WAPI证书密钥安全存储流程全解.docxVIP

经典文档 下载后可复制编辑 PAGE10 / NUMPAGES10 WAPI证书密钥的安全存储及应用 西电捷通互操作性技术研究 摘要：无线网络安全的核心是保障数据传输和身份鉴别的安全，而密钥的安全存储则是保障数据传输加密性的重要基础条件。为了提高WAPI设备的私钥存储/管理的安全性，西电捷通的产品添加了密码安全协议模块，使得私钥无法被轻易获取，进而使证书的安全性有了可靠保证。 关键词：WAPI；密钥存储；无线网络；三元对等 安全证书、数据传输加密是保障无线网络安全的重要技术手段，但是这两种技术手段都面临着安全存储的考验。 在网络通信中，安全套接层(Secure Sockets Layer，SSL)工作流程通过4次调用证书鉴别来建立客户端和服务器之间的信任链。但是现存的协议通常只关注传输过程中的安全，而对于证书和私钥的存储方式，却没有足够的重视。事实上它们大多还在使用X.509文件格式进行简单加密，甚至以明文存储在硬盘中。一旦服务器被攻击、伪造、恶意损毁，会使得整个安全系统如空中楼阁。 数据传输加密环节同样如此。私钥的丢失、损毁轻者导致信息数据的损毁或无用，重者会使重要数据被毫无保留地泄露，合理的密钥存储手段对于无线网络安全而言必不可少。 无线局域网安全（WAPI）技术工程实现通过增加密码安全协议模块，在硬件基础上形成了密钥和安全证书存储解决方案，应用在鉴别服务器（Authentication Server，AS）以及无线接入点（Access Point，AP）中，极大提高了证书、数据传输加密本身的安全性，最终使得无线网络得到更为全面的安全保护。 1.WAPI鉴别机制分析 WAPI安全协议基于三元对等网络安全技术架构。WAPI无线客户端、WAPI接入点和WAPI鉴别服务器，可通过安装相应的WAPI证书，使自身具备独立的认证身份，并根据WAPI安全协议，在无线网络接入时，执行WAPI身份鉴别过程，便可解决通信设备之间的互信问题。WAPI包括WAI（WLAN Authentication Infrastructure，无线局域网鉴别基础结构）身份鉴别、密钥协商，以及 WPI（WLAN Privacy Infrastructure，无线局域网保密基础结构）数据加/解密过程。当无线客户端接入至无线接入点时，在访问网络之前必须通过鉴别服务器对双方进行身份验证，根据验证的结果，持有合法证书的移动终端才能接入持有合法证书的无线接入点。WAPI网络结构示意图如图1所示： 图1 WAPI网络结构示意图 2.WAPI证书鉴别流程 参与WAPI系统证书鉴别过程的有如下三个实体：鉴别请求者实体ASUE（Authentication Supplicant Entity）、鉴别器实体（Authenticator Entity，AE）、鉴别服务实体（Authentication Service Entity，ASE）。ASUE是在接入服务之前，请求进行鉴别操作的实体。该实体驻留在STA中。AE为鉴别请求者实体，在接入服务之前提供鉴别操作的实体，该实体驻留在AP设备，或者接入控制器（Access Controller，AC）设备中。ASE为鉴别器实体和鉴别请求者实体，提供相互鉴别服务的实体，该实体驻留在鉴别服务单元（Authentication Service Unit，ASU）中；ASU的基本功能是实现对用户证书的管理和用户身份的鉴别等，是基于公钥密码技术的WAI鉴别基础结构中重要的组成部分。WAI证书鉴别过程如图2所示： 图2 WAI证书鉴别过程 1.鉴别激活分组：当STA关联至AP/STA，ASUE和AE选择采用证书鉴别及密钥管理方法，AE向ASUE发送鉴别激活分组激活 ASUE 进行双向证书鉴别。 2.接入鉴别请求分组：在这个环节中，ASUE需要封装本地证书发送给AE。 3.证书鉴别请求分组：当AE接收到ASUE发送过来的接入鉴别请求分组后，AE会将本地证书添加到数据包中，形成证书鉴别请求分组，并发送给ASE。 4.证书鉴别响应分组：ASE会调用密钥，对证书鉴别请求分组中的数据进行验证，从而判断ASUE和AE的身份是否合法。同时，对验证结果进行签名，并封装证书鉴别响应分组，回传至AE。 5.接入鉴别响应分组：AE会调用密钥，对证书鉴别响应分组中的数据进行验证，同时判断ASUE和ASE的身份是否合法。并对接入鉴别响应中的除签名字段外所有数据进行签名，并封装接入鉴别响应分组，回传至ASUE。 6.最终，ASUE接收到AE返回的接入鉴别响应分组后，对数据进行解析和验证，并根据验证的结果，判断本次接入操作合法性。 接入鉴别请求分组、证书鉴别请求分组、接入鉴别响应分组、证书鉴别响应分组，这