專利名稱：：用于保護網(wǎng)絡管理幀的系統(tǒng)和方法
背景技術(shù)：
：IEEE(電氣和電子工程師學會)802.11標準提供了允許用戶無線地連接到網(wǎng)絡及使用其中提供的基本服務的準則?？紤]到現(xiàn)今網(wǎng)絡上傳送的大量敏感信息，近年來安全和受控的訪問的必要性已變得愈發(fā)清楚。傳統(tǒng)上，安全和受控訪問的努力已針對于保護傳輸?shù)臄?shù)據(jù)內(nèi)容，并非針對于防止會話中斷。換句話說，現(xiàn)有的努力僅已針對于保護所傳輸?shù)臄?shù)據(jù)的內(nèi)容的敏感性，并非針對于對控制會話完整性和質(zhì)量的管理幀分組的傳輸?shù)谋Ｗo。當然，網(wǎng)絡的訪問可以通過許多方法來限制，包括用戶登陸和密碼、網(wǎng)卡中嵌入的唯一標識號的網(wǎng)絡標識、撥號訪問的回叫方案，等等。這些傳統(tǒng)的保護方案針對于控制對網(wǎng)絡服務的總體訪問和保護數(shù)據(jù)傳輸。遺憾的是，識別經(jīng)由網(wǎng)絡(例如IEEE802.11網(wǎng)絡)傳輸?shù)墓芾韼邪男畔⑸形闯蔀閭鹘y(tǒng)安全方案中的保護的焦點。這種保護的缺乏讓網(wǎng)絡易受攻擊者的攻擊，由此攻擊者可以哄騙MAC地址從而假裝成合法的站。例如，這種攻擊可以通過偽裝成合法用戶的假冒者發(fā)送取消關聯(lián)請求隨后使受信用戶會話中斷來導致會話中斷。另外，如果動作管理幀被假裝從而影響到服務的質(zhì)量及其他能力，那么網(wǎng)絡會話也可能被破壞。所需要的是在無線實體之間提供更廣泛的控制，以使得信任關系包括經(jīng)由網(wǎng)絡傳輸?shù)墓芾韼瑪?shù)據(jù)分組的認證。
發(fā)明內(nèi)容這里所公開和要求的本發(fā)明，在其一個方面中，包括用于在網(wǎng)絡(例如IEEE無線802.11)上保護管理幀和/或防止會話中斷的體系結(jié)構(gòu)。在網(wǎng)絡上的發(fā)送器和接收器之間創(chuàng)建信任關系，以使得發(fā)送器被授權(quán)在網(wǎng)絡上通信。接著，密鑰被生成，以用于得到可用于標記在網(wǎng)絡上傳輸?shù)墓芾韼纸M的信息元素。一旦得到該信息元素，該信息元素就可被嵌入在管理幀分組中并發(fā)送到網(wǎng)絡上的接收器。接收器在接收到管理幀分組之后，可被合適地配置為核實包括在管理幀分組中的信息元素。在一個實施例中，信息元素包括消息完整性校驗信息元素。在另一個實施例中，信息元素可能還包括重演(replay)保護值。在后者中，提供了用于生成用于標記管理幀分組的重演保護值的系統(tǒng)和方法。該重演保護值可在經(jīng)由網(wǎng)絡傳輸之前被添加到管理幀分組(例如信息元素)中，并且在接收后被核實。在另一個實施例中，本系統(tǒng)和方法提供了將在核實過程中與接收到的信息元素相比較的信息元素的本地生成。另外，可能生成本地消息完整性校驗和重演保護值以輔助核實過程。將明白圖中所示元件(例如，框、框組或其它形狀)的邊界代表邊界的一個示例。本領域的普通技術(shù)人員將明白一個元件可能被設計為多個元件，或者多個元件可能被設計為一個元件。示出為另一個元件的內(nèi)部組件的元件可能被實現(xiàn)為外部組件，反之亦然。為了更徹底地理解本系統(tǒng)及其優(yōu)勢，現(xiàn)在結(jié)合附圖參考以下描述，其中圖1根據(jù)公開的實施例，示出了操作用來控制無線客戶端的網(wǎng)絡訪問的網(wǎng)絡框圖；以及圖2根據(jù)公開的實施例，示出了用于認證和核實管理幀數(shù)據(jù)的傳輸?shù)母鞣N實體之間的信息交換的流程圖。具體實施例方式下面包括本公開從頭到尾所使用的選定術(shù)語的定義。這些定義包括屬于術(shù)語范圍并可用于實現(xiàn)的各種實施例和/或組件形式的示例。當然，這些示例意圖不是限制性的，并且其他實施例可被實現(xiàn)。所有術(shù)語的單數(shù)和復數(shù)形式都落在以下的各個意思內(nèi)這里所使用的“計算機可讀介質(zhì)”指的是參與向一個或多個處理器直接或間接地提供用于執(zhí)行的信號、指令和/或數(shù)據(jù)的任何介質(zhì)。這樣的介質(zhì)可能表現(xiàn)為多種形式，包括但不限于非易失性介質(zhì)、易失性介質(zhì)以及傳輸介質(zhì)。非易失性介質(zhì)可包括例如光盤或磁盤。易失性介質(zhì)可包括動態(tài)存儲器。計算機可讀介質(zhì)的常見形式包括例如軟盤、軟磁盤(flexibledisk)、硬盤、磁帶，或者任何其他磁性介質(zhì)；CD-ROM，任何其他光學介質(zhì)；穿孔卡片、紙帶，任何其他具有孔狀圖案的物理介質(zhì)；RAM、PROM、EPROM、FLASH-EPROM，任何其他存儲芯片或卡帶；載波/脈沖，或計算機、處理器或其他電子裝置可以讀取的其他任何介質(zhì)。用于在網(wǎng)絡(例如因特網(wǎng))上傳播指令或其他軟件的信號也被認為是“計算機可讀介質(zhì)”。這里所使用的“因特網(wǎng)”包括廣域數(shù)據(jù)通信網(wǎng)絡，通?？捎扇魏尉哂泻线m軟件的用戶訪問。這里所使用的“邏輯”包括但不限于執(zhí)行功能或動作和/或引起從另一個組件的功能或動作的硬件、固件、軟件和/或其組合。例如，基于所需應用或需要，邏輯可能包括軟件控制的微處理器、離散邏輯(例如專用集成電路(ASIC))、可編程/已編程邏輯器件、包含指令的存儲裝置，等等。邏輯也可能以軟件來完全體現(xiàn)。這里所使用的“軟件”包括但不限于使計算機或其他電子裝置以所需方式執(zhí)行功能、動作和/或行為的一個或多個計算機可讀和/或可執(zhí)行的指令。指令可能以各種形式體現(xiàn)，例如包括來自動態(tài)鏈接庫的分離的應用或代碼的程序、例行程序、算法、模塊或?qū)ο?。軟件也可能以各種形式實現(xiàn)，例如單機程序、函數(shù)調(diào)用、小服務程序(servlet)、小應用程序(applet)、存儲在存儲器中的指令、操作系統(tǒng)的一部分或其他類型的可執(zhí)行指令。本領域的普通技術(shù)人員將明白軟件的形式可能依賴于例如所需應用的要求、其運行環(huán)境，和/或設計者/程序員的期望，等等。下面包括落入可被用于實施的本系統(tǒng)的范圍內(nèi)的各種實施例和/或組件形式的示例。當然，這些示例意圖不是限制性的，并且其他實施例可被實現(xiàn)而不脫離本發(fā)明的精神和范圍。IEEE(電氣和電子工程師學會)802.11標準提供了允許用戶無線地連接到網(wǎng)絡及使用其中提供的基本服務的準則。IEEE802.11規(guī)格標準和802.11i準標準的全部內(nèi)容在這里通過引用被包含于此。雖然這里所描述的本系統(tǒng)和方法的實施例針對的是IEEE802.11無線網(wǎng)絡，但是本領域的技術(shù)人員將明白這里所描述的本發(fā)明的概念和創(chuàng)新性可能適用于可替換的有線和無線網(wǎng)絡協(xié)議而不脫離本發(fā)明的精神和范圍。簡要地描述本系統(tǒng)的一個實施例，提供了這樣的網(wǎng)絡，其被合適地配置為認證和保護無線網(wǎng)絡中的管理幀的傳輸從而可能防止會話中斷。具體地，本發(fā)明的一個實施例針對的是這樣的系統(tǒng)和方法，其被配置為建立唯一的密鑰，以保護在802.11認證的網(wǎng)絡會話中傳輸?shù)墓芾韼陌踩?。換句話說，系統(tǒng)可配置為建立與管理幀傳輸相對應的安全密鑰。該安全密鑰可合適地配置為使能夠計算用來認證802.11管理幀的消息完整性校驗(MIC)。根據(jù)本系統(tǒng)和方法，將明白密鑰可能是以與當前根據(jù)IEEE802.11i準標準處理為保護數(shù)據(jù)分組或802.1xEAPOL密鑰消息而導出的密鑰的方式相同的方式來建立的。所公開的系統(tǒng)和所提出的方法推測在建立認證者與許多申請者或客戶端之間的受信關系之后保護802.11網(wǎng)絡上的管理幀。下列實施例將針對于接入點(AP)作為認證者并且無線客戶端(PC)作為申請者來描述。下列實施例還將針對于AP作為管理幀分組的接收者并且無線客戶端作為管理幀分組的發(fā)送者。當然，本系統(tǒng)和方法的可替換的實施例可利用其他認證者和申請者組件來配置。例如，將明白認證者可能是接入點、交換機、認證服務器等等。還將明白申請者可能是能夠經(jīng)由802.11無線網(wǎng)絡發(fā)送和接收數(shù)據(jù)分組的任何裝置，例如個人數(shù)據(jù)助理(PDA)、數(shù)字電話、電子集成板(tablet)等等。根據(jù)本系統(tǒng)和方法的一個實施例，當在AP和相對應的無線客戶端之間建立信任關系之后，無線客戶端被識別為受信的無線客戶端并據(jù)此能夠訪問網(wǎng)絡的服務。因此，作為受信關系的結(jié)果，信息可在無線客戶端和AP之間安全地傳送。如先前所述，本系統(tǒng)和方法的一個實施例針對于建立唯一的密鑰，該密鑰將在計算用于核實管理幀分組經(jīng)由無線網(wǎng)絡的發(fā)送和接收的MIC時被使用。例如，如果接收器接收到具有錯誤MIC的管理幀分組，那么接收器將丟棄接收到的分組并忽略其中包含的信息。將明白可能根據(jù)本系統(tǒng)和方法來使用另外的和/或可替換的管理幀保護方法。例如，根據(jù)一個實施例，本系統(tǒng)和方法可合適地配置為生成順序重演保護計數(shù)器以輔助管理幀分組的核實。在優(yōu)選的實施例中，該重演保護值可與先前描述的MIC值一起使用。圖1中示出的是本系統(tǒng)100的一個實施例的簡化系統(tǒng)組件圖。圖1中示出的系統(tǒng)組件通常代表系統(tǒng)100，并且可能具有任何系統(tǒng)體系結(jié)構(gòu)中包括的任何所需配置。下面是根據(jù)本系統(tǒng)的一個實施例的無線網(wǎng)絡體系結(jié)構(gòu)的總體描述。描述體系結(jié)構(gòu)主要是為了公開生成密鑰并將密鑰用于提供管理幀的保護和安全性的方式。現(xiàn)在參照圖1，系統(tǒng)的一個實施例通常包括無線客戶端110、115，這些無線客戶端被合適地配置并可操作地連接以經(jīng)由AP130訪問無線網(wǎng)絡120上的服務。將明白無線客戶端110、115可能是能夠經(jīng)由無線網(wǎng)絡來進行發(fā)送的任何組件，例如具有適合與有線網(wǎng)絡進行無線通信的Cardbus網(wǎng)絡適配器的膝上型/筆記本便攜式計算機、具有合適的無線網(wǎng)絡適配器的電子集成板、包含用于與有線網(wǎng)絡通信的合適的無線網(wǎng)絡適配器的手持裝置，等等。如圖1所示，AP130可被配置為在專用有線網(wǎng)絡160和無線客戶端(或申請者)110、115之間提供通信轉(zhuǎn)接點。另外，基本的無線網(wǎng)絡(例如IEEE802.11)實現(xiàn)方式可能包括交換機140，其被合適地配置為操作用于在安置在有線網(wǎng)絡160上的多個網(wǎng)絡裝置之間提供互連并且可選地在多個網(wǎng)絡(未示出)之間提供互連。認證服務器(AS)150可安置在有線網(wǎng)絡160上，該有線網(wǎng)絡被合適地配置為向那些需要認證服務的網(wǎng)絡實體提供這種服務。當然，將明白AS150和相應的功能可被用作單機組件或被組合到另一個現(xiàn)有組件中。換句話說，AS150的功能可能包括在交換機140或AP130中。在一個實施例中，AS150向充當認證者的任何網(wǎng)絡實體提供認證和授權(quán)服務。當網(wǎng)絡實體代表請求訪問網(wǎng)絡的另一個實體同AS150一起執(zhí)行認證時，該網(wǎng)絡實體可擔當認證者的角色。例如，認證服務器從由無線客戶端110、115提供的證明中判斷無線客戶端110、115是否被授權(quán)訪問由認證者(例如交換機140或AP130)控制的服務。將明白AS150可與認證者協(xié)同定位，或者可以經(jīng)由認證者已經(jīng)訪問的網(wǎng)絡而被遠程訪問。另外，網(wǎng)絡160可以是全球通信網(wǎng)絡(例如因特網(wǎng))，以使得認證發(fā)生在從遠程位置到AS150的很長距離上。在一個實施例中，組件認證可發(fā)生在系統(tǒng)初始化時?？商鎿Q地，組件認證可發(fā)生在申請者(例如無線客戶端110、115)要求連接到認證系統(tǒng)的端口時，或發(fā)生在授權(quán)訪問已變成未授權(quán)并且接著被請求重新授權(quán)時。根據(jù)本系統(tǒng)和方法，無線客戶端110、115可配置為利用本領域公知的許多傳統(tǒng)認證算法中的一個來認證到AS150。例如，本系統(tǒng)和方法可配置為利用這樣的認證算法，例如EAP-Cisco無線、基于證書的方案(例如EAP-TLS)等等。操作中，與無線客戶端110、115之間的信任關系是以下列方式建立的。一旦專用網(wǎng)絡160是可用的并且有線實體(130、140、150)已建立正確的連接，則開始無線客戶端110、115的認證。無線客戶端110、115可使用傳統(tǒng)協(xié)議將連接請求經(jīng)由通信鏈路120發(fā)送到AP130，并且該AP130現(xiàn)在擔當認證者的角色。AP130通過將無線客戶端110、115的認證請求發(fā)送到AS150來處理連接請求消息。分組信息可被發(fā)送到交換機140，以使得交換機140將流量識別為僅來自AP130。因為交換機140接著將流量識別為來自已授權(quán)的AP130，所以分組被傳遞到AS150以用于認證。在無線客戶端110、115的這種授權(quán)發(fā)生之前，AS150限制無線客戶端110、115的任何未受控制的超出AP130的流量。換句話說，AS僅允許無線客戶端110、115訪問AP130以執(zhí)行認證交換，或訪問由AP130提供的不受置于那個端口上的訪問控制限制的服務。AP130和AS150可合適地配置為使用諸如RADIUS(遠程訪問撥入用戶服務)之類的已知協(xié)議來交換信息，直到AS150已完成其對無線客戶端110、115的認證并將認證過程的結(jié)果報告給AP130和無線客戶端110、115。接著，AS150向AP130通知認證請求的結(jié)果。取決于認證過程的結(jié)果，AS150將可被用來控制來自無線客戶端110、115的流量的安全策略傳送給AP130。在一個實施例中，安全策略是AP130和無線客戶端110、115可用來保護AP130和無線客戶端110、115之間的通信的唯一的密鑰。根據(jù)一個實施例，AS150將另外的特定于客戶端的密鑰傳送到AP130，該密鑰可合適地配置以保護來自無線客戶端110、115的管理幀的通信。例如，無線客戶端110、115還可將其他信息轉(zhuǎn)發(fā)給AP130，例如與無線客戶端110、115相對應的管理幀分組(例如服務質(zhì)量(QoS)參數(shù))。根據(jù)本系統(tǒng)和方法，這些管理幀分組可被配置為包括特定于客戶端的信息元素(IE)。該IE可配置為包含消息認證或完整性校驗(在802.11i準標準中和以下整個本說明書中被稱為“MIC”)。另外，IE可能包括重演保護值。將明白用來生成管理幀MIC的密鑰可能是以與根據(jù)802.11標準被用來保護的數(shù)據(jù)分組或802.1xEAPOL密鑰消息的密鑰的導出方式相同的方式來導出的。還將明白管理幀保護密鑰可在如上所述的無線客戶端認證過程期間被導出。進一步，將明白可使用任何方法或計數(shù)方案來生成重演保護值。例如，根據(jù)一個實施例，可能使用在認證時被初始化為零的順序計數(shù)器。隨后，重演保護值可與MIC一起被嵌入在IE中并同管理幀分組一起發(fā)送。繼續(xù)該示例，無線客戶端110、115和AP130之間的信任關系是穿過網(wǎng)絡信道形成的。將明白連接到網(wǎng)絡的另外的無線客戶端(未示出)可具有與之對應的唯一的消息認證校驗(例如MIC)密鑰。根據(jù)本系統(tǒng)和方法，接收到的在AP130和無線客戶端110、115之間傳送的管理幀分組可通過檢查消息摘要(messagedigest)(例如MIC)來核實。消息摘要可通過使用在認證期間建立的消息認證校驗密鑰來計算。根據(jù)本系統(tǒng)和方法，特定于客戶端的唯一密鑰和相應的MIC被生成，以保護無線客戶端110、115和AP130之間的管理信息的傳輸。將明白導出管理幀密鑰的方式可能與如802.11i準標準所定義的被稱為成對臨時密鑰(PTK)的會話密鑰的導出方式相同。進一步，將明白用來保護管理幀分組的密鑰可作為對PTK導出過程的擴展被導出。換句話說，當從受信無線客戶端(例如110、115)接收到管理幀分組之后，AP130可合適地配置為在接受管理幀分組之前核實IE。例如，AP130可合適地配置為將接收到的重演保護值與在本地存儲或計算出的值相比較。另外，AP130可合適地配置為生成從特定于客戶端的管理幀認證密鑰中導出的本地MIC值。AP130可合適地配置為將在本地計算出的MIC值與嵌入在從無線客戶端(例如110、115)接收到的管理幀IE中的MIC值相比較。作為該認證過程的結(jié)果，AP130可判斷是處理還是丟棄管理幀。另外，AP130可合適地配置為生成本地重演保護值。例如，AP130可配置為根據(jù)在本地管理的順序計數(shù)器來建立重演保護值?？蓪⒃诒镜亟⒌脑撝匮荼Ｗo值與接收到的重演保護值相比較，以核實發(fā)送器的認證。參照圖2可更好地理解本系統(tǒng)和方法的處理流程。圖2中示出的是與本系統(tǒng)和方法相關聯(lián)的方法200的一個實施例。通常，圖2示出了用來建立和核實同管理幀分組一起經(jīng)由無線網(wǎng)絡傳輸?shù)腗IC和重演保護值的過程。此外，圖2假定用來生成MIC的密鑰已在認證期間建立；例如，作為根據(jù)IEEE802.11i準標準的擴展PTK導出過程的一部分。所示元件表示“處理塊”并代表使計算機或處理器執(zhí)行動作和/或執(zhí)行判決的計算機軟件指令或指令組?？商鎿Q地，處理塊可代表由功能上等效的電路執(zhí)行的功能或動作，所述等效電路例如是數(shù)字信號處理器電路、專用集成電路(ASIC)或其他邏輯器件。示圖和其他圖解都沒有描述任何具體編程語言的語法。相反地，示圖示出了本領域技術(shù)人員可以用來制造電路、生成計算機軟件或使用硬件和軟件的組合來執(zhí)行所示處理的功能信息。將明白電子和軟件應用可能涉及動態(tài)的靈活過程，以使得示出的塊可以以不同于所示出順序的其他順序來執(zhí)行并且/或者塊可能組合或分成多個組件。它們還可能使用各種編程方法(例如機器語言、過程的、面對對象的和/或人工智能的技術(shù))來實現(xiàn)。以上所述適用于這里所描述的所有方法?，F(xiàn)在參照圖2，示出了用于無線客戶端的管理幀傳輸?shù)恼J證和核實的方法200的實施例的流程圖。該實施例假定在系統(tǒng)的所有組件(例如無線客戶端、AP、交換機、AS)之間預先建立了受信關系。最初，在塊210處，由于如上所述的認證過程的結(jié)果，建立了特定于客戶端的安全密鑰，以用于保護網(wǎng)絡上的管理幀傳輸。接著，在塊215處，無線客戶端通過使用密鑰生成MIC來在本地使用用于保護管理幀的密鑰，以保護管理幀分組到AP的傳輸。包含MIC和重演保護值的信息元素(IE)被嵌入在管理幀分組中(塊220)。一旦被嵌入，無線客戶端將包括IE的管理幀分組經(jīng)由網(wǎng)絡發(fā)送到AP(塊225)。在網(wǎng)絡的無線端，AP接收從無線客戶端發(fā)送的包括IE的管理幀分組(塊230)。將明白圖2所示的方法200描述了無線客戶端傳輸單個管理幀分組的情況。本領域技術(shù)人員將認識到在單個通信會話期間可能發(fā)送任意數(shù)目的管理幀傳輸。因此，如所述的圖2的方法200可能適用于每個單獨的管理幀傳輸。繼續(xù)本實施例，包括在IE中的重演保護值被核實(判斷塊235)。在一個示例中，重演保護值可能是在導出“增強的PTK”時被初始化為零的計數(shù)器值。將明白為保護管理幀而建立的密鑰在這里被稱作“增強的PTK”并且可根據(jù)IEEE802.11i準標準來建立。根據(jù)本實施例，在判斷塊235處，證實計數(shù)器值是比先前傳輸?shù)膸?的值。換句話說，計數(shù)器值可能是連續(xù)的數(shù)字，其在生成“增強的PTK”時從零值開始生成并且在傳輸每個受保護的管理幀時增長。當然，將明白在可替換的實施例中可使用任何計數(shù)或認證方案而不脫離本發(fā)明的精神和范圍。如果重演計數(shù)值未通過核實(例如不等于比先前接收到的管理幀大的下一連續(xù)數(shù)字)，那么接收到的管理幀被AP丟棄(塊240)。如果在塊235處重演計數(shù)值通過了核實，AP則在本地基于相應的對無線客戶端來說唯一的增強密鑰來計算MIC(塊245)。將明白可使用本領域已知的任何所需方法或散列函數(shù)來計算MIC。例如，MIC的計算可能是單向散列函數(shù)，例如充當管理幀的消息認證值的HMAC-SHA1。接著，在判斷塊250處，AP將接收到的客戶端MIC密鑰與AP在本地計算出的MIC相比較，以判斷客戶端管理傳輸是否是經(jīng)授權(quán)的傳輸。如果在判斷塊250處接收到的MIC與在本地計算出的MIC不匹配，那么AP丟棄管理幀(塊255)。另一方面，如果，在判斷塊255處，接收到MIC與由AP計算出的MIC匹配，那么AP使用并處理管理幀(塊260)。雖然本系統(tǒng)已通過其實施例的描述來說明，并且已經(jīng)非常詳細地描述了實施例，但是申請人的意圖不是約束或以任何方式將所附權(quán)利要求的范圍限于這些細節(jié)。本領域技術(shù)人員將易于發(fā)現(xiàn)另外的優(yōu)勢和修改。因此，本系統(tǒng)在其更廣闊的方面不限于示出和描述的具體細節(jié)、代表性設備，以及說明性示例。因此，可偏離這種細節(jié)而不脫離申請人的總發(fā)明構(gòu)思的精神和范圍。雖然已經(jīng)詳細示出了本發(fā)明的實施例，但是應當明白，可以進行各種改變、替換和變更，而不脫離如所附權(quán)利要求所限定的本發(fā)明的精神和范圍。權(quán)利要求1.一種用于保護管理幀的方法，所述方法包括以下步驟在網(wǎng)絡上的發(fā)送器和接收器之間建立經(jīng)認證的關系；生成密鑰；基于所述密鑰導出用于標記在網(wǎng)絡上傳輸?shù)墓芾韼纸M的信息元素；將所述信息元素嵌入到所述管理幀分組中；將所述管理幀分組發(fā)送到所述接收器；接收所述管理幀分組；以及核實所述接收到的管理幀分組中的信息元素。2.如權(quán)利要求1所述的方法，其中，所述信息元素包括消息完整性校驗信息元素。3.如權(quán)利要求1所述的方法，還包括以下步驟生成用于標記所述管理幀分組的重演保護值；以及在發(fā)送之前將所述重演保護值添加到所述管理幀分組中。4.如權(quán)利要求3所述的方法，還包括核實所述重演保護值的步驟。5.如權(quán)利要求1所述的方法，其中，所述生成密鑰的步驟與所述建立經(jīng)認證的關系的步驟同時發(fā)生。6.如權(quán)利要求1所述的方法，其中，所述建立經(jīng)認證的關系的步驟還包括使用密鑰建立協(xié)議。7.如權(quán)利要求1所述的方法，其中，所述核實信息元素的步驟還包括將所述信息元素與在本地導出的由所述接收器建立的信息元素相比較的步驟。8.如權(quán)利要求2所述的方法，其中，所述核實信息元素的步驟還包括將所述接收到的管理幀分組的消息完整性校驗信息元素與在本地導出的由所述接收器建立的消息完整性校驗信息元素相比較的步驟。9.如權(quán)利要求3所述的方法，其中，所述核實信息元素的步驟還包括將所述接收到的管理幀分組的重演保護值與在本地導出的由所述接收器建立的重演保護值相比較的步驟。10.如權(quán)利要求1所述的方法，其中，所述接收器包括接入點。11.如權(quán)利要求1所述的方法，其中，所述發(fā)送器包括無線客戶端。12.如權(quán)利要求2所述的方法，還包括在發(fā)送之前生成所述管理幀分組的消息完整性校驗值的步驟。13.一種用于保護管理幀分組的系統(tǒng)，所述系統(tǒng)包括用于認證發(fā)送器和接收器之間的關系的裝置；用于生成用于標記經(jīng)由網(wǎng)絡在所述發(fā)送器和所述接收器之間傳輸?shù)墓芾韼纸M的信息元素的裝置；用于將所述信息元素添加到所述管理幀分組的裝置；用于將所述管理幀分組經(jīng)由網(wǎng)絡發(fā)送到所述接收器的裝置；用于接收所述管理幀分組的裝置；以及用于核實所述接收到的管理幀分組中的信息元素的裝置。14.如權(quán)利要求13所述的系統(tǒng)，其中，所述信息元素包括消息完整性校驗信息元素。15.如權(quán)利要求14所述的系統(tǒng)，其中，所述信息元素還包括重演保護值。16.如權(quán)利要求13所述的系統(tǒng)，其中，所述用于發(fā)送管理幀分組的裝置是IEEE802.11協(xié)議。17.如權(quán)利要求13所述的系統(tǒng)，其中，所述用于添加的裝置包括用于將所述信息元素嵌入到所述管理幀分組的頭部的裝置。18.如權(quán)利要求14所述的系統(tǒng)，其中，所述消息完整性校驗信息元素唯一地標識到認證者的所述管理幀的通信。19.一種用于防止網(wǎng)絡上的IEEE802.11會話中斷的方法，包括以下步驟在所述網(wǎng)絡上的接入點和無線客戶端之間建立通信鏈路；在所述接入點和所述無線客戶端之間創(chuàng)建信任關系，以使得所述無線客戶端適合于安全地訪問所述網(wǎng)絡；建立用于標記管理幀分組的特定于客戶端的密鑰，所述管理幀分組被配置為在所述接入點和所述無線客戶端之間傳輸。基于所述特定于客戶端的密鑰來生成消息完整性校驗值；計算用于標記所述管理幀分組的重演保護值；將所述消息完整性校驗值和所述重演保護值嵌入在所述管理幀分組的頭部中；將所述頭部發(fā)送到所述接入點；以及認證所述頭部。20.如權(quán)利要求19所述的方法，還包括與所述發(fā)送頭部的步驟同時發(fā)生的發(fā)送所述管理幀分組的步驟。21.如權(quán)利要求19所述的方法，其中，在所述創(chuàng)建信任關系的步驟中在所述接入點和所述無線客戶端之間利用握手協(xié)議。22.如權(quán)利要求19所述的方法，其中，所述認證步驟還包括以下步驟計算本地的重演保護值；生成本地的消息完整性校驗值；比較所述接收到的重演保護值與所述本地的重演保護值；以及比較所述接收到的消息完整性校驗值與所述本地的消息完整性校驗值。23.一種嵌入在計算機可讀介質(zhì)中的在用于認證傳送到網(wǎng)絡和/或傳送自網(wǎng)絡的管理幀分組的處理系統(tǒng)中使用的制品，所述制品包括認證邏輯，用于使所述處理系統(tǒng)在發(fā)送器和接收器之間創(chuàng)建受信關系；密鑰生成邏輯，用于使所述處理系統(tǒng)生成用于加密和標記在網(wǎng)絡上傳輸?shù)碾娮庸芾韼纸M的安全密鑰；消息完整性校驗生成邏輯，用于使所述處理系統(tǒng)生成用于標記所述在網(wǎng)絡上傳輸?shù)碾娮庸芾韼纸M的消息完整性校驗；重演保護值生成邏輯，用于使所述處理系統(tǒng)生成用于標記所述在網(wǎng)絡上傳輸?shù)碾娮庸芾韼纸M的重演保護值；標記邏輯，用于使所述處理系統(tǒng)將所述消息完整性校驗和所述重演保護值嵌入在所述管理幀分組的頭部中；數(shù)據(jù)發(fā)送邏輯，用于使所述處理系統(tǒng)經(jīng)由所述網(wǎng)絡來發(fā)送所述電子管理幀分組的頭部；以及消息接收邏輯，用于使所述處理系統(tǒng)檢驗包括在所述頭部中的接收到的消息完整性校驗和重演保護值。24.如權(quán)利要求23所述的制品，其中，所述數(shù)據(jù)發(fā)送邏輯包括IEEE802.11協(xié)議。25.如權(quán)利要求23所述的制品，其中，所述重演保護值生成邏輯包括順序計數(shù)器。26.如權(quán)利要求23所述的制品，其中，所述消息接收邏輯還包括用于使處理系統(tǒng)比較接收到的消息完整性校驗與在本地生成的消息完整性校驗的邏輯。27.權(quán)利要求23中陳述的制品，其中，所述消息接收邏輯還包括用于使處理系統(tǒng)比較接收到的重演保護值與在本地計算出的重演保護值的邏輯。全文摘要本發(fā)明提供了用于保護網(wǎng)絡(例如IEEE802.11)上的管理幀分組的傳輸?shù)南到y(tǒng)體系結(jié)構(gòu)和對應的方法。一旦在網(wǎng)絡上的發(fā)送器和接收器之間創(chuàng)建了信任關系以使得發(fā)送器被授權(quán)在網(wǎng)絡上通信，就可以生成密鑰和對應的消息完整性校驗以標記經(jīng)由網(wǎng)絡的管理幀通信。消息完整性校驗和重演保護值可能與管理幀分組一起被發(fā)送。消息完整性校驗和重演保護值在被接收到之后接受認證，以檢驗被許可的管理幀分組的傳輸。文檔編號H04L12/24GK1864384SQ200480028660公開日2006年11月15日申請日期2004年9月7日優(yōu)先權(quán)日2003年10月16日發(fā)明者布哈瓦尼·薩泊塔,南?！た窚囟魈厣暾埲?思科技術(shù)公司