專利名稱：用于eap擴展(eap-ext)的eap方法
技術(shù)領(lǐng)域：
本申請涉及無線連網(wǎng)，并且在一些優(yōu)選實施例中，涉及用于對對端與 服務器之間的一致性而驗證的信道綁定參數(shù)的系統(tǒng)和方法。
背景技術(shù)：
網(wǎng)絡(luò)和互聯(lián)網(wǎng)協(xié)議
存在很多類型的計算機網(wǎng)絡(luò)，以互聯(lián)網(wǎng)具有最為有名?；ヂ?lián)網(wǎng)是計算 機網(wǎng)絡(luò)的世界性的網(wǎng)絡(luò)。如今，互聯(lián)網(wǎng)成為了對于幾百萬個用戶可用的公 共和自立的網(wǎng)絡(luò)?；ヂ?lián)網(wǎng)使用被稱為TCP/IP (即傳輸控制協(xié)議/互聯(lián)網(wǎng)協(xié) 議)的通信協(xié)議的集合來連接主機。互聯(lián)網(wǎng)具有被稱為互聯(lián)網(wǎng)骨干的通信 架構(gòu)。對互聯(lián)網(wǎng)骨干的接入極大地受控于互聯(lián)網(wǎng)服務提供商(ISP),他們 把接入轉(zhuǎn)售給公司和個人。
關(guān)于IP(互聯(lián)網(wǎng)協(xié)議)，這是一種可以在網(wǎng)絡(luò)上將數(shù)據(jù)從一個設(shè)備(例 如電話，PDA[個人數(shù)字助理卜計算機等等)發(fā)送給另一設(shè)備的協(xié)議。如 今存在各種版本的IP，包括IPv4、 IPv6等等。網(wǎng)絡(luò)上的每一主機設(shè)備具 有至少一個IP地址，這是其自身唯一標識符。
IP是一種無連接協(xié)議。在通信期間在端點之間的連接不是連續(xù)的。當 用戶發(fā)送或者接收數(shù)據(jù)或消息時，數(shù)據(jù)或消息被劃分為被稱為分組的成分。 每個分組被看作數(shù)據(jù)的獨立單元。
為了對在互聯(lián)網(wǎng)之類的網(wǎng)絡(luò)上的點之間的傳輸進行標準化，建立了 OSI (開放系統(tǒng)互連)模型。OSI模型將在網(wǎng)絡(luò)中兩個點之間的通信處理 劃分為七個堆棧層，每一層添加其自身的功能的集合。每一設(shè)備處理消息， 從而在發(fā)送端點處存在通過每一層的下游流，而在接收端點處存在通過多
層的上游流。提供七層功能的程序和/或硬件典型地是設(shè)備操作系統(tǒng)、應用
軟件、TCP/IP和/或其它傳送協(xié)議和/或網(wǎng)絡(luò)協(xié)議以及其它軟件和硬件的結(jié) 合。
典型地，當從用戶傳遞消息或者將消息傳遞給用戶時，使用上面四層， 而當將消息傳遞通過設(shè)備(例如IP主機設(shè)備)時使用下面三層。IP主機 是能夠發(fā)送并且接收IP分組的網(wǎng)絡(luò)上的任意設(shè)備，例如服務器、路由器或 工作站。目的地是一些其它主機的消息并不向上傳遞到上層，而是4皮轉(zhuǎn)發(fā) 給其它主機。在OSI和其它相似模型中，IP處于層3，網(wǎng)絡(luò)層。
無線網(wǎng)絡(luò)
無線網(wǎng)絡(luò)可以包括各種類型的移動設(shè)備，例如蜂窩電話和無線電話、PC (個人計算機)、膝上型計算機、可佩戴的計算機、無繩電話、尋呼機、 手機、打印機、PDA等等。例如，移動設(shè)備可以包括數(shù)字系統(tǒng)，用于確保 語音和/或數(shù)據(jù)的快速無線傳輸。典型的移動設(shè)備包括以下組件中的一些或 全部收發(fā)器(即發(fā)射機和接收機)，包括例如具有集成發(fā)射機、接收機 以及4艮據(jù)期望的其它功能的單芯片收發(fā)器；天線；處理器； 一個或多個音 頻變換器(例如用于音頻通信的設(shè)備中的揚聲器或麥克風)；電磁數(shù)據(jù)存 儲單元(比如例如ROM、 RAM、數(shù)字數(shù)據(jù)存儲單元等等，例如在提供數(shù) 據(jù)處理的設(shè)備中)；存儲器；閃速存儲器；完全芯片或集成電路；接口 (比 如例如USB、 CODEC、 UART、 PCM等等)；和/或諸如此類。
對于無線通1言，可以采用無線LAN (WLAN)，在無線LAN中，移 動用戶可以通過無線連接而連接到局域網(wǎng)(LAN)。無線通信可以包括例 如經(jīng)由電磁波(例如光、紅外線、無線電、微波)傳播的通信。當前存在 各種類型的WLAN標準，比如例如藍牙、IEEE 802.11以及家庭RF。
通過示例，可以使用藍牙產(chǎn)品來提供移動計算機、移動電話、便攜式 手持設(shè)備、個人數(shù)字助理(PDA)以及其它移動設(shè)備之間的鏈路，以及對 互聯(lián)網(wǎng)的連接性。藍牙是一種計算和電信產(chǎn)業(yè)規(guī)范，其詳述了移動設(shè)備可 以如何使用短距離無線連接而容易地彼此連接，并且與非移動設(shè)備連接。 藍牙創(chuàng)建了數(shù)字無線協(xié)議，以解決從需要保持數(shù)據(jù)從一個設(shè)備到另 一設(shè)備
被同步并且一致的各個移動設(shè)備的衍生所出現(xiàn)的端用戶問題，由此允許來 自不同商販的設(shè)備一起無縫地運作?？梢愿鶕?jù)公共命名概念來命名藍牙設(shè)
備。例如，藍牙設(shè)備可以擁有藍牙設(shè)備名稱(BDN)或與唯一藍牙設(shè)備地 址(BDA)關(guān)聯(lián)的名稱。藍牙設(shè)備還可以加入互聯(lián)網(wǎng)協(xié)議(IP)網(wǎng)絡(luò)。如 果藍牙設(shè)備運行在IP網(wǎng)絡(luò)上，則可以將IP地址和IP (網(wǎng)絡(luò))名稱提供給 它。因此，被配置為加入IP網(wǎng)絡(luò)的藍牙設(shè)備可以包含例如BDN、 BDA、 IP地址和IP名稱。術(shù)語"IP名稱，，指的是與接口的IP地址對應的名稱。
IEEE標準、IEEE 802.11指定了用于無線LAN和設(shè)備的技術(shù)。使用 802.11，可以采用支持幾個設(shè)備的每一個基站來完成無線連網(wǎng)。在一些示 例中，設(shè)備可以預先裝配有無線硬件，或者用戶可以安裝分離的硬件(例 如卡)，其可以包括天線。通過示例，無論i殳備是接入點(AP)、移動站 (STA)、網(wǎng)橋、PCMCIA卡還是另一設(shè)備，在802.11中所使用的設(shè)備典 型地包括三個值得注意的元件無線電收發(fā)器；天線；以及MAC (媒體 接入控制)層，其在網(wǎng)絡(luò)中控制在點之間的分組流。
此外，可以在一些無線網(wǎng)絡(luò)中利用多接口設(shè)備(MID) 。 MID可以包 含兩個獨立的網(wǎng)絡(luò)接口,例如藍牙接口和802.11接口 ，因此允許MID加入 兩個分離的網(wǎng)絡(luò)，并且與藍牙設(shè)備進行接口。 MID可以具有IP地址和與 所述IP地址關(guān)聯(lián)的公共1P (網(wǎng)絡(luò))名稱。
無線網(wǎng)絡(luò)設(shè)備可以包括藍牙設(shè)備、多接口設(shè)備(MID) 、 802.11x設(shè)備 (IEEE 802.11設(shè)備，包括例如802.11a設(shè)備、802.11b設(shè)備和802.11g設(shè) 備)、家庭RF (家庭射頻)設(shè)備、Wi-Fi (無線保真)設(shè)備、GPRS (通 用分組無線電設(shè)備)設(shè)備、3G蜂窩設(shè)備、2.5G蜂窩設(shè)備、GSM(全球移 動通信系統(tǒng))設(shè)備、EDGE (GSM演進的增強數(shù)據(jù))設(shè)備、TDMA類型 (時分多址)設(shè)備、或(包括CDMA2000的)CDMA類型(碼分多址) 設(shè)備，但不限于此。每一網(wǎng)絡(luò)設(shè)備可以包含各種類型的地址，包括IP地址、 藍牙設(shè)備地址、藍牙公共名稱、藍牙IP地址、藍牙IP公共名稱、802.11 IP 地址、802.11 IP 〃>共名稱、或IEEE MAC地址，但不限于jt匕。
無線網(wǎng)絡(luò)還可以包括例如在移動IP (互聯(lián)網(wǎng)協(xié)議)系統(tǒng)、PCS系統(tǒng)以
及其它移動網(wǎng)絡(luò)系統(tǒng)中所發(fā)現(xiàn)的方法和協(xié)議。關(guān)于移動IP，其包括由互聯(lián)
網(wǎng)工程任務組(IETF)所創(chuàng)建的標準通信協(xié)議。釆用移動IP，移動設(shè)備用 戶可以移動穿過網(wǎng)絡(luò)，同時保持曾經(jīng)分配給他們的IP地址。參見請求評注 (RFC) 3344。 NB: RFC是互聯(lián)網(wǎng)工程任務組(IETF)的正式文獻。移 動IP地址增強了互聯(lián)網(wǎng)協(xié)議(IP )，并且添加了用于當連接移動設(shè)備的歸 屬網(wǎng)絡(luò)的外部時將互聯(lián)網(wǎng)業(yè)務轉(zhuǎn)發(fā)給移動設(shè)備的方法。移動IP為每一移動 節(jié)點分配其歸屬網(wǎng)絡(luò)上的歸屬地址以及標識網(wǎng)絡(luò)及其子網(wǎng)內(nèi)的設(shè)備的當前 位置的轉(zhuǎn)交地址(CoA) 當設(shè)備移動到不同的網(wǎng)絡(luò)時，其接收新的轉(zhuǎn)交 地址。歸屬網(wǎng)絡(luò)上的移動代理可以將每一歸屬地址與其轉(zhuǎn)交地址關(guān)聯(lián)。移 動節(jié)點可以使用例如互聯(lián)網(wǎng)控制消息協(xié)議(ICMP)在每次其改變其轉(zhuǎn)交 地址時將綁定更新發(fā)送給歸屬代理。
在基本IP路由(即外部移動IP)中，典型地，路由機制依賴于這樣 的假設(shè)每一網(wǎng)絡(luò)節(jié)點總是具有對例如互聯(lián)網(wǎng)的恒定接附點，并且每一節(jié) 點的IP地址標識其所接附的網(wǎng)絡(luò)鏈路。在該文獻中，術(shù)語"節(jié)點，，包括連接 點，其可以包括例如用于傳輸?shù)闹匦路植键c或端點，并且可以識別、處理 通信并且/或者將其轉(zhuǎn)發(fā)給其它節(jié)點。例如，互聯(lián)網(wǎng)路由器可以查看例如標 識i殳備的網(wǎng)絡(luò)的IP地址前綴等等。于是，在網(wǎng)絡(luò)級，路由器可以查看例如 標識特定子網(wǎng)的比特的集合。于是，在子網(wǎng)級，路由器可以查看例如標識 特定設(shè)備的比特的集合。通過典型的移動IP通信，如果用戶從例如互聯(lián)網(wǎng) 與移動設(shè)備斷開連接，并且嘗試在新的子網(wǎng)處進行重新連接，則設(shè)備必須 被重新配置有新的IP地址、合適的網(wǎng)^^碼和默認路由器。否則，路由協(xié) 議將不能夠正確地交付分組-
獨立于介質(zhì)的預先認證
獨立于介質(zhì)的預先認證(MPA)是一種以移動設(shè)備協(xié)助的安全切換優(yōu) 化方案，其運作在任意鏈路層上，并且釆用任意移動性管理協(xié)議來運作。 通過MPA，移動節(jié)點不僅能夠安全地獲得用于候選目標網(wǎng)絡(luò)(CTN)的 IP地址和其它配置參數(shù)，而且還能夠使用在其實際接附到CTN之前所獲 得的IP地址來發(fā)送并且接收IP分組。這使得移動節(jié)點有可能完成任意移
動性管理協(xié)議的綁定更新，并且在鏈路層處在執(zhí)行切換之前使用新的轉(zhuǎn)交
地址(CoA )。
MPA運作在任意鏈路層上，并且采用任意移動性管理協(xié)議來運作，所 述移動性管理協(xié)議包括移動IPv4、移動IPv6、 MOBIKE、 HIP、 SIP移動 性等等。在MPA中，IEEE 802.11i預先認證的概念被擴展為在較高層運 作，包括用于執(zhí)行以下操作的附加機制從移動對端可以移動至其的網(wǎng)絡(luò) 早期獲取IP地址，以及在移動對端仍然接附到當前網(wǎng)絡(luò)的同時主動切換到 該網(wǎng)絡(luò)。
支持MPA的移動節(jié)點(MN)以認證代理(AA)來啟動預先認證處 理。成功的認證使得PANA認證代理(PAA)能夠建立與AA的安全性關(guān) 聯(lián)。這樣添加到用于安全地執(zhí)行配置協(xié)議以將IP地址和其它配置參數(shù)安全 地交付給移動節(jié)點的配置代理(CA)，以及安全地執(zhí)行隧道管理協(xié)議以建 立對移動節(jié)點的主動切換隧道的接入路由器(AR)。當MN連接到當前 接附點時進行這樣的整個處理。在2006年3月的 "draft-ohba-mobopts國mpa-framework-02.txt，，和2006年10月22日的 "draft誦ohba-mobopts-mpa-framework-03.txt，，中詳細解釋了這種情況，在 此將其公開內(nèi)容引入作為參考。
控制?？蛻魴C對網(wǎng)絡(luò)認證提供了管轄通過強制點的業(yè)務流所需的參數(shù)。需 要一種協(xié)議來承載客戶機和接入網(wǎng)之間的認證方法。
PANA提供用于網(wǎng)洛接入認證方法的鏈路層不可知傳送?？蓴U展認證 協(xié)議(EAP)[以下進一步討論提供了這種認證方法。關(guān)于這點，PANA 承載EAP，EAP可以承載各種認證方法。通過使得能夠在IP之上傳送EAP 的優(yōu)點，使得可以被承載為EAP方法的任意認證方法對于PANA可用， 并且因此使得其對于任意鏈路層技術(shù)可用。
PANA協(xié)議[I-D. ietf-pana-pana承栽接入網(wǎng)中PaC (PANA客戶機) 和PAA ( PANA認證代理)之間的EAP消息。如果PaC是移動設(shè)備，并 且能夠在運行其應用的同時從一個接入網(wǎng)移動到另一接入網(wǎng)，則PaC對于
無縫地執(zhí)行切換而在切換時段期間不惡化應用的性能來說是關(guān)鍵的。當切
換要求PaC在新的接入網(wǎng)中建立與PAA的PANA ^t時，應該盡可能快 速地完成用于建立PANA會話的信令。
PANA協(xié)議運行在客戶機(PaC)與服務器(PAA)之間，以執(zhí)行用 于網(wǎng),入服務的認證和授權(quán)。協(xié)議消息傳送包括一系列請求和響應，可 以由兩個端中的一個來發(fā)起所述一系列請求和響應中的一些。每一消息可 以在有效載荷內(nèi)承載零個或多個AVP。 PANA的主要有效載荷是執(zhí)行認證 的EAP。 PANA幫助PaC和PAA建立EAP會話。
對于進一步的背景信息，參見D. Forsberg， Y. Ohba等人2006年8月 24日的用于承栽網(wǎng)絡(luò)接入的認證的協(xié)議(PANA ) ， IETF的PANA工作 組的互聯(lián)網(wǎng)草案，文獻號draft-ietf-pana-pana-12，在此就像全文引用似的 將其引入作為參考。
EAP:
參照對(以下所引用的)Aboba， RFC3748的引用，闡述了可擴展i人 證協(xié)議(EAP)的示例性方面。EAP是支持多個i人證方法的認證框架。EAP 典型地直接運行在諸如例如點對點(PPP)或IEEE 802的數(shù)據(jù)鏈路層上而 不需要IP。 EAP提供其自身對于副本刪除和重傳的支持，但依賴于下層排 序保證。在EAP自身內(nèi)不支持分段；然而，各個EAP方法可以支持這種 情況。
EAP可以使用在專用鏈路上，并且可以使用在交換電路上，而且可以 使用在有線鏈路以及無線鏈路上。到此為止，已經(jīng)通過經(jīng)由交換電路或使 用PPP的撥號線路連接的主機和路由器來實現(xiàn)了 EAP[RFC1661。也已經(jīng) 通過使用IEEE 802[IEEE-802]的交換機和接入點實現(xiàn)了 EAP。在[IEEE 802.1X]中描述了 IEEE 802有線介質(zhì)上的EAP封裝，在IEEE-802.11i中 描述了 IEEE無線LAN上的封裝。
EAP架構(gòu)的優(yōu)點之一在于其靈活性。EAP用于典型地在認證方請求了 更多信息以確定將要使用的具體認證之后選擇特定認證機制。并非需要認 證方進4亍更新以支持每一新的i人證方法，EAP允i—使用可以實現(xiàn)一些或全
部認證方法后端i人證服務器，其中，認證方充當通路，以用于一些或全部 方法和對端。
在所引用的后一文獻中，無論認證方是否操作為通路，都應用認證方
需求。其中，取決于在何處終止EAP認證，需求按理要么應用于認證方， 要么應用于后端認證服務器，已經(jīng)使用了術(shù)語"EAP服務器"。
EAP被設(shè)計為在網(wǎng)M入認證中使用，其中，IP層連接性可能不可用。 EAP是僅支持傳輸中的(in flight)單個分組的鎖定步驟(lock-step )協(xié)議。 結(jié)果，EAP不能高效地傳送大塊數(shù)據(jù)，這與例如TCP或SCTP的傳送協(xié) 議不同。
雖然EAP提供對重傳的支持，但假設(shè)由下層所提供的排序保證，從而 不支持無序接收。
由于EAP不支持分段和重組，因此生成比最小EAP MTU更大的有效 載荷的EAP認證方法需要提供分段支持。
雖然諸如EAP-TLS的認證方法提供對于分段和重組的支持，但在所 引用的后一文獻中所定義的EAP方法不支持分段和重組。結(jié)果，如果EAP 分組大小超過鏈路的EAP MTU，則這些方法將碰到困難。
EAP認證由服務器(認證方)發(fā)起，而很多認證協(xié)議由客戶機(對端) 發(fā)起。結(jié)果，對于認證算法，添加一個或兩個附加消息(最多一個往返) 以運行在EAP上可能是必須的。
在支持基于證書的認證的情況下，由于證書鏈的分段而導致附加往返 的數(shù)量可能遠遠更大。通常，分段后的EAP分組將需要很多往返來發(fā)送分 段。例如，大小14960字節(jié)的證書鏈將需要十個往返來以1496字節(jié)EAP MTU進行發(fā)送。在EAP運行在經(jīng)歷了明顯分組丟失的下層的情況下，或 者在認證方和認證服務器之間的連接經(jīng)歷了明顯分組丟失的情況下，需要 很多往返的EAP方法可能經(jīng)歷困難。在此情況下，建議使用具有較少往返 的EAP方法。
EAP認證交換如下進行 iUi方發(fā)送附加的請求分組，對端以響應來應答。只要需要，請 求和響應的序列就繼續(xù)。EAP是"鎖定步驟，，協(xié)議，從而除了初始請求之外， 在接收到有效響應之前不能發(fā)送新的請求。認證方負責重傳請求。在合適 數(shù)量的重傳之后，認證方應該結(jié)束EAP對話。當進行重傳時，或者當無法 從對端得到響應時，認證方無需發(fā)送成功分組或失敗分組。對話繼續(xù)，直到認證方不能認證對端(對一個或多個請求的不可 接受的響應)，在此情況下，認證方實現(xiàn)方式需要發(fā)送EAP失敗(代碼4 )。 可選地，認證會話可以繼續(xù)，直到認證方確定已經(jīng)出現(xiàn)成功認證，在此情 況下，認證方需要發(fā)送EAP成功(代碼3) 。 Id。
在其它優(yōu)點之中，EAP協(xié)議可以支持多個認證機制，而無需預先協(xié)商 特定的認證機制。此外，網(wǎng)g入服務器(NAS)設(shè)備(例如交換機或接 入點)無需知道每一認證方法，并且可以充當用于后端認證服務器的通路 代理。對于通路的支持是可選的。^人證方可以i人證本地對端，而同時充當 用于非本地對端和其沒有在本地實現(xiàn)的認證方法的通路。此外，認證方與 后端認證服務器的分離簡化了憑證管理和策略判決處理。
在概念上，EAP實現(xiàn)方式包括以下組件EAP層。EAP層經(jīng)由下層接收并且發(fā)送EAP分組，實現(xiàn)副本檢測 和重傳，并且對出入EAP對端和認證方層的EAP消息進行交付和接收。
cl EAP對端和認證方層?；诖a字段，EAP層將到來的EAP分組 解復用到EAP對端和認證方層。典型地，給定主機上的EAP實現(xiàn)方式將 要么支持對端功能，要么支持認證方功能，但主機有可能既充當EAP對端 又充當認證方。在這種實現(xiàn)方式中，將既出現(xiàn)EAP對端層又出現(xiàn)認證方層。 EAP方法層。EAP方法實現(xiàn)了認證算法，并且經(jīng)由EAP對端和認 證方層接收并且發(fā)送EAP消息。由于EAP自身不提供分段支持，因此分 段是EAP方法的職責。Id。
稍后引用的參考闡述了以下定義，其在此被引用以用于參考。
認證方
發(fā)起EAP認證的鏈路的一端。術(shù)語認證方使用在[IEEE-802.1XI中， 并且具有與該文獻中相似的含義。 對端
對認證方進行響應的鏈路的一端。在IEEE-802.1X]中，這個端被稱為 懇求方。
后端認證服務器
后端認證服務器是將認證服務提供給認證方的實體。當使用時，這個 服務器典型地執(zhí)行用于認證方的EAP方法。該術(shù)語也使用在[IEEE-802.1X]中。
AAA:
認證、授權(quán)和計費(AAA)協(xié)議，其中，EAP支持包括RADIUS和 Diameter。在該文獻中，術(shù)語"AAA服務器"和"后端認證服務器，，可互換地 使用。
EAP服務器或服務器
終止與對端的EAP認證方法的實體。在不使用后端認證服務器的情況 下，EAP服務器是認證方的一部分。在認證方操作在通路模式中的情況下， EAP服務器位于后端認證服務器上。
成功認證
在該文獻的上下文中，"成功認證"是EAP消息的交換，其結(jié)果是認證 方?jīng)Q定允許由對端接入，并且對端決定使用這種接入。認證方的決定典型 地既包括iUi方面又包括授;K方面；對端可以對i人證方進4亍成功地i^證， 但由于策略原因認證方可能拒絕接入。
主會活密鑰(MSK):
在EAP對端與服務器之間導出的并且由EAP方法所輸出的密鑰材料 (keying material) 。 MSK長度至少是64字節(jié)。在現(xiàn)有實現(xiàn)方式中，充 當EAP服務器的AAA服務器將MSK傳送給認證方。 擴展的主會活密鑰(EMSK):
在EAP客戶機與服務器之間導出的并且由EAP方法所輸出的附加密 鑰材料。EMSK長度至少是64字節(jié)。EMSK不被認證方或任意其它第三 方所共享。EMSK凈皮保留為尚未定義的將來^f吏用。
EAP擴展
作為參考，我們參照V. Narayanan等人2007年8月24日的EAP Extensions for EAP Reauthentication Protocol (ERP) ， IETF Internet Draft,參見http:〃www.ietf.org/internet-drafts/draft-ietf-hokey- erx-04.txt。 該參考文獻如下解釋了用于EAP再認證協(xié)議的EAP擴展。"可擴展認證協(xié) 議(EAP)是用于傳送對雙方進行認證的方法的通用框架；認證要么是單 向的，要么是相互的。基本目的是網(wǎng)洛接入控制，并且建議密鑰生成方法， 以強制接入控制。EAP密鑰生成體系定義了在高級別所導出的兩個密 鑰——主會話密鑰(MSK)和擴展的MSK (EMSK)。在最通常的部署 情形中，對端和服務器通過被稱為認證方的第三方來彼此認證。認證方或 受控于所述認證方的實體強制接入控制。在成功認證之后，服務器將MSK 傳送給認證方；認證方和對端使用MSK導出瞬時會話密鑰(TSK)作為 認證密鑰或密鑰推導密鑰，并且^f吏用TSK以用于按分組接入強制。"Id。"當 對端從一個認證方移動到另一認證方時，期望避免完全EAP認證。與另一 輪EAP方法的完全EAP交換需要幾個往返，并且需要大量時間來完成，
這導致了移交時間的延遲。 一些EAP方法指定使用來自初始認證的狀態(tài)， 以通過減少計算開銷而對再認證進行優(yōu)化，但對方法特定的再認證在很多 情況下需要至少2次往返。注意，不提供對再認證的支持的很多方法也是 重要的。因此，有利的是，在EAP中而不是在各個方法中具有高效再認證 支持。Id。
"穿過認證方的密鑰共享有時被用作對于降低移交時間的實際解決方 案。在此情況下，認證方的折衷導致了經(jīng)由其它認證方所建立的EAP^" 的折衷。，，Id。"結(jié)論是，需要設(shè)計一種高效EAP再認ii^制，其允許刷新 將要在對端和認證方之間建立的密鑰，而無需再次執(zhí)行EAP方法，，。Id。"該 文獻指定EAP再認證擴展(ERX )，以用于使用EAP進行高效再認證。 基于ERX的ERP再認證協(xié)議(ERP)支持獨立于EAP方法的再認證， 以用于具有來自先前所執(zhí)行的EAP認證的有效的未過期的密鑰材料的對 端。在該文獻中描述了 EAP再認證所需的協(xié)議和密鑰體系。"Id。
參考
以下背景參考文獻全部引入作為參考。
1. Bradner， S.， "Key words for use in RFCs to Indicate Requirement Levels" ， BCP 14, RFC 2119， 1997年3月(在此稱為[RFC2119)。
2. Aboba， B.， Blunk， L.， Vollbrecht， J.， Carlson, J.，和H. Levkowetz, "Extensible Authentication Protocol (EAP)," RTC3748, 2004年6月(在
此稱為[RFC3748)。
3. Aboda, B.， "Extensible Authentication Protocol (EAP) Key Management Framework", draft-ietf-eap國keying畫16( it^中的工作)，2007 年1月(在此稱為[I-D.iEXTf-EAPp-keying)；以及2006年10月的 [I-D.iEXTf-EAPp-keyingww (ii^中的工作)。
4. Narayanan,V.和L. Dondeti, "Problem Statement on EAP Efficient R^—authentication and Key Management" , draft畫vidya-eap-reauth國ps畫OO
(iiy艮中的工作)，2006年10月(在此稱為[I國D. vidya-eap-reauth-ps])。
5. Ohba， Y., "Channel Binding Mechanism based on Parameter
Binding in Key Derivation " ， draft國ohba-eap畫channel-binding-02 (ii^中 的工作)，2006年12月(在此稱為[I畫D.ohba畫eap陽channel-bindingl)。
6. Salowey， J, "Specification for the Derivation of Usage Specific Root Keys (USRK) from an Extended Master Session Key (EMSK)", draft-salowey-eap-emsk- deriv畫01 (i^中的工作)，2006年6月(在此稱 為[I-D. salowey國eap-emsk-deriv)。
7. National Institute of Standards and Technology, "Secure Hash Standard" ， 2002年8月(在此稱為[sha256])。
8. Arkko， J.和P. Eronen， "Authenticated Service Information for theExtensibleAuthenticationProtocol(EAP) "，http : 〃tools.ietf.org/html/draft-arkko-eap-service-identity-auth-04 ， 2005年 10 月，(在此稱為[arkko畫eap國service國identity- auth)。
9. Kaufman, C， "Internet Key Exchange (IKEv2) Protocol" ， RFC 4306， 2005年12月，(在此稱為[RFC4306)。
10. Narayanan, V.和L Dondeti， "EAP Re-authentication Extensions", draft-ietf-hokey-erx-02 (i^艮中的工作)，2007年6月(在此稱為[I-D. ietf-hokey-erx)。
11. Salowey, J.， "Specification for the Derivation of Root Keys from an Extended Master Session Key (EMSK)" ， draft- ietf-hokey畫emsk-hierarchy-Ol( i4^中的工作),2007年6月(在此稱為[I畫D. ietf畫hokey畫emsk-hierarchy)。
雖然已知各種系統(tǒng)和方法，但仍然需要改進的系統(tǒng)和方法。

發(fā)明內(nèi)容
本發(fā)明克服了背景技術(shù)中的各種限制和缺點。該申請在此包括多個發(fā) 明，包括以下所描述的發(fā)明的集合。 第一組發(fā)明
根據(jù)一些實施例， 一種用于在客戶機和服務器之間的方法的認證的處
理，包括a)采用在客戶機和服務器之間沒有認證機制的方法；以及b) 使得所述方法依賴于內(nèi)部認證方法，以認證所述客戶機。優(yōu)選的是，所述 方法是第一 EAP方法，其不具有在內(nèi)部承載第二 EAP方法的認證機制， 所述第二 EAP方法用于認證所逸客戶機。 第二組發(fā)明
一種對關(guān)于EAP擴展功能的性能進行協(xié)商的EAP對端和EAP服務器 的處理方法，包括采用EAP擴展方法(EAP-EXT)，其關(guān)于擴展功能 在所述服務器和所ii^戶機之間提供性能交換，其中，所述擴展功能不具 有認證機制，并且其中，至少一個內(nèi)部EAP方法運行在所述EAP擴展方 法內(nèi)部，以用于i人證所述EAP對端。在一些實施例中，所述方法進一步包 括使得所述內(nèi)部EAP方法生成密鑰材料，并且以AUTHTLV保護所述 外部EAP擴展中的消息。在一些實施例中，所述方法進一步包括其中， 使用從最近成功的內(nèi)部方法的EAP密鑰材料生成的EAP擴展密鑰 (EAP-EXT-KEY )來計算外部EAP擴展消息中的AUTH TLV。在一些 實施例中，所述方法進一步包括使用EAP擴展密鑰來計算AUTH TLV， 以用于完整性保護EAP-EXT消息。在一些實施例中，所述方法進一步包 括利用用途特定根密鑰推導算法(usage specific root key derivation algorithm )而從通過內(nèi)部EAP方法所生成的EMSK導出所述EAP擴展 密鑰。在一些實施例中，所述方法進一步包括所述EAP擴展方法定義 EAP-re-authentication (EAP-再認證)密鑰，其凈皮用作對于再i人證才/L制所 ^使用的EAP方法所需的預先共享密鑰。在一些實施例中，所述方法進一步 包括利用用途特定根密鑰推導算法而從EAP擴展方法輸出的EMSK導 出所述EAP再^人證密鑰。在一些實施例中，所述方法進一步包括所述 EAP擴展方法采用包括公共EAP字段的消息格式，其具有被配置為被設(shè) 置為指示其為最近消息的比特、被配置為被設(shè)置為指示差錯的另一比特、 多個比特的版本字段、用于將來擴展的多個比特的保留字段、以及每一個 與特定性能對應的多個比特的性能字段。在一些實施例中，所述方法進一 步包括通過性能比特的設(shè)置來提供關(guān)于所述擴展功能在所述服務器和所 i^l戶機之間的所述性能交換。在一些實施例中，所述方法進一步包括 所述性能比特指示所述發(fā)送方支持信道綁定機制。在一些實施例中，所述 方法進一步包括所述性能比特指示所述發(fā)送方支持再i人證。在一些實施 例中，所述方法進一步包括當所述性能比特指示發(fā)送方支持再認證凈皮i殳 置在最終請求/EXT消息中時，并且所述消息包括Server-ID TLV (服務器 -IDTLV)和Peer-ID TLV (對端-ID TLV)。在一些實施例中，所述方法 進一步包括當所述性能比特指示發(fā)送方支持再認證被設(shè)置在最終請求 /EXT和響應/EXT消息交換中時，EAP對端和EAP服務器生成EAP再認 證密鑰，并且其中，包含在服務器-ID和對端-IDTLV中的服務器-ID和對 端-ID以及所述EAP再i人證密鑰用于再認證EAP方法。在一些實施例中， 所述方法進一步包括采用依次運行在EAP擴展方法內(nèi)部的多個內(nèi)部EAP 方法，以及每次序列中的內(nèi)部EAP方法生成密鑰材料，就生成新的EAP 擴展密鑰。在一些實施例中，所述方法進一步包括a)所述EAP服務器 發(fā)送設(shè)置了至少一個性能比特的EAP-請求/EXT消息；b)所述EAP對端 接收所述EAP-請求/EXT消息，并JL^送設(shè)置了至少一個性能比特的EAP-響應/EXT消息。在一些實施例中，所述方法進一步包括c)所述EAP服 務器接收所述EAP-響應/EXT消息，并且發(fā)送EAP-請求/EXT消息，所述 EAP-請求/EXT消息，沒置了 F比特、對端-ID TLV、服務器-ID TLV和 AUTH TLV; d)所述EAP對端接收以上在c )中的所述EAP-響應/EXT 消息，并且發(fā)送EAP-請求/EXT消息，所述EAP-請求/EXT消息設(shè)置了 F 比特、至少一個性能比特和AUTHTLV; e)所述EAP服務器接收d)中 的所述EAP-響應/EXT消息，并且發(fā)送EAP - Success (EAP-成功)消息。 在一些實施例中，所述方法進一步包括要么使得所述EAP對端要么使得 EAP服務器發(fā)送EAP擴展消息，所述EAP擴展消息設(shè)置了在所述對端或 所述服務器檢測到差錯的情況下用于差錯指示的比特合，并且具有AUTH TLV。在一些實施例中，所述方法進一步包括在創(chuàng)建密鑰材料之后執(zhí)行 受保護的消息交換，以避免性能信息受攻擊者攻擊。在一些實施例中，所 述方法進一步包括對EAP擴展方法的內(nèi)部的多個EAP方法進行排序。
在一些實施例中，所述方法進一步包括通過保護每一內(nèi)部EAP方法連同 外部EAP擴展方法而采用在所述序列中由其前述成功內(nèi)部方法所生成的 密鑰來創(chuàng)建加密綁定，并且最終輸出由最近成功的內(nèi)部EAP方法所生成的 EAP密鑰材料。 第三組發(fā)明
根據(jù)一些其它實施例，提供一種無線移動站，其包括處理器、存儲 器、數(shù)字數(shù)據(jù)存儲單元、以及用于無線發(fā)送并且接收數(shù)據(jù)消息的至少一個 無線接口；所述無線移動設(shè)備被編程以運行為EAP對端，并且其中，所述 無線移動設(shè)備被編程為i)從EAP服務器接收設(shè)置了至少一個性能比特 的EAP-請求/EXT消息；以及ii)發(fā)送設(shè)置了至少一個性能比特的EAP-響應/EXT消息。
第四組發(fā)明
根據(jù)一些其它實施例， 一種用于無線網(wǎng)絡(luò)的EAP服務器，其終止與 EAP對端的EAP認證方法，所述EAP服務器被配置為a)將設(shè)置了至 少一個性能比特的EAP-請求/EXT消息發(fā)送給EAP對端；以及b)從EAP 對端接收設(shè)置了至少一個性能比特的EAP-響應/EXT消息。
結(jié)合附圖，參看以下描述，各個實施例的上述和/或其它發(fā)明、方面、 特征和/或優(yōu)點將更加清楚。各個實施例可以包括并且/或者不包括可應用的 不同方面、特征和/或優(yōu)點。此外，各個實施例可以結(jié)合可應用的其它實施 例的一個或多個方面或特征。特定實施例的方面、特征和/或優(yōu)點的描述不 應理解為限制其它實施例或權(quán)利要求。


圖1是描述根據(jù)一些實施例的采用單個內(nèi)部方法在EAP服務器與 EAP對端之間的示例性EAP-EXT消息序列的示圖2是描述才艮據(jù)一些實施例的采用多個內(nèi)部方法在EAP服務器與 EAP對端之間的示例性EAP-EXT消息序列的示圖3 (A)是描述根據(jù)一些示例性實施例的示例性消息格式的示圖3 (B)是描述根據(jù)一些示例性實施例的示例性性能字段的示圖； 圖3 (C)是描述根據(jù)一些示例性實施例的示例性TLV格式的示圖； 圖4是描述根據(jù)一些附加實施例的采用單個內(nèi)部方法在EAP服務器與
EAP對端之間的示例性EAP-EXT消息序列的示圖5是描述根據(jù)一些附加實施例的采用多個內(nèi)部方法在EAP服務器與
EAP對端之間的示例性EAP-EXT消息序列的示圖6( A )是描述根據(jù)一些附加示例性實施例的示例性消息格式的示圖； 圖6( B )是描述根據(jù)一些附加示例性實施例的示例性性能字段的示圖； 圖6 (C)是描述根據(jù)一些附加示例性實施例的示例性TLV格式的示
圖7 (A)是描述加密算法TLV的示圖；以及 圖7 (B)是描述完整性算法TLV的示圖。
M實施方式
在附圖中，通過示例而并非限制來示出本發(fā)明優(yōu)選實施例。 雖然本發(fā)明可以用很多不同形式來實施，但描述多個示例性實施例， 應理解，該公開應看作提供在此所描述的各個發(fā)明的原理的示例，并且這 些示例并非意欲將本發(fā)明限制為在此所描述并且/或者在此所示出的優(yōu)選 實施例。 1.簡介
EAP (可擴展認證協(xié)議)是一種認證協(xié)議，其支持被稱為"EAP方法" 的多個認證算法RFC3748]。在EAP中，EAP對端和EAP服務器生成 EAP密鑰材料，即MSK (主會活密鑰)和EMSK (擴展的主務活密鑰)。 在[I-D. ietf-eap-keyingl中描述了用于MSK的生成，傳送和使用的詳細框架。
在EMSK (擴展的主務活密鑰)使用中的一個是再認證的情況下，通 過定義EMSK的一些使用，存在EAP的擴展功能[RFC3748。EAP的另 一擴展功能是在[I-D.ohba-eap-channel-binding]中所定義的信道綁定方案。
對于關(guān)于信道綁定的進一步的背景參考，Y. Ohba于2006年4月20日提 交的同時待審申請序列號11/379,568的題為CHANNEL BINDING MECHANISM BASED PARAMETER BINDING IN KEY DERIVATION 的完整公開被引入此處作為參考。由于支持EAP的擴展功能的實現(xiàn)方式需 要與不支持擴展功能的實現(xiàn)方式交互操作，從而當前者實現(xiàn)方式與后者實 現(xiàn)方式進行通信時，前者實現(xiàn)方式可以禁用擴展功能，因此需要一種用于 EAP對端和EAP服務器的機制來關(guān)于EAP的擴展功能在性能方面進行協(xié) 商。
存在用于擴展EAP功能的兩種基本方法。 一種方法是定義新的EAP 代碼來實現(xiàn)除了現(xiàn)有EAP功能(即請求、響應、成功以及失敗)之外的功 能。然而，該方法需要對RFC3748進行改變，并且還可能需要對下層協(xié)議 進行改變。另一方法是定義新的EAP方法來實現(xiàn)擴展功能。該文獻采用后 一種方法來最小化對現(xiàn)有EAP部署的影響。
該文獻描述EAP-EXT, —種用于擴展EAP功能的EAP方法。在一 些優(yōu)選實施例中，所述擴展EAP功能包括信道綁定和再認證。所述EAP 方法還允許對其內(nèi)部的多個EAP方法進行排序。
2. EAP畫EXT概述
在優(yōu)選實施例中，EAP-EXT提供性能交換。關(guān)于這點，消息內(nèi)的比 特可以用于指示性能。在一些實施例中， 一個比特(R比特)用于指示再 認證性能。在一些實施例中， 一個比特(C比特)用于指示信道綁定性能。
當使用EAP-EXT時，如果在服務器發(fā)送第一 EAP-請求之前服務器已 知對端的身份，則可以省略EAP-身份交換。關(guān)于這點，存在用于將對端的 算法提供給服務器的一些帶外機制，例如在認證方和服務器之間傳遞對端 的身份。
在EAP-EXT中，擴展的EAP性能(比如例如信道綁定和再認證)在 對端和服務器之間被交換。同時，至少一個EAP方法(例如EAP-TLS ) 運行在EAP-EXT內(nèi)部，以用于對對端進行i人證。直到內(nèi)部方法生成EAP 密鑰材料，AUTHTLV才被包括，并且性能才被保護。因此，如果僅存在
一種內(nèi)部EAP方法，則在發(fā)送EAP-成功消息或EAP-失敗消息之前，執(zhí) 行與AUTH TLV的附加EAP-EXT交換，而沒有方法TLV。
在內(nèi)部EAP方法生成EAP密鑰材料之后，需要以AUTH TLV來保 護EAP-EXT消息。需要使用從最近成功的內(nèi)部方法的EAP密鑰材料所生 成的EAP-EXT-KEY來計算EAP-EXT消息中的AUTH TLV。這說明， 如果存在依次運行在EAP-EXT內(nèi)部的多個內(nèi)部EAP方法，則每次在序列 中的內(nèi)部EAP方法生成EAP密鑰材料時，生成新的EAP-EXT-KEY。任 意內(nèi)部EAP方法需要能夠生成EAP密鑰材料。
在成功EAP-EXT運行的結(jié)束，由最近成功的內(nèi)部EAP方法所生成的 EAP密鑰材料被輸出到EAP層。F比特用于指示EAP-EXT交換的結(jié)束。
圖l示出采用單個內(nèi)部EAP方法的EAP-EXT消息序列的示例。圖2 示出采用多個內(nèi)部EAP方法的EAP-EXT消息序列的示例。
3. 差錯處理
例如由于內(nèi)部EAP方法認證的失敗或畸變的未知的或丟失EAP-EXT TLV而導致可能出于一些原因而產(chǎn)生差錯?？梢杂蓪Χ嘶蛘哂煞掌鱽頇z 測差錯。導致差錯的EAP-EXT消息被稱為錯誤消息。設(shè)置了 E比特的 EAP-EXT消息用于差錯指示。這些消息被稱為差錯指示。差錯指示需要 包含AUTH TLV,并且不應包含其它TLV。
需要將沒有有效AUTH TLV的(包括錯誤差錯指示的)任意镅-艮消 息默默丟棄。
對于具有有效AUTH TLV的錯誤請求，對端發(fā)送差錯指示響應。對 于具有有效AUTH TLV的錯誤響應，服務器發(fā)送由對端以差錯指示響應 來進行響應的差錯指示請求。服務器響應于具有有效AUTH TLV的差錯 指示響應而返回EAP-失敗消息。
4. 完整性保護密鑰
EAP-EXT定義兩種類型的密鑰；1) EAP-EXT-KEY以及2 ) EAP國REAUTH-KEY。 4.1. EAP-EXT-KEY
使用EAP-EXT-KEY來計算AUTH TLV ，以用于完整性保護 EAP-EXT消息。當HMAC-SHA-256 (參見例如通過上述引用而合并的參 考[sha256)用于完整性算法時，EAP-EXT-KEY的長度是32字節(jié)。使用 如下所定義的推導算法(參見例如通過上述引用而合并的參考[I-D. salowey-eap-emsk-deriv)使用USRK (用途特定根密鑰)從由內(nèi)部EAP 方法所生成的EMSK導出EAP-EXT-KEY。
EAP-EXT-KEY=KDF (EMSK， "EAP-EXT-Integrity畫Key"，length)。
在KDF中，EAP-EXT-KEY使用在通過上述引用而合并的參考[I-D. salowey-eap-emsk-deriv中所指定的默認PRF。
4.2. EAP-REAUTH隱KEY
EAP-REAUTH-KEY凈皮用作用于再i人證機制的EAP方法所需的預先 共享的密鑰。EAP-REAUTH-KEY的長度取決于再認證機制。如下使用以 上所合并的參考[I-D.salowey-e叩-emsk-deriv中所定義的USRK推導算法 從EAP-EXT所輸出的EMSK導出EAP-REAUTH-KEY。
E AP-RE AUTH-KEY=KDF ( EMSK，" E AP-EXT-Reauthentication-Key "， length)。
5.消息格式
EAP-EXT使用EAP類型X (由IANA來分配)。圖3 ( A )示出包 括[RFC3748]中所定義的公共EAP字段(例如代碼、標識符、長度和類型) 的消息格式。
F:
這個比特需要被設(shè)置為指示這是來自發(fā)送方的最近EAP-EXT消息。 否則，無需設(shè)置該比特。
當消息是差錯指示時，設(shè)置該比特。當設(shè)置該比特時，還需要設(shè)置F 比特。參見對差錯指示進行詳細描述的部分3。
版本
8比特字段指示EAP-EXT方法的版本。該文獻定義版本1。 保留
這個6比特字段為將來擴展而保留。需要由發(fā)送方將該字段設(shè)置為零， 并且接收方需要忽略該字段。 性能
該字段性能字段包含擴展的EAP性能。圖3 (B)示出性能字段格式。
每一比特與特定性能對應。每一比特的語義如下
C:
該比特被設(shè)置為指示發(fā)送方支持在用于MSK的[I-D.ohba-eap-channel-binding中所定義的信道綁定才幾制。當該比特既^皮i殳置 用于請求又被設(shè)置用于響應，并且EAP-EXT方法成功完成時，對端和服 務器需要使得能夠信道綁定機制。用于prf+的默認散列算法是 AUTH—HMAC_SHA1—160 。
R:
該比特被設(shè)置為指示發(fā)送方支持再認證EAP方法。當將該比特設(shè)置在 最終請求/EXT消息(即在設(shè)置了 F比特的情況下的請求/EXT)中時，該 消息需要包括服務器-ID TLV和對端-ID TLV，并且可以包括再認證-密鑰-生存時間AVP。當將該比特設(shè)置在最終請求/EXT和響應/EXT交換中時， 對端和服務器需要生成EAP-REAUTH-KEY。包含在服務器-ID TLV和對 端-ID TLV中的服務器-ID和對端-ID以及EAP-REAUTH-KEY用于再認 證EAP方法?？梢杂杀绢I(lǐng)域技術(shù)人員基于該公開選擇默認再認證才幾制。
其它比特被保留以用于將來使用，并且需要由發(fā)送方將其設(shè)置為零， 并且需要由接收方忽略它們。
TLV:
零， 一個或多個TLV (類型-長度-值)圖3 (c)示出TLV格式。 類型
該字段指示所述TLV的類型。 長度
該字段指示所迷TLV的以字節(jié)為單位的長度，包括TLV的類型和長 度字段。
值
該字段包含對于TLV類型特定的數(shù)據(jù)。
6. EAP-EXT TLV 定義以下TLV。
6.1. 方法TLV
方法TLV (類型1)包含從類型字段開始的EAP方法有效栽荷(EAP Method payload )。
6.2. AUTH 1XV
AUTH TLV (類型2 )包含用于保護EAP-EXT消息的完整性數(shù)據(jù)。 EAP-EXT-KEY用于計算AUTH TLV。
在包括該字段的整個EAP消息上計算TLV值字段。在計算完整性數(shù) 據(jù)之前，需要將該字段初始化為全零。該字段的長度取決于所使用的完整 性算法。當完整性檢查失敗時，需要默默丟棄消息。默認完整性算法是 HMAC-SHA-256 (參見例如以上所結(jié)合的參考[sha256)。
6.3. 對端-IDTLV
對端-ID TLV (類型3 )包含用于再認證的對端的身份。
6.4. 月艮務器-IDTLV
服務器-IDTLV (類型4)包含用于再認證的服務器的身份。
6.5. 再^人證-密鑰-生存時間TLV
再認證-密鑰-生存時間TLV (類型5)包含以秒為單位的 EAP-REAUTH-KEY的生存時間。
7. 安全性考慮
性能交換在內(nèi)部EAP方法輸出EAP密鑰材料之前是不受保護的。因 此，在創(chuàng)建EAP密鑰材料之后強制附加的受保護的消息交換，以避免在對 端和服務器沒有檢測的情況下由攻擊者改動性能信息。
EAP-EXT允許對其內(nèi)部的多個EAP方法進4亍排序。已知包括多個嵌 套的認證方法或順序的認證方法而沒有對它們進行加密綁定的混合認證方 法具有對中間人攻擊的弱點。EAP-EXT能夠通過保護每一內(nèi)部EAP方法
連同外部EAP方法(即EAP-EXT )而以在所述序列中由其前述成功內(nèi)部 方法所生成的密鑰來創(chuàng)建所需的加密綁定，并且最終輸出由最近成功的內(nèi) 部EAP方法所生成的EAP密鑰材料。為了實現(xiàn)加密綁定，EAP-EXT需 要內(nèi)部EAP方法能夠生成EAP密鑰材料。 附加的EAP-EXT實施例
詳細描述的其余部分描述了附加EAP-EXT實施例，其在一些上下文 中在上述原始實施例上具有一些修改。應理解，這些附加實施例在^f艮多方 面類似于以上所描述的前述實施例。在這些附加實施例中，可以通過擴展 EAP功能來支持擴展功能(比如例如HOKEY再認證(參見例如[I-D. ietf-hokey-erx))和MSK信道綁定[I-D.ietf-eap-keying。如上所述，可 以存在用于擴展EAP功能的兩種方法。 一種方法是定義新的EAP代碼來 實現(xiàn)除了現(xiàn)有EAP功能(即請求、響應成功和失敗)之外的功能。然而， 該方法需要對[RFC3748]進行改變，并且還可能需要對認證方和下層協(xié)議 進行改變。另一方法是定義新的EAP方法來實現(xiàn)擴展功能。對于這兩種方 法，可以期望這些擴展功能是后向兼容的。在此情況下，可能需要用于在 EAP對端和EAP服務器之間關(guān)于擴展功能上的性能進行協(xié)商的機制。
在這些附加實施例中，描述了用于擴展EAP功能的EAP方法。擴展 功能包括例如HOKEY、再認證和MSK信道綁定。在這些實施例中所提 議的EAP方法(EAP-EXT )還再次允許在其自身內(nèi)多個EAP方法的排序。 此外，在而這些實施例中，在內(nèi)部方法實現(xiàn)方式生成MSK但不生成EMSK 的情況下，EAP-EXT可以生成MSK和EMSK。
EAP-EXT概述
EAP-EXT提供性能交換。 一個比特(R比特)用于指示HOKEY再 i人證性能。 一個比特(C比特)用于指示信道綁定性能。
當使用EAP-EXT時，如果在服務器發(fā)送第一 EAP-請求之前服務器已 知對端的身份，則可以省略EAP-身份交換?？梢允褂糜糜谔峁Χ说纳矸?的帶外機制，例如在認證方和服務器之間傳遞對端的身份。
在EAP-EXT中，擴展的EAP性能(例如HOKEY再i人證和MSK信
道綁定和再認證)在對端和服務器之間被交換。同時，至少一個EAP方法 (例如EAP-TLS )運行在EAP-EXT內(nèi)部，以用于i人證對端。內(nèi)部方法4皮 承載在方法TLV (類型-長度-值)中。直到內(nèi)部方法生成EAP密鑰材料， AUTH TLV才凈皮包括，并且性能才受保護。因此，如果僅存在一種內(nèi)部 EAP方法，則在發(fā)送EAP-成功消息或EAP-失敗消息之前，需要執(zhí)4亍與 AUTH TLV的附加EAP-EXT交換。
在內(nèi)部EAP方法生成EAP密鑰材料之后，需要以AUTH TLV來保 護EAP-EXT消息。需要使用從最近成功的內(nèi)部方法的EAP密鑰材料所生 成的EAP-EXT-AUTH-KEY來計算EAP-EXT消息中的AUTH TLV。這 說明，如果存在依次運行在EAP-EXT內(nèi)部的多個內(nèi)部EAP方法，則每次 在序列中的內(nèi)部EAP方法生成EAP密鑰材料時，生成新的 EAP-EXT-AUTH-KEY。任意內(nèi)部EAP方法需要能夠生成EAP密鑰材料。
在成功EAP-EXT運4亍的結(jié)束，從由最近成功的內(nèi)部EAP方法所生成 的MSK導出EAP密鑰材料，并將其輸出到EAP層。可以使用PRFTLV 在EAP-EXT內(nèi)協(xié)商用于導出EAP密鑰材料和USRK (用途特定根密鑰) [I-D. ietf-hokey-emsk-hierarchy]的偽隨機函數(shù)。F比特用于指示EAP-EXT 交換的結(jié)束。
圖4示出采用單個內(nèi)部EAP方法并且具有PRF協(xié)商的EAP-EXT消 息序列的示例。圖5示出采用多個內(nèi)部EAP方法并且沒有PRF協(xié)商的 EAP-EXT消息序列的示例。
差錯處理
在此合并以上所描述的在原始實施例中關(guān)于差錯處理的討論。 密鑰
在一些實施例中，EAP-EXT定義以下類型的密鑰。 a.從EAP-EXT輸出的MSK和EMSK:
按以下方式^f吏用[I-D. ietf-hokey-emsk- hierarchy]中所定義的KDF從 MSK一i——由最近成功的內(nèi)部EAP方法所生成的MSK——導出將要從 EAP-EXT所輸出的64字節(jié)MSK和64字節(jié)EMSK的集合。(MSK，EMSK)=KDF(MSK-i， "EAP-EXT-EAP-Keying-material" ，128)
b. EAP-EXT-AUTH-KEY:
使用EAP-EXT-AUTH-KEY來計算AUTH TLV，以用于完整性保護 EAP-EXT消息。EAP隱EXT畫AUTH-KEY僅被使用在EAP畫EXT內(nèi)，并且 從不被輸出。按以下方式使用在[RFC4306中所定義的prf+從由最近成功 的內(nèi)部EAP方法所生成的MSK導出EAP-EXT-AUTH-KEY。
EAP-EXT-AUTH-KEY=prf+(MSK—i，EAP-EXT-Authentication-Key"， length);
用于prf+的默認散列算法是PRF—HMAC—SHA2—256。 字段長度將取決于在EAP-EXT交換期間由EAP服務器所選擇的完整 性算法。當對于完整性算法使用HMAC-SHA-256 [sha256j時，長度=32。
c. EAP畫EXT-ENC國KEY:
EAP-EXT-ENC-KEY用于計算(ciphering)已加密的TLV的內(nèi)容。 按以下方式使用在[I-D. ietf-hokey-emsk- hierarchy]中所定義的KDF從 MSK一i——由最近成功的內(nèi)部EAP方法所生成的MSK——導出 EAP-EXT-ENC-KEY。
EAP-EXT-ENC-KEY=prf+(MSK—i, "EAP-EXT- Encryption- Key"， length);
通過在EAP-EXT交換期間由EAP服務器所選擇的完整性算法來確定 用于生成EAP-EXT-ENC-KEY的PRF。用于prf+的默認散列算法是 PRF HMAC一SHA2 256。
字段長度將取決于在EAP-EXT交換期間所協(xié)商的協(xié)商后的加密算 法。例如，當使用AES-CBC-128時，長度=16。
d. HOKEY-REAUTH KEY:
HOKEY-REAUTH-KEY被用作HOKEY再認證機制所需的預先共享 的密鑰[I-D.ietf-hokey-erx。HOKEY-REAUTH-KEY的長度取決于 HOKEY再認證機制。如下使用[I畫D. ietf-hokey-emsk-hierarchy中所定義 的 USRK 推導算法從 EAP-EXT 輸出的 EMSK 導出HOKE Y-RE AUTH-KE Y 。
HOKEY-REAUTH-KEY=KDF(EMSK，"EAP-EXT-Reauthentkation-Key"，length)。
消息格式
EAP-EXT使用EAP類型XX (由IANA來分配)。圖6 ( A )示出包 括[RFC3748]中所定義的公共EAP字段(即代碼、標識符、長度和類型) 的消息格式。
F:
這個比特需要被設(shè)置為指示這是來自發(fā)送方的最近EAP-EXT消息。 否則，無需設(shè)置該比特。 E:
當消息是差錯指示時，設(shè)置該比特。當設(shè)置該比特時，還需要設(shè)置F 比特。參見對差錯指示進行詳細描述的以下部分。 版本
8比特字段指示EAP-EXT方法的版本。該文獻定義版本1。 保留
這個6比特字段為將來擴展而保留。需要由發(fā)送方將該字段設(shè)置為零， 并且接收方需要忽略該字段。 性能
性能字段包含擴展的EAP性能。在一些實施例中，性能字段具有如圖 6(B)所示的性能字段(這與圖3 (B)相似)。在此，每一比特與特定性 能對應。每一比特的語義如下
R:
該比特被設(shè)置為指示發(fā)送方支持HOKEY再認證[I-D. ietf-hokey-erx]。 當將該比特設(shè)置在最終請求/EXT消息(即在設(shè)置了 F比特的情況下的請 求/EXT)中時，該消息需要包括服務器-IDTLV和對端-IDTLV,并且可 以包括再認證-密鑰-生存時間AVP。如果將該比特設(shè)置在最終請求/EXT和 響應/ EXT交換中，則對端和服務器需要生成HOKEY-REAUTH-KEY。
包含在服務器-ID TLV和對端-ID TLV中的服務器-ID和對端-ID以及 HOKEY-REAUTH-KEY用于HOKEY再認證。 C:
該比特被設(shè)置為指示發(fā)送方支持用于MSK的信道綁定機制。當該比 特被設(shè)置在請求/EXT消息中時，需要包括一個信道-綁定-機制TLV，以指 示由服務器所支持的信道綁定機制。如果對端支持并且想要使得能夠由服 務器所支持的信道綁定機制中的一個，則其發(fā)送設(shè)置了該比特的響應/EXT 消息以及包含所選擇的信道綁定機制的信道-綁定-機制TLV。如果該比特 被設(shè)置在與一個信道綁定機制的成功協(xié)商交換的最終請求/EXT和響應 /EXT中，并且EAP-EXT方法成功完成，則對端和服務器需要實現(xiàn)協(xié)商的 信道綁定機制。
其它比特被保留以用于將來使用，并且需要由發(fā)送方將其設(shè)置為零， 并且需要由接收方忽略它們。 TLV:
零， 一個或多個TLV (類型-長度-值)圖6 (c)示出TLV格式(這 與圖3 ( c )所示的實施例相似)。 類型
該字段指示所述TLV的類型。 長度
該字段指示所述TLV的以字節(jié)為單位的長度，包括TLV的類型和長 度字段。 值
該字段包含對于TLV類型特定的數(shù)據(jù)。 EAP畫EXT TLV:
在這些實施例中，定義以下TLV。
a. 方法TLV
方法TLV (類型1)包含從類型字段開始的EAP方法有效載荷。
b. AUTH TLV
AUTH TLV (類型2)包含用于保護EAP-EXT消息的完整性數(shù)據(jù)。 EAP-EXT-AUTH-KEY用于計算AUTH TLV。在包括該字段的整個EAP 消息上計算TLV值字段。在計算完整性數(shù)據(jù)之前，需要將該字段初始化為 全零。該字段的長度取決于所使用的完整性算法。當完整性檢查失敗時， 需要默默丟棄消息。默認完整性算法是HMAC-SHA-256 [sha256]。
c. 對端-IDTLV
對端-ID TLV (類型3 )包含用于HOKEY再認證的對端的身份。
d. —服務器-ID TLV
服務器-ID TLV (類型4 )包含用于HOKEY再認證的服務器的身份。
e. 再認證-密鑰-生存時間TLV
再認證-密鑰-生存時間TLV (類型5)包含以秒為單位的 HOKEY-REAUTH-KEY的生存時間。
f. PRF 1XV
PRFTLV (類型6)包含[I-D.ietf-hokey-emsk-hierarchy]中所定義的 一個或多個一字節(jié)PRF號。當該TLV被承載在請求中時，其指示由服務 器所支持的PRF號。
當該TLV 4皮承載在請求/EXT消息中時，對應響應/EXT消息可以包 含該TLV。響應/EXT消息中的PRF TLV需要確切地包含由對端在請求 /EXT消息中的PRF號之中所支持和選擇的一個PRT號。如果使用以上所 描述的PRF TLV交換成功地協(xié)商了 PRF號，則對于KDF使用協(xié)商好的 PRF，以導出將由EAP-EXT和USRK所輸出的EAP密鑰材料。否則， 對于KDF使用[I-D.ietf- hokey-emsk-hierarchy]中所指定的默認PRF。
g. 信道-綁定4幾制TLV
信道-綁定-機制TLV (類型7)包含一個或多個一字節(jié)信道綁定機制 號。當該TLV被承載在請求/EXT消息中時，其指示由服務器所支持的信 道綁定機制號。當該TLV被承載在請求/EXT消息中時，對應響應/EXT 消息可以包含該TLV。響應/EXT消息中的信道-綁定-機制TLV需要確切 地包含由對端在請求/EXT消息中的信道綁定機制號之中所支持和選擇的
一個信道綁定機制號。如果使用以上所描述的信道-綁定-機制TLV成功地 協(xié)商了信道綁定機制，則使得能夠協(xié)商好的信道綁定機制。
在該文獻中定義了以下信道綁定機制機制l-[I-D.ohba-eap-channel畫binding]; 以及機制2畫[arkko國e叩- service-identity-auth。
對于信道綁定機制1 ，用于prf+的默認散列算法是 PRF一HMAC—SHA2_256。
對于信道綁定機制2，附加信道-綁定-數(shù)據(jù)TLV被承載在請求和響應中。
h. 信道-綁定-數(shù)據(jù)TLV
信道-綁定一數(shù)據(jù)TLV (類型8)包含對于[arkko國eap-service-identity誦 auth]所使用的字節(jié)串數(shù)據(jù)。
i. 加密-算法TLV
加密-算法TLV允許對用于計算加密后的TLV的加密算法進行協(xié)商。 當該TLV被承栽在請求/EXT中時，其指示由EAP服務器支持的加密算 法。當該TLV被承載在請求/EXT消息中時，對應響應/EXT消息可以包 含該TLV。響應/EXT消息中的加密-算法TLV需要確切地包含由對端在 包含在請求/EXT消息中的加密算法TLV中的選項之中所支持并且選擇的 一個加密算法號。注意，EAP服務器可以強迫EAP對端使用默認加密算 法(AES-CBC-128)。在此情況下，EAP對端不包括請求/EXT消息中的 加密-算法TLV,并且以相同方式，EAP對端在響應/EXT中也不包括它。 作為參考，圖7 (A)描述加密-算法TLV。
其包含以下列表中所定義的一個或多個一字節(jié)號
0保留
1 AES畫CBC-128(默認)
2 AES-CBC-256
3 3DES
4 IDEA
注意，如果使用加密-算法TLV沒有成功協(xié)商算法，則使用默認加密
算法來替代。
j.完整性-算法TLV
為了簡化并且為了避免bidding-down攻擊，EAP-EXT方法不允i午完 整性算法協(xié)商。然而，EAP服務器可以從不同完整性算法中進行選擇，并 且通過完整性-算法TLV將該選擇通知給EAP對端。如果EAP服務器不 包括這個TLV，則默認值是HMAC-SHA-256。作為參考，圖7(B)描述 完整性-算法TLV。
其包含以下列表中所定義的一個或多個一字節(jié)號
0保留
1 匪AC-SHA畫I
2 HMAC-SHA-224
3 HMAC國SHA畫256(默認)
4 HMAC-SHA-384
5 HMAC-SHA-512 k.加密的TLV
加密的TLV (類型10 )包含以EAP-EXT-ENC-KEY加密的一個或多 個純文本TLV。該字段的長度取決于所使用的加密算法。參照圖7(C)。 其包含以下所定義的一個或多個一字節(jié)號 類型
(10)加密的TLV 長度
4+IV長度+加密后的數(shù)據(jù)長度 IV:
IV是隨機比特的字節(jié)串，前面的最高有效位。IV的長度取決于所使 用的加密算法。例如，對于AES-CBC-128, IV是16字節(jié)(128比特)。 加密后的數(shù)據(jù)
可變長度的加密后的 TLV 。 加密后的數(shù)據(jù)包括以 EAP-EXT-ENC-KEY所計算的一個或多個純文本TLV。注意，取決于加
密算法和純文本數(shù)據(jù)的長度，可以在計算運算之前將填充數(shù)據(jù)添加到純文 本數(shù)據(jù)。
安全性考慮
性能交換在內(nèi)部EAP方法輸出EAP密鑰材料之前是不受保護的。因 此，在創(chuàng)建EAP密鑰材料之后強制附加的受保護的消息交換，以避免在對 端和服務器沒有檢測的情況下由攻擊者改動性能信息。
EAP-EXT允許對其內(nèi)部的多個EAP方法進行排序。已知包括多個嵌 套的認證方法或順序的認證方法而沒有對它們進行加密綁定的混合認證方 法具有對中間人攻擊的弱點。EAP-EXT能夠通過保護每一內(nèi)部EAP方法 連同外部EAP方法(即EAP-EXT )而創(chuàng)建與在所述序列中由其前述成功 內(nèi)部方法所生成的密鑰的加密綁定，并且最終輸出從由最近成功的內(nèi)部 EAP方法所生成的EAP密鑰材料所導出的EAP密鑰材料。為了實現(xiàn)加密 綁定，EAP-EXT需要內(nèi)部EAP方法能夠生成EAP密鑰材料。
該方法輸出從內(nèi)部方法的MSK所計算的MSK和EMSK。因此，一 起輸出的MSK和EMSK的強度與內(nèi)部方法的MSK的強度相同。
本發(fā)明的廣泛范圍
雖然在此已經(jīng)描述了本發(fā)明示例性實施例，但本領(lǐng)域技術(shù)人員應理解， 基于該公開，本發(fā)明不限于在此所描述的各個優(yōu)選實施例，而是包括具有 等同元件、修改、省略、(例如交叉各個實施例的方面的)結(jié)合、改動和/ 或改變的任意和所有實施例。權(quán)利要求中的限制將基于權(quán)利要求中所采用 的語言而廣義地,皮解釋，并且不限于在該說明書中或在該申請的訴訟期間 所描述的示例，該申請的示例應理解為非排除性的。例如，在該公開中， 術(shù)語"優(yōu)選地"是非排除性的，并且表示"優(yōu)選地，但不限于此"。在該公開 中以及在該申請的訴訟期間，在對于具體權(quán)利要求限制，所有以下條件出 現(xiàn)在所述限制中的情況下，將僅采用裝置加功能或步驟加功能限制a)明 確地引用"裝置，，或"步驟"；b)明確地引用對應功能；以及c)沒有陳述結(jié) 構(gòu)、材料或支持該結(jié)構(gòu)的動作。在該公開中以及在該申請的訴訟期間，術(shù) 語"本發(fā)明，，或"發(fā)明，，可以用于表示該公開中的一個或多個方面。語言"本發(fā)
明，，或"發(fā)明"不應不正確地解釋為關(guān)鍵性的標識，不應不正確地解釋為交叉 應用所有方面或?qū)嵤├?即，應理解，本發(fā)明具有多個方面和實施例)， 并且不應不正確地解釋為限制申請或權(quán)利要求的范圍。在該公開中以及在 該申請的訴訟期間，術(shù)語"實施例"可以用于描述任意方面、特征、處理或 步驟、其^f壬意結(jié)合、和/或其任意部分等等。在一些示例中，各個實施例可
以包括重疊特征。在該公開中，可以采用以下縮寫的術(shù)語"e.g.",其表示 "例如"。
權(quán)利要求
1. 一種用于在客戶機和服務器之間的認證方法的處理方法，包括:a)采用在客戶機和服務器之間沒有認證機制的方法；b)使得所述方法依賴于內(nèi)部認證方法，以認證所述客戶機。
2. 如權(quán)利要求1所述的處理方法，其中，所述方法是第一EAP方 法，其不具有在內(nèi)部承載第二EAP方法的認證機制，所述第二EAP方法 用于認證所i^Jl戶機。
3. —種對關(guān)于EAP擴展功能的性能進行協(xié)商的EAP對端和EAP 服務器的處理方法，包括采用EAP擴展方法(EAP-EXT)，所述EAP 擴展方法關(guān)于擴展功能在所述服務器和所迷客戶機之間提供性能交換，其 中，所述擴展功能不具有認證機制，并且其中，至少一個內(nèi)部EAP方法運 行在所述EAP擴展方法內(nèi)部，以用于i人證所述EAP對端。
4. 如權(quán)利要求3所述的處理方法，進一步包括使得所述內(nèi)部EAP 方法生成密鑰材料，并且以AUTH TLV保護所述外部EAP擴展方法中的 消息。
5. 如權(quán)利要求4所述的處理方法，其中，使用從最近成功的內(nèi)部方 法的EAP密鑰材料生成的EAP擴展密鑰(EAP-EXT-KEY )來計算外部 EAP擴展消息中的AUTH TLV。
6. 如權(quán)利要求5所述的處理方法，其中，所述EAP擴展密鑰用于 計算AUTH TLV，以用于完整性保護EAP-EXT消息。
7. 如權(quán)利要求6所述的處理方法，其中，利用用途特定根密鑰推導 算法而從通過內(nèi)部EAP方法生成的EMSK導出所述EAP擴展密鑰。
8. 如權(quán)利要求3所述的處理方法，其中所述EAP擴展方法定義 EAP-再認證密鑰，所述EAP-再認證密鑰被用作對于再認證機制所使用的 EAP方法所需的預先共享密鑰。
9. 如權(quán)利要求8所述的處理方法，其中，利用用途特定根密鑰推導 算法而從EAP擴展方法輸出的EMSK導出所述EAP再認證密鑰。
10. 如權(quán)利要求3所述的處理方法，其中，所述EAP擴展方法采用 包括公共EAP字段的消息格式，所述公共EAP字段具有^皮配置為設(shè)置成 指示其為最近消息的比特、被配置為設(shè)置成指示差錯的另一比特、多個比特的版本字段、用于將來擴展的多個比特的保留字段、以及每一個與特定 性能對應的多個比特的性能字段。
11. 如權(quán)利要求3所述的方法，進一步包括通過性能比特的設(shè)置來 提供關(guān)于所述擴展功能在所述服務器和所迷客戶機之間的所述性能交換。
12. 如權(quán)利要求11所述的方法，其中，所迷性能比特指示發(fā)送方支 持信道綁定機制。
13. 如權(quán)利要求11所述的方法，其中，所迷性能比特指示發(fā)送方支 持再認證。
14. 如權(quán)利要求13所述的方法，其中，當所述性能比特指示發(fā)送方 支持再認證被設(shè)置在最終請求/EXT消息中時，并且所述消息包括服務器 -ID TLV和對端-ID TLV。
15.如權(quán)利要求13所述的方法，其中，當所述性能比特指示發(fā)送方支 持再認證被設(shè)置在最終請求/EXT和響應/EXT消息交換中時，所迷EAP 對端和所述EAP服務器生成EAP再認證密鑰，并且其中，包含在服務器 -ID TLV和對端-ID TLV中的服務器-ID和對端-ID以及所述EAP再認證 密鑰用于再^人證EAP方法。
16. 如權(quán)利要求5所述的處理方法，進一步包括采用順序運行在EAP 擴展方法內(nèi)部的多個內(nèi)部EAP方法，以及，每次序列中的內(nèi)部EAP方法 生成密鑰材料，就生成新的EAP擴展密鑰。
17. 如權(quán)利要求3所述的處理方法，其中，所述處理方法包括a)所述EAP服務器發(fā)送設(shè)置了至少一個性能比特的EAP-請求/EXT 消息；b )所述EAP對端接收所述EAP-請求/EXT消息，并且發(fā)送設(shè)置了至 少一個性能比特的EAP-響應/EXT消息。
18. 如權(quán)利要求7所述的處理方法，其中，所述處理方法包括 c )所述EAP服務器接收所述EAP-響應/EXT消息，并且發(fā)送EAP-請求/EXT消息，所述EAP-請求/EXT消息設(shè)置了 F比特、至少一個性能 比特、對端-IDTLV、月良務器誦ID TLV和AUTH TLV;d )所述EAP對端接收以上在c )中的所述EAP-請求/EXT消息，并 且發(fā)送EAP-響應/EXT消息，所述EAP-請求/EXT消息設(shè)置了 F比特、至 少一個性能比特和AUTH TLV;e )所述EAP服務器接收d )中的所述EAP-響應/EXT消息，并且發(fā) 送EAP-成功消息。
19. 如權(quán)利要求3所述的處理方法，進一步包括，使得所述EAP對 端或者EAP服務器發(fā)送EAP擴展消息，所述EAP擴展消息設(shè)置了在所述 對端或所述服務器檢測到差錯的情況下的用于差錯指示的比特，并且具有 AUTH TLV。
20. 如權(quán)利要求3所述的處理方法，進一步包括在創(chuàng)建密鑰材料之 后執(zhí)行受保護的消息交換，以避免性能信息受攻擊者攻擊。
21. 如權(quán)利要求20所述的處理方法，進一步包括對EAP擴展方法 的內(nèi)部的多個E AP方法進行排序。
22. 如權(quán)利要求21所述的處理方法，進一步包括通過保護每一內(nèi)部 EAP方法連同外部EAP擴展方法而采用在所述序列中由其前述成功內(nèi)部 方法生成的密鑰來創(chuàng)建加密綁定，并且最終輸出由最近成功的內(nèi)部EAP方 法生成的EAP密鑰材料。
23. —種無線移動站，包括a) 處理器、存儲器、數(shù)字數(shù)據(jù)存儲單元、以及用于無線發(fā)送并且接 收數(shù)據(jù)消息的至少 一個無線接口 ；b) 所述無線移動設(shè)備被編程以運行為EAP對端，并且其中，所述無 線移動設(shè)備被編程為i) 從EAP服務器接收設(shè)置了至少一個性能比特的EAP-請求/EXT消 息；以及ii) 發(fā)送i殳置了至少一個性能比特的EAP-響應/EXT消息。
24. —種用于無線網(wǎng)絡(luò)的EAP服務器，其終止與EAP對端的EAP 認證方法，所述EAP服務器被配置為a )將設(shè)置了至少一個性能比特的EAP-請求/EXT消息發(fā)送給EAP對 端；以及b )從所述EAP對端接收設(shè)置了至少一個性能比特的EAP-響應/EXT 消息。
全文摘要
該文檔描述一種用于擴展EAP功能的EAP方法。所述擴展功能包括信道綁定和再認證。所述EAP方法還允許對其內(nèi)部的多個EAP方法進行排序。
文檔編號H04L29/06GK101379801SQ20078000490
公開日2009年3月4日 申請日期2007年12月5日 優(yōu)先權(quán)日2006年12月8日
發(fā)明者大場義洋 申請人:株式會社東芝;特勒克利亞科技公司