[发明专利]集中控制式MESH网络中的密钥管理方法、系统和装置

权利要求书

1.一种集中控制式MESH网络中的密钥管理方法，其特征在于，在集中控制式MESH网络中设置主用密钥分发者MKD和备用MKD，主用MKD正常工作时，由主用MKD负责MESH网络的密钥管理；

当MESH网络中的认证方MA检测到主用MKD故障时，将本MA的MESH链路安全信息发送给备用MKD，以便备用MKD利用接收到的MESH链路安全信息生成各MA所连接MESH链路的密钥后，由备用MKD成为主用MKD并负责MESH网络的密钥管理；

其中，所述MA为所述MESH网络中完成密钥分发密钥KDK协商的MESH网络接入点MP。

2.根据权利要求1所述的方法，其特征在于，MESH网络中的MA通过与主用MKD之间定时互发的保活报文检测所述主用MKD是否故障。

3.根据权利要求1所述的方法，其特征在于，所述负责MESH网络的密钥管理包括：为所述MESH网络中各MP之间的MESH链路分配随机数MPTK-Anonce和生成认证方对主密钥PMK-MA，以及为当前主用MKD与MP之间的MESH链路分配随机数MKD-nonce和生成共享会话密钥的分发密钥MPTK-KD。

4.根据权利要求1、2或3所述的方法，其特征在于，所述MESH链路安全信息包括：发送所述MESH链路安全信息的MA与其它MP所连接MESH链路的随机数MPTK-Anonce，发送所述MESH链路安全信息的MA与发生故障的主用MKD所连接MESH链路的随机数MKD-nonce和MA-Anonce；

所述备用MKD利用接收到的MESH链路安全信息生成各MA所连接MESH链路的密钥包括：利用所述随机数MKD-nonce、MA-Anonce和预先配置的预共享密钥PSK生成MPTK-KD，将该MPTK-KD作为所述备用MKD与发送所述MESH链路安全信息的MA之间MESH链路的密钥；利用所述MPTK-Anonce和预先配置的PSK，生成PMK-MKD，再利用PMK-MKD和MPTK-Anonce生成所述MPTK-Anonce所对应MESH链路的PMK-MA。

5.根据权利要求4所述的方法，其特征在于，所述MESH链路安全信息还包括MA列表，所述MA列表包含与发送所述MESH链路安全信息的MA存在MESH连接的其它MA的信息；

在所述备用MKD利用接收到的MESH链路安全信息生成各MA所连接MESH链路的密钥之后，还包括：所述备用MKD向所述MA列表中的各MA发送PMK-MA请求；将各MA返回的PMK-MA响应中包含的MPTK-KD与所述备用MKD生成的MPTK-KD进行比较，并将PMK-MA响应中包含的PMK-MA与所述备用MKD生成的PMK-MA进行比较，如果都一致，则所述备用MKD利用生成的密钥负责所述MESH网络的安全管理，结束流程；如果存在不一致的MPTK-KD，则通知发送该不一致的MPTK-KD的MA重新与所述备用MKD进行KDK协商并生成新的MPTK-KD；如果存在不一致的PMK-MA，则通知发送不一致的PMK-MA的MA重新进行该不一致的PMK-MA所对应MESH链路的密钥协商并生成新的PMK-MA。

6.根据权利要求1、2或3所述的方法，其特征在于，该方法还包括：新加入所述MESH网络的MP完成共享会话密钥PTK的协商后，按照配置在新加入的MP上的主用MKD地址向主用MKD请求KDK协商，如果在设定时间内没有收到主用MKD返回的响应，则向备用MKD请求进行KDK协商以生成MPTK-KD。

7.一种MKD，其特征在于，应用于包含至少两个所述MKD的集中控制式MESH网络中；所述MKD包括：密钥管理单元、信息接收单元和密钥处理单元；

所述密钥管理单元，用于在所述MKD作为主用MKD时，负责所述MESH网络的密钥管理；

所述信息接收单元，用于在所述MKD作为备用MKD时，接收所述MESH网络中的MA在检测到主用MKD故障时发送来的MESH链路安全信息，并将所述MESH链路安全信息提供给所述密钥处理单元；

所述密钥处理单元，用于利用所述信息接收单元提供的MESH链路安全信息，生成各MA所连接MESH链路的密钥，将所属MKD切换为主用MKD；

其中，所述MA为所述MESH网络中完成KDK协商的MP。