WO2014090130A1 - 报文处理方法及装置、系统 - Google Patents

报文处理方法及装置、系统 Download PDF

Info

Publication number
WO2014090130A1
WO2014090130A1 PCT/CN2013/088947 CN2013088947W WO2014090130A1 WO 2014090130 A1 WO2014090130 A1 WO 2014090130A1 CN 2013088947 W CN2013088947 W CN 2013088947W WO 2014090130 A1 WO2014090130 A1 WO 2014090130A1
Authority
WO
WIPO (PCT)
Prior art keywords
packet
node
address
authentication data
additional authentication
Prior art date
Application number
PCT/CN2013/088947
Other languages
English (en)
French (fr)
Inventor
丁志明
树贵明
Original Assignee
华为终端有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 华为终端有限公司 filed Critical 华为终端有限公司
Priority to EP13863218.7A priority Critical patent/EP2919498B1/en
Priority to ES13863218.7T priority patent/ES2625481T3/es
Publication of WO2014090130A1 publication Critical patent/WO2014090130A1/zh
Priority to US14/734,812 priority patent/US9872175B2/en

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H04L63/0464—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload using hop-by-hop encryption, i.e. wherein an intermediate entity decrypts the information and re-encrypts it before forwarding it
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/02—Protecting privacy or anonymity, e.g. protecting personally identifiable information [PII]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/03—Protecting confidentiality, e.g. by encryption
    • H04W12/033—Protecting confidentiality, e.g. by encryption of the user plane, e.g. user's traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/16—Implementing security features at a particular protocol layer
    • H04L63/162—Implementing security features at a particular protocol layer at the data link layer

Definitions

  • the present invention relates to the field of communications technologies, and in particular, to a packet processing method, apparatus, and system.
  • BACKGROUND OF THE INVENTION In the IEEE (Institute of Electrical and Electronics Engineers) 802.11ah standard, in order to extend the coverage of an AP (English: Access Point, Access Point, AP for short), it is usually in STA (English: Station)
  • a relay device (English: Relay) is added between the STA and the AP. The relay forwards the encrypted packet between the STA and the AP.
  • the session key PTKrd is negotiated between the relay and the STA.
  • PTK Packewise Transient Key
  • r Relay
  • d the downlink of Relay
  • session key PTKru is negotiated between Relay and AP.
  • r represents Relay, showing the uplink of the Relay.
  • the relay forwards the uplink encrypted packet sent by the STA to the AP
  • the relay first decrypts the uplink encrypted packet with the PTKrd, and then encrypts the uplink encrypted packet with the PTKru; when the relay forwards the downlink encryption sent by the AP to the STA.
  • Relay first decrypts the downlink encrypted message with PTKru, and then encrypts the downlink encrypted message with PTKrd.
  • the relay needs to decrypt and re-encrypt the encrypted packet when it is forwarded between the STA and the AP. It takes a certain processing time, which reduces the channel utilization and increases the additional energy consumption of the relay.
  • the present invention provides a message processing method, apparatus, and system, which are used to solve the problem that a conventional relay device needs to decrypt and re-encrypt a message when forwarding a message between a station and an access point. The problem of reduced channel utilization.
  • the present invention provides a packet processing method, which is applied to a scenario in which a relay device forwards a packet between a first node and a second node, including:
  • the first node receives the first packet sent by the relay device, where the first packet includes data in the second packet sent by the second node to the relay device, and the data in the second packet Encryption is performed using the second additional authentication data, the session key between the first node and the second node, and the second additional authentication data is determined by the second node according to at least the second report
  • the address information in the header of the packet is generated by using the second rule, and the address information in the packet header of the second packet indicates that the receiver of the second packet is the relay device, and the sender is The second node, the next receiver is the first node;
  • the first node generates the first additional authentication data by using the first rule according to the address information in the packet header of the first packet, where the address information included in the packet header of the first packet indicates the
  • the first message is the first node, the sender is the relay device, and the last sender is the second node, where the first additional authentication data and the second additional authentication The same data;
  • the first node decrypts data in the first packet by using the first additional authentication data, a session key between the first node and the second node.
  • the first rule is that each address sequence in the first additional authentication data is in the same order as each address in a packet header of the first packet, where
  • the second rule is that the order of each address in the second additional authentication data is different from the order of each address in the header of the second packet, so that each address in the second additional authentication data is in the order of Each address in the first additional authentication data is in the same order;
  • the first rule is that each address sequence in the first additional authentication data is different from each address sequence in a packet header of the first packet, and the second rule is in the second additional authentication data.
  • Each address sequence is the same as each address in the header of the second packet, such that each address sequence in the second additional authentication data and each address in the first additional authentication data are in the same order.
  • each of the address sequence in the second additional authentication data and the address in the first additional authentication data are in the same order.
  • the second packet further includes relay message authentication information, where the relay message authentication information is used by the second node to use a message authentication key between the relay device and the second node. Generating, after the relay device receives the second packet, verifying the relay message authentication information by using the message authentication key, and if the verification succeeds, sending the first message to the first node Message.
  • the first node is a site, and the second node is an access point; or One node is an access point, and the second node is a site.
  • the present invention provides a packet processing method, which is applied to a scenario in which a relay device forwards a packet between a first node and a second node, including:
  • the second node generates a second packet, where the address information in the packet header of the second packet indicates that the receiver of the second packet is the relay device, and the sender is the second node, A recipient is the first node;
  • the second node generates second additional authentication data by using the second rule according to the address information in the packet header of the second packet, using the second additional authentication data, the first node, and the first
  • the session key between the two nodes encrypts data in the second packet
  • the first packet includes data in the second packet, and the address information included in the packet header of the first packet indicates that the receiver of the first packet is the first node.
  • the sender is the relay device, and the last sender is the second node, so that the first node receives the first packet at least according to the header of the first packet.
  • the address information uses the first rule to generate the first additional authentication data, and uses the first additional authentication data, the session key between the first node and the second node to perform data in the first packet. Decrypting, wherein the first additional authentication data is the same as the second additional authentication data.
  • the first rule is that each address sequence in the first additional authentication data is in the same order as each address in a packet header of the first packet.
  • the second rule is that the order of each address in the second additional authentication data is different from the order of each address in the header of the second packet, so that each address in the second additional authentication data is in the order of Each address in the first additional authentication data is in the same order; or
  • the first rule is an order of each address in the first additional authentication data and the first report The order of the addresses in the header of the text is different, and the second rule is that the order of each address in the second additional authentication data is the same as the order of each address in the header of the second packet, so that Each of the address order in the second additional authentication data and the address in the first additional authentication data are in the same order.
  • each of the address sequence in the second additional authentication data and the address in the first additional authentication data are in the same order.
  • the second packet further includes relay message authentication information, where the relay message authentication information is The second node uses the message authentication key between the relay device and the second node to generate, after the relay device receives the second packet, and uses the message authentication key to verify The relay message authentication information is sent to the first node if the verification is passed.
  • the first node is a site, and the second node is an access point; or One node is an access point, and the second node is a site.
  • the present invention provides a packet processing method, which is applied to a scenario in which a relay device forwards a packet between a first node and a second node, including:
  • the relay device receives the second packet sent by the second node, where the address information in the packet header of the second packet indicates that the receiver of the second packet is the relay device, and the sender is the The second node, the next receiver is the first node, and the data in the second packet is encrypted by using the second additional authentication data and the session key between the first node and the second node.
  • the second additional authentication data is generated by the second node according to at least the address information in the packet header of the second packet by using a second rule;
  • the relay device sends a first packet to the first node, where the first packet includes data in the second packet, and the address information included in the packet header of the first packet And indicating that the first party is the first node, the sender is the relay device, and the last sender is the second node, so that the first node is at least according to the first node.
  • the address information in the packet header of the packet generates the first additional authentication data by using the first rule, and uses the first additional authentication data, the session key pair between the first node and the second node Decoding the data in the first message, where the first additional authentication data is related to the second additional authentication data Same.
  • the first rule is that each address sequence in the first additional authentication data is in the same order as each address in a packet header of the first packet, where
  • the second rule is that the order of each address in the second additional authentication data is different from the order of each address in the header of the second packet, so that each address in the second additional authentication data is in the order of Each address in the first additional authentication data is in the same order;
  • the first rule is that each address sequence in the first additional authentication data is different from each address sequence in a packet header of the first packet, and the second rule is in the second additional authentication data.
  • Each address sequence is the same as each address in the header of the second packet, such that each address sequence in the second additional authentication data and each address in the first additional authentication data are in the same order.
  • each address sequence in the second additional authentication data and each address in the first additional authentication data are in the same order .
  • the second packet further includes relay message authentication information, where the relay message authentication information is The second node uses the message authentication key between the relay device and the second node to generate, after the relay device receives the second packet, and uses the message authentication key to verify The relay message authentication information is sent to the first node if the verification is passed.
  • the first node is a site, and the second node is an access point; or, the One node is an access point, and the second node is a site.
  • the present invention provides a packet processing apparatus, which is located on a first node side, and is applied to a scenario in which a relay device forwards a packet between the first node and the second node, and includes:
  • a receiving module configured to receive a first packet sent by the relay device, where the first packet includes data in a second packet sent by the second node to the relay device, where the second packet is in the second packet
  • the data is encrypted using the second additional authentication data, the session key between the first node and the second node, and the second additional authentication data is determined by the second node according to at least the
  • the address information in the packet header of the second packet is generated by using the second rule, and the address information in the packet header of the second packet indicates that the receiver of the second packet is the relay device and sends Fang is Said second node, the next receiver is the first node;
  • a decryption module configured to generate first additional authentication data by using a first rule according to the address information in the packet header of the first packet, where the address information included in the packet header of the first packet indicates the
  • the receiving party of the first message is the first node, the sender is the relay device, and the last sender is the another second node, where the additional authentication generated by using the first rule is
  • the data is the same as the additional authentication data generated using the second rule; using the first additional authentication data, a session key between the first node and the another second node to the first
  • the data in the message is decrypted, wherein the first additional authentication data is the same as the second additional authentication data.
  • the first rule is that each address sequence in the first additional authentication data is in the same order as each address in a packet header of the first packet, where
  • the second rule is that the order of each address in the second additional authentication data is different from the order of each address in the header of the second packet, so that each address in the second additional authentication data is in the order of Each address in the first additional authentication data is in the same order;
  • the first rule is that each address sequence in the first additional authentication data is different from each address sequence in a packet header of the first packet, and the second rule is in the second additional authentication data.
  • Each address sequence is the same as each address in the header of the second packet, such that each address sequence in the second additional authentication data and each address in the first additional authentication data are in the same order.
  • each of the address sequence in the second additional authentication data and the address in the first additional authentication data are in the same order.
  • the second packet further includes relay message authentication information, where the relay message authentication information is The other node uses the message authentication key generated between the relay device and the another node, and after the relay device receives the second packet, uses the message authentication key to verify The relay message authentication information is sent to the node according to the first message if the verification is passed.
  • the first node is a site, and the second node is an access point; or The first node is an access point, and the second node is a site.
  • the present invention provides a message processing apparatus, which is located on a second node side, and is applied to And a scenario in which the relay device forwards the packet between the second node and the first node, where the packet generating module is configured to generate a second packet, where the address information in the packet header of the second packet is And indicating that the receiver of the second packet is the relay device, the sender is the node, and the next receiver is the another node;
  • the cryptographic module is configured to generate second additional authentication data by using the second rule according to the address information in the packet header of the second packet, using the second additional authentication data, the first node, and the first The session key between the two nodes encrypts the data in the second packet
  • the sending module is configured to send the encrypted second packet to the relay device, so that the relay After receiving the second packet, the device sends a first packet to the first node, where the first packet includes data in the second packet, and the packet header of the first packet
  • the address information included in the first node indicates that the receiver of the first packet is the first node, the sender is the relay device, and the last sender is the second node, so that the first node receives
  • the first additional authentication data is generated according to the address information in the packet header of the first packet, and the first additional authentication data, the first node and the a session key pair between the second nodes
  • the data in the first message is decrypted, wherein the first additional authentication data is the same as the second additional authentication data.
  • the first rule is that each address sequence in the first additional authentication data is in the same order as each address in a packet header of the first packet, where
  • the second rule is that the order of each address in the second additional authentication data is different from the order of each address in the header of the second packet, so that each address in the second additional authentication data is in the order of Each address in the first additional authentication data is in the same order;
  • the first rule is that each address sequence in the first additional authentication data is different from each address sequence in a packet header of the first packet, and the second rule is in the second additional authentication data.
  • Each address sequence is the same as each address in the header of the second packet, such that each address sequence in the second additional authentication data and each address in the first additional authentication data are in the same order.
  • each address order in the second additional authentication data is the same as an address order in the first additional authentication data.
  • the second packet further includes relay message authentication information, and the relay message authentication information Generating, by the node, a message authentication key between the relay device and the node, and after the relay device receives the second packet, verifying by using the message authentication key And relaying the message authentication information, if the verification succeeds, sending the first message to the another node.
  • the second node is a site, and the first node is an access point; or The second node is an access point, and the first node is a site.
  • the present invention provides a packet processing apparatus, which is located on a relay device side, and is applied to a scenario in which a relay device forwards a packet between a first node and a second node, and includes:
  • a receiving module configured to receive a second packet sent by the second node, where the address information in the packet header of the second packet indicates that the receiver of the second packet is the relay device, and the sender is The second node and the next receiver are the first node, and the data in the second packet is encrypted by using the second additional authentication data, the session key between the first node and the second node.
  • the second additional authentication data is generated by the second node according to at least the address information in the packet header of the second packet by using a second rule;
  • a sending module configured to send a first packet to the first node, where the first packet includes data in the second packet, and address information included in a packet header of the first packet And indicating that the first party is the first node, the sender is the relay device, and the last sender is the second node, so that the first node is at least according to the first node.
  • the address information in the packet header of the packet generates the first additional authentication data by using the first rule, and uses the first additional authentication data, the session key pair between the first node and the second node
  • the data in the first message is decrypted, wherein the first additional authentication data is the same as the second additional authentication data.
  • the first rule is that each address sequence in the first additional authentication data is in the same order as each address in a packet header of the first packet, where
  • the second rule is that the order of each address in the second additional authentication data is different from the order of each address in the header of the second packet, so that each address in the second additional authentication data is in the order of Each address in the first additional authentication data is in the same order;
  • the first rule is that each address sequence in the first additional authentication data is different from each address sequence in a packet header of the first packet, and the second rule is in the second additional authentication data.
  • Each address sequence is the same as each address in the header of the second packet, such that each address sequence in the second additional authentication data and each address in the first additional authentication data are in the same order Same.
  • each address order in the second additional authentication data is the same as an address order in the first additional authentication data.
  • the second packet further includes relay message authentication information, where the relay message authentication information is The second node uses the message authentication key between the relay device and the second node to generate, after the relay device receives the second packet, and uses the message authentication key to verify The relay message authentication information is sent to the first node if the verification is passed.
  • the first node is a site, and the second node is an access point; or One node is an access point, and the second node is a site.
  • the seventh aspect of the present invention provides a packet processing system, which is applied to a scenario in which a relay device forwards a packet between a first node and a second node, and includes: a first node, a second node, and a relay device;
  • the first node includes the packet processing apparatus described in the fourth aspect above;
  • the second node includes the message processing apparatus according to the fifth aspect
  • the relay device includes the message processing device described in the sixth aspect above.
  • the first packet receives the first packet sent by the relay device by the first node, where the first packet includes data in the second packet sent by the second node to the relay device, and the second packet
  • the data in the data is encrypted using the second additional authentication data, the session key between the first node and the second node, and the second additional authentication data is used by the second node to use the second rule at least according to the second report
  • the order of each address in the authentication data is the same as the order of each address in the second additional authentication data generated by the second node according to the second rule.
  • the first node uses the first additional authentication data and the first node and the second node.
  • the session key decrypts the data in the first message. Therefore, when the relay device receives the second packet sent by the second node, the pair does not need to The second packet is decrypted and then encrypted, and then the first packet is sent to the first node, which saves time for the relay device to process the packet, improves channel utilization, and reduces additional power consumption of the relay device.
  • FIG. 1 is a schematic diagram of a frame format of a CCMP encrypted packet according to an embodiment of the present invention
  • FIG. 2 is a schematic diagram of a format of a MAC frame header according to an embodiment of the present invention
  • FIG. 3 is a schematic flowchart of a packet processing method according to an embodiment of the present invention.
  • FIG. 4 is a schematic structural diagram of a packet processing system according to an embodiment of the present invention
  • FIG. 5 is a schematic flowchart of a packet processing method according to another embodiment of the present invention
  • FIG. 6 is a schematic diagram of another embodiment of the present invention.
  • FIG. 7 is a schematic structural diagram of a message processing apparatus according to an embodiment of the present invention.
  • FIG. 8 is a schematic structural diagram of a packet processing apparatus according to another embodiment of the present invention
  • FIG. 9 is a schematic structural diagram of a packet processing apparatus according to another embodiment of the present invention
  • FIG. 11 is a schematic structural diagram of a packet processing apparatus according to another embodiment of the present invention
  • FIG. 12 is a schematic structural diagram of a packet processing apparatus according to another embodiment of the present invention
  • STA (English: Station, site) refers to support for the 802.11 protocol.
  • the device including the AP, is called an AP STA in the standard, and the STA that is not an AP is called a non-AP STA in the standard.
  • the STAs in the present invention refer to an application terminal, that is, a non-AP STA.
  • the access point AP in the present invention may be an AP STA in the standard, and the relay device relay in the present invention may It is the Relay STA in the standard.
  • FIG. 1 is a schematic diagram of a frame format of a CCMP encrypted packet according to an embodiment of the present invention.
  • the packet header is generally referred to as a Media Access Control header (MAC header), as shown in FIG. 1 .
  • the MAC header and the CCMP Header participate in the encryption calculation but are not encrypted by themselves; the data Data and the message integrity code (English: Message Integrity Code, MIC for short) in the message to be sent are forced.
  • the secret (English: Encrypted), Frame Check Sequence (FCS) is used to check whether the frame is in error during transmission.
  • the frame format of the CCMP encrypted message that can be applied in the embodiment of the present invention is not limited to the frame format shown in FIG.
  • FIG. 2 is a schematic diagram of a format of a MAC frame header according to an embodiment of the present invention.
  • the MAC frame header includes multiple address information, where each address included in the address information is included. The order is address A1, address A2, address A3, and address A4, where A1 is the receiving address, that is, the node address of the currently received message, and A2 is the sending address, that is, the node address of the currently transmitted message.
  • the destination address is not required to be written in the MAC frame header.
  • A3 is the destination address.
  • the destination address is the node address of the next received packet.
  • the source address is sent Address
  • MAC address header does not need to write the source address.
  • the source address is not the sending address, the source address needs to be written in A3 or A4.
  • the source address is the node address of the last packet sent.
  • the format of the M A C frame header to which the embodiment of the present invention can be applied is not limited to the format shown in FIG. 2.
  • the order of each address in the MAC frame header must be changed every time the packet is forwarded by the relay, because the order of each address in the MAC frame header is in the packet forwarding process. If the change, the additional authentication data AAD generated according to the address sequence in the MAC frame header will also change. Therefore, after receiving the received message, the relay must receive the received message.
  • the encrypted data in the message is decrypted, the forwarded address information is rewritten in the MAC frame header, and then the additional authentication data is generated according to the rewritten address information, and the regenerated generated additional authentication data is used to decrypt the decrypted data. Encrypt.
  • the embodiment of the present invention provides a packet processing method, which is applied to a scenario in which a relay device forwards a packet between a first node and a second node, and can solve an existing relay device at a site and The problem of reduced channel utilization caused by the process of decrypting and re-encrypting when forwarding packets between access points.
  • the second node is a station STA, or if the first node is a station STA, the second node is an access point AP.
  • FIG. 3 is a schematic flowchart of a packet processing method according to an embodiment of the present invention; applicable to a scenario in which a relay device forwards a packet between a first node and a second node, as shown in FIG. 3, the packet processing method is specifically Includes:
  • the first node receives a first packet sent by the relay device, where the first packet includes data in a second packet sent by the second node to the relay device, where the second packet is in the second packet.
  • the data is encrypted using the second additional authentication data, the session key between the first node and the second node, and the second additional authentication data is determined by the second node according to at least the
  • the address information in the packet header of the second packet is generated by using the second rule, and the address information in the packet header of the second packet indicates that the receiver of the second packet is the relay device and sends The party is the second node, and the next receiver is the first node.
  • FIG. 4 is a schematic structural diagram of a packet processing system according to an embodiment of the present invention. As shown in FIG. 4, it is assumed that an access point AP is a first node, a station STA is a second node, and a STA generates a second.
  • the message sequence where the address of the address in the header of the second packet (such as the MAC header shown in FIG. 2) is: A1 is the address of the relay, and the address of the sending address A2 is the STA. Address, address A3 of the next receiver is the address of the AP.
  • the STA generates the second additional authentication data AAD by using the second rule according to the address information in the packet header of the second packet, and then the STA uses the second AAD and the session key between the STA and the AP to the second report.
  • the data in the text is encrypted, and the encrypted second message is sent to the Relay.
  • the relay may reassemble to obtain the first packet, which may be: filling the address information in the header (MAC frame header) of the first packet, that is, receiving the address A1.
  • the destination address is the address of the AP
  • the sending address A2 is the address of the Relay.
  • the address A3 is the address of the STA; the encrypted data in the second packet is filled in the Data part in the first packet.
  • the first packet may also be obtained by performing simple address information update on the second packet.
  • the relay does not need to decrypt the second packet sent by the STA, and the encrypted data in the second packet may be directly filled in the Data part of the first packet, and then the relay will report the first packet.
  • the text is sent to the AP.
  • the second message sent by the STA to the relay may further include the relay message authentication information, where the relay message authentication information may be generated by the STA using a message authentication key between the STA and the Relay.
  • the relay uses the message authentication key to verify the relay message authentication information, and if the verification succeeds, sends a second packet to the AP.
  • the first node generates the first additional authentication data by using the first rule according to the address information in the packet header of the first packet, where the address information included in the packet header of the first packet indicates the
  • the first message is the first node, the sender is the relay device, and the last sender is the second node, where the first additional authentication data and the second additional authentication The data is the same.
  • the relay device forwards the packet between the first node and the second node. Therefore, after receiving the first packet, the AP needs to report according to the first packet.
  • the address information in the header is assumed to be the address of the relay, and the first packet is forwarded by the relay; or, after the AP receives the first packet, it is assumed that the first packet is in the header of the packet.
  • the flag bit carried by the relay for example, when the flag bit is 1, it indicates that the first message is sent by the relay, and 0 indicates that the first message is not sent by the relay. In specific implementation, the flag sent by the relay can use the MAC address.
  • the bit position (bit) of the frame control (English: Frame Control, FC for short) is used to identify the bit.
  • the order of the addresses in the packet header must change. Therefore, the address sequence of the first packet in the first packet sent by the AP and the second packet sent by the STA to the relay are received. The order of the addresses in the text is different.
  • the encrypted data in the second packet sent by the STA is not decrypted, and the AP can decrypt the encrypted data in the second packet from the STA included in the first packet sent by the relay.
  • the first additional authentication data generated by the AP according to the address information in the packet header of the first packet must be generated by using the second rule by the STA according to each address information in the packet header of the second packet.
  • the second additional authentication data is the same. Specific implementation:
  • the second rule is that the order of each address in the second additional authentication data is different from the order of each address in the header of the second packet, so that The order of each address in the second additional authentication data generated by the second rule is the same as the order of each address in the first additional authentication data generated according to the first rule;
  • the second rule is each of the second additional authentication data.
  • the address sequence is the same as the address in the header of the second packet, such that each address sequence in the second additional authentication data generated according to the second rule and the first addition generated according to the first rule The addresses in the authentication data are in the same order.
  • the second node STA generates second additional authentication data according to the address information in the packet header of the second packet, where the second rule is the sequence of each address in the second additional authentication data.
  • the first node AP When the first node AP generates the first additional authentication data by using the first rule according to the address information in the packet header of the first packet, the first node AP is in the same order as the address in the packet header of the second packet.
  • a rule is that the order of each address in the first additional authentication data is different from the order of each address in the header of the first packet, so that the second node STA is based on the address in the header of the second packet.
  • the address sequence of the second additional authentication data generated by using the second rule and the first additional authentication data generated by the first node AP according to the address information in the packet header of the first packet using the first rule The addresses are in the same order.
  • the address mapping table may be pre-configured in the first node AP, where each address in the packet header of the first packet sent by the relay in the address mapping table is in the AAD generated by the AP.
  • Table 1 is a preset address mapping table according to an embodiment of the present invention. As shown in Table 1, the downlink indicates that the AP sends a packet to the STA through the relay, and the uplink indicates that the STA sends the packet to the AP through the Relay.
  • the encrypted data in the second packet from the STA included in the first packet sent by the relay, and the sequence of each address in the AAD generated by the AP needs to be in the same order as the address in the AAD generated by the STA.
  • Table 1 In the AAD of the AP in the AAD of the AP, the AAD of the AP in the AAD of the AP in the AAD of the first place in the third place of the first place in the AAD of the AP is located in the third place of the second place. Send the AP to the AP
  • Relay packet Relay packet, A2 in A1 in A3
  • the upstream relay is sent to the relay and sent to the relay.
  • the A1 of the A3 of the AP is required to be described.
  • the AAD of the AP may have a fourth address field, which is not specifically shown in Table 1. The content when there is a fourth address field.
  • the AP obtains the address information in the packet header of the first packet based on the first node AP, and the AP obtains the address information in the packet header of the first packet, which is: receiving the address A1 and the destination address being the address of the AP, and sending the address A2.
  • the source address A3 is the address of the STA; querying the address mapping table shown in Table 1 to obtain A3 in the mapping address corresponding to the receiving address A1 (the address of the AP) in the header header above,
  • the sending address A2 (the address of the relay) in the packet header of the packet corresponds to A1 in the mapping address
  • the source address A3 (the address of the STA) in the header of the first packet corresponds to A2 in the mapping address;
  • the AP may specifically: the AP according to each address sequence in the packet header of the first packet.
  • the address sequence is mapped, and each mapping address is filled in the positions of the corresponding Al, A2, and A3 in the MAC frame header for generating the additional authentication data, that is, the address of the Relay is filled in the A1 position, and the address of the STA is filled in the A2.
  • the location is filled in the A3 location, and the first additional authentication data is generated.
  • the address of each address in the first additional authentication data is the address of the relay, the address of the STA, and the address of the AP.
  • the first rule is an address sequence in the first additional authentication data.
  • the second rule is that each address sequence in the second additional authentication data is in the same order as each address in the second packet header, because The order of each address in the address information in the header of the second packet is: Al is the address of the relay, the sending address A2 and the source address are the addresses of the STA, and the address A3 of the next receiving node is the address of the AP, and the second node STA uses the second rule to generate a corresponding address according to the address information in the second packet header.
  • the address of each address in the second additional authentication data is the address of the Relay
  • the address sequence of the first AAD generated by the AP is the same as the address of each address in the second AAD generated by the STA, and the AP can correctly decrypt the second packet from the STA included in the first packet sent by the Relay. Encrypt data.
  • the second node STA generates the second additional authentication data according to the address information in the packet header of the second packet, where the second rule is the second additional authentication data.
  • the first node AP generates the first additional authentication by using the first rule according to the address information in the packet header of the first packet, in the order of each address in the packet header of the second packet.
  • the first rule is that the order of each address in the first additional authentication data is the same as the order of each address in the header of the first packet, so that the second node STA reports according to the second packet.
  • the address information in the header uses the address sequence in the second additional authentication data generated by the second rule, and the first node AP generates the first rule according to the address information in the packet header of the first packet.
  • the address of each address in the additional authentication data is the same.
  • the address mapping table may be pre-configured in the second node STA, where the address mapping table may be configured with each address in the packet header of the first packet sent by the relay generated by the second node STA. The mapping relationship between the locations of the address fields in the AAD is not described here.
  • the first node decrypts the data in the first packet by using the first additional authentication data generated according to the first rule, and the session key between the first node and the second node.
  • the first node may perform the first additional authentication data, the packet sequence number information in the CCMP header in the first packet, and the session key between the first node and the second node according to the CCMP algorithm.
  • the series operation generates a first key value of the key chain, and then the first key value is calculated by a fixed formula to generate a second key value, and then the second key value is calculated by the fixed formula.
  • the triple key value, and so on, the key value of this series is the key chain.
  • Each key value in the key chain may be 128 bits, and each key value is XORed with 128 bits of the data to be decrypted in sequence to obtain corresponding plaintext data, which can be understood by those skilled in the art.
  • the CCMP algorithm may be prior art, which is not limited by the present invention.
  • the additional authentication data may only contain address information, and may also use other information than the address information in the packet header, such as frame control FC (Frame Control, Frame Control field, Quality of Service Control (QC) field, Sequence Control (SCC) field, these fields contain a lot of indication information bits, some of which remain in the additional authentication data.
  • frame control FC Frae Control, Frame Control field, Quality of Service Control (QC) field, Sequence Control (SCC) field
  • SCC Sequence Control
  • these fields contain a lot of indication information bits, some of which remain in the additional authentication data.
  • the same value in the header of the message, and some are set to a fixed value in the additional authentication data.
  • those information bits that change after the relay is forwarded may be included in the generated additional authentication data.
  • two information bits in the FC field are toDS and fromDS, respectively, indicating whether the message is sent to the network side or from the network side.
  • the two information bits are The value can be "10".
  • the value of the two information bits can be "11”. Therefore, both the STA and the AP will be in the additional authentication data when generating additional authentication data.
  • These two information bits are set to a fixed value, such as "11". The setting of these information bits in the additional authentication data to a fixed value does not mean a specific meaning, but only for the STA and the AP to obtain the same additional authentication data.
  • the CCMP algorithm may also generate an on-site value (English: Nonce) according to the A2 address in the packet header, and participate in the encryption calculation process. Therefore, the first node needs to receive the first packet. Generate the same field value for proper decryption. As shown in FIG.
  • the A2 in the first packet sent by the relay to the AP is different from the A2 in the second packet received by the relay from the STA, so that the AP and the STA use the same field value, for example,
  • the AP needs to determine the address mapping relationship shown in Table 1 to determine that the address A3 in the header of the first packet sent by the Relay to the AP is the same as the A2 in the second packet sent by the STA to the Relay. Therefore, the AP can generate the field value according to the address A3 in the first packet header, so that the field value generated by the AP is the same as the field value generated by the STA.
  • the first node receives the first packet sent by the relay device, where the first packet includes data in the second packet sent by the second node to the relay device, where the second packet
  • the data in the message is encrypted using the second additional authentication data, a session key between the first node and the second node, and the second additional authentication data is used by the second node to use the second rule at least according to the
  • the order of each address in an additional authentication data is the same as the order of each address in the second additional authentication data generated by the second node according to the second rule.
  • the first node utilizes the first additional authentication data and the first node and the second node. Session key decryption between nodes The data in a message. Therefore, when the relay device receives the second packet sent by the second node, the second packet is not decrypted and then encrypted, and then the first packet is sent to the first node, which saves the relay device processing the packet. Time, increased channel utilization, and reduced additional power consumption of the relay device.
  • FIG. 5 is a schematic flowchart of a packet processing method according to another embodiment of the present invention. and is applied to a scenario in which a relay device forwards a packet between a first node and a second node, as shown in FIG. 5, the packet processing method is shown in FIG. Specifically include:
  • the second node generates a second packet, where the address information in the packet header of the second packet indicates that the receiver of the second packet is the relay device, and the sender is the second node. The next receiver is the first node.
  • the second node is an AP
  • the first node is an STA
  • the AP may generate a second packet, where the second packet is The address header is filled with the address information, the address A1 is the address of the relay, the address A2 is the address of the AP, and the destination address A3 is the address of the STA.
  • the data to be sent is filled in the second packet. Data section.
  • the second node generates second additional authentication data by using the second rule according to the address information in the packet header of the second packet, using the second additional authentication data, the first node, and the first
  • the session key between the two nodes encrypts data in the second packet
  • the AP needs to generate the second additional authentication data before the second packet is sent.
  • the AP generates the second additional authentication data by using the second rule according to the address information in the second packet, where
  • the second rule may be that each address sequence in the second additional authentication data is in the same order as each address in the packet header of the second packet; or the second rule may also be each address in the second additional authentication data. The order is different from the order of each address in the header of the second packet.
  • the AP encrypts the data in the second packet by using the second additional authentication data, the session key between the first node and the second node, and the specific implementation may be performed according to the CCMP algorithm, the AP.
  • Each key value in the keychain can be 128 bits.
  • Each key value is XORed with 128 bits in the data to be encrypted, and the corresponding ciphertext data can be obtained.
  • the second node sends the encrypted second packet to the relay device, so that the relay device sends the first packet to the first node after receiving the second packet.
  • the first packet includes data in the second packet, and the address information included in the packet header of the first packet indicates that the receiver of the first packet is the first node.
  • the sender is the relay device, and the last sender is the second node, so that the first node receives the first packet at least according to the header of the first packet.
  • the address information uses the first rule to generate the first additional authentication data, and uses the first additional authentication data, the session key between the first node and the second node to perform data in the first packet. Decrypting, wherein the first additional authentication data is the same as the second additional authentication data.
  • the relay after the relay receives the second packet sent by the AP, the relay does not need to decrypt the encrypted data in the second packet, and the Relay can be reassembled to obtain the first packet.
  • the ground may be: filling the encrypted data in the second packet into the Data portion of the first packet, and filling the address information of the packet header of the first packet into: receiving the address A1 and the destination address being the address of the STA, sending Address A2 is the address of Relay, and source address A3 is the address of AP.
  • the first message may also be obtained by performing simple address information update on the second message. After that, Realy sends the first message to the STA.
  • the STA uses the first rule to generate the first additional authentication data according to the address information in the first packet. And generating, by using the second rule, the second additional authentication data is the same according to the address information in the packet header of the second packet, and may include that each address sequence in the first additional authentication data generated by the STA using the first rule is required to be associated with the AP. Each of the second additional authentication data generated using the second rule is in the same order.
  • the specific implementation can be:
  • the first rule used by the STA is the first additional authentication data.
  • the order of the addresses is different from the order of the addresses in the header of the first packet, so that the STA according to the address sequence of the first additional authentication data generated by using the first rule and the AP according to the use of the second
  • the second additional rule generated by the rule has the same order of the addresses; or the second rule used by the AP is that the order of each address in the second additional authentication data is different from the order of each address in the header of the second packet
  • the first rule used by the STA is the first addition
  • the order of the addresses in the authentication data is the same as the order of the addresses in the header of the first packet, so that the STA uses the address sequence and the AP in the first additional authentication data generated by the first rule.
  • the addresses of the addresses in the second additional authentication data generated by the two rules are the same.
  • the second packet generated by the AP may further include relay message authentication information, where the relay message authentication information is used by the AP to authenticate the message between the relay and the AP.
  • the key is generated, so that after the Relay receives the second packet sent by the AP, the relay authentication information is verified by using the message authentication key, and if the verification succeeds, the first packet is sent to the STA.
  • the foregoing relay message authentication information may be obtained by the AP encrypting or hashing the FCS field of the second packet by using the message authentication key. In the specific implementation, it can be:
  • the relay before the AP sends the second packet to the relay, the relay can negotiate a relay message authentication key with the relay.
  • the relay message authentication key is used to perform the second message sent by the AP to the relay. Message authentication.
  • the AP can use the negotiated relay message authentication key between the AP and the relay to encrypt or hash the FCS field in the second packet to be sent.
  • the AP After the encryption or hashing, the AP encrypts or hashes the message.
  • the FCS replaces the original FCS field as the relay message authentication information.
  • the hashed FCS may be referred to as a relay authentication field R-Auth.
  • the relay After receiving the second packet sent by the AP, the relay verifies the relay message authentication information by using the relay message authentication key, and verifies the relay authentication field R-Auth carried in the second packet, and the specific verification method may be
  • the R-Auth is generated by the same process as the R-Auth generated by the AP, and then the R-Auth is compared with the R-Auth in the packet. If the two are equal, the verification succeeds, otherwise the verification fails.
  • the relay assembles the encrypted data in the second packet into the first packet and sends it to the STA.
  • the relay fails to verify that the R-Auth is unsuccessful, the relay can directly lose the relay. Discard the second message.
  • the second node generates the second additional authentication data by using the second rule according to the address information in the second packet, and uses the second additional authentication data, the session key pair between the first node and the second node.
  • the second packet is sent to the relay device, so that the relay device does not need to decrypt the encrypted data in the second packet, but the encrypted data in the second packet.
  • the first packet is sent to the first node in the first packet, so that the first node generates the first additional authentication data by using the first rule according to the address information in the first packet, where the first rule is used to generate the first additional authentication.
  • the data is the same as the second additional authentication data generated by using the second rule, the first node utilizing the first additional authentication data, between the first node and the second node
  • the session key decrypts the encrypted data in the first message. Therefore, the process in which the relay device does not need to decrypt and then encrypt the packet in the process of forwarding the encrypted packet is saved, the packet processing time is saved, the channel utilization rate is increased, and the additional energy consumption of the relay device is reduced.
  • FIG. 6 is a schematic flowchart of a packet processing method according to another embodiment of the present invention; applicable to a scenario in which a relay device forwards a packet between a first node and a second node, as shown in FIG. 6, the packet processing method Specifically include:
  • the relay device receives the second packet sent by the second node, where the address information in the packet header of the second packet indicates that the receiver of the second packet is the relay device, and the sender is The second node and the next receiver are the first node, and the data in the second packet is encrypted by using the second additional authentication data, the session key between the first node and the second node. And the second additional authentication data is generated by the second node according to at least the address information in the packet header of the second packet by using a second rule.
  • the relay device sends a first packet to the first node, where the first packet includes data in the second packet, and address information included in a packet header of the first packet. And indicating that the first party is the first node, the sender is the relay device, and the last sender is the second node, so that the first node is at least according to the first node.
  • the address information in the packet header of the packet generates the first additional authentication data by using the first rule, and uses the first additional authentication data, the session key pair between the first node and the second node
  • the data in the first message is decrypted, wherein the first additional authentication data is the same as the second additional authentication data.
  • the relay device after receiving the second packet sent by the second node, the relay device does not need to decrypt the encrypted data in the second packet, and may directly fill the encrypted data into the first packet.
  • the address information of the packet header of the first packet is filled with: the address of the receiving address A1 and the destination address is the address of the first node, the sending address A2 is the address of the relay device, and the source address A3 is the address of the second node. After that, the relay device sends the first packet to the first node.
  • the first rule is that each address sequence in the first additional authentication data is in the same order as each address in the packet header of the first packet, and the second rule is the second additional authentication.
  • the order of the addresses in the data is different from the order of the addresses in the header of the second packet, so that the order of each address in the second additional authentication data and the address in the first additional authentication data are in the same order;
  • the first rule is an order of each address in the first additional authentication data and the first report The order of the addresses in the header of the text is different, and the second rule is that the order of each address in the second additional authentication data is the same as the order of each address in the header of the second packet, so that Each of the address order in the second additional authentication data and the address in the first additional authentication data are in the same order.
  • each address sequence in the second additional authentication data and each address in the first additional authentication data are in the same order.
  • the first node is a site, and the second node is an access point; or the first node is an access point, and the second node is a site.
  • the receiving, by the relay device, the second packet sent by the second node may further include the relay message authentication information, where the relay message authentication information is used by the second node. Generating a message authentication key between the relay device and the second node, so that the relay device verifies the relay message using the message authentication key after receiving the second message The authentication information is sent to the first node if the verification is passed.
  • the foregoing relay message authentication information is generated by the second node by using a message authentication key between the relay device and the first node.
  • the second node may be the second packet.
  • the FCS field uses the message authentication key to perform encryption or hashing to obtain the above-mentioned relay message authentication information.
  • the relay device of the embodiment of the present invention When receiving the second packet sent by the second node, the relay device of the embodiment of the present invention does not need to decrypt the encrypted data in the second packet by the relay device, and may directly re-encrypt the encrypted data. Assembling into the first packet saves the time for the relay device to process the packet, increases the channel utilization, and reduces the extra power consumption of the relay device.
  • FIG. 7 is a schematic structural diagram of a packet processing apparatus according to an embodiment of the present invention. and is located on a first node side, and is applied to a scenario in which a relay device forwards a packet between a first node and a second node, as shown in FIG. 7 , including:
  • the receiving module 71 is configured to receive a first packet sent by the relay device, where the first packet includes data in a second packet sent by the second node to the relay device, where the second packet is The data in the data is encrypted using the second additional authentication data, the session key between the first node and the second node, and the second additional authentication data is determined by the second node according to at least the The address information in the packet header of the second packet is generated by using the second rule, and the address information in the packet header of the second packet indicates that the receiver of the second packet is the relay device, The sender is the second node, and the next receiver is the first node;
  • the decryption module 72 is configured to generate the first additional authentication data by using the first rule according to the address information in the packet header of the first packet, where the address information included in the packet header of the first packet indicates The receiving party of the first message is the first node, the sender is the relay device, and the last sender is the another second node, where the The authentication data is the same as the additional authentication data generated using
  • the first rule is that each address sequence in the first additional authentication data is in the same order as each address in the packet header of the first packet, and the second rule is the second additional authentication.
  • the order of the addresses in the data is different from the order of the addresses in the header of the second packet, so that the order of each address in the second additional authentication data and the address in the first additional authentication data are in the same order;
  • the first rule is that each address sequence in the first additional authentication data is different from each address sequence in a packet header of the first packet, and the second rule is in the second additional authentication data.
  • Each address sequence is the same as each address in the header of the second packet, such that each address sequence in the second additional authentication data and each address in the first additional authentication data are in the same order.
  • each address sequence in the second additional authentication data and each address in the first additional authentication data are in the same order.
  • the second packet may further include relay message authentication information, where the relay message authentication information is used by the another node to use a message between the relay device and the another node.
  • the authentication key is generated, and after the relay device receives the second packet, the relay message authentication information is verified by using the message authentication key, and if the verification is passed, the first message is sent to the node. A message.
  • the first node is a site, and the second node is an access point; or the first node is an access point, and the second node is a site.
  • the first node receives the first packet sent by the relay device, where the first packet includes data in the second packet sent by the second node to the relay device, where the second packet
  • the data in the message is encrypted using the second additional authentication data, a session key between the first node and the second node, and the second additional authentication data is used by the second node to use the second rule at least Generating, according to the address information in the packet header of the second packet, the first node generates the first additional authentication data by using the first rule according to the address information in the first packet, where the first node is according to the first
  • the order of each address in the first additional authentication data generated by the rule is the same as the order of each address in the second additional authentication data generated by the second node according to the second rule.
  • the first node uses the first additional authentication data and the first The session key between the node and the second node decrypts the data in the first message. Therefore, when the relay device receives the second packet sent by the second node, the second packet is not decrypted and then encrypted, and then the first packet is sent to the first node, which saves the relay device processing the packet. Time, increased channel utilization, and reduced additional power consumption of the relay device.
  • FIG. 8 is a schematic structural diagram of a packet processing apparatus according to another embodiment of the present invention.
  • the scenario of the second node being applied to the relay device to forward a packet between the second node and the first node includes:
  • a message generating module 81 configured to generate a second packet, where the address information in the packet header of the second packet indicates that the receiver of the second packet is the relay device, and the sender is the The node, the next receiver is the other node;
  • the cryptographic module 82 is configured to generate second additional authentication data by using the second rule according to the address information in the packet header of the second packet, using the second additional authentication data, the first node, and the The session key between the second node encrypts the data in the second packet, and the sending module 83 is configured to send the encrypted second packet to the relay device, so that the After receiving the second packet, the relay device sends a first packet to the first node, where the first packet includes data in the second packet, and the first packet is reported.
  • the address information included in the header indicates that the receiver of the first packet is the first node, the sender is the relay device, and the last sender is the second node, so that the first node
  • the first additional authentication data is generated according to the address information in the packet header of the first packet, and the first additional authentication data, the first node is used.
  • a session key pair with the second node Decrypting said first data packet, wherein said first additional data and the second authentication data are identical additional authentication.
  • the first rule is that each address sequence in the first additional authentication data is in the same order as each address in the packet header of the first packet, and the second rule is the second additional authentication.
  • the order of each address in the data is different from the order of each address in the header of the second packet, such that each address in the second additional authentication data and each address in the first additional authentication data The same order; or
  • the first rule is that each address sequence in the first additional authentication data is different from each address sequence in a packet header of the first packet, and the second rule is in the second additional authentication data.
  • Each address sequence is the same as each address in the header of the second packet, such that each address sequence in the second additional authentication data and each address in the first additional authentication data are in the same order.
  • each address sequence in the second additional authentication data and each address in the first additional authentication data are in the same order.
  • the second packet further includes relay message authentication information, where the relay message authentication information is generated by the node using a message authentication key between the relay device and the node, After the relay device receives the second packet, verifying the relay message authentication information by using the message authentication key, and sending the first packet to the another node if the verification succeeds .
  • the second node is a site, and the first node is an access point; or the second node is an access point, and the first node is a site.
  • the second node generates the second additional authentication data by using the second rule according to the address information in the second packet, and uses the second additional authentication data, the session key pair between the first node and the second node.
  • the second packet is sent to the relay device, so that the relay device does not need to decrypt the encrypted data in the second packet, but the encrypted data in the second packet.
  • the first packet is sent to the first node in the first packet, so that the first node generates the first additional authentication data by using the first rule according to the address information in the first packet, where the first rule is used to generate the first additional authentication.
  • the data is the same as the second additional authentication data generated by using the second rule, the first node decrypting the encrypted data in the first message by using the first additional authentication data, the session key between the first node and the second node . Therefore, the process in which the relay device does not need to decrypt and then encrypt the packet in the process of forwarding the encrypted packet is saved, the packet processing time is saved, the channel utilization rate is increased, and the additional energy consumption of the relay device is reduced.
  • FIG. 9 is a schematic structural diagram of a packet processing apparatus according to another embodiment of the present invention.
  • the scenario is applied to a relay device, and is applied to a scenario in which a relay device forwards a packet between the second node and the first node, and includes:
  • the receiving module 91 is configured to receive a second packet sent by the second node, where the address information in the packet header of the second packet indicates that the receiver of the second packet is the relay device and the sender Yes
  • the second node and the next receiver are the first node, and the data in the second packet is encrypted by using the second additional authentication data, the session key between the first node and the second node.
  • the second additional authentication data is generated by the second node according to at least the address information in the packet header of the second packet by using a second rule;
  • the sending module 92 is configured to send, to the first node, a first packet, where the first packet includes data in the second packet, and an address included in a packet header of the first packet.
  • the information indicates that the receiver of the first packet is the first node, the sender is the relay device, and the last sender is the second node, so that the first node is at least according to the
  • the address information in the message header of a message generates the first additional authentication data using the first rule, and uses the first additional authentication data, the session key pair between the first node and the second node
  • the data in the first packet is decrypted, wherein the first additional authentication data is the same as the second additional authentication data.
  • the first rule is that each address sequence in the first additional authentication data is in the same order as each address in the packet header of the first packet, and the second rule is the second additional authentication.
  • the order of the addresses in the data is different from the order of the addresses in the header of the second packet, so that the order of each address in the second additional authentication data and the address in the first additional authentication data are in the same order;
  • the first rule is that each address sequence in the first additional authentication data is different from each address sequence in a packet header of the first packet, and the second rule is in the second additional authentication data.
  • Each address sequence is the same as each address in the header of the second packet, such that each address sequence in the second additional authentication data and each address in the first additional authentication data are in the same order.
  • each address sequence in the second additional authentication data and each address in the first additional authentication data are in the same order.
  • the second packet may further include relay message authentication information, where the relay message authentication information is used by the second node to use a message between the relay device and the second node.
  • the authentication key is generated, and after the relay device receives the second packet, the relay message authentication information is verified by using the message authentication key, and if the verification is passed, the node is sent to the first node.
  • the first message is described.
  • the first node is a site, and the second node is an access point; or, the first node is an access point, and the second node is a site.
  • the relay device of the embodiment of the present invention does not need to decrypt the encrypted data in the second packet by the relay device, and may directly re-encrypt the encrypted data. Assembling into the first packet saves the time for the relay device to process the packet, increases the channel utilization, and reduces the extra power consumption of the relay device.
  • FIG. 10 is a schematic structural diagram of a packet processing apparatus according to another embodiment of the present invention. and is located on a first node side, and is applied to a scenario in which a relay device forwards a packet between a first node and a second node, where
  • the packet processing device may be an access point or a station.
  • the first node includes: a processor, a memory, and a communication bus, where the processor and the memory are connected by using a communication bus, and the memory is stored for relaying.
  • the second additional authentication data, the session key between the first node and the second node is encrypted, and the second additional authentication data is reported by the second node according to at least the second packet.
  • the address information in the header is generated by using the second rule, and the address information in the packet header of the second packet indicates that the receiver of the second packet is the relay device, and the sender is the Two nodes, the next receiver is the first node;
  • the first additional authentication data by using the first rule, where the address information included in the packet header of the first packet indicates the first packet
  • the receiving party is the first node, the sending party is the relay device, and the last sender is the another second node, where the additional authentication data generated by using the first rule is used
  • the additional authentication data generated by the second rule is the same; using the first additional authentication data, the session key between the first node and the another second node, the data in the first packet Decryption is performed, wherein the first additional authentication data is the same as the second additional authentication data.
  • the first rule is that each address sequence in the first additional authentication data is in the same order as each address in the packet header of the first packet, and the second rule is the second additional authentication.
  • the order of the addresses in the data is different from the order of the addresses in the header of the second packet, so that the order of each address in the second additional authentication data and the address in the first additional authentication data are in the same order;
  • the first rule is that each address sequence in the first additional authentication data is different from each address sequence in a packet header of the first packet, and the second rule is in the second additional authentication data.
  • Each address sequence is the same as each address in the header of the second packet, such that each address sequence in the second additional authentication data and each address in the first additional authentication data are in the same order.
  • each address sequence in the second additional authentication data and each address in the first additional authentication data are in the same order.
  • the second packet may further include relay message authentication information, where the relay message authentication information is used by the another node to use a message between the relay device and the another node.
  • the authentication key is generated, and after the relay device receives the second packet, the relay message authentication information is verified by using the message authentication key, and if the verification is passed, the first message is sent to the node. A message.
  • the first node is a site, and the second node is an access point; or the first node is an access point, and the second node is a site.
  • the first node receives the first packet sent by the relay device, where the first packet includes data in the second packet sent by the second node to the relay device, where the second packet
  • the data in the message is encrypted using the second additional authentication data, a session key between the first node and the second node, and the second additional authentication data is used by the second node to use the second rule at least according to the
  • the order of each address in an additional authentication data is the same as the order of each address in the second additional authentication data generated by the second node according to the second rule.
  • the first node utilizes the first additional authentication data and the first node and the second node.
  • the session key between the nodes decrypts the data in the first message. Therefore, when the relay device receives the second packet sent by the second node, the second packet is not decrypted and then encrypted, and then the first packet is sent to the first node, which saves the relay device processing the packet. Time, increased channel utilization, and reduced additional power consumption of the relay device.
  • FIG. 11 is a schematic structural diagram of a packet processing apparatus according to another embodiment of the present invention. where the second node is located on a second node, and is applied to a scenario in which a relay device forwards a packet between a first node and a second node, where The ingress AP or the station STA, as shown in FIG.
  • the second node includes: a processor, a memory, and a communication bus, wherein the processor and the memory are connected by a communication bus, in the memory
  • the packet includes the data in the second packet, and the address information included in the packet header of the first packet indicates that the receiver of the first packet is the first node, and the sender is the sender.
  • the relay device the last sender is the second node, so that the first node receives the first packet and uses the first address according to at least the address information in the packet header of the first packet.
  • the rule generates the first additional authentication data, and decrypts the data in the first packet by using the first additional authentication data, a session key between the first node and the second node, where The first additional authentication data is the same as the second additional authentication data.
  • the first rule is that each address sequence in the first additional authentication data is in the same order as each address in the packet header of the first packet, and the second rule is the second additional authentication.
  • the order of the addresses in the data is different from the order of the addresses in the header of the second packet, so that the order of each address in the second additional authentication data and the address in the first additional authentication data are in the same order;
  • the first rule is that each address sequence in the first additional authentication data is different from each address sequence in a packet header of the first packet, and the second rule is in the second additional authentication data.
  • Each address sequence is the same as each address in the header of the second packet, such that each address sequence in the second additional authentication data and each address in the first additional authentication data are in the same order.
  • the second packet may further include relay message authentication information, where the relay message authentication information is generated by the node using a message authentication key between the relay device and the node. After the relay device receives the second packet, verifying the relay message authentication information by using the message authentication key, and sending the first report to the another node if the verification succeeds Text.
  • the second node is a site, and the first node is an access point; or the second node is an access point, and the first node is a site.
  • the second node generates the second additional authentication data by using the second rule according to the address information in the second packet, and uses the second additional authentication data, the session key pair between the first node and the second node.
  • the second packet is sent to the relay device, so that the relay device does not need to decrypt the encrypted data in the second packet, but the encrypted data in the second packet.
  • the first packet is sent to the first node in the first packet, so that the first node generates the first additional authentication data by using the first rule according to the address information in the first packet, where the first rule is used to generate the first additional authentication.
  • the data is the same as the second additional authentication data generated by using the second rule, the first node decrypting the encrypted data in the first message by using the first additional authentication data, the session key between the first node and the second node . Therefore, the process in which the relay device does not need to decrypt and then encrypt the packet in the process of forwarding the encrypted packet is saved, the packet processing time is saved, the channel utilization rate is increased, and the additional energy consumption of the relay device is reduced.
  • FIG. 12 is a schematic structural diagram of a packet processing apparatus according to another embodiment of the present invention; where a relay device is used to forward a packet between a first node and a second node, which may be a relay.
  • the relay device includes: a processor, a memory, and a communication bus, wherein the processor and the memory are connected by a communication bus, and the memory is stored in the memory for forwarding between the first node and the second node.
  • the receiver of the message is the first node
  • the sender is the relay device
  • the last sender is the second node, so that the first node is at least according to the packet of the first packet.
  • the address information in the header generates the first additional authentication data using the first rule, and uses the first additional authentication data, the session key between the first node and the second node to pair the first packet
  • the data in the decryption is performed, wherein the first additional authentication data is the same as the second additional authentication data.
  • the first rule is that each address sequence in the first additional authentication data is in the same order as each address in the packet header of the first packet, and the second rule is the second additional authentication.
  • the order of the addresses in the data is different from the order of the addresses in the header of the second packet, so that the order of each address in the second additional authentication data and the address in the first additional authentication data are in the same order;
  • the first rule is that each address sequence in the first additional authentication data is different from each address sequence in a packet header of the first packet, and the second rule is in the second additional authentication data.
  • Each address sequence is the same as each address in the header of the second packet, such that each address sequence in the second additional authentication data and each address in the first additional authentication data are in the same order.
  • each address sequence in the second additional authentication data and each address in the first additional authentication data are in the same order.
  • the second packet may further include relay message authentication information, where the relay message authentication information is used by the second node to use a message between the relay device and the second node.
  • the authentication key is generated, and after the relay device receives the second packet, the relay message authentication information is verified by using the message authentication key, and if the verification is passed, the node is sent to the first node.
  • the first message is described.
  • the first node is a site, and the second node is an access point; or, the first node is an access point, and the second node is a site.
  • FIG. 13 is a schematic structural diagram of a packet processing system according to another embodiment of the present invention, which is applied to a scenario in which a relay device forwards a packet between a first node and a second node, as shown in FIG.
  • the system specifically includes: a relay device 11, a first node 12, and a second node 13;
  • the first node 12 includes the packet processing apparatus provided in the embodiment shown in FIG. 7 or FIG. 10, and the detailed description refers to the related description in the packet processing apparatus provided in the embodiment shown in FIG. 7 or FIG.
  • the second node 13 includes the packet processing device provided in the embodiment shown in FIG. 8 or FIG. 11 .
  • the message processing apparatus provided in the embodiment shown in FIG. 9 or FIG. 12 is described in detail with reference to the description of the packet processing apparatus provided in the embodiment shown in FIG. 9 or FIG. 12.
  • the second node is the station STA, or if the first node is the station STA, the second node is the access point AP.
  • the first node receives the first packet sent by the relay device, where the first packet includes data in the second packet sent by the second node to the relay device, where the second packet
  • the data in the message is encrypted using the second additional authentication data, a session key between the first node and the second node, and the second additional authentication data is used by the second node to use the second rule at least according to the
  • the order of each address in an additional authentication data is the same as the order of each address in the second additional authentication data generated by the second node according to the second rule.
  • the first node utilizes the first additional authentication data and the first node and the second node.
  • the session key between the nodes decrypts the data in the first message. Therefore, when the relay device receives the second packet sent by the second node, the second packet is not decrypted and then encrypted, and then the first packet is sent to the first node, which saves the relay device processing the packet. Time, increased channel utilization, and reduced additional power consumption of the relay device.
  • the disclosed system, apparatus, and method may be implemented in other manners.
  • the device embodiments described above are merely illustrative, for example, the division of the unit is only a logical function division, and the actual implementation There may be additional ways of dividing, for example, multiple units or components may be combined or integrated into another system, or some features may be omitted or not implemented.
  • the mutual coupling or direct coupling or communication connection shown or discussed may be an indirect coupling or communication connection through some interface, device or unit, and may be in an electrical, mechanical or other form.
  • the components displayed as units may or may not be physical units, that is, may be located in one place, or may be distributed to multiple network units. Some or all of the units may be selected according to actual needs to achieve the purpose of the solution of the embodiment.
  • each functional unit in each embodiment of the present invention may be integrated into one processing unit, or each unit may exist physically separately, or two or more units may be integrated into one unit.
  • the above integrated unit can be implemented in the form of hardware or in the form of a hardware plus software functional unit.
  • the above-described integrated unit implemented in the form of a software functional unit can be stored in a computer readable storage medium.
  • the above software functional units are stored in a storage medium and include a number of steps for causing a computer device (which may be a personal computer, server, or network device, etc.) to perform the methods of the various embodiments of the present invention.
  • the foregoing storage medium includes: a USB flash drive, a removable hard disk, a read-only memory (ROM), a random access memory (RAM), a magnetic disk, or an optical disk, and the like, which can store program codes. Medium.

Abstract

本发明实施例公开了一种报文处理方法及装置、系统，第一节点接收中继设备发送的第一报文，第一报文中包括第二节点向中继设备发送的第二报文中的数据，第二报文中的数据使用第二附加认证数据、第一节点和第二节点之间的会话密钥进行加密，第二附加认证数据由第二节点使用第二规则至少根据第二报文的报文头中的地址信息生成的；第一节点根据第一报文的报文头中的地址信息使用第一规则生成第一附加认证数据；使用第一附加认证数据、第一节点和第二节点之间的会话密钥对第一报文中的数据进行解密。解决了现有的中继设备在站点和接入点之间转发报文时需要解密再加密的处理过程而导致的信道利用率降低的问题。

Description

报文处理方法及装置、 系统
本申请要求于 2012年 12月 10日提交中国专利局、 申请号为 201210528207.7中国专利申请的优先权，其全部内容通过引用结合在本申请 中。
技术领域 本发明实施例涉及通信技术领域， 尤其涉及一种报文处理方法及装置、 系统。 背景技术 在 IEEE ( Institute of Electrical and Electronics Engineers , 电子电气工程 师协会） 802.11ah标准中， 为了扩展 AP (英文： Access Point, 接入点， 简 称 AP ) 的覆盖范围， 通常会在 STA (英文： Station, 站点， 简称 STA )和 AP之间增加中继设备（英文： Relay ), 通过 Relay在 STA和 AP之间转发加密 报文， 按照标准实现， Relay和 STA之间协商有会话密钥 PTKrd, 其中， PTK ( Pairwise Transient Key， 一对节点间的临时密钥）为节点间的临时密钥， r 表示 Relay, d表示 Relay的下行链路， Relay和 AP之间也协商有会话密钥 PTKru, 其中， r表示 Relay, 示 Relay的上行链路。 通常， 当 Relay在转发 STA发送给 AP的上行加密报文时， Relay先用 PTKrd解密该上行加密报文， 之后再用 PTKru加密该上行加密报文； 当 Relay在转发 AP发送给 STA的下行 加密报文时， Relay先用 PTKru解密该下行加密报文，之后再用 PTKrd加密该 下行加密报文。
上述 Relay在 STA和 AP之间转发加密报文时需要解密再加密的处理 过程， 需要占用一定的处理时间， 会降低信道利用率， 增加 Relay的额外耗 能。 发明内容 本发明提供一种报文处理方法及装置、 系统， 用以解决现有的中继设 备在站点和接入点之间转发报文时需要解密再加密的处理过程而导致的信 道利用率降低的问题。
第一方面， 本发明提供一种报文处理方法， 应用于中继设备在第一节 点和第二节点之间转发报文的场景， 包括：
第一节点接收中继设备发送的第一报文， 所述第一报文中包括第二节 点向所述中继设备发送的第二报文中的数据， 所述第二报文中的数据使用 了第二附加认证数据、 所述第一节点和所述第二节点之间的会话密钥进行 了加密， 所述第二附加认证数据是由所述第二节点至少根据所述第二报文 的报文头中的地址信息使用第二规则生成的， 所述第二报文的报文头中的 地址信息指示所述第二报文的接收方是所述中继设备、 发送方是所述第二 节点、 下一接收方是所述第一节点；
所述第一节点至少根据所述第一报文的报文头中的地址信息使用第一 规则生成第一附加认证数据， 所述第一报文的报文头中包含的地址信息指 示所述第一报文的接收方是所述第一节点、 发送方是所述中继设备、 上一 发送方是所述第二节点， 其中， 所述第一附加认证数据与所述第二附加认 证数据相同；
所述第一节点使用所述第一附加认证数据、 所述第一节点和所述第二 节点之间的会话密钥对所述第一报文中的数据进行解密。
基于第一方面， 在第一种实施方式中， 所述第一规则是所述第一附加 认证数据中的各地址顺序与所述第一报文的报文头中的各地址顺序相同， 所述第二规则是所述第二附加认证数据中的各地址顺序与所述第二报文的 报文头中的各地址顺序不同， 使得所述第二附加认证数据中各地址顺序和 所述第一附加认证数据中各地址顺序相同； 或
所述第一规则是所述第一附加认证数据中的各地址顺序与所述第一报 文的报文头中的各地址顺序不同， 所述第二规则是所述第二附加认证数据 中的各地址顺序与所述第二报文的报文头中的各地址顺序相同， 使得所述 第二附加认证数据中各地址顺序和所述第一附加认证数据中各地址顺序相 同。
基于第一方面或第一方面的第一种实施方式， 在第二种实施方式中， 所述第二附加认证数据中的各地址顺序和所述第一附加认证数据中的各地 址顺序相同。
基于第一方面、 第一方面的第一或第二种实施方式， 在第三种实施方 式中， 所述第二报文中还包括中继消息认证信息， 所述中继消息认证信息 由所述第二节点使用所述中继设备和所述第二节点之间的消息认证密钥生 成， 用以所述中继设备接收到所述第二报文之后， 使用所述消息认证密钥 验证所述中继消息认证信息， 若验证通过则向所述第一节点发送所述第 ― 报文。
基于第一方面、 第一方面的第一、 第二或第三种实施方式， 在第四种 实施方式中， 所述第一节点为站点， 第二节点为接入点； 或， 所述第一节 点为接入点， 所述第二节点为站点。
第二方面， 本发明提供一种报文处理方法， 应用于中继设备在第一节 点和第二节点之间转发报文的场景， 包括：
第二节点生成第二报文， 所述第二报文的报文头中的地址信息指示所 述第二报文的接收方是所述中继设备、 发送方是所述第二节点、 下一接收 方是所述第一节点；
所述第二节点至少根据所述第二报文的报文头中的地址信息使用第二 规则生成第二附加认证数据， 使用所述第二附加认证数据、 所述第一节点 和所述第二节点之间的会话密钥对所述第二报文中的数据进行加密；
所述第二节点将所述加密后的第二报文发送给所述中继设备， 以使所 述中继设备接收到所述第二报文后向所述第一节点发送第一报文， 所述第 一报文中包含所述第二报文中的数据， 所述第一报文的报文头中包含的地 址信息指示所述第一报文的接收方是所述第一节点、 发送方是所述中继设 备、 上一发送方是所述第二节点， 使得所述第一节点接收到所述第一报文 后至少根据所述第一报文的报文头中的地址信息使用第一规则生成第一附 加认证数据， 使用所述第一附加认证数据、 所述第一节点和所述第二节点 之间的会话密钥对所述第一报文中的数据进行解密， 其中， 所述第一附加 认证数据与所述第二附加认证数据相同。
基于第二方面， 在第一种实施方式中， 所述第一规则是所述第一附加 认证数据中的各地址顺序与所述第一报文的报文头中的各地址顺序相同， 所述第二规则是所述第二附加认证数据中的各地址顺序与所述第二报文的 报文头中的各地址顺序不同， 使得所述第二附加认证数据中各地址顺序和 所述第一附加认证数据中各地址顺序相同； 或
所述第一规则是所述第一附加认证数据中的各地址顺序与所述第一报 文的报文头中的各地址顺序不同， 所述第二规则是所述第二附加认证数据 中的各地址顺序与所述第二报文的报文头中的各地址顺序相同， 使得所述 第二附加认证数据中各地址顺序和所述第一附加认证数据中各地址顺序相 同。
基于第二方面或第二方面的第一种实施方式， 在第二种实施方式中， 所述第二附加认证数据中的各地址顺序和所述第一附加认证数据中的各地 址顺序相同。
基于第二方面、 第二方面的第一或第二种实施方式， 在第三种实施方 式中， 所述第二报文中还包括中继消息认证信息， 所述中继消息认证信息 由所述第二节点使用所述中继设备和所述第二节点之间的消息认证密钥生 成， 用以所述中继设备接收到所述第二报文之后， 使用所述消息认证密钥 验证所述中继消息认证信息， 若验证通过则向所述第一节点发送所述第 ― 报文。
基于第二方面、 第二方面的第一、 第二或第三种实施方式， 在第四种 实施方式中， 所述第一节点为站点， 第二节点为接入点； 或， 所述第一节 点为接入点， 所述第二节点为站点。
第三方面， 本发明提供一种报文处理方法， 应用于中继设备在第一节 点和第二节点之间转发报文的场景， 包括：
中继设备接收第二节点发送的第二报文， 所述第二报文的报文头中的 地址信息指示所述第二报文的接收方是所述中继设备、 发送方是所述第二 节点、 下一接收方是第一节点， 所述第二报文中的数据使用了第二附加认 证数据、 所述第一节点和第二节点之间的会话密钥进行了加密， 所述第二 附加认证数据由所述第二节点至少根据所述第二报文的报文头中的地址信 息使用第二规则生成；
所述中继设备向所述第一节点发送第一报文， 所述第一报文中包含所 述第二报文中的数据， 所述第一报文的报文头中包含的地址信息指示所述 第一报文的接收方是所述第一节点、 发送方是所述中继设备、 上一发送方 是所述第二节点， 以使所述第一节点至少根据所述第一报文的报文头中的 地址信息使用第一规则生成第一附加认证数据， 并使用所述第一附加认证 数据、 所述第一节点和所述第二节点之间的会话密钥对所述第一报文中的 数据进行解密， 其中， 所述第一附加认证数据与所述第二附加认证数据相 同。
基于第三方面， 在第一种实施方式中， 所述第一规则是所述第一附加 认证数据中的各地址顺序与所述第一报文的报文头中的各地址顺序相同， 所述第二规则是所述第二附加认证数据中的各地址顺序与所述第二报文的 报文头中的各地址顺序不同， 使得所述第二附加认证数据中各地址顺序和 所述第一附加认证数据中各地址顺序相同； 或
所述第一规则是所述第一附加认证数据中的各地址顺序与所述第一报 文的报文头中的各地址顺序不同， 所述第二规则是所述第二附加认证数据 中的各地址顺序与所述第二报文的报文头中的各地址顺序相同， 使得所述 第二附加认证数据中各地址顺序和所述第一附加认证数据中各地址顺序相 同。
基于第三方面或第三方面的第一种实施方式， 在第二种实施方式中，， 所述第二附加认证数据中的各地址顺序和所述第一附加认证数据中的各地 址顺序相同。
基于第三方面、 第三方面的第一或第二种实施方式， 在第三种实施方 式中， 所述第二报文中还包括中继消息认证信息， 所述中继消息认证信息 由所述第二节点使用所述中继设备和所述第二节点之间的消息认证密钥生 成， 用以所述中继设备接收到所述第二报文之后， 使用所述消息认证密钥 验证所述中继消息认证信息， 若验证通过则向所述第一节点发送所述第 ― 报文。
基于第三方面、 第三方面的第一、 第二或第三种实施方式， 在第四种 实施方式中， 所述第一节点为站点， 第二节点为接入点； 或， 所述第一节 点为接入点， 所述第二节点为站点。
第四方面， 本发明提供一种报文处理装置， 位于第一节点侧， 应用于 中继设备在所述第一节点和第二节点之间转发报文的场景， 包括：
接收模块， 用于接收中继设备发送的第一报文， 所述第一报文中包括 第二节点向所述中继设备发送的第二报文中的数据， 所述第二报文中的数 据使用了第二附加认证数据、 所述第一节点和所述第二节点之间的会话密 钥进行了加密， 所述第二附加认证数据是由所述第二节点至少根据所述第 二报文的报文头中的地址信息使用第二规则生成的， 所述第二报文的报文 头中的地址信息指示所述第二报文的接收方是所述中继设备、 发送方是所 述第二节点、 下一接收方是所述第一节点；
解密模块， 用于至少根据所述第一报文的报文头中的地址信息使用第 一规则生成第一附加认证数据， 所述第一报文的报文头中包含的地址信息 指示所述第一报文的接收方是所述第一节点、 发送方是所述中继设备、 上 一发送方是所述另一第二节点， 其中， 所述使用所述第一规则生成的附加 认证数据与所述使用所述第二规则生成的附加认证数据相同； 使用所述第 一附加认证数据、 所述第一节点和所述另一第二节点之间的会话密钥对所 述第一报文中的数据进行解密， 其中， 所述第一附加认证数据与所述第二 附加认证数据相同。
基于第四方面， 在第一种实施方式中， 所述第一规则是所述第一附加 认证数据中的各地址顺序与所述第一报文的报文头中的各地址顺序相同， 所述第二规则是所述第二附加认证数据中的各地址顺序与所述第二报文的 报文头中的各地址顺序不同， 使得所述第二附加认证数据中各地址顺序和 所述第一附加认证数据中各地址顺序相同； 或
所述第一规则是所述第一附加认证数据中的各地址顺序与所述第一报 文的报文头中的各地址顺序不同， 所述第二规则是所述第二附加认证数据 中的各地址顺序与所述第二报文的报文头中的各地址顺序相同， 使得所述 第二附加认证数据中各地址顺序和所述第一附加认证数据中各地址顺序相 同。
基于第四方面或第四方面的第一种实施方式， 在第二种实施方式中， 所述第二附加认证数据中的各地址顺序和所述第一附加认证数据中的各地 址顺序相同。
基于第四方面、 第四方面的第一或第二种实施方式， 在第三种实施方 式中， 所述第二报文中还包括中继消息认证信息， 所述中继消息认证信息 由所述另一节点使用所述中继设备和所述另一节点之间的消息认证密钥生 成， 用以所述中继设备接收到所述第二报文之后， 使用所述消息认证密钥 验证所述中继消息认证信息， 若验证通过则向所述节点发送所述第一报文。
基于第四方面、 第四方面的第一、 第二或第三种实施方式， 在第四种 实施方式中， 所述第一节点为站点， 所述第二节点为接入点； 或， 所述第 一节点为接入点， 所述第二节点为站点。
第五方面， 本发明提供一种报文处理装置， 位于第二节点侧， 应用于 中继设备在所述第二节点和第一节点之间转发报文的场景， 包括： 报文生成模块， 用于生成第二报文， 所述第二报文的报文头中的地址 信息指示所述第二报文的接收方是所述中继设备、 发送方是所述节点、 下 一接收方是所述另一节点；
加密模块， 用于至少根据所述第二报文的报文头中的地址信息使用第 二规则生成第二附加认证数据， 使用所述第二附加认证数据、 所述第一节 点和所述第二节点之间的会话密钥对所述第二报文中的数据进行加密； 发送模块， 用于将所述加密后的第二报文发送给所述中继设备， 以使 所述中继设备接收到所述第二报文后向所述第一节点发送第一报文， 所述 第一报文中包含所述第二报文中的数据， 所述第一报文的报文头中包含的 地址信息指示所述第一报文的接收方是所述第一节点、 发送方是所述中继 设备、 上一发送方是所述第二节点， 使得所述第一节点接收到所述第一报 文后至少根据所述第一报文的报文头中的地址信息使用第一规则生成第一 附加认证数据， 使用所述第一附加认证数据、 所述第一节点和所述第二节 点之间的会话密钥对所述第一报文中的数据进行解密， 其中， 所述第一附 加认证数据与所述第二附加认证数据相同。
基于第五方面， 在第一种实现方式中， 所述第一规则是所述第一附加 认证数据中的各地址顺序与所述第一报文的报文头中的各地址顺序相同， 所述第二规则是所述第二附加认证数据中的各地址顺序与所述第二报文的 报文头中的各地址顺序不同， 使得所述第二附加认证数据中各地址顺序和 所述第一附加认证数据中各地址顺序相同； 或
所述第一规则是所述第一附加认证数据中的各地址顺序与所述第一报 文的报文头中的各地址顺序不同， 所述第二规则是所述第二附加认证数据 中的各地址顺序与所述第二报文的报文头中的各地址顺序相同， 使得所述 第二附加认证数据中各地址顺序和所述第一附加认证数据中各地址顺序相 同。
基于第五方面或第五方面的第一种实现方式， 在第二种实现方式中， 所述第二附加认证数据中的各地址顺序和所述第一附加认证数据中的各地 址顺序相同。
基于第五方面、 第五方面的第一或第二种实现方式， 在第三种实现方 式中， 所述第二报文中还包括中继消息认证信息， 所述中继消息认证信息 由所述节点使用所述中继设备和所述节点之间的消息认证密钥生成， 用以 所述中继设备接收到所述第二报文之后， 使用所述消息认证密钥验证所述 中继消息认证信息， 若验证通过则向所述另一节点发送所述第一报文。
基于第五方面、 第五方面的第一、 第二或第三种实现方式， 在第四种 实现方式中， 所述第二节点为站点， 所述第一节点为接入点； 或， 所述第 二节点为接入点， 所述第一节点为站点。
第六方面， 本发明提供一种报文处理装置， 位于中继设备侧， 应用于 中继设备在第一节点和第二节点之间转发报文的场景， 包括：
接收模块， 用于接收第二节点发送的第二报文， 所述第二报文的报文 头中的地址信息指示所述第二报文的接收方是所述中继设备、 发送方是所 述第二节点、 下一接收方是第一节点， 所述第二报文中的数据使用了第二 附加认证数据、 所述第一节点和第二节点之间的会话密钥进行了加密， 所 述第二附加认证数据由所述第二节点至少根据所述第二报文的报文头中的 地址信息使用第二规则生成；
发送模块， 用于向所述第一节点发送第一报文， 所述第一报文中包含 所述第二报文中的数据， 所述第一报文的报文头中包含的地址信息指示所 述第一报文的接收方是所述第一节点、 发送方是所述中继设备、 上一发送 方是所述第二节点， 以使所述第一节点至少根据所述第一报文的报文头中 的地址信息使用第一规则生成第一附加认证数据， 并使用所述第一附加认 证数据、 所述第一节点和所述第二节点之间的会话密钥对所述第一报文中 的数据进行解密， 其中， 所述第一附加认证数据与所述第二附加认证数据 相同。
基于第六方面， 在第一种实现方式中， 所述第一规则是所述第一附加 认证数据中的各地址顺序与所述第一报文的报文头中的各地址顺序相同， 所述第二规则是所述第二附加认证数据中的各地址顺序与所述第二报文的 报文头中的各地址顺序不同， 使得所述第二附加认证数据中各地址顺序和 所述第一附加认证数据中各地址顺序相同； 或
所述第一规则是所述第一附加认证数据中的各地址顺序与所述第一报 文的报文头中的各地址顺序不同， 所述第二规则是所述第二附加认证数据 中的各地址顺序与所述第二报文的报文头中的各地址顺序相同， 使得所述 第二附加认证数据中各地址顺序和所述第一附加认证数据中各地址顺序相 同。
基于第六方面或第六方面的第一种实现方式， 在第二种实现方式中， 所述第二附加认证数据中的各地址顺序和所述第一附加认证数据中的各地 址顺序相同。
基于第六方面、 第六方面的第一或第二种实现方式， 在第三种实现方 式中， 所述第二报文中还包括中继消息认证信息， 所述中继消息认证信息 由所述第二节点使用所述中继设备和所述第二节点之间的消息认证密钥生 成， 用以所述中继设备接收到所述第二报文之后， 使用所述消息认证密钥 验证所述中继消息认证信息， 若验证通过则向所述第一节点发送所述第 ― 报文。
基于第六方面、 第六方面的第一、 第二或第三种实现方式， 在第四种 实现方式中， 所述第一节点为站点， 第二节点为接入点； 或， 所述第一节 点为接入点， 所述第二节点为站点。
第七方面， 本发明提供一种报文处理系统， 应用于中继设备在第一节 点和第二节点之间转发报文的场景， 包括： 第一节点、 第二节点、 中继设 备；
所述第一节点包括上述第四方面所述的报文处理装置；
所述第二节点包括上述第五方面所述的报文处理装置；
所述中继设备包括上述第六方面所述的报文处理装置。
本发明通过第一节点接收中继设备发送的第一报文， 其中， 第一报文 中包括第二节点向所述中继设备发送的第二报文中的数据， 所述第二报文 中的数据使用第二附加认证数据、 第一节点和第二节点之间的会话密钥进 行加密， 所述第二附加认证数据由所述第二节点使用第二规则至少根据所 述第二报文的报文头中的地址信息生成的； 第一节点至少根据第一报文中 的地址信息使用第一规则生成第一附加认证数据， 其中， 第一节点根据第 一规则生成的第一附加认证数据中各地址顺序与第二节点根据第二规则生 成的第二附加认证数据中各地址顺序是相同的， 进一步地， 第一节点利用 第一附加认证数据以及第一节点和第二节点之间的会话密钥解密第一报文 中的数据。 从而当中继设备接收到第二节点发送的第二报文时， 不需要对 第二报文先进行解密然后再加密后发送第一报文给第一节点， 节省了中继 设备处理报文的时间， 提高了信道利用率， 减小了中继设备的额外耗能。
附图说明 为了更清楚地说明本发明实施例或现有技术中的技术方案， 下面将对 实施例或现有技术描述中所需要使用的附图作一简单地介绍， 显而易见地， 下面描述中的附图是本发明的一些实施例， 对于本领域普通技术人员来讲， 在不付出创造性劳动性的前提下， 还可以根据这些附图获得其他的附图。
图 1为本发明实施例应用的一种 CCMP加密报文的帧格式示意图； 图 2为本发明实施例应用的一种 MAC帧头的格式示意图；
图 3为本发明一实施例提供的报文处理方法的流程示意图；
图 4为本发明实施例应用的报文处理系统的一种架构示意图； 图 5为本发明另一实施例提供的报文处理方法的流程示意图； 图 6为本发明另一实施例提供的报文处理方法的流程示意图； 图 7为本发明一实施例提供的报文处理装置的结构示意图；
图 8为本发明另一实施例提供的报文处理装置的结构示意图； 图 9为本发明另一实施例提供的报文处理装置的结构示意图； 图 10为本发明另一实施例提供的报文处理装置的结构示意图； 图 11为本发明另一实施例提供的报文处理装置的结构示意图； 图 12为本发明另一实施例提供的报文处理装置的结构示意图； 图 13为本发明一实施例提供的报文处理系统的一种结构示意图。 具体实 式 为使本发明实施例的目的、 技术方案和优点更加清楚， 下面将结合本 发明实施例中的附图， 对本发明实施例中的技术方案进行清楚、 完整地描 述， 显然， 所描述的实施例是本发明一部分实施例， 而不是全部的实施例。 基于本发明中的实施例， 本领域普通技术人员在没有作出创造性劳动前提 下所获得的所有其他实施例， 都属于本发明保护的范围。
在 802.11标准中， STA (英文： Station, 站点）是指支持 802.11协议 的设备， 包括 AP在内， AP在标准中被称为 AP STA, 不是 AP的 STA在 标准中被称为 non-AP STA。 本发明中所述的站点 STA指应用终端， 也即 non-AP STA, 本发明中所述的接入点 AP, 可以是标准中的 AP STA, 本发 明中所述的中继设备 Relay, 可以是标准中的 Relay STA。
在 IEEE802.11ah标准中， 通常， 采用计数器模式密码块链消息认证码 协议 (英文： Counter Mode with Cipher-block Chaining Message Authentication Code Protocol, 简称 CCMP )对报文中的数据进行加密。 图 1为本发明实施 例应用的一种 CCMP加密报文的帧格式示意图， 报文头一般称为媒介访问 控制帧头 (英文： Media Access Control header, 简称 MAC header), 如图 1 所示， MAC header和 CCMP Header参与加密计算但本身不被加密；待发送 报文中的数据 Data和消息完整性码（英文： Message Integrity Code , 简称 MIC )被力。密（英文： Encrypted ),帧检马全序列（英文： Frame Check Sequence, 简称 FCS )用于检查帧在传输过程中是否出错。 本发明实施例可以应用的 CCMP加密报文的帧格式不限于图 1所示的帧格式。
在实际应用中， AP或者 STA采用 CCMP算法对待发送报文中的数据 Data和消息完整性码 MIC加密之前， 需要使用待发送报文的 MAC帧头中 的地址信息生成附加认证数据 （英文： Additional Authentication Data , 简称 AAD ) , 图 2为本发明实施例应用的一种 MAC帧头的格式示意图， 如图 2所示， MAC帧头中包括多个地址信息， 其中， 地址信息中包括的 各地址顺序为地址 Al、 地址 A2、 地址 A3和地址 A4 , 其中， A1是接收地 址， 即当前接收报文的节点地址， A2是发送地址， 即当前发送报文的节 点地址。 当目的地址为接收地址时， MAC帧头中不需要写目的地址， 当 目的地址不是接收地址时， A3是目的地址， 通常， 目的地址为下一个接 收报文的节点地址； 当源地址是发送地址， MAC帧头中不需要写源地址， 当源地址不是发送地址时， 则 A3或 A4中需要写入源地址， 通常， 源地址 为上一个发送报文的节点地址。 本发明实施例可以应用的 M A C帧头的格 式不限于图 2所示的格式。
由图 2所示的 MAC帧头结构可知， 当报文每一次被 Relay转发时， MAC帧头中的各地址的顺序必然改变 ,由于 MAC帧头中的各地址顺序在 报文转发过程中是改变的， 根据 MAC帧头中的各地址顺序生成的附加认 证数据 AAD也会改变， 因此， Relay在接收到的报文之后， 必须对接收到 的报文中的加密数据进行解密， 在 MAC帧头中重新写入转发的地址信 息， 然后根据重新写入的地址信息生成附加认证数据， 并利用该重新生 成的附加认证数据对解密后的数据进行加密。从而增加了 Relay的报文处 理时间， 降低信道利用率， 增加 Relay的额外耗能。
鉴于上述存在的问题， 本发明实施例提供一种报文处理方法， 应用于 中继设备在第一节点和第二节点之间转发报文的场景， 可以解决现有的中 继设备在站点和接入点之间转发报文时需要解密再加密的处理过程而导致 的信道利用率降低的问题。
需要说明的是， 以下各实施例中， 若第一节点是接入点 AP时， 则第二 节点为站点 STA,或者若第一节点是站点 STA时，则第二节点是接入点 AP。
图 3 为本发明一实施例提供的报文处理方法的流程示意图； 应用于中 继设备在第一节点和第二节点之间转发报文的场景， 如图 3 所示， 报文处 理方法具体包括：
301、 第一节点接收中继设备发送的第一报文， 所述第一报文中包括第 二节点向所述中继设备发送的第二报文中的数据， 所述第二报文中的数据 使用了第二附加认证数据、 所述第一节点和所述第二节点之间的会话密钥 进行了加密， 所述第二附加认证数据是由所述第二节点至少根据所述第二 报文的报文头中的地址信息使用第二规则生成的， 所述第二报文的报文头 中的地址信息指示所述第二报文的接收方是所述中继设备、 发送方是所述 第二节点、 下一接收方是所述第一节点。
具体实现时： 图 4为本发明实施例应用的报文处理系统的一种架构示 意图， 如图 4所示， 假设接入点 AP为第一节点， 站点 STA为第二节点， STA生成第二报文， 其中， 第二报文的报文头 （如图 2所示的 MAC帧头） 中的地址信息中的各地址顺序为： A1为 Relay的地址， 发送地址 A2兼源 地址为 STA的地址， 下一个接收方的地址 A3为 AP的地址。 STA至少才艮据 第二报文的报文头中的地址信息使用第二规则生成第二附加认证数据 AAD, 之后 , STA利用第二 AAD以及 STA和 AP之间的会话密钥对第二 报文中的数据进行加密， 并将加密后的第二报文发送给 Relay。
Relay接收到 STA发送的第二报文之后， 可以重新组装以得到第一报 文， 具体可以为： 填充第一报文的报文头（MAC帧头） 中的地址信息， 即 接收地址 A1兼目的地址为 AP的地址， 发送地址 A2为 Relay的地址， 源 地址 A3为 STA的地址；将第二报文中的加密数据填充在第一报文中的 Data 部分中。 所述第一报文也可以是在所述第二报文上进行简单的地址信息更 新后得到的。本实施例中， Relay不需要对 STA发送的第二报文进行解密处 理， 可以直接将第二报文中的加密数据填充在第一报文中的 Data部分中， 之后， Relay将第一报文发送给 AP。
可选地， 上述 STA发送给 Relay的第二报文中还可以包括中继消息认 证信息， 所述中继消息认证信息可以是由 STA使用 STA和 Relay之间的消 息认证密钥生成的，用以 Relay接收到所述第二报文之后，使用所述消息认 证密钥验证所述中继消息认证信息， 若验证通过则向 AP发送第二报文。
302、 第一节点至少根据所述第一报文的报文头中的地址信息使用第一 规则生成第一附加认证数据， 所述第一报文的报文头中包含的地址信息指 示所述第一报文的接收方是所述第一节点、 发送方是所述中继设备、 上一 发送方是所述第二节点， 其中， 所述第一附加认证数据与所述第二附加认 证数据相同。
需要说明的是， 本发明实施例的应用场景是中继设备在第一节点和第 二节点之间转发报文， 因此， 当 AP接收到第一报文之后， 需要根据第一报 文的报文头中的地址信息， 假设发送地址 A2为 Relay的地址， 则可以确定 该第一报文是 Relay转发的； 或者， 当 AP接收第一报文之后， 假设第一报 文的报文头中携带有 Relay发送的标志位，例如标志位为 1时，表示该第一 报文是 Relay发送的， 0表示该第一报文不是 Relay发送的， 具体实现时， Relay发送的标志位可以利用 MAC帧头的帧控制 （英文： Frame Control, 简称 FC ) 中保留的比特（bit )位来标识。
由于报文每一次被 Relay转发时， 报文头中的各地址的顺序必然改变， 因此， AP在接收到 Relay发送的第一报文中的各地址顺序与 STA在发送给 Relay的第二报文中的各地址顺序是不同的。 为了能够实现 Relay不需要对 STA发送的第二报文中的加密数据进行解密处理，并且 AP能够将 Relay发 送的第一报文中包含的来自 STA 的第二报文中的加密数据进行解密， AP 根据第一报文的报文头中的各地址信息使用第一规则生成的第一附加认证 数据必须与 STA根据第二报文的报文头中的各地址信息使用第二规则生成 的第二附加认证数据是相同的。 具体实现时：
若所述第一规则是第一附加认证数据中的各地址顺序与所述第一报文 的报文头中的各地址顺序相同， 则所述第二规则是第二附加认证数据中的 各地址顺序与所述第二报文的报文头中的各地址顺序不同， 使得根据所述 第二规则生成的第二附加认证数据中各地址顺序和根据第一规则生成的所 述第一附加认证数据中各地址顺序相同； 或
若所述第一规则是第一附加认证数据中的各地址顺序与所述第一报文 的报文头中的各地址顺序不同， 则所述第二规则是第二附加认证数据中的 各地址顺序与所述第二报文的报文头中的各地址顺序相同， 使得根据所述 第二规则生成的第二附加认证数据中各地址顺序和根据第一规则生成的所 述第一附加认证数据中各地址顺序相同。
如图 4所示， 假设第二节点 STA根据第二报文的报文头中的地址信息 使用第二规则生成第二附加认证数据， 该第二规则是第二附加认证数据中 的各地址顺序与所述第二报文的报文头中的各地址顺序相同， 则第一节点 AP根据第一报文的报文头中的地址信息使用第一规则生成第一附加认证 数据时， 该第一规则是第一附加认证数据中的各地址顺序与所述第一报文 的报文头中的各地址顺序不同， 使得所述第二节点 STA根据第二报文的报 文头中的地址信息使用所述第二规则生成的第二附加认证数据中各地址顺 序和第一节点 AP根据第一报文的报文头中的地址信息使用所述第一规则 生成的第一附加认证数据中各地址顺序相同。
具体实现时， 例如， 第一节点 AP中可以预设有地址映射表， 其中， 地 址映射表中设置有 Relay发送的第一报文的报文头中的各地址在 AP生成的 AAD中的各地址字段的位置的映射关系；
其中， 表 1为本发明实施例预设的地址映射表， 如表 1所示， 下行表 示 AP通过 Relay向 STA发送报文，上行表示 STA通过 Relay向 AP发送报 文； 为了实现 AP正确的解密 Relay发送的第一报文中包含的来自 STA的 第二报文中的加密数据， AP生成的 AAD中的各地址顺序需要与 STA生成 的 AAD中的各地址顺序一致。 表 1 : AP的 AAD中 AP的 AAD中 AP的 AAD中 AP的 AAD中 的第一个地 的第二个地 的第三个地 的第四个地 方向 ^\址字段 址字段 址字段 址字段 下行 AP 发 给 AP 发 给 AP 发 给
Relay 的报文 Relay 的报文 Relay 的报文 中的 A3 中的 A1 中的 A2
上行 Relay 发 给 Relay 发 给 Relay 发 给
AP 的报文中 AP 的报文中 AP 的报文中 的 A2 的 A3 的 A1 需要说明的是， 可选的， AP的 AAD中可以有第四个地址字段， 在表 1中未具体示出有第四个地址字段时的内容。 基于上述第一节点 AP确定第 一报文是 Relay发送的基础上， AP获取第一报文的报文头中的地址信息， 具体为： 接收地址 A1兼目的地址为 AP的地址， 发送地址 A2为 Relay的 地址， 源地址 A3为 STA的地址； 查询表 1所示的地址映射表， 得到与上 文的报文头中的接收地址 Al ( AP的地址）对应映射地址中的 A3 , 第一报 文的报文头中的发送地址 A2 ( Relay的地址）对应映射地址中的 A1, 第一 报文的报文头中的源地址 A3 ( STA的地址 )对应映射地址中的 A2;
之后， AP根据第一报文的报文头中的地址信息使用的第一规则生成对 应的附加认证数据时， 具体可以为： AP根据第一报文的报文头中的各地址 顺序对应的映射地址顺序， 分别将各映射地址填入生成附加认证数据的 MAC帧头中对应的 Al、 A2和 A3的位置， 也就是说， 将 Relay的地址填 入 A1位置， 将 STA的地址填入 A2位置， 将 AP的地址填入 A3位置， 生 成第一附加认证数据，第一附加认证数据中各地址顺序为 Relay的地址、 STA 的地址、 AP的地址。 这种情况下， 第一节点 AP根据第一报文头中的地址 信息使用第一规则生成对应的第一附加认证数据时， 该第一规则是所述第 一附加认证数据中的各地址顺序与所述第一报文头中的各地址顺序不同， 则， 第二规则是所述第二附加认证数据中的各地址顺序与所述第二报文头 中的各地址顺序相同， 由于第二报文头中的地址信息中的各地址顺序为： Al为 Relay的地址， 发送地址 A2兼源地址为 STA的地址， 下一个接收节 点的地址 A3为 AP的地址，则第二节点 STA根据第二报文头中的地址信息 使用第二规则生成对应的第二附加认证数据中各地址顺序为 Relay的地址、
STA的地址、 AP的地址。 从而 AP生成的第一 AAD中各地址顺序与 STA 生成的第二 AAD中各地址顺序相同， 进而可以实现 AP正确的解密 Relay 发送的第一报文中包含的来自 STA的第二报文中的加密数据。
需要说明的是， 如图 4所示， 假设第二节点 STA根据第二报文的报文 头中的地址信息使用第二规则生成第二附加认证数据， 该第二规则是第二 附加认证数据中的各地址顺序与所述第二报文的报文头中的各地址顺序不 同，则第一节点 AP根据第一报文的报文头中的地址信息使用第一规则生成 第一附加认证数据时， 该第一规则是第一附加认证数据中的各地址顺序与 所述第一报文的报文头中的各地址顺序相同， 使得所述第二节点 STA根据 第二报文的报文头中的地址信息使用所述第二规则生成的第二附加认证数 据中各地址顺序和第一节点 AP根据第一报文的报文头中的地址信息使用 所述第一规则生成的第一附加认证数据中各地址顺序相同。 具体实现时， 例如， 第二节点 STA中可以预设有地址映射表， 其中， 地址映射表中可以 设置有 Relay发送的第一报文的报文头中的各地址在第二节点 STA生成的 AAD中的各地址字段的位置的映射关系， 映射原理不再赘述。
303、 第一节点使用根据所述第一规则生成的第一附加认证数据、 所述 第一节点和所述第二节点之间的会话密钥对所述第一报文中的数据进行解 密。
具体实现时， 可以按照 CCMP算法， 第一节点使用第一附加认证数据、 第一报文中的 CCMP头中的包序号信息、 以及第一节点和第二节点之间的 会话密钥等进行一系列运算产生密钥链的第一密钥值， 再将这个第一密钥 值经过一个固定公式的计算生成第二密钥值， 再将第二密钥值经过所述固 定公式的计算生成第三密钥值， 依此类推， 这一系列的密钥值就是密钥链。 密钥链中的每个密钥值可以都是 128 比特， 每个密钥值依次与待解密数据 中的 128 比特进行异或运算， 就得到对应的明文数据， 本领域技术人员可 以理解的是， CCMP算法可以是现有技术， 本发明对此不作限定。
需补充说明的是， 附加认证数据中可以只包含地址信息， 也可以还使 用了报文头中的除了地址信息之外的其它信息， 例如帧控制 FC ( Frame Control, 帧控制）字段、 服务质量控制 QC ( Quality of service Control, QoS 控制 )字段、 序列控制 SC ( Sequence Control )字段， 这些字段包含很多指 示信息位， 这些信息位有些在附加认证数据中保持与报文头中相同的值， 有些则在附加认证数据中被设置为固定值。 为了使得所述的第一节点和所 述的第二节点对于它们之间传递的同一数据产生相同的附加认证数据， 那 些在 Relay转发后会发生变化的信息位在生成的附加认证数据中可以被设 为固定值， 例如 FC字段中有两个信息位是 toDS和 fromDS, 分别表示这个 报文是否发送给网絡侧或来自网絡侧， 在 Relay接收 STA发送的报文时， 这两个信息位的值可以是 " 10" , 而 Relay向 AP发送报文时， 这两个信息 位的值可以是 "11" , 因此， 无论是 STA还是 AP在产生附加认证数据时， 都将在附加认证数据中的这两个信息位设为固定值， 例如 "11"。 附加认证 数据中这些信息位设为固定值并不表示特定含义， 仅仅是为了 STA和 AP 得到相同的附加认证数据。
还需补充说明的是， CCMP算法中还可以根据报文头中的 A2地址生成 现场值 (英文： Nonce), 将该现场值参与加密计算过程， 因此， 第一节点接 收第一报文后需生成相同的现场值才能正确解密。 如图 4所示， Relay发送 给 AP的第一报文中的 A2是与 Relay接收的来自 STA的第二报文中的 A2 是不同的， 为了让 AP与 STA使用相同的现场值， 例如在上行的情形下， 需要 AP根据表 1所示的地址映射关系， 确定 Relay发送给 AP的第一报文 的报文头中地址 A3与 STA发送给 Relay的第二报文中的 A2是相同的， 因 此， AP可以根据第一报文头中地址 A3来产生现场值， 这样 AP产生的现 场值就和 STA产生的现场值相同。
本发明实施例通过第一节点接收中继设备发送的第一报文， 其中， 第 一报文中包括第二节点向所述中继设备发送的第二报文中的数据， 所述第 二报文中的数据使用第二附加认证数据、 第一节点和第二节点之间的会话 密钥进行加密， 所述第二附加认证数据由所述第二节点使用第二规则至少 根据所述第二报文的报文头中的地址信息生成的； 第一节点至少根据第一 报文中的地址信息使用第一规则生成第一附加认证数据， 其中， 第一节点 根据第一规则生成的第一附加认证数据中各地址顺序与第二节点根据第二 规则生成的第二附加认证数据中各地址顺序是相同的， 进一步地， 第一节 点利用第一附加认证数据以及第一节点和第二节点之间的会话密钥解密第 一报文中的数据。 从而当中继设备接收到第二节点发送的第二报文时， 不 需要对第二报文先进行解密然后再加密后发送第一报文给第一节点， 节省 了中继设备处理报文的时间， 增加了信道利用率， 减小了中继设备的额外 耗能。
图 5 为本发明另一实施例提供的报文处理方法的流程示意图； 应用于 中继设备在第一节点和第二节点之间转发报文的场景， 如图 5 所示， 报文 处理方法具体包括：
501、 第二节点生成第二报文， 所述第二报文的报文头中的地址信息指 示所述第二报文的接收方是所述中继设备、 发送方是所述第二节点、 下一 接收方是所述第一节点。
具体实现时， 如图 4所示， 4叚设第二节点为 AP, 第一节点为 STA, 当 AP需要发送一个加密数据到 STA时， AP可以生成第二报文， 在第二报文 的报文头中填入各地址信息， 接收地址 A1为 Relay的地址， 发送地址 A2 兼源地址为 AP的地址， 目的地址 A3为 STA的地址； 将待发送的数据填入 到第二报文的 Data部分。
502、 第二节点至少根据所述第二报文的报文头中的地址信息使用第二 规则生成第二附加认证数据， 使用所述第二附加认证数据、 所述第一节点 和所述第二节点之间的会话密钥对所述第二报文中的数据进行加密；
具体实现时， AP在发送第二报文之前， AP需要生成第二附加认证数 据， 本实施例中， AP至少根据第二报文中的地址信息使用第二规则生成第 二附加认证数据， 其中， 第二规则可以是第二附加认证数据中的各地址顺 序与所述第二报文的报文头中的各地址顺序相同； 或第二规则也可以是第 二附加认证数据中的各地址顺序与所述第二报文的报文头中的各地址顺序 不同。
之后， AP使用第二附加认证数据、 所述第一节点和所述第二节点之间 的会话密钥对所述第二报文中的数据进行加密， 具体实现时， 可以按照 CCMP算法， AP使用第二附加认证数据、第二报文中的 CCMP头中的包序 号信息、 以及 AP和 STA之间的会话密钥等进行一系列运算产生密钥链的 第一密钥值， 再将这个第一密钥值经过一个固定公式的计算生成第二密钥 值， 再将第二密钥值经过所述固定公式的计算生成第三密钥值， 依此类推， 这一系列的密钥值就是密钥链。 密钥链中的每个密钥值可以都是 128比特， 每个密钥值依次与待加密数据中的 128 比特进行异或运算， 就可以得到对 应的密文数据。
503、 第二节点将所述加密后的第二报文发送给所述中继设备， 以使所 述中继设备接收到所述第二报文后向所述第一节点发送第一报文， 所述第 一报文中包含所述第二报文中的数据， 所述第一报文的报文头中包含的地 址信息指示所述第一报文的接收方是所述第一节点、 发送方是所述中继设 备、 上一发送方是所述第二节点， 使得所述第一节点接收到所述第一报文 后至少根据所述第一报文的报文头中的地址信息使用第一规则生成第一附 加认证数据， 使用所述第一附加认证数据、 所述第一节点和所述第二节点 之间的会话密钥对所述第一报文中的数据进行解密， 其中， 所述第一附加 认证数据与所述第二附加认证数据相同。
本实施例中， 如图 4所示， 当 Relay接收到 AP发送的第二报文之后， 不需要对第二报文中的加密数据进行解密， Relay可以重新组装以得到第一 报文， 具体地可以为， 将第二报文中的加密数据填充到第一报文的 Data部 分， 将第一报文的报文头的地址信息填充为： 接收地址 A1 兼目的地址为 STA的地址， 发送地址 A2为 Relay的地址， 源地址 A3为 AP的地址。 所 述第一报文也可以是在所述第二报文上进行简单的地址信息更新后得到 的。 之后， Realy将第一报文发送给 STA。
为了使得 STA能够正确解密出第一报文中包含的来自 AP的第二报文 中的加密数据， STA根据第一报文中的地址信息使用第一规则生成的第一 附加认证数据必须与 AP根据第二报文的报文头中的地址信息使用第二规 则生成第二附加认证数据是相同的， 可以包括， STA使用第一规则生成的 第一附加认证数据中的各地址顺序必须与 AP使用第二规则生成的第二附 加认证数据中的各地址顺序相同。 具体实现时可以为：
若 AP使用的第二规则是第二附加认证数据中的各地址顺序与所述第 二报文的报文头中的各地址顺序相同， 则 STA使用的第一规则是第一附加 认证数据中的各地址顺序与所述第一报文的报文头中的各地址顺序不同， 使得 STA根据使用所述第一规则生成的第一附加认证数据中各地址顺序和 AP根据使用所述第二规则生成的第二附加认证数据中各地址顺序相同； 或 若 AP使用的第二规则是第二附加认证数据中的各地址顺序与所述第 二报文的报文头中的各地址顺序不同， 则 STA使用的第一规则是第一附加 认证数据中的各地址顺序与所述第一报文的报文头中的各地址顺序相同， 使得 STA使用所述第一规则生成的第一附加认证数据中各地址顺序和 AP 使用所述第二规则生成的第二附加认证数据中各地址顺序相同。
进一步地， 在本发明的一个可选实施方式中， AP生成的第二报文中还 可以包括中继消息认证信息， 所述中继消息认证信息由 AP使用 Relay和 AP之间的消息认证密钥生成， 以便 Relay接收到 AP发送的第二报文之后， 使用所述消息认证密钥验证所述中继消息认证信息， 若验证通过则向 STA 发送第一报文。其中， 上述中继消息认证信息可以是 AP对所述第二报文的 FCS 字段使用所述消息认证密钥进行加密或哈希运算得到的。 在具体实现 时可以为：
例如图 4所示， AP发送第二报文给 Relay之前， 可以与 Relay协商一 个中继消息认证密钥，该中继消息认证密钥用于对 AP发送给 Relay的第二 报文进行简单的消息认证， 通常， AP可以使用该 AP与 Relay之间协商好 的中继消息认证密钥对待发送的第二报文中的 FCS 字段进行加密或哈希 ( hash )运算， 将加密或哈希后的 FCS作为中继消息认证信息代替原有的 FCS字段， 本实施例中， 为了说明的方便， 可以将哈希后的 FCS称为中继 认证字段 R-Auth。 Relay接收到 AP发送的第二报文之后， 使用所述中继消 息认证密钥验证所述中继消息认证信息， 验证第二报文中携带的中继认证 字段 R-Auth, 具体验证方法可以是采用 AP产生 R-Auth相同的过程产生 R-Auth' , 然后比较 R-Auth，和报文中的 R-Auth, 若两者相等， 则验证成功， 否则验证失败。 Relay在验证 R-Auth成功的基础上， 将该第二报文中的加 密数据组装到第一报文中并发送给 STA; 可选地， 若 Relay验证 R-Auth不 成功， Relay可以直接丟弃第二报文。
本发明实施例通过第二节点根据第二报文中的地址信息使用第二规则 生成第二附加认证数据， 利用第二附加认证数据、 第一节点与第二节点之 间的会话密钥对第二报文中的数据进行加密后， 将第二报文发送给中继设 备， 使得中继设备不需要对第二报文中的加密数据进行解密， 而是将第二 报文中的加密数据直接携带在第一报文中发送给第一节点， 以使第一节点 根据第一报文中的地址信息使用第一规则生成第一附加认证数据， 其中， 使用第一规则生成第一附加认证数据与使用第二规则生成第二附加认证数 据是相同的， 第一节点利用第一附加认证数据、 第一节点和第二节点之间 的会话密钥对第一报文中的加密数据进行解密。 从而能够实现中继设备在 转发加密报文的过程中不需要先解密后再加密的过程， 节省了报文处理的 时间， 增加了信道利用率， 减小了中继设备的额外耗能。
图 6为本发明另一实施例提供的报文处理方法的流程示意图； 应用于 中继设备在第一节点和第二节点之间转发报文的场景， 如图 6所示， 报文 处理方法具体包括：
601、 中继设备接收第二节点发送的第二报文， 所述第二报文的报文头 中的地址信息指示所述第二报文的接收方是所述中继设备、 发送方是所述 第二节点、 下一接收方是第一节点， 所述第二报文中的数据使用了第二附 加认证数据、 所述第一节点和第二节点之间的会话密钥进行了加密， 所述 第二附加认证数据由所述第二节点至少根据所述第二报文的报文头中的地 址信息使用第二规则生成。
602、 中继设备向所述第一节点发送第一报文， 所述第一报文中包含所 述第二报文中的数据， 所述第一报文的报文头中包含的地址信息指示所述 第一报文的接收方是所述第一节点、 发送方是所述中继设备、 上一发送方 是所述第二节点， 以使所述第一节点至少根据所述第一报文的报文头中的 地址信息使用第一规则生成第一附加认证数据， 并使用所述第一附加认证 数据、 所述第一节点和所述第二节点之间的会话密钥对所述第一报文中的 数据进行解密， 其中， 所述第一附加认证数据与所述第二附加认证数据相 同。
本实施例中， 中继设备在接收到第二节点发送的第二报文之后， 不需 要将第二报文中的加密数据进行解密， 可以直接将所述加密数据填充到第 一报文的 Data部分，将第一报文的报文头的地址信息填充为：接收地址 A1 兼目的地址为第一节点的地址， 发送地址 A2 为中继设备的地址， 源地址 A3为第二节点的地址； 之后， 中继设备将第一报文发送给第一节点。
其中， 所述第一规则是所述第一附加认证数据中的各地址顺序与所述 第一报文的报文头中的各地址顺序相同， 所述第二规则是所述第二附加认 证数据中的各地址顺序与所述第二报文的报文头中的各地址顺序不同， 使 得所述第二附加认证数据中各地址顺序和所述第一附加认证数据中各地址 顺序相同； 或
所述第一规则是所述第一附加认证数据中的各地址顺序与所述第一报 文的报文头中的各地址顺序不同， 所述第二规则是所述第二附加认证数据 中的各地址顺序与所述第二报文的报文头中的各地址顺序相同， 使得所述 第二附加认证数据中各地址顺序和所述第一附加认证数据中各地址顺序相 同。
进一步地， 所述第二附加认证数据中的各地址顺序和所述第一附加认 证数据中的各地址顺序相同。
其中， 所述第一节点为站点， 所述第二节点为接入点； 或， 所述第一 节点为接入点， 所述第二节点为站点。
进一步地， 在本发明的一个实施方式中， 所述中继设备接收第二节点 发送的第二报文中还可以包括中继消息认证信息， 所述中继消息认证信息 由所述第二节点使用所述中继设备和所述第二节点之间的消息认证密钥生 成， 以便所述中继设备接收到所述第二报文之后， 使用所述消息认证密钥 验证所述中继消息认证信息， 若验证通过则向所述第一节点发送所述第 ― 报文。 其中， 上述中继消息认证信息由第二节点使用所述中继设备和所述 第一节点之间的消息认证密钥生成， 在具体实现时， 可以是第二节点对所 述第二报文的 FCS字段使用所述消息认证密钥进行加密或哈希运算得到上 述中继消息认证信息。 具体可参考前述相关部分的描述， 此处不再赘述。
本发明实施例的中继设备在接收到第二节点发送的第二报文时， 不需 要中继设备对第二报文中的加密数据先解密后加密的过程， 可以直接将该 加密数据重新组装到第一报文中， 节省了中继设备处理报文的时间， 增加 了信道利用率， 减小了中继设备的额外耗能。
图 7为本发明一实施例提供的报文处理装置的结构示意图； 位于第一 节点侧， 应用于中继设备在第一节点和第二节点之间转发报文的场景， 如 图 7所示， 包括：
接收模块 71 , 用于接收中继设备发送的第一报文， 所述第一报文中包 括第二节点向所述中继设备发送的第二报文中的数据， 所述第二报文中的 数据使用了第二附加认证数据、 所述第一节点和所述第二节点之间的会话 密钥进行了加密， 所述第二附加认证数据是由所述第二节点至少根据所述 第二报文的报文头中的地址信息使用第二规则生成的， 所述第二报文的报 文头中的地址信息指示所述第二报文的接收方是所述中继设备、 发送方是 所述第二节点、 下一接收方是所述第一节点； 解密模块 72, 用于至少根据所述第一报文的报文头中的地址信息使用 第一规则生成第一附加认证数据， 所述第一报文的报文头中包含的地址信 息指示所述第一报文的接收方是所述第一节点、 发送方是所述中继设备、 上一发送方是所述另一第二节点， 其中， 所述使用所述第一规则生成的附 加认证数据与所述使用所述第二规则生成的附加认证数据相同； 使用所述 第一附加认证数据、 所述第一节点和所述另一第二节点之间的会话密钥对 所述第一报文中的数据进行解密， 其中， 所述第一附加认证数据与所述第 二附加认证数据相同。
其中， 所述第一规则是所述第一附加认证数据中的各地址顺序与所述 第一报文的报文头中的各地址顺序相同， 所述第二规则是所述第二附加认 证数据中的各地址顺序与所述第二报文的报文头中的各地址顺序不同， 使 得所述第二附加认证数据中各地址顺序和所述第一附加认证数据中各地址 顺序相同； 或
所述第一规则是所述第一附加认证数据中的各地址顺序与所述第一报 文的报文头中的各地址顺序不同， 所述第二规则是所述第二附加认证数据 中的各地址顺序与所述第二报文的报文头中的各地址顺序相同， 使得所述 第二附加认证数据中各地址顺序和所述第一附加认证数据中各地址顺序相 同。
进一步地， 所述第二附加认证数据中的各地址顺序和所述第一附加认 证数据中的各地址顺序相同。
进一步可选的， 所述第二报文中还可以包括中继消息认证信息， 所述 中继消息认证信息由所述另一节点使用所述中继设备和所述另一节点之间 的消息认证密钥生成， 用以所述中继设备接收到所述第二报文之后， 使用 所述消息认证密钥验证所述中继消息认证信息， 若验证通过则向所述节点 发送所述第一报文。
其中， 所述第一节点为站点， 所述第二节点为接入点； 或， 所述第一 节点为接入点， 所述第二节点为站点。
本发明实施例通过第一节点接收中继设备发送的第一报文， 其中， 第 一报文中包括第二节点向所述中继设备发送的第二报文中的数据， 所述第 二报文中的数据使用第二附加认证数据、 第一节点和第二节点之间的会话 密钥进行加密， 所述第二附加认证数据由所述第二节点使用第二规则至少 根据所述第二报文的报文头中的地址信息生成的； 第一节点至少根据第一 报文中的地址信息使用第一规则生成第一附加认证数据， 其中， 第一节点 根据第一规则生成的第一附加认证数据中各地址顺序与第二节点根据第二 规则生成的第二附加认证数据中各地址顺序是相同的， 进一步地， 第一节 点利用第一附加认证数据以及第一节点和第二节点之间的会话密钥解密第 一报文中的数据。 从而当中继设备接收到第二节点发送的第二报文时， 不 需要对第二报文先进行解密然后再加密后发送第一报文给第一节点， 节省 了中继设备处理报文的时间， 增加了信道利用率， 减小了中继设备的额外 耗能。
图 8为本发明另一实施例提供的报文处理装置的结构示意图； 位于第 二节点侧， 应用于中继设备在所述第二节点和第一节点之间转发报文的场 景， 包括：
报文生成模块 81 , 用于生成第二报文， 所述第二报文的报文头中的地 址信息指示所述第二报文的接收方是所述中继设备、 发送方是所述节点、 下一接收方是所述另一节点；
加密模块 82 , 用于至少根据所述第二报文的报文头中的地址信息使用 第二规则生成第二附加认证数据， 使用所述第二附加认证数据、 所述第一 节点和所述第二节点之间的会话密钥对所述第二报文中的数据进行加密； 发送模块 83 , 用于将所述加密后的第二报文发送给所述中继设备， 以 使所述中继设备接收到所述第二报文后向所述第一节点发送第一报文， 所 述第一报文中包含所述第二报文中的数据， 所述第一报文的报文头中包含 的地址信息指示所述第一报文的接收方是所述第一节点、 发送方是所述中 继设备、 上一发送方是所述第二节点， 使得所述第一节点接收到所述第一 报文后至少根据所述第一报文的报文头中的地址信息使用第一规则生成第 一附加认证数据， 使用所述第一附加认证数据、 所述第一节点和所述第二 节点之间的会话密钥对所述第一报文中的数据进行解密， 其中， 所述第一 附加认证数据与所述第二附加认证数据相同。
其中， 所述第一规则是所述第一附加认证数据中的各地址顺序与所述 第一报文的报文头中的各地址顺序相同， 所述第二规则是所述第二附加认 证数据中的各地址顺序与所述第二报文的报文头中的各地址顺序不同， 使 得所述第二附加认证数据中各地址顺序和所述第一附加认证数据中各地址 顺序相同； 或
所述第一规则是所述第一附加认证数据中的各地址顺序与所述第一报 文的报文头中的各地址顺序不同， 所述第二规则是所述第二附加认证数据 中的各地址顺序与所述第二报文的报文头中的各地址顺序相同， 使得所述 第二附加认证数据中各地址顺序和所述第一附加认证数据中各地址顺序相 同。
进一步地， 所述第二附加认证数据中的各地址顺序和所述第一附加认 证数据中的各地址顺序相同。
进一步可选的， 所述第二报文中还包括中继消息认证信息， 所述中继 消息认证信息由所述节点使用所述中继设备和所述节点之间的消息认证密 钥生成， 用以所述中继设备接收到所述第二报文之后， 使用所述消息认证 密钥验证所述中继消息认证信息， 若验证通过则向所述另一节点发送所述 第一报文。
其中， 所述第二节点为站点， 所述第一节点为接入点； 或， 所述第二 节点为接入点， 所述第一节点为站点。
本发明实施例通过第二节点根据第二报文中的地址信息使用第二规则 生成第二附加认证数据， 利用第二附加认证数据、 第一节点与第二节点之 间的会话密钥对第二报文中的数据进行加密后， 将第二报文发送给中继设 备， 使得中继设备不需要对第二报文中的加密数据进行解密， 而是将第二 报文中的加密数据直接携带在第一报文中发送给第一节点， 以使第一节点 根据第一报文中的地址信息使用第一规则生成第一附加认证数据， 其中， 使用第一规则生成第一附加认证数据与使用第二规则生成第二附加认证数 据是相同的， 第一节点利用第一附加认证数据、 第一节点和第二节点之间 的会话密钥对第一报文中的加密数据进行解密。 从而能够实现中继设备在 转发加密报文的过程中不需要先解密后再加密的过程， 节省了报文处理的 时间， 增加了信道利用率， 减小了中继设备的额外耗能。
图 9为本发明另一实施例提供的报文处理装置的结构示意图； 位于中 继设备侧， 应用于中继设备在所述第二节点和第一节点之间转发报文的场 景， 包括：
接收模块 91 , 用于接收第二节点发送的第二报文， 所述第二报文的报 文头中的地址信息指示所述第二报文的接收方是所述中继设备、 发送方是 所述第二节点、 下一接收方是第一节点， 所述第二报文中的数据使用了第 二附加认证数据、 所述第一节点和第二节点之间的会话密钥进行了加密， 所述第二附加认证数据由所述第二节点至少根据所述第二报文的报文头中 的地址信息使用第二规则生成；
发送模块 92, 用于向所述第一节点发送第一报文， 所述第一报文中包 含所述第二报文中的数据， 所述第一报文的报文头中包含的地址信息指示 所述第一报文的接收方是所述第一节点、 发送方是所述中继设备、 上一发 送方是所述第二节点， 以使所述第一节点至少根据所述第一报文的报文头 中的地址信息使用第一规则生成第一附加认证数据， 并使用所述第一附加 认证数据、 所述第一节点和所述第二节点之间的会话密钥对所述第一报文 中的数据进行解密， 其中， 所述第一附加认证数据与所述第二附加认证数 据相同。
其中， 所述第一规则是所述第一附加认证数据中的各地址顺序与所述 第一报文的报文头中的各地址顺序相同， 所述第二规则是所述第二附加认 证数据中的各地址顺序与所述第二报文的报文头中的各地址顺序不同， 使 得所述第二附加认证数据中各地址顺序和所述第一附加认证数据中各地址 顺序相同； 或
所述第一规则是所述第一附加认证数据中的各地址顺序与所述第一报 文的报文头中的各地址顺序不同， 所述第二规则是所述第二附加认证数据 中的各地址顺序与所述第二报文的报文头中的各地址顺序相同， 使得所述 第二附加认证数据中各地址顺序和所述第一附加认证数据中各地址顺序相 同。
进一步地， 所述第二附加认证数据中的各地址顺序和所述第一附加认 证数据中的各地址顺序相同。
进一步可选的， 所述第二报文中还可以包括中继消息认证信息， 所述 中继消息认证信息由所述第二节点使用所述中继设备和所述第二节点之间 的消息认证密钥生成， 用以所述中继设备接收到所述第二报文之后， 使用 所述消息认证密钥验证所述中继消息认证信息， 若验证通过则向所述第 ― 节点发送所述第一报文。
其中， 所述第一节点为站点， 第二节点为接入点； 或， 所述第一节点 为接入点， 所述第二节点为站点。 本发明实施例的中继设备在接收到第二节点发送的第二报文时， 不需 要中继设备对第二报文中的加密数据先解密后加密的过程， 可以直接将该 加密数据重新组装到第一报文中， 节省了中继设备处理报文的时间， 增加 了信道利用率， 减小了中继设备的额外耗能。
图 10为本发明另一实施例提供的报文处理装置的结构示意图； 位于第 一节点侧， 应用于中继设备在第一节点和第二节点之间转发报文的场景， 本实施例的报文处理装置具体可以为接入点或者站点， 如图 10所示， 第一 节点包括： 处理器、 存储器和通信总线， 其中， 处理器和存储器通过通信 总线连接， 存储器中保存有用于中继设备在第一节点和第二节点之间转发 报文的场景时的报文处理方法的实现指令； 进一步地， 第一节点还包括通 信接口， 通过通信接口与其他网元设备（例如中继设备）通信。
当处理器调取存储器中的指令时， 可以执行如下步骤：
接收中继设备发送的第一报文， 所述第一报文中包括第二节点向所述 中继设备发送的第二报文中的数据， 所述第二报文中的数据使用了第二附 加认证数据、 所述第一节点和所述第二节点之间的会话密钥进行了加密， 所述第二附加认证数据是由所述第二节点至少根据所述第二报文的报文头 中的地址信息使用第二规则生成的， 所述第二报文的报文头中的地址信息 指示所述第二报文的接收方是所述中继设备、 发送方是所述第二节点、 下 一接收方是所述第一节点；
至少根据所述第一报文的报文头中的地址信息使用第一规则生成第一 附加认证数据， 所述第一报文的报文头中包含的地址信息指示所述第一报 文的接收方是所述第一节点、 发送方是所述中继设备、 上一发送方是所述 另一第二节点， 其中， 所述使用所述第一规则生成的附加认证数据与所述 使用所述第二规则生成的附加认证数据相同； 使用所述第一附加认证数据、 所述第一节点和所述另一第二节点之间的会话密钥对所述第一报文中的数 据进行解密， 其中， 所述第一附加认证数据与所述第二附加认证数据相同。
其中， 所述第一规则是所述第一附加认证数据中的各地址顺序与所述 第一报文的报文头中的各地址顺序相同， 所述第二规则是所述第二附加认 证数据中的各地址顺序与所述第二报文的报文头中的各地址顺序不同， 使 得所述第二附加认证数据中各地址顺序和所述第一附加认证数据中各地址 顺序相同； 或 所述第一规则是所述第一附加认证数据中的各地址顺序与所述第一报 文的报文头中的各地址顺序不同， 所述第二规则是所述第二附加认证数据 中的各地址顺序与所述第二报文的报文头中的各地址顺序相同， 使得所述 第二附加认证数据中各地址顺序和所述第一附加认证数据中各地址顺序相 同。
进一步地， 所述第二附加认证数据中的各地址顺序和所述第一附加认 证数据中的各地址顺序相同。
进一步可选的， 所述第二报文中还可以包括中继消息认证信息， 所述 中继消息认证信息由所述另一节点使用所述中继设备和所述另一节点之间 的消息认证密钥生成， 用以所述中继设备接收到所述第二报文之后， 使用 所述消息认证密钥验证所述中继消息认证信息， 若验证通过则向所述节点 发送所述第一报文。
其中， 所述第一节点为站点， 所述第二节点为接入点； 或， 所述第一 节点为接入点， 所述第二节点为站点。
本发明实施例通过第一节点接收中继设备发送的第一报文， 其中， 第 一报文中包括第二节点向所述中继设备发送的第二报文中的数据， 所述第 二报文中的数据使用第二附加认证数据、 第一节点和第二节点之间的会话 密钥进行加密， 所述第二附加认证数据由所述第二节点使用第二规则至少 根据所述第二报文的报文头中的地址信息生成的； 第一节点至少根据第一 报文中的地址信息使用第一规则生成第一附加认证数据， 其中， 第一节点 根据第一规则生成的第一附加认证数据中各地址顺序与第二节点根据第二 规则生成的第二附加认证数据中各地址顺序是相同的， 进一步地， 第一节 点利用第一附加认证数据以及第一节点和第二节点之间的会话密钥解密第 一报文中的数据。 从而当中继设备接收到第二节点发送的第二报文时， 不 需要对第二报文先进行解密然后再加密后发送第一报文给第一节点， 节省 了中继设备处理报文的时间， 增加了信道利用率， 减小了中继设备的额外 耗能。
图 11为本发明另一实施例提供的报文处理装置的结构示意图； 位于第 二节点侧， 应用于中继设备在第一节点和第二节点之间转发报文的场景， 具体可以为接入点 AP或站点 STA, 如图 11所示， 第二节点包括： 处理器、 存储器和通信总线， 其中， 处理器和存储器通过通信总线连接， 存储器中 保存有用于中继设备在第一节点和第二节点之间转发报文的场景时的报文 处理方法的实现指令； 进一步地， 第二节点还包括通信接口， 通过通信接 口与其他网元设备（例如中继设备）通信。
当处理器调取存储器中的指令时， 可以执行如下步骤：
生成第二报文， 所述第二报文的报文头中的地址信息指示所述第二报 文的接收方是所述中继设备、 发送方是所述节点、 下一接收方是所述另一 节点；
至少根据所述第二报文的报文头中的地址信息使用第二规则生成第二 附加认证数据， 使用所述第二附加认证数据、 所述第一节点和所述第二节 点之间的会话密钥对所述第二报文中的数据进行加密；
将所述加密后的第二报文发送给所述中继设备， 以使所述中继设备接 收到所述第二报文后向所述第一节点发送第一报文， 所述第一报文中包含 所述第二报文中的数据， 所述第一报文的报文头中包含的地址信息指示所 述第一报文的接收方是所述第一节点、 发送方是所述中继设备、 上一发送 方是所述第二节点， 使得所述第一节点接收到所述第一报文后至少根据所 述第一报文的报文头中的地址信息使用第一规则生成第一附加认证数据， 使用所述第一附加认证数据、 所述第一节点和所述第二节点之间的会话密 钥对所述第一报文中的数据进行解密， 其中， 所述第一附加认证数据与所 述第二附加认证数据相同。
其中， 所述第一规则是所述第一附加认证数据中的各地址顺序与所述 第一报文的报文头中的各地址顺序相同， 所述第二规则是所述第二附加认 证数据中的各地址顺序与所述第二报文的报文头中的各地址顺序不同， 使 得所述第二附加认证数据中各地址顺序和所述第一附加认证数据中各地址 顺序相同； 或
所述第一规则是所述第一附加认证数据中的各地址顺序与所述第一报 文的报文头中的各地址顺序不同， 所述第二规则是所述第二附加认证数据 中的各地址顺序与所述第二报文的报文头中的各地址顺序相同， 使得所述 第二附加认证数据中各地址顺序和所述第一附加认证数据中各地址顺序相 同。
进一步地， 所述第二附加认证数据中的各地址顺序和所述第一附加认 证数据中的各地址顺序相同。 进一步可选的， 所述第二报文中还可以包括中继消息认证信息， 所述 中继消息认证信息由所述节点使用所述中继设备和所述节点之间的消息认 证密钥生成， 用以所述中继设备接收到所述第二报文之后， 使用所述消息 认证密钥验证所述中继消息认证信息， 若验证通过则向所述另一节点发送 所述第一报文。
其中， 所述第二节点为站点， 所述第一节点为接入点； 或， 所述第二 节点为接入点， 所述第一节点为站点。
本发明实施例通过第二节点根据第二报文中的地址信息使用第二规则 生成第二附加认证数据， 利用第二附加认证数据、 第一节点与第二节点之 间的会话密钥对第二报文中的数据进行加密后， 将第二报文发送给中继设 备， 使得中继设备不需要对第二报文中的加密数据进行解密， 而是将第二 报文中的加密数据直接携带在第一报文中发送给第一节点， 以使第一节点 根据第一报文中的地址信息使用第一规则生成第一附加认证数据， 其中， 使用第一规则生成第一附加认证数据与使用第二规则生成第二附加认证数 据是相同的， 第一节点利用第一附加认证数据、 第一节点和第二节点之间 的会话密钥对第一报文中的加密数据进行解密。 从而能够实现中继设备在 转发加密报文的过程中不需要先解密后再加密的过程， 节省了报文处理的 时间， 增加了信道利用率， 减小了中继设备的额外耗能。
图 12为本发明另一实施例提供的报文处理装置的结构示意图； 位于中 继设备侧， 应用于中继设备在第一节点和第二节点之间转发报文的场景， 具体可以为 Relay, 如图 12所示， 中继设备包括： 处理器、 存储器和通信 总线， 其中， 处理器和存储器通过通信总线连接， 存储器中保存有用于中 继设备在第一节点和第二节点之间转发报文的场景时的报文处理方法的实 现指令； 进一步地， 中继设备还包括通信接口， 通过通信接口与其他网元 设备（例如接入点或站点）通信。
当处理器调取存储器中的指令时， 可以执行如下步骤：
接收第二节点发送的第二报文， 所述第二报文的报文头中的地址信息 指示所述第二报文的接收方是所述中继设备、 发送方是所述第二节点、 下 一接收方是第一节点， 所述第二报文中的数据使用了第二附加认证数据、 所述第一节点和第二节点之间的会话密钥进行了加密， 所述第二附加认证 数据由所述第二节点至少根据所述第二报文的报文头中的地址信息使用第 二规则生成；
向所述第一节点发送第一报文， 所述第一报文中包含所述第二报文中 的数据， 所述第一报文的报文头中包含的地址信息指示所述第一报文的接 收方是所述第一节点、 发送方是所述中继设备、 上一发送方是所述第二节 点， 以使所述第一节点至少根据所述第一报文的报文头中的地址信息使用 第一规则生成第一附加认证数据， 并使用所述第一附加认证数据、 所述第 一节点和所述第二节点之间的会话密钥对所述第一报文中的数据进行解 密， 其中， 所述第一附加认证数据与所述第二附加认证数据相同。
其中， 所述第一规则是所述第一附加认证数据中的各地址顺序与所述 第一报文的报文头中的各地址顺序相同， 所述第二规则是所述第二附加认 证数据中的各地址顺序与所述第二报文的报文头中的各地址顺序不同， 使 得所述第二附加认证数据中各地址顺序和所述第一附加认证数据中各地址 顺序相同； 或
所述第一规则是所述第一附加认证数据中的各地址顺序与所述第一报 文的报文头中的各地址顺序不同， 所述第二规则是所述第二附加认证数据 中的各地址顺序与所述第二报文的报文头中的各地址顺序相同， 使得所述 第二附加认证数据中各地址顺序和所述第一附加认证数据中各地址顺序相 同。
进一步地， 所述第二附加认证数据中的各地址顺序和所述第一附加认 证数据中的各地址顺序相同。
进一步可选的， 所述第二报文中还可以包括中继消息认证信息， 所述 中继消息认证信息由所述第二节点使用所述中继设备和所述第二节点之间 的消息认证密钥生成， 用以所述中继设备接收到所述第二报文之后， 使用 所述消息认证密钥验证所述中继消息认证信息， 若验证通过则向所述第 ― 节点发送所述第一报文。
其中， 所述第一节点为站点， 第二节点为接入点； 或， 所述第一节点 为接入点， 所述第二节点为站点
本发明实施例的中继设备在接收到第二节点发送的第二报文时， 不需 要中继设备对第二报文中的加密数据先解密后加密的过程， 可以直接将该 加密数据重新组装到第一报文中， 节省了中继设备处理报文的时间， 增加 了信道利用率， 减小了中继设备的额外耗能。 图 13为本发明另一实施例提供的报文处理系统的一种结构示意图， 应 用于中继设备在第一节点和第二节点之间转发报文的场景， 如图 13所示， 所述系统具体包括： 中继设备 11、 第一节点 12和第二节点 13;
其中， 第一节点 12包括上述图 7或图 10所示实施例提供的报文处理 装置， 详细内容参考图 7或图 10所示实施例提供的报文处理装置中的相关 描述；
第二节点 13 包括上述图 8或图 11所示实施例提供的报文处理装置， 详细内容参考图 8或图 11所示实施例提供的报文处理装置中的相关描述； 中继设备 11为上述图 9或图 12所示实施例提供的报文处理装置， 详 细内容参考图 9或图 12所示实施例提供的报文处理装置中的相关描述； 在实际应用， 若第一节点是接入点 AP时， 则第二节点为站点 STA, 或 者若第一节点是站点 STA时， 则第二节点是接入点 AP。
本发明实施例通过第一节点接收中继设备发送的第一报文， 其中， 第 一报文中包括第二节点向所述中继设备发送的第二报文中的数据， 所述第 二报文中的数据使用第二附加认证数据、 第一节点和第二节点之间的会话 密钥进行加密， 所述第二附加认证数据由所述第二节点使用第二规则至少 根据所述第二报文的报文头中的地址信息生成的； 第一节点至少根据第一 报文中的地址信息使用第一规则生成第一附加认证数据， 其中， 第一节点 根据第一规则生成的第一附加认证数据中各地址顺序与第二节点根据第二 规则生成的第二附加认证数据中各地址顺序是相同的， 进一步地， 第一节 点利用第一附加认证数据以及第一节点和第二节点之间的会话密钥解密第 一报文中的数据。 从而当中继设备接收到第二节点发送的第二报文时， 不 需要对第二报文先进行解密然后再加密后发送第一报文给第一节点， 节省 了中继设备处理报文的时间， 增加了信道利用率， 减小了中继设备的额外 耗能。
所属领域的技术人员可以清楚地了解到， 为描述的方便和简洁， 上述 描述的系统， 装置和单元的具体工作过程， 可以参考前述方法实施例中的 对应过程， 在此不再赘述。
在本申请所提供的几个实施例中， 应该理解到， 所揭露的系统， 装置 和方法， 可以通过其它的方式实现。 例如， 以上所描述的装置实施例仅仅 是示意性的， 例如， 所述单元的划分， 仅仅为一种逻辑功能划分， 实际实 现时可以有另外的划分方式， 例如多个单元或组件可以结合或者可以集成 到另一个系统， 或一些特征可以忽略， 或不执行。 另一点， 所显示或讨论 的相互之间的耦合或直接耦合或通信连接可以是通过一些接口， 装置或单 元的间接耦合或通信连接， 可以是电性， 机械或其它的形式。 作为单元显示的部件可以是或者也可以不是物理单元， 即可以位于一个地 方， 或者也可以分布到多个网絡单元上。 可以根据实际的需要选择其中的 部分或者全部单元来实现本实施例方案的目的。
另外， 在本发明各个实施例中的各功能单元可以集成在一个处理单元 中， 也可以是各个单元单独物理存在， 也可以两个或两个以上单元集成在 一个单元中。 上述集成的单元既可以采用硬件的形式实现， 也可以采用硬 件加软件功能单元的形式实现。
上述以软件功能单元的形式实现的集成的单元， 可以存储在一个计算 机可读取存储介质中。 上述软件功能单元存储在一个存储介质中， 包括若 干指令用以使得一台计算机设备（可以是个人计算机， 服务器， 或者网絡 设备等）执行本发明各个实施例所述方法的部分步骤。 而前述的存储介质 包括： U盘、 移动硬盘、 只读存储器 （Read-Only Memory, 简称 ROM )、 随机存取存储器（ Random Access Memory, 简称 RAM )、 磁碟或者光盘等 各种可以存储程序代码的介质。
最后应说明的是： 以上实施例仅用以说明本发明的技术方案， 而非对 其限制； 尽管参照前述实施例对本发明进行了详细的说明， 本领域的普通 技术人员应当理解： 其依然可以对前述各实施例所记载的技术方案进行修 改， 或者对其中部分技术特征进行等同替换； 而这些修改或者替换， 并不 使相应技术方案的本质脱离本发明各实施例技术方案的精神和范围。

Claims

权利要求
1、 一种报文处理方法， 应用于中继设备在第一节点和第二节点之间转 发报文的场景， 其特征在于， 包括：
第一节点接收中继设备发送的第一报文， 所述第一报文中包括第二节 点向所述中继设备发送的第二报文中的数据， 所述第二报文中的数据使用 了第二附加认证数据、 所述第一节点和所述第二节点之间的会话密钥进行 了加密， 所述第二附加认证数据是由所述第二节点至少根据所述第二报文 的报文头中的地址信息使用第二规则生成的， 所述第二报文的报文头中的 地址信息指示所述第二报文的接收方是所述中继设备、 发送方是所述第二 节点、 下一接收方是所述第一节点；
所述第一节点至少根据所述第一报文的报文头中的地址信息使用第一 规则生成第一附加认证数据， 所述第一报文的报文头中包含的地址信息指 示所述第一报文的接收方是所述第一节点、 发送方是所述中继设备、 上一 发送方是所述第二节点， 其中， 所述第一附加认证数据与所述第二附加认 证数据相同；
所述第一节点使用所述第一附加认证数据、 所述第一节点和所述第二 节点之间的会话密钥对所述第一报文中的数据进行解密。
2、 根据权利要求 1所述的方法， 其特征在于， 所述第一规则是所述第 一附加认证数据中的各地址顺序与所述第一报文的报文头中的各地址顺序 相同， 所述第二规则是所述第二附加认证数据中的各地址顺序与所述第二 报文的报文头中的各地址顺序不同， 使得所述第二附加认证数据中各地址 顺序和所述第一附加认证数据中各地址顺序相同； 或
所述第一规则是所述第一附加认证数据中的各地址顺序与所述第一报 文的报文头中的各地址顺序不同， 所述第二规则是所述第二附加认证数据 中的各地址顺序与所述第二报文的报文头中的各地址顺序相同， 使得所述 第二附加认证数据中各地址顺序和所述第一附加认证数据中各地址顺序相 同。
3、 根据权利要求 1或 2所述的方法， 其特征在于， 所述第二附加认证 数据中的各地址顺序和所述第一附加认证数据中的各地址顺序相同。
4、 根据权利要求 1-3任一所述的方法， 其特征在于， 所述第二报文中 还包括中继消息认证信息， 所述中继消息认证信息由所述第二节点使用所 述中继设备和所述第二节点之间的消息认证密钥生成， 用以所述中继设备 接收到所述第二报文之后， 使用所述消息认证密钥验证所述中继消息认证 信息， 若验证通过则向所述第一节点发送所述第一报文。
5、 根据权利要求 1-4任一项所述的方法， 其特征在于， 所述第一节点 为站点， 第二节点为接入点； 或， 所述第一节点为接入点， 所述第二节点 为站点。
6、 一种报文处理方法， 应用于中继设备在第一节点和第二节点之间转 发报文的场景， 其特征在于， 包括：
第二节点生成第二报文， 所述第二报文的报文头中的地址信息指示所 述第二报文的接收方是所述中继设备、 发送方是所述第二节点、 下一接收 方是所述第一节点；
所述第二节点至少根据所述第二报文的报文头中的地址信息使用第二 规则生成第二附加认证数据， 使用所述第二附加认证数据、 所述第一节点 和所述第二节点之间的会话密钥对所述第二报文中的数据进行加密；
所述第二节点将所述加密后的第二报文发送给所述中继设备， 以使所 述中继设备接收到所述第二报文后向所述第一节点发送第一报文， 所述第 一报文中包含所述第二报文中的数据， 所述第一报文的报文头中包含的地 址信息指示所述第一报文的接收方是所述第一节点、 发送方是所述中继设 备、 上一发送方是所述第二节点， 使得所述第一节点接收到所述第一报文 后至少根据所述第一报文的报文头中的地址信息使用第一规则生成第一附 加认证数据， 使用所述第一附加认证数据、 所述第一节点和所述第二节点 之间的会话密钥对所述第一报文中的数据进行解密， 其中， 所述第一附加 认证数据与所述第二附加认证数据相同。
7、 根据权利要求 6所述的方法， 其特征在于， 所述第一规则是所述第 一附加认证数据中的各地址顺序与所述第一报文的报文头中的各地址顺序 相同， 所述第二规则是所述第二附加认证数据中的各地址顺序与所述第二 报文的报文头中的各地址顺序不同， 使得所述第二附加认证数据中各地址 顺序和所述第一附加认证数据中各地址顺序相同； 或
所述第一规则是所述第一附加认证数据中的各地址顺序与所述第一报 文的报文头中的各地址顺序不同， 所述第二规则是所述第二附加认证数据 中的各地址顺序与所述第二报文的报文头中的各地址顺序相同， 使得所述 第二附加认证数据中各地址顺序和所述第一附加认证数据中各地址顺序相 同。
8、 根据权利要求 6或 7所述的方法， 其特征在于， 所述第二附加认证 数据中的各地址顺序和所述第一附加认证数据中的各地址顺序相同。
9、 根据权利要求 6-8任一所述的方法， 其特征在于， 所述第二报文中 还包括中继消息认证信息， 所述中继消息认证信息由所述第二节点使用所 述中继设备和所述第二节点之间的消息认证密钥生成， 用以所述中继设备 接收到所述第二报文之后， 使用所述消息认证密钥验证所述中继消息认证 信息， 若验证通过则向所述第一节点发送所述第一报文。
10、根据权利要求 6-9任一项所述的方法， 其特征在于， 所述第一节点 为站点， 第二节点为接入点； 或， 所述第一节点为接入点， 所述第二节点 为站点。
11、 一种报文处理方法， 应用于中继设备在第一节点和第二节点之间 转发报文的场景， 其特征在于， 包括：
中继设备接收第二节点发送的第二报文， 所述第二报文的报文头中的 地址信息指示所述第二报文的接收方是所述中继设备、 发送方是所述第二 节点、 下一接收方是第一节点， 所述第二报文中的数据使用了第二附加认 证数据、 所述第一节点和第二节点之间的会话密钥进行了加密， 所述第二 附加认证数据由所述第二节点至少根据所述第二报文的报文头中的地址信 息使用第二规则生成；
所述中继设备向所述第一节点发送第一报文， 所述第一报文中包含所 述第二报文中的数据， 所述第一报文的报文头中包含的地址信息指示所述 第一报文的接收方是所述第一节点、 发送方是所述中继设备、 上一发送方 是所述第二节点， 以使所述第一节点至少根据所述第一报文的报文头中的 地址信息使用第一规则生成第一附加认证数据， 并使用所述第一附加认证 数据、 所述第一节点和所述第二节点之间的会话密钥对所述第一报文中的 数据进行解密， 其中， 所述第一附加认证数据与所述第二附加认证数据相 同。
12、 根据权利要求 11所述的方法， 其特征在于， 所述第一规则是所述 第一附加认证数据中的各地址顺序与所述第一报文的报文头中的各地址顺 序相同， 所述第二规则是所述第二附加认证数据中的各地址顺序与所述第 二报文的报文头中的各地址顺序不同， 使得所述第二附加认证数据中各地 址顺序和所述第一附加认证数据中各地址顺序相同； 或
所述第一规则是所述第一附加认证数据中的各地址顺序与所述第一报 文的报文头中的各地址顺序不同， 所述第二规则是所述第二附加认证数据 中的各地址顺序与所述第二报文的报文头中的各地址顺序相同， 使得所述 第二附加认证数据中各地址顺序和所述第一附加认证数据中各地址顺序相 同。
13、 根据权利要求 11或 12所述的方法， 其特征在于， 所述第二附加 认证数据中的各地址顺序和所述第一附加认证数据中的各地址顺序相同。
14、根据权利要求 11-13任一所述的方法， 其特征在于， 所述第二报文 中还包括中继消息认证信息， 所述中继消息认证信息由所述第二节点使用 所述中继设备和所述第二节点之间的消息认证密钥生成， 用以所述中继设 备接收到所述第二报文之后， 使用所述消息认证密钥验证所述中继消息认 证信息， 若验证通过则向所述第一节点发送所述第一报文。
15、根据权利要求 11-14任一项所述的方法， 其特征在于， 所述第一节 点为站点， 第二节点为接入点； 或， 所述第一节点为接入点， 所述第二节 点为 占点。
16、 一种报文处理装置， 位于第一节点侧， 应用于中继设备在所述第 一节点和第二节点之间转发报文的场景， 其特征在于， 包括：
接收模块， 用于接收中继设备发送的第一报文， 所述第一报文中包括 第二节点向所述中继设备发送的第二报文中的数据， 所述第二报文中的数 据使用了第二附加认证数据、 所述第一节点和所述第二节点之间的会话密 钥进行了加密， 所述第二附加认证数据是由所述第二节点至少根据所述第 二报文的报文头中的地址信息使用第二规则生成的， 所述第二报文的报文 头中的地址信息指示所述第二报文的接收方是所述中继设备、 发送方是所 述第二节点、 下一接收方是所述第一节点；
解密模块， 用于至少根据所述第一报文的报文头中的地址信息使用第 一规则生成第一附加认证数据， 所述第一报文的报文头中包含的地址信息 指示所述第一报文的接收方是所述第一节点、 发送方是所述中继设备、 上 一发送方是所述另一第二节点， 其中， 所述使用所述第一规则生成的附加 认证数据与所述使用所述第二规则生成的附加认证数据相同； 使用所述第 一附加认证数据、 所述第一节点和所述另一第二节点之间的会话密钥对所 述第一报文中的数据进行解密， 其中， 所述第一附加认证数据与所述第二 附加认证数据相同。
17、 根据权利要求 16所述的装置， 其特征在于， 所述第一规则是所述 第一附加认证数据中的各地址顺序与所述第一报文的报文头中的各地址顺 序相同， 所述第二规则是所述第二附加认证数据中的各地址顺序与所述第 二报文的报文头中的各地址顺序不同， 使得所述第二附加认证数据中各地 址顺序和所述第一附加认证数据中各地址顺序相同； 或
所述第一规则是所述第一附加认证数据中的各地址顺序与所述第一报 文的报文头中的各地址顺序不同， 所述第二规则是所述第二附加认证数据 中的各地址顺序与所述第二报文的报文头中的各地址顺序相同， 使得所述 第二附加认证数据中各地址顺序和所述第一附加认证数据中各地址顺序相 同。
18、 根据权利要求 16或 17所述的装置， 其特征在于， 所述第二附加 认证数据中的各地址顺序和所述第一附加认证数据中的各地址顺序相同。
19、根据权利要求 16-18任一所述的装置， 其特征在于， 所述第二报文 中还包括中继消息认证信息， 所述中继消息认证信息由所述另一节点使用 所述中继设备和所述另一节点之间的消息认证密钥生成， 用以所述中继设 备接收到所述第二报文之后， 使用所述消息认证密钥验证所述中继消息认 证信息， 若验证通过则向所述节点发送所述第一报文。
20、根据权利要求 16-19任一项所述的装置， 其特征在于， 所述第一节 点为站点， 所述第二节点为接入点； 或， 所述第一节点为接入点， 所述第 二节点为站点。
21、 一种报文处理装置， 位于第二节点侧， 应用于中继设备在所述第 二节点和第一节点之间转发报文的场景， 其特征在于， 包括：
报文生成模块， 用于生成第二报文， 所述第二报文的报文头中的地址 信息指示所述第二报文的接收方是所述中继设备、 发送方是所述节点、 下 一接收方是所述另一节点；
加密模块， 用于至少根据所述第二报文的报文头中的地址信息使用第 二规则生成第二附加认证数据， 使用所述第二附加认证数据、 所述第一节 点和所述第二节点之间的会话密钥对所述第二报文中的数据进行加密； 发送模块， 用于将所述加密后的第二报文发送给所述中继设备， 以使 所述中继设备接收到所述第二报文后向所述第一节点发送第一报文， 所述 第一报文中包含所述第二报文中的数据， 所述第一报文的报文头中包含的 地址信息指示所述第一报文的接收方是所述第一节点、 发送方是所述中继 设备、 上一发送方是所述第二节点， 使得所述第一节点接收到所述第一报 文后至少根据所述第一报文的报文头中的地址信息使用第一规则生成第一 附加认证数据， 使用所述第一附加认证数据、 所述第一节点和所述第二节 点之间的会话密钥对所述第一报文中的数据进行解密， 其中， 所述第一附 加认证数据与所述第二附加认证数据相同。
22、 根据权利要求 21所述的装置， 其特征在于， 所述第一规则是所述 第一附加认证数据中的各地址顺序与所述第一报文的报文头中的各地址顺 序相同， 所述第二规则是所述第二附加认证数据中的各地址顺序与所述第 二报文的报文头中的各地址顺序不同， 使得所述第二附加认证数据中各地 址顺序和所述第一附加认证数据中各地址顺序相同； 或
所述第一规则是所述第一附加认证数据中的各地址顺序与所述第一报 文的报文头中的各地址顺序不同， 所述第二规则是所述第二附加认证数据 中的各地址顺序与所述第二报文的报文头中的各地址顺序相同， 使得所述 第二附加认证数据中各地址顺序和所述第一附加认证数据中各地址顺序相 同。
23、 根据权利要求 21或 22所述的装置， 其特征在于， 所述第二附加 认证数据中的各地址顺序和所述第一附加认证数据中的各地址顺序相同。
24、根据权利要求 21-23任一所述的装置， 其特征在于， 所述第二报文 中还包括中继消息认证信息， 所述中继消息认证信息由所述节点使用所述 中继设备和所述节点之间的消息认证密钥生成， 用以所述中继设备接收到 所述第二报文之后， 使用所述消息认证密钥验证所述中继消息认证信息， 若验证通过则向所述另一节点发送所述第一报文。
25、根据权利要求 21-24任一项所述的装置， 其特征在于， 所述第二节 点为站点， 所述第一节点为接入点； 或， 所述第二节点为接入点， 所述第 一节点为站点。
26、 一种报文处理装置， 位于中继设备侧， 应用于中继设备在第一节 点和第二节点之间转发报文的场景， 其特征在于， 包括：
接收模块， 用于接收第二节点发送的第二报文， 所述第二报文的报文 头中的地址信息指示所述第二报文的接收方是所述中继设备、 发送方是所 述第二节点、 下一接收方是第一节点， 所述第二报文中的数据使用了第二 附加认证数据、 所述第一节点和第二节点之间的会话密钥进行了加密， 所 述第二附加认证数据由所述第二节点至少根据所述第二报文的报文头中的 地址信息使用第二规则生成；
发送模块， 用于向所述第一节点发送第一报文， 所述第一报文中包含 所述第二报文中的数据， 所述第一报文的报文头中包含的地址信息指示所 述第一报文的接收方是所述第一节点、 发送方是所述中继设备、 上一发送 方是所述第二节点， 以使所述第一节点至少根据所述第一报文的报文头中 的地址信息使用第一规则生成第一附加认证数据， 并使用所述第一附加认 证数据、 所述第一节点和所述第二节点之间的会话密钥对所述第一报文中 的数据进行解密， 其中， 所述第一附加认证数据与所述第二附加认证数据 相同。
27、 根据权利要求 26所述的装置， 其特征在于， 所述第一规则是所述 第一附加认证数据中的各地址顺序与所述第一报文的报文头中的各地址顺 序相同， 所述第二规则是所述第二附加认证数据中的各地址顺序与所述第 二报文的报文头中的各地址顺序不同， 使得所述第二附加认证数据中各地 址顺序和所述第一附加认证数据中各地址顺序相同； 或
所述第一规则是所述第一附加认证数据中的各地址顺序与所述第一报 文的报文头中的各地址顺序不同， 所述第二规则是所述第二附加认证数据 中的各地址顺序与所述第二报文的报文头中的各地址顺序相同， 使得所述 第二附加认证数据中各地址顺序和所述第一附加认证数据中各地址顺序相 同。
28、 根据权利要求 26或 27所述的装置， 其特征在于， 所述第二附加 认证数据中的各地址顺序和所述第一附加认证数据中的各地址顺序相同。
29、根据权利要求 26-28任一所述的装置， 其特征在于， 所述第二报文 中还包括中继消息认证信息， 所述中继消息认证信息由所述第二节点使用 所述中继设备和所述第二节点之间的消息认证密钥生成， 用以所述中继设 备接收到所述第二报文之后， 使用所述消息认证密钥验证所述中继消息认 证信息， 若验证通过则向所述第一节点发送所述第一报文。
30、根据权利要求 26-29任一项所述的装置， 其特征在于， 所述第一节 点为站点， 第二节点为接入点； 或， 所述第一节点为接入点， 所述第二节 点为 占点。
31、 一种报文处理系统， 应用于中继设备在第一节点和第二节点之间 转发报文的场景， 其特征在于， 包括： 中继设备、 第一节点和第二节点； 所述中继设备包括如权利要求 26-30任一项所述的报文处理装置； 所述第一节点包括如权利要求 16-20任一项所述的报文处理装置； 所述第二节点包括如权利要求 21-25任一项所述的报文处理装置。
PCT/CN2013/088947 2012-12-10 2013-12-10 报文处理方法及装置、系统 WO2014090130A1 (zh)

Priority Applications (3)

Application Number Priority Date Filing Date Title
EP13863218.7A EP2919498B1 (en) 2012-12-10 2013-12-10 Method, device and system for packet processing through a relay
ES13863218.7T ES2625481T3 (es) 2012-12-10 2013-12-10 Método, dispositivo y sistema para procesamiento de paquetes a través de una retransmisión
US14/734,812 US9872175B2 (en) 2012-12-10 2015-06-09 Packet processing method, apparatus, and system

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN201210528207.7A CN103874059B (zh) 2012-12-10 2012-12-10 报文处理方法及装置、系统
CN201210528207.7 2012-12-10

Related Child Applications (1)

Application Number Title Priority Date Filing Date
US14/734,812 Continuation US9872175B2 (en) 2012-12-10 2015-06-09 Packet processing method, apparatus, and system

Publications (1)

Publication Number Publication Date
WO2014090130A1 true WO2014090130A1 (zh) 2014-06-19

Family

ID=50912108

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2013/088947 WO2014090130A1 (zh) 2012-12-10 2013-12-10 报文处理方法及装置、系统

Country Status (5)

Country Link
US (1) US9872175B2 (zh)
EP (1) EP2919498B1 (zh)
CN (1) CN103874059B (zh)
ES (1) ES2625481T3 (zh)
WO (1) WO2014090130A1 (zh)

Families Citing this family (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN107094080B (zh) * 2016-02-12 2020-07-17 东芝存储器株式会社 通信装置
CN113630773B (zh) 2017-01-24 2023-02-14 华为技术有限公司 安全实现方法、设备以及系统
CN107046493B (zh) * 2017-04-28 2019-09-06 中国人民解放军国防科学技术大学 通信方法及装置
US11012430B1 (en) * 2019-11-04 2021-05-18 Sprint Communications Company L.P. User equipment relay mediated network channels with blockchain logging
CN111049649A (zh) * 2019-12-17 2020-04-21 湖南安方信息技术有限公司 一种基于标识密码的零交互密钥协商安全增强协议
CN111343207B (zh) * 2020-05-19 2020-09-11 北京华云安信息技术有限公司 多节点联合加密的数据传输方法、设备和存储介质
CN112052171B (zh) * 2020-09-03 2021-05-28 上海复深蓝软件股份有限公司 测试报文处理方法、装置、计算机设备及存储介质

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2011090257A1 (en) * 2010-01-20 2011-07-28 Lg Electronics Inc. Method and apparatus of active scanning in wireless local area network
CN102143164A (zh) * 2011-01-24 2011-08-03 中兴通讯股份有限公司 报文中继方法、装置及基站
CN102647355A (zh) * 2012-04-12 2012-08-22 华为技术有限公司 Lacp协商处理方法、中继节点及系统

Family Cites Families (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2001313672A (ja) * 2000-04-28 2001-11-09 Toshiba Corp ネットワークシステム、パケット中継装置、無線端末及びパケット処理方法
WO2005107128A1 (en) * 2004-04-30 2005-11-10 Research In Motion Limited System and method for securing data
US8289924B2 (en) * 2006-08-24 2012-10-16 Panasonic Corporation Communication system, communication method, radio terminal, radio relay device, and control device
US8588417B2 (en) * 2007-05-04 2013-11-19 Conexant Systems, Inc. Systems and methods for multicast retransmission over a secure wireless LAN
US9313658B2 (en) * 2007-09-04 2016-04-12 Industrial Technology Research Institute Methods and devices for establishing security associations and performing handoff authentication in communications systems
US8537795B2 (en) * 2009-07-28 2013-09-17 Intel Corporation Method, apparatus and system for forwarding frame in wireless communication systems

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2011090257A1 (en) * 2010-01-20 2011-07-28 Lg Electronics Inc. Method and apparatus of active scanning in wireless local area network
CN102143164A (zh) * 2011-01-24 2011-08-03 中兴通讯股份有限公司 报文中继方法、装置及基站
CN102647355A (zh) * 2012-04-12 2012-08-22 华为技术有限公司 Lacp协商处理方法、中继节点及系统

Also Published As

Publication number Publication date
EP2919498A4 (en) 2015-12-02
US9872175B2 (en) 2018-01-16
US20150271672A1 (en) 2015-09-24
CN103874059A (zh) 2014-06-18
EP2919498A1 (en) 2015-09-16
CN103874059B (zh) 2018-06-05
ES2625481T3 (es) 2017-07-19
EP2919498B1 (en) 2017-04-05

Similar Documents

Publication Publication Date Title
EP2062189B1 (en) Method and system for secure processing of authentication key material in an ad hoc wireless network
CN108650227B (zh) 基于数据报安全传输协议的握手方法及系统
US9872175B2 (en) Packet processing method, apparatus, and system
JP4649513B2 (ja) 無線携帯インターネットシステムの認証方法及び関連キー生成方法
WO2017185999A1 (zh) 密钥分发、认证方法，装置及系统
JP5855127B2 (ja) 無線通信システムにおける短文データの暗号化方法及び装置
JP5785346B1 (ja) リンク層セキュリティー伝送をサポートする交換設備およびデータ処理方法
JP2011139457A (ja) 無線通信装置とサーバとの間でデータを安全にトランザクション処理する方法及びシステム
US11388590B2 (en) Cryptographic security in multi-access point networks
WO2007059558A1 (en) Wireless protocol for privacy and authentication
WO2012083828A1 (zh) 本地路由业务的实现方法、基站及系统
TWI736273B (zh) 網狀網路與雲端伺服器之通訊方法、網狀網路系統及其節點裝置
KR20180130203A (ko) 사물인터넷 디바이스 인증 장치 및 방법
US8094634B2 (en) Sender and/or helper node modifications to enable security features in cooperative wireless communications
JP2015122764A (ja) 無線通信装置および無線通信装置の動作方法
Makda et al. Security implications of cooperative communications in wireless networks
KR20230039722A (ko) 사전-공유 키 psk 업데이트 방법 및 장치
CN109905345B (zh) 通信方法、通信装置和通信设备
JP2006191429A (ja) 集合型宅内ネットワークにおける認証方法及びシステム
WO2009149579A1 (zh) 存储转发方式下基于ibe算法的安全通信的方法和装置
CN116094740A (zh) 一种can网络的安全通讯方法、系统、设备及存储介质
CN115037504A (zh) 通信方法及装置

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 13863218

Country of ref document: EP

Kind code of ref document: A1

REEP Request for entry into the european phase

Ref document number: 2013863218

Country of ref document: EP

WWE Wipo information: entry into national phase

Ref document number: 2013863218

Country of ref document: EP

NENP Non-entry into the national phase

Ref country code: DE