CN104768152B

CN104768152B - 一种双基站数据分流时的密钥产生方法、装置及系统

Info

Publication number: CN104768152B
Application number: CN201410001080.2A
Authority: CN
Inventors: 齐旻鹏; 朱红儒
Original assignee: China Mobile Communications Group Co Ltd
Current assignee: China Mobile Communications Group Co Ltd
Priority date: 2014-01-02
Filing date: 2014-01-02
Publication date: 2018-11-23
Anticipated expiration: 2034-01-02
Also published as: CN104768152A

Abstract

本发明公开了一种双基站数据分流时的密钥产生方法、装置及系统。所述方法包括：主基站根据当前与UE进行通信时的基站密钥产生辅基站密钥，将所述辅基站密钥发送给辅基站作为辅基站与UE进行通信时的基站密钥；当发生小区切换时，主基站根据所述辅基站密钥产生目标基站密钥，将所述目标基站密钥发送给目标基站，作为目标基站与UE进行通信时的基站密钥。本发明还公开了用于实现所述方法的装置和系统。

Description

一种双基站数据分流时的密钥产生方法、装置及系统

技术领域

本发明涉及通信技术领域，尤其涉及一种双基站数据分流时的密钥产生方法、装置及系统。

背景技术

在现有长期演进（Long Term Evolution，LTE）系统中，用户终端（UE）通过连接到某一基站（eNB）来实现无线通信过程中的数据传输。在数据传输时，由核心网网元（S-GW）与UE所连接的eNB进行连接，S-GW将用户数据发送给eNB，再由eNB发送给UE。

而在上述eNB与UE传输数据的过程中，为了保证数据传输的安全性和完整性，UE与eNB之间将会建立若干密钥，分别用于提供信令和数据层面不同的保护。

如图1所示，为无线通信系统中各网元之间的通信时使用的各种密钥示意图。其中，K_eNB为UE和eNB之间通信使用的基站密钥，该基站密钥K_eNB是一个中间密钥，作为一个主要密钥产生参数，用于产生UE和eNB之间通信各层面真正使用的会话密钥；并可被用于产生切换后的目标基站所使用的基站密钥K_eNB。

例如：图1所示的，K_eNB可以产生K_rrcenc、K_rrcint、K_upenc和K_upint等会话秘钥。其中，K_rrcenc和K_rrcint用于信令面加密和完整性保护，K_upenc用于用户面加密，K_upint用于用户面完整性保护，一般只应用于某些特定场景。而下一跳密钥NH作为中间密钥，主要用于产生切换后的目的基站所使用的K_eNB。

上述密钥产生机制，在从源小区到目标小区的小区切换过程中用于产生目标基站所使用的新密钥的，但这种方法在当前3GPP正在研究的双基站数据分流的场景中并不能很好的适用。这是因为：双基站数据分流场景下，S-GW在传输用户数据时，除了将数据发送给对应的主基站（Master eNB，MeNB）之外，还将数据发送给另外一个起辅助作用的辅基站（Secondary eNB，SeNB），在这种情况下，由于数据需要通过2个不同的基站与UE进行通信，UE必须具备2个不同的密钥分别与MeNB、SeNB配合完成数据的加密。

由于现在没有针对双基站数据分流时的数据保护密钥产生机制，上述单基站情景下的密钥产生机制无法直接借用到双基站数据分流情况下，如果直接借用，辅基站的密钥可能会与切换目标基站的密钥重复，带来数据传输的安全隐患。

因此如何产生双基站数据分流时的数据保护密钥，以保证数据传输的安全性和完整性，成为亟待解决的技术问题。

发明内容

本发明实施例提供一种双基站数据分流时的密钥产生方法、装置及系统，用于产生双基站数据分流时数据传输的保护密钥，避免数据传输过程中的安全隐患。

一种双基站数据分流时的密钥产生方法，包括以下步骤：

主基站根据当前与UE进行通信时的基站密钥产生辅基站密钥，将所述辅基站密钥发送给辅基站作为辅基站与UE进行通信时的基站密钥；

当发生小区切换时，主基站根据所述辅基站密钥产生目标基站密钥，将所述目标基站密钥发送给目标基站，作为目标基站与UE进行通信时的基站密钥。

在一些可选的实施例中，所述主基站根据当前与UE进行通信时的基站密钥产生辅基站密钥，具体包括：

所述主基站根据当前使用的基站密钥和下一跳密钥，利用小区间切换机制计算产生首次选用的辅基站的所述辅基站密钥；

当辅基站发生过变化时，所述主基站根据当前的辅基站密钥和下一跳密钥，利用小区间切换机制计算产生新的所述辅基站密钥。

在一些可选的实施例中，所述主基站根据所述辅基站密钥产生目标基站密钥，具体包括：

所述主基站根据所述辅基站密钥和下一跳密钥，利用小区间切换机制计算产生所述目标基站密钥。

在一些可选的实施例中，上述方法还包括：存储产生的所述辅基站密钥。

本发明实施例还提供一种双基站数据分流时的密钥产生装置，包括：

第一密钥产生模块，用于根据自身所属基站当前与UE进行通信时的基站密钥产生辅基站密钥；

第二密钥产生模块，用于当发生小区切换时，根据所述辅基站密钥产生目标基站密钥；

密钥控制转发模块，用于将所述辅基站密钥发送给辅基站作为辅基站与UE进行通信时的基站密钥；以及将所述目标基站密钥发送给目标基站，作为目标基站与UE进行通信时的基站密钥。

在一些可选的实施例中，所述第一密钥产生模块，具体用于：

根据当前使用的基站密钥和下一跳密钥，利用小区间切换机制计算产生首次选用的辅基站的所述辅基站密钥；

当辅基站发生过变化时，根据当前的辅基站密钥和下一跳密钥，利用小区间切换机制计算产生新的所述辅基站密钥。

在一些可选的实施例中，所述第二密钥产生模块，具体用于：

根据所述辅基站密钥和下一跳密钥，利用小区间切换机制计算产生所述目标基站密钥。

在一些可选的实施例中，上述装置还包括：密钥存储模块，用于存储产生的所述辅基站密钥。

本发明实施例还提供一种基站，包括：上述的双基站数据分流时的密钥产生装置。

本发明实施例还提供一种双基站数据分流时的密钥产生系统，包括：UE和基站；其中，至少有一个基站作为与UE进行通信的主基站，至少有一个基站作为与UE进行通信的辅基站；

所述主基站中包括上述的双基站数据分流时的密钥产生装置。

本发明实施例提供的双基站数据分流时的密钥产生方法、装置及系统，主基站根据当前与UE进行通信时的基站密钥产生辅基站密钥，作为辅基站与UE进行通信时的基站密钥；当发生小区切换时，主基站根据所述辅基站密钥产生目标基站密钥，作为目标基站与UE进行通信时的基站密钥，不会导致辅基站和切换目标基站的基站密钥重复问题，避免了将现有切换密钥产生机制直接用于双基站数据分流场景时所导致的安全隐患问题，保证了双基站数据分流时的数据传输的安全性和完整性。

本发明的其它特征和优点将在随后的说明书中阐述，并且，部分地从说明书中变得显而易见，或者通过实施本发明而了解。本发明的目的和其他优点可通过在所写的说明书、权利要求书、以及附图中所特别指出的结构来实现和获得。

下面通过附图和实施例，对本发明的技术方案做进一步的详细描述。

附图说明

附图用来提供对本发明的进一步理解，并且构成说明书的一部分，与本发明的实施例一起用于解释本发明，并不构成对本发明的限制。在附图中：

图1为现有技术中无线通信系统各网元间通信时使用的密钥示意图；

图2为本发明实施例中双基站数据分流场景的示意图；

图3为本发明实施例中现有切换密钥产生机制用于双基站数据分流的密钥产生原理示意图；

图4为本发明实施例中双基站数据分流时的密钥产生方法的流程图；

图5为本发明实施例中无线通信系统各网元间通信时使用的密钥示意图；

图6为本发明实施例中双基站数据分流的密钥产生原理示意图；

图7为本发明实施例中双基站数据分流时的密钥产生系统的结构示意图；

图8为本发明实施例中一种基站的结构示意图；

图9为本发明实施例中双基站数据分流时的密钥产生装置的结构示意图；

图10为本发明实施例中基站的一种具体结构示例图。

具体实施方式

以下结合附图对本发明的优选实施例进行说明，应当理解，此处所描述的优选实施例仅用于说明和解释本发明，并不用于限定本发明。

本申请发明人发现，如果将单基站场景下的数据传输安全密钥产生机制，直接用于双基站数据分流场景中，会带来安全隐患，具体分析如下：

如图2所示为双基站数据分流的数据传输过程示意图，其中，被传输的数据（EPS）经过如图2中实线所示的传输路线（bearer#1）传输，即数据经S-GW传输至主基站（MeNB），经MeNB传输给UE；同时，被传输的数据（EPS）还经过如图2中虚线所示的传输路线（bearer#2）传输，数据被传输到备用的辅基站（SeNB），经SeNB传输给UE。

现有的密钥产生机制，当UE在基站内小区间或基站间切换时，源基站将会产生新的密钥用于目标基站与终端间的通信，现有的密钥产生机制借用到图2所示的双基站数据分流时，其情景如图3所示。主基站（MeBN）利用切换密钥机制产生的切换密钥作为辅基站的辅基站密钥，而此时并没有真正发生切换，因此当UE需要从主基站切换到另外一个目标基站时，利用切换机制将会产生重复的切换密钥，这样辅基站和目标基站将会产生同样的密钥，从而带来安全威胁，导致已经获得辅基站（SeNB）密钥的攻击者同样可以解密终端切换后的用户数据。

为了解决这一问题，本发明实施例提供一种双基站数据分流时的密钥产生方法，该方法能够用于产生数据分流时的辅基站密钥和切换目标基站的切换密钥，而且不会带来安全隐患，其流程如图4所示，包括如下步骤：

步骤S401：主基站根据当前与UE进行通信时的基站密钥产生辅基站密钥。

该步骤中，当辅基站为首次选用的辅基站时，主基站根据当前使用的基站密钥（K_eNB）和下一跳密钥（NH），利用小区间切换（intra-cell handover）机制计算产生首次选用的辅基站的辅基站密钥K_eNB*。

当辅基站发生变化时，即辅基站不是首次选用的辅基站时，所述主基站当前的辅基站密钥和下一跳密钥，利用小区间切换机制计算产生新的辅基站密钥。即辅基站发生变化时，根据变化前的辅基站的基站密钥更新产生新的辅基站的基站密钥。

即如果变化前的辅基站是首次选用的辅基站时，主基站根据当前使用的基站密钥和下一跳密钥，利用小区间切换机制计算产生辅基站密钥，作为其基站密钥。如果变化前的辅基站也不是首次选用的辅基站时，同样的，主基站也是根据再之前的辅基站的基站密钥更新产生变化前的辅基站的基站密钥。也就是说，当涉及到辅基站变化时，辅基站密钥是根据上次产生的辅基站密钥进行更新的。

如图5所示为本申请实施例中无线通信系统各网元间通信时使用的密钥示意图，其与图1所示的无线通信系统各网元间通信时使用的密钥区别在于辅基站密钥用于后续计算产生小区切换时目标基站的基站密钥，具体如图5中K_eNB/NH框外的粗箭头线所示。

可选的，在产生辅基站密钥后，存储产生的辅基站密钥，作为后续发生小区切换时计算产生切换密钥的中间密钥。即主基站将产生的辅基站密钥代替原来的基站密钥记录为切换计算新的切换密钥时所用到的基站密钥。

步骤S402：将产生的辅基站密钥发送给辅基站作为辅基站与UE进行通信时的基站密钥。

该步骤中利用小区间切换的密钥产生机制，计算得到一个新的切换密钥。将该切换密钥作为辅基站的基站密钥，在辅基站与UE进行通信时，用于产生各层面相应的会话秘钥K_rrcenc、K_rrcint、K_upenc和K_upint等。

步骤S403：当发生小区切换时，主基站根据辅基站密钥产生目标基站密钥。

该步骤中，主基站根据上述产生的辅基站密钥和下一跳密钥，利用小区间切换机制计算产生目标基站密钥。

即将上述产生的辅基站密钥替换现有用于计算切换密钥的基站密钥，作为后续小区切换时计算切换密钥的依据。

步骤S404：将产生的目标基站密钥发送给目标基站，作为目标基站与UE进行通信时的基站密钥。

目标基站使用目标基站密钥作为基站密钥，在与UE通信过程中基于目标基站密钥产生各层面的会话密钥，例如K_rrcenc、K_rrcint、K_upenc和K_upint等。

即将根据辅基站密钥得到的目标基站密钥作为小区切换时目标基站使用的新的基站密钥，则保证了目标基站的切换密钥与辅基站的基站密钥不会发生重复和冲突，从而保证了数据传输的安全可靠性，避免了直接借用现有切换密钥产生机制到双基站数据分流场景时的安全隐患。

上述图4所示的双基站数据分流时的密钥产生方法，产生辅基站的基站密钥和小区切换时的目标基站的基站密钥的原理可以如图6所示。主基站（MeNB）根据自身使用的基站密钥（K_eNB）和下一跳密钥（NH），参照物理小区ID（Physical cell ID）等，利用小区间切换的密钥产生机制，在KDF模块计算产生辅基站密钥（K_eNB*），将产生的辅基站密钥（K_eNB*）作为辅基站（SeNB）的基站密钥（K_eNB）；此外，主基站根据自身产生的辅基站密钥（K_eNB*）和下一跳密钥（NH），利用小区间切换的密钥产生机制，在KDF模块计算产生目标基站密钥（K_eNB**），将产生的目标基站密钥（K_eNB**）作为目标基站（handover eNB）的基站密钥。图6是以辅基站未发生变化为例描述的，当辅基站发生变化时，则需要按上述步骤S401所描述的那样更新辅基站的基站密钥。

基于同一发明构思，本发明实施例还提供一种双基站数据分流时的密钥产生系统，其结构如图7所示，包括：UE（701、702等）和至少两个基站（703、704、705等）。

其中，至少有一个基站作为与UE进行通信的主基站，至少有一个基站作为与UE进行通信的辅基站；主基站中包括双基站数据分流时的密钥产生装置801，具体参见图8所示。

上述基站（703、704、705等）还可以作为UE可能切换到的目标基站。

上述图7所示的系统还可以包括核心网网元（S-GW）等。

被传输的数据经过S-GW传输至主基站，经主基站传输给UE；同时，被传输的数据还经过S-GW传输到备用的辅基站，经辅基站传输给UE。当发生小区切换时，从主基站切换到目标基站。

上述基站中包括的双基站数据分流时的密钥产生装置801的结构如图9所示，包括：第一密钥产生模块901、第二密钥产生模块902和密钥控制转发模块903。

第一密钥产生模块901，用于根据自身所属基站当前与UE进行通信时的基站密钥产生辅基站密钥。

第二密钥产生模块902，用于当发生小区切换时，根据产生的辅基站密钥产生目标基站密钥。

密钥控制转发模块903，用于将产生的辅基站密钥发送给辅基站作为辅基站与UE进行通信时的基站密钥；以及将产生的目标基站密钥发送给目标基站，作为目标基站与UE进行通信时的基站密钥。

优选的，上述第一密钥产生模块901，具体用于：根据当前使用的基站密钥和下一跳密钥，利用小区间切换机制计算产生首次选用的辅基站的辅基站密钥；当辅基站发生过变化时，根据当前的辅基站密钥和下一跳密钥，利用小区间切换机制计算产生新的辅基站密钥。

优选的，上述第二密钥产生模块902，具体用于：根据辅基站密钥和下一跳密钥NH，利用小区间切换机制计算产生所述目标基站密钥。

优选的，上述双基站数据分流时的密钥产生装置801，还包括：密钥存储模块904，用于存储产生的辅基站密钥。

如图10所示为本发明实施例提供的一种具体的基站结构示例，其中包括了与现有基站的结构区别示意。

图10中左边的框图为现有基站的结构示意，在小区切换时，基站（eNB）产生目标基站（Destination eNB）的切换密钥所涉及到的处理模块有K_eNB存储模块，NH存储模块、PCI等参数存储模块、切换密钥计算控制模块、K_eNB*计算模块和切换密钥存储转发模块。其中切换密钥计算控制模块获取K_eNB存储模块存储的基站密钥（K_eNB），NH存储模块存储的下一跳密钥（NH）、PCI等参数存储模块存储的PCI等参数，提供给K_eNB*计算模块计算得到切换密钥（K_eNB*）后，经切换密钥存储转发模块发送给目标基站（Destination eNB）。

图10中右边的框图为本发明中改进后的基站的结构示意，在小区切换时，主基站（MeNB）产生目标基站（Destination eNB）的切换密钥所涉及到的处理模块有K_eNB存储模块，NH存储模块、PCI等参数存储模块、切换密钥计算控制模块、K_eNB*计算模块、K_eNB*存储模块、辅密钥计算控制模块、辅基站PCI等参数存储模块和切换密钥存储转发模块。其中，辅密钥计算控制模块获取K_eNB存储模块存储的基站密钥（K_eNB），NH存储模块存储的下一跳密钥NH、辅基站PCI等参数存储模块存储的辅基站的PCI等参数，提供给K_eNB*计算模块计算得到辅基站密钥（K_eNB*）后，将辅基站密钥（K_eNB*）存储到K_eNB*存储模块并提供给辅基站（SeNB）。切换密钥计算控制模块获取K_eNB*存储模块存储的辅基站密钥（K_eNB*），NH存储模块存储的下一跳密钥（NH）、PCI等参数存储模块存储的PCI等参数，提供给K_eNB*计算模块计算得到目标基站密钥（K_eNB**）后，经切换密钥存储转发模块发送给目标基站（Destination eNB）。

上述图10邮编框图所示的基站结构中，切换密钥计算控制模块、K_eNB*计算模块实现图9中所示的第一密钥产生模块901的功能，切换密钥计算控制模块、K_eNB*计算模块实现图9中所示的第二密钥产生模块902的功能，切换密钥存储转发模块实现密钥控制转发模块903的功能，K_eNB*存储模块实现密钥存储模块904的功能。

本发明实施例提供的上述双基站数据分流时的密钥产生方法、系统及装置，提供了一种新的辅基站密钥产生机制与新的切换密钥产生机制。改进了主基站、辅基站及移动终端的密钥产生及使用机制。从而在双基站数据分流情况下，不会导致辅基站和小区切换时的目标基站的基站密钥发生冲突和重复，保证了数据传输过程中数据加密的可靠性和安全性

本领域内的技术人员应明白，本发明的实施例可提供为方法、系统、或计算机程序产品。因此，本发明可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本发明可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质（包括但不限于磁盘存储器和光学存储器等）上实施的计算机程序产品的形式。

本发明是参照根据本发明实施例的方法、设备（系统）、和计算机程序产品的流程图和／或方框图来描述的。应理解可由计算机程序指令实现流程图和／或方框图中的每一流程和／或方框、以及流程图和／或方框图中的流程和／或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和／或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和／或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和／或方框图一个方框或多个方框中指定的功能的步骤。

显然，本领域的技术人员可以对本发明进行各种改动和变型而不脱离本发明的精神和范围。这样，倘若本发明的这些修改和变型属于本发明权利要求及其等同技术的范围之内，则本发明也意图包含这些改动和变型在内。

Claims

1.一种双基站数据分流时的密钥产生方法，其特征在于，包括：

主基站根据当前与UE进行通信时的基站密钥产生辅基站密钥，将所述辅基站密钥发送给辅基站作为辅基站与UE进行通信时的基站密钥，其中当辅基站为首次选用的辅基站时，主基站根据当前使用的基站密钥和下一跳密钥，利用小区间切换机制计算产生首次选用的辅基站的辅基站密钥，当辅基站不是首次选用的辅基站时，主基站根据当前的辅基站密钥和下一跳密钥，利用小区间切换机制计算产生新的辅基站密钥；

当发生小区切换时，主基站根据所述辅基站密钥产生目标基站密钥，将所述目标基站密钥发送给目标基站，作为目标基站与UE进行通信时的基站密钥，其中主基站根据所述辅基站密钥和下一跳密钥，利用小区间切换机制计算产生目标基站密钥。

2.如权利要求1所述的方法，其特征在于，还包括：存储产生的所述辅基站密钥。

3.一种双基站数据分流时的密钥产生装置，其特征在于，包括：

第一密钥产生模块，用于根据自身所属基站当前与UE进行通信时的基站密钥K_eNB产生辅基站密钥，其中当辅基站为首次选用的辅基站时，根据当前使用的基站密钥和下一跳密钥，利用小区间切换机制计算产生首次选用的辅基站的辅基站密钥，当辅基站不是首次选用的辅基站时，根据当前的辅基站密钥和下一跳密钥，利用小区间切换机制计算产生新的辅基站密钥；

第二密钥产生模块，用于当发生小区切换时，根据所述辅基站密钥产生目标基站密钥，其中，根据所述辅基站密钥和下一跳密钥，利用小区间切换机制计算产生目标基站密钥；

4.如权利要求3所述的装置，其特征在于，还包括：密钥存储模块，用于存储产生的所述辅基站密钥。

5.一种基站，其特征在于，包括：如权利要求3-4任一所述的双基站数据分流时的密钥产生装置。

6.一种双基站数据分流时的密钥产生系统，其特征在于，包括：UE和基站；其中，至少有一个基站作为与UE进行通信的主基站，至少有一个基站作为与UE进行通信的辅基站；

所述主基站中包括如权利要求3-4任一所述的双基站数据分流时的密钥产生装置。