WAPI协议详解

《WAPI协议详解》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、WAPI协议详解安全问题一直是困扰在WLAN灵活便捷的优势之上的阴影，已成为阻碍WLAN进入信息化应用领域的最大障碍。国际标准为此采用了WEP、WPA、802.1x、802.11i、VPN等方式来保证WLAN的安全，但都没有从根本上解决WLAN的安全问题。我国在2003年5月份提出了无线局域网国家标准GB15629.11，引入一种全新的安全机制—WAPI，使WLAN的安全问题再次成为人们关注的焦点。　　WAPI机制已由ISO/IEC授权的IEEERegistrationAuthority审查获得认可，并分配了用于该机制的以太类型号(IEEEEtherTypeField)0x88b

2、4，这是我国在这一领域向ISO/IEC提出并获得批准的唯一的以太类型号。　　WAPI安全机制　　无线局域网鉴别与保密基础结构WAPI(WLANAuthenticationandPrivacyInfrastructure)由无线局域网鉴别基础结构WAI(WLANAuthenticationInfrastructure)和无线局域网保密基础结构WPI(WLANPrivacyInfrastructure)组成。其中，WAI采用基于椭圆曲线的公钥证书体制，无线客户端STA和接入点AP通过鉴别服务器AS进行双向身份鉴别。而在对传输数据的保密方面，WPI采用了国家商用密码管理委员会办公室提供

3、的对称密码算法进行加密和解密，充分保障了数据传输的安全。　　WAPI充分考虑了市场应用，根据无线局域网应用的不同情况，可以以单点式、集中式等不同的模式工作，同时也可以和现有的运营商系统结合起来，支持大规模的运营级服务。此外，用户的使用场景不同，WAPI的实现和工作方式也略有诧异。WAPI的用户使用场景主要有以下几种：　　1.企业级用户应用场景：有AP和独立的AS(鉴别服务器)，内部驻留ASU(鉴别服务单元)，实现多个AP和STA证书的管理和用户身份的鉴别；　　2.小公司和家庭用户应用场景：有AP，ASU可驻留在AP中；　　3.公共热点用户应用场景：有AP，ASU驻留在接入控制服务

4、器中；　　4.自组网用户应用场景：无AP，各STA在应用上是对等的，采用共享密钥来实现鉴别和保密。图1 状态转换图　　WAI与WAI相关的STA的状态转换图　　图1给出了与WAI相关的STA的状态转换图，与ISO/IEC8802.11-1999的5.5相比，该状态图将原有的“鉴别”改为了“链路验证”，此外新增了专用于处理WAI过程的“鉴别状态”。这样，STA总共需要维护三个状态变量：链路验证状态，关联状态和鉴别状态，由此决定了STA将会有四种本地状态，如图状态1~4所示。其中STA和AP之间的WAI鉴别过程处于状态3。鉴别系统结构　　图2描述了鉴别请求者、鉴别器和鉴别服务实体之间

5、的关系及信息交换过程。这里首先介绍几个重要概念，有助于对鉴别系统结构的理解。　　鉴别器实体AE：驻留在AP中，在接入服务前，提供鉴别操作。　　鉴别请求者实体ASUE：驻留在STA中，需通过鉴别服务单元ASU进行鉴别。　　鉴别服务实体ASE：驻留在ASU中，为鉴别器和鉴别请求者提供相互鉴别。　　在图2中，鉴别器的受控端口处于未鉴别状态，鉴别器系统拒绝提供服务，鉴别器实体利用非受控端口和鉴别请求者通信。　　受控与非受控端口可以是连接到同一物理端口的两个逻辑端口，所有通过物理端口的数据都可以到达受控端口和非受控端口，并根据鉴别状态决定数据的实际流向。　　受控端口：只有当该端口的鉴别状态

6、为已鉴别时，才允许协议数据通过。只有通过鉴别的STA才能使用的AP提供的数据端口为受控端口。　　非受控端口：协议数据的传送不受当前鉴别状态的限制。AP提供STA连接到鉴别服务单元ASU的端口即为非受控端口。　　需要说明的是，除鉴别数据外，系统中AP与STA之间的网络协议数据的交换都是通过一个或多个受控端口来实现的。受控端口状态由系统鉴别控制参数确定。　　另一个重要概念是鉴别服务单元ASU，前面已经提到，在整个WAI鉴别过程中，ASU作为第三方起着提供鉴别服务的作用。此外，ASU还担当着为STA和AP提供证书的颁发、认证、吊销等功能。一个ASU可以管理一个或多个BSS，在同一个AS

7、U的管理范围内，STA与AP之间需通过ASU实现证书的双向认证。图2 鉴别系统结构　　WAI鉴别基础结构　　在BSS中，当STA关联或重新关联至AP时，必须进行相互身份鉴别。若鉴别成功，则AP允许STA接入，否则解除其链路验证。整个鉴别过程包括证书鉴别、单播密钥协商与组播密钥通告。　　STA与AP之间的鉴别数据分组利用以太类型字段为0x88B4的WAPI协议传送，AP与ASU之间的鉴别数据报文通过端口号为3810的UDP套接口传输。　　在WAI的整个过程中，涉及到数种加/解密和消