專利名稱：無(wú)線接入點(diǎn)保護(hù)合法用戶接入的方法
技術(shù)領(lǐng)域：
本發(fā)明屬于無(wú)線上網(wǎng)安全加密技術(shù)領(lǐng)域，涉及無(wú)線局域網(wǎng)(WLAN，Wireless Local Area Network)中用戶(Station，STA)和無(wú)線接入點(diǎn)(AccessPoint，AP)之間的鏈路安全， 尤其涉及一種用戶STA和無(wú)線接入點(diǎn)AP之間防止網(wǎng)絡(luò)資源被盜用所采取的非法用戶探測(cè) 的方法。
背景技術(shù)：
無(wú)線局域網(wǎng)WLAN提供了一種局域網(wǎng)的無(wú)線連接服務(wù)，AP(無(wú)線接入點(diǎn))是無(wú)線局域網(wǎng)中的無(wú)線收發(fā)設(shè)備，用于將從有線網(wǎng)絡(luò)，比如因特網(wǎng)Internet中接收到的數(shù)據(jù)轉(zhuǎn)換成 無(wú)線信號(hào)發(fā)送，將接收到的無(wú)線信號(hào)轉(zhuǎn)換成數(shù)據(jù)并轉(zhuǎn)發(fā)到有線網(wǎng)絡(luò)。如圖1所示，STA(用戶)可以經(jīng)由鏈接AP(無(wú)線接入點(diǎn))接入無(wú)線網(wǎng)絡(luò)。在不 含有radius服務(wù)器認(rèn)證的無(wú)線局域網(wǎng)絡(luò)中，對(duì)于用戶的身份驗(yàn)證大多是靠加密算法，比如 WEP (Wired Equivalent Privacy，有線等效保密)、WPA(Wi_Fi Protected Access)、WPA2 等 來(lái)實(shí)現(xiàn)的，但對(duì)于加密算法，總是有被破解的時(shí)候，并且將破解方法廣泛傳播。隨著無(wú)線局域網(wǎng)(WLAN)越來(lái)越廣泛的被使用，WEP、WPA、WPA2等加密算法相繼被 破解，造成用戶合法的網(wǎng)絡(luò)資源被盜用，導(dǎo)致網(wǎng)絡(luò)質(zhì)量下降，而對(duì)于網(wǎng)絡(luò)分布稍大，無(wú)線接 入點(diǎn)數(shù)量較多的地方，這種現(xiàn)象尤其明顯。就目前來(lái)看，尚沒(méi)有特別有效的保護(hù)無(wú)線網(wǎng)絡(luò)資 源被盜用的方法出現(xiàn)。

發(fā)明內(nèi)容
本發(fā)明目的在于提供一種無(wú)線接入點(diǎn)保護(hù)合法用戶接入的方法，解決了現(xiàn)有技術(shù) 中合法用戶網(wǎng)絡(luò)資源被盜用，網(wǎng)絡(luò)質(zhì)量下降等問(wèn)題。為了解決現(xiàn)有技術(shù)中的這些問(wèn)題，本發(fā)明提供的技術(shù)方案是—種無(wú)線接入點(diǎn)保護(hù)合法用戶接入的方法，其特征在于所述方法包括無(wú)線接入點(diǎn) 循環(huán)與用戶間傳輸心跳保持幀進(jìn)行用戶認(rèn)證，通過(guò)心跳保持幀的內(nèi)容檢查用戶是否為合法 用戶；當(dāng)用戶合法時(shí)不做處理；當(dāng)用戶不合法或規(guī)定時(shí)間內(nèi)不響應(yīng)心跳保持幀時(shí)強(qiáng)制用戶 下線。優(yōu)選的，所述心跳保持幀包括心跳保持請(qǐng)求幀、心跳保持響應(yīng)幀；所述方法包括以 下步驟步驟Al 無(wú)線接入點(diǎn)向用戶發(fā)送心跳保持請(qǐng)求幀；步驟A2 開(kāi)啟了心跳保持功能的用戶接受心跳保持請(qǐng)求幀后，對(duì)心跳保持請(qǐng)求幀 進(jìn)行識(shí)別，然后將自身信息加密后發(fā)送心跳保持響應(yīng)幀給無(wú)線接入點(diǎn)；步驟A3 無(wú)線接入點(diǎn)收到用戶發(fā)送的心跳保持響應(yīng)幀后，識(shí)別響應(yīng)幀中特定標(biāo) 識(shí)，并根據(jù)用戶信息是否符合作出處理當(dāng)用戶信息符合時(shí)不做處理；當(dāng)用戶信息不符合 或用戶在一定時(shí)間內(nèi)未發(fā)送心跳保持響應(yīng)幀，則判定其為掉線或者不能識(shí)別心跳保持請(qǐng)求 幀，強(qiáng)制用戶下線；繼續(xù)循環(huán)。
優(yōu)選的，所述心跳保持請(qǐng)求幀或心跳保持響應(yīng)幀的循環(huán)間隔時(shí)間由用戶指定，可 以是3 15分鐘；所述無(wú)線接入點(diǎn)內(nèi)設(shè)置定時(shí)器，當(dāng)無(wú)線接入點(diǎn)接受到合法用戶的心跳保 持響應(yīng)幀后，定時(shí)器重新計(jì)時(shí)。定時(shí)器的作用在于間隔一定時(shí)間重新驗(yàn)證一次用戶身份，以 保證在驗(yàn)證的循環(huán)性。優(yōu)選的，所述方法中心跳保持請(qǐng)求幀或心跳保持響應(yīng)幀均使用IEEE802. 11標(biāo)準(zhǔn) 的幀格式，且其管理幀字段的子類型采用未被定義的0110或0111作為判別不同的幀類型 的標(biāo)識(shí)。當(dāng)然，這里不僅僅是這兩種子類型，其它的子類型也可以起到作用，如使用類似方 法僅僅更改定義字段。優(yōu)選的，所述心跳保持請(qǐng)求幀采用IEEE 802. 11標(biāo)準(zhǔn)的幀格式，其管理幀字段中 的子類型為未被定義的0110作為判別不同的幀類型的標(biāo)識(shí)來(lái)探測(cè)非法用戶。優(yōu)選的，所述心跳保持響應(yīng)幀采用IEEE 802. 11標(biāo)準(zhǔn)的幀格式，其管理幀字段中 的子類型為未被定義的0111作為判別不同的幀類型的標(biāo)識(shí)來(lái)響應(yīng)無(wú)線接入點(diǎn)的請(qǐng)求。優(yōu)選的，所述心跳保持請(qǐng)求幀將經(jīng)過(guò)加密的標(biāo)識(shí)碼放入IEEE 802. 11管理幀的幀 主體中形成含有加密的、含有特有的標(biāo)識(shí)的請(qǐng)求幀。優(yōu)選的，所述心跳保持請(qǐng)求幀的加密方法是將無(wú)線接入點(diǎn)中現(xiàn)有時(shí)間以及日期， 轉(zhuǎn)換為二進(jìn)制數(shù)，將其插空填入將要發(fā)給的用戶的MAC地址中，之后放入幀主體中，發(fā)送給 用戶，用戶如果能正確識(shí)別此巾貞，則要回送用戶當(dāng)前時(shí)間以及日期的相同計(jì)算結(jié)果，由無(wú)線 接入點(diǎn)判定，如果解密后的時(shí)間在無(wú)線接入點(diǎn)允許的范圍內(nèi)，則判定為用戶合法，否則強(qiáng)制 用戶下線。具體的，該方法中無(wú)線接入點(diǎn)AP可以對(duì)將要接入和已經(jīng)接入的用戶發(fā)送心跳保 持請(qǐng)求幀；如果是合法用戶，用戶STA端需要開(kāi)啟了心跳保持功能，用戶接受到心跳保持請(qǐng) 求幀后可以識(shí)別這種幀，并且將自己的信息加密后發(fā)送心跳保持響應(yīng)幀給無(wú)線接入點(diǎn)AP ； 無(wú)線接入點(diǎn)AP收到用戶STA發(fā)來(lái)的響應(yīng)幀后，判別特定的標(biāo)識(shí)，并檢查用戶信息是否符合， 如果不符合就強(qiáng)制用戶下線，如果符合就不做任何操作。對(duì)于在一定時(shí)間內(nèi)未發(fā)送響應(yīng)幀 的用戶，則判定為掉線或者不能識(shí)別心跳保持請(qǐng)求幀的用戶，強(qiáng)制其下線，從而在無(wú)線接入 點(diǎn)AP端防止非法用戶盜用網(wǎng)絡(luò)資源。本發(fā)明的心跳保持請(qǐng)求幀或心跳保持響應(yīng)幀使用類似于心跳幀或beacon幀的方 式來(lái)防止網(wǎng)絡(luò)被盜用的方法，但是它是區(qū)別于普通心跳幀，特點(diǎn)是間隔時(shí)間較長(zhǎng)，以節(jié)省網(wǎng) 絡(luò)資源。所述含有心跳保持請(qǐng)求幀，其管理幀字段中的子類型為未被定義的0110，以及其 它類似方式如更改定義字段等來(lái)探測(cè)非法用戶等。無(wú)線接入點(diǎn)AP發(fā)送含有經(jīng)過(guò)加密的、含 有特有的標(biāo)識(shí)的幀，其經(jīng)過(guò)加密的標(biāo)識(shí)碼放入IEEE 802. 11管理幀的幀主體(Frame Body) 中。無(wú)線接入點(diǎn)AP發(fā)送的含有經(jīng)過(guò)加密的標(biāo)識(shí)碼的心跳保持請(qǐng)求幀，其加密算法如下將 AP中現(xiàn)有時(shí)間以及日期，轉(zhuǎn)換為二進(jìn)制數(shù)，將其插空填入將要發(fā)給的用戶的MAC地址中，之 后放入幀主體(Frame Body)中，發(fā)送給用戶，用戶如果能正確識(shí)別此幀，則要回送用戶當(dāng)前 時(shí)間以及日期的相同計(jì)算結(jié)果，由AP判定，如果解密后的時(shí)間在AP允許的范圍內(nèi)，則判定 為用戶合法，否則強(qiáng)制用戶下線。相對(duì)于現(xiàn)有技術(shù)中的方案，本發(fā)明的優(yōu)點(diǎn)是1.本發(fā)明技術(shù)方案中通過(guò)無(wú)線接入點(diǎn)與 用戶間傳輸心跳保持幀，可以防止盜用無(wú) 線網(wǎng)絡(luò)，可以有效地防止由于網(wǎng)絡(luò)密碼被破解導(dǎo)致網(wǎng)絡(luò)資源被盜用的情況，極大地改善合法用戶的網(wǎng)絡(luò)狀況和利益。2、本發(fā)明技術(shù)方案可以作為目前所有無(wú)線局域網(wǎng)絡(luò)身份鑒別系統(tǒng)的補(bǔ)充，極大的 改善了目前廣泛存在的WEP以及WPA等傳統(tǒng)加密方式密碼被破解造成網(wǎng)絡(luò)資源被盜用的情 況，特別適用于對(duì)無(wú)線網(wǎng)絡(luò)安全要求高的環(huán)境中。在應(yīng)用了此發(fā)明的無(wú)線接入點(diǎn)中，即使網(wǎng) 絡(luò)密碼被破解，由于進(jìn)行破解的人不能發(fā)送經(jīng)過(guò)加密的心跳保持響應(yīng)幀，從而導(dǎo)致AP對(duì)不 能發(fā)送心跳保持響應(yīng)幀的用戶采取強(qiáng)制下線措施，從而阻止了網(wǎng)絡(luò)資源被盜用的情況。


下面結(jié)合附圖及實(shí)施例對(duì)本發(fā)明作進(jìn)一步描述圖1為AP與STA基本網(wǎng)絡(luò)結(jié)構(gòu)圖；圖2為本發(fā)明的實(shí)施例的流程圖；圖3為本發(fā)明的實(shí)施例使用的幀結(jié)構(gòu)。
具體實(shí)施例方式以下結(jié)合具體實(shí)施例對(duì)上述方案做進(jìn)一步說(shuō)明。應(yīng)理解，這些實(shí)施例是用于說(shuō)明 本發(fā)明而不限于限制本發(fā)明的范圍。實(shí)施例中采用的實(shí)施條件可以根據(jù)具體廠家的條件做 進(jìn)一步調(diào)整，未注明的實(shí)施條件通常為常規(guī)技術(shù)中的條件。實(shí)施例如圖2所示，為該無(wú)線接入點(diǎn)保護(hù)合法用戶接入的方法的示意圖；在使用 此方法前，網(wǎng)絡(luò)管理者要先開(kāi)啟用戶以及無(wú)線接入點(diǎn)的網(wǎng)絡(luò)保護(hù)選項(xiàng)，確定要使用此種保 護(hù)方法。用戶和無(wú)線接入點(diǎn)之間的專有加密保護(hù)通信采用IEEE 802. 11標(biāo)準(zhǔn)的幀結(jié)構(gòu)， 如圖3所示。根據(jù)管理幀(Frame Control)字段中的子類型(Sub type)可以區(qū)分普通 的幀和本實(shí)施例的心跳保持請(qǐng)求幀，幀的其余部分基本相同。在普通幀中，管理幀(Frame Control)字段的子類型(Sub type) 0110未被定義，本實(shí)施例的用戶和無(wú)線接入點(diǎn)之間的 心跳保持所用的幀正是采用了這個(gè)未被定義的子類型，具體為首先，AP依照定時(shí)器的設(shè)計(jì)，按照一定順序向?qū)⒁尤牒鸵呀?jīng)接入的用戶發(fā)送 特有的心跳保持請(qǐng)求幀，采用IEEE 802. 11幀的管理幀字段中的子類型采用未被定義的 0110，此心跳保持請(qǐng)求幀同普通的心跳幀幀原理相同，僅子類型定義不同，用于區(qū)別普通心 跳幀，且每隔一定時(shí)間(如5 10分鐘)就發(fā)送一次心跳保持請(qǐng)求幀。幀格式如圖3所示。然后，用戶使用特定的無(wú)線網(wǎng)卡可以識(shí)別這種幀，并提供自己相應(yīng)的信息，經(jīng)過(guò)加 密后放入響應(yīng)幀中，采用管理幀(Frame Control)字段未被定義的子類型(Sub type)0111 作為心跳響應(yīng)幀發(fā)送給AP。接著，AP在收到用戶回應(yīng)的響應(yīng)幀后，經(jīng)過(guò)解密對(duì)所攜帶的信息進(jìn)行比對(duì)，如果符 合則不干擾正常的用戶上網(wǎng)，不做任何動(dòng)作，并重置計(jì)時(shí)器，等待下一個(gè)心跳周期。如果未 收到心跳響應(yīng)幀，則重發(fā)，并啟動(dòng)計(jì)數(shù)器，如果計(jì)數(shù)達(dá)到一定數(shù)量且仍未收到心跳響應(yīng)幀， 則判定用戶不符合要求或者用戶已經(jīng)下線，執(zhí)行強(qiáng)制下線操作?！?02.11無(wú)線網(wǎng)絡(luò)權(quán)威指南》中提到，IEEE 802. 11的網(wǎng)絡(luò)發(fā)展中，STA和AP之 間存在三個(gè)階段第一階段，未經(jīng)認(rèn)證且尚未關(guān)聯(lián)狀態(tài)；第二階段，已經(jīng)認(rèn)證但尚未關(guān)聯(lián)狀 態(tài)；第三階段，已經(jīng)認(rèn)證且已經(jīng)關(guān)聯(lián)狀態(tài)。本實(shí)施例中的AP向用戶發(fā)送特有的心跳保持請(qǐng)求幀，會(huì)出現(xiàn)在這三個(gè)階段的任何一個(gè)階段。無(wú)線接入點(diǎn)向用戶發(fā)送心跳保持請(qǐng)求幀；開(kāi)啟了心跳保持功能的用戶接受心跳保 持請(qǐng)求幀后，對(duì)心跳保持請(qǐng)求幀進(jìn)行識(shí)別，然后將自身信息加密后發(fā)送心跳保持響應(yīng)幀給 無(wú)線接入點(diǎn)；無(wú)線接入點(diǎn)收到用戶發(fā)送的心跳保持響應(yīng)幀后，識(shí)別響應(yīng)幀中特定標(biāo)識(shí)，并檢 查用戶信息是否符合；當(dāng)用戶信息符合時(shí)不做處理；當(dāng)用戶信息不符合時(shí)強(qiáng)制用戶下線。 在一定時(shí)間內(nèi)未發(fā)送心跳保持響應(yīng)幀的用戶，則判定其為掉線或者不能識(shí)別心跳保持請(qǐng)求 幀的用戶，強(qiáng)制其下線。其中心跳保持請(qǐng)求幀的加密方法具體如下AP側(cè)首先發(fā)起心跳保持請(qǐng)求幀，其中 首先取得AP當(dāng)前的日期與時(shí)間如2月14日11點(diǎn)10分，則為02141110將其轉(zhuǎn)化為二進(jìn)制 數(shù)0，10，1，100，1，1，1，0·組合起來(lái)就是01011001110，將其中每位插入到MAC地址的偶數(shù)位 中，如將0放置于MAC地址的第二位，1放置于MAC地址的第四位......這樣日期時(shí)間就和
MAC地址結(jié)合在一起了。當(dāng)用戶收到AP發(fā)來(lái)的心跳保持請(qǐng)求幀后，提取其中的日期，加上自己的時(shí)間以同 樣的方式組合，發(fā)送給AP。AP收到之后，檢驗(yàn)日期是否一致，時(shí)間是否在所允許的范圍內(nèi)，如果正常則不作任 何操作，如果不正常則強(qiáng)制用戶下線并列入黑名單，在一定時(shí)間內(nèi)(如10分鐘)不允許再 次驗(yàn)證。如果AP沒(méi)有收到任何響應(yīng)，則重發(fā)心跳保持請(qǐng)求幀，在一定次數(shù)之后(如10次)， 則判定此用戶不符合接入標(biāo)準(zhǔn)或者已經(jīng)掉線，強(qiáng)制其下線。通過(guò)本實(shí)施例的方法以及通過(guò)設(shè)計(jì)心跳保持請(qǐng)求幀和加密標(biāo)識(shí)包的握手行為，可 以有效用來(lái)防止普通身份驗(yàn)證的密碼被破解從而造成網(wǎng)絡(luò)資源被盜用的情況。上述實(shí)例只為說(shuō)明本發(fā)明的技術(shù)構(gòu)思及特點(diǎn)，其目的在于讓熟悉此項(xiàng)技術(shù)的人是 能夠了解本發(fā)明的內(nèi)容并據(jù)以實(shí)施，并不能以此限制本發(fā)明的保護(hù)范圍。凡根據(jù)本發(fā)明精 神實(shí)質(zhì)所做的等效變換或修飾，都應(yīng)涵蓋在本發(fā)明的保護(hù)范圍之內(nèi)。
權(quán)利要求
一種無(wú)線接入點(diǎn)保護(hù)合法用戶接入的方法，其特征在于所述方法包括無(wú)線接入點(diǎn)循環(huán)與用戶間傳輸心跳保持幀進(jìn)行用戶認(rèn)證，通過(guò)心跳保持幀的內(nèi)容檢查用戶是否為合法用戶；當(dāng)用戶合法時(shí)不做處理；當(dāng)用戶不合法或規(guī)定時(shí)間內(nèi)不響應(yīng)心跳保持幀時(shí)強(qiáng)制用戶下線。
2.根據(jù)權(quán)利要求1所述的方法，其特征在于所述心跳保持幀包括心跳保持請(qǐng)求幀、心 跳保持響應(yīng)幀；所述方法包括以下步驟步驟Al 無(wú)線接入點(diǎn)向用戶發(fā)送心跳保持請(qǐng)求幀；步驟A2:開(kāi)啟了心跳保持功能的用戶接受心跳保持請(qǐng)求幀后，對(duì)心跳保持請(qǐng)求幀進(jìn)行 識(shí)別，然后將自身信息加密后發(fā)送心跳保持響應(yīng)幀給無(wú)線接入點(diǎn)；步驟A3 無(wú)線接入點(diǎn)收到用戶發(fā)送的心跳保持響應(yīng)幀后，識(shí)別響應(yīng)幀中特定標(biāo)識(shí)，并 根據(jù)用戶信息是否符合作出處理當(dāng)用戶信息符合時(shí)不做處理；當(dāng)用戶信息不符合或用戶 在一定時(shí)間內(nèi)未發(fā)送心跳保持響應(yīng)幀，則判定其為掉線或者不能識(shí)別心跳保持請(qǐng)求幀，強(qiáng) 制用戶下線；繼續(xù)循環(huán)。
3.根據(jù)權(quán)利要求2所述的方法，其特征在于所述無(wú)線接入點(diǎn)與用戶傳輸?shù)男奶３謳?的循環(huán)間隔時(shí)間用戶定義；所述無(wú)線接入點(diǎn)內(nèi)設(shè)置定時(shí)器，當(dāng)無(wú)線接入點(diǎn)接受到合法用戶 的心跳保持響應(yīng)幀后，定時(shí)器重新計(jì)時(shí)。
4.根據(jù)權(quán)利要求2所述的方法，其特征在于心跳保持幀使用IEEE802.11標(biāo)準(zhǔn)的幀格 式，且其管理幀字段的子類型為未被定義的OllO或Olll作為判別不同的幀類型的標(biāo)識(shí)。
5.根據(jù)權(quán)利要求4所述的方法，其特征在于所述心跳保持請(qǐng)求幀采用IEEE802. 11標(biāo) 準(zhǔn)的幀格式，其管理幀字段中的子類型為未被定義的0110作為判別不同的幀類型的標(biāo)識(shí) 來(lái)探測(cè)非法用戶。
6.根據(jù)權(quán)利要求4所述的方法，其特征在于所述心跳保持響應(yīng)幀采用IEEE802. 11標(biāo) 準(zhǔn)的幀格式，其管理幀字段中的子類型為未被定義的0111作為判別不同的幀類型的標(biāo)識(shí) 來(lái)響應(yīng)無(wú)線接入點(diǎn)的請(qǐng)求。
7.根據(jù)權(quán)利要求4所述的方法，其特征在于所述心跳保持請(qǐng)求幀將經(jīng)過(guò)加密的標(biāo)識(shí)碼 放入IEEE 802. 11管理幀的幀主體中形成含有加密的、含有特有的標(biāo)識(shí)的請(qǐng)求幀。
8.根據(jù)權(quán)利要求7所述的方法，其特征在于所述心跳保持請(qǐng)求幀的加密方法是將無(wú)線 接入點(diǎn)中現(xiàn)有時(shí)間以及日期，轉(zhuǎn)換為二進(jìn)制數(shù)，將其插空填入將要發(fā)給的用戶的MAC地址 中，之后放入幀主體中，發(fā)送給用戶，用戶如果能正確識(shí)別此幀，則要回送用戶當(dāng)前時(shí)間以 及日期的相同計(jì)算結(jié)果，由無(wú)線接入點(diǎn)判定，如果解密后的時(shí)間在無(wú)線接入點(diǎn)允許的范圍 內(nèi)，則判定為用戶合法，否則強(qiáng)制用戶下線。
全文摘要
本發(fā)明公開(kāi)了一種無(wú)線接入點(diǎn)保護(hù)合法用戶接入的方法，其特征在于所述方法包括以下步驟步驟A1無(wú)線接入點(diǎn)向用戶發(fā)送心跳保持請(qǐng)求幀；步驟A2開(kāi)啟了心跳保持功能的用戶接受心跳保持請(qǐng)求幀后，對(duì)心跳保持請(qǐng)求幀進(jìn)行識(shí)別，然后將自身信息加密后發(fā)送心跳保持響應(yīng)幀給無(wú)線接入點(diǎn)；步驟A3無(wú)線接入點(diǎn)收到用戶發(fā)送的心跳保持響應(yīng)幀后，識(shí)別響應(yīng)幀中特定標(biāo)識(shí)，并根據(jù)用戶信息是否符合作出處理，當(dāng)用戶信息符合時(shí)不做處理；當(dāng)用戶信息不符合時(shí)強(qiáng)制用戶下線，繼續(xù)循環(huán)。該方法可以防止盜用無(wú)線網(wǎng)絡(luò)，可以有效地防止由于網(wǎng)絡(luò)密碼被破解導(dǎo)致網(wǎng)絡(luò)資源被盜用的情況，極大地改善合法用戶的網(wǎng)絡(luò)狀況和利益。
文檔編號(hào)H04W12/02GK101848463SQ201010127538
公開(kāi)日2010年9月29日 申請(qǐng)日期2010年3月16日 優(yōu)先權(quán)日2010年3月16日
發(fā)明者鄧宇, 郝景 申請(qǐng)人:蘇州漢明科技有限公司