4. Thread网络密钥管理与分发

Thread网络的安全根基并不在于某一个"万能密码"，而是一套分层、分角色的密钥体系。理解这套体系的关键，是分清每种密钥"由谁持有、保护什么、如何派生、何时更换"。本章围绕主密钥（Master Key）、网络密钥（Network Key）、PSKc、密钥派生函数（KDF）、密钥更新与撤销、密钥存储安全六个方面展开，帮助读者建立从密钥生成到生命周期管理的完整认知。

一、四类密钥的角色与层级

Thread定义了多个层次的密钥，它们并非并列关系，而是层层派生的树状结构：

• 主密钥（Master Key）：整个Thread网络的根密钥，128位随机数。它本身不直接用于加密任何报文，而是作为密钥派生函数的输入，派生出网络密钥等下层密钥。主密钥一旦泄露，等同于整个网络安全崩塌。
• 网络密钥（Network Key）：由主密钥派生，用于保护Thread网络层（MLE、6LoWPAN等）的通信，是所有已入网设备共享的密钥。它决定了"谁能听懂网络内的报文"。
• PSKc（Pre-Shared Key for the Commissioner）：用于Commissioner（ commissioner，调试/入网授权角色）与Border Router之间建立安全会话的预共享密钥。它由用户提供的口令（Passphrase）经PBKDF2派生而来，是外部设备获得入网授权凭证的"敲门砖"。
• 派生密钥：包括MAC层密钥、MLE密钥、DTLS会话密钥等，均由KDF从主密钥或网络密钥进一步派生，用于不同协议层。

需要特别强调：PSKc与网络密钥是两条独立的信任路径。PSKc用于"授权新设备加入"，网络密钥用于"已入网设备之间的通信保护"。新设备必须先通过PSKc完成Commissioner认证，才能获得网络密钥并真正入网。

二、密钥派生函数（KDF）

Thread使用基于HMAC-SHA256的密钥派生函数（KDF），其核心思想是：从一个高熵的根密钥出发，通过带标签的哈希运算，为不同用途生成互不相关的子密钥。这样即使某个子密钥泄露，也无法反推主密钥，更无法推导出其他子密钥。

Thread规范中定义的KDF通常形式为：

KDF(Key, Label) = HMAC-SHA256(Key, Label || 0x01)

其中Label是用途标识字符串，例如用于派生网络密钥时使用特定标签。实际实现中，派生结果通常取HMAC输出的前128位作为子密钥。这种"一钥多用、标签隔离"的设计，使得密钥管理具有清晰的边界。

PSKc的派生则不同，它使用PBKDF2：

PSKc = PBKDF2-HMAC-SHA256(Passphrase, Salt, Iterations, 128bit)

其中Salt由Commissioner的随机数和网络名称等构成，Iterations通常为16384次。迭代次数越高，暴力破解成本越大，但设备计算耗时也越长，需要在安全与性能间权衡。

三、密钥更新与撤销

密钥不是"设一次用一辈子"。Thread支持密钥更新（Key Rotation）和密钥撤销（Key Revocation）两种生命周期操作。

密钥更新通过MLE的Key Sequence机制实现。网络维护一个Key Sequence Counter（密钥序列号），每次更新时递增。更新过程分为两步：先分发新密钥（此时新旧密钥并存，设备可同时解密），待所有设备切换完成后，再停用旧密钥。这种"双密钥过渡期"避免了更新瞬间的通信中断。

密钥撤销用于将某个已泄露或失信的设备踢出网络。撤销操作会更换网络密钥，使被撤销设备无法再解密任何网络报文。但要注意：撤销只能阻止该设备继续通信，无法收回它已经获取的历史数据。

四、密钥存储安全

密钥在设备上的存储方式直接决定其抗攻击能力。Thread设备通常将密钥保存在非易失性存储器（NVM）中，但不同安全等级的存储差异巨大：

• 明文存储：密钥直接写入Flash，攻击者通过物理读取即可获取，安全性最低。
• 加密存储：用设备唯一密钥（如芯片UID派生的密钥）加密后存储，即使Flash被读取，也无法直接得到明文密钥。
• 安全元件/TrustZone：密钥保存在独立安全域内，主处理器无法直接读取，只有安全固件能调用，安全性最高。

工程实践中，至少应做到：主密钥和网络密钥不以明文形式出现在日志、调试接口或固件镜像中；设备出厂时每台使用独立的主密钥，而非全网统一烧录同一密钥。

五、密钥体系全景

下图展示了Thread密钥从根到叶的派生关系、使用场景以及更新/撤销的作用点，帮助读者建立整体视图。

六、工程实践要点

在实际部署中，密钥管理最容易出问题的环节往往不是算法本身，而是流程和存储。以下几点值得重点关注：

• 主密钥唯一性：每台设备出厂时应烧录独立的主密钥，避免"一钥泄露、全网沦陷"。批量生产时可通过安全服务器逐台生成并注入。
• PSKc强度：用户口令应满足最小长度和复杂度要求，PBKDF2迭代次数不低于规范推荐值。弱口令是Commissioner认证被攻破的首要原因。
• 更新时机：建议在网络成员发生变更（设备加入或离开）后触发密钥更新，而不是仅按固定周期更新。成员变更才是密钥暴露风险上升的时刻。
• 撤销后的清理：被撤销设备应同时清除其本地存储的密钥，防止设备被物理获取后密钥被提取。
• 日志脱敏：调试日志中禁止打印主密钥、网络密钥和PSKc的明文或可逆编码。

总结来说，Thread的密钥体系以主密钥为根、以KDF为派生手段、以网络密钥和PSKc为两条独立信任路径，配合更新与撤销机制实现生命周期管理，最终依赖安全的存储方案落地。理解这棵"密钥树"的每一层职责，是设计安全Thread网络的前提。