CN105577365A - 一种用户接入wlan的密钥协商方法及装置 - Google Patents

Abstract

本发明提供一种用户接入WLAN的密钥协商方法及装置，其中方法包括：向WLAN接入的目标设备发送密钥协商请求，其中目标设备为无线访问节点AP或与AP连接的密钥协商服务器；获取来自目标设备响应密钥协商请求的响应消息，其中响应消息中携带有WLAN接入的目标设备的公钥；在收到响应消息后随机生成临时密钥，将临时密钥利用公钥进行加密处理生成第一密文，并将第一密文发送至目标设备，其中临时密钥用于WLAN终端接入WLAN环境的密码；根据临时密钥处理得到第一处理数值；获取来自目标设备的第二处理数值，其中第二处理数值是目标设备根据第一密文中的临时密钥处理得到的数值；若第一处理数值与获取的第二处理数值相匹配时，向目标设备发送协商密钥成功的确认信息。

Description

一种用户接入WLAN的密钥协商方法及装置

技术领域

本发明涉及WLAN领域，特别是一种用户接入WLAN的密钥协商方法及装置。

背景技术

WLAN以IEEE802.11为基础，属于移动无线数据网络，用于“热点”场所通信，能够在较小的区域提供高带宽，典型的应用场景包括会议中心、机场、饭店、咖啡馆和娱乐场所等公共场所。

现行WLAN技术，按照是否在空口对通信数据进行加密，分为两类：一是不对空口加密的开放***(OpenSystem)，二是对空口加密的WEP(WiredEquivalentPrivacy的缩写，有线等效保密)、WPA(Wi-FiProtectedAccess的缩写，Wi-Fi保护访问)/WPA2，其中WEP(WiredEquivalentPrivacy的缩写，有线等效协议)加密强度较低，WPA/WPA2的加密强度较高。

对于开放***WLAN，用户在接入时不需要输入任何密码，即可连接到WLAN网络。对于WEP、WPA/WPA2方式加密的WLAN网络，需要事先向服务提供者索取预共享密钥PSK(PresharedKey的缩写，接入密码)，并在接入时输入PSK才能使用WLAN服务。同一SSID(ServiceSetIdentifier的缩写，服务集标识)的PSK是相同的，所以对于接入到同一SSID下的不同用户来说，PSK是共知的。

WEP的加密/解密流程如下：

1.利用PSK计算一个伪随机序列；

2.发送端将明文与伪随机序列进行异或操作，得到密文；

3.接收端将密文与伪随机序列进行异或操作，得到明文。

未加密的WLAN服务没有提供对通信数据的空口加密，由于无线信号本身的开放特性，任何第三方都可以使用简单的设备监听无线信号，窃取用户的通信数据，存在泄密风险。

WPA/WPA2的加密/解密流程如下：

1.生成主对称密钥PMK(PairwiseMasterKey)，生成方式有两种：一是以PSK为主要参数计算得到，二是在认证过程中生成，生成方法取决于认证方法；

2.由PMK计算得到对称传输密钥PTK(PairwiseTransientKey)；

3.对PTK进行分段，得到加密所需的多个加密密钥；

4.发送端利用加密密钥对明文进行加密；

5.接受端利用加密密钥对明文进行解密；

加密密钥生成过程中所需的参数，除了PSK，均为已知固定值或在计算时通过空口协商而被监听到。因此只有PSK是加密密钥生成过程中唯一的安全因子。

采用WEP、WPA/WPA2方式加密的WLAN服务，用户需要向服务提供者索取PSK，否则无法使用WLAN服务。对于公共WLAN服务，用户可能不清楚如何获得PSK或不清楚如何配置密钥而放弃使用，用户体验不友好，不利于公共WLAN业务的推广。

采用WEP、WPA/WPA2方式进行加密的WLAN服务，对接入后的通信数据进行空口加密。对基于PSK生成PMK的情况，由于PSK是相同的，窃听者也能够通过合法渠道获得PSK，并通过监听获取生成加密密钥所需的其他参数，能够计算出用户的加密密钥，进而对窃听到的通信数据进行解密。WEP、WAP/WPA2方式无法真正实现通信数据的加密保护。

现有WLAN技术中，WEP、WPA/WPA2虽具备加密功能，但加密安全性差，且需要预共享密钥PSK，使用体验较差。都不适用于公共场所的WLAN服务。

综上所述，现有WLAN技术的问题是需要预先获取预共享密钥PSK，用户接入体验差，且通信数据加密依赖于共用的PSK，保密性差。

发明内容

本发明的目的在于提供一种用户接入WLAN的密钥协商方法及装置，解决用户接入WLAN环境时，索取接入密码的过程使得用户接入体验差的问题。

为了解决上述技术问题，本发明实施例提供的一种用户接入WLAN的密钥协商方法，应用于WLAN终端，其中，所述方法包括：

向WLAN接入的目标设备发送密钥协商请求，其中所述目标设备为无线访问节点AP或者与AP连接的密钥协商服务器；

获取到来自所述目标设备响应所述密钥协商请求的响应消息，其中所述响应消息中携带有WLAN接入的目标设备的公钥；

在收到所述响应消息后，随机生成临时密钥，将所述临时密钥利用所述公钥进行加密处理生成第一密文，并将所述第一密文发送至所述目标设备，其中所述临时密钥用于所述WLAN终端接入WLAN环境的密码；

根据所述临时密钥处理得到第一处理数值；

获取来自所述目标设备的第二处理数值，其中所述第二处理数值是所述目标设备根据所述第一密文中的临时密钥处理得到的数值；

若所述第一处理数值与获取到的所述第二处理数值相匹配时，向所述目标设备发送协商密钥成功的确认信息。

进一步的，所述向WLAN接入的目标设备发送密钥协商请求，具体为：

接收到探测响应ProbeResponse之后，向WLAN接入的目标设备发送密钥协商请求。

进一步的，所述在收到所述响应消息后，随机生成临时密钥，将所述临时密钥利用所述公钥进行加密处理生成第一密文，并将所述第一密文发送至所述目标设备的步骤包括：

获取所述ProbeResponse中的时间戳；

将所述临时密钥利用所述公钥进行加密处理生成第一密文，并将所述时间戳和所述第一密文给所述目标设备，其中所述时间戳用于所述目标设备对接收到的所述第一密文进行过滤处理。

其中，所述若所述第一处理数值与获取到的所述第二处理数值相匹配时，向所述目标设备发送协商密钥成功的确认信息之后，还包括：

根据所述临时密钥生成对所述WLAN终端与AP之间的通信数据进行加密/解密的加密密钥。

进一步的，若所述目标设备为与AP连接的密钥协商服务器时，所述向WLAN接入的目标设备发送密钥协商请求，具体为：

向与所述密钥协商服务器连接的AP发送密钥协商请求，通过所述AP将所述密钥协商请求转发给所述密钥协商服务器。

进一步的，所述根据所述临时密钥处理得到第一处理数值，具体为：

通过散列函数对所述临时密钥进行处理得到所述第一处理数值。

为了解决上述技术问题，本发明实施例还提供一种用户接入WLAN的密钥协商方法，应用于目标设备，其中所述目标设备为无线访问节点AP或者为与AP连接的密钥协商服务器，所述密钥协商方法包括：

接收来自WLAN终端的密钥协商请求后，向所述WLAN终端发送携带有WLAN接入的目标设备的公钥的响应消息；

获取所述WLAN终端发送的第一密文，其中所述第一密文是所述WLAN终端利用所述公钥对所述WLAN终端随机生成的临时密钥进行加密得到的，所述临时密钥用于所述WLAN终端接入WLAN环境的密码；

对所述第一密文中的临时密钥进行处理得到的第二处理数值；

将所述第二处理数值发送给所述WLAN终端，由所述WLAN终端对本地根据所述临时密钥生成的第一处理数值和接收的所述第二处理数值进行匹配处理，若所述第一处理数值与获取到的所述第二处理数值相匹配时，向WLAN终端生成并会发送协商密钥成功的确认信息；

获取所述WLAN终端发送的确认信息。

进一步的，若所述目标设备为密钥协商服务器时，相应的，所述接收来自WLAN终端的密钥协商请求后，向所述WLAN终端发送携带有WLAN接入的目标设备的公钥的响应消息的步骤包括：

接收通过与所述密钥协商服务器连接的AP转发的来自所述WLAN终端的密钥协商请求；

在接收到所述密钥协商请求后，向所述WLAN终端发送携带有WLAN接入的目标设备的公钥的响应消息。

进一步的，所述获取所述WLAN终端发送的第一密文的步骤包括：

获取所述WLAN终端发送的消息，所述消息包括：利用所述公钥对临时密钥加密的所述第一密文和所述终端接收到的探测请求ProbeRequest中的时间戳：

根据所述消息中的时间戳，对接收到的所述第一密文进行过滤处理。

进一步的，所述对所述第一密文中的临时密钥进行处理得到的第二处理数值，具体为：对所述第一密文进行解密处理得到所述临时密钥，并将所述临时密钥通过散列函数进行处理得到所述第二处理数值。

其中，若所述目标设备为密钥协商服务器时，相应的，所述发送所述第二处理数值后，获取所述WLAN终端确认过所述处理数值的协商密钥成功的确认信息之后，还包括：

所述密钥协商服务器向所述AP发送所述WLAN终端确认过的临时密钥。

相应的，为了解决上述技术问题，本发明实施例还提供一种用户接入WLAN的密钥协商装置，应用于WLAN终端，其中，所述密钥协商装置包括：

启动模块，用于向WLAN接入的目标设备发送密钥协商请求，其中所述目标设备为无线访问节点AP或者与AP连接的密钥协商服务器；

响应模块，用于获取到来自所述目标设备响应所述密钥协商请求的响应消息，其中所述响应消息中携带有WLAN接入的目标设备的公钥；

第一处理模块，用于在收到所述响应消息后，随机生成临时密钥，将所述临时密钥利用所述公钥进行加密处理生成第一密文，并将所述第一密文发送至所述目标设备，其中所述临时密钥用于所述WLAN终端接入WLAN环境的密码；

第二处理模块，用于根据所述临时密钥处理得到第一处理数值；

第一获取模块，用于获取来自所述目标设备的第二处理数值，其中所述第二处理数值是所述目标设备根据所述第一密文中的临时密钥处理得到的数值；

第三处理模块，用于若所述第一处理数值与获取到的所述第二处理数值相匹配时，向所述目标设备发送协商密钥成功的确认信息。

相应的，为了解决上述技术问题，本发明实施例还提供一种用户接入WLAN的密钥协商装置，应用于目标设备，其中所述目标设备为无线访问节点AP或者为与AP连接的密钥协商服务器，所述密钥协商装置包括：

信息交互模块，用于接收来自WLAN终端的密钥协商请求后，向所述WLAN终端发送携带有WLAN接入的目标设备的公钥的响应消息；

第二获取模块，用于获取所述WLAN终端发送的第一密文，其中所述第一密文是所述WLAN终端利用所述公钥对所述WLAN终端随机生成的临时密钥进行加密得到的，所述临时密钥用于所述WLAN终端接入WLAN环境的密码；

第四处理模块，用于对所述第一密文中的临时密钥进行处理得到的第二处理数值；

第一发送模块，用于将所述第二处理数值发送给所述WLAN终端，由所述WLAN终端对本地根据所述临时密钥生成的第一处理数值和接收的所述第二处理数值进行匹配处理，若所述第一处理数值与获取到的所述第二处理数值相匹配时，向WLAN终端生成并会发送协商密钥成功的确认信息；

第三获取模块，用于获取所述WLAN终端发送的确认信息。

本发明的上述技术方案的有益效果如下：

本发明的方案中，通过终端向WLAN接入的目标设备发送密钥协商请求，然后在收到目标设备的响应消息后，WLAN终端随机生成临时密钥并利用公钥处理临时密钥后生成第一密文发送给目标设备，然后WLAN终端再将临时密钥进行处理后得到第一处理数值，与WLAN接入的目标设备将第一密文中的临时密钥进行处理的第二处理数值进行比较，在两者进行匹配时，WLAN终端向所述目标设备发送协商密钥成功的确认信息。这样无需用户输入预共享密钥，用户无感知的接入WLAN环境，不仅免除了用户申请及索取接入密码的过程，而且省掉了WLAN服务提供者发布预共享密钥的工作，也有利于公共WLAN业务的推广。

附图说明

图1为本发明实施例的用户接入WLAN的密钥协商方法的基本步骤流程图之一；

图2为本发明实施例的基于WEP协议的加密/解密的流程图；

图3为本发明实施例的基于WPA/PA2协议的加密/解密的流程图；

图4为本发明实施例的用户接入WLAN的密钥协商方法的流程图之一；

图5为本发明实施例的WLAN终端与AP的密钥的自动协商的交互图；

图6为本发明实施例的WLAN终端与密钥协商服务器的密钥自动协商的交互图；

图7为本发明实施例的用户接入WLAN的密钥协商装置的结构图之一；

图8为本发明实施例的用户接入WLAN的密钥协商装置的结构图之一。

具体实施方式

为使本发明要解决的技术问题、技术方案和优点更加清楚，下面将结合附图及具体实施例进行详细描述。

本发明针对现有技术中如果用户接入有密码的公共WLAN环境时，在不知道密码的情况下需输入密码，不仅减低用户的接入的意愿，也降低了用户的体验；如果用户接入无密码的公共WLAN环境时，用户通信的无法真正实现加密的问题，提供一种用户接入WLAN的密钥协商方法及装置，通过WLAN终端自动的随机生成临时密钥，与WLAN接入的目标设备协商该临时密钥成功后，利用WLAN终端自动该随机的临时密钥作为所述WLAN终端接入WLAN环境的密码，这样用户在无感知的情况下，可以得到接入WLAN网络的加密，提高了用户体验，然后再将该临时密钥作为通信加密的基础密钥，这样由于临时密钥的随机性，处理该临时密钥后在通信加密中使用，也提高了用户通信的安全性。

如图1所示，本发明实施例的用户接入WLAN的密钥协商方法，应用于WLAN终端UE，所述密钥协商方法包括：

步骤101，向WLAN接入的目标设备发送密钥协商请求，其中所述目标设备为无线访问节点AP或者与AP连接的密钥协商服务器；

步骤102，获取到来自所述目标设备响应所述密钥协商请求的响应消息，其中所述响应消息中携带有WLAN接入的目标设备的公钥；

步骤103，在收到所述响应消息后，随机生成临时密钥，将所述临时密钥利用所述公钥进行加密处理生成第一密文，并将所述第一密文发送至所述目标设备，其中所述临时密钥用于所述WLAN终端接入WLAN环境的密码；

步骤104，根据所述临时密钥处理得到第一处理数值；

步骤105，获取来自所述目标设备的第二处理数值，其中所述第二处理数值是所述目标设备根据所述第一密文中的临时密钥处理得到的数值；

其中所述目标设备根据所述第一密文中的临时密钥处理得到的数值，具体是通过先对所述第一密文进行解密，得到临时密钥后，再对所述临时密钥处理得到数值。

其中所述第一处理数值在所述WLAN终端上处理临时密钥得到的，所述第二处理数值在所述目标设备上处理临时密钥得到的，在所述WLAN终端上和在所述目标设备上的处理临时密钥的方式是相同的，可以是通过同样预设算法，也可以是通过同样的用户自定义的方法，最终目的都是通过同样的方式处理后，得到所述第一处理数值与所述第二处理数值匹配，任何能实现该最终目的的处理方式均属于本发明的保护范围。

这样通过同样的方式在不同的交互终端上进行处理后，就可以确认WLAN终端发给目标设备的临时密钥就是目标设备接收的临时密钥，从而确认了临时密钥的准确性，也防止了在临时密钥传送过程中出现缺失或者误传，同时提高了临时密钥生成的准确性。

步骤106，若所述第一处理数值与获取到的所述第二处理数值相匹配时，向所述目标设备发送协商密钥成功的确认信息。

在上述步骤101～步骤106中，首先向WLAN接入的目标设备发送密钥协商请求(步骤101)，然后根据响应消息中的公钥(步骤102)将WLAN终端随机生成临时密钥进行加密，得到第一密文并发送给目标设备(步骤103)，再然后WLAN终端获取来自目标设备的第二处理数值(步骤105)，与WLAN终端处理临时密钥的第一处理数值(步骤104)进行匹配，最后若第一处理数值与第二处理数值相匹配时，向目标设备发送协商密钥成功的确认信息(步骤106)，若确认临时密钥正确，则整个协商密钥成功。这样通过WLAN终端自动分配临时密钥并与目标设备确认该临时密钥，来完成用户无感知WLAN终端的自动输入密码并接入WLAN环境，不仅减少了用户不用输入密码的操作，而且提高了用户体验效果。

在发送密钥协商之前，WLAN接入的目标设备需要知道具体的接入的WLAN终端，因此本发明实施例的用户接入WLAN的密钥协商方法中，在步骤101具体为：

步骤11，接收到探测响应ProbeResponse之后，向WLAN接入的目标设备发送密钥协商请求。

具体的是通过WLAN终端发送探测请求ProbeRequest给AP进行接入认证，然后获取到AP返回的探测响应ProbeResponse同意接入。

通过用户在WLAN环境下找到该WLAN网络，通过触发SSID，WLAN终端就会通过步骤11发送接入请求给所述AP，然后WLAN终端获取到同意接入请求后，再发送密钥协商请求，这样只有通过WLAN终端发送后，AP也具有明确响应的目的地，才能实现后续的在WLAN终端与AP信息交互，同时通过WLAN终端进行接入认证，不仅可以判断AP是否还有资源接入，而且方便AP控制接入的用户，提高了网络资源的合理利用性。

为了防止攻击者抓包后反复重放协商过程，可能会导致AP设备拒绝服务的情况出现，因此本发明实施例的用户接入WLAN的密钥协商方法中，在执行步骤103时，还包括：

步骤21，获取所述ProbeResponse中的时间戳；

其中当所述目标设备为AP时，所述时间戳相当于给WLAN终端和AP设置了发送/接收临时密钥的有效时间，具体建立是指在WLAN终端上和AP上均建立时间戳，是通过相同格式的字符串进行判断的时间日期，比如均为2014-10-27的单横线格式或者是2014//10//27的双斜线格式或者是2014.10.27的单点格式，之所以格式一样，就是在判断时间的时候，方便确认与当前时间的时间差，得知是否是有效数据。

步骤22，将所述临时密钥利用所述公钥进行加密处理生成第一密文，并将所述时间戳和所述第一密文给所述目标设备，其中所述时间戳用于所述目标设备对接收到的所述第一密文进行过滤处理。

其中所述时间戳用于抗拒绝服务攻击，AP使用私钥解密临时密钥时，比较耗费计算资源，如果攻击者抓包后反复重放协商过程，可能会导致AP设备的拒绝服务，通过增加时间戳，有利于在解密临时密钥之前根据时间戳过滤时间差异过大的协商消息，减轻了WLAN接入的目标设备的负担。

在无密码的WLAN环境下的用户通信或者在有密码的WLAN环境下索要得到的密码，要通过将索要的密码使用通常的算法进行加密等方式，均无法实现用户通信的真正加密，因此本发明实施例的用户接入WLAN的密钥协商方法中，在步骤106之后，还包括：步骤31，根据所述临时密钥生成对所述WLAN终端与AP之间的通信数据进行加密/解密的加密密钥；

其中所述生成对通信数据进行加密的加密密钥是利用临时密钥计算得到的伪随机序列或者由临时密钥计算得到对称传输密钥PTK后，再对PTK进行分段得到加密所需的多个加密密钥。

根据临时密钥生成通信数据进行加密/解密的加密密钥(步骤31)，然后将利用加密密钥加密通信数据得到加密过的第二密文发送给AP，利用AP与WLAN终端的交互，实现将协商完成基于临时密钥，生成加密密钥对WLAN终端与AP之间的通信数据进行加密，提高了通信过程中的用户数据的安全性，因为临时密钥为通过协商获取的随机值，不依赖于共用的预共享密钥，提高了抗破解的能力，具有更好的安全性，具有更安全的数据加密功能。

加密和解密方法基于现有的WEP、WPA/WPA2协议，使用临时密钥代替预共享密钥PSK，改进后的通信过程的加密/解密举例如下。

如图2所示，本发明实施例利用临时密钥生成通信数据进行加密的加密密钥，基于WEP协议的加密/解密举例如下。

步骤201，通过密钥协商过程生成临时密钥；

步骤202，利用临时密钥计算一个伪随机序列；

步骤203，发送端将明文与伪随机序列进行异或操作，得到密文；

步骤204，接收端将密文与伪随机序列进行异或操作，得到明文。

如图3所示，本发明实施例利用临时密钥生成通信数据进行加密的加密密钥，基于WPA/WPA2协议的加密/解密举例如下。

步骤301，通过密钥协商过程生成临时密钥；

步骤302，由临时密钥计算得到对称传输密钥PTK；

步骤303，对PTK进行分段，得到加密所需的多个加密密钥；

步骤304，发送端利用加密密钥对明文进行加密；

步骤305，接受端利用加密密钥对明文进行解密。

由于本方案针对的是公共WLAN网络，在大规模的WLAN终端接入WLAN环境时，如果单独让AP不仅负担接入认证还要负担密钥协商的过程，这样会增加AP的承载压力，因此本发明实施例的用户接入WLAN的密钥协商方法中，若所述目标设备为与AP连接的密钥协商服务器时，步骤101具体为：向与所述密钥协商服务器连接的AP发送密钥协商请求，通过所述AP将所述密钥协商请求转发给所述密钥协商服务器。

对于规模部署的公共WLAN网络，考虑为每一个AP配置公钥/私钥有一定难度，也可以设置集中的密钥协商服务器，代替AP与WLAN终端协商临时密钥，AP只负责透传UE与密钥协商服务器之间的协商报文，协商完成后密钥协商服务器将临时密钥发送给AP，这样可以减轻AP的负担。

为了实现合理的匹配处理后的临时密钥，因此本发明实施例的用户接入WLAN的密钥协商方法中，步骤104为：步骤41，通过散列函数对所述临时密钥进行处理得到所述第一处理数值。

其中所述散列函数可以是SHA1(SecureHashAlgorithm的缩写，安全哈希算法)。

其中所述第一处理数值可以是指通过散列函数得到的散列数值。

只要是得到散列值或者是序列值的函数均属于本发明的保护范围。

通过任一传统的散列函数得到散列数值(步骤41)，WLAN接入的目标设备也是通过同样的散列函数，得到散列数值即第二处理数值。

通过用户无感知接入WLAN，不需要用户在接入时输入密钥，WLAN终端UE与WLAN接入的目标设备之间自动协商临时密钥，协商过程无需用户参与，协商完成后基于临时密钥，生成加密密钥对WLAN终端与AP之间的通信数据进行加密。

为了解决上述技术问题，如图4所示的本发明实施例的用户接入WLAN的密钥协商方法，应用于密钥协商服务器或者无线访问节点AP，所述密钥协商方法包括：

步骤401，接收来自WLAN终端的密钥协商请求后，向所述WLAN终端发送携带有WLAN接入的目标设备的公钥的响应消息；

步骤402，获取所述WLAN终端发送的第一密文，其中所述第一密文是所述WLAN终端利用所述公钥对所述WLAN终端随机生成的临时密钥进行加密得到的，所述临时密钥用于所述WLAN终端接入WLAN环境的密码；

步骤403，对所述第一密文中的临时密钥进行处理得到的第二处理数值；

步骤404，将所述第二处理数值发送给所述WLAN终端，由所述WLAN终端对本地根据所述临时密钥生成的第一处理数值和接收的所述第二处理数值进行匹配处理，若所述第一处理数值与获取到的所述第二处理数值相匹配时，向WLAN终端生成并会发送协商密钥成功的确认信息；

步骤405，获取所述WLAN终端发送的确认信息。

其中对获取的所述WLAN终端发送的确认信息，设置收到为有效确认信息的时间长度，所述设置的时间长度可以是用户进行设定的接收确认信息的有效时间，也可以是根据多次测试得到的合理时间值，所述第一预设时间的设置是为了防止时间过长，接收的消息是过期消息，从而提高通信的准确性。

接收到WLAN终端的密钥协商请求后(步骤401)，并发送响应消息给WLAN终端，让WLAN终端根据响应消息中的公钥对临时密钥进行加密，然后获取到利用公钥加密过的第一密文(步骤402)，再将对第一密文进行处理得到的第二处理数值(步骤403)并发送给WLAN终端(步骤404)，最后接收协商密钥成功的确认信息(步骤405)，从而确认临时密钥正确，协商密钥成功。这样通过WLAN终端自动分配临时密钥，并与目标设备确认临时密钥，用户就无感知接入WLAN终端，不仅减少用户不用输入密码的操作，而且提高了用户体验，同时无需用户输入预共享密钥，免除了用户申请及索取接入密码的过程，也省掉了WLAN服务提供者发布预共享密钥的工作，有利于公共WLAN业务的推广，同时也易于实现。

具体的，本发明实施例的用户接入WLAN的密钥协商方法中，若所述目标设备为密钥协商服务器时，相应的，步骤401包括：步骤51，接收通过与所述密钥协商服务器连接的AP转发的来自所述WLAN终端的密钥协商请求；

步骤52，在接收到所述密钥协商请求后，向所述WLAN终端发送携带有WLAN接入的目标设备的公钥的响应消息。

为了防止对接收到的过期数据进行响应或者攻击者的恶意抓包后反复重放协商，使得增加了AP或者密钥协商服务器的负担，因此本发明实施例的用户接入WLAN的密钥协商方法中，步骤402为：步骤61，获取所述WLAN终端发送的利用所述公钥对临时密钥加密的所述第一密文。

其中对于获取到所述第一密文可以设置接收第一密文为有效信息(非过期信息等)的预设时间，所述预设时间可以是通过定时器(在超出定时的时间，则丢弃接收到的消息)或者是通过是探测响应ProbeResponse的时间戳来实现，提高了接收数据的有效性和减轻了AP或者密钥协商服务器的负担。

具体的，本发明实施例的用户接入WLAN的密钥协商方法中，步骤402包括：

步骤71，获取所述WLAN终端发送的消息，所述消息包括：利用所述公钥对临时密钥加密的所述第一密文和所述终端接收到的探测请求ProbeRequest中的时间戳；

其中所述时间戳相当于给WLAN终端和AP设置了发送/接收临时密钥的有效时间，具体建立是指在WLAN终端上和AP上均同时建立时间戳，是通过相同格式的字符串进行判断的。

步骤72，根据所述消息中的时间戳，对接收到的所述第一密文进行过滤处理。

获取与所述WLAN终端的探测请求ProbeRequest中的时间戳；

获取所述目标设备的探测响应ProbeResponse中的时间戳；

若所述WLAN终端ProbeRequest中的时间戳与所述目标设备ProbeResponse中的时间戳之间的时间差小于或者等于预设时间(在有效时间内)，则获取所述WLAN终端利用所述公钥对临时密钥加密的所述第一密文。

由于探测响应ProbeResponse的时间戳建立的实现方案简单，因此增加一个时间戳，利用时间戳来抗拒绝服务攻击，有利于在解密临时密钥之前根据时间戳过滤时间差异过大的协商消息，提高了接收数据的有效性和减轻了AP或者密钥协商服务器的负担。

对第一密文处理有多种方式，因此本发明实施例的用户接入WLAN的密钥协商方法中，步骤403具体为：对所述第一密文进行解密处理得到所述临时密钥，并将所述临时密钥通过散列函数进行处理得到所述第二处理数值。

为了AP后续用临时密钥生成通信数据明文的加密密钥，因此本发明实施例的用户接入WLAN的密钥协商方法中，若所述目标设备为密钥协商服务器时，相应的，步骤404之后，还包括：所述密钥协商服务器向所述AP发送所述WLAN终端确认过的临时密钥。

根据收到的确认信息后，将临时密钥发送给AP，这样AP后续用临时密钥生成通信数据明文的加密密钥，实现了WLAN终端与WLAN接入的目标设备之间的通信数据进行加密。

如图5所示，本发明实施例的临时密钥由WLAN客户端与AP密钥协商交互过程举例如下。

密钥协商过程封装在认证Authentication帧，在接入流程中处于探测Probe交互之后，且需用到探测响应ProbeResponse帧中包含的时间戳(Timestamp)字段值。协商时采用公钥机制对临时密钥进行保护，需要在WLAN接入设备AP中配置一对公钥/私钥，临时密钥由WLAN客户端生成。

步骤501，WLAN终端UE发送探测请求ProbeRequest给AP进行认证；

步骤502，WLAN终端UE获取到所述AP返回的探测响应ProbeResponse同意接入；

步骤503，WLAN终端UE向WLAN接入设备AP发送协商请求；

步骤504，AP接收协商情求并响应，且在响应消息中包含WLAN接入设备AP的公钥；

步骤505，WLAN终端UE生成随机值作为临时密钥；

步骤506，将临时密钥使用AP公钥进行加密后得到第一密文和ProbeResponse帧中的时间戳连接，发送第一密文给AP；

步骤507，AP对密文进行解密，得到临时密钥，并使用散列方法(如SHA1)计算散列值发送给UE；

步骤508，UE对临时密钥采用同样的散列方法计算散列值，并与AP发过来的散列值进行比较；

步骤509，如比较匹配相同时，则向AP发送协商成功的确认信息。

如图6所示，本发明实施例的临时密钥由WLAN客户端与密钥协商服务器密钥协商的交互过程举例如下。

步骤601，WLAN终端UE发送探测请求ProbeRequest给AP进行认证；

步骤602，WLAN终端UE获取到所述AP返回的探测响应ProbeResponse同意接入；

步骤603，WLAN终端UE向WLAN接入设备AP发送协商请求；

步骤604，WLAN接入设备AP转发发送协商请求给密钥协商服务器；

步骤605，WLAN终端UE接收来自AP透传密钥协商服务器发送的携带有WLAN接入设备的公钥的响应消息；

步骤606，WLAN终端UE根据公钥加密随机生成临时密钥得到第一密文并发送，是通过所述AP透传发送给密钥协商服务器。

步骤607，密钥协商服务器对密文进行解密，得到临时密钥，并使用散列方法(如SHA1)计算散列值通过AP透传给WLAN终端UE；

步骤608，密钥协商服务器发送处理数值；

步骤609，在第一预设时间内获取所述WLAN终端确认过所述处理数值的协商密钥成功的确认信息；

步骤610，密钥协商服务器向AP发送WLAN终端确认过的临时密钥。

相应的，为了解决上述技术问题，如图7所示，本发明实施例的用户接入WLAN的密钥协商装置，应用于WLAN终端，所述密钥协商装置包括：

启动模块701，用于向WLAN接入的目标设备发送密钥协商请求，其中所述目标设备为无线访问节点AP或者与AP连接的密钥协商服务器；

响应模块702，用于获取到来自所述目标设备响应所述密钥协商请求的响应消息，其中所述响应消息中携带有WLAN接入的目标设备的公钥；

第一处理模块703，用于在收到所述响应消息后，随机生成临时密钥，将所述临时密钥利用所述公钥进行加密处理生成第一密文，并将所述第一密文发送至所述目标设备，其中所述临时密钥用于所述WLAN终端接入WLAN环境的密码；

第二处理模块704，用于根据所述临时密钥处理得到第一处理数值；

第一获取模块705，用于获取来自所述目标设备的第二处理数值，其中所述第二处理数值是所述目标设备根据所述第一密文中的临时密钥处理得到的数值；

第三处理模块706，用于若所述第一处理数值与获取到的所述第二处理数值相匹配时，向所述目标设备发送协商密钥成功的确认信息。

通过启动模块701向WLAN接入的目标设备发送密钥协商请求，然后根据响应模块702的响应消息中的公钥将第一处理模块703的WLAN终端随机生成临时密钥进行加密为第一密文发送给目标设备，再然后WLAN终端通过第一获取模块705获取来自目标设备的第二处理数值，与第二处理模块704的WLAN终端处理过临时密钥的第一处理数值判断进行匹配，最后第三处理模块706若在第一处理数值与第二处理数值相匹配时，向目标设备发送协商密钥成功的确认信息，从而确认临时密钥正确，则整个协商密钥成功。这样通过WLAN终端自动分配临时密钥并与目标设备确认该临时密钥，来完成用户无感知WLAN终端的自动输入密码并接入WLAN环境，不仅减少了用户不用输入密码的操作，而且提高了用户体验效果。

本发明的又一实施例的用户接入WLAN的密钥协商装置中，所述启动模块701包括：

第一启动子模块，用于接收到探测响应ProbeResponse之后，向WLAN接入的目标设备发送密钥协商请求。

本发明的又一实施例的用户接入WLAN的密钥协商装置中，所述第一处理模块703包括：

第四获取模块，用于获取所述ProbeResponse中的时间戳；

第五处理模块，用于将所述临时密钥利用所述公钥进行加密处理生成第一密文，并将所述时间戳和所述第一密文给所述目标设备，其中所述时间戳用于所述目标设备对接收到的所述第一密文进行过滤处理。

本发明的又一实施例的用户接入WLAN的密钥协商装置中，还包括：

生成模块，用于根据所述临时密钥生成对所述WLAN终端与AP之间的通信数据进行加密/解密的加密密钥。

本发明的又一实施例的用户接入WLAN的密钥协商装置中，若所述目标设备为与AP连接的密钥协商服务器时，所述启动模块701为：第二启动子模块，用于向与所述密钥协商服务器连接的AP发送密钥协商请求，通过所述AP将所述密钥协商请求转发给所述密钥协商服务器。

本发明的又一实施例的用户接入WLAN的密钥协商装置中，所述第二处理模块704为：第一处理子模块，用于通过散列函数对所述临时密钥进行处理得到所述第一处理数值。

相应的，为了解决上述技术问题，如图8所示，本发明实施例还提供一种用户接入WLAN的密钥协商装置，应用于密钥协商服务器或者无线访问节点AP，所述密钥协商装置包括：

信息交互模块801，用于接收来自WLAN终端的密钥协商请求后，向所述WLAN终端发送携带有WLAN接入的目标设备的公钥的响应消息；

第二获取模块802，用于获取所述WLAN终端发送的第一密文，其中所述第一密文是所述WLAN终端利用所述公钥对所述WLAN终端随机生成的临时密钥进行加密得到的，所述临时密钥用于所述WLAN终端接入WLAN环境的密码；

第四处理模块803，用于对所述第一密文中的临时密钥进行处理得到的第二处理数值；

第一发送模块804，用于将所述第二处理数值发送给所述WLAN终端，由所述WLAN终端对本地根据所述临时密钥生成的第一处理数值和接收的所述第二处理数值进行匹配处理，若所述第一处理数值与获取到的所述第二处理数值相匹配时，向WLAN终端生成并会发送协商密钥成功的确认信息；

第三获取模块805，用于获取所述WLAN终端发送的确认信息。

通过信息交互模块801接收到WLAN终端的密钥协商请求后，并发送响应消息给WLAN终端，让WLAN终端根据响应消息中的公钥对临时密钥进行加密，然后第二获取模块802获取到利用公钥加密过的第一密文，再通过第一发送模块804将第四处理模块803对第一密文进行处理得到第二处理数值发送给WLAN终端，最后第三获取模块805接收协商密钥成功的确认信息，从而确认临时密钥正确，协商密钥成功。这样通过WLAN终端自动分配临时密钥，并与目标设备确认临时密钥，用户就无感知接入WLAN终端，不仅减少用户不用输入密码的操作，而且提高了用户体验，同时无需用户输入预共享密钥，免除了用户申请、索取接入密码的过程，也省掉了WLAN服务提供者发布预共享密钥的工作，有利于公共WLAN业务的推广，同时也易于实现。

本发明的又一实施例的用户接入WLAN的密钥协商装置中，若所述目标设备为密钥协商服务器时，相应的，所述信息交互模块801包括：

接收子模块，用于接收通过与所述密钥协商服务器连接的AP转发的来自所述WLAN终端的密钥协商请求；

发送子模块，用于在接收到所述密钥协商请求后，向所述WLAN终端发送携带有WLAN接入的目标设备的公钥的响应消息。

本发明的又一实施例的用户接入WLAN的密钥协商装置中，所述第二获取模块802为：第一获取子模块，用于获取所述WLAN终端发送的消息，所述消息包括：利用所述公钥对临时密钥加密的所述第一密文和所述终端接收到的探测请求ProbeRequest中的时间戳；

第二获取子模块，用于根据所述消息中的时间戳，对接收到的所述第一密文进行过滤处理。

本发明的又一实施例的用户接入WLAN的密钥协商装置中，所述第四处理模块803为：第二处理子模块，用于对所述第一密文进行解密处理得到所述临时密钥，并将所述临时密钥通过散列函数进行处理得到所述第二处理数值。

本发明的又一实施例的用户接入WLAN的密钥协商装置中，若所述目标设备为密钥协商服务器时，相应的，还包括：

第四发送模块，用于所述密钥协商服务器向所述AP发送所述WLAN终端确认过的临时密钥。

需要说明的是，本发明提供的装置是应用上述用户接入WLAN的密钥协商方法的装置，则上述用户接入WLAN的密钥协商方法的所有实施例均适用于该装置，且均能达到相同或相似的有益效果。

以上所述是本发明的优选实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明所述原理的前提下，还可以作出若干改进和润饰，这些改进和润饰也应视为本发明的保护范围。

Claims (13)

1.一种用户接入WLAN的密钥协商方法，应用于WLAN终端，其特征在于，所述密钥协商方法包括：

向WLAN接入的目标设备发送密钥协商请求，其中所述目标设备为无线访问节点AP或者与AP连接的密钥协商服务器；

获取到来自所述目标设备响应所述密钥协商请求的响应消息，其中所述响应消息中携带有WLAN接入的目标设备的公钥；

在收到所述响应消息后，随机生成临时密钥，将所述临时密钥利用所述公钥进行加密处理生成第一密文，并将所述第一密文发送至所述目标设备，其中所述临时密钥用于所述WLAN终端接入WLAN环境的密码；

根据所述临时密钥处理得到第一处理数值；

获取来自所述目标设备的第二处理数值，其中所述第二处理数值是所述目标设备根据所述第一密文中的临时密钥处理得到的数值；

若所述第一处理数值与获取到的所述第二处理数值相匹配时，向所述目标设备发送协商密钥成功的确认信息。

2.根据权利要求1所述的密钥协商方法，其特征在于，所述向WLAN接入的目标设备发送密钥协商请求，具体为：

接收到探测响应ProbeResponse之后，向WLAN接入的目标设备发送密钥协商请求。

3.根据权利要求2所述的密钥协商方法，其特征在于，所述在收到所述响应消息后，随机生成临时密钥，将所述临时密钥利用所述公钥进行加密处理生成第一密文，并将所述第一密文发送至所述目标设备的步骤包括：

获取所述ProbeResponse中的时间戳；

将所述临时密钥利用所述公钥进行加密处理生成第一密文，并将所述时间戳和所述第一密文给所述目标设备，其中所述时间戳用于所述目标设备对接收到的所述第一密文进行过滤处理。

4.根据权利要求1所述的密钥协商方法，其特征在于，所述若所述第一处理数值与获取到的所述第二处理数值相匹配时，向所述目标设备发送协商密钥成功的确认信息之后，还包括：

根据所述临时密钥生成对所述WLAN终端与AP之间的通信数据进行加密/解密的加密密钥。

5.根据权利要求1所述的密钥协商方法，其特征在于，若所述目标设备为与AP连接的密钥协商服务器时，所述向WLAN接入的目标设备发送密钥协商请求，具体为：

向与所述密钥协商服务器连接的AP发送密钥协商请求，通过所述AP将所述密钥协商请求转发给所述密钥协商服务器。

6.根据权利要求1所述的密钥协商方法，其特征在于，所述根据所述临时密钥处理得到第一处理数值，具体为：

通过散列函数对所述临时密钥进行处理得到所述第一处理数值。

7.一种用户接入WLAN的密钥协商方法，应用于目标设备，其中所述目标设备为无线访问节点AP或者为与AP连接的密钥协商服务器，其特征在于，所述密钥协商方法包括：

接收来自WLAN终端的密钥协商请求后，向所述WLAN终端发送携带有WLAN接入的目标设备的公钥的响应消息；

获取所述WLAN终端发送的第一密文，其中所述第一密文是所述WLAN终端利用所述公钥对所述WLAN终端随机生成的临时密钥进行加密得到的，所述临时密钥用于所述WLAN终端接入WLAN环境的密码；

对所述第一密文中的临时密钥进行处理得到的第二处理数值；

将所述第二处理数值发送给所述WLAN终端，由所述WLAN终端对本地根据所述临时密钥生成的第一处理数值和接收的所述第二处理数值进行匹配处理，若所述第一处理数值与获取到的所述第二处理数值相匹配时，向WLAN终端生成并会发送协商密钥成功的确认信息；

获取所述WLAN终端发送的确认信息。

8.根据权利要求7所述的密钥协商方法，其特征在于，若所述目标设备为密钥协商服务器时，相应的，所述接收来自WLAN终端的密钥协商请求后，向所述WLAN终端发送携带有WLAN接入的目标设备的公钥的响应消息的步骤包括：

接收通过与所述密钥协商服务器连接的AP转发的来自所述WLAN终端的密钥协商请求；

在接收到所述密钥协商请求后，向所述WLAN终端发送携带有WLAN接入的目标设备的公钥的响应消息。

9.根据权利要求7所述的密钥协商方法，其特征在于，所述获取所述WLAN终端发送的第一密文的步骤包括：

获取所述WLAN终端发送的消息，所述消息包括：利用所述公钥对临时密钥加密的所述第一密文和所述终端接收到的探测请求ProbeRequest中的时间戳：

根据所述消息中的时间戳，对接收到的所述第一密文进行过滤处理。

10.根据权利要求7所述的密钥协商方法，其特征在于，所述对所述第一密文中的临时密钥进行处理得到的第二处理数值，具体为：对所述第一密文进行解密处理得到所述临时密钥，并将所述临时密钥通过散列函数进行处理得到所述第二处理数值。

11.根据权利要求7所述的密钥协商方法，其特征在于，若所述目标设备为密钥协商服务器时，相应的，所述发送所述第二处理数值后，获取所述WLAN终端确认过所述处理数值的协商密钥成功的确认信息之后，还包括：

所述密钥协商服务器向所述AP发送所述WLAN终端确认过的临时密钥。

12.一种用户接入WLAN的密钥协商装置，应用于WLAN终端，其特征在于，所述密钥协商装置包括：

启动模块，用于向WLAN接入的目标设备发送密钥协商请求，其中所述目标设备为无线访问节点AP或者与AP连接的密钥协商服务器；

响应模块，用于获取到来自所述目标设备响应所述密钥协商请求的响应消息，其中所述响应消息中携带有WLAN接入的目标设备的公钥；

第一处理模块，用于在收到所述响应消息后，随机生成临时密钥，将所述临时密钥利用所述公钥进行加密处理生成第一密文，并将所述第一密文发送至所述目标设备，其中所述临时密钥用于所述WLAN终端接入WLAN环境的密码；

第二处理模块，用于根据所述临时密钥处理得到第一处理数值；

第一获取模块，用于获取来自所述目标设备的第二处理数值，其中所述第二处理数值是所述目标设备根据所述第一密文中的临时密钥处理得到的数值；

第三处理模块，用于若所述第一处理数值与获取到的所述第二处理数值相匹配时，向所述目标设备发送协商密钥成功的确认信息。

13.一种用户接入WLAN的密钥协商装置，应用于目标设备，其中所述目标设备为无线访问节点AP或者为与AP连接的密钥协商服务器，其特征在于，所述密钥协商装置包括：

信息交互模块，用于接收来自WLAN终端的密钥协商请求后，向所述WLAN终端发送携带有WLAN接入的目标设备的公钥的响应消息；

第二获取模块，用于获取所述WLAN终端发送的第一密文，其中所述第一密文是所述WLAN终端利用所述公钥对所述WLAN终端随机生成的临时密钥进行加密得到的，所述临时密钥用于所述WLAN终端接入WLAN环境的密码；

第四处理模块，用于对所述第一密文中的临时密钥进行处理得到的第二处理数值；

第一发送模块，用于将所述第二处理数值发送给所述WLAN终端，由所述WLAN终端对本地根据所述临时密钥生成的第一处理数值和接收的所述第二处理数值进行匹配处理，若所述第一处理数值与获取到的所述第二处理数值相匹配时，向WLAN终端生成并会发送协商密钥成功的确认信息；

第三获取模块，用于获取所述WLAN终端发送的确认信息。