[發(fā)明專利]CAPWAP架構(gòu)的接入控制器及其密鑰管理方法

有效

• 申請(qǐng)?zhí)枺?/td>: 201110243327.8
• 申請(qǐng)日: 2011-08-23
• 公開（公告）號(hào): CN102958051A
• 公開（公告）日: 2013-03-06
• 發(fā)明（設(shè)計(jì)）人: 鄭軍;楊水根;溫海波;梁錚;賓梵翔
• 申請(qǐng)（專利權(quán)）人: 上海貝爾股份有限公司
• 主分類號(hào): H04W12/04
• 分類號(hào): H04W12/04;H04W84/12
• 代理公司: 北京市金杜律師事務(wù)所 11256
• 代理人: 鄭立柱

1.一種基于CAPWAP架構(gòu)的接入控制器(AC)，該接入控制器管轄至少一個(gè)無(wú)線端接節(jié)點(diǎn)(AP1、AP2、AP3...)，其特征在于，該接入控制器包括：

-至少一個(gè)密鑰管理模塊(VAS1、VAS2、VAS3...)，與所述至少一個(gè)無(wú)線端接節(jié)點(diǎn)一一對(duì)應(yīng)，并用于管理從該無(wú)線端接節(jié)點(diǎn)接入的用戶站(MS)的、基于IEEE?802.11協(xié)議族的密鑰。

2.根據(jù)權(quán)利要求1所述的接入控制器，其特征在于，該密鑰管理模塊管理對(duì)應(yīng)于該用戶站(MS)的主密鑰(PMK)以及業(yè)務(wù)密鑰(PTK)。

3.根據(jù)權(quán)利要求2所述的接入控制器，其特征在于，對(duì)于該接入控制器中的密鑰管理體系，當(dāng)該用戶站(MS)通過第一無(wú)線端接節(jié)點(diǎn)(AP1)首次接入該接入控制器時(shí)，與該第一無(wú)線端接節(jié)點(diǎn)對(duì)應(yīng)的第一密鑰管理模塊(VAS1)用于：

-與認(rèn)證(AAA)服務(wù)器交互，獲取與該用戶站對(duì)應(yīng)的該主會(huì)話密鑰(MSK)，和/或確定與該用戶站對(duì)應(yīng)的該預(yù)共享密鑰(PSK)；

-基于所述主會(huì)話密鑰和/或所述預(yù)共享密鑰，生成與該用戶站對(duì)應(yīng)的第一主密鑰(PMK-R0)；

-基于所述第一主密鑰，產(chǎn)生與該用戶站對(duì)應(yīng)的第一業(yè)務(wù)密鑰(PTK)。

4.根據(jù)權(quán)利要求3所述的接入控制器，其特征在于，對(duì)于該接入控制器中的密鑰管理體系，

-所述第一密鑰管理模塊還用于，基于所述第一主密鑰(PMK-R0)，生成第二主密鑰(PMK-R1a、PMK-R1b)，并將該第二主密鑰提供給其他無(wú)線端接節(jié)點(diǎn)(AP2、AP3)所對(duì)應(yīng)的第二密鑰管理模塊(VAS2、VAS3)，其中，該第二主密鑰與所述第一主密鑰不同，并且，提供給各第二密鑰管理模塊(VAS2、VAS3)的第二主密鑰(PMK-R1a、PMK-R1b)各不相同；

-該第二密鑰管理模塊用于，存儲(chǔ)所述第二主密鑰，并基于所述第二主密鑰，產(chǎn)生與該用戶站對(duì)應(yīng)的第二業(yè)務(wù)密鑰(PTKa、PTKb)，其中，各第二密鑰管理模塊(VAS2、VAS3)產(chǎn)生的與該用戶站對(duì)應(yīng)的第二業(yè)務(wù)密鑰(PTKa、PTKb)各不相同。

5.根據(jù)權(quán)利要求4所述的接入控制器，其特征在于，當(dāng)該用戶站(MS)切換到該第二無(wú)線端接節(jié)點(diǎn)(AP2、AP3)時(shí)，該接入控制器進(jìn)行如下操作：

-接收來(lái)自該用戶站的切換到第二無(wú)線端接節(jié)點(diǎn)的請(qǐng)求；

-從該請(qǐng)求確定與該第二無(wú)線端接節(jié)點(diǎn)對(duì)應(yīng)的第二密鑰管理模塊(VAS2、VAS3)；

-基于該密鑰管理體系，控制所述第一密鑰管理與該第二密鑰管理模塊交互該第二主密鑰(PMK-R1a、PMK-R1b)，并在第二密鑰管理模塊中產(chǎn)生該第二業(yè)務(wù)密鑰(PTKa、PTKb)，完成切換過程。

6.根據(jù)權(quán)利要求1所述的接入控制器，其特征在于，在為各無(wú)線端接節(jié)點(diǎn)(AP?1、AP2、AP3...)進(jìn)行的初始化配置階段，所述接入控制器為該無(wú)線端接節(jié)點(diǎn)確定其對(duì)應(yīng)的密鑰管理模塊(VAS1、VAS2、VAS3...)，所述密鑰管理模塊由以下至少任一方式形成：

-軟件方式；

-硬件方式；

-固件方式。

7.一種在基于CAPWAP架構(gòu)的接入控制器(AC)中進(jìn)行密鑰管理的方法，該接入控制器管轄至少一個(gè)無(wú)線端接節(jié)點(diǎn)(AP1、AP2、AP3...)，其特征在于，該方法包括：

-為所述至少一個(gè)無(wú)線端接節(jié)點(diǎn)，一一對(duì)應(yīng)地設(shè)置至少一個(gè)密鑰管理模塊(VAS1、VAS2、VAS3...)，該密鑰管理模塊用于管理從該無(wú)線端接節(jié)點(diǎn)接入的用戶站(MS)的、基于IEEE?802.11協(xié)議族的密鑰。

8.根據(jù)權(quán)利要求7所述的方法，其特征在于，該密鑰管理模塊管理對(duì)應(yīng)于用戶站(MS)的主密鑰(PMK)以及業(yè)務(wù)密鑰(PTK)。

9.根據(jù)權(quán)利要求8所述的方法，其特征在于，對(duì)于該接入控制器中的密鑰管理體系，當(dāng)該用戶站(MS)通過第一無(wú)線端接節(jié)點(diǎn)(AP1)首次接入該接入控制器時(shí)，該方法由與該第一無(wú)線端接節(jié)點(diǎn)對(duì)應(yīng)的第一密鑰管理模塊(VAS1)進(jìn)行如下步驟：

-與認(rèn)證(AAA)服務(wù)器交互，獲取與該用戶站對(duì)應(yīng)的主會(huì)話密鑰(MSK)，和/或確定與該用戶站對(duì)應(yīng)的預(yù)共享密鑰(PSK)；

-基于所述主會(huì)話密鑰和/或所述預(yù)共享密鑰，生成與該用戶站對(duì)應(yīng)的第一主密鑰(PMK-R0)；

-基于所述第一主密鑰，產(chǎn)生與該用戶站對(duì)應(yīng)的第一業(yè)務(wù)密鑰(PTK)。