CN106559785A - 认证方法、设备和系统以及接入设备和终端 - Google Patents

Abstract

本发明公开了一种认证方法、设备和系统以及接入设备和终端。其中的认证方法包括：认证设备接收接入设备响应于终端的接入请求发出的认证请求，所述认证请求包括加密用户标识信息和接入设备标识；认证设备对加密用户标识信息进行解密得到用户标识，并将解密得到的用户标识和所述认证请求中的接入设备标识与记录的用户标识与接入设备标识之间的映射信息进行匹配认证；认证设备根据匹配认证的结果向接入设备返回认证响应，以便接入设备根据认证响应对终端进行访问控制。从而提升了无线网络接入的安全性。

Description

认证方法、设备和系统以及接入设备和终端

技术领域

本发明涉及移动互联网技术领域，尤其涉及对便携式设备在无线通信网内进行访问控制的技术。

背景技术

WiFi(Wireless Fidelity，无线保真)接入因其良好的接入便利性和服务灵活性获得了越来越广泛地应用，尤其在公共服务场所如快餐店、咖啡馆、酒店、商场、步行街、高校、景区等区域应用越来越多，在这些区域，用户移动终端可以方便地通过WiFi接入而获得网络访问能力，而WiFi服务提供者也可以通过提供WiFi接入服务达到推广企业形象和产品、提升品牌知名度、提高服务水平和增强客户粘性等目的。

这种WiFi服务使用的便利性也恰恰为不法攻击者创造了便利条件，其通过架设非法无线接入点让不知情的用户接入网络以盗取用户上网账号密码等隐私用户信息，给用户的信息安全带来了极大隐患。因此，有必要提高WiFi接入的安全性。

发明内容

本发明实施例所要解决的一个技术问题是：如何提升WiFi接入的安全性。

根据本发明实施例的一个方面，提供了一种认证方法，包括：认证设备接收接入设备响应于终端的接入请求发出的认证请求，认证请求包括加密用户标识信息和接入设备标识；认证设备对加密用户标识信息进行解密得到用户标识，并将解密得到的用户标识和认证请求中的接入设备标识与记录的用户标识与接入设备标识之间的映射信息进行匹配认证；认证设备根据匹配认证的结果向接入设备返回认证响应，以便接入设备根据认证响应对终端进行访问控制。

在一个实施例中，认证设备采用以下方法建立用户标识与接入设备标识之间的映射信息：认证设备接收终端发送的登录请求，登录请求包括加密用户标识信息和接入设备标识；认证设备对加密用户标识信息进行解密得到用户标识，并将解密得到的用户标识与用户注册信息进行验证，将登录请求中的接入设备标识与接入设备注册信息进行验证；认证设备根据用户标识和接入设备标识的验证结果向终端返回登录响应，并在用户标识和接入设备标识验证成功的情况下，记录用户标识和接入设备标识之间的映射信息。

在一个实施例中，接入设备标识为接入设备的BSSID(BasicService SetIdentification，基本服务集标识)，其中，一个接入设备可具有多个BSSID。

在一个实施例中，用户标识为用户ID(Identification，身份)，其中，一个用户ID可与多个终端MAC地址绑定。

根据本发明实施例的另一个方面，提供了一种认证方法，包括：接入设备响应于终端的接入请求向认证设备发出认证请求，认证请求包括加密用户标识信息和接入设备标识，以便认证设备将解密得到的用户标识和认证请求中的接入设备标识与记录的用户标识与接入设备标识之间的映射信息进行匹配认证，并根据匹配认证的结果返回相应的认证响应；接入设备接收认证设备返回的认证响应，并根据认证响应对终端进行访问控制。

根据本发明实施例的另一个方面，提供了一种认证方法，包括：终端向认证设备发送登录请求，登录请求包括加密用户标识信息和接入设备标识，以便认证设备将解密得到的用户标识与用户注册信息进行验证，并将登录请求中的接入设备标识与接入设备注册信息进行验证，并根据用户标识和接入设备标识的验证结果返回相应的登录响应；终端接收认证设备返回的登录响应，如果登录响应表示允许登录，终端向接入设备发送接入请求进行接入。

根据本发明实施例的又一个方面，提供了一种认证设备，包括：信息接收单元，用于接收接入设备响应于终端的接入请求发出的认证请求，认证请求包括加密用户标识信息和接入设备标识；信息解密单元，用于认证设备对加密用户标识信息进行解密得到用户标识；匹配认证单元，用于将解密得到的用户标识和认证请求中的接入设备标识与记录的用户标识与接入设备标识之间的映射信息进行匹配认证；信息发送单元，用于根据匹配认证的结果向接入设备返回认证响应，以便接入设备根据认证响应对终端进行访问控制。

在一个实施例中，认证设备还包括验证单元、信息存储单元，信息接收单元还用于接收终端发送的登录请求，登录请求包括加密用户标识信息和接入设备标识；信息解密单元还用于对加密用户标识信息进行解密得到用户标识；验证单元用于将解密得到的用户标识与用户注册信息进行验证，将登录请求中的接入设备标识与接入设备注册信息进行验证；信息发送单元还用于根据用户标识和接入设备标识的验证结果向终端返回登录响应；信息存储单元用于在用户标识和接入设备标识验证成功的情况下，记录用户标识和接入设备标识之间的映射信息。

根据本发明实施例的又一个方面，提供了一种接入设备，包括：信息发送单元，用于响应于终端的接入请求向认证设备发出认证请求，认证请求包括加密用户标识信息和接入设备标识，以便认证设备将解密得到的用户标识和认证请求中的接入设备标识与记录的用户标识与接入设备标识之间的映射信息进行匹配认证，并根据匹配认证的结果返回相应的认证响应；信息接收单元，用于接收认证设备返回的认证响应，并根据认证响应对终端进行访问控制。

根据本发明实施例的再一个方面，提供了一种终端，包括：信息发送单元，用于向认证设备发送登录请求，登录请求包括加密用户标识信息和接入设备标识，以便认证设备将解密得到的用户标识与用户注册信息进行验证，并将登录请求中的接入设备标识与接入设备注册信息进行验证，并根据用户标识和接入设备标识的验证结果返回相应的登录响应；信息接收单元，用于接收认证设备返回的登录响应；接入单元，用于在登录响应表示允许登录时，向接入设备发送接入请求进行接入。

根据本发明实施例的再一个方面，提供了一种认证系统，包括上述的认证设备、上述的接入设备。进一步的，还包括上述的终端。

本发明至少具有以下优点：

通过将用户标识和接入设备标识与预先建立的二者间的映射关系进行匹配认证，可以提高无线网络接入的安全性。

通过以下参照附图对本发明的示例性实施例的详细描述，本发明的其它特征及其优点将会变得清楚。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1示出本发明认证方法的一个实施例的流程示意图。

图2示出本发明认证方法的另一个实施例的流程示意图。

图3示出本发明认证设备的一个实施例的结构示意图。

图4示出本发明认证设备的另一个实施例的结构示意图

图5示出本发明接入设备的一个实施例的结构示意图。

图6示出本发明终端的一个实施例的结构示意图。

图7示出本发明认证系统的一个实施例的结构示意图。

图8示出本发明认证系统的一个实施例的结构示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。以下对至少一个示例性实施例的描述实际上仅仅是说明性的，决不作为对本发明及其应用或使用的任何限制。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

下面参考图1描述本发明一个实施例的认证方法。

图1为本发明认证方法的一个实施例的流程示意图。如图1所示，该实施例的方法包括：

步骤S102，用户终端检测到某无线网络，欲接入该无线网络时，向接入设备发送接入请求。该无线网络例如包括WiFi网络。

步骤S104，接入设备响应于终端的接入请求，向认证设备发出认证请求，认证请求中包括加密用户标识信息和接入设备标识。

其中，加密用户标识信息可以是令牌、数字签名等可以标识用户身份并且采取加密措施的信息。在本发明中，选取用户ID的数字签名作为加密用户标识信息，则解密得到的用户标识可以是用户ID。一个用户ID可与多个终端MAC地址绑定，从而使得多个终端可以使用同一个用户ID接入网络。

其中，接入设备标识例如是IP地址、MAC地址等能够标识接入设备的信息。在本发明中，选取接入设备的基本服务集标识(BSSID)作为接入设备标识，一个接入设备可以具有多个BSSID，在不同的WiFi网络可以具有不同的BSSID，从而实现同一接入设备所属不同接入网络的单独认证。

步骤S106，认证设备接收到接入设备发出的认证请求后，对加密用户标识信息进行解密，得到用户标识。

步骤S108，认证设备将解密得到的用户标识和认证请求中的接入设备标识，与记录的用户标识与接入设备标识之间的映射信息进行匹配认证。即，认证设备需要查看其已经记录的用户标识与接入设备标识之间的可信映射信息中，是否存在解密得到的用户标识和认证请求中的接入设备标识之间的映射信息，若存在，则匹配认证通过，否则，若不存在，则匹配认证不通过。

步骤S110，认证设备根据匹配认证的结果向接入设备返回相应的认证响应。若匹配认证通过，则可以返回认证成功响应，若匹配认证不通过，则可以返回认证失败响应。

步骤S112，接入设备根据接收到的认证响应，对终端进行访问控制。如果认证响应是认证成功，则接入设备放行，允许终端接入；如果认证响应是认证失败，则接入设备禁止终端接入。

本次认证成功后，终端再次上网时无需再次认证，简化了上网时的认证流程。

上述方案，通过将用户标识和接入设备标识与预先建立的二者间的映射关系进行匹配认证，可以有效防止诸如钓鱼AP(Access Point,访问节点)等带来的不安全因素，从而提高无线网络接入的安全性。

在本发明中，用户标识与接入设备标识之间的映射信息可以通过认证的方式建立，下面结合图2描述该情形。

下面参考图2描述本发明另一个实施例的认证方法。

图2为本发明认证方法的另一个实施例的流程示意图。如图2所示，在实施上述步骤S102～S112之前，可以对用户标识和接入设备标识进行登录认证。具体包括以下步骤：

步骤S200，终端访问认证设备进行用户注册，认证设备分配或记录用户标识，并返回加密用户标识信息，终端接收并记录认证设备返回的加密用户标识信息。服务商访问认证设备进行接入设备注册，提交接入设备标识(如BSSID)、服务集标识(SSID)、密码、服务商ID等。

步骤S202，终端向认证设备发送登录请求，该登录请求携带加密用户标识信息和接入设备标识。

步骤S204，认证设备接收到终端发出的登录请求后，对加密用户标识信息进行解密，得到用户标识。

步骤S206，认证设备检查解密得到的用户标识和登录请求中的接入设备标识是否都经过注册。即，解密得到的用户标识是否在终端初次访问认证设备时进行过注册，并且登录请求中的接入设备标识是否经过服务商的注册。如果用户标识和接入设备标识都已经注册过，则验证通过，否则，若用户标识或接入设备标识没有注册过，则验证不通过。

步骤S208，认证设备根据登录请求的验证结果向接入设备返回相应的登录响应。若验证通过，则返回允许登录响应，若验证不通过，则返回禁止登录响应。

步骤S210，终端接收认证设备返回的登录响应，如果登录响应表示允许登录，则认证设备建立并记录用户标识和接入设备标识之间的映射信息，并触发终端向接入设备发送接入请求。

对用户标识和接入设备标识进行登录认证，可以与上述实施例中用户标识与接入设备标识之间的映射信息匹配认证相结合组成双重验证机制，通过双重认证的方式使得接入安全性进一步得到了提升。

此外，现有的认证技术采用的接入设备标识是接入设备的MAC(Media Access Control，媒体访问控制)地址。同一个接入设备只能对应唯一的MAC地址，却可以对应多个不同的SSID(ServiceSetIdentification，服务集标识)。现有的认证技术中，接入设备的不同SSID都与该设备唯一的MAC地址相关联，会导致对不同SSID接入认证时提供的信息相同，因而信息配制以及认证流程也相同。例如，对于某一接入设备对应的三个WiFi网络的SSID分别为SSID1、SSID2和SSID3，若在采用接入设备的MAC地址作为接入设备标识进行接入认证，会造成三个WiFi网络的接入认证信息均相同，例如接入三个WiFi网络需要相同的密码，不利于不同SSID的认证管理。

在本发明中，无论是对用户标识和接入设备标识进行的登录认证过程，还是用户标识与接入设备标识之间的映射信息进行的匹配认证过程，均可以采用接入设备的BSSID作为设备标识进行认证。由于同一个接入设备具有多个BSSID，每个BSSID都对应一个SSID，接入设备的不同SSID与该设备不同的BSSID相关联，因此对不同SSID接入认证时提供的信息不同，因而信息配制以及认证流程也不同。例如，对于某一接入设备对应的三个SSID分别为SSID1、SSID2和SSID3，采用接入设备的BSSID作为接入设备标识进行接入认证，可以实现终端接入SSID1需要密码1、接入SSID2需要密码2、接入SSID3不需要密码等功能，方便于设备对于不同SSID的管理。

此外，现有的认证技术采用的用户标识是终端的MAC地址。由于认证流程都与该终端唯一的MAC地址相关联，当用户变更终端时，终端的MAC地址随之变更，需要重新进行接入认证。

在本发明中，无论是对用户标识和接入设备标识进行的登录认证过程，还是用户标识与接入设备标识之间的映射信息进行的匹配认证过程，均可以采用用户ID作为用户标识进行接入认证。由于认证流程都与用户ID相关联，当用户变更终端时用户ID并没有变更，不需要重新进行接入认证，为用户提供了方便，提升了用户体验。同时，同一用户ID可以和多个终端的MAC地址相关联，例如在家庭生活场景中，多个家庭成员可以使用相同的用户ID关联的不同终端接入WiFi进行上网。

此外，在现有的接入认证过程中，终端每次发起会话都要进行接入认证，即便是认证成功接入设备对终端放行，终端每次进行数据收发时仍然需要携带令牌经过检验，因此认证过程相对繁琐。

而在本发明中，接入认证过程针对用户标识和接入设备标识之间的映射信息进行，认证成功终接入设备放行之后，在一段时间内不再对终端的每次数据收发进行认证检验，从而简化了接入设备对终端的认证流程。

下面参考图3描述本发明一个实施例的认证设备。

图3示出本发明认证设备的一个实施例的结构示意图。如图3所示，本发明提供的认证设备30包括信息接收单元302、信息解密单元304、匹配认证单元306、以及信息发送单元308。其中，信息接收单元302用于接收接入设备响应于终端的接入请求发出的认证请求，信息解密单元304用于认证设备对加密用户标识信息进行解密得到用户标识，匹配认证单元306用于将解密得到的用户标识和认证请求中的接入设备标识与记录的用户标识与接入设备标识之间的映射信息进行匹配认证，信息发送单元308用于根据匹配认证的结果向接入设备返回认证响应，以便接入设备根据认证响应对终端进行访问控制。

下面参考图4描述本发明另一个实施例的认证设备。

图4示出本发明认证设备的另一个实施例的结构示意图。如图3所示，基于上述实施例，本发明提供的另一种认证设备30还包括验证单元410、信息存储单元412。其中，信息接收单元302还用于接收终端发送的登录请求；信息解密单元304还用于对加密用户标识信息进行解密得到用户标识，验证单元410用于将解密得到的用户标识与用户注册信息进行验证，并将登录请求中的接入设备标识与接入设备注册信息进行验证；信息发送单元308还用于根据用户标识和接入设备标识的验证结果向终端返回登录响应；信息存储单元412用于在用户标识和接入设备标识验证成功的情况下，记录用户标识和接入设备标识之间的映射信息。

下面参考图5描述本发明一个实施例的接入设备。

图5示出本发明接入设备的一个实施例的结构示意图。如图5所示，本发明提供的接入设备50包括信息发送单元502以及信息接收单元504，其中，信息发送单元502用于响应于终端的接入请求向认证设备发出认证请求，认证请求包括加密用户标识信息和接入设备标识，以便认证设备将解密得到的用户标识和认证请求中的接入设备标识与记录的用户标识与接入设备标识之间的映射信息进行匹配认证，并根据匹配认证的结果返回相应的认证响应；信息接收单元504用于接收认证设备返回的认证响应，并根据认证响应对终端进行访问控制。

下面参考图6描述本发明一个实施例的终端。

图6示出本发明终端的一个实施例的结构示意图。如图5所示，本发明提供的终端60包括信息发送单元602以及信息接收单元604。其中，信息发送单元602用于向认证设备发送登录请求，登录请求包括加密用户标识信息和接入设备标识，以便认证设备将解密得到的用户标识与用户注册信息进行验证，并将登录请求中的接入设备标识与接入设备注册信息进行验证，并根据用户标识和接入设备标识的验证结果返回相应的登录响应；信息接收单元604用于接收认证设备返回的登录响应；接入单元606用于在登录响应表示允许登录时，向接入设备发送接入请求进行接入。

下面参考图7描述本发明一个实施例的认证系统。

图7示出本发明认证系统的一个实施例的结构示意图。如图7所示，本发明提供的认证系统70包括上述的认证设备30、接入设备50。

下面参考图8描述本发明另一个实施例的认证系统。

图8示出本发明认证系统的一个另实施例的结构示意图。如图8所示，本发明提供的认证系统80包括上述的认证设备30、接入设备50以及终端60。

此外，根据本发明的方法还可以实现为一种计算机程序产品，该计算机程序产品包括计算机可读介质，在该计算机可读介质上存储有用于执行本发明的方法中限定的上述功能的计算机程序。本领域技术人员还将明白的是，结合这里的公开所描述的各种示例性逻辑块、模块、电路和算法步骤可以被实现为电子硬件、计算机软件或两者的组合。

以上所述仅为本发明的较佳实施例，并不用以限制本发明，凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (18)

1.一种认证方法，包括：

认证设备接收接入设备响应于终端的接入请求发出的认证请求，所述认证请求包括加密用户标识信息和接入设备标识；

认证设备对加密用户标识信息进行解密得到用户标识，并将解密得到的用户标识和所述认证请求中的接入设备标识与记录的用户标识与接入设备标识之间的映射信息进行匹配认证；

认证设备根据匹配认证的结果向接入设备返回认证响应，以便接入设备根据认证响应对终端进行访问控制。

2.根据权利要求1所述的认证方法，其特征在于，认证设备采用以下方法建立用户标识与接入设备标识之间的映射信息：

认证设备接收终端发送的登录请求，所述登录请求包括加密用户标识信息和接入设备标识；

认证设备对加密用户标识信息进行解密得到用户标识，并将解密得到的用户标识与用户注册信息进行验证，将所述登录请求中的接入设备标识与接入设备注册信息进行验证；

认证设备根据用户标识和接入设备标识的验证结果向终端返回登录响应，并在用户标识和接入设备标识验证成功的情况下，记录用户标识和接入设备标识之间的映射信息。

3.根据权利要求1或2所述的认证方法，其特征在于，所述接入设备标识为接入设备的基本服务集标识BSSID，其中，一个接入设备可具有多个BSSID。

4.根据权利要求1或2所述的认证方法，其特征在于，所述用户标识为用户ID，其中，一个用户ID可与多个终端MAC地址绑定。

5.一种认证方法，包括：

接入设备响应于终端的接入请求向认证设备发出认证请求，所述认证请求包括加密用户标识信息和接入设备标识，以便认证设备将解密得到的用户标识和所述认证请求中的接入设备标识与记录的用户标识与接入设备标识之间的映射信息进行匹配认证，并根据匹配认证的结果返回相应的认证响应；

接入设备接收认证设备返回的认证响应，并根据认证响应对终端进行访问控制。

6.根据权利要求5所述的认证方法，其特征在于，

所述接入设备标识为接入设备的BSSID，其中，一个接入设备可具有多个BSSID；

用户标识为用户ID，其中，一个用户ID可与多个终端MAC地址绑定。

7.一种认证方法，包括：

终端向认证设备发送登录请求，所述登录请求包括加密用户标识信息和接入设备标识，以便认证设备将解密得到的用户标识与用户注册信息进行验证，并将所述登录请求中的接入设备标识与接入设备注册信息进行验证，并根据用户标识和接入设备标识的验证结果返回相应的登录响应；

终端接收认证设备返回的登录响应，如果登录响应表示允许登录，终端向接入设备发送接入请求进行接入。

8.根据权利要求5所述的认证方法，其特征在于，

所述接入设备标识为接入设备的BSSID，其中，一个接入设备可具有多个BSSID；

用户标识为用户ID，其中，一个用户ID可与多个终端MAC地址绑定。

9.一种认证设备，包括：

信息接收单元，用于接收接入设备响应于终端的接入请求发出的认证请求，所述认证请求包括加密用户标识信息和接入设备标识；

信息解密单元，用于认证设备对加密用户标识信息进行解密得到用户标识；

匹配认证单元，用于将解密得到的用户标识和所述认证请求中的接入设备标识与记录的用户标识与接入设备标识之间的映射信息进行匹配认证；

信息发送单元，用于根据匹配认证的结果向接入设备返回认证响应，以便接入设备根据认证响应对终端进行访问控制。

10.根据权利要求9所述的认证设备，其特征在于，所述认证设备还包括验证单元、信息存储单元；

所述信息接收单元还用于接收终端发送的登录请求，所述登录请求包括加密用户标识信息和接入设备标识；

所述信息解密单元还用于对加密用户标识信息进行解密得到用户标识；

所述验证单元，用于将解密得到的用户标识与用户注册信息进行验证，并将所述登录请求中的接入设备标识与接入设备注册信息进行验证；

所述信息发送单元还用于根据用户标识和接入设备标识的验证结果向终端返回登录响应；

所述信息存储单元，用于在用户标识和接入设备标识验证成功的情况下，记录用户标识和接入设备标识之间的映射信息。

11.根据权利要求9或10所述的认证设备，其特征在于，所述接入设备标识为接入设备的BSSID，其中，一个接入设备可具有多个BSSID。

12.根据权利要求9或10所述的认证设备，其特征在于，所述用户标识为用户ID，其中，一个用户ID可与多个终端MAC地址绑定。

13.一种接入设备，包括：

信息发送单元，用于响应于终端的接入请求向认证设备发出认证请求，所述认证请求包括加密用户标识信息和接入设备标识，以便认证设备将解密得到的用户标识和所述认证请求中的接入设备标识与记录的用户标识与接入设备标识之间的映射信息进行匹配认证，并根据匹配认证的结果返回相应的认证响应；

信息接收单元，用于接收认证设备返回的认证响应，并根据认证响应对终端进行访问控制。

14.根据权利要求13所述的接入设备，其特征在于，

所述接入设备标识为接入设备的BSSID，其中，一个接入设备可具有多个BSSID；

用户标识为用户ID，其中，一个用户ID可与多个终端MAC地址绑定。

15.一种终端，包括：

信息发送单元，用于向认证设备发送登录请求，所述登录请求包括加密用户标识信息和接入设备标识，以便认证设备将解密得到的用户标识与用户注册信息进行验证，并将所述登录请求中的接入设备标识与接入设备注册信息进行验证，并根据用户标识和接入设备标识的验证结果返回相应的登录响应；

信息接收单元，用于接收认证设备返回的登录响应；

接入单元，用于在登录响应表示允许登录时，向接入设备发送接入请求进行接入。

16.根据权利要求15所述的终端，其特征在于，

所述接入设备标识为接入设备的BSSID，其中，一个接入设备可具有多个BSSID；

用户标识为用户ID，其中，一个用户ID可与多个终端MAC地址绑定。

17.一种认证系统，包括权利要求9-12任一项所述的认证设备和权利要求13或14所述的接入设备。

18.根据权利要求17所述的认证系统，还包括权利要求15或16所述的终端。