CN108966214B - 无线网络的认证方法、无线网络安全通信方法及*** - Google Patents

Abstract

本发明实施例提供了一种无线网络的认证方法，该无线网络包括：预存有第一公钥和第一私钥的认证节点和预存有第二公钥和第二私钥的认证服务器，该方法包括：认证节点发送第一身份信息至认证服务器；认证服务器使用第二私钥对认证节点的第一身份信息和认证服务器的第二身份信息进行加密，生成第一加密信息并发送至认证节点；认证节点使用第二公钥对第一加密信息解密，得到认证节点的第三身份信息，判断第三身份信息与第一身份信息是否相同，当相同时，判定对认证服务器的认证通过。通过实施本发明，实现了认证节点对认证服务器的认证，避免了用户登入伪造的Wi‑Fi网络后造成个人信息的泄露及无法挽回的财产损失。

Description

无线网络的认证方法、无线网络安全通信方法及***

技术领域

本发明涉及无线通信技术领域，具体涉及一种无线网络的认证方法、无线网络安全通信方法及***。

背景技术

随着无线通信技术的发展，无线通信方式也越来越多，常见的无线通信方式包括无线保真(Wi-Fi,WIreless-FIdelity)通信技术，无线保真通信技术是一种允许终端设备接入一个无线局域网(WLAN,Wireless Local Area Networks)的通信技术。

现有的Wi-Fi通信技术采用单向认证方式，持有终端设备的用户输入密码登入无线网络，而用户无法对该无线网络进行认证，当不法分子创造了假Wi-Fi网络，而用户登入该假Wi-Fi网络后，容易造成用户个人信息的泄露，甚至可能造成无法挽回的财产损失。因此，如何实现用户对无线网络服务器的认证成为亟待解决的问题。

发明内容

有鉴于此，本发明实施例提供了一种无线网络的认证方法、无线网络安全通信方法及装置，用以实现用户对无线网络服务器的认证。

根据第一方面，本发明实施例提供了一种无线网络的认证方法，所述无线网络包括：认证节点和认证服务器，所述认证节点预存有第一公钥和第一私钥，所述认证服务器预存有第二公钥和第二私钥，该无线网络的认证方法包括：发送第一身份信息至所述认证服务器；接收所述认证服务器发送的第一加密信息，所述第一加密信息为所述认证服务器使用所述第二私钥对所述认证节点的第一身份信息和认证服务器的第二身份信息进行加密生成；使用所述第二公钥对所述第一加密信息进行解密，得到所述认证节点的第三身份信息，并判断所述第三身份信息与所述第一身份信息是否相同；当所述第三身份信息与所述第一身份信息相同时，判定对所述认证服务器的认证通过。

结合第一方面，在第一方面第一实施方式中，使用所述第二公钥对所述第一加密信息进行解密，还解密得到所述认证服务器的第二身份信息，所述方法还包括：使用所述第一私钥对所述第一身份信息和解密得到的认证服务器的第二身份信息进行加密，生成第二加密信息，并将所述第二加密信息发送至所述认证服务器。

结合第一方面第一实施方式，在第一方面第二实施方式中，所述第三身份信息为所述认证节点使用所述第二公钥采用SM2算法对所述第一加密信息进行解密得到；所述第二加密信息为所述认证节点使用所述第一私钥采用所述SM2算法对所述第一身份信息和解密得到的认证服务器的第二身份信息进行加密生成。

结合第一方面第一实施方式，在第一方面第三实施方式中，无线网络的认证方法还包括：接收所述认证服务器发送的第三加密信息，所述第三加密信息为所述认证服务器根据对应的访问接入点的服务集标识及所述认证节点和认证服务器的第一预共享密钥生成第一PMK密钥信息，使用所述第一公钥对所述第一PMK密钥信息进行加密生成；使用所述第一私钥对所述第三加密信息进行解密，得到第三PMK密钥信息，判断所述第三PMK密钥信息中的第二预共享密钥与所述第一预共享密钥是否相同；当所述第二预共享密钥与所述第一预共享密钥相同时，判定所述第三PMK密钥信息与所述第一PMK密钥信息相同；根据所述认证服务器对应的访问接入点的服务集标识及所述认证节点和认证服务器的第一预共享密钥生成第二PMK密钥信息；使用所述第二公钥对所述第二PMK密钥信息进行加密，生成第四加密信息，并将所述第四加密信息发送至所述认证服务器；接收所述认证服务器发送的PMK可用信息和PMK密钥信息，所述PMK可用信息和PMK密钥信息为所述认证服务器使用所述第二私钥对所述第四加密信息进行解密，得到第四PMK密钥信息，判断所述第四PMK密钥信息中的第三预共享密钥与所述第一预共享密钥是否相同，当所述第三预共享密钥与所述第一预共享密钥相同时，判定所述第四PMK密钥信息与所述第二PMK密钥信息相同后根据所述第一PMK密钥信息和所述第四PMK密钥信息生成；存储所述PMK密钥信息。

结合第一方面第三实施方式，在第一方面第四实施方式中，所述第三PMK密钥信息为所述认证节点使用所述第一私钥采用SM2算法对所述第三加密信息进行解密后得到；所述第四加密信息为所述认证节点使用所述第二公钥采用所述SM2算法对所述第二PMK密钥信息进行加密生成。

根据第二方面，本发明实施例提供了一种无线网络的认证方法，所述无线网络包括：认证节点和认证服务器，所述认证节点预存有第一公钥和第一私钥，所述认证服务器预存有第二公钥和第二私钥，该无线网络的认证方法包括：接收所述认证节点发送的第一身份信息；使用所述第二私钥对所述认证节点的第一身份信息和认证服务器的第二身份信息进行加密，生成第一加密信息，并将所述第一加密信息发送至所述认证节点。

结合第二方面，在第二方面第一实施方式中，无线网络的认证方法还包括：接收所述认证节点发送的第二加密信息，所述第二加密信息为所述认证节点使用所述第二公钥对所述第一加密信息进行解密，得到所述认证节点的第三身份信息和所述服务器的第二身份信息，并判断所述第三身份信息与所述第一身份信息是否相同，当所述第三身份信息与所述第一身份信息相同时，所述认证节点使用所述第一私钥对所述第一身份信息和所述第二身份信息进行加密生成；使用所述第一公钥对所述第二加密信息进行解密，得到所述认证服务器的第四身份信息，并判断所述第四身份信息与所述第二身份信息是否相同；当所述第四身份信息与所述第二身份信息相同时，判定对所述认证节点的认证通过。

结合第二方面第一实施方式，在第二方面第二实施方式中，所述第一加密信息为所述认证服务器使用所述第二私钥采用SM2算法对所述认证节点的第一身份信息和认证服务器的第二身份信息进行加密生成；所述第四身份信息为所述认证服务器使用所述第一公钥采用所述SM2算法对所述第二加密信息进行解密得到。

结合第二方面第一实施方式，在第二方面第三实施方式中，无线网络的认证方法还包括：根据所述认证服务器对应的访问接入点的服务集标识及所述认证节点和认证服务器的第一预共享密钥生成第一PMK密钥信息，使用所述第一公钥对所述第一PMK密钥信息进行加密，生成第三加密信息，并将所述第三加密信息发送至所述认证节点；接收所述认证节点发送的第四加密信息，所述第四加密信息为所述认证节点使用所述第一私钥对所述第三加密信息进行解密，得到第三PMK密钥信息，判断所述第三PMK密钥信息中的第二预共享密钥与所述第一预共享密钥是否相同，当所述第二预共享密钥与所述第一预共享密钥相同时，判定所述第三PMK密钥信息与所述第一PMK密钥信息相同，根据所述认证服务器对应的访问接入点的服务集标识及所述认证节点和认证服务器的第一预共享密钥生成第二PMK密钥信息，使用所述第二公钥对所述第二PMK密钥信息进行加密生成；使用所述第二私钥对所述第四加密信息进行解密，得到第四PMK密钥信息，判断所述第四PMK密钥信息中的第三预共享密钥与所述第一预共享密钥是否相同，当所述第三预共享密钥与所述第一预共享密钥相同时，判定所述第四PMK密钥信息与所述第二PMK密钥信息相同，根据所述第一PMK密钥信息和所述第四PMK密钥信息生成PMK密钥信息和PMK可用信息，存储所述PMK密钥信息，并将所述PMK可用信息及所述PMK密钥信息发送至所述认证节点。

结合第二方面第三实施方式，在第二方面第四实施方式中，所述第三加密信息为所述认证服务器使用所述第一公钥采用SM2算法对所述第一PMK密钥信息进行加密生成；所述PMK可用信息和PMK密钥信息为所述认证服务器使用所述第二私钥采用所述SM2算法对所述第四加密信息进行解密后根据所述第一PMK密钥信息和所述第四PMK密钥信息生成。

根据第三方面，本发明实施例提供了一种无线网络安全通信方法，所述无线网络包括：认证节点、认证服务器，所述认证服务器通过访问接入点与所述认证节点进行通信，该无线网络安全通信方法包括：使用第一方面、第一方面任一实施方式、第二方面或第二方面任一实施方式所述的无线网络的认证方法对所述无线网络进行认证；当认证通过时，采用SM3算法和SM4算法对所述认证节点和访问接入点进行密钥分配；所述认证节点和访问接入点使用所述密钥采用SM3算法和SM4算法进行数据通信。

根据第四方面，本发明实施例提供了一种无线网络的认证***，所述无线网络包括：认证节点和认证服务器，所述认证节点预存有第一公钥和第一私钥，所述认证服务器预存有第二公钥和第二私钥，无线网络的认证***包括：身份信息发送模块，用于发送第一身份信息至所述认证服务器；加密信息接收模块，用于接收所述认证服务器发送的第一加密信息，所述第一加密信息为所述认证服务器使用所述第二私钥对所述认证节点的第一身份信息和认证服务器的第二身份信息进行加密生成；解密模块，用于使用所述第二公钥对所述第一加密信息进行解密，得到所述认证节点的第三身份信息，并判断所述第三身份信息与所述第一身份信息是否相同；判定模块，用于当所述第三身份信息与所述第一身份信息相同时，判定对所述认证服务器的认证通过。

根据第五方面，本发明实施例提供了一种无线网络的认证***，所述无线网络包括：认证节点和认证服务器，所述认证节点预存有第一公钥和第一私钥，所述认证服务器预存有第二公钥和第二私钥，该无线网络的认证***包括：身份信息接收模块，用于接收所述认证节点发送的第一身份信息；加密信息生成模块，用于使用所述第二私钥对所述认证节点的第一身份信息和认证服务器的第二身份信息进行加密，生成第一加密信息，并将所述第一加密信息发送至所述认证节点。所述无线网络的认证***还包括：所述认证节点接收所述认证服务器发送的第三加密信息，所述第三加密信息为所述认证服务器根据对应的访问接入点的服务集标识及所述认证节点和认证服务器的第一预共享密钥生成第一PMK密钥信息，使用所述第一公钥对所述第一PMK密钥信息进行加密生成；使用所述第一私钥对所述第三加密信息进行解密，得到第三PMK密钥信息，判断所述第三PMK密钥信息中的第二预共享密钥与所述第一预共享密钥是否相同；当所述第二预共享密钥与所述第一预共享密钥相同时，判定所述第三PMK密钥信息与所述第一PMK密钥信息相同；根据所述认证服务器对应的访问接入点的服务集标识及所述认证节点和认证服务器的第一预共享密钥生成第二PMK密钥信息；使用所述第二公钥对所述第二PMK密钥信息进行加密，生成第四加密信息，并将所述第四加密信息发送至所述认证服务器；所述认证节点接收所述认证服务器发送的PMK可用信息和PMK密钥信息，所述PMK可用信息和PMK密钥信息为所述认证服务器使用所述第二私钥对所述第四加密信息进行解密，得到第四PMK密钥信息，判断所述第四PMK密钥信息中的第三预共享密钥与所述第一预共享密钥是否相同，当所述第三预共享密钥与所述第一预共享密钥相同时，判定所述第四PMK密钥信息与所述第二PMK密钥信息相同后根据所述第一PMK密钥信息和所述第四PMK密钥信息生成；所述认证节点存储所述PMK密钥信息。

根据第六方面，本发明实施例提供了一种无线网络安全通信***，所述无线网络包括：认证节点、认证服务器，所述认证服务器通过访问接入点与所述认证节点进行通信，该无线网络安全通信***用于使用第一方面、第一方面任一实施方式、第二方面或第二方面任一实施方式所述的无线网络的认证方法对所述无线网络进行认证；密钥分配模块，用于当认证通过时，采用SM3算法和SM4算法对所述认证节点和访问接入点进行密钥分配；数据通信模块，用于针对所述认证节点和访问接入点使用所述密钥分配模块分配的密钥进行数据通信。

根据第七方面，本发明实施例提供了一种电子设备，该电子设备包括：存储器和处理器，所述存储器和所述处理器之间互相通信连接，所述存储器中存储有计算机指令，所述处理器通过执行所述计算机指令，从而执行第一方面、第一方面任一实施方式、第二方面或第二方面任一实施方式所述的无线网络的认证方法或第三方面所述的无线网络安全通信方法。

根据第八方面，本发明实施例提供了一种计算机可读存储介质，所述计算机可读存储介质存储有计算机指令，所述计算机指令用于使所述计算机执行第一方面、第一方面任一实施方式、第二方面或第二方面任一实施方式所述的无线网络的认证方法或第三方面所述的无线网络安全通信方法。

本发明技术方案，与现有技术相比，至少具有如下优点：

本发明实施例提供了一种无线网络的认证方法、无线网络安全通信方法及装置，无线网络包括：认证节点和认证服务器，认证节点预存有第一公钥和第一私钥，认证服务器预存有第二公钥和第二私钥，该无线网络的认证方法包括：发送第一身份信息至认证服务器；接收认证服务器发送的第一加密信息，第一加密信息为认证服务器使用第二私钥对认证节点的第一身份信息和认证服务器的第二身份信息进行加密生成；使用第二公钥对第一加密信息进行解密，得到认证节点的第三身份信息，并判断第三身份信息与第一身份信息是否相同；当第三身份信息与第一身份信息相同时，判定对认证服务器的认证通过。通过实施本发明，实现了认证节点对认证服务器的认证，在对认证服务器的身份认证通过后再接入无线网络，避免了用户登入伪造的Wi-Fi网络后造成个人信息的泄露及无法挽回的财产损失。

附图说明

通过参考附图会更加清楚的理解本发明的特征和优点，附图是示意性的而不应理解为对本发明进行任何限制，在附图中：

图1为本发明实施例的应用场景示意图；

图2为本发明实施例中无线网络的认证方法的一个具体示例的流程图；

图3为本发明实施例中无线网络的认证方法的另一个具体示例的流程图；

图4为本发明实施例中无线网络的认证方法的另一个具体示例的流程图；

图5为本发明实施例中无线网络安全通信方法的一个具体示例的流程图；

图6为本发明实施例中无线网络的认证装置的一个具体示例的原理框图；

图7为本发明实施例中无线网络的认证装置的另一个具体示例的原理框图；

图8为本发明实施例中无线网络安全通信装置的一个具体示例的原理框图；

图9为本发明实施例中电子设备的一个具体示例的结构示意图。

具体实施方式

为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

如图1所示，是本发明实施例的应用场景示意图。移动终端为具有WiFi模块的手机或平板电脑等，移动终端和服务器之间进行交互，移动终端安装有支持本发明无线网络的认证方法或无线网络安全通信方法的应用程序或者游戏等其他第三方应用集成的软件开发工具包(Software Dwbelopment Kit,SDK)，应用程序或SDK和服务器之间的连接采用HTTPS+XML接口协议，移动终端与服务器的访问接入点之间进行开放***认证之后，移动终端可将其身份信息通过访问接入点发送至服务器，服务器使用私钥对该身份信息进行加密，移动终端使用服务器的公钥对加密后的身份信息进行解密，通过判断解密得到的身份信息是否为自身的身份信息实现对服务器的认证。

本发明实施例提供了一种无线网络的认证方法，无线网络包括：认证节点和认证服务器，认证节点预存有第一公钥和第一私钥，认证服务器预存有第二公钥和第二私钥，如图2所示，该无线网络的认证方法包括：

步骤S101：认证节点发送第一身份信息至认证服务器；

步骤S102：认证服务器使用第二私钥对认证节点的第一身份信息和认证服务器的第二身份信息进行加密，生成第一加密信息，将该第一加密信息发送至认证节点；

步骤S103：认证节点使用第二公钥对第一加密信息进行解密，得到认证节点的第三身份信息；

步骤S104：认证节点判断第三身份信息与第一身份信息是否相同；

步骤S105：当第三身份信息与第一身份信息相同时，认证节点判定对认证服务器的认证通过；

步骤S106：当第三身份信息与第一身份信息不相同时，认证节点判定对认证服务器的认证未通过。

通过上述步骤S101至步骤S106，本发明实施例提供的无线网络的认证方法，实现了认证节点对认证服务器的认证，该认证节点即用户或用户手持的移动终端，在对认证服务器的身份认证通过后再接入无线网络，避免了用户登入伪造的Wi-Fi网络后造成个人信息的泄露及无法挽回的财产损失。

在一较佳实施例中，如图3所示，本发明实施例提供的无线网络的认证方法在认证节点对认证服务器的身份认证通过之后，还包括认证服务器对认证节点的身份认证，具体包括：

步骤S107：认证节点使用第一私钥对第一身份信息和解密得到的认证服务器的第二身份信息进行加密，生成第二加密信息，并将第二加密信息发送至认证服务器，其中，第二身份信息为上述步骤S103中认证节点使用第二公钥对第一加密信息进行解密得到；

步骤S108：认证服务器接收认证节点发送的第二加密信息，使用第一公钥对第二加密信息进行解密，得到认证服务器的第四身份信息；

步骤S109：认证服务器判断第四身份信息与第二身份信息是否相同；

步骤S1010：当第四身份信息与第二身份信息相同时，认证服务器判定对认证节点的认证通过；

步骤S1011：当第四身份信息与第二身份信息不相同时，认证服务器判定对认证节点的认证未通过。

通过上述步骤S107至步骤S1011，本发明实施例提供的无线网络的认证方法，实现了认证服务器对认证节点的认证，在对认证节点的身份认证通过后再允许其接入无线网络，避免了非授权用户接入无线网络使用网络资源，保护了授权用户的权益。

通过上述步骤S101至步骤S1011，本发明实施例提供的无线网络的认证方法实现了认证节点与认证服务器之间的身份双向认证，从而保证了无线网络中认证节点与认证服务器双向传输数据安全。

在一较佳实施例中，上述第一加密信息为认证服务器使用第二私钥采用SM2算法对认证节点的第一身份信息和认证服务器的第二身份信息进行加密生成，上述第三身份信息为认证节点使用第二公钥采用SM2算法对第一加密信息进行解密得到，上述第二加密信息为认证节点使用第一私钥采用SM2算法对第一身份信息和解密得到的认证服务器的第二身份信息进行加密生成，上述第四身份信息为认证服务器使用第一公钥采用SM2算法对第二加密信息进行解密得到。本发明实施例采用国密SM2算法执行上述加密和解密操作，不受限于国外加解密算法，便于对算法进行修改，提高了操作的主动性。

在本发明的具体实施例中，在认证节点和认证服务器之间还包括：访问接入点(AP，Access Point)，认证节点与认证服务器之间通过访问接入点进行无线通信。具体地，在认证节点与认证服务器进行身份的双向认证之前，认证节点与认证服务器还进行开放***认证，认证节点发送认证请求信息(EAPOL-Start，Extensible AuthenticationProtocolOver LAN基于局域网的扩展认证协议)至访问接入点，访问接入点接收该认证请求信息，发送身份请求信息(EAP-Request/Identity)至认证节点，该身份请求信息包括访问接入点的身份信息，认证节点接收该身份请求信息，发送身份响应信息(EAP-Response/Identity)至访问接入点，该身份响应信息包括认证节点的身份信息，认证节点的身份信息通常为认证节点的MAC地址。另一方面，在认证节点和认证服务器进行通信时，访问接入点对认证节点和认证服务器之间传递的信息进行转发，即，将认证节点发送的信息转发至认证服务器，将认证服务器发送的信息转发至认证节点。

在一较佳实施例中，如图4所示，通过上述步骤S101至步骤S1011实现认证节点和认证服务器之间的双向认证之后，本发明实施例提供的无线网络的认证方法还包括：生成PMK密钥的步骤，具体包括：

步骤S201：认证服务器根据对应的访问接入点的服务集标识(SSID，ServiceSetIdentifier)及认证节点和认证服务器的第一预共享密钥(PSK，pre-shared key)生成第一PMK(Pairwise Master Key，成对主密钥)密钥信息，使用第一公钥对第一PMK密钥信息进行加密，生成第三加密信息，并将该第三加密信息发送至认证节点；

步骤S202：认证节点接收认证服务器发送的上述第三加密信息，使用第一私钥对第三加密信息进行解密，得到第三PMK密钥信息；

步骤S203：认证节点判断第三PMK密钥信息中的第二预共享密钥与第一预共享密钥是否相同，当第二预共享密钥与第一预共享密钥不相同时，执行步骤S204，当第二预共享密钥与第一预共享密钥相同时，执行步骤S205；

步骤S204：结束生成PMK密钥的步骤；

步骤S205：认证节点判定第三PMK密钥信息与第一PMK密钥信息相同，根据认证服务器对应的访问接入点的服务集标识及认证节点和认证服务器的第一预共享密钥生成第二PMK密钥信息；

步骤S206：认证节点使用第二公钥对第二PMK密钥信息进行加密，生成第四加密信息，并将第四加密信息发送至认证服务器；

步骤S207：认证服务器接收认证节点发送的第四加密信息，使用第二私钥对第四加密信息进行解密，得到第四PMK密钥信息；

步骤S208：认证服务器判断第四PMK密钥信息中的第三预共享密钥与第一预共享密钥是否相同，当第三预共享密钥与第一预共享密钥不相同时，执行步骤S204，当第三预共享密钥与第一预共享密钥相同时，执行步骤S209；

步骤S209：认证服务器判定第四PMK密钥信息与第二PMK密钥信息相同，根据第一PMK密钥信息和第四PMK密钥信息生成PMK密钥信息和PMK可用信息，存储PMK密钥信息，并将PMK可用信息及PMK密钥信息发送至认证节点；

步骤S2010：认证节点接收认证服务器发送的PMK可用信息和PMK密钥信息，存储PMK密钥信息。

通过上述步骤S201至步骤S2010，本发明实施例提供的无线网络的认证方法，生成PMK密钥信息并存储于认证节点和认证服务器，为无线网络的密钥分配奠定基础。

在一较佳实施例中，上述第三加密信息为认证服务器使用第一公钥采用SM2算法对第一PMK密钥信息进行加密生成，上述第三PMK密钥信息为认证节点使用第一私钥采用SM2算法对第三加密信息进行解密后得到，上述第四加密信息为认证节点使用第二公钥采用SM2算法对第二PMK密钥信息进行加密生成，上述PMK可用信息和PMK密钥信息为认证服务器使用第二私钥采用SM2算法对第四加密信息进行解密后根据第一PMK密钥信息和第四PMK密钥信息生成。本发明实施例采用国密SM2算法执行上述加密和解密操作，不受限于国外加解密算法，便于对算法进行修改，提高了操作的主动性。

本发明实施例还提供了一种无线网络安全通信方法，无线网络包括：认证节点、认证服务器，认证服务器通过访问接入点与认证节点进行通信，如图5所示，该无线网络安全通信方法包括：

步骤S301：使用上述实施例中无线网络的认证方法对无线网络进行认证；

步骤S302：当认证通过时，采用SM3算法和SM4算法对认证节点和访问接入点进行密钥分配；

具体地，访问接入点生成第一随机数，并将第一随机数发送至认证节点；认证节点生成第二随机数，根据第一随机数、第二随机数和在上述无线网络的认证方法实施例中存储的PMK密钥信息生成第二PTK(Pairwise Transient Key，成对临时密钥)密钥信息，使用第二PTK密钥信息的前128位并采用SM3算法对第一随机数和第二随机数加密，生成第五加密信息，并将第五加密信息和第二随机数发送至访问接入点；访问接入点根据第一随机数、第二随机数和在上述无线网络的认证方法中存储的PMK密钥信息生成第一PTK密钥信息，使用第一PTK密钥信息的前128位并采用SM3算法对第一随机数和第二随机数加密，生成第六加密信息，并判断第六加密信息与第五加密信息是否相同；当第六加密信息与第五加密信息相同时，访问接入点根据第一PTK密钥信息生成GTK(Group Transient Key，组临时密钥)密钥信息，使用第一PTK密钥信息的128～256位并采用SM4算法对GTK密钥信息加密，生成加密后的GTK密钥信息，使用第一PTK密钥信息的前128位并采用SM3算法对加密后的GTK密钥信息加密，生成第七加密信息，并将加密后的GTK密钥信息和第七加密信息发送至认证节点；认证节点使用第二PTK密钥信息的前128位并采用SM3算法对加密后的GTK密钥信息加密，生成第八加密信息，并判断第八加密信息与第七加密信息是否相同；当第八加密信息与第七加密信息相同时，认证节点使用第二PTK密钥信息的128～256位并采用SM4算法对加密后的GTK密钥信息解密，得到GTK密钥信息，并生成密钥确认信息，使用第二PTK密钥信息的前128位并采用SM3算法对密钥确认信息加密，生成第九加密信息，并将第二PTK密钥信息、密钥确认信息和第九加密信息发送至访问接入点；访问接入点使用第一PTK密钥信息的前128位并采用SM3算法对密钥确认信息加密，生成第十加密信息，并判断第十加密信息与第九加密信息是否相同；当第十加密信息与第九加密信息相同时，访问接入点生成密钥可用信息，根据第一PTK密钥信息和第二PTK密钥信息生成PTK密钥信息，存储PTK密钥信息和GTK密钥信息，并将PTK密钥信息和密钥可用信息发送至认证节点；认证节点接收PTK密钥信息和密钥可用信息，存储PTK密钥信息和GTK密钥信息。

需要说明的是，通过上述对认证节点和访问接入点进行密钥分配的过程，认证节点和访问接入点均存储了PTK密钥信息和GTK密钥信息，其中，除采用的算法为国密SM3算法和国密SM4算法外，其余步骤与现有技术相同。本发明实施例提供的无线网络安全通信方法，在对认证节点和访问接入点进行密钥分配时采用国密SM3算法和国密SM4算法，不受限于国外加解密算法，便于对算法进行修改，提高了操作的主动性。

步骤S303：认证节点和访问接入点使用步骤S302中分配的密钥采用SM3算法和SM4算法进行数据通信。

具体地，认证节点和访问接入点之间进行数据通信，当其中一个对数据加密传输至另外一个时，另外一个对加密后的数据进行解密。

其中，加密过程为：生成待加密数据的序列号，该序列号循环递增，根据该序列号生成加密数据的头部信息，并根据序列号和发送者的MAC地址生成第三随机数；根据待加密数据的帧头部信息生成第一附加认证数据(AAD，additional authentication data)；根据SSID和PTK密钥信息生成第一临时密钥；使用第一临时密钥并采用SM3算法对第一附加认证数据、第三随机数和MAC服务数据单元(MSDU，MAC Service Data Unit)进行加密，生成第十一加密信息；使用第一临时密钥采用SM4算法对MAC服务数据单元进行加密，生成第十二加密信息；将第十一加密信息、第十二加密信息和SMx Header进行封装，生成加密数据。

解密过程为：对加密数据的头部信息进行解析，得到序列号，并判断该序列号是否满足递增规律，若该序列号不满足递增规律，丢弃该帧；若该序列号满足递增规律，根据SSID和PTK密钥信息生成第二临时密钥；根据发送者的MAC地址和序列号生成第四随机数；根据加密数据的帧头部信息生成第二附加认证数据；使用第二临时密钥并采用SM4算法对MAC服务数据单元进行解密，得到解密后的MAC服务数据单元；使用第二临时密钥并采用SM3算法对第二附加认证数据、第四随机数、MAC服务数据单元进行加密，生成第十三加密信息；判断第十三加密信息的值是否与第十一加密信息的值是否相等；当第十三加密信息的值与第十一加密信息的值相等时，结束解密过程；当第十三加密信息的值与第十一加密信息的值不相等时，丢弃该帧。

需要说明的是，上述认证节点和访问接入点进行数据通信的过程中，除采用的算法为国密SM3算法和国密SM4算法外，其余步骤与现有技术相同。本发明实施例提供的无线网络安全通信方法，在认证节点和访问接入点进行数据通信时采用国密SM3算法和国密SM4算法，不受限于国外加解密算法，便于对算法进行修改，提高了操作的主动性。

本发明实施例提供的无线网络安全通信方法，通过上述步骤S301实现对无线网络中认证节点和认证服务器的身份双向认证，通过上述步骤S302实现对认证节点和访问接入点的密钥分配，通过上述步骤S303实现认证节点和访问接入点使用分配的密钥进行数据通信，提高了无线网络数据传输的安全性，并且由于其中采用的均为国密算法，不受限于国外加解密算法，便于对算法进行修改，提高了操作的主动性。

本发明实施例还提供了一种无线网络的认证装置，无线网络包括：认证节点和认证服务器，认证节点预存有第一公钥和第一私钥，认证服务器预存有第二公钥和第二私钥，如图6所示，该无线网络的认证装置包括：身份信息发送模块1，用于发送第一身份信息至认证服务器；加密信息接收模块2，用于接收认证服务器发送的第一加密信息，第一加密信息为认证服务器使用第二私钥对认证节点的第一身份信息和认证服务器的第二身份信息进行加密生成；解密模块3，用于使用第二公钥对第一加密信息进行解密，得到认证节点的第三身份信息，并判断第三身份信息与第一身份信息是否相同；判定模块4，用于当第三身份信息与第一身份信息相同时，判定对认证服务器的认证通过。

本发明实施例提供的无线网络的认证装置，实现了认证节点对认证服务器的认证，该认证节点即用户或用户手持的移动终端，在对认证服务器的身份认证通过后再接入无线网络，避免了用户登入伪造的Wi-Fi网络后造成个人信息的泄露及无法挽回的财产损失。

本发明实施例还提供了一种无线网络的认证装置，无线网络包括：认证节点和认证服务器，认证节点预存有第一公钥和第一私钥，认证服务器预存有第二公钥和第二私钥，如图7所示，该该无线网络的认证装置包括：身份信息接收模块5，用于接收认证节点发送的第一身份信息；加密信息生成模块6，用于使用第二私钥对认证节点的第一身份信息和认证服务器的第二身份信息进行加密，生成第一加密信息，并将第一加密信息发送至认证节点。

本发明实施例提供的无线网络的认证装置，实现了认证节点对认证服务器的认证，该认证节点即用户或用户手持的移动终端，在对认证服务器的身份认证通过后再接入无线网络，避免了用户登入伪造的Wi-Fi网络后造成个人信息的泄露及无法挽回的财产损失。

本发明实施例还提供了一种无线网络安全通信装置，无线网络包括：认证节点、认证服务器，认证服务器通过访问接入点与认证节点进行通信，如图8所示，该无线网络安全通信装置包括：认证模块7，用于使用上述实施例中无线网络的认证方法对无线网络进行认证；密钥分配模块8，用于当认证通过时，采用SM3算法和SM4算法对认证节点和访问接入点进行密钥分配；数据通信模块9，用于认证节点和访问接入点使用密钥采用SM3算法和SM4算法进行数据通信。

本发明实施例提供的无线网络安全通信装置，通过上述认证模块实现对无线网络中认证节点和认证服务器的身份双向认证，通过上述密钥分配模块实现对认证节点和访问接入点的密钥分配，通过数据通信模块实现认证节点和访问接入点使用分配的密钥进行数据通信，提高了无线网络数据传输的安全性，并且由于其中采用的均为国密算法，不受限于国外加解密算法，便于对算法进行修改，提高了操作的主动性。

本发明实施例还提供了一种电子设备，如图9所示，该电子设备可以包括处理器10和存储器11，其中处理器10和存储器11可以通过总线或者其他方式连接，图9中以通过总线连接为例。

处理器10可以为中央处理器(Central Processing Unit，CPU)。处理器10还可以为其他通用处理器、数字信号处理器(Digital Signal Processor，DSP)、专用集成电路(Application Specific Integrated Circuit，ASIC)、现场可编程门阵列(Field-Programmable Gate Array，FPGA)或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件等芯片，或者上述各类芯片的组合。

存储器11作为一种非暂态计算机可读存储介质，可用于存储非暂态软件程序、非暂态计算机可执行程序以及模块，如本发明实施例中的无线网络的认证方法对应的程序指令/模块(例如，图6所示的身份信息发送模块1、加密信息接收模块2、解密模块3和判定模块4)或本发明实施例中的无线网络安全通信方法对应的程序指令/模块(例如，图8所示的认证模块7、密钥分配模块8和数据通信模块9)。处理器10通过运行存储在存储器11中的非暂态软件程序、指令以及模块，从而执行处理器的各种功能应用以及数据处理，即实现上述方法实施例中的无线网络的认证方法或无线网络安全通信方法。

存储器11可以包括存储程序区和存储数据区，其中，存储程序区可存储操作***、至少一个功能所需要的应用程序；存储数据区可存储处理器10所创建的数据等。此外，存储器11可以包括高速随机存取存储器，还可以包括非暂态存储器，例如至少一个磁盘存储器件、闪存器件、或其他非暂态固态存储器件。在一些实施例中，存储器11可选包括相对于处理器10远程设置的存储器，这些远程存储器可以通过网络连接至处理器10。上述网络的实例包括但不限于互联网、企业内部网、局域网、移动通信网及其组合。

所述一个或者多个模块存储在所述存储器11中，当被所述处理器10执行时，执行如图2-4所示实施例中的无线网络的认证方法或如图5所示的无线网络安全通信方法。

上述电子设备具体细节可以对应参阅图2至图5所示的实施例中对应的相关描述和效果进行理解，此处不再赘述。

本领域技术人员可以理解，实现上述实施例方法中的全部或部分流程，是可以通过计算机程序来指令相关的硬件来完成，所述的程序可存储于一计算机可读取存储介质中，该程序在执行时，可包括如上述各方法的实施例的流程。其中，所述存储介质可为磁碟、光盘、只读存储记忆体(Read-Only Memory，ROM)、随机存储记忆体(Random AccessMemory，RAM)、快闪存储器(Flash Memory)、硬盘(Hard Disk Drive，缩写：HDD)或固态硬盘(Solid-State Drive，SSD)等；所述存储介质还可以包括上述种类的存储器的组合。

虽然结合附图描述了本发明的实施例，但是本领域技术人员可以在不脱离本发明的精神和范围的情况下作出各种修改和变型，这样的修改和变型均落入由所附权利要求所限定的范围之内。

Claims (11)

1.一种无线网络的认证方法，所述无线网络包括：认证节点和认证服务器，所述认证节点预存有第一公钥和第一私钥，所述认证服务器预存有第二公钥和第二私钥，其特征在于，所述方法包括：

所述认证节点发送第一身份信息至所述认证服务器；

所述认证服务器使用所述第二私钥对所述认证节点的第一身份信息和认证服务器的第二身份信息进行加密，生成第一加密信息，并将所述第一加密信息发送至所述认证节点；

所述认证节点接收所述认证服务器发送的第一加密信息，使用所述第二公钥对所述第一加密信息进行解密，得到所述认证服务器的第二身份信息和所述认证节点的第三身份信息，并判断所述第三身份信息与所述第一身份信息是否相同；当所述第三身份信息与所述第一身份信息相同时，判定对所述认证服务器的认证通过，使用所述第一私钥对解密得到的所述认证服务器的第二身份信息进行加密，生成第二加密信息，并将所述第二加密信息发送至所述认证服务器；

所述认证服务器接收所述认证节点发送的第二加密信息，使用所述第一公钥对所述第二加密信息进行解密，得到所述认证服务器的第四身份信息，并判断所述第四身份信息与所述第二身份信息是否相同；当所述第四身份信息与所述第二身份信息相同时，判定对所述认证节点的认证通过；

所述方法还包括：

所述认证节点接收所述认证服务器发送的第三加密信息，所述第三加密信息为所述认证服务器根据对应的访问接入点的服务集标识及所述认证节点和认证服务器的第一预共享密钥生成第一PMK密钥信息，使用所述第一公钥对所述第一PMK密钥信息进行加密生成；使用所述第一私钥对所述第三加密信息进行解密，得到第三PMK密钥信息，判断所述第三PMK密钥信息中的第二预共享密钥与所述第一预共享密钥是否相同；当所述第二预共享密钥与所述第一预共享密钥相同时，判定所述第三PMK密钥信息与所述第一PMK密钥信息相同；根据所述认证服务器对应的访问接入点的服务集标识及所述认证节点和认证服务器的第一预共享密钥生成第二PMK密钥信息；使用所述第二公钥对所述第二PMK密钥信息进行加密，生成第四加密信息，并将所述第四加密信息发送至所述认证服务器；所述认证节点接收所述认证服务器发送的PMK可用信息和PMK密钥信息，所述PMK可用信息和PMK密钥信息为所述认证服务器使用所述第二私钥对所述第四加密信息进行解密，得到第四PMK密钥信息，判断所述第四PMK密钥信息中的第三预共享密钥与所述第一预共享密钥是否相同，当所述第三预共享密钥与所述第一预共享密钥相同时，判定所述第四PMK密钥信息与所述第二PMK密钥信息相同后根据所述第一PMK密钥信息和所述第四PMK密钥信息生成；所述认证节点存储所述PMK密钥信息。

2.根据权利要求1所述的无线网络的认证方法，其特征在于，所述第三身份信息为所述认证节点使用所述第二公钥采用SM2算法对所述第一加密信息进行解密得到；

所述第二加密信息为所述认证节点使用所述第一私钥采用所述SM2算法对所述第一身份信息和解密得到的认证服务器的第二身份信息进行加密生成。

3.根据权利要求1所述的无线网络的认证方法，其特征在于，所述第三PMK密钥信息为所述认证节点使用所述第一私钥采用SM2算法对所述第三加密信息进行解密后得到；

所述第四加密信息为所述认证节点使用所述第二公钥采用所述SM2算法对所述第二PMK密钥信息进行加密生成。

4.根据权利要求1所述的无线网络的认证方法，其特征在于，所述第一加密信息为所述认证服务器使用所述第二私钥采用SM2算法对所述认证节点的第一身份信息和认证服务器的第二身份信息进行加密生成；

所述第四身份信息为所述认证服务器使用所述第一公钥采用所述SM2算法对所述第二加密信息进行解密得到。

5.根据权利要求1所述的无线网络的认证方法，其特征在于，还包括：

根据所述认证服务器对应的访问接入点的服务集标识及所述认证节点和认证服务器的第一预共享密钥生成第一PMK密钥信息，使用所述第一公钥对所述第一PMK密钥信息进行加密，生成第三加密信息，并将所述第三加密信息发送至所述认证节点；

所述认证服务器接收所述认证节点发送的第四加密信息，所述第四加密信息为所述认证节点使用所述第一私钥对所述第三加密信息进行解密，得到第三PMK密钥信息，判断所述第三PMK密钥信息中的第二预共享密钥与所述第一预共享密钥是否相同，当所述第二预共享密钥与所述第一预共享密钥相同时，判定所述第三PMK密钥信息与所述第一PMK密钥信息相同，根据所述认证服务器对应的访问接入点的服务集标识及所述认证节点和认证服务器的第一预共享密钥生成第二PMK密钥信息，使用所述第二公钥对所述第二PMK密钥信息进行加密生成；

所述认证服务器使用所述第二私钥对所述第四加密信息进行解密，得到第四PMK密钥信息，判断所述第四PMK密钥信息中的第三预共享密钥与所述第一预共享密钥是否相同，当所述第三预共享密钥与所述第一预共享密钥相同时，判定所述第四PMK密钥信息与所述第二PMK密钥信息相同，根据所述第一PMK密钥信息和所述第四PMK密钥信息生成PMK密钥信息和PMK可用信息，存储所述PMK密钥信息，并将所述PMK可用信息及所述PMK密钥信息发送至所述认证节点。

6.根据权利要求5所述的无线网络的认证方法，其特征在于，所述第三加密信息为所述认证服务器使用所述第一公钥采用SM2算法对所述第一PMK密钥信息进行加密生成；

所述PMK可用信息和PMK密钥信息为所述认证服务器使用所述第二私钥采用所述SM2算法对所述第四加密信息进行解密后根据所述第一PMK密钥信息和所述第四PMK密钥信息生成。

7.一种无线网络安全通信方法，所述无线网络包括：认证节点、认证服务器，所述认证服务器通过访问接入点与所述认证节点进行通信，其特征在于，所述方法包括：

使用如权利要求1-6任一项所述的无线网络的认证方法对所述无线网络进行认证；

当认证通过时，采用SM3算法和SM4算法对所述认证节点和访问接入点进行密钥分配；

所述认证节点和访问接入点使用所述密钥采用SM3算法和SM4算法进行数据通信。

8.一种无线网络的认证***，所述无线网络包括：认证节点和认证服务器，所述认证节点预存有第一公钥和第一私钥，所述认证服务器预存有第二公钥和第二私钥，其特征在于，所述***包括：

身份信息发送模块，设于所述认证节点，用于发送第一身份信息；

身份信息接收模块，设于所述认证服务器，用于接收所述第一身份信息；

加密信息生成模块，用于使用所述第二私钥对所述身份信息接收模块接收到的第一身份信息和所述认证服务器的第二身份信息进行加密，生成第一加密信息，并发送所述第一加密信息；

加密信息接收模块，设于所述认证节点，用于接收所述第一加密信息；

解密模块，用于使用所述第二公钥对所述第一加密信息进行解密，得到所述认证服务器的第二身份信息和所述认证节点的第三身份信息，并判断所述第三身份信息与所述第一身份信息是否相同；

判定模块，用于当所述第三身份信息与所述第一身份信息相同时，判定所述认证节点对所述认证服务器的认证通过；

所述加密信息生成模块还用于使用所述第一私钥对所述解密模块解密得到的所述认证服务器的第二身份信息进行加密，生成第二加密信息，并发送所述第二加密信息；

所述解密模块还用于使用所述第一公钥对接收到的第二加密信息进行解密，得到所述认证服务器的第四身份信息，并判断所述第四身份信息与所述第二身份信息是否相同；

所述判定模块还用于当所述第四身份信息与所述第二身份信息相同时，判定所述认证服务器对所述认证节点的认证通过；

所述***还包括：

所述认证节点接收所述认证服务器发送的第三加密信息，所述第三加密信息为所述认证服务器根据对应的访问接入点的服务集标识及所述认证节点和认证服务器的第一预共享密钥生成第一PMK密钥信息，使用所述第一公钥对所述第一PMK密钥信息进行加密生成；使用所述第一私钥对所述第三加密信息进行解密，得到第三PMK密钥信息，判断所述第三PMK密钥信息中的第二预共享密钥与所述第一预共享密钥是否相同；当所述第二预共享密钥与所述第一预共享密钥相同时，判定所述第三PMK密钥信息与所述第一PMK密钥信息相同；根据所述认证服务器对应的访问接入点的服务集标识及所述认证节点和认证服务器的第一预共享密钥生成第二PMK密钥信息；使用所述第二公钥对所述第二PMK密钥信息进行加密，生成第四加密信息，并将所述第四加密信息发送至所述认证服务器；所述认证节点接收所述认证服务器发送的PMK可用信息和PMK密钥信息，所述PMK可用信息和PMK密钥信息为所述认证服务器使用所述第二私钥对所述第四加密信息进行解密，得到第四PMK密钥信息，判断所述第四PMK密钥信息中的第三预共享密钥与所述第一预共享密钥是否相同，当所述第三预共享密钥与所述第一预共享密钥相同时，判定所述第四PMK密钥信息与所述第二PMK密钥信息相同后根据所述第一PMK密钥信息和所述第四PMK密钥信息生成；所述认证节点存储所述PMK密钥信息。

9.一种无线网络安全通信***，所述无线网络包括：认证节点、认证服务器，所述认证服务器通过访问接入点与所述认证节点进行通信，其特征在于，所述***用于使用如权利要求1-6任一项所述的无线网络的认证方法对所述无线网络进行认证；

所述***还包括：

密钥分配模块，用于当认证通过时，采用SM3算法和SM4算法对所述认证节点和访问接入点进行密钥分配；

数据通信模块，用于针对所述认证节点和访问接入点使用所述密钥分配模块分配的密钥进行数据通信。

10.一种电子设备，其特征在于，包括：存储器和处理器，所述存储器和所述处理器之间互相通信连接，所述存储器中存储有计算机指令，所述处理器通过执行所述计算机指令，从而执行如权利要求1-6任一项所述的无线网络的认证方法，或，执行如权利要求7所述的无线网络安全通信方法。

11.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质存储有计算机指令，所述计算机指令用于使所述计算机执行权利要求1-6任一项所述的无线网络的认证方法，或，使所述计算机执行如权利要求7所述的无线网络安全通信方法。

Images