[發明專利]一種網絡設備及其認證和密鑰管理方法

有效

• 申請號: 201210195842.8
• 申請日: 2012-06-14
• 公開（公告）號: CN103490887B
• 公開（公告）日: 2017-06-13
• 發明（設計）人: 梁瓊文;張偉良;王琳;張俊劍;張德智;張博山
• 申請（專利權）人: 中興通訊股份有限公司
• 主分類號: H04L9/32
• 分類號: H04L9/32;H04L9/08
• 代理公司: 北京派特恩知識產權代理有限公司11270
• 代理人: 蔣雅潔,程立民

1.一種網絡設備的認證和密鑰管理方法，其特征在于，該方法包括：

網絡設備生成網絡密鑰NK；

所述網絡設備與通信對端設備進行認證協議交互，并根據認證協議交互的參數、以及所述NK，計算得到基礎會話密鑰BSK；

所述網絡設備根據所述BSK計算得到各種接入技術的媒體接入控制MAC和物理PHY層所使用的鏈路加密密鑰EK，并將各EK分別提供給對應的MAC和PHY層功能模塊；

其中，所述網絡設備根據BSK計算得到各種接入技術的MAC和PHY層所使用的EK，并將各EK分別提供給對應的MAC和PHY層功能模塊，包括：

將所述BSK輸入到哈希函數實現的密鑰推導算法進行計算，并按照各種接入技術的MAC和PHY層所需使用的EK長度，輸出對應長度的EK給對應的MAC和PHY層功能模塊。

2.根據權利要求1所述網絡設備的認證和密鑰管理方法，其特征在于，所述網絡設備根據獲取的口令密鑰生成NK、或者所述網絡設備通過在無線局域網WiFi中使用安全對碼按鈕的方式生成NK。

3.根據權利要求1所述網絡設備的認證和密鑰管理方法，其特征在于，在將各EK分別提供給對應的MAC和PHY層功能模塊之后，該方法還包括：

所述MAC和PHY層功能模塊根據獲取的EK，對所述網絡設備與通信對端設備通信的數據進行加解密保護。

4.根據權利要求2所述網絡設備的認證和密鑰管理方法，其特征在于，在網絡設備根據獲取的口令密鑰生成NK之前，該方法還包括：

所述網絡設備和通信對端設備交互設備能力信息，并在確認雙方都支持特定的認證和密鑰管理功能時，才執行后續的處理操作。

5.根據權利要求1、2或3所述網絡設備的認證和密鑰管理方法，其特征在于，所述各種接入技術的MAC和PHY層包括：

電力線通信PLC的MAC和PHY層；

同軸電纜MoCA的MAC和PHY層；

無線局域網WiFi的MAC和PHY層。

6.根據權利要求1、2或3所述網絡設備的認證和密鑰管理方法，其特征在于，所述認證協議交互的參數包括：所述網絡設備的融合控制模塊標識、所述網絡設備選取的隨機數、所述通信對端設備的融合控制模塊標識、所述通信對端設備選取的隨機數；

所述網絡設備的融合控制模塊標識為，所述網絡設備的融合控制模塊的MAC地址、或唯一標識所述網絡設備身份的MAC地址；

所述通信對端設備的融合控制模塊標識為，所述通信對端設備的融合控制模塊的MAC地址、或唯一標識所述通信對端設備身份的MAC地址。

7.根據權利要求1、2或3所述網絡設備的認證和密鑰管理方法，其特征在于，所述BSK包括：單播的BSK、和/或組播的BSK；

相應的，該方法進一步包括：

網絡設備根據單播的BSK計算得到單播的EK，根據組播的BSK計算得到組播的EK；

網絡設備的MAC和PHY層功能模塊根據單播的EK，對單播的數據進行加解密保護；根據組播的EK，對組播的數據進行加解密保護。

8.一種網絡設備，其特征在于，包括：融合控制模塊和各種接入技術的媒體接入控制MAC和物理PHY層功能模塊；其中，

所述融合控制模塊，用于生成網絡密鑰NK；還用于執行所述網絡設備與通信對端設備之間的認證協議交互，并根據認證協議交互的參數、以及所述NK，計算得到基礎會話密鑰BSK，根據所述BSK計算得到各種接入技術的MAC和PHY層所使用的鏈路加密密鑰EK，并將各EK分別提供給對應的MAC和PHY層功能模塊；

所述MAC和PHY層功能模塊，用于接收所述融合控制模塊提供的對應EK；

其中，所述融合控制模塊進一步用于，將所述BSK輸入到哈希函數實現的密鑰推導算法密鑰導出函數進行計算，并按照各種接入技術的MAC和PHY層所需使用的EK長度，輸出對應長度的EK給對應的MAC和PHY層功能模塊。

9.根據權利要求8所述網絡設備，其特征在于，所述融合控制模塊根據獲取的口令密鑰生成NK、或者通過在無線局域網WiFi中使用安全對碼按鈕的方式生成NK。

10.根據權利要求8所述網絡設備，其特征在于，所述MAC和PHY層功能模塊還用于，根據獲取的EK，對所述網絡設備與通信對端設備通信的數據進行加解密保護。