专利名称：混合组网的网络系统及方法
技术领域：
本发明属于无线通信网络安全应用领域，涉及一种无线局域网中具有管理帧保 护能力的设备与原有不具有管理帧保护的设备混合组网的网络系统及方法。
背景技术：
无线网络连接采用无线信号承载信息的传输。无线信号是发散的，无线电波广 播范围内的任何信号都很容易被监听到，造成通信信息泄露。目前广泛应用的WLAN技 术都没有实现对管理帧的保护，于是黑客可以伪造MAC地址假装成合法的工作站，通过 发送解除关联或解除链路验证消息使工作站的网络中止。网络中止后重新建立关联和认 证过程需要耗费一定的时间，致使网络遭到拒绝服务(DoS)攻击。对管理帧进行保护是将来无线网络应用的趋势。但是目前传统设备和具有管理 帧保护功能的设备并存于网络的局面还会持续一段时间。保证网络系统能兼容具有管理 帧保护功能的设备和现有的传统设备是组建网络系统和升级设备需要解决的问题。
发明内容
为了解决背景技术中存在的上述技术问题，本发明提供了一种安全性高、有效 提高系统效率的混合组网的网络系统及方法。本发明的技术解决方案是本发明提供了一种混合组网的网络系统，包括接入 点AP及不支持管理帧保护的用户终端STA1，其特殊之处在于所述混合组网的网络系 统还包括支持管理帧保护的用户终端STA2 ；所述混合组网的网络系统包括以下三种情 形情形一，当AP是支持管理帧保护的设备，并且允许STAl及STA2从所述AP接 入网络时，STAl与所述AP之间按照现有WAPI标准定义的管理帧的处理方式处理单播管理 帧；若STA2未成功完成单播密钥协商过程，则STA2与所述AP之间按照现有WAPI标 准定义的管理帧的处理方式处理单播管理帧，若STS2成功完成了单播密钥协商过程，则 STA2与所述AP之间按照现有WAPI标准中定义处理单播数据帧的处理方式处理单播管理 帧；所述AP对STAl及STA2广播被保护的组播管理帧，被保护的组播管理帧帧体 在现有WAPI标准中的组播管理帧帧体基础上进一步包含了管理帧MIC信息元素；STAl 接收到被保护的组播管理帧后，按照现有WAPI标准中定义的管理帧操作过程执行被保护 的组播管理帧帧体的除管理帧MIC信息元素之外的其他部分所指示的操作；STA2接收到 被保护的组播管理帧后，若未成功完成组播密钥协商过程，则STA2按照现有WAPI标准 中定义的管理帧操作过程执行被保护的组播管理帧帧体的除管理帧MIC信息元素之外的 其他部分所指示的操作，若已完成组播密钥协商过程，则STA2在成功校验管理帧MIC信 息元素后按照现有WAPI标准中定义的管理帧操作过程执行执行被保护的组播管理帧帧体的除管理帧MIC信息元素以外的其他部分所指示的操作；情形二，当接入点AP是不支持管理帧保护的设备时，STAl从所述AP接入网络时，STAl和AP按照现有WAPI标准中定义的管理帧的
处理方式构造和处理单播管理帧；AP按照现有WAPI标准中定义的管理帧的处理方式构 造组播管理帧，STAl按照现有WAPI标准中定义的管理帧的处理方式处理组播管理帧；STA2从所述AP接入网络时，若STA2禁用管理帧保护功能，贝Ij STA2和所述 AP按照现有WAPI标准中定义的管理帧的处理方式构造和处理单播管理帧，AP按照现 有WAPI标准中定义的管理帧的处理方式构造组播管理帧，STA2按照现有WAPI标准中 定义的管理帧的处理方式处理组播管理帧；若STA2设置为必须启用管理帧保护功能，则 STA2寻找其他接入点AP，直至寻找到支持管理帧保护的接入点AP时，STA2及该寻找 到的支持管理帧保护的接入点AP将按照情形一中STA2及AP的工作方式进行工作；情形三当接入点AP是支持管理帧保护的设备，并且允许STA2从所述AP接 入网络而不允许STAl从所述AP接入网络时，STA2及该接入点AP按照情形一中STA2及AP的工作方式进行工作；STAl寻找其他接入点AP，直至寻找到不支持管理帧保护的接入点AP时，STAl 和该寻找到的不支持管理帧保护的接入点AP按照现有WAPI标准中定义的管理帧的处理 方式构造和处理单播管理帧，该寻找到的不支持管理帧保护的接入点AP按照现有WAPI 标准中定义的管理帧的处理方式构造组播管理帧，STAl按照现有WAPI标准中定义的管 理帧的处理方式处理组播管理帧。上述情形一中，当AP对STAl及STA2广播被保护的组播管理帧时，若已完成 组播密钥协商过程，则用户终端STA2校验管理帧MIC信息元素中的消息鉴别码MIC ； 如果校验失败，则接收端STA2丢弃该被保护的组播管理帧；如果校验成功，则接收端 STA2按照现有WAPI标准中定义的管理帧操作过程执行该被保护的组播管理帧帧体的除 管理帧MIC信息元素以外的其他部分所指示的操作。上述被保护的组播管理帧包括MAC头、管理帧帧体以及帧检验序列FCS ；管 理帧帧体在现有WAPI标准中的帧体基础上进一步包含了管理帧MIC信息元素；管理帧 MIC信息元素包含元素标识、长度以及信息字段；其中所述元素标识用于指示含有所述元素标识的信息元素是管理帧MIC信息元素， 其值不与WAPI标准中已经定义的元素标识的取值相同，所述信息元素的信息字段中至少 包含消息鉴别码MIC ；所述消息鉴别码MIC是利用组播会话密钥对管理帧体中除所述消 息鉴别码MIC之外的其他数据进行计算生成的。一种混合组网方法，其特殊之处在于当接入点AP是支持管理帧保护的设备， 用户终端STAl是不支持管理帧保护的用户终端，用户终端STA2是支持管理帧保护的用 户终端，并且所述接入点AP允许用STAl以及STA2接入网络时，所述混合组网方法包 括以下过程1)用户终端与接入点AP相互发送单播管理帧1.1)当接入网络的用户终端是用户终端STAl时，接入点AP不启用管理帧保护 功能，发送端和接收端的处理过程与现有WAPI标准中发送端和接收端对管理帧的处理过程相同，发送和处理未加密的单播管理帧；其中，当发送端为用户终端STAl时，接收端 为接入点AP，当发送端为接入点AP时，接收端为用户终端STAl ；1.2)当接入网络的用户终端是用户终端STA2时，若所述接入点AP与用户终端 STA2在未成功完成单播密钥协商过程，则发送端发送未加密的单播管理帧，其发送端处 理过程与WAPI标准中的管理帧的处理过程相同，接收端接收到未加密的单播管理帧后按 照WAPI标准中的管理帧的处理过程处理；若用户终端STS2成功完成了单播密钥协商过 程，则发送端利用单播会话密钥发送加密的单播管理帧，其发送端处理过程与WAPI标准 中定义的单播数据帧的处理方式相同，接收端收到加密的单播管理帧后按照WAPI标准中 定义的单播数据帧的处理方式进行处理；其中，当发送端为用户终端STA2时，接收端为 接入点AP，当发送端为接入点AP时，接收端为用户终端STA2;2)接入点AP构造被保护的组播管理帧发送给用户终端，被保护的组播管理帧帧 体在现有WAPI标准中的组播管理帧帧体基础上进一步包含了管理帧MIC信息元素2.1)当接入网络的用户终端是用户终端STAl时，用户终端STAl忽略管理帧 MIC信息元素并按照现有WAPI标准中定义的管理帧操作过程执行被保护的组播管理帧帧 体的除管理帧MIC信息元素之外的其他部分所指示的操作；2.2)当接入网络的用户终端是用户终端STA2时，2.2.1)若接入点AP与用户终端STA2未成功完成组播密钥协商过程，则用户终端 STA2忽略管理帧MIC信息元素并按照现有WAPI标准中定义的管理帧操作过程执行被保 护的组播管理帧帧体的除管理帧MIC信息元素之外的其他部分所指示的操作；2.2.2)若接入点AP与用户终端STA2已完成组播密钥协商过程，则户终端STA2 在成功校验管理帧MIC信息元素后按照现有WAPI标准中定义的管理帧操作过程执行， 执行被保护的组播管理帧帧体的除管理帧MIC信息元素以外的其他部分所指示的操作。上述过程2.2.2)的具体实现方式是用户终端STA2校验管理帧MIC信息元素 中的消息鉴别码MIC，即根据所述管理帧MIC信息元素中包含的消息鉴别码MIC检验管 理帧帧体中除了管理帧MIC信息元素以外的其他数据是否合法；如果不合法，则接收端 STA2丢弃该组播管理帧；如果合法，则接收端STA2按照现有WAPI标准中定义的管理 帧操作过程执行被保护的组播管理帧帧体的除管理帧MIC信息元素以外的其他部分所指 示的操作。上述被保护的组播管理帧包括MAC头、管理帧帧体以及帧检验序列FCS ；管 理帧帧体在现有WAPI标准中的帧体基础上进一步包含了管理帧MIC信息元素；管理帧 MIC信息元素包含元素标识、长度以及信息字段；其中所述元素标识用于指示含有所述元素标识的信息元素是管理帧MIC信息元素， 其值不与WAPI标准中已经定义的元素标识的取值相同，所述信息元素的信息字段中至少 包含消息鉴别码MIC ；所述消息鉴别码MIC是利用组播会话密钥对管理帧体中除所述消 息鉴别码MIC之外的其他数据进行计算生成的。一种混合组网方法，其特殊之处在于当接入点AP是不支持管理帧保护的设 备，用户终端包括不支持管理帧保护的用户终端STAl以及支持管理帧保护的用户终端 STA2时，所述混合组网方法包括以下过程
1)当接入网络的用户终端是用户终端STAl时，STAl和AP按照现有WAPI标
准中定义的管理帧的处理方式构造和处理单播管理帧；AP按照现有WAPI标准中定义的 管理帧的处理方式构造组播管理帧，STAl按照现有WAPI标准中定义的管理帧的处理方 式处理组播管理帧；2)当接入网络的用户终端是用户终端STA2时，若用户终端STA2禁用管理帧保 护功能，则STA2和所述AP按照现有WAPI标准中定义的管理帧的处理方式构造和处理 单播管理帧，AP按照现有WAPI标准中定义的管理帧的处理方式构造组播管理帧，STA2 按照现有WAPI标准中定义的管理帧的处理方式处理组播管理帧；若用户终端STA2设置 为必须启用管理帧保护功能，则用户终端STA2寻找其他接入点AP，直至寻找到支持管 理帧保护的接入点AP接入网络时，2.1)若所述寻找到支持管理帧保护的接入点AP与用户终端STA2未成功完成单 播密钥协商过程，则发送端发送未加密的单播管理帧，其发送端处理过程与WAPI标准中 的管理帧的处理过程相同，接收端接收到未加密的单播管理帧后按照WAPI标准中的管理 帧的处理过程处理；若用户终端STA2成功完成了单播密钥协商过程，则发送端利用单播 会话密钥发送加密的单播管理帧，其发送端处理过程与WAPI标准中定义的单播数据帧的 处理方式相同，接收端收到加密的单播管理帧后按照WAPI标准中定义的单播数据帧的处 理方式进行处理；其中，当发送端为用户终端STA2时，接收端为所述寻找到支持管理帧 保护的接入点AP;当发送端为所述寻找到支持管理帧保护的接入点AP时，接收端为用 户终端STA2 ；2.2)若所述寻找到支持管理帧保护的接入点AP与用户终端STA2未成功完成组 播密钥协商过程，则用户终端STA2忽略所述寻找到支持管理帧保护的接入点AP发送给 用户终端STA2的被保护的组播管理帧中的管理帧MIC信息元素，并按照现有WAPI标 准中定义的管理帧操作过程执行被保护的组播管理帧帧体的除管理帧MIC信息元素之外 的其他部分所指示的操作；若所述寻找到支持管理帧保护的接入点AP与用户终端STA2 已完成组播密钥协商过程，则户终端STA2在成功校验管理帧MIC信息元素后按照现有 WAPI标准中定义的管理帧操作过程执行，执行被保护的组播管理帧帧体的除管理帧MIC 信息元素以外的其他部分所指示的操作。在上述过程2.2)中，若已完成组播密钥协商过程，则用户终端STA2校验管理帧 MIC信息元素中的消息鉴别码MIC;如果校验失败，则接收端STA2丢弃该被保护的组播 管理帧；如果校验成功，则接收端STA2按照现有WAPI标准中定义的管理帧操作过程执 行该被保护的组播管理帧帧体的除管理帧MIC信息元素以外的其他部分所指示的操作。一种混合组网方法，其特殊之处在于当接入点AP是支持管理帧保护的设备， 用户终端STAl是不支持管理帧保护的用户终端，用户终端用STA2是支持管理帧保护的 用户终端，并且所述接入点AP只允许用户终端STA2接入而不允许用户终端STAl接入 网络时，所述混合组网方法包括以下过程1)当接入网络的用户终端是用户终端STAl时，所述用户终端STAl寻找其他接 入点AP，直至寻找到不支持管理帧保护的接入点AP时，用户终端STAl和该寻找到的不 支持管理帧保护的AP按照现有WAPI标准中定义的管理帧的处理方式构造和处理单播管 理帧，该寻找到的不支持管理帧保护的AP按照现有WAPI标准中定义的管理帧的处理方式构造组播管理帧，STAl按照现有WAPI标准中定义的管理帧的处理方式处理组播管理 帧；2)当接入网络的用户终端是用户终端STA2时，2.1)若所述接入点AP与用户终端STA2未成功完成单播密钥协商过程，则发送 端发送未加密的单播管理帧，其发送端处理过程与WAPI标准中的管理帧的处理过程相 同，接收端接收到未加密的单播管理帧后按照WAPI标准中的管理帧的处理过程处理； 若用户终端STS2成功完成了单播密钥协商过程，则发送端利用单播会话密钥发送加密的 单播管理帧，其发送端处理过程与WAPI标准中定义的单播数据帧的处理方式相同，接收 端收到加密的单播管理帧后按照WAPI标准中定义的单播数据帧的处理方式进行处理； 其中，当发送端为用户终端STA2时，接收端为接入点AP;当发送端为接入点AP时，接 收端为用户终端STA2 ；2.2)若所述接入点AP与用户终端STA2未成功完成组播密钥协商过程，则用户 终端STA2忽略所述接入点AP发送给用户终端STA2的被保护的组播管理帧中的管理帧 MIC信息元素，并按照现有WAPI标准中定义的管理帧操作过程执行被保护的组播管理帧 帧体的除管理帧MIC信息元素之外的其他部分所指示的操作；若所述接入点AP与用户 终端STA2已完成组播密钥协商过程，则用户终端STA2在成功校验管理帧MIC信息元素 后按照现有WAPI标准中定义的管理帧操作过程执行执行被保护的组播管理帧帧体的除管 理帧MIC信息元素以外的其他部分所指示的操作。上述被保护的组播管理帧包括MAC头、管理帧帧体以及帧检验序列FCS ；管 理帧帧体在现有WAPI标准中的帧体基础上进一步包含了管理帧MIC信息元素；管理帧 MIC信息元素包含元素标识、长度以及信息字段；其中所述元素标识用于指示含有所述元素标识的信息元素是管理帧MIC信息元素， 其值不与WAPI标准中已经定义的元素标识的取值相同，所述信息元素的信息字段中至少 包含消息鉴别码MIC ；所述消息鉴别码MIC是利用组播会话密钥对管理帧体中除所述消 息鉴别码MIC之外的其他数据进行计算生成的。本发明提供了一种用于混合组网的管理帧保护方法及其系统，在支持管理帧保 护的设备和现有不支持管理帧保护的设备组成的系统中，保证传统设备正常接入系统， 并能够正常解析含有保护字段的组播管理帧，有效提高系统效率。
图1是混合组网系统中发送单播管理帧的示意图；图2是混合组网系统中发送组播管理帧的示意图；图3是组播管理帧的结构示意图。
具体实施例方式以下是结合本发明中的附图对本发明的具体实施方式
的描述，足以使本领域的 技术人员理解和实施。本发明较佳实施方式提供了一种支持管理帧保护设备与现有不支持管理帧保护设备混合组网的方法，尽量降低设备升级的代价并实现升级前后的设备并存的系统。以 下实施例中现有WAPI标准指代国家标准GB15629.11-2003/XG1-2006版本；现有不支持 管理帧保护的用户终端用STAl表示；支持管理帧保护的用户终端用STA2表示，其主要 实施过程如下本发明对于支持管理帧保护的设备与不支持管理帧保护的设备混合组网的系统 主要包括以下三种情形情形一，接入点AP是支持管理帧保护的设备，并且同时允许用户终端STAl与 用户终端STA2接入网络。参见图1，是情形一下混合组网系统中发送单播管理帧的示意图，具体实施过程 如下1、用户终端STAl通过接入点AP接入网络时，接入点AP不启用管理帧保护功 能，发送端(STA1或AP)和接收端(AP或STA1)的处理过程按照现有WAPI标准中定义 的管理帧的处理方式，处理未加密的单播管理帧450。2、用户终端STA2启用管理帧保护功能与所述接入点AP建立连接，具体实施分 为以下两种情况a)如果所述接入点AP与所述用户终端STA2在未成功完成单播密钥协商过程时 需要发送单播管理帧，发送端(STA2或AP)发送未加密的单播管理帧450，其发送端处 理过程与现有WAPI标准中定义的管理帧的处理方式相同；接收端(AP或STA2)接收到 未加密的单播管理帧450后也按照现有WAPI标准中定义的管理帧的处理方式处理。b)如果所述接入点AP与所述用户终端STA2完成了单播密钥协商过程，发送端 (STA2或AP)发送单播管理帧时，发送端利用单播会话密钥发送加密的单播管理帧400， 其发送端处理过程与现有WAPI标准中定义的单播数据帧的处理方式相同；接收端(AP 或STA2)收到后也按照现有WAPI标准中定义的单播数据帧的处理方式进行处理。在情形一下，所述接入点AP发送组播管理帧给用户终端STAl和用户终端STA2 的过程如图2所示，接入点AP广播给所有用户终端被保护的组播管理帧，具体实施过程 如下1、发送端接入点AP构造被保护的组播管理帧发送给接收端用户终端STAl和用 户终端STA2。组播管理帧的结构如图3所示，包括MAC头、帧体以及帧检验序列FCS 三个部分。现有WAPI标准中的帧体部分至少包含已有固定字段600，可能还包含已有信 息元素602。被保护的组播管理帧帧体在现有WAPI标准中的帧体基础上进一步包含了管 理帧MIC信息元素604。管理帧MIC信息元素604的结构与现有WAPI标准中定义的信 息元素格式相同，都包含元素标识、长度和信息字段。管理帧MIC信息元素604的元素标识用于指示该信息元素是管理帧MIC信息元 素604，其值不能与现有WAPI标准中已经定义的元素标识的取值相同。当元素标识表示 该信息元素为管理帧MIC信息元素604，那么该信息元素的信息字段中至少包含消息鉴 别码MIC。消息鉴别码MIC是利用组播会话密钥对管理帧体中的其他数据(至少包含已 有固定字段600，可能还包含已有信息元素602)进行计算生成的，主要用于检验在传输 过程中该消息是否有被篡改。2、用户终端STAl和用户终端STA2接收到被保护的组播管理帧500后执行不同的操作，其具体实施过程为a)用户终端STAl作为接收端因为用户终端STAl是现有不支持管理帧保护的 设备，所以不能解析管理帧MIC信息元素604的元素标识，用户终端STAl忽略所述管 理帧MIC信息元素604 ；但是管理帧帧体的除管理帧MIC信息元素604之外的其他部分 (至少包含已有固定字段600，可能还包含已有信息元素602)仍可以被用户终端STAl正 确解析，因此用户终端STAl将按照现有WAPI标准中定义的管理帧操作过程执行被保护 的组播管理帧帧体的除管理帧MIC信息元素604之外的其他部分所指示的操作。b)用户终端STA2作为接收端在未成功完成组播密钥协商过程时，因为用户 终端STA2没有安全组播会话密钥，无法校验管理帧MIC信息元素604字段，所以处理组 播管理帧500的方法与上述a)中相同；在成功完成组播密钥协商过程后，用户终端STA2 能够解析管理帧MIC信息元素604，因此用户终端STA2将首先校验管理帧MIC信息元 素604中的消息鉴别码MIC，即根据所述管理帧MIC信息元素604中包含的消息鉴别码 MIC检验管理帧帧体中除了管理帧MIC信息元素604以外的其他数据(至少包含已有固 定字段600，可能还包含已有信息元素602)是否合法。如果校验失败，则接收端STA2 丢弃该组播管理帧500 ；如果校验成功，则接收端STA2按照现有WAPI标准中定义的管 理帧操作过程执行被保护的组播管理帧500帧体的除管理帧MIC信息元素以外的其他部 分所指示的操作。在情形一下，接入点AP广播组播管理帧500时，接入点AP可以只用广播一次 组播管理帧500就能让系统中的所有用户终端解析组播管理帧500，不用分别对不同的用 户终端STAl和用户终端STA2分别广播组播管理帧500，提高了接入点AP的处理效率。情形二，接入点AP是现有不支持管理帧保护的设备。此情形下1、用户终端STAl要从接入点AP接入网络时，STAl和AP按照现有WAPI标 准中定义的管理帧的处理方式构造和处理单播管理帧，AP按照现有WAPI标准中定义的 管理帧的处理方式构造组播管理帧，STAl按照现有WAPI标准中定义的管理帧的处理方 式处理组播管理帧；2、用户终端STA2要从接入点AP接入网络时，则用户终端STA2禁用管理帧保 护功能，此时STA2和AP按照现有WAPI标准中定义的管理帧的处理方式构造和处理单 播管理帧，AP按照现有WAPI标准中定义的管理帧的处理方式构造组播管理帧，STA2按 照现有WAPI标准中定义的管理帧的处理方式处理组播管理帧；如果用户终端STA2设置 为必须启用管理帧保护功能，则用户终端STA2将无法接入该AP，需要寻找其他接入点 AP,直至寻找到支持管理帧保护的接入点AP时，STA2及该寻找到的支持管理帧保护的 接入点AP将按照情形一中STA2及AP的工作方式进行工作。情形三，接入点AP是支持管理帧保护的设备，并且只允许用户终端STA2接入 时，而不允许用户终端STAl从所述接入点AP接入网络。此时，STA2及该接入点AP将 按照情形一中STA2及AP的工作方式进行工作。STAl需要重新寻找其他的接入点AP， 直至寻找到现有不支持管理帧保护的接入点AP时，STAl和AP按照现有WAPI标准中定 义的管理帧的处理方式构造和处理单播管理帧，AP按照现有WAPI标准中定义的管理帧 的处理方式构造组播管理帧，STAl按照现有WAPI标准中定义的管理帧的处理方式处理 组播管理帧。
以上所述的实施例指示本发明较优选的具体实施方式
的一种，本领域的技术人 员在本发明技术方案范围内进行的各种变化和替换都应包含在本发明的保护范围内。
权利要求
1.一种混合组网的网络系统，包括接入点AP及不支持管理帧保护的用户终端 STAl,其特征在于所述混合组网的网络系统还包括支持管理帧保护的用户终端 STA2 ；所述混合组网的网络系统包括以下三种情形情形一，当AP是支持管理帧保护的设备，并且允许STAl及STA2从所述AP接入网 络时，STAl与所述AP之间按照现有WAPI标准定义的管理帧的处理方式处理单播管理帧； 若STA2未成功完成单播密钥协商过程，则STA2与所述AP之间按照现有WAPI标准定义 的管理帧的处理方式处理单播管理帧，若STS2成功完成了单播密钥协商过程，则STA2 与所述AP之间按照现有WAPI标准中定义处理单播数据帧的处理方式处理单播管理帧； 所述AP对STAl及STA2广播被保护的组播管理帧，被保护的组播管理帧帧体在现 有WAPI标准中的组播管理帧帧体基础上进一步包含了管理帧MIC信息元素；STAl接收 到被保护的组播管理帧后，按照现有WAPI标准中定义的管理帧操作过程执行被保护的组 播管理帧帧体的除管理帧MIC信息元素之外的其他部分所指示的操作；STA2接收到被保 护的组播管理帧后，若未成功完成组播密钥协商过程，则STA2按照现有WAPI标准中定 义的管理帧操作过程执行被保护的组播管理帧帧体的除管理帧MIC信息元素之外的其他 部分所指示的操作，若已完成组播密钥协商过程，则STA2在成功校验管理帧MIC信息元 素后按照现有WAPI标准中定义的管理帧操作过程执行执行被保护的组播管理帧帧体的除 管理帧MIC信息元素以外的其他部分所指示的操作； 情形二，当接入点AP是不支持管理帧保护的设备时，STAl从所述AP接入网络时，STAl和AP按照现有WAPI标准中定义的管理帧的处理方式构造和处理单播管理帧；AP按照现有WAPI标准中定义的管理帧的处理方式构造 组播管理帧，STAl按照现有WAPI标准中定义的管理帧的处理方式处理组播管理帧；STA2从所述AP接入网络时，若STA2禁用管理帧保护功能，贝Ij STA2和所述AP按 照现有WAPI标准中定义的管理帧的处理方式构造和处理单播管理帧，AP按照现有WAPI 标准中定义的管理帧的处理方式构造组播管理帧，STA2按照现有WAPI标准中定义的管 理帧的处理方式处理组播管理帧；若STA2设置为必须启用管理帧保护功能，则STA2寻 找其他接入点AP，直至寻找到支持管理帧保护的接入点AP时，STA2及该寻找到的支持 管理帧保护的接入点AP将按照情形一中STA2及AP的工作方式进行工作；情形三当接入点AP是支持管理帧保护的设备，并且允许STA2从所述AP接入网 络而不允许STAl从所述AP接入网络时，STA2及该接入点AP按照情形一中STA2及AP的工作方式进行工作； STAl寻找其他接入点AP，直至寻找到不支持管理帧保护的接入点AP时，STAl和 该寻找到的不支持管理帧保护的接入点AP按照现有WAPI标准中定义的管理帧的处理方 式构造和处理单播管理帧，该寻找到的不支持管理帧保护的接入点AP按照现有WAPI标 准中定义的管理帧的处理方式构造组播管理帧，STAl按照现有WAPI标准中定义的管理 帧的处理方式处理组播管理帧。
2.根据权利要求1所述的混合组网的网络系统，其特征在于所述情形一中，当AP 对STAl及STA2广播被保护的组播管理帧时，若已完成组播密钥协商过程，则用户终端 STA2校验管理帧MIC信息元素中的消息鉴别码MIC;如果校验失败，则接收端STA2丢弃该被保护的组播管理帧；如果校验成功，则接收端STA2按照现有WAPI标准中定义的 管理帧操作过程执行该被保护的组播管理帧帧体的除管理帧MIC信息元素以外的其他部 分所指示的操作。
3.根据权利要求1或2所述的混合组网的网络系统，其特征在于所述被保护的组播 管理帧包括MAC头、管理帧帧体以及帧检验序列FCS ；管理帧帧体在现有WAPI标准中 的帧体基础上进一步包含了管理帧MIC信息元素；管理帧MIC信息元素包含元素标识、 长度以及信息字段；其中所述元素标识用于指示含有所述元素标识的信息元素是管理帧MIC信息元素，其值 不与WAPI标准中已经定义的元素标识的取值相同，所述信息元素的信息字段中至少包含 消息鉴别码MIC ；所述消息鉴别码MIC是利用组播会话密钥对管理帧体中除所述消息鉴 别码MIC之外的其他数据进行计算生成的。
4.一种混合组网方法，其特征在于当接入点AP是支持管理帧保护的设备，用户 终端STAl是不支持管理帧保护的用户终端，用户终端STA2是支持管理帧保护的用户终 端，并且所述接入点AP允许用STAl以及STA2接入网络时，所述混合组网方法包括以 下过程`1)用户终端与接入点AP相互发送单播管理帧`1.1)当接入网络的用户终端是用户终端STAl时，接入点AP不启用管理帧保护功 能，发送端和接收端的处理过程与现有WAPI标准中发送端和接收端对管理帧的处理过程 相同，发送和处理未加密的单播管理帧；其中，当发送端为用户终端STAl时，接收端为 接入点AP，当发送端为接入点AP时，接收端为用户终端STAl ；`1.2)当接入网络的用户终端是用户终端STA2时，若所述接入点AP与用户终端STA2 在未成功完成单播密钥协商过程，则发送端发送未加密的单播管理帧，其发送端处理过 程与WAPI标准中的管理帧的处理过程相同，接收端接收到未加密的单播管理帧后按照 WAPI标准中的管理帧的处理过程处理；若用户终端STS2成功完成了单播密钥协商过 程，则发送端利用单播会话密钥发送加密的单播管理帧，其发送端处理过程与WAPI标准 中定义的单播数据帧的处理方式相同，接收端收到加密的单播管理帧后按照WAPI标准中 定义的单播数据帧的处理方式进行处理；其中，当发送端为用户终端STA2时，接收端为 接入点AP，当发送端为接入点AP时，接收端为用户终端STA2;`2)接入点AP构造被保护的组播管理帧发送给用户终端，被保护的组播管理帧帧体在 现有WAPI标准中的组播管理帧帧体基础上进一步包含了管理帧MIC信息元素`2.1)当接入网络的用户终端是用户终端STAl时，用户终端STAl忽略管理帧MIC信 息元素并按照现有WAPI标准中定义的管理帧操作过程执行被保护的组播管理帧帧体的除 管理帧MIC信息元素之外的其他部分所指示的操作；`2.2)当接入网络的用户终端是用户终端STA2时，`2.2.1)若接入点AP与用户终端STA2未成功完成组播密钥协商过程，则用户终端 STA2忽略管理帧MIC信息元素并按照现有WAPI标准中定义的管理帧操作过程执行被保 护的组播管理帧帧体的除管理帧MIC信息元素之外的其他部分所指示的操作；`2.2.2)若接入点AP与用户终端STA2已完成组播密钥协商过程，则户终端STA2在成功校验管理帧MIC信息元素后按照现有WAPI标准中定义的管理帧操作过程执行，执行 被保护的组播管理帧帧体的除管理帧MIC信息元素以外的其他部分所指示的操作。
5.根据权利要求4所述的混合组网方法，其特征在于所述过程2.2.2)的具体实现方 式是用户终端STA2校验管理帧MIC信息元素中的消息鉴别码MIC，即根据所述管理 帧MIC信息元素中包含的消息鉴别码MIC检验管理帧帧体中除了管理帧MIC信息元素以 外的其他数据是否合法；如果不合法，则接收端STA2丢弃该组播管理帧；如果合法， 则接收端STA2按照现有WAPI标准中定义的管理帧操作过程执行被保护的组播管理帧帧 体的除管理帧MIC信息元素以外的其他部分所指示的操作。
6.根据权利要求4或5所述的混合组网方法，其特征在于所述被保护的组播管理帧 包括MAC头、管理帧帧体以及帧检验序列FCS;管理帧帧体在现有WAPI标准中的帧体 基础上进一步包含了管理帧MIC信息元素；管理帧MIC信息元素包含元素标识、长度以 及信息字段；其中所述元素标识用于指示含有所述元素标识的信息元素是管理帧MIC信息元素，其值 不与WAPI标准中已经定义的元素标识的取值相同，所述信息元素的信息字段中至少包含 消息鉴别码MIC ；所述消息鉴别码MIC是利用组播会话密钥对管理帧体中除所述消息鉴 别码MIC之外的其他数据进行计算生成的。
7.—种混合组网方法，其特征在于当接入点AP是不支持管理帧保护的设备，用户 终端包括不支持管理帧保护的用户终端STAl以及支持管理帧保护的用户终端STA2时， 所述混合组网方法包括以下过程·1)当接入网络的用户终端是用户终端STAl时，STAl和AP按照现有WAPI标准中 定义的管理帧的处理方式构造和处理单播管理帧；AP按照现有WAPI标准中定义的管理 帧的处理方式构造组播管理帧，STAl按照现有WAPI标准中定义的管理帧的处理方式处 理组播管理帧；·2)当接入网络的用户终端是用户终端STA2时，若用户终端STA2禁用管理帧保护功 能，则STA2和所述AP按照现有WAPI标准中定义的管理帧的处理方式构造和处理单播 管理帧，AP按照现有WAPI标准中定义的管理帧的处理方式构造组播管理帧，STA2按照 现有WAPI标准中定义的管理帧的处理方式处理组播管理帧；若用户终端STA2设置为必 须启用管理帧保护功能，则用户终端STA2寻找其他接入点AP，直至寻找到支持管理帧 保护的接入点AP接入网络时，·2.1)若所述寻找到支持管理帧保护的接入点AP与用户终端STA2未成功完成单播密 钥协商过程，则发送端发送未加密的单播管理帧，其发送端处理过程与WAPI标准中的管 理帧的处理过程相同，接收端接收到未加密的单播管理帧后按照WAPI标准中的管理帧的 处理过程处理；若用户终端STS2成功完成了单播密钥协商过程，则发送端利用单播会话 密钥发送加密的单播管理帧，其发送端处理过程与WAPI标准中定义的单播数据帧的处理 方式相同，接收端收到加密的单播管理帧后按照WAPI标准中定义的单播数据帧的处理方 式进行处理；其中，当发送端为用户终端STA2时，接收端为所述寻找到支持管理帧保护 的接入点AP;当发送端为所述寻找到支持管理帧保护的接入点AP时，接收端为用户终 端 STA2 ；·2.2)若所述寻找到支持管理帧保护的接入点AP与用户终端STA2未成功完成组播密 钥协商过程，则用户终端STA2忽略所述寻找到支持管理帧保护的接入点AP发送给用户 终端STA2的被保护的组播管理帧中的管理帧MIC信息元素，并按照现有WAPI标准中定 义的管理帧操作过程执行被保护的组播管理帧帧体的除管理帧MIC信息元素之外的其他 部分所指示的操作；若所述寻找到支持管理帧保护的接入点AP与用户终端STA2已完成 组播密钥协商过程，则户终端STA2在成功校验管理帧MIC信息元素后按照现有WAPI标 准中定义的管理帧操作过程执行，执行被保护的组播管理帧帧体的除管理帧MIC信息元 素以外的其他部分所指示的操作。
8.根据权利要求7所述的混合组网方法，其特征在于在所述过程2.2)中，若已完 成组播密钥协商过程，则用户终端STA2校验管理帧MIC信息元素中的消息鉴别码MIC ； 如果校验失败，则接收端STA2丢弃该被保护的组播管理帧；如果校验成功，则接收端 STA2按照现有WAPI标准中定义的管理帧操作过程执行该被保护的组播管理帧帧体的除 管理帧MIC信息元素以外的其他部分所指示的操作。
9.一种混合组网方法，其特征在于当接入点AP是支持管理帧保护的设备，用户终 端STAl是不支持管理帧保护的用户终端，用户终端用STA2是支持管理帧保护的用户终 端，并且所述接入点AP只允许用户终端STA2接入而不允许用户终端STAl接入网络时， 所述混合组网方法包括以下过程·1)当接入网络的用户终端是用户终端STAl时，所述用户终端STAl寻找其他接入 点AP，直至寻找到不支持管理帧保护的接入点AP时，用户终端STAl和该寻找到的不 支持管理帧保护的AP按照现有WAPI标准中定义的管理帧的处理方式构造和处理单播管 理帧，该寻找到的不支持管理帧保护的AP按照现有WAPI标准中定义的管理帧的处理方 式构造组播管理帧，STAl按照现有WAPI标准中定义的管理帧的处理方式处理组播管理 帧；·2)当接入网络的用户终端是用户终端STA2时，·2.1)若所述接入点AP与用户终端STA2未成功完成单播密钥协商过程，则发送端发 送未加密的单播管理帧，其发送端处理过程与WAPI标准中的管理帧的处理过程相同，接 收端接收到未加密的单播·管理帧后按照WAPI标准中的管理帧的处理过程处理；若用户 终端STS2成功完成了单播密钥协商过程，则发送端利用单播会话密钥发送加密的单播管 理帧，其发送端处理过程与WAPI标准中定义的单播数据帧的处理方式相同，接收端收到 加密的单播管理帧后按照WAPI标准中定义的单播数据帧的处理方式进行处理；其中， 当发送端为用户终端STA2时，接收端为接入点AP;当发送端为接入点AP时，接收端为 用户终端STA2 ；·2.2)若所述接入点AP与用户终端STA2未成功完成组播密钥协商过程，则用户终端 STA2忽略所述接入点AP发送给用户终端STA2的被保护的组播管理帧中的管理帧MIC 信息元素，并按照现有WAPI标准中定义的管理帧操作过程执行被保护的组播管理帧帧体 的除管理帧MIC信息元素之外的其他部分所指示的操作；若所述接入点AP与用户终端 STA2已完成组播密钥协商过程，则用户终端STA2在成功校验管理帧MIC信息元素后按 照现有WAPI标准中定义的管理帧操作过程执行执行被保护的组播管理帧帧体的除管理帧 MIC信息元素以外的其他部分所指示的操作。
10.根据权利要求9所述的混合组网方法，其特征在于所述被保护的组播管理帧包 括MAC头、管理帧帧体以及帧检验序列FCS ；管理帧帧体在现有WAPI标准中的帧体基 础上进一步包含了管理帧MIC信息元素；管理帧MIC信息元素包含元素标识、长度以及 信息字段； 其中所述元素标识用于指示含有所述元素标识的信息元素是管理帧MIC信息元素，其值 不与WAPI标准中已经定义的元素标识的取值相同，所述信息元素的信息字段中至少包含 消息鉴别码MIC ；所述消息鉴别码MIC是利用组播会话密钥对管理帧体中除所述消息鉴 别码MIC之外的其他数据进行计算生成的。
全文摘要
本发明提供了一种混合组网的网络系统及方法，包括接入点AP及不支持管理帧保护的用户终端STA1，混合组网的网络系统还包括支持管理帧保护的用户终端STA2；混合组网的网络系统包括以下三种情形情形一，当AP是支持管理帧保护的设备，并且允许STA1及STA2从所述AP接入网络；情形二，当接入点AP是不支持管理帧保护的设备；情形三当接入点AP是支持管理帧保护的设备，并且允许STA2从所述AP接入网络而不允许STA1从所述AP接入网络。本发明提供了一种安全性高、有效提高系统效率的混合组网的网络系统及方法。
文档编号H04W12/00GK102014342SQ20101062028
公开日2011年4月13日 申请日期2010年12月31日 优先权日2010年12月31日
发明者张变玲, 梁琼文, 胡亚楠, 铁满霞 申请人:西安西电捷通无线网络通信股份有限公司