CN103428690A - 无线局域网络的安全建立方法及系统、设备 - Google Patents

无线局域网络的安全建立方法及系统、设备 Download PDF

Info

Publication number
CN103428690A
CN103428690A CN2012101614270A CN201210161427A CN103428690A CN 103428690 A CN103428690 A CN 103428690A CN 2012101614270 A CN2012101614270 A CN 2012101614270A CN 201210161427 A CN201210161427 A CN 201210161427A CN 103428690 A CN103428690 A CN 103428690A
Authority
CN
China
Prior art keywords
subscriber equipment
key
network element
element device
deduction
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN2012101614270A
Other languages
English (en)
Other versions
CN103428690B (zh
Inventor
陈璟
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Huawei Technologies Co Ltd
Original Assignee
Huawei Technologies Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Huawei Technologies Co Ltd filed Critical Huawei Technologies Co Ltd
Priority to CN201210161427.0A priority Critical patent/CN103428690B/zh
Priority to PCT/CN2013/076088 priority patent/WO2013174267A1/zh
Priority to EP18198578.9A priority patent/EP3503496B1/en
Priority to EP13794647.1A priority patent/EP2854329B1/en
Publication of CN103428690A publication Critical patent/CN103428690A/zh
Priority to US14/550,629 priority patent/US9826398B2/en
Application granted granted Critical
Publication of CN103428690B publication Critical patent/CN103428690B/zh
Priority to US15/782,584 priority patent/US10687213B2/en
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W84/00—Network topologies
    • H04W84/02—Hierarchically pre-organised networks, e.g. paging networks, cellular networks, WLAN [Wireless Local Area Network] or WLL [Wireless Local Loop]
    • H04W84/10—Small scale networks; Flat hierarchical networks
    • H04W84/12—WLAN [Wireless Local Area Networks]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/06—Network architectures or network communication protocols for network security for supporting key management in a packet data network
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
    • H04W12/043—Key management, e.g. using generic bootstrapping architecture [GBA] using a trusted network node as an anchor
    • H04W12/0431—Key distribution or pre-distribution; Key agreement
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W76/00—Connection management
    • H04W76/10—Connection setup
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2463/00—Additional details relating to network architectures or network communication protocols for network security covered by H04L63/00
    • H04L2463/061—Additional details relating to network architectures or network communication protocols for network security covered by H04L63/00 applying further key derivation, e.g. deriving traffic keys from a pair-wise master key
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Mobile Radio Communication Systems (AREA)

Abstract

本发明实施例提供一种无线局域网络的安全建立方法及系统、设备。其方法包括：UE获取第一密钥；该第一密钥为UE与接入的移动通信网络中的网元设备在执行空口安全时的共享密钥或者根据共享密钥推演得出的；UE根据第一密钥和推演参数进行推演得到推演密钥；UE根据推演密钥与获取到推演密钥的WLAN节点之间建立安全连接，WLAN节点获取到的推演密钥与UE获取的推演密钥相同。采用本发明实施例的技术方案，能够在UE和WLAN之间建立安全连接，提高UE与WLAN之间通信的安全性。

Description

无线局域网络的安全建立方法及系统、设备
技术领域
本发明实施例涉及通信技术领域，尤其涉及一种无线局域网络的安全建立方法及系统、设备。
背景技术
随着支持上网功能的智能终端之类的用户设备（User Equipment；UE）的广泛普及，人们开始使用UE进行大量的数据业务。近几年来，运营商网络的数据业务流量增长很快。为了适应这种趋势，运营商和设备厂商开始积极考虑各种各样的减轻运营商网络负担的方法。无线局域网络（Wireless LocalArea Network；WLAN）是一种无线接入技术，WLAN技术能够提供较高的传输速率，被认为是运营商部署的广域无域网的有益补充。在机场、厂商等热点地区，WLAN技术能够使得用户通过WLAN进行数据业务，从而减轻运营商核心网络的负担。
目前许多运营商已经部署了WLAN网络用在如机场、车站、酒店等热点地区以分流（offload）UE的数据流量。在这些已有的部署方案中，运营商一般将WLAN部署成open模式，任何UE均可接入WLAN节点。当UE要连入因特网（internet）时，WLAN节点将UE重定向至一个特定的web网页，UE对应的用户在网页上输入正确的用户名/密码后，UE便可以接入internet。
由于WLAN节点工作在open模式下，UE和WLAN节点之间不建立安全连接，UE和WLAN节点之间的数据以明文方式传输，导致UE与WLAN节点之间通信的安全性能较差。
发明内容
本发明实施例提供一种无线局域网络的安全建立方法及系统、设备，用以弥补现有技术中UE与WLAN之间通信的安全性能较差的缺陷，用于提高UE与WLAN之间的安全性能。
一方面，本发明实施例提供一种无线局域网络的安全建立方法，包括：
用户设备获取第一密钥；所述第一密钥为所述用户设备与接入的移动通信网络中的网元设备在执行空口安全时的共享密钥或者根据所述用户设备与接入的移动通信网络中的网元设备在执行空口安全时的共享密钥推演得出的；
所述用户设备根据所述第一密钥和推演参数进行推演得到推演密钥；所述推演参数为所述用户设备与所述网元设备协商确定的;
所述用户设备根据所述推演密钥与获取到推演密钥的无线局域网络节点之间建立安全连接，所述无线局域网络节点获取到的推演密钥与所述用户设备获取的所述推演密钥相同。
另一方面，本发明实施例还提供一种无线局域网络的安全建立方法，包括：
无线局域网络节点接收用户设备发送的所述用户设备的身份标识符；
所述无线局域网络节点向所述用户设备接入的移动通信网络中的网元设备发送携带所述用户设备的身份标识符的密钥请求消息；
所述无线局域网络节点接收所述网元设备发送的所述用户设备的身份标识符对应的推演密钥；所述推演密钥为所述网元设备根据第一密钥和推演参数进行推演得到，所述第一密钥为所述用户设备与所述网元设备在执行空口安全时的共享密钥或者根据所述用户设备与所述网元设备在执行空口安全时的共享密钥推演得出的；所述推演参数为所述用户设备与所述网元设备协商确定的;
所述无线局域网络节点基于所述推演密钥与获取到推演密钥的所述用户设备之间建立安全连接，所述用户设备获取到的推演密钥与所述无线局域网络节点获取的所述推演密钥相同。
再一方面，本发明实施例还提供一种无线局域网络的安全建立方法，包括：
用户设备接入的移动通信网络中的网元设备接收无线局域网络节点发送的密钥请求消息；所述密钥请求消息中携带有所述用户设备的身份标识符；
所述网元设备根据所述密钥请求消息中的所述用户设备的身份标识符，获取对应的推演密钥；所述推演密钥为所述网元设备根据第一密钥和推演参数进行推演得到；所述第一密钥为所述网元设备与所述用户设备在执行空口安全时的共享密钥或者根据所述网元设备与所述用户设备在执行空口安全时的共享密钥推演得出的；所述推演参数为所述网元设备与所述用户设备协商确定的;
所述网元设备向所述无线局域网络节点发送所述推演密钥，以供所述无线局域网络节点基于所述推演密钥与获取到推演密钥的所述用户设备之间建立安全连接，所述用户设备获取到的推演密钥与所述无线局域网络节点接收所述网元设备发送的所述推演密钥相同。
又一方面，本发明实施例还提供一种无线局域网络的安全建立方法，包括：
用户设备获取第一密钥；所述第一密钥为所述用户设备与接入的移动通信网络中的第一网元设备在执行空口安全时的共享密钥或者根据所述用户设备与接入的移动通信网络中的第一网元设备在执行空口安全时的共享密钥推演得出的；
所述用户设备根据所述用户设备的身份标识符和所述第一密钥推演生成认证用户名和认证信任状；
所述用户设备根据所述认证用户名和所述认证信任状与第一网元设备或者第二网元设备进行扩展认证协议认证;所述第二网元设备为所述移动通信网络中的所述第一网元设备之外的其他网元设备；所述第二网元设备从所述第一网元设备处获取所述认证用户名和所述认证信任状；或者所述第二网元设备从所述第一网元设备处获取所述用户设备的身份标识符和所述第一密钥，并根据所述用户设备的身份标识符和所述第一密钥推演生成所述认证用户名和所述认证信任状；
所述用户设备在认证完成后与所述无线局域网络节点之间建立安全连接。
再另一方面，本发明实施例还提供一种无线局域网络的安全建立方法，包括：
用户设备接入的移动通信网络中的第一网元设备获取所述用户设备的认证用户名和认证信任状；所述认证用户名和所述认证信任状为根据所述用户设备的身份标识符和第一密钥推演生成的；所述第一密钥为所述用户设备与接入的移动通信网络中的所述第一网元设备或者第二网元设备在执行空口安全时的共享密钥或者根据所述用户设备与所述第一网元设备或者第二网元设备在执行空口安全时的共享密钥推演得出的；
所述第一网元设备根据所述认证用户名和所述认证信任状与用户设备进行扩展认证协议认证；
所述第一网元设备在所述扩展认证协议认证成功后，向所述无线局域网络节点发送认证完成，以指示所述无线局域网络节点与所述用户设备之间建立安全连接。
再另一方面，本发明实施例还提供一种用户设备，包括：
获取模块，用于获取第一密钥；所述第一密钥为与接入的移动通信网络中的网元设备在执行空口安全时的共享密钥或者根据所述用户设备与接入的移动通信网络中的网元设备在执行空口安全时的共享密钥推演得出的；
推演模块，用于根据所述获取模块获取的所述第一密钥和推演参数进行推演得到推演密钥；所述推演参数为所述用户设备与所述网元设备协商确定的;
建立模块，用于根据所推演模块推演得到的所述述推演密钥与获取到推演密钥的无线局域网络节点之间建立安全连接，所述无线局域网络节点获取到的推演密钥与所述用户设备获取的所述推演密钥相同。
再另一方面，本发明实施例还提供一种无线局域网络节点设备，其特征在于，包括：
接收模块，用于接收用户设备发送的所述用户设备的身份标识符；
发送模块，用于向所述用户设备接入的移动通信网络中的网元设备发送携带所述接收模块接收的所述用户设备的身份标识符的密钥请求消息；
所述接收模块，还用于接收所述网元设备发送的所述用户设备的身份标识符对应的推演密钥；所述推演密钥为所述网元设备根据第一密钥和推演参数进行推演得到，所述第一密钥为所述用户设备与所述网元设备在执行空口安全时的共享密钥或者根据所述用户设备与接入的移动通信网络中的网元设备在执行空口安全时的共享密钥推演得出的；所述推演参数为所述用户设备与所述网元设备协商确定的;
建立模块，用于基于所述接收模块接收的所述推演密钥与获取到推演密钥的所述用户设备之间建立安全连接，所述用户设备获取到的推演密钥与无线局域网络节点获取的所述推演密钥相同。
再另一方面，本发明实施例还提供一种网元设备，位于用户设备接入的移动通信网络中，所述网元设备包括：
接收模块，用于接收无线局域网络节点发送的密钥请求消息；所述密钥请求消息中携带有所述用户设备的身份标识符；
获取模块，用于根据所述接收模块接收的所述密钥请求消息中的所述用户设备的身份标识符，获取对应的推演密钥；所述推演密钥为根据第一密钥和推演参数进行推演得到；所述第一密钥为与所述用户设备在执行空口安全时的共享密钥或者根据与所述用户设备在执行空口安全时的共享密钥推演得出的；所述推演参数为与所述用户设备协商确定的;发送模块，用于向所述无线局域网络节点发送所述获取模块获取到的所述推演密钥，以供所述无线局域网络节点基于所述推演密钥与获取到推演密钥的所述用户设备之间建立安全连接，所述用户设备获取到的推演密钥与所述无线局域网络节点接收所述网元设备发送的所述推演密钥相同。
再另一方面，本发明实施例还提供一种无线局域网络的安全建立系统，包括：如上所述的用户设备、所述的无线局域网络节点设备和所述的网元设备。
再另一方面，本发明实施例还提供一种用户设备，包括：
获取模块，用于获取第一密钥；所述第一密钥为所述用户设备与接入的移动通信网络中的第一网元设备在执行空口安全时的共享密钥或者根据所述用户设备与接入的移动通信网络中的第一网元设备在执行空口安全时的共享密钥推演得出的；
生成模块，用于根据所述用户设备的身份标识符和所述获取模块的所述第一密钥推演生成认证用户名和认证信任状；
认证模块，用于根据所述生成模块生成的所述认证用户名和所述认证信任状与第一网元设备或者第二网元设备进行扩展认证协议认证，所述第二网元设备为所述移动通信网络中的所述第一网元设备之外的其他网元设备；所述第二网元设备从所述第一网元设备处获取所述认证用户名和所述认证信任状；或者所述第二网元设备从所述第一网元设备处获取所述用户设备的身份标识符和所述第一密钥，并根据所述用户设备的身份标识符和所述第一密钥推演生成所述认证用户名和所述认证信任状；
建立模块，用于在所述认证模块进行扩展认证协议认证完成后与所述无线局域网络节点之间建立安全连接。
再另一方面，本发明实施例还提供一种网元设备，位于用户设备接入的移动通信网络中，所述网元设备包括：
获取模块，用于获取所述用户设备的认证用户名和认证信任状；所述认证用户名和所述认证信任状为根据所述用户设备的身份标识符和第一密钥推演生成的；所述第一密钥为所述用户设备所述网元设备或者第二网元设备在执行空口安全时的共享密钥或者根据所述用户设备与所述网元设备或者第二网元设备在执行空口安全时的共享密钥推演得出的；
认证模块，用于根据所述认证用户名和所述认证信任状与用户设备进行扩展认证协议认证；
发送模块，用于在所述扩展认证协议认证成功后，向所述无线局域网络节点发送认证完成，以指示所述无线局域网络节点与所述用户设备之间建立安全连接。
再另一方面，本发明实施例还提供一种无线局域网络的安全建立系统，包括：如上所述的用户设备和所述的网元设备。
本发明实施例的无线局域网络的安全建立方法及系统、设备，UE与WLAN节点之间能够基于推演密钥建立安全连接，推演密钥根据第一密钥和推演参数进行推演得到，第一密钥为用户设备与接入的移动通信网络中的网元设备在执行空口安全时的共享密钥或者根据共享密钥推演得出的；或者UE根据UE的身份标识符和第一密钥推演生成认证用户名和认证密码；并由UE根据认证用户名和认证密码与UE接入的移动通信网络中的网元设备进行EAP认证，并在认证完成后UE与WLAN节点之间建立安全连接。采用本发明实施例的上述技术方案，能够克服现有技术中WLAN工作在open模式下，UE和WLAN节点之间不建立安全连接，UE和WLAN节点之间的数据以明文方式传输，导致UE与WLAN节点之间通信的安全性能较差的缺陷，采用本发明实施例的技术方案，能够在UE和WLAN节点之间建立安全连接，提高UE与WLAN节点之间通信的安全性。
附图说明
为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作一简单地介绍，显而易见地，下面描述中的附图是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。
图1为本发明提供的一种WLAN的安全建立方法的流程图。
图2为本发明另一实施例提供的WLAN的安全建立方法的流程图。
图3为本发明再一实施例提供的WLAN的安全建立方法的流程图。
图4为本发明一实施例提供的WLAN的安全建立方法的信令图。
图5为本发明另一实施例提供的WLAN的安全建立方法的信令图。
图6为本发明又一实施例提供的WLAN的安全建立方法的流程图。
图7为本发明再另一实施例提供的WLAN的安全建立方法的流程图。
图8为本发明一实施例提供的UE的结构示意图。
图9为本发明另一实施例提供的UE的结构示意图。
图10为本发明实施例提供的WLAN节点设备的结构示意图。
图11为本发明一实施例提供的网元设备的结构示意图。
图12为本发明另一实施例提供的网元设备的结构示意图。
图13为本发明再一实施例提供的UE的结构示意图。
图14为本发明再一实施例提供的网元设备的结构示意图。
图15为本发明一实施例提供的WLAN的安全建立系统的结构示意图。
图16为本发明另一实施例提供的WLAN的安全建立系统的结构示意图。
具体实施方式
为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。
图1为本发明提供的一种WLAN的安全建立方法的流程图。如图1所示，本实施例的WLAN的安全建立方法的执行主体为UE。本实施例的WLAN的安全建立方法，具体可以包括如下步骤：
100、UE获取第一密钥；
本实施例中的第一密钥为UE与UE接入的移动通信网络中的网元设备在执行空口安全时的共享密钥或者根据UE与UE接入的移动通信网络中的网元设备在执行空口安全时的共享密钥推演得出的。
101、UE根据第一密钥和推演参数进行推演得到推演密钥；
其中该推演参数为UE和网元设备确定的。
102、UE根据推演密钥与获取到推演密钥的WLAN节点之间建立安全连接。
WLAN节点获取到的推演密钥与UE获取的推演密钥相同。亦即本实施例的技术方案在实施时需要WLAN节点亦能够获取到该推演密钥，例如WLAN节点可以向网元设备中请求获取推演密钥，而网元设备是根据第一密钥和推演参数推演得到推演密钥，这样UE和WLAN节点均可以得知该推演密钥，并基于该推演密钥，UE与WLAN节点之间建立安全连接。
本实施例中，UE与网元设备均可以获知推演参数，可以认为推演参数是两者协商确定的。推演参数具体可以为一个或者多个。例如推演参数可以为UE和网元设备事先约定好的，或者在推演推演密钥时在线协商的。例如可以由UE提供一些参数作为推演参数，然后告知网元设备。或者由网元设备提供一些参数作为推演参数，然后告知网元设备。或者可以由UE提供一些参数或者由网元设备提供一些参数，然后UE和网元设备交换各自提供的参数，此时对应的推演参数由UE提供给参数和网元设备提供的参数共同组成。
本实施例的无线局域网络的安全建立方法，通过采用上述技术方案，UE与WLAN节点之间能够基于推演密钥建立安全连接，能够克服现有技术中WLAN工作在open模式下，UE和WLAN节点之间不建立安全连接，UE和WLAN节点之间的数据以明文方式传输，导致UE与WLAN节点之间通信的安全性能较差的缺陷，采用本实施例的技术方案，能够在UE和WLAN节点之间建立安全连接，提高UE与WLAN节点之间通信的安全性。
可选地，在上述图1所示实施例的技术方案的基础上，还可以包括如下可选技术方案，构成图1所示实施例的可选实施例。
在图1所示实施例的可选实施例中，在步骤102之前，所述实施例还包括：UE向WLAN节点发送UE的身份标识符，以供WLAN节点根据UE的身份标识符，向网元设备请求获取UE对应的推演密钥。
可选地，在图1所示实施例的可选实施例中，步骤101，具体可以包括：UE根据第一密钥和推演参数进行推演得到第二密钥，即此时的推演密钥即为第二密钥。例如UE具体可以采用如下方式：Kw=KDF（K，推演参数）推演得到第二密钥；其中Kw为第二密钥，K为第一密钥，推演参数为UE和网元设备协商确定好的，KDF（，）为一个密钥推演功能(key derivation function;KDF)函数，K和推演参数作为该函数的输入，Kw作为该函数的输出。
例如在本发明实施例中可以取第二密钥Kw=HMAC-SHA256(K,“WPA/WPA2 Personal”)；哈希消息认证码(Hashed Message AuthenticationCode；HMAC)是一类密码算法，HMAC-SHA256(,)表示一个密码算法函数，“WPA/WPA2 Personal”为约定好的用于推演第二密钥Kw的推演参数，用于标识第二密钥Kw被UE和WLAN网络用于通过WPA/WPA2 personal的方式建立WLAN安全连接。通过WPA/WPA2 personal的方式建立WLAN安全连接是UE和WLAN节点基于预共享密钥的方式，建立WLAN安全连接的方法，详细可以参考相关现有技术，在此不再赘述。本实施例中UE和WLAN网络之间的预共享密钥，即为第二密钥Kw。本实施例中K仍为第一密钥。
此时对应的步骤102，具体可以为UE根据第二密钥与WLAN节点之间建立安全连接。采用该技术方案，该第二密钥是UE根据第一密钥和与UE协商确定的推演参数进行推演得到，可以保证不同的UE具有不同的第二密钥，每一UE可以基于其对应的第二密钥与WLAN节点之间建立安全连接，从而能够有效地保证UE和WLAN节点之间的安全连接。
可选地，在图1所示实施例的可选实施例中，步骤101，具体可以包括：UE根据第一密钥和推演参数进行推演得到第二密钥；UE再根据第二密钥和WLAN节点的身份标识符推演得到第三密钥，其中UE在开始接入WLAN节点的时候，可以获取到WLAN节点的身份标识符。而本实施例中，在网元设备一侧，网元设备也可以获取到该WLAN节点的身份标识符，并根据第二密钥和WLAN节点的身份标识符进行推演得到第三密钥。例如WLAN节点在向网元设备请求密钥时，可以向网元设备发送携带UE的身份标识符和WLAN节点的身份标识符的密钥请求消息。这样网元设备便可以知道需要根据第二密钥和WLAN节点的身份标识符推演第三密钥，并将该第三密钥发送给WLAN节点。这样UE侧和WLAN节点侧均可以获知该第三密钥。例如当WLAN节点的身份标识符为WLAN节点的服务集标识（Service Set Identifier；SSID），该第三密钥可以采用如下方式推演得到：第三密钥=HMAC-SHA256(Kw,WLAN节点的SSID)。HMAC-SHA256(，)表示一个密码算法函数，Kw表示第二密钥。此时对应的步骤102，具体可以为UE根据第三密钥与WLAN节点之间建立安全连接。采用该技术方案，可以保证同一UE在从不同的WLAN节点接入WLAN时，采用不同的第三密钥，与上述每一UE可以基于其对应的第二密钥与WLAN节点之间建立安全连接相比，能够进一步增强UE与WLAN节点之间建立的连接的安全性。当然，在推演第三密钥的过程中，WLAN节点可以将身份标识符发给网元设备，但这不是网元设备唯一获取WLAN节点身份标识符的方法。网元设备可以通过其他方法来获取WLAN节点的身份标识符，例如网元设备可以接收WLAN节点发送的携带UE的身份标识符的密钥请求消息，可以获取该WLAN节点的IP地址，再根据该WLAN节点的IP地址获取该WLAN节点的身份标识符，实际应用中还网元设备还可以采用其他方法获取WLAN节点的身份标识符。此外，WLAN节点也可以是WLAN节点的MAC地址或者其他的能够唯一标识WLAN节点的身份信息。
可选地，在图1所示实施例的可选实施例中，UE的身份标识符为UE的媒体访问控制（Media Access Control；MAC）地址、UE的国际移动用户识别码（International Mobile Subscriber Identification Number；IMSI）、UE的临时移动用户识别码（Temperate Mobile Subscription Identity；TMSI）、UE的分组临时移动用户识别码（Packet Temperate Mobile Subscription Identity；P-TMSI）、UE的全球唯一临时身份（Globally Unique Temporary Identity；GUTI）、UE的系统架构演进临时移动客户身份（System Architecture EvolutionTemporary Mobile Subscriber Identity;S-TMSI）、UE的无线网络临时标识（Radio Network Temporary Identifier；RNTI）或者UE的移动台国际电话综合业务数字网号码（Mobile Station international Integrated Services DigitalNetwork Number；MSISDN）。
进一步可选地，当UE的身份标识符为上述除MAC地址之外的其他的时候，网元设备自身能够获取该UE的身份标识符，此时UE不需要向网元设备发送该UE的身份标识符。而当UE的身份标识符为UE的WLAN接口的MAC地址（或者为网元设备无法从自身获知的UE的其他身份标识符）时，上述方法中的“UE再根据第二密钥和接收网元设备发送的WLAN节点的身份标识符推演得到第三密钥”之前，还包括UE向网元设备发送UE的身份标识符。具体地，UE可以采用加密的方式向网元设备发送UE的身份标识符。
可选地，在图1所示实施例的可选实施例中，移动通信网络可以为全球移动通信（Global System For Mobile Communication；GSM）网络、通用移动通讯系统（Universal Mobile Telecommunications System；UMTS）、长期演进（Long Term Evolution；LTE）系统、码分多址（Code Division Multiple Access；CDMA）网络或通用分组无线服务（General Packet Radio Service；GPRS)网络；网元设备可以为GSM网络的基站控制器（Base Station Controller；BSC）、UMTS的无线网络控制器（Radio Network Controller；RNC）、GPRS网络的服务GPRS支持节点（Serving GPRS Support Node；SGSN）、LTE系统的移动管理实体（Mobility Management Entity；MME）或者基站（如LTE系统中的eNB）。
可选地，在图1所示实施例的可选实施例中，对于上述实施例中的步骤100的第一密钥，例如当移动通信网络为GSM网络，对应的网元设备为BSC，UE与BSC之间的共享密钥为Kc。第一密钥K可以为Kc，或根据Kc，使用密钥推演功能推演得到的密钥，如K=KDF（Kc，“K for WLAN”）。
当移动通信网络为GPRS网络，对应的网元设备为核心网节点中的SGSN，UE与SGSN之间的共享密钥为Kc，第一密钥K可以为Kc，或根据Kc推演得到的密钥。
当移动通信网络为UMTS，对应的网元设备为RNC，UE与SGSN之间进行共享密钥为CK/IK。第一密钥K可以为CK/IK中的任何一个密钥，或根据CK，或IK，或两者推演得到一个密钥，例如可以取第一密钥K=CK||IK。
当移动通信网络为LTE，对应的网元设备为核心网节点中的MME，UE与MME之间的共享密钥为Kasme、Knas.int或者Knas.enc。第一密钥K可以为此三个密钥中的任何一个密钥，或根据此三个密钥中的一个或数个密钥推演得到的密钥。例如可以取第一密钥K=Knas.int XOR Knas.enc。
当移动通信网络为LTE网络时，对应的网元设备还可以为eNB，UE和eNB之间的共享密钥Kenb、Krrc.int、Krrc.enc、Kup.enc、Kup.int，第一密钥K可以是Kenb、Krrc.int、Krrc.enc、Kup.enc、Kup.int等中的一个密钥，也可以是根据这些密钥中的一个或多个推演得到的密钥。例如在本实施例中，可以取第一密钥K=Kenb。
当移动通信网络为LTE网络时，对应的网元设备还可以为eNB时，对应上述实施例中的“UE向网元设备送UE的身份标识符”具体可以采用如下两种方法：
方法一：UE在非接入层（Non-Access Stratum；NAS）安全模式结束（Security mode complete；SMP）消息中将UE的身份标识符发给MME，MME将UE的身份标识符通过S1消息转发给eNB；
方法二：UE在RRC消息中将UE的身份标识符发给eNB。
可选地，在图1所示实施例的可选实施例中，其中101中UE向网元设备和WLAN节点发送UE的身份标识符（如MAC地址）；UE的身份标识符（如MAC地址）可能会暴露用户的隐私，因此需要通过一些方式对UE的身份标识符（如MAC地址）的传输进行安全保护。UE的身份标识符（如MAC地址）的传输可通过如下几种方式进行保护：
第一种情况、在加密的消息中传输UE的身份标识符（如MAC地址），例如一些无线资源控制协议（Radio Resource Control；RRC）消息，或者非接入层（Non-Access Stratum；NAS）消息可以进行加密保护，因此可以在这些加密的RRC消息或者NAS消息中传输UE的身份标识符，从而可以保护UE的身份标识符传输的机密性，防止攻击者利用UE的身份标识符对用户的隐私造成危害，如位置追踪等。
其中可加密的RRC消息或者NAS消息可以包括如下消息：附着完成（Attach Complete）消息、路由区域更新（Routing Area Update；RAU）消息完成（Complete）、跟踪区域更新（Tracking Area Update；）完成（Complete）消息、非接入层安全模式结束（Non-access Stratum Security Mode Complete;NAS SMC）消息或者UE的容量迁移（capability transfer）消息等等。
但是，在某些网络中，运营商可能没有开启加密功能。因此所有的RRC/NAS信令都无法进行保护。在这种情况下，UE和控制器/核心网节点可根据第一密钥K推演得到第四密钥Ka。利用第四密钥Ka对UE的身份标识符进行异或操作，从而保证了UE的身份标识符传输的安全性。第四密钥Ka的推演可能也需要一些推演参数的参与。这些推演参数可能需要在UE和网络侧进行交互。本实施例中，推演第四密钥Ka的一个例子是Ka=HMAC-SHA256(K,“MAC anonymity”)。MAC anonymity为一个字符串，用于表示本实施例中密钥推演的目的是用于实现MAC地址隐藏功能。
上述实施例的无线局域网络的安全建立方法，通过采用上述技术方案，UE与WLAN节点之间能够基于推演密钥建立安全连接，能够克服现有技术中WLAN工作在open模式下，UE和WLAN节点之间不建立安全连接，UE和WLAN节点之间的数据以明文方式传输，导致UE与WLAN节点之间通信的安全性能较差的缺陷，采用本实施例的技术方案，能够在UE和WLAN节点之间建立安全连接，提高UE与WLAN节点之间通信的安全性。
图2为本发明另一实施例提供的WLAN的安全建立方法的流程图。如图2所示，本实施例的WALN的安全建立方法的执行主体为WLAN节点。本实施例的WALN的安全建立方法，具体可以包括如下步骤：
200、WLAN节点接收UE发送的UE的身份标识符；
201、WLAN节点向UE接入的移动通信网络中的网元设备发送携带UE的身份标识符的密钥请求消息；
202、WLAN节点接收网元设备发送的UE的身份标识符对应的推演密钥；
本实施例中该推演密钥为网元设备根据第一密钥和推演参数进行推演得到，第一密钥为UE与网元设备在执行空口安全时的共享密钥或者根据UE与网元设备在执行空口安全时的共享密钥推演得出的；推演参数为UE与网元设备协商确定的。
203、WLAN节点基于推演密钥与获取到推演密钥的UE之间建立安全连接。
其中UE获取到的推演密钥与WLAN节点获取的推演密钥相同，亦即本实施例的技术方案在实现时，UE亦能够获取到该推演密钥，例如UE可以根据第一密钥和推演参数推演得到推演密钥，详细可以参考上述图1所示实施例的记载。这样，采用本实施例的技术方案，UE和WLAN节点均可以获取到推演密钥，便能够基于该推演密钥建立安全连接，保证UE与WLAN节点之间通信的安全性。
本实施例与上述图1所示实施例的区别仅在于：上述图1所示实施例在UE侧描述本发明的技术方案，而本实施例在WLAN节点侧描述本发明的技术方案，其余实施过程完全相同，详细可以参考上述图1所示实施例的记载，在此不再赘述。
本实施例的无线局域网络的安全建立方法，通过采用上述技术方案，UE与WLAN节点之间能够基于推演密钥建立安全连接，能够克服现有技术中WLAN工作在open模式下，UE和WLAN节点之间不建立安全连接，UE和WLAN节点之间的数据以明文方式传输，导致UE与WLAN节点之间通信的安全性能较差的缺陷，采用本实施例的技术方案，能够在UE和WLAN节点之间建立安全连接，提高UE与WLAN节点之间通信的安全性。
可选地，在上述图2所示实施例的技术方案的基础上，还可以包括如下可选技术方案，构成图2所示实施例的可选实施例。
在图2所示实施例的可选实施例中，上述实施例的步骤202中“WLAN节点接收网元设备发送的UE的身份标识符对应的推演密钥”，具体可以包括：WLAN节点接收网元设备发送的UE的身份标识符对应的第二密钥，第二密钥为网元设备根据UE的身份标识符以及网元设备中存储的UE的身份标识符与第二密钥之间的对应关系获取的；第二密钥为网元设备根据第一密钥和推演参数进行推演得到；在该技术方案中，推演密钥为第二密钥。此时对应的步骤203“WLAN节点基于推演密钥与UE之间建立安全连接”，具体可以包括：WLAN节点基于第二密钥与UE之间建立安全连接。采用该技术方案，第二密钥采用第一密钥和与UE协商确定的推演参数进行推演得到，可以保证不同的UE具有不同的第二密钥，每一UE可以基于其对应的第二密钥与WLAN节点之间建立安全连接，从而能够有效地保证UE和WLAN节点之间的安全连接。
采用上述方案，不同的UE具有不同的第二密钥，能够增强UE和WLAN节点之间的安全连接；但是当同一UE采用不同的WLAN节点接入WLAN的时候，还是采用相同的第二密钥与WLAN节点建立安全连接，因此还是给UE接入WLAN带来一定的安全隐患，为了解决该问题，可选地，在图2所示实施例的可选实施例中，还可以包括下述方案：
上述实施例中的步骤202“WLAN节点接收网元设备发送的UE的身份标识符对应的推演密钥”，具体可以包括：WLAN节点接收网元设备发送的第三密钥，该第三密钥为网元设备根据第二密钥与WLAN节点的身份标识符推演得到的；第二密钥为网元设备根据UE的身份标识符以及网元设备中存储的UE的身份标识符与第二密钥之间的对应关系获取的；第二密钥为网元设备根据第一密钥和与UE协商确定的推演参数进行推演得到。其中网元设备可以接收WLAN节点发送的携带UE的身份标识符的密钥请求消息之后，获取该WLAN节点的IP地址，再根据该WLAN节点的IP地址获取该WLAN节点的身份标识符，实际应用中网元设备还可以采用其他方法获取WLAN节点的身份标识符。此外，WLAN节点可以是WLAN节点SSID、或者WLAN节点的MAC地址或者其他的能够唯一标识WLAN节点的身份信息。
对应地上述实施例中的步骤203“WLAN节点基于推演密钥与UE之间建立安全连接”，具体可以包括：WLAN节点基于第三密钥与UE之间建立安全连接。在该方案中推演密钥为第三密钥，采用该技术方案，可以保证同一UE在从不同的WLAN节点接入WLAN时，采用不同的第三密钥，与上述每一UE可以基于其对应的第二密钥与WLAN节点之间建立安全连接相比，能够进一步增强UE与WLAN节点之间建立的连接的安全性。
进一步可选地，对于推演密钥为第三密钥时，上述实施例中的步骤201“WLAN节点向UE接入的移动通信网络中的网元设备发送携带UE的身份标识符的密钥请求消息”，具体可以包括：WLAN节点向网元设备发送携带UE的身份标识符和WLAN节点的身份标识符的密钥请求消息。此时网元设备可以直接获取该WLAN节点的身份标识符，而不用再去间接获取该WLAN节点的身份标识符。
在图2所示实施例的可选实施例中，上述实施例中的移动通信网络可以为GSM网络、UMTS、LTE系统、CDMA网络或GPRS网络；网元设备可以为GSM网络的BSC、UMTS的RNC、GPRS网络的SGSN、LTE系统的MME或者LTE系统中的eNB。
可选地，在图1所示实施例的可选实施例中，UE的身份标识符为UE的MAC地址、UE的IMSI、UE的TMSI、UE的P-TMSI、UE的GUTI、UE的S-TMSI、UE的RNTI或者UE的MSISDN。
需要说明的是，上述图1所示实施例的可选实施例中的能够应用在WLAN节点侧的可选技术方案，均可以用于在图2所示实施例的可选实施例中，详细可以参考上述图1所示实施例的可选实施例，在此不再赘述。
上述实施例的无线局域网络的安全建立方法，通过采用上述技术方案，UE与WLAN节点之间能够基于推演密钥建立安全连接，能够克服现有技术中WLAN工作在open模式下，UE和WLAN节点之间不建立安全连接，UE和WLAN节点之间的数据以明文方式传输，导致UE与WLAN节点之间通信的安全性能较差的缺陷，采用本实施例的技术方案，能够在UE和WLAN节点之间建立安全连接，提高UE与WLAN节点之间通信的安全性。
图3为本发明再一实施例提供的WLAN的安全建立方法的流程图。如图3所示，本实施例的WLAN的安全建立方法的执行主体为移动通信网络中的网元设备。本实施例的WLAN的安全建立方法，具体可以包括如下步骤：
300、UE接入的移动通信网络中的网元设备接收WLAN节点发送的密钥请求消息；该密钥请求消息中携带有UE的身份标识符；
301、网元设备根据密钥请求消息中的UE的身份标识符，获取对应的推演密钥；
本实施例中该推演密钥为网元设备根据第一密钥和推演参数进行推演得到；其中第一密钥为网元设备与UE在执行空口安全时的共享密钥或者根据网元设备与UE在执行空口安全时的共享密钥推演得出的。推演参数为网元设备与U协商确定的。
302、网元设备向WLAN节点发送推演密钥，以供WLAN节点基于推演密钥与获取到推演密钥的UE之间建立安全连接。
其中UE获取到的推演密钥与WLAN节点接收网元设备发送的推演密钥相同。本实施例与上述图1或者图2所示实施例的区别仅在于：上述图1所示实施例在UE侧描述本发明的技术方案，图2所示实施例在WLAN节点侧描述本发明的技术方案，而本实施例在移动通信网络中的网元设备侧描述本发明的技术方案，其余实施过程完全相同，详细可以参考上述图1或者图2所示实施例的记载，在此不再赘述。
本实施例的无线局域网络的安全建立方法，通过采用上述技术方案，UE与WLAN节点之间能够基于推演密钥建立安全连接，能够克服现有技术中WLAN工作在open模式下，UE和WLAN节点之间不建立安全连接，UE和WLAN节点之间的数据以明文方式传输，导致UE与WLAN节点之间通信的安全性能较差的缺陷，采用本实施例的技术方案，能够在UE和WLAN节点之间建立安全连接，提高UE与WLAN节点之间通信的安全性。
可选地，在上述图3所示实施例的技术方案的基础上，还可以包括如下可选技术方案，构成图3所示实施例的可选实施例。
在图3所示实施例的可选实施例中，在步骤301之前还包括如下步骤：303、网元设备获取第一密钥。
可选地，在图3所示实施例的可选实施例中，步骤303“网元设备获取第一密钥”之后，步骤301“网元设备根据密钥请求消息中的UE的身份标识符，获取对应的推演密钥”之前，还可以包括如下步骤：
（1）网元设备根据第一密钥和推演参数进行推演得到第二密钥；
（2）建立第二密钥与UE的身份标识符之间的对应关系。
此时对应的步骤301“网元设备根据密钥请求消息中的UE的身份标识符，获取对应的推演密钥”，具体可以包括：网元设备根据第二密钥与UE的身份标识符之间的对应关系、以及密钥请求消息中的UE的身份标识符，获取第二密钥。即本实施例中的推演密钥为第二密钥。
此时对应的步骤302“网元设备向WLAN节点发送推演密钥，以供WLAN节点基于推演密钥与UE之间建立安全连接”，具体可以包括：网元设备向WLAN节点发送第二密钥，以供WLAN节点基于第二密钥与UE之间建立安全连接。
或者进一步可选地，当在步骤303“网元设备获取第一密钥”之后，步骤301“网元设备根据密钥请求消息中的UE的身份标识符，获取对应的推演密钥”之前，还包括上述步骤（1）和（2）的时候，此时对应的步骤300“网元设备接收WLAN节点发送的携带UE的身份标识符的密钥请求消息”还可以具体包括：网元设备接收WLAN节点发送的携带UE的身份标识符和WLAN节点的身份标识符的密钥请求消息。或者可选地，网元设备接收WLAN节点发送的携带密钥请求消息中也可以不携带WLAN节点的身份标识符，而由网元设备自己去获取WLAN节点的身份标识符，例如网元设备可以接收WLAN节点发送的携带UE的身份标识符的密钥请求消息之后，获取该WLAN节点的IP地址，再根据该WLAN节点的IP地址获取该WLAN节点的身份标识符，实际应用中网元设备还可以采用其他方法获取WLAN节点的身份标识符。此外，WLAN节点可以是WLAN节点SSID、或者WLAN节点的MAC地址或者其他的能够唯一标识WLAN节点的身份信息。
此时对应的步骤301“网元设备根据密钥请求消息中的UE的身份标识符，获取对应的推演密钥”，具体可以包括如下步骤：
（a）网元设备根据第二密钥与UE的身份标识符之间的对应关系、以及密钥请求消息中的UE的身份标识符，获取第二密钥；
（b）网元设备根据第二密钥与密钥请求消息中的WLAN节点的身份标识符推演得到第三密钥。即该技术方案中，推演密钥为第三密钥。
此时对应的步骤302“网元设备向WLAN节点发送推演密钥，以供WLAN节点基于推演密钥与UE之间建立安全连接”，具体可以包括：网元设备向WLAN节点发送第三密钥，以供WLAN节点基于第三密钥与UE之间建立安全连接。
可选地，在图3所示实施例的可选实施例中，上述实施例中的移动通信网络可以为GSM网络、UMTS、LTE系统、CDMA网络或GPRS网络；网元设备可以为GSM网络的BSC、UMTS的RNC、GPRS网络的SGSN、LTE系统的MME或者LTE系统中的eNB。
可选地，在图3所示实施例的可选实施例中，UE的身份标识符为UE的MAC地址、UE的IMSI、UE的TMSI、UE的P-TMSI、UE的GUTI、UE的S-TMSI、UE的RNTI或者UE的MSISDN。
进一步可选地，当UE的身份标识符为UE的WLAN接口的MAC地址时，步骤300“网元设备接收WLAN节点发送的携带UE的身份标识符的密钥请求消息”之前，还可以包括：网元设备接收UE发送的UE的身份标识符。例如网元设备具体可以接收UE采用加密的方式发送的UE的身份标识符，例如加密的消息可以为加密的附着完成（Attach Complete）消息、RAU消息完成（Complete）消息、TAU完成（Complete）消息、NAS SMC消息或者UE的容量迁移（capability transfer）消息等等消息。这样，采用上述方案可以对UE的身份标识符进行有效地保护，从而能够有效地保证推演密钥的安全性，进一步有效地增强了UE和WLAN节点之间的安全性连接。
需要说明的是，上述图1所示实施例的可选实施例中的能够应用在网元设备侧的可选技术方案，均可以用于在图3所示实施例的可选实施例中，详细可以参考上述图1所示实施例的可选实施例，在此不再赘述。
上述实施例的无线局域网络的安全建立方法，通过采用上述技术方案，UE与WLAN节点之间能够基于推演密钥建立安全连接，能够克服现有技术中WLAN工作在open模式下，UE和WLAN节点之间不建立安全连接，UE和WLAN节点之间的数据以明文方式传输，导致UE与WLAN节点之间通信的安全性能较差的缺陷，采用本实施例的技术方案，能够在UE和WLAN节点之间建立安全连接，提高UE与WLAN节点之间通信的安全性。
图4为本发明一实施例提供的WLAN的安全建立方法的信令图。本实施例在上述实施例的基础上，以移动通信网络为GSM网络，网元设备为BSC，UE的身份标识符为UE的MAC地址为例详细介绍本发明实施例的技术方案。如图4所示，本实施例的WLAN的安全建立方法，具体可以包括如下步骤：
400、UE接入GSM网络，并与GSM网络中的BSC执行空口安全，UE和BSC获取执行空口安全时的共享密钥，并基于该共享密钥获取第一密钥；
例如可以参考上述图1-图3所示实施例的记载，第一密钥为该共享密钥或者根据该共享密钥推演得出的。
401、UE向BSC发送UE的MAC地址；
例如UE可以在RRC消息中携带UE的MAC地址以发送给BSC。本发明实施例中当UE的身份标识符为MAC地址之外的其他时，BSC可以从自身中获取到，可以省去该步骤401。
402、UE和BSC根据第一密钥和推演参数推演得到第二密钥；
本实施例中该推演参数可以由UE和BSC协商确定。步骤401和步骤402可以无先后顺序。
403、BSC存储该UE的MAC地址与第二密钥的对应关系；
404、WLAN节点向BSC发送携带UE的MAC地址的密钥请求消息；
例如在UE接入WLAN节点时向WLAN节点发送WiFi消息时已经将该UE的MAC地址告诉给WLAN节点，详细可以参考相关现有技术，在此不再赘述。
405、BSC根据密钥请求消息中的UE的MAC地址以及UE的MAC地址与第二密钥的对应关系，获取该UE对应的第二密钥；
406、BSC向WLAN节点发送给第二密钥；
407、UE和WLAN节点基于该第二密钥建立WLAN安全连接。
本实施例中WLAN节点向BSC发送的密钥请求消息中还可以携带WLAN节点的身份标识符，此时步骤405之后，可以执行UE和BSC基于该第二密钥和WLAN节点的身份标识符进行推演得到第三密钥，此时对应的BSC向WLAN节点发送该第三密钥，此时对应的UE和WLAN节点基于该第三密钥建立安全连接。
本实施例的无线局域网络的安全建立方法，通过采用上述技术方案，UE与WLAN节点之间能够基于第二密钥或者第三密钥建立安全连接，能够克服现有技术中WLAN工作在open模式下，UE和WLAN节点之间不建立安全连接，UE和WLAN节点之间的数据以明文方式传输，导致UE与WLAN节点之间通信的安全性能较差的缺陷，采用本实施例的技术方案，能够在UE和WLAN节点之间建立安全连接，提高UE与WLAN节点之间通信的安全性。
图5为本发明另一实施例提供的WLAN的安全建立方法的信令图。本实施例在上述实施例的基础上，以移动通信网络为LTE网络，网元设备为eNB，UE的身份标识符为UE的MAC地址为例详细介绍本发明实施例的技术方案。如图5所示，本实施例的WLAN的安全建立方法，具体可以包括如下步骤：
500、UE接入LTE网络，并与LTE网络中的eNB执行空口安全，UE和eNB获取执行空口安全时的共享密钥，并基于该共享密钥获取第一密钥；
例如可以参考上述图1-图3所示实施例的记载，第一密钥为该共享密钥或者根据该共享密钥推演得出的。
501、UE向MME发送UE的MAC地址；
例如UE在NAS SMC中将UE的MAC地址发给MME。
502、MME向eNB发送UE的MAC地址；
例如MME将UE的MAC地址通过S1消息转发给eNB。
可选地，UE也可以在RRC消息中将UE的MAC地址发给eNB。
本发明实施例中当UE的身份标识符为MAC地址之外的其他时，BSC可以从自身中获取到，可以省去该步骤401。
503、UE和eNB根据第一密钥和推演参数推演得到第二密钥；
本实施例中该推演参数可以由UE和eNB协商确定。步骤503和步骤501步骤502可以无先后顺序。
504、eNB存储该UE的MAC地址与第二密钥的对应关系；
505、WLAN节点向eNB发送携带UE的MAC地址和WLAN节点身份标识符的密钥请求消息；
例如在UE接入WLAN节点时向WLAN节点发送WiFi消息时已经将该UE的MAC地址告诉给WLAN节点，详细可以参考相关现有技术，在此不再赘述。
506、eNB根据密钥请求消息中的UE的MAC地址以及UE的MAC地址与第二密钥的对应关系，获取该UE对应的第二密钥；
507、eNB和UE基于该第二密钥和密钥请求消息中的WLAN节点身份标识符推演得到第三密钥；
508、eNB向WLAN节点发送给第三密钥；
509、UE和WLAN节点基于该第三密钥建立WLAN安全连接。
本实施例的无线局域网络的安全建立方法，通过采用上述技术方案，UE与WLAN节点之间能够基于第三密钥建立安全连接，能够克服现有技术中WLAN工作在open模式下，UE和WLAN节点之间不建立安全连接，UE和WLAN节点之间的数据以明文方式传输，导致UE与WLAN节点之间通信的安全性能较差的缺陷，采用本实施例的技术方案，能够在UE和WLAN节点之间建立安全连接，提高UE与WLAN节点之间通信的安全性。
上述图4和图5仅为本发明实施例的两种可选形式的实施例，根据上述图1-图3所示实施例及对应的可选实施例中，还可以推理得到本发明的其他实施例的信令图，在此不再一一举例赘述。
图6为本发明又一实施例提供的WLAN的安全建立方法的流程图。如图6所示，本实施例的WLAN的安全建立方法的执行主体为UE，本实施例的WLAN的安全建立方法，具体可以包括如下步骤：
600、UE获取第一密钥；
本实施例中的第一密钥为UE与接入的移动通信网络中的第一网元设备在执行空口安全时的共享密钥，或者第一密钥为根据UE与接入的移动通信网络中的第一网元设备在执行空口安全时的共享密钥推演得出的；UE根据UE的身份标识符和第一密钥推演生成认证用户名和认证信任状。
601、UE根据认证用户名和认证信任状与第一网元设备或者第二网元设备进行扩展认证协议（Extensible Authentication Protocol；EAP）认证；
602、UE在认证完成后与WLAN节点之间建立安全连接。
本实施例中的EAP认证过程详细可以参考现有技术中的EAP认证，在此不再赘述。
本实施例中的第二网元设备从第一网元设备处获取认证用户名和认证信任状；或者第二网元设备从第一网元设备处获取UE的身份标识符和第一密钥，并根据UE的身份标识符和第一密钥推演生成认证用户名和认证信任状。本实施例中的第一网元设备和第二网元设备仅为对两个网元设备进行命名，实际应用中，两个网元设备的名称亦可以互换。
本实施例的无线局域网络的安全建立方法，通过采用上述技术方案，UE根据UE的身份标识符和第一密钥推演生成认证用户名和认证密码；并由UE根据认证用户名和认证密码与UE接入的移动通信网络中的网元设备进行EAP认证，并在认证完成后UE与WLAN节点之间建立安全连接；其中第一密钥为用户设备与接入的移动通信网络中的网元设备在执行空口安全时的共享密钥或者根据共享密钥推演得出的。采用本实施例的上述技术方案，能够克服现有技术中WLAN工作在open模式下，UE和WLAN节点之间不建立安全连接，UE和WLAN节点之间的数据以明文方式传输，导致UE与WLAN节点之间通信的安全性能较差的缺陷，采用本实施例的技术方案，能够在UE和WLAN节点之间建立安全连接，提高UE与WLAN节点之间通信的安全性。
可选地，上述实施例中的移动通信网络可以为GSM网络、UMTS、LTE系统、CDMA网络或GPRS网络；网元设备可以为GSM网络的BSC、UMTS的RNC、GPRS网络的SGSN、LTE系统的MME或者LTE系统中的eNB。
可选地，上述实施例中的UE的身份标识符为UE的MAC地址、UE的IMSI、UE的TMSI、UE的P-TMSI、UE的GUTI、UE的S-TMSI、UE的RNTI或者UE的MSISDN。
图7为本发明再另一实施例提供的WLAN的安全建立方法的流程图。如图7所示，本实施例的WLAN的安全建立方法的执行主体为第一网元设备，本实施例的WLAN的安全建立方法，具体可以包括如下步骤：
700、UE接入的移动通信网络中的第一网元设备获取UE的认证用户名和认证信任状；
本实施例中的认证用户名和认证信任状为根据UE的身份标识符和第一密钥推演生成的；第一密钥为UE与接入的移动通信网络中的第一网元设备或者第二网元设备在执行空口安全时的共享密钥，或者第一密钥为根据UE与接入的移动通信网络中的第一网元设备或者第二网元设备在执行空口安全时的共享密钥推演得出的。
701、第一网元设备根据认证用户名和认证信任状与UE进行EAP认证；
702、第一网元设备在EAP认证完成后，向WLAN节点发送认证完成，以指示WLAN节点与UE之间建立安全连接。
本实施例与上述图6所示实施例的区别仅在于：上述图6所示实施例在UE侧描述本发明的技术方案，而本实施例在移动通信网络中的第一网元设备侧描述本发明的技术方案，其余实施过程完全相同，详细可以参考上述图6所示实施例的记载，在此不再赘述。
本实施例的无线局域网络的安全建立方法，通过采用上述技术方案，第一网元设备获取UE的认证用户名和认证信任状，并根据认证用户名和认证密码与UE进行EAP认证，并在认证完成后，向WLAN节点发送认证完成，以指示WLAN节点与UE之间建立安全连接；其中认证用户名和认证信任状为根据UE的身份标识符和第一密钥推演生成的；第一密钥为UE与接入的移动通信网络中的第一网元设备或者第二网元设备在执行空口安全时的共享密钥或者根据共享密钥推演得出的。采用本实施例的上述技术方案，能够克服现有技术中WLAN工作在open模式下，UE和WLAN节点之间不建立安全连接，UE和WLAN节点之间的数据以明文方式传输，导致UE与WLAN节点之间通信的安全性能较差的缺陷，采用本发明实施例的技术方案，能够在UE和WLAN节点之间建立安全连接，提高UE与WLAN节点之间通信的安全性。
可选地，在上述图7所示实施例的技术方案的基础上，还可以包括如下可选技术方案，构成图7所示实施例的可选实施例。
在图7所示实施例的可选实施例中，步骤700“UE接入的移动通信网络中的第一网元设备获取UE的认证用户名和认证信任状”，具体可以包括如下步骤：
（1）第一网元设备接收第二网元设备发送的UE的UE的身份标识符和第一密钥，该第一密钥为UE与第二网元设备在执行空口安全时的共享密钥或者根据共享密钥推演得出的；
（2）第一网元设备根据UE的身份标识符和第一密钥推演生成认证用户名和认证信任状。
或者可选地，步骤700“UE接入的移动通信网络中的第一网元设备获取UE的认证用户名和认证信任状”，具体可以包括：第一网元设备接收第二网元设备发送的认证用户名和认证信任状，该认证用户名和认证信任状为第二网元设备根据UE的身份标识符和第一密钥推演生成的，第一密钥为UE与第二网元设备在执行空口安全时的共享密钥或者根据共享密钥推演得出的。
或者进一步可选地，步骤700“UE接入的移动通信网络中的第一网元设备获取UE的认证用户名和认证信任状”，具体可以包括如下步骤：
（a）第一网元设备获取第一密钥；述第一密钥为第一网元设备与UE在执行空口安全时的共享密钥或者根据共享密钥推演得出的；
（b）第一网元设备根据UE的身份标识符和第一密钥推演生成认证用户名和认证信任状。
可选地，上述实施例中的移动通信网络可以为GSM网络、UMTS、LTE系统、CDMA网络或GPRS网络；网元设备可以为GSM网络的BSC、UMTS的RNC、GPRS网络的SGSN、LTE系统的MME或者LTE系统中的eNB。
可选地，上述实施例中的UE的身份标识符为UE的MAC地址、UE的IMSI、UE的TMSI、UE的P-TMSI、UE的GUTI、UE的S-TMSI、UE的RNTI或者UE的MSISDN。
需要说明的是，上述图6所示实施例的可选实施例中的能够应用在网元设备侧的可选技术方案，均可以用于在图7所示实施例的可选实施例中，详细可以参考上述图6所示实施例的可选实施例，在此不再赘述。
通过采用上述实施例的技术方案，第一网元设备获取UE的认证用户名和认证信任状，并根据认证用户名和认证密码与UE进行EAP认证，并在认证完成后，使得UE与WLAN节点之间建立安全连接；其中认证用户名和认证信任状为根据UE的身份标识符和第一密钥推演生成的；第一密钥为UE与接入的移动通信网络中的第一网元设备或者第二网元设备在执行空口安全时的共享密钥或者根据共享密钥推演得出的。采用本实施例的上述技术方案，能够克服现有技术中WLAN工作在open模式下，UE和WLAN节点之间不建立安全连接，UE和WLAN节点之间的数据以明文方式传输，导致UE与WLAN节点之间通信的安全性能较差的缺陷，采用本发明实施例的技术方案，能够在UE和WLAN节点之间建立安全连接，提高UE与WLAN节点之间通信的安全性。
本领域普通技术人员可以理解：实现上述各方法实施例的全部或部分步骤可以通过程序指令相关的硬件来完成。前述的程序可以存储于一计算机可读取存储介质中。该程序在执行时，执行包括上述各方法实施例的步骤；而前述的存储介质包括：ROM、RAM、磁碟或者光盘等各种可以存储程序代码的介质。
图8为本发明一实施例提供的UE的结构示意图。如图8所示，本实施例的UE，具体可以包括获取模块10、推演模块11和建立模块12。
其中获取模块10用于获取第一密钥；该第一密钥为本实施例的UE与接入的移动通信网络中的网元设备在执行空口安全时的共享密钥，或者该第一密钥为根据UE与接入的移动通信网络中的网元设备在执行空口安全时的共享密钥推演得出的。推演模块11与获取模块10连接，推演模块11用于根据获取模块10获取的第一密钥和推演参数进行推演得到推演密钥，推演参数为UE和网元设备协商确定的。建立模块12与推演模块11连接，建立模块用于根据推演模块11推演得到的推演密钥与获取到推演密钥的WLAN节点之间建立安全连接，WLAN节点获取到的推演密钥与UE获取的推演密钥相同，例如WLAN节点可以向网元设备中请求获取推演密钥，网元设备根据第一密钥和推演参数推演得到推演密钥。
本实施例中，UE与网元设备均可以获知推演参数，可以认为推演参数是两者协商确定的。推演参数具体可以为一个或者多个。例如推演参数可以为UE和网元设备事先约定好的，或者在推演推演密钥时在线协商的。例如可以由UE提供一些参数作为推演参数，然后告知网元设备。或者由网元设备提供一些参数作为推演参数，然后告知网元设备。或者可以由UE提供一些参数或者由网元设备提供一些参数，然后UE和网元设备交换各自提供的参数，此时对应的推演参数由UE提供给参数和网元设备提供的参数共同组成。
本实施例的UE，通过采用上述模块实现WLAN的安全建立与上述相关方法实施例的实现机制相同，详细可以参考上述相关方法实施例的记载，在此不再赘述，
本实施例的UE，通过采用上述模块，UE能够与WLAN节点之间能够基于推演密钥建立安全连接，能够克服现有技术中WLAN工作在open模式下，UE和WLAN节点之间不建立安全连接，UE和WLAN节点之间的数据以明文方式传输，导致UE与WLAN节点之间通信的安全性能较差的缺陷，采用本实施例的技术方案，能够在UE和WLAN节点之间建立安全连接，提高UE与WLAN节点之间通信的安全性。
图9为本发明另一实施例提供的UE的结构示意图。如图9所示，本实施例的UE，在上述图8所示实施例的基础上，还可以包括如下技术方案。
本实施例的UE中包括发送模块13。该发送模块13用于向WLAN节点发送UE的身份标识符，以供WLAN节点根据UE的身份标识符，向网元设备请求获取UE对应的推演密钥。
可选地，本实施例的UE中，推演模块11具体用于根据获取模块10获取的第一密钥和推演参数进行推演得到第二密钥；建立模块12具体用于根据推演模块11推演得打的第二密钥与WLAN节点之间建立安全连接。
可选地，本实施例的UE中，推演模块11具体用于根据第一密钥和推演参数进行推演得到第二密钥；并根据第二密钥和WLAN节点的身份标识符推演得到第三密钥；UE在开始接入WLAN节点的时候，可以获取到WLAN节点的身份标识符。而本实施例中，在网元设备一侧，网元设备也可以获取到该WLAN节点的身份标识符，并根据第二密钥和WLAN节点的身份标识符进行推演得到第三密钥。建立模块23具体用于根据推演模块11推演得到的第三密钥与WLAN节点之间建立安全连接。
可选地，本实施例的UE中，UE的身份标识符为UE的MAC地址、UE的IMSI、UE的TMSI、UE的P-TMSI、UE的GUTI、UE的S-TMSI、UE的RNTI或者UE的MSISDN。
进一步可选地，本实施例的UE中的发送模块13还用于当UE的身份标识符为UE的WLAN接口的MAC地址时，向网元设备发送UE的身份标识符。例如该发送模块13具体用于当UE的身份标识符为UE的WLAN接口的媒体访问控制地址时，采用加密的方式向网元设备发送UE的身份标识符。例如本实施例的UE中还可以包括携带模块，用于在附着完成（AttachComplete）消息、RAU消息完成（Complete）消息、TAU完成（Complete）消息、NAS SMC消息或者UE的容量迁移（capability transfer）消息等等中携带UE的身份标识符，并由发送模块13在网元设备发送携带UE的身份标识符的加密的附着完成（Attach Complete）消息、RAU消息完成（Complete）消息、TAU完成（Complete）消息、NAS SMC消息或者UE的容量迁移（capability transfer）消息等等。
可选地，本实施例的UE中，移动通信网络可以为GSM网络、UMTS、LTE系统、CDMA网络或GPRS网络；网元设备可以为GSM网络的BSC、UMTS的RNC、GPRS网络的SGSN、LTE系统的MME或者LTE系统中的eNB。
上述实施例的UE，通过采用上述模块实现WLAN的安全建立与上述相关方法实施例的实现机制相同，详细可以参考上述相关方法实施例的记载，在此不再赘述，
上述实施例的UE，通过采用上述模块，UE能够与WLAN节点之间能够基于推演密钥建立安全连接，能够克服现有技术中WLAN工作在open模式下，UE和WLAN节点之间不建立安全连接，UE和WLAN节点之间的数据以明文方式传输，导致UE与WLAN节点之间通信的安全性能较差的缺陷，采用本实施例的技术方案，能够在UE和WLAN节点之间建立安全连接，提高UE与WLAN节点之间通信的安全性。
图10为本发明实施例提供的WLAN节点设备的结构示意图。如图10所示，本实施例的WLAN节点设备中，具体可以包括：接收模块20、发送模块21和建立模块22。
其中接收模块20用于接收UE发送的UE的身份标识符；发送模块21与接收模块20连接，发送模块21用于向UE接入的移动通信网络中的网元设备发送携带接收模块20接收的UE的身份标识符的密钥请求消息；接收模块20还用于接收网元设备发送的UE的身份标识符对应的推演密钥；该推演密钥为网元设备根据第一密钥和推演参数进行推演得到，该第一密钥为UE与网元设备在执行空口安全时的共享密钥，或者该第一密钥为根据UE与网元设备在执行空口安全时的共享密钥推演得出的；推演参数为UE和网元设备协商确定的，例如该推演参数的确定可以参考上述相关实施例的记载。建立模块22与接收模块20连接，建立模块22用于基于接收模块20接收的推演密钥与获取到推演密钥的UE之间建立安全连接，其中UE获取到的推演密钥与WLAN节点获取的所述推演密钥相同，例如UE可以根据第一密钥和推演参数推演得到推演密钥。
本实施例的WLAN节点设备，通过采用上述模块实现WLAN的安全建立与上述相关方法实施例的实现机制相同，详细可以参考上述相关方法实施例的记载，在此不再赘述，
本实施例的WLAN节点设备，通过采用上述模块能够实现UE与WLAN节点之间基于推演密钥建立安全连接，能够克服现有技术中WLAN工作在open模式下，UE和WLAN节点之间不建立安全连接，UE和WLAN节点之间的数据以明文方式传输，导致UE与WLAN节点之间通信的安全性能较差的缺陷，采用本实施例的技术方案，能够在UE和WLAN节点之间建立安全连接，提高UE与WLAN节点之间通信的安全性。
可选地，在上述图10所示实施例的基础上，接收模块20具体用于接收网元设备发送的UE的身份标识符对应的第二密钥，该第二密钥为网元设备根据UE的身份标识符以及网元设备中存储的UE的身份标识符与第二密钥之间的对应关系获取的；该第二密钥为网元设备根据第一密钥和推演参数进行推演得到；本实施例中推演密钥为第二密钥。建立模块22具体用于基于接收模块20接收的第二密钥与UE之间建立安全连接.
或者可选地，在上述图8所示实施例的基础上，发送模块21具体用于向网元设备发送携带接收模块20接收的UE的身份标识符和WLAN节点的身份标识符的密钥请求消息；接收模块20具体用于接收网元设备发送的第三密钥，该第三密钥为网元设备根据第二密钥与WLAN节点的身份标识符推演得到的；该第二密钥为网元设备根据UE的身份标识符以及网元设备中存储的UE的身份标识符与第二密钥之间的对应关系获取的；该第二密钥为网元设备根据第一密钥和推演参数进行推演得到，本实施例中，推演密钥为第三密钥。建立模块22具体用于基于接收模块20接收的第三密钥与UE之间建立安全连接。
可选地，在上述图10所示实施例的基础上，UE的身份标识符为UE的MAC地址、UE的IMSI、UE的TMSI、UE的P-TMSI、UE的GUTI、UE的S-TMSI、UE的RNTI或者UE的MSISDN。
可选地，在上述图10所示实施例的基础上，移动通信网络可以为GSM网络、UMTS、LTE系统、CDMA网络或GPRS网络；网元设备可以为GSM网络的BSC、UMTS的RNC、GPRS网络的SGSN、LTE系统的MME或者LTE系统中的eNB。
上述实施例的WLAN节点设备，通过采用上述模块实现WLAN的安全建立与上述相关方法实施例的实现机制相同，详细可以参考上述相关方法实施例的记载，在此不再赘述，
上述实施例的WLAN节点设备，通过采用上述模块能够实现UE与WLAN节点之间基于推演密钥建立安全连接，能够克服现有技术中WLAN工作在open模式下，UE和WLAN节点之间不建立安全连接，UE和WLAN节点之间的数据以明文方式传输，导致UE与WLAN节点之间通信的安全性能较差的缺陷，采用本实施例的技术方案，能够在UE和WLAN节点之间建立安全连接，提高UE与WLAN节点之间通信的安全性。
图11为本发明一实施例提供的网元设备的结构示意图。本实施例的网元设备位于UE接入的移动通信网络中。如图11所示，本实施例的网元设备具体可以包括：接收模块30、获取模块31和发送模块32。
其中接收模块30用于接收WLAN节点发送的密钥请求消息，该密钥请求消息中携带有UE的身份标识符；获取模块31与接收模块30连接，获取模块31用于根据接收模块30接收的密钥请求消息中的UE的身份标识符，获取对应的推演密钥；该推演密钥为网元设备根据第一密钥和推演参数进行推演得到；第一密钥为网元设备与UE在执行空口安全时的共享密钥，或者第一密钥为根据网元设备与UE在执行空口安全时的共享密钥推演得出的；该推演参数为网元设备与UE协商确定的;发送模块32与获取模块31连接，发送模块32用于向WLAN节点发送获取模块31获取的推演密钥，以供WLAN节点基于推演密钥与获取到推演密钥的UE之间建立安全连接。其中UE获取到的推演密钥与WLAN节点接收网元设备发送的推演密钥相同。
本实施例的网元设备，通过采用上述模块实现WLAN的安全建立与上述相关方法实施例的实现机制相同，详细可以参考上述相关方法实施例的记载，在此不再赘述，
本实施例的网元设备，通过采用上述模块能够实现UE与WLAN节点之间基于推演密钥建立安全连接，能够克服现有技术中WLAN工作在open模式下，UE和WLAN节点之间不建立安全连接，UE和WLAN节点之间的数据以明文方式传输，导致UE与WLAN节点之间通信的安全性能较差的缺陷，采用本实施例的技术方案，能够在UE和WLAN节点之间建立安全连接，提高UE与WLAN节点之间通信的安全性。
图12为本发明另一实施例提供的网元设备的结构示意图。如图12所示，本实施例的网元设备，在上述图10所示实施例的基础上，还可以包括如下技术方案。
本实施例的网元设备中，获取模块31还用于根据密钥请求消息中的UE的身份标识符，获取对应的推演密钥之前，获取第一密钥。
本实施例的网元设备中，还包括推演模块33和建立模块34。其中推演模块33与获取模块31连接，用于在获取模块31获取第一密钥之后，根据密钥请求消息中的UE的身份标识符，获取对应的推演密钥之前，根据获取模块31获取的第一密钥和推演参数进行推演得到第二密钥；建立模块34与推演模块33连接，建立模块34用于建立推演模块33推演得到的第二密钥与UE的身份标识符之间的对应关系。此时对应的获取模块31还与建立模块34连接，具体用于根据建立模块34建立的第二密钥与UE的身份标识符之间的对应关系、以及密钥请求消息中的UE的身份标识符，获取第二密钥；即该技术方案中推演密钥为第二密钥。此时对应的发送模块32具体用于向WLAN节点发送获取模块31获取的第二密钥，以供WLAN节点基于第二密钥与UE之间建立安全连接。
或者可选地，本实施例的网元设备中，推演模块33也用于在获取模块31获取第一密钥之后，根据密钥请求消息中的UE的身份标识符，获取对应的推演密钥之前，根据获取模块31获取的第一密钥和推演参数进行推演得到第二密钥；建立模块34也用于建立获取模块31获取的第二密钥与UE的身份标识符之间的对应关系时，接收模块30具体用于接收WLAN节点发送的携带UE的身份标识符和WLAN节点的身份标识符的密钥请求消息；获取模块31具体用于根据建立模块34建立的第二密钥与UE的身份标识符之间的对应关系、以及接收模块30接收的密钥请求消息中的UE的身份标识符，获取第二密钥；并根据第二密钥与密钥请求消息中的WLAN节点的身份标识符推演得到第三密钥；发送模块32具体用于向WLAN节点发送获取模块31获取的第三密钥，以供WLAN节点基于第三密钥与UE之间建立安全连接。即该技术方案中推演密钥为第三密钥。
可选地，本实施例的网元设备中，UE的身份标识符为UE的MAC地址、UE的IMSI、UE的TMSI、UE的P-TMSI、UE的GUTI、UE的S-TMSI、UE的RNTI或者UE的MSISDN。
可选地，本实施例的网元设备中，接收模块30还用于当UE的身份标识符为UE的WLAN接口的MAC地址时，接收UE发送的UE的身份标识符。例如接收模块30还用于当UE的身份标识符为UE的WLAN接口的MAC地址时，接收UE采用加密的方式发送的UE的身份标识符。
可选地，本实施例的网元设备中，移动通信网络可以为GSM网络、UMTS、LTE系统、CDMA网络或GPRS网络；网元设备可以为GSM网络的BSC、UMTS的RNC、GPRS网络的SGSN、LTE系统的MME或者LTE系统中的eNB。
本实施例的网元设备，通过采用上述模块实现WLAN的安全建立与上述相关方法实施例的实现机制相同，详细可以参考上述相关方法实施例的记载，在此不再赘述，
本实施例的网元设备，通过采用上述模块能够实现UE与WLAN节点之间基于推演密钥建立安全连接，能够克服现有技术中WLAN工作在open模式下，UE和WLAN节点之间不建立安全连接，UE和WLAN节点之间的数据以明文方式传输，导致UE与WLAN节点之间通信的安全性能较差的缺陷，采用本实施例的技术方案，能够在UE和WLAN节点之间建立安全连接，提高UE与WLAN节点之间通信的安全性。
图13为本发明再一实施例提供的UE的结构示意图。如图13所示，本实施例的IE，具体可以包括获取模块40、生成模块41、认证模块42和建立模块43。
其中获取模块40用于获取第一密钥；该第一密钥为UE与接入的移动通信网络中的第一网元设备在执行空口安全时的共享密钥，或者根据UE与接入的移动通信网络中的第一网元设备在执行空口安全时的共享密钥推演得出的；生成模块41根据UE的身份标识符和获取模块40获取的第一密钥推演生成认证用户名和认证信任状；认证模块42与生成模块41连接，认证模块42用于根据生成模块41生成的认证用户名和认证信任状与第一网元设备或者第二网元设备进行EAP认证；第二网元设备为移动通信网络中的所述第一网元设备之外的其他网元设备；第二网元设备从第一网元设备处获取认证用户名和认证信任状；或者第二网元设备从第一网元设备处获取UE的身份标识符和第一密钥，并根据UE的身份标识符和第一密钥推演生成认证用户名和认证信任状。建立模块43与认证模块42连接，建立模块43用于在认证模块42进行EAP认证完成后与WLAN节点之间建立安全连接。
本实施例的UE，通过采用上述模块实现WLAN的安全建立与上述相关方法实施例的实现机制相同，详细可以参考上述相关方法实施例的记载，在此不再赘述，
本实施例的UE，通过采用上述模块UE能够根据UE的身份标识符和第一密钥推演生成认证用户名和认证密码；并由UE根据认证用户名和认证密码与UE接入的移动通信网络中的网元设备进行EAP认证，并在认证完成后UE与WLAN节点之间建立安全连接；其中第一密钥为用户设备与接入的移动通信网络中的网元设备在执行空口安全时的共享密钥或者根据共享密钥推演得出的。采用本实施例的上述技术方案，能够克服现有技术中WLAN工作在open模式下，UE和WLAN节点之间不建立安全连接，UE和WLAN节点之间的数据以明文方式传输，导致UE与WLAN节点之间通信的安全性能较差的缺陷，采用本发明实施例的技术方案，能够在UE和WLAN节点之间建立安全连接，提高UE与WLAN节点之间通信的安全性。
可选地，上述图13所示实施例的UE中，UE的身份标识符为UE的MAC地址、UE的IMSI、UE的TMSI、UE的P-TMSI、UE的GUTI、UE的S-TMSI、UE的RNTI或者UE的MSISDN。
可选地，上述图13所示实施例的UE中，移动通信网络可以为GSM网络、UMTS、LTE系统、CDMA网络或GPRS网络；网元设备可以为GSM网络的BSC、UMTS的RNC、GPRS网络的SGSN、LTE系统的MME或者LTE系统中的eNB。
图14为本发明再一实施例提供的网元设备的结构示意图。本实施例的网元设备位于UE接入的移动通信网络中。如图14所示，本实施例的网元设备包括获取模块50、认证模块51和发送模块52。
其中获取模块50用于获取UE的认证用户名和认证信任状；该认证用户名和认证信任状为根据UE的身份标识符和第一密钥推演生成的；第一密钥为UE与网元设备或者第二网元设备在执行空口安全时的共享密钥，或者第一密钥为根据UE与网元设备或者第二网元设备在执行空口安全时的共享密钥推演得出的。认证模块51与获取模块50连接，认证模块51用于根据认证用户名和认证信任状与UE进行EAP认证，发送模块52与认证模块51连接，发送模块52用于在认证模块51进行EAP认证成功后，向WLAN节点发送认证完成，以指示WLAN节点与UE之间建立安全连接。
本实施例的网元设备，通过采用上述模块实现WLAN的安全建立与上述相关方法实施例的实现机制相同，详细可以参考上述相关方法实施例的记载，在此不再赘述，
本实施例的网元设备，通过采用上述模块能够获取UE的认证用户名和认证信任状，并根据认证用户名和认证密码与UE进行EAP认证，并在认证完成后，使得UE与WLAN节点之间建立安全连接；其中认证用户名和认证信任状为根据UE的身份标识符和第一密钥推演生成的；第一密钥为UE与接入的移动通信网络中的第一网元设备或者第二网元设备在执行空口安全时的共享密钥或者根据共享密钥推演得出的。采用本实施例的上述技术方案，能够克服现有技术中WLAN工作在open模式下，UE和WLAN节点之间不建立安全连接，UE和WLAN节点之间的数据以明文方式传输，导致UE与WLAN节点之间通信的安全性能较差的缺陷，采用本发明实施例的技术方案，能够在UE和WLAN节点之间建立安全连接，提高UE与WLAN节点之间通信的安全性。
可选地，上述图14所示实施例的网元设备中，获取模块50具体用于接收第二网元设备发送的UE的UE的身份标识符和第一密钥，该第一密钥为UE与第二网元设备在执行空口安全时的共享密钥或者根据UE与第二网元设备在执行空口安全时的共享密钥推演得出的；并根据UE的身份标识符和第一密钥推演生成认证用户名和认证信任状。
或者可选地，上述图14所示实施例的网元设备中，获取模块50具体用于接收第二网元设备发送的认证用户名和认证信任状，认证用户名和认证信任状为第二网元设备根据UE的身份标识符和第一密钥推演生成的，第一密钥为UE与第二网元设备在执行空口安全时的共享密钥或者根据UE与第二网元设备在执行空口安全时的共享密钥推演得出的。
或者可选地，上述图14所示实施例的网元设备中，获取模块50具体用于获取第一密钥；第一密钥为第一网元设备与UE在执行空口安全时的共享密钥或者根据第一网元设备与UE在执行空口安全时的共享密钥推演得出的；并根据UE的身份标识符和第一密钥推演生成认证用户名和认证信任状。
可选地，上述实施例的UE中，UE的身份标识符为UE的MAC地址、UE的IMSI、UE的TMSI、UE的P-TMSI、UE的GUTI、UE的S-TMSI、UE的RNTI或者UE的MSISDN。
可选地，上述实施例的UE中，移动通信网络可以为GSM网络、UMTS、LTE系统、CDMA网络或GPRS网络；网元设备可以为GSM网络的BSC、UMTS的RNC、GPRS网络的SGSN、LTE系统的MME或者LTE系统中的eNB。
上述实施例的网元设备，通过采用上述模块实现WLAN的安全建立与上述相关方法实施例的实现机制相同，详细可以参考上述相关方法实施例的记载，在此不再赘述，
上述实施例的网元设备，通过采用上述模块能够获取UE的认证用户名和认证信任状，并根据认证用户名和认证密码与UE进行EAP认证，并在认证完成后，使得UE与WLAN节点之间建立安全连接；其中认证用户名和认证信任状为根据UE的身份标识符和第一密钥推演生成的；第一密钥为UE与网元设备或者第二网元设备在执行空口安全时的共享密钥或者根据UE与网元设备或者第二网元设备的共享密钥推演得出的。采用本实施例的上述技术方案，能够克服现有技术中WLAN工作在open模式下，UE和WLAN节点之间不建立安全连接，UE和WLAN节点之间的数据以明文方式传输，导致UE与WLAN节点之间通信的安全性能较差的缺陷，采用本发明实施例的技术方案，能够在UE和WLAN节点之间建立安全连接，提高UE与WLAN节点之间通信的安全性。
图15为本发明一实施例提供的WLAN的安全建立系统的结构示意图。如图15所示，本实施例的WLAN的安全建立系统包括：UE60、WLAN节点设备61和网元设备62。UE60、WLAN节点设备61和网元设备62两两互相通信。
UE60用于获取第一密钥；该第一密钥为UE60与接入的移动通信网络中的网元设备62在执行空口安全时的共享密钥或者根据UE60与网元设备62在执行空口安全时的共享密钥推演得出的。UE60根据第一密钥和推演参数进行推演得到推演密钥。推演参数为UE60和网元设备62协商确定的。UE60还用于向WLAN节点设备61发送UE的身份标识符。
WLAN节点设备61接收UE60发送UE的身份标识符；向网元设备62发送携带UE的身份标识符的密钥请求消息。
网元设备62接收WLAN节点设备61发送的携带UE的身份标识符的密钥请求消息；根据密钥请求消息中的UE的身份标识符，获取对应的推演密钥；该推演密钥为网元设备62根据第一密钥和推演参数进行推演得到；网元设备62向WLAN节点设备61发送获取的推演密钥。
WLAN节点设备61接收网元设备62发送的UE的身份标识符对应的推演密钥，这样，UE60和WLAN节点设备61都获取到推演密钥，则UE60和WLAN节点设备61根据推演密钥建立安全连接。
可选地，本实施例中的UE60具体可以采用上述图8或者图9所示实施例的UE，本实施例中的WLAN节点设备61具体可以采用图8及后续可选实施例中的WLAN节点设备，本实施例中的网元设备62具体可以采用上述图11或者图12所示实施例的网元设备，并可以采用上述图1-图3所示实施例及相应的后续可选实施例的技术方案实现WLAN的安全建立，详细可以参考上述相关实施例的记载，在此不再赘述。
本实施例的WLAN的安全建立系统，通过采用上述UE、WLAN节点设备和网元设备，UE与WLAN节点之间能够基于推演密钥建立安全连接，能够克服现有技术中WLAN工作在open模式下，UE和WLAN节点之间不建立安全连接，UE和WLAN节点之间的数据以明文方式传输，导致UE与WLAN节点之间通信的安全性能较差的缺陷，采用本实施例的技术方案，能够在UE和WLAN节点之间建立安全连接，提高UE与WLAN节点之间通信的安全性。
图16为本发明另一实施例提供的WLAN的安全建立系统的结构示意图。如图16所示，本实施例的WLAN的安全建立系统包括：UE70和第一网元设备71和WLAN节点设备72。UE70和第一网元设备71和WLAN节点设备72两两互相通信。
UE70用于获取第一密钥；该第一密钥为UE70与接入的移动通信网络中的第一网元设备71或者第二网元设备（图中未示出）在执行空口安全时的共享密钥，或者根据UE70与第一网元设备71或者第二网元设备在执行空口安全时的共享密钥推演得出的；UE根据UE的身份标识符和第一密钥推演生成认证用户名和认证信任状；第一网元设备71也获取UE的认证用户名和认证信任状。
例如当第一密钥为UE70与接入的移动通信网络中的第一网元设备71在执行空口安全时的共享密钥或者根据共享密钥推演得出的，第一网元设备71也获取第一密钥；并根据UE的身份标识符和第一密钥推演生成认证用户名和认证信任状。
当第一密钥为UE70与接入的移动通信网络中的第二网元设备在执行空口安全时的共享密钥或者根据共享密钥推演得出的。此时，第一网元设备71也从第二网元设备处获取认证用户名和认证信任状；认证用户名和认证信任状为第二网元设备根据UE的身份标识符和第一密钥推演生成。或者第一网元设备71也从第二网元设备处获取UE的身份标识符和第一密钥，而由第一网元设备根据UE的身份标识符和第一密钥推演生成认证用户名和认证信任状。第一网元设备71和第二网元设备互相通信。
由上述方案，UE70和第一网元设备71都获取到认证用户名和认证信任状，然后由UE70和第一网元设备71根据认证用户名和认证信任状进行EAP认证，并在认证完成后，第一网元设备71向WLAN节点设备72发送认证完成，以指示UE70与WLAN节点设备72之间建立安全连接。其中UE70和第一网元设备71在进行EAP认证的时候，由WLAN节点设备72转发认证消息，具体地在EAP认证时涉及到的认证消息可以参考相关现有技术，
可选地，本实施例中的UE70具体可以采用上述图11所示实施例的UE，本实施例中的第一网元设备71具体可以采用上述图14所示实施例的网元设备，并可以采用上述图6-图7所示实施例及相应的后续可选实施例的技术方案实现WLAN的安全建立，详细可以参考上述相关实施例的记载，在此不再赘述。
本实施例的WLAN的安全建立系统，通过采用上述UE、WLAN节点设备和网元设备，UE能够根据UE的身份标识符和第一密钥推演生成认证用户名和认证密码；并由UE根据认证用户名和认证密码与UE接入的移动通信网络中的网元设备进行EAP认证，并在认证完成后UE与WLAN节点之间建立安全连接；其中第一密钥为用户设备与接入的移动通信网络中的网元设备在执行空口安全时的共享密钥或者根据共享密钥推演得出的。采用本实施例的上述技术方案，能够克服现有技术中WLAN工作在open模式下，UE和WLAN节点之间不建立安全连接，UE和WLAN节点之间的数据以明文方式传输，导致UE与WLAN节点之间通信的安全性能较差的缺陷，采用本发明实施例的技术方案，能够在UE和WLAN节点之间建立安全连接，提高UE与WLAN节点之间通信的安全性。
以上所描述的装置实施例仅仅是示意性的，其中作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到至少两个网络单元上。可以根据实际的需要选择其中的部分或者全部模块来实现本实施例方案的目的。本领域普通技术人员在不付出创造性的劳动的情况下，即可以理解并实施。
最后应说明的是：以上各实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述各实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分或者全部技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的范围。

Claims (65)

1.一种无线局域网络的安全建立方法，其特征在于，包括：
用户设备获取第一密钥；所述第一密钥为所述用户设备与接入的移动通信网络中的网元设备在执行空口安全时的共享密钥或者根据所述用户设备与接入的移动通信网络中的网元设备在执行空口安全时的共享密钥推演得出的；
所述用户设备根据所述第一密钥和推演参数进行推演得到推演密钥，所述推演参数为所述用户设备与所述网元设备协商确定的;
所述用户设备根据所述推演密钥与获取到推演密钥的无线局域网络节点之间建立安全连接，所述无线局域网络节点获取到的推演密钥与所述用户设备获取的所述推演密钥相同。
2.根据权利要求1所述的方法，其特征在于，所述方法还包括：
所述用户设备向所述无线局域网络节点发送所述用户设备的身份标识符，以供所述无线局域网络节点根据所述用户设备的身份标识符，向所述网元设备请求获取所述用户设备对应的所述推演密钥。
3.根据权利要求1或2所述的方法，其特征在于，所述用户设备根据所述第一密钥和推演参数进行推演得到推演密钥，包括：
所述用户设备根据所述第一密钥和所述推演参数进行推演得到第二密钥；
所述用户设备根据所述推演密钥与无线局域网络节点之间建立安全连接，包括：
所述用户设备根据所述第二密钥与无线局域网络节点之间建立安全连接。
4.根据权利要求3所述的方法，其特征在于，所述用户设备根据所述第一密钥和推演参数进行推演得到推演密钥，还包括：
所述用户设备根据所述第二密钥和所述无线局域网络节点的身份标识符推演得到第三密钥；
所述用户设备根据所述推演密钥与无线局域网络节点之间建立安全连接，还包括：
所述用户设备根据所述第三密钥与所述无线局域网络节点之间建立安全 连接。
5.根据权利要求1-4任一所述的方法，其特征在于，所述用户设备的身份标识符为所述用户设备的无线局域网络接口的媒体访问控制地址、所述用户设备的国际移动用户识别码、所述用户设备的临时移动用户识别码、所述用户设备的分组临时移动用户识别码、所述用户设备的全球唯一临时身份、所述用户设备的系统架构演进临时移动客户身份、所述用户设备的无线网络临时标识或者所述用户设备的移动台国际电话综合业务数字网号码。
6.根据权利要求5所述的方法，其特征在于，当所述用户设备的身份标识符为所述用户设备的无线局域网络接口的媒体访问控制地址时，所述方法还包括：
所述用户设备向所述网元设备发送所述用户设备的身份标识符。
7.根据权利要求6所述的方法，其特征在于，所述用户设备向所述网元设备发送所述用户设备的身份标识符，包括：
所述用户设备采用加密的方式向所述网元设备发送所述用户设备的身份标识符。
8.根据权利要求7所述的方法，其特征在于，所述用户设备采用加密的方式向所述网元设备发送所述用户设备的身份标识符，包括：
所述用户设备在附着完成消息、路由区域更新消息、跟踪区域更新完成消息、非接入层安全模式结束消息或者容量迁移消息中携带所述用户设备的身份标识符；并向所述网元设备发送携带所述用户设备的身份标识符的加密的所述附着完成消息、所述路由区域更新消息、所述跟踪区域更新完成消息、所述非接入层安全模式结束消息或者所述容量迁移消息。
9.根据权利要求1-8任一所述的方法，其特征在于，所述移动通信网络为全球移动通信网络、通用移动通讯系统、长期演进系统、码分多址网络或通用分组无线服务网络；
所述网元设备为所述全球移动通信网络的基站控制器、所述通用移动通讯系统的无线网络控制器、所述通用分组无线服务网络的服务通用分组无线服务支持节点、所述长期演进系统的移动管理实体或者所述长期演进系统的基站。
10.一种无线局域网络的安全建立方法，其特征在于，包括： 
无线局域网络节点接收用户设备发送的所述用户设备的身份标识符；
所述无线局域网络节点向所述用户设备接入的移动通信网络中的网元设备发送携带所述用户设备的身份标识符的密钥请求消息；
所述无线局域网络节点接收所述网元设备发送的所述用户设备的身份标识符对应的推演密钥；所述推演密钥为所述网元设备根据第一密钥和推演参数进行推演得到，所述第一密钥为所述用户设备与所述网元设备在执行空口安全时的共享密钥或者根据所述用户设备与所述网元设备在执行空口安全时的共享密钥推演得出的；所述推演参数为所述用户设备与所述网元设备协商确定的;
所述无线局域网络节点基于所述推演密钥与获取到推演密钥的所述用户设备之间建立安全连接，所述用户设备获取到的推演密钥与所述无线局域网络节点获取的所述推演密钥相同。
11.根据权利要求10所述的方法，其特征在于，所述无线局域网络节点接收所述网元设备发送的所述用户设备的身份标识符对应的推演密钥，包括：
所述无线局域网络节点接收所述网元设备发送的所述用户设备的身份标识符对应的第二密钥，所述第二密钥为所述网元设备根据所述用户设备的身份标识符以及所述网元设备中存储的所述用户设备的身份标识符与所述第二密钥之间的对应关系获取的；所述第二密钥为所述网元设备根据第一密钥和与所述推演参数进行推演得到；
所述无线局域网络节点基于所述推演密钥与所述用户设备之间建立安全连接，包括：
所述无线局域网络节点基于所述第二密钥与所述用户设备之间建立安全连接。
12.根据权利要求10所述的方法，其特征在于，所述无线局域网络节点接收所述网元设备发送的所述用户设备的身份标识符对应的推演密钥，包括：
所述无线局域网络节点接收所述网元设备发送的第三密钥，所述第三密钥为所述网元设备根据第二密钥与所述无线局域网络节点的身份标识符推演得到的；所述第二密钥为所述网元设备根据所述用户设备的身份标识符以及所述网元设备中存储的所述用户设备的身份标识符与所述第二密钥之间的对应关系获取的；所述第二密钥为所述网元设备根据第一密钥和推演参数进行 推演得到；
所述无线局域网络节点基于所述推演密钥与所述用户设备之间建立安全连接，包括：
所述无线局域网络节点基于所述第三密钥与所述用户设备之间建立安全连接。
13.根据权利要求12所述的方法，其特征在于，所述无线局域网络节点向所述用户设备接入的移动通信网络中的网元设备发送携带所述用户设备的身份标识符的密钥请求消息，包括：
所述无线局域网络节点向所述网元设备发送携带所述用户设备的身份标识符和所述无线局域网络节点的身份标识符的密钥请求消息。
14.根据权利要求10-13任一所述的方法，其特征在于，所述用户设备的身份标识符为所述用户设备的无线局域网络接口的媒体访问控制地址、所述用户设备的国际移动用户识别码、所述用户设备的临时移动用户识别码、所述用户设备的分组临时移动用户识别码、所述用户设备的全球唯一临时身份、所述用户设备的系统架构演进临时移动客户身份、所述用户设备的无线网络临时标识或者所述用户设备的移动台国际电话综合业务数字网号码。
15.根据权利要求10-14任一所述的方法，其特征在于，所述移动通信网络为全球移动通信网络、通用移动通讯系统、长期演进系统、码分多址网络或通用分组无线服务网络；
所述网元设备为所述全球移动通信网络的基站控制器、所述通用移动通讯系统的无线网络控制器、所述通用分组无线服务网络的服务通用分组无线服务支持节点、所述长期演进系统的移动管理实体或所述长期演进系统的者基站。
16.一种无线局域网络的安全建立方法，其特征在于，包括：
用户设备接入的移动通信网络中的网元设备接收无线局域网络节点发送的密钥请求消息；所述密钥请求消息中携带有所述用户设备的身份标识符；
所述网元设备根据所述密钥请求消息中的所述用户设备的身份标识符，获取对应的推演密钥；所述推演密钥为所述网元设备根据第一密钥和推演参数进行推演得到；所述第一密钥为所述网元设备与所述用户设备在执行空口安全时的共享密钥或者根据所述网元设备与所述用户设备在执行空口安全时 的共享密钥推演得出的；所述推演参数为所述网元设备与所述用户设备协商确定的;
所述网元设备向所述无线局域网络节点发送所述推演密钥，以供所述无线局域网络节点基于所述推演密钥与获取到推演密钥的所述用户设备之间建立安全连接，所述用户设备获取到的推演密钥与所述无线局域网络节点接收所述网元设备发送的所述推演密钥相同。
17.根据权利要求16所述的方法，其特征在于，所述网元设备根据所述密钥请求消息中的所述用户设备的身份标识符，获取对应的推演密钥之前，还包括：所述网元设备获取所述第一密钥。
18.根据权利要求17所述的方法，其特征在于，所述网元设备获取所述第一密钥之后，所述网元设备根据所述密钥请求消息中的所述用户设备的身份标识符，获取对应的推演密钥之前，所述方法还包括：
所述网元设备根据所述第一密钥和所述推演参数进行推演得到第二密钥；
所述网元设备建立所述第二密钥与所述用户设备的身份标识符之间的对应关系；
所述网元设备根据所述密钥请求消息中的所述用户设备的身份标识符，获取对应的推演密钥，包括：
所述网元设备根据所述第二密钥与所述用户设备的身份标识符之间的对应关系、以及所述密钥请求消息中的所述用户设备的身份标识符，获取所述第二密钥；
所述网元设备向所述无线局域网络节点发送所述推演密钥，以供所述无线局域网络节点基于所述推演密钥与所述用户设备之间建立安全连接，包括：
所述网元设备向所述无线局域网络节点发送所述第二密钥，以供所述无线局域网络节点基于所述第二密钥与所述用户设备之间建立安全连接。
19.根据权利要求18所述的方法，其特征在于，
所述网元设备根据所述密钥请求消息中的所述用户设备的身份标识符，获取对应的推演密钥，还包括：
所述网元设备根据所述第二密钥与所述无线局域网络节点的身份标识符推演得到所述第三密钥； 
所述网元设备向所述无线局域网络节点发送所述推演密钥，以供所述无线局域网络节点基于所述推演密钥与所述用户设备之间建立安全连接，还包括：
所述网元设备向所述无线局域网络节点发送所述第三密钥，以供所述无线局域网络节点基于所述第三密钥与所述用户设备之间建立安全连接。
20.根据权利要求16-19任一所述的方法，其特征在于，所述用户设备的身份标识符为所述用户设备的无线局域网络接口的媒体访问控制地址、所述用户设备的国际移动用户识别码、所述用户设备的临时移动用户识别码、所述用户设备的分组临时移动用户识别码、所述用户设备的全球唯一临时身份、所述用户设备的系统架构演进临时移动客户身份、所述用户设备的无线网络临时标识或者所述用户设备的移动台国际电话综合业务数字网号码。
21.根据权利要求20所述的方法，其特征在于，当所述用户设备的身份标识符为所述用户设备的无线局域网络接口的媒体访问控制地址时，所述网元设备接收所述无线局域网络节点发送的携带所述用户设备的身份标识符的密钥请求消息之前，所述方法还包括：
所述网元设备接收所述用户设备发送的所述用户设备的身份标识符。
22.根据权利要求21所述的方法，其特征在于，所述网元设备接收所述用户设备发送的所述用户设备的身份标识符，包括：所述网元设备接收所述用户设备采用加密的方式发送的所述用户设备的身份标识符。
23.根据权利要求23所述的方法，其特征在于，所述网元设备接收所述用户设备采用加密的方式发送的所述用户设备的身份标识符，包括：所述网元设备接收所述用户设备发送的携带所述用户设备的身份标识符的加密的附着完成消息、路由区域更新消息、跟踪区域更新完成消息、非接入层安全模式结束消息或者容量迁移消息。
24.根据权利要求16-23任一所述的方法，其特征在于，所述移动通信网络为全球移动通信网络、通用移动通讯系统、长期演进系统、码分多址网络或通用分组无线服务网络；
所述网元设备为所述全球移动通信网络的基站控制器、所述通用移动通讯系统的无线网络控制器、所述通用分组无线服务网络的服务通用分组无线服务支持节点、所述长期演进系统的移动管理实体或者所述长期演进系统的 基站。
25.一种无线局域网络的安全建立方法，其特征在于，包括：
用户设备获取第一密钥；所述第一密钥为所述用户设备与接入的移动通信网络中的第一网元设备在执行空口安全时的共享密钥或者根据所述用户设备与接入的移动通信网络中的第一网元设备在执行空口安全时的所述共享密钥推演得出的；
所述用户设备根据所述用户设备的身份标识符和所述第一密钥推演生成认证用户名和认证信任状；
所述用户设备根据所述认证用户名和所述认证信任状与所述第一网元设备或者第二网元设备进行扩展认证协议认证；所述第二网元设备为所述移动通信网络中的所述第一网元设备之外的其他网元设备；所述第二网元设备从所述第一网元设备处获取所述认证用户名和所述认证信任状；或者所述第二网元设备从所述第一网元设备处获取所述用户设备的身份标识符和所述第一密钥，并根据所述用户设备的身份标识符和所述第一密钥推演生成所述认证用户名和所述认证信任状；
所述用户设备在所述扩展认证协议认证完成后与所述无线局域网络节点之间建立安全连接。
26.根据权利要求25所述的方法，其特征在于，所述用户设备的身份标识符为所述用户设备的无线局域网络接口的媒体访问控制地址、所述用户设备的国际移动用户识别码、所述用户设备的临时移动用户识别码、所述用户设备的分组临时移动用户识别码、所述用户设备的全球唯一临时身份、所述用户设备的系统架构演进临时移动客户身份、所述用户设备的无线网络临时标识或者所述用户设备的移动台国际电话综合业务数字网号码。
27.根据权利要求25或者26所述的方法，其特征在于，所述移动通信网络为全球移动通信网络、通用移动通讯系统、长期演进系统、码分多址网络或通用分组无线服务网络；
所述网元设备为所述全球移动通信网络的基站控制器、所述通用移动通讯系统的无线网络控制器、所述通用分组无线服务网络的服务通用分组无线服务支持节点、所述长期演进系统的移动管理实体或所述长期演进系统的者基站。 
28.一种无线局域网络的安全建立方法，其特征在于，包括：
用户设备接入的移动通信网络中的第一网元设备获取所述用户设备的认证用户名和认证信任状；所述认证用户名和所述认证信任状为根据所述用户设备的身份标识符和第一密钥生成的；所述第一密钥为所述用户设备与所述第一网元设备或者第二网元设备在执行空口安全时的共享密钥，或者根据所述用户设备与所述第一网元设备或者第二网元设备在执行空口安全时的共享密钥推演得出的；
所述第一网元设备根据所述认证用户名和所述认证信任状与用户设备进行扩展认证协议认证；
所述第一网元设备在所述扩展认证协议认证成功后，向所述无线局域网络节点发送认证完成，以指示所述无线局域网络节点与所述用户设备之间建立安全连接。
29.根据权利要求28所述的方法，其特征在于，用户设备接入的移动通信网络中的第一网元设备获取所述用户设备的认证用户名和认证信任状，包括：
所述第一网元设备接收所述第二网元设备发送的所述用户设备的所述用户设备的身份标识符和所述第一密钥，所述第一密钥为所述用户设备与所述第二网元设备在执行空口安全时的共享密钥或者根据所述用户设备与所述第二网元设备在执行空口安全时的共享密钥推演得出的；
所述第一网元设备根据所述用户设备的身份标识符和所述第一密钥生成所述认证用户名和所述认证信任状。
30.根据权利要求28所述的方法，其特征在于，用户设备接入的移动通信网络中的第一网元设备获取所述用户设备的认证用户名和认证信任状，包括：
所述第一网元设备接收所述第二网元设备发送的所述认证用户名和所述认证信任状，所述认证用户名和所述认证信任状为所述第二网元设备根据所述用户设备的身份标识符和所述第一密钥推演生成的，所述第一密钥为所述用户设备与所述第二网元设备在执行空口安全时的共享密钥或者根据所述用户设备与所述第二网元设备在执行空口安全时的共享密钥推演得出的。
31.根据权利要求28所述的方法，其特征在于，用户设备接入的移动通 信网络中的第一网元设备获取所述用户设备的认证用户名和认证信任状，包括：
所述第一网元设备获取所述第一密钥；所述述第一密钥为所述第一网元设备与所述用户设备在执行空口安全时的共享密钥或者根据所述第一网元设备与所述用户设备在执行空口安全时的共享密钥推演得出的；
所述第一网元设备根据所述用户设备的身份标识符和所述第一密钥推演生成所述认证用户名和所述认证信任状。
32.根据权利要求28-31任一所述的方法，其特征在于，所述用户设备的身份标识符为所述用户设备的无线局域网络接口的媒体访问控制地址、所述用户设备的国际移动用户识别码、所述用户设备的临时移动用户识别码、所述用户设备的分组临时移动用户识别码、所述用户设备的全球唯一临时身份、所述用户设备的系统架构演进临时移动客户身份、所述用户设备的无线网络临时标识或者所述用户设备的移动台国际电话综合业务数字网号码。
33.根据权利要求32所述的方法，其特征在于，所述移动通信网络为全球移动通信网络、通用移动通讯系统、长期演进系统、码分多址网络或通用分组无线服务网络；
所述网元设备为所述全球移动通信网络的基站控制器、所述通用移动通讯系统的无线网络控制器、所述通用分组无线服务网络的服务通用分组无线服务支持节点、所述长期演进系统的移动管理实体或所述长期演进系统的者基站。
34.一种用户设备，其特征在于，包括：
获取模块，用于获取第一密钥；所述第一密钥为与接入的移动通信网络中的网元设备在执行空口安全时的共享密钥或者根据所述用户设备与接入的移动通信网络中的网元设备在执行空口安全时的共享密钥推演得出的；
推演模块，用于根据所述获取模块获取的所述第一密钥和推演参数进行推演得到推演密钥；所述推演参数为所述用户设备与所述网元设备协商确定的;
建立模块，用于根据所述推演模块推演得到的所述推演密钥与获取到推演密钥的无线局域网络节点之间建立安全连接，所述无线局域网络节点获取到的推演密钥与所述用户设备获取的所述推演密钥相同。 
35.根据权利要求34所述的设备，其特征在于，所述设备还包括：
发送模块，用于向所述无线局域网络节点发送用户设备的身份标识符，以供所述无线局域网络节点根据所述用户设备的身份标识符，向所述网元设备请求获取所述用户设备对应的所述推演密钥。
36.根据权利要求34所述的设备，其特征在于：
所述推演模块，具体用于根据所述获取模块获取的所述第一密钥和所述推演参数进行推演得到第二密钥；
所述建立模块，具体用于根据所述推演模块推演的所述第二密钥与无线局域网络节点之间建立安全连接。
37.根据权利要求34所述的设备，其特征在于：
所述推演模块，具体用于根据所述获取模块获取的所述第一密钥和所述推演参数进行推演得到第二密钥；并根据所述第二密钥和所述无线局域网络节点的身份标识符推演得到第三密钥；
所述建立模块，具体用于根据所述推演模块推演的所述第三密钥与所述无线局域网络节点之间建立安全连接。
38.根据权利要求34-37任一所述的设备，其特征在于，所述发送模块发送的用户设备的身份标识符为所述用户设备的无线局域网络接口的媒体访问控制地址、所述用户设备的国际移动用户识别码、所述用户设备的临时移动用户识别码、所述用户设备的分组临时移动用户识别码、所述用户设备的全球唯一临时身份、所述用户设备的系统架构演进临时移动客户身份、所述用户设备的无线网络临时标识或者所述用户设备的移动台国际电话综合业务数字网号码。
39.根据权利要求38所述的设备，其特征在于：
所述发送模块，还用于当所述用户设备的身份标识符为所述用户设备的无线局域网络接口的媒体访问控制地址时，向所述网元设备发送所述用户设备的身份标识符。
40.根据权利要求39所述的设备，其特征在于：
所述发送模块，具体用于当所述用户设备的身份标识符为所述用户设备的无线局域网络接口的媒体访问控制地址时，采用加密的方式向所述网元设备发送所述用户设备的身份标识符。 
41.根据权利要求34-40任一所述的设备，其特征在于，所述移动通信网络为全球移动通信网络、通用移动通讯系统、长期演进系统、码分多址网络或通用分组无线服务网络；
所述网元设备为所述全球移动通信网络的基站控制器、所述通用移动通讯系统的无线网络控制器、所述通用分组无线服务网络的服务通用分组无线服务支持节点、所述长期演进系统的移动管理实体或者所述长期演进系统的基站。
42.一种无线局域网络节点设备，其特征在于，包括：
接收模块，用于接收用户设备发送的所述用户设备的身份标识符；
发送模块，用于向所述用户设备接入的移动通信网络中的网元设备发送携带所述接收模块接收的所述用户设备的身份标识符的密钥请求消息；
所述接收模块，还用于接收所述网元设备发送的所述用户设备的身份标识符对应的推演密钥；所述推演密钥为所述网元设备根据第一密钥和推演参数进行推演得到，所述第一密钥为所述用户设备与所述网元设备在执行空口安全时的共享密钥或者根据所述用户设备与所述网元设备在执行空口安全时的共享密钥推演得出的；所述推演参数为所述用户设备与所述网元设备协商确定的;
建立模块，用于基于所述接收模块接收的所述推演密钥与获取到推演密钥的所述用户设备之间建立安全连接，所述用户设备获取到的推演密钥与无线局域网络节点获取的所述推演密钥相同。
43.根据权利要求42所述的设备，其特征在于：
所述接收模块，具体用于接收所述网元设备发送的所述用户设备的身份标识符对应的第二密钥，所述第二密钥为所述网元设备根据所述用户设备的身份标识符以及所述网元设备中存储的所述用户设备的身份标识符与所述第二密钥之间的对应关系获取的；所述第二密钥为所述网元设备根据第一密钥和所述推演参数进行推演得到；
所述建立模块，具体用于基于所述接收模块接收的第二密钥与所述用户设备之间建立安全连接。
44.根据权利要求42所述的设备，其特征在于：
所述接收模块，具体用于接收所述网元设备发送的第三密钥，所述第三 密钥为所述网元设备根据第二密钥与所述无线局域网络节点的身份标识符推演得到的；所述第二密钥为所述网元设备根据所述用户设备的身份标识符以及所述网元设备中存储的所述用户设备的身份标识符与所述第二密钥之间的对应关系获取的；所述第二密钥为所述网元设备根据第一密钥和推演参数进行推演得到；
所述建立模块，具体用于基于所述接收模块接收的所述第三密钥与所述用户设备之间建立安全连接。
45.根据权利要求44所述的设备，其特征在于：
所述发送模块，具体用于向所述网元设备发送携带所述接收模块接收的用户设备的身份标识符和所述无线局域网络节点的身份标识符的密钥请求消息。
46.根据权利要求42-45任一所述的设备，其特征在于，所述接收模块接收的用户设备的身份标识符为所述用户设备的无线局域网络接口的媒体访问控制地址、所述用户设备的国际移动用户识别码、所述用户设备的临时移动用户识别码、所述用户设备的分组临时移动用户识别码、所述用户设备的全球唯一临时身份、所述用户设备的系统架构演进临时移动客户身份、所述用户设备的无线网络临时标识或者所述用户设备的移动台国际电话综合业务数字网号码。
47.根据权利要求42-46任一所述的设备，其特征在于，所述移动通信网络为全球移动通信网络、通用移动通讯系统、长期演进系统、码分多址网络或通用分组无线服务网络；
所述网元设备为所述全球移动通信网络的基站控制器、所述通用移动通讯系统的无线网络控制器、所述通用分组无线服务网络的服务通用分组无线服务支持节点、所述长期演进系统的移动管理实体或所述长期演进系统的者基站。
48.一种网元设备，位于用户设备接入的移动通信网络中，其特征在于，所述网元设备包括：
接收模块，用于接收无线局域网络节点发送的密钥请求消息；所述密钥请求消息中携带有所述用户设备的身份标识符；
获取模块，用于根据所述接收模块接收的所述密钥请求消息中的所述用 户设备的身份标识符，获取对应的推演密钥；所述推演密钥为根据第一密钥和推演参数进行推演得到；所述第一密钥为与所述用户设备在执行空口安全时的共享密钥或者根据与所述用户设备在执行空口安全时的共享密钥推演得出的；所述推演参数为与所述用户设备协商确定的;
发送模块，用于向所述无线局域网络节点发送所述获取模块获取到的所述推演密钥，以供所述无线局域网络节点基于所述推演密钥与获取到推演密钥的所述用户设备之间建立安全连接，所述用户设备获取到的推演密钥与所述无线局域网络节点接收所述网元设备发送的所述推演密钥相同。
49.根据权利要求48所述的设备，其特征在于，所述获取模块，还用于获取所述第一密钥。
50.根据权利要求49所述的设备，其特征在于，所述设备还包括推演模块和建立模块：
所述推演模块，用于在所述获取模块获取所述第一密钥之后，根据所述密钥请求消息中的所述用户设备的身份标识符，获取对应的所述推演密钥之前，根据所述第一密钥和所述推演参数进行推演得到第二密钥；
所述建立模块，用于建立所述推演模块推演的所述第二密钥与所述用户设备的身份标识符之间的对应关系；
所述获取模块，具体用于根据所述建立模块建立的所述第二密钥与所述用户设备的身份标识符之间的对应关系、以及所述密钥请求消息中的所述用户设备的身份标识符，获取所述第二密钥；
所述发送模块，具体用于向所述无线局域网络节点发送所述获取模块获取的所述第二密钥，以供所述无线局域网络节点基于所述第二密钥与所述用户设备之间建立安全连接。
51.根据权利要求49所述的设备，其特征在于，所述设备还包括推演模块和建立模块：
所述推演模块，用于在所述获取模块获取所述第一密钥之后，根据所述密钥请求消息中的所述用户设备的身份标识符，获取对应的所述推演密钥之前，根据所述第一密钥和所述推演参数进行推演得到第二密钥；
所述建立模块，用于建立所述推演模块推演的所述第二密钥与所述用户设备的身份标识符之间的对应关系； 
所述获取模块，具体用于根据所述建立模块建立的所述第二密钥与所述用户设备的身份标识符之间的对应关系、以及所述密钥请求消息中的所述用户设备的身份标识符，获取所述第二密钥；并根据所述第二密钥与所述密钥请求消息中的所述无线局域网络节点的身份标识符推演得到所述第三密钥；
所述发送模块，具体用于向所述无线局域网络节点发送所述获取模块获取的所述第三密钥，以供所述无线局域网络节点基于所述第三密钥与所述用户设备之间建立安全连接。
52.根据权利要求48-51任一所述的设备，其特征在于，所述接收模块接收的用户设备的身份标识符为所述用户设备的无线局域网络接口的媒体访问控制地址、所述用户设备的国际移动用户识别码、所述用户设备的临时移动用户识别码、所述用户设备的分组临时移动用户识别码、所述用户设备的全球唯一临时身份、所述用户设备的系统架构演进临时移动客户身份、所述用户设备的无线网络临时标识或者所述用户设备的移动台国际电话综合业务数字网号码。
53.根据权利要求52所述的设备，其特征在于：
所述接收模块，还用于当所述用户设备的身份标识符为所述用户设备的无线局域网络接口的媒体访问控制地址时，接收所述用户设备发送的所述用户设备的身份标识符。
54.根据权利要求53所述的设备，其特征在于：
所述接收模块，还用于当所述用户设备的身份标识符为所述用户设备的无线局域网络接口的媒体访问控制地址时，接收所述用户设备采用加密的方式发送的所述用户设备的身份标识符。
55.根据权利要求48-54任一所述的设备，其特征在于，所述移动通信网络为全球移动通信网络、通用移动通讯系统、长期演进系统、码分多址网络或通用分组无线服务网络；
所述网元设备为所述全球移动通信网络的基站控制器、所述通用移动通讯系统的无线网络控制器、所述通用分组无线服务网络的服务通用分组无线服务支持节点、所述长期演进系统的移动管理实体或者所述长期演进系统的基站。
56.一种用户设备，其特征在于，包括： 
获取模块，用于获取第一密钥；所述第一密钥为所述用户设备与接入的移动通信网络中的第一网元设备在执行空口安全时的共享密钥或者根据所述用户设备与接入的移动通信网络中的第一网元设备在执行空口安全时的共享密钥推演得出的；
生成模块，用于根据所述用户设备的身份标识符和所述获取模块的所述第一密钥推演生成认证用户名和认证信任状；
认证模块，用于根据所述生成模块生成的所述认证用户名和所述认证信任状与所述第一网元设备或者第二网元设备进行扩展认证协议认证；所述第二网元设备为所述移动通信网络中的所述第一网元设备之外的其他网元设备；所述第二网元设备从所述第一网元设备处获取所述认证用户名和所述认证信任状；或者所述第二网元设备从所述第一网元设备处获取所述用户设备的身份标识符和所述第一密钥，并根据所述用户设备的身份标识符和所述第一密钥推演生成所述认证用户名和所述认证信任状；
建立模块，用于在所述认证模块进行扩展认证协议认证完成后与所述无线局域网络节点之间建立安全连接。
57.根据权利要求56所述的设备，其特征在于，所述用户设备的身份标识符为所述用户设备的无线局域网络接口的媒体访问控制地址、所述用户设备的国际移动用户识别码、所述用户设备的临时移动用户识别码、所述用户设备的分组临时移动用户识别码、所述用户设备的全球唯一临时身份、所述用户设备的系统架构演进临时移动客户身份、所述用户设备的无线网络临时标识或者所述用户设备的移动台国际电话综合业务数字网号码。
58.根据权利要求56或者57所述的设备，其特征在于，所述移动通信网络为全球移动通信网络、通用移动通讯系统、长期演进系统、码分多址网络或通用分组无线服务网络；
所述网元设备为所述全球移动通信网络的基站控制器、所述通用移动通讯系统的无线网络控制器、所述通用分组无线服务网络的服务通用分组无线服务支持节点、所述长期演进系统的移动管理实体或所述长期演进系统的者基站。
59.一种网元设备，位于用户设备接入的移动通信网络中，其特征在于，所述网元设备包括： 
获取模块，用于获取所述用户设备的认证用户名和认证信任状；所述认证用户名和所述认证信任状为根据所述用户设备的身份标识符和第一密钥推演生成的；所述第一密钥为所述用户设备与所述网元设备或者第二网元设备在执行空口安全时的共享密钥或者根据所述用户设备与所述网元设备或者第二网元设备在执行空口安全时的共享密钥推演得出的；
认证模块，用于根据所述认证用户名和所述认证信任状与用户设备进行扩展认证协议认证；
发送模块，用于在所述扩展认证协议认证成功后，向所述无线局域网络节点发送认证完成，以指示所述无线局域网络节点与所述用户设备之间建立安全连接。
60.根据权利要求59所述的设备，其特征在于，所述获取模块，具体用于接收所述第二网元设备发送的所述用户设备的所述用户设备的身份标识符和所述第一密钥，所述第一密钥为所述用户设备与所述第二网元设备在执行空口安全时的共享密钥或者根据所述用户设备与所述第二网元设备在执行空口安全时的共享密钥推演得出的；并根据所述用户设备的身份标识符和所述第一密钥推演生成所述认证用户名和所述认证信任状。
61.根据权利要求59所述的设备，其特征在于，所述获取模块，具体用于接收所述第二网元设备发送的所述认证用户名和所述认证信任状，所述认证用户名和所述认证信任状为所述第二网元设备根据所述用户设备的身份标识符和所述第一密钥推演生成的，所述第一密钥为所述用户设备与所述第二网元设备在执行空口安全时的共享密钥或者根据所述用户设备与所述第二网元设备在执行空口安全时的共享密钥推演得出的。
62.根据权利要求59所述的设备，其特征在于，所述获取模块，具体用于获取所述第一密钥；所述述第一密钥为所述第一网元设备与所述用户设备在执行空口安全时的共享密钥或者根据所述第一网元设备与所述用户设备在执行空口安全时的共享密钥推演得出的；并根据所述用户设备的身份标识符和所述第一密钥推演生成所述认证用户名和所述认证信任状。
63.根据权利要求59-62任一所述的设备，其特征在于，所述用户设备的身份标识符为所述用户设备的无线局域网络接口的媒体访问控制地址、所述用户设备的国际移动用户识别码、所述用户设备的临时移动用户识别码、 所述用户设备的分组临时移动用户识别码、所述用户设备的全球唯一临时身份、所述用户设备的系统架构演进临时移动客户身份、所述用户设备的无线网络临时标识或者所述用户设备的移动台国际电话综合业务数字网号码。
64.根据权利要求63所述的设备，其特征在于，所述移动通信网络为全球移动通信网络、通用移动通讯系统、长期演进系统、码分多址网络或通用分组无线服务网络；
所述网元设备为所述全球移动通信网络的基站控制器、所述通用移动通讯系统的无线网络控制器、所述通用分组无线服务网络的服务通用分组无线服务支持节点、所述长期演进系统的移动管理实体或所述长期演进系统的者基站。
65.一种无线局域网络的安全建立系统，其特征在于，包括：如上权利要求34-41任一所述的用户设备、如上权利要求42-47任一所述的无线局域网络节点设备和如上权利要求48-55任一所述的网元设备；
或者包括如上权利要求56-58任一所述的用户设备和如上权利要求59-64任一所述的网元设备。 
CN201210161427.0A 2012-05-23 2012-05-23 无线局域网络的安全建立方法及系统、设备 Active CN103428690B (zh)

Priority Applications (6)

Application Number Priority Date Filing Date Title
CN201210161427.0A CN103428690B (zh) 2012-05-23 2012-05-23 无线局域网络的安全建立方法及系统、设备
PCT/CN2013/076088 WO2013174267A1 (zh) 2012-05-23 2013-05-22 无线局域网络的安全建立方法及系统、设备
EP18198578.9A EP3503496B1 (en) 2012-05-23 2013-05-22 Secure establishment method, system and decive of a wireless local area network
EP13794647.1A EP2854329B1 (en) 2012-05-23 2013-05-22 Method, system, and device for securely establishing wireless local area network
US14/550,629 US9826398B2 (en) 2012-05-23 2014-11-21 Secure establishment method, system and device of wireless local area network
US15/782,584 US10687213B2 (en) 2012-05-23 2017-10-12 Secure establishment method, system and device of wireless local area network

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201210161427.0A CN103428690B (zh) 2012-05-23 2012-05-23 无线局域网络的安全建立方法及系统、设备

Publications (2)

Publication Number Publication Date
CN103428690A true CN103428690A (zh) 2013-12-04
CN103428690B CN103428690B (zh) 2016-09-07

Family

ID=49623129

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201210161427.0A Active CN103428690B (zh) 2012-05-23 2012-05-23 无线局域网络的安全建立方法及系统、设备

Country Status (4)

Country Link
US (2) US9826398B2 (zh)
EP (2) EP2854329B1 (zh)
CN (1) CN103428690B (zh)
WO (1) WO2013174267A1 (zh)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2016134536A1 (zh) * 2015-02-28 2016-09-01 华为技术有限公司 密钥生成方法、设备及系统

Families Citing this family (10)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP3270655A1 (en) * 2013-01-16 2018-01-17 Alcatel Lucent Wireless telecommunications method and user equipment
US9801099B2 (en) * 2013-05-15 2017-10-24 Blackberry Limited Method and system for use of cellular infrastructure to manage small cell access
EP3076710B1 (en) 2013-12-27 2020-04-08 Huawei Technologies Co., Ltd. Offload method, user equipment, base station and access point
US10455414B2 (en) * 2014-10-29 2019-10-22 Qualcomm Incorporated User-plane security for next generation cellular networks
BR112018002544A2 (zh) * 2015-08-11 2018-09-18 Huawei Technologies Co., Ltd. An access authentication method and device
WO2017133021A1 (zh) * 2016-02-06 2017-08-10 华为技术有限公司 一种安全处理方法及相关设备
EP3565291B1 (en) 2017-05-04 2021-07-07 Huawei Technologies Co., Ltd. Method and device for acquiring key and communication system
CN109756451B (zh) * 2017-11-03 2022-04-22 华为技术有限公司 一种信息交互方法及装置
US11004325B2 (en) * 2019-09-26 2021-05-11 International Business Machines Corporation Smartphone based reminding system for forgotten objects
CN115348048A (zh) * 2022-04-28 2022-11-15 青岛海尔科技有限公司 安全通信的建立方法和装置、存储介质及电子装置

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1512708A (zh) * 2002-12-27 2004-07-14 �ձ�������ʽ���� 无线通信系统、共享密钥管理服务器及终端
EP1515516A1 (en) * 2003-09-12 2005-03-16 Lucent Technologies Inc. Authenticating access to a wireless local area network based on security value(s) associated with a cellular system
CN1720688A (zh) * 2002-06-20 2006-01-11 高通股份有限公司 通信系统中的密钥生成
US20110235802A1 (en) * 2010-03-29 2011-09-29 Nokia Corporation Authentication key generation arrangement

Family Cites Families (50)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US4918728A (en) * 1989-08-30 1990-04-17 International Business Machines Corporation Data cryptography operations using control vectors
DE69330065T2 (de) * 1993-12-08 2001-08-09 Ibm Verfahren und System zur Schlüsselverteilung und Authentifizierung in einem Datenübertragungssystem
CA2255285C (en) * 1998-12-04 2009-10-13 Certicom Corp. Enhanced subscriber authentication protocol
US6957346B1 (en) * 1999-06-15 2005-10-18 Ssh Communications Security Ltd. Method and arrangement for providing security through network address translations using tunneling and compensations
FI111208B (fi) * 2000-06-30 2003-06-13 Nokia Corp Datan salauksen järjestäminen langattomassa tietoliikennejärjestelmässä
US20030093663A1 (en) * 2001-11-09 2003-05-15 Walker Jesse R. Technique to bootstrap cryptographic keys between devices
US20030139180A1 (en) * 2002-01-24 2003-07-24 Mcintosh Chris P. Private cellular network with a public network interface and a wireless local area network extension
US8184603B2 (en) * 2002-01-31 2012-05-22 Lgc Wireless, Llc Communication system having a community wireless local area network for voice and high speed data communication
MXPA05001669A (es) 2002-08-14 2005-07-22 Thomson Licensing Sa Manejo de clave de sesion para una red de area local inalambrica publica que da soporte a multiples operadores virtuales.
DE102004009289A1 (de) * 2004-02-26 2005-09-15 Siemens Ag Verfahren zur Steuerung und Auswertung eines Nachrichtenverkehrs einer Kummunikationseinheit durch eine erste Netzwerkeinheit innerhalb eines Mobilfunksystems, sowie dazugehörige Kommunikationseinheit und erste Netzwerkeinheit
US8094821B2 (en) 2004-08-06 2012-01-10 Qualcomm Incorporated Key generation in a communication system
US8260257B2 (en) * 2005-02-07 2012-09-04 Cisco Technology, Inc. Key distribution for wireless devices
JP2008530879A (ja) * 2005-02-11 2008-08-07 ノキア コーポレイション 通信ネットワークにおいてブートストラッピング手順を提供する方法及び装置
WO2006135217A1 (en) * 2005-06-16 2006-12-21 Samsung Electronics Co., Ltd. System and method for otimizing tunnel authentication procedure over a 3g-wlan interworking system
US7813511B2 (en) * 2005-07-01 2010-10-12 Cisco Technology, Inc. Facilitating mobility for a mobile station
US20070101122A1 (en) * 2005-09-23 2007-05-03 Yile Guo Method and apparatus for securely generating application session keys
US7835528B2 (en) * 2005-09-26 2010-11-16 Nokia Corporation Method and apparatus for refreshing keys within a bootstrapping architecture
US8229398B2 (en) * 2006-01-30 2012-07-24 Qualcomm Incorporated GSM authentication in a CDMA network
EP1985047A2 (en) * 2006-02-01 2008-10-29 Coco Communications Corp. Protocol link layer
WO2007106620A2 (en) * 2006-03-10 2007-09-20 Motorola, Inc. Method for authenticating a mobile node in a communication network
US8239671B2 (en) * 2006-04-20 2012-08-07 Toshiba America Research, Inc. Channel binding mechanism based on parameter binding in key derivation
US9002018B2 (en) * 2006-05-09 2015-04-07 Sync Up Technologies Corporation Encryption key exchange system and method
US20080076392A1 (en) * 2006-09-22 2008-03-27 Amit Khetawat Method and apparatus for securing a wireless air interface
US20080101400A1 (en) 2006-10-30 2008-05-01 Nokia Corporation Managing attachment of a wireless terminal to local area networks
US7801100B2 (en) * 2007-06-04 2010-09-21 Sony Ericsson Mobile Communications Ab Operating ad-hoc wireless local area networks using network identifiers and application keys
US8667151B2 (en) * 2007-08-09 2014-03-04 Alcatel Lucent Bootstrapping method for setting up a security association
US8452017B2 (en) * 2007-12-21 2013-05-28 Research In Motion Limited Methods and systems for secure channel initialization transaction security based on a low entropy shared secret
EP2266284A2 (en) * 2008-04-07 2010-12-29 Interdigital Patent Holdings, Inc. Secure session key generation
US20090262683A1 (en) * 2008-04-18 2009-10-22 Amit Khetawat Method and Apparatus for Setup and Release of User Equipment Context Identifiers in a Home Node B System
BRPI0914154B1 (pt) * 2008-06-18 2020-12-22 Blackberry Limited métodos e dispositivos para mapeamento de parâmetros de qualidade de serviço (qos) e conectividade de tecnologia de acesso inter-rádio (rat) durante uma transferência de ponto a ponto de uma primeira rede de acesso por rádio (ran) para uma segunda ran
US8195991B2 (en) * 2008-06-20 2012-06-05 Qualcomm Incorporated Handling of integrity check failure in a wireless communication system
US8396037B2 (en) * 2008-06-23 2013-03-12 Htc Corporation Method for synchronizing PDCP operations after RRC connection re-establishment in a wireless communication system and related apparatus thereof
CN101631290B (zh) 2008-07-16 2012-09-19 鸿富锦精密工业（深圳）有限公司 移动通信系统及其密钥设置方法
TWI410105B (zh) * 2008-12-01 2013-09-21 Inst Information Industry 無線網路架構之行動台、存取台、閘道裝置、基地台及其握手方法
GB0822253D0 (en) * 2008-12-05 2009-01-14 Qinetiq Ltd Method of establishing a quantum key for use between network nodes
US9015487B2 (en) * 2009-03-31 2015-04-21 Qualcomm Incorporated Apparatus and method for virtual pairing using an existing wireless connection key
US8385549B2 (en) * 2009-08-21 2013-02-26 Industrial Technology Research Institute Fast authentication between heterogeneous wireless networks
US8427991B2 (en) * 2009-10-11 2013-04-23 Research In Motion Limited Handling wrong WEP key and related battery drain and communication exchange failures
BR112012018268B1 (pt) * 2010-03-17 2021-02-02 Telefonaktiebolaget Lm Ericsson (Publ) métodos, nó que serve um terminal móvel e terminal móvel
WO2011160059A1 (en) * 2010-06-18 2011-12-22 Interdigital Patent Holdings, Inc. Distributed architecture for security keys derivation in support of non-involved core network handover
US8681740B2 (en) * 2010-12-21 2014-03-25 Tektronix, Inc. LTE network call correlation during User Equipment mobility
US9094864B2 (en) * 2011-03-02 2015-07-28 Qualcomm Incorporated Architecture for WLAN offload in a wireless device
EP2730112A4 (en) * 2011-07-08 2015-05-06 Nokia Corp METHOD AND APPARATUS FOR AUTHENTICATING SUBSCRIBERS TO LONG-TERM EVOLUTION TELECOMMUNICATION NETWORKS OR UNIVERSAL MOBILE TELECOMMUNICATION SYSTEM
US8594628B1 (en) * 2011-09-28 2013-11-26 Juniper Networks, Inc. Credential generation for automatic authentication on wireless access network
GB2495550A (en) * 2011-10-14 2013-04-17 Ubiquisys Ltd An access point that can be used to establish connections with UE devices using both cellular and wifi air interfaces
US20140289826A1 (en) * 2011-11-07 2014-09-25 Option Establishing a communication session
CN102595405A (zh) 2012-01-21 2012-07-18 华为技术有限公司 一种网络接入的认证方法、系统和设备
US9247575B2 (en) * 2012-03-27 2016-01-26 Blackberry Limited eNB storing RRC configuration information at another network component
EP2842355A2 (en) * 2012-04-27 2015-03-04 Interdigital Patent Holdings, Inc. Methods and apparatuses for optimizing proximity data path setup
US9806873B2 (en) * 2012-05-09 2017-10-31 Samsung Electronics Co., Ltd. Method and apparatus for controlling discontinuous reception in mobile communication system

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1720688A (zh) * 2002-06-20 2006-01-11 高通股份有限公司 通信系统中的密钥生成
CN1512708A (zh) * 2002-12-27 2004-07-14 �ձ�������ʽ���� 无线通信系统、共享密钥管理服务器及终端
EP1515516A1 (en) * 2003-09-12 2005-03-16 Lucent Technologies Inc. Authenticating access to a wireless local area network based on security value(s) associated with a cellular system
US20110235802A1 (en) * 2010-03-29 2011-09-29 Nokia Corporation Authentication key generation arrangement

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2016134536A1 (zh) * 2015-02-28 2016-09-01 华为技术有限公司 密钥生成方法、设备及系统
CN106134231A (zh) * 2015-02-28 2016-11-16 华为技术有限公司 密钥生成方法、设备及系统
CN106134231B (zh) * 2015-02-28 2019-10-01 华为技术有限公司 密钥生成方法、设备及系统

Also Published As

Publication number Publication date
EP3503496B1 (en) 2021-06-30
US10687213B2 (en) 2020-06-16
EP2854329A1 (en) 2015-04-01
US20150082393A1 (en) 2015-03-19
EP2854329B1 (en) 2019-01-09
CN103428690B (zh) 2016-09-07
US9826398B2 (en) 2017-11-21
EP3503496A1 (en) 2019-06-26
US20180035288A1 (en) 2018-02-01
WO2013174267A1 (zh) 2013-11-28
EP2854329A4 (en) 2015-07-15

Similar Documents

Publication Publication Date Title
CN103428690A (zh) 无线局域网络的安全建立方法及系统、设备
CN108141754B (zh) 用于涉及移动性管理实体重定位的移动性过程的装置和方法
EP3738333B1 (en) Method and apparatus for multiple registrations
JP2020065276A (ja) ワイヤレス通信のための装置および方法
CN101399767B (zh) 终端移动时安全能力协商的方法、系统及装置
JP2019512942A (ja) ５ｇ技術のための認証機構
CN101500230B (zh) 建立安全关联的方法和通信网络
CN107852600A (zh) 具有简化的移动性过程的网络架构和安全
CN109922474B (zh) 触发网络鉴权的方法及相关设备
KR20130006032A (ko) 이동 통신 시스템에서 단말 설정 방법
Vintilă et al. Security analysis of LTE access network
CN101945387B (zh) 一种接入层密钥与设备的绑定方法和系统
CN101951590B (zh) 认证方法、装置及系统
CN101500229A (zh) 建立安全关联的方法和通信网络系统
WO2014041806A1 (en) Key management in machine type communication system
CN101267668A (zh) 密钥生成方法、装置及系统
CN101304311A (zh) 密钥生成方法和系统
US10897707B2 (en) Methods and apparatus for direct communication key establishment
EP2648437B1 (en) Method, apparatus and system for key generation
EP2790377B1 (en) Apparatus and methods for key generation
CN102970678A (zh) 加密算法协商方法、网元及移动台
CN102318259B (zh) 用于业务计数密钥管理和密钥计数管理的方法和装置
CN101772019A (zh) 处理跨系统交递保密的方法及其相关通讯装置
WO2019140337A1 (en) Method and apparatus for multiple registrations
Liu et al. The untrusted handover security of the S-PMIPv6 on LTE-A

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
C14 Grant of patent or utility model
GR01 Patent grant