[發明專利]集中控制式MESH網絡中的密鑰管理方法、系統和裝置

有效

• 申請號: 201010116746.0
• 申請日: 2010-02-26
• 公開（公告）號: CN102170637A
• 公開（公告）日: 2011-08-31
• 發明（設計）人: 吳薔;繆琛;劉岸淘
• 申請（專利權）人: 杭州華三通信技術有限公司
• 主分類號: H04W12/04
• 分類號: H04W12/04;H04W12/06
• 代理公司: 北京德琦知識產權代理有限公司 11018
• 代理人: 謝安昆;宋志強

技術領域

本發明涉及網絡安全技術領域，特別涉及一種集中控制式MESH網絡中的密鑰管理方法、系統和裝置。

背景技術

無線網狀(MESH)網絡和普通的無線接入網一樣，也存在無線連接的安全問題，其中最重要的方面在于傳輸數據時對數據進行加密。MESH鏈路的加密采用密鑰方式，即在無線網狀網絡接入點(MP)之間使用密鑰對數據進行加密和解密，因此，密鑰管理是MESH安全體系中的重要部分。

MESH網絡中的密鑰管理機制為密鑰分發者(MKD)分層密鑰機制，涉及密鑰的生成、協商和分發。這一機制中主要存在三個角色：MKD、認證方(Authenticator)和被認證方(Supplicant)。在集中控制式MESH網絡組中，MKD由接入控制器(AC)擔任，MP可能同時作為認證方和被認證方中的一個或兩個角色，其中，通過MKD認證的MP稱為MESH網絡認證方(MA)，只有MA可以作為認證方對新加入的MP協商MESH鏈路的安全密鑰。

MESH鏈路安全的密鑰如圖1所示，分為幾個層次，第一層為預共享密鑰(PSK)，由MKD和被認證方持有；第二層為密鑰分發者對主密鑰(PMK-MKD)，根據PSK生成，MKD和被認證方都持有；第三層為認證方對主密鑰(PMK-MA)，根據PMK-MKD生成，MKD、認證方和被認證方都持有；第四層為共享會話密鑰(PTK)，根據PMK-MA生成，該PTK為最終用戶數據加密和解密的密鑰。當MP之間建立MESH鏈路后，作為認證方的MP需要向MKD請求PMK-MA和為被認證方分配的隨機數MPTK-Anonce，然后認證方和被認證方的MP之間通過四次握手過程協商最終的PTK，可見MKD是整個MESH網絡的安全核心。

然而，在如圖2所示的集中控制式MESH組網中，僅存在一個MKD，由AC設備擔任，一旦AC出現故障，或者連接AC的網絡出現故障，則在MP之間則無法建立安全的MESH鏈路，顯然，現有的MESH組網具有較低的安全性和可靠性。

發明內容

有鑒于此，本發明提供了一種集中控制式MESH網絡中的密鑰管理方法的方法、系統和裝置，以便于提高現有集中控制式MESH組網的安全性和可靠性。

一種集中控制式MESH網絡中的密鑰管理方法，在集中控制式MESH網絡中設置主用MKD和備用MKD，主用MKD正常工作時，由主用MKD負責MESH網絡的密鑰管理；

當MESH網絡中的認證方MA檢測到主用MKD故障時，將本MA的MESH鏈路安全信息發送給備用MKD，以便備用MKD利用接收到的MESH鏈路安全信息生成各MA所連接MESH鏈路的密鑰后，由備用MKD成為主用MKD并負責MESH網絡的密鑰管理；

其中，所述MA為所述MESH網絡中完成密鑰分發密鑰KDK協商的MESH網絡接入點MP。

一種MKD，應用于包含至少兩個所述MKD的集中控制式MESH網絡中；所述MKD包括：密鑰管理單元、信息接收單元和密鑰處理單元；

所述密鑰管理單元，用于在所述MKD作為主用MKD時，負責所述MESH網絡的密鑰管理；

所述信息接收單元，用于在所述MKD作為備用MKD時，接收所述MESH網絡中的MA在檢測到主用MKD故障時發送來的MESH鏈路安全信息，并將所述MESH鏈路安全信息提供給所述密鑰處理單元；

所述密鑰處理單元，用于利用所述信息接收單元提供的MESH鏈路安全信息，生成各MA所連接MESH鏈路的密鑰，將所屬MKD切換為主用MKD；

其中，所述MA為所述MESH網絡中完成KDK協商的MP。

一種MP，應用于包含主用MKD和備用MKD的MESH網絡，主用MKD正常工作時，由主用MKD負責MESH網絡的密鑰管理；該MP包括：故障檢測單元和切換處理單元；

所述故障檢測單元，用于檢測主用MKD是否故障；

所述切換處理單元，用于在所屬MP為MA時，如果所述故障檢測單元檢測到主用MKD故障，則將所屬MP的MESH鏈路安全信息發送給備用MKD，以便備用MKD利用接收到的MESH鏈路安全信息生成各MA所連接MESH鏈路的密鑰后，由備用MKD成為主用MKD并負責MESH網絡的密鑰管理；

其中，所述MA為所述MESH網絡中完成密鑰分發密鑰KDK協商的MESH網絡接入點MP。

一種集中控制式MESH網絡中的密鑰管理系統，該系統包含：主用MKD、備用MKD和MA；

所述主用MKD，用于在正常工作時，負責MESH網絡的密鑰管理；