CN101431409B - 可在不同无线局域网中实现保密通信的方法 - Google Patents

Abstract

本发明关于一种可在不同无线局域网中实现保密通信的方法，包括：(1)在加密装置中预置标识信息和密钥管理信息表，密钥管理信息表存储有各密钥管理服务器中的全部密钥，并可按密钥分配信息调取相应的密钥；(2)在通信终端上安装并运行专用驱动程序；(3)加密装置向无线接入点发送认证请求；(4)无线接入点根据认证请求中包含的标识信息进行认证，如认证成功，则生成密钥分配信息，调取对应的密钥，将该调取的密钥向无线接入点发送，并使密钥分配信息发送至加密装置；(5)加密装置接收密钥分配信息，并利用该密钥分配信息调取相应的密钥；(6)无线接入点与加密装置分别使用所获取的密钥对在无线信道中传输的数据进行加密、解密处理。

Description

可在不同无线局域网中实现保密通信的方法 

【技术领域】 

本发明涉及通信终端与无线局域网内无线接入点的保密通信方法，特别涉及一种利用加密装置实现通信终端可以在不同无线局域网中的无线接入和安全通信的方法。 

【背景技术】

目前，WLAN(Wireless Local Area Network，无线局域网)的无线接入***通常是由无线网卡、无线接入点(AP，Access Point)、无线接入网关(AG，Access Server)和无线接入服务器(AS，Access Server)等各个部分组成。较为常见的组网方式是通过无线网卡与计算机、PDA等终端设备相连，取代以上设备中原有的有线网卡，从而实现终端设备间、终端设备与无线接入点间的无线连接，完成对无线信道的检测、选择、控制和管理，并能实现无线接收的增益控制、发射端的功率控制等功能。 

与有线传输相比，无线传输的保密性较差，因此需要一些额外的安全措施来保证无线接入点和各通信终端之间的通信安全，比如用户认证、信息加密等。现有的加密方式已经有很多种，总起来包括软件加密和硬件加密。软件加密是在通信***的应用层中加入一个专门负责加密、解密的软件模块。由于这种加密方式的加密、解密密钥以及加密、解密过程中出现的数据都要在本机的内存中出现，因而容易被破译。另外，由于加密算法的运算量非常大，所以加、解密过程对***资源的大量占有也是无法容忍的。硬件加密就是将加密密码算法和密钥存储到专用的硬件中去，该专用硬件通过通信接口与通信终端连接，加密、解密过程是首先将数据通过通信接口传输至专用硬件，再由硬件中的微处理器来完成加密、解密。上述硬件加密虽然从根本上克服了上述软件加密的缺点，但是如果所有待加密、解密处理的数据和所有处理后的数据均需通过通信接口在通信终端和专用硬件间传输，则通信接口的传输速度将会影响通信终端在无线局域网中的传输速度，同时频繁在通信终端与专用硬件间的数据传输也会占用大量的***资源。 

无线局域网标准IEEE802.11采用有线对等加密(Wired EquivalentPrivacy，WEP)技术对信息进行加密。WEP是一种对称加密技术，即加密通信双方使用相同的密钥进行加解密。在实际应用中，出于安全性的考虑，不同用户应该使用不同的密钥。通常密钥由网络管理者分配，并存储在通信双方，即通信终端和无线接入点(AP)上。这种密钥管理方法存在很多弊端。首先，在这种密钥管理方式下，为了支持用户的漫游，每个无线接入点(AP)都应该存储所有用户的密钥，而每次增加或修改用户的密钥，网络管理者就要在所有的无线接入点(AP)上增加或修改该用户的密钥，使密钥管理任务相当繁重，而且无线接入点(AP)的存储能力也可能达不到要求。另外，由于密钥分别存储在用户的通信终端和无线接入点中，而存储在通信终端的 密钥显然是不安全的，这为他人窃取密钥提供了可乘之机。 

【发明内容】

本发明提供一种可在不同无线局域网中实现保密通信的方法，所要解决的技术问题在于使通信终端不参与通信安全处理，而借助外置的加密装置可实现其与不同无线局域网的连接和传输数据的加密、解密处理，从而有效保证通信安全。 

本发明关于一种可在不同无线局域网中实现保密通信的方法，设置有多个无线接入点(AP)，且各无线接入点分属于多个不同的密钥管理服务器，所述方法包括以下步骤：(1)在具有无线网卡功能的加密装置中预置唯一地的标识信息和密钥管理信息表，该密钥管理信息表存储有各密钥管理服务器中的全部密钥，并可按密钥分配信息调取相应的密钥；(2)使具有无线网卡功能的加密装置与通信终端连接并获得供电，在通信终端上安装并运行加密装置的无线网卡专用驱动程序；(3)利用加密装置的无线网卡功能建立与无线接入点的无线信道，加密装置向无线接入点发送包含标识信息的认证请求；(4)无线接入点根据认证请求中包含的标识信息对加密装置进行认证，如果认证成功，则密钥管理服务器生成密钥分配信息，按照该密钥分配信息调取对应的密钥，将该调取的密钥向无线接入点发送，并使该生成的密钥分配信息经无线接入点发送至加密装置；(5)无线接入点直接从认证装置处接收密钥，加密装置接收密钥分配信息，并利用该密钥分配信息在密钥管理信息表中调取相应的密钥；(6)无线接入点与加密装置 分别使用所获取的密钥对在无线信道中传输的数据进行加密、解密处理。 

前述的可在不同无线局域网中实现保密通信的方法，在每个所述的无线接入点中设置不同的业务组信息；所述的密钥管理服务器中设置有存储密钥的密钥数据库，且在密钥管理信息表中存储与各密钥管理服务器相同的密钥数据库及各无线接入点的业务组信息，并将业务组信息按照无线接入点所属的密钥管理服务器建立与密钥数据库对应关系；加密装置通过与无线接入点建立的无线信道获知所连接的无线接入点的业务组信息，并使加密装置在与该业务组信息对应的密钥数据库中查找与密钥分配信息对应的密钥。 

前述的可在不同无线局域网中实现保密通信的方法，所述的业务组信息是为该无线接入点的业务组标识符。 

前述的可在不同无线局域网中实现保密通信的方法，在加密装置向无线接入点的认证成功后，无线接入点向加密装置发送该无线接入点的业务组信息。 

前述的可在不同无线局域网中实现保密通信的方法，所述的通信终端将向无线局域网发送的数据通过通信接口模块输出至加密装置，该加密装置将该数据加密后通过无线局域网模块向无线接入点发送；所述的加密装置通过无线局域网模块接收到无线接入点发送的加密数据，并在对该数据解密后通过通信接口模块输出至通信终端。 

前述的可在不同无线局域网中实现保密通信的方法，所述的通信接口模块是为USB接口模块、SATA接口模块、ISA接口模块、PCI接 口模块、或PCMCIA接口模块。 

前述的可在不同无线局域网中实现保密通信的方法，所述的加密装置通过通信接口模块中设置的电源端子与通信终端的电源输出端子的电性连接，从而获得的供电。 

如上所述，本发明可在不同无线局域网中实现保密通信的方法具有如下有益效果： 

本发明可在不同无线局域网中实现保密通信的方法是通过外置的加密装置与通信终端的连接实现通信终端与无线接入点间的无线连接，通信终端与无线局域网间传输的数据均通过加密装置接收和发送，而避免了使加密、解密工作在通信终端完成，由此，既可保障在无线通信的安全，在数据安全性上也有了显著的提高，而且借由加密装置完成无线通信的加密和解密工作，大大节省了***资源。更为重要的是，通过连接加密装置和安装驱动程序，使更多的通信终端可以更为便捷地接入无线局域网中。 

本发明的通信方法不需要由无线接入点向通信终端的密钥分发过程，而是通过密钥管理服务器分配密钥，再将分配的密钥发送给无线接入点，将密钥分配信息发送给加密装置，由加密装置调取相应的密钥，利用加密装置对所存储信息的保密功能，使加密密钥、密钥生成算法的安全得到了有效的保障，从而可保证了通信安全。 

本发明利用加密装置对数据的保密存储功能，将多个无线局域网的密钥管理服务器中存储的密钥保密存储于其中，因此，通信终端用户可以在大于密钥管理服务器覆盖范围内跨区漫游，另外，由于无线 接入点无需管理用户信息，简化了无线接入点的结构从而降低了成本。 

【附图说明】

图1是本发明的加密装置的结构框图。 

图2是本发明可在不同无线局域网中实现保密通信的方法的示意图。 

【具体实施方式】

为进一步阐述本发明达成预定目的所采取的技术手段及功效，以下结合附图及实施例，详细说明如下。 

请参阅图1所示，是本发明的加密装置的结构框图，该加密装置包括： 

微处理器模块：负责数据运算，通过调用数据存储模块与程序存储模块中的数据和程序，进行加密、解密运算，完成对通信中传递信息数据的加密、解密工作，即将准备通过无线局域网模块发送的数据进行加密，将通过无线局域网模块获取的数据进行解密。 

程序存储模块：与微处理器模块连接，主要存储加密、完整性保护算法，可以以密文的形式存放，在加电后，加载进密码运算器中，解密恢复出密文再运行。 

数据存储模块：用来安全保存多个密钥管理服务器中的所有主密钥、非对称加密算法密钥对，在加电后按照密钥分配信息将相应的主 密钥、密钥对由数据存储模块调入微处理器模块中参与运算。 

通信接口模块：通过数据线与微处理器模块连接，用来与需加密终端(即通信终端)相连接。 

无线局域网模块：与微处理器模块连接，用于建立无线局域网与微处理器的连接，所述的微处理器模块将加密处理后的数据通过无线局域网模块向外发送，并将从无线局域网接收的数据解密后通过通信接口模块向需通信终端传送。 

上述通信接口模块以USB接口模块为宜，由于USB接口即插即用，且支持非常高的数据传输速率，因此不仅方便使未配备无线网卡的通信终端可以与无线局域网连接，而且兼具传输速度高和通信安全的优点。 

具体而言，上述的无线局域网模块包括基带单元和RF单元，所述的基带单元对微处理器模块的数据进行调制/解调；所述的RF单元将基带单元的数据处理为高频信号进行传送，还接收和处理高频信号。上述的微处理器模块还具有用于存取输入输出的数据、及中间计算结果、与外部存储器交换的数据和暂存数据的RAM模块。 

出于安全的需要，要可能对密钥进行更新和管理，并且也有可能对密码算法进行更新操作，因此，在微处理器模块中还包括负责密钥的更新和管理的密钥管理模块和负责加密算法的更新和管理的算法管理模块。 

请参阅附图2所示，是本发明的可在不同无线局域网中实现保密 通信的方法的流程图。每个无线局域网设置有一个无线接入点(AP)，每个无线接入点属于一个密钥管理服务器管理，多个无线接入点分属于多个不同的密钥管理服务器管理。本发明可在不同无线局域网中实现保密通信的方法包括以下步骤： 

(1)在具有无线网卡功能的加密装置中预置唯一地的标识信息和密钥管理信息表，该密钥管理信息表存储有各密钥管理服务器中的全部密钥，并可按密钥分配信息调取相应的密钥； 

(2)使具有无线网卡功能的加密装置与通信终端连接并获得供电，在通信终端上安装并运行加密装置的无线网卡专用驱动程序； 

(3)加密装置的无线网卡功能建立与无线接入点的无线信道，加密装置向无线接入点发送包含标识信息的认证请求； 

(4)无线接入点根据认证请求中包含的标识信息对加密装置进行认证，如果认证成功，则密钥管理服务器生成密钥分配信息，按照该密钥分配信息调取对应的密钥，将该调取的密钥向无线接入点发送，并使该生成的密钥分配信息经无线接入点发送至加密装置； 

(5)无线接入点直接从认证装置处接收密钥，加密装置接收密钥分配信息，并利用该密钥分配信息在密钥管理信息表中调取相应的密钥； 

(6)无线接入点与加密装置分别使用所获取的密钥对在无线信道中传输的数据进行加密、解密处理。 

在上述步骤中，每个无线接入点中应设置不同、可代表其身份的业务组信息；密钥管理服务器中设置有存储密钥的密钥数据库，且在 密钥管理信息表中存储与各密钥管理服务器相同的密钥数据库及各无线接入点的业务组信息，并将业务组信息按照无线接入点所属的密钥管理服务器建立与密钥数据库对应关系；加密装置通过与无线接入点建立的无线信道获知所连接的无线接入点的业务组信息，并使加密装置在与该业务组信息对应的密钥数据库中查找与密钥分配信息对应的密钥。上述的业务组信息是为该无线接入点的业务组标识符。 

无线接入点可以在加密装置向无线接入点的认证成功后，向加密装置发送该无线接入点的业务组信息。 

具体而言，在上述步骤(6)中，通信终端将向无线局域网发送的数据通过通信接口模块输出至加密装置，该加密装置将该数据加密后通过无线局域网模块向无线接入点发送；所述的加密装置通过无线局域网模块接收到无线接入点发送的加密数据，并在对该数据解密后通过通信接口模块输出至通信终端。 

上述的通信接口模块是为USB接口模块、SATA接口模块、ISA接口模块、PCI接口模块、或PCMCIA接口模块。加密装置通过通信接口模块中设置的电源端子与通信终端的电源输出端子的电性连接，从而获得的供电。 

Claims (7)

1.一种可在不同无线局域网中实现保密通信的方法，设置有多个无线接入点(AP)，且各无线接入点分属于多个不同的密钥管理服务器，其特征在于所述方法包括以下步骤：

(1)在具有无线网卡功能的加密装置中预置唯一的标识信息和密钥管理信息表，该密钥管理信息表存储有各密钥管理服务器中的全部密钥，并可按密钥分配信息调取相应的密钥；

(2)使具有无线网卡功能的加密装置与通信终端连接并获得供电，在通信终端上安装并运行加密装置的无线网卡专用驱动程序；

(3)利用加密装置的无线网卡功能建立与无线接入点的无线信道，加密装置向无线接入点发送包含标识信息的认证请求；

(4)无线接入点根据认证请求中包含的标识信息对加密装置进行认证，如果认证成功，则密钥管理服务器生成密钥分配信息，按照该密钥分配信息调取对应的密钥，将该调取的密钥向无线接入点发送，并使该生成的密钥分配信息经无线接入点发送至加密装置；

(5)无线接入点直接从认证装置处接收密钥，加密装置接收密钥分配信息，并利用该密钥分配信息在密钥管理信息表中调取相应的密钥；

(6)无线接入点与加密装置分别使用所获取的密钥对在无线信道中传输的数据进行加密、解密处理。

2.根据权利要求1所述的可在不同无线局域网中实现保密通信的方法，其特征在于在每个所述的无线接入点中设置不同的业务组信息；所述的密钥管理服务器中设置有存储密钥的密钥数据库，且在密钥管理信息表中存储与各密钥管理服务器相同的密钥数据库及各无线接入点的业务组信息，并按照无线接入点所属的密钥管理服务器建立业务组信息与密钥数据库的对应关系；加密装置通过与无线接入点建立的无线信道获知所连接的无线接入点的业务组信息，并使加密装置在与该业务组信息对应的密钥数据库中查找与密钥分配信息对应的密钥。 

3.根据权利要求2所述的可在不同无线局域网中实现保密通信的方法，其特征在于所述的业务组信息为该无线接入点的业务组标识符。

4.根据权利要求2所述的可在不同无线局域网中实现保密通信的方法，其特征在于在加密装置向无线接入点的认证成功后，无线接入点向加密装置发送该无线接入点的业务组信息。

5.根据权利要求1所述的可在不同无线局域网中实现保密通信的方法，其特征在于所述的通信终端将向无线局域网发送的数据通过加密装置所包含的通信接口模块输出至加密装置，该加密装置将该数据加密后通过自身所包含的无线局域网模块向无线接入点发送；所述的加密装置通过所述无线局域网模块接收到无线接入点发送的加密数据，并在对该加密数据解密后通过通信接口模块输出至通信终端。

6.根据权利要求5所述的可在不同无线局域网中实现保密通信的方法，其特征在于所述的通信接口模块是为USB接口模块、SATA接口模块、ISA接口模块、PCI接口模块、或PCMCIA接口模块。

7.根据权利要求5所述的可在不同无线局域网中实现保密通信 的方法，其特征在于所述的加密装置通过所述通信接口模块中设置的电源端子与通信终端的电源输出端子的电性连接，从而获得的供电。 

Images