自动安全地向移动通信终端的用户供给在线服务的服务访问凭证的方法和系统

摘要

在包括至少一个适合于验证网络访问请求者(125)，以便有条件地准许网络访问请求者(125)对通信网络的访问的验证实体(140)的通信网络(100)中，一种自动向网络访问请求者提供用于访问可通过通信网络访问的在线服务提供者(135)提供的在线服务的服务访问凭证的方法，其中所述验证基于公钥密码术，所述方法包括：在验证网络访问请求者期间，使验证实体向在线服务提供者请求服务访问凭证的生成；在在线服务提供者处，生成服务访问凭证，采用网络访问请求者的公共加密密钥加密服务访问凭证，并把加密的服务访问凭证提供给验证实体；使验证实体向网络访问请求者提供加密的服务访问凭证。

说明书

技术领域

本发明一般涉及电信领域，具体地说涉及移动数据通信网络，更具体地说，涉及无线数据通信网络，比如遵守标准IEEE(电气和电子工程师协会)802.11的那些无线数据通信网络。更具体地说，本发明涉及自动安全地向移动通信终端的用户供给在线服务访问凭证的方法和相关系统。

背景技术

近年来，无线局域网(无线LAN或WLAN)得到广泛的普及；其原因可追溯到无线连接的安装和使用的简易性，硬件设备(在移动用户终端-比如便携式个人计算机、膝上型计算机、PDA和智能电话机等，以及网络接入点两方面)成本的降低，与有线数据通信网络可比的最大位速率方面的良好性能，以及不同于移动电话网络，对未经授权的无线电频带的使用等方面的优点。

许多WLAN部署遵守通常称为“Wi-Fi”(“Wireless Fidelity”的缩写)的IEEE 802.11标准。可在因特网上从URL：http://standards.ieee.org/getieee802/802.11.html(在本专利申请的申请日)下载的IEEE802.11标准规定能够在未经授权的工业、科学和医疗(ISM)无线电频带(2.4GHz和5GHz)工作的设备的媒体访问控制(MAC)层和物理(PHY)层。

无线通信技术主要用于访问公共分组交换数据网络(比如因特网)，或者专用分组交换数据网络(比如增值服务-VAS-网络)。这样，允许移动用户访问由服务提供者提供的众多在线服务和应用。例如，比如电子邮件、电子商务、电子银行之类的数据服务和应用已经或者正在变为可通过诸如PDA、膝上型计算机、智能电话机之类的移动装置访问。

但是要面对和解决复杂的安全性问题，而不能使之成为无线技术的进一步普及和成功的障碍。

事实上，由于WLAN使用无线电作为通信媒体，因此WLAN天生不如传统的有线LAN安全。在无线网络中，难以控制网络的准确扩展范围：传送的数据是利用无线电波通过空中广播的。由于无线电波穿过天花板、地板和墙壁，因此传送的数据可能到达非预定接收者。在不建立严格的安全措施的情况下，建立WLAN等同于在各处安置以太网端口。例如，就公司的专用WLAN来说，无线电信号能够容易地越过公司地点的边界，借助适当的天线，攻击者能够被动监视(用行话来说，“嗅探”)网络通信，而不需要物理地或逻辑地访问该网络。

如同其它网络一样，WLAN的安全性集中在访问控制和保密性。WLAN安全性的传统实现包括使用静态有线等效加密(WEP)密钥和可选的媒体访问控制(MAC)验证。这种组合提供一定程度的访问控制和保密性，不过已发现在IEEE 802.11验证和数据保密方案中存在弱点。具体地说，WEP存在严重的缺陷，该缺陷使攻击者仅仅通过监听一定量的Wi-Fi数据通信，就能够发现WEP密钥。此外，WEP密钥供应不是动态的，即，该密钥在打算访问无线网络的每个用户终端上手动配置，并且用一般明码保存，只有在少数情况下才保存在智能卡的固件中。这些WEP弱点，连同管理和控制消息的验证的缺失一起，使Wi-Fi网络非常不安全。

为了提高无线网络安全性，IEEE 802.11标准化组定义了称为IEEE 802.11i，商业上称为Wi-Fi保护访问(WPA)的对原始IEEE802.11标准的修订，该修订建立新的Wi-Fi网络安全标准。本领域已知，就验证和密钥分发来说，IEEE 802.11i标准依赖于在另一个称为IEEE 802.1X的独立标准(关于局域网和城域网-基于端口的网络交换的IEEE标准)中建立的基于端口的网络访问控制机制。应用于WLAN的该标准适合于在客户(所谓的“恳求者”)和验证服务器之间实现强力的相互验证。另外，IEEE 802.1X能够提供动态的每一用户，每一会话的密钥，该密钥可用于保护数据链路层，消除了使用静态WEP密钥时固有的管理负担和安全问题。

在普通的移动终端访问无线网络之前，进行IEEE 802.1X验证程序。网络运营者核实移动终端身份，并根据该检查，准许移动终端对网络的访问。

一旦移动终端接入WLAN，其用户可例如在因特网上冲浪，并到达提供在线服务的在线服务提供者的web站点。为了享受在线服务，无线网络运营者为准许对无线网络的访问而进行的验证通常并不足够：除此之外，移动终端的用户需要向他/她打算享受在线服务的服务提供者进行验证；换句话说，在准许用户访问他们提供的服务之前，服务提供者要求用户进行验证，而不论无线网络运营者是否已验证所述用户。一般来说，向在线服务提供者进行验证所需的验证机制和凭证(下面称为服务访问凭证)不同于、并且独立于用于向网络运营者进行验证的验证机制和凭证。

一方面，验证机制，尤其是用户的移动终端用于网络访问的网络访问凭证与用于向在线应用服务提供者进行验证的服务访问凭证的无关性满足安全要求：如果不是这样，那么如果攻击者危害移动通信终端，得到用于进行网络访问的凭证，那么也能够发起对在线服务提供者的攻击，例如危及用户电子邮件存档文件的安全。另外，使用与访问网络的访问凭证不同的服务访问凭证是灵活的凭证提供机制所必需的。

另一方面，这会对网络运营者和在线服务提供者造成必须以安全且有效的方式向他们的客户提供凭证的问题；另外，这是一种日常体验，用户应管理数目不断增多的不同访问凭证(用户名、口令)，以及这所涉及的所有风险(丢失或被盗的口令，冒名等)。

本领域中已知一些提供服务访问凭证的解决方案。

例如，在可从URL WWW.3gpp.org下载(在本专利申请的申请日)的3GPP技术规范(TS)33.220，33.221，33.222中定义的3GPPGBA(一般引导架构)中，定义了基于3G UMTS移动网络验证协议的应用密钥生成的框架。GBA基于带有保存保密密钥K的UICC(SIM)的移动终端，NAF(网络应用功能)应用服务器，即，Web服务器或者一般数据服务服务器(NAF和移动终端不共有向服务器验证终端的任何保密密钥)，和位于移动运营者网络的BSF(引导服务器功能)服务器，BSF服务器知道保存在移动终端UICC中的保密密钥K，能够通过以对保密密钥K的认识为基础的验证机制验证移动终端。在移动终端验证之后，BSF服务器把移动终端共有的，该移动终端能够用于访问NAF服务器的保密密钥传给NAF服务器。

IETF(因特网工程任务组)可扩展应用协议(EAP)密钥管理(在本申请的申请日，可从URL http://tools.ietf.org/wg/eap/draft-ietf-eap-keying/draft-ietf-eap-keying-07.txt下载其草案)提供由称为“方法”的EAP验证算法产生的加密材料的生成、传送和使用的框架。如该草案中所述，作为EAP验证处理的一部分，得到扩展主会话密钥(EMSK)，EMSK只为验证服务器和IEEE 802.1X框架的恳求者所知。在草案“EAP key management extensions”(在本申请的申请日，可从URLhttp://www.drizzle.com/～aboba/EAP/draft-aboba-eap-keying-extns-00.txt下载)中，定义了对EAP密钥管理框架的扩展，以便能够在新应用中使用EAP。在该草案中，专用主会话密钥(AMSK)被定义成从EMSK得到的密钥，这些密钥由恳求者和验证服务器共有。

US6611194描述一种在终端中插入服务密钥的方法，和实现所述方法的装置。服务密钥被插入终端中，并被用于实现从服务中心接收的加密服务数据的解密。当服务中心从终端收到服务密钥传输请求时，服务中心向托管中心请求并获得编码密钥。服务密钥传输请求包括终端身份号。服务中心把该请求转发给托管中心，托管中心返回与对应于特定终端的解码密钥相关的编码密钥。服务中心用编码密钥对服务密钥加密，并把服务密钥传给终端。在所述终端中，利用终端制造商输入终端的解码密钥对服务密钥解密。服务数据可相应地被解密，供终端用户使用。终端制造商把终端身份号传给委托中心，所述终端身份号使委托中心能够向终端分配解码密钥。终端制造商在终端中设置的解码密钥由委托中心传给终端制造商。可为来自服务中心的每个不同服务提供专用服务密钥。

US2004/0240671公开一种电信网络站中的加密密钥的远程装载方法，该方法使得能够安全地远程在无线终端的SIM中装载一个或多个应用的加密密钥。密钥的装载是通过借助SMS传给无线终端的消息来实现的。为了保证传输的安全性，借助操作人员使SIM卡个性化时产生并记录在SIM卡中的所谓“输送”或“传输密钥”，加密所述消息。密钥装载或改变或者由用户，或者由应用的服务提供者，比如金融交易的银行发起。装载步骤之前是由检测SIM中是否不存在密钥，或者是否需要更新所述密钥构成的步骤。在交易密钥的装载由应用密钥服务器发起的情况下，它检测交易密钥并不存在于来自无线终端的交易消息中，或者不再适合于进行交易的事实。被分析的消息是来自SIM的加密证书或者请求。所述分析由应用密钥服务器，或者由与应用密钥服务器连接的服务器，比如相关应用的服务器，或者相关应用的服务提供者的服务器进行。US2004/0240671提出一种对由相同应用程序可能被不同服务提供者共用，使用该应用程序的每个服务提供者要求不同的交易密钥的事实所引起的附加技术问题的解决方案。该发明使得能够选择与待执行的交易所涉及的服务提供者对应的密钥：从而使得对于同一个应用程序，能够从几个可能的密钥中选择在指定时刻对应于某一服务提供者的那些密钥。短消息包含与交易应用对应的服务提供者的身份，以便选择与交易相关的正确密钥。

发明内容

申请人注意到迄今为止，本领域中关于向在线服务提供者供给用于验证移动终端的用户的应用密钥而提出的解决方案都不十分令人满意。

例如，就3GPP GBA而论，应用保密密钥为无线网络运营者所知，这是非常不安全的(并且通常在线服务提供者是不能接受的)，因为网络运营者可对在线服务提供者发起MITM攻击。事实上，向NAF传送保密应用密钥的正是驻留在网络运营商中的引导服务器功能。

就IETF EAP加密框架性提议和EAP密钥管理扩展来说，申请人注意到尽管提出了利用AMSK的几种AAA(“验证、授权和记帐”)应用(例如，密钥请求，它可用于向第三方应用服务器传递验证密钥)，不过目前的EAP对等体和服务器实现并不支持AMSK的生成，现有的AAA规范(比如RFC3579或DIAMEAP)也不支持AMSK的传输。从而，AMSK的使用要求对EAP密钥管理框架的扩展，以及新的AAA应用的定义。另外，关于3GPP GBA作出的那些类似考虑同样适用：AMSK是作为验证过程的一部分得到的，为恳求者所知，并为无线网络接入提供者的验证服务器所知。如果该密钥被用于访问第三方在线应用服务器，那么网络运营者能够容易地进行MITM攻击。

就US6611194的方法而论，申请人注意到为了请求应用密钥，每个客户机必须与网络连接；从而，为接入网络而进行的(客户机-运营者)验证并不与为访问应用服务而进行的验证(客户机-服务提供者)相关。相反申请人认为知道客户机与哪个网络相连对在线服务提供者是有益的，例如，对通过已知提供高安全性的网络连接的客户机可启用一些高敏感性的功能，当客户机通过安全性低的网络被连接时禁用这样的功能。另外，服务密钥不是OTM(一次性口令)，这意味服务密钥可被能够获得它的攻击者重复使用。另外，该方法严格与制造时(离线)的安全凭证的供给相关。

就US2004/0240671来说，申请人注意到该方法只适用于装有SIM卡的无线终端，并使用SMS作为通信信道。用于对在线服务提供者应用密钥解密的保密密钥或者为无线网络运营者所知，从而无线网络运营者能够进行MITM攻击，或者它必须由每个服务提供者离线供给。

此外，申请人注意到具有向通信终端供给服务访问凭证的安全机制的问题并不局限于其中接入网络是无线通信网络的环境，相反还涉及其中接入网络不一定是无线网络的其它移动性情况。例如，不具有无线能力的通信终端(例如，膝上型计算机或IP电话机)可被移动到不同的接入网络(所述不同的接入网络可能由不同的网络运营者所有，具有无线或有线的不同网络技术)，从而实现也称为游动性的某种形式的有限移动性。例如，组织的雇员在工作时可使用与他/她的组织提供的有线网络连接的膝上型计算机，并通过这种连通取回他/她的应用服务(即，电子政务)。在自由时间，该雇员可在家里使用与他/她自己的住宅ADSL网关连接的相同个人计算机来取回相同的应用服务。

鉴于上面概述的背景技术的状态，申请人解决了如何生成在线服务访问凭证，以及如何安全地向通信网络的用户分发在线服务访问凭证，以使用户能够利用所述凭证访问和享受在线服务，从而简化最终用户的凭证管理的问题。

具体地说，申请人解决了如何按照并不依赖于用于访问通信网络的机制，具体地说用于访问通信网络的凭证的方式，单独地自动产生和向移动通信终端供给当访问一个或多个在线服务提供者时，移动通信终端要使用的服务访问凭证，例如一个或多个保密密钥的问题。

申请人发现通过向通信终端的用户供给向在线服务提供者进行验证的所需服务访问凭证，作为使终端能够访问网络的验证过程的一部分，能够解决该问题，而不要求使用不同的供给方法，一种方法用于通信网络运营者，一种方法用于服务提供者。

按照本发明的第一方面，提供一种按照附加权利要求1所述的方法，用于自动向网络访问请求者提供服务访问凭证，所述服务访问凭证用于访问可通过通信网络访问的在线服务提供者提供的在线服务，所述方法包括：

-在网络访问请求者的验证期间，使负责有条件地准许网络访问请求者访问网络的验证实体(例如，验证服务器)向在线服务提供者请求所述服务访问凭证的生成；

-在在线服务提供者处，生成服务访问凭证，采用网络访问请求者的公共加密密钥加密服务访问凭证，并把加密的服务访问凭证提供给验证实体；

-使验证实体向网络访问请求者提供加密的服务访问凭证。

由于本发明，最终用户不再需要在存在前述相关安全问题的情况下，管理用于不同应用的不同登录，因为这些凭证是在终端上自动生成的，从而简化了最终用户的体验。

作为用户的通信终端相对于网络的验证过程的一部分得到的向在线服务提供者出立证据的服务访问凭证不为网络运营者所知，这保证在线服务提供者免于无线网络运营者发起的或者通过无线网络运营者的MITM(中间人)攻击。

在本发明的一个优选实施例中，服务访问凭证不仅是基于每个用户得到的，而且是基于每个会话得到的(即，它们只在该会话内有效，当用户无线终端与通信网络断开时到期)；这向用户和服务提供者提供一种比“静态”解决方案更安全的OTP机制。

按照本发明的第二方面，提供一种按照权利要求22所述的系统，用于自动向适合于在通信网络中使用的通信终端供给服务访问凭证，所述服务访问凭证用于访问可通过通信网络访问的在线服务提供者提供的在线服务。

按照本发明的第三方面，提供一种按照附加权利要求26所述的验证实体，所述验证实体适合于用在通信网络中，用于验证网络访问请求者，以便有条件地准许网络访问请求者对通信网络的访问，并且适合于在所述验证网络访问请求者过程中，向可通过通信网络访问并提供在线服务的在线服务提供者请求供访问之用的所述服务访问凭证的生成，以及作为所述验证的一部分，使网络访问请求者被供给加密的服务访问凭证。

按照本发明的第四方面，提供一种按照权利要求27所述的可通过通信网络访问并提供在线服务的在线服务提供者，所述在线服务提供者适合于：

-接收验证实体的服务访问凭证请求，所述验证实体适合于根据公钥密码术验证网络访问请求者，以便有条件地准许网络访问请求者对通信网络的访问；

-生成服务访问凭证；

-通过采用网络访问请求者的公共加密密钥，加密服务访问凭证；和

-把加密的服务访问凭证提供给验证实体。

按照本发明的第五方面，提供一种按照附加权利要求28所述的供在通信网络中使用的通信终端，所述通信终端适合于：

-基于公钥密码术，在验证程序期间与验证实体交互，以便被准许对通信网络的访问；

-在与验证实体的验证程序期间，从验证实体接收用于访问可通过网络访问的在线服务提供者提供的在线服务的加密服务访问凭证，所述加密的服务访问凭证是利用通信终端的公共加密密钥加密的；和

-利用专用解密密钥对接收的加密服务访问凭证解密。

附图说明

参考附图，根据仅仅作为非限制性例子提供的本发明的一些实施例的下述详细说明，本发明的特征和优点将变得显而易见，其中：

图1示意地表示其中有利地使用按照本发明的服务访问凭证供给方法的情况；

图2利用各个参与者交换的信号，示意地表示按照本发明的第一实施例的服务访问凭证供给方法；

图3利用各个参与者交换的信号，示意地表示按照本发明的第二实施例的服务访问凭证供给方法；

图4利用各个参与者交换的信号，示意地表示按照本发明的第三实施例的服务访问凭证供给方法。

具体实施方式

参考附图，图1中示意地表示了其中有利地使用按照本发明的自动服务访问凭证供给方法的数据通信网络的一部分。

具体地说，数据通信网络(由100总体标识)包括接入网络105，接入网络105可以是有线网络，例如遵守标准IEEE 802.3的LAN，或者无线网络，尤其是WLAN或Wi-Fi LAN(即，遵守标准IEEE802.11的无线网络)，接入网络105与基础设施化的有线LAN 110连接，LAN 110再与分组数据网(PDN)115，例如MAN(城域网)或WAN(广域网)，或者更大型的公共网络(比如因特网)或专用网络(比如企业内部网)连接。

下面，将举例参考接入网络105是无线网络的情况。无线网络105包含多个接入点(AP)，比如图中的AP 120。通过AP 120，无线移动通信终端(也称为无线终端)，比如图中的无线终端125的用户通过使用无线电数据通信链路130a，能够与无线网络105连接。要指出的是在接入网络105是有线网络的情况下，通信终端125不必具有无线通信能力，通过有线链路130b，例如，借助以太网(IEEE 802.3)链路连接实现与接入网络105的连接。

无线网络105与有线LAN 110连接，并且可以访问有线LAN110，以致与无线网络105连接的无线终端能够访问有线LAN 110。具体地说，无线网络105通过AP 120与有线LAN 110相联系。

通过无线网络105，无线终端能够访问PDN 115，例如，他们能够在因特网上冲浪，浏览网站，或者与公司的内部网连接。具体地说，无线终端能够访问由一个或多个在线服务提供者，比如图中所示的应用服务器135提供的在线服务；例如，应用服务器135可提供在线金融服务、电子商务服务、电子邮件服务、Voice Over IP(VoIP)服务等等。特别地，假定无线终端125的用户为了访问应用服务器135，以享受所提供的在线服务，用户需要预先在应用服务器135进行验证。

图中还表示了称为验证服务器(AS)的网络设备140，网络设备140起预定向AP，比如AP 120提供验证服务，以便在准许无线终端(网络访问请求者)接入有线LAN 110之前，验证所述无线终端的验证实体的作用。

具体地说，在本发明的一个优选实施例中，假定无线网络105实现与IEEE 802.11i标准相应的WPA规范。具体地说，实现基于IEEE 802.1X的基于端口的网络访问控制。

本领域中已知，IEEE 802.11i标准具有下述主要特征：

·它使用IEEE 802.1X进行验证和密钥分发；

·它使用加密消息验证码(MAC)(也称为Michael)进行分组级完整性保护；

·它使用临时密钥完整性协议(TKIP)进行数据加密；已知TKIP供现有WEP设备的临时部署和改型之用，由克服WEP的密钥推导和分组完整性缺陷的需求推动；它保留了WEP帧格式以及RC4算法的使用；

·它使用CCMP-高级加密标准(AES)进行数据加密(TKIP只是一种中间解决方案；IEEE 802.11i任务组已考虑把AES算法用于数据保密性和完整性，作为RC4算法的替代)；

·它也可把预共享密钥(PSK)用于验证，而不使用验证服务器(一个特别适合于家庭环境的特征)。

即使IEEE 802.1X是独立的标准，它也是IEEE 802.11i标准的核心要素，提供基于端口的网络访问控制机制。IEEE 802.1X依赖于可扩展验证协议(EAP-在本专利申请的申请日，可在URLwww.ietf.org/rfc/rfc3748.txt下载的请求评议3748中规定)，一种定义通用验证协议，以允许各种各样的验证机制(称为“EAP型验证机制”)的IETF标准。此外，IEEE 802.11X标准包括嵌入验证方法中的用于基于每个客户和每个会话动态推导密钥的程序。

无任何完全性要求(为本领域中本身已知的概念)，IEEE 802.1X标准框架的“参与者”是“恳求者”(supplicant)、“验证者”(或者网络端口)和“验证服务器”。

恳求者是位于点到点LAN链路段的一端的，试图由与该链路的另一端连接的验证者验证的实体。恳求者希望使用通过验证者上的端口提供的服务(MAC连通性)。恳求者通过验证者向中央验证服务器出立证据，中央验证服务器指导验证者在验证成功之后如何提供服务。在图1的例证情况中，恳求者的角色由无线终端，比如无线终端125扮演。

验证者是简化与LAN链路段的另一端连接的实体(恳求者)的验证的实体；在图1的情况中，验证者的角色由普通AP，比如AP 120扮演。验证者按照通过(pass-through)模式在无线终端和验证服务器之间工作，实现逻辑门控制机制。验证者具有接入网络的两个端口：“无控”端口和“受控”端口。无控端口始终对验证消息开放，而受控端口只有在验证程序结束时，并且只有验证程序成功时才打开。在验证程序结束时，验证者从验证服务器接收每个客户和每个会话的编码密钥，用于随后与恳求者的数据无线电通信。

验证服务器(图1中的AS 140)提供验证恳求者的验证服务。例如，验证服务器可以是RADIUS(远程验证拨号用户服务)服务器，Kerberos服务器，Diameter服务器等，并且可以是专用设备(如图1中描述的例证情况一样)，或者它可被集成(“共置”)在验证者中(即，集成在AP 120中)。

EAP支持的，并且能够有利地用在按照本发明的所述实施例的自动服务访问凭证供给方法中的EAP型例子是：

-可扩展验证协议-传输层安全(EAP-TLS-在RFC 2716中规定)：它是一种基于TLS握手的IETF协议，把数字证书既用于恳求者验证，又用于验证服务器验证；本领域中已知，数字证书可被看作日常生活中为“身份证”的东西的电子副本；数字证书建立当通过PDN进行电子交易时的用户凭证；数字证书由认证机构颁发，通常包含诸如用户名、序列号、有效期、证书持有人的公钥的副本(用于加密消息和数字签名)，和使接收者能够核实证书真实的发证机构的数字签名。

-受保护的可扩展验证协议(EAP-PEAP-在本专利申请的申请日，可从http://www.ietf.org/internet-drafts/draft-josefsson-pppext-eap-tls-eap-11.txt下载)：它以TLS握手为基础，对验证服务器验证使用数字证书，对恳求者验证使用任何EAP型验证机制。

-EAP-隧道化传输层安全(EAP-TTLS-在本申请的申请日，可在URL http://www.ietf.org/internet-drafts/draft-funk-eap-ttls-v0-00.txt和http://www.itef.org/internet-drafts/draft-funk-eap-ttls-v1-00.txt下载)：它是基于TLS握手的IETF草案协议，对验证服务器验证使用数字证书，对恳求者使用任意验证方法。

通常，环绕“质询-响应”通信范例建立EAP。出于验证目的而交换的消息的类型有四种：EAP Request消息，EAP Response消息，EAP Success消息和EAP Failure消息。具体地说，指示质询的EAPRequest消息被发给恳求者，恳求者利用EAP Response消息答复。其它两种消息(EAP Success消息和EAP Failure消息)把成功/不成功的验证程序结果通知恳求者。

为了接入无线网络105，扮演恳求者角色的普通无线终端，比如无线终端125首先必须与扮演验证者角色的AP，比如AP 120联系。例如，如果是无线终端首次试图接入无线网络(可能是在与网络断开之后的第一次)，那么无线终端必须通过AP在验证服务器进行遵守IEEE 802.11i标准的完整验证程序。

例如，无线终端(恳求者)向AP(验证者)发送IEEE 802.11 ProbeRequest消息。AP通过向无线终端发送包括安全参数在内的IEEE802.11 Probe Response消息作出答复，并创建与无线终端的物理链路。随后，无线终端向AP发送IEEE 802.11 Open SystemAuthentication Request消息，AP用IEEE 802.11 Open SystemAuthentication Response消息答复无线终端。移动终端随后向AP发送IEEE 802.11 Association Request消息，AP通过回送IEEE 802.11Association Response消息作出答复，指示操作已成功完成。该程序使无线用户终端可以与AP相联系。到目前为至，通信量通过AP的无控端口，受控端口仍然被封锁，因为无线终端还未被验证。

在成功地发生联系之后，执行验证程序；图2中，示意地描述了在验证程序中，各个参与者交换的消息，在图1的例证情况中，所述参与者是无线终端125，AP 120和验证者140。

无线终端125通过向AP 120发送IEEE 802.1X EAPOL Start消息，启动验证程序，AP 120通过向无线终端125回送请求无线终端提供其身份的IEEE 802.1X EAP Request/Identity消息205，作出答复；响应该请求，无线终端125通过向AP 120发送IEEE 802.1X EAPResponse/Identity消息210，提供其身份，封装在按照预定的通信协议，比如RADIUS协议的格式化的消息215(具体地说，RADIUS AccessRequest消息)中的IEEE 802.1X EAP Response/Identity消息210由AP 120转发给验证服务器140。验证服务器140随后根据协商的EAP验证方法(EAP型)，通过AP对无线用户终端125进行验证程序，下面仅仅作为一个例子，把EAP验证方法假定为EAP-TLS。

高度概括地(验证程序本身为本领域的技术人员已知，是标准化的)，响应从AP 120收到的消息215，验证服务器140向AP 120发送嵌有EAP-Req uest，EAP-TLS消息的RADIUS Access Challenge消息220，所述RADIUS Access Challenge消息220在AP120被接收，并作为IEEE 802.1X/EAP-Request(EAP-TLS)消息225被转发给无线终端125。无线终端125通过向AP 120发送IEEE802.1X/EAP-Response(TLS ClientHello)消息230作为答复，AP 120接收IEEE 802.1X/EAP-Response(TLS ClientHello)消息230，并将其嵌入RADIUS Access Request/EAP-Response(TLS ClientHello)消息235中转发给验证服务器140。从无线终端125传给验证服务器140的TLS ClientHello消息传递在会话期间，客户机希望依据其通信的TLS协议的版本，依据客户机的优先选择(喜爱的选择优先)排序的客户机产生的随机值，会话标识符，以及终端125支持的加密算法的组合(所谓的“密码组”)被用于在无线终端125和验证服务器140之间创建安全信道，通过该安全信道，安全地进行验证程序。

验证服务器140随后向AP 120发送RADIUS AccessChallenge/EAP-Request消息240，AP120把RADIUS AccessChallenge/EAP-Request消息240作为IEEE802.1X/EAP-Request(TLS ServerHello‖TLS Certificate‖TLSserver_key_exchange‖TLS certificate_req‖TLS server_hello_done)消息245转发给无线终端125。TLS ServerHello消息部分传递从TLSClientHello消息部分(在消息230内)中无线终端125建议的那些TLS协议中选择的，验证服务器140支持的TLS协议的版本。它还传递由验证服务器140从在TLS ClientHello消息部分中提议的列表中选择的服务器产生的随机值、会话标识符和密码组。在TLS Certificate消息部分中，验证服务器140插入其数字证书，以便由无线终端125验证。TLS server_key_exchange消息部分传送可用于允许恳求者(客户机)传送预先掌握的秘密(prremaster secret)的加密信息：无线终端125能够借助其完成密钥交换(其结果是预先掌握的秘密)的对预先掌握的秘密加密的RSA公钥或者Diffie-Hellman公钥。TLS certificate_req消息部分由验证服务器用于向无线终端请求证书，以便验证无线终端125。TLS server_hello_done消息部分由验证服务器140发送，以指示用于密钥交换的消息的结束，以致无线终端125能够继续进行它的密钥交换阶段。

无线终端125通过向AP120发送IEEE802.1X/EAP-Response(TLS certificate‖TLS client_key_exchange‖TLS certificate_verify‖TLS change_cipher_suite‖TLSfinished)消息250作出答复，AP120将其嵌RADIUS AccessRequest/EAP-Response消息255中转发给验证服务器140。TLScertificate消息部分传递无线终端125的数字证书。借助TLSclient_key_exchange消息部分，或者通过直接传输RSA加密秘密，或者通过传输允许每一方(验证服务器140和无线终端125)对相同的预先掌握的秘密达成协议的Diffie-Hellman参数，预先掌握的秘密被设置。TLS certificate_verify消息部分被用于提供无线终端125证书的明确核实。change cipher spec消息部分由无线终端125发送，以通知验证服务器140后续记录将在新协商的CipherSpec和密钥的保护之下。最后，TLS finished消息部分被用于核实密钥交换和验证过程已成功。这是利用协商的算法、密钥和秘密保护的第一条消息。收到finished消息的验证服务器140核实内容是正确的。

验证服务器140通过向AP 120发送RADIUS AccessChallenge/EAP-Request消息260作出答复，AP 120将其作为IEEE802.1X/EAP-Request(TLS change_cipher_suite‖TLS finished)消息265转发给无线终端125。发送TLS change_cipher_suite消息部分，以通知无线终端125随后记录将在新协商的CipherSpec和密钥的保护之下。最后，TLS finished消息部分是验证服务器140发送的利用协商的算法、密钥和秘密保护的第一条消息。收到finished消息的验证服务器140核实内容是正确的。

无线终端125随后向AP 120发送IEEE 802.1X EAP Response消息267，AP把该消息嵌入RADIUS Access Request 270中转发给验证服务器140。

在上面简要列举的消息交换中，从消息230到消息265的消息构成TLS握手。

就肯定的验证结果来说，验证服务器140按照惯例把嵌入RADIUS Accept消息293中的EAP Success消息发给AP 120，AP 120把RADIUS Accept消息293转发给无线用户终端125(IEEE 802.1XEAP Success消息294)，否则验证服务器发送EAP Failure消息(未示出)。

如前所述，在验证程序中，验证消息通信量通过AP 120的无控端口，受控端口保持封锁状态；在验证成功之后，AP 120的受控端口解除封锁，数据通信通过所述受控端口。

在验证程序中，无线终端125和验证服务器140各自在其一方产生一对共享秘密，即主会话密钥(MSK)和扩展主会话密钥(EMSK)。验证服务器140只把MSK(消息，一般为64字节数字码)发给AP(验证者)120。由验证服务器140传给验证者120的MSK被称为“AAA-Key”(这里，三个A代表验证(Authentication)、授权(Authorization)和记帐(Accounting))。具体地说，用RADIUS Accept消息293把AAA-Key传给验证者120。

验证者120使用接收的AAA-Key，或其一部分(一般前32个字节，形成所谓的成对主密钥-PMK)产生加密密钥，作为与无线终端125的四向(four-way)握手程序的结果，所述加密密钥之后将用于对无线终端125和AP 120之间无线电链路上的通信加密。

在验证程序期间，验证服务器140和无线终端125在他们各自一方并从EMSK(即，未被传给验证者120的密钥)开始，获得称为专用主会话密钥(AMSK)的另一密钥。例如，类似于MSK，AMSK可以是64字节的数字码。

迄今为止描述的步骤指的是至少在无线终端125首次连接无线网络105时，无线终端125必须执行的完整验证程序。

一旦无线终端125已被验证，那么准许它接入无线网络105；具体地说，用户能够访问PDN 115，例如，他/她能够在因特网上冲浪和/或访问他/她所工作的公司的企业内部网，以获得应用服务器135提供的在线服务，例如在线金融服务、电子商务服务、电子邮件服务。

但是，如前所述，在对应用服务器135的访问并不自由的假设下，通常情况下，无线终端125需要预先向应用服务器135进行验证；为此，无线终端125的用户需要对访问服务提供者和获得在线服务来说必需的适当在线服务访问凭证。

按照本发明的一个实施例，作为充当恳求者的无线终端125执行的用于进行验证和被批准接入无线网络105的验证过程的一部分，用于在应用服务器135进行验证和访问应用服务器135提供的在线服务的服务访问凭证被提供给无线终端125。

具体地说，按照本发明的一个实施例，提供一种方法，借助该方法，作为基于EAP，具体地说EAP型EAP-TLS的无线网络验证程序的一部分，无线终端125的用户在应用服务器135进行验证和访问在线服务所必需的服务访问凭证被自动、安全地提供给无线终端125。

如图2中所述，在恳求者125和验证服务器140按照标准程序相互验证之后，如果验证服务器140确定恳求者(在消息270中)提供的身份是正确的，那么验证服务器140向应用服务器135发送消息M0275：

M0＝[AMSK，Supplicant_IDa]

消息M0 275包含作为IEEE 802.1X验证过程协商的AMSK，和恳求者公共数字证书，或者只是其适合于使应用服务器135单意地识别正确的公共数字证书的标识符(表示成Supplicant_IDa)。具体地说，只有当是无线终端125首次试图连接应用服务器135时，验证服务器140才发送完整的公共数字证书：这种情况下，验证服务器135保存接收的公共数字证书供未来使用；如果不是无线终端125首次试图连接应用服务器135，从而其公共数字证书已被保存在应用服务器，那么验证服务器140可能仅仅发送适合于使应用服务器能够单意地识别正确的公共数字证书的证书标识符(Supplicant_IDa)(即，恳求者数字证书的散列(hash))。

可选的是，适合于识别无线终端125的用户希望访问的，并且恳求者125为其请求有效的服务访问凭证的在线服务(例如，对Web门户的Web访问，SIP代理注册等)的在线服务标识符可被包括在消息M0 275中，以便明确地识别所需的服务。

可取的是，通过安全信道，例如利用IPSec或者HTTP进行验证服务器140和应用服务器135之间的通信。

应用服务器135保存接收的AMSK和恳求者125的公共证书，并为恳求者125产生对当前会话有效的，并且如果指定的话，对给定的在线服务有效的一次性口令(OTP)。具体地说，以AMSK和应用服务器选择的随机种子Seed_{Supplicant，Session}的单向函数(例如，散列函数)的形式计算OTP：

OTP_{Supplicant，Session}＝f(AMSK，Seed_{Supplicant，Session})

在图1中，示意地表示了应用服务器135中的产生将被提供给无线终端125的用户的服务访问凭证的函数(附图标记190)。例如由随机数发生器(未示出)产生的随机种子191被送给服务访问凭证发生器模块192，服务访问凭证发生器模块192利用随机种子191和图示化为175的AMSK，产生凭证，在本例中即OTP 185。

要指出的是对于OTP的生成，应用服务器135还可依赖于外部密钥管理单元，具体地说，图1中用虚线框表示的公钥加密(PKI)单元150；这种情况下，当消息M0 275到达时，应用服务器135向PKI单元150发送恳求者公共数字证书，或者只发送其标识符，如果不是无线用户终端125首次要求服务访问凭证的话(这种情况下，数字证书已保存在PKI单元150)；可选的是，在线服务标识符同样被包括在发给PKI单元的消息280中。PKI单元150产生对该恳求者有效，并且对当前会话有效的随机种子Seed_{Supplicant，Session}，并将其发给应用服务器135(消息285)。

应用服务器135利用保存在由验证服务器140发送的恳求者的公共证书(公共数字证书数据库194)中(或者保存在应用服务器135)的恳求者的公钥170，加密为当前会话产生的给恳求者125的随机种子191(图1中的加密模块193)，并通过安全信道把加密的种子发给验证服务器140；具体地说，加密种子被包括在消息M1 290中，除此之外，消息M1 290还包含恳求者的标识符Supplicant_IDb(例如，在恳求者公共证书中指示的区别名称-DN，或者可能是包括在消息M0中的相同标识符Supplicant_IDa)：

M1＝[E_{Supplicant_PK}(Seed_{Supplicant，Session})，Supplicant_IDb]

可选的是，如果被指定的话，在线服务的标识符也可被包括在消息M1290中。

当从应用服务器135收到消息M1290时，验证服务器140首先核实它具有关于恳求者125(由包括在消息M1中的恳求者标识符识别)，以及关于给定在线服务(如果指定的话)的待决请求；验证服务器140随后把加密种子E_{Supplicant_PK}(Seed_{Supplicant，Session})插入封装在RADIUS Access-Challenge消息M2 291中发送给AP 120的EAPRequest/Notification分组中，其中。

M2＝RADIUS Access-Challenge/EAP-

Request/Notification[E_{Supplicant_PK}(Seed_{Supplicant，Session})]

AP 120通过IEEE 802.1X EAP Request/Notification消息292，把接收的加密种子E_{Supplicant_PK}(Seed_{Supplicant，Session})转发给恳求者125。

最后，如IEEE 802.1X标准中所述，当验证服务器140(通过AP120)向无线用户终端125发送IEEE 802.1X EAP Success消息294时，验证程序结束。

恳求者125具有适合于从消息292获得服务访问凭证的功能。例如，如图1中示意所示，专用软件或固件155被安装在无线终端125上，并在无线终端125上运行，所述专用软件或固件155适合于利用恳求者的私钥165接收加密种子E_{Supplicant_PK}(Seed_{Supplicant，Session})(模块160)，以获得种子Seed_{Supplicant，Session}；在已知AMSK(图示化成175)的情况下，位于恳求者125的服务访问凭证提取器模块180利用相同的函数计算用于访问在线服务的OTP：

OTP_{Supplicant，Session}＝f(AMSK，Seed_{Supplicant，Session})

OTP构成服务访问凭证185。

遵循IEEE 802.1X验证程序特有的四向握手，恳求者125访问无线网络105，并通过AP 120访问有线LAN 110和应用服务器135。当作为无线网络验证过程的一部分被提供给服务时，恳求者125能够利用提供的服务访问凭证，即OTP，直接访问在线服务。

具体地说，这些服务访问凭证只对当前会话有效，可能对指定的服务，以及特定的恳求者125有效。

从而，可认识到作为无线网络验证程序的一部分，向应用服务器135请求服务访问凭证的是验证服务器140，不过从应用服务器接收的服务访问凭证只为它和恳求者125所知，不为验证服务器和AP所知。这达到极佳的安全度，因为避免了无线网络运营者知晓用于访问应用服务器的服务访问凭证。同时，只有恳求者在被验证服务器验证并被批准访问无线网络之后，才能够自动向恳求者提供在线服务。

上面说明的自动服务访问凭证供给方案例如可应用于Voiceover IP(VoIP)服务的情况，在该特定情况中，无线终端125是Wi-Fi电话机，验证服务器140是SIP(会话起始协议)注册器(registar)。

这种情况下，为了访问VoIP服务，Wi-Fi电话机125需要向SIP注册器135注册。图3中图示了交换的消息接发。

类似于前面说明的例子，当Wi-Fi电话机125与无线网络105(的AP 120)联系时，开始IEEE 802.1X EAP-TLS验证程序。Wi-Fi电话机、AP和验证服务器交换的消息205-270与图2中描述的消息205-270相同。验证服务器核实恳求者提供的身份，如果正确的话，那么验证服务器向SIP注册器135发送消息(M0)375，消息(M0)375包含作为IEEE 802.1X验证过程的一部分协商的AMSK，和恳求者公共证书(如果是恳求者首次试图连接SIP注册器)或者恳求者URI(统一资源标识符，通常用于识别SIP用户的标识符)(如果SIP注册器已保存在先前会话中接收的恳求者的公共证书)；具体地说，在图3中考虑后一情况，恳求者由URI Wi-Fiphone@example.org识别，消息375为：

M0＝[Wi-Fiphone@example.org，AMSK]

SIP注册器135保存AMSK和恳求者的标识符(或者恳求者的公共证书)，并为当前会话产生给Wi-Fi电话机的OTP(OTP_{Supplicant，Session})；具体地说，以AMSK和随机种子Seed_{Supplicant，Session}的单向函数(例如，散列函数)的形式产生OTP：

OTP_{Supplicant，Session}＝f(AMSK，Seed_{Supplicant，Session})

SIP注册器135利用保存在恳求者公共证书中的恳求者公钥为当前会话加密恳求者125的种子OTP_{Supplicant，Session}，并通过安全信道用消息M1 380把加密种子E_{Supplicant_PK}(Seed_{Supplicant，Session})回送给验证服务器140，除了加密的种子之外，消息M1 380还包含恳求者标识符：

M1＝[E_{Supplicant_PK}(Seed_{Supplicant，Session})，Wi-Fiphone@example.org]

当收到消息380时，验证服务器首先核实存在由包括在消息中的恳求者标识符识别的恳求者的待决请求，随后它把加密种子E_{Supplicant_PK}(Seed_{Supplicant，Session})插入EAP Request/Notification分组中，并将其封装在RADIUS Access-Challenge消息M2 385中发送给AP120：

M2＝RADIUS Access-Challenge/EAP-

Request/Notification[E_{Supplicant_PK}(Seed_{Supplicant，Session})]

AP 120通过IEEE 802.1X EAP Request/Notification消息390把接收的加密种子E_{Supplicant_PK}(Seed_{Supplicant，Session})转发给Wi-Fi电话机125。

最后，如标准中所述，当验证服务器140(通过AP 120)向无线用户终端125发送IEEE 802.1X EAP Success消息294时，验证程序结束。

Wi-Fi电话机125对加密种子Seed_{Supplicant，Session}解密，在知道AMSK的情况下，利用和SIP注册器135相同的函数计算用于SIP服务的OTP：

OTP_{Supplicant，Session}＝f(AMSK，Seed_{Supplicant，Session})

按照四向握手，Wi-Fi电话机125能够接入无线网络105，并且通过AP 120能够访问PDN 115和SIP注册器135。

在图3中描述的例子中，按照RFC3261(“SIP：会话起始协议”)使用了SIP分类(digest)验证的情况。Wi-Fi电话机125向SIP注册器135发送SIP Register消息395。当收到该消息时，SIP注册器135产生否定响应(SIP/2.0 401 Unauthorized消息396)，并把分类质询包括在响应消息396中。

当Wi-Fi电话机125收到包含分类质询的SIP注册器响应消息396时，它以分类质询和作为网络验证的部分而获得的OTPOTP_{Supplicant，Session}的函数的形式计算恰当的分类响应，并向SIP注册器135发送包括计算的分类凭证的消息397。SIP注册器135核实分类响应，并处理请求；如果核实是成功的，那么SIP注册器135向Wi-Fi电话机125发送200 OK消息398，Wi-Fi电话机125从而能够访问VoIP服务。

上面描述的自动服务访问凭证供给方案的另一例证应用可以是具有Web门户135的Wi-Fi接口的膝上型计算机125通过无线网络105的访问。图4中图示了交换的消息。

当Wi-Fi膝上型计算机125与无线网络105(的AP 120)联系时，如前所述开始IEEE 802.1X EAP-TLS验证。消息和前面两种情况中的一样。验证服务器140核实恳求者125提供的身份，如果正确的话，它向Web门户135发送消息(M0)475，所述消息(M0)475包含作为IEEE 802.1X验证过程的一部分协商的AMSK，和恳求者公共证书(如果是恳求者首次尝试连接Web门户135)或者恳求者标识符，比如用户名(如果Web门户已保存在先前的会话中接收的恳求者公共证书)；在图4的例子中，考虑后一情况，恳求者由标识符Wi-Fipc@example.org识别：

M0＝[Wi-Fipc@example.org，AMSK]

Web门户135保存恳求者标识符和AMSK，随后它可要求(消息480)本地域密钥管理器PKI 150产生关于当前会话的指定恳求者标识符的随机种子Seed_{Supplicant，Session}；一旦收到种子Seed_{Supplicant，Session}(消息485)，Web门户135以AMSK和随机种子Seed_{Supplicant，Session}的单向函数(例如，散列函数)的形式，计算关于当前会话给Wi-Fi膝上型计算机125的OTP：

OTP_{Supplicant，Session}＝f(AMSK，Seed_{Supplicant，Session})

Web门户135利用保存在恳求者公共证书中的恳求者公钥对关于当前会话给恳求者125的OTP OTP_{Supplicant，Session}加密，并通过安全信道(消息M1490)把加密的OTP E_{Supplicant_PK}(Seed_{Supplicant，Session})回送给验证服务器140。消息M1包含加密的E_{Supplicant_PK}(Seed_{Supplicant，Session})和恳求者标识符：

M1＝[E_{Supplicant_PK}(Seed_{Supplicant，Session})，Wi-Fipc@example.org]

验证服务器140首先核实它具有关于指定恳求者标识符的待决请求，随后它把加密的OTP E_{Supplicant_PK}(Seed_{Supplicant，Session})插入EAP-Request/Notification分组中，并将其封装在RADIUSAccess-Challenge消息M2 491中发送给AP 120。

M2＝RADIUS Access-Challenge/EAP-

Request/Notification[E_{Supplicant_PK}(Seed_{Supplicant，Session})]

随后，AP 120通过EAP-Request/Notification消息492把加密的OTP E_{Supplicant_PK}(Seed_{Supplicant，Session})转发给Wi-Fi膝上型计算机125。

最后，如标准中所述，当验证服务器140(通过AP120)向无线用户终端125发送IEEE 802.1X EAP Success消息294时，验证程序结束。

Wi-Fi膝上型计算机125对加密种子Seed_{Supplicant，Session}解密，在知道AMSK的情况下，利用和Web门户135相同的函数计算用于访问Web门户的OTP：

OTP_{Supplicant，Session}＝f(AMSK，Seed_{Supplicant，Session})

按照四向握手，Wi-Fi膝上型计算机125能够接入无线网络105，并且通过AP 120能够访问PDN 115和Web门户135。在作为无线网络验证过程的一部分被提供给服务的情况下，恳求者125能够利用提供的服务访问凭证直接访问服务。在本例中，按照RFC2617(“HTTPAuthentication:Basic and Digest Access Authentication”)使用HTTP分类验证的情况。Wi-Fi膝上型计算机125向Web门户135发送HTTPGET消息495。Web门户产生否定的响应(HTTP 401 Unauthorized消息496)，并把分类质询包括在响应496中。

当Wi-Fi膝上型计算机125收到响应消息496(包含分类质询)时，它以分类质询和作为网络验证的一部分而获得的OTPOTP_{Supplicant，Session}的函数的形式，计算恰当的分类响应，并向Web门户135发送包括计算的分类凭证的消息497。Web门户135核实分类响应，并处理请求；如果核实是成功的，那么它向Wi-Fi膝上型计算机125发送200 OK消息498，Wi-Fi膝上型计算机125随后能够访问Web服务。

由于上面参考三种可能的实际实现描述的按照本发明的方法，最终用户不再需要在存在前述相关安全问题的情况下管理关于不同应用的不同登录，因为这些凭证是在终端上自动产生的，简化了最终用户体验。

作为无线网络验证过程的一部分得到的向在线服务提供者进行验证的服务访问凭证不为无线网络运营者所知，这保证在线服务提供者免于无线网络运营者发起的或者通过无线网络运营者的攻击。

特别地，服务会话凭证不仅可基于每个用户得到，而且可以基于每个会话得到(即，它们只在该会话内有效，当用户无线终端从无线网络断开时到期)；这向用户和服务提供者提供一种比“静态”解决方案更安全的OTP机制。

本发明的方法能够向在线服务提供者保证在应用层强制执行选择访问策略的可能性，从而只允许与预先确定的无线网络运营者连接的用户访问其服务。

借助于对验证服务器，服务提供者，无线终端的软件的恰当软件更新，能够相当容易地实现本发明。但是，软件实现并不意图作为对本发明的限制，本发明也可完全用硬件来实现，或者被实现成软件和硬件的组合。

尽管利用一些实施例公开和说明了本发明，不过对本领域的技术人员来说，对所描述的实施例的几种修改，以及本发明的其它实施例显然都是可能的，而不脱离附加权利要求中限定的本发明的范围。

例如，尽管在上面说明的例子中，假定把EAP型EAP-TLS用于恳求者125的验证，不过也可使用其它方法，比如EAP-TTLS和PEAP；在这两种备选的EAP方法中，和在EAP-TLS中一样，数字证书被用于恳求者验证。更一般地，可以采用并不意味数字证书的使用的恳求者验证方法，例如基于不对称(公钥，私钥)加密机制的方法，只要服务提供者，即应用服务器能够单意并且明确地确定给定的公钥属于某一用户；例如，应用服务器可保存容许的公钥的列表，每个公钥与一个授权用户关联。不过，数字证书的使用具有证书本身由认证机构保证的优点。

另外，尽管上面假定服务会话凭证，即，应用服务器产生的口令是每次一般用户访问无线网络时新产生的一次性口令(即，基于会话的口令)，不过这仅仅只是意图作为一种有利的而不是限制性的实施例，因为口令也可不因会话而异。

再次要指出的是尽管作为例子参考无线接入网络，尤其是IEEE802.11 WLAN进行了说明，不过本发明也适用于不同的情况。例如，本发明适用于有线接入网络(例如，IEEE 802.3 LAN，也称为以太网)，其中IEEE 802.1x标准和EAP被用于节点的验证。更一般地，本发明可被扩展到网络节点的验证机制基于类EAP，比如IEEE 802.16(也称为Wi-Max)网络的环境，一般而言，可扩展到利用IETFPANA(Protocol for carrying Authentication for Network Access)协议(在本申请的申请日，可从网站http://www.ietf.org/html.charters/pana-charter.html下载)的接入网络；事实上，PANA是允许移动通信终端向利用基于EAP类型的IP协议的接入网络进行验证，而与链路层特定机制无关的协议。