专利名称：根据对入侵的检测动态重新配置加密的制作方法
技术领域：
本发明涉及通过侦听设备保护无线通信特别是局域网(LAN)通信不受非法入侵的技术。
背景技术：
采用无线电波对数据和协议进行非定向传输的局域网称为无线LAN。术语“无线”不是完备的描述，因为这些网络只是减少了构成一个LAN所需的布线。无线LAN可以更适当地描述为其中一部分通信是无线的局域网。这是随着包括蜂窝电话、无线个人计算机及类似的设备的无线通信产品的惊人发展而来的。因此，无线LAN通常是一个地理上限定的设施，诸如一个企业和制造场所、大学校园或政府设施，在这样的设施内工作人员可以脱开网络连接，并且不受限制地四处活动，以从该设施内几乎任何地方接入无线LAN。租车机构使用无线LAN来便利顾客签到；证券交易所大厅内的交易员用移动无线LAN进行交易；大学校园里的学生可以从任何地点访问讲座、书籍和注释；进行巡视的医学专家可以从医院内的任地点无线访问医疗数据。在“Peter Norton完整联网指南”(“Peter Norton′s Complete Guide toNetworking”，SAMS Division of MacMillan Computer Publishing，Indianapolis，IN，1999，pp.49-62)中可以看到无线LAN的一些很好的背景知识。
无线LAN可以简单到只有两个具有无线电信号发送和接收能力的膝上型计算机，即时形成一个特别网络。然而，大多数商务网络使用无线站连接，它允许具有膝上型计算机的移动用户建立与集线器的无线连接。膝上型计算机仍然必需与一个天线连接，以便与集线器通信。膝上型计算机可以通过它的PCMCIA(个人计算机存储卡国际协会)槽与一个便携式无线电天线连接。通过它自己的天线进行通信的集线器与一个为客户无线计算机服务的服务器关联。
IEEE工业标准802.11B体系结构(IEEE 802.11B)普遍用于扩频无线电通信的2.4-2.4835 GHz频率范围内的无线LAN通信。
这些扩频无线LAN通信的主要问题是它们不很安全。它们有着容易被用比较简单的无线电设备窃听的缺点。任何人配备有在传输范围内的适当的收发信机都可以窃听。在一种简单的窃听操作中，任何入侵者可以在一辆装有一个收发信机的轿车或卡车内环绕目标设施的外周窃取消息，因为2.4GHz的信号一定会传播到超出LAN区域外周的至少一段短距离处。通常，这种窃听是不可检测的，因为发送者或预定的接收者无法知道传输是否已被截获。
无线LAN的用户防御窃听的入侵者的传统方式是对LAN区域内的传输进行加密。无线消息可以由LAN内的客户计算机和由LAN服务器(例如与集线器关联的LAN服务器)加密。这就给窃听的入侵者造成了困难。然而，入侵者已经试图通过一个过程破译密钥，该过程涉及将一个消息发给目标LAN内一个无线客户计算机。然后，入侵者期待这个消息被LAN服务器加密后将它无线发送给LAN内的这个收信客户计算机。入侵者于是可以窃听到他所发送的经加密的消息。现在，入侵者具有未加密和经加密的消息、从而可以破译秘密的加密密钥。于是，LAN内的所有加密的无线传输都可以被窃听和解密。
发明内容
本发明涉及认识到由于窃听者很可能是移动的而且以短时间周期进行工作，因此他自己可能无线发送他的探试消息。
所以，本发明包括以下装置的结合在邻近和围绕LAN区域的周边区域内对具有在一个低于LAN频率的频率级内的一个较低频率的、发至LAN内任何一个计算机终端的网络位置的无线传输进行侦听的装置；以及响应所述侦听装置在侦听检测到所述较低频率的、发至所述LAN内一个终端的网络位置的无线传输时改变所述加密的无线传输的加密代码的装置。
本发明认识到有几个因素有助于本发明的过程的成功。可能的是，入侵者必须以比LAN区域传输的2.4GHz频率低的频率发送他的消息，因为入侵者很可能必须越过比该相邻的目标无线LAN设施更长的距离或范围到达一个基站塔。这确保了本发明的侦听将在一个较低的频率进行，并因此不会受LAN内的传输的干扰。这使对较低频率的入侵者消息的检测更容易得多。为获得最佳结果，当无线LAN在一个IEEE标准802.11B的频率下工作时，系统侦听入侵者探试消息必须是在902MHz数量级。
优选地，该改变加密代码的装置根据所述侦听检测结果动态地重新配置秘密密钥加密而不中断LAN内的传输。此外，重新配置秘密密钥加密独立于正在被改变的先前的秘密密钥。
下面将结合附图仅作为例子对本发明进行说明，在这些附图中图1为例示本发明的各个组成部分的一个无线LAN和一个通信的因特网部分的示意图；图2为一个数据处理系统的方框图，这个数据处理系统包括一个中央处理单元和一些经过通信适配器的网络连接，它能够起进行加密和根据对指出有入侵者的探试消息的无线传输的检测动态地重新配置秘密的加密密钥的LAN服务器的作用；图3为说明按照本发明建立防止无线LAN被窃听者窃听的程序的各个组成部分的例示性流程图；以及图4为例示图3中所建立的程序的运行情况的流程图。
具体实施例方式
参看图1，为了例示本发明，图中示出了一个无线LAN和它与一个诸如因特网或万维网(Web)之类的网络的互连的一般情况。无线LAN局限于一个设施的区域11。LAN包括一些无线设备，例如通过它们各自的天线23发送和接收无线射频通信15的PC13或个人数字助理，这些无线射频通信是通过IEEE 802.11B协议无线集线器19的相应天线23接收和发送的，该无线集线器19具有一个关联的网络服务器，该网络服务器含有秘密密钥加密例行程序(ENC)21，用来对LAN内的无线通信加密和解密，使得无线通信在LAN内的无线传输期间得到加密。集线器19内的LAN服务器与因特网50通信，例如通过适当的通信链接49。假设入侵者的卡车25在围绕LAN设施的外围街道的路线27上巡游，通过来自天线31的检测RF波33进行窃听。天线31所截获的LAN传输是加密的，入侵者试图这样发现加密密钥通过天线35发送一个信号37，其中含有一个要发给LAN11内一个客户计算机13的探试消息。由于卡车25是运动的，探试消息信号是无线信号，必须发送给有线通信网内的一个基站45的天线塔44。卡车到天线塔的距离大于无线LAN内各设备之间的距离，于是从卡车天线到塔44的传输必需是以比无线LAN传输低的频率进行。例如，与无线IEEE 802.11B协议的频率为2.4GHz相比，从卡车到塔44的探试消息的无线传输很可能是以频率902MHz进行。从头至尾跟踪入侵者探试消息，它可以从基站45通过标准的PSTN(公共电话交换网)，再经有线连接47通过一个诸如因特网50之类的网络，再经互连49回到集线器，回到LAN的集线器19内的服务器的加密器21。来自卡车的消息现在就得到加密。因此，如果卡车现在通过来自天线31的检测波33截获了经加密的发至一个特定的无线客户地址的探试消息，入侵者现在就有了未加密和加密的两个版本。根据对这对版本的分析，入侵者就能破译秘密的加密密钥。
如以后要详细说明的那样，本发明设置一个侦听系统48，通过天线51发送在图1中示为“？？？？？？？？？？？？？？”的检测波。认识到入侵者卡车可能最初以902MHz的较低频率无线发送探试消息，因此本发明的系统试图检测这种传输。在图1中，例示性地示出了由系统的侦听装置在点53处截获较低频率传输的情况。作为响应，如以下要详细说明的那样，系统因此确定有入侵者，从而开始动态重新配置无线LAN内的秘密的加密密钥。这种重新配置应该在入侵者能破译初始的秘密的加密之前完成。这样，入侵者就会失败。
现在来看图2，图中示出了一个典型的通用数据处理系统的显示终端，可以用作控制本发明的无线LAN和客户PC计算机的计算机服务器。配置有一个诸如任何在一个可以从国际商业机器公司(IBM)或Dell公司得到的PC内的PC微处理器之类的中央处理单元(CPU)10，其通过系统总线12与其他各个组成部分互连。操作系统41在CPU10上运行，提供控制和用来协调图1中各个组成部分的操作。操作系统41可以是一个市售的诸如Microsoft的Windows98或Windows NT以及UNIX或AIX操作系统之类的操作系统(Microsoft和Windows是微软公司的商标，UNIX是Open集团的商标，而AIX是IBM公司的商标)。
包括本发明的一些用来侦听窃听者的例行程序(稍后要详细说明)的应用程序配合操作系统41运行，为操作系统41提供输出调用，由操作系统41实现需由应用40执行的各种操作。只读存储器(ROM)16通过总线12连接至CPU10，其中存有控制基本计算机操作的基本输入/输出系统(BIOS)。随机存取存储器(RAM)14、I/O适配器18和通信适配器34也互连到系统总线12上。应指出的是，软件组成部分，包括操作系统41和应用40，装入作为计算机系统的主存储器的RAM14。I/O适配器18可以是一个小型计算机系统接口(SCSI)适配器，其与盘存储装置20(即硬盘驱动器)通信。通信适配器34在LAN服务器允许数据处理系统通过一个网络(当然包括因特网或Web)与其他这样的系统通信的情况下使总线12与一个外部网络链接43互连。在与图1中所示的集线器关联的服务器中，加密应用与应用40一起存储，并在加密/解密期间装入RAM。I/O设备也通过用户接口适配器22和显示适配器36接到系统总线12上。键盘24和鼠标26都通过用户接口适配器22接到总线12上。就用户的动作来说，鼠标26以普通方式进行操作。可以有一个显示器与LAN服务器关联。在这样的配置中，显示适配器36包括一个帧缓冲器39，它是一个容纳显示屏38上每个像素的表现的存储器件。图像可以存储在帧缓冲器39内，通过诸如数模转换器(未示出)之类的各种部件在监视器38上显示出来。利用鼠标或有关装置，用户能通过键盘24或鼠标26将信息输入系统和通过显示器38接收系统的输出信息。
下面将结合图3所示的编程说明怎样建立本发明的系统和程序。
本发明涉及一个对无线LAN的保护措施，这个无线LAN具有一个用于在协议IEEE 802.11B下从一些无线客户计算机接收和向这些无线客户计算机发送无线传输的集线器(步骤61)。这些802.11协议普遍用于无线LAN技术，在上面引用的“Peter Norton完备联网指南”的60-62页以及在B.E.Mullins等人的论文“通过自适应控制提高吞吐率的无线局域网协议”(“AWireless Local Area Network Protocol That Improves Throughput ViaAdaptive Control”，Proceedings of the IEEE Internat ional Conferenceon Communications，pp.1427-1431，June 1997)中有详细的论述。一个具有对传输加密和解密使得LAN内的所有无线传输都得到加密的常规例行程序的服务器计算机对集线器进行控制和为LAN内的客户计算机服务(步骤62)。系统用秘密或共享密钥加密/解密，例如如在因特网协会1998年公开的和可从1998年11月Harkins等人的RFC 2409中公开得到的因特网密钥交换(IKE)协议中所提出的。加密的LAN传输是以2.4GHz的频率进行的(步骤63)。提供侦听装置，用来对LAN区域周边区域进行搜索，以截获902MHz数量级的较低频率的无线传输(步骤64)。搜索这种传输的侦听设备很容易得到，而且设置成本不高。任何现成的设备经修改后可用来搜索902MHz的传输。也就是说，在入侵者无线发送的情况下，可以用与入侵者窃听所用的窃听设备相同的设备来对抗入侵者。可以采用的侦听设备的示例性例子可以参见M.Borisov等人的论文“截获移动通信，802.11的不安全因素”(“Intercepting Mobile Communication，The Insecurity of 802.11”，the 7th Annual International Conference of Mobile Computing andNetworking，July 2001)。因此，提供一个装置，用来确定所截获的无线传输是否为发给LAN内任何客户计算机终端(步骤65)。然后，提供一个例行程序，用来每当发现所截获的无线传输是发给无线LAN内的一个客户终端时重新配置秘密的加密密钥(步骤66)。在上面提到的因特网密钥交换(IKE)协议中揭示了一些用于动态重新配置秘密的加密密钥的普通例行程序，作为“完全正向保密(Perfect Forward Secrecy)”例行程序(参见章节3.3和5.5“快速模式(Quick Mode)”)的一部分。利用在“完全正向保密”下可用的例行程序在不中断无线LAN运行、且不依赖于所废除的先前密钥的情况下完成对秘密密钥的动态重新配置(步骤67)。
下面将结合图4这个流程图说明在图3中建立的过程的经简化的示例性运行情况。这种简化是为了说明一个可理解的过程。在考虑这个例子时，应该理解在许多过程中用于侦听入侵者的无线传输的标准可以是更为复杂的。然而，这种确定的复杂性并不属于本发明。本发明涉及侦听移动的入侵者的无线通信以确定他是否正在针对本无线LAN内的客户计算机。无线LAN在802.11B协议下运行(步骤71)，集线器服务器进行秘密密钥加密(步骤72)，设置一个普通的射频侦听设备，在超过LAN区域边界差不多300英尺的距离处对902MHz数量级的无线传输进行监视(步骤73)。于是，确定是否已检测到这种902MHz无线传输(步骤74)。如果是，再确定所截获的传输是否具有一个指向无线LAN内的一个客户机的最终地址(步骤75)。如果是，用适当的上述“完全正向保密”例行程序改变秘密的加密密钥(步骤76)。然后，或者如果在步骤74或步骤75的确定结果为否，继续LAN内的无线传输(步骤77)，不需要进行其他改变(步骤78)，过程返回步骤74，继续对其他的入侵者传输进行侦听。
熟悉该技术领域的人员应该理解，本发明的这些过程能以各种形式的计算机可读媒体的形式分发。
权利要求
1.一种用于在一个包括多个在一个限定区域(11)内的计算机控制终端(13)的无线局域网(LAN)内安全无线传输发给和来自该LAN内的计算机终端的数据的系统，所述系统包括用于在一个所选的LAN频率级上无线传输(61)发给和来自所述LAN内计算机终端的数据的装置(13，23)；用于对所述LAN内的所述无线传输进行加密(62)的装置(21)；用于在邻近和围绕所述LAN区域的周边区域(27)内对具有在一个低于LAN频率的频率级内的一个较低频率的发至所述LAN内任何一个计算机终端的网络位置的无线传输进行侦听(64)的装置(48)；以及用于响应所述侦听装置检测到所述较低频率的发至所述LAN内一个终端的网络位置的无线传输而改变(66)所述加密的无线传输的加密代码的装置。
2.如在权利要求1中所述的无线传输系统，其中所述用于加密(62)的装置(21)采用秘密密钥加密。
3.如在权利要求2中所述的无线传输系统，其中所述用于改变(66)加密代码的装置根据所述侦听检测结果动态地重新配置秘密密钥加密而不中断所述LAN内的传输。
4.如在权利要求3中所述的无线传输系统，其中所述用于改变(66)加密代码的装置独立于先前秘密密钥而重新配置秘密密钥加密。
5.如在权利要求2中所述的无线传输系统，其中所述LAN内的无线数据传输具有一个所选的在2.4GHz数量级的频率级。
6.如在权利要求5中所述的无线传输系统，其中所述用于进行侦听(64)的装置(48)检测在902MHz数量级的频率级的无线传输。
7.一种用于安全无线传输发给和来自一个包括在一个限定区域(11)内的多个计算机控制终端的无线局域网(LAN)内的计算机终端(13)的数据的方法，所述方法包括下列步骤在一个所选LAN频率级上无线传输(61)发给和来自所述LAN内的计算机终端的数据；对所述LAN内的所述无线传输进行加密(62)；在邻近和围绕所述LAN区域的周边区域内对具有在一个低于LAN频率的频率级内的一个较低频率的发至所述LAN内任何一个计算机终端的网络位置的无线传输进行侦听(64)；以及在所述侦听检测到所述较低频率的发至所述LAN内一个终端的网络位置的无线传输时，改变(66)所述加密的无线传输的加密代码。
8.如在权利要求7中所述的方法，其中所述加密(62)步骤采用秘密密钥加密。
9.如在权利要求8中所述的方法，其中所述改变(66)加密代码的步骤根据所述侦听检测结果动态地重新配置秘密密钥加密而不中断所述LAN内的传输。
10.如在权利要求9中所述的方法，其中所述改变(66)加密代码的步骤与先前秘密密钥独立地重新配置秘密密钥加密。
11.如在权利要求8中所述的方法，其中所述LAN内的所述无线数据传输具有一个所选的在2.4GHz数量级的频率级。
12.如在权利要求11中所述的方法，其中所述侦听(64)检测在902MHz数量级的频率级上的无线传输。
13.一种计算机程序，所述计算机程序包括用于执行按照权利要求7至12中的任何一个权利要求所述的方法的各个步骤的代码。
全文摘要
本发明认识到由于靠近一个无线LAN进行窃听的窃听者很可能是移动的而且以短时间周期进行工作，因此他自己很可能无线传输他的探试消息。所以，本发明提供了以下装置的组合用于在邻近和围绕LAN区域的周边区域内对具有在一个低于LAN频率的频率级内的一个较低频率的发至所述LAN内任何一个计算机终端的网络位置的无线传输进行侦听的装置；以及用于响应所述侦听装置在侦听检测到所述较低频率的发至所述LAN内一个终端的网络位置的无线传输时改变所述加密的无线传输的加密代码的装置。认识到有几个因素有助于本发明的过程的成功。很可能的是，入侵者必须以比LAN内传输的2.4GHz频率低的频率发送他的消息，因为入侵者可能必须越过比相邻的目标无线LAN设施更长的距离到达一个基站塔。这确保了本发明的侦听将以一个较低的频率进行，因此不会受LAN内的传输的干扰。
文档编号H04L29/06GK1589559SQ02822829
公开日2005年3月2日 申请日期2002年10月28日 优先权日2002年4月25日
发明者G·F·麦克布瑞尔蒂, S·P·马伦, J·M-H·谢, J·S·泰绍罗 申请人:国际商业机器公司