CN106936570A - 一种密钥配置方法及密钥管理中心、网元 - Google Patents

一种密钥配置方法及密钥管理中心、网元 Download PDF

Info

Publication number
CN106936570A
CN106936570A CN201511030585.2A CN201511030585A CN106936570A CN 106936570 A CN106936570 A CN 106936570A CN 201511030585 A CN201511030585 A CN 201511030585A CN 106936570 A CN106936570 A CN 106936570A
Authority
CN
China
Prior art keywords
key
network element
cipher key
business cipher
kmc
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN201511030585.2A
Other languages
English (en)
Other versions
CN106936570B (zh
Inventor
张博
甘露
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Huawei Technologies Co Ltd
Original Assignee
Huawei Technologies Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Huawei Technologies Co Ltd filed Critical Huawei Technologies Co Ltd
Priority to CN201511030585.2A priority Critical patent/CN106936570B/zh
Priority to PCT/CN2016/109040 priority patent/WO2017114123A1/zh
Priority to EP16880913.5A priority patent/EP3364595A4/en
Publication of CN106936570A publication Critical patent/CN106936570A/zh
Priority to US15/978,794 priority patent/US10903987B2/en
Application granted granted Critical
Publication of CN106936570B publication Critical patent/CN106936570B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0819—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s)
    • H04L9/0822—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s) using key encryption key
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/06—Network architectures or network communication protocols for network security for supporting key management in a packet data network
    • H04L63/062—Network architectures or network communication protocols for network security for supporting key management in a packet data network for key distribution, e.g. centrally by trusted party
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/06—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols the encryption apparatus using shift registers or memories for block-wise or stream coding, e.g. DES systems or RC4; Hash functions; Pseudorandom sequence generators
    • H04L9/0618—Block ciphers, i.e. encrypting groups of characters of a plain text message using fixed encryption transformation
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0819—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s)
    • H04L9/083—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s) involving central third party, e.g. key distribution center [KDC] or trusted third party [TTP]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/321—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving a third party or a trusted authority
    • H04L9/3213—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving a third party or a trusted authority using tickets or tokens, e.g. Kerberos
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
    • H04W12/041—Key generation or derivation
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
    • H04W12/047—Key management, e.g. using generic bootstrapping architecture [GBA] without using a trusted network node as an anchor
    • H04W12/0471—Key exchange
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/80—Wireless

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Mobile Radio Communication Systems (AREA)
  • Telephonic Communication Services (AREA)

Abstract

本申请提供了一种密钥配置方法及装置，密钥管理中心获取业务密钥，并和对所述业务密钥进行加密和/或完整性保护获得令牌，密钥管理中心发送向第一网元发送令牌，第一网元后向第二网元转发令牌，第二网元依据所述令牌获得所述业务密钥。业务密钥用于对所述第一网元和第二网元之间传输的数据进行加密和/或完整性保护，所以，通过密钥管理中心和网元的交互，能够实现对安全密钥的配置，从而为第一网元和第二网元之间的端到端的安全通信奠定基础。

Description

一种密钥配置方法及密钥管理中心、网元
技术领域
本申请涉及通信领域，尤其涉及一种密钥配置方法及密钥管理中心、网元。
背景技术
在已有的移动通信安全架构中，数据从终端到网络的安全保护均采用分段加密的方式进行，例如，一个用户设备向另一个用户设备发送数据的过程中，发送端用户设备将加密的数据发给第一基站，第一基站将数据先解密再加密，并将再次加密的数据发给其它中间设备，最终数据被发送到接收端用户设备。
因为分段加密的方式使得通信数据在中间设备中被解密，所以，增加了被窃取的风险。因此，端到端的安全通信成为安全通信的发展趋势。所谓端到端的安全通信即发送端设备与接收端设备建立安全隧道，安全隧道的中间节点仅处理密文数据的转发，而不对加密数据进行解密。
而对参与端到端通信的两个网元进行安全密钥的配置为端到端的安全通信的前提。
发明内容
本申请提供了一种密钥配置方法及装置、网元，目的在于解决如何为网元进行安全密钥的配置的问题。
为了实现上述目的，本申请提供了以下技术方案：
本申请的第一方面提供了一种密钥配置方法，包括：密钥管理中心获取业务密钥，所述业务密钥用于对第一网元和第二网元之间传输的数据进行加密和/或完整性保护。所述密钥管理中心获取令牌，所述令牌为对所述业务密钥进行加密和/或完整性保护的结果。所述密钥管理中心发送所述令牌，所述令牌用于由所述第一网元获取后向所述第二网元转发，以使得所述第二网元依据所述令牌获得所述业务密钥。本申请所述的密钥配置方法，密钥管理中心获取业务密钥和令牌，第一网元在接收到业务密钥和令牌后，向第二网元发送令牌，因为令牌为对业务密钥进行加密和/或完整性保护的结果，所述第二网元可以依据令牌获取业务密钥，又因为业务密钥用于对所述第一网元和第二网元之间传输的数据进行加密和/或完整性保护，所以，通过密钥管理中心和网元的交互，能够实现对安全密钥的配置，从而为第一网元和第二网元之间的端到端的安全通信奠定基础。
本申请的第二方面提供了另一种密钥配置方法，包括：第一网元获取业务密钥和令牌，所述业务密钥用于对所述第一网元和第二网元之间传输的数据进行加密和/或完整性保护，所述令牌为对所述业务密钥进行加密和/或完整性保护的结果。所述第一网元向所述第二网元发送所述令牌，所述令牌用于所述第二网元获取所述业务密钥。因为所述第一网元将所述令牌发送给所述第二网元，所以，第二网元可以从所述令牌中获得所述业务密钥，从而所述第一网元与所述第二网元之间可以进行端到端的安全通信。
本申请的第三方面提供了另一种密钥配置方法，网络控制中心接收密钥请求，所述密钥请求中携带第一网元的标识和第二网元的标识；如果所述第一网元的标识和/或所述第二网元的标识非永久标识，所述网络控制中心将所述第一网元的标识替换为所述第一网元的永久标识，和/或将所述第二网元的标识替换为所述第二网元的永久标识；所述网络控制中心向密钥管理中心发送第二密钥请求消息，所述第二密钥请求消息包含第一网元的永久标识和第二网元的永久标识；所述密钥管理中心用于依据所述密钥请求中所述第一网元的永久标识和所述第二网元的永久标识，生成业务密钥及令牌，所述令牌为对所述业务密钥进行加密和/或完整性保护的结果，所述业务密钥用于对所述第一网元和所述第二网元之间传输的数据进行加密和/或完整性保护。
本申请的第四方面提供了另一种密钥配置方法，包括：密钥管理中心接收密钥请求，所述密钥请求中携带第一网元的标识、第二网元的标识和业务参数的至少一个，所述密钥请求由所述第一网元、所述第二网元、网络控制中心、或者业务服务器向所述密钥管理中心发送；所述密钥管理中心依据所述第一网元的标识、所述第二网元的标识和所述业务参数的至少一个生成业务密钥，所述业务密钥用于对所述第一网元和所述第二网元之间传输的数据进行加密和/或完整性保护；所述密钥管理中心使用所述密钥管理中心与所述第二网元之间的共享密钥对所述业务密钥及所述第一类密钥参数组成的字符串进行加密，得到令牌；其中，所述第一类密钥参数为所述密钥管理中心使用所述共享密钥计算所述业务密钥的消息认证码，或者，所述密钥管理中心使用所述共享密钥计算所述业务密钥与所述业务密钥的信息组成的字符串的消息认证码，其中，所述业务密钥的信息包括以下任意一项：所述业务密钥的使用实体标识、所述业务密钥的有效期、所述业务密钥的生成时间、应用所述业务密钥的业务的信息及业务链路的信息；所述密钥管理中心发送所述令牌，所述令牌用于由所述第一网元获取后向所述第二网元转发，以使得所述第二网元依据所述令牌获得所述业务密钥。
本申请的第五方面提供了另一种密钥配置方法，包括：密钥管理中心接收第一网元发送的密钥请求，生成业务密钥，并向所述第一网元和第二网元发送所述业务密钥，其中，所述业务密钥用于对第一网元和第二网元之间传输的数据进行加密和/或完整性保护。
本申请的第六方面提供了一种密钥管理中心，包括：第一处理器和第一存储器；所述第一存储器用于存储操作系统以及应用程序、所述应用程序运行中产生的数据；所述第一处理器用于通过运行存储在所述第一存储器中的所述应用程序，实现以下功能：获取业务密钥，所述业务密钥用于对第一网元和第二网元之间传输的数据进行加密和/或完整性保护；获取令牌，所述令牌为对所述业务密钥进行加密和/或完整性保护的结果；发送所述令牌，所述令牌用于由所述第一网元获取后向所述第二网元转发，以使得所述第二网元依据所述令牌获得所述业务密钥。
本申请的第七方面提供了一种网元，包括：第二处理器和第二存储器。所述第二存储器用于存储操作系统以及应用程序、所述应用程序运行中产生的数据；所述第二处理器用于通过运行存储在所述第二存储器中的所述应用程序，实现以下功能：获取业务密钥和令牌，所述业务密钥用于对所述第一网元和其它网元之间传输的数据进行加密和/或完整性保护，所述令牌为对所述业务密钥进行加密和/或完整性保护的结果；向所述其它网元发送所述令牌，所述令牌用于所述其它网元获取所述业务密钥。
本申请的第八方面提供了一种网络控制中心，包括：第三处理器和第三存储器。所述第三存储器用于存储操作系统以及应用程序、所述应用程序运行中产生的数据；所述第三处理器用于通过运行存储在所述第三存储器中的所述应用程序，实现以下功能：接收密钥请求，所述密钥请求中携带第一网元的标识和第二网元的标识；如果所述第一网元的标识和/或所述第二网元的标识非永久标识，将所述第一网元的标识替换为所述第一网元的永久标识，和/或将所述第二网元的标识替换为所述第二网元的永久标识；向密钥管理中心发送第二密钥请求消息，所述第二密钥请求消息包含第一网元的永久标识和第二网元的永久标识；所述密钥管理中心用于依据所述密钥请求中所述第一网元的永久标识和所述第二网元的永久标识，生成业务密钥及令牌，所述令牌为对所述业务密钥进行加密和/或完整性保护的结果，所述业务密钥用于对所述第一网元和所述第二网元之间传输的数据进行加密和/或完整性保护。
本申请的第九方面提供了又一种密钥管理中心，包括：第四处理器和第四存储器。所述第四存储器用于存储操作系统以及应用程序、所述应用程序运行中产生的数据；所述第四处理器用于通过运行存储在所述第四存储器中的所述应用程序，实现以下功能：接收密钥请求，所述密钥请求中携带第一网元的标识、第二网元的标识和业务参数的至少一个，所述密钥请求由所述第一网元、所述第二网元、网络控制中心、或者业务服务器发送；获取业务密钥，所述业务密钥用于对所述第一网元和所述第二网元之间传输的数据进行加密和/或完整性保护；使用所述密钥管理中心与所述第二网元之间的共享密钥对所述业务密钥及所述第一类密钥参数组成的字符串进行加密，得到令牌；其中，所述第一类密钥参数为所述密钥管理中心使用所述共享密钥计算所述业务密钥的消息认证码，或者，所述密钥管理中心使用所述共享密钥计算所述业务密钥与所述业务密钥的信息组成的字符串的消息认证码，其中，所述业务密钥的信息包括以下任意一项：所述业务密钥的使用实体标识、所述业务密钥的有效期、所述业务密钥的生成时间、应用所述业务密钥的业务的信息及业务链路的信息；发送所述令牌，所述令牌用于由所述第一网元获取后向所述第二网元转发，以使得所述第二网元依据所述令牌获得所述业务密钥。
在一些实现方式中，所述获取令牌包括：依据所述业务密钥得到第一类密钥参数，所述第一类密钥参数包括由所述业务密钥得到的消息认证码或者数字签名；使用第一参数，对所述业务密钥及所述第一类密钥参数组成的字符串进行加密，得到所述令牌，所述第一参数包括所述密钥管理中心与所述第二网元之间的共享密钥、所述第二网元的公钥或者所述第二网元的标识。
在一些实现方式中，所述依据所述业务密钥得到第一类密钥参数包括：使用所述共享密钥计算所述业务密钥的消息认证码；或者，使用所述共享密钥计算所述业务密钥与所述业务密钥的信息组成的字符串的消息认证码；或者，使用预设的私钥计算所述业务密钥的数字签名；或者，使用预设的私钥计算所述业务密钥与所述业务密钥的信息组成的字符串的数字签名；其中，所述业务密钥的信息包括以下任意一项：所述业务密钥的使用实体标识、所述业务密钥的有效期、所述业务密钥的生成时间、应用所述业务密钥的业务的信息及业务链路的信息。
在一些实现方式中，所述获取令牌包括：接收其它密钥管理中心发送的令牌。
在一些实现方式中，所述发送所述令牌包括：向所述第一网元发送所述令牌；所述第一处理器还用于：向所述第一网元发送所述业务密钥。
在一些实现方式中，所述向所述第一网元发送所述业务密钥及所述令牌的具体过程包括：使用第二参数对字符串进行加密形成密文，并向所述第一网元发送所述密文，所述字符串由所述业务密钥、所述令牌及第二类密钥参数组成；或者，使用第二参数对字符串进行加密形成密文，并向所述第一网元发送所述密文以及所述令牌，所述字符串由所述业务密钥及所述第二类密钥参数组成；其中，所述第二类密钥参数包括由所述业务密钥及所述令牌组成的字符串得到的消息认证码或者数字签名，所述第二参数包括所述密钥管理中心与所述第一网元间的共享密钥、所述第一网元的公钥，或者所述第一网元的标识。
在一些实现方式中，所述字符串中的所述第二类密钥参数为消息认证码，所述消息认证码为通过使用所述密钥管理中心与所述第一网元之间的共享密钥对所述业务密钥与所述令牌组成的字符串进行完整性保护得到；或者，所述字符串中的所述第二类密钥参数为数字签名，所述数字签名通过使用预设的私钥对所述业务密钥与所述令牌组成的字符串进行数字签名运算得到。
在一些实现方式中，所述向所述第一网元发送所述业务密钥及所述令牌的具体过程包括：通过预先建立的与所述第一网元之间的安全通道，向所述第一网元发送所述业务密钥及所述令牌。
在一些实现方式中，所述发送所述令牌包括：向其它密钥管理中心发送所述令牌。
在一些实现方式中，所述获取业务密钥包括：依据以下规则中的任意一种生成所述业务密钥K：K＝KDF(Key，(time，预设参数中的至少一项))，其中，所述Key为所述密钥管理中心所选的随机数、所述第一网元与所述密钥管理中心之间的共享密钥K1、所述第二网元与所述密钥管理中心之间的共享密钥K2、另一个密钥管理中心所选的随机数、或者所述另一个密钥管理中心与所述第二网元之间的共享密钥中的一个或多个的组合；time为业务密钥K的截止时间、有效期时长、或当前的系统时间；所述预设参数包括所述第一网元的标识、所述第二网元的标识、所述业务参数和SN；所述业务参数为业务中的序列号、该业务密钥的相关时间time、该业务中的相关ID，新鲜参数(Fresh parameter)、随机数(nonce/random number)中的至少一项，SN为计算业务密钥的序列号。。
在一些实现方式中，所述获取业务密钥包括：向另一个密钥管理中心发送第一协商参数，所述第一协商参数为随机数1、系统时间1、序列号1、新鲜参数Fresh parameter1中的至少一项；接收所述另一个密钥管理中心发送的第二协商参数；所述第二协商参数为随机数2、系统时间2、序列号2、新鲜参数Fresh parameter2中的至少一项；规则KDF(第一协商参数，第二协商参数)生成业务密钥，或者，所述密钥管理中心依据规则K＝KDF(Key，(time，预设参数中的至少一项))生成业务密钥；其中，Key为参考业务密钥或者DH密钥协商后得到的密钥，所述参考业务密钥依据KDF(第一协商参数，第二协商参数)生成；time为业务密钥K的截止时间、有效期时长、或当前的系统时间；所述预设参数包括所述第一网元的标识、所述第二网元的标识、所述业务参数和SN；所述业务参数为业务中的序列号、该业务密钥的相关时间time、该业务中的相关ID，新鲜参数(Fresh parameter)、随机数(nonce/randomnumber)中的至少一项，SN为计算业务密钥的序列号。
在一些实现方式中，所述获取业务密钥包括：向另一个密钥管理中心发送DH密钥协商中的第一参数gx；接收所述另一个密钥管理中心发送的所述DH密钥协商中的第二参数gy；所述密钥管理中心计算出gxy，将gxy，KDF(gxy)，或者K＝KDF(gxy，(time，预设参数中的至少一项))作为所述业务密钥其中，Key为参考业务密钥或者DH密钥协商后得到的密钥，所述参考业务密钥依据KDF(第一协商参数，第二协商参数)生成；time为业务密钥K的截止时间、有效期时长、或当前的系统时间；所述预设参数包括所述第一网元的标识、所述第二网元的标识、所述业务参数和SN；所述业务参数为业务中的序列号、该业务密钥的相关时间time、该业务中的相关ID，新鲜参数(Fresh parameter)、随机数(nonce/random number)中的至少一项，SN为计算业务密钥的序列号。
在一些实现方式中，所述获取业务密钥包括：接收其它密钥管理中心发送的业务密钥。
在一些实现方式中，还包括：接收密钥请求，所述密钥请求中携带所述第一网元的标识、所述第二网元的标识和业务参数的至少一个，所述密钥请求由所述第一网元、所述第二网元、网络控制中心、或者业务服务器发送。
在一些实现方式中，还包括：接收网络控制中心发送的第一密钥请求，所述第一密钥请求中携带所述第一网元的永久标识和所述第二网元的永久标识，所述第一网元的永久标识由所述网络控制中心依据所述第一网元的临时标识转换得到，所述第二网元的永久标识由所述网络控制中心依据所述第二网元的临时标识转换得到，所述第一网元的临时标识和所述第二网元的临时标识携带在由所述第一网元、所述第二网元或者业务服务器发送给所述网络控制中心的第二密钥请求中。
附图说明
为了更清楚地说明本申请实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本申请的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。
图1为两个网元之间通过通信网络进行端到端通信的场景的示意图；
图2为密钥管理中心的一种部署示意图；
图3为密钥管理中心的又一种部署示意图；
图4为本申请实施例公开的密钥管理中心的结构示意图；
图5为本申请实施例公开的一种密钥配置方法的流程图；
图6为本申请实施例公开的又一种密钥配置方法的流程图；
图7为本申请实施例公开的又一种密钥配置方法的流程图；
图8为本申请实施例公开的又一种密钥配置方法的流程图；
图9为本申请实施例公开的又一种密钥配置方法的流程图；
图10为本申请实施例公开的又一种密钥配置方法的流程图。
具体实施方式
图1所示为两个网元之间通过通信网络进行端到端通信的场景，其中，网元可以为用户设备(User Equipment，UE)、服务器、控制器等通信参与方，也可以为网关等中间设备。通信网络可以为移动通信网络，例如全球移动通信系统(Global System for Mobile Communications，GSM)，宽带码分多址(Wideband Code Division Multiple Access，WCDMA)，3GPP长期演进(LongTerm Evolution，LTE)，未来5G，无线保真(Wireless Fidelity，Wifi)(又称802.11b标准)等无线通信网络，也可以为互联网。
本申请实施例中，两个网元之间通过移动通信网络进行端到端通信可以包括以下任意一种情况：两个网元通过移动通信网络完成端到端通信、两个网元通过互联网完成端到端通信以及两个网元通过移动通信网络和互联网完成端到端通信。可选地，在通信网络中可以包括业务服务器和网络控制中心，两个网元之间可以通过业务服务器和/或网络控制中心实现与通信网络的信息交互。
为了实现两个网元之间的端到端的安全通信，可以使用业务密钥对两个网元之间传输的数据进行加密和/或完整性保护，而为网元进行业务密钥的配置为实现上述目的的基础。
为了实现上述目的，本申请中，在通信网络中设置密钥管理中心，负责为网元配置业务密钥，如图2所示，具体地，可以在一种类型的网络中设置一个密钥管理中心，此密钥管理中心负责为两个网元配置业务密钥；也可以在不同类型的网络中各自设置一个密钥管理中心，每一个密钥管理中心负责为一个网元配置业务密钥，例如，如图3所示，在移动通信网络中设置第一密钥管理中心，负责为处于移动通信网络中的第一网元配置业务密钥，在互联网中设置第二密钥管理中心，负责为处于互联网中的第二网元配置业务密钥。
本申请的实施例将重点说明密钥管理中心如何为网元配置业务密钥。
图2或图3中所示的密钥管理中心的结构如图4所示，包括：第一处理器401、与第一处理器401匹配使用的第一存储器402以及通信接口403。以上各部分通过总线进行通信。
其中，第一存储器402包括存储介质4021和存储单元4022，具体地，存储介质可以为只读存储器ROM、硬盘或闪存，存储单元可以为随机存储器RAM。
在第一存储器中存储有操作系统、应用程序、所述应用程序运行中产生的数据。本实施例中，包括应用程序实现密钥配置功能的程序，第一处理器通过调用并运行所述应用程序实现为网元配置业务密钥的功能。第一处理器在运行所述程序的过程中产生的数据也被存储在存储单元中。
下面将详细说明如图4所述的密钥管理中心如何实现为网元配置密钥的功能。
如图5所示，在图2所示的仅包括一个密钥管理中心的场景下，为两个网元配置业务密钥的具体过程包括以下步骤：
S501：密钥管理中心接收密钥请求，在密钥请求中，携带第一网元的标识、第二网元的标识和业务的业务参数的至少一项。
业务的业务参数可以有多种。例如，该业务的业务参数可以包括业务中的序列号SN、该业务密钥的相关时间time、该业务中的相关ID，新鲜参数(Fresh parameter)、随机数(nonce/random number)中的至少一项。其中，该业务中的相关ID可以包括密钥管理中心的ID、业务Service ID、会话sessionID、网络ID、链路ID、应用App ID、服务器server ID和公共陆地移动网络(Public Land Mobile Network，PLMN ID)中的至少一个。其中，该业务密钥的相关时间time可以包括该业务开始的时间、结束的时间和有效期中的至少一项。
其中第一网元的标识和中第二网元的标识可以分别包括IMEI、IMSI、IMPI、TMSI、IMPU、App ID、网络ID、MAC地址、IP地址、手机号码和GUTI中的至少一项，在此不作限制。
具体地，密钥请求可以由第一网元、第二网元或者业务服务器发送给密钥管理中心。
另外，密钥请求也可以由第一网元、第二网元或者业务服务器发送给网络控制中心，再由网络控制中心转发给密钥管理中心。具体地，包括如下步骤：
S5011：网络控制中心接收携带第一网元的标识、第二网元的标识和业务参数的至少一项的密钥请求。
S5012：若第一网元的标识为临时标识，网络控制中心将第一网元的临时标识转换成第一网元的永久标识；若第二网元的标识为临时标识，网络控制中心将第二网元的临时标识转换成第二网元的永久标识。具体地，网络控制中心可以预先存储有各个网元的临时标识和永久标识的对应关系，网络控制中心可以通过查询对应关系，实现临时标识和永久标识之间的转换。例如，临时标识可能为：IMPU，GUTI，TMSI等；永久标识可能为：IMSI，IMEI，IMPI，App ID，网络ID，MAC地址、IP地址、手机号码等；在此不做限制。
S5013：网络控制中心将携带第一网元的永久标识、第二网元的永久标识和业务参数的至少一项的密钥请求发送给密钥管理中心。
需要说明的是，第一网元在发送密钥请求的同时，还可以一并发送消息验证码，验证码用于密钥管理中心验证密钥请求的合法性，以避免攻击者恶意发送的密钥请求；第一网元可以基于第一网元与密钥管理中心之间的共享密钥K1，或者基于第一网元的私钥计算所述消息验证码。
S5011-5013步骤为可选步骤。
S502：接收到上述密钥请求后，密钥管理中心依据以下规则中的任意一种生成业务密钥K。
具体的，规则为
K＝KDF(Key，(time，预设参数中的至少一项))，其中，Key可为随机数、第一网元与密钥管理中心之间的共享密钥K1、第二网元与密钥管理中心之间的共享密钥K2中的一个或多个的组合，time为业务密钥K的截止时间、有效期时长、或当前的系统时间。
所述预设参数包括所述第一网元的标识、所述第二网元的标识、所述业务参数和SN；所述业务参数为业务中的序列号、该业务密钥的相关时间time、该业务中的相关ID，新鲜参数(Fresh parameter)、随机数(nonce/randomnumber)中的至少一项，SN为计算业务密钥的序列号。
进一步地，该业务中的相关ID为第一网元的ID、第二网元的ID、密钥管理中心的标识、Service ID、session ID，网络ID，链路ID，App ID，serverID，PLMN ID，手机号码，server ID或功能设备ID中一个或多个的组合，time为业务密钥K的截止时间、有效期时长、或当前的开始系统时间，SN为计算业务密钥的序列号，第一网元的ID和第二网元的ID识可以为IMEI、IMSI、IMPI、TMSI、IMPU、App ID、网络ID、MAC地址、IP地址、手机号码和GUTI中的至少一项，KDF表示密钥推演函数Key Derivation Function。
除了以上规则，密钥管理中心还可以随机生成字符串作为业务密钥。
S503:密钥管理中心生成令牌。
具体地，密钥管理中心可以使用以下任意一种方式生成令牌：
第一种方式：密钥管理中心使用与第二网元中间的共享密钥K2计算业务密钥K的消息认证码MAC_K2_(K)，并使用密钥管理中心与第二网元之间的共享密钥K2、第二网元的公钥PK2或者第二网元的标识ID2对业务密钥K及消息认证码MAC_K2_(K)组成的字符串进行加密，得到令牌Token。
以使用K2为例，即：Token＝En_K2_(K||MAC_K2_(K))，其中，K||MAC_K2_(K)表示K和MAC_K2_(K)级联组成的字符串，En_K2表示使用K2对K||MAC_K2_(K)进行加密。K和MAC_K2_(K)可以采用所述级联的方式，也可以采用其他字符串组合的形式，如两个字符串通过特定标识串联在一块，如1111，逗号，分隔符等。以上处理方式并不代表被加密的内容仅包括K和MAC_K2_(K)，也可能包含其他的字符串，如nonce，Fresh parameter等等。以下字符串级联的地方，也适用以上所述的组合方式；也支持被签名、MAC、加密和哈希的内容包含其他的字符串。
第二种方式：密钥管理中心使用K2计算业务密钥K与业务密钥的信息indication组成的字符串的消息认证码MAC_K2_(K||indication)，并使用K2、PK2或者ID2对业务密钥K及消息认证码MAC_K2_(K||indication)组成的字符串进行加密，得到令牌Token。其中，indication包括以下参数的至少一项：所述业务密钥的使用实体标识、所述业务密钥的有效期、所述或者业务密钥的生成时间、应用所述业务密钥的业务的信息及业务链路的信息、业务的业务参数。Indication也可以携带在S401中所述的密钥请求中。
以使用PK2为例，即：Token＝En_PK2_(K||MAC_K2_(K||indication))，其中，K||MAC_K2_(K||indication)表示K和MAC_K2_(K||indication)级联组成的字符串，En_PK2表示使用PK2对K||MAC_K2_(K||indication)进行加密。
第三种方式：密钥管理中心使用预设的私钥SK_KMS计算业务密钥K的数字签名，并使用K2、PK2或者ID2对业务密钥K的数字签名进行加密得到所述令牌Token。
以使用ID2为例，Token＝En_ID2_(K||Signature_SK_KMS_(K))，其中，Signature_SK_KMS_(K)为使用SK_KMS计算得到的K的数字签名，K||Signature_SK_KMS_(K)为K与Signature_SK_KMS_(K)组成的字符串，En_ID2表示使用ID2对K与Signature_SK_KMS_(K)组成的字符串进行加密。
第四种方式：密钥管理中心使用预设的私钥SK_KMS计算业务密钥K与indication组成的字符串的数字签名，使用K2、PK2或者ID2对K与indication组成的字符串的数字签名进行加密得到令牌Token。
以使用PK2为例，即：Token＝En_PK2_(K||Signature_SK_KMS_(K||indication))。
S504：密钥管理中心向第一网元发送业务密钥和令牌。
具体地，可以使用以下任意一种方式发送业务密钥和令牌：
第一种方式：密钥管理中心使用密钥管理中心与第一网元之间的共享密钥K1对业务密钥K与令牌Token组成的字符串进行完整性保护得到消息认证码MAC_K1_(K||token)，使用K1、第一网元的公钥PK1或者第一网元的标识ID1对业务密钥K、令牌Token以及消息认证码MAC_K1_(K||token)组成的字符串K||Token||MAC_K1_(K||token)进行加密形成密文，即Ciphertext＝En_K1_(K||Token||MAC_K1_(K||token))，并向第一网元发送密文。
第二种方式：密钥管理中心使用预设的私钥SK计算业务密钥K与令牌Token组成的字符串的数字签名Signature_SK_KMS_(K||token)，使用K1、PK1或者ID1对业务密钥K、令牌Token以及数字签名Signature_SK_KMS_(K||token)组成的字符串K||Token||Signature_SK_KMS_(K||token)进行加密形成密文，以使用K1为例，即Ciphertext＝En_K1_(K||Token||Signature_SK_KMS(K||token))，并向第一网元发送密文。
第三种方式：密钥管理中心使用K1对业务密钥K与令牌Token组成的字符串进行完整性保护得到消息认证码MAC_K1_(K||token)，使用K1、PK1或者ID1对业务密钥K以及消息认证码MAC_K1_(K||token)组成的字符串K||MAC_K1_(K||token)进行加密形成密文，以使用PK1为例，即Ciphertext＝En_PK_(K||MAC_K1_(K||token))，因为密文中没有包括token，所以，向第一网元发送密文以及token。
第四种方式：密钥管理中心使用预设的私钥SK计算业务密钥K与令牌Token组成的字符串的数字签名Signature_SK_KMS_(K||token)，使用K1、PK1或者ID1对业务密钥K以及数字签名Signature_SK_KMS_(K||token)组成的字符串K||Signature_SK_KMS_(K||token)进行加密形成密文，以使用K1为例，即Ciphertext＝En_K1_(K||Signature_SK_KMS(K||token))，并向第一网元发送密文以及token。
第五种方式：密钥管理中心通过预先建立的与所述第一网元之间的安全通道，向所述第一网元发送业务密钥及令牌，因为通过安全通道发送，所以可以直接发送，而无需进行加密。
需要说明的是，以上所列的生成令牌的任意一种方式、以及发送令牌和业务密钥的任意一种方式，均可以任意进行组合使用。
S505：依据上述发送方式的不同，第一网元可能接收到密文，也可能接收到密文和令牌，还可能接收到业务密钥和令牌的明文。
第一网元接收到密文后，通过解密获得业务密钥和令牌，并对两者进行完整性验证。
S506：第一网元将令牌发送给第二网元。
S507：第二网元从令牌中解密出业务密钥，并对业务密钥进行完整性验证。
从本实施例所述的过程可以看出，密钥管理中心生成并向第一网元发送第一网元和第二网元进行数据传输的业务密钥和令牌，第一网元再将令牌发给第二网元，第二网元从令牌中解密出令牌，因此，能够实现密钥管理中心将业务密钥分发给网元的目的，从而为两个网元间的端到端的安全通信奠定基础。
需要说明的是，本实施例中，图5所示的流程由密钥管理中心接收到密钥请求触发，除此之外，密钥管理中心也可以自行启动S502及之后的各个步骤，S501、S5011和S5012为可选步骤。
除了图2所示的场景外，图3中所示的两个密钥管理中心的场景下为两个网元配置业务密钥的具体过程如图6所示，包括以下步骤：
S601：第一密钥管理中心生成业务密钥K。具体地，此步骤可以由第一密钥管理中心接收到密钥请求触发，也可以由第一密钥管理中心自行启动。
因为本实施例适用于两个密钥管理中心的场景，所以，两个密钥管理中心可以通过协商生成业务密钥。具体方式包括以下几种：
第一种方式：
S6011：第一密钥管理中心向第二密钥管理中心发送第一协商参数，其中，第一协商参数可以为随机数1、系统时间1、序列号1、新鲜参数Freshparameter1等参数的至少一项，也可为DH密钥协商中的第一参数gx。
S6012：第二密钥管理中心在接收到第一协商参数后，向第一密钥管理中心发送第二协商参数；第二协商参数可以为随机数2、系统时间2、序列号2、新鲜参数Fresh parameter2等参数的至少一项，也可为DH密钥协商中的第二参数gy。
S6013：第一密钥管理中心根据规则K＝KDF(第一协商参数，第二协商参数)生成业务密钥。若第一协商参数为gx，若第二协商参数为gy，此时第一密钥管理中心首先计算出gxy，之后将gxy或者KDF(gxy)直接作为业务密钥K。
第二种方式(图6中未画出)：与第一种方式相比，在第一密钥管理中心根据规则K＝KDF(第一协商参数，第二协商参数)计算出结果后，将计算结果作为Key代入到S502所述的规则中，生成业务密钥。
除了上述方式以外，第一密钥管理中心还可以按照S402的方式生成业务密钥，这里不再赘述。
S602：第一密钥管理中心将业务密钥发送给第二密钥管理中心。
S603：第二密钥管理中心生成令牌。
本实施例中，生成令牌的具体方式可以参见S503。需要说明的是，如果按照S503中的第二种方式和第四种方式生成令牌，则indication可以由第一密钥管理中心发给第二密钥管理中心，例如，在第一密钥管理中心向第二密钥管理中心发送业务密钥的过程中，将indication一并发送第二密钥管理中心。
S604：第二密钥管理中心将令牌发送给第一密钥管理中心。
S605：第一密钥管理中心向第一网元发送业务密钥和令牌。具体方式可以参数S504，这里不再赘述。
S606：第一网元获得业务密钥和令牌后，向第二网元发送令牌。具体的获得方式可以参数S505，这里不再赘述。
S607：第二网元从令牌中解密出业务密钥，并对业务密钥进行完整性验证。
除了图6所示的过程，第一密钥管理中心还可以既生成业务密钥，也生成令牌，具体地，如图7所示，包括以下步骤：
S701：第一密钥管理中心生成业务密钥。具体方式可以参见S601。
S702：第一密钥管理中心生成令牌。
需要强调的是，本实施例中，如图3所示，因为第二网元与第二密钥管理中心同处一种类型的网络中，而第一密钥管理中心与第二网元不在同一种类型的网络中，假设第一密钥管理中心与第一网元的共享密钥，第二密钥管理中心与第二网元共享密钥。在此前提下，第一密钥管理中心只能按照S503中所述的第三种方式和第四种方式生成令牌。
S703：第一密钥管理中心向第一网元会话和令牌。
S704：第一网元向第二网元发送令牌。
S705：第二网元通过解密令牌得到业务密钥。
除了图6和图7所示的方法外，业务密钥和令牌均可以由第二密钥管理中心生成，具体地，如图8所示，包括以下步骤：
S801：第一密钥管理中心接收密钥请求。在密钥请求中，携带第一网元的标识和第二网元的标识，还可以携带indication。
S802：第一密钥管理中心将密钥请求发送给第二密钥管理中心。
S803：第二密钥管理中心生成业务密钥和令牌，具体的生成方式可以参见S503所述。
S804：第二密钥管理中心将业务密钥和令牌发送给第一密钥管理中心。
S805：第一密钥管理中心将业务密钥和令牌发送给第一网元。
S806：第一网元将令牌发送第二网元。
S807：第二网元从令牌中解析出令牌。
除了图6、图7和图8所示的过程外，假设第一密钥管理中心与第一网元的共享密钥，第二密钥管理中心与第二网元共享密钥。还可以按照图9所示的过程为第一网元和第二网元配置业务密钥。
如图9所示，包括以下步骤：
S901：第一密钥管理中心接收第一网元发送的密钥请求。
S902:第一密钥管理中心生成业务密钥。具体方式可以参见S601。
S903：第一密钥管理中心向第二密钥管理中心发送业务密钥。
S904：第一密钥管理中心向第一网元发送业务密钥。
具体地，第一密钥管理中心可以将业务密钥进行加密发送，也可以通过与第一网元之间预设的安全通道发送。进行加密发送的具体实现方式包括：
第一种方式：第一密钥管理中心使用第一密钥管理中心与第一网元之间的共享密钥K1对业务密钥K进行完整性保护得到消息认证码MAC_K1_(K)，使用K1、第一网元的公钥PK1或者第一网元的标识ID1对业务密钥K以及消息认证码MAC_K1_(K)组成的字符串K||MAC_K1_(K)进行加密形成密文，以使用K1为例，即Ciphertext＝En_K1_(K||MAC_K1_(K))，并向第一网元发送密文。
第二种方式：第一密钥管理中心使用预设的私钥SK_KMS计算业务密钥K数字签名Signature_SK_KMS_(K)，使用K1、PK1或者ID1对业务密钥K以及数字签名Signature_SK_KMS_(K)组成的字符串K||Signature_SK_KMS_(K)进行加密形成密文，以使用K1为例，即Ciphertext＝En_K1_(K||Signature_SK_KMS(K))，并向第一网元发送密文。
S905：第二密钥管理中心向第二网元发送业务密钥。具体的发送方式与S907中相似，仅需要将S907中的K1替换为第二密钥管理中心与第二网元间的共享密钥K2，将SK替换为第二密钥管理中心预设的私钥TK，将ID1替换为第二网元的标识ID2即可。
S906：第一网元和第二网元分别获得业务密钥。具体地，如果接收到的是密文，则需要从密文中解密出业务密钥。
需要说明的是，S903和S904的顺序可以调换，S904和S905的顺序可以调换，S904和S905也可以同时进行。
也就是说，本实施例中，可以由第二密钥管理中心直接向第二网元发送业务密钥，而无需通过令牌传递。
图9所示的思想同样可以应用在图2所示的一个密钥管理中心的场景下。如图10所示，包括以下步骤：
S1001：密钥管理中心接收第一网元发送的密钥请求。
S1002：密钥管理中心生成业务密钥。具体实现方式可以参见S502。
S1003：密钥管理中心向第一网元发送业务密钥，具体实现方式可以参见S1004。
S1004：密钥管理中心向第二网元发送业务密钥，具体实现方式与S1103相似，只需将K1替换为第二密钥管理中心与第二网元间的共享密钥K2，将SK替换为第二密钥管理中心预设的私钥TK，将ID1替换为第二网元的标识ID2即可。
S1005：第一网元和第二网元分别获得业务密钥。具体地，如果接收到的是密文，则需要从密文中解密出业务密钥。
除了密钥管理中心之外，图1、图2、图3、图5、图6、图7或图8中所示的第一网元包括：第二处理器和第二存储器。
其中，所述第二存储器用于存储操作系统以及应用程序、所述应用程序运行中产生的数据。所述第二处理器用于通过运行存储在所述第二存储器中的所述应用程序，实现以下功能：获取业务密钥和令牌，所述业务密钥用于对所述第一网元和其它网元之间传输的数据进行加密和/或完整性保护，所述令牌为对所述业务密钥进行加密和/或完整性保护的结果；向所述其它网元发送所述令牌，所述令牌用于所述其它网元获取所述业务密钥。
本实施例所述的网元的功能的具体实现可以参见上述实施例，这里不再赘述。
图1、图2、图3、图5、图6、图7或图8中所示的网络控制中心，包括：
第三处理器和第三存储器。
其中，所述第三存储器用于存储操作系统以及应用程序、所述应用程序运行中产生的数据。所述第三处理器用于通过运行存储在所述第三存储器中的所述应用程序，实现以下功能：接收密钥请求，所述密钥请求中携带第一网元的标识和第二网元的标识；如果所述第一网元的标识和/或所述第二网元的标识非永久标识，将所述第一网元的标识替换为所述第一网元的永久标识，和/或将所述第二网元的标识替换为所述第二网元的永久标识；向密钥管理中心发送第二密钥请求消息，所述第二密钥请求消息包含第一网元的永久标识和第二网元的永久标识；所述密钥管理中心用于依据所述密钥请求中所述第一网元的永久标识和所述第二网元的永久标识，生成业务密钥及令牌，所述令牌为对所述业务密钥进行加密和/或完整性保护的结果，所述业务密钥用于对所述第一网元和所述第二网元之间传输的数据进行加密和/或完整性保护。
图5中所示的密钥管理中心包括第四处理器和第四存储器。
其中，所述第四存储器用于存储操作系统以及应用程序、所述应用程序运行中产生的数据。所述第四处理器用于通过运行存储在所述第四存储器中的所述应用程序，实现以下功能：接收密钥请求，所述密钥请求中携带第一网元的标识、第二网元的标识和业务参数的至少一个，所述密钥请求由所述第一网元、所述第二网元、网络控制中心、或者业务服务器发送；获取业务密钥，所述业务密钥用于对所述第一网元和所述第二网元之间传输的数据进行加密和/或完整性保护；使用所述密钥管理中心与所述第二网元之间的共享密钥对所述业务密钥及所述第一类密钥参数组成的字符串进行加密，得到令牌；其中，所述第一类密钥参数为所述密钥管理中心使用所述共享密钥计算所述业务密钥的消息认证码，或者，所述密钥管理中心使用所述共享密钥计算所述业务密钥与所述业务密钥的信息组成的字符串的消息认证码，其中，所述业务密钥的信息包括以下任意一项：所述业务密钥的使用实体标识、所述业务密钥的有效期、所述业务密钥的生成时间、应用所述业务密钥的业务的信息及业务链路的信息；发送所述令牌，所述令牌用于由所述第一网元获取后向所述第二网元转发，以使得所述第二网元依据所述令牌获得所述业务密钥。
本申请实施例中所述的密钥管理中心、网元及控制中心，通过上述图5、图6、图7、图8、图9或图10所示的方法进行交互，能够生成业务密钥，从而端到端的安全通信的实现奠定基础。
本说明书中各个实施例采用递进的方式描述，每个实施例重点说明的都是与其它实施例的不同之处，各个实施例之间相同或相似部分互相参见即可。
对所公开的实施例的上述说明，使本领域专业技术人员能够实现或使用本申请。对这些实施例的多种修改对本领域的专业技术人员来说将是显而易见的，本文中所定义的一般原理可以在不脱离本申请的范围的情况下，在其它实施例中实现。

Claims (28)

1.一种密钥配置方法，其特征在于，包括：
密钥管理中心获取业务密钥，所述业务密钥用于对第一网元和第二网元之间传输的数据进行加密和/或完整性保护；
所述密钥管理中心获取令牌，所述令牌为对所述业务密钥进行加密和/或完整性保护的结果；
所述密钥管理中心发送所述令牌，所述令牌用于由所述第一网元获取后向所述第二网元转发，以使得所述第二网元依据所述令牌获得所述业务密钥。
2.根据权利要求1所述的方法，其特征在于，所述密钥管理中心获取令牌包括：
所述密钥管理中心依据所述业务密钥得到第一类密钥参数，所述第一类密钥参数包括由所述业务密钥得到的消息认证码或者数字签名；
所述密钥管理中心使用第一参数，对所述业务密钥及所述第一类密钥参数组成的字符串进行加密，得到所述令牌，所述第一参数包括所述密钥管理中心与所述第二网元之间的共享密钥、所述第二网元的公钥或者所述第二网元的标识。
3.根据权利要求2所述的方法，其特征在于，所述密钥管理中心依据所述业务密钥得到第一类密钥参数包括：
所述密钥管理中心使用所述共享密钥计算所述业务密钥的消息认证码；
或者，所述密钥管理中心使用所述共享密钥计算所述业务密钥与所述业务密钥的信息组成的字符串的消息认证码；
或者，所述密钥管理中心使用预设的私钥计算所述业务密钥的数字签名；
或者，所述密钥管理中心使用预设的私钥计算所述业务密钥与所述业务密钥的信息组成的字符串的数字签名；
其中，所述业务密钥的信息包括以下任意一项：所述业务密钥的使用实体标识、所述业务密钥的有效期、所述业务密钥的生成时间、应用所述业务密钥的业务的信息及业务链路的信息。
4.根据权利要求1所述的方法，其特征在于，所述密钥管理中心获取令牌包括：
所述密钥管理中心接收其它密钥管理中心发送的令牌。
5.根据权利要求1所述的方法，其特征在于，所述密钥管理中心发送所述令牌包括：
所述密钥管理中心向所述第一网元发送所述令牌；
还包括：
所述密钥管理中心向所述第一网元发送所述业务密钥。
6.根据权利要求5所述的方法，其特征在于，所述密钥管理中心向所述第一网元发送所述业务密钥及所述令牌的具体过程包括：
所述密钥管理中心使用第二参数对字符串进行加密形成密文，并向所述第一网元发送所述密文，所述字符串由所述业务密钥、所述令牌及第二类密钥参数组成；
或者，所述密钥管理中心使用第二参数对字符串进行加密形成密文，并向所述第一网元发送所述密文以及所述令牌，所述字符串由所述业务密钥及所述第二类密钥参数组成；
其中，所述第二类密钥参数包括由所述业务密钥及所述令牌组成的字符串得到的消息认证码或者数字签名，所述第二参数包括所述密钥管理中心与所述第一网元间的共享密钥、所述第一网元的公钥，或者所述第一网元的标识。
7.根据权利要求6所述的方法，其特征在于，所述字符串中的所述第二类密钥参数为消息认证码，所述消息认证码为通过使用所述密钥管理中心与所述第一网元之间的共享密钥对所述业务密钥与所述令牌组成的字符串进行完整性保护得到；
或者，所述字符串中的所述第二类密钥参数为数字签名，所述数字签名通过使用预设的私钥对所述业务密钥与所述令牌组成的字符串进行数字签名运算得到。
8.根据权利要求5所述的方法，其特征在于，所述密钥管理中心向所述第一网元发送所述业务密钥及所述令牌的具体过程包括：
所述密钥管理中心通过预先建立的与所述第一网元之间的安全通道，向所述第一网元发送所述业务密钥及所述令牌。
9.根据权利要求1所述的方法，其特征在于，所述密钥管理中心发送所述令牌包括：
所述密钥管理中心向其它密钥管理中心发送所述令牌。
10.根据权利要求1至9任一项所述的方法，其特征在于，所述密钥管理中心获取业务密钥包括：
所述密钥管理中心依据以下规则中的任意一种生成所述业务密钥K：
K＝KDF(Key，(time，预设参数中的至少一项))，
其中，所述Key为所述密钥管理中心所选的随机数、所述第一网元与所述密钥管理中心之间的共享密钥K1、所述第二网元与所述密钥管理中心之间的共享密钥K2、另一个密钥管理中心所选的随机数、或者所述另一个密钥管理中心与所述第二网元之间的共享密钥中的一个或多个的组合；time为业务密钥K的截止时间、有效期时长、或当前的系统时间；
所述预设参数包括所述第一网元的标识、所述第二网元的标识、所述业务参数和SN；所述业务参数为业务中的序列号、该业务密钥的相关时间time、该业务中的相关ID，新鲜参数(Fresh parameter)、随机数(nonce/randomnumber)中的至少一项，SN为计算业务密钥的序列号。。
11.根据权利要求1至9任一项所述的方法，其特征在于，所述密钥管理中心获取业务密钥包括：
所述密钥管理中心向另一个密钥管理中心发送第一协商参数，所述第一协商参数为随机数1、系统时间1、序列号1、新鲜参数Fresh parameter1中的至少一项；
所述密钥管理中心接收所述另一个密钥管理中心发送的第二协商参数；所述第二协商参数为随机数2、系统时间2、序列号2、新鲜参数Freshparameter2中的至少一项；
所述密钥管理中心依据规则KDF(第一协商参数，第二协商参数)生成业务密钥，或者，所述密钥管理中心依据规则K＝KDF(Key，(time，预设参数中的至少一项))生成业务密钥；
其中，Key为参考业务密钥或者DH密钥协商后得到的密钥，所述参考业务密钥依据KDF(第一协商参数，第二协商参数)生成；time为业务密钥K的截止时间、有效期时长、或当前的系统时间；
所述预设参数包括所述第一网元的标识、所述第二网元的标识、所述业务参数和SN；所述业务参数为业务中的序列号、该业务密钥的相关时间time、该业务中的相关ID，新鲜参数(Fresh parameter)、随机数(nonce/randomnumber)中的至少一项，SN为计算业务密钥的序列号。
12.根据权利要求1至9任一项所述的方法，其特征在于，所述密钥管理中心获取业务密钥包括：
所述密钥管理中心向另一个密钥管理中心发送DH密钥协商中的第一参数gx；
所述密钥管理中心接收所述另一个密钥管理中心发送的所述DH密钥协商中的第二参数gy；
所述密钥管理中心计算出gxy，将gxy，KDF(gxy)，或者K＝KDF(gxy，(time，预设参数中的至少一项))作为所述业务密钥其中，Key为参考业务密钥或者DH密钥协商后得到的密钥，所述参考业务密钥依据KDF(第一协商参数，第二协商参数)生成；
time为业务密钥K的截止时间、有效期时长、或当前的系统时间；
所述预设参数包括所述第一网元的标识、所述第二网元的标识、所述业务参数和SN；所述业务参数为业务中的序列号、该业务密钥的相关时间time、该业务中的相关ID，新鲜参数(Fresh parameter)、随机数(nonce/randomnumber)中的至少一项，SN为计算业务密钥的序列号。
13.根据权利要求1至9任一项所述的方法，其特征在于，所述密钥管理中心获取业务密钥包括：
所述密钥管理中心接收其它密钥管理中心发送的业务密钥。
14.根据权利要求1所述的方法，其特征在于，还包括：
所述密钥管理中心接收密钥请求，所述密钥请求中携带所述第一网元的标识、所述第二网元的标识和业务参数的至少一个，所述密钥请求由所述第一网元、所述第二网元、网络控制中心、或者业务服务器发送。
15.根据权利要求1所述的方法，其特征在于，还包括：
所述密钥管理中心接收网络控制中心发送的第一密钥请求，所述第一密钥请求中携带所述第一网元的永久标识和所述第二网元的永久标识，所述第一网元的永久标识由所述网络控制中心依据所述第一网元的临时标识转换得到，所述第二网元的永久标识由所述网络控制中心依据所述第二网元的临时标识转换得到，所述第一网元的临时标识和所述第二网元的临时标识携带在由所述第一网元、所述第二网元或者业务服务器发送给所述网络控制中心的第二密钥请求中。
16.一种密钥配置方法，其特征在于，包括：
第一网元获取业务密钥和令牌，所述业务密钥用于对所述第一网元和第二网元之间传输的数据进行加密和/或完整性保护，所述令牌为对所述业务密钥进行加密和/或完整性保护的结果；
所述第一网元向所述第二网元发送所述令牌，所述令牌用于所述第二网元获取所述业务密钥。
17.根据权利要求16所述的方法，其特征在于，第一网元获取业务密钥和令牌，包括：
所述第一网元通过使用密钥管理中心与所述第一网元之间的共享密钥解密从所述密钥管理中心接收到的密文，获得业务密钥，或者获得业务密钥和令牌。
18.一种密钥配置方法，其特征在于，包括：
网络控制中心接收密钥请求，所述密钥请求中携带第一网元的标识和第二网元的标识；
如果所述第一网元的标识和/或所述第二网元的标识非永久标识，所述网络控制中心将所述第一网元的标识替换为所述第一网元的永久标识，和/或将所述第二网元的标识替换为所述第二网元的永久标识；
所述网络控制中心向密钥管理中心发送第二密钥请求消息，所述第二密钥请求消息包含第一网元的永久标识和第二网元的永久标识；所述密钥管理中心用于依据所述密钥请求中所述第一网元的永久标识和所述第二网元的永久标识，生成业务密钥及令牌，所述令牌为对所述业务密钥进行加密和/或完整性保护的结果，所述业务密钥用于对所述第一网元和所述第二网元之间传输的数据进行加密和/或完整性保护。
19.一种密钥配置方法，其特征在于，包括：
密钥管理中心接收密钥请求，所述密钥请求中携带第一网元的标识、第二网元的标识和业务参数的至少一个，所述密钥请求由所述第一网元、所述第二网元、网络控制中心、或者业务服务器向所述密钥管理中心发送；
所述密钥管理中心依据所述第一网元的标识、所述第二网元的标识和所述业务参数的至少一个生成业务密钥，所述业务密钥用于对所述第一网元和所述第二网元之间传输的数据进行加密和/或完整性保护；
所述密钥管理中心使用所述密钥管理中心与所述第二网元之间的共享密钥对所述业务密钥及所述第一类密钥参数组成的字符串进行加密，得到令牌；其中，所述第一类密钥参数为所述密钥管理中心使用所述共享密钥计算所述业务密钥的消息认证码，或者，所述密钥管理中心使用所述共享密钥计算所述业务密钥与所述业务密钥的信息组成的字符串的消息认证码，其中，所述业务密钥的信息包括所述业务密钥的使用实体标识、所述业务密钥的有效期、所述业务密钥的生成时间、应用所述业务密钥的业务的信息及业务链路的信息中的任意一项；
所述密钥管理中心向所述第一网元发送所述令牌，所述第一网元用于向所述第二网元转发所述令牌，以使得所述第二网元依据所述令牌获得所述业务密钥。
20.根据权利要求19所述的方法，其特征在于，所述密钥管理中心获取业务密钥包括：
所述密钥管理中心依据以下规则中的任意一种生成所述业务密钥K：
K＝KDF(Key，(time，预设参数中的至少一项))，
其中，Key为所述密钥管理中心所选的随机数、所述第一网元与所述密钥管理中心之间的共享密钥K1、所述第二网元与所述密钥管理中心之间的共享密钥K2、另一个密钥管理中心所选的随机数、或者所述另一个密钥管理中心与所述第二网元之间的共享密钥中的一个或多个的组合；time为业务密钥K的截止时间、有效期时长、或当前的系统时间；
所述预设参数包括所述第一网元的标识、所述第二网元的标识、所述业务参数和SN；所述业务参数为业务中的序列号、该业务密钥的相关时间time、该业务中的相关ID，新鲜参数(Fresh parameter)、随机数(nonce/randomnumber)中的至少一项，SN为计算业务密钥的序列号。
21.一种密钥管理中心，其特征在于，包括：
第一处理器和第一存储器；
所述第一存储器用于存储操作系统以及应用程序、所述应用程序运行中产生的数据；
所述第一处理器用于通过运行存储在所述第一存储器中的所述应用程序，实现以下功能：获取业务密钥，所述业务密钥用于对第一网元和第二网元之间传输的数据进行加密和/或完整性保护；获取令牌，所述令牌为对所述业务密钥进行加密和/或完整性保护的结果；发送所述令牌，所述令牌用于由所述第一网元获取后向所述第二网元转发，以使得所述第二网元依据所述令牌获得所述业务密钥。
22.根据权利要求21所述的密钥管理中心，其特征在于，所述获取令牌包括：
依据所述业务密钥得到第一类密钥参数，所述第一类密钥参数包括由所述业务密钥得到的消息认证码或者数字签名；
使用第一参数，对所述业务密钥及所述第一类密钥参数组成的字符串进行加密，得到所述令牌，所述第一参数包括所述密钥管理中心与所述第二网元之间的共享密钥、所述第二网元的公钥或者所述第二网元的标识。
23.根据权利要求21所述的密钥管理中心，其特征在于，所述依据所述业务密钥得到第一类密钥参数包括：
使用所述共享密钥计算所述业务密钥的消息认证码；
或者，使用所述共享密钥计算所述业务密钥与所述业务密钥的信息组成的字符串的消息认证码；
或者，使用预设的私钥计算所述业务密钥的数字签名；
或者，使用预设的私钥计算所述业务密钥与所述业务密钥的信息组成的字符串的数字签名；
其中，所述业务密钥的信息包括以下任意一项：所述业务密钥的使用实体标识、所述业务密钥的有效期、所述业务密钥的生成时间、应用所述业务密钥的业务的信息及业务链路的信息。
24.一种网元，其特征在于，包括：
第二处理器和第二存储器；
所述第二存储器用于存储操作系统以及应用程序、所述应用程序运行中产生的数据；
所述第二处理器用于通过运行存储在所述第二存储器中的所述应用程序，实现以下功能：获取业务密钥和令牌，所述业务密钥用于对所述第一网元和其它网元之间传输的数据进行加密和/或完整性保护，所述令牌为对所述业务密钥进行加密和/或完整性保护的结果；向所述其它网元发送所述令牌，所述令牌用于所述其它网元获取所述业务密钥。
25.根据权利要求24所述的网元，其特征在于，所述获取业务密钥和令牌，包括：
通过使用密钥管理中心与所述第一网元之间的共享密钥解密从所述密钥管理中心接收到的密文，获得业务密钥，或者获得业务密钥和令牌。
26.一种网络控制中心，其特征在于，包括：
第三处理器和第三存储器；
所述第三存储器用于存储操作系统以及应用程序、所述应用程序运行中产生的数据；
所述第三处理器用于通过运行存储在所述第三存储器中的所述应用程序，实现以下功能：接收密钥请求，所述密钥请求中携带第一网元的标识和第二网元的标识；如果所述第一网元的标识和/或所述第二网元的标识非永久标识，将所述第一网元的标识替换为所述第一网元的永久标识，和/或将所述第二网元的标识替换为所述第二网元的永久标识；向密钥管理中心发送第二密钥请求消息，所述第二密钥请求消息包含第一网元的永久标识和第二网元的永久标识；所述密钥管理中心用于依据所述密钥请求中所述第一网元的永久标识和所述第二网元的永久标识，生成业务密钥及令牌，所述令牌为对所述业务密钥进行加密和/或完整性保护的结果，所述业务密钥用于对所述第一网元和所述第二网元之间传输的数据进行加密和/或完整性保护。
27.一种密钥管理中心，其特征在于，包括：
第四处理器和第四存储器；
所述第四存储器用于存储操作系统以及应用程序、所述应用程序运行中产生的数据；
所述第四处理器用于通过运行存储在所述第四存储器中的所述应用程序，实现以下功能：接收密钥请求，所述密钥请求中携带第一网元的标识、第二网元的标识和业务参数的至少一个，所述密钥请求由所述第一网元、所述第二网元、网络控制中心、或者业务服务器发送；获取业务密钥，所述业务密钥用于对所述第一网元和所述第二网元之间传输的数据进行加密和/或完整性保护；使用所述密钥管理中心与所述第二网元之间的共享密钥对所述业务密钥及所述第一类密钥参数组成的字符串进行加密，得到令牌；其中，所述第一类密钥参数为所述密钥管理中心使用所述共享密钥计算所述业务密钥的消息认证码，或者，所述密钥管理中心使用所述共享密钥计算所述业务密钥与所述业务密钥的信息组成的字符串的消息认证码，其中，所述业务密钥的信息包括以下任意一项：所述业务密钥的使用实体标识、所述业务密钥的有效期、所述业务密钥的生成时间、应用所述业务密钥的业务的信息及业务链路的信息；发送所述令牌，所述令牌用于由所述第一网元获取后向所述第二网元转发，以使得所述第二网元依据所述令牌获得所述业务密钥。
28.根据权利要求27所述的密钥管理中心，其特征在于，所述获取业务密钥包括：
依据以下规则中的任意一种生成所述业务密钥K：
K＝KDF(Key，(time，预设参数中的至少一项))，
其中，Key为所述密钥管理中心所选的随机数、所述第一网元与所述密钥管理中心之间的共享密钥K1、所述第二网元与所述密钥管理中心之间的共享密钥K2、另一个密钥管理中心所选的随机数、或者所述另一个密钥管理中心与所述第二网元之间的共享密钥中的一个或多个的组合；time为业务密钥K的截止时间、有效期时长、或当前的系统时间；
所述预设参数包括所述第一网元的标识、所述第二网元的标识、所述业务参数和SN；所述业务参数为业务中的序列号、该业务密钥的相关时间time、该业务中的相关ID，新鲜参数(Fresh parameter)、随机数(nonce/randomnumber)中的至少一项，SN为计算业务密钥的序列号。
CN201511030585.2A 2015-12-31 2015-12-31 一种密钥配置方法及密钥管理中心、网元 Active CN106936570B (zh)

Priority Applications (4)

Application Number Priority Date Filing Date Title
CN201511030585.2A CN106936570B (zh) 2015-12-31 2015-12-31 一种密钥配置方法及密钥管理中心、网元
PCT/CN2016/109040 WO2017114123A1 (zh) 2015-12-31 2016-12-08 一种密钥配置方法及密钥管理中心、网元
EP16880913.5A EP3364595A4 (en) 2015-12-31 2016-12-08 Key configuration method and key management center, and network element
US15/978,794 US10903987B2 (en) 2015-12-31 2018-05-14 Key configuration method, key management center, and network element

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201511030585.2A CN106936570B (zh) 2015-12-31 2015-12-31 一种密钥配置方法及密钥管理中心、网元

Publications (2)

Publication Number Publication Date
CN106936570A true CN106936570A (zh) 2017-07-07
CN106936570B CN106936570B (zh) 2021-08-20

Family

ID=59224539

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201511030585.2A Active CN106936570B (zh) 2015-12-31 2015-12-31 一种密钥配置方法及密钥管理中心、网元

Country Status (4)

Country Link
US (1) US10903987B2 (zh)
EP (1) EP3364595A4 (zh)
CN (1) CN106936570B (zh)
WO (1) WO2017114123A1 (zh)

Cited By (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN109274488A (zh) * 2018-09-04 2019-01-25 广州众诺电子技术有限公司 集成电路程序烧录方法、存储介质和系统
CN109428875A (zh) * 2017-08-31 2019-03-05 华为技术有限公司 基于服务化架构的发现方法及装置
CN109560919A (zh) * 2017-09-27 2019-04-02 华为技术有限公司 一种密钥衍生算法的协商方法及装置
WO2019148832A1 (zh) * 2018-02-05 2019-08-08 华为技术有限公司 私钥生成的方法和设备
CN110517389A (zh) * 2019-08-30 2019-11-29 联永智能科技（上海）有限公司 设备密码的生成、验证方法、装置、设备和存储介质
CN111385282A (zh) * 2018-12-27 2020-07-07 巴赫曼有限公司 用于检验风力发电设备的模块的完整性的方法和装置
CN111435932A (zh) * 2019-01-14 2020-07-21 华为技术有限公司 一种令牌处理方法及装置
CN113992367A (zh) * 2021-10-18 2022-01-28 四川托普信息技术职业学院 一种数据加密传输系统及其方法

Families Citing this family (12)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US10630686B2 (en) 2015-03-12 2020-04-21 Fornetix Llc Systems and methods for organizing devices in a policy hierarchy
US10965459B2 (en) 2015-03-13 2021-03-30 Fornetix Llc Server-client key escrow for applied key management system and process
CN106936570B (zh) * 2015-12-31 2021-08-20 华为技术有限公司 一种密钥配置方法及密钥管理中心、网元
US11063980B2 (en) * 2016-02-26 2021-07-13 Fornetix Llc System and method for associating encryption key management policy with device activity
CN109511115B (zh) * 2017-09-14 2020-09-29 华为技术有限公司 一种授权方法和网元
EP3719730B1 (en) * 2019-04-03 2023-12-06 Nxp B.V. Method for providing a digital representation of a transaction card in a mobile device
CN110493258B (zh) * 2019-09-09 2022-09-30 平安普惠企业管理有限公司 基于token令牌的身份校验方法及相关设备
CN110831000B (zh) * 2019-10-31 2023-04-07 迈普通信技术股份有限公司 一种安全接入方法、设备及系统
US11265301B1 (en) * 2019-12-09 2022-03-01 Amazon Technologies, Inc. Distribution of security keys
US11469890B2 (en) * 2020-02-06 2022-10-11 Google Llc Derived keys for connectionless network protocols
CN112260823B (zh) * 2020-09-16 2022-08-09 浙江大华技术股份有限公司 数据传输方法、智能终端和计算机可读存储介质
CN116522367B (zh) * 2023-06-28 2024-05-17 星汉智能科技股份有限公司 智能卡的数据生成加密方法、系统、装置及存储介质

Citations (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1929369A (zh) * 2005-09-09 2007-03-14 三星电子株式会社 以对等方式安全地发送和接收数据的设备和方法
CN1961523A (zh) * 2004-02-23 2007-05-09 弗里塞恩公司 令牌提供
CN101719895A (zh) * 2009-06-26 2010-06-02 中兴通讯股份有限公司 一种实现网络安全通信的数据处理方法和系统
CN101719825A (zh) * 2009-04-30 2010-06-02 中兴通讯股份有限公司 Ip多媒体子系统中实现安全分叉呼叫会话的方法及系统
CN101729528A (zh) * 2009-05-21 2010-06-09 中兴通讯股份有限公司 Ims会议电话的媒体安全实现方法和系统
US20130054964A1 (en) * 2011-08-24 2013-02-28 Motorola Solutions, Inc. Methods and apparatus for source authentication of messages that are secured with a group key
US20130182843A1 (en) * 2012-01-12 2013-07-18 Certicom Corp. System and Method of Lawful Access to Secure Communications
US20140019753A1 (en) * 2012-07-10 2014-01-16 John Houston Lowry Cloud key management
CN104683304A (zh) * 2013-11-29 2015-06-03 中国移动通信集团公司 一种保密通信业务的处理方法、设备和系统

Family Cites Families (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
DE102006009726A1 (de) * 2005-11-04 2007-05-10 Siemens Ag Verfahren und Server zum Bereitstellen eines Mobilitätsschlüssels
US8898468B2 (en) * 2009-12-08 2014-11-25 Bae Systems Information And Electronic Systems Integration Inc. Method for ensuring security and privacy in a wireless cognitive network
CN102891753B (zh) * 2012-09-25 2016-08-03 深圳市文鼎创数据科技有限公司 动态令牌初始化的方法及装置
EP2768178A1 (en) * 2013-02-14 2014-08-20 Gemalto SA Method of privacy-preserving proof of reliability between three communicating parties
US10469464B2 (en) * 2015-06-09 2019-11-05 Intel Corporation Self-configuring key management system for an internet of things network
CN106714152B (zh) * 2015-11-13 2021-04-09 华为技术有限公司 密钥分发和接收方法、第一密钥管理中心和第一网元
CN106936570B (zh) * 2015-12-31 2021-08-20 华为技术有限公司 一种密钥配置方法及密钥管理中心、网元

Patent Citations (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1961523A (zh) * 2004-02-23 2007-05-09 弗里塞恩公司 令牌提供
CN1929369A (zh) * 2005-09-09 2007-03-14 三星电子株式会社 以对等方式安全地发送和接收数据的设备和方法
CN101719825A (zh) * 2009-04-30 2010-06-02 中兴通讯股份有限公司 Ip多媒体子系统中实现安全分叉呼叫会话的方法及系统
CN101729528A (zh) * 2009-05-21 2010-06-09 中兴通讯股份有限公司 Ims会议电话的媒体安全实现方法和系统
CN101719895A (zh) * 2009-06-26 2010-06-02 中兴通讯股份有限公司 一种实现网络安全通信的数据处理方法和系统
US20130054964A1 (en) * 2011-08-24 2013-02-28 Motorola Solutions, Inc. Methods and apparatus for source authentication of messages that are secured with a group key
US20130182843A1 (en) * 2012-01-12 2013-07-18 Certicom Corp. System and Method of Lawful Access to Secure Communications
US20140019753A1 (en) * 2012-07-10 2014-01-16 John Houston Lowry Cloud key management
CN104683304A (zh) * 2013-11-29 2015-06-03 中国移动通信集团公司 一种保密通信业务的处理方法、设备和系统

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
J MATTSSON: "Ticket-Based Modes of Key Distribution in Multimedia Internet KEYing", 《IETF》 *

Cited By (16)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US11296877B2 (en) 2017-08-31 2022-04-05 Huawei Technologies Co., Ltd. Discovery method and apparatus based on service-based architecture
CN109428875A (zh) * 2017-08-31 2019-03-05 华为技术有限公司 基于服务化架构的发现方法及装置
CN109428875B (zh) * 2017-08-31 2024-03-12 华为技术有限公司 基于服务化架构的发现方法及装置
US11824981B2 (en) 2017-08-31 2023-11-21 Huawei Technologies Co., Ltd. Discovery method and apparatus based on service-based architecture
CN110474875A (zh) * 2017-08-31 2019-11-19 华为技术有限公司 基于服务化架构的发现方法及装置
CN109560919B (zh) * 2017-09-27 2021-02-09 华为技术有限公司 一种密钥衍生算法的协商方法及装置
US11627458B2 (en) 2017-09-27 2023-04-11 Huawei Technologies Co., Ltd. Key derivation algorithm negotiation method and apparatus
CN109560919A (zh) * 2017-09-27 2019-04-02 华为技术有限公司 一种密钥衍生算法的协商方法及装置
WO2019148832A1 (zh) * 2018-02-05 2019-08-08 华为技术有限公司 私钥生成的方法和设备
CN109274488A (zh) * 2018-09-04 2019-01-25 广州众诺电子技术有限公司 集成电路程序烧录方法、存储介质和系统
CN111385282A (zh) * 2018-12-27 2020-07-07 巴赫曼有限公司 用于检验风力发电设备的模块的完整性的方法和装置
CN111385282B (zh) * 2018-12-27 2024-03-08 巴赫曼有限公司 用于检验风力发电设备的模块的完整性的方法和装置
CN111435932A (zh) * 2019-01-14 2020-07-21 华为技术有限公司 一种令牌处理方法及装置
CN110517389B (zh) * 2019-08-30 2021-11-09 联永智能科技（上海）有限公司 设备密码的生成、验证方法、装置、设备和存储介质
CN110517389A (zh) * 2019-08-30 2019-11-29 联永智能科技（上海）有限公司 设备密码的生成、验证方法、装置、设备和存储介质
CN113992367A (zh) * 2021-10-18 2022-01-28 四川托普信息技术职业学院 一种数据加密传输系统及其方法

Also Published As

Publication number Publication date
US10903987B2 (en) 2021-01-26
WO2017114123A1 (zh) 2017-07-06
CN106936570B (zh) 2021-08-20
EP3364595A4 (en) 2018-11-21
US20180278595A1 (en) 2018-09-27
EP3364595A1 (en) 2018-08-22

Similar Documents

Publication Publication Date Title
CN106936570A (zh) 一种密钥配置方法及密钥管理中心、网元
Zhang et al. Robust and universal seamless handover authentication in 5G HetNets
US20200344063A1 (en) Authentication method, authentication apparatus, and authentication system
CN101183938B (zh) 一种无线网络安全传输方法、系统及设备
CN104754581B (zh) 一种基于公钥密码体制的lte无线网络的安全认证方法
CN101969638B (zh) 一种移动通信中对imsi进行保护的方法
Huang et al. S-AKA: A provable and secure authentication key agreement protocol for UMTS networks
CN107317789A (zh) 密钥分发、认证方法，装置及系统
Elouafiq Authentication and Encryption in GSM and 3GUMTS: An Emphasis on Protocols and Algorithms
CN107612899A (zh) 一种基于量子密钥的OpenVPN安全通信方法和通信系统
CN108964897B (zh) 基于群组通信的身份认证系统和方法
CN108809637A (zh) 基于混合密码的lte-r车-地通信非接入层认证密钥协商方法
JP2011523519A (ja) 暗号手段を配布するための方法
Niu et al. An anonymous and accountable authentication scheme for Wi-Fi hotspot access with the Bitcoin blockchain
CN104205898A (zh) 用于m2m环境中基于群组的服务引导的方法和系统
CN108880799B (zh) 基于群组密钥池的多次身份认证系统和方法
CN111970699A (zh) 一种基于ipk的终端wifi登陆认证方法以及系统
TWI568234B (zh) 全球移動通訊網路的匿名認證方法
Hwang et al. On the security of an enhanced UMTS authentication and key agreement protocol
CN112672345B (zh) 通信认证方法和相关设备
Indushree et al. Mobile-Chain: Secure blockchain based decentralized authentication system for global roaming in mobility networks
Leu et al. Improving security level of LTE authentication and key agreement procedure
CN106209384B (zh) 使用安全机制的客户终端与充电装置的通信认证方法
Songshen et al. Hash-Based Signature for Flexibility Authentication of IoT Devices
CN106714153A (zh) 密钥分发、生成和接收方法以及相关装置

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant