[发明专利]一种在无线局域网中WAPI重认证的方法及系统

权利要求书

1.一种无线局域网中的WAPI重认证的方法，其特征在于，

无线局域网中任一接入点(AP)获取其它接入点的身份证书；

在工作站(STA)首次与AP关联的WAPI认证过程中，所述STA完成与所述无线局域网中其他AP的证书鉴别和基密钥协商；

所述STA与其他任一目的AP的WAPI认证，只需使用缓存的基密钥(BK)进行单播会话密钥协商和组播会话密钥通告。

2.根据权利要求1所述的方法，其特征在于，所述任一AP获取其他AP的身份证书后，把所有AP身份证书缓存为一个目的身份证书列表。

3.根据权利要求1所述的方法，其特征在于，完成所述STA与所述无线局域网中其他AP的证书鉴别和基密钥协商的方法包括：所述STA首次与AP关联，(前面这句似乎不通顺。。)所述AP向所述STA发送鉴别激活分组，启动鉴别过程，所述鉴别激活分组中的鉴别器实体(AE)身份字段中存放有所述目的AP身份列表。

4.根据权利要求3所述的方法，其特征在于，所述STA在收到所述鉴别激活分组后，随机生成挑战，产生用于ECDH交换的STA的临时私钥x和临时公钥x·P，附上关联AP信任的鉴别服务单元(ASU)颁发的证书，连同存放有所述目的AP身份证书列表的AE身份字段，构造接入鉴别请求分组发送给关联AP。

5.根据权利要求4所述的方法，其特征在于，所述关联AP收到接入鉴别请求分组后，验证所述接入请求分组为有效时，随机生成挑战，连同所述目的AP身份证书列表、STA挑战、STA身份证书等构成证书鉴别请求分组发送给ASU。

6.根据权利要求5所述的方法，其特征在于，ASU在收到所述证书鉴别请求分组后，验证所述目的AP身份证书列表和STA身份证书，验证通过则构造证书鉴别响应分组，附加相应的签名，发送给所述关联AP。

7.根据权利要求6所述的方法，其特征在于，

AP收到所述证书鉴别响应分组后，验证所述证书鉴别响应分组有效性；

更新目的AP身份证书列表，并针对更新后目的AP身份证书列表中每一个身份证书生成各自的用于ECDH交换的临时私钥y和临时公钥y·P，利用每个AP的临时私钥y和STA的临时公钥有y·P生成基密钥列表，关联AP将证书鉴别结果以及基密钥列表中的每个基密钥发送给对应的AP；

收到基密钥的每个AP对所述关联AP和STA的身份进行验证，验证成功后缓存收到的基密钥；

关联AP构造接入响应分组并发送给STA，所述接入响应分组中的AE使用的数据为通过验证所述目的AP的密钥数据。

8.根据权利要求7所述的方法，其特征在于，所述STA接收到所述接入响应分组后，验证所述接入响应分组的有效性，验证不通过则丢弃该分组，验证通过后，STA利用其临时私钥x，以及所述AP密钥数据中所述目的AP的临时公钥y·P生成基密钥列表，并缓存。

9.根据权利要求1所述的方法，其特征在于，所述STA与其他任一目的AP关联进行WAPI认证的具体步骤为：

所述STA向所述目的AP发送携带WAPI信息的关联请求，所述WAPI信息中至少包含已经协商出的基密钥列表；

所述目的AP收到关联请求后，检查自身缓存的基密钥的有效性，有效，则将缓存的基密钥与所述WAPI信息中的基密钥列表比对，比对结果为存在一致的基密钥时，跳过证书鉴别过程，使用缓存的基密钥进行单播会话密钥和组播会话密钥通告。

10.根据权利要求1至9任一项述的方法，其特征在于，在所述的方法实施之前，还包括对无线局域网中的AP划分成若干个AP域，而所述的WAPI认证方法适用于每一个AP域；AP域的划分条件包括：同一AP域内的AP物理位置向邻近，AP域中的AP数量以平衡首次关联时WAPI认证速度和重认证速度为宜。