[发明专利]一种无线局域网终端的预鉴别方法及无线局域网系统

权利要求书

1.一种无线局域网终端的预鉴别方法，其特征在于，该方法包括：

已与站点STA建立安全关联的当前接入点AP在接收到所述STA发送的预鉴别开始分组后，与目的AP进行交互，进行双方证书的相互验证；

如果对所述目的AP的证书的验证结果为证书有效，则所述当前AP将其与所述STA建立的安全关联的密钥信息发送给所述目的AP，所述目的AP保存所述密钥信息；

所述密钥信息中包含STA与当前AP协商生成的基密钥；

其中，所述当前AP与目的AP采用如下方式进行双方证书的相互验证：

所述当前AP向所述目的AP发送预鉴别启动分组；该分组中包含：所述当前AP的证书；

接收到预鉴别启动分组后，所述目的AP向鉴别服务器发送证书鉴别请求分组；该分组中包含：所述当前AP的证书和所述目的AP的证书；或者，接收到预鉴别启动分组后，所述目的AP向当前AP发送包含目的AP证书的预鉴别响应分组，由当前AP向鉴别服务器发送包含当前AP和目的AP证书的证书鉴别请求分组；

接收到证书鉴别请求分组后，鉴别服务器对所述当前AP的证书和所述目的AP的证书进行验证，并将证书验证结果和鉴别服务器的签名包含在证书鉴别响应分组中发送给所述目的AP和当前AP。

2.如权利要求1所述的方法，其特征在于，

所述预鉴别启动分组中包含所述当前AP的签名字段；接收到所述预鉴别启动分组后，所述目的AP对当前AP的签名字段进行验证；仅当签名验证成功时，才发送所述证书鉴别请求分组。

3.如权利要求1或2所述的方法，其特征在于，

所述证书鉴别请求分组中包含所述目的AP的签名；接收到所述证书鉴别请求分组后，鉴别服务器还对所述目的AP的签名进行验证。

4.如权利要求1所述的方法，其特征在于，

所述密钥信息中还包含STA与所述当前AP协商生成的单播会话密钥；

所述目的AP接收到所述密钥信息后，还使用所述单播会话密钥与STA协商生成组播密钥。

5.如权利要求1所述的方法，其特征在于，

如果对所述目的AP的证书的验证结果为证书无效，则所述当前AP解除其与所述目的AP的链路关系，并通知STA所述目的AP为非法AP。

6.一种无线局域网系统，该系统包含：STA、已与所述STA建立安全关联的当前AP、支持预鉴别功能的目的AP；其中：

所述当前AP用于在接收到所述STA发送的预鉴别开始分组后，与所述目的AP进行交互，进行双方证书的相互验证；

如果对所述目的AP的证书的验证结果为证书有效，则所述当前AP还用于将其与所述STA建立的安全关联的密钥信息发送给所述目的AP；所述目的AP保存所述密钥信息；

所述密钥信息中包含STA与当前AP协商生成的基密钥；

所述系统还包含鉴别服务器，所述当前AP与目的AP采用如下方式进行双方证书的相互验证：

所述当前AP向所述目的AP发送预鉴别启动分组；该分组中包含：所述当前AP的证书；

接收到预鉴别启动分组后，所述目的AP向鉴别服务器发送证书鉴别请求分组；该分组中包含：所述当前AP的证书和所述目的AP的证书；或者，接收到预鉴别启动分组后，所述目的AP向当前AP发送包含目的AP证书的预鉴别响应分组，由当前AP向鉴别服务器发送包含当前AP和目的AP证书的证书鉴别请求分组；

接收到证书鉴别请求分组后，鉴别服务器对所述当前AP的证书和所述目的AP的证书进行验证，并将证书验证结果和鉴别服务器的签名包含在证书鉴别响应分组中发送给所述目的AP和当前AP。

7.如权利要求6所述的系统，其特征在于，

所述预鉴别启动分组中包含所述当前AP的签名字段；接收到所述预鉴别启动分组后，所述目的AP对当前AP的签名字段进行验证；仅当签名验证成功时，才发送所述证书鉴别请求分组。

8.如权利要求6所述的系统，其特征在于，

所述密钥信息中还包含所述STA与所述当前AP协商生成的单播会话密钥；

所述目的AP还用于在接收到所述密钥信息后，使用所述单播会话密钥与所述STA协商生成组播密钥。