CN105208562A - 基于客户机的主动防基站诱骗方法和*** - Google Patents

Abstract

本发明提供了一种基于客户机的主动防基站诱骗方法，包括试探步骤：客户机向目标基站发送一组或多组认证信息，其中，至少有一组认证信息为伪装信息；客户机根据目标基站对所述认证信息的反馈信息，对所述目标基站进行真伪识别，其中，反馈信息用于指示目标基站是否接受认证信息。本发明还提供相应的***。本发明在伪基站诱骗客户机的情况下，客户机主动发送认证信息，根据伪基站对客户机认证信息完全接受的特点，客户机主动识别伪基站，保证通信安全。

Description

基于客户机的主动防基站诱骗方法和***

技术领域

本发明涉及无线网络安全，具体地，涉及基于客户机的主动防基站诱骗方法和***。

背景技术

随着互联网与物联网的发展，智能终端、传感器、安防设备接入网络的需求量越来越大。人们在家里、办公区域、公共区域使用Wi-Fi访问互联网的需求越来越普遍；传感器、MCU(单片机)、嵌入式终端利用Wi-Fi将收集到的信息发送到云端的案例将会变得越来越广泛。

Wi-Fi是智能设备广泛采用的无线网络连接方法，在个人、企业、智能终端自动化等领域，有着广泛的部署和使用。

因为Wi-Fi广泛的应用，无线信息安全变得越发重要，尤其是客户机隐私数据的安全，受到越来越重要的保护。无线信息安全，不仅仅指Wi-Fi主机的连接安全、通信安全，还包括客户机Wi-Fi连接安全，通信安全。

客户机在进行Wi-Fi连接时，完全依赖于ESSID+密码的匹配方式完成验证。针对Wi-Fi主机，无线安全领域主要是指保护目标ESSID基站密码不被破解，阻止非法客户机连接主机，防蹭网。采取的主要方法有使基站加密越来越复杂，定期发布认证私钥等方法大大降低密码被破译的风险；针对Wi-Fi客户端，存在大量的钓鱼基站，通过实施主动诱骗使客户端连接，获取认证信息。该类基站通过伪装成用户曾连接基站，套取对应基站密码，甚至跟踪客户机网络通讯，截取信息。保护客户机的安全连接，目前缺乏行之有效的方法。本发明正是为解决客户机被诱骗而设计。

目前保证认证信息安全主要是通过以下几种方法：

(a)查询可信任AP数据库。目前市场上大多数做法是收集用户免费Wi-Fi热点信息，并添加到可信任的数据库中供他人分享。

(b)手动切换Wi-Fi模式和数据模式。当输入比较私密的数据时，例如银行卡信息、密码时，切换到数据模式，这样即使连接到虚假Wi-Fi时，不会泄露关键数据，降低风险。

(c)在公共区域连接Wi-Fi热点，咨询公共区域负责人，识别虚假Wi-Fi。

(d)利用DNS映射关系和ARP映射。目前大多数Wi-Fi监测软件就是利用DNS映射关系，识别DNS劫持；利用ARP攻击原理(改变IP对应的MAC)，查询ARP映射，识别ARP攻击。

以上几种方法有以下不足的地方：

(a)查询AP数据库一般针对公共区域免费Wi-Fi。对于在数据库中没有记录的Wi-Fi，无法识别。

(b)切换Wi-Fi模式和数据模式，影响用户上网体验，并且此类做法是降低风险，没有消除在Wi-Fi模式下带来的隐患。

(c)咨询相关负责人，一般只能识别不同名的Wi-Fi。即SSID名字不同的情况下，可以识别负责人负责的Wi-Fi，对于同名SSID且同名的虚假基站信号比真基站信号强大的情况下，虚假基站信号会覆盖掉真基站信号，此时客户机不能识别。

经对现有技术进行检索，发现如下相关文献。

相关检索结果1：

名称：一种无线局域网中清除非法AP的方法

专利申请号：CN201310262156.2

申请公布号：CN103327484A

该发明提供了一种无线局域中清除非法AP的方法，该方法中，无线AP通过实时监测非法AP的存在情况，切断非法AP与无线用户的通信连接，并及时通知无线用户非法AP的存在，提醒用户及时的更新无线AP的无线密码与无线加密方式。

技术要点比较：

1、该发明的保护出发点是利用无线AP监测非法AP，切断非法AP与用户连接，从而达到保护安全通信，缺点是无法确保排除非法AP；而本发明是从客户机角度出发，由客户机进行主动防御，排除非法AP准确率高。

2、该发明对于伪基站的识别结果由真基站通知给客户机，但是，从客户机的角度看，首先难以确认发出该通知的基站是否为真基站，即不能排除伪基站发出通知误导客户机将真基站误认为伪基站的可能性。

相关检索结果2：

名称：面向移动终端的无线安全身份验证方法

专利申请号：CN201210172805.5

申请公布号：CN102685749A

该发明公开一种面向移动终端的无线安全身份验证方法。现有移动终端计算能力和安全性都较低。本发明使用了Diffie-Hellman安全密钥交换算法、数字证书技术、DES对称加密算法，并结合证书本地验证技术、二次登录技术、时间戳技术。首先，移动终端注册；其次，进行用户身份证书本地验证和移动终端向认证服务器登录，实现移动终端在无线网络中向认证服务器注册与登录的功能。

技术要点比较：

1、该发明使用的密匙认证，如果使用一台已经授信的终端作为非法AP，可引诱其他设备间接联网，无法保证其他终端的通信安全。

2、该发明是针对移动终端的无线安全身份验证，保护点在于防止非法终端登录认证服务器，无法保护移动终端不受诱骗，而本发明的目的是防止客户机被非法服务器诱骗。

相关检索结果3：

名称：识别虚假Wi-Fi的方法、客户端、服务器端和***

专利申请号：CN201410447084.3

申请公布号：CN104219670A

该发明提供了一种识别虚假Wi-Fi的方法、客户端、服务器端和***，属于无线网络安全领域。其中，所述的方法包括：客户端扫描Wi-Fi的服务集标识SSID，并获取所述服务集标识SSID对应的MAC地址；在MAC地址库中查询所述MAC地址是否存在，当查询结果表明所述MAC地址存在且位于MAC地址库的MAC黑库中时，将所述MAC地址对应的服务集标识SSID进行虚假标识。

技术要点比较：

该专利文献利用记载有伪造的虚假Wi-Fi的MAC黑库来识别伪基站，但是，该专利文献并没有给出如何将暂时还没有实施风险行为的诱骗伪基站归纳入黑库，因此这些诱骗伪基站将长期游离于黑库之外。而在本发明中，即使伪基站没有实施风险行为，一样可以在数据连接前识别出来。

相关检索结果4：

名称：一种无线AP的身份识别方法及终端

专利申请号：CN201410279425.0

申请公布号：CN104038939A

该发明实施例公开了一种无线AP的身份识别方法，包括：获取与终端连接的目标无线AP相关联的目标无线网络的SSID服务集标识和MAC物理地址；提示用户断开所述目标无线AP的电源，以使终端检测到不存在具有所述MAC和所述SSID的目标无线网络；若在第一预设时间内检测到不存在具有所述MAC和所述SSID的目标无线网络，提示用户接通所述目标无线AP的电源，以使所述终端能检测到具有所述MAC和所述SSID的目标无线网络；若在第二预设时间内检测到具有所述MAC和所述SSID的目标无线网络，识别出所述终端具有设置权限。

技术要点比较：

1、该发明对虚假Wi-Fi的识别是基于Wi-Fi标识SSID+MAC地址，而伪基站的Wi-Fi可以完全复制真Wi-Fi的SSID+MAC地址，因而无法做到完全保护手机通信的目的。

2、该发明对于无线AP的识别依赖于用户手动开关AP电源，即保证AP在相应时间段内，用户进行相应操作，从而保证安全连接。缺点有两个：(1)需要用户手动参与，对于公共Wi-Fi，用户无法手动关闭AP电源的情况下，该发明不适用。(2)在特定时间段内相应AP，如果此时有其他客户机在此时间段内响应AP，那么将无法识别伪AP。

相关检索结果5：

名称：用于监测伪无线接入点AP的方法及装置

专利申请号：CN201410638322.9

申请公布号：CN104349325A

该发明公开了一种用于监测伪无线接入点AP的方法及装置，其中方法包括：运营商部署的每一合法AP按如下方式监测伪AP：运营商管理的多个合法AP采用蜂窝型组网方案进行部署，每个合法AP工作在指定的信道上，且在进行数据传输的同时，扫描附近AP发出的信标帧；从获取的信标帧中提取扫描到的AP信息；将提取的AP信息与合法AP信息数据库进行比对，其中，合法AP信息数据库中存储合法AP的信息；当提取的AP信息不在合法AP信息数据库中，判定扫描到的AP为伪AP。

技术要点比较：

一方面，该专利文献需要借助于运营商提供的合法AP数据库作为匹配的依据，属于基站验证，不属于客户机端的验证，即使一个合法AP识别出了伪AP，但是对于客户机来讲，其一无法得知发现该伪AP的信息，其二即使合法AP能够通知客户机发现了伪AP，可是客户机不能确定发出该通知的AP本身是否为合法AP还是伪AP；而本发明从客户机角度出发，并不依赖于运营商提供的合法AP数据库作为匹配的依据。

另一方面，该专利文献中的伪AP指的是不合法、未登记AP，而合法AP进行复位设置而带来的AP诱骗信息问题则并没有被考虑进去，所以本发明能够有效针对诱骗伪基站。又一方面，既然合法AP能够扫描附近AP发出的信标帧，则伪基站同样能够扫描到附近AP发出的信标帧，伪基站可以将自身的信标帧伪装成附近AP发出的信标帧并将信号发射功率大于合法AP，则仍可以实现诱骗；但是这样诱骗方式对本发明不起作用。

再一方面，该专利文献给出了与本发明完全相反的技术启示，具体地，该专利文献说明书第[0004]段记载到“目前针对伪AP的治理主要包括……在手机端增加伪AP监测功能……需要在用户手机上安装一个相应的应用软件，且用户每到一个新的无线局域网内，都要重新进行数据更新，难以实现伪AP的无缝监测”。

最后，该专利文献需要每个客户机中存有运营商的合法信息数据库，在客户机未连接上AP时，无法更新本地数据库，因此对于一些AP会有误判行为。

发明内容

针对现有技术中的缺陷，本发明的目的是提供一种基于客户机的主动防基站诱骗方法和***。

根据本发明提供的一种基于客户机的主动防基站诱骗方法，包括如下试探步骤：

客户机向目标基站发送一组或多组认证信息，其中，至少有一组认证信息为伪装信息；

客户机根据目标基站对所述认证信息的反馈信息，对所述目标基站进行真伪识别，其中，反馈信息用于指示目标基站是否接受认证信息。

优选地，所述多组认证信息中包括至少一组真实信息，且客户机在每次识别过程中向目标基站发送的第一组认证信息为伪装信息。

优选地，客户机在各次识别过程中向目标基站所发送的认证信息的组数不完全相同。

优选地，客户机在各次识别过程中发送真实信息的序号(指发送顺序序号)不完全相同。

优选地，客户机仅在部分次数的识别过程中发送真实信息。

优选地，所述伪装信息是根据与客户机对应的历史基站信息和/或当前环境参数生成的。

优选地，在对所述目标基站进行真伪识别时：

若目标基站接受认证信息的正确率大于阈值，则认为目标基站的识别结果为真；反之，则认为目标基站的识别结果为伪。

优选地，所述试探步骤在客户机与目标基站建立数据通信之前或者数据通信中执行。

优选地，在一次识别过程中执行如下任意一个步骤：

-步骤I：客户机对目标基站针对前一组认证信息的反馈信息的正确性进行判断，若判断结果为正确的，则客户机继续向目标基站发送一组认证信息；其中，重复执行步骤I，直到目标基站针对为真实信息的认证信息的反馈信息是拒绝的、目标基站针对为伪装信息的认证信息的反馈信息是接受的、或者步骤I的重复执行次数达到设定值时，结束试探；或者

-步骤II：客户机根据目标基站对设定组数的多组认证信息的各个反馈信息对目标基站进行真伪识别后，结束试探。

根据本发明提供的一种基于客户机的主动防基站诱骗***，包括用于试探目标基站的试探装置，所述试探装置包括如下装置：

第一发送装置：向目标基站发送一组或多组认证信息，其中，至少有一组认证信息为伪装信息；

第一识别装置：根据目标基站对所述认证信息的反馈信息，对所述目标基站进行真伪识别，其中，反馈信息用于指示目标基站是否接受认证信息。

优选地，所述多组认证信息中包括至少一组真实信息，且第一发送装置在每次识别过程中向目标基站发送的第一组认证信息为伪装信息。

优选地，第一发送装置在各次识别过程中向目标基站所发送的认证信息的组数不完全相同。

优选地，第一发送装置在各次识别过程中发送真实信息的序号不完全相同。

优选地，第一发送装置仅在部分次数的发送过程中发送真实信息。

优选地，所述伪装信息是根据与客户机对应的历史基站信息和/或当前环境参数生成的。

优选地，第一识别装置在对所述目标基站进行真伪识别时：

若目标基站接受认证信息的正确率大于阈值，则认为目标基站的识别结果为真；反之，则认为目标基站的识别结果为伪。

优选地，对目标基站的试探是在客户机与目标基站建立数据通信之前或者数据通信中执行。

优选地，第一识别装置包括如下任意一种装置：

-第二识别装置：在一次识别过程中，重复执行步骤I，直到目标基站针对为真实信息的认证信息的反馈信息是拒绝的、目标基站针对为伪装信息的认证信息的反馈信息是接受的、或者步骤I的重复执行次数达到设定值时，结束试探；其中，所述步骤I为：客户机对目标基站针对前一组认证信息的反馈信息的正确性进行判断，若判断结果为正确的，则客户机继续向目标基站发送一组认证信息；

-第三识别装置：在一次识别过程中，执行步骤II；其中，所述步骤II为：客户机根据目标基站对设定组数的多组认证信息的各个反馈信息对目标基站进行真伪识别后，结束试探。

与现有技术相比，本发明具有如下的有益效果：

1、本发明提供了基于客户机自防护的无线安全方案，客户机与基站进行一次或多次交互，主动识别出基站的真伪。

2、在伪基站诱骗客户机的情况下，在客户机与基站真正建立连接前，客户机主动发送认证信息，根据伪基站对客户机认证信息完全接受的特点，客户机主动识别伪基站，保证通信安全。

附图说明

通过阅读参照以下附图对非限制性实施例所作的详细描述，本发明的其它特征、目的和优点将会变得更明显：

图1为本发明提供的基于客户机的主动防基站诱骗***的结构示意图；

图2为本发明提供的基于客户机的主动防基站诱骗方法的流程示意图；

图3为一组为真实信息的认证信息的示意图；

图4为图3中认证信息的伪装信息的示意图；

图5为客户机与基站之间多次交互识的原理示意图；

图6为本发明的应用原理图；

图7为本发明中试探装置的子装置之间的工作配合原理图，其中，“第一发送装置-第二识别装置”表示第一发送装置与第二识别装置之间的工作配合原理图，，“第一发送装置-第三识别装置”表示第一发送装置与第三识别装置之间的工作配合原理图。

具体实施方式

下面结合具体实施例对本发明进行详细说明。以下实施例将有助于本领域的技术人员进一步理解本发明，但不以任何形式限制本发明。应当指出的是，对本领域的普通技术人员来说，在不脱离本发明构思的前提下，还可以做出若干变化和改进。这些都属于本发明的保护范围。

根据本发明提供的一种基于客户机的主动防基站诱骗***，包括用于试探目标基站的试探装置，所述试探装置包括如下装置：

第一发送装置：向目标基站发送一组或多组认证信息，其中，至少有一组认证信息为伪装信息；

第一识别装置：根据目标基站对所述认证信息的反馈信息，对所述目标基站进行真伪识别，其中，反馈信息用于指示目标基站是否接受认证信息。

优选地，所述多组认证信息中包括至少一组真实信息，且第一发送装置在每次识别过程中向目标基站发送的第一组认证信息为伪装信息。

优选地，第一发送装置在各次识别过程中向目标基站所发送的认证信息的组数不完全相同。

优选地，第一发送装置在各次识别过程中发送真实信息的序号不完全相同。

优选地，第一发送装置仅在部分次数的发送过程中发送真实信息。

优选地，所述伪装信息是根据与客户机对应的历史基站信息和/或当前环境参数生成的。

优选地，第一识别装置在对所述目标基站进行真伪识别时：

若目标基站接受认证信息的正确率大于阈值，则认为目标基站的识别结果为真；反之，则认为目标基站的识别结果为伪。

优选地，对目标基站的试探是在客户机与目标基站建立数据通信之前或者数据通信中执行。

优选地，第一识别装置包括如下任意一种装置：

-第二识别装置：在一次识别过程中，重复执行步骤I，直到目标基站针对为真实信息的认证信息的反馈信息是拒绝的(即目标基站针对为真实信息的认证信息的反馈信息的正确性是错误的)、目标基站针对为伪装信息的认证信息的反馈信息是接受的(即目标基站针对为伪装信息的认证信息的反馈信息的正确性是错误的)、或者步骤I的重复执行次数达到设定值时，结束试探；其中，所述步骤I为：客户机对目标基站针对前一组认证信息的反馈信息的正确性进行判断，若判断结果为正确的，则客户机继续向目标基站发送一组认证信息；

-第三识别装置：在一次识别过程中，执行步骤II；其中，所述步骤II为：客户机根据目标基站对设定组数的多组认证信息的各个反馈信息对目标基站进行真伪识别后，结束试探。

所述基于客户机的主动防基站诱骗***，可以通过一种基于客户机的主动防基站诱骗方法的流程步骤实现。本领域技术人员可以将所述基于客户机的主动防基站诱骗方法理解为所述基于客户机的主动防基站诱骗***的一个实施例。所述基于客户机的主动防基站诱骗方法，具体如下。

根据本发明提供的一种基于客户机的主动防基站诱骗方法，包括如下试探步骤：

客户机向目标基站发送一组或多组认证信息，其中，至少有一组认证信息为伪装信息；

客户机根据目标基站对所述认证信息的反馈信息，对所述目标基站进行真伪识别，其中，反馈信息用于指示目标基站是否接受认证信息。也就是说，客户机根据反馈信息来验证目标基站对认证信息的处理是否符合预期，例如，客户机对所发送真实信息的预期为目标基站反馈通过认证，客户机对所发送伪装信息的预期为目标基站反馈未通过认证。

客户机可以采用无线方式(例如Wi-Fi等短距离无线通信方式)与目标基站(例如Wi-Fi基站)建立连接加入目标基站所在的无线局域网，然后通过目标基站连接入互联网。客户机可以是智能手机；客户机还可以是物联网终端，例如家用电器的物联盒。所述目标基站为无线基站。

所述试探步骤的目的在于，为了防止被伪基站诱骗得到密码等安全信息，通过基站对认证信息的反馈信息的正确性侦测是否存在伪基站的诱骗行为，让客户机不轻易被伪基站诱骗成功导致主动将真实信息发出。进一步地，在防止客户机被伪基站诱骗的基础上，于优选例中，所述试探步骤的目的还在于，客户机通过试探步骤向作为目标基站的基站开展反向诱骗，使伪基站误以为已获得了为真实信息的认证信息，从而停止对真实信息的继续诱骗。

客户机对伪基站的反向诱骗的方式可以有多种。例如，反向诱骗伪基站将伪装信息误判为真实信息。又例如，反向诱骗伪基站将真实信息误判为伪装信息。还例如，反向诱骗伪基站误认为在客户机发出的多组认证信息中含有(或者不含有)真实信息。再例如，反向诱骗伪基站误认为客户机在每次真伪识别中发出的多组认证信息是有规律(或者无规律)的。更例如，反向诱骗伪基站误判客户机的试探已开始(或者未开始)以及试探已结束(或者未结束)。当然，以上的反向诱骗方式可以单一使用，也可以多种方式同时使用，尤其是在每次识别或试探中使用不完全相同的方式组合，以达到迷惑伪基站的效果。

每组认证信息可以由多个信息构成，其中在所述多个信息中至少有一个是私密信息(比如密码等)，即伪基站需要诱骗得到的信息。例如，每组认证信息可以主要由用户名和密码构成。

在客户机对目标基站发送的认证信息中，至少有一组认证信息为伪装信息，所述伪装信息是指用来针对目标基站伪装成真实信息的认证信息。若一基站对于伪装信息的反馈信息均是或者大部分都是接受认证(即认证通过)，则该基站可以认定为伪基站。

在更为复杂(或者说更为迷惑)的情况下，在客户机对目标基站发送的认证信息中还可以在伪装信息中混入真实信息。例如，若客户机在试探中发送的认证信息均是伪装信息，则伪基站可以设计为对所有认证信息的反馈信息均是拒绝(即不接受)以通过试探，因此，有必要在伪装信息中混入或者有可能混入真实信息，从而使得伪基站不知道是否要对某一个或某几个认证信息反馈接受以及不知道要对哪一个或对哪几个认证信息反馈拒绝，进而令伪基站不能够采取对所有认证信息的反馈信息均是拒绝的方式来通过试探。进一步地，客户机在此有可能混入真实信息的方式下，发送的认证信息可以均是伪装信息，从而令伪基站徒劳于在伪装信息中寻找其实并不存在的真实信息。

关于客户机在试探中发送的认证信息的组数，可以用来迷惑伪基站，使伪基站不知道试探何时开始以及结束。假设客户机始终发送固定组数的认证信息，则伪基站可以掌握到规律，得到固定组数下一组的为真实信息的认证信息。

所述“客户机向目标基站发送一组或多组认证信息”的步骤以及所述“客户机根据目标基站对所述认证信息的反馈信息，对所述目标基站进行真伪识别”的步骤之间的执行顺序可以有多种方式。例如，首先，客户机向目标基站发送了多组认证信息，相应地，客户机也收到了目标基站的多个反馈信息，然后客户机对目标基站进行真伪识别。又例如，客户机向目标基站每发送一组认证信息后即根据该组认证信息的反馈信息进行即时(或实时)基站真伪识别，若识别结果为真基站，则继续发送下一组认证信息，若识别结果为伪基站，则可以结束试探。

所述客户机向目标基站发送一组或多组认证信息的步骤，可以由客户机主动启动执行以对周围的基站进行试探，并形成包含真基站的白名单与包含伪基站的黑名单，还可以由客户机在需要建立数据连接之前，对相应的基站进行试探，也可以在数据连接过程中对当前数据连接的基站进行试探。

所述对所述目标基站进行真伪识别的步骤，可以基于对应于一组认证信息的反馈信息或者对应于多组认证信息的反馈信息进行真伪识别，例如优选地将反馈信息正确率100％的基站才识别为真基站。其中，所述反馈信息用于指示目标基站是否接受认证信息。

在优选例中，客户机准备与一基站建立数据连接(该基站假设为伪基站)，因此对该基站进行试探以确保信息安全。为此，客户机向该基站发送了一组认证信息R1，该组认证信息R1为伪装信息，若该基站对该组认证信息R1的反馈信息为接受，即通过认证，则客户机将该基站识别为伪基站。

在优选例中，客户机准备与一基站建立数据连接(该基站假设为伪基站)，因此对该基站进行试探以确保信息安全。为此，客户机向该基站发送了两组认证信息R1、R2，该组认证信息R1、R2均为伪装信息，若该基站对该组认证信息R1的反馈信息为拒绝，即认证不通过，对认证信息组R2的反馈信息为接受，则客户机可以根据该基站的反馈信息的正确率为50％过低而将该基站识别为伪基站。

具体地，所述多组认证信息中包括至少一组真实信息，且客户机在每次识别过程中向目标基站发送的第一组认证信息为伪装信息。其中，向目标基站发送的第一组认证信息为伪装信息的目的是：若向目标基站发送的第一组认证信息为真实信息，则假设该基站为真基站，则该真基站的反馈信息为接受认证，假设该基站为伪基站，则该伪基站的反馈信息同样也是接受认证，则真基站的反馈信息与伪基站的反馈信息之间是体现不出区别的，因此，第一组认证信息为伪装信息。

在优选例中，客户机准备与一基站建立数据连接(该基站假设为伪基站)，因此对该基站进行试探以确保信息安全。为此，客户机向该基站先后发送了两组认证信息R1、R2，认证信息组R1为伪装信息，认证信息组R2为真实信息。因此，若该伪基站对认证信息的接受以及拒绝策略为全部接受或者全部拒绝，则该伪基站对于认证信息组R1、R2的反馈信息的正确率不可能达到100％，而仅为50％。从而客户机能够识别出该基站为伪基站。

但是，在更为复杂的情况下，伪基站也许可以从多次试探的认证信息中得到真实信息。例如，在第一次试探中，客户机向伪基站发送了四组认证信息R101、R102、R103、R104，其中，R102为真实信息，其余为伪装信息；在第二次试探中，客户机向伪基站发送了三组认证信息R201、R202、R203，其中，R203为真实信息，其余为伪装信息；由于真实信息是不变的，即R102与R203是相同的，则伪基站可以通过从集合{R101、R102、R103、R104}与集合{R201、R202、R203}的交集中得到真实信息。为此，客户机可以在多次试探过程中，分别发送相同的一组或多组为伪装信息的认证信息，例如，令R101与R201相同，令R103与R202相同，这样，集合{R101、R102、R103、R104}与集合{R201、R202、R203}的交集中有两组认证信息是由伪装信息构成的，仅一组认证信息是由真实信息构成的，当每次试探中发送的认证信息组数较多时，则该交集的元素也会很多，从而给伪基站从中找出真实信息带来困难。

具体地，客户机仅在部分次数的识别过程中发送真实信息，其中，所述试探与所述识别是一一对应的，即，客户机执行一次试探，则对应进行一次识别。在上述复杂情况下，客户机还可以在多次试探过程中，分别发送相同的一组或多组为伪装信息的认证信息，并且在至少一次试探中不发送由真实信息构成为认证信息。例如，在第一次试探中，客户机向伪基站发送了四组认证信息R101、R102、R103、R104，其中，R102为真实信息，其余为伪装信息；在第二次试探中，客户机向伪基站发送了三组均为伪装信息的认证信息R201、R202、R203，且R103与R203相同，R101与R202相同，则在集合{R101、R102、R103、R104}与集合{R201、R202、R203}的交集{R103、R201}中不存在真实信息，达到反向诱骗伪基站，使伪基站误认为在该交集中存在真实信息的错误判断。

具体地，客户机在各次识别过程中向目标基站所发送的认证信息的组数不完全相同。伪基站可以通过掌握每次识别(即试探)过程中客户机向目标基站发送的认证信息组数，当试探结果为真基站时，客户机再次发送认证信息时，应该向该真基站发送为真实信息的认证信息，从而通过真基站的认证。若伪基站能够确认客户机的试探已结束，则可以获得并认定客户机下一次发送的认证信息是由真实信息构成的。因此，对客户机而言，不能让伪基站掌握到何时试探开始以及何时试探结束。因此，客户机在各次识别过程中向目标基站所发送的认证信息的组数不完全相同，从而使得伪基站不能从认证信息发送的组数上知道何时试探开始以及何时试探结束。

更为具体地，在部分或全部次数的试探中，客户机发送相邻组认证信息的时间间隔可以全部相同、部分相同、或者全部不相同，从而使得伪基站也不能从认证信息的发送时间上找到何时试探开始以及何时试探结束。例如，客户机以时间间隔t1依次发送了八组认证信息，并以时间间隔t2(t2>t1)发送由伪装信息构成的第九组认证信息，以反向诱骗伪基站误认为在客户机发送第八组认证信息后试探已结束，进而得到第九组认证信息是由真实信息构成的误判。又例如，

客户机在第一次试探中以时间间隔t1依次发送了八组认证信息，并在第八组认证信息发送时间的时间间隔t1后在第二次试探中以时间间隔t1发送了两组认证信息，并以时间间隔t2发送了第三组认证信息，以反向诱骗伪基站误认为在客户机发送第八组认证信息后试探还没有结束，并误认为该次试探一共发送了十组试探信息，并认为第二次试探中的第三组认证信息为新的一次试探的开始，而恰恰可以将该第二次试探中的第三组认证信息设定为由真实信息构成。

具体地，客户机在各次识别过程中发送真实信息的序号(指发送顺序序号)不完全相同。例如，假设客户机在两次试探中均发送十组认证信息，则可以在第一次试探时通过第二组认证信息发送真实信息，在第二次试探时通过第五组认证信息发送真实信息。

具体地，所述伪装信息是根据与客户机对应的历史基站信息和/或当前环境参数生成的。伪基站确认为真实信息的认证信息的途径之一，是首先识别出那些为伪装信息的认证信息，则余下的认证信息可判断为是真实信息。因此，客户机有必要防止伪基站掌握为伪装信息的认证信息的生成方法。

例如，客户机可以根据历史基站信息中的基站的SSID(ServiceSetIdentifier)、与SSID对应的客户机密码、上次客户机连接地点，以及客户机所处于的其他客观因素(例如客户机的开机时间、当前温度等当前环境参数)，利用位移、加密等数学算法，生成一个记载有多组认证信息的认证信息表单。该认证信息表单储存N组认证信息，每组认证信息有个真伪字段属性：为真实信息的认证信息的真伪字段属性为真，为伪装信息的认证信息的真伪字段属性为伪。N为大于1的正整数。

具体地，所述试探步骤在客户机与目标基站建立数据通信之前执行。在建立数据通信之前，客户机需试探基站是否为真基站，若为伪基站，则不能建立数据通信，即，在客户机与基站连接前，通过主动与基站进行交互，达到安全连接。

具体地，所述试探步骤在客户机与目标基站数据通信中执行。当客户机与真基站建立数据通信后，若伪基站的信号发射功率大于真基站，则伪基站会对真基站造成干扰与屏蔽，使得客户机被强制连接到伪基站，因此，即使客户机在当前时刻是与真基站建立的数据连接，但是，在数据通信连接中不能排除下一个时刻被强制连接至伪基站，因此对于客户机而言下一个时刻是否继续数据连接需要对当前通信数据连接的基站进行真伪识别，也就是说，下一时刻的基站对于客户机来讲是一个待识别真伪后才确认是否保持数据连接或者重新数据连接的待识别连接对象。因此，可以在在客户机与目标基站数据通信中执行所述试探步骤，以识别当前与客户机连接的基站是否为真基站，并在当前与客户机连接的基站为伪基站时中断数据通信连接。也就是说，在客户机与基站通信过程中，可以间歇性的执行试探步骤以保护客户机，确保实时的安全连接。

具体地，在对所述目标基站进行真伪识别时，在一次识别过程中执行步骤I或者步骤II。

-步骤I：客户机对目标基站针对前一组认证信息的反馈信息的正确性进行判断，若判断结果为正确的，则客户机继续向目标基站发送一组认证信息；其中，重复执行步骤I，直到目标基站针对为真实信息的认证信息的反馈信息是拒绝的、目标基站针对为伪装信息的认证信息的反馈信息是接受的、或者步骤I的重复执行次数达到设定值时，结束试探。客户机对基站的真伪进行实时识别。

例如，在一次试探中，客户机已发出了三组均为伪装信息的认证信息R1、R2、R3，基站对该三组认证信息的反馈信息均为拒绝，即基站对于该三组认证信息的反馈信息均正确，随后，客户机发出第四组为伪装信息的认证信息R4，基站对该第四组认证信息R4的反馈信息为接受，即该基站对于该第四组认证信息的反馈信息是错误的，因此客户机将该基站识别为伪基站后结束试探。

又例如，若目标基站的历次反馈信息保持正确，则客户机继续向目标基站发送一组认证信息进行真伪识别，直到客户机向目标基站发送的真实信息的反馈信息是正确的时将基站识别为真基站后结束试探。比如，在一次试探中，客户机已发出了四组均为伪装信息的认证信息R1、R2、R3、R4，基站对该四组认证信息的反馈信息均为拒绝，即基站对于该四组认证信息的反馈信息均正确，随后，客户机发出第五组为真实信息的认证信息R5，基站对该第五组认证信息R5的反馈信息为接受，即该基站对于该第五组认证信息的反馈信息是正确的，因此客户机将该基站识别为真基站后结束试探。

再例如，在一次试探中，客户机已发出了四组均为伪装信息的认证信息R1、R2、R3、R4，基站对该四组认证信息的反馈信息均为拒绝，即基站对于该四组认证信息的反馈信息均正确，随后，客户机检测到在本次试探中，发出的认证信息的组数已达到阈值n，则客户机不再发出第五组认证信息，而是将该基站识别为真基站后结束试探。

-步骤II：客户机根据目标基站对设定组数的多组认证信息的各个反馈信息对目标基站进行真伪识别后，结束试探。具体地，重复执行步骤n次：客户机向基站发送一组认证信息，然后接收基站对该组认证信息的反馈信息；得到n个反馈信息。然后客户机根据该n个反馈信息对基站的真伪进行识别。若目标基站接受认证信息的正确率大于阈值，则认为目标基站的识别结果为真；反之，则认为目标基站的识别结果为伪。其中，阈值优选的为100％。

其中，n为正整数，其数值可以预先设定，例如为了防止试探识别的时间过长，则可以将n的数值设置为20。优选地，在每次识别过程中n的取值为一个数值范围中的值，例如，将n的取值数值范围设定为10到20，则每次识别过程中n的取值为10到20中的随机数，其中，本领域技术人员可以参照现有技术实现随机数的生成算法，在此不再赘述。

下面对一个优选的具体实施方式进行描述。

在作为客户机的智能移动设备***(Android/IOS/WP/Linux/塞班等***)中嵌入本发明提供的基于客户机的主动防基站诱骗***，或者在集成电路芯片中(如51单片机/ARM单片机/AVR单片机/嵌入式模块中)，嵌入本发明提供的基于客户机的主动防基站诱骗***，采用如下步骤：

-客户机判断附近是否存在可连接且历史上数据连接过的热点基站；若存在，则进入下述步骤继续执行；若不存在，则可对可用热点基站进行手动触发连接；

-通过执行步骤“客户机向目标基站发送一组或多组认证信息”以及步骤“客户机根据目标基站对所述认证信息的反馈信息，对所述目标基站进行真伪识别”的试探步骤，得到基站的真伪识别结果；若识别结果为真，则与该真基站进行数据连接，若识别结果为伪，则由用户判断是否需要手动触发连接；

-在数据连接中，通过执行所述试探步骤对当前连接的基站进行真伪识别；若识别结果为真，则与该真基站保持数据连接，若识别结果为伪，则由用户判断是否需要继续。

本发明还提供一种存储有计算机程序的计算机可读存储介质，其中，所述计算机可读存储介质中的计算机程序使计算机执行所述基于客户机的主动防基站诱骗方法，所述计算机可读存储介质包括光盘、磁盘、ROM、PROM、VCD、DVD等；所述基于客户机的主动防基站诱骗方法，包括如下试探步骤：

客户机向目标基站发送一组或多组认证信息，其中，至少有一组认证信息为伪装信息；

客户机根据目标基站对所述认证信息的反馈信息，对所述目标基站进行真伪识别，其中，反馈信息用于指示目标基站是否接受认证信息。

优选地，所述多组认证信息中包括至少一组真实信息，且客户机在每次识别过程中向目标基站发送的第一组认证信息为伪装信息。

优选地，客户机在各次识别过程中向目标基站所发送的认证信息的组数不完全相同。

优选地，客户机在各次识别过程中发送真实信息的序号不完全相同。

优选地，客户机仅在部分次数的识别过程中发送真实信息。

优选地，所述伪装信息是根据与客户机对应的历史基站信息和/或当前环境参数生成的。

优选地，在对所述目标基站进行真伪识别时：

若目标基站接受认证信息的正确率大于阈值，则认为目标基站的识别结果为真；反之，则认为目标基站的识别结果为伪。

优选地，所述试探步骤在客户机与目标基站建立数据通信之前或者数据通信中执行。

优选地，在一次识别过程中执行如下任意一个步骤：

-步骤I：客户机对目标基站针对前一组认证信息的反馈信息的正确性进行判断，若判断结果为正确的，则客户机继续向目标基站发送一组认证信息；其中，重复执行步骤I，直到目标基站针对为真实信息的认证信息的反馈信息是拒绝的、目标基站针对为伪装信息的认证信息的反馈信息是接受的、或者步骤I的重复执行次数达到设定值时，结束试探；或者

-步骤II：客户机根据目标基站对设定组数的多组认证信息的各个反馈信息对目标基站进行真伪识别后，结束试探。

本领域技术人员知道，除了以纯计算机可读程序代码方式实现本发明提供的***及其各个装置以外，完全可以通过将方法步骤进行逻辑编程来使得本发明提供的***及其各个装置以逻辑门、开关、专用集成电路、可编程逻辑控制器以及嵌入式微控制器等的形式来实现相同功能。所以，本发明提供的***及其各项装置可以被认为是一种硬件部件，而对其内包括的用于实现各种功能的装置也可以视为硬件部件内的结构；也可以将用于实现各种功能的装置视为既可以是实现方法的软件模块又可以是硬件部件内的结构。

以上对本发明的具体实施例进行了描述。需要理解的是，本发明并不局限于上述特定实施方式，本领域技术人员可以在权利要求的范围内做出各种变化或修改，这并不影响本发明的实质内容。在不冲突的情况下，本申请的实施例和实施例中的特征可以任意相互组合。

Claims (18)

1.一种基于客户机的主动防基站诱骗方法，其特征在于，包括如下试探步骤：

客户机向目标基站发送一组或多组认证信息，其中，至少有一组认证信息为伪装信息；

客户机根据目标基站对所述认证信息的反馈信息，对所述目标基站进行真伪识别，其中，反馈信息用于指示目标基站是否接受认证信息。

2.根据权利要求1所述的基于客户机的主动防基站诱骗方法，其特征在于，所述多组认证信息中包括至少一组真实信息，且客户机在每次识别过程中向目标基站发送的第一组认证信息为伪装信息。

3.根据权利要求1所述的基于客户机的主动防基站诱骗方法，其特征在于，客户机在各次识别过程中向目标基站所发送的认证信息的组数不完全相同。

4.根据权利要求2所述的基于客户机的主动防基站诱骗方法，其特征在于，客户机在各次识别过程中发送真实信息的序号不完全相同。

5.根据权利要求1所述的基于客户机的主动防基站诱骗方法，其特征在于，客户机仅在部分次数的识别过程中发送真实信息。

6.根据权利要求1所述的基于客户机的主动防基站诱骗方法，其特征在于，所述伪装信息是根据与客户机对应的历史基站信息和/或当前环境参数生成的。

7.根据权利要求1所述的基于客户机的主动防基站诱骗方法，其特征在于，在对所述目标基站进行真伪识别时：

若目标基站接受认证信息的正确率大于阈值，则认为目标基站的识别结果为真；反之，则认为目标基站的识别结果为伪。

8.根据权利要求1所述的基于客户机的主动防基站诱骗方法，其特征在于，所述试探步骤在客户机与目标基站建立数据通信之前或者数据通信中执行。

9.根据权利要求1所述的基于客户机的主动防基站诱骗方法，其特征在于，在一次识别过程中执行如下任意一个步骤：

-步骤I：客户机对目标基站针对前一组认证信息的反馈信息的正确性进行判断，若判断结果为正确的，则客户机继续向目标基站发送一组认证信息；其中，重复执行步骤I，直到目标基站针对为真实信息的认证信息的反馈信息是拒绝的、目标基站针对为伪装信息的认证信息的反馈信息是接受的、或者步骤I的重复执行次数达到设定值时，结束试探；或者

-步骤II：客户机根据目标基站对设定组数的多组认证信息的各个反馈信息对目标基站进行真伪识别后，结束试探。

10.一种基于客户机的主动防基站诱骗***，其特征在于，包括用于试探目标基站的试探装置，所述试探装置包括如下装置：

第一发送装置：向目标基站发送一组或多组认证信息，其中，至少有一组认证信息为伪装信息；

第一识别装置：根据目标基站对所述认证信息的反馈信息，对所述目标基站进行真伪识别，其中，反馈信息用于指示目标基站是否接受认证信息。

11.根据权利要求10所述的基于客户机的主动防基站诱骗***，其特征在于，所述多组认证信息中包括至少一组真实信息，且第一发送装置在每次识别过程中向目标基站发送的第一组认证信息为伪装信息。

12.根据权利要求10所述的基于客户机的主动防基站诱骗***，其特征在于，第一发送装置在各次识别过程中向目标基站所发送的认证信息的组数不完全相同。

13.根据权利要求11所述的基于客户机的主动防基站诱骗***，其特征在于，第一发送装置在各次识别过程中发送真实信息的序号不完全相同。

14.根据权利要求10所述的基于客户机的主动防基站诱骗***，其特征在于，第一发送装置仅在部分次数的发送过程中发送真实信息。

15.根据权利要求10所述的基于客户机的主动防基站诱骗***，其特征在于，所述伪装信息是根据与客户机对应的历史基站信息和/或当前环境参数生成的。

16.根据权利要求10所述的基于客户机的主动防基站诱骗***，其特征在于，第一识别装置在对所述目标基站进行真伪识别时：

若目标基站接受认证信息的正确率大于阈值，则认为目标基站的识别结果为真；反之，则认为目标基站的识别结果为伪。

17.根据权利要求10所述的基于客户机的主动防基站诱骗***，其特征在于，对目标基站的试探是在客户机与目标基站建立数据通信之前或者数据通信中执行。

18.根据权利要求10所述的基于客户机的主动防基站诱骗***，其特征在于，第一识别装置包括如下任意一种装置：

-第二识别装置：在一次识别过程中，重复执行步骤I，直到目标基站针对为真实信息的认证信息的反馈信息是拒绝的、目标基站针对为伪装信息的认证信息的反馈信息是接受的、或者步骤I的重复执行次数达到设定值时，结束试探；其中，所述步骤I为：客户机对目标基站针对前一组认证信息的反馈信息的正确性进行判断，若判断结果为正确的，则客户机继续向目标基站发送一组认证信息；

-第三识别装置：在一次识别过程中，执行步骤II；其中，所述步骤II为：客户机根据目标基站对设定组数的多组认证信息的各个反馈信息对目标基站进行真伪识别后，结束试探。