[发明专利]基于证书及SIM的WLAN接入认证方法及系统

说明书

技术领域

本发明涉及WLAN技术，尤其涉及基于证书及SIM的WLAN接入认证方法及系统。

背景技术

无线局域网(Wireless Local Area Network，简称WLAN)具有可移动性、安装简单、高灵活性和扩展能力，作为对传统有线网络的延伸，在许多特殊环境中得到了广泛的应用。随着无线数据网络解决方案的不断推出，无线局域网络用户不论在任何时间、任何地点都可以轻松上网。但是，由于无线局域网采用公共的电磁波作为载体，任何人都有条件窃听或干扰信息，如果WLAN缺乏安全性保障，那么会导致网络非法操作并继而影响上层通信内容的安全。WLAN的安全性主要体现在接入控制和数据加密两方面。接入控制保证网络只能由合法的用户接入访问，数据加密保证数据只能被所期望的目的端接收和解密。

现在有一种泛适认证和保密基础结构(Wide Authentication and PrivacyInfrastructure，简称WAPI)可实现WLAN终端与WLAN接入点的双向认证及数据保密传输。

WAPI采用椭圆曲线密码算法和秘密密钥体制的分组密码算法，分别用于WLAN设备的数字证书、密钥协商和传输数据的加解密，从而实现设备的身份鉴别、链路验证、接入控制和用户信息在无线传输状态下的加密保护。WAPI安全系统采用公钥密码技术，认证服务器(Authentication Server，简称AS)负责证书的颁发、验证与吊销等；WLAN终端与WLAN接入点(Access Point，简称AP)上都安装有AS颁发的公钥证书，作为自己的数字身份凭证。当WLAN终端登录至AP时，在接入或使用网络之前必须通过AS对双方进行身份验证。根据验证的结果，持有合法证书的WLAN终端才能接入持有合法证书的AP，也就是说才能通过AP访问网络。这样不仅可以防止非法WLAN终端接入AP而访问网络并占用网络资源，而且还可以防止WLAN终端登录至非法AP而造成信息泄漏。

这种方式虽然能够实现在WLAN与AP之间建立基于数据链路层的安全信道，保证WLAN终端与AP的合法性以及传输数据的保密性，但是，由于WAPI并未规定用户的计费机制，因此无法直接应用于移动WLAN网络中。虽然可以基于用户的公钥证书识别用户身份进行计费，但是由于与现有的WLAN计费模式差别太大，需要进行较大的网络改造。

发明内容

本发明的目的在于针对现有技术所存在的缺陷，提供基于证书及SIM的WLAN接入认证方法及系统，在对现有网络改造较小的前提下，将数字证书认证及密钥协商应用于WLAN用户的接入控制，实现基于数字证书的WLAN终端与WLAN接入点的双向认证及数据保密传输，并基于SIM实现用户身份的识别。

为了实现上述目的，本发明提供了一种基于证书及SIM的WLAN接入认证方法，包括如下步骤：对WLAN终端证书及接入点证书进行验证；WLAN终端与接入点协商密钥；对WLAN终端进行基于SIM的用户认证。

本发明还提供了一种基于证书及SIM的WLAN接入认证系统，包括：安装有无线网卡和SIM卡的WLAN终端；证书认证服务器，用于WLAN终端证书及接入点证书的认证；用户数据库，用于存储用户数据；SIM认证服务器，用于根据用户数据进行基于SIM的用户认证；用户认证点，用于检查WLAN终端是否已经通过认证并与SIM认证服务器协同进行基于SIM的用户认证。其中，用户认证点可以为接入点或接入控制点。

本发明对现有网络改造较小的前提下，将数字证书认证及密钥协商应用于WLAN用户的接入控制，实现基于数字证书的WLAN终端与WLAN接入点的双向认证及数据保密传输，采用基于SIM的认证方式，利用现有的用户数据库实现了对用户业务数据的鉴权，从而实现了用户身份的识别。

下面通过附图和实施例，对本发明的技术方案做进一步的详细描述。

附图说明

图1为本发明的基于证书及SIM的WLAN接入认证系统的结构示意图；

图2为本发明的基于证书及SIM的WLAN接入认证方法流程图；

图3为本发明的基于证书及SIM的WLAN接入认证方法中的建立物理连接的流程图；

图4为本发明的基于证书及SIM的WLAN接入认证方法中的SIM认证流程图；

图5为本发明的基于证书及SIM的WLAN接入认证方法实施例一流程示意图；

图6为本发明的基于证书及SIM的WLAN接入认证方法实施例二流程示意图。

具体实施方式