- 产品与解决方案
- 行业解决方案
- 服务
- 支持
- 合作伙伴
- 新华三人才研学中心
- 关于我们
WAPI是WLAN Authentication and Privacy Infrastructure（无线局域网鉴别与保密基础结构）的简称，是中国提出的、以802.11无线协议为基础的无线安全标准。WAPI协议由以下两部分构成：
l WAI：是WLAN Authentication Infrastructure（无线局域网鉴别基础结构）的简称，是用于无线局域网中身份鉴别和密钥管理的安全方案；
l WPI：是WLAN Privacy Infrastructure（无线局域网保密基础结构）的简称，是用于无线局域网中数据传输保护的安全方案，包括数据加密、数据鉴别和重放保护等功能。
WAPI系统中所涉及到的基本概念如表1所示。
概念 | 全称及中文解释 | 说明 |
AC | Access Controller，接入控制器 | 用于对WLAN中与之关联的FIT AP进行控制和管理的设备 |
AP | Access Point，接入点 | 是指任何一个能通过无线介质为无线终端提供分布式访问服务的实体 |
AS | Authentication Server，鉴别服务器 | 用于对用户和设备证书进行身份鉴别等，是基于公钥密码技术的WAI中重要的组成部分 |
BK | Base Key，基密钥 | 用于导出单播会话密钥，由证书鉴别过程协商得到或者由预共享密钥导出 |
FAT AP | FAT Access Point，胖AP | 传统AP，除了提供基本的无线连接功能外，还能提供安全、管理和性能增强功能。FAT AP不能与AC关联使用 |
FIT AP | FIT Access Point，瘦AP | 区别于传统的FAT AP，只提供可靠、高性能的无线连接功能，而剥离了其它功能。FIT AP必须与AC关联使用，本文中的AP均指FIT AP |
MSK | Multicast Session Key，组播会话密钥 | 用于保护站点发送的组播MPDU的随机值，由组播主密钥导出，包括组播加密密钥和组播完整性校验密钥 |
PSK | Preshared Key，预共享密钥 | 是发布给STA的静态密钥 |
STA | Station，站点 | 即无线终端，本文中是指带有支持WAPI协议无线网卡的PC、便携式笔记本电脑等无线终端 |
USK | Unicast Session Key，单播会话密钥 | 是由BK通过伪随机函数导出的随机值，分为四个部分：单播加密密钥、单播完整性校验密钥、消息鉴别密钥和密钥加密密钥 |
WAPI user | WAPI用户 | 是指使用WAPI安全模式进行认证的用户，系统所支持的最大WAPI用户数量为1024个。本文中也称为STA |
在一个典型的WAPI系统中，如图1所示，WAPI用户通过AP接入有线IP网络。首先，WAPI用户与AP进行802.11链路协商，之后AP为该用户触发WAI鉴别过程，配合AS完成与用户的双向认证。当认证通过后，AP会发起对该用户的密钥协商，并使用协商出的密钥通过WPI向该WAPI用户提供加、解密服务。
图1 WAPI系统典型组网图
在一个采用了WAPI安全关联机制的WLAN中，当STA需要访问该WLAN时，通过被动侦听AP的信标（Beacon）帧或主动发送探询帧（主动探询过程如图2所示）以识别AP所采用的安全策略：
l 若AP采用证书鉴别方式，AP将发送鉴别激活分组启动证书鉴别过程，当证书鉴别过程成功结束后，AP和STA再进行单播密钥协商和组播密钥通告；
l 若AP采用预共享密钥鉴别方式，AP将与STA直接进行单播密钥协商和组播密钥通告。
WAPI支持如下两种鉴别方式：证书鉴别方式和预共享密钥鉴别方式。
数字证书是一种经PKI（Public Key Infrastructure，公钥基础设施）证书授权中心签名的、包含公开密钥及用户相关信息的文件，是网络用户的数字身份凭证。WAPI系统中所使用的用户证书为数字证书，通过AS对用户证书进行验证，可以唯一确定WAPI用户的身份及其合法性。
证书鉴别是基于STA和AP双方的证书所进行的鉴别。鉴别前STA和AP必须预先拥有各自的证书，然后通过AS对双方的身份进行鉴别，根据双方产生的临时公钥和临时私钥生成BK，并为随后的单播密钥协商和组播密钥通告做好准备。证书鉴别的过程如图3所示。
在进行证书鉴别时，有如下两种证书鉴别模式可供选择：
l 标准鉴别模式：即基于WAPI标准协议的UDP模式。在该模式下，AP与AS之间的WAI协议报文将通过普通的UDP方式进行传输，最终完成证书鉴别。该模式不支持对用户的计费功能。
l AAA鉴别模式：是H3C私有的一种鉴别模式。在该模式下，AP与AS之间通过RADIUS报文完成证书鉴别，WAI协议报文将承载于RADIUS协议报文之上（要求RADIUS服务器支持WAPI功能），作为RADIUS报文的一个私有属性。此外，该模式还能够提供对用户的授权和计费功能（需要RADIUS服务器配合）。
预共享密钥鉴别是基于STA和AP双方的密钥所进行的鉴别。鉴别前STA和AP必须预先配置有相同的密钥，即预共享密钥。鉴别时直接将预共享密钥转换为BK，然后进行单播密钥协商和组播密钥通告。
STA与AP之间交互的单播数据利用单播密钥协商过程所协商出的单播加密密钥和单播完整性校验密钥进行保护；AP利用自己通告的、由组播主密钥导出的组播加密密钥和组播完整性校验密钥对其发送的广播/组播数据进行保护，而STA则采用AP通告的、由组播主密钥导出的组播加密密钥和组播完整性校验密钥对收到的广播/组播数据进行解密。
首先要进行单播密钥的协商，其过程如图4所示。
当单播密钥协商完成后，再使用单播密钥协商过程所协商出的密钥进行组播密钥的通告，其过程如图5所示。
售前咨询
售后咨询
人工在线咨询
