密钥信息生成方法及系统、终端设备、接入网设备与流程

本发明实施例涉及通信技术，尤其涉及密钥信息生成方法及系统、终端设备、接入网设备。

背景技术：
在无线通信网络例如：无线局域网（WirelessLocalAreaNetwork，WLAN）连接的建立过程中，认证服务器（AuthenticationServer，AS）需要通过接入网设备，与终端设备执行可扩展的认证协议（ExtensibleAuthenticationProtocol，EAP）认证。在EAP认证成功之后，通过接入网设备与终端设备执行四步密钥握手过程，生成用于会话消息的密钥信息。然而，现有的密钥信息的生成过程中，终端设备与接入网设备之间交互的空口消息较多，使得密钥信息的生成时间较长，导致了密钥信息的生成效率的降低，以及接入网设备的信令处理负担的增加。

技术实现要素：
本发明实施例提供密钥信息生成方法及系统、终端设备、接入网设备，用以提高密钥信息的生成效率。一方面提供了一种密钥信息生成方法，包括：终端设备向接入网设备发送关联请求消息，所述关联请求消息中包含所述终端设备的标识和所述终端设备生成的用于密钥握手的第一随机数，以使得所述接入网设备根据所述终端设备的标识，触发认证服务器与所述终端设备执行无线通信网络认证，以及所述接入网设备根据第一密钥信息、所述第一随机数和所述接入网设备生成的用于密钥握手的第二随机数生成用于会话消息的第二密钥信息，所述第一密钥信息为所述认证服务器通过无线通信网络认证获得后发送给所述接入网设备，或者所述认证服务器预先配置后发送给所述接入网设备；所述终端设备接收所述接入网设备发送的所述第二随机数、MIC和用于组播消息的第三密钥信息；所述终端设备根据第四密钥信息、所述第一随机数和所述第二随机数，生成用于会话消息的第五密钥信息，所述第四密钥信息为所述终端设备通过无线通信网络认证获得，或者所述终端设备预先配置，所述第四密钥信息的内容与所述第一密钥信息的内容一致，所述第五密钥信息的内容与所述第二密钥信息的内容一致；所述终端设备向所述接入网设备发送确认消息，所述确认消息用于通知成功完成所述无线通信网络认证。另一方面提供了一种密钥信息生成方法，包括：接入网设备接收终端设备发送的关联请求消息，所述关联请求消息中包含所述终端设备的标识和所述终端设备生成的用于密钥握手的第一随机数；所述接入网设备根据所述终端设备的标识，触发认证服务器与所述终端设备执行无线通信网络认证；所述接入网设备根据第一密钥信息、所述第一随机数和所述接入网设备生成的用于密钥握手的第二随机数，生成用于会话消息的第二密钥信息，所述第一密钥信息为所述认证服务器通过无线通信网络认证获得后发送给所述接入网设备，或者所述认证服务器预先配置后发送给所述接入网设备；所述接入网设备向所述终端设备发送所述第二随机数、MIC和用于组播消息的第三密钥信息，以使得所述终端设备根据第四密钥信息、所述第一随机数和所述第二随机数，生成用于会话消息的第五密钥信息，所述第四密钥信息为所述终端设备通过无线通信网络认证获得，或者所述终端设备预先配置，所述第四密钥信息的内容与所述第一密钥信息的内容一致，所述第五密钥信息的内容与所述第二密钥信息的内容一致；所述接入网设备接收所述终端设备发送的确认消息，所述确认消息用于通知成功完成所述无线通信网络认证。另一方面提供了一种终端设备，包括：发送器，用于向接入网设备发送关联请求消息，所述关联请求消息中包含所述终端设备的标识和所述终端设备生成的用于密钥握手的第一随机数，以使得所述接入网设备根据所述终端设备的标识，触发认证服务器与所述终端设备执行无线通信网络认证，以及所述接入网设备根据第一密钥信息、所述第一随机数和所述接入网设备生成的用于密钥握手的第二随机数生成用于会话消息的第二密钥信息，所述第一密钥信息为所述认证服务器通过无线通信网络认证获得后发送给所述接入网设备，或者所述认证服务器预先配置后发送给所述接入网设备；接收器，用于接收所述接入网设备发送的所述第二随机数、MIC和用于组播消息的第三密钥信息；处理器，用于根据第四密钥信息、所述第一随机数和所述第二随机数，生成用于会话消息的第五密钥信息，所述第四密钥信息为所述终端设备通过无线通信网络认证获得，或者所述终端设备预先配置，所述第四密钥信息的内容与所述第一密钥信息的内容一致，所述第五密钥信息的内容与所述第二密钥信息的内容一致；所述发送器还用于向所述接入网设备发送确认消息，所述确认消息用于通知成功完成所述无线通信网络认证。另一方面提供了一种接入网设备，包括：接收器，用于接收终端设备发送的关联请求消息，所述关联请求消息中包含所述终端设备的标识和所述终端设备生成的用于密钥握手的第一随机数；处理器，用于根据所述终端设备的标识，触发认证服务器与所述终端设备执行无线通信网络认证，以及根据第一密钥信息、所述第一随机数和所述接入网设备生成的用于密钥握手的第二随机数，生成用于会话消息的第二密钥信息，所述第一密钥信息为所述认证服务器通过无线通信网络认证获得后发送给所述接入网设备，或者所述认证服务器预先配置后发送给所述接入网设备；发送器，用于向所述终端设备发送所述第二随机数、MIC和用于组播消息的第三密钥信息，以使得所述终端设备根据第四密钥信息、所述第一随机数和所述第二随机数，生成用于会话消息的第五密钥信息，所述第四密钥信息为所述终端设备通过无线通信网络认证获得，或者所述终端设备预先配置，所述第四密钥信息的内容与所述第一密钥信息的内容一致，所述第五密钥信息的内容与所述第二密钥信息的内容一致；所述接收器还用于接收所述终端设备发送的确认消息，所述确认消息用于通知成功完成所述无线通信网络认证。另一方面提供了一种密钥信息生成系统，包括上述接入网设备，还包括认证服务器，用于受所述接入网设备触发与所述终端设备执行无线通信网络认证。由上述技术方案可知，本发明实施例通过在终端设备向接入网设备发送的关联请求消息中携带所述终端设备的标识和所述终端设备生成的用于密钥握手的第一随机数，触发认证服务器与所述终端设备执行无线通信网络认证，以及使得所述接入网设备与所述终端设备生成用于会话消息的第二密钥信息，所述终端设备与所述接入网设备之间通过至少三个消息即能生成用于会话消息的第二密钥信息，解决了现有技术中由于终端设备与接入网设备之间交互的空口消息较多的问题，与现有技术相比，密钥信息的生成时间大大缩短，从而提高了密钥信息的生成效率，以及降低了接入网设备的信令处理负担。附图说明为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作一简单地介绍，显而易见地，下面描述中的附图是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。图1为本发明一实施例提供的密钥信息生成方法的流程示意图；图2为本发明另一实施例提供的密钥信息生成方法的流程示意图；图3为本发明另一实施例提供的密钥信息生成方法的流程示意图；图4为本发明另一实施例提供的密钥信息生成方法的流程示意图；图5为本发明另一实施例提供的终端设备的结构示意图；图6为本发明另一实施例提供的接入网设备的结构示意图；图7为本发明另一实施例提供的密钥信息生成系统的结构示意图。具体实施方式为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。本发明的技术方案，可以应用于各种无线通信网络，例如：无线局域网（WirelessLocalAreaNetwork，WLAN）、全球移动通信系统（GlobalSystemforMobileCommunications，GSM）网络、通用分组无线业务（GeneralPacketRadioService，GPRS）网络、码分多址（CodeDivisionMultipleAccess，CDMA）网络、CDMA2000网络、宽带码分多址（WidebandCodeDivisionMultipleAccess，WCDMA）网络、长期演进（LongTermEvolution，LTE）网络或全球微波接入互操作性（WorldInteroperabilityforMicrowaveAccess，WiMAX）网络等。其中，接入网设备，可以是WLAN中的接入点（AccessPoint，AP），还可以是GSM网络、GPRS网络或CDMA网络中的基站（BaseTransceiverStation，BTS），还可以是CDMA2000网络或WCDMA网络中的基站（NodeB），还可以是LTE网络中的演进型基站（EvolvedNodeB，eNB），还可以是WiMAX网络中的接入服务网络的基站（AccessServiceNetworkBaseStation，ASNBS）等网元；或也可以是以上所述接入点、基站后面的控制器或认证器等网元。图1为本发明一实施例提供的密钥信息生成方法的流程示意图，如图1所示。101、终端设备向接入网设备发送关联请求消息，所述关联请求消息中包含所述终端设备的标识和所述终端设备生成的用于密钥握手的第一随机数，以使得所述接入网设备根据所述终端设备的标识，触发认证服务器与所述终端设备执行无线通信网络认证，以及所述接入网设备根据第一密钥信息、所述第一随机数和所述接入网设备生成的用于密钥握手的第二随机数生成用于会话消息的第二密钥信息，所述第一密钥信息为所述认证服务器通过无线通信网络认证获得后发送给所述接入网设备，或者所述认证服务器预先配置后发送给所述接入网设备。其中，所述认证服务器所获得的所述第一密钥信息为所述认证服务器通过本次无线通信网络认证或者之前的无线通信网络认证获得后发送给所述接入网设备。可选地，在本实施例的一个可选实施方式中，所述关联请求消息中所包含的所述终端设备的标识可以包括但不限于所述终端设备的用户标识或所述终端设备的设备标识。例如：所述终端设备的用户标识可以为业务层面的一个用户标识，即账号名；所述终端设备的设备标识可以为终端设备的媒体访问控制（MediaAccessControl，MAC）地址。可选地，在本实施例的一个可选实施方式中，所述关联请求中还可以进一步包含无线通信网络认证开始指示，用以指示请求执行所述无线通信网络认证。102、所述终端设备接收所述接入网设备发送的所述第二随机数、用于组播消息的第三密钥信息和消息完整性校验码（MessageIntegrityCode，MIC）。103、所述终端设备根据第四密钥信息、所述第一随机数和所述第二随机数，生成用于会话消息的第五密钥信息，所述第四密钥信息为所述终端设备通过无线通信网络认证获得，或者所述终端设备预先配置，所述第四密钥信息的内容与所述第一密钥信息的内容一致，所述第五密钥信息的内容与所述第二密钥信息的内容一致。其中，所述终端设备所获得的所述第四密钥信息为所述终端设备通过本次无线通信网络认证或者之前的无线通信网络认证获得。104、所述终端设备向所述接入网设备发送确认消息，所述确认消息用于通知成功完成所述无线通信网络认证。可选地，在本实施例的一个可选实施方式中，在102中，所述终端设备具体可以接收所述接入网设备发送的第一关联响应消息，所述第一关联响应消息中包含所述第二随机数，所述第三密钥信息和所述MIC，所述第一关联响应消息为所述认证服务器在与所述终端设备执行无线通信网络认证成功后触发所述接入网设备发送给所述终端设备。其中，所述确认消息可以为关联确认消息。可以理解的是：所述第一关联响应消息中还可以进一步包含所述接入网设备为所述终端设备分配的关联标识（AssociationID，AID），所述关联标识用于在一个无线通信网络例如：无线局域网中唯一标识一个设备。以WIFI网络为例，相应地，所述无线通信网络认证则可以为EAP认证。那么，进一步可选地，所述关联请求消息中还可以进一步包含EAP认证开始指示，用以指示请求执行所述EAP认证。相应地，所述第一关联响应消息中还可以进一步包含EAP认证成功指示。所述第一密钥信息可以为成对主密钥（PairwiseMasterKey，PMK），或者还可以为预先配置的是预共享密钥（Pre-SharedKey，PSK）；第二密钥信息则可以为成对临时密钥（PairwiseTransientKey，PTK）；第三密钥信息则可以为组播临时密钥（GroupTransientKey，GTK）。可选地，在本实施例的一个可选实施方式中，在102中，所述终端设备具体可以接收所述接入网设备发送的第二关联响应消息，所述第二关联响应消息中包含所述第二随机数；以及接收所述接入网设备发送的密钥消息，所述密钥消息中包含所述第三密钥信息和所述MIC，所述密钥消息为所述认证服务器在与所述终端设备执行无线通信网络认证成功后触发所述接入网设备发送给所述终端设备。可以理解的是：所述第二关联响应消息中还可以进一步包含所述接入网设备为所述终端设备分配的关联标识（AssociationID，AID），所述关联标识用于在一个无线通信网络例如：无线局域网中唯一标识一个设备。以WIFI网络为例，相应地，所述无线通信网络认证则可以为EAP认证。那么，进一步可选地，所述关联请求消息中还可以进一步包含EAP认证开始指示，用以指示请求执行所述EAP认证。相应地，所述密钥消息中还可以进一步包含EAP认证成功指示。其中，所述密钥消息可以为局域网（LocalAreaNetwork，LAN）上的EAP（EAPoverLAN，EAPoL）密钥（EAPoL-key）消息；相应地，所述确认消息则可以为EAPoL-key消息。可以理解的是：所述EAP认证是在所述接入网设备接收关联请求消息之后触发所述认证服务器与所述终端设备执行，并且在所述终端设备接收EAPoL-key消息之前完成。本实施例中，通过在终端设备向接入网设备发送的关联请求消息中携带所述终端设备的标识和所述终端设备生成的用于密钥握手的第一随机数，触发认证服务器与所述终端设备执行无线通信网络认证，以及使得所述接入网设备与所述终端设备生成用于会话消息的第二密钥信息，所述终端设备与所述接入网设备之间通过至少三个消息即能生成用于会话消息的第二密钥信息，解决了现有技术中由于终端设备与接入网设备之间交互的空口消息较多的问题，与现有技术相比，密钥信息的生成时间大大缩短，从而提高了密钥信息的生成效率，以及降低了接入网设备的信令处理负担。图2为本发明另一实施例提供的密钥信息生成方法的流程示意图，如图2所示。201、接入网设备接收终端设备发送的关联请求消息，所述关联请求消息中包含所述终端设备的标识和所述终端设备生成的用于密钥握手的第一随机数。可选地，在本实施例的一个可选实施方式中，所述关联请求消息中所包含的所述终端设备的标识可以包括但不限于所述终端设备的用户标识或所述终端设备的设备标识。例如：所述终端设备的用户标识可以为业务层面的一个用户标识，即账号名；所述终端设备的设备标识可以为终端设备的媒体访问控制（MediaAccessControl，MAC）地址。可选地，在本实施例的一个可选实施方式中，所述关联请求中还可以进一步包含无线通信网络认证开始指示，用以指示请求执行所述无线通信网络认证。202、所述接入网设备根据所述终端设备的标识，触发认证服务器与所述终端设备执行无线通信网络认证。203、所述接入网设备根据第一密钥信息、所述第一随机数和所述接入网设备生成的用于密钥握手的第二随机数，生成用于会话消息的第二密钥信息，所述第一密钥信息为所述认证服务器通过无线通信网络认证获得后发送给所述接入网设备，或者所述认证服务器预先配置后发送给所述接入网设备。其中，所述认证服务器所获得的所述第一密钥信息为所述认证服务器通过本次无线通信网络认证或者之前的无线通信网络认证获得后发送给所述接入网设备。204、所述接入网设备向所述终端设备发送所述第二随机数、MIC和用于组播消息的第三密钥信息，以使得所述终端设备根据第四密钥信息、所述第一随机数和所述第二随机数，生成用于会话消息的第五密钥信息，所述第四密钥信息为所述终端设备通过无线通信网络认证获得，或者所述终端设备预先配置，所述第四密钥信息的内容与所述第一密钥信息的内容一致，所述第五密钥信息的内容与所述第二密钥信息的内容一致。其中，所述终端设备所获得的所述第四密钥信息为所述终端设备通过本次无线通信网络认证或者之前的无线通信网络认证获得。205、所述接入网设备接收所述终端设备发送的确认消息，所述确认消息用于通知成功完成所述无线通信网络认证。可选地，在本实施例的一个可选实施方式中，在204中，所述接入网设备在所述认证服务器与所述终端设备执行无线通信网络认证成功时，向所述终端设备发送第一关联响应消息，所述第一关联响应消息中包含所述第二随机数，所述第三密钥信息和所述MIC。其中，所述确认消息可以为关联确认消息。可以理解的是：所述第一关联响应消息中还可以进一步包含所述接入网设备为所述终端设备分配的关联标识（AssociationID，AID），所述关联标识用于在一个无线通信网络例如：无线局域网中唯一标识一个设备。以WIFI网络为例，相应地，所述无线通信网络认证则可以为EAP认证。那么，进一步可选地，所述关联请求消息中还可以进一步包含EAP认证开始指示，用以指示请求执行所述EAP认证。相应地，所述第一关联响应消息中还可以进一步包含EAP认证成功指示。所述第一密钥信息可以为成对主密钥（PairwiseMasterKey，PMK），或者还可以为预先配置的是预共享密钥（Pre-SharedKey，PSK）；第二密钥信息则可以为成对临时密钥（PairwiseTransientKey，PTK）；第三密钥信息则可以为组播临时密钥（GroupTransientKey，GTK）。可选地，在本实施例的一个可选实施方式中，在204中，所述接入网设备具体可以向所述终端设备发送第二关联响应消息，所述第二关联响应消息中包含所述第二随机数；以及所述接入网设备在所述认证服务器与所述终端设备执行无线通信网络认证成功时，向所述终端设备发送密钥消息，所述密钥消息中包含所述第三密钥信息和所述MIC。可以理解的是：所述第二关联响应消息中还可以进一步包含所述接入网设备为所述终端设备分配的关联标识（AssociationID，AID），所述关联标识用于在一个无线通信网络例如：无线局域网中唯一标识一个设备。以WIFI网络为例，相应地，所述无线通信网络认证则可以为EAP认证。那么，进一步可选地，所述关联请求消息中还可以进一步包含EAP认证开始指示，用以指示请求执行所述EAP认证。相应地，所述密钥消息中还可以进一步包含EAP认证成功指示。其中，所述密钥消息可以为局域网（LocalAreaNetwork，LAN）上的EAP（EAPoverLAN，EAPoL）密钥（EAPoL-key）消息；相应地，所述确认消息则可以为EAPoL-key消息。可以理解的是：所述EAP认证是在所述接入网设备接收关联请求消息之后触发所述认证服务器与所述终端设备执行，并且在所述终端设备接收EAPoL-key消息之前完成。本实施例中，通过在终端设备向接入网设备发送的关联请求消息中携带所述终端设备的标识和所述终端设备生成的用于密钥握手的第一随机数，触发认证服务器与所述终端设备执行无线通信网络认证，以及使得所述接入网设备与所述终端设备生成用于会话消息的第二密钥信息，所述终端设备与所述接入网设备之间通过至少三个消息即能生成用于会话消息的第二密钥信息，解决了现有技术中由于终端设备与接入网设备之间交互的空口消息较多的问题，与现有技术相比，密钥信息的生成时间大大缩短，从而提高了密钥信息的生成效率，以及降低了接入网设备的信令处理负担。为使得本发明实施例提供的方法更加清楚，下面将以WIFI网络作为举例。其中，终端设备可以是WIFI网络中的站点（Station，简称STA）。图3为本发明另一实施例提供的密钥信息生成方法的流程示意图，具体地，通过采用3步关联消息（即关联请求消息、关联响应消息和关联确认消息）实现STA与AP的关联、STA与AS的EAP认证和STA与AP的四步密钥握手（4-WayHandshake），如图3所示。301、STA向AP发送关联（Association）请求（Request）消息，所述关联请求消息中包含EAP认证开始指示、STA的用户标识和STA生成的用于密钥握手的第一随机数SNonce。在301之前，STA可以通过被动扫描或主动扫描，发现AP，该AP可以支持本实施例后续步骤的执行。需要说明的是，所述关联请求消息中所包含的EAP认证开始指示可以是隐含的，例如：通过在现有关联请求消息中设置的一个位来体现，再例如：通过其他字段（如STA的用户标识）来体现，即当AP接收到包含STA的用户标识的关联请求消息后即认为STA发送了EAP认证开始指示，请求执行所述EAP认证；或者也可以是显示的，即通过在现有关联请求消息中新增加信息元素（InformationElement，简称IE）来包含所述EAP认证开始指示。需要说明的是，本实施例具体可以通过在现有关联请求消息中新增加IE来包含STA的用户标识。需要说明的是，本实施例具体可以通过在现有关联请求消息中新增加IE，所述IE可以直接包含STA生成的用于密钥握手的第一随机数SNonce，或者所述IE还可以携带一个EAPoL-Key消息，所述EAPoL-Key消息中封装有所述第一随机数SNonce。302、AP根据显示的所述EAP认证开始指示，或者根据隐含的所述EAP认证开始指示即STA的用户标识，向AS发送EAP认证请求消息，所述EAP认证请求消息中包含STA的用户标识，用以通知AS需要执行EAP认证的STA。可选地，所述EAP认证请求消息中还可以进一步包括STA的安全认证能力信息，以使得AS能够根据所述STA支持的安全认证能力信息选择合适的认证方法。303、STA与AS进行EAP认证，以实现AS对STA的认证，或者AS与STA双方的相互认证，并通过所述EAP认证生成成对主密钥（PairwiseMasterKey，PMK）。具体地，EAP认证方法可以由AS选择，或者还可以通过AS与STA进行协商确定，本实施例对此不进行限定。其中，所述EAP认证的消息传输的格式可以直接采用EAP封装，或者也可以采用802.1X封装，本实施例对此不进行限定。304、AS向AP发送EAP认证成功消息，并同时将所述PMK发送给AP。可以理解的是：如果AS的功能由AP实现，即AS位于AP上，该步骤的发送过程则无需执行。305、AP根据所述第一随机数SNonce、所述PMK和AP生成的用于密钥握手的第二随机数ANonce，生成成对临时密钥（PairwiseTransientKey，PTK），并向STA发送关联响应（Response）消息，所述关联响应消息中包含EAP认证成功指示、所述第二随机数ANonce、用于组播消息的组播临时密钥（GroupTransientKey，GTK）、消息完整性校验码（MessageIntegrityCode，MIC）和AP为STA分配的AID。需要说明的是，所述关联响应消息中包含的EAP认证成功指示可以是隐含的，例如：通过在现有关联响应消息中设置的一个位来体现，再例如：通过其他字段（如所述GTK）来体现；或者也可以是显示的，即通过在现有关联请求消息中新增加信息元素（InformationElement，简称IE）来包含所述EAP认证成功指示。需要说明的是，本实施例具体可以通过在现有关联响应消息中新增加IE，所述IE可以直接包含AP生成的用于密钥握手的第二随机数ANonce，或者所述IE还可以携带一个802.1X消息，所述802.1X消息中封转有所述第二随机数ANonce。需要说明的是，AID是AP分配给STA的关联标识，可以是未加密的；或者还可以是通过PTK加密后放入IE中的，由于AID是AP在生成PTK生成之后为STA分配的，采用PTK对AID进行加密，进一步提高了AID的安全性。需要说明的是，GTK，用于AP进行组播时加密使用，这里通过PTK进行加密传输给STA。需要说明的是，MIC，采用PTK对消息摘要或部分内容进行加密，用于STA确认；306、STA根据所述PMK或者预先配置的PSK、所述第一随机数SNonce和所述第二随机数ANonce，生成PTK，并利用生成的PTK验证所述MIC，并向AP发送关联确认（Confirm）消息，用以通知STA成功完成EAP认证。可以理解的是，所述STA可以在向AP发送EAPoL-key消息之前，或者同时，或者之后，安装所述PTK和所述GTK等相关密钥。可以理解的是，如果AID是经过加密的，STA还可以进一步利用生成的PTK，解密获得所述AID。可以理解的是，所述关联确认消息中还可以进一步包含该消息对应的MIC。至此，STA实现了STA与AP的关联、STA与AS的EAP认证和STA与AP的密钥握手，以及生成并安装了用于会话消息的PTK等。与现有标准中的关联、EAP认证和密钥握手相比，去除了不产生任何实际作用的开放认证，将EAPoL-Start和STA的用户标识的交互和并到关联请求消息中，并且在关联过程中并行处理密钥握手信息，通过3步关联消息（即关联请求消息、关联响应消息和关联确认消息）即可实现PTK的生成并安装，可以减少11条消息交互，从而极大地提高了初始链路建立（包括密钥信息生成）过程的效率。本实施例中，通过在STA向AP发送的关联请求消息中携带所述STA的标识和所述STA生成的用于密钥握手的第一随机数SNonce，触发认证服务器与所述终端设备执行无线通信网络认证，以及使得所述AP与所述STA生成用于会话消息的第二密钥信息PTK，所述STA与所述AP之间通过三个消息即能生成用于会话消息的第二密钥信息PTK，解决了现有技术中由于STA与AP之间交互的空口消息较多的问题，与现有技术相比，密钥信息的生成时间大大缩短，从而提高了密钥信息的生成效率，以及降低了接入网设备的信令处理负担。图4为本发明另一实施例提供的密钥信息生成方法的流程示意图，具体地，通过采用2步关联消息（即关联请求消息和关联响应消息）实现STA与AP的关联，并且在关联过程中实现STA的用户标识的传输和EAP认证的启动，同时在关联过程中进行STA与AP的四步密钥握手（4-WayHandshake）中前两步的随机数的交互，如图4所示。401、STA向AP发送关联（Association）请求（Request）消息，所述关联请求消息中包含EAP认证开始指示、STA的用户标识和STA生成的用于密钥握手的第一随机数SNonce。在401之前，STA可以通过被动扫描或主动扫描，发现AP，该AP可以支持本实施例后续步骤的执行。需要说明的是，所述关联请求消息中所包含的EAP认证开始指示可以是隐含的，例如：通过在现有关联请求消息中设置的一个位来体现，再例如：通过其他字段（如STA的用户标识）来体现，即当AP接收到包含STA的用户标识的关联请求消息后即认为STA发送了EAP认证开始指示，请求执行所述EAP认证；或者也可以是显示的，即通过在现有关联请求消息中新增加信息元素（InformationElement，简称IE）来包含所述EAP认证开始指示。需要说明的是，本实施例具体可以通过在现有关联请求消息中新增加IE来包含STA的用户标识。需要说明的是，本实施例具体可以通过在现有关联请求消息中新增加IE，所述IE可以直接包含STA生成的用于密钥握手的第一随机数SNonce，或者所述IE还可以携带一个EAPoL-Key消息，所述EAPoL-Key消息中封装有所述第一随机数SNonce。402、AP向STA发送关联响应（Response）消息，所述关联响应消息中包含AP生成的用于密钥握手的第二随机数ANonce和AP为STA分配的AID。需要说明的是，本实施例具体可以通过在现有关联响应消息中新增加IE，所述IE可以直接包含AP生成的用于密钥握手的第二随机数ANonce，或者所述IE还可以携带一个802.1X消息，所述802.1X消息中封转有所述第二随机数ANonce。需要说明的是，AID是AP分配给STA的关联标识，是未加密的。403、AP根据显示的所述EAP认证开始指示，或者根据隐含的所述EAP认证开始指示即STA的用户标识，向AS发送EAP认证请求消息，所述EAP认证请求消息中包含STA的用户标识，用以通知AS需要执行EAP认证的STA。可选地，所述EAP认证请求消息中还可以进一步包括STA的安全认证能力信息，以使得AS能够根据所述STA支持的安全认证能力信息选择合适的认证方法。404、STA与AS进行EAP认证，以实现AS对STA的认证，或者AS与STA双方的相互认证，并通过所述EAP认证生成成对主密钥（PairwiseMasterKey，PMK）。具体地，EAP认证方法可以由AS选择，或者还可以通过AS与STA进行协商确定，本实施例对此不进行限定。其中，所述EAP认证的消息传输的格式可以直接采用EAP封装，或者也可以采用802.1X封装，本实施例对此不进行限定。405、AS向AP发送EAP认证成功消息，并同时将所述PMK发送给AP。可以理解的是：如果AS的功能由AP实现，即AS位于AP上，该步骤的发送过程则无需执行。406、AP根据所述第一随机数SNonce、所述PMK和AP生成的用于密钥握手的第二随机数ANonce，生成成对临时密钥（PairwiseTransientKey，PTK），并向STA发送EAPoL-key消息，所述EAPoL-key消息中包含EAP认证成功指示、用于组播消息的组播临时密钥（GroupTransientKey，GTK）和消息完整性校验码（MessageIntegrityCode，MIC）。需要说明的是，所述EAPoL-key消息中包含的EAP认证成功指示可以是隐含的，例如：通过在现有关联响应消息中设置的一个位来体现，再例如：通过其他字段（如所述GTK）来体现；或者也可以是显示的，即通过在现有关联请求消息中新增加信息元素（InformationElement，简称IE）来包含所述EAP认证成功指示。需要说明的是，GTK，用于AP进行组播时加密使用，这里通过PTK进行加密传输给STA。需要说明的是，MIC，采用PTK对消息摘要或部分内容进行加密，用于STA确认；407、STA根据所述PMK或者预先配置的PSK、所述第一随机数SNonce和所述第二随机数ANonce，生成PTK，并利用生成的PTK验证所述MIC，并向AP发送EAPoL-key消息，用以通知STA成功完成EAP认证。可以理解的是，所述STA可以在向AP发送EAPoL-key消息之前，或者同时，或者之后，安装所述PTK和所述GTK等相关密钥。可以理解的是，所述EAPoL-key消息中还可以进一步包含该消息对应的MIC。至此，STA实现了STA与AP的关联、STA与AS的EAP认证和STA与AP的四步密钥握手（4-WayHandshake），以及生成并安装了用于会话消息的PTK等。与现有标准中的关联、EAP认证和密钥握手相比，去除了不产生任何实际作用的开放认证，将EAPoL-Start和STA的用户标识的交互和并到关联请求消息中，并且在关联过程中并行处理密钥握手信息，通过4步消息（即关联请求消息、关联响应消息、EAPoL-key消息和EAPoL-key消息）即可实现PTK的生成并安装，可以减少10条消息交互，从而极大地提高了初始链路建立（包括密钥信息生成）过程的效率。本实施例中，通过在STA向AP发送的关联请求消息中携带所述STA的标识和所述STA生成的用于密钥握手的第一随机数SNonce，触发认证服务器与所述终端设备执行无线通信网络认证，以及使得所述AP与所述STA生成用于会话消息的第二密钥信息PTK，所述STA与所述AP之间通过四个消息即能生成用于会话消息的第二密钥信息PTK，解决了现有技术中由于STA与AP之间交互的空口消息较多的问题，与现有技术相比，密钥信息的生成时间大大缩短，从而提高了密钥信息的生成效率，以及降低了接入网设备的信令处理负担。需要说明的是，对于前述的各方法实施例，为了简单描述，故将其都表述为一系列的动作组合，但是本领域技术人员应该知悉，本发明并不受所描述的动作顺序的限制，因为依据本发明，某些步骤可以采用其他顺序或者同时进行。其次，本领域技术人员也应该知悉，说明书中所描述的实施例均属于优选实施例，所涉及的动作和模块并不一定是本发明所必须的。在上述实施例中，对各个实施例的描述都各有侧重，某个实施例中没有详述的部分，可以参见其他实施例的相关描述。图5为本发明另一实施例提供的终端设备的结构示意图，如图5所示，本实施例的终端设备可以包括发送器51、接收器52和处理器53。其中，发送器51用于向接入网设备发送关联请求消息，所述关联请求消息中包含所述终端设备的标识和所述终端设备生成的用于密钥握手的第一随机数，以使得所述接入网设备根据所述终端设备的标识，触发认证服务器与所述终端设备执行无线通信网络认证，以及所述接入网设备根据第一密钥信息、所述第一随机数和所述接入网设备生成的用于密钥握手的第二随机数生成用于会话消息的第二密钥信息，所述第一密钥信息为所述认证服务器通过无线通信网络认证获得后发送给所述接入网设备，或者所述认证服务器预先配置后发送给所述接入网设备；接收器52用于接收所述接入网设备发送的所述第二随机数、MIC和用于组播消息的第三密钥信息；处理器53用于根据第四密钥信息、所述第一随机数和所述第二随机数，生成用于会话消息的第五密钥信息，所述第四密钥信息为所述终端设备通过无线通信网络认证获得，或者所述终端设备预先配置，所述第四密钥信息的内容与所述第一密钥信息的内容一致，所述第五密钥信息的内容与所述第二密钥信息的内容一致；发送器51还用于向所述接入网设备发送确认消息，所述确认消息用于通知成功完成所述无线通信网络认证。可选地，在本实施例的一个可选实施方式中，所述关联请求消息中所包含的所述终端设备的标识可以包括但不限于所述终端设备的用户标识或所述终端设备的设备标识。例如：所述终端设备的用户标识可以为业务层面的一个用户标识，即账号名；所述终端设备的设备标识可以为终端设备的媒体访问控制（MediaAccessControl，MAC）地址。可选地，在本实施例的一个可选实施方式中，所述关联请求中还可以进一步包含无线通信网络认证开始指示，用以指示请求执行所述无线通信网络认证。可选地，在本实施例的一个可选实施方式中，接收器52具体可以接收所述接入网设备发送的第一关联响应消息，所述第一关联响应消息中包含所述第二随机数，所述第三密钥信息和所述MIC，所述第一关联响应消息为所述认证服务器在与所述终端设备执行无线通信网络认证成功后触发所述接入网设备发送给所述终端设备。其中，所述确认消息可以为关联确认消息。可以理解的是：所述第一关联响应消息中还可以进一步包含所述接入网设备为所述终端设备分配的关联标识（AssociationID，AID），所述关联标识用于在一个无线通信网络例如：无线局域网中唯一标识一个设备。以WIFI网络为例，相应地，所述无线通信网络认证则可以为EAP认证。那么，进一步可选地，所述关联请求消息中还可以进一步包含EAP认证开始指示，用以指示请求执行所述EAP认证。相应地，所述第一关联响应消息中还可以进一步包含EAP认证成功指示。所述第一密钥信息可以为成对主密钥（PairwiseMasterKey，PMK），或者还可以为预先配置的是预共享密钥（Pre-SharedKey，PSK）；第二密钥信息则可以为成对临时密钥（PairwiseTransientKey，PTK）；第三密钥信息则可以为组播临时密钥（GroupTransientKey，GTK）。可选地，在本实施例的一个可选实施方式中，接收器52具体可以接收所述接入网设备发送的第二关联响应消息，所述第二关联响应消息中包含所述第二随机数，以及接收所述接入网设备发送的密钥消息，所述密钥消息中包含所述第三密钥信息和所述MIC，所述密钥消息为所述认证服务器在与所述终端设备执行无线通信网络认证成功后触发所述接入网设备发送给所述终端设备。可以理解的是：所述第二关联响应消息中还可以进一步包含所述接入网设备为所述终端设备分配的关联标识（AssociationID，AID），所述关联标识用于在一个无线通信网络例如：无线局域网中唯一标识一个设备。以WIFI网络为例，相应地，所述无线通信网络认证则可以为EAP认证。那么，进一步可选地，所述关联请求消息中还可以进一步包含EAP认证开始指示，用以指示请求执行所述EAP认证。相应地，所述密钥消息中还可以进一步包含EAP认证成功指示。其中，所述密钥消息可以为局域网（LocalAreaNetwork，LAN）上的EAP（EAPoverLAN，EAPoL）密钥（EAPoL-key）消息；相应地，所述确认消息则可以为EAPoL-key消息。可以理解的是：所述EAP认证是在所述接入网设备接收关联请求消息之后触发所述认证服务器与所述终端设备执行，并且在所述终端设备接收EAPoL-key消息之前完成。本实施例中，终端设备通过在发送器向接入网设备发送的关联请求消息中携带所述终端设备的标识和所述终端设备生成的用于密钥握手的第一随机数，触发认证服务器与所述终端设备执行无线通信网络认证，以及使得所述接入网设备与处理器生成用于会话消息的第二密钥信息，所述终端设备与所述接入网设备之间通过至少三个消息即能生成用于会话消息的第二密钥信息，解决了现有技术中由于终端设备与接入网设备之间交互的空口消息较多的问题，与现有技术相比，密钥信息的生成时间大大缩短，从而提高了密钥信息的生成效率，以及降低了接入网设备的信令处理负担。图6为本发明另一实施例提供的接入网设备的结构示意图，如图6所示，本实施例的接入网设备可以包括接收器61、处理器62和发送器63。其中，接收器61用于接收终端设备发送的关联请求消息，所述关联请求消息中包含所述终端设备的标识和所述终端设备生成的用于密钥握手的第一随机数；处理器62用于根据所述终端设备的标识，触发认证服务器与所述终端设备执行无线通信网络认证，以及根据第一密钥信息、所述第一随机数和所述接入网设备生成的用于密钥握手的第二随机数，生成用于会话消息的第二密钥信息，所述第一密钥信息为所述认证服务器通过无线通信网络认证获得后发送给所述接入网设备，或者所述认证服务器预先配置后发送给所述接入网设备；发送器63用于向所述终端设备发送所述第二随机数、MIC和用于组播消息的第三密钥信息，以使得所述终端设备根据第四密钥信息、所述第一随机数和所述第二随机数，生成用于会话消息的第五密钥信息，所述第四密钥信息为所述终端设备通过无线通信网络认证获得，或者所述终端设备预先配置，所述第四密钥信息的内容与所述第一密钥信息的内容一致，所述第五密钥信息的内容与所述第二密钥信息的内容一致；接收器61还用于接收所述终端设备发送的确认消息，所述确认消息用于通知成功完成所述无线通信网络认证。可选地，在本实施例的一个可选实施方式中，所述关联请求消息中所包含的所述终端设备的标识可以包括但不限于所述终端设备的用户标识或所述终端设备的设备标识。例如：所述终端设备的用户标识可以为业务层面的一个用户标识，即账号名；所述终端设备的设备标识可以为终端设备的媒体访问控制（MediaAccessControl，MAC）地址。可选地，在本实施例的一个可选实施方式中，所述关联请求中还可以进一步包含无线通信网络认证开始指示，用以指示请求执行所述无线通信网络认证。可选地，在本实施例的一个可选实施方式中，发送器63具体可以当处理器62与所述终端设备执行无线通信网络认证成功时，向所述终端设备发送第一关联响应消息，所述第一关联响应消息中包含所述第二随机数，所述第三密钥信息和所述MIC。其中，所述确认消息可以为关联确认消息。可以理解的是：所述第一关联响应消息中还可以进一步包含所述接入网设备为所述终端设备分配的关联标识（AssociationID，AID），所述关联标识用于在一个无线通信网络例如：无线局域网中唯一标识一个设备。以WIFI网络为例，相应地，所述无线通信网络认证则可以为EAP认证。那么，进一步可选地，所述关联请求消息中还可以进一步包含EAP认证开始指示，用以指示请求执行所述EAP认证。相应地，所述第一关联响应消息中还可以进一步包含EAP认证成功指示。所述第一密钥信息可以为成对主密钥（PairwiseMasterKey，PMK），或者还可以为预先配置的是预共享密钥（Pre-SharedKey，PSK）；第二密钥信息则可以为成对临时密钥（PairwiseTransientKey，PTK）；第三密钥信息则可以为组播临时密钥（GroupTransientKey，GTK）。可选地，在本实施例的一个可选实施方式中，发送器63具体可以向所述终端设备发送第二关联响应消息，所述第二关联响应消息中包含所述第二随机数，以及在所述认证服务器与所述终端设备执行无线通信网络认证成功时，向所述终端设备发送密钥消息，所述密钥消息中包含所述第三密钥信息和所述MIC。可以理解的是：所述第二关联响应消息中还可以进一步包含所述接入网设备为所述终端设备分配的关联标识（AssociationID，AID），所述关联标识用于在一个无线通信网络例如：无线局域网中唯一标识一个设备。以WIFI网络为例，相应地，所述无线通信网络认证则可以为EAP认证。那么，进一步可选地，所述关联请求消息中还可以进一步包含EAP认证开始指示，用以指示请求执行所述EAP认证。相应地，所述密钥消息中还可以进一步包含EAP认证成功指示。其中，所述密钥消息可以为局域网（LocalAreaNetwork，LAN）上的EAP（EAPoverLAN，EAPoL）密钥（EAPoL-key）消息；相应地，所述确认消息则可以为EAPoL-key消息。可以理解的是：所述EAP认证是在所述接入网设备接收关联请求消息之后触发所述认证服务器与所述终端设备执行，并且在所述终端设备接收EAPoL-key消息之前完成。本实施例中，通过在终端设备向接收器发送的关联请求消息中携带所述终端设备的标识和所述终端设备生成的用于密钥握手的第一随机数，触发认证服务器与所述终端设备执行无线通信网络认证，以及使得处理器与所述终端设备生成用于会话消息的第二密钥信息，所述终端设备与所述接入网设备之间通过至少三个消息即能生成用于会话消息的第二密钥信息，解决了现有技术中由于终端设备与接入网设备之间交互的空口消息较多的问题，与现有技术相比，密钥信息的生成时间大大缩短，从而提高了密钥信息的生成效率，以及降低了接入网设备的信令处理负担。图7为本发明另一实施例提供的密钥信息生成系统的结构示意图，如图7所示，本实施例的密钥信息生成系统可以包括图6对应的实施例提供的接入网设备71，还包括认证服务器72，用于受所述接入网设备71触发与所述终端设备执行无线通信网络认证。本实施例中，通过在终端设备向接入网设备发送的关联请求消息中携带所述终端设备的标识和所述终端设备生成的用于密钥握手的第一随机数，触发认证服务器与所述终端设备执行无线通信网络认证，以及使得所述接入网设备与所述终端设备生成用于会话消息的第二密钥信息，所述终端设备与所述接入网设备之间通过至少三个消息即能生成用于会话消息的第二密钥信息，解决了现有技术中由于终端设备与接入网设备之间交互的空口消息较多的问题，与现有技术相比，密钥信息的生成时间大大缩短，从而提高了密钥信息的生成效率，以及降低了接入网设备的信令处理负担。所属领域的技术人员可以清楚地了解到，为描述的方便和简洁，上述描述的系统，装置和单元的具体工作过程，可以参考前述方法实施例中的对应过程，在此不再赘述。在本申请所提供的几个实施例中，应该理解到，所揭露的系统，装置和方法，可以通过其它的方式实现。例如，以上所描述的装置实施例仅仅是示意性的，例如，上述单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口，装置或单元的间接耦合或通信连接，可以是电性，机械或其它的形式。上述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。另外，在本发明各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。上述集成的单元既可以采用硬件的形式实现，也可以采用硬件加软件功能单元的形式实现。上述以软件功能单元的形式实现的集成的单元，可以存储在一个计算机可读取存储介质中。上述软件功能单元存储在一个存储介质中，包括若干指令用以使得一台计算机设备（可以是个人计算机，服务器，或者网络设备等）执行本发明各个实施例上述方法的部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器（Read-OnlyMemory，ROM）、随机存取存储器（RandomAccessMemory，RAM）、磁碟或者光盘等各种可以存储程序代码的介质。最后应说明的是：以上实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的精神和范围。