專利名稱：無線局域網(wǎng)wapi安全機(jī)制中證書的申請方法
技術(shù)領(lǐng)域：
本發(fā)明涉及一種通信網(wǎng)絡(luò)中證書的申請方法，尤其是一種無線局域網(wǎng)WLAN中WAPI機(jī)制中證書的自動申請、安裝方法。
背景技術(shù)：
無線局域網(wǎng)WLAN(Wireless Local Area Network)以其構(gòu)架的靈活性、快捷性及可擴(kuò)展性，近年來已廣泛應(yīng)用于熱點(diǎn)地區(qū)運(yùn)營、企業(yè)、行業(yè)和家庭領(lǐng)域。2003年5月中國首次頒布了無線局域網(wǎng)領(lǐng)域的國家標(biāo)準(zhǔn)GB15629.11和GB15629.1102。2006年無線局域網(wǎng)國家標(biāo)準(zhǔn)第1號修改單GB15629.11-2003/XG1-2006及相關(guān)子項(xiàng)標(biāo)準(zhǔn)GB15629.1101、GB/T15629.1103和GB15629.1104的頒布實(shí)施，初步形成了無線局域網(wǎng)國家標(biāo)準(zhǔn)體系，該國家標(biāo)準(zhǔn)體系包含了全新的WAPI(WLAN Authentication and Privacy Infrastructure)安全機(jī)制。
WAPI安全機(jī)制是基于證書和預(yù)共享密鑰的?；谧C書的安全機(jī)制在應(yīng)用時(shí)，終端、無線接入點(diǎn)AP(Authentication and Privacy)都需要安裝證書，而國家標(biāo)準(zhǔn)中并未規(guī)定終端和無線接入點(diǎn)AP獲取和安裝證書的方式。實(shí)際應(yīng)用中常用的用戶證書的獲取安裝方法有兩種(1)實(shí)地獲取安裝。用戶攜帶證件到認(rèn)證服務(wù)器AS(Authentication Server)的營業(yè)場所辦理申請用戶證書的相關(guān)開戶手續(xù)，同時(shí)獲取以某種存儲介質(zhì)為載體的用戶證書，帶回終端處，控制、選擇存儲介質(zhì)中的用戶證書文件，一步步人工操作安裝。
在運(yùn)營環(huán)境下應(yīng)用WAPI安全機(jī)制，由于無線局域網(wǎng)網(wǎng)絡(luò)規(guī)模覆蓋到全國各個(gè)地理區(qū)域，用戶數(shù)量龐大，而且漫游的情況發(fā)生頻繁。因此，實(shí)地獲取用戶證書，用戶需直接到認(rèn)證服務(wù)器AS的營業(yè)場所申請，費(fèi)時(shí)、費(fèi)力，極不方便。
(2)遠(yuǎn)程獲取安裝。用戶在終端通過某種接入方式，如有線LAN接入或撥號網(wǎng)絡(luò)等訪問Internet網(wǎng)絡(luò)，登錄認(rèn)證服務(wù)器證書申請界面，輸入各項(xiàng)申請用戶證書要求的信息，獲得用戶證書文件，再下載存儲在本地磁盤中，一步步人工操作安裝。
遠(yuǎn)程獲取用戶證書，用戶須預(yù)先得知認(rèn)證服務(wù)器AS的網(wǎng)絡(luò)地址，且要熟悉認(rèn)證書申請流程。
上述兩種WAPI安全機(jī)制用戶證書的獲取安裝還存在下述缺點(diǎn)①獲取安裝不便，在一定程度上制約了WLAN網(wǎng)絡(luò)接入的推廣應(yīng)用。
②安全性較低。證書對應(yīng)的私鑰是整個(gè)系統(tǒng)安全運(yùn)行的關(guān)鍵，只能由證書對應(yīng)的用戶知曉，不能泄漏。證書對應(yīng)的私鑰信息通過網(wǎng)絡(luò)傳輸私鑰時(shí)，無法保證用戶私密信息的安全性。
③安裝操作較復(fù)雜。安裝時(shí)需一步步人工介入操作，即需進(jìn)行人工控制、選擇、輸入等人工操作。

發(fā)明內(nèi)容
本發(fā)明的目的在于提供一種無線局域網(wǎng)WAPI安全機(jī)制中證書的申請方法，其解決了背景技術(shù)中獲取用戶證書不方便，安裝操作復(fù)雜，安全性較低的技術(shù)問題。
本發(fā)明的技術(shù)解決方案是一種無線局域網(wǎng)WAPI安全機(jī)制中證書的申請方法，該方法包括以下實(shí)現(xiàn)步驟〔i〕獲取認(rèn)證服務(wù)器AS的地址①獲取用戶名及口令；②終端STA首次接入WLAN網(wǎng)絡(luò)時(shí)，關(guān)聯(lián)到不啟用WAPI安全機(jī)制模式的無線接入點(diǎn)AP；③通過強(qiáng)制PORTAL的WEB認(rèn)證方式進(jìn)行用戶名及口令認(rèn)證；用戶名及口令認(rèn)證成功，則終端STA可通過無線接入點(diǎn)AP訪問Internet網(wǎng)NET；接入控制器AC或PORTAL服務(wù)器PS在用戶名及口令認(rèn)證過程中或認(rèn)證成功后，把認(rèn)證服務(wù)器AS的IP地址發(fā)送至用戶終端STA；〔ii〕申請用戶證書①終端STA得到認(rèn)證服務(wù)器AS的IP地址后，在本地生成私鑰，并計(jì)算出對應(yīng)的公鑰；②終端STA把本地生成的公鑰以及用戶名及口令信息組成用戶證書申請報(bào)文，發(fā)送給認(rèn)證服務(wù)器AS，申請用戶證書；③認(rèn)證服務(wù)器AS根據(jù)終端STA用戶證書申請報(bào)文中的信息，驗(yàn)證用戶名及口令的合法性，驗(yàn)證成功后生成終端用戶證書，并發(fā)送給終端STA；
〔iii〕安裝用戶證書終端STA收到認(rèn)證服務(wù)器AS發(fā)送的終端用戶證書后，即自動啟動終端用戶證書的安裝程序進(jìn)行安裝，并將終端用戶證書保存于本地。
上述終端STA得到認(rèn)證服務(wù)器AS的IP地址后，在本地生成私鑰，并計(jì)算出對應(yīng)的公鑰，均以WLAN國標(biāo)中規(guī)定的算法進(jìn)行為佳。
上述終端STA和認(rèn)證服務(wù)器AS之間一般是通過HTTPS協(xié)議傳輸信息。
上述獲取用戶名及口令可用戶通過手機(jī)短信得到用戶名及口令，也可通過開戶得到用戶名及口令。
上述終端用戶證書中的公鑰信息以采用終端STA用戶證書申請報(bào)文中的公鑰為佳。
上述私鑰保存于終端STA，所述私鑰在終端STA保存時(shí)，可采用開戶時(shí)獲得的開戶口令進(jìn)行加密保護(hù)，也可提示用戶輸入新的口令對私鑰進(jìn)行加密保護(hù)。
本發(fā)明具有以下優(yōu)點(diǎn)1.與目前的無線局域網(wǎng)國家標(biāo)準(zhǔn)相匹配，實(shí)用性強(qiáng)，易于推廣、應(yīng)用。
2.獲取、安裝便捷用戶無需到營業(yè)場所實(shí)地辦理手續(xù)，也無需知曉認(rèn)證服務(wù)器AS網(wǎng)址，即可自動申請和安裝證書。
3.安全性好。證書對應(yīng)的私鑰和公鑰由用戶本地生成，且私鑰不在網(wǎng)絡(luò)上傳輸，網(wǎng)絡(luò)上傳輸?shù)膬H僅是可公開的私鑰對應(yīng)的公鑰信息，用戶名、口令等通過安全通道傳輸，確保了用戶私密信息的安全性。


圖1為本發(fā)明應(yīng)用實(shí)例的網(wǎng)絡(luò)拓?fù)鋱D。
附圖標(biāo)號說明無線接入點(diǎn)AP，認(rèn)證服務(wù)器AS，接入控制器AC，認(rèn)證服務(wù)器RS，終端STA，PORTAL服務(wù)器PS，Internet網(wǎng)NET。
具體實(shí)施例方式
本發(fā)明是在符合目前無線局域網(wǎng)國家標(biāo)準(zhǔn)的基礎(chǔ)上，對用戶證書的申請和安裝進(jìn)行的擴(kuò)展。本發(fā)明的實(shí)現(xiàn)步驟如下〔i〕獲取認(rèn)證服務(wù)器AS的地址①獲取用戶名及口令。獲取用戶名及口令是用戶通過手機(jī)短信得到用戶名及口令，或通過開戶得到用戶名及口令。
②終端STA首次接入WLAN網(wǎng)絡(luò)時(shí)，以不啟用WAPI安全機(jī)制模式關(guān)聯(lián)到無線接入點(diǎn)AP；③通過強(qiáng)制PORTAL的WEB認(rèn)證方式進(jìn)行用戶名及口令認(rèn)證。用戶名及口令認(rèn)證成功，則終端STA可通過無線接入點(diǎn)AP訪問Internet網(wǎng)NET。接入控制器AC或PORTAL服務(wù)器PS在用戶名及口令的認(rèn)證過程中或認(rèn)證成功后，把認(rèn)證服務(wù)器AS的IP地址發(fā)送至終端STA。PORTAL的WEB認(rèn)證方式為公知認(rèn)證方式。
〔ii〕申請用戶證書①終端STA得到認(rèn)證服務(wù)器AS的IP地址后，在本地根據(jù)WLAN國標(biāo)中規(guī)定的算法生成私鑰，并計(jì)算出對應(yīng)的公鑰。私鑰和公鑰是一一對應(yīng)的，口令用于保護(hù)私鑰的安全性。
②終端STA把本地生成的公鑰以及用戶名及口令信息組成用戶證書申請報(bào)文，發(fā)給認(rèn)證服務(wù)器AS，申請用戶證書。終端STA和認(rèn)證服務(wù)器AS之間通過HTTPS協(xié)議傳輸信息，以確保用戶私密信息的安全性。HTTPS協(xié)議即安全超文本傳輸協(xié)議。
③認(rèn)證服務(wù)器AS根據(jù)終端STA用戶證書申請報(bào)文中的信息，驗(yàn)證用戶名及口令的合法性，驗(yàn)證成功后生成終端用戶證書，發(fā)送給終端STA。終端用戶證書中的公鑰信息采用終端STA用戶證書申請報(bào)文中的公鑰。
〔iii〕安裝用戶證書終端STA收到認(rèn)證服務(wù)器AS發(fā)送的終端用戶證書后，即自動啟動終端用戶證書的安裝程序進(jìn)行安裝，并將終端用戶證書保存于本地。
私鑰保存于終端STA。私鑰在終端STA保存時(shí)可采用開戶時(shí)獲得的開戶口令對私鑰進(jìn)行加密保護(hù)，或提示用戶輸入新的口令對私鑰進(jìn)行加密保護(hù)。
本發(fā)明的用戶手工參與的操作僅僅是輸入用戶名和口令，而終端用戶證書的申請、下載和安裝均為自動完成，因此簡化了用戶的操作，同時(shí)又提高了安全性。
權(quán)利要求
1.一種無線局域網(wǎng)WAPI安全機(jī)制中證書的申請方法，其特征在于，該方法包括以下實(shí)現(xiàn)步驟〔i〕獲取認(rèn)證服務(wù)器AS的地址①獲取用戶名及口令；②終端STA首次接入WLAN網(wǎng)絡(luò)時(shí)，關(guān)聯(lián)到不啟用WAPI安全機(jī)制模式的無線接入點(diǎn)AP；③通過強(qiáng)制PORTAL的WEB認(rèn)證方式進(jìn)行用戶名及口令認(rèn)證；用戶名及口令認(rèn)證成功，則終端STA可通過無線接入點(diǎn)AP訪問Internet網(wǎng)NET；接入控制器AC或PORTAL服務(wù)器PS在用戶名及口令認(rèn)證過程中或認(rèn)證成功后，把認(rèn)證服務(wù)器AS的IP地址發(fā)送至用戶終端STA；〔ii〕申請用戶證書①終端STA得到認(rèn)證服務(wù)器AS的IP地址后，在本地生成私鑰，并計(jì)算出對應(yīng)的公鑰；②終端STA把本地生成的公鑰以及用戶名及口令信息組成用戶證書申請報(bào)文，發(fā)送給認(rèn)證服務(wù)器AS，申請用戶證書；③認(rèn)證服務(wù)器AS根據(jù)終端STA用戶證書申請報(bào)文中的信息，驗(yàn)證用戶名及口令的合法性，驗(yàn)證成功后生成終端用戶證書，并發(fā)送給終端STA；〔iii〕安裝用戶證書終端STA收到認(rèn)證服務(wù)器AS發(fā)送的終端用戶證書后，即自動啟動終端用戶證書的安裝程序進(jìn)行安裝，并將終端用戶證書保存于本地。
2.根據(jù)權(quán)利要求1所述的無線局域網(wǎng)WAPI安全機(jī)制中證書的申請方法，其特征在于所述的終端STA得到認(rèn)證服務(wù)器AS的IP地址后，在本地生成私鑰，并計(jì)算出對應(yīng)的公鑰，均根據(jù)WLAN國標(biāo)中規(guī)定的算法進(jìn)行。
3.根據(jù)權(quán)利要求1或2所述的無線局域網(wǎng)WAPI安全機(jī)制中證書的申請方法，其特征在于所述終端STA和認(rèn)證服務(wù)器AS之間是通過HTTPS協(xié)議傳輸信息。
4.根據(jù)權(quán)利要求3所述的無線局域網(wǎng)WAPI安全機(jī)制中證書的申請方法，其特征在于所述的獲取用戶名及口令是用戶通過手機(jī)短信得到用戶名及口令，或通過開戶得到用戶名及口令。
5.根據(jù)權(quán)利要求4所述的無線局域網(wǎng)WAPI安全機(jī)制中證書的申請方法，其特征在于所述終端用戶證書中的公鑰信息采用終端STA用戶證書申請報(bào)文中的公鑰。
6.根據(jù)權(quán)利要求5所述的無線局域網(wǎng)WAPI安全機(jī)制中證書的申請方法，其特征在于所述的私鑰保存于終端STA；所述私鑰在終端STA保存時(shí)，采用開戶時(shí)獲得的開戶口令進(jìn)行加密保護(hù)，或提示用戶輸入新的口令對私鑰進(jìn)行加密保護(hù)。
全文摘要
一種無線局域網(wǎng)WAPI安全機(jī)制中證書的申請方法，其首先獲取用戶名及口令，通過強(qiáng)制PORTAL的WEB認(rèn)證方式進(jìn)行用戶名及口令認(rèn)證，認(rèn)證成功，終端STA可通過無線接入點(diǎn)AP訪問Internet網(wǎng)。申請用戶證書是在終端STA得到認(rèn)證服務(wù)器AS的IP地址后，在本地生成私鑰及公鑰，再將生成的用戶證書申請報(bào)文發(fā)送給認(rèn)證服務(wù)器AS。認(rèn)證服務(wù)器AS根據(jù)用戶證書申請報(bào)文中的信息進(jìn)行驗(yàn)證，驗(yàn)證成功后生成終端用戶證書。安裝用戶證書是終端STA收到終端用戶證書后自動啟動安裝程序。本發(fā)明解決了背景技術(shù)中獲取用戶證書不方便，安裝操作復(fù)雜，安全性較低的技術(shù)問題。本發(fā)明的獲取、安裝均較便捷。
文檔編號H04L29/08GK101030908SQ20071001741
公開日2007年9月5日 申請日期2007年2月6日 優(yōu)先權(quán)日2007年2月6日
發(fā)明者張變玲, 曹軍, 葉續(xù)茂, 李波, 涂學(xué)鋒, 竇向陽, 馬奔騰 申請人:西安西電捷通無線網(wǎng)絡(luò)通信有限公司, 中國移動通信集團(tuán)設(shè)計(jì)院有限公司