三层密钥体系
802.11 的密钥体系分三层：PMK 是主密钥，来自 PSK 或 EAP 协商结果；PTK 由 PMK 加上双方随机数与 MAC 地址派生，用于单播加密；GTK 由 AP 生成并分发给该 BSS 内所有终端，用于组播与广播加密。理解这三层，是理解四次握手、快速漫游（PMK 缓存）与组播异常排查的基础。
基本信息
| PMK | 来自 PSK 或 EAP 协商，用于派生根密钥 |
|---|---|
| PTK | 由 PMK 加随机数与 MAC 派生，用于单播加密 |
| GTK | 由 AP 生成分发，用于组播与广播加密 |
| 握手流程 | 四次握手协商 PTK，随后下发 GTK |
| 密钥更新 | 终端重连或策略触发时刷新，抓包可见组密钥握手 |
典型使用场景
- 理解四次握手过程与密钥派生关系
- 排查组播流量异常：确认终端是否已获得 GTK
- 评估 PMK 缓存对快速漫游与吊销时效的影响
- 分析抓包中的密钥交换报文
- 为培训与文档统一密钥体系的表述
密钥层级
密钥层级
# PMK：主密钥，来自 PSK 或 EAP 协商
# PTK：单播密钥，由 PMK 与双方随机数、MAC 派生
# GTK：组播与广播密钥，由 AP 生成并分发
# 四次握手协商 PTK，随后通过组密钥握手下发 GTK密钥对照
| 密钥 | 来源 | 用途 |
|---|---|---|
| PMK | PSK 或 EAP 协商 | 派生根密钥 |
| PTK | PMK 加随机数与 MAC | 单播加密 |
| GTK | AP 生成并分发 | 组播与广播加密 |
| PMK 缓存 | 复用认证结果 | 加速漫游，影响吊销时效 |
GTK 在密钥更新（如终端离线重连）时会刷新，抓包可以看到组密钥握手过程，这是判断组播异常的入口。
PMK 缓存能让终端快速漫游时跳过完整认证，但配置不当会拉长密钥吊销的生效时间，安全要求高的场景需要权衡。
调试密钥相关问题时不要在生产网络做抓包解密：捕获握手并推导密钥需要额外信息，也可能涉及合规问题，优先使用设备日志与统计。
排查组播异常时要确认终端已拿到 GTK：只收不到组播而单播正常，问题往往就出在 GTK 下发环节。