CN104010276B - 一种宽带集群系统的组密钥分层管理方法、系统和终端 - Google Patents
一种宽带集群系统的组密钥分层管理方法、系统和终端 Download PDFInfo
- Publication number
- CN104010276B CN104010276B CN201310061843.8A CN201310061843A CN104010276B CN 104010276 B CN104010276 B CN 104010276B CN 201310061843 A CN201310061843 A CN 201310061843A CN 104010276 B CN104010276 B CN 104010276B
- Authority
- CN
- China
- Prior art keywords
- group
- key
- terminal
- system side
- described group
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Active
Links
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04W—WIRELESS COMMUNICATION NETWORKS
- H04W4/00—Services specially adapted for wireless communication networks; Facilities therefor
- H04W4/06—Selective distribution of broadcast services, e.g. multimedia broadcast multicast service [MBMS]; Services to user groups; One-way selective calling services
- H04W4/08—User group management
Landscapes
- Engineering & Computer Science (AREA)
- Multimedia (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Mobile Radio Communication Systems (AREA)
Abstract
本发明提供一种宽带集群系统的组密钥分层管理方法,包括:系统侧为群组生成组根密钥,将所述组根密钥下发给所述群组中的终端;在组呼建立时,所述系统侧生成组呼安全参数,基于所述组根密钥和所述组呼安全参数生成非接入层密钥和接入层密钥,将所述组呼安全参数下发给所述群组中的听用户终端;所述系统侧基于所述非接入层密钥和接入层密钥对所述组呼的组呼共享信道进行保护。本发明还提供一种宽带集群系统的组密钥分层管理系统和一种终端。本发明通过系统侧下发组根密钥,提高了组根密钥的灵活性,另外,组呼时使用对应的组呼安全参数,使系统的安全程度得到进一步提高。
Description
技术领域
本发明涉及移动通信技术领域,尤其涉及基于LTE(Long Term Evolution,长期演进)实现的宽带集群系统的组密钥分层管理方法、系统和终端。
背景技术
集群系统是为了满足行业用户指挥调度需求而开发的,面向特定行业应用的专用无线通信系统。集群系统是一种高效的无线通信系统,通过共享无线信道,以较少的无线信道数量支持大量的无线用户进行群组通信。目前,集群系统以模拟集群系统和窄带数字通信系统为主,能够提供的基本业务集中在语音和低速数据业务方面。
随着移动互联网的飞速发展,以及全球无线城市的大规模建设,宽带化成为整个无线通信发展的趋势,集群系统也向提供更大的信道容量,更多的业务类型,更高的数据带宽等方向发展。宽带集群系统就是在这种背景下,基于LTE技术演进而来的。
LTE是3GPP(3rd Generation Partnership Project,第三代合作伙伴计划)长期演进项目,LTE网络采取扁平化的架构,eNB(evolved Node B,演进的基站)部署分散化,运营商无法对其实行安全集中控制。为了用户能安全地使用网络,以及网络向合法的用户提供服务,LTE中制订了安全管理的相关协议,以有效保护各网元间信令流和媒体流数据的安全。
宽带集群系统继承了LTE的基本架构,部署时,可以不受LTE核心网的约束,根据不同的应用场景,可以只部署DSS(Dispatching SubSystem,调度子系统),或者DSS和EPC(Evolved Packed Core演进分组核心网)都部署。因此宽带集群系统需要设计一套单独的组密钥管理方法,来保证集群系统中核心网、eNB以及终端在使用宽带集群网络时的安全性。
3GPP协议规定的LTE的安全管理主要集中在:NAS(Non Access Stratum,非接入层)信令加密保护,NAS信令完整性保护,RRC(Radio Resource Control,无线资源控制)信令加密保护,RRC信令完整性保护,UP(User Plane,用户面)数据加密保护等几个方面。LTE的密钥架构为分层设计,系统使用在核心网和UE(User Equipment,用户设备)上保存的密钥K来分层派生各级密钥,结合所选择的加密算法和完整性保护算法,来实现NAS和AS(Access Stratum,接入层)的安全管理过程。
宽带集群系统在提供组呼业务时,由于多个听用户是采取共享下行信道的方式,对下行共享信道进行加密和完整性保护,要采取组内所有用户共知的组密钥。而同一个组的听用户终端的K值是保密的且各不相同,因此如果直接使用终端上的密钥K,无法对宽带集群系统的组呼业务进行安全管理。
在现有集群通信技术中,也有预先在终端上预置组密钥来实现组呼业务安全管理,该方案对组密钥的管理缺少灵活性,同时由于组密钥已经预置在终端上,在某些特定场景下,例如群组成员发生变化时,存在一定的安全隐患。
发明内容
本发明要解决的技术问题是提出一种宽带集群系统的组密钥分层管理方法、系统和终端,实现对组呼业务的组密钥分层管理,使宽带集群系统更加安全。
为了解决上述技术问题,本发明提供了一种宽带集群系统的组密钥分层管理方法,包括:
系统侧为群组生成组根密钥,将所述组根密钥下发给所述群组中的终端;
在组呼建立时,所述系统侧生成组呼安全参数,基于所述组根密钥和所述组呼安全参数生成非接入层密钥和接入层密钥,将所述组呼安全参数下发给所述群组中的听用户终端;
所述系统侧基于所述非接入层密钥和接入层密钥对所述组呼的组呼共享信道进行保护。
上述方法还可具有以下特点,所述系统侧将所述组根密钥下发给所述群组中的终端前,还包括:
所述系统侧与所述群组中的终端建立非接入层和接入层的安全通道;
所述系统侧将所述组根密钥下发给所述群组中的终端包括:所述系统侧通过所述安全通道将所述组根密钥下发给所述群组中的终端。
上述方法还可具有以下特点,所述非接入层密钥包括:非接入层加密密钥和非接入层完整性保护密钥,所述接入层密钥包括:无线资源控制加密密钥、无线资源控制完整性保护密钥和用户面数据加密密钥。
上述方法还可具有以下特点,所述系统侧基于所述组根密钥和所述组呼安全参数生成非接入层密钥和接入层密钥包括:
核心网基于所述组根密钥和所述组呼安全参数使用密钥推导函数KDF生成所述非接入层密钥和演进的基站密钥;
所述核心网将所述演进的基站密钥下发给所述组呼相关的演进的基站,由所述演进的基站基于所述演进的基站密钥使用KDF函数生成所述接入层密钥。
上述方法还可具有以下特点,所述系统侧为不同群组生成不同的组根密钥。
上述方法还可具有以下特点,所述组呼安全参数为一随机数,或者为一计数值。
上述方法还可具有以下特点,所述方法还包括:在满足更新触发条件时,所述系统侧更新所述群组的组根密钥,将更新后的组根密钥下发给所述群组中的终端。
上述方法还可具有以下特点,所述更新触发条件包括:
所述群组中的成员变动或者安全周期到达。
上述方法还可具有以下特点,所述方法还包括:所述系统侧为所述群组生成组根密钥时,还生成密钥编号;所述系统侧将所述组根密钥下发给所述群组中的终端时,还将所述密钥编号下发给所述群组中的终端;
在组呼建立时,所述系统侧将所述组呼安全参数下发给所述群组中的听用户终端时,还将所述密钥编号下发给所述群组中的听用户终端。
本发明实施例提供一种宽带集群系统的组密钥分层管理方法,包括:
终端接收系统侧下发的所述终端所属群组的组根密钥;
组呼建立时,所述终端接收所述系统侧下发的组呼安全参数;
所述终端基于所述组根密钥和所述组呼安全参数生成非接入层密钥和接入层密钥,基于所述非接入层密钥和所述接入层密钥对所述组呼的组呼共享信道进行保护。
上述方法还可具有以下特点,所述终端接收系统侧下发的所述终端所属群组的组根密钥前还包括:所述终端与所述系统侧建立非接入层和接入层的安全通道;
所述终端接收系统侧下发的所述终端所属群组的组根密钥包括:所述终端通过所述安全通道接收系统侧下发的所述终端所属群组的组根密钥。
上述方法还可具有以下特点,所述非接入层密钥包括:非接入层加密密钥和非接入层完整性保护密钥,所述接入层密钥包括:无线资源控制加密密钥、无线资源控制完整性保护密钥和用户面数据加密密钥。
上述方法还可具有以下特点,所述终端基于所述组根密钥和所述组呼安全参数生成非接入层密钥和接入层密钥包括:
所述终端基于所述组根密钥和所述组呼安全参数使用KDF函数生成非接入层密钥和演进的基站密钥,基于所述演进的基站密钥使用KDF函数生成所述接入层密钥。
上述方法还可具有以下特点,所述方法还包括:
所述终端接收所述系统侧下发的所述终端所属群组的组根密钥时,还获取与所述组根密钥一起下发的密钥编号,保存所述组根密钥和所述密钥编号;
组呼建立时,所述终端还接收与所述组呼安全参数一起下发的密钥编号;
所述终端基于所述组根密钥和所述组呼安全参数生成非接入层密钥和接入层密钥前还包括:判断所述组呼建立时接收到的密钥编号与本地保存的密钥编号是否一致,如果一致,才基于所述组根密钥和所述组呼安全参数生成所述非接入层密钥和所述接入层密钥;否则,所述终端向所述系统侧发起组根密钥同步请求,从所述系统侧获取新的组根密钥和密钥编号,并基于所述新的组根密钥和所述组呼安全参数生成非接入层密钥和接入层密钥。
本发明还提供一种宽带集群系统的组密钥分层管理系统,包括:系统侧网元,所述系统侧网元用于:
为群组生成组根密钥,将所述组根密钥下发给所述群组中的终端;以及,
在组呼建立时,生成组呼安全参数,基于所述组根密钥和所述组呼安全参数生成非接入层密钥和接入层密钥,将所述组呼安全参数下发给所述群组中的听用户终端;以及,基于所述非接入层密钥和接入层密钥对所述组呼的组呼共享信道进行保护。
上述系统还可具有以下特点,所述系统侧网元还用于,将所述组根密钥下发给所述群组中的终端前,与所述群组中的终端建立非接入层和接入层的安全通道;
所述系统侧网元是用于通过所述安全通道将所述组根密钥下发给所述群组中的终端。
上述系统还可具有以下特点,所述非接入层密钥包括:非接入层加密密钥和非接入层完整性保护密钥,所述接入层密钥包括:无线资源控制加密密钥、无线资源控制完整性保护密钥和用户面数据加密密钥。
上述系统还可具有以下特点,所述系统侧网元包括:核心网和演进的基站,其中:
所述核心网用于,基于所述组根密钥和所述组呼安全参数使用密钥推导函数KDF生成所述非接入层密钥和演进的基站密钥;以及,将所述演进的基站密钥下发给所述组呼相关的所述演进的基站,
所述演进的基站用于,基于所述演进的基站密钥使用KDF函数生成所述接入层密钥。
上述系统还可具有以下特点,所述系统侧网元为不同群组生成不同的组根密钥。
上述系统还可具有以下特点,所述组呼安全参数为一随机数,或者为一计数值。
上述系统还可具有以下特点,所述系统侧网元还用于:在满足更新触发条件时,更新所述群组的组根密钥,将更新后的组根密钥下发给所述群组中的终端。
上述系统还可具有以下特点,所述更新触发条件包括:
所述群组中的成员变动或者安全周期到达。
上述系统还可具有以下特点,所述系统侧网元还用于:为所述群组生成组根密钥时,生成密钥编号;将所述组根密钥下发给所述群组中的终端时,还将所述密钥编号下发给所述群组中的终端;以及,在组呼建立时,将所述组呼安全参数下发给所述群组中的听用户终端时,还将所述密钥编号下发给所述群组中的听用户终端。
本发明实施例还提供一种终端,所述终端包括:
交互单元,用于接收系统侧下发的所述终端所属群组的组根密钥;以及,组呼建立时,接收所述系统侧下发的组呼安全参数;
密钥生成单元,用于基于所述组根密钥和所述组呼安全参数生成非接入层密钥和接入层密钥;
保护单元,用于基于所述非接入层密钥和所述接入层密钥对所述组呼的组呼共享信道进行保护。
上述终端还可具有以下特点,所述交互单元还用于,接收系统侧下发的所述终端所属群组的组根密钥前,与所述系统侧建立非接入层和接入层的安全通道;
所述交互单元是用于通过所述安全通道接收所述系统侧下发的所述终端所属群组的组根密钥。
上述终端还可具有以下特点,所述非接入层密钥包括:非接入层加密密钥和非接入层完整性保护密钥;所述接入层密钥包括:无线资源控制加密密钥、无线资源控制完整性保护密钥和用户面数据加密密钥。
上述终端还可具有以下特点,所述密钥生成单元基于所述组根密钥和所述组呼安全参数生成非接入层密钥和接入层密钥包括:
所述密钥生成单元基于所述组根密钥和所述组呼安全参数使用KDF函数生成非接入层密钥和演进的基站密钥,基于所述演进的基站密钥使用KDF函数生成所述接入层密钥。
上述终端还可具有以下特点,所述交互单元还用于:接收所述系统侧下发的所述终端所属群组的组根密钥时,还获取与所述组根密钥一起下发的密钥编号,保存所述组根密钥和所述密钥编号;以及,组呼建立时,还接收与所述组呼安全参数一起下发的密钥编号;
所述密钥生成单元还用于,基于所述组根密钥和所述组呼安全参数生成非接入层密钥和接入层密钥前,判断所述组呼建立时接收到的密钥编号与本地保存的密钥编号是否一致,如果一致,才基于所述组根密钥和所述组呼安全参数生成所述非接入层密钥和所述接入层密钥;否则,向所述系统侧发起组根密钥同步请求,从所述系统侧获取新的组根密钥和密钥编号,并基于所述新的组根密钥和所述组呼安全参数生成非接入层密钥和接入层密钥。
本发明还提供一种宽带集群系统的组密钥分层管理系统,包括上述系统侧网元和终端。
本发明实施例提供的组密钥分层管理方法,实现简单,密钥架构分层设置,在保证了安全程度的同时,对现有LTE安全协议架构改动较小,在终端侧的改动不涉及SIM卡的软件接口变化,容易做到后向兼容。
附图说明
图1是本发明实施例中所采用的组密钥架构图;
图2是组呼密钥KDF派生关系图;
图3是实现本发明实施例的分层管理方法时,宽带集群系统和UE应用组根密钥kg和组呼安全参数派生各级密钥的过程示意图;
图4是本发明实施例组根密钥同步更新的示意图;
图5是本发明实施例组呼加解密密钥产生的示意图;
图6是本发明实施例基于LTE集群通信系统的组根密钥同步更新流程图;
图7是本发明实施例终端框图。
具体实施方式
为使本发明的目的、技术方案和优点更加清楚明白,下文中将结合附图对本发明的实施例进行详细说明。需要说明的是,在不冲突的情况下,本申请中的实施例及实施例中的特征可以相互任意组合。
另外,虽然在流程图中示出了逻辑顺序,但是在某些情况下,可以以不同于此处的顺序执行所示出或描述的步骤。
本发明实施例提供一种宽带集群系统的组密钥分层管理方法,包括:
系统侧为群组生成组根密钥,将所述组根密钥下发给所述群组中的终端;
在组呼建立时,所述系统侧生成组呼安全参数,基于所述组根密钥和所述组呼安全参数生成非接入层密钥和接入层密钥,将所述组呼安全参数下发给所述群组中的听用户终端;
所述系统侧基于所述非接入层密钥和接入层密钥对所述组呼的组呼共享信道进行保护。
在本实施例的一种备选方案中,所述系统侧将所述组根密钥下发给所述群组中的终端前,还包括:
所述系统侧与所述群组中的终端建立非接入层和接入层的安全通道;
所述系统侧将所述组根密钥下发给所述群组中的终端包括:所述系统侧通过所述安全通道将所述组根密钥下发给所述群组中的终端。
在本实施例的一种备选方案中,所述非接入层密钥包括:非接入层加密密钥和非接入层完整性保护密钥,所述接入层密钥包括:无线资源控制加密密钥、无线资源控制完整性保护密钥和用户面数据加密密钥。当然,非接入层密钥和接入层密钥也可根据需要包括其他类型的密钥。
在本实施例的一种备选方案中,所述系统侧基于所述组根密钥和所述组呼安全参数生成非接入层密钥和接入层密钥包括:
核心网基于所述组根密钥和所述组呼安全参数使用密钥推导函数KDF生成所述非接入层密钥和演进的基站密钥;
所述核心网将所述演进的基站密钥下发给所述组呼相关的演进的基站,由所述演进的基站基于所述演进的基站密钥使用KDF函数生成所述接入层密钥。
在本实施例的一种备选方案中,所述系统侧为不同群组生成不同的组根密钥。
在本实施例的一种备选方案中,所述组呼安全参数为一随机数,或者为一计数值。
在本实施例的一种备选方案中,还包括:在满足更新触发条件时,所述系统侧更新所述群组的组根密钥,将更新后的组根密钥下发给所述群组中的终端。所述更新触发条件包括但不限于:所述群组中的成员变动或者安全周期到达。
在本实施例的一种备选方案中,还包括:所述系统侧为所述群组生成组根密钥时,还生成密钥编号;所述系统侧将所述组根密钥下发给所述群组中的终端时,还将所述密钥编号下发给所述群组中的终端;
在组呼建立时,所述系统侧将所述组呼安全参数下发给所述群组中的听用户终端时,还将所述密钥编号下发给所述群组中的听用户终端。
在本实施例的一种备选方案中,还包括:所述系统侧每个安全周期更新一次所述组根密钥,同时更新所述密钥编号,并将所述更新后的组根密钥和更新后的密钥编号下发给所述群组中的终端。
本发明实施例还提供一种宽带集群系统的组密钥分层管理方法,包括:
终端接收系统侧下发的所述终端所属群组的组根密钥;
组呼建立时,所述终端接收所述系统侧下发的组呼安全参数;
所述终端基于所述组根密钥和所述组呼安全参数生成非接入层密钥和接入层密钥,基于所述非接入层密钥和所述接入层密钥对所述组呼的组呼共享信道进行保护。
在本实施例的一种备选方案中,所述终端接收系统侧下发的所述终端所属群组的组根密钥前还包括:所述终端与所述系统侧建立非接入层和接入层的安全通道;所述终端是通过所述安全通道接收系统侧下发的所述终端所属群组的组根密钥。
在本实施例的一种备选方案中,所述终端基于所述组根密钥和所述组呼安全参数生成非接入层密钥和接入层密钥包括:
所述终端基于所述组根密钥和所述组呼安全参数使用KDF函数生成非接入层密钥和演进的基站密钥,基于所述演进的基站密钥使用KDF函数生成所述接入层密钥。
在本实施例的一种备选方案中,还包括:
所述终端接收所述系统侧下发的所述终端所属群组的组根密钥时,还获取与所述组根密钥一起下发的密钥编号,保存所述组根密钥和所述密钥编号;
组呼建立时,所述终端还接收与所述组呼安全参数一起下发的密钥编号;
所述终端基于所述组根密钥和所述组呼安全参数生成非接入层密钥和接入层密钥前还包括:判断所述组呼建立时接收到的密钥编号与本地保存的密钥编号是否一致,如果一致,才基于所述组根密钥和所述组呼安全参数生成所述非接入层密钥和所述接入层密钥;否则,所述终端向所述系统侧发起组根密钥同步请求,从所述系统侧获取新的组根密钥和密钥编号,并基于所述新的组根密钥和所述组呼安全参数生成非接入层密钥和接入层密钥。
本发明实施例提供一种宽带集群系统的组密钥分层管理方法,包括:
步骤101,在群组建立时,由宽带集群核心网生成组根密钥Kg;
其中,每个群组的Kg可以互不重复,以保证群组通信的私密性和安全性;
步骤102,集群终端与宽带集群系统建立点到点的安全连接,终端使用保存在终端上的密钥K,与系统建立NAS和AS的安全通道;
步骤103,集群系统通过安全通道将终端所属群组的根密钥Kg下发给集群终端。当一个集群终端属于多个群组时,该下发过程可能要进行多次。
步骤104,组呼建立过程中,组呼主叫用户与宽带集群系统之间建立点到点的连接,组呼主叫用户的安全管理过程,仍使用存储在核心网和终端上的密钥K派生的各级密钥;
步骤105,组呼建立时,系统中存在多个听用户,系统与听用户之间是一点到多点的连接,系统应用组呼的密钥架构进行共享信道的安全管理,此时先由宽带集群核心网生成一个组呼安全参数,如随机变量,计数器等;
步骤106,宽带集群核心网使用KDF(key derivation function,密钥推导函数),由Kg和组呼安全参数派生组呼共享信道使用的NAS加密密钥,NAS完整性保护密钥以及eNB密钥KgeNB;
步骤107,在组呼建立过程中,宽带集群核心网将KgeNB通知到相关的eNB,eNB使用KgeNB派生出组呼共享信道使用的RRC信令加密密钥,RRC信令完整性保护密钥以及UP数据加密密钥;
步骤108,在组呼建立过程中,系统侧将组呼安全参数通知到组内的各听用户终端。听用户终端收到组呼安全参数后,结合之前保存的Kg,使用KDF函数可以分层派生出本次组呼的各级密钥。对于该次组呼,由于终端侧与系统保存的Kg和组呼安全参数完全相同,因此在终端上派生得到的各级密钥,与系统侧也完全相同;
步骤109,核心网在派生出NAS层的密钥,将组呼安全参数发送给终端,并将KgeNB成功发送给eNB之后,启动组呼共享信道的NAS加密保护和NAS完整性保护;eNB在成功收到KgeNB并派生出AS层的密钥后,启动组呼共享信道的RRC加密保护,RRC完整性保护以及UP数据加密保护;组听用户终端在收到组呼安全参数后,派生出NAS层和AS层的各级密钥,启动组呼共享信道的NAS加密保护,NAS完整性保护,RRC加密保护,RRC完整性保护和UP数据加密保护。
该方法进一步还包括:
在群组建立之后,通常情况下,组根密钥Kg一直保持不变,在涉及到组根密钥可能会泄漏导致安全隐患时,例如当群组成员发生变化时,可由系统侧重新生成新的Kg,并由集群宽带系统核心网加密发送给终端,此过程重复步骤101至步骤103;每次在新的组呼建立时,重复步骤104至步骤108。
使用上述方法,不需要在终端上预置组根密钥,而是将组根密钥Kg通过加密通道下发给终端,因此组根密钥的灵活性和安全性可以得到保证;同时在每次新的组呼建立时,系统侧和终端使用组根密钥Kg结合新的组呼安全参数,来重新生成该次组呼使用的加密密钥和完整性保护密钥,使系统的安全程度得到进一步提高。
本发明实施例提供了一种在LTE系统上实现的宽带集群业务的安全管理方法:当组用户与宽带集群系统建立点到点的连接时,例如组呼主叫用户发起连接建立请求,或者当UE初始附着到宽带集群系统时,UE与宽带集群系统建立点对点的单呼连接,此种场景下,UE与宽带集群系统使用单呼的密钥架构进行安全管理,基于保存在核心网和UE上的密钥K值来派生各级密钥,该架构在LTE安全管理协议中有专门规定,本发明对于该密钥派生过程不做重点描述。
组呼业务中可能存在多个被叫用户,此种场景下,系统与多个听用户建立一点到多点的连接,采取的密钥架构是组密钥架构,如图1所示,图中各级密钥的功能如下:
Kg:宽带集群系统的组根密钥,用于组安全管理,是一点对多点连接中各级密钥产生的基础;
GroupCallRand:组呼变量。为了加强安全,每次新的组呼建立时,群组使用的加密密钥和完整性保护密钥要进行变化,引入GroupCallRand作为密钥的派生函数输入变量。
KgNASEnc:组呼NAS信令加密密钥;
KgNASInt:组呼NAS信令完整性保护密钥;
KgeNB:eNB密钥,需要说明的是,一个群组对应的所有eNB都具有相同的KgeNB;
KgUPEnc:是组呼用户面数据的加密密钥,即UP数据加密密钥;
KgRRCEnc:是组呼RRC信令的加密密钥;
KgRRCInt:是组呼RRC信令的完整性保护密钥。
图1中系统侧的PHR(Push to Talk Home Register,简称PTT Home Register,一按即说归属寄存器)/PDS(PTT Dispatch Server,PTT调度服务器)使用KDF函数,由Kg和组呼安全参数GroupCallRand派生组呼共享信道使用的NAS加密密钥KgNASEnc,NAS完整性保护密钥KgNASInt以及eNB密钥KgeNB。
下面通过具体实施进一步阐述本发明所述的实现方法,但不作为本发明的限定。
如图2所示,为本发明具体实施例中各密钥的KDF派生关系示意图,本示意图仅是一个示例,本发明具体的KDF派生函数的各输入参数并不局限于图中的示例:图中KgNASEnc,KgNASInt,KgeNB均使用Kg作为输入密钥,由组呼安全参数GroupCallRand参与构造KDF函数的输入字节串;由KgeNB派生KgUPEnc,KgRRCEnc,KgRRCInt。图2中,SN id为Serving Network identity(服务网络标识),Enc-Alg-ID为Encryption Algorithm Identity(加密算法标识),NAS-enc-alg为NAS Encryption Algorithm(NAS加密算法),Int-Alg-ID为(IntegrityAlgorithm Identity(完整性保护算法标识),NAS-int-alg为NASIntegrity Algorithm(NAS完整性保护算法),RRC-enc-alg为RRC Encryption Algorithm(RRC加密算法),RRC-int-alg为RRC Integrity Algorithm(RRC完整性保护算法),UP-enc-alg为UP EncryptionAlgorithm(UP加密算法)。
由图2可以看出,当组呼安全参数GroupCallRand发生变化时,派生密钥都将发生变化,这种实现方式使得每次组呼建立时,只要使用新的组呼安全参数GroupCallRand,就可以得到一组新的密钥进行组呼安全管理。
如图3所示,本发明实施中宽带集群系统进行组密钥管理的过程如下:该实施例中PHR
步骤301,PHR为每个群组都生成一个组根密钥Kg,Kg的构造方法可以直接使用随机数发生器生成,也可以使用组标识GID与随机数使用KDF函数产生,也可以通过人工设置的方式生成,但不限于这些具体的方法;
步骤302,集群终端初始附着到宽带集群系统,集群终端与宽带集群系统建立点到点的连接,应用单呼密钥架构,在UE通过宽带集群系统的认证鉴权,并成功激活安全模式之后,UE与宽带集群系统之间成功建立了点到点的NAS和AS安全通道,之后在宽带集群和UE之间传输的数据可以得到加密和完整性保护。宽带集群系统将该UE所属的组的根密钥Kg以及加密算法ID和完整新保护算法ID在组信息更新消息中加密发送给UE,当UE属于多个群组时,此过程根据信令的长度不同,可能要重复多次。UE保存收到的Kg,加密算法ID和完整性保护算法ID,用于后续组呼建立时的具体安全管理过程。
步骤303,当一次新的组呼建立时,宽带集群核心网生成一个组呼安全参数GroupCallRand,并使用KDF函数由Kg和GroupCallRand派生出KgNASEnc,KgNASInt和KgeNB。
步骤304,PDS将KgeNB通知到该次组呼相关的所有eNB,各eNB应用KDF函数由KgeNB派生出KgRRCEnc,KgRRCInt和KgUPEnc。
步骤305,宽带集群核心网将GroupCallRand通过控制信道发送给所有的听用户UE,UE使用KDF函数由Kg和GroupCallRand派生出安全管理所需要用到的各级密钥:KgNASEnc,KgNASInt,KgeNB,KgRRCEnc,KgRRCInt和KgUPEnc。UE上生成各密钥的KDF算法的参数,与宽带集群系统侧完全一致,因此UE上派生出的各级密钥与系统侧也完全相同。
为进一步提高组根密钥的安全性,在上述方案基础上,引入安全周期,每个安全周期更新一次组根密钥,并通过密钥编号保证系统侧和终端侧的组根密钥的一致,具体的,包括:
步骤401,在集群组呼建立之前,核心网为每个群组产生并保存一个组根密钥,此组根密钥作为组呼的基础密钥,基于该组根密钥可以通过KDF派生出多个对信令或用户面报文进行加解密的密钥和完整性保护密钥;同时还为组根密钥产生一个密钥编号,在一个安全周期内组根密钥不发生变化,密钥编号也不发生变化,在超出一个安全周期之后密钥管理中心为群组产生一个新的组根密钥时,同步产生一个新的密钥编号。
步骤402,由系统侧向群组内的终端发送单呼寻呼,并在系统与群组内的终端间建立起点对点的单呼呼叫,单呼呼叫启用现有标准的安全机制,以在群组内的终端与系统间建立起安全的通信通道。
步骤403,系统启用标准的单呼加密密钥对组根密钥和密钥编号进行加密,然后通过系统与终端间已建立起的单呼安全通道把加密后的组根密钥和密钥编号发送给终端。
步骤404,终端接收到已加密的组根密钥和密钥编号报文后,启用标准的单呼解密密钥对报文进行解密,从而得到组根密钥和密钥编号,并把得到的组根密钥和密钥编号存储于终端中。
步骤405,终端向系统侧反馈组根密钥更新成功信息。
步骤406,释放系统与组成员终端间点对点的单呼呼叫。
步骤407,重复步骤402~步骤406,以对群组中其他组成员进行组根密钥和密钥编号的同步和更新。
步骤S208,当群组中所有成员都成功完成了组根密钥的同步更新后,则结束本次组根密钥的同步更新流程。
上述步骤401~408参见图4,当系统侧的密钥管理中心为一个群组产生一个新的组根密钥时,按图4所示步骤对群组内所有成员进行组根密钥更新同步。
步骤409,组呼建立时,由系统侧为本次组呼产生一组呼安全参数,如随机数或计数器等,并通过组呼寻呼消息或广播消息把密钥编号连同本次组呼产生的组呼安全参数广播给群组内的所有成员。
步骤410,系统侧利用组根密钥以及本次组呼产生的组呼安全参数作入参,通过KDF函数派生出多个加密密钥和完整性保护密钥,并以派生出的加密密钥和完整性保护密钥对本次组呼的信令或用户面报文进行加密和完整性保护。
该步骤中,具体如何根据组根密钥和组呼安全参数进行派生可参考前述实施例,此处不再赘述。
步骤411,群组内的成员终端接收到系统侧发送的组呼寻呼消息或广播消息后,判断接收到的密钥编号与终端保存的密钥编号是否一致,以确定终端保存的组根密钥与系统在本次组呼时使用的组根密钥是否一致。
步骤412,若判断结果表明组根密钥一致,则利用保存在终端中的组根密钥以及从组呼寻呼消息或广播消息接收到的组呼安全参数作入参,通过KDF派生出多个本次组呼的解密密钥和完整性保护密钥,并以派生出的解密密钥和完整性保护密钥对本次组呼的信令或用户面报文进行完整性判断和解密。
步骤413,若判断结果表明组根密钥不一致,成员终端则向系统侧发起根密钥同步请求,之后通过执行步骤402~步骤406以完成组根密钥同步更新。
上述步骤409~413参见图5,组呼建立时,按图5所示步骤完成加解密密钥生成,对组成员终端与系统组根密钥不一致情况时,也按图5所示步骤完成组根密钥的同步。
下面结合附图对本发明在LTE集群系统中的具体实施作进一步说明。
如图6所示,在LTE集群系统实施中包括以下步骤进行组根密钥更新:
步骤601,核心网的密钥管理中心为一个群组产生一个组根密钥,并同时产生一个密钥编号。
步骤602,核心网通过基站向群组的成员终端发送单呼寻呼。
步骤603,在终端、基站、核心网间完成单呼呼叫建立,并启用标准的安全机制建立起安全的通信通道。
步骤604,核心网利用单呼时产生的NAS加密密钥对组根密钥、密钥编号、组呼加密算法ID等信息进行加密,并使用NAS直传消息通过基站发送给终端,终端利用单呼时产生的NAS解密密钥对NAS内容进行解密,获取到组根密钥、密钥编号、组呼加密算法ID等信息。
步骤605,成员终端在解密成功后,通过基站向核心网反馈成功信息。
步骤606,终端、基站、核心网完成单呼呼叫释放。
本发明实施例还提供一种宽带集群系统的组密钥分层管理系统,包括:系统侧网元,所述系统侧网元用于:
为群组生成组根密钥,将所述组根密钥下发给所述群组中的终端;以及,
在组呼建立时,生成组呼安全参数,基于所述组根密钥和所述组呼安全参数生成非接入层密钥和接入层密钥,将所述组呼安全参数下发给所述群组中的听用户终端;以及,基于所述非接入层密钥和接入层密钥对所述组呼的组呼共享信道进行保护。
在本实施例的一种备选方案中,所述系统侧网元还用于,将所述组根密钥下发给所述群组中的终端前,与所述群组中的终端建立非接入层和接入层的安全通道;所述系统侧网元是用于通过所述安全通道将所述组根密钥下发给所述群组中的终端。
在本实施例的一种备选方案中,所述非接入层密钥包括:非接入层加密密钥和非接入层完整性保护密钥,所述接入层密钥包括:无线资源控制加密密钥、无线资源控制完整性保护密钥和用户面数据加密密钥。
在本实施例的一种备选方案中,所述系统侧网元包括:核心网和演进的基站,其中:
所述核心网用于,基于所述组根密钥和所述组呼安全参数使用密钥推导函数KDF生成所述非接入层密钥和演进的基站密钥;以及,将所述演进的基站密钥下发给所述组呼相关的所述演进的基站,
所述演进的基站用于,基于所述演进的基站密钥使用KDF函数生成所述接入层密钥。
在本实施例的一种备选方案中,所述系统侧网元为不同群组生成不同的组根密钥。
在本实施例的一种备选方案中,所述组呼安全参数为一随机数,或者为一计数值。
在本实施例的一种备选方案中,所述系统侧网元还用于:在满足更新触发条件时,更新所述群组的组根密钥,将更新后的组根密钥下发给所述群组中的终端。所述更新触发条件包括但不限于:所述群组中的成员变动或者安全周期到达。
在本实施例的一种备选方案中,所述系统侧网元还用于:为所述群组生成组根密钥时,生成密钥编号;将所述组根密钥下发给所述群组中的终端时,还将所述密钥编号下发给所述群组中的终端;以及,在组呼建立时,将所述组呼安全参数下发给所述群组中的听用户终端时,还将所述密钥编号下发给所述群组中的听用户终端。
在本实施例的一种备选方案中,所述系统侧网元还用于,每个安全周期更新一次所述组根密钥,同时更新所述密钥编号,并将所述更新后的组根密钥和更新后的密钥编号下发给所述群组中的终端。
本发明实施例还提供一种终端,如图7所示,所述终端包括:
交互单元701,用于接收系统侧下发的所述终端所属群组的组根密钥;以及,组呼建立时,接收所述系统侧下发的组呼安全参数;
密钥生成单元702,用于基于所述组根密钥和所述组呼安全参数生成非接入层密钥和接入层密钥;
保护单元703,用于基于所述非接入层密钥和所述接入层密钥对所述组呼的组呼共享信道进行保护。
在本实施例的一种备选方案中,所述交互单元701还用于,接收系统侧下发的所述终端所属群组的组根密钥前,与所述系统侧建立非接入层和接入层的安全通道;所述交互单元701是用于通过所述安全通道接收所述系统侧下发的所述终端所属群组的组根密钥。
在本实施例的一种备选方案中,所述非接入层密钥包括:非接入层加密密钥和非接入层完整性保护密钥;所述接入层密钥包括:无线资源控制加密密钥、无线资源控制完整性保护密钥和用户面数据加密密钥。
在本实施例的一种备选方案中,所述密钥生成单元702基于所述组根密钥和所述组呼安全参数生成非接入层密钥和接入层密钥包括:
所述密钥生成单元702基于所述组根密钥和所述组呼安全参数使用KDF函数生成非接入层密钥和演进的基站密钥,基于所述演进的基站密钥使用KDF函数生成所述接入层密钥。
在本实施例的一种备选方案中,所述交互单元701还用于:接收所述系统侧下发的所述终端所属群组的组根密钥时,还获取与所述组根密钥一起下发的密钥编号,保存所述组根密钥和所述密钥编号;以及,组呼建立时,还接收与所述组呼安全参数一起下发的密钥编号;
所述密钥生成单元702还用于,基于所述组根密钥和所述组呼安全参数生成非接入层密钥和接入层密钥前,判断所述组呼建立时接收到的密钥编号与本地保存的密钥编号是否一致,如果一致,才基于所述组根密钥和所述组呼安全参数生成所述非接入层密钥和所述接入层密钥;否则,向所述系统侧发起组根密钥同步请求,从所述系统侧获取新的组根密钥和密钥编号,并基于所述新的组根密钥和所述组呼安全参数生成非接入层密钥和接入层密钥。
本发明实施例还提供一种包括上述系统侧网元和终端的系统。
本领域普通技术人员可以理解上述方法中的全部或部分步骤可通过程序来指令相关硬件完成,所述程序可以存储于计算机可读存储介质中,如只读存储器、磁盘或光盘等。可选地,上述实施例的全部或部分步骤也可以使用一个或多个集成电路来实现。相应地,上述实施例中的各模块/单元可以采用硬件的形式实现,也可以采用软件功能模块的形式实现。本发明不限制于任何特定形式的硬件和软件的结合。
Claims (27)
1.一种宽带集群系统的组密钥分层管理方法,其特征在于,包括:
系统侧为群组生成组根密钥和密钥编号,将所述组根密钥和密钥编号下发给所述群组中的终端;
在组呼建立时,所述系统侧生成组呼安全参数,基于所述组根密钥和所述组呼安全参数生成非接入层密钥和接入层密钥,将所述组呼安全参数下发给所述群组中的听用户终端;所述组呼安全参数为一随机数,或者为一计数值;
所述系统侧基于所述非接入层密钥和接入层密钥对所述组呼的组呼共享信道进行保护。
2.如权利要求1所述的方法,其特征在于,所述系统侧将所述组根密钥下发给所述群组中的终端前,还包括:
所述系统侧与所述群组中的终端建立非接入层和接入层的安全通道;
所述系统侧将所述组根密钥下发给所述群组中的终端包括:所述系统侧通过所述安全通道将所述组根密钥下发给所述群组中的终端。
3.如权利要求1所述的方法,其特征在于,所述非接入层密钥包括:非接入层加密密钥和非接入层完整性保护密钥,所述接入层密钥包括:无线资源控制加密密钥、无线资源控制完整性保护密钥和用户面数据加密密钥。
4.如权利要求1或3所述的方法,其特征在于,所述系统侧基于所述组根密钥和所述组呼安全参数生成非接入层密钥和接入层密钥包括:
核心网基于所述组根密钥和所述组呼安全参数使用密钥推导函数KDF生成所述非接入层密钥和演进的基站密钥;
所述核心网将所述演进的基站密钥下发给所述组呼相关的演进的基站,由所述演进的基站基于所述演进的基站密钥使用KDF函数生成所述接入层密钥。
5.如权利要求1所述的方法,其特征在于,所述系统侧为不同群组生成不同的组根密钥。
6.如权利要求1所述的方法,其特征在于,所述方法还包括:在满足更新触发条件时,所述系统侧更新所述群组的组根密钥,将更新后的组根密钥下发给所述群组中的终端。
7.如权利要求6所述的方法,其特征在于,所述更新触发条件包括:
所述群组中的成员变动或者安全周期到达。
8.如权利要求1或6所述的方法,其特征在于,
在组呼建立时,所述系统侧将所述组呼安全参数下发给所述群组中的听用户终端时,还将所述密钥编号下发给所述群组中的听用户终端。
9.一种宽带集群系统的组密钥分层管理方法,其特征在于,包括:
终端接收系统侧下发的所述终端所属群组的组根密钥和密钥编号;
组呼建立时,所述终端接收所述系统侧下发的组呼安全参数;所述组呼安全参数为一随机数,或者为一计数值;
所述终端基于所述组根密钥和所述组呼安全参数生成非接入层密钥和接入层密钥,基于所述非接入层密钥和所述接入层密钥对所述组呼的组呼共享信道进行保护。
10.如权利要求9所述的方法,其特征在于,所述终端接收系统侧下发的所述终端所属群组的组根密钥前还包括:所述终端与所述系统侧建立非接入层和接入层的安全通道;
所述终端接收系统侧下发的所述终端所属群组的组根密钥包括:所述终端通过所述安全通道接收系统侧下发的所述终端所属群组的组根密钥。
11.如权利要求9所述的方法,其特征在于,所述非接入层密钥包括:非接入层加密密钥和非接入层完整性保护密钥,所述接入层密钥包括:无线资源控制加密密钥、无线资源控制完整性保护密钥和用户面数据加密密钥。
12.如权利要求9至11任一所述的方法,其特征在于,所述终端基于所述组根密钥和所述组呼安全参数生成非接入层密钥和接入层密钥包括:
所述终端基于所述组根密钥和所述组呼安全参数使用KDF函数生成非接入层密钥和演进的基站密钥,基于所述演进的基站密钥使用KDF函数生成所述接入层密钥。
13.如权利要求9至11任一所述的方法,其特征在于,所述方法还包括:
组呼建立时,所述终端还接收与所述组呼安全参数一起下发的密钥编号;
所述终端基于所述组根密钥和所述组呼安全参数生成非接入层密钥和接入层密钥前还包括:判断所述组呼建立时接收到的密钥编号与本地保存的密钥编号是否一致,如果一致,才基于所述组根密钥和所述组呼安全参数生成所述非接入层密钥和所述接入层密钥;否则,所述终端向所述系统侧发起组根密钥同步请求,从所述系统侧获取新的组根密钥和密钥编号,并基于所述新的组根密钥和所述组呼安全参数生成非接入层密钥和接入层密钥。
14.一种宽带集群系统的组密钥分层管理系统,其特征在于,包括:系统侧网元,所述系统侧网元用于:
为群组生成组根密钥和密钥编号,将所述组根密钥和密钥编号下发给所述群组中的终端;以及,
在组呼建立时,生成组呼安全参数,基于所述组根密钥和所述组呼安全参数生成非接入层密钥和接入层密钥,将所述组呼安全参数下发给所述群组中的听用户终端;以及,基于所述非接入层密钥和接入层密钥对所述组呼的组呼共享信道进行保护;所述组呼安全参数为一随机数,或者为一计数值。
15.如权利要求14所述的系统,其特征在于,所述系统侧网元还用于,将所述组根密钥下发给所述群组中的终端前,与所述群组中的终端建立非接入层和接入层的安全通道;
所述系统侧网元是用于通过所述安全通道将所述组根密钥下发给所述群组中的终端。
16.如权利要求14所述的系统,其特征在于,所述非接入层密钥包括:非接入层加密密钥和非接入层完整性保护密钥,所述接入层密钥包括:无线资源控制加密密钥、无线资源控制完整性保护密钥和用户面数据加密密钥。
17.如权利要求14至16任一所述的系统,其特征在于,所述系统侧网元包括:核心网和演进的基站,其中:
所述核心网用于,基于所述组根密钥和所述组呼安全参数使用密钥推导函数KDF生成所述非接入层密钥和演进的基站密钥;以及,将所述演进的基站密钥下发给所述组呼相关的所述演进的基站,
所述演进的基站用于,基于所述演进的基站密钥使用KDF函数生成所述接入层密钥。
18.如权利要求14所述的系统,其特征在于,所述系统侧网元为不同群组生成不同的组根密钥。
19.如权利要求14所述的系统,其特征在于,所述系统侧网元还用于:在满足更新触发条件时,更新所述群组的组根密钥,将更新后的组根密钥下发给所述群组中的终端。
20.如权利要求19所述的系统,其特征在于,所述更新触发条件包括:
所述群组中的成员变动或者安全周期到达。
21.如权利要求14或19所述的系统,其特征在于,在组呼建立时,将所述组呼安全参数下发给所述群组中的听用户终端时,还将所述密钥编号下发给所述群组中的听用户终端。
22.一种终端,其特征在于,所述终端包括:
交互单元,用于接收系统侧下发的所述终端所属群组的组根密钥和密钥编号;以及,组呼建立时,接收所述系统侧下发的组呼安全参数;所述组呼安全参数为一随机数,或者为一计数值;
密钥生成单元,用于基于所述组根密钥和所述组呼安全参数生成非接入层密钥和接入层密钥;
保护单元,用于基于所述非接入层密钥和所述接入层密钥对所述组呼的组呼共享信道进行保护。
23.如权利要求22所述的终端,其特征在于,所述交互单元还用于,接收系统侧下发的所述终端所属群组的组根密钥前,与所述系统侧建立非接入层和接入层的安全通道;
所述交互单元是用于通过所述安全通道接收所述系统侧下发的所述终端所属群组的组根密钥。
24.如权利要求22所述的终端,其特征在于,所述非接入层密钥包括:非接入层加密密钥和非接入层完整性保护密钥;所述接入层密钥包括:无线资源控制加密密钥、无线资源控制完整性保护密钥和用户面数据加密密钥。
25.如权利要求22至24任一所述的终端,其特征在于,所述密钥生成单元基于所述组根密钥和所述组呼安全参数生成非接入层密钥和接入层密钥包括:
所述密钥生成单元基于所述组根密钥和所述组呼安全参数使用KDF函数生成非接入层密钥和演进的基站密钥,基于所述演进的基站密钥使用KDF函数生成所述接入层密钥。
26.如权利要求22至24任一所述的终端,其特征在于,
组呼建立时,还接收与所述组呼安全参数一起下发的密钥编号;
所述密钥生成单元还用于,基于所述组根密钥和所述组呼安全参数生成非接入层密钥和接入层密钥前,判断所述组呼建立时接收到的密钥编号与本地保存的密钥编号是否一致,如果一致,才基于所述组根密钥和所述组呼安全参数生成所述非接入层密钥和所述接入层密钥;否则,向所述系统侧发起组根密钥同步请求,从所述系统侧获取新的组根密钥和密钥编号,并基于所述新的组根密钥和所述组呼安全参数生成非接入层密钥和接入层密钥。
27.一种宽带集群系统的组密钥分层管理系统,其特征在于,包括如权利要求21所述的系统侧网元和权利要求26所述的终端。
Priority Applications (2)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
CN201310061843.8A CN104010276B (zh) | 2013-02-27 | 2013-02-27 | 一种宽带集群系统的组密钥分层管理方法、系统和终端 |
PCT/CN2014/072593 WO2014131356A1 (zh) | 2013-02-27 | 2014-02-27 | 一种宽带集群系统的组密钥分层管理方法、系统和终端 |
Applications Claiming Priority (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
CN201310061843.8A CN104010276B (zh) | 2013-02-27 | 2013-02-27 | 一种宽带集群系统的组密钥分层管理方法、系统和终端 |
Publications (2)
Publication Number | Publication Date |
---|---|
CN104010276A CN104010276A (zh) | 2014-08-27 |
CN104010276B true CN104010276B (zh) | 2019-02-15 |
Family
ID=51370737
Family Applications (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
CN201310061843.8A Active CN104010276B (zh) | 2013-02-27 | 2013-02-27 | 一种宽带集群系统的组密钥分层管理方法、系统和终端 |
Country Status (2)
Country | Link |
---|---|
CN (1) | CN104010276B (zh) |
WO (1) | WO2014131356A1 (zh) |
Families Citing this family (10)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
CN105578456B (zh) * | 2014-10-14 | 2019-01-25 | 成都鼎桥通信技术有限公司 | Td-lte集群通信系统的端到端加密方法、设备及系统 |
CN106162626A (zh) * | 2015-04-20 | 2016-11-23 | 北京信威通信技术股份有限公司 | 群组通信空口安全控制的方法、装置和系统 |
CN106358159A (zh) * | 2015-07-17 | 2017-01-25 | 中兴通讯股份有限公司 | 宽带集群系统的共享信道管理方法、系统、终端和基站 |
CN106998537B (zh) * | 2016-01-25 | 2019-09-10 | 展讯通信(上海)有限公司 | 组呼业务的信息传输方法及装置 |
CN107770769B (zh) * | 2016-08-15 | 2020-05-12 | 大唐移动通信设备有限公司 | 一种加密方法、网络侧设备及终端 |
CN106211091B (zh) * | 2016-09-08 | 2020-04-24 | 宇龙计算机通信科技(深圳)有限公司 | 一种建立集群通信的方法及系统 |
CN106535178B (zh) * | 2016-11-16 | 2019-07-12 | 中国人民解放军信息工程大学 | 接入层和非接入层密钥安全隔离装置及其方法 |
CN107196920B (zh) * | 2017-04-28 | 2019-07-30 | 中国人民解放军信息工程大学 | 一种面向无线通信系统的密钥产生分配方法 |
CN109729522A (zh) * | 2017-10-27 | 2019-05-07 | 普天信息技术有限公司 | 故障弱化模式下的空口加密方法及装置 |
CN117295138A (zh) * | 2023-10-17 | 2023-12-26 | 泸州卓远液压有限公司 | 一种针对液压设备集群的控制方法及装置 |
Citations (4)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
CN101257723A (zh) * | 2008-04-08 | 2008-09-03 | 中兴通讯股份有限公司 | 密钥生成方法、装置及系统 |
CN101159556B (zh) * | 2007-11-09 | 2011-01-26 | 清华大学 | 基于组密钥服务器的共享加密文件系统中的密钥管理方法 |
CN101094065B (zh) * | 2006-06-23 | 2011-09-28 | 华为技术有限公司 | 无线通信网络中的密钥分发方法和系统 |
CN102291680A (zh) * | 2010-06-18 | 2011-12-21 | 普天信息技术研究院有限公司 | 一种基于td-lte集群通信系统的加密组呼方法 |
Family Cites Families (5)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
CN101237444B (zh) * | 2007-01-31 | 2013-04-17 | 华为技术有限公司 | 密钥处理方法、系统和设备 |
CN101925059B (zh) * | 2009-06-12 | 2014-06-11 | 中兴通讯股份有限公司 | 一种切换的过程中密钥的生成方法及系统 |
CN101835152A (zh) * | 2010-04-16 | 2010-09-15 | 中兴通讯股份有限公司 | 终端移动到增强utran时建立增强密钥的方法及系统 |
US8914849B2 (en) * | 2011-06-08 | 2014-12-16 | Tracfone Wireless, Inc. | Broadcast replenishment of account parameters for groups of wireless devices |
KR101860440B1 (ko) * | 2011-07-01 | 2018-05-24 | 삼성전자주식회사 | 기기 간 통신 시스템에서 멀티캐스트 데이터 암호화 키 관리 방법, 장치 그리고 시스템 |
-
2013
- 2013-02-27 CN CN201310061843.8A patent/CN104010276B/zh active Active
-
2014
- 2014-02-27 WO PCT/CN2014/072593 patent/WO2014131356A1/zh active Application Filing
Patent Citations (4)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
CN101094065B (zh) * | 2006-06-23 | 2011-09-28 | 华为技术有限公司 | 无线通信网络中的密钥分发方法和系统 |
CN101159556B (zh) * | 2007-11-09 | 2011-01-26 | 清华大学 | 基于组密钥服务器的共享加密文件系统中的密钥管理方法 |
CN101257723A (zh) * | 2008-04-08 | 2008-09-03 | 中兴通讯股份有限公司 | 密钥生成方法、装置及系统 |
CN102291680A (zh) * | 2010-06-18 | 2011-12-21 | 普天信息技术研究院有限公司 | 一种基于td-lte集群通信系统的加密组呼方法 |
Also Published As
Publication number | Publication date |
---|---|
WO2014131356A1 (zh) | 2014-09-04 |
CN104010276A (zh) | 2014-08-27 |
Similar Documents
Publication | Publication Date | Title |
---|---|---|
CN104010276B (zh) | 一种宽带集群系统的组密钥分层管理方法、系统和终端 | |
US10594672B2 (en) | Secure node admission in a communication network | |
CN108966220B (zh) | 一种密钥推演的方法及网络设备 | |
EP2421292B1 (en) | Method and device for establishing security mechanism of air interface link | |
CN106936570B (zh) | 一种密钥配置方法及密钥管理中心、网元 | |
CN103179558B (zh) | 集群系统组呼加密实现方法及系统 | |
CN102291680B (zh) | 一种基于td-lte集群通信系统的加密组呼方法 | |
CN102625300B (zh) | 密钥生成方法和设备 | |
CN101926151B (zh) | 建立安全关联的方法和通信网络系统 | |
CN107566115A (zh) | 密钥配置及安全策略确定方法、装置 | |
CN102170636B (zh) | 用于计算共享加密密钥的方法和设备 | |
CN108347410A (zh) | 安全实现方法、设备以及系统 | |
CN101500230B (zh) | 建立安全关联的方法和通信网络 | |
CN103369523B (zh) | 一种提高群组下行安全性的方法 | |
CN102056157B (zh) | 一种确定密钥和密文的方法、系统及装置 | |
KR20200003108A (ko) | 키 생성 방법, 사용자 장비, 장치, 컴퓨터 판독가능 저장 매체, 및 통신 시스템 | |
EP2648437B1 (en) | Method, apparatus and system for key generation | |
CN104661217A (zh) | 基于td-lte网络的鉴权和密钥衍生方法及系统 | |
CN105451195B (zh) | 端到端集群密钥分发方法和核心网设备 | |
CN115362692A (zh) | 一种通信方法、装置及系统 | |
CN101166177A (zh) | 一种非接入层初始信令传送的方法及系统 | |
WO2017012425A1 (zh) | 宽带集群系统的共享信道管理方法、系统、终端和基站 | |
WO2014180390A2 (zh) | 集群通信公共安全的实现方法及装置 | |
CN104581704A (zh) | 一种实现机器类通信设备间安全通信的方法及网络实体 | |
CN101938743A (zh) | 一种安全密钥的生成方法和装置 |
Legal Events
Date | Code | Title | Description |
---|---|---|---|
C06 | Publication | ||
PB01 | Publication | ||
C10 | Entry into substantive examination | ||
SE01 | Entry into force of request for substantive examination | ||
GR01 | Patent grant | ||
GR01 | Patent grant | ||
TR01 | Transfer of patent right | ||
TR01 | Transfer of patent right |
Effective date of registration: 20210303 Address after: 801-6, 8 / F, building 52, 2 Jingyuan North Street, Beijing Economic and Technological Development Zone, Daxing District, Beijing Patentee after: Beijing ZTE Gundam Communication Technology Co.,Ltd. Address before: 518057 Ministry of justice, Zhongxing building, South Science and technology road, Nanshan District hi tech Industrial Park, Shenzhen, Guangdong Patentee before: ZTE Corp. |