本發(fā)明總體上涉及電信網(wǎng)，電信網(wǎng)包括無線訪問點(diǎn)并且在經(jīng)由無線訪問點(diǎn)給無線用戶站提供電信服務(wù)之前實(shí)施無線訪問點(diǎn)和無線用戶站之間的認(rèn)證方案。

本發(fā)明更特別地涉及一種用于提供無線用戶站經(jīng)由網(wǎng)絡(luò)無線訪問點(diǎn)對電信網(wǎng)進(jìn)行訪問的方法，該方法包括以下步驟：

-無線用戶站和無線網(wǎng)絡(luò)訪問點(diǎn)的每一個(gè)根據(jù)無線用戶站和無線訪問點(diǎn)所共享的至少第一密鑰得到第二密鑰；

-根據(jù)無線站用戶和網(wǎng)絡(luò)無線訪問點(diǎn)所傳遞的各自的第二密鑰，通過無線通信執(zhí)行無線用戶站和網(wǎng)絡(luò)無線訪問點(diǎn)之間的認(rèn)證步驟；

-根據(jù)認(rèn)證步驟的結(jié)果，通過無線訪問點(diǎn)提供無線用戶站對電信網(wǎng)的訪問。

背景技術(shù)：

例如，IEEE 802.11標(biāo)準(zhǔn)定義了對網(wǎng)絡(luò)的兩種訪問方法：

-基于可擴(kuò)展認(rèn)證協(xié)議的訪問方法；

-基于預(yù)共享密鑰(PSK)的訪問方法。

每種訪問方法包括認(rèn)證并建立成對的組密鑰。這兩種訪問方法因認(rèn)證協(xié)議的不同而不同。

基于可擴(kuò)展認(rèn)證協(xié)議的訪問方法需要在三個(gè)實(shí)體之間進(jìn)行信息交換：IEE 802.11無線電用戶站(申請者)、訪問點(diǎn)(認(rèn)證者)和認(rèn)證服務(wù)器。認(rèn)證服務(wù)器用來向訪問點(diǎn)證明用戶站被允許關(guān)聯(lián)并且向用戶站證明所選的訪問點(diǎn)是網(wǎng)絡(luò)的一部分。該方法提供了雙向認(rèn)證。認(rèn)證服務(wù)器還用于密鑰管理。

基于預(yù)共享密鑰的訪問方法僅需要在兩個(gè)實(shí)體之間進(jìn)行信息交換：IEEE 802.11無線電用戶站(申請者)和訪問點(diǎn)(認(rèn)證者)。認(rèn)證階段被簡化并由訪問點(diǎn)執(zhí)行。成對組密鑰的認(rèn)證及建立被合并依賴于兩個(gè)實(shí)體對于預(yù)共享密鑰的了解。認(rèn)證及通信的安全依賴于預(yù)共享密鑰的保密性。

如果基于可擴(kuò)展認(rèn)證協(xié)議的訪問方法由于用戶站和訪問點(diǎn)的雙向認(rèn)證提供了最高安全等級，并且還提供了認(rèn)證服務(wù)器所執(zhí)行的密鑰管理，則基于預(yù)共享密鑰的訪問方法要快得多，這是由于該方法僅需要在兩個(gè)實(shí)體之間進(jìn)行有限的信息交換，并且基于預(yù)共享密鑰的訪問方法還易于實(shí)施，這是由于該方法不需要認(rèn)證服務(wù)器。發(fā)出關(guān)聯(lián)請求和成功操作之間的訪問操作的總時(shí)長對于基于可擴(kuò)展認(rèn)證協(xié)議的訪問方法來說在1秒以上，并且對于基于預(yù)共享密鑰的訪問方法來說的在幾毫秒(ms)以上。

需要考慮安全等級與無線電系統(tǒng)的復(fù)雜度和性能之間的平衡，尤其是在諸如考慮到用戶站位于正在行駛的列車內(nèi)并且與包括固定訪問點(diǎn)的網(wǎng)絡(luò)通信之類的頻率硬切換情況下。

技術(shù)實(shí)現(xiàn)要素：

本發(fā)明根據(jù)所附權(quán)利要求提出了一種用于提供無線收發(fā)用戶站經(jīng)由網(wǎng)絡(luò)無線訪問點(diǎn)對電信網(wǎng)進(jìn)行訪問的方法、網(wǎng)絡(luò)無線訪問點(diǎn)和無線用戶站。

因此，本發(fā)明能夠增強(qiáng)基于預(yù)共享密鑰的訪問方法的安全等級。

附圖說明

本發(fā)明通過示例的方式但不限于附圖中的圖示來說明。在附圖中，同樣的附圖標(biāo)記指相似的元件。在附圖中：

-圖1概略地示出了實(shí)施根據(jù)本發(fā)明的實(shí)施例的電信網(wǎng)；

-圖2為對根據(jù)本發(fā)明的實(shí)施例的方法的步驟進(jìn)行說明的流程圖；

-圖3為表示根據(jù)本發(fā)明的實(shí)施例的方法的步驟的流程圖。

具體實(shí)施方式

圖1概略地示出了實(shí)施本發(fā)明的實(shí)施例的電信系統(tǒng)1。

電信系統(tǒng)1包括：

-骨干網(wǎng)3，由骨干網(wǎng)3能夠提供諸如互聯(lián)網(wǎng)服務(wù)之類的電信服務(wù)；

-一個(gè)或多個(gè)無線用戶站6；

-多個(gè)無線訪問點(diǎn)2，包括被稱為AP₁、AP₂、AP₃的無線訪問點(diǎn)2，每個(gè)無線訪問點(diǎn)2連接到骨干網(wǎng)3。

網(wǎng)絡(luò)管理服務(wù)器(NMS)4也連接到骨干網(wǎng)3。

在所考慮的實(shí)施例中，用戶站6為無線電用戶站6，該無線電用戶站6包括無線電接口、射頻天線、微型計(jì)算機(jī)和存儲(chǔ)器(圖中未示出)。

用戶站6的存儲(chǔ)器包括軟件指令，當(dāng)軟件指令在用戶站6的微型計(jì)算機(jī)上被執(zhí)行時(shí)，實(shí)施以下所描述的步驟，包括參照圖2和圖3以及由用戶站6所執(zhí)行的步驟。

在所考慮的實(shí)施例中，訪問點(diǎn)AP₁、AP₂、AP₃中的每一個(gè)包括無線電接口、射頻天線、微型計(jì)算機(jī)和存儲(chǔ)器(圖中未示出)。訪問點(diǎn)AP₁、AP₂、AP₃中的每一個(gè)與各自的無線電覆蓋區(qū)域?qū)?yīng)并且適于向無線電用戶站傳遞后臺網(wǎng)絡(luò)3所提供的電信服務(wù)，該無線電用戶站位于所述訪問點(diǎn)的無線電覆蓋區(qū)域之內(nèi)。

訪問點(diǎn)AP₁、AP₂、AP₃中的每一個(gè)的存儲(chǔ)器包括軟件指令，當(dāng)軟件指令在訪問點(diǎn)的微型計(jì)算機(jī)上被執(zhí)行時(shí)，實(shí)施以下所描述的步驟，包括參照圖2和圖3以及由訪問點(diǎn)所執(zhí)行的步驟。

用戶站6的無線電接口適于與訪問點(diǎn)2的無線電接口進(jìn)行通信。在本發(fā)明所考慮的實(shí)施例中，正如下文中所公開的，各自的無線電接口適于根據(jù)如在下文中關(guān)于生成成對臨時(shí)密鑰(PTK)完成的IEEE 802.11標(biāo)準(zhǔn)(修正802.11i)進(jìn)行通信，成對臨時(shí)密鑰(PTK)正如所知由預(yù)共享密鑰(PSK)生成并且還根據(jù)定期修改的參數(shù)根據(jù)本發(fā)明生成。

在參考圖1所考慮的具體實(shí)施例中，下文中所考慮的無線電用戶站6例如為基于通信的列車控制無線電系統(tǒng)的用戶站，并且位于列車5內(nèi)側(cè)。然而，列車5沿其鐵路線行進(jìn)，用戶站6依次通過訪問點(diǎn)AP₃的無線電覆蓋區(qū)域，然后通過訪問點(diǎn)AP₂的無線電覆蓋區(qū)域，最后通過訪問點(diǎn)AP₁的無線電覆蓋區(qū)域。采用上述這些連續(xù)訪問點(diǎn)2的用戶站6由此發(fā)生多次軟切換。

IEEE 802.11i的使用通過認(rèn)證機(jī)制和具有有效載荷數(shù)據(jù)的全部數(shù)據(jù)包的加密提供針對有意或無意攔截的保護(hù)。認(rèn)證機(jī)制避免了未授權(quán)的用戶建立無線電連接，具有有效載荷數(shù)據(jù)的數(shù)據(jù)包的加密避免這些數(shù)據(jù)包被未授權(quán)的用戶攔截。

根據(jù)IEEE 802.11i，電信系統(tǒng)1的用戶站6和電信系統(tǒng)1的訪問點(diǎn)2的存儲(chǔ)器中存儲(chǔ)有相同的預(yù)共享密鑰PSK。

如下文中參照圖2和圖3所示，預(yù)共享密鑰PSK用來在用戶站6并且同時(shí)在實(shí)施認(rèn)證步驟的訪問點(diǎn)中生成公共成對臨時(shí)密鑰PTK，該P(yáng)TK被用在認(rèn)證當(dāng)中并且還在用在對包括有效載荷數(shù)據(jù)的數(shù)據(jù)包的加密/解密中。

在每次軟切換后以及在用戶站6的每次上電和初始化階段后，在訪問點(diǎn)的認(rèn)證步驟期間在用戶站6中生成新的PTK。

根據(jù)本發(fā)明，參照圖2中的流程圖所表示的步驟集合100，在步驟101中，參數(shù)的修改值(下文中稱種子數(shù))，例如隨機(jī)值，由NMS 4生成，并且由NMS4例如根據(jù)簡單網(wǎng)絡(luò)管理協(xié)議(SNMP)經(jīng)由骨干網(wǎng)3傳送到訪問點(diǎn)2。

根據(jù)所確定的種子數(shù)現(xiàn)實(shí)化模式重復(fù)進(jìn)行步驟101，例如循環(huán)地隨機(jī)給種子數(shù)賦予新值(例如每周、每天、或每小時(shí)提供一個(gè)更新的種子數(shù))。

在步驟102中，任何訪問點(diǎn)2的無線電接口定期地傳送種子數(shù)的最新值。

在該步驟102的實(shí)施例中，每當(dāng)訪問點(diǎn)2從NMS 4接收種子數(shù)的新值時(shí)，訪問點(diǎn)2就在其信標(biāo)消息的給定字段中用新接收到的種子數(shù)值來替換前一次接收到的種子數(shù)值。正如所已知的，除了在嘗試通過訪問點(diǎn)連接到電信網(wǎng)1進(jìn)行信標(biāo)消息接收等級測量時(shí)的信標(biāo)接收等級測量值之外，信標(biāo)消息還包括用戶站6所使用的訪問點(diǎn)2的標(biāo)識數(shù)據(jù)。訪問點(diǎn)2的信標(biāo)消息通過訪問點(diǎn)的無線電接口重復(fù)進(jìn)行傳送，例如每30ms一次。

在所考慮的實(shí)施例中，所傳送的信標(biāo)消息符合采用IEEE 802.11標(biāo)準(zhǔn)的信標(biāo)消息，將種子數(shù)值被插入專用于專有信息的信標(biāo)消息的字段中。

此外，在該步驟102的實(shí)施例中，每當(dāng)訪問點(diǎn)2從NMS 4接收種子數(shù)的新值時(shí)，訪問點(diǎn)2就在其探詢響應(yīng)幀的給定字段中用新接收到的種子數(shù)值替換前一次接收到的種子數(shù)值。

正如所已知的，響應(yīng)于由用戶站6發(fā)送且由訪問點(diǎn)接收的任何探詢請求，訪問點(diǎn)2的無線電接口傳送IEEE 802.11的探詢響應(yīng)幀，該探詢響應(yīng)幀包括訪問點(diǎn)的標(biāo)識數(shù)據(jù)。

根據(jù)本發(fā)明所考慮的實(shí)施例的所傳送的探詢響應(yīng)幀符合IEEE 802.11標(biāo)準(zhǔn)，將種子數(shù)值被插入專用于專有信息的字段中。

在步驟103中，位于訪問點(diǎn)2的無線電覆蓋區(qū)域內(nèi)的用戶站6的無線電接口接收在步驟102中通過訪問點(diǎn)2傳送的種子數(shù)的新值并將該新值存儲(chǔ)在用戶站6的存儲(chǔ)器中。用戶站6根據(jù)存儲(chǔ)在用戶站的存儲(chǔ)器中的PSK密鑰并且根據(jù)該最后存儲(chǔ)的種子數(shù)值生成PTK密鑰。

在用戶站和訪問點(diǎn)之間的認(rèn)證步驟期間，每次生成所述PTK密鑰，車載用戶站6就進(jìn)行軟切換或上電，并且所述PTK密鑰還用于隨后的加密/解密。

本發(fā)明使得能夠增強(qiáng)電信系統(tǒng)1的安全，并且對于電信系統(tǒng)的性能(例如，軟切換時(shí)長)和復(fù)雜度的影響非常有限。

上述優(yōu)點(diǎn)例如在列車以達(dá)到100km/h的速度行駛時(shí)是有價(jià)值的，其中，車載用戶站在訪問點(diǎn)之間頻繁進(jìn)行硬切換，并且硬切換時(shí)長應(yīng)該盡可能短：在90％的切換中具有低于100ms的值。

在步驟103的實(shí)施例中，每當(dāng)車載用戶站進(jìn)行軟切換或者上電時(shí)，根據(jù)IEEE 802.11，用戶站6通過監(jiān)聽周圍的訪問點(diǎn)2所傳送的信標(biāo)來搜索新的合適的訪問點(diǎn)2。為了加速對合適的訪問點(diǎn)的搜索，用戶站6可選地根據(jù)IEEE 802.11發(fā)送探詢請求。

然后，用戶站6分析所監(jiān)聽的信標(biāo)和/或探詢響應(yīng)幀、根據(jù)IEEE 802.11選擇合適的訪問點(diǎn)2，例如訪問點(diǎn)AP₃(正如所已知的，用戶站6至少基于訪問點(diǎn)AP₃所傳送的無線電信號的接收等級選擇訪問點(diǎn)AP₃)。用戶站6在其存儲(chǔ)器中存儲(chǔ)了包含在所選擇的訪問點(diǎn)AP₃所傳送的信標(biāo)和/或探詢響應(yīng)內(nèi)的信息，該信息包括諸如根據(jù)IEEE 802.11的認(rèn)證類型以及新的種子數(shù)之類的安全參數(shù)。然后，用戶站6根據(jù)IEEE 802.11經(jīng)由其無線電接口向所選擇的訪問點(diǎn)AP₃傳送的要求與所選擇的訪問點(diǎn)AP₃相關(guān)聯(lián)的關(guān)聯(lián)請求。一旦用戶站6之間的關(guān)聯(lián)步驟交換成功完成并且所選擇的訪問點(diǎn)AP₃與用戶站6相關(guān)聯(lián)，則認(rèn)證步驟開始。在訪問點(diǎn)AP₃和用戶站6之間的認(rèn)證步驟完成之前，不可能進(jìn)行有效載荷數(shù)據(jù)的遠(yuǎn)程通信。

圖3示出了表示諸如在步驟103的實(shí)施例中執(zhí)行的用戶站6和相關(guān)聯(lián)的訪問點(diǎn)(所選擇的訪問點(diǎn)AP₃)之間的認(rèn)證階段200的步驟的流程圖。

在步驟201中，用戶站6生成可操作共享密鑰OPSK，以作為用戶站6的存儲(chǔ)器中所存儲(chǔ)的預(yù)共享密鑰PSK和用戶站6的存儲(chǔ)器中最后所存儲(chǔ)的新種子數(shù)的函數(shù)(函數(shù)F1)：OPSK＝F1(PSK，種子數(shù))。

在實(shí)施例中，函數(shù)F1基于IETF RFC2898中所定義的PBKDF2函數(shù)。

在步驟202中，用戶站6生成SNONCE值，SNONCE值可以是基于RFC2898中所定義的PBKDF2以O(shè)PSK為主輸入生成的隨機(jī)數(shù)，并且可以是根據(jù)IETF RFC 4086直接生成的隨機(jī)數(shù)或隨機(jī)值。

在執(zhí)行步驟201和步驟202同時(shí)，在步驟301中，訪問點(diǎn)AP3還生成可操作共享密鑰OPSK以作為訪問點(diǎn)AP₃的存儲(chǔ)器中所存儲(chǔ)的預(yù)共享密鑰PSK以及訪問點(diǎn)AP₃的存儲(chǔ)器最后所存儲(chǔ)的種子數(shù)的函數(shù)(函數(shù)F1)：OPSK＝F1(PSK，種子數(shù))；并且在步驟302中，訪問點(diǎn)AP₃生成ANONCE，在主輸入是OPSK的情況下，ANONCE值可以是基于RFC2898中所限定的PBKDF2以O(shè)PSK為主輸入所生成的隨機(jī)數(shù)，并且可以是根據(jù)IETF RFC 4086生成的隨機(jī)數(shù)或隨機(jī)值。

在步驟303中，訪問點(diǎn)AP₃通過各自的無線電接口向用戶站6傳送第一認(rèn)證消息，第一認(rèn)證消息包括所生成的ANONCE值。

在步驟304中，用戶站6接收訪問點(diǎn)AP₃所傳送的第一認(rèn)證消息，并且根據(jù)包括在所接收的第一認(rèn)證消息中的ANONCE值并且根據(jù)SNONCE以及在步驟201中生成的可操作共享密鑰OPSK得出成對臨時(shí)密鑰PTK：PTK＝F3(ANONCE，SNONCE，OPSK)，其中，F(xiàn)3是ANONCE值和OPSK值以及SNONCE值的函數(shù)。

在實(shí)施例中，函數(shù)F3是IEEE802.11標(biāo)準(zhǔn)定義的PRF-n函數(shù)。

在步驟305中，用戶站6通過各自的無線電接口向訪問點(diǎn)AP₃傳送第二認(rèn)證消息，第二認(rèn)證消息包括基于通過IEEE802.11標(biāo)準(zhǔn)規(guī)定的四次握手(four way handshake)機(jī)制中所限定的CBTC-MAC(Communication Based Train Control System-Media Access Control，基于通信的列車自動(dòng)控制系統(tǒng)-媒體訪問控制)生成的SNONCE值和消息完整性代碼(MIC)。在步驟306中，訪問點(diǎn)AP₃接收用戶站6所傳送的第二認(rèn)證消息。訪問點(diǎn)AP₃檢驗(yàn)所接收到的第二認(rèn)證消息中的MIC是有效的(例如，當(dāng)且僅當(dāng)訪問點(diǎn)自身所計(jì)算的MIC等于所接收到的第二認(rèn)證消息中的MIC并且是基于ANONCE消息及消息中的報(bào)頭計(jì)算的時(shí)，則認(rèn)為該MIC是有效的)，并且僅在MIC被檢驗(yàn)為有效的情況下(其他情況下認(rèn)證失敗)，訪問點(diǎn)AP₃根據(jù)包括在所接收到的第二認(rèn)證消息中的SNONCE值并且根據(jù)在步驟201中生成的可操作共享密鑰OPSK并且還根據(jù)ANONOE得到成對臨時(shí)密鑰PTK：PTK＝F4(ANONCE，SNONCE，OPSK)，其中F4是ANONCE值、SNONCE值和OPSK值的函數(shù)。F4函數(shù)為IEEE802.11標(biāo)準(zhǔn)所定義的PRF-n函數(shù)的F3函數(shù)，即。

在步驟307中，訪問點(diǎn)AP₃經(jīng)由各自的無線電接口向用戶站6傳送第三認(rèn)證消息，第三認(rèn)證消息包括對于安裝PTK的同時(shí)，該P(yáng)TK采用根據(jù)第三認(rèn)證消息的報(bào)頭以及根據(jù)ANONCE計(jì)算的MIC進(jìn)行證明。

在步驟308中，正如在IEEE802.11的四次握手機(jī)制中所定義的那樣，用戶站6接收訪問點(diǎn)AP₃所傳送的第三認(rèn)證消息。用戶站6檢驗(yàn)所接收到的第三認(rèn)證消息中的MIC是否有效(類似于步驟306，用戶站計(jì)算第三認(rèn)證消息的內(nèi)容的MIC并且和該消息內(nèi)的MIC進(jìn)行比較；當(dāng)且僅當(dāng)它們是相同的時(shí)，則認(rèn)為該消息有效)，并且僅在MIC被檢驗(yàn)為有效的情況下(其他情況下認(rèn)證失敗)，用戶站6向訪問點(diǎn)AP₃傳送第四認(rèn)證消息，第四認(rèn)證消息包括根據(jù)第四認(rèn)證消息的報(bào)頭以及根據(jù)SNONCE計(jì)算的MIC。

然后，在步驟309中，用戶站6將步驟304中生成的密鑰PTK安裝在其存儲(chǔ)器中。

在步驟310中，訪問點(diǎn)AP3接收用戶站6所傳送的第四認(rèn)證消息，然后訪問點(diǎn)AP3將步驟306中生成的密鑰PTK安裝在其存儲(chǔ)器中。

然后，完成認(rèn)證，并且進(jìn)行有效載荷數(shù)據(jù)的傳遞(步驟311)，用戶站6基于其存儲(chǔ)器中所存儲(chǔ)的PTK密鑰，使用加密/解密密鑰來對這些有效載荷數(shù)據(jù)進(jìn)行加密/解密(并且類似地，訪問點(diǎn)AP₃使用其存儲(chǔ)器中所存儲(chǔ)的PTK密鑰來加密/解密有效載荷數(shù)據(jù))。

在現(xiàn)有技術(shù)IEEE 802.11標(biāo)準(zhǔn)中，考慮到圖3，不存在步驟201和步驟301，并且在步驟202、302-311中，使用預(yù)共享密鑰PSK來代替密鑰OPSK以生成成對臨時(shí)密鑰PTK。本發(fā)明能夠使靜態(tài)的密鑰(PSK密鑰)轉(zhuǎn)變?yōu)閯?dòng)態(tài)的密鑰(OPSK密鑰)。

以上步驟202、302、303、304、305、306、307、308、309、310是當(dāng)考慮到動(dòng)態(tài)的OPSK而不是靜態(tài)的PSK時(shí)用于認(rèn)證階段的在IEEE 802.11中所限定的步驟。

在不顯著地增加系統(tǒng)架構(gòu)的復(fù)雜度或硬切換時(shí)長的情況下，本發(fā)明能夠增加安全等級。

參照圖示，以上已經(jīng)在用戶站和訪問點(diǎn)之間的IEEE 802.11無線電通信的情況下描述了本發(fā)明的實(shí)施例。當(dāng)然，能夠使用用于不同于802.11進(jìn)行通信的無線電協(xié)議來實(shí)施訪問點(diǎn)和用戶站所共享的靜態(tài)密鑰的使用以及根據(jù)本發(fā)明在認(rèn)證步驟和/或加密/解密步驟中定期進(jìn)行修改的隨機(jī)數(shù)的使用，并且更一般地在本發(fā)明的實(shí)施例中，能夠使用用于通信的其它無線接口來代替無線電接口。