专利名称：一种基于可信度的无线局域网可信接入方法及系统的制作方法
技术领域：
本发明涉及接入认证领域，特别是涉及一种基于可信度的无线局域网可信接入方 法及系统。
背景技术：
可信网络连接(Trusted Network Connection, TNC)技术是建立在可信计算技术 之上的，其主要目的在于以可信计算提供的终端安全技术为依托，实现整个网络的安全可 信，将信任链进一步延伸到整个网络中。TNC不是全新的技术实现，而是综合现有成熟的网 络访问控制技术(例如802. lx、IKE、ΕΑΡ、Radius)来实现安全可信的接入控制功能。TNC构架的主要目的是通过提供一个由成熟的接入认证协议和规范组成的开放性 框架来实现一种普适通用的接入认证技术，它提供如下功能身份认证与可信验证用于验证网络访问请求者身份的合法性，以及平台的完整 性状态。访问授权为终端的状态建立一个可信级别，例如确认应用程序的存在性、状 态、升级情况，升级防病毒软件和IDS的规则库的版本，终端操作系统和应用程序的补丁级 别等，从而使终端被给予一个访问网络的权限。评估、隔离及补救通过评估终端的可信状态，确保不符合可信策略要求的终端机 能被隔离在可信网络之外，如果满足策略要求则对其执行补救操作。TNC提出了实现移动终端入网时可信验证的总体技术框架，但在可信接入认证具 体实现机制和移动终端可信状态量化分析等方面还有待深入，在可信接入与补救的实现框 架、协议和流程方面的研究还缺乏对具体网络实施方案和细节的规范化和标准化，这不利 于可信网络产品和设备的开发、实现以及互连互通，因此对可信网络接入各方面的技术还 需要通过深入研究不断细化完善。TNC建议的接入认证协议IF-T基于EAP(Extensible Authentication Protocol, πΤ ΓΜτΛ Ε^ )，iK^J^t TCP/IP (Transmission Control Protocol/InternetProtocol,传输控制协议/因特网互联协议)层，且使用了 “内部”和“外 部”EAP方法，协议栈结构和分组封装都比较复杂。
发明内容
本发明提供一种基于可信度的无线局域网可信接入方法及系统，用以解决现有技 术中存在的移动终端在可信接入方面不够完善的问题。为达上述目的，一方面，本发明提供一种基于可信度的无线局域网可信接入方法， 所述方法包括以下步骤在移动终端的接入身份认证成功之后，根据安全参数设置计算接入认证系统的接 入门限可信度Ka以及所述移动终端的可信度K ；当所述移动终端的可信度K等于接入门限可信度Ka时，允许所述移动终端接入无 线局域网。
进一步，在移动终端的接入身份认证成功之后，还需计算接入认证系统的补救门 限可信度Kk ；当所述移动终端的可信度K小于补救门限可信度Kk时，不允许所述移动终端接入 无线局域网；当所述移动终端的可信度K大于等于补救门限可信度Kk、且小于其接入门限可信 度Ka时，对所述移动终端进行可信补救，可信补救之后，重新计算其可信度K，进行重新认 证。进一步，所述移动终端的可信度K通过公式(1)计算K = YjW^i(1)
/=1其中，Wi为所述移动终端第i个文件的归一化权重值屯为所述移动终端第i个 文件的可信度；η为所述移动终端进行可信接入认证需验证的文件个数。进一步，所述移动终端第i个文件的可信度Ici通过公式(2)计算
mK = IwllJcii(2)
戶1其中，Wu为所述移动终端第i个文件中第j个属性的可信权重；ku为所述移动终 端第i个文件中第j个属性的可信度；m为所述移动终端第i个文件中需验证的属性个数。进一步，当所述移动终端第i个文件中第j个属性通过可信验证时，k.j通过公式 ⑶计算= δ ^(1-δ ^ Xsij (3)其中，δ i为所述移动终端第i个文件的可信度先验值；su为所述移动终端第i个 文件中属性j的验证成功系数。进一步，当所述移动终端第i个文件中第j个属性没有通过可信验证时，k.j通过 公式⑷计算= (1-fij) XSi (4)其中，δ i为所述移动终端第i个文件的可信度先验值为所述移动终端第i个 文件中属性j的验证失败系数。进一步，当所属移动终端进行可信接入认证时需验证的所有文件的所有属性都通 过可信验证时，根据公式(1) (2) (3)计算出的K值就是KA。进一步，所述移动终端通过可信认证协议与可信服务器进行通信，进行可信认 证；所述可信认证协议的分组格式包括代码、标识符、长度1、类型、标志域、版本、长 度2、属性、长度3。进一步，所述移动终端与可信补救服务器需通过补救协议进行通信；所述补救协议的分组格式包括消息类型、长度、补救ID、可信度、资源定位码其 中，资源定位码包括相对定位码和全局定位码。另一方面，本发明还提供一种基于可信度的无线局域网可信接入系统，包括移动 终端和无线可信接入点，所述系统包括可信接入服务器，用于在移动终端的接入身份认证成功之后，计算所述移动终端的可信度K和接入认证系统的接入门限可信度Ka和补救门限可信度Kk ；并根据K、KA和Κκ， 判定是否允许所述移动终端接入无线局域网；可信补救服务器，用于当K大于等于Kk、且小于Ka时，对所述移动终端进行补救操 作，以提高其可信度。本发明有益效果如下本发明提出的可信接入方法，有利于对移动终端的入网进行安全控制；在认证过 程中实现了对移动终端可信状态信息的量化评估，并且针对不同的可信度实施不同的处理 机制，认证粒度更细，便于实际应用；另外，本发明实施无需对现有设备进行较大的改动，实 施和部署都比较方便。
图1为本发明实施例一种基于可信度的无线局域网可信接入方法的流程图；图2为本发明实施例可信认证协议分组格式图；图3为本发明实施例可信认证协议封装图；图4为本发明实施例可信接入认证流程图；图5为本发明实施例补救协议分组格式图；图6为本发明实施例可信补救协义分组在EAP分组中的封装图；图7为本发明实施例可信补救流程图；图8为本发明实施例基于可信度的无线局域网可信接入系统组成图。
具体实施例方式以下结合附图以及实施例，对本发明进行进一步详细说明。应当理解，此处所描述 的具体实施例仅仅用以解释本发明，并不限定本发明。如图1所示，本发明实施例涉及一种基于可信度的无线局域网可信接入方法，具 体包括以下步骤第一步，进行基于证书的双向身份认证无线可信接入点依据移动终端(用户)所 持有的能证明其身份的数字证书，对接入网络用户的身份进行认证；本步骤可以基于现有 身份认证技术中的任意一种进行身份认证。第二步，认证结果判决根据第一步身份认证的结果，决定用户是否可以继续完成 后续认证流程；如果认证成功，则转第三步，如果认证失败，则不允许移动终端接入无线局 域网。第三步，可信度计算计算移动终端可信度K，以及接入认证系统的接入门限可信 度Ka和补救门限可信度Κκ。第四步，可信度判决根据可信度K、补救门限可信度Kk和接入门限可信度Ka进行 判决，以决定是否允许终端接入无线局域网或进行可信补救。当K等于Ka时，则允许移动终 端接入无线局域网；当K小于Kk时，则不允许移动终端接入无线局域网；当Κκ<Κ<ΚΑ时， 则转步骤五。第五步，可信补救对符合补救条件(Kk < K < K)的移动终端进行隔离补救。补 救后再重新进行可信认证。
下面对以上各步骤进行详细的描述由于移动终端进行可信接入认证时会与接入认证服务器进行信息交互，需要设计 可信认证协议，下面，首先介绍本发明设计的可信认证协议。可信认证协议分组格式如图2所示，各个组成部分如下代码0x01表示请求(Request) ；0x02表示响应(Response) ；0x03表示成功 (Success) ；0x04 表示失败(Failure)；标识符用来匹配请求和响应的标识，是一个随机数；长度1 表示整个分组的长度；类型0xFF，自定义类型，区别于其他已有的EAP类型；标志域F置1表示该分组是承载分片数据的第一个分片；M置1表示该分组有后 续分片；N置1表示支持EAP-TNC中定义的Diffie-Hellman预协商；版本协议版本，为00001 ；长度2 表示数据分片前的总长度，当F置1时该域才存在；属性0χ01表示数字证书；0x02表示随机数；0x03表示可信状态信息(文件及属 性)；0x04表示可信度。最多可以扩展支持256种不同类型的用户数据；长度3:表示数据域长度。可信接入协议由EAPoL封装后，再由数据链路层帧封装并传输，协议封装如图3所
7J\ ο可信接入认证流程如图5所示，图5中，C表示移动终端，S表示可信接入服务器， E表示无线可信接入点，PK表示公钥，SK表示私钥，Cert表示可信第三方签发的证书，R表 示时间相关的随机数，T表示文件的可信状态信息，K。表示接入请求点C的可信度。可信接 入认证流程具体步骤如下步骤1，C — E =EAPoL-Start, C发起初始化连接请求；步骤2，E — C =EAP-Req, E向C请求身份证书以证明其合法性；步骤3，C — E {Certc+RJPKS，S的公钥加密Certc保证机密性，即除S以外其他的 C均无法获得Certc的明文，R1防止S端的重放攻击；E — S 认证请求 1，E 转发(Cert^R1IPKs ；步骤4，S解密出Certc并验证其合法性；步骤5，S — E {R^Ts+Rj SKs, S的私钥签名Ts保证其完整性以及身份的可证明性， C通过R1识别该分组是否是被重放，R2防止C端的重放攻击；E — C =EAP-Req, E 转发{^+Ts+Rj SKs 并请求 Tc ；步骤6，C对S的身份进行验证并解密出Ts对S的可信状态进行验证；步骤7，C — E {R2+Tc} SKc, C的私钥签名Tc保证其完整性以及身份的可证明性，S 通过R2识别该分组是否是被重放的；E — S 认证请求 2，E 转发{R2+Tc} SKc ；步骤8，S验证C的身份并解密出Tc并计算出Kc，对C的可信状态和可信度进行验 证。若验证后的可信度未达到接入可信度的要求，即K。< Ka,但C具备合法的补救权限即 Kc < Ke,则S通知C和E执行补救操作，若身份认证未通过则支持拒绝C接入；步骤9，S — E :Access-Accept+KC,可信认证成功，允许接入并发送可信度信息；
步骤10，E — C :EAP-Success+KC,认证成功，E开放端口允许C接入网络；步骤11，C ―― E 通信过程与数据收发；步骤12，C — E =EAPoL-Logoff，退出请求，E收到后将端口状态改变为认证态。步骤4、6、8共同实现了 C与S之间身份信息和可信状态信息的双向验证。而在步 骤8中，S不仅对所要求的TC进行定性判决，还对根据可信状态计算出的可信度K进行验 证。例如，若Ka为90%，Kk为60%，而实际验证后的K为85%，则需要实施适当的补救措 施，然后重新进行可信认证。步骤8中，可信度的计算通过以下步骤移动终端一般来说，包含有多个文件，每个文件又具备各种不同的属性，比如版本 号、日期、大小、签名、概要、Hash值等。有时候，文件的属性可能会被修改，会造成安全问题。 因此，需要通过综合文件各部分属性的完整性验证结果，判断文件的可信程度。不同属性对 于文件可信程度的影响各不相同，因此可以对其赋予不同的权重，并通过加权求和的方法 来计算文件可信度。为了使其能更客观的反应文件受信任的状态，采用不确定性思想的理论，基于模 糊化处理方法提出一种文件可信度算法。影响文件可信度k的因素包括可信度先验值δ、 可信验证系数s和f、可信权重ι若用、表示第i个文件中第个j属性被验证后获得的 可信度，Sij和、分别表示第i个文件中第j个属性的验证成功系数和失败系数，Wu为第i 个文件中第j个属性的可信权重，而S i是第i个文件的可信度先验值。su、fu、Si*、 可以根据经验值获得，也可以给出数值后，再通过有限次的反复对比和调整，以获得合适的
m
数值，且Σ>,/ = 1，
7=1则当移动终端的第i个文件中第j个属性通过可信验证时，k.j计算公式为= δ ^(1-δ ^ Xsij (1)当移动终端的第i个文件中第j个属性未通过可信验证时，k.j计算公式为= (1-fij) X δ j (2)每个文件的每个属性都有一个预期值，即被认为安全可信的值。而文件又有可能 被修改，因此，判断移动终端的第i个文件中第j个属性是否通过可信验证，就是判断移动 终端的第i个文件中第j个属性是否与预期值一致，如果一致，则通过可信验证，如果不一 致，则未通过可信验证。若移动终端的第i个文件总共被验证了 m种属性，则文件i最终的可信度Iii为
m众,二Σ wA(3)
7=1例如，同样选取版本号、日期、大小、签名、概要信息、核心代码Hash值作为某文件 i需要验证的属性值，将可信度先验值δ i设为0. 6，各属性的权重分配和可信验证系数配 置可如表1所示表 1
属性j验证成功系数(Sij)验证失败系数(fij)可信权重(Wu)
8
权利要求
一种基于可信度的无线局域网可信接入方法，其特征在于，所述方法包括以下步骤在移动终端的接入身份认证成功之后，根据安全参数设置计算接入认证系统的接入门限可信度KA以及所述移动终端的可信度K；当所述移动终端的可信度K等于接入门限可信度KA时，允许所述移动终端接入无线局域网。
2.如权利要求1所述基于可信度的无线局域网可信接入方法，其特征在于，在移动终 端的接入身份认证成功之后，还需计算接入认证系统的补救门限可信度Kk ；当所述移动终端的可信度K小于补救门限可信度Kk时，不允许所述移动终端接入无线 局域网；当所述移动终端的可信度K大于等于补救门限可信度Kk、且小于接入门限可信度Ka时， 对所述移动终端进行可信补救，可信补救之后，重新计算其可信度K，进行重新认证。
3.如权利要求1所述基于可信度的无线局域网可信接入方法，其特征在于，所述移动 终端的可信度K通过公式(1)计算K =(ι)/=1其中，Wi为所述移动终端第i个文件的归一化权重值；ki为所述移动终端第i个文件 的可信度；η为所述移动终端进行可信接入认证需验证的文件个数。
4.如权利要求3所述基于可信度的无线局域网可信接入方法，其特征在于，所述移动 终端第i个文件的可信度&通过公式(2)计算mk> =Yuwvkn(2)7=1其中，Wu为所述移动终端第i个文件中第j个属性的可信权重；ku为所述移动终端第 i个文件中第j个属性的可信度；m为所述移动终端第i个文件需验证的属性个数。
5.如权利要求4所述基于可信度的无线局域网可信接入方法，其特征在于，当所述移 动终端第i个文件中第j个属性通过可信验证时，k.j通过公式(3)计算= S^(I-Si)Xsij (3)其中，S i为所述移动终端第i个文件的可信度先验值为所述移动终端第i个文件 中属性j的验证成功系数。
6.如权利要求4所述基于可信度的无线局域网可信接入方法，其特征在于，当所述移 动终端第i个文件中第j个属性没有通过可信验证时，k.j通过公式(4)计算kjj = (Hij) X δ, (4)其中，S i为所述移动终端第i个文件的可信度先验值为所述移动终端第i个文件 中属性j的验证失败系数。
7.如权利要求5所述基于可信度的无线局域网可信接入方法，其特征在于，当所属移 动终端进行可信接入认证时需验证的所有文件的所有属性都通过可信验证时，根据公式 (1) (2) (3)计算出的K值就是Ka。
8.如权利要求1所述基于可信度的无线局域网可信接入方法，其特征在于，所述移动 终端通过可信认证协议与可信服务器进行通信，进行可信认证；2所述可信认证协议的分组格式包括代码、标识符、长度1、类型、标志域、版本、长度2、 属性、长度3。
9.如权利要求2所述基于可信度的无线局域网可信接入方法，其特征在于，所述移动 终端与可信补救服务器需通过补救协议进行通信；所述补救协议的分组格式包括消息类型、长度、补救ID、可信度、资源定位码其中， 资源定位码包括相对定位码和全局定位码。
10.一种基于可信度的无线局域网可信接入系统，包括移动终端和无线可信接入点，其 特征在于，所述系统包括可信接入服务器，用于在移动终端的接入身份认证成功之后，计算所述移动终端的可 信度K和接入认证系统的接入门限可信度Ka和补救门限可信度Kk ；并根据1(、1和Kk，判定 是否允许所述移动终端接入无线局域网；可信补救服务器，用于当K大于等于Kk、且小于Ka时，对所述移动终端进行补救操作， 以提高其可信度。
全文摘要
本发明公开了一种基于可信度的无线局域网可信接入方法及系统，所述方法包括以下步骤在移动终端的身份认证成功之后，根据安全参数设置计算接入认证系统的接入门限可信度KA以及所述移动终端的可信度K；当所述移动终端的可信度K等于接入门限可信度KA时，允许所述移动终端接入无线局域网。本发明提出的可信接入方法，有利于对移动终端的入网进行安全控制；在认证过程中实现了对移动终端可信状态信息的量化评估，并且针对不同的可信度实施不同的处理机制，认证粒度更细，便于实际应用；另外，本发明实施无需对现有设备进行较大的改动，实施和部署都比较方便。
文档编号H04W12/06GK101951607SQ201010506789
公开日2011年1月19日 申请日期2010年10月14日 优先权日2010年10月14日
发明者张剑, 曾梦岐, 肖毅, 邓永晖 申请人:中国电子科技集团公司第三十研究所