CN106911468B - 一种实现密钥协商的方法和装置 - Google Patents

一种实现密钥协商的方法和装置 Download PDF

Info

Publication number
CN106911468B
CN106911468B CN201510977877.0A CN201510977877A CN106911468B CN 106911468 B CN106911468 B CN 106911468B CN 201510977877 A CN201510977877 A CN 201510977877A CN 106911468 B CN106911468 B CN 106911468B
Authority
CN
China
Prior art keywords
cipher key
message
key center
user terminal
nas signaling
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN201510977877.0A
Other languages
English (en)
Other versions
CN106911468A (zh
Inventor
钟艳华
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Datang Semiconductor Design Co Ltd
Original Assignee
Datang Semiconductor Design Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Datang Semiconductor Design Co Ltd filed Critical Datang Semiconductor Design Co Ltd
Priority to CN201510977877.0A priority Critical patent/CN106911468B/zh
Publication of CN106911468A publication Critical patent/CN106911468A/zh
Application granted granted Critical
Publication of CN106911468B publication Critical patent/CN106911468B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0838—Key agreement, i.e. key establishment technique in which a shared key is derived by parties as a function of information contributed by, or associated with, each of these
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/06—Network architectures or network communication protocols for network security for supporting key management in a packet data network
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0838—Key agreement, i.e. key establishment technique in which a shared key is derived by parties as a function of information contributed by, or associated with, each of these
    • H04L9/0841—Key agreement, i.e. key establishment technique in which a shared key is derived by parties as a function of information contributed by, or associated with, each of these involving Diffie-Hellman or related key agreement protocols
    • H04L9/0844—Key agreement, i.e. key establishment technique in which a shared key is derived by parties as a function of information contributed by, or associated with, each of these involving Diffie-Hellman or related key agreement protocols with user authentication or key authentication, e.g. ElGamal, MTI, MQV-Menezes-Qu-Vanstone protocol or Diffie-Hellman protocols using implicitly-certified keys

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Mobile Radio Communication Systems (AREA)
  • Telephonic Communication Services (AREA)

Abstract

本发明公开了一种实现密钥协商的方法，应用于用户终端，该方法包括：通过非接入层NAS信令消息向密钥中心发送密入网申请消息，接收所述密钥中心通过NAS信令消息发送的密入网响应消息；通过NAS信令消息与所述密钥中心之间进行鉴权认证；在所述用户终端与所述密钥中心之间通过所述鉴权认证后，通过NAS信令消息与所述密钥中心进行密钥协商，协商成功后切换到密入网状态。本发明能够提高加密通信的实时性和可靠性。

Description

一种实现密钥协商的方法和装置
技术领域
本发明涉及通信技术领域，尤其涉及的是一种实现密钥协商的方法和装置。
背景技术
随着移动通信网络的迅猛发展，人们在利用移动网络带来的各种方便快捷的服务的同时，对通信终端加密业务的需求也越来越强烈，特别是一些涉密单位、党政机关、军工单位等特殊单位或行业，对终端通信的加密要求更高。
端到端加密技术，从信源到信宿全程进行加密保护，适合语音和数据的端到端安全传输，满足了人们对通信加密的需求。
目前通用的端到端加密技术是在终端侧布置密卡，网络侧布置密钥中心，通过密卡和密钥中心之间的密钥协商，实现端到端的通信加密。密钥协商的方法包括：使用USSD(Unstructured Supplementary Service Data，非结构化补充数据业务)业务信道来传递密钥协商信息或者使用带内业务信道来传递密钥协商信息。
其中，如图1所示，使用USSD业务信道传递密钥协商信息。密钥中心接收来自主叫方终端的USSD业务请求，根据该USSD业务请求中包含的USSD操作码(包括主叫方终端标识、被叫方终端标识)分配加密信息通信的第一密钥，向主叫方终端和被叫方终端返回所述第一密钥，主叫方终端与被叫方终端利用接收到的第一密钥加密和/或解密信息，进行加密信息通信。
其中，如图2所示，使用带内业务信道传递密钥协商信息。主叫终端与被叫终端建立呼叫后，密钥中心和主、被叫终端在语音链路进行相关的加密业务和密钥分发。主、被叫终端通过密钥中心分发的密钥进行加密通信。
使用USSD业务信道传递密钥协商信息时需要通过信令信道传递USSD业务请求，因此实时性不高。而使用带内业务信道传递密钥协商信息，占用了普通业务信道，影响了用户的正常使用，另外业务过程中密钥分发可能失败，降低了加密通信的成功率。
发明内容
本发明所要解决的技术问题是提供一种实现密钥协商的方法和装置，能够通过非接入层信令消息完成密钥的协商，提高加密通信的实时性和可靠性。
本发明提供了一种实现密钥协商的方法，应用于用户终端，该方法包括：
通过非接入层NAS信令消息向密钥中心发送密入网申请消息，接收所述密钥中心通过NAS信令消息发送的密入网响应消息；
通过NAS信令消息与所述密钥中心之间进行鉴权认证；
在所述用户终端与所述密钥中心之间通过所述鉴权认证后，通过NAS信令消息与所述密钥中心进行密钥协商，协商成功后切换到密入网状态。
可选地，在切换到密入网状态后，所述方法还包括：
在与接收方用户终端进行加密通信时，将经过密卡加密后的加密数据发送到密钥中心，由所述密钥中心进行处理后发送给接收方用户终端。
可选地，在切换到密入网状态后，所述方法还包括：
在与接收方用户终端进行加密通信时，如接收到密钥中心转发的加密通信数据，则将所述加密通信数据发送给密卡，由所述密卡进行解密处理。
可选地，在接收到所述密钥中心的密入网响应消息后，所述方法还包括：
将接收到的密钥中心的标识写入密卡中；
其中，所述密入网申请消息中携带用户终端的标识，所述密入网响应消息中携带密钥中心的标识。
可选地，所述通过NAS信令消息与所述密钥中心之间进行鉴权认证，包括：通过NAS信令消息与所述密钥中心之间进行双向认证：
接收密卡发送的第一认证消息，所述第一认证消息中携带用户终端的上行鉴权信息，通过NAS信令消息将所述第一认证消息发送到密钥中心；
接收所述密钥中心通过NAS信令消息发送的第二认证消息，所述第二认证消息中携带密钥中心的下行鉴权信息和密钥中心对所述用户终端的鉴权结果；将所述密钥中心的下行鉴权信息发送给密卡，由所述密卡对所述密钥中心进行鉴权，生成鉴权结果；
接收所述密卡发送的第三认证消息，所述第三认证消息中携带用户终端对密钥中心的鉴权结果，通过NAS信令消息将所述第三认证消息发送到密钥中心。
本发明还提供了一种实现密钥协商的方法，应用于密钥中心，该方法包括：
接收用户终端通过非接入层NAS信令消息发送的密入网申请消息后，通过NAS信令消息向所述用户终端发送密入网响应消息；
通过NAS信令消息与所述密钥中心之间进行鉴权认证；
在所述用户终端与所述密钥中心之间通过所述鉴权认证后，通过NAS信令消息与所述密钥中心进行密钥协商。
可选地，所述方法还包括：
在发送方用户终端与接收方用户终端进行加密通信时，如接收到所述发送方用户终端发送的加密数据，则对所述加密数据进行处理后发送到所述接收方用户终端。
可选地，所述通过NAS信令消息与所述用户终端之间进行鉴权认证，包括：通过NAS信令消息与所述用户终端之间进行双向认证：
接收用户终端通过NAS信令消息发送的第一认证消息，所述第一认证消息中携带所述用户终端的上行鉴权信息；对所述用户终端进行鉴权，生成鉴权结果；
通过NAS信令消息向用户终端发送第二认证消息，其中携带密钥中心对所述用户终端的鉴权结果和密钥中心的下行鉴权信息；
接收用户终端通过NAS信令消息发送的第三认证消息，所述第三认证消息中携带所述用户终端对所述密钥中心的鉴权结果。
本发明还提供了一种实现密钥协商的装置，应用于用户终端，包括：
密入网申请模块，用于通过非接入层NAS信令消息向密钥中心发送密入网申请消息，接收所述密钥中心通过NAS信令消息发送的密入网响应消息；
鉴权认证模块，用于通过NAS信令消息与所述密钥中心之间进行鉴权认证；
密钥协商模块，用于在所述用户终端与所述密钥中心之间通过所述鉴权认证后，通过NAS信令消息与所述密钥中心进行密钥协商，协商成功后切换到密入网状态。
可选地，所述装置还包括：
加密通信模块，用于在与接收方用户终端进行加密通信时，将经过密卡加密后的加密数据发送到密钥中心，由所述密钥中心进行处理后发送给接收方用户终端。
可选地，加密通信模块，用于在与接收方用户终端进行加密通信时，如接收到密钥中心转发的加密通信数据，则将所述加密通信数据发送给密卡，由所述密卡进行解密处理。
可选地，密入网申请模块，用于在接收到所述密钥中心的密入网响应消息后，还将接收到的密钥中心的标识写入密卡中；
其中，所述密入网申请消息中携带用户终端的标识，所述密入网响应消息中携带密钥中心的标识。
可选地，鉴权认证模块，用于通过NAS信令消息与所述密钥中心之间进行鉴权认证，包括：通过NAS信令消息与所述密钥中心之间进行双向认证：
接收密卡发送的第一认证消息，所述第一认证消息中携带用户终端的上行鉴权信息，通过NAS信令消息将所述第一认证消息发送到密钥中心；
接收所述密钥中心通过NAS信令消息发送的第二认证消息，所述第二认证消息中携带密钥中心的下行鉴权信息和密钥中心对所述用户终端的鉴权结果；将所述密钥中心的下行鉴权信息发送给密卡，由所述密卡对所述密钥中心进行鉴权，生成鉴权结果；
接收所述密卡发送的第三认证消息，所述第三认证消息中携带用户终端对密钥中心的鉴权结果，通过NAS信令消息将所述第三认证消息发送到密钥中心。
本发明还提供了一种实现密钥协商的装置，应用于密钥中心，包括：
密入网响应模块，用于接收用户终端通过非接入层NAS信令消息发送的密入网申请消息后，通过NAS信令消息向所述用户终端发送密入网响应消息；
鉴权认证模块，用于通过NAS信令消息与所述密钥中心之间进行鉴权认证；
密钥协商模块，用于在所述用户终端与所述密钥中心之间通过所述鉴权认证后，通过NAS信令消息与所述密钥中心进行密钥协商。
可选地，所述装置还包括：
加密通信模块，用于在发送方用户终端与接收方用户终端进行加密通信时，如接收到所述发送方用户终端发送的加密数据，则对所述加密数据进行处理后发送到所述接收方用户终端。
可选地，鉴权认证模块，用于通过NAS信令消息与所述用户终端之间进行鉴权认证，包括：通过NAS信令消息与所述用户终端之间进行双向认证：
接收用户终端通过NAS信令消息发送的第一认证消息，所述第一认证消息中携带所述用户终端的上行鉴权信息；对所述用户终端进行鉴权，生成鉴权结果；
通过NAS信令消息向用户终端发送第二认证消息，其中携带密钥中心对所述用户终端的鉴权结果和密钥中心的下行鉴权信息；
接收用户终端通过NAS信令消息发送的第三认证消息，所述第三认证消息中携带所述用户终端对所述密钥中心的鉴权结果。
与现有技术相比，本发明提供的一种实现密钥协商的方法和装置，用户终端通过非接入层NAS信令消息向密钥中心发送密入网申请消息，密钥中心通过NAS信令消息向用户终端发送密入网响应消息，然后用户终端和密钥中心之间通过NAS信令消息进行鉴权认证和密钥协商，协商成功后用户终端切换到密入网状态，能够与其他用户终端进行加密通信。本发明能够提高加密通信的实时性和可靠性。
附图说明
图1为相关技术中使用USSD业务信道传递加密信息的示意图。
图2为相关技术中使用带内业务信道传递加密信息的示意图。
图3为本发明实施例的一种实现密钥协商的方法流程图(终端侧)。
图4为本发明实施例的一种实现密钥协商的方法流程图(密钥中心侧)。
图5为本发明实施例的一种实现密钥协商的装置示意图(终端侧)。
图6为本发明实施例的一种实现密钥协商的装置示意图(密钥中心侧)。
图7为本发明示例1的一种实现密钥协商的系统示意图。
图8为本发明示例2的一种实现密钥协商的方法的信息交互示意图。
具体实施方式
为使本发明的目的、技术方案和优点更加清楚明白，下文中将结合附图对本发明的实施例进行详细说明。需要说明的是，在不冲突的情况下，本申请中的实施例及实施例中的特征可以相互任意组合。
如图3所示，本发明实施例提供了一种实现密钥协商的方法，应用于用户终端，该方法包括：
S301，通过非接入层NAS信令消息向密钥中心发送密入网申请消息，接收所述密钥中心通过NAS信令消息发送的密入网响应消息；
S302，通过NAS信令消息与所述密钥中心之间进行鉴权认证；
S303，在所述用户终端与所述密钥中心之间通过所述鉴权认证后，通过NAS信令消息与所述密钥中心进行密钥协商，协商成功后切换到密入网状态；
其中，所述方法还包括：
S304，在切换到密入网状态后，在与接收方用户终端进行加密通信时，将经过密卡加密后的加密数据发送到密钥中心，由所述密钥中心处理后发送给所述接收方用户终端；
其中，所述方法还包括：
在切换到密入网状态后，在与接收方用户终端进行加密通信时，如接收到密钥中心转发的加密通信数据，则将所述加密通信数据发送给密卡，由所述密卡进行解密处理；
其中，所述密入网申请消息中携带用户终端的标识，所述密入网响应消息中携带密钥中心的标识；
其中，在接收到所述密钥中心的密入网响应消息后，所述方法还包括：
将接收到的密钥中心的标识写入密卡中；
其中，通过NAS信令消息与所述密钥中心之间进行鉴权认证，包括：通过NAS信令消息与所述密钥中心之间进行双向认证；
其中，所述通过NAS信令消息与所述密钥中心之间进行双向认证，包括：
接收密卡发送的第一认证消息，所述第一认证消息中携带用户终端的上行鉴权信息，通过NAS信令消息将所述第一认证消息发送到密钥中心；
接收所述密钥中心通过NAS信令消息发送的第二认证消息，所述第二认证消息中携带密钥中心的下行鉴权信息和密钥中心对所述用户终端的鉴权结果；将所述密钥中心的下行鉴权信息发送给密卡，由所述密卡对所述密钥中心进行鉴权，生成鉴权结果；
接收所述密卡发送的第三认证消息，所述第三认证消息中携带用户终端对密钥中心的鉴权结果，通过NAS信令消息将所述第三认证消息发送到密钥中心；
其中，用户终端向密钥中心发送的NAS信令消息使用UpLinkNasTransport[EMM:UplinkGenericNASTransport]消息中的“Generic Message container”字段进行承载；
其中，密钥中心向用户终端发送的NAS信令消息使用DownLinkNasTransport[EMM:DownlinkGenericNASTransport]消息中的“Generic Message container”字段进行承载；
如图4所示，本发明实施例提供了一种实现密钥协商的方法，应用于密钥中心，该方法包括：
S401，接收用户终端通过非接入层NAS信令消息发送的密入网申请消息后，通过NAS信令消息向所述用户终端发送密入网响应消息；
S402，通过NAS信令消息与所述密钥中心之间进行鉴权认证；
S403，在所述用户终端与所述密钥中心之间通过所述鉴权认证后，通过NAS信令消息与所述密钥中心进行密钥协商；
其中，所述方法还包括：
在发送方用户终端与接收方用户终端进行加密通信时，如接收到所述发送方用户终端发送的加密数据，则对所述加密数据进行处理后发送到所述接收方用户终端；
其中，所述密入网申请消息中携带用户终端的标识，所述密入网响应消息中携带密钥中心的标识；
其中，所述方法还包括：
在用户终端切换到密入网状态后，定时向所述用户终端发起密钥更新请求；
其中，通过NAS信令消息与所述用户终端之间进行鉴权认证，包括：通过NAS信令消息与所述用户终端之间进行双向认证；
其中，所述通过NAS信令消息与所述用户终端之间进行双向认证，包括：
接收用户终端通过NAS信令消息发送的第一认证消息，所述第一认证消息中携带所述用户终端的上行鉴权信息；对所述用户终端进行鉴权，生成鉴权结果；
通过NAS信令消息向用户终端发送第二认证消息，其中携带密钥中心对所述用户终端的鉴权结果和密钥中心的下行鉴权信息；
接收用户终端通过NAS信令消息发送的第三认证消息，所述第三认证消息中携带所述用户终端对所述密钥中心的鉴权结果；
其中，用户终端向密钥中心发送的NAS信令消息使用UpLinkNasTransport[EMM:UplinkGenericNASTransport]消息中的“Generic Message container”字段进行承载；
其中，密钥中心向用户终端发送的NAS信令消息使用DownLinkNasTransport[EMM:DownlinkGenericNASTransport]消息中的“Generic Message container”字段进行承载；
如图5所示，本发明实施例提供了一种实现密钥协商的装置，应用于用户终端，包括：
密入网申请模块，用于通过非接入层NAS信令消息向密钥中心发送密入网申请消息，接收所述密钥中心通过NAS信令消息发送的密入网响应消息；
鉴权认证模块，用于通过NAS信令消息与所述密钥中心之间进行鉴权认证；
密钥协商模块，用于在所述用户终端与所述密钥中心之间通过所述鉴权认证后，通过NAS信令消息与所述密钥中心进行密钥协商，协商成功后切换到密入网状态。
其中，所述装置还包括：
加密通信模块，用于在与接收方用户终端进行加密通信时，将经过密卡加密后的加密数据发送到密钥中心，由所述密钥中心进行处理后发送给接收方用户终端。
其中，加密通信模块，用于在与接收方用户终端进行加密通信时，如接收到密钥中心转发的加密通信数据，则将所述加密通信数据发送给密卡，由所述密卡进行解密处理。
其中，密入网申请模块，用于在接收到所述密钥中心的密入网响应消息后，还将接收到的密钥中心的标识写入密卡中；
其中，所述密入网申请消息中携带用户终端的标识，所述密入网响应消息中携带密钥中心的标识。
其中，鉴权认证模块，用于通过NAS信令消息与所述密钥中心之间进行鉴权认证，包括：通过NAS信令消息与所述密钥中心之间进行双向认证：
接收密卡发送的第一认证消息，所述第一认证消息中携带用户终端的上行鉴权信息，通过NAS信令消息将所述第一认证消息发送到密钥中心；
接收所述密钥中心通过NAS信令消息发送的第二认证消息，所述第二认证消息中携带密钥中心的下行鉴权信息和密钥中心对所述用户终端的鉴权结果；将所述密钥中心的下行鉴权信息发送给密卡，由所述密卡对所述密钥中心进行鉴权，生成鉴权结果；
接收所述密卡发送的第三认证消息，所述第三认证消息中携带用户终端对密钥中心的鉴权结果，通过NAS信令消息将所述第三认证消息发送到密钥中心。
如图6所示，本发明实施例提供了一种实现密钥协商的装置，应用于密钥中心，包括：
密入网响应模块，用于接收用户终端通过非接入层NAS信令消息发送的密入网申请消息后，通过NAS信令消息向所述用户终端发送密入网响应消息；
鉴权认证模块，用于通过NAS信令消息与所述密钥中心之间进行鉴权认证；
密钥协商模块，用于在所述用户终端与所述密钥中心之间通过所述鉴权认证后，通过NAS信令消息与所述密钥中心进行密钥协商。
其中，所述装置还包括：
加密通信模块，用于在发送方用户终端与接收方用户终端进行加密通信时，如接收到所述发送方用户终端发送的加密数据，则对所述加密数据进行处理后发送到所述接收方用户终端。
其中，鉴权认证模块，用于通过NAS信令消息与所述用户终端之间进行鉴权认证，包括：通过NAS信令消息与所述用户终端之间进行双向认证：
接收用户终端通过NAS信令消息发送的第一认证消息，所述第一认证消息中携带所述用户终端的上行鉴权信息；对所述用户终端进行鉴权，生成鉴权结果；
通过NAS信令消息向用户终端发送第二认证消息，其中携带密钥中心对所述用户终端的鉴权结果和密钥中心的下行鉴权信息；
接收用户终端通过NAS信令消息发送的第三认证消息，所述第三认证消息中携带所述用户终端对所述密钥中心的鉴权结果。
示例1
如图7所示，本示例提供了一种实现密钥协商的装置，应用于终端上，该装置包括三个模块：密卡管理模块，密业务处理模块和非接入层NAS协议栈处理模块。三个模块功能如下：
密卡管理模块：用于提供读写密卡的功能，并提供各类封装函数给密业务处理模块调用；
密业务处理模块：用于解析和封装密卡与NAS协议栈间的密业务消息。该模块读取密卡封装的消息，解析密卡提供的数据，并将该数据封装成相应的AT命令，发送到协议栈；该模块读取并解析协议栈AT命令，将获取到的网络侧数据封装成密卡消息，写回到密卡；
NAS协议栈处理模块：接收和发送终端与密钥中心间的NAS信令消息。该模块解析密业务处理模块的AT命令，并封装成上行NAS消息发送到密钥中心；该模块接收下行NAS消息，如果是密业务消息，封装成特定的AT命令，发送到密业务处理模块。
终端与网络侧设备通过NAS信令消息进行交互。上行数据使用UpLinkNasTransport[EMM:UplinkGenericNASTransport]消息中“Generic Messagecontainer”字段承载保密信令。下行数据使用DownLinkNasTransport[EMM:DownlinkGenericNASTransport]消息中“Generic Message container”字段承载保密信令。具体的协议接口由终端和网络侧协定，具有更高的私有性。
示例2
如图8所示，本示例提供了一种实现密钥协商的方法，终端密钥协商和密业务交互的步骤如下：
S801，终端1开机后，终端1和密卡进行上电交互。
S802，终端1进行明入网流程；
S803，明入网成功后，终端1主动发起密入网申请，所述密入网申请消息中携带终端1标识，通过NAS信令消息发送到网络侧的密钥中心；
S804，终端1接收密钥中心通过NAS信令消息发送的密入网响应消息，所述密入网申请消息中携带密钥中心的标识，将所述密钥中心的标识按照密卡协议格式写入到密卡；
S805，终端1读取密卡的双向认证1消息，其中携带终端1的上行鉴权信息，然后封装成NAS信令消息发送给密钥中心；
S806，终端1接收密钥中心通过NAS信令消息发送的双向认证2消息，所述双向认证2消息中携带密钥中心对用户终端的鉴权结果和密钥中心的下行鉴权信息；终端1将密钥中心的下行鉴权信息写入密卡，由所述密卡根据所述下行鉴权信息对密钥中心进行鉴权，生成鉴权结果；
S807，终端1读取密卡的双向认证3消息，其中携带对密钥中心的鉴权结果，然后封装成NAS信令消息发送给密钥中心；
S808，终端1和密钥中心通过双向认证后，通过NAS信令消息进行密钥协商；
S809，密钥协商完成后，终端1从明入网切换到密入网状态；
S810，终端2密入网的过程同终端1；
S811，终端1和终端2进行加密通信；
比如，终端1的本地业务数据经过密卡加密后，发送到密钥中心，密钥中心使用终端1的密钥解密，并使用终端2的密钥加密，再将加密后的数据发送到终端2，终端2进行解密，完成一次加密通信；
S812，进入密网后，网络侧密钥中心可以对终端发起定时密钥更新请求，更新加密的密钥；
上述实施例提供的一种实现密钥协商的方法和装置，用户终端通过非接入层NAS信令消息向密钥中心发送密入网申请消息，密钥中心通过NAS信令消息向用户终端发送密入网响应消息，然后用户终端和密钥中心之间通过NAS信令消息进行鉴权认证和密钥协商，协商成功后用户终端切换到密入网状态，能够与其他用户终端进行加密通信。本发明能够提高加密通信的实时性和可靠性。
本领域普通技术人员可以理解上述方法中的全部或部分步骤可通过程序来指令相关硬件完成，所述程序可以存储于计算机可读存储介质中，如只读存储器、磁盘或光盘等。可选地，上述实施例的全部或部分步骤也可以使用一个或多个集成电路来实现，相应地，上述实施例中的各模块/单元可以采用硬件的形式实现，也可以采用软件功能模块的形式实现。本发明不限制于任何特定形式的硬件和软件的结合。
需要说明的是，本发明还可有其他多种实施例，在不背离本发明精神及其实质的情况下，熟悉本领域的技术人员可根据本发明作出各种相应的改变和变形，但这些相应的改变和变形都应属于本发明所附的权利要求的保护范围。

Claims (16)

1.一种实现密钥协商的方法，应用于用户终端，该方法包括：
通过非接入层NAS信令消息向密钥中心发送密入网申请消息，接收所述密钥中心通过NAS信令消息发送的密入网响应消息；所述密入网申请消息中携带用户终端的标识，所述密入网响应消息中携带密钥中心的标识；
通过NAS信令消息与所述密钥中心之间进行鉴权认证；
在所述用户终端与所述密钥中心之间通过所述鉴权认证后，通过NAS信令消息与所述密钥中心进行密钥协商，协商成功后切换到密入网状态。
2.如权利要求1所述的方法，在切换到密入网状态后，其特征在于，所述方法还包括：
在与接收方用户终端进行加密通信时，将经过密卡加密后的加密数据发送到密钥中心，由所述密钥中心进行处理后发送给接收方用户终端。
3.如权利要求2所述的方法，在切换到密入网状态后，其特征在于，所述方法还包括：
在与接收方用户终端进行加密通信时，如接收到密钥中心转发的加密通信数据，则将所述加密通信数据发送给密卡，由所述密卡进行解密处理。
4.如权利要求1所述的方法，其特征在于：
在接收到所述密钥中心的密入网响应消息后，所述方法还包括：
将接收到的密钥中心的标识写入密卡中。
5.如权利要求1所述的方法，其特征在于：
所述通过NAS信令消息与所述密钥中心之间进行鉴权认证，包括：通过NAS信令消息与所述密钥中心之间进行双向认证：
接收密卡发送的第一认证消息，所述第一认证消息中携带用户终端的上行鉴权信息，通过NAS信令消息将所述第一认证消息发送到密钥中心；
接收所述密钥中心通过NAS信令消息发送的第二认证消息，所述第二认证消息中携带密钥中心的下行鉴权信息和密钥中心对所述用户终端的鉴权结果；将所述密钥中心的下行鉴权信息发送给密卡，由所述密卡对所述密钥中心进行鉴权，生成鉴权结果；
接收所述密卡发送的第三认证消息，所述第三认证消息中携带用户终端对密钥中心的鉴权结果，通过NAS信令消息将所述第三认证消息发送到密钥中心。
6.一种实现密钥协商的方法，应用于密钥中心，该方法包括：
接收用户终端通过非接入层NAS信令消息发送的密入网申请消息后，通过NAS信令消息向所述用户终端发送密入网响应消息；所述密入网申请消息中携带用户终端的标识，所述密入网响应消息中携带密钥中心的标识；
通过NAS信令消息与所述密钥中心之间进行鉴权认证；
在所述用户终端与所述密钥中心之间通过所述鉴权认证后，通过NAS信令消息与所述密钥中心进行密钥协商。
7.如权利要求6所述的方法，其特征在于，所述方法还包括：
在发送方用户终端与接收方用户终端进行加密通信时，如接收到所述发送方用户终端发送的加密数据，则对所述加密数据进行处理后发送到所述接收方用户终端。
8.如权利要求6所述的方法，其特征在于：
所述通过NAS信令消息与所述用户终端之间进行鉴权认证，包括：通过NAS信令消息与所述用户终端之间进行双向认证：
接收用户终端通过NAS信令消息发送的第一认证消息，所述第一认证消息中携带所述用户终端的上行鉴权信息；对所述用户终端进行鉴权，生成鉴权结果；
通过NAS信令消息向用户终端发送第二认证消息，其中携带密钥中心对所述用户终端的鉴权结果和密钥中心的下行鉴权信息；
接收用户终端通过NAS信令消息发送的第三认证消息，所述第三认证消息中携带所述用户终端对所述密钥中心的鉴权结果。
9.一种实现密钥协商的装置，应用于用户终端，包括：
密入网申请模块，用于通过非接入层NAS信令消息向密钥中心发送密入网申请消息，接收所述密钥中心通过NAS信令消息发送的密入网响应消息；所述密入网申请消息中携带用户终端的标识，所述密入网响应消息中携带密钥中心的标识；
鉴权认证模块，用于通过NAS信令消息与所述密钥中心之间进行鉴权认证；
密钥协商模块，用于在所述用户终端与所述密钥中心之间通过所述鉴权认证后，通过NAS信令消息与所述密钥中心进行密钥协商，协商成功后切换到密入网状态。
10.如权利要求9所述的装置，其特征在于，所述装置还包括：
加密通信模块，用于在与接收方用户终端进行加密通信时，将经过密卡加密后的加密数据发送到密钥中心，由所述密钥中心进行处理后发送给接收方用户终端。
11.如权利要求10所述的装置，其特征在于：
加密通信模块，用于在与接收方用户终端进行加密通信时，如接收到密钥中心转发的加密通信数据，则将所述加密通信数据发送给密卡，由所述密卡进行解密处理。
12.如权利要求9所述的装置，其特征在于：
密入网申请模块，用于在接收到所述密钥中心的密入网响应消息后，还将接收到的密钥中心的标识写入密卡中。
13.如权利要求9所述的装置，其特征在于：
鉴权认证模块，用于通过NAS信令消息与所述密钥中心之间进行鉴权认证，包括：通过NAS信令消息与所述密钥中心之间进行双向认证：
接收密卡发送的第一认证消息，所述第一认证消息中携带用户终端的上行鉴权信息，通过NAS信令消息将所述第一认证消息发送到密钥中心；
接收所述密钥中心通过NAS信令消息发送的第二认证消息，所述第二认证消息中携带密钥中心的下行鉴权信息和密钥中心对所述用户终端的鉴权结果；将所述密钥中心的下行鉴权信息发送给密卡，由所述密卡对所述密钥中心进行鉴权，生成鉴权结果；
接收所述密卡发送的第三认证消息，所述第三认证消息中携带用户终端对密钥中心的鉴权结果，通过NAS信令消息将所述第三认证消息发送到密钥中心。
14.一种实现密钥协商的装置，应用于密钥中心，包括：
密入网响应模块，用于接收用户终端通过非接入层NAS信令消息发送的密入网申请消息后，通过NAS信令消息向所述用户终端发送密入网响应消息；所述密入网申请消息中携带用户终端的标识，所述密入网响应消息中携带密钥中心的标识；
鉴权认证模块，用于通过NAS信令消息与所述密钥中心之间进行鉴权认证；
密钥协商模块，用于在所述用户终端与所述密钥中心之间通过所述鉴权认证后，通过NAS信令消息与所述密钥中心进行密钥协商。
15.如权利要求14所述的装置，其特征在于，所述装置还包括：
加密通信模块，用于在发送方用户终端与接收方用户终端进行加密通信时，如接收到所述发送方用户终端发送的加密数据，则对所述加密数据进行处理后发送到所述接收方用户终端。
16.如权利要求14所述的装置，其特征在于：
鉴权认证模块，用于通过NAS信令消息与所述用户终端之间进行鉴权认证，包括：通过NAS信令消息与所述用户终端之间进行双向认证：
接收用户终端通过NAS信令消息发送的第一认证消息，所述第一认证消息中携带所述用户终端的上行鉴权信息；对所述用户终端进行鉴权，生成鉴权结果；
通过NAS信令消息向用户终端发送第二认证消息，其中携带密钥中心对所述用户终端的鉴权结果和密钥中心的下行鉴权信息；
接收用户终端通过NAS信令消息发送的第三认证消息，所述第三认证消息中携带所述用户终端对所述密钥中心的鉴权结果。
CN201510977877.0A 2015-12-23 2015-12-23 一种实现密钥协商的方法和装置 Active CN106911468B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201510977877.0A CN106911468B (zh) 2015-12-23 2015-12-23 一种实现密钥协商的方法和装置

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201510977877.0A CN106911468B (zh) 2015-12-23 2015-12-23 一种实现密钥协商的方法和装置

Publications (2)

Publication Number Publication Date
CN106911468A CN106911468A (zh) 2017-06-30
CN106911468B true CN106911468B (zh) 2019-09-13

Family

ID=59200997

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201510977877.0A Active CN106911468B (zh) 2015-12-23 2015-12-23 一种实现密钥协商的方法和装置

Country Status (1)

Country Link
CN (1) CN106911468B (zh)

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102123361A (zh) * 2010-12-31 2011-07-13 华为技术有限公司 加密信息通信的实现方法及装置
CN102595395A (zh) * 2011-01-14 2012-07-18 中兴通讯股份有限公司 一种中继节点的认证方法及系统
CN102905265A (zh) * 2012-10-11 2013-01-30 大唐移动通信设备有限公司 一种实现移动设备附着的方法及装置
CN104581710A (zh) * 2014-12-18 2015-04-29 中国科学院信息工程研究所 一种在空口上安全传输lte用户imsi的方法和系统

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102123361A (zh) * 2010-12-31 2011-07-13 华为技术有限公司 加密信息通信的实现方法及装置
CN102595395A (zh) * 2011-01-14 2012-07-18 中兴通讯股份有限公司 一种中继节点的认证方法及系统
CN102905265A (zh) * 2012-10-11 2013-01-30 大唐移动通信设备有限公司 一种实现移动设备附着的方法及装置
CN104581710A (zh) * 2014-12-18 2015-04-29 中国科学院信息工程研究所 一种在空口上安全传输lte用户imsi的方法和系统

Also Published As

Publication number Publication date
CN106911468A (zh) 2017-06-30

Similar Documents

Publication Publication Date Title
US10491575B2 (en) Secure dynamic communication network and protocol
JP6837609B1 (ja) デバイスツーデバイス通信ネットワークにおけるエンドツーエンドのセキュア通信のためのシステム及び方法
CN102036256B (zh) 数据传输方法、装置及系统
CN102916869B (zh) 即时通信方法和系统
CN101197674A (zh) 加密通信方法、服务器及加密通信系统
CN105792190B (zh) 通信系统中的数据加解密和传输方法
CN102143489A (zh) 中继节点的认证方法、装置及系统
CN104380773A (zh) 虚拟卡下载方法、终端及中间设备
CN105634737A (zh) 一种数据传输方法、终端及其系统
CN108377495A (zh) 一种数据传输方法、相关设备及系统
KR20100087023A (ko) 단대단 암호화 통신
WO2017166840A1 (zh) 一种语音加密通信方法、主叫端、被叫端及系统
CN107306261A (zh) 一种加密通讯方法及装置、系统
CN108683641A (zh) 一种数据通信方法、装置、无人机及计算机存储介质
CN106549906A (zh) 实现端到端通话加密的方法、终端及网络侧网元
CN105992203B (zh) 一种语音通信加密密钥协商方法及基于该方法的系统
CN107294968A (zh) 一种音视频数据的监控方法和系统
CN102271330A (zh) 终端、网络服务器及终端与网络服务器间的通讯方法
CN105049201A (zh) 基于量子密码的移动设备保密通信系统及方法
CN102869009A (zh) 通信加密应用方法及通信系统
CN104796887A (zh) 一种安全信息交互的方法和装置
CN104602208A (zh) 一种基于移动网络的短信加密通信方法
CN108966217A (zh) 一种保密通信方法、移动终端及保密网关
CN106211146A (zh) 安全通讯录添加方法、信息通信方法和通话方法及系统
CN105827601A (zh) 移动设备数据加密应用方法及系统

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant