專利名稱：一種基于可信度的無線局域網(wǎng)可信接入方法及系統(tǒng)的制作方法
技術(shù)領(lǐng)域：
本發(fā)明涉及接入認證領(lǐng)域，特別是涉及一種基于可信度的無線局域網(wǎng)可信接入方 法及系統(tǒng)。
背景技術(shù)：
可信網(wǎng)絡(luò)連接(Trusted Network Connection, TNC)技術(shù)是建立在可信計算技術(shù) 之上的，其主要目的在于以可信計算提供的終端安全技術(shù)為依托，實現(xiàn)整個網(wǎng)絡(luò)的安全可 信，將信任鏈進一步延伸到整個網(wǎng)絡(luò)中。TNC不是全新的技術(shù)實現(xiàn)，而是綜合現(xiàn)有成熟的網(wǎng) 絡(luò)訪問控制技術(shù)(例如802. lx、IKE、ΕΑΡ、Radius)來實現(xiàn)安全可信的接入控制功能。TNC構(gòu)架的主要目的是通過提供一個由成熟的接入認證協(xié)議和規(guī)范組成的開放性 框架來實現(xiàn)一種普適通用的接入認證技術(shù)，它提供如下功能身份認證與可信驗證用于驗證網(wǎng)絡(luò)訪問請求者身份的合法性，以及平臺的完整 性狀態(tài)。訪問授權(quán)為終端的狀態(tài)建立一個可信級別，例如確認應(yīng)用程序的存在性、狀 態(tài)、升級情況，升級防病毒軟件和IDS的規(guī)則庫的版本，終端操作系統(tǒng)和應(yīng)用程序的補丁級 別等，從而使終端被給予一個訪問網(wǎng)絡(luò)的權(quán)限。評估、隔離及補救通過評估終端的可信狀態(tài)，確保不符合可信策略要求的終端機 能被隔離在可信網(wǎng)絡(luò)之外，如果滿足策略要求則對其執(zhí)行補救操作。TNC提出了實現(xiàn)移動終端入網(wǎng)時可信驗證的總體技術(shù)框架，但在可信接入認證具 體實現(xiàn)機制和移動終端可信狀態(tài)量化分析等方面還有待深入，在可信接入與補救的實現(xiàn)框 架、協(xié)議和流程方面的研究還缺乏對具體網(wǎng)絡(luò)實施方案和細節(jié)的規(guī)范化和標準化，這不利 于可信網(wǎng)絡(luò)產(chǎn)品和設(shè)備的開發(fā)、實現(xiàn)以及互連互通，因此對可信網(wǎng)絡(luò)接入各方面的技術(shù)還 需要通過深入研究不斷細化完善。TNC建議的接入認證協(xié)議IF-T基于EAP(Extensible Authentication Protocol, πΤ ΓΜτΛ Ε^ )，iK^J^t TCP/IP (Transmission Control Protocol/InternetProtocol,傳輸控制協(xié)議/因特網(wǎng)互聯(lián)協(xié)議)層，且使用了 “內(nèi)部”和“外 部”EAP方法，協(xié)議棧結(jié)構(gòu)和分組封裝都比較復(fù)雜。

發(fā)明內(nèi)容
本發(fā)明提供一種基于可信度的無線局域網(wǎng)可信接入方法及系統(tǒng)，用以解決現(xiàn)有技 術(shù)中存在的移動終端在可信接入方面不夠完善的問題。為達上述目的，一方面，本發(fā)明提供一種基于可信度的無線局域網(wǎng)可信接入方法， 所述方法包括以下步驟在移動終端的接入身份認證成功之后，根據(jù)安全參數(shù)設(shè)置計算接入認證系統(tǒng)的接 入門限可信度Ka以及所述移動終端的可信度K ；當所述移動終端的可信度K等于接入門限可信度Ka時，允許所述移動終端接入無 線局域網(wǎng)。
進一步，在移動終端的接入身份認證成功之后，還需計算接入認證系統(tǒng)的補救門 限可信度Kk ；當所述移動終端的可信度K小于補救門限可信度Kk時，不允許所述移動終端接入 無線局域網(wǎng)；當所述移動終端的可信度K大于等于補救門限可信度Kk、且小于其接入門限可信 度Ka時，對所述移動終端進行可信補救，可信補救之后，重新計算其可信度K，進行重新認 證。進一步，所述移動終端的可信度K通過公式(1)計算K = YjW^i(1)
/=1其中，Wi為所述移動終端第i個文件的歸一化權(quán)重值屯為所述移動終端第i個 文件的可信度；η為所述移動終端進行可信接入認證需驗證的文件個數(shù)。進一步，所述移動終端第i個文件的可信度Ici通過公式(2)計算
mK = IwllJcii(2)
戶1其中，Wu為所述移動終端第i個文件中第j個屬性的可信權(quán)重；ku為所述移動終 端第i個文件中第j個屬性的可信度；m為所述移動終端第i個文件中需驗證的屬性個數(shù)。進一步，當所述移動終端第i個文件中第j個屬性通過可信驗證時，k.j通過公式 ⑶計算= δ ^(1-δ ^ Xsij (3)其中，δ i為所述移動終端第i個文件的可信度先驗值；su為所述移動終端第i個 文件中屬性j的驗證成功系數(shù)。進一步，當所述移動終端第i個文件中第j個屬性沒有通過可信驗證時，k.j通過 公式⑷計算= (1-fij) XSi (4)其中，δ i為所述移動終端第i個文件的可信度先驗值為所述移動終端第i個 文件中屬性j的驗證失敗系數(shù)。進一步，當所屬移動終端進行可信接入認證時需驗證的所有文件的所有屬性都通 過可信驗證時，根據(jù)公式(1) (2) (3)計算出的K值就是KA。進一步，所述移動終端通過可信認證協(xié)議與可信服務(wù)器進行通信，進行可信認 證；所述可信認證協(xié)議的分組格式包括代碼、標識符、長度1、類型、標志域、版本、長 度2、屬性、長度3。進一步，所述移動終端與可信補救服務(wù)器需通過補救協(xié)議進行通信；所述補救協(xié)議的分組格式包括消息類型、長度、補救ID、可信度、資源定位碼其 中，資源定位碼包括相對定位碼和全局定位碼。另一方面，本發(fā)明還提供一種基于可信度的無線局域網(wǎng)可信接入系統(tǒng)，包括移動 終端和無線可信接入點，所述系統(tǒng)包括可信接入服務(wù)器，用于在移動終端的接入身份認證成功之后，計算所述移動終端的可信度K和接入認證系統(tǒng)的接入門限可信度Ka和補救門限可信度Kk ；并根據(jù)K、KA和Κκ， 判定是否允許所述移動終端接入無線局域網(wǎng)；可信補救服務(wù)器，用于當K大于等于Kk、且小于Ka時，對所述移動終端進行補救操 作，以提高其可信度。本發(fā)明有益效果如下本發(fā)明提出的可信接入方法，有利于對移動終端的入網(wǎng)進行安全控制；在認證過 程中實現(xiàn)了對移動終端可信狀態(tài)信息的量化評估，并且針對不同的可信度實施不同的處理 機制，認證粒度更細，便于實際應(yīng)用；另外，本發(fā)明實施無需對現(xiàn)有設(shè)備進行較大的改動，實 施和部署都比較方便。


圖1為本發(fā)明實施例一種基于可信度的無線局域網(wǎng)可信接入方法的流程圖；圖2為本發(fā)明實施例可信認證協(xié)議分組格式圖；圖3為本發(fā)明實施例可信認證協(xié)議封裝圖；圖4為本發(fā)明實施例可信接入認證流程圖；圖5為本發(fā)明實施例補救協(xié)議分組格式圖；圖6為本發(fā)明實施例可信補救協(xié)義分組在EAP分組中的封裝圖；圖7為本發(fā)明實施例可信補救流程圖；圖8為本發(fā)明實施例基于可信度的無線局域網(wǎng)可信接入系統(tǒng)組成圖。
具體實施例方式以下結(jié)合附圖以及實施例，對本發(fā)明進行進一步詳細說明。應(yīng)當理解，此處所描述 的具體實施例僅僅用以解釋本發(fā)明，并不限定本發(fā)明。如圖1所示，本發(fā)明實施例涉及一種基于可信度的無線局域網(wǎng)可信接入方法，具 體包括以下步驟第一步，進行基于證書的雙向身份認證無線可信接入點依據(jù)移動終端(用戶)所 持有的能證明其身份的數(shù)字證書，對接入網(wǎng)絡(luò)用戶的身份進行認證；本步驟可以基于現(xiàn)有 身份認證技術(shù)中的任意一種進行身份認證。第二步，認證結(jié)果判決根據(jù)第一步身份認證的結(jié)果，決定用戶是否可以繼續(xù)完成 后續(xù)認證流程；如果認證成功，則轉(zhuǎn)第三步，如果認證失敗，則不允許移動終端接入無線局 域網(wǎng)。第三步，可信度計算計算移動終端可信度K，以及接入認證系統(tǒng)的接入門限可信 度Ka和補救門限可信度Κκ。第四步，可信度判決根據(jù)可信度K、補救門限可信度Kk和接入門限可信度Ka進行 判決，以決定是否允許終端接入無線局域網(wǎng)或進行可信補救。當K等于Ka時，則允許移動終 端接入無線局域網(wǎng)；當K小于Kk時，則不允許移動終端接入無線局域網(wǎng)；當Κκ<Κ<ΚΑ時， 則轉(zhuǎn)步驟五。第五步，可信補救對符合補救條件(Kk < K < K)的移動終端進行隔離補救。補 救后再重新進行可信認證。
下面對以上各步驟進行詳細的描述由于移動終端進行可信接入認證時會與接入認證服務(wù)器進行信息交互，需要設(shè)計 可信認證協(xié)議，下面，首先介紹本發(fā)明設(shè)計的可信認證協(xié)議。可信認證協(xié)議分組格式如圖2所示，各個組成部分如下代碼0x01表示請求(Request) ；0x02表示響應(yīng)(Response) ；0x03表示成功 (Success) ；0x04 表示失敗(Failure)；標識符用來匹配請求和響應(yīng)的標識，是一個隨機數(shù)；長度1 表示整個分組的長度；類型0xFF，自定義類型，區(qū)別于其他已有的EAP類型；標志域F置1表示該分組是承載分片數(shù)據(jù)的第一個分片；M置1表示該分組有后 續(xù)分片；N置1表示支持EAP-TNC中定義的Diffie-Hellman預(yù)協(xié)商；版本協(xié)議版本，為00001 ；長度2 表示數(shù)據(jù)分片前的總長度，當F置1時該域才存在；屬性0χ01表示數(shù)字證書；0x02表示隨機數(shù)；0x03表示可信狀態(tài)信息(文件及屬 性)；0x04表示可信度。最多可以擴展支持256種不同類型的用戶數(shù)據(jù)；長度3:表示數(shù)據(jù)域長度?？尚沤尤?yún)f(xié)議由EAPoL封裝后，再由數(shù)據(jù)鏈路層幀封裝并傳輸，協(xié)議封裝如圖3所
7J\ ο可信接入認證流程如圖5所示，圖5中，C表示移動終端，S表示可信接入服務(wù)器， E表示無線可信接入點，PK表示公鑰，SK表示私鑰，Cert表示可信第三方簽發(fā)的證書，R表 示時間相關(guān)的隨機數(shù)，T表示文件的可信狀態(tài)信息，K。表示接入請求點C的可信度?？尚沤?入認證流程具體步驟如下步驟1，C — E =EAPoL-Start, C發(fā)起初始化連接請求；步驟2，E — C =EAP-Req, E向C請求身份證書以證明其合法性；步驟3，C — E {Certc+RJPKS，S的公鑰加密Certc保證機密性，即除S以外其他的 C均無法獲得Certc的明文，R1防止S端的重放攻擊；E — S 認證請求 1，E 轉(zhuǎn)發(fā)(Cert^R1IPKs ；步驟4，S解密出Certc并驗證其合法性；步驟5，S — E {R^Ts+Rj SKs, S的私鑰簽名Ts保證其完整性以及身份的可證明性， C通過R1識別該分組是否是被重放，R2防止C端的重放攻擊；E — C =EAP-Req, E 轉(zhuǎn)發(fā){^+Ts+Rj SKs 并請求 Tc ；步驟6，C對S的身份進行驗證并解密出Ts對S的可信狀態(tài)進行驗證；步驟7，C — E {R2+Tc} SKc, C的私鑰簽名Tc保證其完整性以及身份的可證明性，S 通過R2識別該分組是否是被重放的；E — S 認證請求 2，E 轉(zhuǎn)發(fā){R2+Tc} SKc ；步驟8，S驗證C的身份并解密出Tc并計算出Kc，對C的可信狀態(tài)和可信度進行驗 證。若驗證后的可信度未達到接入可信度的要求，即K。< Ka,但C具備合法的補救權(quán)限即 Kc < Ke,則S通知C和E執(zhí)行補救操作，若身份認證未通過則支持拒絕C接入；步驟9，S — E :Access-Accept+KC,可信認證成功，允許接入并發(fā)送可信度信息；
步驟10，E — C :EAP-Success+KC,認證成功，E開放端口允許C接入網(wǎng)絡(luò)；步驟11，C ―― E 通信過程與數(shù)據(jù)收發(fā)；步驟12，C — E =EAPoL-Logoff，退出請求，E收到后將端口狀態(tài)改變?yōu)檎J證態(tài)。步驟4、6、8共同實現(xiàn)了 C與S之間身份信息和可信狀態(tài)信息的雙向驗證。而在步 驟8中，S不僅對所要求的TC進行定性判決，還對根據(jù)可信狀態(tài)計算出的可信度K進行驗 證。例如，若Ka為90%，Kk為60%，而實際驗證后的K為85%，則需要實施適當?shù)难a救措 施，然后重新進行可信認證。步驟8中，可信度的計算通過以下步驟移動終端一般來說，包含有多個文件，每個文件又具備各種不同的屬性，比如版本 號、日期、大小、簽名、概要、Hash值等。有時候，文件的屬性可能會被修改，會造成安全問題。 因此，需要通過綜合文件各部分屬性的完整性驗證結(jié)果，判斷文件的可信程度。不同屬性對 于文件可信程度的影響各不相同，因此可以對其賦予不同的權(quán)重，并通過加權(quán)求和的方法 來計算文件可信度。為了使其能更客觀的反應(yīng)文件受信任的狀態(tài)，采用不確定性思想的理論，基于模 糊化處理方法提出一種文件可信度算法。影響文件可信度k的因素包括可信度先驗值δ、 可信驗證系數(shù)s和f、可信權(quán)重ι若用、表示第i個文件中第個j屬性被驗證后獲得的 可信度，Sij和、分別表示第i個文件中第j個屬性的驗證成功系數(shù)和失敗系數(shù)，Wu為第i 個文件中第j個屬性的可信權(quán)重，而S i是第i個文件的可信度先驗值。su、fu、Si*、 可以根據(jù)經(jīng)驗值獲得，也可以給出數(shù)值后，再通過有限次的反復(fù)對比和調(diào)整，以獲得合適的
m
數(shù)值，且Σ>,/ = 1，
7=1則當移動終端的第i個文件中第j個屬性通過可信驗證時，k.j計算公式為= δ ^(1-δ ^ Xsij (1)當移動終端的第i個文件中第j個屬性未通過可信驗證時，k.j計算公式為= (1-fij) X δ j (2)每個文件的每個屬性都有一個預(yù)期值，即被認為安全可信的值。而文件又有可能 被修改，因此，判斷移動終端的第i個文件中第j個屬性是否通過可信驗證，就是判斷移動 終端的第i個文件中第j個屬性是否與預(yù)期值一致，如果一致，則通過可信驗證，如果不一 致，則未通過可信驗證。若移動終端的第i個文件總共被驗證了 m種屬性，則文件i最終的可信度Iii為
m眾,二Σ wA(3)
7=1例如，同樣選取版本號、日期、大小、簽名、概要信息、核心代碼Hash值作為某文件 i需要驗證的屬性值，將可信度先驗值δ i設(shè)為0. 6，各屬性的權(quán)重分配和可信驗證系數(shù)配 置可如表1所示表 1
屬性j驗證成功系數(shù)(Sij)驗證失敗系數(shù)(fij)可信權(quán)重(Wu)
8
權(quán)利要求
一種基于可信度的無線局域網(wǎng)可信接入方法，其特征在于，所述方法包括以下步驟在移動終端的接入身份認證成功之后，根據(jù)安全參數(shù)設(shè)置計算接入認證系統(tǒng)的接入門限可信度KA以及所述移動終端的可信度K；當所述移動終端的可信度K等于接入門限可信度KA時，允許所述移動終端接入無線局域網(wǎng)。
2.如權(quán)利要求1所述基于可信度的無線局域網(wǎng)可信接入方法，其特征在于，在移動終 端的接入身份認證成功之后，還需計算接入認證系統(tǒng)的補救門限可信度Kk ；當所述移動終端的可信度K小于補救門限可信度Kk時，不允許所述移動終端接入無線 局域網(wǎng)；當所述移動終端的可信度K大于等于補救門限可信度Kk、且小于接入門限可信度Ka時， 對所述移動終端進行可信補救，可信補救之后，重新計算其可信度K，進行重新認證。
3.如權(quán)利要求1所述基于可信度的無線局域網(wǎng)可信接入方法，其特征在于，所述移動 終端的可信度K通過公式(1)計算K =(ι)/=1其中，Wi為所述移動終端第i個文件的歸一化權(quán)重值；ki為所述移動終端第i個文件 的可信度；η為所述移動終端進行可信接入認證需驗證的文件個數(shù)。
4.如權(quán)利要求3所述基于可信度的無線局域網(wǎng)可信接入方法，其特征在于，所述移動 終端第i個文件的可信度&通過公式(2)計算mk> =Yuwvkn(2)7=1其中，Wu為所述移動終端第i個文件中第j個屬性的可信權(quán)重；ku為所述移動終端第 i個文件中第j個屬性的可信度；m為所述移動終端第i個文件需驗證的屬性個數(shù)。
5.如權(quán)利要求4所述基于可信度的無線局域網(wǎng)可信接入方法，其特征在于，當所述移 動終端第i個文件中第j個屬性通過可信驗證時，k.j通過公式(3)計算= S^(I-Si)Xsij (3)其中，S i為所述移動終端第i個文件的可信度先驗值為所述移動終端第i個文件 中屬性j的驗證成功系數(shù)。
6.如權(quán)利要求4所述基于可信度的無線局域網(wǎng)可信接入方法，其特征在于，當所述移 動終端第i個文件中第j個屬性沒有通過可信驗證時，k.j通過公式(4)計算kjj = (Hij) X δ, (4)其中，S i為所述移動終端第i個文件的可信度先驗值為所述移動終端第i個文件 中屬性j的驗證失敗系數(shù)。
7.如權(quán)利要求5所述基于可信度的無線局域網(wǎng)可信接入方法，其特征在于，當所屬移 動終端進行可信接入認證時需驗證的所有文件的所有屬性都通過可信驗證時，根據(jù)公式 (1) (2) (3)計算出的K值就是Ka。
8.如權(quán)利要求1所述基于可信度的無線局域網(wǎng)可信接入方法，其特征在于，所述移動 終端通過可信認證協(xié)議與可信服務(wù)器進行通信，進行可信認證；2所述可信認證協(xié)議的分組格式包括代碼、標識符、長度1、類型、標志域、版本、長度2、 屬性、長度3。
9.如權(quán)利要求2所述基于可信度的無線局域網(wǎng)可信接入方法，其特征在于，所述移動 終端與可信補救服務(wù)器需通過補救協(xié)議進行通信；所述補救協(xié)議的分組格式包括消息類型、長度、補救ID、可信度、資源定位碼其中， 資源定位碼包括相對定位碼和全局定位碼。
10.一種基于可信度的無線局域網(wǎng)可信接入系統(tǒng)，包括移動終端和無線可信接入點，其 特征在于，所述系統(tǒng)包括可信接入服務(wù)器，用于在移動終端的接入身份認證成功之后，計算所述移動終端的可 信度K和接入認證系統(tǒng)的接入門限可信度Ka和補救門限可信度Kk ；并根據(jù)1(、1和Kk，判定 是否允許所述移動終端接入無線局域網(wǎng)；可信補救服務(wù)器，用于當K大于等于Kk、且小于Ka時，對所述移動終端進行補救操作， 以提高其可信度。
全文摘要
本發(fā)明公開了一種基于可信度的無線局域網(wǎng)可信接入方法及系統(tǒng)，所述方法包括以下步驟在移動終端的身份認證成功之后，根據(jù)安全參數(shù)設(shè)置計算接入認證系統(tǒng)的接入門限可信度KA以及所述移動終端的可信度K；當所述移動終端的可信度K等于接入門限可信度KA時，允許所述移動終端接入無線局域網(wǎng)。本發(fā)明提出的可信接入方法，有利于對移動終端的入網(wǎng)進行安全控制；在認證過程中實現(xiàn)了對移動終端可信狀態(tài)信息的量化評估，并且針對不同的可信度實施不同的處理機制，認證粒度更細，便于實際應(yīng)用；另外，本發(fā)明實施無需對現(xiàn)有設(shè)備進行較大的改動，實施和部署都比較方便。
文檔編號H04W12/06GK101951607SQ201010506789
公開日2011年1月19日 申請日期2010年10月14日 優(yōu)先權(quán)日2010年10月14日
發(fā)明者張劍, 曾夢岐, 肖毅, 鄧永暉 申請人:中國電子科技集團公司第三十研究所