-
Die
vorliegende Erfindung bezieht sich im allgemeinen auf die Authentifizierung
und insbesondere auf die Authentifizierung für ein Drahtlosnetzwerk.
-
Drahtlosnetzwerke,
wie etwa 802.11b (auch als Wi-Fi oder Drahtlosethernet bekannt)
sind für
Eindringlinge stärker
anfällig
als drahtgebundene Netzwerke, da die Eindringlinge sich mit dem
Netzwerk nicht physikalisch verbinden müssen. In Erwiderung auf die
Anfälligkeit
für Eindringlinge
wurde eine Vielfalt von Frameworks erzeugt, um die Authentifizierung
der Benutzer von Drahtlosnetzwerken, insbesondere für Firmen,
sicherzustellen. Eines dieser Frameworks wird 802.1x genannt. Innerhalb
von 802.1x gibt es zahlreiche mögliche
Authentifizierungsprotokolle, wobei zwei von diesen EAP-TLS (Extensible
Authentication Protocol – Transport
Layer Security) und PEAP (Protected Extensible Authentication Protocol)
enthalten. Um ein Drahtlosnetzwerk zu benutzen, das durch 802.1x
geschützt
ist, muss der Drahtlos-Client das richtige Authentifizierungs-Protokoll
wählen.
Darüber
hinaus muss der Benutzer das korrekte Authentifizierungs-Protokoll wählen, bevor
er eine Verbindung herstellt.
-
"Protected EAP Protocol
(PEAP)" draft-josefson-pptext-eap-tls-eap-05
repräsentiert
ein Arbeitsdokument der Internet Engineering Task Force (IETF) dar
und bezieht sich auf das Protected EAP Protocol (PEAP). Es ist beschrieben,
dass im PEAP die Konversation zwischen einem EAP-Peer (EAP – Extensible
Authentication Protocol) und einem Backend-Server innerhalb eines
TLS-Kanals (TLS – Transport
Level Security) verschlüsselt
und integritätsgeschützt ist,
und dass eine wechselseitige Authentifizierung zwischen dem EAP-Peer
und dem Backend-Server erforderlich ist.
-
US-A-6 055 575 beschreibt
einen Authentifizierungsvorgang, bei dem ein entfernter Client und ein
Host aushandeln, welcher Authentifizierungstyp für die Kommu nikation verwendet
wird. Der Host sendet eine Authentifizierungsanfrage, die ein oder
mehrere Authentifizierungstyp-/Authentifizierungsanforderungsdaten-Paare
beinhaltet. In Erwiderung auf die Authentifizierungsanfrage übermittelt
der entfernte Client eine Authentifizierungsantwort zurück zum Host,
die ein Authentifizierungstyp-/Antwortdaten-Paar beinhaltet. War
die Antwort erfolgreich, d. h. dass eine geeignete Nachricht auf
die Anforderung empfangen wurde, die die Identität des entfernten Clients bestätigt, wird
eine Erfolgsdatenstruktur zum entfernten Client gesendet.
-
Das
Ziel der vorliegenden Erfindung besteht darin, ein verbessertes
Verfahren und eine verbesserte Vorrichtung zum automatischen Authentifizieren
eines Benutzers an einem Drahtlosnetzwerk anzugeben, das durch ein
Authentifizierungsprotokoll geschützt ist.
-
Dieses
Ziel wird mit dem Gegenstand der unabhängigen Ansprüche erreicht.
-
Bevorzugte
Ausführungsformen
sind durch die abhängigen
Ansprüche
definiert.
-
Die
vorliegende Erfindung bezieht sich auf die Bereitstellung eines
Systems und eines Verfahrens zur automatischen Client-Authentifizierung
für ein
Drahtlosnetzwerk, das durch PEAP, EAP-TLS oder andere erweiterbare
Authentifizierungsprotokolle geschützt ist.
-
Gemäß einem
Aspekt der Erfindung muss ein Benutzer nicht den Unterschied zwischen
den Protokollen verstehen, um eine Verbindung zum Netzwerk herzustellen.
-
Gemäß einem
weiteren Aspekt der Erfindung wird mit einem Standardauthentifizierungsprotokoll
versucht, eine Verbindung zum Netzwerk herzustellen. Ist das Authentifizierungsverfahren
nicht erfolgreich, dann erfolgt ein Wechsel zu einem weiteren Authentifizierungsverfahren,
sofern das Netzwerk dies verlangt.
-
Kurze Beschreibung der Zeichnungen
-
1 ist
ein Funktionsblockschaltbild einer Berechnungsvorrichtung, die dazu
eingerichtet ist, eine Ausführungsform
der Erfindung einzusetzen;
-
2 zeigt
eine mobile Berechnungsvorrichtung, die bei einer beispielhaften
Ausführungsform der
vorliegenden Erfindung verwendet werden kann;
-
3 ist
ein Funktionsblockschaltbild eines Authentifizierungssystems;
-
4 zeigt
einen Vorgang zum Einloggen in ein Netzwerk mit PEAP;
-
5 zeigt
einen Vorgang eines versuchten PEAP-Einloggens in einem TLS-Netzwerk
(Fehlerfall);
-
6 zeigt
einen Vorgang für
die TLS-Authentifizierung und das Wählen von Zertifikaten; und
-
7–13 zeigen
beispielhafte Bildschirmaufnahmen gemäß Aspekten der Erfindung.
-
Detaillierte Beschreibung
der bevorzugten Ausführungsform
-
Die
vorliegende Erfindung bezieht sich auf die Bereitstellung eines
Systems und eines Verfahrens für
die automatische Client-Authentifizierung für ein Drahtlosnetzwerk, das
durch PEAP, EAP-TLS oder andere erweiterbare Authentifizierungsprotokolle
geschützt
ist. Ein Standardauthentifizierungsprotokoll wird automatisch ausprobiert.
Ist das Authentifizierungsverfahren nicht erfolgreich, dann erfolgt
ein Wechsel zu einem weiteren Authentifizierungsverfahren, sofern
das Netzwerk dies verlangt.
-
Im
Verlauf dieser Beschreibung ist der Begriff "Wi-Fi" die Abkürzung für Wireless Fidelity und soll allgemein
verwendet werden, wenn man sich auf einen beliebigen Typ eines 802.11-Netzwerkes,
wie etwa 802.11b, 802.11a, Dual-Band und dergleichen bezieht. Der
Begriff "AP" bezieht sich auf
einen Zugangspunkt, der verwendet wird, um Drahtlosnetzwerkvorrichtungen
mit einem Netzwerk zu verbinden. Der Begriff "SSID" bezieht
sich auf einen Service-Set-Identifier.
-
Unter
Bezugnahme auf 1 enthält ein beispielhaftes System
für die
Ausführung
der Erfindung eine Berechnungsvorrichtung, wie etwa die Berechnungsvorrichtung 100.
In einer Basiskonfiguration enthält
die Berechungsvorrichtung 100 normalerweise wenigstens
eine Verarbeitungseinheit 102 und einen Systemspeicher 104.
In Abhängigkeit
der exakten Konfiguration und des Typs der Berechnungsvorrichtung
kann der Systemspeicher 104 flüchtig (wie etwa ein RAM), nicht
flüchtig
(wie etwa ein ROM, ein Flash-Speicher und dergleichen) oder eine
bestimmte Kombination aus beiden sein. Der Systemspeicher 104 enthält normalerweise
ein Betriebssystem 105, ein oder mehrere Programmmodule 106 und
kann Programmdaten 107 enthalten. Diese Basiskonfiguration
ist in 1 mit jenen Bestandteilen dargestellt, die sich
innerhalb der Strichlinie 108 befinden.
-
Die
Berechungsvorrichtung 100 kann zudem zusätzliche
Merkmale oder Funktionalitäten
aufweisen. Beispielsweise kann die Berechungsvorrichtung 100 ebenfalls
zusätzliche
Datenspeichervorrichtungen (entnehmbar und/oder nicht entnehmbar),
wie etwa magnetische Platten, optische Platten oder ein Band, enthalten.
Derartiger zusätzlicher
Speicher ist in 1 mit einem entnehmbaren Speicher 109 und einem
nicht entnehmbaren Speicher 110 dargestellt. Computerspeichermedien
können
flüchtige
und nicht flüchtige,
entnehmbare und nicht entnehmbare Medien beinhalten, die bei einem
beliebigen Verfahren oder einer beliebigen Technologie zur Speicherung von
Informationen, wie etwa computerlesbarer Anweisungen, Datenstrukturen,
Programmmodulen oder anderer Daten verwendet werden. Der Systemspeicher 104,
der entnehmbare Speicher 109 und der nicht entnehmbare
Speicher 110 sind allesamt Beispiele von Computerspeichermedien.
Computerspeichermedien beinhalten, ohne darauf beschränkt zu sein,
einen RAM, einen ROM, einen EEPROM, einen Flash-Speicher oder eine
andere Speichertechnologie, ein CD-ROM, DVDs oder anderen optischen Speicher,
Magnetkassetten, ein Magnetband, einen Magnetplattenspeicher oder
andere magnetische Speichervorrichtungen, oder ein beliebiges anderes Medium,
das verwendet werden kann, um die gewünschten Informationen zu speichern,
und auf das von der Berechungsvorrichtung 100 zugegriffen
werden kann. Ein beliebiges dieser Computerspeichermedien kann Teil
der Vorrichtung 100 sein. Die Berechungsvorrichtung 100 kann
zudem über
Eingabevorrichtungen 112, wie etwa eine Tastatur, eine Maus,
einen Stift, eine Spracheingabevorrichtung, eine Tast eingabevorrichtung
und dergleichen verfügen.
Ausgabevorrichtungen 114, wie etwa eine Anzeigeeinrichtung,
Lautsprecher, ein Drucker und dergleichen, können ebenfalls enthalten sein.
Alles diese Vorrichtungen sind nach dem Stand der Technik bekannt,
und müssen
hier nicht ausführlich
erläutert werden.
-
Die
Berechungsvorrichtung 100 enthält darüber hinaus Kommunikationsverbindungen 116,
die es der Vorrichtung gestatten, mit anderen Berechungsvorrichtungen 118 etwa über ein
Netzwerk zu kommunizieren. Das Netzwerk kann drahtlos oder drahtgebunden
sein. Kommunikationsverbindungen 116 sind ein Beispiel
für Kommunikationsmedien.
Kommunikationsmedien enthalten normalerweise computerlesbare Anweisungen,
Datenstrukturen, Programmmodule oder andere Daten in einem modulierten
Datensignal, wie etwa einer Trägerwelle
oder einem anderen Transportmechanismus, und enthalten beliebige
Informationszustellungsmedien. Der Begriff "moduliertes Datensignal" bezeichnet ein Signal,
bei dem eine oder mehrere seiner Eigenschaften derart eingestellt
oder geändert
werden, dass die Informationen im Signal geändert werden. Beispielsweise, und
ohne dabei einschränkend
zu sein, beinhalten Kommunikationsmedien drahtgebundene Medien, wie
etwa ein drahtgebundenes Netzwerk oder eine direkt verdrahtete Verbindung,
und drahtlose Medien, wie etwa Schall-, Hochfrequenz-, Infrarot-
oder andere Drahtlos-Medien. Der Begriff computerlesbare Medien,
wie er hier verwendet wird, beinhaltet sowohl Speichermedien als
auch Kommunikationsmedien.
-
2 zeigt
eine mobile Berechnungsvorrichtung, die bei einer beispielhaften
Ausführungsform der
vorliegenden Erfindung verwendet werden kann. Unter Bezugnahme auf 2 enthält ein beispielhaftes
System zur Ausführung
der Erfindung eine mobile Berechnungsvorrichtung, wie etwa die mobile
Berechungsvorrichtung 200. Die mobile Berechnungsvorrichtung 200 hat
einen Prozessor 260, einen Speicher 262, eine
Anzeigeeinrichtung 228 und ein Tastenfeld 232.
Der Speicher 262 enthält
normalerweise sowohl einen flüchtigen
Speicher (z. B. einen RAM) als auch einen nicht flüchtigen
Speicher (z. B. einen ROM, einen Flash-Speicher oder dergleichen). Die mobile
Berechnungsvorrichtung 200 enthält ein Betriebssystem 264,
wie etwa das Windows CE Betriebssystem von der Microsoft Corporation
oder ein anderes Betriebssystem, das sich im Speicher 262 befindet und
auf dem Prozessor 260 ausgeführt wird. Das Tastenfeld 232 kann
ein numerisches Drucktasterwählfeld
(wie etwa auf einem typischen Telefon) und eine Mehrtastentastatur
(wie etwa eine herkömmliche
Tastatur) sein. Die Anzeigeeinrichtung 228 kann eine Flüssigkristallanzeigeeinrichtung
oder ein beliebiger anderer Typ einer Anzeigeinrichtung sein, die
normalerweise bei mobilen Berechungsvorrichtungen verwendet wird.
Die Anzeigeeinrichtung 228 kann berührungsempfindlich sein und
würde dann
als Eingabevorrichtung arbeiten.
-
Ein
oder mehrere Anwendungsprogramme 266 werden in den Speicher 262 geladen
und laufen unter dem Betriebssystem 264. Beispiele von
Anwendungsprogrammen beinhalten Telefonwählprogramme, E-Mail-Programme,
Terminplanungsprogramme, PIM-Programme (PIM – Persönliche Informationsverwaltung),
Textverarbeitungsprogramme, Tabellenkalkulationsprogramme, Internetbrowserprogramme
und dergleichen. Die mobile Berechungsvorrichtung 200 enthält zudem
einen nicht flüchtigen
Speicher 268 innerhalb des Speichers 262. Der
nicht flüchtige
Speicher 268 kann verwendet werden, um beständige Informationen
zu speichern, die nicht verlorengehen sollten, wenn die mobile Berechnungsvorrichtung 200 abgeschaltet
wird. Die Anwendungen 266 können Informationen im Speicher 268 verwenden
und speichern, wie etwa E-Mail oder andere Nachrichten, die von
einer E-Mail-Anwendung verwendet werden, Kontaktinformationen, die von
einer PIM verwendet werden, Verabredungsinformationen, die von einem
Terminplanungsprogramm verwendet werden, Dokumente, die von einer Textverarbeitungsanwendung
verwendet werden, und dergleichen. Eine Authentifizierungsanwendung befindet
sich ebenfalls in der mobilen Berechnungsvorrichtung 200 und
ist für
die Authentifizierung in einem Drahtlosnetzwerk programmiert.
-
Die
mobile Berechnungsvorrichtung 200 hat eine Stromversorgung 270,
die als eine oder mehrere Batterien ausgeführt sein kann. Die Stromversorgung 270 kann
weiterhin eine externe Stromquelle, wie etwa einen Wechselstromadapter
oder eine mit Spannung versorgte Ladestation beinhalten, die die Batterien
ersetzt oder neu auflädt.
-
Die
mobile Berechnungsvorrichtung 200 ist mit zwei Typen externer
Meldemechanismen dargestellt: einer LED 240 und einer Audioschnittstelle 274. Diese
Vor richtungen können
direkt mit der Stromversorgung 270 gekoppelt sein, so dass,
wenn sie aktiviert sind, diese für
eine Dauer eingeschaltet bleiben, die durch den Meldemechanismus
vorgegeben ist, selbst wenn der Prozessor 260 oder andere
Komponenten abschalten, um Batterieleistung zu sparen. Die LED 240 kann
derart programmiert sein, dass sie unbestimmt eingeschaltet bleibt,
bis der Benutzer eine Tätigkeit
ausführt,
um den eingeschalteten Zustand der Vorrichtung zu kennzeichnen.
Die Audioschnittstelle 274 wird verwendet, um für den Benutzer
hörbare
Signale bereitzustellen und hörbare
Signale von diesem zu empfangen. Beispielsweise kann die Audioschnittstelle 274 mit
einem Lautsprecher, um eine hörbare
Ausgabe bereitzustellen, und mit einem Mikrofon verbunden sein,
um eine hörbare
Eingabe zu empfangen, um so ein Telefongespräch zu ermöglichen.
-
Die
mobile Berechungsvorrichtung 200 enthält zudem eine Drahtlosschnittstellenebene 272,
die die Funktion des Sendens und Empfangens von Kommunikationen,
wie etwa Hochfrequenzkommunikationen, ausführt. Die Drahtlosschnittstellenebene 272 ermöglicht eine
drahtlose Konnektivität
zwischen der mobilen Berechnungsvorrichtung 200 und der Außenwelt, über einen
Kommunikationsträger
oder einen Dienstanbieter. Sendungen zu oder von der Drahtlosschnittstellenebene 272 werden
unter Steuerung des Betriebssystems ausgeführt. Mit anderen Worten können Kommunikationen,
die von der Drahtlosschnittstellenebene 272 empfangen werden,
an die Anwendungsprogramme 266 über das Betriebssystem verteilt
werden und umgekehrt.
-
3 ist
ein Funktionsblockschaltbild, das im allgemeinen eine Ausführungsform
für ein
Authentifizierungssystem 300 gemäß der vorliegenden Erfindung
zeigt. Bei dieser Anwendung ist der Server 340 eine Berechnungsvorrichtung,
wie etwa jene, die oben in Verbindung mit 1 beschrieben
wurde, und die Mobilvorrichtung 320 eine mobile Berechnungsvorrichtung,
wie etwa jene, die oben in Verbindung mit 2 beschrieben
wurde. Die Authentifizierungsanwendung 342 ist so eingerichtet,
dass sie den Authentifizierungsvorgang zwischen dem Server 340 und
der Mobilvorrichtung 320 ausführt. Bei der dargestellten
Ausführungsform
befinden sich die Authentifizierungsanwendungen 342 und 344 auf
dem Server 340 und der Mobilvorrichtung 320.
-
Die
Mobilvorrichtung 320 hält
Mobildaten 322 lokal in ihrem Speicher 268 (gezeigt
in 2). Während
einer Authentifizierungssession tauschen die Mobilvorrichtung 320 und
der Server Informationen aus, die sich auf die Authentifizierung
beziehen.
-
Beispielhafter Einlogg-Vorgang
-
Die
meisten Firmen, die derzeit Wi-Fi nutzen, verwenden 802.1x und unterstützen eine
Vielfalt von Authentifizierungsalgorithmen. Drei dieser Authentifizierungsalgorithmen
umfassen EAP-TLS (Zertifikate), PEAP und Wi-Fi-geschützten Zugriff
WPA. Die EAP-TLS-Authentifizierung verwendet Zertifikate und RADIUS-Server.
Die PEAP-Authentifizierung verwendet keine Zertifikate, jedoch RADIUS-Server. WPA
wird als sicherer als WEP angesehen, da es die TKIP-Verschlüsselung
verwendet, wobei sie jedoch in der Praxis in 802.1x beide als sicher
erscheinen, da die Schlüssel
rotieren. WPA hat einen zusätzlichen
Vorteil gegenüber
PEAP/EAP-TLS, da WPA keine Backend-RADIUS-Server verwendet. WPA verwendet
weiterhin PEAP oder EAP-TLS für
die Authentifizierung.
-
Gemäß einem
Aspekt der Erfindung wird der Wi-Fi-Einlogg-Vorgang für Netzwerke
verbessert, die 802.1x verwenden. Das Folgende sind beispielhafte Beschreibungen
gemäß Aspekten
der Erfindung.
-
Beispiel einer erstmaligen Verbindung (802.1x-PEAP-Netzwerk)
-
Ray
führt seine
Wi-Fi-Vorrichtung in den Bereich seines Firmen-Wi-Fi-Netzwerks (CORPSSID) mit,
das 802.1x verwendet. Eine Dialogblase erscheint auf Rays Vorrichtung,
die Ray fragt, ob er eine Verbindung zum CORPSSID herstellen möchte (Siehe 7 für eine beispielhafte
Blase). Ray klickt Verbinden. Es erscheint ein Dialog, der nach
den Informationen fragt, die verwendet werden, um sich in dem Netzwerk
einzuloggen. Gemäß einer
Ausführungsform
enthalten diese Informationen den Benutzernamen, das Passwort und
die Domäne
(siehe 8 für
einen beispielhaften Dialog). Ray gibt diese Informationen ein und
loggt sich im Netzwerk ein.
-
Erstmalige Verbindung (802.1x-EAP-TLS-Netzwerk, weniger üblich)
-
Ray
führt seine
integrierte Wi-Fi-Vorrichtung in den Bereich seines Firmen-Wi-Fi-Netzwerkes (CORPSSID)
mit, das 802.1x verwendet. Es erscheint eine Blase, die Ray fragt,
ob er eine Verbindung zu CORPSSID herstellen möchte. Ray klickt Verbinden.
Es erscheint ein Dialog, der nach seinem Benutzernamen/Passwort/Domäne fragt.
Ray gibt diese Informationen ein und drück OK. Der AP erwartet eine
EAP-TLS Authentifizierung und sendet somit einen Fehler zurück. Rays
Vorrichtung erkennt diesen Fehler und schaltet den EAP-Typ zu TLS
für diese
SSID um, ohne dass Ray davon in Kenntnis gesetzt wird, worauf die
Vorrichtung eine erneute Zuordnung/Verbindung mit Hilfe von TLS
versucht. Benutzername/Domain, die zuvor eingegeben wurden, werden
dem AP erneut zugestellt. Es erfolgt eine automatische Auswahl eines
Zertifikates für
Ray, das zum AP gesendet wird. Ray loggt sich im Netzwerk ein.
-
Erstmalige Verbindung (802.1x konfiguriert
für das EAP-TLS-Netzwerk,
der Benutzer verfügt über mehrere
mögliche
Zertifikate)
-
Ray
führt seine
integrierte Wi-Fi-Vorrichtung in den Bereich seines Firmen-Wi-Fi-Netzwerkes (CORPSSID)
mit, das 802.1x verwendet. Es erscheint eine Blase, die Ray fragt,
ob er eine Verbindung zu CORPSSID herstellen möchte. Ray klickt Verbinden.
Es erscheint ein Dialog, der nach Benutzername/Domain fragt. Ray
gibt diese Informationen ein und tippt OK. Es erscheint ein Dialog,
der den Benutzer auffordert, ein Zertifikat zu wählen (siehe 10 für einen
beispielhaften Zertifikatsbildschirm). Ray wählt das nicht abgelaufene Zertifikat,
das von seiner Firma ausgegeben wird. Ray loggt sich im Netzwerk
ein.
-
Erstmalige Verbindung (802.1x konfiguriert
für das EAP-TLS-Netzwerk,
Benutzer hat keine Zertifikate)
-
Ray
führt seine
integrierte Wi-Fi-Vorrichtung in den Bereich seines Firmen-Wi-Fi-Netzwerkes (CORPSSID)
mit, das 802.1x verwendet. Es erscheint eine Blase, die Ray fragt,
ob er eine Verbindung zu CORPSSID herstellen möchte. Ray klickt Verbinden.
Es erscheint ein Dialog, der nach Benutzername/Domain fragt. Ray
gibt diese Informationen ein und tippt OK. Es erscheint eine Fehlernachricht, die
Ray mitteilt, dass er ein Zertifikat benötigt und er seinen Administrator
kontaktieren sollte. Wenn der AP PEAP zurücksendet zeigt, alternativ
die Fehlernachricht nicht an, dass ein Zertifikat vom Benutzer benötigt wird.
-
Anschließende Verbindungen an beliebiger
Stelle
-
Benutzer
mit Wi-Fi geht in den Bereich eines Wi-Fi-Netzwerkes und stellt
ohne Verwendung einer Benutzerschnittstelle (UI) eine Verbindung
her.
-
PEAP-(standard) im Vergleich zur EAP-TLS-Authentifizierung
-
Gemäß einer
weiteren Ausführungsform
der Erfindung ist PEAP das vorherrschende Authentifizierungsverfahren.
PEAP erfordert keine Zertifikate. Die vorliegende Erfindung ist
auf andere Authentifizierungsverfahren erweiterbar.
-
Gemäß einer
Ausführungsform
legt das Betriebssystem Registrierungseinstellungen mit Kennzeichen
dar, die kennzeichnen, ob ein spezielles Authentifizierungsverfahren
einen Aufruf in die Benutzernamen-/Passwort-/Domain-Benutzerschnittstelle (für PEAP)
oder die Benutzernamen-/Domäne-UI
(für TLS)
verlangt.
-
Gemäß einer
Ausführungsform
verwenden nach einem erfolgreichen Einloggen zukünftige Einloggvorgänge keine
UI. Gemäß einer
Ausführungsform
kann der Benutzername/die Domäne
auch vorgefüllt
und UI-los sein.
-
Vorgangsabläufe
-
4 zeigt
einen Vorgang zum Einloggen in ein Netzwerk mit PEAP gemäß Aspekten
der Erfindung. Nach dem Beginn schreitet der Vorgang zu Block 405 fort,
bei dem ein neues Drahtlosnetzwerk erfasst wird. Mit einem Fortschreiten
zu Block 410 klickt der Benutzer Verbinden, um eine Verbindung zum
Netzwerk zu beginnen. Bei dem Entscheidungsblock 415 erfolgt
eine Bestimmung, ob die Einlogg-Informationen für die Domäne gesichert wurden. Wurden
die Informationen nicht gesichert, kehrt der Vorgang zu Block 420 zurück, bei
dem der Benutzer aufgefordert wird, sich für die erforderlichen Informationen
im Netzwerk einzuloggen. Gemäß einer
Ausführungsform
enthalten diese Informationen einen Benutzernamen, ein Passwort
und eine Domäne.
Wurden die Informationen gesichert, kehrt der Vorgang zu Block 425 zurück, bei
dem der Benutzername und die Domäne
zum AP gesendet werden. Der Vorgang schreitet anschließend zum
Entscheidungsblock 430 fort, bei dem eine Bestimmung erfolgt,
ob der Benutzername/die Domäne
akzeptiert wird. Wird der Benutzername/die Domäne nicht akzeptiert, kehrt
der Vorgang zu Block 435 zurück, um die Informationen erneut
anzufordern. Werden die Informationen akzeptiert, kehrt der Vorgang
zu Block 440 zurück,
bei dem die Informationen für
die PEAP-Autorisierung gesendet werden. Übergehend zu Block 445 erfolgt eine
Bestimmung, ob Berechtigungsnachweise akzeptiert werden. Werden
sie nicht akzeptiert, schreitet der Vorgang zu Block 450 fort,
bei dem eine Fehlernachricht gesendet wird. Werden die Berechtigungsnachweise
akzeptiert, ist das Einloggen erfolgreich (Block 455) und
der Vorgang kehrt zur Verarbeitung anderer Aktionen zurück.
-
5 zeigt
einen Vorgang eines versuchten PEAP-Einloggens in einem TLS-Netzwerk (Fehlerfall)
gemäß Aspekten
der Erfindung. Nach dem Beginn schreitet der Vorgang zu Block 505 fort,
bei dem ein neues Drahtlosnetzwerk erfasst wird. Mit einem Fortschreiten
zu Block 510 klickt der Benutzer Verbinden, um eine Verbindung
zum Netzwerk zu beginnen. Mit einem Fortschritt zum Entscheidungsblock 515 erfolgt
eine Bestimmung, ob die Einlogg-Informationen für die Domäne gesichert wurden. Wurden die
Informationen nicht gesichert, schreitet der Vorgang zu Block 520 fort,
bei dem von einem Benutzer die Informationen angefordert werden,
die für
ein Einloggen im Netzwerk erforderlich sind. Gemäß einer Ausfüh rungsform
enthalten diese Informationen einen Benutzernamen, ein Passwort
und eine Domäne.
Wurden die Informationen gesichert, schreitet der Vorgang zu Block 525 fort,
bei dem der Benutzername und die Domäne zum AP gesendet werden.
Der Vorgang schreitet anschließend
zu einem Entscheidungsblock 530 fort, bei dem eine Entscheidung
erfolgt, ob der Benutzername/die Domäne akzeptiert wird. Wird der
Benutzername/die Domäne
nicht akzeptiert, schreitet der Vorgang zu Block 535 fort,
um die Informationen erneut anzufordern. Erfolgt eine nicht erfolgreiche
Autorisation, schaltet der AP automatisch die Authentifizierungsprozedur
zur TLS-Autorisation ohne Eingreifen durch den Benutzer um, und
der Autorisationsvorgang wird mit Hilfe von TLS anstelle von PEAP
neu gestartet (Block 540). Der Vorgang kehrt dann zur Verarbeitung
anderer Vorgänge
zurück.
-
6 zeigt
einen Vorgang für
die TLS-Authentifizierung und das Wählen von Zertifikaten gemäß Aspekten
der Erfindung. Nach dem Beginn schreitet der Vorgang zu Block 605 fort,
bei dem ein Drahtlosnetzwerk erfasst wird. Fortschreitend zu Block 610 klickt
der Benutzer Verbinden, um ein Verbinden zum Netzwerk zu beginnen.
Bei Block 615 wird eine Entscheidung getroffen, ob die
Einlogg-Informationen
gesichert wurden. Wurden die Informationen nicht gesichert, kehrt
der Vorgang zu Block 620 zurück, bei dem von einem Benutzer
die Informationen angefordert werden, die erforderlich sind, um sich
im Netzwerk einzuloggen. Gemäß einer
Ausführungsform
enthalten diese Informationen einen Benutzernamen und eine Domäne. Wurden
die Informationen gesichert, schreitet der Vorgang zu Block 625 fort,
bei dem der Benutzername und die Domäne zum AP gesendet werden.
Der Vorgang schreitet dann zu Block 630 fort, bei dem eine
Bestimmung erfolgt, ob der Benutzername/die Domäne akzeptiert wird. Werden
der Benutzername/die Domäne
nicht akzeptiert, schreitet der Vorgang zu Block 635 fort, um
die Informationen abzufragen. Beim Entscheidungsblock 640 wird
eine Entscheidung getroffen, ob der Benutzer Client-Zertifikate
hat. Hat der Benutzer keine Client-Zertifikate, schreitet der Vorgang zu Block 645 fort,
bei dem eine Fehlernachricht gesendet wird und der Benutzer möglicherweise
dabei unterstützt
wird, ein Zertifikat zu beziehen. Hat der Benutzer ein Zertifikat,
schreitet der Vorgang zu Schritt 650 fort, bei dem eine
Entscheidung getroffen wird, ob dem Benutzer mehr als ein Zertifikat
für den
Benutzernamen und die Domäne
zugeführt
wurde. Hat der Benutzer nicht mehr als ein Zertifikat, schreitet der
Vorgang zu Block 655 fort, bei dem das Zertifikat automatisch
gewählt
wird. Hat der Benutzer mehr als ein Zertifikat, kehrt der Vorgang
zu Block 660 zurück und
der Benutzer wählt
ein Zertifikat aus einer Auswahl von Zertifikaten. Bei Block 665 erfolgt
eine Bestimmung, ob das Zertifikat akzeptiert wird. Wird das Zertifikat
nicht akzeptiert, schreitet der Vorgang zu Block 670 fort,
bei dem eine Fehlernachricht zum Benutzer zurückgesendet wird und dem Benutzer
Hilfe zur Verfügung
gestellt wird, um das Problem mit dem Zertifikat zu korrigieren.
Wird das Zertifikat akzeptiert, schreitet der Vorgang zu Block 675 fort,
bei dem das Einloggen erfolgreich ist. Der Vorgang kehrt dann zur Verarbeitung
anderer Aktionen zurück.
-
7 bis 13 zeigen
beispielhafte Bildschirmfotos gemäß Aspekten der Erfindung.
-
7 zeigt
ein beispielhaftes Bildschirmfoto für ein neues erfasstes Netzwerk
gemäß Aspekten der
Erfindung. Wie dargestellt, erscheint eine Blase für ein erfasstes
Wi-Fi-Netzwerk. Gemäß dieser
Ausführungsform
wählt der
Benutzer eine Verbindung zum Internet.
-
8 zeigt
ein beispielhaftes Bildschirmfoto für das Einloggen an einem Netzwerk-Server
unter Verwendung von PEAP gemäß Aspekten
der Erfindung. Wie gezeigt, wird der Benutzer nach den Informationen
gefragt, die verwendet werden, um sich im Netzwerk einzuloggen.
Gemäß einer
Ausführungsform
enthalten die Informationen den Benutzernamen, das Passwort und
die Domäne.
Nachdem der Benutzer OK geklickt hat, sendet die Vorrichtung den/die
Benutzernamen-/Domänen-Informationen zum
AP. Der Benutzername/die Domäne
werden gesichert, wenn sie akzeptiert werden; andernfalls wird dieser
Dialog mit dem/der zuvor typisierten Benutzernamen/Domäne wiederholt.
Der AP fragt anschließend
nach der PEAP-Authentifizierung. Sind Benutzername/Passwort/Domäne akzeptiert,
ist der Benutzer fertig. Das Passwort ist gesichert, wenn der Benutzer
das Kontrollkästchen
markiert hat. Gemäß einer
Ausführungsform
beendet, sofern das Passwort abgelehnt wird, der AP die Zuordnung
und wird eine Fehlernachricht angezeigt. Fragt der AP nach einem alternativen
Typ einer Authentifizierung, wird der Einlogg-Vorgang neugestartet
und das SSID umgeschaltet, um diesen neuen Autorisationstyp zu verwenden.
-
9 zeigt
ein beispielhaftes Bildschirmfoto für das Einloggen an einem Netzwerk-Server
unter Verwendung von TLS gemäß Aspekten
der Erfindung. Wie gezeigt, werden, wenn TLS verwendet wird, der
Benutzername/die Domäne
angefordert. Ist dies ein erstmaliges Einloggen und hat der Benutzer keine
Einstellungen angeklickt, um TLS zu wählen, ist PEAP die Voreinstellung
und der Benutzer erhält den
PEAP-Eindruck, gefolgt von einem Fehler, da er nicht einloggen kann.
Nachdem der Benutzer OK geklickt hat, sendet die Vorrichtung Benutzernamen-/Domänen-Informationen
zum AP. Der Benutzername/die Domäne
werden gesichert, wenn sie akzeptiert werden; andernfalls wird dieser
Dialog mit dem/der zuvor typisierten Benutzernamen/Domäne wiederholt.
Wenn der AP nach einem alternativen Typ der Authentifizierung fragt,
wird der Einloggvorgang automatisch neugestartet und diese SSID
umgeschaltet, um einen neuen Autorisationstyp zu verwenden.
-
10 zeigt
ein beispielhaftes Bildschirmfoto, wenn TLS nicht automatisch das
Zertifikat wählt, gemäß Aspekten
der Erfindung. Der Benutzername/die Domäne gestattet im allgemeinen
das automatische Wählen
eines geeigneten Client-Zertifikates.
Funktioniert dieses, gibt es nicht länger eine UI. Sind keine geeigneten
Client-Zertifikate verfügbar, wird
eine Fehlernachricht angezeigt und kann ein Angebot gemacht werden,
den Benutzer zur Zertifikatsverwaltungs-UI zu überführen.
-
Gemäß einer
Ausführungsform
zeigt die Wähle-ein-Zertifikat-UI,
die in 10 gezeigt ist, lediglich geeignete
Client-Zertifikate und nicht alle Client-Zertifikate. Gemäß einer
Ausführungsform
wählt das
Tasten auf ein Zertifikat dieses Zertifikat. Tasten&Halten zeigt einen
Menüpunkt:
Eigenschaften. Das Wählen
der Eigenschaften geht zur Zertifikats-Eigenschaftsseite. Wird das
gewählte
Zertifikat abgelehnt, wird eine Fehlermeldung ("das Zertifikat wurde nicht akzeptiert") angezeigt.
-
11 zeigt
beispielhafte Eigenschaften eines Zertifikates gemäß Aspekten
der Erfindung. Ist das Netzwerk nicht geschützt, hat der Client Zeitgrenzen,
den AP nach der 802.1x-Unterstützung
fragen. Dies kann bis zu 9 Sekunden (3 Neuversuche mit jeweils 3
Sekunden) dauern. Sobald eine Verbindung zum ungeschützten Netzwerk
hergestellt ist, wird die Benutzereinstellung geändert, um eine Verbindung zu
diesem SSID herzustellen, ohne das 802.1x aktiviert ist. Gemäß einer
Ausführungsform dieser
Erfindung werden infolge der Arbeitsweise der APs nicht alle geeigneten
Zertifikate automatisch durchlaufen. Nachdem das Zertifikat fehlgeschlagen ist,
beendet der AP die Zuordnung. Anstelle dessen führt das System eine Neuzuordnung
aus, und versucht es erneut.
-
12 zeigt
eine beispielhafte Fortschritts-UI gemäß Aspekten der Erfindung. Gemäß einer
Ausführungsform
ist der Fortschritt in zwei Fällen
gezeigt. Unmittelbar nachdem der Benutzer Verbinden auf der Blase
klickt, bis zu dem Punkt, an dem eine Einlogg-UI dargestellt wird
(z. B. Benutzername/Passwort, Zertifikatswähler). Dies ist hilfreich dabei,
sicherzustellen, dass dieser Zustand während potentieller Verzögerungen
angezeigt wird (z. B. Ausprobieren von 802.1x in einem ungeschützten Netzwerk).
-
Sofern
der AP nach einem anderen Typ der Authentifizierung fragt, als jenem,
der momentan versucht wird, wird die Fortschrittsblase gezeigt,
wenn das System auf eine Neuzuordnung wartet (dies kann bis zu 60
Sekunden dauern). Für
den Fall, bei dem beispielsweise zuerst die PEAP-Authentifizierung
und anschließend
TLS versucht wird, klickt der Benutzer Verbinden, worauf die Fortschritts-UI
gezeigt wird. Benutzername/Passwort/Domäne wird angefragt, der AP fragt
nach TLS, der Vorgang wird neugestartet, die Fortschritts-UI wird
erneut gezeigt und der Benutzer loggt sich im Netzwerk ein.
-
Das
Klicken der Einstellungsverknüpfung bricht
die momentane Verbindung ab und geht zu den Drahtlosnetzwerkeinstellungen über. Abbruch
bricht die Wi-Fi-Verbindung
ab. Verbergen verbirgt die Blase.
-
113 zeigt einen beispielhaften Netzwerkkonfigurations-Authentifizierungsdialog
gemäß Aspekten
der Erfindung. Die Authentifizierung, die Datenverschlüsselung,
die Tasteneinstellungen und die Zugriffssteuerungen können gemäß einer
Ausführungsform
der Erfindung konfiguriert werden.
-
Die
obige Beschreibung, Beispiele und Daten stellen eine vollständige Beschreibung
der Herstellung und der Verwendung des Aufbaus der Erfindung bereit.
Da zahlreiche Ausführungsformen
der Erfindung möglich
sind, ohne vom Geltungsbereich der Erfindung abzuweichen, liegt
die Erfindung in den Ansprüchen,
die im folgenden angefügt
sind.