一种802.11i密钥管理方法

摘要

本发明涉及一种802.11i密钥管理方法，基于采用802.11分离MAC方案的系统构架实现，STA通过分离MAC构架中的集中式设备完成主密钥协商；在获得主密钥后，STA与所述集中式设备进一步协商，获得用于业务流加密的密钥；STA利用用于业务流加密的密钥给数据加密。本发明基于分离MAC的802.11i密钥管理方案简化了STA发生二层切换时的接入认证和密钥协商过程，从而减少了整个二层切换的时延。本发明的认证处理以及数据加密的两个端点位于STA与集中设备上，可以有效的防止黑客通过替换AP等物理手段达到访问网络的目的。另外，本发明还便于升级，并减少了升级的成本。

主权项

一种802.11i密钥管理方法，基于采用802.11分离MAC方案的系统构架实现，STA通过分离MAC构架中的集中式设备完成主密钥协商；在获得主密钥后，STA与所述集中式设备进一步协商，获得用于业务流加密的密钥；STA利用用于业务流加密的密钥给数据加密；所述密钥管理方法包括如下步骤：1)安全能力协商阶段：STA与集中式设备之间完成安全能力协商；2)IEEE 802.1X认证阶段：STA通过集中式设备与认证服务器进行消息交互，完成双向认证和主密钥的协商；3)密钥协商阶段：集中式设备获得主密钥后，与STA进一步协商，得到用于业务流加密的密钥；4)传输数据转发保护：STA利用用于业务流加密的密钥给数据加密，然后将加密数据发送给集中式设备，集中式设备将其解密并转发给目的地址；STA发生二层切换时，密钥管理方法包括如下步骤：21)STA切换到新的AP上时，与集中式设备进行重新关联，关联请求帧携带着前一次认证协商得到的主密钥标识；22)集中式设备按STA发送的主密钥标识查找本地的主密钥索引表；如果在主密钥索引表中找到相应的匹配项目，则发起802.11i四次握手过程，得到新的用于业务流加密的密钥；23)STA利用新的用于业务流加密的密钥给数据加密，然后将加密数据发送给集中式设备，集中式设备将其解密并转发给目的地址。