专利名称：一种分布式mesh网络中产生密钥的方法和装置的制作方法
技术领域：
本发明涉及无线网络通信技术，特别涉及一种分布式无线网状(MESH ) 网络中产生密钥的方法和装置。
背景技术：
才艮据配置管理方式和安全策略应用方式的不同，无线网状(MESH)网 络可以分为集中式和分布式两种。其中，分布式MESH网络结构如图l所 示，无线网状网络接入点(MP)之间通过MESH链^各进行通信，各MP独 立配置，如果要组件同 一个MESH网络，则各MP上的MESH标识、MESH 密钥分发域标识(MKD Domain ID )和安全策略等配置必须保持一致。
为了保证无线安全，在通过MESH链路进行数据传输时，需要对数据 进行加密，MESH网络中的密钥管理机制为密钥分发者(MKD)分层密钥 机制，涉及MESH网络中密钥的生成、协商和分发。在这一机制中主要存 在三个角色MKD、 iU正方(Authenticator)和^皮iU正方(Supplicant), — 个MP可能同时作为MKD、认证方和被认证方中的一个或多个角色，其中， 将作为认-汪方的MP称为MA。
MESH链路安全的密钥如图2所示，分为几个层次，第一层为预共享密 钥(PSK) , MKD和被认证方都持有；第二层为密钥分发者对主密钥 (PMK-MKD)，根据PSK生成，MKD和被认证方都持有；第三层为认证 方对主密钥(PMK-MA)，根据PMK-MKD生成，MKD、认证方和被认证 方都持有；第四层为共享会话密钥(PTK),根据PMK-MA生成，该PTK 为最终用户数据加密和解密的密钥。对于MP而言，如果同时与多个作为认 证方的MP建立MESH链路，那么对应每一个认证方都生成不同的
7PMK-MA;不同的MESH链路具有不同的PTK,且每一 MESH链路的PTK 在超过一定时间后还会自动更新，以降低破解密钥的概率。
在分布式MESH网络中，组建同一个MESH网络中的所有MP都位于 同一个MKD域中，同时，每个MP上都同时存在MKD和认证方两种功能， 即同 一个MKD域中的MKD功能分布在各MP上，分别完成域内的认证和 密钥管理功能。仍以图1为例，假设MP3为新加入MESH网络的MP， MP3 与MP2建立MESH连接时，MP2为认证方，MP3为被认i正方，那么MP2 上的MKD功能生成PMK-MKD和PMK-MA，并为MP3分配随4几数 MPK-Anonce; MP2上的认证功能根据PMK-MA和MPK-Anonce等与MP3 通过四次握手过程协商和计算出PTK。另外，MP3与MP5也建立MESH链 路，MP5为认证方，MP3为被认证方，MP5上的MKD功能也会为MP3生 成PMK-MKD和PMK-MA,并为MP3分配随才几数MPK-Anonce。由于MP3、 MP2和MP5位于同 一个MESH域，因此，MP3生成的PMK-MKD应该相 同，这就要求MP2和MP5为MP3分配的MPK-Anonce相同，如果不同， 则MP3会认为MESH网络出现问题而将当前连接的MESH链路关闭。
然而，同一个MESH域中的MKD分布在各MP上，各MP之间缺乏针 对同一 MP产生相同MPK-Anonce的机制，如果采用固定的MPK-Anonce, 例如将MESH网络标识或被i人证方的MAC地址作为种子生成 MPK-Anonce,则会大大增加MPK-Anonce泄漏的概率，降低了 MESH链路 的安全性。
发明内容
有鉴于此，本发明提供了一种分布式MESH网络中产生密钥的方法和 装置，以便于在各MP上实现针对同 一被认证方的MPK-Anonce同步，且提 高MESH链路的安全性。
一种MESH网络中产生密钥的方法，该方法包括
A、作为被认证方的第 一无线网状网络接入点MP接收到作为认证方的第二MP发送的随机数MPK-Anonce时，判断所述第二 MP是否为主密钥分发者 MKD，如果是，执行步骤B，否则执行步骤C;
B、 所述第一 MP记录接收到的所述MPK-Anonce,并和所述第二 MP利用 所述MPK-Anonce协商PTK用于第一 MP和第二 MP之间的MESH链路数据 传输，结束流程；
C、 所述第一 MP将已经记录的MPK-Anonce发送给所述第二 MP,并和所 述第二 MP利用已经记录的MPK-Anonce协商PTK用于第一 MP和第二 MP之 间的MESH链路数据传输。
一种MP,该MP包括协商单元、判断单元和记录单元； 所述协商单元，用于接收到作为认证方的第二 MP发送的MPK-Anonce时， 向所述判断单元发送判断通知；利用所述记录单元提供的MPK-Anonce与所述 第二 MP协商PTK用于第一 MP和第二 MP之间的MESH链路数据传输，并在 所述判断单元的判断结果为否时，将所述记录单元提供的MPK-Anonce发送给 所述第二MP;
所述判断单元，用于接收到所述判断通知后，判断所迷第二 MP是'否为主 MKD;
所述记录单元，用于在所述判断单元的判断结果为是时，记录所述接收单 元接收到的MPK-Anonce,并将该MPK-Anonce提供给所述协商单元；在所述 判断单元的判断结果为否时，将已经记录的MPK-Anonce提供给所述协商单元。
一种MP，该MP包括密钥产生单元和协商单元；
所述密钥产生单元，用于在该MP与第一MP建立MESH链路后，为所述 第一 MP分配MPK-Anonce,并利用预先配置的预PSK生成PMK-MKD,再利 用该PMK-MKD和MPK-Anonce生成PMK-MA;将为第一 MP分配的 MPK-Anonce提供给所述协商单元；
所述协商单元，用于将所述密钥产生单元提供的MPK-Anonce通过第一握 手报文发送给所述第一 MP;如果没有接收到所述第一 MP发送的MPK-Anonce, 则按照所述密钥产生单元提供的MPK-Anonce与所述第一 MP协商PTK用于该传输；如果接收到所述第一 MP发送的 MPK-Anonce，则按照所述第一 MP发送的MPK-Anonce与所述第一 MP协商 PTK用于该MP和第一 MP之间MESH链路数据传输。由以上技术方案可以看出，本发明中作为祐j人证方的第一 MP对主MKD 发送的MPK-Anonce进行记录，在接收到不是主MKD的第二 MP发送的 MPK-Anonce时，将记录的主MKD发送的MPK-Anonce发送给第二 MP， 并与第二MP利用主MKD发送的MPK-Anonce协商PTK用于第一MP和第 二 MP之间的MESH链路数据传输。通过本发明，祐:认证方与各MP协商 PTK时采用的都是主MKD发送的MPK-Anonce,从而实现针对同 一被认证 方的MPK-Anonce同步，本发明无需采用固定的MPK-Anonce,从而降低了 MPK-Anonce泄漏的概率，提高了链路的安全性。
图1为分布式MESH网络的结构示意图；图2为MESH链路安全的密钥层次示意图；图3为现有技术中的PTK协商过程流程图；图4为本发明实施例提供的详细方法流程图；图5为本发明实施例提供的作为被认证方的MP结构示意图；图6为本发明实施例提供的作为MKD和iU正方的MP结构示意图。
具体实施方式
为了使本发明的目的、技术方案和优点更加清楚，下面结合附图和具体 实施例对本发明进行详细描述。本发明提供的方法主要包括作为被认证方的第一 MP接收到作为认证 方的第二 MP发送的MPK-Anonce时，判断该第二 MP是否为主MKD，如 果是，则记录接 的MPK-Anonce,并和第二 MP利用该MPK-Anonce协 商PTK用于第一 MP与第二 MP之间的MESH链路；否则，将已经记录的MPK-Anonce发送给第二 MP,并和第二 MP利用已经记录的MPK-Anonce 协商PTK用于第一 MP与第二 MP之间的MESH链路。为了方便对于本发明的理解，首先对现有技术中PTK的产生流程进行 简单描述。仍以图1中MP3与MP2建立MESH链路协商PTK为例，具体 过程如图3所示，现有PTK的产生过程可以包括以下步骤步骤301: MP3在与MP2建立MESH链路后，作为MKD的MP2为 MP3分配MPK-Anonce，并利用预先配置的PSK生成PMK-MKD，再利用 该PMK-MKD和MPK-Anonce生成PMK-MA。在进4亍MESH网络的组建时，会预先在MESH网络中同一个MKD域 中的各MP上配置相同的PSK。另外，在MESH链路UP之后，会按照预设的策略在该MESH链路的 端节点选择一个作为MKD和认证方，另一个作为被iU正方。具体策略可以 按照现有技术中的方式，例如，按照MAC地址大小，或者按照加入MESH 网络的先后。步骤302: MP2开始与MP3进行四次握手过程，在第一次握手报文中 将为MP3分配MPK-Anonce发送给MP3 步骤303: MP3利用预先配置的PSK生成PMK-MKD,在利用该 PMK-MKD和MPK-Anonce生成PMK-MA; MP3产生随机数MPK-Snonce; 利用本地生成的PMK-MA和MPK-Snonce生成PTK。步骤304: MP3将产生的MPK-Snonce通过第二次握手报文发送给MP2。步骤305: MP2接收到MPK-Snonce后，利用本地产生的PMK-MA和 接收到的MPK-Snonce生成PTK。正常情况下，由于同一个MKD域中配置的PSK相同，因此，MP2和 MP3产生的PMK-MA应该相同，进而生成的PTK也相同。步骤306: MP2利用生成的PTK产生验证码(MIC)通过第三次握手 才良文发送给MP3。步骤307: MP3利用验j正码对本地生成的PTK和MP2产生的PTK的一文验证两端所产生 PTK的一致性，如杲一致，则将该PTK用于MP2和MP3之间MESH链路的数据传输。图4为本发明实施例提供的详细方法流程图，如图4所示，该方法可以 包括以下步骤步骤401:作为被认证方的第一 MP接收到作为"i人证方的第二 MP发送 的MPK-Anonce时，判断该第二 MP是否为主MKD，如果是，执行步骤402; 否则执行步骤403。第一 MP在与第二 MP建立MESH链路之后，同时作为MKD的第二 MP为第一 MP分配MPK-Anonce,并利用预先配置的PSK生成PMK-MKD ， 再利用该PMK-MKD和MPK-Anonce生成PMK-MA。并将为第一 MP分配 MPK-Anonce通过第一握手报文发送给第一 MP。第一 MP接收到该MPK-Anonce后，判断该第二 MP是否为主MKD。 在本发明实施例中可以将与第一 MP最先建立MESH链路的MP作为主MKD,否则作为次MKD。也可以釆用其它方式，不再--赘述。如果第一MP最先与第二MP建立MESH链路，则执行步骤402。步骤402:第一 MP在本地记录接收到的该MPK-Anonce，并按照现有 技术中的方式生成并协商PTK用于第一 MP与第二 MP之间的MESH链路， 即执行图3中步骤303之后的操作，结束流程。步骤403:判断接收到的该MPK-Anonce是否与本地已经记录的 MPK-Anonce相同，如果是，按照现有技术中的方式生成并协商PTK用于 第一 MP与第二 MP之间的MESH链路，即执行图3中步骤303之后的操作， 结束流程；否则，执行步骤404。在本发明中，即便第一 MP两次接收到的MPK-Anonce不同，也不会断 开全部MESH连4妄，而是继续扭J于后续流程。步骤404:第一 MP利用预先配置的PSK生成PMK-MKD,再利用该生成PMK-MA;第一 MP产生随机数 MPK-Snonce;利用本地生成的PMK-MA和MPK-Snonce生成PTK1 。步骤405:第一 MP将产生的MPK-Snonce通过第二次握手才艮文发送给 第二MP。步骤406:第二 MP接收到MPK-Snonce后，利用本地产生的PMK-MA、 和接收到的MPK-Snonce生成PTK1 。步骤407:第二 MP利用本地生成的PTK1产生-睑i正码，并通过第三次 握手报文将该验证码发送给第一 MP。步骤408:笫一 MP利用本地生成的PTK1将本地记录的MPK-Anonce 进行加密后，通过第四次握手报文发送给第二MP。步骤409:第二 MP接收到第一 MP发送的MPK-Anonce后，利用该 MPK-Anonce和本地产生的MPL-MDK重新生成PMK-MA,并利用该重新 生成的PMK-MA和第一 MP发送的MPK-Snonce重新生成PTK2。步骤410:第二 MP利用PTK2重新产生验证码，并将该验证码通过第 三次握手报文发送给第一 MP。步骤411:第一 MP利用记录的MPK-Anonce重新生成PMK-MA、并利 用本地产生的MPK-Snonce和重新生成的PMK-MA，重新生成PTK2，利用 接收到的验证码对两端生成的PTK2的 一致性进行-睑证。步骤412:第一 MP将验证结果通过第四次握手报文发送给第二 MP。如果验证结果为验证通过，则PTK2用于第一MP和第二MP之间MESH 链路的数据传输。下面仍以图1所示架构为例对上述方法进行距离说明。仍假设MP3新 加入MESH网络，首先与MP2建立MESH链路，然后与MP5建立MESH链路。MP2与MP3之间的MESH链路建立后，MP2为MP3分配MPK-Anonce, 记为MPK-Anoncel,并利用预先配置的PSK生成PMK-MKD,再利用该 PMK-MKD和MPK-Anoncel生成PMK-MA。然后开始与MP3进行四次握手过程，在第一次握手报文中将为MP3分配的MPK-Anoncel发送给MP3。 MP3接收到第一次握手报文后，确定最先与MP2建立MESH连接，该MP2 为主MKD,记录接收到的MPK-Anoncel;并利用预先配置的PSK生成 PMK-MKD，在利用该PMK画MKD和MPK-Anoncel生成PMK-MA; MP3 产生随机数MPK-Snonce;利用本地生成的PMK-MA和MPK-Snonce生成 PTK1。 MP3将产生的MPK-Snonce通过第二次握手报文发送给MP2。然后 现有技术进行后续握手过程，从而协商出MP2和MP3之间MESH链路的 PTKl。
MP2与MP5之间的MESH链路建立之后，如果MP5作为MKD和认证 方，则MP5为MP3分配MPK-Anonce，记为MPK-Anonce2，并利用预先配 置的PSK生成PMK-MKD,再利用该PMK-MKD和MPK-Anoncel生成 PMK-MA。 MP5开始与MP3进行四次握手过程，在第一次握手才艮文中将为 MP3分配MPK-Anonce2发送给MP3。 MP3确定该MP5不是主MKD，进一 步判断本地记录的MPK-Anoncel是否与MPK-Anonce2相同，本实施例中假 设不一致，则MP3利用预先配置的PSK生成PMK-MKD,在利用该 PMK-MKD和MPK-Anonce2生成PMK-MA; MP3产生随机数MPK-Snonce; 利用本地生成的PMK-MA和MPK-Snonce生成PTK,记作PTK2。 MP3将 产生的MPK-Snonce通过第二次握手报文发送给MP5 。 MP5接收到 MPK-Snonce后，利用本地产生的PMK-MA、和接收到的MPK-Snonce生成 PTK,该PTK与PTK2相同。MP5利用本地生成的PTK2产生验证码，并通 过第三次握手报文将该验证码发送给MP3。 MP3利用PTK2将本地记录的 MPK-Anoncel进行加密后通过第四次握手报文发送给MP5。 MP5利用该 MPK-Anoncel重新生成PMK-MA，并利用MP3发送的MPK-Snonce和该重 新生成的PMK-MA重新产生PTK3,利用该PTK3产生-睑证码通过第三次握 手报文发送给MP3。 MP3利用记录的MPK-Anoncel重新生成PMK-MA， 并利用本地产生的MPK-Snonce和该重新生成的PMK-MA重新产生PTK3; 利用接收到的一险证码对MP5重新产生的PTK3与本地重新产生的PTK3进行一致性验证，并将验证结果通过第四次握手报文发送给MP5 。如果验证通过，
则该PTK3用于MP3和MP5之间MESH链路的数据传输。
PTK3与PTK1都基于MPK-Anoncel产生，即针对同一认证方MP3在 MP2和MP5上实现MPK-Anonce同步。
以上是对本发明所提供的方法进行的详细描述，下面对本发明所提供的 装置进4亍详细4苗述。
图5为本发明实施例提供的作为被认证方的MP结构示意图，如图5所示， 该MP可以包括协商单元501、判断单元502和记录单元503。
协商单元501,用于接收到作为认证方的第二 MP发送的MPK-Anonce时， 向判断单元502发送判断通知；利用记录单元503提供的MPK-Anonce与第二 MP协商PTK用于第一 MP和第二 MP之间的MESH链路数据传输，并在判断 单元502的判断结果为否时，将记录单元503提供的MPK-Anonce发送给第二 MP。
判断单元502,用于接收到判断通知后，判断第二MP是否为主MKD。
记录单元503,用于在判断单元502的判断结果为是时，记录接收单元501 接收到的MPK-Anonce ，并将该MPK-Anonce提供给协商单元501;在判断单 元502的判断结果为否时，将已经记录的MPK-Anonce提供给协商单元501 。
其中，判断单元503如果确定该MP最先与第二MP建立MESH连接，则 确定第二MP为主MKD;否则确定第二MP为次MKD。
另外，该MP还可以包括密钥产生单元504，用于在协商单元501通过 第 一次握手报文接收到作为认证方的第二 MP发送的MPK-Anonce时，利用预 先配置的PSK生成PMK-MKD，利用该PMK-MKD和MPK-Anonce生成 PMK-MA ,并产生随才几数MPK-Snonce; 利用本地生成的PMK-MA和 MPK-Snonce生成PTK，将MPK-Snonce提供给协商单元501 。
协商单元501，还用于将密钥产生单元504提供的MPK-Snonce通过第二 次握手报文发送给第二 MP;接收第二 MP发送的第三次握手报文后，利用密 钥产生单元504生成的PTK将记录单元503记录的MPK-Anonce进行加密后，通过第四次握手报文发送给第二MP。
更进一步地，该MP还可以包括验证单元505。
协商单元501,还用于在发送第四次握手报文后接收到第二 MP发送的第 三次握手报文时，向密钥产生单元504发送重新处理通知并向验证单元505发 送验证通知；将验证单元505提供的验证结果通过第四次握手报文发送给第二 MP，如果验证通过，则将密钥产生单元504重新生成的PTK用于该MP与第 二 MP之间的MESH链路数据传输。
密钥产生单元504,还用于接收到重新处理通知后，利用记录单元503记 录的MPK-Anonce重新生成PMK-MA,并利用已经产生的PMK-Snonce和重新 生成的PMK-MA重新生成PTK。
验证单元505,用于接收到验证通知后，利用协商单元501接收到的第三 次握手报文中携带的验证码对密钥产生单元504重新产生的PTK和第二 MP重 新产生的PTK进行一致性验证，并将验证结果提供给协商单元501。
图6为本发明实施例提供的作为MKD和认证方的MP结构示意图，如图6 所示，该MP可以包括密钥产生单元601和协商单元602。
密钥产生单元601，用于在该MP与第一 MP建立MESH链路后，为第一 MP分配MPK-Anonce，并利用预先配置的预PSK生成PMK-MKD,再利用该 PMK-MKD和MPK-Anonce生成PMK-MA;将为第一 MP分配的MPK-Anonce 提供给协商单元602。
协商单元602，用于将密钥产生单元601提供的MPK-Anonce通过第一握 手报文发送给第一MP;如果没有接收到第一 MP发送的MPK-Anonce,则按照 密钥产生单元601提供的MPK-Anonce与第一 MP协商PTK用于该MP和第一 MP之间MESH链路数据传输；如果接收到第一 MP发送的MPK-Anonce,则 按照第一 MP发送的MPK-Anonce与第一 MP协商PTK用于该MP和第一 MP 之间MESH链路数据传输。
更进一步地，协商单元602，还可以用于通过第二次握手报文接收第一MP 发送的MPK-Snonce，并将该MPK-Snonce提供给密钥产生单元601;将密钥产生单元601提供的验证码通过第三次握手报文发送给第一 MP;通过第四次握 手报文接收第一 MP发送的加密后的MPK-Anonce。
密钥产生单元601 ，还用于利用产生的PMK-MA和接收到的MPK-Snonce 生成PTK，并利用生成的该PTK产生验证码，将该验证码提供给协商单元601; 利用产生的PTK对加密后的MPK-Anonce进行解密。
另外，密钥产生单元601,还可以用于利用解密后的MPK-Anonce和已经 产生的MPL-MDK重新生成PMK-MA，并利用解密后的MPK-Anonce和重新 生成的PMK-MA重新生成PTK，利用该重新生成的PTK产生验证码，将该验 证码提供给协商单元602。
协商单元602,还用于将重新生成的验证码通过第三次握手报文发送给第 一MP后，如果通过第四次握手报文接收到的验证结果为验证通过，则将重新 生成的PTK用于该MP和第一 MP之间的MESH链路数据传输。
由于MESH网络中的MP可能在一个MESH链路中作为被认证方，同时在 另一个MESH链路中作为MKD和认证方，因此，可能同时具备图5和图6中 所示的结构和功能。
由以上描述可以看出，本发明中作为被认证方的第一 MP对主MKD发送 的MPK-Anonce进行记录，在接收到不是主MKD的第二 MP发送的 MPK-Anonce时，将记录的主MKD发送的MPK-Anonce发送给第二 MP，并与 第二 MP利用主MKD发送的MPK-Anonce协商PTK用于第一 MP和第二 MP 之间的MESH链路数据传输。通过本发明，被认证方与各MP协商PTK时采 用的都是主MKD发送的MPK-Anonce,从而实现针对同 一被认证方的 MPK-Anonce同步，本发明无需采用固定的MPK-Anonce ，从而降低了 MPK-Anonce泄漏的概率，提高了链路的安全性。
以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本 发明的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在 本发明保护的范围之内。
权利要求
1、一种分布式无线网状MESH网络中产生密钥的方法，其特征在于，该方法包括A、作为被认证方的第一无线网状网络接入点MP接收到作为认证方的第二MP发送的随机数MPK-Anonce时，判断所述第二MP是否为主密钥分发者MKD，如果是，执行步骤B，否则执行步骤C；B、所述第一MP记录接收到的所述MPK-Anonce，并和所述第二MP利用所述MPK-Anonce协商PTK用于第一MP和第二MP之间的MESH链路数据传输，结束流程；C、所述第一MP将已经记录的MPK-Anonce发送给所述第二MP，并和所述第二MP利用已经记录的MPK-Anonce协商PTK用于第一MP和第二MP之间的MESH链路数据传输。
2、 根据权利要求1所述的方法，其特征在于，在所述步骤A之前还包括 所述第一MP与所述第二MP建立MESH链路后，作为MKD的第二MP为第 一 MP分配MPK-Anonce,并利用预先配置的预共享密钥PSK生成PMK-MKD, 再利用该PMK-MKD和MPK-Anonce生成PMK-MA;所述第二 MP将为第一 MP分配的MPK-Anonce通过第一握手报文发送给所述第一 MP。
3、 根据权利要求1所述的方法，其特征在于，判断所述第二MP是否为主 密钥分发者MKD具体包括如果所述第一 MP最先与所述第二 MP建立MESH 连接，则所述第二MP为主MKD，否则，所述第二MP为次MKD。
4、 根据权利要求l、 2或3所述的方法，其特征在于，步骤C中所述第一 MP将已经记录的MPK-Anonce发送给所述第二 MP具体包括CI 、所述第一 MP利用预先配置的PSK生成PMK-MKD,利用该PMK-MKD 和接收到的MPK-Anonce生成PMK-MA,并产生随机数MPK-Snonce;C2、所述第一 MP利用本地生成的PMK-MA和MPK-Snonce生成PTK， 并将所述MPK-Snonce通过第二握手报文发送给所述第二 MP;C3、所述第二 MP接收到所述MPK-Snonce后，利用本地产生的PMK-MA 和接收到的MPK-Snonce生成PTK,并利用生成的该PTK产生验证码，通过第 三次握手报文将验证码发送给所述第一 MP;C4、所述第一 MP利用在步骤C2中生成的PTK将本地已经记录的 MPK-Anonce进行加密后，通过第四次握手报文发送给所述第二 MP。
5、 根据权利要求4所迷的方法，其特征在于，步骤C中和所述第二 MP 利用已经记录的MPK-Anonce协商PTK用于第一 MP和第二 MP之间的MESH 链路数据传输具体包括C5、所述第二 MP接收到第一 MP发送的MPK-Anonce后，利用该 MPK-Anonce和本地产生的MPL-MDK重新生成PMK-MA,并利用接收到的 MPK-Anonce和重新生成的PMK-MA重新生成PTK;C6、所述第二MP利用重新生成的PTK产生验证码，将该验证码通过第三 次握手报文发送给第一 MP;C7、所述第一 MP利用已经记录的MPK-Anonce重新生成PMK-MA,并利 用本地产生的PMK-Snonce和重新生成的PMK-MA重新生成PTK;利用接收 到的验证码对第一 MP和第二 MP重新生成的PTK进行一致性验证，并将验证 结果通过第四次握手报文发送给所述第二 MP;如果验证通过，则将重新生成 的PTK用于第一 MP和第二 MP之间的MESH链路数据传输。
6、 一种无线网状网绍-接入点MP，其特征在于，该MP包括协商单元、 判断单元和记录单元；所述协商单元，用于接收到作为认证方的第二 MP发送的MPK-Anonce时， 向所述判断单元发送判断通知；利用所述记录单元提供的MPK-Anonce与所述 第二 MP协商PTK用于第一 MP和第二 MP之间的MESH链路数据传输，并在 所述判断单元的判断结果为否时，将所述记录单元提供的MPK-Anonce发送给 所述第二MP;所述判断单元，用于接收到所述判断通知后，判断所述第二 MP是否为主 MKD;所述记录单元，用于在所述判断单元的判断结果为是时，记录所述接收单元接收到的MPK-Anonce,并将该MPK-Anonce提供给所述协商单元；在所述判断单元的判断结果为否时，将已经记录的MPK-Anonce提供给所述协商单元。
7、 根据权利要求6所述的MP,其特征在于，所述判断单元如果确定该MP最先与所迷第二MP建立MESH连接，则确定所述第二MP为主MKD;否则确定所述第二 MP为次MKD。
8、 根据权利要求6或7所述的MP，其特征在于，该MP还包括密钥产生单元，用于在所述协商单元通过第一次握手报文接收到作为认证方的第二MP发送的MPK-Anonce时，利用预先配置的PSK生成PMK-MKD,利用该PMK-MKD和所述MPK-Anonce生成PMK-MA，并产生随机数MPK-Snonce;利用本地生成的PMK-MA和MPK-Snonce生成PTK,将所述MPK-Snonce提供给所述协商单元；所述协商单元，还用于将所述密钥产生单元提供的MPK-Snonce通过第二次握手报文发送给所述第二 MP;接收所述第二 MP发送的第三次握手报文后，利用所述密钥产生单元生成的PTK将所述记录单元记录的MPK-Anonce进行加密后，通过第四次握手报文发送给所述第二MP。
9、 根据权利要求8所述的MP,其特征在于，该MP还包括验证单元；所述协商单元，还用于在发送第四次握手报文后接收到所述第二 MP发送的第三次握手报文时，向所述密钥产生单元发送重新处理通知并向所述验证单元发送验证通知；将所述验证单元提供的验证结果通过第四次握手冲艮文发送给所述第二 MP,如果验i正通过，则将密钥产生单元重新生成的PTK用于该MP与所述第二 MP之间的MESH链路数据传输；所述密钥产生单元，还用于接收到所述重新处理通知后，利用所述记录单元记录的MPK-Anonce重新生成PMK-MA,并利用已经产生的PMK-Snonce和重新生成的PMK-MA重新生成PTK;所述验证单元，用于接收到所述验证通知后，利用协商单元接收到的第三次握手报文中携带的验证码对所述密钥产生单元重新产生的PTK和所述第二一致性验证，并将验证结果提供给所述协商单元。
10、 一种无线网状网络接入点MP,其特征在于，该MP包括密钥产生单元和协商单元；所述密钥产生单元，用于在该MP与第一MP建立MESH链路后，为所述第一 MP分配MPK-Anonce,并利用预先配置的预PSK生成PMK-MKD，再利用该PMK-MKD和MPK-Anonce生成PMK-MA;将为第一 MP分配的MPK-Anonce提供给所述协商单元；所述协商单元，用于将所述密钥产生单元提供的MPK-Anonce通过第一握手报文发送给所述第一MP;如果没有接收到所述第一MP发送的MPK-Anonce，则按照所述密钥产生单元提供的MPK-Anonce与所述第一MP协商PTK用于该MP和第一 MP之间MESH链路数据传输；如果接收到所述第一 MP发送的MPK-Anonce,则按照所述第一 MP发送的MPK-Anonce与所述第一 MP协商PTK用于该MP和第一 MP之间MESH链路数据传输。
11、 根据权利要求IO所述的MP,其特征在于，所述协商单元，还用于通过笫二次握手报文接收所迷第一 MP发送的MPK-Snonce，并将该MPK-Snonce提供给所述密钥产生单元；将所述密钥产生单元提供的验证码通过第三次握手报文发送给所述第一 MP;通过第四次握手报文接收所述第一 MP发送的加密后的MPK-Anonce;所述密钥产生单元，还用于利用产生的PMK-MA和接收到的MPK-Snonce生成PTK，并利用生成的该PTK产生验证码，将该验证码提供给所述协商单元；利用产生的PTK对所述加密后的MPK-Anonce进行解密。
12、 4艮据权利要求11所述的MP,其特征在于，所述密钥产生单元，还用于利用解密后的MPK-Anonce和已经产生的MPL-MDK重新生成PMK-MA,并利用解密后的MPK-Anonce和重新生成的PMK-MA重新生成PTK,利用该重新生成的PTK产生-睑证码，将该验证码提供给所述协商单元；所述协商单元，还用于将重新生成的验证码通过第三次握手报文发送给所述第一MP后，如果通过第四次握手报文接收到的验证结果为验证通过，则将所述重新生成的PTK用于该MP和第一 MP之间的MESH链路数据传输。
全文摘要
本发明提供了一种分布式无线网状(MESH)网络中产生密钥的方法和装置，作为被认证方的第一无线网状网络接入点(MP)对主密钥分发者(MKD)发送的随机数MPK-Anonce进行记录，在接收到不是主MKD的第二MP发送的MPK-Anonce时，将记录的主MKD发送的MPK-Anonce发送给第二MP，并与第二MP利用主MKD发送的MPK-Anonce协商PTK用于第一MP和第二MP之间的MESH链路数据传输。本发明在各MP上实现针对同一被认证方的MPK-Anonce同步，且提高MESH链路的安全性。
文档编号H04W12/04GK101646172SQ20091009245
公开日2010年2月10日 申请日期2009年9月8日 优先权日2009年9月8日
发明者蔷 吴 申请人:杭州华三通信技术有限公司