[发明专利]一种实现WAPI认证的方法及系统

说明书

技术领域

本发明涉及通信技术领域，尤其涉及一种实现WAPI认证的方法及系统。

背景技术

WAPI(WLAN Authentication and Privacy Infrastructure，无线局域网鉴别和保密基础结构)是实现无线局域网安全的协议。WAPI采用公钥密码体制的椭圆曲线密码算法和对称密码体制的分组密码算法，用于WLAN(WirelessLocal Area Network，无线局域网)设备的数字证书、证书鉴别、密钥协商和传输数据的加解密，从而实现设备的身份鉴别、链路验证、访问控制和用户信息在无线传输状态下的加密保护。

WAPI是WAI(WLAN Authentication Infrastructure，无线局域网鉴别基础结构)和WPI(WLAN Privacy Infrastructure，无线局域网保密基础结构)两个协议统称。其中WAI协议解决无线局域网中的身份识别问题，WPI协议解决无线局域网中信息的保密传输问题。WAI协议中利用ECC(Elliptic Curveencryption algorithm，椭圆曲线加密体制)的ECDSA(Elliptic Curve DSA，椭圆曲线数字签名功能)解决了身份认证问题。WAI协议是WAPI协议中最重要和最基础的部分，只有实现了身份认证才可以进行数据传输。WAI用ECC技术实现了身份的双向认证问题，即无线终端对AP(Access Poinit，接入点)前认证，和AP对无线终端的认证，只有无线终端确认AP为合法接入点和AP确认无线终端为合法无线终端后双方才可以进行通信。

现有技术中，上述认证必须经过可信的第三方——ASU(AuthentiationService Unit，鉴别服务单元)才可以实现。ASU是基于ECC技术的WAI鉴别基础结构中重要的组成部分，实现对用户证书的有效性鉴别。WAPI鉴别流程如图1所示，包括以下步骤：

步骤101，移动终端登录到AP；

步骤102，AP激活身份认证过程；

步骤103，AP根据从AS(Appliation Service，应用服务器)获得的鉴别信息对该移动终端进行身份认证；

步骤104，移动终端与AP进行密钥协商；

步骤105，AP根据对移动终端发送信息的密钥的鉴别结果对移动终端进行接入控制。

然而，上述WAPI鉴别流程使用WAPI协议只能支持证书认证，当需要对用户进行授权、计费处理时需要部署一个AAA(Authentication AuthorizationAccounting，认证、授权、计费)服务器。在AS服务器上完成WAPI证书认证，在AAA服务器通过RADIUS(Remote Authentication Dial In User Service，远程用户拨号认证系统)认证完成用户的授权和计费。

现有技术中，WAI协议支持使用UDP(User Datagram Protocol，用户数据报协议)进行传输封装，通过远程证书鉴别请求和远程证书鉴别响应完成对无线客户端和AP的双向证书认证。由于WAI协议只能支持证书认证，如果需要对用户进行授权和计费处理，则除了需要部署AS服务器外还需要部署一个AAA服务器，增加了部署的复杂性，而且由于AAA服务器也有认证功能，同时为避免AAA服务器不需要的认证过程，会增加设备处理的复杂度。

发明内容

本发明提供了一种实现WAPI认证的方法及系统，通过扩展RADIUS协议，在AAA服务器可以完成WAI的证书鉴别、对用户授权和计费，实现WAI与RADIUS协议的完好结合，降低网络部署和设备处理的复杂度。

本发明提供了一种WAPI认证的方法，应用于包括接入点和认证服务器的系统中，所述方法包括以下步骤：

接收接入点发送的WAI认证请求消息，所述认证请求消息中携带WAI分组信息，其中该WAI认证请求消息被封装在Radius报文中；

根据所述WAI分组信息对所述接入点进行WAI认证，并将WAI认证结果通过WAI分组响应消息返回所述接入点，所述WAI分组响应消息被封装在Radius报文中；

在所述WAI认证结束后，继续接收所述接入点发送的Radius认证请求，并将Radius认证结果返回所述接入点。

其中，其特征在于，如果所述WAI认证结果是成功，则返回给所述接入点的Radius认证结果是成功，如果所述WAI认证结果是拒绝，则返回给所述接入点的Radius认证结果是拒绝。