用于认证互操作性的方法和系统与流程

概括地说，本申请涉及无线通信系统，具体地说，本申请涉及用于无线通信系统中的认证的系统、方法和设备。

背景技术：

在很多电信系统中，使用通信网络在一些相互交互的空间分离的设备之间交换消息。可以根据地理范围(例如，其可以是城市区域、局部区域或者个人区域)对网络进行分类。这些网络将分别被指定为广域网(wan)、城域网(man)、局域网(lan)或者个域网(pan)。此外，还根据用于互连各个网络节点和设备的交换/路由技术(例如，电路交换对比分组交换)、进行传输所使用的物理介质的类型(例如，有线对比无线)、以及使用的通信协议集(例如，互联网协议簇、sonet(同步光网络)、以太网等等)来区分网络。

当网络元素是移动的并因此具有动态连接需求时，或者当以自组织而不是固定拓扑来形成网络架构时，无线网络通常是优选的。当诸如无线站(sta)之类的移动网络元素移动到接入点(ap)服务的区域时，无线站和接入点可以交换消息来进行认证，并将无线站与接入点进行关联。直到完成该认证和关联过程为止，无线站都不能够使用该接入点来发送或接收数据。因此，需要用于在移动站和新的接入点之间建立通信的改进方法和系统。

技术实现要素：

本发明的系统、方法和设备均具有若干方面，其没有单独一个方面为其期望属性单独负责。在不限制如所附权利要求书表达的本发明的保护范围的情况下，现在将简要地讨论一些特征。在考虑了该讨论之后，特别是在阅读了标题为“具体实施方式”的部分之后，本领域普通技术人员将理解本发明的特征如何提供包括在无线网络中的接入点和站之间实现改进的通信的优势。

本公开内容的一些方面提供两种不同的认证方法的至少一部分之间的互操作性。例如，在一些方面中，相对于第二认证方法，第一认证方法可以提供一些益处。但是，第二认证方法可能已广泛地部署，而第一认证方法还没有进行部署。另外，第一认证方法的部署可能由于费用和其它因素而被推迟。

因此，有利的是，利用已经在无线网络中部署的网络基础设施的大部分来支持第二认证方法，同时将第一认证方法的选定部分应用于无线网络基础设施。与将第一认证方法的所有组成部分都部署到无线网络时完成的相比，这种方法可以提供第一认证方法的选定部分的更快速部署。仅仅部署第一认证方法的选定部分仍然可以在一个或多个方面提高网络性能。与第一认证方法的完全部署相关联的时间轴相比，通过使用所公开的方法、系统和计算机可读介质可以更快速地实现这种性能提高。

例如，ieee802.11ai(快速初始链路建立或fils)协议当然是被设计为支持快速链路建立。802.11ai提供到新的扩展服务集(ess)和在ess中的快速关联。在802.11ai中存在三种认证类型：1)使用eap-rp的fils共享密钥认证，2)具有完美前向保密(pes)的使用eap-rp的fils共享密钥认证，以及3)fils公钥认证。

ieee802.11r(快速转换)被设计为支持快速基本服务集转换。802.11r可以在es/移动域中提供快速切换。

在一些方面中，作为802.11ai认证的结果，可以通过建立ieee802.11r快速转换(ft)密钥分级结构(例如，来自于ieee802.11规范11.6.1.7.1节)来实现ieee802.11r和ieee802.11ai之间的互操作性。在这些方面中，使用新规定的密钥来建立ft密钥分级结构。根据使用哪种认证方法，来以不同方式推导该新规定的密钥。经由ieee802.11ai认证来推导成对主密钥，而不管认证类型如何。将成对主密钥推导规则用于快速转换密钥分级结构建立，来推导该新规定的密钥。换言之，在一些方面中，新规定的密钥等于ieee802.11ai中的成对主密钥。例如，可以使用公式key＝hmac-hash(snonce||anonce,ikm)来推导新规定的密钥。如果需要的话，在一些方面中，可以将hmac-hash结果截短为长度为256比特。

遵循该密钥的推导的快速转换密钥推导通常遵循ieee快速转换架构所规定的密钥推导，除了将新密钥替换成下式之外：ro-key-data＝kdf-384(newkey,“ft-ro”,ssidlength||ssid||mdid||rokhlength||rokh-id||sokh-id)。因此，可以基于上面所描述的修改的密钥推导，完成接入点和站之间的认证和关联。

公开的一个方面是一种对第一设备进行认证的方法。所述方法包括：由第二设备确定与所述第一无线设备共享的密钥；由所述第二设备基于与所述第一无线设备共享的所述密钥，生成第一成对主密钥；由所述第二设备基于所述第一成对主密钥，生成用于第一接入点的第二成对主密钥；以及由所述第二设备向所述第一接入点发送所述第二成对主密钥。在一些方面中，所述第二成对主密钥用于所述第一接入点和所述第一无线设备之间的安全关联或安全通信。在一些方面中，所述第二设备和所述第一接入点是相同的设备。在一些方面中，所述方法还包括：通过执行与所述第一无线设备的可扩展认证协议，来确定主会话密钥，其中，与所述第一无线设备共享的所述密钥是所述主会话密钥。在一些方面中，所述方法还包括：通过执行与所述第一无线设备的可扩展认证协议再认证协议，来确定再认证主会话密钥。在这些方面中，与所述第一无线设备共享的所述密钥是所述再认证主会话密钥。在一些方面中，所述方法还包括：通过执行与所述第一无线设备的diffiehellman密钥交换，来确定共享秘密；以及进一步基于所述共享秘密，生成所述第一成对主密钥。在一些方面中，所述方法还包括：通过执行与所述第一无线设备的diffiehellman密钥交换，来确定共享秘密。在这些方面中，与所述第一无线设备共享的所述密钥是所述共享秘密。

所述方法的一些方面还包括：基于所述第一无线设备所生成的随机数、所述第二设备所生成的第二随机数、以及与所述第一无线设备共享的所述密钥，生成中间密钥；以及基于所述中间密钥，生成所述第一成对主密钥。所述方法的一些方面还包括：由所述第二设备基于所述第一成对主密钥，生成用于第二接入点的第三成对主密钥，其中所述第三成对主密钥用于所述第二接入点和所述第一无线设备之间的通信；以及向所述第二接入点发送所述第三成对主密钥。

在一些方面中，所述方法包括：从所述第一接入点接收用于所述第一无线设备的、具有完美前向保密的共享密钥认证请求；以及响应于接收到所述共享密钥认证请求，进一步基于再认证主会话密钥，生成所述第一成对主密钥。在一些方面中，所述方法包括：将所述再认证主会话密钥和所述共享秘密级联，其中，所述第一成对主密钥的所述生成是基于所述级联的。在一些方面中，所述方法包括：响应于接收到所述共享密钥认证请求，由所述第二设备向认证服务器发送认证请求；以及由所述第二设备从所述认证服务器接收所述再认证主会话密钥。

公开的另一个方面是一种用于对第一设备进行认证的装置。所述装置包括处理器，所述处理器被配置为：确定与所述第一无线设备共享的密钥；基于与所述第一无线设备共享的所述密钥，生成第一成对主密钥；基于所述第一成对主密钥，生成用于第一接入点的第二成对主密钥；以及发射机，所述发射机被配置为：向所述第一接入点发送所述第二成对主密钥。在一些方面中，所述第二成对主密钥用于所述第一接入点和所述第一无线设备之间的安全关联或安全通信。在一些方面中，所述第一接入点和所述装置是相同的设备。

在所述装置的一些方面中，所述处理器还被配置为：通过执行与所述第一无线设备的可扩展认证协议，来确定主会话密钥，其中，与所述第一无线设备共享的所述密钥是所述主会话密钥。在所述装置的一些方面中，所述处理器还被配置为：通过执行与所述第一无线设备的可扩展认证协议再认证协议，来确定再认证主会话密钥。在这些方面中，与所述第一无线设备共享的所述密钥是所述再认证主会话密钥。

在所述装置的一些方面中，所述处理器还被配置为：通过执行与所述第一无线设备的diffiehellman密钥交换，来确定共享秘密；以及进一步基于所述共享秘密，来生成所述第一成对主密钥。在一些方面中，所述处理器还被配置为：通过执行与所述第一无线设备的diffiehellman密钥交换，来确定共享秘密，其中，与所述第一无线设备共享的所述密钥是所述共享秘密。在所述装置的一些方面中，所述处理器还被配置为：基于所述第一无线设备所生成的随机数、所述装置所生成的随机数、以及与所述第一无线设备共享的所述密钥，生成中间密钥；以及基于所述中间密钥，生成所述第一成对主密钥。在所述装置的一些方面中，所述处理器还被配置为：基于所述第一成对主密钥，生成用于第二接入点的第三成对主密钥，其中所述第三成对主密钥用于所述第二接入点和所述第一无线设备之间的通信，并且其中，所述发射机还被配置为：向所述第二接入点发送所述第三成对主密钥。所述装置的一些方面还包括接收机，所述接收机被配置为：从所述第一接入点接收用于第一无线设备的、具有完美前向保密的共享密钥认证请求。在这些方面中，所述处理器还被配置为：响应于接收到所述共享密钥认证请求，进一步基于再认证主会话密钥，生成所述第一成对主密钥。

在所述装置的一些方面中，所述处理器还被配置为：将所述再认证主会话密钥和所述共享秘密级联，其中，所述处理器还被配置为：基于该级联，生成所述第一成对主密钥。在一些方面中，所述发射机还被配置为：响应于接收到所述共享密钥认证请求，向认证服务器发送认证请求。在这些方面中，所述接收机还被配置为：从所述认证服务器接收所述再认证主会话密钥。

公开的另一个方面是一种用于对第一设备进行认证的装置。所述装置包括：用于确定与所述第一无线设备共享的密钥的单元；用于基于与所述第一无线设备共享的所述密钥，生成第一成对主密钥的单元；用于基于所述第一成对主密钥，生成用于第一接入点的第二成对主密钥的单元；以及用于向所述第一接入点发送所述第二成对主密钥的单元。

在一些方面中，所述装置包括：用于通过执行与所述第一设备的可扩展认证协议，来确定主会话密钥的单元，其中，与所述第一设备共享的所述密钥是所述主会话密钥。在一些方面中，所述装置包括：通过执行与所述第一设备的可扩展认证协议再认证协议，来确定再认证主会话密钥，其中，与所述第一无线设备共享的所述密钥是所述再认证主会话密钥。

在一些方面中，所述装置包括：用于通过执行与所述第一无线设备的diffiehellman密钥交换，来确定共享秘密的单元；以及用于进一步基于所述共享秘密，来生成所述第一成对主密钥的单元。在一些方面中，所述装置包括：用于通过执行与所述第一设备的diffiehellman密钥交换，来确定共享秘密的单元，其中，与所述第一设备共享的所述密钥是所述共享秘密。在一些方面中，所述装置还包括：用于基于所述第一设备所生成的随机数、所述装置所生成的随机数、以及与所述第一设备共享的所述密钥，来生成中间密钥的单元；以及用于基于所述中间密钥，生成所述第一成对主密钥的单元。

所述装置的一些方面还包括：用于基于所述第一成对主密钥，生成用于第二接入点的第三成对主密钥的单元，其中所述第三成对主密钥用于所述第二接入点和所述第一无线设备之间的通信；以及用于向所述第二接入点发送所述第三成对主密钥的单元。

所述装置的一些方面还包括：用于从所述第一接入点接收用于所述第一设备的、具有完美前向保密的共享密钥认证请求的单元；以及用于响应于接收到所述共享密钥认证请求，进一步基于再认证主会话密钥，生成所述第一成对主密钥的单元。

所述装置的一些方面还包括：用于将所述再认证主会话密钥和所述共享秘密级联的单元，其中，所述第一成对主密钥的所述生成是基于所述级联的。在这些方面中的一些方面中，所述装置包括：用于响应于接收到所述共享密钥认证请求，向认证服务器发送认证请求的单元；以及用于从所述认证服务器接收所述再认证主会话密钥再认证主会话密钥的单元。

公开的另一个方面是一种包括指令的计算机可读存储介质，其中当所述指令被执行时，使得处理器执行对第一无线设备进行认证的方法。所述方法包括：由第二设备确定与所述第一无线设备共享的密钥；由所述第二设备基于与所述第一无线设备共享的所述密钥，生成第一成对主密钥；由所述第二设备基于所述第一成对主密钥，生成用于第一接入点的第二成对主密钥；以及由所述第二设备向所述第一接入点发送所述第二成对主密钥。在一些方面中，所述第二成对主密钥用于所述第一接入点和所述第一无线设备之间的安全关联或安全通信。在一些方面中，所述第二设备和所述第一接入点是相同的设备。在一些方面中，所述方法还包括：通过执行与所述第一无线设备的可扩展认证协议，来确定主会话密钥，其中，与所述第一无线设备共享的所述密钥是所述主会话密钥。一些方面，所述方法还包括：通过执行与所述第一无线设备的可扩展认证协议再认证协议，来确定再认证主会话密钥。在这些方面中，与所述第一无线设备共享的所述密钥是所述再认证主会话密钥。在一些方面中，所述方法还包括：通过执行与所述第一无线设备的diffiehellman密钥交换，来确定共享秘密；以及进一步基于所述共享秘密，生成所述第一成对主密钥。在一些方面中，所述方法还包括：通过执行与所述第一无线设备的diffiehellman密钥交换，来确定共享秘密。在这些方面中，与所述第一无线设备共享的所述密钥是所述共享秘密。

所述计算机可读存储介质的一些方面包括用于使得处理器进一步执行还包括以下操作的方法的指令：基于所述第一无线设备所生成的随机数、所述第二设备所生成的第二随机数、以及与所述第一无线设备共享的所述密钥，生成中间密钥；以及基于所述中间密钥，生成所述第一成对主密钥。所述方法的一些方面还包括：由所述第二设备基于所述第一成对主密钥，生成用于第二接入点的第三成对主密钥，其中所述第三成对主密钥用于所述第二接入点和所述第一无线设备之间的通信；以及向所述第二接入点发送所述第三成对主密钥。

在一些方面中，所述crm方法包括：从所述第一接入点接收用于所述第一无线设备的、具有完美前向保密的共享密钥认证请求；以及响应于接收到所述共享密钥认证请求，进一步基于再认证主会话密钥，生成所述第一成对主密钥。在一些方面中，所述方法包括：将所述再认证主会话密钥和所述共享秘密级联，其中，所述第一成对主密钥的所述生成是基于所述级联的。在一些方面中，所述方法包括：响应于接收到所述共享密钥认证请求，由所述第二设备向认证服务器发送认证请求；以及由所述第二设备从所述认证服务器接收所述再认证主会话密钥。

公开的另一个方面是一种对第一设备进行认证的方法。所述方法包括：由第一设备确定与第二设备共享的密钥；由所述第一设备基于与所述第二设备共享的所述密钥，生成第一成对主密钥；由所述第一设备生成用于与所述第二设备的通信的第二成对主密钥；以及基于所述第二成对主密钥，与所述第二设备进行通信。

在一些方面中，所述方法还包括：通过执行与所述第二设备的可扩展认证协议，来确定主会话密钥，其中，与所述第二设备共享的所述密钥是所述主会话密钥。在一些方面中，所述方法还包括：通过执行与所述第二设备的可扩展认证协议再认证协议，来确定再认证主会话密钥，其中，与所述第二设备共享的所述密钥是所述再认证主会话密钥。在一些方面中，所述方法包括：将所述再认证主会话密钥与所述共享秘密级联，其中，所述第一成对主密钥的所述生成是基于所述级联的。在一些方面中，所述方法还包括：通过执行与所述第二设备的diffiehellman密钥交换，来确定共享秘密；以及进一步基于所述共享秘密，生成所述第一成对主密钥。在一些方面中，所述方法还包括：通过执行与所述第二设备的diffiehellman密钥交换，来确定共享秘密，其中，与所述第一设备共享的所述密钥是所述共享秘密。在一些方面中，所述方法还包括：基于所述第一设备所生成的随机数、所述第二设备所生成的第二随机数、以及与所述第二设备共享的所述密钥，来生成中间密钥；以及基于所述中间密钥，生成所述第一成对主密钥。在一些方面中，所述方法还包括：由所述第一设备基于所述第一成对主密钥，生成用于第三设备的第三成对主密钥；以及基于所述第三成对主密钥，与所述第三设备进行通信。

公开的另一个方面是一种用于对第一设备进行认证的装置。所述装置包括处理器，所述处理器被配置为：确定与第二设备共享的密钥；基于与所述第二设备共享的所述密钥，生成第一成对主密钥；生成用于与所述第二设备的通信的第二成对主密钥；以及基于所述第二成对主密钥，与所述第二设备进行通信。在所述装置的一些方面中，所述处理器还被配置为：通过执行与所述第二设备的可扩展认证协议，来确定主会话密钥，其中，与所述第二设备共享的所述密钥是所述主会话密钥。在所述装置的一些方面中，所述处理器还被配置为：通过执行与所述第二设备的可扩展认证协议再认证协议，来确定再认证主会话密钥，其中，与所述第二设备共享的所述密钥是所述再认证主会话密钥。

在所述装置的一些方面中，所述处理器还被配置为：将所述再认证主会话密钥与所述共享秘密级联，其中，所述第一成对主密钥的所述生成是基于所述级联的。在所述装置的一些方面中，所述处理器还被配置为：通过执行与所述第二设备的diffiehellman密钥交换，来确定共享秘密；以及进一步基于所述共享秘密，生成所述第一成对主密钥。在一些方面中，所述处理器还被配置为：通过执行与所述第二设备的diffiehellman密钥交换，来确定共享秘密，其中，与所述第一设备共享的所述密钥是所述共享秘密。在一些方面中，所述处理器还被配置为：基于所述第一设备所生成的随机数、所述第二设备所生成的第二随机数、以及与所述第二设备共享的所述密钥，生成中间密钥；以及基于所述中间密钥，生成所述第一成对主密钥。在一些方面中，所述处理器还被配置为：基于所述第一成对主密钥和第三设备的一个或多个属性，生成用于所述第三设备的第三成对主密钥；以及基于所述第三成对主密钥，与所述第三设备进行通信。

附图说明

图1示出了其中可以采用本公开内容的方面的示例性无线通信系统。

图2示出了图1的移动设备中的一个或多个移动设备的无线设备的说明性实施例。

图3示出了在扩展认证协议(eap)认证和扩展认证协议再认证协议(eap-rp)认证期间的消息流。

图4示出了在快速基本服务集(bss)转换(ft)认证期间的消息流。

图5示出了在认证过程的一个实施例期间，在无线网络组件之间的消息流。

图6示出了在认证过程的另一个实施例中，在无线网络组件之间的消息流。

图7示出了在认证过程的另一个实施例中，在无线网络组件之间的消息流。

图8示出了在认证过程的另一个实施例中，在无线网络组件之间的消息流。

图9示出了当不存在本地er服务器时，在认证过程的另一个实施例中，在无线网络组件之间的消息流。

图10是示出使用来自第一认证协议和第二认证协议的认证消息的消息序列图。

图11示出了一种认证方法中的密钥分级结构。

图12是一种对设备进行认证的方法的流程图。

图13示出了在认证过程的另一个实施例中，在无线网络组件之间的消息流。

图14示出了在认证过程的另一个实施例中，在无线网络组件之间的消息流。

图15是一种对设备进行认证的方法的流程图。

图16是一种对设备进行认证的方法的流程图。

图17是一种对设备进行认证的方法的流程图。

具体实施方式

下文参考附图更充分描述了新颖的系统、装置和方法的各个方面。然而，本公开内容可以以许多不同的形式来体现，并且不应被解释为受限于贯穿本公开内容所呈现的任何特定的结构或功能。更确切地说，提供了这些方面使得本公开内容将是透彻和完整的，并将本公开内容的范围充分传达给本领域技术人员。基于本文的教导，本领域技术人员应当意识到，本公开内容的范围旨在涵盖本文所公开的新颖的系统、装置和方法的任何方面，无论该方面是独立地实现还是与本发明的任何其它方面结合地来实现的。例如，使用本文所阐述的任何数量的方面可以实现一种装置或可以实施一种方法。此外，本发明的范围旨在涵盖使用其它结构、功能、或者除了本文所阐述的本发明的各个方面的或不同于本文所阐述的本发明的各个方面的结构和功能来实施的这样的装置或方法。应当理解，本文所公开的任何方面可以由权利要求的一个或多个元素来体现。

尽管本文描述了特定方面，但这些方面的许多变型和置换落在本公开内容的范围之内。尽管提到了优选方面的一些益处和优点，但本公开内容的范围并非旨在受限于特定益处、用途或目标。更确切地说，本公开内容的方面旨在广泛地适用于不同的无线技术、系统配置、网络和传输协议，其中一些借助于示例在附图和以下对优选方面的描述中进行说明。该详细描述和附图仅仅说明本公开内容而非限定本公开内容，本公开内容的范围由所附权利要求书及其等效项来定义。

图1示出了其中可以采用本公开内容的方面的示例性无线通信系统100。无线通信系统100包括接入点(ap)104a，其可以与基本服务区域(bsa)107a中的多个站(sta)106a-106d进行通信。无线通信系统100还可以包括可以在bsa107b中进行通信的第二ap104b。一个或多个sta106可以例如经由火车120，移入和/或移出bsa107a-107b。在本文所描述的各个实施例中，sta106和106a-106d可以被配置为与ap104a和/或104b快速地建立无线链路，特别是当移入到bsa107a和/或107b中时。在站和接入点之间建立无线通信可以包括认证和关联中的一项或多项。

在各个实施例中，无线通信系统100可以包括无线局域网(wlan)。wlan可以用于使用一种或多种网络协议来互连附近的设备。本文描述的各个方面可以应用于任何通信标准(例如，ieee802.11无线协议)。例如，本文描述的各个方面可以使用成ieee802.11a、802.11b、802.11g、802.11n、802.11ah和/或802.11ai协议的一部分。802.11协议的实现可以用于传感器、家庭自动化、个人医疗保健网络、监管网络、计量、智能网格网络、车辆内和车辆间通信、紧急协调网络、蜂窝(例如，3g/4g)网络卸载、短和/或长距离互联网接入(例如，结合热点使用)、机器到机器(m2m)通信等等。

ap104a-104b可以服务成用于无线通信系统100的集线器或者基站。例如，ap104a可以提供bsa107a中的通信覆盖，以及ap104b可以提供bsa107b中的通信覆盖。ap104a和/或ap104b可以包括、实现为或者称为节点b、无线网络控制器(rnc)、演进型节点b、基站控制器(bsc)、基站收发机(bts)、基站(bs)、收发机功能单元(tf)、无线路由器、无线收发机或者某种其它术语。

sta106和106a-106d(本文统称为sta106)可以包括各种各样的设备，例如，膝上型计算机、个人数字助理(pda)、移动电话等等。sta106可以经由遵循wifi(例如，诸如802.11ai之类的ieee802.11协议)的无线链路，连接到ap104a-104b或者与之相关联，以获得与互联网或者其它广域网的通常连接。sta106还可以称为“客户端”。

在各个实施例中，sta106可以包括、实现为或者称为接入终端(at)、用户站、用户单元、移动站、远程站、远程终端、用户终端(ut)、终端、用户代理、用户装置、用户设备(ue)或某种其它术语。在一些实现中，sta106可以包括蜂窝电话、无绳电话、会话发起协议(sip)电话、无线本地环路(wll)站、个人数字助理(pda)、具有无线连接能力的手持设备、或者连接到无线调制解调器的某种其它适当处理设备。因此，本文所教导的一个或多个方面可以并入到电话(例如，蜂窝电话或智能电话)、计算机(例如，膝上型计算机)、便携式通信设备、头戴装置、便携式计算设备(例如，个人数据助理)、娱乐设备(例如，音乐或视频设备、或卫星无线设备)、游戏设备或系统、全球定位系统设备或者被配置为经由无线介质进行通信的任何其它适当设备中。

ap104a连同与该ap104a相关联的sta106a-106d(它们被配置为使用ap104a来进行通信)可以称为基本服务集(bss)。在一些实施例中，无线通信系统100可以不具有中央ap104a。例如，在一些实施例中，无线通信系统100可以充当为sta106之间的对等网络。因此，本文描述的ap104a的功能可以替代地由sta106中的一个或多个sta106来执行。此外，在一些实施例中，ap104a可以实现关于sta106所描述的一个或多个方面。

有助于实现从ap104a到sta106中的一个或多个sta106的传输的通信链路可以称为下行链路(dl)130，以及有助于实现从sta106中的一个或多个sta106到ap104a的传输的通信链路可以称为上行链路(ul)140。替代地，下行链路130可以称为前向链路或前向信道，以及上行链路140可以称为反向链路或反向信道。

各种各样的过程和方法可以用于ap104a和sta106之间的、在无线通信系统100中的传输。在一些方面中，可以使用正交频分复用(ofdm)、直接序列扩频(dsss)通信、ofdm和dsss通信的组合或者其它方案来发送无线信号。例如，可以根据ofdm/ofdma过程，在ap104a和sta106之间发送和接收信号。因此，无线通信系统100可以称为ofdm/ofdma系统。再举一个例子，可以根据cdma过程，在ap104a和sta106之间发送和接收信号。因此，无线通信系统100可以称为cdma系统。

与实现其它无线协议的设备相比，实现这些协议的某些设备(例如，ap104a和sta106)的方面可以消耗更少的功率。这些设备可以用于跨越相对长的距离(例如，大约一公里或者更长)来发送无线信号。如本文所进一步详细描述的，在一些实施例中，设备可以被配置为：比实现其它无线协议的设备更快速地建立无线链路。

关联和认证

通常，在ieee802.1x协议中，在sta和认证服务器(例如，提供诸如身份验证、授权、隐私和不可复制之类的认证服务的服务器)之间发生认证。例如，充当为认证器的ap在认证过程期间，在该ap和认证服务器之间中继消息。在一些实例中，使用局域网承载可扩展认证协议(eapol)帧来传输sta和ap之间的认证消息。可以在ieee802.11i协议中规定eapol帧。可以使用远程认证用户拨如服务(radius)协议或者直径认证、授权和计费协议，来传输ap和认证服务器之间的认证消息。

在认证过程期间，认证服务器可能花费较长的时间来对从ap接收的消息进行响应。例如，认证服务器可以物理地位于远离该ap的位置，所以这种延迟可以归因于回程链路速度。再举一个例子，认证服务器可能正在对sta和/或ap发起的大量的认证请求进行处理(例如，在密集区域中(诸如在火车120上)可能存在大量的sta，这些sta中的每一个都在尝试建立连接)。因此，这种延迟可以归因于认证服务器上的负载(例如，业务)。

由于归因于认证服务器的这种延迟，sta106可能在很长的一段时间内都是空闲的。

图2示出了可以在图1的无线通信系统100中采用的无线设备202的示例性功能框图。无线设备202是可以被配置为实现本文所描述的各种方法的设备的例子。例如，无线设备202可以包括图1中的设备104或106中的一个。

无线设备202可以包括处理器204，其控制无线设备202的操作。处理器204还可以称为中央处理单元(cpu)。存储器206(其可以包括只读存储器(rom)和随机存取存储器(ram)两者)可以向处理器204提供指令和数据。存储器206的一部分还可以包括非易失性随机存取存储器(nvram)。处理器204通常基于存储在存储器206中的程序指令来执行逻辑和算术运算。可以执行存储器206中的指令以实现本文所描述的方法。

处理器204可以包括或作为使用一个或多个处理器实现的处理系统的组件。一个或多个处理器可以使用下面的任意组合来实现：通用微处理器、微控制器、数字信号处理器(dsp)、现场可编程门阵列(fpga)、可编程逻辑器件(pld)、控制器、状态机、门控逻辑、分离硬件组件、专用硬件有限状态机或者可以执行计算或者信息的其它操作的任何其它适当实体。

该处理系统还可以包括用于存储软件的机器可读介质。软件应当被广泛地解释为意味着任何类型的指令，无论是称为软件、固件、中间件、微代码、硬件描述语言或其它术语。指令可以包括代码(例如，具有源代码格式、二进制代码格式、可执行代码格式或者任何其它适当的代码格式)。当这些指令由一个或多个处理器执行时，使得处理系统执行本文所描述的各种功能。

无线设备202还可以包括壳体208，其可以包括发射机210和/或接收机212，以便允许在无线设备202和远程位置之间进行数据的发送和接收。可以将发射机210和接收机212组合到收发机214中。可以将天线216附接到壳体208和电耦合到收发机214。此外，无线设备202还可以包括(没有示出)多个发射机、多个接收机、多个收发机和/或多付天线。

无线设备202还可以包括信号检测器218，其可以用于尽力检测和量化收发机214所接收的信号的电平。信号检测器218可以检测诸如总能量、每子载波每符号的能量、功率谱密度之类的信号和其它信号。无线设备202还可以包括用于对信号进行处理的数字信号处理器(dsp)220。dsp220可以被配置为生成用于传输的分组。在一些方面中，该分组可以包括物理层数据单元(ppdu)。

在一些方面中，无线设备202还可以包括用户接口222。用户接口222可以包括键盘、麦克风、扬声器和/或显示器。用户接口222可以包括用于向无线设备202的用户传送信息和/或从用户接收输入的任何元件或者组件。

可以通过总线系统226将无线设备202的各个组件耦合在一起。例如，总线系统226可以包括数据总线，以及除了数据总线之外，还可以包括电源总线、控制信号总线和状态信号总线。本领域普通技术人员应当理解，无线设备202的组件可以耦合在一起，或者使用某种其它机制来接受输入或者向彼此提供输入。

虽然在图2中示出了多个单独的组件，但本领域普通技术人员应当认识到，可以对这些组件中的一个或多个组件进行组合或者共同地实现。例如，处理器204可以用于不仅实现上面关于处理器204所描述的功能，还可以实现上面关于信号检测器218和/或dsp220所描述的功能。此外，可以使用多个单独的元件来实现图2中所示出的组件中的每一个组件。

无线设备202可以包括图1中所示出的无线设备中的任何无线设备，并且可以用于发送和/或接收通信。也就是说，无线设备104或106中的任何无线设备可以服务成发射机或者接收机设备。某些方面预期在存储器206和处理器204上运行的软件所使用信号检测器218，以用于检测发射机或者接收机的存在。

如上所述，诸如无线设备202之类的无线设备可以被配置为：在诸如无线通信系统100之类的无线通信系统中提供服务。

图3示出了可扩展认证协议(eap)完全认证过程(eap)302(例如，如ietfrfc2284中所规定的，故以引用方式将其全部内容并入本文)和再认证过程(eap-rp)304(例如，如ietfrfc6696中所规定的，故以引用方式将其全部内容并入本文)的消息流。在一些方面中，完全eap认证302包括：sta106a从eap认证器接收eap请求/身份消息306a。在一些方面中，eap认证器308可以是接入点或者无线lan控制器。响应于来自认证器的该触发，sta106a可以通过发送eap发起/再认证消息来发起erp交换，其中eap发起/再认证消息可以被包括在消息流314中。

在eap完全认证期间，认证服务器312可以生成以下各项中的一项或多项：主会话密钥(msk)、扩展主会话密钥(emsk)、再认证根密钥(rrk)和再认证完整性密钥(rik)。

当完全eap认证完成时，认证服务器312可以经由消息316向sta106a发送eap成功状态。还可以在消息316中向sta106a提供主会话密钥(msk)。

随后，sta106a可以执行与第二认证器310的eap再认证过程(eap-rp)304。在一些方面中，第二认证器310可以是第二接入点。在一些方面中，第二认证310可以是无线lan控制器。sta106a可以经由eap认证器310向认证服务器312发送eap再认证消息318。在一些方面中，认证服务器312可以生成再认证主会话密钥(rmsk)，并且经由eap认证器310向sta106发送eap再认证完成消息320。

图4示出了ieee802.11r快速基本服务集(bss)转换(ft)认证和再认证过程400。首先，sta106a可以经由消息流406，执行与第一接入点104a的成功的会话建立和数据传输。可以使用ieee802.11认证来执行该第一认证和数据传输。在一些方面中，消息流406可以包括无线lan控制器402和/或认证服务器404(没有示出)，但可以不包括第二接入点104b。

在sta106a与第一接入点104a的认证期间，认证服务器404可以向无线lan控制器402提供主会话密钥(msk)。根据该主会话密钥，无线lan控制器可以推导一个或多个成对主密钥(示出的pmk1)，并且向第一接入点104a提供至少该pmk1。第一接入点104a可以使用wlc402所提供的pmk1来与sta106a进行安全关联。例如，可以使用根据wlc402所提供的pmk1推导出的密钥(即，ptk)来对第一接入点104a和sta106a之间的通信进行加密。

随后，sta106a可能移入到第二接入点104b的范围之内。随后，sta106a可以向第二接入点104b发送802.11认证请求408。作为响应，ap104b可以向无线lan控制器402发送密钥请求消息409a。无线lan控制器402经由响应的密钥响应消息409b，向第二接入点提供第二成对主密钥(pmk2)。第二接入点104b可以使用第二成对主密钥(pmk2)来推导ptk2，并使用ptk2对sta106a和第二接入点104b之间的通信进行加密。随后，ap104b向sta106a发送认证响应消息410。sta106a还可以经由重新关联请求/答复消息412/414，执行与第二接入点104b的重新关联。

图5是示出在认证方法的一个实施例中，在网络设备组件之间的消息流的示出。图5示出了包括认证服务器501的归属域502，连同两个移动域505a和505b。在每一个移动域505a-b中，分别存在两个接入点ap104a-b和ap104c-d。每一个移动域505a-b还包括无线lan控制器(wlc)506a-b。wlc的506a-b还可以称为“r0密钥持有者”。在图5的底部示出的sta106a可以从图的左侧移动到右侧。随着sta106a移动，其可以向ap104a进行认证，随后向ap104b进行认证，随后向ap104c进行认证，并随后向ap104d进行认证。

认证消息交换515a可以执行完全eap认证，如图3中所示。使用完全eap认证，sta106a发起的认证将使得与认证服务器501交换消息。例如，认证服务器501可以创建主会话密钥(msk1)，并且向wlc506a提供msk1。随后，wlc506a可以基于msk1来推导成对主密钥(pmk)，并且向ap104提供该pmk(该密钥在图5中示出成pmk-r1-1)。在一些方面中，提供给ap104a的pmk还可以是基于ap104a的特性(例如，ap104a的媒体访问控制(mac)地址)来推导的。

随后，sta106a可以经由认证消息交换515b向ap104b进行认证。由于ap104b与ap104a位于相同的移动域中，因此sta106a可以(经由来自ap104b的信标消息)确定其不需要执行向ap104b的完全eap认证，而是替代地基于在wlc206a处存储的主会话密钥(msk1)来执行认证。在一些方面中，作为认证消息交换515b的一部分，sta106执行快速基本服务集转换认证。当sta106a向ap104b进行认证时，该认证可能不需要wlc506a与认证服务器501交换消息。替代地，wlc506a基于当sta106a向ap104a进行认证时，认证服务器501所提供的第一主会话密钥(msk1)，来推导第二pmk，其在图5中示出成pmk-r1-2。在一些方面中，还可以基于ap104b的一个或多个特性(例如，ap104b的媒体访问控制(mac)地址)，来推导第二pmk。由于当sta106a向ap104b进行认证时，不需要与认证服务器501交换消息，因此与认证消息交换515a相比，可以更快速地发生认证消息交换515b。另外，相对于在sta106a每一次向新的接入点进行认证时，都需要向认证服务器501进行认证的解决方案相比，减少了认证服务器501上的负载。

随后，sta106a可以移动到某个位置，使得ap104b在通信范围之外，sta106a可以经由消息交换515c向ap104c进行认证。在ieee802.11r中，sta106a随后执行另一个完全eap认证(作为消息交换515c的一部分)，这是由于与ap104a(其处于移动域505a中)相比，ap104c位于不同的移动域(505b)中。在该完全eap认证期间，认证服务器501生成新的主会话密钥(msk2)，并且向无线lan控制器(wlc)506b发送msk2。随后，wlc506b基于该msk2(并且在一些方面中，还基于ap104c的一个或多个特性)来生成pmk。当sta106a再次移动并与ap104d进行连接时，由于ap104d与ap104c位于相同的移动域中，因此sta106a可以经由消息交换515d来执行认证。在一些方面中，消息交换515d执行快速基本服务集转换认证。在该认证期间，wlc506b可以基于从认证服务器501接收的、先前推导的msk2，来生成新的pmk(pmk-r1-4)。由于msk2可以存储在wlc506b处，因此可以在无需与认证服务器501进行通信的情况下发生该认证。

图6示出了在认证过程的另一个实施例期间，在无线网络组件之间的消息流。图6示出了归属域602和两个移动域605a-b。归属域602包括认证服务器601。移动域605a-b中的每一个包括eap再认证服务器或者本地er服务器606a-b。移动域605a-b中的每一个均分别包括两个接入点ap104e-f和ap104g-h。

类似于图5，在图6中，sta106a首先经由消息交换615a向ap104e进行认证。作为消息交换615a的一部分，该第一认证执行向认证服务器601的扩展认证协议再认证协议(eap-rp)认证。在sta106和认证服务器601之间的交换期间，ap104e可以执行中继服务。在向认证服务器601的初始再认证(其在初始的完全eap认证之后立即执行)期间，认证服务器601创建再认证根密钥(rrk1)或者特定于域的根密钥(dsrk1)，并且向本地er服务器606a提供rrk1或者dsrk1。随后，本地er服务器606a根据dsrk1或者rrk1来推导再认证主会话密钥(rmsk1)，并且向ap104e提供rmsk1。在一些方面中，可以经由eap完成再认证消息向ap104e提供该信息，如rfc6696中所描述的。ap104e可以随后提供该信息。

随后，ap104e使用rmsk1来执行与sta106a的通信。随后，sta106b移出ap104e的范围，并且经由认证协议消息交换615b来向ap104f进行认证。由于本地er服务器606a存储了来自sta106a向ap104e进行的第一次认证的rrk1，因此经由消息交换615b发生的第二认证可以不需要与认证服务器601进行通信。替代地，本地er服务器606a可以根据特定于域的根密钥(dsrk1)或者再认证根密钥rrk1来推导第二再认证主会话密钥(rmsk2)，并且向ap104f提供该rmsk2。在一些方面中，可以在eap完成再认证消息中，向ap104e提供该信息。随后，ap104f可以基于该rmsk2来与sta106a进行通信。

随后，sta106a进行移动，使得其不再位于ap104f的范围之内。随后，sta106a可以使用eap-rp来向ap104g进行认证。由于本地er服务器606b不具有与该sta106a相关联的密钥，因此本地er服务器606b与认证服务器601进行通信，以获得用于站106a的再认证根密钥rrk2或者特定于域的根密钥dsrk2。随后，本地er服务器606b推导用于sta106a的再认证主会话密钥(rmsk3)，并且向ap104g提供该密钥，其中ap104g使用该rmsk3密钥与sta106a进行通信。

随后，sta106a向ap104h进行认证。由于本地er服务器606b具有与sta106a相关联的密钥(即，rrk2)，因此本地er服务器606b基于从认证服务器601接收的密钥(dsrk2或者rrk2)来推导新的再认证主会话密钥(rmsk4)，以便在sta106a和ap104h之间进行使用。随后，ap104h使用rmsk4与sta106a进行通信。

图7示出了在认证过程的另一个实施例中，在无线网络组件之间的消息流。通信系统700包括归属域702和两个移动域705a-b。在归属域中，存在认证服务器701。在移动域705a-b中的每一个移动域中，分别存在本地er服务器706a-b。在一些方面中，本地er服务器706a-b中的任意一个可以是图2的无线设备202。此外，每一个移动域705a-b还分别包括两个接入点ap104i-j和ap104k-l。

类似于参照图6所描述的认证方法，认证服务器701向本地er服务器706a和706b分别提供再认证根密钥rrk1和rrk2或者特定于域的根密钥dsrk1和dsrk2。可以经由连接到本地er服务器706a和706b中的每一个的接入点(分别为ap104i-j和ap104k-l)，响应于sta106a认证来提供这些密钥。

图7示出了在sta106a和ap104i之间的认证消息交换715a。在一些方面中，该认证消息交换可以使用第一认证协议，例如，eap再认证(eap-rp)认证协议。在一些方面中，本地er服务器706a-b可以基于认证服务器701提供的密钥(例如，如图7中所示出的rrk1/rk2或者dsrk1/dsrk2)，生成再认证主会话密钥(rmsk)。随后，可以使用该再认证主会话密钥来生成向接入点ap104i-l提供的pmk。例如，当sta106a通过认证消息交换715a，经由ap104i来进行认证时，本地er服务器706a可以根据从认证服务器701接收的再认证根密钥rrk1，来推导第一再认证主会话密钥(rmsk1)。在一些方面中，本地er服务器706a可以基于再认证主会话密钥rmsk1，来生成第一pmk。在一些方面中，该第一pmk是pmk-r0。随后，本地er服务器706a可以基于rmsk1，生成第二pmk(例如，如图7中所示的pmk-r1-1)。在一些方面中，pmk-r1-1还可以是基于pmk-r0的。在一些方面中，pmk-r1的生成可以是另外地基于ap104i的一个或多个特性(例如，其媒体访问控制地址)和/或sta106a的特性(例如，其媒体访问控制(mac)地址)的。本地er服务器706a还可以响应于经由ap104j而来自于sta106a的认证消息交换715b，还基于rmsk1，来生成第二pmk(在图7中示出成pmk-r1-2)。认证消息交换715b可以包括从sta106a到ap104j的第二认证协议再认证请求。在一些方面中，消息交换715a是eap-rp交换，并且认证消息交换715b是快速bss转换认证。当ap104j从sta106a接收到第二认证协议再认证请求时，其可以从本地er服务器706a请求密钥。响应于接收到该密钥请求，本地er服务器706a可以生成第二pmkrmk-r1-2。替代地，本地er服务器706a可以在eap-rp再认证期间或者响应于eap-rp再认证，主动地生成用于ap104j的pmk。在一些实施例中，可以主动地向ap104j发送用于ap104j的pmk-r1，使得当与sta106a发生消息交换715b时，ap104j已经具有可用于结合该sta106a使用的pmk-r1。

消息交换715c可以是sta106a和ap104k之间的eap-rp再认证。eap-rp再认证可以传送通过ap104k，使得sta106a和本地er服务器706b交换eap-rp协议消息。认证消息交换715d可以使用第二认证协议，例如，快速bss转换(ft)认证。在一些方面中，在接收到作为第二认证协议的一部分的认证请求消息之后，ap104l可以向本地er服务器706b发送用于请求在与sta106a进行通信时使用的密钥的消息。

如图8中所示，在一些其它方面中，上面所描述的本地er服务器706a-b的一些功能可以由诸如本地er服务器806a-b和密钥持有者设备807a-b之类的多个设备来执行。在这些方面中的一些方面中，密钥持有者设备807a-b可以是上面在图2中所示出的无线设备202。

在一些移动域中，诸如图8中所示出的那些移动域，本地er服务器806a-b和单独的密钥持有者设备807a-b可以用于执行移动设备(例如，移动设备sta106a)的认证。例如，在一些方面中，本地er服务器可以推导再认证主会话密钥(例如，上面所讨论的rmsk1和/或rmsk2)，并且将这些密钥提供给“r0密钥持有者”设备807a-b。随后，r0密钥持有者设备807a-b可以基于该再认证主会话密钥，来生成用于接入点的pmk。例如，图8示出了向ap104i提供pmk-r1-1的密钥持有者设备807a。密钥持有者设备807a可以基于本地er服务器806a所提供的rmsk1，来推导pmk-r1-1。在一些方面中，可以首先根据再认证主会话密钥(rmsk1或者rmsk2)来推导中间pmk(例如，pmk-r0)，随后根据该pmk-r0来推导pmk-r1。

返回到图7的描述，sta106a与ap104i发生经由消息交换715a的第一认证(图4)。该认证可以相应地使用认证服务器701来执行，并且在一些方面中，该认证可以使用扩展认证协议再认证协议(eap-rp)。可以在无需联系认证服务器701的情况下，执行经由消息交换715b来执行的第二认证。例如，由于本地er服务器706a(或者图8的密钥持有者设备)可能已存储了再认证主会话密钥rmsk1，因此可以在无需与认证服务器701进行通信的情况下，生成用于ap104j的pmk-r1-2。

当sta106a经由消息交换715c来向ap104k进行认证时，可以与认证服务器701执行eap再认证(eap-rp)。sta106a可以至少部分地基于确定ap104k与ap104j处于不同的移动域中，确定要执行eap-rp。可以经由ap104j和ap104k所发送的信标信号来提供该信息。sta106a还可以经由ap104k所发送的信标信号，确定其认证服务器701可经由ap104k来访问。经由消息交换715c发生的eap再认证可以使得认证服务器701向本地er服务器706b提供再认证根密钥rrk2。本地er服务器706b根据该再认证根密钥rrk2来推导再认证主会话密钥rmsk2。随后，基于该rmsk2来推导pmk-r1-3(在一些方面中，经由诸如pmk-r0之类的中间成对主密钥)。随后，该pmk-r1-3用于ap104k和sta106a之间的通信。

当sta106a经由认证消息交换715d来向ap104l进行认证时，本地er服务器706b(或者图8中的密钥持有者设备807b)可以从ap104l接收密钥请求消息，其请求在sta106a和ap104l之间的通信中使用的密钥。由于本地er服务器706b已存储了rmsk2，因此其可以推导在ap104l和sta106a之间的通信中使用的pmk-r1-4，并且向ap104l发送包括该pmk-r1-4的密钥响应消息。

在图8中，消息交换815a可以执行可扩展认证协议再认证协议(eap-rp)认证，如上面关于图3所讨论的。在一些方面中，消息交换815b可以执行快速基本服务集转换(ft)认证，如上面关于图4所讨论的。类似地，消息交换815c可以执行eap-rp认证，而消息交换815d执行ft认证。

类似于关于图7所讨论的消息传送，响应于ap104j和/或ap104l执行与sta106a的快速基本服务集转换认证，ap104j和/或ap104l可以分别向r0密钥持有者设备807a和/或807b发送密钥请求消息。响应于该密钥请求消息，ap104j和/或ap104l可以生成pmk-r1-2和/或pmk-r1-4，并且经由密钥响应消息，将这些pmk发送给ap。替代地，当从本地er服务器806a-b相应地接收到再认证主会话密钥时，r0密钥持有者设备807a-b可以主动地向ap发送pmk-r1。

使用图8中所示出的认证方法800，单个本地er服务器(例如，er服务器806a-b)可以支持多个移动域(即，诸如密钥持有者设备807a-b之类的多个密钥持有者设备)。

图9示出了在认证过程的另一个实施例中，在无线网络组件之间的消息流。在该认证方法900中，在移动域905a-b中，不存在本地er服务器。因此，不是由认证服务器901向本地er服务器提供再认证根密钥(例如，如图7或图8中所示，在这两个图中，认证服务器701和801分别向本地er服务器806a-b提供再认证根密钥rrk1和rrk2)，而是认证服务器901向密钥持有者设备907a-b分别提供再认证主会话密钥rmsk1和rmsk2。在一些方面中，密钥持有者设备907a-b可以是图2中所示出的无线设备202。随后，密钥持有者设备907a-b可以类似于上面关于图8所描述的密钥持有者设备807a-b进行操作。例如，消息交换915-a和915c中的每一个可以执行eap-rp认证，而消息交换915-b和915d执行快速基本服务集转换(ft)认证。

在图9中，消息交换915a可以执行可扩展认证协议再认证协议(eap-rp)认证，如上面关于图3所讨论的。在一些方面中，消息交换915b可以执行快速基本服务集转换(ft)认证，如上面关于图4所讨论的。类似地，消息交换915c可以执行eap-rp认证，而消息交换915d执行ft认证。

图10是sta106a、两个接入点ap104o-p、密钥持有者设备(在该情况下，无线lan控制器1007)和本地er服务器(例如，图7中的本地er服务器706a或706b)或者认证服务器(例如，认证服务器801或901中的任何认证服务器)之间的消息序列图。在一些方面中，密钥持有者设备1007可以是图2的无线设备202和/或来自图8的密钥持有者设备807a-b。

在发生消息序列1000之前，sta106a可以已在第一移动域中，执行向其归属认证服务器的完全eap认证。ap104o可以位于与第一移动域不同的第二移动域中。在一些方面中，sta106a可以经由ap104o所发送的信标信号，确定ap104o位于第二移动域中。sta106a还可以确定其归属认证服务器可经由ap104o来访问。随后，sta106a向ap104o发送用于指示其归属认证服务器的eap再认证请求1002a。ap104o可以将eap再认证请求1002作为消息1002b转发给无线lan控制器(wlc)1007。wlc1007可以将eap再认证请求消息作为消息1002c发送给该eap再认证请求所指示的本地er服务器或者归属域认证服务器。

作为响应，本地er服务器或者归属域授权服务器生成用于sta106a的再认证主会话密钥(rmsk)(示出成“rmsk”)，并且向wlc1007发送再认证响应1004a。wlc1007可以存储该再认证主会话密钥(rrk)。随后，wlc1007基于该再认证主会话密钥(rmsk)，生成成对主密钥。wlc1007还可以基于第一成对主密钥，来生成第二成对主密钥。在一些方面中，第一成对主密钥是pmk-r0，而第二成对主密钥是pmk-r1。随后，wlc607a向ap104o发送eap再认证响应消息1004b。该消息1004b可以包括pmk(例如，pmk-r1)，该pmk是基于从本地er服务器或者归属域认证服务器接收的再认证主会话密钥的。随后，ap1040将该再认证作为消息1004c转发给sta106a。

接着，sta106a向ap104p发送快速基本服务集转换(ft)认证消息。作为响应，ap104p经由密钥请求消息1008从wlc1007请求密钥。随后，wlc1007生成第二pmk，以用于由ap104p与sta106a进行通信。可以基于sta106a和/或ap104p的一个或多个属性来生成该pmk。在密钥响应消息1010中，向ap104p发送该pmk(“pmk-r1-2”)。

在从wlc1007接收到pmk-r1-2之后，ap104p可以经由消息1012，来完成与sta106a的ft认证。

在一些其它方面中，可以在接收到密钥请求消息1008之前，由wlc1007主动地生成该“pmk-r1-2”。例如，可以在与sta106a的eap-rp交换1002/1004期间，生成pmk-r1-2。在一些方面中，甚至在sta106a发送ft认证消息1006之前，wlc1007可以向接入点发送pmk-r1-2。

图11示出了一种认证方法(例如，图8-10中所示出的认证方法)中的密钥分级结构。图11示出了根密钥1102。可以根据根密钥1102来推导主会话密钥(msk)1104。可以根据主会话密钥1104来推导一个或多个推导出的主会话密钥(msk)1106。可以根据推导出的主会话密钥1106来推导成对主密钥(pmk)1108。

可以根据根密钥1102来推导扩展主会话密钥(emsk)1110。在一些方面中，emsk可以是至少64比特，并且可以根据rfc3748，作为sta和认证服务器之间的相互认证的结果来推导。在一些方面中，可以根据rfc5247，使用可扩展认证协议会话标识符和二进制或者文本指示来命名emsk。可以基于可扩展认证协议(eap)方法来规定会话标识符(根据rfc5217附录)。对于eap-tls(rfc5216)而言：

key_material＝tls-prf-128(rk,"clienteapencryption",client.random||

server.random)(tls-prf-128产生1024比特输出)

msk＝key_material(0,63)(即，key_material的高512比特)

emsk＝key_material(64,127)(即，key_material的低512比特)

session-id＝0x0d||client.random||server.random.

其中，client.random和server.random是在认证期间，在服务器(as)和客户端(sta)之间交换的随机数(均32b)，并且tls-prf-x输出x个八位字节(即，8x比特)值并且在rfc4346中进行规定。

可以根据emsk1110来推导一个或多个特定于域的根密钥(dsrk)1112。再认证根密钥1114可以是根据特定于域的根密钥1112中的一个来导出的。在一些方面中，在rfc6696的4.1节中指定了对再认证根密钥1114的推导。例如，可以通过下式来规定再认证根密钥1114：

rrk＝kdf(k,s),其中：

k＝emsk或者k＝dsrk以及

s＝rrklabel|"\0"|length

rrklabel是iana分配的8比特ascii字符串：根据在rfc5295中所陈述的策略，从"usrkkeylabels"命名空间中分配的eap再认证根密钥@ietf.org。

密钥推导函数(kdf)和用于kdf的算法敏捷性是如在rfc5295中所规定的。

可以根据再认证根密钥1114来推导再认证完整性密钥1115(rik)。在一些方面中，可以如rfc6696中所指定的来推导再认证完整性密钥1115。例如，可以如下所述地推导rik：

rik＝kdf(k,s),其中

k＝rrk以及

s＝riklabel|"\0"|cryptosuite|length

riklabel是8比特ascii字符串：再认证完整性密钥@ietf.org。length(长度)字段指代八位字节的rik的长度，并且如rfc5295中所指定的进行编码。

可以根据再认证根密钥1114来推导一个或多个再认证主会话密钥(rmsk)1116。在一些方面中，可以根据rfc6696来推导rmsk1116。例如，可以如下所述地推导rmsk：

rmsk＝kdf(k,s),其中

k＝rrk以及

s＝rmsklabel|"\0"|seq|length

rmsklabel是8比特ascii字符串：再认证主会话密钥@ietf.org。length(长度)字段指代八位字节的rmsk的长度，并且如rfc5295中所指定的进行编码。

如上面关于图8-10所讨论的，可以根据再认证主会话密钥1116来推导一个或多个成对主密钥(pmk)1118。如图11中所示，根据再认证主会话密钥1116所推导出的成对主密钥是pmk-r0成对主密钥。可以根据单个pmk1118来推导一个或多个第二层级成对主密钥1120。如图11中所示，成对主密钥1120是pmk-r1成对主密钥。在上面所讨论的密钥推导中的任何密钥推导中，可以将hmac-sha-256使用成默认密钥推导函数(kdf)。

图12是一种对无线设备进行认证的方法的流程图。在一些方面中，过程1200可以由上面关于图7-10所描述的无线lan控制器和/或图2的无线设备202来执行。在一些方面中，过程1200由r0密钥持有者设备来执行，如ieee802.11快速转换密钥持有者架构中所规定的。

在一些方面中，图12提供了两种不同的认证协议之间的互操作性。例如，相对于第二认证协议，第一认证协议可以提供一些优势。在无线网络中，可能广泛地部署了第二认证协议。在整个网络中广泛地部署第一认证协议可能是成本高昂的，并且在完成部署使得可以完全利用第一认证协议之前，可能需要大量的时间。虽然相对于第一认证协议，第二认证协议可以提供一些优势，但在整个无线网络中广泛地部署第二认证协议可能是昂贵的，并且可能无法在未来相当长一段时间内完成。下面所描述的过程1200可以允许一些实现方式充分利用第一认证协议的益处。

在方框1205中，接收针对第一移动设备的第一认证协议再认证响应。在一些方面中，从本地er服务器或者认证服务器接收该再认证响应。在一些方面中，第一认证协议是可扩展认证协议再认证协议(eap-rp)。该再认证响应包括再认证主会话密钥。可以根据再认证响应，对再认证主会话密钥进行解码。可以根据再认证根密钥，来推导再认证主会话密钥。例如，如图11中所示，可以根据rrk1114来推导rmsk1116。

在一些方面中，在方框1105中从er服务器或者认证服务器接收的再认证响应是对该设备向本地er服务器或者认证服务器发送的第一认证协议再认证请求的响应。该设备可以从第一接入点接收针对该移动设备的再认证请求。随后，设备可以将从第一接入点接收的再认证请求中继到该请求所指示的本地er服务器或者归属认证服务器。

在一些方面中，设备基于在再认证响应中包括的再认证主会话密钥，生成第一pmk。在一些方面中，第一pmk是pmk-r0。随后，可以基于第一pmk来生成第二pmk。在一些方面中，该第二pmk是快速转换密钥持有者架构的pmk-r1。在一些方面中，第二pmk是基于该移动设备和/或第一接入点的一个或多个特性来生成的。在一些方面中，方框1205可以由无线设备202的接收机212来执行。

在方框1210中，将第一认证协议再认证响应发送给第一接入点。第一认证协议再认证响应是基于再认证主会话密钥的。在一些方面中，第一认证协议再认证响应是基于再认证主会话密钥的，这是由于其包括根据另一个pmk(例如，pmk-r0)所推导出的pmk(例如，上面讨论的pmk-r1)，其中所述另一个pmk是根据再认证主会话密钥推导出的。在一些方面中，方框1210可以由无线设备202的发射机210来执行。

在一些方面中，从第二接入点接收针对第二接入点和移动设备之间的通信的密钥请求消息。在这些方面中的一些方面中，该密钥请求消息是响应于第二接入点接收到针对该移动设备的第二认证协议认证请求而被接收的。在一些方面中，第二认证协议请求是快速基本服务集(bss)转换(ft)认证请求。在一些方面中，第二认证协议是使用开放系统认证算法的ieee802.11认证。在一些其它方面中，第二认证协议认证是使用相等的同时认证(sae)的802.11认证。

在方框1220中，生成pmk。在方框1220中生成的pmk可以是基于根据在方框1205中从er(或认证)服务器接收的第一认证协议认证响应所解码的再认证主会话密钥的。在一些方面中，该pmk是基于该移动设备和/或第二接入点的一个或多个属性来生成的。例如，如上面所讨论的，可以基于再认证主会话密钥来生成pmk-r0。在方框1220中生成的pmk可以是基于上面所讨论的pmk-r0(其是基于再认证主会话密钥)的。在一些方面中，在方框1220中生成的pmk可以是pmk-r1。虽然图12将方框1220中生成的pmk指代成第一pmk(参照上面关于方框1205-1210所讨论的pmk)，但其可以是第三pmk。在一些方面中，可以根据ieee802.11r协议标准来生成上面所讨论的pmk。在一些方面中，方框1220可以由无线设备202的处理器204来执行。

在方框1225中，生成密钥消息以包括在方框1220中生成的pmk。在一些方面中，方框1225可以由无线设备202的处理器204来执行。

在方框1230中，向第二接入点发送该密钥消息。在方框1225中生成的pmk用于该移动设备和第二接入点之间的通信。例如，可以使用该pmk来对在第二接入点和该移动设备之间发送的数据进行加密。

响应于接收到包括用于第二接入点的pmk的密钥消息，第二接入点可以完成第二认证协议。在一些方面中，完成第二认证协议包括：发送快速基本服务集(bss)转换(ft)认证响应。在一些方面中，第二认证协议是使用开放系统认证算法或者sae的802.11认证响应。在一些方面中，方框1230可以由无线设备202的发射机210来执行。

图13是共享密钥认证的消息流图。消息流1300示出了sta106向无线lan控制器1305(wlc)发送的共享密钥认证请求1302a-b。共享密钥认证请求1302a-b可以是上面所讨论的ieee802.11ai所规定的认证请求。在一些方面中，可以将认证请求1302作为1302a发送给ap104，并且随后作为1302b中继到wlc1305。在使用完美前向保密(pfs)执行共享密钥认证的消息流1300的实施例中，sta106和无线lan控制器(wlc)1305可以执行diffiehellman密钥交换。可以通过将用于sta106的短暂公钥包括在认证请求1302a-b中，来部分地促进这种交换。作为接收到认证请求1302a-b的结果，wlc1305向认证服务器1350发送认证请求1306。

共享密钥认证响应1308向wlc1305提供再认证主会话密钥(rmsk)。还可以基于再认证主会话密钥来生成第一成对主密钥。在一些方面中，还可以基于共享秘密来生成第一成对主密钥。在一些方面中，除了如上所述之外，还根据ieee802.11pmk-r0来生成第一成对主密钥。

随后，wlc1305向sta106发送认证响应1310b(或者首先作为1310a发送给ap104，随后，ap104将该消息作为1310b中继到sta106)。在使用私有前向保密(pfs)的方面中，认证响应1310a-b可以包括wlc1305的短暂公钥。由于wlc1305和sta106两者现在均具有彼此的短暂公钥，因此它们均可以推导将使用成用于它们之间的通信的共享密钥的共享秘密。

随后，sta106生成关联请求消息1312。在一些方面中，该关联请求消息1312可以是ieee802.11关联请求。关联请求消息1312可以使接收到该关联请求的接入点能够为请求关联的站的无线单元分配资源，并且与请求关联的站的无线单元进行同步。

响应于接收到关联请求消息1312，接入点可以确定其是否可以与请求站sta106进行关联，如果可以，则确定用于该sta106的关联标识符。

在一些方面中，响应于ap104接收到关联请求消息1312，从wlc1305“请求”或者“拉”用于在sta106和ap104之间使用的pmk。在这些方面中，当ap接收到关联请求消息1312时，ap104生成密钥请求消息并将其发送给wlc1305，其中该密钥请求消息请求用于在与sta106的通信中使用的密钥。在接收到密钥请求消息1314时，wlc1305可以在消息1316中，向ap发送第二pmk。第二pmk可以是根据第一成对主密钥来推导出的，还可以是基于ap104的一个或多个特性(例如其mac地址或者能力)来推导出的。可以生成用于在sta106和ap104之间的安全关联和/或通信中使用的第二pmk。在一些方面中，除了如上所述之外，根据ieee802.11pmk-r1过程来推导第二pmk，以及根据ieee802.11pmk-r0过程来推导第一pmk。

当ap104接收到第二pmk时，其可以随后使用关联响应消息1318来对sta106进行响应。该关联响应消息1318可以包括根据在消息1316中接收的第二pmk所推导出的数据。随后，ap可以使用第二pmk(例如，pmk-r1)来用于与sta106的安全通信。

在一些其它方面(没有示出)中，当生成第一pmk时，wlc1305可以将第二pmk异步地“推送”到ap104。例如，在一些方面中，在生成用于特定的站的第一pmk时，wlc1305可以将用于该站的第二pmk推送到与其进行通信的每一个接入点。每一个接入点现在具有其自己的用于特定站的单独第二pmk。在这些方面中，当ap104接收到关联请求消息1312时，可以不向wlc1305发送密钥请求消息1314。替代地，在接收到关联请求消息1312时，ap104可以请教从wlc1305接收的第二pmk的内部存储，以确定其是否具有存储的用于sta106的第二pmk(例如，pmk-r1)。如果其识别适当的第二pmk，则ap104可以基于所存储的第二pmk来完成与sta106a的关联过程。

在一些方面，可以将第二pmk作为认证响应消息1310a的一部分提供给ap104。在这些方面中，可能不需要消息1314和1316。

图14是公钥认证的消息流图。sta106向无线lan控制器(wlc)1405发送公钥认证请求消息1402。在一些方面中，可以经由ap104，将该公钥认证请求消息1402中继到wlc1405。公钥认证请求消息1402包括sta106的短暂公钥。在接收到公钥认证请求消息1402时，wlc1405生成其自己的短暂公钥。在一些方面中，可以在wlc1405接收到公钥认证请求消息1402之前，预先生成该短暂公钥。随后，wlc1405向sta106发送公钥认证响应消息1404，在一些方面中由ap104进行中继。公钥认证响应消息1404包括wlc1405的短暂公钥。在消息交换1402&1404之后，sta106和wlc1405两者均具有彼此的短暂公钥。随后，sta106和wlc1405中的每一个可以基于这两个公钥，来推导共同的共享秘密。一旦推导出该共享秘密，wlc1405就可以基于该共享秘密来推导第一成对主密钥(例如，在一些方面中，pmk-r0)，以用于涉及sta106和无线lan控制器(wlc)1405的通信。wlc1405还可以基于第一成对主密钥，生成第二成对主密钥(在一些方面中，pmk-r1)，以便ap104用于与sta106的安全关联和/或通信。wlc1405还可以基于ap104的一个或多个特性(例如，其媒体访问控制(mac)地址或者ap104的一个或多个能力)，来生成第二成对主密钥。

与图13的消息流1300相比，消息流1400示出了从wlc1405向ap104的“推”模型的第二pmk分发。虽然图13示出了从ap104向wlc发送的密钥请求消息1314(其请求用于在与sta106的安全关联和/或安全通信中使用的pmk)，但在图14中，在wlc1405生成第一pmk时，可以将根据第一pmk推导出的第二pmk异步地发送给ap104。这种情形通过包括第二pmk的消息1408来示出，其中第二pmk是wlc1405基于第一pmk来推导出的。wlc1405还可以基于ap104的一个或多个特性(例如，其媒体访问控制(mac)地址或者能力)来推导第二pmk。在经由消息1408接收到第二pmk时，ap104可以将第二pmk连同用于将第二pmk与sta106进行关联的信息存储在稳定的存储设备中。在一些方面中，可以将第二pmk包括在消息1404中。在该情况下，消息1408可能是不必要的。

由于图14示出了向ap104异步发送的第二pmk，因此在经由消息1408从wlc1405接收到第二pmk之后，sta106可以向ap104发送关联请求消息1410。当接收到关联请求消息1410时，ap104可以请教上面所讨论的其稳定的存储设备，以识别适当的pmk是否可用于在与sta106的安全关联和/或通信中使用。当在其稳定的存储设备中发现在消息1408中原始接收的第二pmk时，ap104可以基于第二pmk，向sta106发送关联响应消息1412。随后，ap104可以经由第二pmk，安全地与sta106进行关联和/或通信。

在其它方面中，向ap104的“拉”模型的第二pmk分发可以结合公钥认证来使用。例如，在一些方面中，消息流1400可以使用拉模式的pmk分发，如图13中关于消息1312、1314、1316和1318的交换所示出的。

图15是对第一设备进行认证的方法的流程图。在一些方面中，处理1500可以由上面关于图13和图14所描述的无线lan控制器(wlc)和/或图2的无线设备202中的任何一个来执行。例如，在一些方面中，存储器206可以存储将处理器204配置为执行下面关于图15所描述的功能中的一个或多个功能的指令。在一些方面中，处理1500由r0密钥持有者设备(如ieee802.11快速转换密钥持有者架构所规定的)来执行。在一些方面中，第一、第二和第三设备中的一个或多个设备可以是无线设备，也可以不是无线设备。

在一些方面中，过程1500可以与过程1200综合在一起。例如，可以将过程1500包括成方框1220的一部分。例如，下面关于过程1500所讨论的第二成对主密钥可以等同于上面关于过程1200所讨论的第一成对主密钥。

在一些方面中，图15可以提供两个或者甚至三个不同的认证协议之间的互操作性。例如，相对于第二认证协议，第一认证协议可以提供一些优势。在无线网络中，可能广泛地部署了第二认证协议。在整个网络中广泛地部署第一认证协议可能是成本高昂的，并且在完成部署使得可以完全利用第一认证协议之前，可能需要大量的时间。

虽然相对于第二认证协议，第一认证协议可以提供一些优势，但在整个无线网络中广泛地部署第一认证协议可能是昂贵的，并且可能无法在未来相当长一段时间内完成。下面所描述的过程1500可以允许一些实现方式充分利用第一认证协议的益处，而无需部署为了完全地实现第一认证协议所需要的所有组成部分，相反其依赖于第二认证协议的已经部署的组成部分。

在方框1505中，确定共享密钥。该密钥是与第一设备共享的。在一些方面中，该共享密钥是主会话密钥，并且可以经由第一设备和第二设备之间的可扩展认证协议(eap)交换来确定。在一些方面中，过程1500由第二设备来执行。在一些方面中，确定主会话密钥的可扩展认证协议交换是不使用完美前向保密(pfs)的共享密钥认证。在一些方面中，可以作为eap认证协议的一部分，从认证服务器接收主会话密钥，如图3中所示。

在一些方面中，该共享密钥是再认证主会话密钥，其是通过执行可扩展认证协议再认证协议来确定的。在一些方面中，确定再认证主会话密钥的可扩展认证协议再认证协议交换是不使用完美前向保密(pfs)的共享密钥认证。在一些方面中，可以作为eap-rp协议的一部分，从认证服务器接收再认证主会话密钥，如图3中所示。

在一些方面中，可以将再认证主会话密钥推导成rmsk＝kdf(k,s)，其中k＝rrk，s＝rmsklabel|“\0”|seq\length。rmsklabel是8比特ascii字符串：“re-authenticationmastersessionkey@ietf.org”。length(长度)字段指代rmsk长度(以八位字节为单位)。可以根据emsk或者dsrk来推导rrk(例如，如图11中所示)。

在一些方面中，该共享密钥是共享秘密。在一些方面中，可以经由与第一设备的diffiehellman密钥交换，来确定该共享秘密。在一些方面中，上面关于方框1505所讨论的功能中的一个或多个功能可以由处理器204来执行。例如，用于确定共享密钥的单元可以包括处理器204。再举一个例子，用于执行可扩展认证协议再认证协议的单元可以包括处理器204、存储器206和发射机210中的一个或多个。例如，存储器206中存储的指令可以将处理器204配置为执行可扩展认证协议再认证协议。

在方框1510中，基于与第一设备共享的密钥来生成第一成对主密钥。在一些方面中，基于中间密钥来生成第一成对主密钥。在一些方面中，可以基于从第一设备推导出的随机数来生成该中间密钥。在一些方面中，可以基于从第二设备推导出的随机数来生成该中间密钥。在一些方面中，可以基于该共享密钥来生成该中间密钥。在一些方面中，可以基于第一设备所生成的随机数、第二设备所生成的随机数和共享密钥中的两个或更多的组合，来生成该中间密钥。在一些方面中，可以基于密钥推导函数(kdf)来生成该中间密钥。在一些方面中，该kdf可以是基于哈希的消息认证码(hmac)。例如，在一些方面中，可以基于下面的式1来生成该中间密钥：

intermediatekey＝hmac-hash(snonce||anonce,ikm)(1)

其中：

snonce是第一设备所生成的随机数

anonce是第二设备所生成的随机数

ikm是：

msk，当执行eap完全认证时，

rmsk，当在不具有完美前向保密(pfs)的情况下，执行共享密钥认证时，

rmsk|ss(即，rmsk和ss的级联)，以该顺序，当使用具有完美前向保密的共享密钥认证时，

ss，当使用公钥认证时。

其中：

msk是执行完全eap认证的认证服务器所推导的主会话密钥，

rmsk是作为执行eap-rp的结果，由认证服务器推导并发送给第二设备的再认证主会话密钥(如rfc6696中所规定的)，

ss是作为第一设备和第二设备之间的diffie-hellman密钥交换的结果来建立的共享秘密。

在一些方面中，可以将hmac-hash函数的结果截短成例如256比特。在一些方面中，上面所推导出的中间密钥可以用作如在ieee802.11快速基本服务集转换(ft)认证中所描述的“xxkey”的替换。

一种替代实现可以将中间密钥推导成：intermediatekey＝kdf(pmk,“filsptkderivation,”spa||aa||snonce||anonce)，其中：

其中：

kdf是使用384、640或1024比特的密钥推导函数。

pmk来自于pmksa，其是从初始fils连接或者从高速缓存的pmksa(当使用pmksa高速缓存时)所创建的。在一些方面中，pmk是根据rmsk推导出的。

spa是sta的mac地址，aa是ap的bssid。

snonce是sta的随机数，anonce是ap的随机数。

在一些方面中，在如上所述地推导出中间密钥之后，如下所述地发生另外的密钥推导：

r0-key-data＝kdf-384(intermediatekey,“ft-r0”,ssidlength||ssid||mdid||

r0khlengh||r0kh-id||s0kh-id)

pmk-r0＝l(r0-key-data,0,256)

pmk-r0name-salt＝l(r0-key-data,256-128)

pmkr0name＝truncate-128(sha-256(“ft-r0n”||pmk-r0name-salt))，其中

“ft-r0n”是0x460x540x2d0x520x300x4e

其中：

kdf-384是使用sha-384的密钥推导函数。

mdid是移动域标识符。

r0kh-id是pmk-r0密钥持有者标识符。

s0kh-id是恳求的密钥持有者标识符。

在一些方面中，第一成对主密钥是如上所述的pmk-r0。在一些方面中，可以基于与第一设备共享的第二密钥来生成第一成对主密钥。例如，在其中第二设备与第一设备共享再认证主会话密钥的方面种，还可以与第一设备共享共享秘密。可以经由与第一设备的diffiehellman密钥交换，来生成该共享秘密。在这些方面中，可以基于这两个共享密钥(即，再认证主会话密钥和共享秘密)来生成第一成对主密钥。在一些方面中，将这两个共享密钥级联，并且基于该级联来生成第一成对主密钥。例如，在一些方面中，该共享秘密在级联中跟在再认证主会话密钥之后(即，rmsk|ss)。在一些方面中，上面关于方框1510所讨论的一个或多个功能可以由处理器204来执行。在一些方面中，处理器204可以包括用于级联的单元，如上所述。

在方框1515中，生成用于第一接入点的第二成对主密钥，以便用于与第一设备的安全关联和/或安全通信。第二成对主密钥是基于第一成对主密钥来生成的。第二成对主密钥还可以是基于第一接入点的一个或多个特性来生成的。例如，可以基于以下各项中的一项或多项来生成第二成对主密钥：第一接入点的媒体访问控制(mac)地址、第一接入点的基本服务集标识符和/或第一接入点的一个或多个能力。

在一些方面中，上面关于方框1515所讨论的一个或多个功能可以由处理器204来执行。例如，用于生成第二成对主密钥的单元可以包括处理器204。

在方框1520中，向第一接入点发送第二成对主密钥。第一接入点可以将第二成对主密钥用于第一设备和第一接入点之间的安全关联和/或安全通信。例如，第一接入点可以基于第二成对主密钥，对与第一设备的通信进行加密或者编码。

在一些方面中，可以基于第二成对主密钥来生成另外的密钥。该另外的密钥可以由第一接入点来生成。例如，在一些方面中，可以基于第二成对主密钥来生成成对短暂密钥，随后，第一接入点可以使用该成对短暂密钥来与第一设备进行通信。例如，第一接入点可以使用该成对短暂密钥，对与第一设备交换的消息进行编码和/或加密和/或解码和/或解密。

在一些方面中，上面关于方框1520所讨论的功能中的一个或多个功能可以由处理器204和/或发射机210来执行。例如，处理器204和/或发射机210中的一个或多个可以包括：用于向第一接入点发送第二成对主密钥的单元。在一些方面中，第一接入点和第二设备(例如，wlc)可以共置于相同的物理设备中。在一些方面中，它们可以是相同的设备。在这些方面中，方框1520中的发送可以不导致无线网络上的物理传输，但是可以替代地导致一个物理包含的计算设备中的软件和/或硬件组件之间的数据传输。

在一些方面中，可以从第二接入点接收针对第一设备(例如，sta)的第二认证请求。第二设备(例如，wlc)可以生成第三成对主密钥(例如，pmk-r1)，以供第二接入点在与第一设备进行通信时使用。第三成对主密钥可以是基于第一成对主密钥(例如，pmk-r0)来生成的。在一些方面中，第三成对主密钥可以是基于第二接入点的一个或多个特性(例如，bss标识符、和/或其mac地址或者第二接入点的一个或多个能力)来生成的。随后，可以将第三成对主密钥发送给第二接入点。随后，第三成对主密钥(例如，pmk-r1)可以用于第三接入点与第一设备的通信。替代地，第二成对短暂密钥(ptk)可以是基于第三成对主密钥来生成的。在第二接入点从第二设备(例如，wlc)接收到第三成对主密钥(pmk-r1)之后，第二接入点可以执行该生成操作。随后，可以使用第二成对短暂密钥来对第一设备和第二接入点之间的通信进行编码/加密和/或解码/解密。

应当注意，在一些方面中，第一成对主密钥可以是特定于与第一设备的通信的，其中在一些方面中，第一设备可以是诸如sta106a之类的无线设备。如果第二设备支持与另外的设备(例如，第二无线站或者第三设备)的通信，则第二设备可以生成另外的成对主密钥，以促进与第三设备的通信。

此外，对于指示需要与第三设备(例如，另外的无线站)进行通信的每一个接入点而言，可以基于另外的成对主密钥(例如，在一些方面中，pmk-r0)(其可以对应于第三设备)，生成针对这些接入点中的每一个接入点的进一步的成对主密钥(在一些方面中，pmk-r1)。因此，在一些方面中，第二设备(例如，wlc)针对支持与其通信的每一个个体设备(例如，站)，生成单独的“r0”成对主密钥。与特定的个体设备(例如，sta)进行通信的每一个接入点将接收基于用于该特定的个体设备的“r0”成对主密钥的“r1”成对主密钥。这些密钥中的一些或者全部可以是基于与该特定的个体设备共享的密钥(例如，rmsk、msk或者共享秘密)的。在一些方面中，用于向第一接入点发送第二成对主密钥的单元可以是处理器204和发射机210中的一个或多个。例如，在一些方面中，存储器206中的指令可以将处理器204配置为经由例如发射机210，向第一接入点发送第二成对主密钥。

图16是一种由设备在网络上进行认证的方法的流程图。在一些方面中，过程1600可以由上面所描述的站106a来执行。在一些方面中，过程1600可以由设备202来执行。例如，在一些方面中，存储器206中的指令可以将处理器204配置为执行下面关于过程1600所讨论的功能中的一个或多个功能。在一些方面中，过程1600可以提供两种不同的认证协议之间的互操作性。例如，相对于第二认证协议，第一认证协议可以提供一些优势。在无线网络中，可能广泛地部署了第二认证协议。在整个网络中广泛地部署第一认证协议可能是成本高昂的，并且在完成部署使得可以完全利用第一认证协议之前，可能需要大量的时间。虽然相对于第一认证协议，第二认证协议可以提供一些优势，但在整个无线网络中广泛地部署第二认证协议可能是昂贵的，并且可能无法在未来相当长一段时间内完成。下面所描述的过程1600可以允许一些实现方式充分利用第一认证协议的益处，其在于第一认证协议已经被广泛地部署。

如上面所讨论的，在一些方面中，例如，如果第一接入点和第二接入点是相同的移动域的一部分，则从第一接入点移动到第二接入点的站可以保持在相同的移动域中。当发生这种情形时，该站可以在无需执行完全eap认证的情况下，向第二接入点进行认证。替代地，如果这两个接入点在相同的移动域中，则该站可以使用802.11快速bss转换认证来进行认证。

过程1600使用第一和第二认证协议来完成无线设备向两个单独的接入点的认证。与唯一地使用第一认证协议来将第一无线设备向两个接入点进行认证的部署相比，通过经由这两种认证协议来使用混合认证方法，可以需要部署更少的第二认证协议来促进提高的效率。

在方框1605中，认证设备在网络上从第一接入点接收消息。该消息可以指示接入点所支持的一个或多个认证协议。例如，在一些方面中，该消息中包括的能力列表可以指示第一接入点是否支持第一和/或第二认证协议。例如，该消息可以指示第一接入点是否支持ieee802.11快速bss转换(ft)认证，和/或第一接入点是否支持eap(其包括eap-rp)认证。在一些方面中，方框1605可以由接收机212和/或处理器204来执行。

在方框1610中，认证设备基于在方框1610中接收的消息，作出关于是经由第一认证协议还是第二认证协议来向第一接入点进行认证的确定。在一些方面中，认证设备可以对发现的、该接入点所支持的认证方法划分优先级。在一些方面中，如果支持第一认证协议，则设备可以选择第一认证协议。在一些其它实现中，该优先级划分可以是不同的，而在相同的情形下，支持第二认证协议。

在一些方面中，网络消息可以指示移动域标识符，其指示第一接入点与哪个移动域相关联。方框1610的一些方面还包括：向第二接入点进行认证，以及从第二接入点接收用于指示第二接入点的移动域标识符的消息。在一些方面中，认证设备还向第二接入点进行认证。随后，认证设备可能移动物理位置，并且向第一接入点进行认证。在一些方面中，如果第一接入点的移动域(其中，认证设备在先前向第二接入点进行认证之后，与第一接入点进行通信)在与第二接入点不同的移动域中，则该设备可以确定执行向第一接入点的eap-rp认证。

相比而言，如果这两个接入点的移动域是相同的，则认证设备可以使用ieee802.11快速bss转换(ft)认证来向第一接入点进行认证。

在一些方面中，确定可以是基于除了网络消息之外的另外的因素的。例如，在一些方面中，如果自从执行过程1600的设备执行完全eap认证以来的时间段超过时间门限，则可以向第一接入点执行完全eap认证，而不管经由网络消息是否指示第一接入点将支持其它认证协议。另外，如果认证设备从来没有向接入点进行认证，则不管该网络消息中的指示如何，都可以执行完全eap认证。在一些方面中，上面关于方框1610所讨论的功能中的一个或多个功能可以由处理器204来执行。

在方框1620中，认证设备使用所确定的认证协议来向第一接入点进行认证。因此，在一些方面中，方框1620执行与第一接入点的ieee802.11快速bss转换(ft)认证消息交换，例如，如上面关于图4所描述的。在一些方面中，认证设备使用eap(和/或eap-rp)认证来向第一接入点进行认证，例如，如上面在图3中所描述的。

使用eap-rp认证，认证设备可以推导再认证主会话密钥(rmsk)。例如，可以将rmsk推导成rmsk＝kdf(k,s)，其中k＝rrk，s＝rmsklabel|“\0”|seq\length。rmsklabel是8比特ascii字符串：“re-authenticationmastersessionkey@ietf.org”。length(长度)字段指代rmsk的长度(以八位字节为单位)。可以根据emsk或者dsrk来推导rrk。更多细节请参见rfc5296。

随后，认证设备可以基于再认证主会话密钥，生成第一成对主密钥。在一些方面中，可以根据pmk-r0成对主密钥的生成来生成第一成对主密钥，如在ieee802.11快速bss转换协议标准中所描述的。随后，可以基于第一成对主密钥来生成第二成对主密钥。在一些方面中，该第二成对主密钥可以是基于第一接入点的一个或多个属性(例如，第一接入点的站地址和/或bss标识符)来生成的。随后，认证设备可以使用第二成对主密钥来与第一接入点进行通信。例如，可以使用第二成对主密钥或者使用根据第二成对主密钥推导出的密钥(例如，下面讨论的ptk)，来对向第一接入点发送的或者从第一接入点接收的一个或多个消息进行相应地加密和/或解密。

在一些方面中，认证设备可以基于第一成对主密钥来生成第三成对主密钥。该第三成对主密钥可以是根据如ieee802.11快速bss转换协议规范中所描述的pmk-r1来生成的。在一些方面中，还可以基于第二接入点的一个或多个属性(例如，第二接入点的mac站地址和/或第二接入点的bss标识符)，来生成第三成对主密钥。与第二接入点的通信可以是基于第三成对主密钥的。例如，使用第二接入点发送和/或接收的消息可以是基于第三成对主密钥、或者根据第三成对主密钥推导出的密钥(例如，ptk)的。

在一些方面中，认证设备可以确定与第一接入点的通信是否需要完美前向保密(pfs)。在一些方面中，该确定是基于在方框1605中接收的网络消息的。如果确定需要pfs，则认证设备可以响应于该确定，执行与第一接入点的diffie-hellman密钥交换。在一些方面中，使用diffie-hellman密钥交换来生成成对暂时密钥(ptk)。在一些方面中，可以将该成对暂时密钥推导成：ptk＝kdf(pmk,anonce|snonce|g^ab)，其中a是sta的秘密，b是ap的秘密(或者反之亦然)，g^ab是dh密钥交换的结果。因此，在一些方面中，在sta和ap推导ptk之前，它们可以经由dh密钥交换来交换g^a和g^b。

在一些方面中，可以随后使用该ptk来与第一接入点进行通信。例如，可以使用该ptk来对向第一接入点发送的和/或从第一接入点接收的消息进行加密和/或解密。在一些方面中，可以利用与如上所述的类似方式来生成第二ptk，以用于与第二接入点的通信(消息的加密/解密)。

在一些方面中，上面关于方框1620所讨论的功能中的一个或多个功能可以由处理器204来执行，并且在一些方面中，可以结合接收机212和/或发射机210中的一个或多个来执行。

图17是对第一设备进行认证的方法的流程图。在一些方面中，方法1700可以由上面所描述的站106a和/或图2的无线设备202来执行。例如，在一些方面中，存储器206中的指令可以将处理器204配置为执行下面关于过程1700所讨论的功能中的一个或多个功能。在一些方面中，方法1700由r0密钥持有者设备(如ieee802.11快速转换密钥持有者架构所规定的)来执行。在一些方面中，下面关于方法1700所讨论的第一、第二和第三设备中的一个或多个可以是无线设备，也可以不是无线设备。在一些方面中，方法1700可以被包括在上面关于图16所讨论的过程1600的方框1620中。例如，在一些方面中，上面关于过程1600所讨论的第一和第二成对主密钥可以是与下面关于方法1700所讨论的第一和第二成对主密钥相同的密钥。在这些方面中，下面关于过程1700所讨论的第二设备可以等同于上面关于图16和过程1600所讨论的第一接入点。

在一些方面中，方法1700可以提供两个或者甚至三个不同的认证协议之间的互操作性。例如，相对于第二认证协议，第一认证协议可以提供一些优势。在无线网络中，可能广泛地部署了第二认证协议。在整个网络中广泛地部署第一认证协议可能是成本高昂的，并且在完成部署使得可以完全利用第一认证协议之前，可能需要大量的时间。

虽然相对于第二认证协议，第一认证协议可以提供一些优势，但在整个无线网络中广泛地部署第一认证协议可能是昂贵的，并且可能无法在未来相当长一段时间内完成。下面所描述的方法1700可以允许一些实现方式充分利用第一认证协议的益处，而无需部署为了完全地实现第一认证协议所需要的所有组成部分，相反其依赖于第二认证协议的已经部署的组成部分。

在方框1705中，确定共享密钥。该密钥是与第二设备共享的。在一些方面中，该共享密钥是主会话密钥，其可以经由第一设备和第二设备之间的可扩展认证协议(eap)交换来确定。在一些方面中，方法1700由第一设备来执行。在一些方面中，确定主会话密钥的可扩展认证协议交换是不使用完美前向保密(pfs)的共享密钥认证。在一些方面中，可以作为eap认证协议的一部分，从认证服务器接收主会话密钥，如图3中所示。

在一些方面中，该共享密钥是再认证主会话密钥，其部分地通过执行可扩展认证协议再认证协议(eap-rp)来确定。在一些方面中，该可扩展认证协议再认证协议交换是不使用完美前向保密(pfs)的共享密钥认证。在一些方面中，可以将再认证主会话密钥推导成rmsk＝kdf(k,s)，其中k＝rrk，s＝rmsklabel|“\0”|seq\length。rmsklabel是8比特ascii字符串：“re-authenticationmastersessionkey@ietf.org”。length(长度)字段指代rmsk的长度(以八位字节为单位)。可以根据emsk或者dsrk来推导rrk(例如，如图11中所示)。

在一些方面中，该共享密钥是共享秘密。在一些方面中，可以经由与第二设备的diffiehellman密钥交换，来确定该共享秘密。在一些方面中，上面关于方框1705所讨论的功能中的一个或多个功能可以由处理器204来执行。例如，用于确定共享密钥的单元可以包括处理器204。

在方框1710中，基于与第一设备共享的密钥来生成第一成对主密钥。在一些方面中，基于中间密钥来生成第一成对主密钥。在一些方面中，可以基于从第一设备推导出的随机数来生成该中间密钥。在一些方面中，可以基于从第二设备推导出的随机数来生成该中间密钥。在一些方面中，可以基于该共享密钥来生成该中间密钥。在一些方面中，可以基于第一设备所生成的随机数、第二设备所生成的随机数和共享密钥中的两个或更多的组合，来生成该中间密钥。在一些方面中，可以根据基于哈希的消息认证码(hmac)来生成该中间密钥。例如，在一些方面中，可以基于下面的式1来生成该中间密钥：

intermediatekey＝hmac-hash(snonce||anonce,ikm)(1)

其中：

snonce是第一设备所生成的随机数

anonce是第二设备所生成的随机数

ikm是：

msk，当执行eap完全认证时，

rmsk，当在不具有完美前向保密(pfs)的情况下，执行共享密钥认证时，

rmsk|ss(即，rmsk和ss的级联)，以该顺序，当使用具有完美前向保密的共享密钥认证时，

ss，当使用公钥认证时。

其中：

msk是执行完全eap认证的认证服务器所推导的主会话密钥，

rmsk是作为执行eap-rp的结果，由认证服务器推导并发送给第二设备的再认证主会话密钥(如rfc6696中所规定的)，

ss是作为第一设备和第二设备之间的diffie-hellman密钥交换的结果所建立的共享秘密。

在一些方面中，可以将hmac-hash函数的结果截短成例如256比特。在一些方面中，上面所推导出的中间密钥可以用作如在ieee802.11快速基本服务集转换(ft)认证中所描述的“xxkey”的替换。

一种替代实现可以将中间密钥推导成：

intermediatekey＝kdf(pmk,“filsptkderivation,”spa||aa||snonce||anonce)，其中：

其中：

kdf是使用384、640或1024比特的密钥推导函数。

pmk来自于pmksa，其是从初始fils连接或者从高速缓存的pmksa(当使用pmksa高速缓存时)所创建的。在一些方面中，pmk是根据rmsk推导出的。

spa是sta的mac地址，aa是ap的bssid。

snonce是sta的随机数，anonce是ap的随机数。

在一些方面中，在如上所述地推导出中间密钥之后，如下所述地发生另外的密钥推导：

r0-key-data＝kdf-384(intermediatekey,“ft-r0”,ssidlength||ssid||mdid||

r0khlengh||r0kh-id||s0kh-id)

pmk-r0＝l(r0-key-data,0,256)

pmk-r0name-salt＝l(r0-key-data,256-128)

pmkr0name＝truncate-128(sha-256(“ft-r0n”||pmk-r0name-salt))

其中，“ft-r0n”是0x460x540x2d0x520x300x4e

其中：

kdf-384是使用sha-384的密钥推导函数。

mdid是移动域标识符。

r0kh-id是pmk-r0密钥持有者标识符。

s0kh-id是恳求的密钥持有者标识符。

在一些方面，在如上所述地推导出中间密钥之后，如下所述地发生另外的密钥推导：

r0-key-data＝kdf-384(intermediatekey,“ft-r0”,ssidlength||ssid||mdid||

r0khlengh||r0kh-id||s0kh-id)

pmk-r0＝l(r0-key-data,0,256)

pmk-r0name-salt＝l(r0-key-data,256-128)

pmkr0name＝truncate-128(sha-256(“ft-r0n”||pmk-r0name-salt))

其中，“ft-r0n”是0x460x540x2d0x520x300x4e

其中：

kdf-384是使用sha-384的密钥推导函数。

mdid是移动域标识符。

r0kh-id是pmk-r0密钥持有者标识符。

s0kh-id是恳求的密钥持有者标识符

在一些方面中，第一成对主密钥是如上所述来推导的pmk-r0。在一些方面中，可以基于与第一设备共享的第二密钥来生成第一成对主密钥。例如，在其中第一设备推导用于与第二设备一起使用的再认证主会话密钥的方面中，还可以与第二设备共享共享秘密。可以经由与第二设备的diffiehellman密钥交换来生成该共享秘密。在这些方面中，可以基于这两个密钥(即，再认证主会话密钥和共享秘密)来生成第一成对主密钥。在一些方面中，将这两个密钥级联，并且基于该级联来生成第一成对主密钥。例如，在一些方面中，该共享秘密在级联中跟在再认证主会话密钥之后(即，rmsk|ss)。在一些方面中，上面关于方框1710所讨论的一个或多个功能可以由处理器204来执行。在一些方面中，处理器204可以包括用于级联的单元，如上所述。

在方框1715中，生成第二成对主密钥，以用于与第二设备的安全关联和/或安全通信。第二成对主密钥是基于第一成对主密钥来生成的。第二成对主密钥还可以是基于第二设备的一个或多个特性来生成的。例如，可以基于第二设备的媒体访问控制(mac)地址、和/或第二设备的一个或多个能力，来生成第二成对主密钥。如果第二设备是接入点，则可以基于例如该接入点的基本服务集标识符和/或站地址，来生成第二成对主密钥。

在方框1720中，第一设备可以将第二成对主密钥用于第一设备和第二设备之间的安全关联和/或安全通信。例如，第一设备可以基于第二成对主密钥，对与第二设备的通信进行加密或者编码和/或解密或者解码。在一些方面中，上面关于方框1715所讨论的功能中的一个或多个功能可以由处理器204来执行。例如，用于生成第二成对主密钥的单元可以包括处理器204。

在方框1720中，第一设备可以基于第二成对主密钥来与第二设备进行通信。例如，第一设备可以使用第二成对主密钥来对与第二设备的通信进行编码。替代地，第一设备可以根据第二成对主密钥来推导另外的密钥。可以使用该另外的密钥来对与第一设备的通信进行编码和/或解码。例如，在一些方面中，第一设备可以基于第二成对主密钥来推导成对短暂密钥。随后，可以使用该成对主密钥来对与第二设备的通信进行加密和/或解密。

过程1700的一些方面还包括：由第一设备基于第一成对主密钥来生成第三成对主密钥，以用于与第三设备的通信。在一些方面中，基于第三设备的一个或多个属性来生成该第三成对主密钥。例如，可以基于下面各项中的一项或多项来生成第三成对主密钥：第三设备的站地址、第三设备的一个或多个属性或能力、和/或第三设备的基本服务集标识符(如果该第三设备是接入点的话)。过程1700的这些方面还可以包括：基于第三成对主密钥，与第三设备进行通信。在一些方面中，第一设备可以基于第三成对主密钥来推导成对短暂密钥，并且使用该成对短暂密钥来对与第三设备的通信进行加密和/或解密。

在一些方面中，上面关于方框1720所讨论的功能中的一个或多个功能可以由处理器204和/或发射机210来执行。例如，处理器204和/或发射机210中的一个或多个可以包括：用于基于第二成对主密钥来与第二设备进行通信的单元。

如本文所使用的，术语“确定”涵盖很多种动作。例如，“确定”可以包括计算、运算、处理、推导、研究、查询(例如，查询表、数据库或其它数据结构)、断定等等。此外，“确定”还可以包括接收(例如，接收信息)、存取(例如，存取存储器中的数据)等等。此外，“确定”还可以包括解析、选定、选择、建立等等。此外，在某些方面中，如本文所使用的“信道宽度”可以涵盖带宽，或者还可以称为带宽。

如本文所使用的，指代一个列表项“中的至少一个”的短语是指这些项的任意组合，其包括单一成员。举例而言，“a、b或c中的至少一个”旨在覆盖：a、b、c、a-b、a-c、b-c和a-b-c。

上面所描述的方法的各种操作可以由能够执行这些操作的任何适当单元(例如，各种硬件和/或软件组件、电路和/或模块)来执行。通常，在附图中示出的任何操作可以由能够执行这些操作的相应功能单元来执行。

结合本公开内容描述的各种示例性的逻辑方框、模块和电路可以由被设计为执行本文所述功能的通用处理器、数字信号处理器(dsp)、专用集成电路(asic)、现场可编程门阵列(fpga)或其它可编程逻辑器件(pld)、分立门或者晶体管逻辑器件、分立硬件组件或者其任意组合来实现或执行。通用处理器可以是微处理器，或者，该处理器也可以是任何商业可用处理器、控制器、微控制器或者状态机。处理器还可以实现为计算设备的组合，例如，dsp和微处理器的组合、多个微处理器、一个或多个微处理器与dsp内核的结合，或者任何其它这样的配置。

在一个或多个方面中，所描述的功能可以在硬件、软件、固件或其任意组合中实现。如果在软件中实现，则所述功能可以作为一个或多个指令或代码存储在计算机可读介质中或者通过其进行传输。计算机可读介质包括计算机存储介质和通信介质二者，所述通信介质包括促进计算机程序从一个地方传送到另一个地方的任何介质。存储介质可以是可由通用或专用计算机存取的任何可用的介质。通过举例而非限制性的方式，这样的计算机可读介质可以包括ram、rom、eeprom、cd-rom或其它光盘存储、磁盘存储或其它磁存储设备、或者可以用于以指令或数据结构的形式携带或存储期望的程序代码以及可以由计算机来存取的任何其它的介质。此外，任何连接可以适当地称为计算机可读介质。例如，如果使用同轴电缆、光纤光缆、双绞线、数字用户线(dsl)或无线技术(诸如红外线、无线电和微波)从网站、服务器或其它远程源发送软件，则同轴电缆、光纤光缆、双绞线、dsl或无线技术(诸如红外线、无线电和微波)包括在介质的定义中。如本文所使用的，磁盘和光盘包括压缩光盘(cd)、激光光盘、光盘、数字多功能光盘(dvd)、软盘和蓝光光盘，其中磁盘通常磁性地复制数据，而光盘则通常利用激光来光学地复制数据。因此，在一些方面中，计算机可读介质可以包括非暂时性计算机可读介质(例如，有形介质)。此外，在一些方面中，计算机可读介质可以包括临暂性计算机可读介质(例如，信号)。上述的组合也应当包括在计算机可读介质的范围之内。

本文所公开的方法包括用于实现所描述的方法的一个或多个步骤或动作。在不脱离本权利要求书的范围的情况下，所述方法步骤和/或动作可以相互交换。换句话说，除非规定了步骤或动作的具体次序，否则在不脱离本权利要求书的范围的情况下，可以修改具体步骤和/或动作的次序和/或使用。

所描述的功能可以在硬件、软件、固件或其任意组合中实现。如果在软件中实现，则可以将所述功能作为一个或多个指令储存在计算机可读介质上。存储介质可以是可由计算机存取的任何可用的介质。通过举例而非限制性的方式，这种计算机可读介质可包括ram、rom、eeprom、cd-rom或其它光盘存储装置、磁盘存储装置或其它磁储存设备、或可用于以指令或数据结构的形式携带或存储期望的程序代码并且可由计算机存取的任何其它介质。如本文所使用的，磁盘和光盘包括压缩光盘(cd)、激光光盘、光盘、数字多功能光盘(dvd)、软盘和光盘，其中磁盘通常磁性地复制数据，而光盘则利用激光来光学地复制数据。

因此，某些方面可以包括用于执行本文所介绍的操作的计算机程序产品。例如，这种计算机程序产品可以包括具有存储在其上(和/或编码)的指令的计算机可读存储介质，所述指令是可由一个或多个处理器执行的以执行本文所描述的操作。针对某些方面，计算机程序产品可包括封装材料。

可以通过传送介质来传送软件或指令。例如，如果使用同轴电缆、光纤光缆、双绞线、数字用户线(dsl)或无线技术(例如红外、无线和微波)从网站、服务器或其它远程源发送软件，则同轴电缆、光纤光缆、双绞线、dsl或无线技术(例如红外、无线和微波)包括在传送介质的定义中。

此外，应该意识到的是，可以由用户终端和/或基站下载和/或否则以适当方式获取用于执行本文所描述的方法和技术的模块和/或其它适当的单元。例如，这种设备可以耦合到服务器以有助于用于执行本文所描述的方法的单元的转移。替代地，可以经由存储单元(例如，ram、rom、诸如压缩盘(cd)或软盘等物理存储介质)提供本文所描述的各种方法，使得当将存储单元耦合到或提供给设备时，用户终端和/或基站可以获取各种方法。此外，可以利用用于向设备提供本文所描述的方法和技术的任何其它适当的技术。

要理解的是，权利要求书不受限于上文说明的精确配置和组件。在不脱离权利要求书的范围的情况下，可以在对上文描述的方法和装置的排列、操作和细节做出各种修改、改变和变形。

虽然前述内容是针对于本公开内容的方面，但在不脱离其基本范围的情况下，本公开内容的其它和进一步的方面可以被设计出来，以及其范围是由所附的权利要求书来确定的。