[发明专利]认证方法、认证系统及认证服务器

说明书

技术领域

本发明涉及网络通信安全技术，尤其是认证方法、认证系统及认证服务器。 

背景技术

WAPI(WLAN Authentication and Privacy Infrastructure，无线局域网鉴别与保密基础架构)是一种应用于WLAN的安全协议，是由中国提出的具有创新性技术的标准，解决了目前无线局域网安全机制存在的漏洞和隐患。 

WAPI安全机制由两个部分组成：WAI(WLAN AuthenticationInfrastructure，无线局域网鉴别基础结构)和WPI(WLAN PrivacyInfrastructure，无线局域网保密基础架构)。WAI用于对用户身份的鉴别，保证了合法用户访问合法的网络；WPI用于对传输数据的加密，保证了通信的保密性。WAI利用公钥密码体制，利用数字证书来完成WLAN系统的MT(Mobile Terminal，移动终端)和AP(Access Point，接入点)之间的相互认证，WAI定义了一种名为ASU(Authentication Service Unit，认证服务单元)的实体，用于管理参与信息交换各方所需要的证书(包括证书的产生、颁发、吊销和更新)。证书内容包含证书颁发者(ASU)的公钥和签名以及证书持有者的公钥和签名(签名采用的是WAPI特有的椭圆曲线数字签名算法)，是网络设备终端MT的数字身份凭证。 

WAPI协议具体的实现包括以下几个过程： 

(1)认证激活：当MT登陆到AP时，AP向MT发送认证激活，以启动认证过程； 

(2)接入认证请求：MT向AP发出认证请求，将自己的证书和接入认证请求时间发往AP； 

(3)证书认证请求：AP收到MT接入认证请求后，向ASU发出认证请求，将MT证书、接入认证请求时间和AP的证书以及利用AP私钥对它们的签名构成证书认证请求报文信息发送给ASU； 

(4)证书认证响应：ASU收到AP的认证请求后，验证AP的签名以及AP和MT证书的合法性，验证完毕后ASU将MT证书认证结果信息(包括MT证书、认证结果、接入认证请求时间和ASU对它们的签名)、AP证书认证结果信息(包括AP证书、认证结果、接入认证请求时间和ASU对它们的签名)构成证书响应报文发回给AP； 

(5)接入认证响应：AP对ASU返回的证书响应进行验证，得到MT证书认证结果，AP将MT证书认证信息、AP证书认证结果信息以及AP对它们的签名构成接入认证响应报文发送至MT，MT验证ASU的签名后，得到AP证书的认证结果，MT根据认证结果决定是否接入该AP； 

(6)密钥协商：当MT和AP的证书都鉴别成功之后，双方将会进行密钥协商，然后用协商的密钥进行通信。 

在WAPI中采用了集中化的管理，由单一ASU统一完成证书有效性验证，同时还担任了权威中心的角色，完成对MT、AP等实体证书的发放、撤销和管理等，没有考虑到ASU的权威欺诈、私钥被泄露的安全性问题和ASU可能会成为系统的瓶颈问题。现有基于可信第三方的方法中，没有考虑到可信第三方发生欺骗的行为，而且没有提供一种很好的对可信第三方和ASU信息验证机制。现有技术存在以下安全隐患： 

(1)证书的签名私钥由单个ASU保管。ASU权利过大使签名私钥遭到滥用，签名私钥一旦泄露、丢失或者损害，就会带来很大的损失。 

(2)证书的签发由单个ASU完成。ASU向MT发放伪造的证书，产生了ASU权威欺诈行为，造成合法的MT无法接入网络。 

(3)证书的认证由单个ASU完成。如果ASU被攻击者控制或者变的不可信，ASU使非法的MT通过认证接入网络，而合法的MT无法接入网络。ASU进行恶意的认证响应行为，任何MT都无法接入网络，从而使网络陷入瘫痪。 

(4)存在可信第三方的技术。如果可信第三方或者ASU发生了欺骗的行为，无法用有效的方法检测出来，从而带来很大的损失。 

发明内容

本发明要解决的技术问题是提供一种认证方法、认证系统及认证服务器，以提高证书认证的安全性。 

为解决以上技术问题，本发明提供了一种认证方法，该方法包括： 

认证服务器选择步骤，接入点AP从N个备选的认证服务器中随机选择n1个认证服务器作为证书认证服务器并通知所选择的认证服务器，其中1＜t≤n1≤N，t为预先设定的门限值； 

子证书生成步骤，各证书认证服务器利用各自的子密钥对AP和移动终端MT的公钥信息签名生成AP子证书及MT子证书；