在无线通信网络中传播相互认证数据的方法和系统

摘要

一种既在第一无线通信网络又在第二无线通信网络中传播相互认证数据的方法和系统对于联合无线通信网络是有用的。该方法包括相互认证在第一网络中工作的第一节点和在第二网络中工作的第二节点(步骤205)。然后将联合消息从所述第一节点发送到在所述第二网络中工作的第三节点，其中该联合消息表明所述第二网络认证了所述第一节点(步骤210)。响应于所述联合消息，然后通过所述第一节点中继来自所述第三节点和第二节点的认证消息，用于相互认证所述第三节点和第二节点(步骤215)。

说明书

技术领域

本发明一般地涉及在无线网络节点之间建立信任，并且特别涉及 在不同无线通信网络中工作的节点之间传播相互认证数据。

背景技术

当访问远程数据库或网络时，例如蜂窝电话、个人数字助理 (PDAs)和笔记本电脑的移动设备经常需要认证。这些设备通常通过连 接到认证服务器的基础设施接入点(IAP)被认证，例如基站。可以使 用包括基于局域网的EAP(EAPOL)数据包的可扩展认证协议(EAP) 发送认证请求。认证过程包括发送和接收几个EAPOL数据包，以EAP 开始包开始，并且以EAP成功消息包或EAP失败消息包结束。认证服 务器存储正被认证的移动设备(通常被称为客户端)的认证证书。认 证服务器也可以连接到其他认证服务器，以获得并未本地存储的客户 端认证证书。

在现有系统中，接着是一个集中的程序，其中单独的IAP处理该 IAP范围内的所有客户端的认证过程。遵循美国国家标准协会/电气和 电子工程师协会(ANSI/IEEE)的802.1X或ANSI/IEEE的802.11i标 准的现有系统就使用这样一种集中程序。由于每个客户端只能通过该 IAP被认证，所以这种集中的程序在多跳网络中不可行。在ANSI/IEEE 标准中，定义了移动设备的认证过程，并且该标准论述了客户端、认 证器和认证服务器，其中认证服务器使用认证器对客户端进行认证。 认证服务器信任认证器将从客户端接收到的正确认证信息转发到认证 服务器。然而，标准中定义的认证过程需要客户端具有与认证器直接 通信的信道。

附图说明

这些附图用来进一步说明各种实施例并且根据本发明解释所有实 施例的各种原理和优点，其中在全部各个视图中相同的参考编号指的 是相同的或功能相似的单元，这些视图连同下文的详细描述被并入本 说明书并且形成了本说明书的一部分。

图1是说明根据本发明的一个实施例的用于跨网络传播认证数据 的网络互动的示意图。

图2是说明根据本发明的一个实施例的一种用于通过第一点对点 (ad hoc)无线通信网络和第二ad hoc无线通信网络传播相互认证数据 的方法的总体流程图。

图3是说明根据本发明的一个实施例的网络节点的组件的框图。

本领域技术人员可以理解，附图中的单元是出于简单和清楚的目 的而说明的，并且不必按比例制图。例如，为了，附图中一些单元的 尺寸可以相对于其他元件被扩大，以有助于增进对本发明实施例的理 解。

具体实施方式

在详细描述根据本发明的实施例之前，应当注意到，这些实施例 主要属于涉及在无线通信网络中传播相互认证数据的方法步骤和装置 部件的组合。相应的，这些装置部件和方法步骤已经通过图中的常规 的符号在适当时被表示了，仅仅示出了那些有关于理解本发明的实施 例的具体细节，以便不会因为对得益于此处的描述的本领域技术人员 显而易见的细节而模糊本公开。

在本文中，例如第一和第二、顶和底以及诸如此类的有关术语可 能被单独使用以将一个实体或动作与另一个实体或动作区分开，而在 这些实体或动作之间并不是必须需要或隐含任何实际的这种关系或者 顺序。术语“包括”、“包含”或者其任何其他变体意在覆盖非排他性的包 括，以便包括单元列表的过程、方法、物品或装置并不是仅仅包括那 些单元，而是可以包括没有明确列出或者这些过程、方法、物品或装 置固有的其他单元。前缀是“包括一个......”的单元，没有更多约束，并 不排除在包括该单元的过程、方法、物品或装置中还存在另外的同样 单元。

可以理解这里描述的本发明的实施例可以由一个或多个常规处理 器和独特存储的程序指令组成，这些指令控制一个或多个处理器结合 某些非处理器电路以实现这里描述的无线通信网络中传播相互认证数 据的一些、大多数或全部功能。非处理器电路可以包括，但不限于， 无线电接收机、无线电发射机、信号驱动器、时钟电路、电源电路和 用户输入设备。同样的，这些功能可以被解释为一种在无线通信网络 中传播相互认证数据的方法的步骤。替代地，一些或者全部功能可以 通过不具有存储程序指令的状态机实现，或者在一个或多个专用集成 电路(ASIC)中实现，其中每个功能或某些特定功能的组合按定制逻 辑实现。当然，也可以采用这两种方式的组合。因此，这些功能的方 法和装置在这里已经被描述。进一步地，尽管通过例如可用时间、当 前技术和经济考虑很可能会促使作出重大的努力和很多设计选择，但 是预期本领域技术人员在于此公开的概念和原理的引导下很容易能够 用最少的实验生成这样的软件指令和程序以及集成电路(IC)。

本发明的一个实施例使用来自两个独立的ad hoc无线网络的节 点，以通过两个网络传播认证数据。例如，两个独立的响应团队可能 会到达两个团队需要一起工作的事故现场。该事件现场可以包括例如 犯罪现场、火灾现场、事故现场、生物或化学危害现场或者任何其他 类型的紧急或其他危急现场。那么设想，例如，第一响应团队包括警 务人员并且第二响应团队包括消防人员。警务人员使用第一安全ad hoc 无线网络相互通信，并且消防人员使用第二安全ad hoc无线网络相互 通信。由于两个ad hoc网络都不包括传统的网络基础设施，例如基站， 因此难以使这两个网络能够使用例如基于局域网的可扩展认证协议 (EAP)(EAPOL)数据包的现有技术来进行相互认证。然而，如下文 详述的，本发明的一个实施例使用多跳通信使得相互认证数据能够通 过两个安全ad hoc无线网络传播，以便警务人员和消防人员可以安全 地相互通信。这样有效地产生了包括来自两个安全ad hoc无线网络的 节点的单独“超级网络”。

参照图1，示意图说明了根据本发明的一个实施例的用于跨网络 传播认证数据的网络互动。两个节点100-n(即，100-1、100-2)表示 由线110限定的第一安全ad hoc无线通信网络105的成员。四个其它 节点115-n(即，115-1、115-2、115-3、115-4)表示由线125限定的第 二安全ad hoc无线通信网络120的成员。例如，如上所述，节点100-n 可以与一组警务人员相关联，并且节点115-n可以与一组消防人员相关 联，其中两个组都已经到达事件现场并需要互相通信。每个节点100-n， 115-n都可以包括，例如，无线设备，例如移动电话，个人数字助理 (PDA)，笔记本电脑，或类似物。最初，节点100-n可能无法与节点 115-n安全通信，因为第一网络105和第二网络120之间还没进行相互 认证。

根据本发明的一个实施例，在第二网络120中工作的节点115-1 完成与第一网络105中工作的节点100-2相互认证的过程。例如，与节 点100-2相关联的警务人员和与节点115-1相关联的消防人员可以面对 面的会面并同意他们各自的网络105、120应当互相信任并且应当合并 为单独的超级网络。这个超级网络将包括所有的节点100-n和所有的节 点115-n，从而使两个网络105、120之间能安全通信。进一步地，这 样的相互认证使网络105中工作的节点100-n能够担当网络120中工作 的两个节点115-n之间多跳通信中的一个中间节点。

相互认证过程可以包括节点100-2的用户手动授权信任由与另一 个网络120相关联的信任锚发出的证书。相似地，节点115-1的用户手 动授权信任由与另一个网络105相关联的信任锚发出的证书。在手动 认证完成后，可以使用例如传输层安全(TLS)协议在节点100-2和节 点115-1之间交换证书。

在相互认证完成后，节点100-2和节点115-1遍及网络105和网络 120传播认证相关信息。例如节点115-1可以向网络105中工作的节点 100-1发送联合消息。该联合消息通知节点100-1节点115-1能够与节 点115-n和节点100-n通信。根据本发明的一个实施例，该联合消息可 以包括认证证书，例如符合国际电信联盟(ITU)X.509标准的证书。 这样认证证书向节点115-1提供来自与网络105相关联的信任锚的授 权。这样节点115-1使用联合消息公布它可以担当网络105和网络120 之间的信任桥梁。为了保证联合消息能够被节点100-1接收、接受和处 理，可以将联合消息作为广播消息发送给节点100-1。例如，这样的广 播消息可以包括信标，该信标包括网络105的服务集标识符(SSID)。

响应于该联合消息，节点100-1也可以设法由在两个网络105、120 相互认证。这可以由通过节点115-1在节点100-1和节点100-2之间中 继认证消息来完成。然后相似的认证消息的中继可以通过其他节点 100-n、115-n发生，直到所有的节点100-n、115-n都已由两个网络105、 120相互认证。根据本发明的一个实施例，这种认证消息的中继可以根 据序列号为11/108999的美国专利申请中的描述来执行，该申请于2005 年4月19日提交，标题为“System And Methods For Providing Multi-Hop Access In A Communications Network(通信网络中提供多跳访问的系统 和方法)”，已转让给本申请的受让人，在此通过引用的方式将该申请 的全部内容纳入本说明书。这种认证消息的中继在此被定义为IEEE

802.1X中继认证方法。

参照图2，总体流程图说明了根据本发明的一个实施例的一种用 于既通过第一ad hoc无线通信网络又通过第二ad hoc无线通信网络传 播相互认证数据的方法200。在步骤205，在第一网络中工作的第一节 点和在第二网络中工作的第二节点相互认证。例如，如参照图1所述， 在网络105中工作的节点100-2的用户，手动授权信任由与另一个网络 120相关联的信任锚发出的证书。相似地，在网络120中工作的节点 115-1的用户，手动授权信任与另一个网络105相关联的信任锚发出的 证书。

在步骤210，将联合消息从第一节点发送到在第二网络中工作的 第三节点，其中该联合消息表明第一节点已经由第二网络认证。例如， 如参照图1所述，在相互认证完成后，节点115-1可以向网络105中工 作的节点100-1发送联合消息。该联合消息通知节点100-1节点115-1 能够既与节点115-n又和节点100-n通信。

在步骤215，响应于该联合消息，第三节点和第二节点通过第一 节点中继认证消息进行相互认证。例如，如参照图1所述，在步骤215 中所述作为第三节点执行的节点100-1，也可以设法由两个网络105、 120相互认证。这可以由通过节点115-1，在节点100-1和节点100-2 之间中继认证消息来完成。

在步骤220，在第一网络中工作的第四节点和第一网络中工作的 第五节点被相互认证。最后，在步骤225，使用如上所述的方法步骤， 在第一网络中工作的多个另外节点与在第二网络中工作的多个另外节 点被相互认证。

参照图3，框图说明根据本发明的一个实施例的网络节点的组件， 例如节点100-n或节点115-n。本领域技术人员可以认识到，本发明可 以包括在具有这样的网络节点的系统中。例如，具有节点100-n或节点 115-n的系统可以包括处理器305，例如可操作地耦合到存储器310的 标准微处理器或者专用集成电路(ASIC)。存储器310包括计算机可 读介质，例如本领域公知的随机访问存储器(例如，静态随机访问存 储器(SRAM))、只读存储器(例如：可编程只读存储器(PROM) 或可擦可编程只读存储器(EPROM))或混合存储器(例如，闪存)。 于是介质包括计算机可读程序代码组件，当该计算机可读程序代码组 件被处理器305处理时，其被配置用于引起如上所述的方法200的步 骤的执行。然后例如步骤200中包括的那些通信被可操作地耦合到处 理器305的收发器315发送或接收。

因此，本发明的优点包括使得两个独立ad hoc无线通信网络能够 相互认证。这有效地产生了单独的超级网络，其中，使用通过来自第 一和第二网络的节点之间的多跳通信，来自第一网络的节点能够与来 自第二网络的节点安全通信。进一步地，本领域技术人员可以理解， 本发明的教导也可以使三个或多个独立ad hoc无线通信网络相互认证 成为可能。认证相关信息可以使用认证证书通过这些网络传播，以便 由不止一个网络相互认证过的节点可以识别出信任链，该信任链链接 到与每个网络相关联的已建立的信任锚。

在前述说明书中，已经描述了本发明的具体实施例。然而，本领 域技术人员理解，在不偏离如下面权利要求中阐述的本发明的范围的 情况下，可以进行各种修改和变化。因此，说明书和附图应当被认为 是说明性的而不是限制性的含义，并且希望所有这样的修改都应包括 在本发明的范围之内。益处、优势、问题的解决方案以及可能导致任 何益处、优势、或解决方案产生或变得更加明显的任何元素，都不应 被解释为任何或所有权利要求的关键的、必需的或必要的特征或元素。 本发明仅由所附的权利要求来限定，所附的权利要求包括本申请未决 期间作出的任何修改以及如发布的那些权利要求的所有等同物。

(根据条约第19条的修改)

1.一种既在第一无线通信网络又在第二无线通信网络中传播相 互认证数据的方法，所述方法包括：

相互认证在所述第一无线通信网络中工作的多个节点的第一节点 和在所述第二无线通信网络中工作的多个节点的第二节点，其中在所 述第一无线通信网络中的所述多个节点不能与所述第二无线通信网络 中的所述多个节点安全通信；

将联合消息从所述第一节点发送到在所述第二无线通信网络中工 作的所述多个节点的第三节点，其中所述联合消息表明所述第一节点 能够与所述第一无线通信网络中的所述多个节点以及所述第二无线通 信网络中的所述多个节点安全通信；以及

响应于所述联合消息，通过所述第一节点中继来自所述第三节点 和所述第二节点的认证消息，来相互认证所述第三节点和所述第二节 点。

2.根据权利要求1所述的方法，其中相互认证第一节点和第二节 点包括：

所述第一节点的用户手动授权信任从所述第二节点接收到的证 书；以及

所述第二节点的用户手动授权信任从所述第一节点接收到的证 书。

3.根据权利要求1所述的方法，其进一步包括相互认证在所述第 一网络中的多个另外节点与在所述第二网络中的多个另外节点，由此 创建了包括所述第一无线通信网络中的节点和所述第二无线通信网络 中的节点的单独一个超级网络。

4.根据权利要求1所述的方法，其中所述联合消息包括认证证书， 其从与所述第二无线通信网络相关联的信任锚提供对所述第一节点的 授权。

5.根据权利要求4所述的方法，其中所述认证证书是符合国际电 信联盟(ITU)X.509标准的数字证书。

6.根据权利要求1所述的方法，其中所述联合消息作为广播消息 被发送给所述第三节点。

7.根据权利要求6所述的方法，其中所述广播消息是信标并且包 括由所述第二网络使用的服务集标识符(SSID)。

8.根据权利要求1所述的方法，其中所述联合消息被发送到在所 述第一无线通信网络中工作的所述多个节点和在所述第二无线通信网 络中工作的所述多个节点。

9.根据权利要求1所述的方法，其中相互认证第一节点和第二节 点包括使用传输层安全(TLS)协议在所述第一节点和所述第二节点之 间交换证书。

10.根据权利要求1所述的方法，其中相互认证所述第三节点和 所述第二节点是使用IEEE 802.1X中继认证方法执行的。