无线Mesh网络中安全有效的即时认证方法

摘要

无线Mesh网络中安全有效的即时认证方法属于计算机网络领域。该方法包括标识证书预分配、通行证签署发布和即时认证三个阶段。在标识证书预分配阶段，离线CA和认证中心合理分配标识证书，保证本地网络认证中心、访问网络认证中心和移动终端持有离线CA发布的标识证书，无线Mesh接入点持有认证中心发布的标识证书。在通行证签署发布阶段，本地网络认证中心为移动终端签署发布通行证。最后，移动终端与无线Mesh接入点实现安全有效的双向即时认证。该方法可以充分利用现已广泛部署的公钥基础设施资源，减少漫游认证的资源消耗，减小漫游认证的延迟，并且不具有公钥基础设施证书使用上的复杂性，方便部署实现。

说明书

技术领域

本发明涉及一种无线Mesh网络漫游的即时认证方法，具体是一种基于标识证书预分配的无线Mesh网络漫游的即时认证方法，可以用于无线Mesh网络中移动终端和无线Mesh接入点之间安全有效的双向即时认证，属于计算机网络领域。

背景技术

在无线Mesh网络中，现已部署实施的针对移动终端漫游进入访问网络的接入认证方法，大多需要访问网络认证中心与本地网络认证中心进行认证信息的交互。首先，访问网络认证中心将移动终端的认证信息通过安全信道传送给本地网络认证中心。然后，本地网络认证中心对移动终端的身份标识进行认证，并将认证结果通过安全信道传送给访问网络认证中心。最后，访问网络认证中心根据本地网络认证中心传送的认证结果，对移动终端做出接受接入或者拒绝接入的反馈。访问网络认证中心与本地网络认证中心之间的安全通信消耗了大量的网络资源，增加了漫游认证的延迟。

目前现有的即时认证方法没有考虑对现己广泛部署的公钥基础设施资源的充分利用，算法复杂，实施不便。

发明内容

本发明的目的在于提供一种无线Mesh网络中安全有效的即时认证方法。使用该方法可以充分利用现已广泛部署的公钥基础设施资源，减少漫游认证的资源消耗，减小漫游认证的延迟，并且不具有公钥基础设施证书使用上的复杂性，方便部署实现。

为实现上述目的，本发明采取以下技术方案。整个技术方案包括标识证书预分配、通行证签署发布和即时认证三个阶段。首先，在标识证书预分配阶段，离线CA和认证中心合理分配标识证书，保证本地网络认证中心、访问网络认证中心和移动终端持有离线CA发布的标识证书，无线Mesh接入点持有认证中心发布的标识证书。其次，在通行证签署发布阶段，本地网络认证中心为移动终端签署发布通行证。最后，在即时认证阶段，移动终端与无线Mesh接入点实现安全有效的双向即时认证。

1.标识证书预分配阶段

标识证书预分配阶段如图1所示，包括一个离线CA、一个本地网络、一个访问网络和一个移动终端，本地网络和访问网络分别包括一个认证中心和一个无线Mesh接入点。标识证书预分配阶段包括以下具体步骤：

1.1 离线CA为本地网络认证中心、访问网络认证中心和移动终端分配标识证书、公钥和私钥。

本地网络认证中心AuC₁获得的标识证书、公钥和私钥包括：离线CA为本地网络认证中心AuC₁发布的标识证书CA<<AuC₁>>、离线CA的公钥PK、本地网络认证中心AuC₁的私钥SK₁。

访问网络认证中心AuC₂获得的标识证书、公钥和私钥包括：离线CA为访问网络认证中心AuC₂发布的标识证书CA<<AuC₂>>、离线CA的公钥PK、访问网络认证中心AuC₂的私钥SK₂。

移动终端MT获得的标识证书、公钥和私钥包括：离线CA为移动终端MT发布的公钥证书CA<<Certificate_MT>>、离线CA的公钥PK、移动终端MT的私钥SK_MT。

所述标识证书CA<<AuC₁>>包括{AuC₁标识||AuC₁公钥||CA对标识证书的数字签名}三部分。

所述标识证书CA<<AuC₂>>包括{AuC₂标识||AuC₂公钥||CA对标识证书的数字签名}三部分。

1.2 本地网络认证中心为本地网络无线Mesh接入点分配标识证书、公钥和私钥。访问网络认证中心为访问网络无线Mesh接入点分配标识证书、公钥和私钥。

本地网络无线Mesh接入点MAP₁获得的标识证书、公钥和私钥包括：本地网络认证中心AuC₁为无线Mesh接入点MAP₁发布的标识证书AuC₁<<MAP₁>>、本地网络认证中心AuC₁的公钥PK₁、无线Mesh接入点MAP₁的私钥SK_AP1。

访问网络无线Mesh接入点MAP₂获得的标识证书、公钥和私钥包括：访问网络认证中心AuC₂为无线Mesh接入点MAP₂发布的标识证书AuC₂<<MAP₂>>、访问网络认证中心AuC₂的公钥PK₂、无线Mesh接入点MAP₂的私钥SK_AP2。

所述标识证书AuC₁<<MAP₁>>包括{MAP₁标识||MAP₁公钥||AuC₁对标识证书的数字签名}三部分。

所述标识证书AuC₂<<MAP₂>>包括{MAP₂标识||MAP₂公钥||AuC₂对标识证书的数字签名}三部分。

2.通行证签署发布阶段

通行证签署发布阶段如图2所示，包括以下具体步骤：

2.1 移动终端MT向本地网络认证中心AuC₁提交公钥证书CA<<Certificate_MT>>。

2.2 本地网络认证中心AuC₁通过离线CA的公钥PK验证公钥证书CA<<Certificate_MT>>是否真实可信。

如果公钥证书CA<<Certificate_MT>>被验证是不真实的，本地网络认证中心AuC₁拒绝为移动终端MT提供服务。

如果公钥证书CA<<Certificate_MT>>被验证是真实可信的，本地网络认证中心AuC₁为移动终端MT制作通行证AuC₁<<Passport_MT>>。通行证AuC₁<<Passport_MT>>以移动终端MT的公钥加密传送给移动终端MT。

所述通行证AuC₁<<Passport_MT>>包括{MT标识||MT公钥||MT角色||MT安全级别||通行证有效期限||AuC₁标识证书CA<<AuC₁>>||AuC₁对通行证的数字签名||None}。当移动终端MT只在本地网络漫游时，通行证AuC₁<<Passport_MT>>中的None区域为空。当移动终端MT漫游进入访问网络并且被允许接入访问网络时，访问网络认证中心为移动终端MT签署通行证，并将签署的内容写入通行证AuC₁<<Passport_MT>>中的None区域。

2.3 移动终端MT用私钥解密后，通过离线CA的公钥PK验证通行证AuC₁<<Passport_MT>>中包含的标识证书CA<<AuC₁>>是否真实可信。

如果标识证书CA<<AuC₁>>被验证是不真实的，移动终端MT拒绝接受通行证AuC₁<<Passport_MT>>。

如果标识证书CA<<AuC₁>>被验证是真实可信的，移动终端MT再通过标识证书CA<<AuC₁>>中包含的本地网络认证中心AuC₁的公钥PK₁验证通行证AuC₁<<Passport_MT>>是否真实可信。

如果通行证AuC₁<<Passport_MT>>被验证是不真实的，移动终端MT拒绝接受通行证AuC₁<<Passport_MT>>。

如果通行证AuC₁<<Passport_MT>>被验证是真实可信的，移动终端MT接受通行证AuC₁<<Passport_MT>>。

3.即时认证阶段

根据移动终端的具体漫游场景不同，即时认证阶段包括本地网络漫游认证、访问网络初始接入认证和访问网络漫游认证三种认证过程。

本地网络漫游认证如图3所示，包括以下具体步骤：

(1)移动终端MT向本地网络无线Mesh接入点MAP₁提交通行证AuC₁<<Passport_MT>>。

(2)无线Mesh接入点MAP₁通过本地网络认证中心AuC₁的公钥PK₁验证通行证AuC₁<<Passport_MT>>是否真实可信。

如果通行证AuC₁<<Passport_MT>>被验证是不真实的，无线Mesh接入点MAP₁拒绝为移动终端MT提供接入服务。

如果通行证AuC₁<<Passport_MT>>被验证是真实可信的，无线Mesh接入点MAP₁将本地网络认证中心AuC₁发布的标识证书AuC₁<<MAP₁>>以移动终端MT的公钥加密传送给移动终端MT。

(3)移动终端MT用私钥解密后，通过本地网络认证中心AuC₁的公钥PK₁验证标识证书AuC₁<<MAP₁>>是否真实可信。

如果标识证书AuC₁<<MAP₁>>被验证是不真实的，移动终端MT拒绝接受无线Mesh接入点MAP₁提供的接入服务。

如果标识证书AuC₁<<MAP₁>>被验证是真实可信的，移动终端MT接受无线Mesh接入点MAP₁提供的接入服务。

访问网络初始接入认证如图4所示，包括以下具体步骤：

(a1)移动终端MT向访问网络认证中心AuC₂提交由本地网络认证中心AuC₁发布的通行证AuC₁<<Passport_MT>>。

(a2)访问网络认证中心AuC₂通过离线CA的公钥PK验证通行证AuC₁<<Passport_MT>>中包含的标识证书CA<<AuC₁>>是否真实可信。

如果标识证书CA<<AuC₁>>被验证是不真实的，访问网络认证中心AuC₂拒绝为移动终端MT提供接入服务。

如果标识证书CA<<AuC₁>>被验证是真实可信的，访问网络认证中心AuC₂再通过标识证书CA<<AuC₁>>中包含的本地网络认证中心AuC₁的公钥PK₁验证通行证AuC₁<<Passport_MT>>是否真实可信。

如果通行证AuC₁<<Passport_MT>>被验证是不真实的，访问网络认证中心AuC₂拒绝为移动终端MT提供接入服务。

如果通行证AuC₁<<Passport_MT>>被验证是真实可信的，访问网络认证中心AuC₂为移动终端MT签署通行证，签署后的通行证AuC₂<<Passport_MT>>以移动终端MT的公钥加密传送给移动终端MT。

所述通行证AuC₂<<Passport_MT>>是访问网络认证中心AuC₂将签署的内容{MT标识||MT公钥||MT角色||MT安全级别||通行证有效期限||AuC₂标识证书CA<<AuC₂>>||AuC₂对整个通行证的数字签名}写入通行证AuC₁<<Passport_MT>>中的None区域后得到的通行证。

(a3)移动终端MT用私钥解密后，通过离线CA的公钥PK验证通行证AuC₂<<Passport_MT>>中包含的标识证书CA<<AuC₂>>是否真实可信。

如果标识证书CA<<AuC₂>>被验证是不真实的，移动终端MT拒绝接受通行证AuC₂<<Passport_MT>>。

如果标识证书CA<<AuC₂>>被验证是真实可信的，移动终端MT再通过标识证书CA<<AuC₂>>中包含的访问网络认证中心AuC₂的公钥PK₂验证通行证AuC₂<<Passport_MT>>是否真实可信。

如果通行证AuC₂<<Passport_MT>>被验证是不真实的，移动终端MT拒绝接受通行证AuC₂<<Passport_MT>>。

如果通行证AuC₂<<Passport_MT>>被验证是真实可信的，移动终端MT接受通行证AuC₂<<Passport_MT>>。

访问网络漫游认证包括以下具体步骤：

(b1)移动终端MT向访问网络无线Mesh接入点MAP₂提交由访问网络认证中心AuC₂签署的通行证AuC₂<<Passport_MT>>。

(b2)无线Mesh接入点MAP₂通过访问网络认证中心AuC₂的公钥PK₂验证通行证AuC₂<<Passport_MT>>是否真实可信。

如果通行证AuC₂<<Passport_MT>>被验证是不真实的，无线Mesh接入点MAP₂拒绝为移动终端MT提供接入服务。

如果通行证AuC₂<<Passport_MT>>被验证是真实可信的，无线Mesh接入点MAP₂将访问网络认证中心AuC₂发布的标识证书AuC₂<<MAP₂>>以移动终端MT的公钥加密传送给移动终端MT。

(b3)移动终端MT用私钥解密后，通过访问网络认证中心AuC₂的公钥PK₂验证标识证书AuC₂<<MAP₂>>是否真实可信。

如果标识证书AuC₂<<MAP₂>>被验证是不真实的，移动终端MT拒绝接受无线Mesh接入点MAP₂提供的接入服务。

如果标识证书AuC₂<<MAP₂>>被验证是真实可信的，移动终端MT接受无线Mesh接入点MAP₂提供的接入服务。

当无线Mesh网络扩展包括至少2个离线CA，每个离线CA区域包括一个本地网络、至少两个访问网络和至少一个移动终端，每个本地网络和访问网络包括至少一个认证中心和至少一个无线Mesh接入点时，本发明技术方案包括标识证书预分配、通行证签署发布和即时认证三个阶段。

r1.标识证书预分配阶段

标识证书预分配阶段包括以下具体步骤：

r1.1 离线CA₁和离线CA₂分别为本地网络认证中心、访问网络认证中心和移动终端分配标识证书、公钥和私钥。

离线CA₁区域内的本地网络认证中心AuC₁₁获得的标识证书、公钥和私钥包括：离线CA₁为本地网络认证中心AuC₁₁发布的标识证书CA₁<<AuC₁₁>>、离线CA₁为离线CA₂发布的标识证书CA₁<<CA₂>>、离线CA₁的公钥PK₁、本地网络认证中心AuC₁₁的私钥SK₁₁。

离线CA₁区域内的访问网络认证中心AuC₁₂获得的标识证书、公钥和私钥包括：离线CA₁为访问网络认证中心AuC₁₂发布的标识证书CA₁<<AuC₁₂>>、离线CA₁为离线CA₂发布的标识证书CA₁<<CA₂>>、离线CA₁的公钥PK₁、访问网络认证中心AuC₁₂的私钥SK₁₂。

离线CA₁区域内的访问网络认证中心AuC₁₃获得的标识证书、公钥和私钥包括：离线CA₁为访问网络认证中心AuC₁₃发布的标识证书CA₁<<AuC₁₃>>、离线CA₁为离线CA₂发布的标识证书CA₁<<CA₂>>、离线CA₁的公钥PK₁、访问网络认证中心AuC₁₃的私钥SK₁₃。

离线CA₁区域内的移动终端MT₁获得的标识证书、公钥和私钥包括：离线CA₁为移动终端MT₁发布的公钥证书CA₁<<Certificate_MT1>>、离线CA₁的公钥PK₁、移动终端MT₁的私钥SK_MT1。

离线CA₂区域内的本地网络认证中心AuC₂₁获得的标识证书、公钥和私钥包括：离线CA₂为本地网络认证中心AuC₂₁发布的标识证书CA₂<<AuC₂₁>>、离线CA₂为离线CA₁发布的标识证书CA₂<<CA₁>>、离线CA₂的公钥PK₂、本地网络认证中心AuC₂₁的私钥SK₂₁。

离线CA₂区域内的访问网络认证中心AuC₂₂获得的标识证书、公钥和私钥包括：离线CA₂为访问网络认证中心AuC₂₂发布的标识证书CA₂<<AuC₂₂>>、离线CA₂为离线CA₁发布的标识证书CA₂<<CA₁>>、离线CA₂的公钥PK₂、访问网络认证中心AuC₂₂的私钥SK₂₂。

离线CA₂区域内的访问网络认证中心AuC₂₃获得的标识证书、公钥和私钥包括：离线CA₂为访问网络认证中心AuC₂₃发布的标识证书CA₂<<AuC₂₃>>、离线CA₂为离线CA₁发布的标识证书CA₂<<CA₁>>、离线CA₂的公钥PK₂、访问网络认证中心AuC₂₃的私钥SK₂₃。

离线CA₂区域内的移动终端MT₂获得的标识证书、公钥和私钥包括：离线CA₂为移动终端MT₂发布的公钥证书CA₂<<Certificate_MT2>>、离线CA₂的公钥PK₂、移动终端MT₂的私钥SK_MT2。

所述标识证书CA₁<<CA₂>>包括{CA₂标识||CA₂公钥||CA₁对标识证书的数字签名}三部分。

所述标识证书CA₂<<CA₁>>包括{CA₁标识||CA₁公钥||CA₂对标识证书的数字签名}三部分。

r1.2 本地网络认证中心为本地网络无线Mesh接入点分配标识证书、公钥和私钥。访问网络认证中心为访问网络无线Mesh接入点分配标识证书、公钥和私钥。

离线CA₁区域内的本地网络无线Mesh接入点MAP₁₁₁获得的标识证书、公钥和私钥包括：本地网络认证中心AuC₁₁为无线Mesh接入点MAP₁₁₁发布的标识证书AuC₁₁<<MAP₁₁₁>>、本地网络认证中心AuC₁₁的公钥PK₁₁、无线Mesh接入点MAP₁₁₁的私钥SK₁₁₁。

离线CA₁区域内的访问网络无线Mesh接入点MAP₁₂₁获得的标识证书、公钥和私钥包括：访问网络认证中心AuC₁₂为无线Mesh接入点MAP₁₂₁发布的标识证书AuC₁₂<<MAP₁₂₁>>、访问网络认证中心AuC₁₂的公钥PK₁₂、无线Mesh接入点MAP₁₂₁的私钥SK₁₂₁。

离线CA₁区域内的访问网络无线Mesh接入点MAP₁₃₁获得的标识证书、公钥和私钥包括：访问网络认证中心AuC₁₃为无线Mesh接入点MAP₁₃₁发布的标识证书AuC₁₃<<MAP₁₃₁>>、访问网络认证中心AuC₁₃的公钥PK₁₃、无线Mesh接入点MAP₁₃₁的私钥SK₁₃₁。

离线CA₂区域内的本地网络无线Mesh接入点MAP₂₁₁获得的标识证书、公钥和私钥包括：本地网络认证中心AuC₂₁为无线Mesh接入点MAP₂₁₁发布的标识证书AuC₂₁<<MAP₂₁₁>>、本地网络认证中心AuC₂₁的公钥PK₂₁、无线Mesh接入点MAP₂₁₁的私钥SK₂₁₁。

离线CA₂区域内的访问网络无线Mesh接入点MAP₂₂₁获得的标识证书、公钥和私钥包括：访问网络认证中心AuC₂₂为无线Mesh接入点MAP₂₂₁发布的标识证书AuC₂₂<<MAP₂₂₁>>、访问网络认证中心AuC₂₂的公钥PK₂₂、无线Mesh接入点MAP₂₂₁的私钥SK₂₂₁。

离线CA₂区域内的访问网络无线Mesh接入点MAP₂₃₁获得的标识证书、公钥和私钥包括：访问网络认证中心AuC₂₃为无线Mesh接入点MAP₂₃₁发布的标识证书AuC₂₃<<MAP₂₃₁>>、访问网络认证中心AuC₂₃的公钥PK₂₃、无线Mesh接入点MAP₂₃₁的私钥SK₂₃₁。

r2.通行证签署发布阶段

通行证签署发布阶段包括以下具体步骤：

r2.1 移动终端MT₁向本地网络认证中心AuC₁₁提交公钥证书CA₁<<Certificate_MT1>>。

r2.2 本地网络认证中心AuC₁₁通过离线CA₁的公钥PK₁验证公钥证书CA₁<<Certificate_MT1>>是否真实可信。

如果公钥证书CA₁<<Certificate_MT1>>被验证是不真实的，本地网络认证中心AuC₁₁拒绝为移动终端MT₁提供服务。

如果公钥证书CA₁<<Certificate_MT1>>被验证是真实可信的，本地网络认证中心AuC₁₁为移动终端MT₁制作通行证AuC₁₁<<Passport_MT1>>。通行证AuC₁₁<<Passport_MT1>>和标识证书CA₁<<CA₂>>以移动终端MT₁的公钥加密传送给移动终端MT₁。

r2.3 移动终端MT₁用私钥解密后，通过离线CA₁的公钥PK₁验证通行证AuC₁₁<<Passport_MT1>>中包含的标识证书CA₁<<AuC₁₁>>是否真实可信。

如果标识证书CA₁<<AuC₁₁>>被验证是不真实的，移动终端MT₁拒绝接受通行证AuC₁₁<<Passport_MT1>>。

如果标识证书CA₁<<AuC₁₁>>被验证是真实可信的，移动终端MT₁再通过标识证书CA₁<<AuC₁₁>>中包含的本地网络认证中心AuC₁₁的公钥PK₁₁验证通行证AuC₁₁<<Passport_MT1>>是否真实可信。

如果通行证AuC₁₁<<Passport_MT1>>被验证是不真实的，移动终端MT₁拒绝接受通行证AuC₁₁<<Passport_MT1>>。

如果通行证AuC₁₁<<Passport_MT1>>被验证是真实可信的，移动终端MT₁接受通行证AuC₁₁<<Passport_MT1>>。

移动终端MT₂的通行证签署发布阶段发生在移动终端MT₂和本地网络认证中心AuC₂₁之间，通行证签署发布阶段包括的具体步骤如r2所述。

r3.即时认证阶段

根据移动终端的具体漫游场景不同，即时认证阶段包括本地网络漫游认证、访问网络初始接入认证、访问网络漫游认证和CA域间漫游认证四种认证过程。本地网络漫游认证、访问网络初始接入认证和访问网络漫游认证包括的具体步骤如3所述。

离线CA₁区域内的移动终端MT₁由离线CA₁区域漫游进入离线CA₂区域的AuC₂₁认证区域内，CA域间漫游认证包括以下具体步骤：

(I)移动终端MT₁向离线CA₂区域内的认证中心AuC₂₁提交离线CA₁发布的公钥证书CA₁<<Certificate_MT1>>。

(II)离线CA₂区域内的认证中心AuC₂₁通过标识证书CA₂<<CA₁>>中包含的离线CA₁的公钥PK₁验证公钥证书CA₁<<Certificate_MT1>>是否真实可信。

如果公钥证书CA₁<<Certificate_MT1>>被验证是不真实的，认证中心AuC₂₁拒绝为移动终端MT₁提供接入服务。

如果公钥证书CA₁<<Certificate_MT1>>被验证是真实可信的，认证中心AuC₂₁为移动终端MT₁制作通行证AuC₂₁<<Passport_MT1>>。通行证AuC₂₁<<Passport_MT1>>以移动终端MT₁的公钥加密传送给移动终端MT₁。

(III)移动终端MT₁用私钥解密后，通过标识证书CA₁<<CA₂>>中包含的离线CA₂的公钥PK₂验证通行证AuC₂₁<<Passport_MT1>>中包含的标识证书CA₂<<AuC₂₁>>是否真实可信。

如果标识证书CA₂<<AuC₂₁>>被验证是不真实的，移动终端MT₁拒绝接受通行证AuC₂₁<<Passport_MT1>>。

如果标识证书CA₂<<AuC₂₁>>被验证是真实可信的，移动终端MT₁再通过标识证书CA₂<<AuC₂₁>>中包含的认证中心AuC₂₁的公钥PK₂₁验证通行证AuC₂₁<<Passport_MT1>>是否真实可信。

如果通行证AuC₂₁<<Passport_MT1>>被验证是不真实的，移动终端MT₁拒绝接受通行证AuC₂₁<<Passport_MT1>>。

如果通行证AuC₂₁<<Passport_MT1>>被验证是真实可信的，移动终端MT₁接受通行证AuC₂₁<<Passport_MT1>>。

本发明提出的一种无线Mesh网络中安全有效的即时认证方法充分利用了现有的公钥基础设施资源，省去了访问网络认证中心和本地网络认证中心之间认证信息的交互，减少了认证中心参与漫游认证的次数，并且没有公钥基础设施证书使用上的复杂性，达到移动终端与无线Mesh接入点之间安全有效的双向即时认证的目的。

附图说明

图1本发明的标识证书预分配方案图

图2本发明的通行证签署发布图

图3本发明的本地网络漫游认证图

图4本发明的访问网络初始接入认证图

图5本发明的即时认证实施场景图

具体实施方式

具体实施示例如图5所示，具有以下特征：

整个无线Mesh网络包括一个本地网络H、一个访问网络V和一个只有在分配证书、更新证书和发布变更信息时才接入网络的离线CA。

本地网络H包括一个认证中心HAuC、一个Mesh路由器HMR和三个Mesh接入点HMAP₁、HMAP₂、HMAP₃。

访问网络V包括一个认证中心VAuC、一个Mesh路由器VMR和三个Mesh接入点VMAP₁、VMAP₂、VMAP₃。

本地网络Mesh路由器HMR与认证中心HAuC有线连接，访问网络Mesh路由器VMR与认证中心VAuC有线连接。

本地网络Mesh接入点HMAP₁、HMAP₂、HMAP₃和访问网络Mesh接入点VMAP₁、VMAP₂、VMAP₃聚集成簇，分别通过本地网络Mesh路由器HMR和访问网络Mesh路由器VMR以11Mbps无线连接。

Mesh路由器HMR和VMR的通讯距离为500米，Mesh接入点HMAP₁、HMAP₂、HMAP₃和VMAP₁、VMAP₂、VMAP₃的通讯距离为100米。

本地网络Mesh路由器HMR和访问网络Mesh路由器VMR分别与Internet有线连接。

整个无线Mesh网络中无线通信采用IEEE8 02.11b的MAC层协议，有线通信采用IEEE 802.3的MAC层协议。

本发明具体实施时包括标识证书预分配、通行证签署发布和即时认证三个阶段。

s1.标识证书预分配阶段

标识证书预分配阶段包括以下具体步骤：

s1.1 离线CA为本地网络认证中心HAuC、访问网络认证中心VAuC和移动终端MT分配标识证书、公钥和私钥。

本地网络认证中心HAuC获得的标识证书、公钥和私钥包括：离线CA为本地网络认证中心HAuC发布的标识证书{ID₁||PK₁||SIG_CA}、离线CA的公钥PK、本地网络认证中心HAuC的私钥SK₁。

访问网络认证中心VAuC获得的标识证书、公钥和私钥包括：离线CA为访问网络认证中心VAuC发布的标识证书{ID₂||PK₂||SIG_CA}、离线CA的公钥PK、访问网络认证中心VAuC的私钥SK₂。

移动终端MT获得的标识证书、公钥和私钥包括：离线CA为移动终端MT发布的公钥证书CA<<Certificate_MT>>、离线CA的公钥PK、移动终端MT的私钥SK_MT。

s1.2 本地网络认证中心HAuC为本地网络无线Mesh接入点HMAP₁、HMAP₂和HMAP₃分配标识证书、公钥和私钥。访问网络认证中心VAuC为访问网络无线Mesh接入点VMAP₁、VMAP₂和VMAP₃分配标识证书、公钥和私钥。

本地网络无线Mesh接入点HMAP₁获得的标识证书、公钥和私钥包括：本地网络认证中心HAuC为无线Mesh接入点HMAP₁发布的标识证书{IDHAP₁||PKHAP₁||SIG_HAuC}、本地网络认证中心HAuC的公钥PK₁、无线Mesh接入点HMAP₁的私钥SK_HAP1。

本地网络无线Mesh接入点HMAP₂获得的标识证书、公钥和私钥包括：本地网络认证中心HAuC为无线Mesh接入点HMAP₂发布的标识证书{ID_HAP2||PK_HAP2||SIG_HAuC}、本地网络认证中心HAuC的公钥PK₁、无线Mesh接入点HMAP₂的私钥SK_HAP2。

本地网络无线Mesh接入点HMAP₃获得的标识证书、公钥和私钥包括：本地网络认证中心HAuC为无线Mesh接入点HMAP₃发布的标识证书{ID_HAP3||PK_HAP3||SIG_HAuC}、本地网络认证中心HAuC的公钥PK₁、无线Mesh接入点HMAP₃的私钥SK_HAP3。

访问网络无线Mesh接入点VMAP₁获得的标识证书、公钥和私钥包括：访问网络认证中心VAuC为无线Mesh接入点VMAP₁发布的标识证书{ID_VAP1||PK_VAP1||SIG_VAuC}、访问网络认证中心VAuC的公钥PK₂、无线Mesh接入点VMAP₁的私钥SK_VAP1。

访问网络无线Mesh接入点VMAP₂获得的标识证书、公钥和私钥包括：访问网络认证中心VAuC为无线Mesh接入点VMAP₂发布的标识证书{ID_VAP2||PK_VAP2||SIG_VAuC}、访问网络认证中心VAuC的公钥PK₂、无线Mesh接入点VMAP₂的私钥SK_VAP2。

访问网络无线Mesh接入点VMAP₃获得的标识证书、公钥和私钥包括：访问网络认证中心VAuC为无线Mesh接入点VMAP₃发布的标识证书{ID_VAP3||PK_VAP3||SIG_VAuC}、访问网络认证中心VAuC的公钥PK₂、无线Mesh接入点VMAP₃的私钥SK_VAP3。

标识证书预分配阶段完成后，无线Mesh网络成员持有的证书和公私钥情况如下表所示：

 

无线Mesh网络成员持有证书和公私钥情况离线CAPK、SKHAuCPK、SK₁、{ID₁||PK₁||SIG_CA}VAuCPK、SK₂、{ID₂||PK₂||SIG_CA}MTPK、SK_MT、CA<<Certificate_MT>>、PK_MTHMAP₁PK₁、SKHAP₁、{ID_HAP1||PK_HAP1||SIG_HAuC}HMAP₂PK₁、SK_HAP2、{ID_HAP2||PK_HAP2||SIG_HAuC}HMAP₃PK₁、SK_HAP3、{ID_HAP3||PK_HAP3||SIG_HAuC}VMAP₁PK₂、SK_VAP1、{ID_VAP1||PK_VAP1||SIG_VAuC}VMAP₂PK₂、SK_VAP2、{ID_VAP2||PK_VAP2||SIG_VAuC}VMAP₃PK₂、SK_VAP3、{ID_VAP3||PK_VAP3||SIG_VAuC}

s2.通行证签署发布阶段

通行证签署发布阶段包括以下具体步骤：

s2.1 移动终端MT向本地网络认证中心HAuC提交公钥证书CA<<Certificate_MT>>。

s2.2 本地网络认证中心HAuC通过离线CA的公钥PK验证公钥证书CA<<Certificate_MT>>中离线CA的数字签名SIG_CA是否真实可信。

如果数字签名SIG_CA被验证是不真实的，本地网络认证中心HAuC拒绝为移动终端MT提供服务。

如果数字签名SIG_CA被验证是真实可信的，本地网络认证中心HAuC为移动终端MT制作通行证{ID_MT||PK_MT||MT||Mid||20091231||{ID₁||PK₁||SIG_CA}||SIG_HAuC||None}，通行证以移动终端MT的公钥PK_MT加密传送给移动终端MT。

s2.3 移动终端MT用私钥SK_MT解密后，通过离线CA的公钥PK验证通行证{ID_MT||PK_MT||MT||Mid||20091231||{ID₁||PK₁||SIG_CA}||SIG_HAuC||None}中包含的标识证书{ID₁||PK₁||SIG_CA}中离线CA的数字签名SIG_CA是否真实可信。

如果数字签名SIG_CA被验证是不真实的，移动终端MT拒绝接受通行证。

如果数字签名SIG_CA被验证是真实可信的，移动终端MT再通过标识证书{ID₁||PK₁||SIG_CA}中包含的本地网络认证中心HAuC的公钥PK₁验证通行证{ID_MT||PK_MT||MT||Mid||20091231||{ID₁||PK₁||SIG_CA}||SIG_HAuC||None}中本地网络认证中心HAuC的数字签名SIG_HAuC是否真实可信。

如果数字签名SIG_HAuC被验证是不真实的，移动终端MT拒绝接受通行证。

如果数字签名SIG_HAuC被验证是真实可信的，移动终端MT接受通行证。

通行证签署发布阶段完成后，移动终端MT持有的证书和公私钥情况如下表所示：

 

无线Mesh网络成员持有证书和公私钥情况MTPK、SK_MT、CA<<Certificate_MT>>、PK_MT、{ID_MT||PK_MT||MT||Mid||20091231||{ID₁||PK₁||SIG_CA}||SIG_HAuC||None}

s3.即时认证阶段

移动终端MT从本地网络H漫游进入访问网络V，先后经历了本地网络漫游认证、访问网络初始接入认证和访问网络漫游认证三种认证过程。

本地网络漫游认证包括以下具体步骤：

(1)移动终端MT向本地网络无线Mesh接入点HMAP₁提交通行证{ID_MT||PK_MT||MT||Mid||20091231||{ID₁||PK₁||SIG_CA}||SIG_HAuC||None}。

(2)无线Mesh接入点HMAP₁通过本地网络认证中心HAuC的公钥PK₁验证通行证{ID_MT||PK_MT||MT||Mid||20091231||{ID₁||PK₁||SIG_CA}||SIG_HAuC||None}中本地网络认证中心HAuC的数字签名SIG_HAuC是否真实可信。

如果数字签名SIG_HAuC被验证是不真实的，无线Mesh接入点HMAP₁拒绝为移动终端MT提供接入服务。

如果数字签名SIG_HAuC被验证是真实可信的，无线Mesh接入点HMAP₁将本地网络认证中心HAuC发布的标识证书{ID_HAP1||PK_HAP1||SIG_HAuC}以移动终端MT的公钥PK_MT加密传送给移动终端MT。

(3)移动终端MT用私钥SK_MT解密后，通过本地网络认证中心HAuC的公钥PK₁验证标识证书{ID_HAP1||PK_HAP1||SIG_HAuC}中本地网络认证中心HAuC的数字签名SIG_HAuC是否真实可信。

如果数字签名SIG_HAuC被验证是不真实的，移动终端MT拒绝接受无线Mesh接入点HMAP₁提供的接入服务。

如果数字签名SIG_HAuC被验证是真实可信的，移动终端MT接受无线Mesh接入点HMAP₁提供的接入服务。

本地网络漫游认证后，移动终端MT和本地网络无线Mesh接入点HMAP₁持有的证书和公私钥情况如下表所示：

 

无线Mesh网络成员持有证书和公私钥情况MTPK、SK_MT、CA<<Certificate_MT>>、PK_MT、{ID_MT||PK_MT||MT||Mid||20091231||{ID₁||PK₁||SIG_CA}||SIG_HAuC||None}、PK_HAP1HMAP₁PK₁、SK_HAP1、{ID_HAP1||PK_HAP1||SIG_HAuC}、PK_MT

访问网络初始接入认证包括以下具体步骤：

(a1)移动终端MT向访问网络认证中心VAuC提交由本地网络认证中心HAuC发布的通行证{ID_MT||PK_MT||MT||Mid||20091231||{ID₁||PK₁||SI_GCA}||

SIG_HAuC||None}。

(a2)访问网络认证中心VAuC通过离线CA的公钥PK验证通行证{ID_MT||PK_MT||MT||Mid||20091231||{ID₁||PK₁||SIG_CA}||SIG_HAuC||None}中包含的标识证书{ID₁||PK₁||SIG_CA}中离线CA的数字签名SIG_CA是否真实可信。

如果数字签名SIG_CA被验证是不真实的，访问网络认证中心VAuC拒绝为移动终端MT提供接入服务。

如果数字签名SIG_CA被验证是真实可信的，访问网络认证中心VAuC再通过标识证书{ID₁||PK₁||SIG_CA}中包含的本地网络认证中心HAuC的公钥PK₁验证通行证{ID_MT||PK_MT||MT||Mid||20091231||{ID₁||PK₁||SIG_CA}||SIG_HAuC||None}中本地网络认证中心HAuC的数字签名SIG_HAuC是否真实可信。

如果数字签名SIG_HAuC被验证是不真实的，访问网络认证中心VAuC拒绝为移动终端MT提供接入服务。

如果数字签名SIG_HAuC被验证是真实可信的，访问网络认证中心VAuC为移动终端MT签署通行证，签署的内容{ID_MT||PK_MT||MT||Mid||20091231||{ID₂||

PK₂||SIG_CA}||SIG_VAuC}写入通行证{ID_MT||PK_MT||MT||Mid||20091231||{ID₁||PK₁

||SIG_CA}||SIG_HAuC||None}中的None区域。签署后的通行证{ID_MT||PK_MT||MT||Mid

||20091231||{ID₁||PK₁||SIG_CA}||SIG_HAuC||{ID_MT||PK_MT||MT|{Mid||20091231||{ID₂||PK₂||SIG_CA}||SIG_HAuC}}以移动终端MT的公钥PK_MT加密传送给移动终端MT。

(a3)移动终端MT用私钥解密后，通过离线CA的公钥PK验证通行证{ID_MT||PK_MT||MT||Mid||20091231||{ID₁||PK₁||SIG_CA}||SIG_HAuC||{ID_MT||PK_MT||

MT||Mid||20091231||{ID₂||PK₂||SIG_CA}||SIG_VAuC}}中包含的标识证书{ID₂||

PK₂||SIG_CA}中离线CA的数字签名SIG_CA是否真实可信。

如果数字签名SIG_CA被验证是不真实的，移动终端MT拒绝接受通行证。

如果数字签名SIG_CA被验证是真实可信的，移动终端MT再通过标识证书{ID₂||PK₂||SIG_CA}中包含的访问网络认证中心VAuC的公钥PK₂验证通行证{ID_MT||PK_MT||MT||Mid||20091231||{ID₁||PK₁||SIG_CA}||SIG_HAuC||{ID_MT||PK_MT||

MT||Mid||20091231||{ID₂||PK₂||SIG_CA}||SIG_VAuC}}中访问网络认证中心VAuC的数字签名SIG_VAuC是否真实可信。

如果数字签名SIG_VAuC被验证是不真实的，移动终端MT拒绝接受通行证。

如果数字签名SIG_VAuC被验证是真实可信的，移动终端MT接受通行证。

访问网络初始接入认证后，移动终端MT持有的证书和公私钥情况如下表所示：

 

无线Mesh网络成员持有证书和公私钥情况MTPK、SK_MT、CA<<Certificate_MT>>、PK_MT、{ID_MT||PK_MT||MT||Mid||20091231||{ID₁||PK₁||SIG_CA}||SIG_HAuC||None}、{ID_MT||PK_MT||MT||Mid||20091231||{ID₁||PK₁||SIG_CA}||SIG_HAuC||{ID_MT||PK_MT||MT||Mid||20091231||{ID₂||PK₂||SIG_CA}||SIG_VAuC}}

访问网络漫游认证包括以下具体步骤：

(b1)移动终端MT向访问网络无线Mesh接入点VMAP₁提交由访问网络认证中心VAuC签署的通行证{ID_MT||PK_MT||MT||Mid||20091231||{ID₁||PK₁||SIG_CA}||SIG_HAuC||{ID_MT||PK_MT||MT||Mid||20091231||{ID₂||PK₂||SIG_CA}||SIG_VAuC}}。

(b2)无线Mesh接入点VMAP₁通过访问网络认证中心VAuC的公钥PK₂验证通行证{ID_MT||PK_MT||MT||Mid||20091231||{ID₁||PK₁||SIG_CA}||SIG_HAuC||{ID_MT||PK_MT||MT||Mid||20091231||{ID₂||PK₂||SIG_CA}||SIG_VAuC}}中访问网络认证中心VAuC的数字签名SIG_VAuC是否真实可信。

如果数字签名SIG_VAuC被验证是不真实的，无线Mesh接入点VMAP₁拒绝为移动终端MT提供接入服务。

如果数字签名SIG_VAuC被验证是真实可信的，无线Mesh接入点VMAP₁将访问网络认证中心VAuC发布的标识证书{ID_VAP1||PK_VAP1||SIG_VAuC}以移动终端MT的公钥PK_MT加密传送给移动终端MT。

(b3)移动终端MT用私钥解密后，通过访问网络认证中心VAuC的公钥PK₂验证标识证书{ID_VAP1||PK_VAP1||SIG_VAuC}中访问网络认证中心VAuC的数字签名SIG_VAuC是否真实可信。

如果数字签名SIG_VAuC被验证是不真实的，移动终端MT拒绝接受无线Mesh接入点VMAP₁提供的接入服务。

如果数字签名SIG_VAuC被验证是真实可信的，移动终端MT接受无线Mesh接入点VMAP₁提供的接入服务。

访问网络漫游认证后，移动终端MT和访问网络无线Mesh接入点VMAP₁持有的证书和公私钥情况如下表所示：

 

无线Mesh网络成员持有证书和公私钥情况MTPK、SK_MT、CA<<Certificate_MT>>、PK_MT{ID_MT||PK_MT||MT||Mid||20091231||{ID₁||PK₁||SIG_CA}||SIG_HAuC||None}、{ID_MT||PK_MT||MT||Mid||20091231||{ID₁||PK₁||SIG_CA}||SIG_HAuC||{ID_MT||PK_MT||MT||Mid||2009123l||{ID₂||PK₂||SIG_CA}||SIG_VAuC}}、PK_VAP1VMAP₁PK₂、SK_VAP1、{ID_VAP1||PK_VAP1||SIG_VAuC}、PK_MT

在具体实施示例中，移动终端从本地网络漫游进入访问网络，先后经历了本地网络漫游认证、访问网络初始接入认证和访问网络漫游认证三种认证过程。在这三种认证过程中，没有了访问网络认证中心与本地网络认证中心之间的认证信息交互过程。只有在移动终端首次进入访问网络的初始接入认证过程中，访问网络认证中心参与认证。在随后的访问网络漫游认证过程，以及本地网络漫游认证过程中，认证中心不再参与认证。

本发明提出的一种无线Mesh网络中的即时认证方法，充分利用了现已广泛部署的公钥基础设施资源，减少了漫游认证过程中的资源消耗，减小了漫游认证的延迟，并且不具有公钥基础设施证书使用上的复杂性，部署实施方便，达到了安全有效的即时认证的目的。