[发明专利]无线局域网的访问管理

说明书

本申请要求于2005年4月4日提交的题为“Easy，Flexible，and SecureNetwork Setup”60/667,661号美国临时申请以及于2005年4月22日提交的题为“Easy，Flexible，and Secure Network Setup”的60/673,806号美国临时申请的优先权，通过引用合并到此。

技术领域

本发明通常涉及计算机和计算机网络。更具体地说，本发明提供用于管理例如无线局域网(WLAN)的无线网络的系统和方法。

背景技术

设置家庭无线网络(例如无线局域网(WLAN))对于大多数计算机用户来说可能是非常难的过程，因此造成高效使用WLAN的重大障碍。用户碰到的难处之一是确定如何使WLAN最安全。典型地已经利用单个预共享密钥(PSK)来保护无线网络。然而，如果用户想要拒绝对于先前被授权在WLAN上使用的设备的将来访问，则单个预共享秘密密钥的使用要求用户重新配置整个网络。虽然最新的无线LAN标准802.11i(也称为“WPA2”)支持使用多个PSK，但某些接入点(AP)不支持使用多个PSK。多个PSK的可用性使得能够对安全性关联进行可选择地撤销，这样使撤销访客是可能的。802.11i从PSK向前进行了规定，但它没有规定如何创建PSK。此外，802.11i没有规定如何对PSK分组，或当不再需要PSK时如何移除它。

其它802.11X协议规定了在网络上如何使用在设备和认证服务器之间的单独协议来创建PMK(成对主密钥，除了PMK仅对于单个会话有效之外，PMK与PSK相似)。然而，与802.11i一样，802.11X也没有规定如何对PMK分组(在会话结束处隐式地进行移除)。

用于解决网络设置问题的现有提议试图采用就近性。例如，一种已知方法通过使用物理上安全的“带外”(OOB)信道而采用物理就近性。OOB可以基于NFC(近场通信)、红外线、便携式USB存储棒或基于物理就近性的任意其它通信技术。OOB被用于将网络标识符(例如SSID)和共享密钥从一个设备传递给另一设备。因为所传递的密钥被直接用作PSK，所以无需其它协议。为了将新设备添加到网络，所需的用户交互仅为以“令牌”接触所述新设备。令牌可以是简单的专用设备，或它可以是另一设备的一部分，例如已经在网络中的WLAN客户机的一部分。图1示出当“引入器”被用于准许新设备进入网络中时的这种方法。注意，引入器可以是AP自身。虽然该方法提供了直观的用户界面，并允许从一个设备到另一设备的委托访问，但访客访问仍然很麻烦。因为所有设备都使用相同PSK，所以移除访客访问的唯一方式是从网络移除所有设备，并且于是再次逐一添加所允许的设备。

另一已知方法采用使用带内配置的时间就近性。Broadcom的用于安全简易设置(Secure Easy Setup，SES)的提议落入该分类。在SES中，通过以下方式来执行网络设置：首先使AP进入配置模式，其后例如通过按下相应设备上的按钮来将该新设备放入其配置模式。一旦处于配置模式，设备就使用某些协议来定位彼此，以协商PSK。图2示出“带内”方案的示例。通过使用WLAN配对方法来进行采用带内方法的新设备和AP的配对。带内方案出现很多问题，包括与非预期设备意外配对的可能性以及中间人攻击的威胁(因为初始密钥协商协议没有被认证)。此外，如在OOB的情况下那样，访客访问很麻烦，并且访问权限的设备对设备委托是不可能的。

OOB和带内方法具有优点和缺点。OOB方法更直观和安全，但因为需要额外硬件，所以不合理的是，期望所有设备将具有合适的可用带外信道。带内方法不允许访问的委托，并且安全性较低，但比较便宜，并且更有可能开始出现在商用AP和客户机设备中。两种方法都不支持容易的访客访问管理。

因此，提供允许更容易和更高效的无线网络设置和管理以克服上述限制和缺点的方法和系统在本领域中具有先进之处。

发明内容

下面陈述简要的发明内容，以提供本发明的一些方面的基本理解。发明内容并非是本发明的详尽综述。并非为了标识本发明的关键或重要元素或描绘本发明的范围。以下内容仅仅以简化的形式来陈述本发明的构思作为对以下提供的更详细的描述的开篇。