具有改善轉換的速度和質量的密鑰分配功能的方法和設備的製作方法

2023-05-28 11:50:46

專利名稱：具有改善轉換的速度和質量的密鑰分配功能的方法和設備的製作方法
技術領域：
本發明涉及用於網絡的密鑰分配節點，該密鑰分配節點與用於無線地綁定到該網絡中的終端設備的該網絡的第一和第二接入節點連接。本發明還涉及由所述節點和第一和第二接入節點構成的組合。本發明還涉及包括所述組合和所述終端設備的網絡。本發明還涉及用於在所述網絡中驗證所述終端設備的方法以及具有相應於該方法的指示的電腦程式。本發明可以在IP承載語音應用中以及在視頻點播應用中使用，尤其是在區域網中，尤其是WLAN。本發明可以專門用在網狀網絡中。
背景技術：
無線網絡越來越廣泛地用在家庭和辦公室範圍中。網狀網絡是具有靈活的拓撲的無線網絡。網狀網絡的能聯網的節點具有用於識別拓撲變化或用於建立備用路由的特徵。對於網際網路來說已知例如IP承載語音(VoIP)或視頻點播(VoD)的實時應用。實時通信的端點一般是所謂的「站點」或「客戶端」，即無聯網能力的終端設備。為了綁定到網狀網絡，這些終端設備必須與網狀網絡的接入節點關聯。在此，在擴展到網狀網絡的拓撲變化或者通過網狀網絡的接入節點的多個無線小區移動終端設備時，設置其中與一個接入節點關聯的終端設備重新與網狀網絡的另一接入節點關聯的轉換過程。特別對於實時應用來說，轉換過程的速度對於這樣的實時應用在使用無線連接條件下的質量和可實施性是決定性的。因此，為了對無聯網能力的終端設備實現實時性，轉換過程應當從一個接入節點儘可能無延遲地和沒有分組損失地運行到另一接入節點。802. 11網絡用靜止的接入節點工作，所述靜止的接入節點一般通過有線的連接相
互通信。在網狀網絡中，用於在接入節點之間進行密鑰分配的通信由於無線傳輸而沒有在有線通信的情況下那麼可靠，並且由於多跳通信而具有提高的延遲。這導致網狀網絡中的更緩慢的轉換過程。此外，由於網狀節點以及終端設備或站點的移動性，網狀網絡中的轉換過程更頻繁地發生。網狀節點以及終端設備的移動性可能導致轉換過程的提高的數量。在網狀網絡中，接入節點通過無線介質運行容易出錯的通信，該通信附加地大多通過多個無線跳來執行。因此，通過必須重新與終端設備關聯的接入節點來請求PMK-Rl密鑰需要時間，並且轉換經歷延遲。IEEE 802. IlF標準展示802. 11網絡中的轉換機制，並且記載在IEEE Trial-UseRecommended Practice for Multi-Vendor Access Point Interoperability via anInter-Access Point Protocol Across Distribution Systems Supporting IEEE 802.11Operation, 2003中。該標準不包含用於優化轉換過程的機制。802. 21標準涉及異質網絡之間的通信和轉換過程的執行，並且記載在Standardfor Media Independent Handover Services, IEEE Computer Society/Local andMetropolitan Area Networks, Draft 802. 21-Standard, 2004 中。
在引入轉換之後驗證的加快由Bruce McMurdo的Cisco Fast Secure Roaming,2004展示。為了加快轉換過程，在 Catherine Rosenberg, Edwin K. P. Chong, HosameAbu-Amara, Jeongjoon Lee 的 Efficient Roaming over Heterogeneous WirelessNetworks, Proceedings of WNCG Wireless Networking Symposium, 2003 中展不了對多個接口的使用。為此已經用新的接入節點執行驗證，而站點通過第二接口仍然與老的接入節點連接。一種針對無線802. 11網絡中的快速轉換過程的標準化在Draf t Amendmentto Standard for Information Technology-Telecommunications and InformationExchange between Systems-LAN/MAN Specific Requirements-Part 11: Wireless LANMedium Access Control (MAC) and Physical Layer (PHY) Specifications: Amendment2: Fast BSS Transition, D2. 0, 2006 年 3 月中展不。
為了優化轉換過程，根據無線802. 11網絡中的IEEE 802. Ilr標準使用專用的密鑰分層結構。與根據權利要求I的前序部分的節點匹配的密鑰分配的該標準化變形方案是，在可以傳送用於轉換過程的PMK-Rl密鑰之前，首先必須在移動域控制器(MDC)中請求與PMK-RO密鑰持有者的安全關係。這延遲了轉換過程。在圖2中示意性示出在根據IEEE 802. Ilr標準的轉換過程中的通信。每個接入節點在其初始登錄之後在移動域內計算PMK-RO密鑰。該接入節點藉助移動域控制器MDC建立與PMK-RO密鑰持有者的安全關係。該PMK-RO密鑰持有者在成功驗證之後從協商的主密鑰中推導出來並且存儲在新的接入節點MAP2首次登錄的接入節點MAPI上。該接入節點MAPI也稱為PMK-RO密鑰持有者。接著從PMK-RO密鑰中推導出所謂的PMK-Rl密鑰，該PMK-Rl密鑰形成用於保護接入節點和終端設備STA之間通信的基礎。新的有結網能力的接入節點MAP2從終端設備STA獲得驗證請求，由此引入轉換過程。如果終端設備STA在步驟SI中引入轉換過程，則新的接入節點MAP2在步驟SO中藉助移動域控制器MDC建立與接入節點MAPI的安全關係，該接入節點MAPI是PMK-RO密鑰持有者。在該接入節點MAPI處，該接入節點MAPI在步驟S2』中請求「自己的」 PMK-Rl密鑰，該PMK-Rl密鑰用作保護終端設備STA和新的接入節點MAP2之間的新通信關係的基礎。為此，接入節點MAPI在步驟S3』中從PMK-RO密鑰導出PMK-Rl密鑰並且在步驟S4』中將PMK-Rl密鑰發送到新的接入節點MAP2。然後新的接入節點MAP2在步驟S5』中將驗證響應發送給終端設備，接著該終端設備在步驟S6中與新的接入節點MAP2關聯，由此在未對終端設備重新驗證的情況下可以成功結束轉換過程。

發明內容
本發明的任務是，為無線地綁定到網絡中的終端設備改善第一接入節點和第二或新接入節點之間的轉換過程的速度和/或質量。本發明為此涉及一種用於網絡的密鑰分配節點，該密鑰分配節點包括
a)具有至少一個第一密鑰的存儲裝置，
b)至少一個數據通信裝置，用於與無線綁定到網絡中的終端設備的第一和第二接入節點進行數據交換，c)與存儲裝置和數據通信裝置連接的至少一個處理器，
其中為一個/多個處理器設置功能，以便為了在第二接入節點處驗證終端設備響應於從第二接入節點接收的密鑰請求，
d)從第一密鑰中推導出的第二密鑰，以及
e)觸發第二密鑰通過數據通信裝置到第二接入節點的發送。根據本發明，密鑰分配節點具有尤其在使用第一密鑰的情況下利用安全關係與網絡的第一和第二接入節點的連接。第一密鑰在此可以是PMK-RO密鑰。
在圖2中以SO示出的通信以及由此帶來的轉換過程的延遲可以在使用本發明節點的情況下得到避免。密鑰分配節點例如可以是驗證伺服器。從而在驗證伺服器存在的情況下，該驗證伺服器可以被用於存儲PMK-RO密鑰。因此PMK-RO密鑰持有者在這種情況下是驗證伺服器並且不再是初始的接入節點。這所具有的優點是，不再需要在圖2中所示的移動域控制器MDC來建立與終端設備的PMK-RO密鑰持有者的安全關係，並且可以節省掉新接入節點與移動域控制器MDC之間的整個通信。由此減小了轉換過程的延遲。因此如果在網絡中已經存在驗證伺服器，則該驗證伺服器可以擴展為，使得圖2所示的移動域控制器MDC是多餘的。在這種情況下，不再如在IEEE 802. Ilr標準中所設置的那樣將初始的接入節點用作PMK-RO密鑰持有者，而是驗證伺服器。這所具有的優點是，由此去掉了在圖2中所示的PMK-Rl密鑰的請求中的步驟SO :建立與PMK-RO密鑰持有者的安全關係。由於驗證伺服器在該解決方案中對於所有站點都是PMK-RO密鑰持有者並且每個接入節點已經擁有與驗證伺服器的安全關係以便能加入該網絡，因此去掉建立與初始接入節點的安全關係。通過這種方式節省掉了與移動域控制器MDC的整個通信，即在轉換情況下的延遲以及帶寬需求都減小。在一種實施中密鑰分配節點是網狀網絡的節點。在該實施中，不需要將所有PMK-RO密鑰存儲在中央實體中，該中央實體在失效的情況下帶來對整個網絡的幹擾。更確切地說，有利地PMK-RO密鑰可以對每個複製品存儲在多個中央實體上。此外尤其是在較小的網狀網絡中可以有利地是，節省掉如驗證伺服器的硬體資源並取而代之地設置所示出的用於密鑰分配的節點。在此，可以採用適當的解決方案，這些解決方案例如通過如終端設備的MAC地址的技術特徵或者通過根密鑰的物理安裝(例如藉助USB棒)設置初始驗證。在具有驗證伺服器的較大的網狀網絡中，也採用這樣示出的節點，以例如使得用於每次驗證的中央節點承擔「認證器」的角色。在其中有另外所示出的節點存在於與每個節點連接的網狀網絡中的情況下，在如下意義下的擴展是可能的，即那些所示出的節點代替驗證伺服器來承擔PMK-RO密鑰持有者的角色。第一和第二密鑰有利地是成對對稱的密鑰，也稱為PMK。本發明還涉及由至少一個本發明的密鑰分配節點和上述第一和第二接入節點構成的組合。
第一和第二接入節點在本發明的組合的有利實施中是網狀網絡的節點。本發明的組合可以與一個終端設備或多個終端設備構成網絡。一種用於在本發明的網絡中在轉換過程期間對終端設備進行驗證的方法包括相繼的步驟
SI通過本發明的組合的第二接入節點從網絡的終端設備接收驗證請求，
S2通過第二接入節點向本發明的密鑰分配節點請求第二密鑰， S3實施本發明的密鑰分配節點的功能d)和e)，
S4通過密鑰分配節點的數據通信裝置將第二密鑰發送給第二接入節點，
S5通過第二接入節點將驗證響應發送給終端設備，
S6將終端設備與第二接入節點連接。根據一種實施，當終端設備位於第一和第二接入節點的無線小區的重疊區域中時，實施上述步驟S1-S6。用存儲裝置來配置節點是可能的，其中在步驟SI之前有利地在密鑰分配節點中實施第一和/或第二接入節點的初始驗證，尤其是通過在存儲裝置中存儲第一密鑰。具有相應於本發明方法的指示的電腦程式也是本發明的一部分。本發明應用於實時網絡應用，例如IP承載語音應用或視頻點播應用和/或在區域網中，尤其是WLAN。


下面參照附圖描述本發明的方面和示例性實施，其中
圖I示意性示出密鑰分配節點；
圖2示意性示出在根據IEEE 802. Ilr標準的轉換過程中的通信；
圖3示意性示出在根據本發明的轉換過程中的通信；
圖4示出本發明的網絡。
具體實施例方式在圖I所示的本發明的密鑰分配節點中，處理器3通過總線4與存儲裝置I和數據通信裝置2連接。密鑰分配節點在圖4所示的網絡中用作驗證伺服器，並且通過數據通信裝置2與第一和第二接入節點MAP1，MAP2連接。該網絡下面與圖3和圖4描述的密鑰分配和轉換功能連接。圖3示出至上述新的接入節點MAP2的轉換的流程。PMK-Rl密鑰直接在驗證伺服器AS中被請求並且接著可以成功地結束轉換過程。驗證伺服器AS只能讓經過授權的人員接近並由此被很好地保護。圖4所示的網絡包括兩個有聯網功能的接入節點，其中圖3僅示出一個，即MAP2，並且這兩個有聯網功能的接入節點都已經在加入到網狀網絡時就在驗證伺服器AS處被驗證並因此擁有與驗證伺服器AS的安全關係。筆記本形式的移動終端設備STA通過接入節點MAP2得到驗證，其中該移動終端設備STA將驗證消息轉發到驗證伺服器AS。該驗證伺服器執行接入計算的檢驗，並且在接入節點成功驗證的情況下產生主密鑰。該驗證伺服器從該主密鑰中推導出PMK-RO密鑰，該驗證伺服器將該PMK-RO密鑰作為PMK-RO密鑰持有者本地存儲在該驗證伺服器的功能中。在根據IEEE 802. I Ir標準的現有技術中，初始的接入節點承擔針對站點的PMK-RO密鑰持有者的功能。在存儲了 PMK-RO密鑰之後，驗證伺服器AS緊接著產生PMK-Rl密鑰並且將該PMK-Rl密鑰傳送給請求的接入節點MAP2。該PMK-Rl密鑰包含關於接入節點MAP2的特定信息，例如該接入節點MAP2的MAC地址，並且由此形成用於保護接入節點MAP2和現在通過接入節點MAP2與網狀網絡關聯的終端設備STA之間的通關係的基礎。在圖4所示的網絡拓撲中，終端設備與接 入節點MAPI關聯並且在圖4所示的箭頭方向上移動到接入節點MAP2的無線小區中。終端設備為此在特定的時刻引入從接入節點MAPI至接入節點MAP2的轉換過程。在此，把確定針對這樣的轉換的最佳時刻作為前提條件給出。MAP2必須在引入轉換過程之後通過站點STA向終端設備的PMK-RO密鑰持有者請求PMK-Rl密鑰，以便能與終端設備建立安全關係。為此首先需要PMK-RO密鑰持有者和新接入節點MAP2之間的安全關係。在最初的標準中，新接入節點MAP2必須向移動域控制器MDC請求與初始接入節點MAPI的這種安全關係。在此之後，MAPI才可以緊接著向MAP2傳送PMK-Rl密鑰。所建議的本發明的解決方案將所述通信減少了「循環時間」，因為在該解決方案中驗證伺服器AS承擔PMK-RO密鑰持有者的功能。新接入節點MAP2因此向已經與其擁有安全關係的驗證伺服器AS請求轉換所需要的PMK-Rl密鑰。因此去掉圖2所示的向MDC做出的對安全關係的請求。驗證伺服器AS由於MAP2的請求將特定於MAP2的PMK-Rl密鑰傳送給新接入節點MAP2，該PMK-Rl密鑰用作保護MAP2和終端設備STA之間的通信關係的基礎，並由此使得可以結束轉換過程。因此驗證包括相繼的步驟
SI通過本發明的組合的第二接入節點MAP2從網絡的終端設備STA接收驗證請求，
S2通過第二接入節點MAP2向伺服器AS請求第二密鑰PMK-Rl，
S3為了在第二接入節點MAP2處驗證終端設備(STA)，從第一密鑰中推導出第二密鑰， S4將第二密鑰PMK-Rl發送給第二接入節點MAP2，
S5通過第二接入節點MAP2將驗證響應發送給終端設備STA，
S6將終端設備STA與第二接入節點MAP2連接。實施本發明的具體優點
在驗證伺服器存在的情況下，省略與移動域控制器進行的用於與站點的PMK-RO密鑰持有者建立安全關係的通信，其方式是已經與所有接入節點建立了安全關係的驗證伺服器承擔對PMK-RO密鑰的管理和存儲。這樣 的措施避免了在請求轉換過程所需要的PMK-Rl密鑰時的延遲。由此在網狀網絡中的轉換過程可以被額外地加速，並且例如IP承載語音的實時應用可以更好地得到支持。附圖標記列表 I存儲裝置
2數據通信裝置 3處理器 4總線
AS驗證伺服器STA終端設備
MAPI第一接入節點MAP2第二接入節點MDC移動域控制器
權利要求
1.一種用於網絡的密鑰分配節點(AS)，該密鑰分配節點包括 a)具有至少一個第一密鑰的存儲裝置(1)， b)至少一個數據通信裝置(2)，用於與無線綁定到網絡中的終端設備(STA)的第一和第二接入節點(MAPI，MAP2)進行數據交換， c)與存儲裝置(I)和數據通信裝置(2)連接的至少一個處理器(3 )， 其中為一個/多個處理器設置功能，以便為了在第二接入節點(MAP2)處驗證終端設備(STA)響應於從第二接入節點(MAP2)接收的密鑰請求， d)從第一密鑰中推導出的第二密鑰，以及 e)觸發第二密鑰通過數據通信裝置到第二接入節點(MAP2)的發送， 其特徵在於利用安全關係與網絡的第一和第二接入節點(MAPI，MAP2)的連接，尤其是在使用第一密鑰的情況下。
2.根據權利要求I的密鑰分配節點(AS)，其特徵在於，密鑰分配節點(AS)是驗證伺服器。
3.根據權利要求I的密鑰分配節點(AS)，其特徵在於，密鑰分配節點(AS)是網狀網絡的節點。
4.根據權利要求I的密鑰分配節點(AS)，其特徵在於，第二密鑰對終端設備的專有特徵進彳了編碼，例如MAC地址。
5.根據上述權利要求之一的密鑰分配節點(AS)，其特徵在於，第一和第二密鑰是成對對稱的密鑰。
6.一種由至少一個根據上述權利要求之一的密鑰分配節點(AS)和第一和第二接入節點(MAPI，MAP2)構成的組合。
7.根據權利要求6的組合，其特徵在於，第一和第二接入節點是網狀網絡的節點。
8.一種包括根據權利要求6或7的組合和終端設備(STA)的網絡。
9.一種用於在根據權利要求8的網絡中在轉換過程期間對終端設備(STA)進行驗證的方法，包括相繼的步驟 SI通過根據權利要求6或7的組合的第二接入節點(MAP2)從根據權利要求8的網絡的終端設備(STA)接收驗證請求， S2通過第二接入節點(MAP2)向根據權利要求I至5之一的密鑰分配節點(AS)請求第二密鑰， S3實施密鑰分配節點(AS)的功能d)和e)， S4通過數據通信裝置將第二密鑰發送給第二接入節點(MAP2)， S5通過第二接入節點(MAP2)將驗證響應發送給終端設備(STA)， S6將終端設備與第二接入節點(MAP2)關聯。
10.根據權利要求9的方法，其中當終端設備(STA)位於第一和第二接入節點(MAPI，MAP2)的無線小區的重疊區域中時，實施所述步驟S1-S6。
11.根據權利要求9或10的方法，包括對密鑰分配節點(AS)的配置，其中在步驟SI之前在密鑰分配節點(AS)中實施第一和第二接入節點(MAPI)的初始驗證，尤其是通過在存儲裝置(I)中存儲第一密鑰。
12.—種電腦程式，其特徵在於相應於根據權利要求9至11之一的方法的指示。
13.一種根據權利要求I至5之一的密鑰分配節點(AS)、根據權利要求6或7的組合、根據權利要求10或11的方法或根據權利要求12的電腦程式在實時網絡應用中的應用，該實時網絡應用尤其是從IP承載語音應用和視頻點播應用中選擇。
14.根據權利要求13的應用，其中所述網絡是區域網路，尤其是WLAN。
全文摘要
本發明涉及一種用於網絡的密鑰分配節點(AS)，該密鑰分配節點包括a)具有至少一個第一密鑰的存儲裝置(1)；b)至少一個數據通信裝置(2)，用於與無線綁定到網絡中的終端設備(STA)的第一和第二接入節點(MAP1，MAP2)進行數據交換；c)與存儲裝置(1)和數據通信裝置(2)連接的至少一個處理器(3)，其中為一個/多個處理器設置功能，以便為了在第二接入節點(MAP2)處驗證終端設備(STA)響應於從第二接入節點(MAP2)接收的密鑰請求；d)從第一密鑰中推導出的第二密鑰；以及e)觸發第二密鑰通過數據通信裝置到第二接入節點(MAP2)的發送。為密鑰分配節點(AS)設置在使用第一密鑰的情況下利用安全關係與網絡的第一和第二接入節點(MAP1，MAP2)的連接。
文檔編號H04L29/06GK102668504SQ201180005266
公開日2012年9月12日 申請日期2011年4月15日 優先權日2010年4月26日
發明者C.施文根施勒格爾, M.巴爾, M.羅特, T.加默 申請人:西門子企業通訊有限責任兩合公司