (en) 2011-03-03
KR20070122460A (ko) 2007-12-31
WO2006086932A1 (fr) 2006-08-24
CN1668005A (zh) 2005-09-14
EP1852999A4 (en) 2009-11-04
EP1852999A1 (en) 2007-11-07
JP4820826B2 (ja) 2011-11-24
EP1852999B1 (en) 2016-04-13

Similar Documents

Publication Publication Date Title
CN100389555C (zh) 一种适合有线和无线网络的接入认证方法
AU2008213766B2 (en) Method and system for registering and verifying the identity of wireless networks and devices
US8429404B2 (en) Method and system for secure communications on a managed network
KR100832893B1 (ko) 무선 근거리 통신망으로 이동 단말의 보안 접근 방법 및 무선 링크를 통한 보안 데이터 통신 방법
CN101371550B (zh) 自动安全地向移动通信终端的用户供给在线服务的服务访问凭证的方法和系统
CA2371329C (en) Method and apparatus for initializing secure communications among, and for exclusively pairing wireless devices
US6772331B1 (en) Method and apparatus for exclusively pairing wireless devices
US7734280B2 (en) Method and apparatus for authentication of mobile devices
EP2063567B1 (en) A network access authentication and authorization method and an authorization key updating method
EP1484856B1 (en) Method for distributing encryption keys in wireless lan
RU2008146960A (ru) Способ и система предоставления защищенной связи с использованием сотовой сети для множества устройств специализированной связи
CN101765057B (zh) 一种向WiFi访问终端提供组播业务的方法、设备及系统
CN101816163A (zh) 认证方法和架构
WO2009050007A1 (en) Method for wan access to network using one-time password
Hall Detection of rogue devices in wireless networks
Jeong et al. Secure user authentication mechanism in digital home network environments
Ahmad et al. Latency evaluation of extensible authentication protocols in WLANs
KR100924315B1 (ko) 보안성이 강화된 무선랜 인증 시스템 및 그 방법
Sivakumar Analysis of Ad-Hoc Network Security using Zero knowledge Proof and Wi-Fi Protected Access 2

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
C14 Grant of patent or utility model
GR01 Patent grant
C56 Change in the name or address of the patentee

Owner name: XI'AN IWNCOMM CO., LTD.

Free format text: FORMER NAME: XIDIAN JIETONG WIRELESS NETWORK COMMUNICATION CO LTD, XI'AN

CP01 Change in the name or title of a patent holder

Address after: 710075 4F.C building, No. 12, No. two, hi tech Road, Shaanxi, Xi'an

Patentee after: CHINA IWNCOMM Co.,Ltd.

Address before: 710075 4F.C building, No. 12, No. two, hi tech Road, Shaanxi, Xi'an

Patentee before: CHINA IWNCOMM Co.,Ltd.

EE01 Entry into force of recordation of patent licensing contract

Application publication date: 20050914

Assignee: BEIJING ZHIXIANG TECHNOLOGY Co.,Ltd.

Assignor: CHINA IWNCOMM Co.,Ltd.

Contract record no.: 2016610000049

Denomination of invention: An access authentication method suitable for wired and wireless network

Granted publication date: 20080521

License type: Common License

Record date: 20161117

LICC Enforcement, change and cancellation of record of contracts on the licence for exploitation of a patent or utility model
EE01 Entry into force of recordation of patent licensing contract

Application publication date: 20050914

Assignee: BEIJING FENGHUO LIANTUO TECHNOLOGY Co.,Ltd.

Assignor: CHINA IWNCOMM Co.,Ltd.

Contract record no.: 2017610000001

Denomination of invention: An access authentication method suitable for wired and wireless network

Granted publication date: 20080521

License type: Common License

Record date: 20170106

LICC Enforcement, change and cancellation of record of contracts on the licence for exploitation of a patent or utility model
EE01 Entry into force of recordation of patent licensing contract
EE01 Entry into force of recordation of patent licensing contract

Application publication date: 20050914

Assignee: SHANGHAI YU FLY MILKY WAY SCIENCE AND TECHNOLOGY CO.,LTD.

Assignor: CHINA IWNCOMM Co.,Ltd.

Contract record no.: 2017610000005

Denomination of invention: An access authentication method suitable for wired and wireless network

Granted publication date: 20080521

License type: Common License

Record date: 20170317

EE01 Entry into force of recordation of patent licensing contract

Application publication date: 20050914

Assignee: Beijing next Technology Co.,Ltd.

Assignor: CHINA IWNCOMM Co.,Ltd.

Contract record no.: 2017610000014

Denomination of invention: An access authentication method suitable for wired and wireless network

Granted publication date: 20080521

License type: Common License

Record date: 20170601

EE01 Entry into force of recordation of patent licensing contract
EE01 Entry into force of recordation of patent licensing contract

Application publication date: 20050914

Assignee: HYTERA COMMUNICATIONS Corp.,Ltd.

Assignor: CHINA IWNCOMM Co.,Ltd.

Contract record no.: 2017610000015

Denomination of invention: An access authentication method suitable for wired and wireless network

Granted publication date: 20080521

License type: Common License

Record date: 20170602

EE01 Entry into force of recordation of patent licensing contract
EE01 Entry into force of recordation of patent licensing contract

Application publication date: 20050914

Assignee: Beijing Hua Xinaotian network technology Co.,Ltd.

Assignor: CHINA IWNCOMM Co.,Ltd.

Contract record no.: 2017610000028

Denomination of invention: An access authentication method suitable for wired and wireless network

Granted publication date: 20080521

License type: Common License

Record date: 20171122

EE01 Entry into force of recordation of patent licensing contract
EE01 Entry into force of recordation of patent licensing contract

Application publication date: 20050914

Assignee: ALPINE ELECTRONICS, Inc.

Assignor: CHINA IWNCOMM Co.,Ltd.

Contract record no.: 2017990000497

Denomination of invention: An access authentication method suitable for wired and wireless network

Granted publication date: 20080521

License type: Common License

Record date: 20171222

EE01 Entry into force of recordation of patent licensing contract
EE01 Entry into force of recordation of patent licensing contract

Application publication date: 20050914

Assignee: SHENZHEN RAKWIRELESS TECHNOLOGY CO.,LTD.

Assignor: CHINA IWNCOMM Co.,Ltd.

Contract record no.: 2018610000006

Denomination of invention: An access authentication method suitable for wired and wireless network

Granted publication date: 20080521

License type: Common License

Record date: 20180226

EE01 Entry into force of recordation of patent licensing contract
EE01 Entry into force of recordation of patent licensing contract

Application publication date: 20050914

Assignee: BLACKSHARK TECHNOLOGIES (NANCHANG) Co.,Ltd.

Assignor: CHINA IWNCOMM Co.,Ltd.

Contract record no.: 2018610000012

Denomination of invention: An access authentication method suitable for wired and wireless network

Granted publication date: 20080521

License type: Common License

Record date: 20180404

EE01 Entry into force of recordation of patent licensing contract
EE01 Entry into force of recordation of patent licensing contract
EE01 Entry into force of recordation of patent licensing contract

Application publication date: 20050914

Assignee: Sony Mobile Communications AB

Assignor: CHINA IWNCOMM Co.,Ltd.

Contract record no.: 2018990000306

Denomination of invention: An access authentication method suitable for wired and wireless network

Granted publication date: 20080521

License type: Common License

Record date: 20181123

EE01 Entry into force of recordation of patent licensing contract

Application publication date: 20050914

Assignee: SHENZHEN UCLOUDLINK NEW TECHNOLOGY Co.,Ltd.

Assignor: CHINA IWNCOMM Co.,Ltd.

Contract record no.: X2019610000002

Denomination of invention: An access authentication method suitable for wired and wireless network

Granted publication date: 20080521

License type: Common License

Record date: 20191010

EE01 Entry into force of recordation of patent licensing contract
EE01 Entry into force of recordation of patent licensing contract

Application publication date: 20050914

Assignee: HANGZHOU STRONG EDUCATION TECHNOLOGY Co.,Ltd.

Assignor: China IWNCOMM Co.,Ltd.

Contract record no.: X2021610000001

Denomination of invention: An access authentication method suitable for wired and wireless networks

Granted publication date: 20080521

License type: Common License

Record date: 20210125

EE01 Entry into force of recordation of patent licensing contract
EE01 Entry into force of recordation of patent licensing contract
EE01 Entry into force of recordation of patent licensing contract

Application publication date: 20050914

Assignee: EKC communication technology (Shenzhen) Co.,Ltd.

Assignor: China IWNCOMM Co.,Ltd.

Contract record no.: X2021610000008

Denomination of invention: An access authentication method suitable for wired and wireless networks

Granted publication date: 20080521

License type: Common License

Record date: 20210705

EE01 Entry into force of recordation of patent licensing contract
EE01 Entry into force of recordation of patent licensing contract

Application publication date: 20050914

Assignee: Guangzhou nengchuang Information Technology Co.,Ltd.

Assignor: CHINA IWNCOMM Co.,Ltd.

Contract record no.: X2021610000011

Denomination of invention: An access authentication method suitable for wired and wireless networks

Granted publication date: 20080521

License type: Common License

Record date: 20211104

Application publication date: 20050914

Assignee: Xinruiya Technology (Beijing) Co.,Ltd.

Assignor: CHINA IWNCOMM Co.,Ltd.

Contract record no.: X2021610000012

Denomination of invention: An access authentication method suitable for wired and wireless networks

Granted publication date: 20080521

License type: Common License

Record date: 20211104

EE01 Entry into force of recordation of patent licensing contract
EE01 Entry into force of recordation of patent licensing contract

Application publication date: 20050914

Assignee: SHENZHEN ZHIKAI TECHNOLOGY Co.,Ltd.

Assignor: CHINA IWNCOMM Co.,Ltd.

Contract record no.: X2022610000005

Denomination of invention: An access authentication method suitable for wired and wireless networks

Granted publication date: 20080521

License type: Common License

Record date: 20220531

EE01 Entry into force of recordation of patent licensing contract
EE01 Entry into force of recordation of patent licensing contract

Application publication date: 20050914

Assignee: HISCENE INFORMATION TECHNOLOGY Co.,Ltd.

Assignor: CHINA IWNCOMM Co.,Ltd.

Contract record no.: X2023610000003

Denomination of invention: An Access Authentication Method for Wired and Wireless Networks

Granted publication date: 20080521

License type: Common License

Record date: 20230207

EE01 Entry into force of recordation of patent licensing contract
EE01 Entry into force of recordation of patent licensing contract

Application publication date: 20050914

Assignee: Beijing baicaibang Technology Co.,Ltd.

Assignor: CHINA IWNCOMM Co.,Ltd.

Contract record no.: X2023610000005

Denomination of invention: An Access Authentication Method Suitable for Wired and Wireless Networks

Granted publication date: 20080521

License type: Common License

Record date: 20230329

EE01 Entry into force of recordation of patent licensing contract
EE01 Entry into force of recordation of patent licensing contract

Application publication date: 20050914

Assignee: Shenzhen wisky Technology Co.,Ltd.

Assignor: CHINA IWNCOMM Co.,Ltd.

Contract record no.: X2023610000008

Denomination of invention: An Access Authentication Method Suitable for Wired and Wireless Networks

Granted publication date: 20080521

License type: Common License

Record date: 20230522

EE01 Entry into force of recordation of patent licensing contract
EE01 Entry into force of recordation of patent licensing contract

Application publication date: 20050914

Assignee: Beijing Digital Technology (Shanghai) Co.,Ltd.

Assignor: CHINA IWNCOMM Co.,Ltd.

Contract record no.: X2023610000012

Denomination of invention: An Access Authentication Method Suitable for Wired and Wireless Networks

Granted publication date: 20080521

License type: Common License

Record date: 20231114