[发明专利]一种WAPI网络中传递接入网络信息的系统及方法

说明书

本发明公开了一种WAPI网络中传递接入网络信息的系统及方法，包括无线接入点AP，除具备一般WAPI网络终端接入控制与通信功能外，还具有收集和传递接入网络信息的功能；证书鉴别服务器ASU，除具备一般WAPI网络证书鉴别功能外，还具有判断接入认证报文是否包括接入网络信息并根据这些信息进行安全策略检查的能力。本发明通过扩展WAPI认证请求信息，可以方便地实现由AP向证书鉴别服务单元传递接入网络的多项信息，从而证书鉴别服务器可以根据这些信息进行更多的安全策略检查，从而获得更充分的安全管控。同时，本发明所述方法不破坏现有WAPI认证的协议定义与过程，具有良好的协议兼容性。

技术领域

本发明涉及一种网络系统，具体涉及一种WAPI网络中传递接入网络信息的系统及方法。

背景技术

WAPI(Wireless LAN Authentication and Privacy Infrastructure，无线局域网鉴别和保密基础结构)是针对IEEE802.11中有线等效保密协议安全问题，在中国无线局域网国家标准GB15629.11中规定的的WLAN安全解决方案。随着无线网络在包括家庭、办公、工业现场等领域的应用越来越多，对于高网络安全性安全的应用场合，WAPI技术也得到越来越多的应用。

WAPI采用三元认证技术，即在终端接入过程中，终端(ASUE)将终端的证书等信息发送给鉴别实体(AE)AP，AP将自己的证书和终端的证书一起发送给鉴别服务单元(ASU)进行证书认证，AP根据ASU证书鉴别的结果确定是否允许终端接入，终端根据ASU证书鉴别的结果确定是否接入AP进行通信。

在前述WAPI三元认证过程中，当前终端和AP只能向证书鉴别实体(ASU)传递证书信息。实际应用中，除了对终端(ASUE)的证书进行鉴别外，还可能需要对终端所接入的网络环境进行检查以实施相应的安全策略。这些网络环境信息，典型的比如接入网络的无线SSID，又如接入场所(地点、位置等)、网络状态(网络载荷、干扰状态、安全措施、网络安全态势等)等信息，具体信息与实际应用相关，包括但不限于前述信息。但现有WAPI认证体系统中，不支持包括此类信息，ASU无法实施接入网络环境相关的安全检查。

发明内容

针对上述缺陷，本发明的目的在于提供WAPI网络中一种传递接入网络信息的方法，为WAPI网络认证过程中传递更多网络信息提供了一种更加可行的方法。

本发明是通过以下技术方案来实现的：一种WAPI网络中传递接入网络信息的系统，包括无线接入点AP，除具备一般WAPI网络终端接入控制与通信功能外，还具有收集和传递接入网络信息的功能；

证书鉴别服务器ASU，除具备一般WAPI网络证书鉴别功能外，还具有判断接入认证报文是否包括接入网络信息并根据这些信息进行安全策略检查的能力。

一种WAPI网络中传递接入网络信息的方法，具有如下步骤：

终端关联AP后，AP收集所处接入网络相关的信息，在WAPI证书认证过程中，当AP向ASU发送证书鉴别请求报文时，在现有协议报文的尾部填入前述相关信息。

作为优选的技术方案，其中，相关信息，采用TLV格式编码，其中的信息类型(T)根据具体业务系统确定。

作为优选的技术方案，为了表明证书鉴别请求分组中包括有接入网络信息，在AP发给ASU的协议报文头部预留双字节中选择一个BIT置1。

作为优选的技术方案，鉴别服务单元ASU收到AP所发送的证书鉴别请求消息后，通过检查消息头部的前述WAI协议分组中的保留双字节相关BIT位是否是1；

若是1则表明消息中包括中STA接入网络环境信息，ASU可以基于这些信息进行安全策略检查。