專利名稱：：一種基于wapi的認(rèn)證系統(tǒng)及方法
技術(shù)領(lǐng)域：
：本發(fā)明涉及WAPI,具體涉及一種基于WAPI的認(rèn)證系統(tǒng)及方法。
背景技術(shù)：
：WAPI(WLANAuthenticationandPrivacyInfrastructure,無線局域網(wǎng)鑒別與保密基礎(chǔ)架構(gòu))是一種應(yīng)用于WLAN的安全協(xié)議，是由中國(guó)提出的具有創(chuàng)新性技術(shù)的標(biāo)準(zhǔn)，解決了目前無線局域網(wǎng)安全機(jī)制存在的漏洞和隱患。WAPI安全機(jī)制由兩個(gè)部分組成WAI(WLANAuthenticationInfrastructure,無線局i或網(wǎng)鑒別基礎(chǔ)結(jié)構(gòu))和WPI(WLANPrivacyInfrastructure,無線局域網(wǎng)保密基礎(chǔ)架構(gòu))。WAI用于對(duì)用戶身份的鑒別，保證了合法用戶訪問合法的網(wǎng)絡(luò)；WPI用于對(duì)傳輸數(shù)據(jù)的加密，保證了通信的保密性。WAI利用公鑰密碼體制，利用數(shù)字證書來完成WLAN系統(tǒng)的MT和AP(訪問接入點(diǎn))之間的相互認(rèn)證，WAI定義了一種名為ASU(AuthenticationServiceUnit,鑒別服務(wù)器)的實(shí)體，用于管理參與信息交換各方所需要的證書(包括證書的產(chǎn)生、頒發(fā)、吊銷和更新)。證書內(nèi)容包含是WAPI特有的橢圓曲線數(shù)字簽名算法)，是網(wǎng)絡(luò)設(shè)備終端MT(MobileTerminal,移動(dòng)終端)的數(shù)字身份憑證。WAPI協(xié)議具體的實(shí)現(xiàn)包括以下幾個(gè)過程(1)認(rèn)證激活；當(dāng)MT登陸到AP時(shí)，AP向MT發(fā)送認(rèn)證激活，以啟動(dòng)認(rèn)證過程。(2)接入認(rèn)證請(qǐng)求；MT向AP發(fā)出認(rèn)證請(qǐng)求，將自己的證書和接入認(rèn)證請(qǐng)求時(shí)間發(fā)往AP。(3)證書認(rèn)證請(qǐng)求；AP收到MT接入認(rèn)證請(qǐng)求后，向ASU發(fā)出認(rèn)證請(qǐng)求。將MT證書、接入認(rèn)證請(qǐng)求時(shí)間和AP的證書以及利用AP私鑰對(duì)它們的簽名構(gòu)成證書認(rèn)證請(qǐng)求報(bào)文信息發(fā)送給ASU。(4)證書認(rèn)證響應(yīng)；ASU收到AP的認(rèn)證請(qǐng)求后，驗(yàn)證AP的簽名以及AP和MT證書的合法性。驗(yàn)證完畢后ASU將MT證書認(rèn)證結(jié)果信息(包括MT證書、認(rèn)證結(jié)果、接入認(rèn)證請(qǐng)求時(shí)間和ASU對(duì)它們的簽名)、AP證書認(rèn)證結(jié)果信息(包括AP證書、認(rèn)證結(jié)果、接入認(rèn)證請(qǐng)求時(shí)間和ASU對(duì)它們的簽名)構(gòu)成證書響應(yīng)報(bào)文發(fā)回給AP。(5)接入認(rèn)證響應(yīng)；AP對(duì)ASU返回的證書響應(yīng)進(jìn)行驗(yàn)i正，；彈到MT證書認(rèn)證結(jié)果。AP將MT證書認(rèn)證信息、AP證書認(rèn)證結(jié)果信息以及AP對(duì)它們的簽名構(gòu)成接入認(rèn)證響應(yīng)才艮文發(fā)送至MT。MT驗(yàn)證ASU的簽名后，得到AP證書的認(rèn)證結(jié)果，MT根據(jù)認(rèn)證結(jié)果決定是否接入該AP。(6)密鑰協(xié)商；當(dāng)MT和AP的證書都鑒別成功之后，雙方將會(huì)進(jìn)行密鑰協(xié)商，然后用協(xié)商的密鑰進(jìn)行通信。在WAPI中采用了集中化的管理，由單一ASU統(tǒng)一完成i正書有效性-險(xiǎn)證，同時(shí)還擔(dān)任了權(quán)威中心的角色，完成對(duì)MT、AP等實(shí)體i正書的發(fā)放、撤銷和管理等，沒有考慮到ASU在認(rèn)證過程中發(fā)生欺騙的行為和ASU可能會(huì)成為系統(tǒng)的瓶頸問題?，F(xiàn)有技術(shù)證書的認(rèn)證由單個(gè)ASU完成。在一次認(rèn)證過程中，ASU需要進(jìn)行3次簽名驗(yàn)證和2次簽名，在MT數(shù)量比較大的情況下，會(huì)成為系統(tǒng)認(rèn)證的瓶頸。如果ASU被攻擊者控制或者變的不可信，ASU使非法的MT通過認(rèn)證接入網(wǎng)絡(luò)，而合法的MT無法接入網(wǎng)絡(luò)。ASU進(jìn)行惡意的認(rèn)證響應(yīng)行為，任何MT都無法接入網(wǎng)絡(luò)，從而使網(wǎng)絡(luò)陷入癱瘓。
發(fā)明內(nèi)容本發(fā)明要解決的技術(shù)問題是提供一種基于WAPI的認(rèn)證系統(tǒng)及方法，提高了WAPI認(rèn)證才幾制的安全性和效率。為了解決上述問題，本發(fā)明提供了一種基于無線局域網(wǎng)鑒別與保密基礎(chǔ)架構(gòu)的認(rèn)證方法，包括當(dāng)訪問接入點(diǎn)和移動(dòng)終端之間實(shí)現(xiàn)證書認(rèn)證時(shí)，所述訪問接入點(diǎn)選擇一個(gè)或多個(gè)鑒別服務(wù)器完成證書的鑒別。進(jìn)一步地，所述訪問接入點(diǎn)存儲(chǔ)一鑒別服務(wù)器當(dāng)前使用情況表，該使用情況表記錄的各鑒別服務(wù)器的當(dāng)前負(fù)載狀況及是否可用；所述訪問接入點(diǎn)從可用的鑒別服務(wù)器中選擇當(dāng)前負(fù)載最小的一個(gè)或多個(gè)鑒別服務(wù)器完成證書的鑒別。進(jìn)一步地，當(dāng)所述訪問接入點(diǎn)選擇多個(gè)鑒別服務(wù)器完成證書的鑒別時(shí)，均對(duì)移動(dòng)終端的證書進(jìn)行認(rèn)證，并構(gòu)成證書認(rèn)證響應(yīng)報(bào)文發(fā)送給訪問接入占.,、、、j別服務(wù)器對(duì)移動(dòng)終端證書認(rèn)證結(jié)果，若各鑒別服務(wù)器對(duì)移動(dòng)終端證書認(rèn)證結(jié)果中至少一個(gè)正確則允許所述移動(dòng)終端接入該訪問接入點(diǎn)，若各鑒別服務(wù)器點(diǎn)。進(jìn)一步地，所述判斷鑒別服務(wù)器對(duì)移動(dòng)終端證書認(rèn)證結(jié)果的方法為，若各鑒別服務(wù)器對(duì)移動(dòng)終端證書認(rèn)證結(jié)果一致則認(rèn)證各鑒別服務(wù)器對(duì)移動(dòng)終端證書認(rèn)證結(jié)果均正確，若存在移動(dòng)終端證書認(rèn)證結(jié)果不一致認(rèn)為存在欺騙中心，所述可信中心驗(yàn)證各鑒別服務(wù)器對(duì)移動(dòng)終端證書認(rèn)證結(jié)果，4全測(cè)出存在欺騙行為的鑒別服務(wù)器，并通知給訪問接入點(diǎn)。進(jìn)一步地，所述訪問接入點(diǎn)將不存在欺騙行為的鑒別服務(wù)器產(chǎn)生的移動(dòng)終端證書認(rèn)證結(jié)果信息、訪問接入點(diǎn)證書認(rèn)證結(jié)果信息以及訪問接入點(diǎn)對(duì)所述移動(dòng)終端證書認(rèn)證結(jié)果信息及訪問接入點(diǎn)證書認(rèn)證結(jié)果信息的簽名構(gòu)成接入認(rèn)證響應(yīng)^艮文，并將所述接入iU正響應(yīng)^艮文發(fā)送給移動(dòng)終端；所述移動(dòng)終端收到所述接入認(rèn)證響應(yīng)報(bào)文后，驗(yàn)證其中的訪問接入點(diǎn)的簽名及鑒別服務(wù)器的簽名，得到訪問接入點(diǎn)的證書驗(yàn)證結(jié)果，并判斷訪問接入點(diǎn)證書認(rèn)證結(jié)果是否均正確，是則決定接入該訪問接入點(diǎn)，否則不接入該訪問4妻入點(diǎn)。進(jìn)一步地，所述訪問接入點(diǎn)按照鑒別服務(wù)器的數(shù)量對(duì)移動(dòng)終端的安全級(jí)別進(jìn)行劃分，移動(dòng)終端的安全級(jí)別的等級(jí)數(shù)與鑒別服務(wù)器的數(shù)量一致；當(dāng)選擇進(jìn)行證書鑒別的鑒別服務(wù)器時(shí)，所述訪問接入點(diǎn)根據(jù)移動(dòng)終端的安全級(jí)別選擇完成證書鑒別的鑒別服務(wù)器的數(shù)量，當(dāng)移動(dòng)終端的安全級(jí)別為n時(shí)，選擇n個(gè)鑒別服務(wù)器進(jìn)行證書鑒別，若當(dāng)前可用的鑒別服務(wù)器小于n,則選擇所有可用的鑒別服務(wù)器進(jìn)行證書鑒別。本發(fā)明還提供一種基于無線局域網(wǎng)鑒別與保密基礎(chǔ)架構(gòu)的認(rèn)證系統(tǒng)，包括訪問接入點(diǎn)、移動(dòng)終端及鑒別服務(wù)器；所述訪問接入點(diǎn)用于和移動(dòng)終端實(shí)現(xiàn)證書i人證時(shí)，選擇一個(gè)或多個(gè)鑒別服務(wù)器完成證書的鑒別；所述鑒別服務(wù)器用于對(duì)訪問接入點(diǎn)證書及移動(dòng)終端證書進(jìn)行認(rèn)證。進(jìn)一步地，所述訪問接入點(diǎn)還用于存儲(chǔ)一鑒別服務(wù)器當(dāng)前使用情況表，該使用情況表記錄的各鑒別服務(wù)器的當(dāng)前負(fù)載狀況及是否可用；所述訪問接入點(diǎn)從可用的鑒別服務(wù)器中選擇當(dāng)前負(fù)載最小的一個(gè)或多個(gè)鑒別服務(wù)器完成證書的鑒別。進(jìn)一步地，當(dāng)所述訪問接入點(diǎn)選擇多個(gè)鑒別服務(wù)器完成證書的鑒別時(shí)，訪問接入點(diǎn)將證書認(rèn)證請(qǐng)求報(bào)文發(fā)送至選擇的每個(gè)鑒別服務(wù)器，各鑒別服務(wù)器均對(duì)移動(dòng)終端的證書進(jìn)行認(rèn)證，并構(gòu)成證書認(rèn)證響應(yīng)報(bào)文發(fā)送給訪問接入點(diǎn)；別服務(wù)器對(duì)移動(dòng)終端證書認(rèn)證結(jié)果，若各鑒別服務(wù)器對(duì)移動(dòng)終端證書認(rèn)證結(jié)果中至少一個(gè)正確則允許所述移動(dòng)終端接入該訪問接入點(diǎn)，若各鑒別服務(wù)器點(diǎn)。進(jìn)一步地，所述系統(tǒng)還包括可信中心；點(diǎn)判斷各鑒別服務(wù)器對(duì)移動(dòng)終端證書認(rèn)證結(jié)果一致，若一致則認(rèn)證各鑒別服務(wù)器對(duì)移動(dòng)終端證書認(rèn)證結(jié)果均正確，若存在移動(dòng)終端證書認(rèn)證結(jié)果不一致認(rèn)為存在欺騙行為，所述訪問接入點(diǎn)將各鑒別服務(wù)器對(duì)移動(dòng)終端證書認(rèn)證結(jié)果發(fā)送至可信中心，所述可信中心驗(yàn)證各鑒別服務(wù)器對(duì)移動(dòng)終端證書認(rèn)證結(jié)果，檢測(cè)出存在欺騙行為的鑒別服務(wù)器，并通知給訪問接入點(diǎn)。進(jìn)一步地，所述訪問接入點(diǎn)還用于將不存在欺騙行為的鑒別服務(wù)器產(chǎn)生的移動(dòng)終端證書認(rèn)證結(jié)果信息、訪問接入點(diǎn)證書認(rèn)證結(jié)果信息以及訪問接入點(diǎn)對(duì)所述移動(dòng)終端證書認(rèn)證結(jié)果信息及訪問接入點(diǎn)證書認(rèn)證結(jié)果信息的簽名構(gòu)成接入認(rèn)證響應(yīng)4艮文，并將所述^妄入認(rèn)證響應(yīng)^艮文發(fā)送給移動(dòng)終端；所述移動(dòng)終端用于收到所述接入認(rèn)證響應(yīng)報(bào)文后，驗(yàn)證其中的訪問接入點(diǎn)的簽名及鑒別服務(wù)器的簽名，得到訪問接入點(diǎn)的證書驗(yàn)證結(jié)果，并判斷訪問接入點(diǎn)證書認(rèn)證結(jié)果是否均正確，是則決定接入該訪問接入點(diǎn)，否則不接入該訪問接入點(diǎn)。綜上所述，本發(fā)明提出了一種基于WAPI的認(rèn)證系統(tǒng)及方法，證書的鑒別可以根據(jù)實(shí)際情況靈活的選擇由單個(gè)ASU完成還是有多個(gè)ASU完成，AP根據(jù)其維護(hù)的ASU當(dāng)前使用情況表選擇參與證書鑒別的ASU,多個(gè)ASU鑒別克服了單個(gè)ASU鑒別的缺點(diǎn)，而且可以有效的檢測(cè)出發(fā)生欺騙的ASU。選擇單個(gè)ASU鑒別，由于多個(gè)ASU的存在，從而提高了鑒別的效率。圖1是本發(fā)明證書認(rèn)證系統(tǒng)結(jié)構(gòu)示意圖；圖2是本發(fā)明的證書認(rèn)證方法的流程圖。具體實(shí)施例方式本發(fā)明提供一種基于WAPI的認(rèn)證系統(tǒng)，如圖1所示，該認(rèn)證系統(tǒng)包括AP、MT、TC及多個(gè)ASU;MT用于收到AP發(fā)來的認(rèn)證激活后向AP發(fā)送認(rèn)證請(qǐng)求，攜帶MT證書和MT接入認(rèn)證請(qǐng)求時(shí)間；MT還收到AP發(fā)來的接入認(rèn)證響應(yīng)報(bào)文后，驗(yàn)證AP的簽名及ASU的簽名得到AP的證書驗(yàn)證結(jié)果，根據(jù)對(duì)AP證書的驗(yàn)證結(jié)果決定是否接入該AP;AP用于收到MT發(fā)來的接入認(rèn)證請(qǐng)求后，根據(jù)MT的安全級(jí)別選擇進(jìn)行證書鑒別的ASU數(shù)量，當(dāng)該MT的安全級(jí)別專支低時(shí)可以只選擇1個(gè)ASU進(jìn)行證書鑒別，當(dāng)該MT的安全級(jí)別較高時(shí)可選擇多個(gè)ASU進(jìn)行證書鑒另'J;具體地，AP可以按照ASU的數(shù)量對(duì)MT的安全級(jí)別進(jìn)行劃分，如可以但不限于是，MT的安全級(jí)別的等級(jí)數(shù)與ASU的數(shù)量一致，當(dāng)MT的安全級(jí)別為1時(shí)，選擇1個(gè)ASU進(jìn)行證書鑒別，當(dāng)MT的安全級(jí)別為2時(shí)，選擇2個(gè)ASU進(jìn)行證書鑒別......當(dāng)MT的安全級(jí)別為n時(shí)，選擇n個(gè)ASU進(jìn)行證書鑒別，有可能存在MT的安全級(jí)別為n,但當(dāng)前可用的ASU不足n的情形，此時(shí)可以選擇所有可用的ASU進(jìn)行證書鑒別；當(dāng)然還存在其它多種劃分方式，本發(fā)明對(duì)此不作限制。當(dāng)需要選擇m個(gè)ASU時(shí)，從所有可用ASU中選擇當(dāng)前負(fù)載最小的m個(gè)ASU;AP還用于利用AP私鑰對(duì)MT證書、接入認(rèn)證請(qǐng)求時(shí)間和AP證書進(jìn)行簽名構(gòu)成證書認(rèn)證請(qǐng)求報(bào)文，并將該證書認(rèn)證請(qǐng)求報(bào)文發(fā)送給選擇的m個(gè)進(jìn)行證書鑒別ASU;以及收到該m個(gè)ASU返回的證書認(rèn)證響應(yīng)報(bào)文后對(duì)這m個(gè)認(rèn)證響應(yīng)報(bào)文進(jìn)行簽名驗(yàn)證，得到m個(gè)對(duì)MT證書認(rèn)證結(jié)果，并判斷這m個(gè)認(rèn)證結(jié)果是否正確，若這m個(gè)認(rèn)證結(jié)果中至少一個(gè)正確則允許該MT接入，若這m個(gè)認(rèn)證結(jié)果均不正確則不允許該MT纟妄入；判斷這m個(gè)認(rèn)證結(jié)果是否正確這指，AP先比較這m個(gè)認(rèn)證結(jié)果是否一致，若均一致則認(rèn)為ASU不存在欺騙行為，即m個(gè)認(rèn)證結(jié)果均正確，若這m個(gè)認(rèn)證結(jié)果不完全一致，則將這m個(gè)認(rèn)證結(jié)果發(fā)送至TC，以及根據(jù)TC的反饋信息判斷是否存在正確的認(rèn)證結(jié)果；AP還用于將正確的MT證書認(rèn)證結(jié)果信息、AP證書認(rèn)證結(jié)果信息以及AP對(duì)上述信息(包括MT證書認(rèn)證結(jié)果信息及AP證書認(rèn)證結(jié)果信息)的簽名構(gòu)成4矣入i人i正響應(yīng)4艮文，并將該4秦入認(rèn)證響應(yīng)才艮文發(fā)送給MT;TC用于收到AP發(fā)來的m個(gè)認(rèn)證結(jié)果后依次-驗(yàn)證m個(gè)認(rèn)證結(jié)果，檢測(cè)出存在欺騙行為的ASU，即不正確的認(rèn)證結(jié)果，還用于將存在欺騙行為的ASU(或不正確的認(rèn)證結(jié)果)發(fā)送至AP。本發(fā)明還提供一種基于WAPI的認(rèn)證方法，如圖2所示，包括以下步驟在證書認(rèn)證請(qǐng)求階段，AP根據(jù)網(wǎng)絡(luò)的安全級(jí)別選擇鑒別ASU的個(gè)數(shù)，AP中維護(hù)者一個(gè)ASU當(dāng)前使用情況表，根據(jù)當(dāng)前使用情況表來選擇當(dāng)前負(fù)載最小的一個(gè)或多個(gè)ASU完成證書的鑒別。步驟201,AP收到MT接入認(rèn)證請(qǐng)求后，根據(jù)MT的安全級(jí)別選擇進(jìn)4亍證書鑒別的ASU數(shù)量，當(dāng)該MT的安全級(jí)別較低時(shí)可以只選擇1個(gè)ASU進(jìn)行證書鑒別，當(dāng)該MT的安全級(jí)別較高時(shí)可選擇多個(gè)ASU進(jìn)行證書鑒別；具體地，AP可以按照ASU的數(shù)量對(duì)MT的安全級(jí)別進(jìn)行劃分，如可以但不限于是，MT的安全級(jí)別的等級(jí)數(shù)與ASU的數(shù)量一致，當(dāng)MT的安全級(jí)別為l時(shí)，選擇l個(gè)ASU進(jìn)行證書鑒別，當(dāng)MT的安全級(jí)別為2時(shí)，選擇2個(gè)ASU進(jìn)行證書鑒別......當(dāng)MT的安全級(jí)別為n時(shí)，選擇n個(gè)ASU進(jìn)行證書鑒別，有可能存在MT的安全級(jí)別為n，4旦當(dāng)前可用的ASU不足n的情形，此時(shí)可以選擇所有可用的ASU進(jìn)行證書鑒別；當(dāng)然還存在其它多種劃分方式，本發(fā)明對(duì)此不作限制。若需要選擇m個(gè)ASU時(shí)，AP從所有可用ASU中選擇當(dāng)前負(fù)載最小的m個(gè)ASU;之后AP利用AP私鑰對(duì)MT證書、接入認(rèn)證請(qǐng)求時(shí)間和AP證書進(jìn)行簽名構(gòu)成證書iU正請(qǐng)求報(bào)文，并將該i正書認(rèn)i正請(qǐng)求凈艮文發(fā)送纟會(huì)選擇的m個(gè)ASU;步驟202,收到證書認(rèn)證請(qǐng)求報(bào)文的ASU，根據(jù)公鑰和可信中心TC上的驗(yàn)證信息驗(yàn)證AP簽名、AP證書以及MT證書的合法性，驗(yàn)證完畢后，該m個(gè)ASU將MTi正書認(rèn)i正結(jié)果信息和AP證書認(rèn)i正結(jié)果信息構(gòu)成證書認(rèn)證響應(yīng)報(bào)文發(fā)送給AP;MT證書認(rèn)證結(jié)果信息包括MT證書、認(rèn)證結(jié)果、接入認(rèn)證請(qǐng)求時(shí)間及ASU對(duì)上述信息的簽名，AP證書認(rèn)證結(jié)果信息包括AP證書、認(rèn)證結(jié)果、4妄入認(rèn)證請(qǐng)求時(shí)間及ASU對(duì)上述信息的簽名；步驟203，AP收到m個(gè)ASU的證書認(rèn)證響應(yīng)報(bào)文后對(duì)每個(gè)認(rèn)證響應(yīng)報(bào)文進(jìn)行簽名驗(yàn)證得到每個(gè)ASU對(duì)MT證書認(rèn)證結(jié)果，并判斷是否存在正確的MT證書認(rèn)證結(jié)果，若存在則執(zhí)行步驟204，否則執(zhí)行步驟208;判斷這m個(gè)認(rèn)證結(jié)果是否正確的方法為，AP先比較這m個(gè)認(rèn)證結(jié)果是否一致，若均一致則認(rèn)為ASU不存在欺騙行為，即m個(gè)認(rèn)證結(jié)果均正確，若這m個(gè)認(rèn)證結(jié)果不完全一致，則將這m個(gè)認(rèn)證結(jié)果發(fā)送至TC,TC依次-驗(yàn)證m個(gè)認(rèn)證結(jié)杲，檢測(cè)出存在欺騙行為的ASU，即不正確的i人證結(jié)果，并將存在欺騙行為的ASU(或不正確的認(rèn)證結(jié)果)發(fā)送至AP。步驟204,AP允許MT接入網(wǎng)絡(luò)；步驟205，AP將不存在欺騙行為的ASU產(chǎn)生的MT證書認(rèn)證結(jié)果信息、AP證書認(rèn)證結(jié)果信息以及AP對(duì)上述信息(包括MT證書認(rèn)證結(jié)果信息及AP證書認(rèn)證結(jié)果信息)的簽名構(gòu)成接入認(rèn)證響應(yīng)報(bào)文發(fā)送給MT，當(dāng)有多個(gè)ASU不存在欺騙時(shí)，則每個(gè)MT證書認(rèn)證結(jié)果信息及AP證書認(rèn)證結(jié)果信息均對(duì)應(yīng)一個(gè)AP的簽名，即存在多個(gè)接入認(rèn)證響應(yīng)才艮文；步驟206，MT收到AP發(fā)來的接入認(rèn)證響應(yīng)報(bào)文后，驗(yàn)證AP的簽名及ASU的簽名，得到AP證書的驗(yàn)證結(jié)果(當(dāng)收到多個(gè)接入認(rèn)證響應(yīng)報(bào)文時(shí)，將得到多個(gè)AP證書的驗(yàn)證結(jié)果)，并判斷AP證書的驗(yàn)證結(jié)果是否均正確，是則執(zhí)行步驟207，否則執(zhí)行步驟209;步驟207，決定接入該AP;步驟208，AP不允許該MT接入網(wǎng)絡(luò)；步驟209,決定不接入該AP。與現(xiàn)有技術(shù)比較，本發(fā)明在認(rèn)證階段，AP根據(jù)實(shí)際情況選擇認(rèn)證服務(wù)器的個(gè)數(shù)，根據(jù)其維護(hù)的ASU當(dāng)前使用情況表，選擇當(dāng)前負(fù)載最小且工作狀態(tài)良好的ASU完成認(rèn)證，提高了認(rèn)證的效率。由多個(gè)ASU進(jìn)行認(rèn)證，克服了現(xiàn)有技術(shù)中ASU認(rèn)證存在的權(quán)威欺詐行為，提高了安全性。在無線局域網(wǎng)MT數(shù)量比較大的情況下，選擇單個(gè)ASU認(rèn)證，由于存在多個(gè)ASU，提高了認(rèn)證的效率。下面通過應(yīng)用實(shí)例進(jìn)一步i兌明本發(fā)明方法，以5個(gè)ASU為例AP可以任意的選擇1至5個(gè)服務(wù)器來完成證書鑒別，AP中維護(hù)著一個(gè)ASU當(dāng)前使用情況表，根據(jù)當(dāng)前使用情況表來選擇當(dāng)前負(fù)載最小的服務(wù)器完成"i正書的鑒別。下面以選擇兩個(gè)ASU為例。步驟l,認(rèn)證激活；MT登陸到AP，AP向MT發(fā)送認(rèn)證激活；以啟動(dòng)認(rèn)證過程；步驟2，接入認(rèn)證請(qǐng)求；MT向AP發(fā)出認(rèn)證請(qǐng)求，將MT證書和MT接入i人i正請(qǐng)求時(shí)間發(fā)往AP;步驟3,AP收到MT接入認(rèn)證請(qǐng)求后，根據(jù)該MT的安全級(jí)別確定需要選擇2個(gè)ASU進(jìn)行證書的鑒別ASU數(shù)量，如表1所示，ASU2當(dāng)前不可用，因此只能從剩余的4個(gè)ASU中選擇當(dāng)前負(fù)載最小(即待處理的認(rèn)證數(shù)量最少)的2個(gè)ASU進(jìn)行i正書鑒別，即ASU1和ASU5;之后AP利用AP私鑰對(duì)MT證書、接入認(rèn)證請(qǐng)求時(shí)間和AP證書進(jìn)行簽名構(gòu)成證書認(rèn)證請(qǐng)求報(bào)文，并將該證書認(rèn)證請(qǐng)求報(bào)文發(fā)送給ASUl和ASU5;表l:AP存儲(chǔ)的ASU當(dāng)前使用情況表<table>tableseeoriginaldocumentpage13</column></row><table>步驟4,ASUl和ASU5收到AP的證書認(rèn)證請(qǐng)求報(bào)文后，驗(yàn)i正AP簽名、APi正書以及MTi正書的合法性；-瞼證完畢后，ASUl和ASU5分別將MT證書認(rèn)證結(jié)果信息(包括MT證書、認(rèn)證結(jié)果、接入認(rèn)證請(qǐng)求時(shí)間及ASUl和ASU5分別對(duì)它們的簽名)和AP證書認(rèn)證結(jié)果信息(包括AP證書、認(rèn)證結(jié)果、接入認(rèn)證請(qǐng)求時(shí)間及ASU1和ASU5分別對(duì)它們的簽名)構(gòu)成證書認(rèn)證響應(yīng)報(bào)文發(fā)送給AP;步驟5,AP收到ASU1和ASU5的認(rèn)證響應(yīng)報(bào)文后，對(duì)認(rèn)證響應(yīng)4艮文進(jìn)行簽名驗(yàn)證，得到ASU1和ASU5對(duì)MT證書認(rèn)證結(jié)果；步驟6，AP收到ASU1和ASU5的報(bào)文對(duì)證書的認(rèn)證結(jié)果進(jìn)行比較，若兩個(gè)認(rèn)證結(jié)果一致則認(rèn)為不存在欺騙行為，并執(zhí)行步驟8，若兩個(gè)認(rèn)i正結(jié)果不一致，則認(rèn)為存在欺騙行為，并將ASU1和ASU5的報(bào)文對(duì)證書的認(rèn)證結(jié)果發(fā)送至TC;步驟7,可信中心TC驗(yàn)證ASU1和ASU5的報(bào)文對(duì)證書的認(rèn)證結(jié)果，將存在欺騙行為的ASU放入不良記錄表進(jìn)行審計(jì)，并將存在欺騙行為的ASU通知給AP;然后執(zhí)行步驟8;步驟8,AP根據(jù)ASU1和ASU5對(duì)MT證書的認(rèn)證結(jié)果來決定是否允許MT接入網(wǎng)絡(luò)，具體地，當(dāng)ASU1和ASU5對(duì)MT證書的認(rèn)證結(jié)果中至少一個(gè)正確時(shí)，AP則允許MT接入網(wǎng)絡(luò)，反正，當(dāng)ASU1和ASU5對(duì)MT證書的認(rèn)證結(jié)果均不正確時(shí)，AP則不允許MT接入網(wǎng)絡(luò)；AP將正確的MT證書認(rèn)證結(jié)果信息、AP證書認(rèn)證結(jié)果信息以及AP對(duì)上述信息(包括MT證書認(rèn)證結(jié)果信息及AP證書認(rèn)證結(jié)果信息)的簽名構(gòu)成接入認(rèn)證響應(yīng)報(bào)文發(fā)送給MT;步驟9，MT收到AP發(fā)來的接入認(rèn)證響應(yīng)凈艮文后，驗(yàn)證AP的簽名及ASU的簽名，得到AP的證書驗(yàn)證結(jié)果，根據(jù)對(duì)AP證書的驗(yàn)證結(jié)果決定是否接入該AP(AP證書的-瞼i正結(jié)果均正確時(shí)決定4妾入，否則不4妻入)；步驟10,如果證書認(rèn)證通過，則AP和MT之間進(jìn)行密鑰協(xié)商，使用協(xié)商的密鑰進(jìn)行通信。權(quán)利要求1、一種基于無線局域網(wǎng)鑒別與保密基礎(chǔ)架構(gòu)的認(rèn)證方法，包括當(dāng)訪問接入點(diǎn)和移動(dòng)終端之間實(shí)現(xiàn)證書認(rèn)證時(shí)，所述訪問接入點(diǎn)選擇一個(gè)或多個(gè)鑒別服務(wù)器完成證書的鑒別。2、如權(quán)利要求1所述的方法，其特征在于所述訪問接入點(diǎn)存儲(chǔ)一鑒別服務(wù)器當(dāng)前使用情況表，該使用情況表記錄的各鑒別服務(wù)器的當(dāng)前負(fù)載狀況及是否可用；所述訪問接入點(diǎn)從可用的鑒別服務(wù)器中選擇當(dāng)前負(fù)載最小的一個(gè)或多個(gè)鑒別服務(wù)器完成證書的鑒別。3、如權(quán)利要求l所述的方法，其特征在于當(dāng)所述訪問接入點(diǎn)選4奪多個(gè)鑒別服務(wù)器完成i正書的鑒別時(shí)，訪問接入點(diǎn)將證書認(rèn)證請(qǐng)求報(bào)文發(fā)送至選擇的每個(gè)鑒別服務(wù)器，鑒別服務(wù)器均對(duì)移動(dòng)終端的i正書進(jìn)行認(rèn)i正，并構(gòu)成i正書認(rèn)i正響應(yīng)才艮文發(fā)送給訪問接入點(diǎn)；所述訪問接入點(diǎn)對(duì)接收的各證書認(rèn)證響應(yīng)"^艮文進(jìn)行簽名驗(yàn)證，得到各鑒別服務(wù)器對(duì)移動(dòng)終端證書認(rèn)證結(jié)果，若各鑒別服務(wù)器對(duì)移動(dòng)終端證書認(rèn)證結(jié)果中至少一個(gè)正確則允許所述移動(dòng)終端接入該訪問接入點(diǎn)，若各鑒別服務(wù)器對(duì)移動(dòng)終端證書認(rèn)證結(jié)果均不正確則不允許所述移動(dòng)終端接入該訪問4妻入點(diǎn)。4、如權(quán)利要求3所述的方法，其特征在于所述判斷鑒別服務(wù)器對(duì)移動(dòng)終端證書認(rèn)證結(jié)果的方法為，若各鑒別服務(wù)器對(duì)移動(dòng)終端證書認(rèn)證結(jié)果一致則認(rèn)證各鑒別服務(wù)器對(duì)移動(dòng)終端證書認(rèn)證結(jié)果均正確，若存在移動(dòng)終端證書認(rèn)證結(jié)果不一致認(rèn)為存在欺騙行為，所述訪問接入點(diǎn)將各鑒別服務(wù)器對(duì)移動(dòng)終端證書認(rèn)證結(jié)果發(fā)送至可信中心，所述可信中心驗(yàn)證各鑒別服務(wù)器對(duì)移動(dòng)終端證書認(rèn)證結(jié)果，檢測(cè)出存在欺騙行為的鑒別服務(wù)器，并通知給訪問接入點(diǎn)。5、如權(quán)利要求1所述的方法，其特征在于所述訪問接入點(diǎn)將不存在欺騙行為的鑒別服務(wù)器產(chǎn)生的移動(dòng)終端證書認(rèn)證結(jié)果信息、訪問接入點(diǎn)證書認(rèn)證結(jié)果信息以及訪問接入點(diǎn)對(duì)所述移動(dòng)終端證書認(rèn)i正結(jié)果信息及訪問^妻入點(diǎn)證書認(rèn)證結(jié)果信息的簽名構(gòu)成4妻入i人i正響應(yīng)報(bào)文，并將所述接入認(rèn)證響應(yīng)報(bào)文發(fā)送給移動(dòng)終端；所述移動(dòng)終端收到所述接入認(rèn)證響應(yīng)報(bào)文后，驗(yàn)證其中的訪問接入點(diǎn)的簽名及鑒別服務(wù)器的簽名，得到訪問接入點(diǎn)的證書驗(yàn)證結(jié)果，并判斷訪問接入點(diǎn)證書認(rèn)證結(jié)果是否均正確，是則決定接入該訪問接入點(diǎn)，否則不接入該i方問4妻入點(diǎn)。6、如權(quán)利要求1所述的方法，其特征在于所述訪問接入點(diǎn)按照鑒別服務(wù)器的數(shù)量對(duì)移動(dòng)終端的安全級(jí)別進(jìn)行劃分，移動(dòng)終端的安全級(jí)別的等級(jí)數(shù)與鑒別服務(wù)器的數(shù)量一致；當(dāng)選擇進(jìn)行證書鑒別的鑒別服務(wù)器時(shí)，所述訪問接入點(diǎn)根據(jù)移動(dòng)終端的安全級(jí)別選擇完成證書鑒別的鑒別服務(wù)器的數(shù)量，當(dāng)移動(dòng)終端的安全級(jí)別為n時(shí)，選擇n個(gè)鑒別服務(wù)器進(jìn)行證書鑒別，若當(dāng)前可用的鑒別服務(wù)器小于n,則選擇所有可用的鑒別服務(wù)器進(jìn)行證書鑒別。7、一種基于無線局域網(wǎng)鑒別與保密基礎(chǔ)架構(gòu)的認(rèn)證系統(tǒng)，包括訪問接入點(diǎn)、移動(dòng)終端及鑒別服務(wù)器；其特征在于所述訪問接入點(diǎn)用于和移動(dòng)終端實(shí)現(xiàn)證書認(rèn)證時(shí)，選擇一個(gè)或多個(gè)鑒別服務(wù)器完成證書的鑒別；所述鑒別服務(wù)器用于對(duì)訪問接入點(diǎn)證書及移動(dòng)終端i正書進(jìn)行認(rèn)證。8、如權(quán)利要求7所述的系統(tǒng)，其特征在于所述訪問接入點(diǎn)還用于存儲(chǔ)一鑒別服務(wù)器當(dāng)前使用情況表，該使用情況表記錄的各鑒別服務(wù)器的當(dāng)前負(fù)載狀況及是否可用；所述訪問接入點(diǎn)從可用的鑒別服務(wù)器中選擇當(dāng)前負(fù)載最小的一個(gè)或多個(gè)鑒別服務(wù)器完成證書的鑒別。9、如權(quán)利要求7所述的系統(tǒng)，其特征在于當(dāng)所述訪問接入點(diǎn)選擇多個(gè)鑒別服務(wù)器完成證書的鑒別時(shí)，訪問接入點(diǎn)將證書認(rèn)證請(qǐng)求報(bào)文發(fā)送至選擇的每個(gè)鑒別服務(wù)器，各鑒別服務(wù)器均對(duì)移動(dòng)終端的證書進(jìn)行認(rèn)證，并構(gòu)成證書認(rèn)證響應(yīng)報(bào)文發(fā)送給訪問接入點(diǎn)；所述訪問接入點(diǎn)對(duì)接收的各證書認(rèn)證響應(yīng)報(bào)文進(jìn)行簽名驗(yàn)證，得到各鑒別服務(wù)器對(duì)移動(dòng)終端證書認(rèn)證結(jié)果，若各鑒別服務(wù)器對(duì)移動(dòng)終端證書認(rèn)證結(jié)果中至少一個(gè)正確則允許所述移動(dòng)終端接入該訪問接入點(diǎn)，若各鑒別服務(wù)器占10、如權(quán)利要求9所述的系統(tǒng)，其特征在于所述系統(tǒng)還包括可信中心；點(diǎn)判斷各鑒別服務(wù)器對(duì)移動(dòng)終端證書認(rèn)證結(jié)杲一致，若一致則認(rèn)證各鑒別服務(wù)器對(duì)移動(dòng)終端證書認(rèn)證結(jié)果均正確，若存在移動(dòng)終端證書認(rèn)證結(jié)果不一致認(rèn)為存在欺騙行為，所述訪問接入點(diǎn)將各鑒別服務(wù)器對(duì)移動(dòng)終端證書認(rèn)證結(jié)果發(fā)送至可信中心，所述可信中心驗(yàn)證各鑒別服務(wù)器對(duì)移動(dòng)終端證書認(rèn)證結(jié)果，檢測(cè)出存在欺騙行為的鑒別服務(wù)器，并通知給訪問接入點(diǎn)。11、如權(quán)利要求7所述的系統(tǒng)，其特征在于所述訪問接入點(diǎn)還用于將不存在欺騙行為的鑒別服務(wù)器產(chǎn)生的移動(dòng)終端證書認(rèn)證結(jié)果信息、訪問接入點(diǎn)證書認(rèn)證結(jié)果信息以及訪問接入點(diǎn)對(duì)所述移動(dòng)終端證書認(rèn)證結(jié)果信息及訪問接入點(diǎn)證書認(rèn)證結(jié)果信息的簽名構(gòu)成接入認(rèn)證響應(yīng)報(bào)文，并將所述接入認(rèn)證響應(yīng)報(bào)文發(fā)送給移動(dòng)終端；所述移動(dòng)終端用于收到所述接入認(rèn)證響應(yīng)報(bào)文后，驗(yàn)證其中的訪問接入點(diǎn)的簽名及鑒別服務(wù)器的簽名，得到訪問接入點(diǎn)的證書-驗(yàn)證結(jié)果，并判斷訪問接入點(diǎn)證書認(rèn)證結(jié)果是否均正確，是則決定接入該訪問接入點(diǎn)，否則不接入該訪問4妄入點(diǎn)。全文摘要本發(fā)明提供了一種基于無線局域網(wǎng)鑒別與保密基礎(chǔ)架構(gòu)的認(rèn)證系統(tǒng)及方法，該方法包括當(dāng)訪問接入點(diǎn)和移動(dòng)終端之間實(shí)現(xiàn)證書認(rèn)證時(shí)，所述訪問接入點(diǎn)選擇一個(gè)或多個(gè)鑒別服務(wù)器完成證書的鑒別。采用本發(fā)明的技術(shù)方案，證書的鑒別可以根據(jù)實(shí)際情況靈活的選擇由單個(gè)鑒別服務(wù)器完成還是有多個(gè)鑒別服務(wù)器完成，訪問接入點(diǎn)根據(jù)其維護(hù)的鑒別服務(wù)器當(dāng)前使用情況表選擇參與證書鑒別的鑒別服務(wù)器，多個(gè)鑒別服務(wù)器鑒別克服了單個(gè)鑒別服務(wù)器鑒別的缺點(diǎn)，而且可以有效的檢測(cè)出發(fā)生欺騙的鑒別服務(wù)器，而且能提高鑒別的效率。文檔編號(hào)H04L9/32GK101610515SQ20091016065公開日2009年12月23日申請(qǐng)日期2009年7月22日優(yōu)先權(quán)日2009年7月22日發(fā)明者偉周申請(qǐng)人:中興通訊股份有限公司