CN107317789A - 密钥分发、认证方法，装置及系统 - Google Patents

密钥分发、认证方法，装置及系统 Download PDF

Info

Publication number
CN107317789A
CN107317789A CN201610268327.6A CN201610268327A CN107317789A CN 107317789 A CN107317789 A CN 107317789A CN 201610268327 A CN201610268327 A CN 201610268327A CN 107317789 A CN107317789 A CN 107317789A
Authority
CN
China
Prior art keywords
key
random number
terminal device
management server
subscriber management
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN201610268327.6A
Other languages
English (en)
Other versions
CN107317789B (zh
Inventor
张博
吴�荣
甘露
王海光
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Huawei Technologies Co Ltd
Original Assignee
Huawei Technologies Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Huawei Technologies Co Ltd filed Critical Huawei Technologies Co Ltd
Priority to CN201610268327.6A priority Critical patent/CN107317789B/zh
Priority to PCT/CN2016/103334 priority patent/WO2017185692A1/zh
Priority to EP16900200.3A priority patent/EP3432532B1/en
Priority to JP2018556317A priority patent/JP6641029B2/ja
Publication of CN107317789A publication Critical patent/CN107317789A/zh
Priority to US16/171,235 priority patent/US20190068591A1/en
Application granted granted Critical
Publication of CN107317789B publication Critical patent/CN107317789B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0869—Network architectures or network communication protocols for network security for authentication of entities for achieving mutual authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0876—Network architectures or network communication protocols for network security for authentication of entities based on the identity of the terminal or configuration, e.g. MAC address, hardware or software configuration or device fingerprint
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0819—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s)
    • H04L9/0825—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s) using asymmetric-key encryption or public key infrastructure [PKI], e.g. key signature or public key certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0838—Key agreement, i.e. key establishment technique in which a shared key is derived by parties as a function of information contributed by, or associated with, each of these
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0861—Generation of secret information including derivation or calculation of cryptographic keys or passwords
    • H04L9/0869—Generation of secret information including derivation or calculation of cryptographic keys or passwords involving random numbers or seeds
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3236—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using cryptographic hash functions
    • H04L9/3242—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using cryptographic hash functions involving keyed hash functions, e.g. message authentication codes [MACs], CBC-MAC or HMAC
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/40—Network security protocols
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/50—Secure pairing of devices
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/06—Network architectures or network communication protocols for network security for supporting key management in a packet data network
    • H04L63/062—Network architectures or network communication protocols for network security for supporting key management in a packet data network for key distribution, e.g. centrally by trusted party
    • H04L63/064—Hierarchical key distribution, e.g. by multi-tier trusted parties

Abstract

本发明实施例提供一种密钥分发、认证方法，装置及系统，该方法包括：业务中心服务器接收用户管理服务器发送的第一密钥请求消息，根据第一密钥请求消息生成用户管理服务器的第一层密钥，并将第一层密钥发送给用户管理服务器；用户管理服务器根据第一层密钥生成终端设备的第二层密钥，并将终端设备的第二层密钥发送给终端设备以使得述终端设备根据第二层密钥与网络认证服务器进行相互认证。通过由业务中心服务器和用户管理服务器为各终端设备分发不同密钥，然后各终端设备基于各自密钥与网络认证中心进行相互认证，最终得到终端设备与功能网元的通信密钥，为终端设备提供了安全通信通道的建立方法，具有广泛的应用范围。

Description

密钥分发、认证方法，装置及系统
技术领域
本发明涉及通信领域，尤其涉及一种密钥分发、认证方法，装置及系统。
背景技术
随着通信网络技术的发展，越来越多的设备开始加入到网络中，并通过通信网络进行数据的发送和接收，如手机、电脑、无人机以及其他物联网设备等。也有越来越多的企业通过通信网络实现企业的管理中心与实现企业业务的各智能设备的通信，如电力公司、自来水公司或热力公司等。
为保证安全通信，智能设备与网络通常根据根密钥进行相互认证以建立安全通道，相互认证过程中所采用的根密钥由网络运营商提前配置或部署在智能设备与网络中。现有的认证方法均基于国际移动电信组织提出的认证与密钥协商协议(Authentication and Key Agreement，简称AKA)，但是基于AKA协议的认证方法需依赖存储在全球用户识别卡(Universal Subscriber IdentityModule，简称USIM)卡中的根密钥，即需要智能设备均支持USIM卡。
而接入网络中的大量的低成本物联网设备或企业的智能设备功能和结构简单，无法部署功能复杂的USIM卡，进而无法实现基于AKA协议的认证，无法应用现有的认证方法建立安全通信通道。因此现有的根密钥部署方法和认证方法无法应用到越来越多的不支持USIM卡的智能设备与网络的安全通信中，导致该些智能设备与网络进行通信的安全性无法收到保证。
发明内容
本发明实施例提供一种密钥分发、认证方法，装置及系统，用以解决现有根密钥部署、认证方法无法应用到不支持USIM卡的智能设备中的问题。
第一方面，本发明实施例提供一种密钥分发方法，包括：
用户管理服务器向业务中心服务器发送第一密钥请求消息，第一密钥请求消息用于指示业务中心服务器生成用户管理服务器的第一层密钥，第一密钥请求消息包含用户管理服务器的用户标识；接收业务中心服务器发送的用户管理服务器的第一层密钥；根据第一层密钥生成终端设备的第二层密钥，并将第二层密钥发送给终端设备，以使终端设备通过第二层密钥，与网络认证服务器进行相互认证以获取终端设备与功能网元的通信密钥。
用户管理服务器根据接收到的第一层密钥，为不同的终端设备生成并分发不同的第二层密钥，可解决现有根密钥部署、认证方法无法应用到不支持USIM卡的智能设备中的问题，还减轻了由业务中心服务器直接为不同的终端设备生成不同的第二层密钥的负担。
结合第一方面，在第一方面的第一种可能的实现方式中，生成第二层密钥的过程具体包括：用户管理服务器根据第一层密钥和第一参数集合，采用密钥生成函数生成终端设备的第二层密钥；
该方法还包括：用户管理服务器将第一参数集合发送给终端设备；
其中，第一参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数、第二层密钥的密钥随机数、第二层密钥的新鲜参数、第二层密钥的时间参数中的至少一种。
结合第一方面，在第一方面的第二种可能的实现方式中，第一层密钥为用户管理服务器的私钥，生成第二层密钥的过程具体包括：
用户管理服务器根据用户管理服务器的私钥和第一参数集合，生成终端设备的第二层密钥和终端设备的公钥，第二层密钥为与终端设备的公钥对应的终端设备的私钥；
该方法还包括：
用户管理服务器根据第一层密钥、终端设备的公钥，以及第一参数集合生成第一数字签名；并将终端设备的公钥、第一数字签名，以及第二参数集合发送给终端设备；
其中，第一参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数、第二层密钥的密钥随机数、第二层密钥的新鲜参数、第二层密钥的时间参数中的至少一种；
第二参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数中的至少一种。
结合第一方面，在第一方面的第三种可能的实现方式中，第一层密钥为用户管理服务器的私钥，生成第二层密钥的过程具体包括：
用户管理服务器根据用户管理服务器的私钥和终端设备的设备标识，基于设备身份生成算法生成终端设备的第二层密钥，第二层密钥为终端设备的私钥；
该方法还包括：
用户管理服务器将第二参数集合以及与终端设备的私钥对应的终端设备的公钥发送给终端设备；
其中，第二参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数中的至少一种。
结合第一方面，在第一方面的第四种可能的实现方式中，第一层密钥为用户管理服务器的私钥，生成第二层密钥的过程具体包括：
用户管理服务器根据用户管理服务器的私钥，采用隐私增强的密钥技术的生成算法生成终端设备的第二层密钥，第二层密钥为终端设备的私钥；
该方法还包括：
用户管理服务器接收业务中心服务器发送的用户管理服务器的公钥，并将用户管理服务器的公钥和第二参数集合发送给终端设备；
其中，第二参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数中的至少一种。
第二方面，本发明实施例提供一种密钥分发方法，包括：
业务中心服务器接收用户管理服务器发送的第一密钥请求消息，第一密钥请求消息用于指示业务中心服务器生成用户管理服务器的第一层密钥，第一密钥请求消息包含用户管理服务器的用户标识；根据第一密钥请求消息生成用户标识对应的用户管理服务器的第一层密钥，并将第一层密钥发送给用户管理服务器。
业务中心服务器为不同的用户管理服务器生成第一层密钥，即可解决现有根密钥部署、认证方法无法应用到不支持USIM卡的智能设备中的问题。
结合第二方面，在第二方面的第一种可能的实现方式中，生成第一层密钥的过程具体包括：业务中心服务器根据第三参数集合，采用密钥生成函数生成用户管理服务器的第一层密钥；
其中，第三参数集合包括第一层密钥的密钥随机数、第一层密钥的新鲜参数、第一层密钥的时间参数、共享密钥中的至少一种，共享密钥为用户管理服务器与业务中心服务器的共享密钥；
或者
业务中心服务器确定业务随机数，并将其作为用户管理服务器的第一层密钥。
结合第二方面，在第二方面的第二种可能的实现方式中，第一密钥请求消息中还包括用户管理服务器的网络标识、业务参数中的至少一种，生成第一层密钥的过程具体包括：业务中心服务器根据第四参数集合，采用密钥生成函数生成用户管理服务器的第一层密钥；
其中，第四参数集合包括用户管理服务器的用户标识、用户管理服务器的网络标识、业务参数、第一层密钥的密钥随机数、第一层密钥的新鲜参数、第一层密钥的时间参数、共享密钥中的至少一种，共享密钥为用户管理服务器与业务中心服务器的共享密钥。
结合第二方面，在第二方面的第三种可能的实现方式中，生成第一层密钥的过程具体包括：业务中心服务器根据用户管理服务器的用户标识，基于身份密码系统的密钥生成算法生成用户管理服务器的第一层密钥，第一层密钥为用户管理服务器的私钥。
结合第二方面，在第二方面的第四种可能的实现方式中，生成第一层密钥的过程具体包括：业务中心服务器根据用户管理服务器的用户标识和第五参数集合，基于身份密码系统的密钥生成算法生成用户管理服务器的第一层密钥，第一层密钥为用户管理服务器的私钥；
其中，第五参数集合包括如下中的至少一种：
第一层密钥的密钥随机数、第一层密钥的新鲜参数、第一层密钥的时间参数。
结合第二方面，在第二方面的第五种可能的实现方式中，生成第一层密钥的过程具体包括：业务中心服务器采用隐私增强的密钥技术生成用户管理服务器的私钥和用户管理服务器的公钥，其中用户管理服务器的私钥为用户管理服务器的第一层密钥；
该方法还包括：
业务中心服务器将用户管理服务器的公钥发送给用户管理服务器。
结合第二方面、第二方面的第一种、第二方面的第二种可能的实现方式中的任一种可能的实现方式，在第二方面的第六种可能的实现方式中，该方法还包括：业务中心服务器接收网络认证服务器发送的第二密钥请求消息，第二密钥请求消息包含用户管理服务器的用户标识；根据第二密钥请求消息中用户管理服务器的用户标识检索得到第一层密钥，或生成第一层密钥，并将第一层密钥发送给网络认证服务器，以使网络认证服务器根据第一层密钥生成终端设备的第二层密钥，并根据第二层密钥与终端设备进行相互认证。
结合第二方面、第二方面的第一种、第二方面的第二种可能的实现方式中的任一种可能的实现方式，在第二方面的第七种可能的实现方式中，该方法还包括：业务中心服务器接收网络认证服务器发送的第二密钥请求消息，第二密钥请求消息中包括第一参数集合；根据第一层密钥和第一参数集合，采用密钥生成函数生成终端设备的第二层密钥，并将第二层密钥发送给网络认证服务器以使得网络认证服务器根据第二层密钥与终端设备进行相互认证；
其中，第一参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数、第二层密钥的密钥随机数、第二层密钥的新鲜参数、第二层密钥的时间参数中的至少一种。
第三方面，本发明实施例提供一种密钥认证方法，包括：
终端设备接收用户管理服务器发送的终端设备的第二层密钥；根据第二层密钥，与网络认证服务器进行相互认证以获取终端设备与功能网元的通信密钥。
结合第三方面，在第三方面的第一种可能的实现方式中，终端设备还接收用户管理服务器发送的第一参数集合；相互认证过程具体包括：
终端设备确定第一随机数，采用第二层密钥对第一随机数进行加密处理，得到加密处理后的第一随机数，向网络认证服务器发送认证请求消息，认证请求消息包括第一参数集合和加密处理后的第一随机数；
终端设备接收网络认证服务器发送的加密处理后的第二随机数和第二消息验证码，根据第二层密钥对加密处理后的第二随机数进行解密，得到第二随机数，加密处理后的第二随机数为网络认证服务器采用第二层密钥对第二随机数加密处理得到；
终端设备在对第二消息验证码验证通过后，根据第二层密钥、第一随机数、第二随机数中的至少一项，以及第二参数集合采用密钥生成函数生成终端设备的通信密钥，根据通信密钥、第二层密钥中的任一项，以及第一随机数，第二随机数，第二参数集合生成第一消息验证码，并将第一消息验证码发送给网络认证服务器，以使网络认证服务器对第一消息验证码进行验证；
其中，第一参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数、第二层密钥的密钥随机数、第二层密钥的新鲜参数、第二层密钥的时间参数中的至少一种；
第二参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数中的至少一种。
结合第三方面，在第三方面的第二种可能的实现方式中，终端设备还接收用户管理服务器发送的第一参数集合；相互认证过程具体包括：
终端设备确定第一随机数，向网络认证服务器发送认证请求消息，认证请求消息包括第一参数集合和第一随机数；
终端设备接收网络认证服务器发送第二随机数和第二消息验证码；
终端设备在对第二消息验证码验证通过后，根据第一随机数、第二随机数、第二参数集合中的至少一项，以及第二层密钥，采用密钥生成函数生成终端设备的通信密钥，根据通信密钥、第二层密钥中的任一项，以及第一随机数，第二随机数，第二参数集合生成第一消息验证码，并将第一消息验证码，发送给网络认证服务器，以使网络认证服务器对第一消息验证码进行验证；
其中，第一参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数、第二层密钥的密钥随机数、第二层密钥的新鲜参数、第二层密钥的时间参数中的至少一种；
第二参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数中的至少一种。
结合第三方面，在第三方面的第三种可能的实现方式中，终端设备还接收用户管理服务器发送的第一参数集合；相互认证过程具体包括：
终端设备确定第一随机数，向网络认证服务器发送认证请求消息，认证请求消息包括第一参数集合和第一随机数；
终端设备接收网络认证服务器发送的第二随机数、第二消息验证码和加密处理后的通信密钥，根据第二层密钥对加密处理后的通信密钥进行解密，得到通信密钥，加密处理后的通信密钥为网络认证服务器采用第二层密钥对通信密钥加密处理得到；
终端设备在对第二消息验证码验证通过后，根据通信密钥、第二层密钥中的任一项，以及第一随机数，第二随机数，以及第二参数集合生成第一消息验证码，并将第一消息验证码，发送给网络认证服务器，以使网络认证服务器对第一消息验证码进行验证；
其中，第一参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数、第二层密钥的密钥随机数、第二层密钥的新鲜参数、第二层密钥的时间参数中的至少一种；
第二参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数中的至少一种。
结合第三方面，在第三方面的第四种可能的实现方式中，终端设备还接收用户管理服务器发送的第一参数集合；相互认证过程具体包括：
终端设备确定第一随机数、DH协议的第一传输参数，向网络认证服务器发送认证请求消息，认证请求消息包括第一随机数、第一传输参数和第一参数集合；
终端设备接收网络认证服务器发送的第二传输参数、第二随机数和第二消息验证码，根据第一传输参数和第二传输参数执行DH密钥协商算法得到第三传输参数；
终端设备在对第二消息验证码验证通过后，根据第一随机数、第二随机数、第二参数集合中的至少一项，以及第三传输参数，采用密钥生成函数生成终端设备的通信密钥，根据通信密钥、第二层密钥中的任一项，以及，第一随机数，第二随机数，第二参数集合，采用消息验证码生成函数生成第一消息验证码，并将第一消息验证码，发送给网络认证服务器，以使网络认证服务器对第一消息验证码进行验证；
其中，第一参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数、第二层密钥的密钥随机数、第二层密钥的新鲜参数、第二层密钥的时间参数中的至少一种；
第二参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数中的至少一种。
结合第三方面，在第三方面的第五种可能的实现方式中，终端设备还接收用户管理服务器发送的第一参数集合；相互认证过程具体包括：
终端设备确定第一随机数，采用第二层密钥对第一随机数进行加密处理，得到加密处理后的第一随机数，根据第二参数集合、第一随机数中的至少一项，以及第二层密钥采用消息验证码生成函数生成第一消息验证码，向网络认证服务器发送认证请求消息，认证请求消息包括第一消息验证码、加密处理后的第一随机数、第一参数集合；
终端设备接收网络认证服务器发送的第二消息验证码和加密处理后的第二随机数，根据第二层密钥对加密处理后的第二随机数进行解密，得到第二随机数，加密处理后的第二随机数为网络认证服务器采用第二层密钥对第二随机数加密处理得到；
终端设备在对第二消息验证码验证通过后，根据第二层密钥、第一随机数、第二随机数中的至少一项，以及第二参数集合，采用密钥生成函数生成终端设备的通信密钥；
其中，第一参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数、第二层密钥的密钥随机数、第二层密钥的新鲜参数、第二层密钥的时间参数中的至少一种；
第二参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数中的至少一种。
结合第三方面，在第三方面的第六种可能的实现方式中，终端设备还接收用户管理服务器发送的第一参数集合；相互认证过程具体包括：
终端设备确定第一随机数，根据第二参数集合、第一随机数中的至少一项，以及第二层密钥采用消息验证码生成函数生成第一消息验证码，向网络认证服务器发送认证请求消息，认证请求消息包括第一消息验证码、第一随机数、第一参数集合；
终端设备接收网络认证服务器发送的第二随机数和第二消息验证码；
终端设备在对第二消息验证码验证通过后，根据第一随机数、第二随机数、第二参数集合中的至少一项，以及第二层密钥采用密钥生成函数生成终端设备的通信密钥；
其中，第一参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数、第二层密钥的密钥随机数、第二层密钥的新鲜参数、第二层密钥的时间参数中的至少一种；
第二参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数中的至少一种。
结合第三方面，在第三方面的第七种可能的实现方式中，终端设备还接收用户管理服务器发送的第一参数集合；相互认证过程具体包括：
终端设备确定第一随机数，根据第二参数集合、第一随机数中的至少一项，以及第二层密钥采用消息验证码生成函数生成第一消息验证码，向网络认证服务器发送认证请求消息，认证请求消息包括第一消息验证码、第一随机数、第一参数集合；
终端设备接收网络认证服务器发送的第二随机数、第二消息验证码和加密处理后的通信密钥；
终端设备在根据第二随机数对第二消息验证码验证通过后，根据第二层密钥对加密处理后的通信密钥进行解密，得到通信密钥；
其中，第一参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数、第二层密钥的密钥随机数、第二层密钥的新鲜参数、第二层密钥的时间参数中的至少一种；
第二参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数中的至少一种。
结合第三方面，在第三方面的第八种可能的实现方式中，终端设备还接收用户管理服务器发送的第一参数集合；相互认证过程具体包括：
终端设备确定第一随机数，采用第二层密钥对第一随机数进行加密处理，得到加密处理后的第一随机数，根据第二层密钥、第一随机数中的至少一项，以及第二参数集合采用密钥生成函数生成终端设备的通信密钥，根据第二层密钥、通信密钥中的任一项，以及第二参数集合、第一随机数中的至少一项，采用消息验证码生成函数生成第一消息验证码，向网络认证服务器发送认证请求消息，认证请求消息包括第一消息验证码、加密处理后的第一随机数、第一参数集合；
终端设备接收网络认证服务器发送的第二消息验证码和加密处理后的第二随机数，根据第二层密钥对加密处理后的第二随机数进行解密，得到第二随机数，加密处理后的第二随机数为网络认证服务器采用第二层密钥对第二随机数加密处理得到，根据第二随机数对第二消息验证码进行验证并确定通过；
其中，第一参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数、第二层密钥的密钥随机数、第二层密钥的新鲜参数、第二层密钥的时间参数中的至少一种；
第二参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数中的至少一种。
结合第三方面，在第三方面的第九种可能的实现方式中，终端设备还接收用户管理服务器发送的第一参数集合；相互认证过程具体包括：
终端设备确定第一随机数，根据第一随机数、第二参数集合中的至少一项，以及第二层密钥采用密钥生成函数生成终端设备的通信密钥，根据第二层密钥、通信密钥中的任一项，以及第二参数集合、第一随机数中的至少一项，采用消息验证码生成函数生成第一消息验证码，向网络认证服务器发送认证请求消息，认证请求消息包括第一消息验证码、第一随机数、第一参数集合；
终端设备接收网络认证服务器发送的第二随机数和第二消息验证码，对第二消息验证码进行验证并确定通过；
其中，第一参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数、第二层密钥的密钥随机数、第二层密钥的新鲜参数、第二层密钥的时间参数中的至少一种；
第二参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数中的至少一种。
结合第三方面，在第三方面的第十种可能的实现方式中，终端设备还接收用户管理服务器发送的第一参数集合；相互认证过程具体包括：
终端设备确定第一随机数、DH协议的第一传输参数，根据第二层密钥、第一随机数和第二参数集合，采用消息验证码生成函数生成第一消息验证码，向网络认证服务器发送认证请求消息，认证请求消息包括第一随机数、第一传输参数、第一消息验证码、第一参数集合；
终端设备接收网络认证服务器发送的第二传输参数、第二随机数和第二消息验证码，根据第一传输参数和第二传输参数执行DH密钥协商算法得到第三传输参数；
终端设备在对第二消息验证码验证通过后，根据第一随机数、第二随机数、第二参数集合中的至少一项，以及第三传输参数采用密钥生成函数生成终端设备的通信密钥；
其中，第一参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数、第二层密钥的密钥随机数、第二层密钥的新鲜参数、第二层密钥的时间参数中的至少一种；
第二参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数中的至少一种。
结合第三方面，在第三方面的第十一种可能的实现方式中，终端设备还接收用户管理服务器发送的终端设备的公钥、第一数字签名，以及第二参数集合；相互认证过程具体包括：
终端设备确定第一随机数，采用网络认证服务器的公钥对第一随机数进行加密处理，得到加密处理后的第一随机数，向网络认证服务器发送认证请求消息，认证请求消息包括终端设备的公钥、第一数字签名、加密处理后的第一随机数，以及第二参数集合；
终端设备接收网络认证服务器发送的加密处理后的第二随机数和第二数字签名，根据终端设备的第二层密钥对加密处理后的第二随机数进行解密，得到第二随机数，加密处理后的第二随机数为网络认证服务器采用终端设备的公钥对第二随机数加密处理得到；
终端设备在对第二数字签名验证通过后，根据第一随机数、第二随机数中的至少一项，以及第二参数集合采用密钥生成函数生成终端设备的通信密钥，根据通信密钥、第一随机数、第二随机数和第二参数集合生成第一消息验证码，或者根据第二层密钥、第一随机数、第二随机数和第二参数集合生成第三数字签名，将第一消息验证码或第三数字签名发送给网络认证服务器，以使网络认证服务器对第一消息验证码或第三数字签名进行验证；
其中，第二参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数中的至少一种。
结合第三方面，在第三方面的第十二种可能的实现方式中，终端设备还接收用户管理服务器发送的终端设备的公钥和第二参数集合；相互认证过程具体包括：
终端设备确定第一随机数，采用网络认证服务器的公钥对第一随机数进行加密处理，得到加密处理后的第一随机数，向网络认证服务器发送认证请求消息，认证请求消息包括终端设备的公钥、加密处理后的第一随机数，以及第二参数集合；
终端设备接收网络认证服务器发送的加密处理后的第二随机数和第二数字签名，根据终端设备的第二层密钥对加密处理后的第二随机数进行解密，得到第二随机数，加密处理后的第二随机数为网络认证服务器采用终端设备的公钥对第二随机数加密处理得到；
终端设备在对第二数字签名验证通过后，根据第一随机数、第二随机数中的至少一项，以及第二参数集合采用密钥生成函数生成终端设备的通信密钥，根据通信密钥、第一随机数、第二随机数和第二参数集合生成第一消息验证码，或者根据第二层密钥、第一随机数、第二随机数和第二参数集合生成第三数字签名，将第一消息验证码或第三数字签名发送给网络认证服务器，以使网络认证服务器对第一消息验证码或第三数字签名进行验证；
其中，第二参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数中的至少一种。
结合第三方面，在第三方面的第十三种可能的实现方式中，终端设备还接收用户管理服务器发送的用户管理服务器的公钥和第二参数集合，用户管理服务器的公钥为与终端设备的第二层密钥对应的终端设备的公钥；相互认证过程具体包括：
终端设备确定第一随机数、DH协议的第一传输参数，向网络认证服务器发送认证请求消息，认证请求消息包括终端设备的公钥、第一随机数、第一传输参数和第二参数集合；
终端设备接收网络认证服务器发送的第二传输参数、第二随机数和第二数字签名，根据第一传输参数和第二传输参数执行DH密钥协商算法得到第三传输参数；
终端设备在对第二数字签名验证通过后，根据第一随机数、第二随机数、第二参数集合中的至少一项，以及第三传输参数采用密钥生成函数生成终端设备的通信密钥，根据第一随机数、第二随机数、第二参数集合中的至少一项，以及通信密钥，第一传输参数，第二传输参数，采用消息验证码生成函数生成第一消息验证码，或者根据第一随机数、第二随机数、第二参数集合中的至少一项，以及第二层密钥，第一传输参数，第二传输参数，生成第三数字签名，将第一消息验证码或第三数字签名，发送给网络认证服务器，以使网络认证服务器对第一消息验证码或第三数字签名进行验证；
其中，第二参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数中的至少一种。
结合第三方面的第十一种至第十三种可能的实现方式中的任一种可能的实现方式，在第三方面的第十四种可能的实现方式中，终端设备还向网络认证服务器发送公钥请求消息；接收网络认证服务器发送的网络认证服务器的公钥。
结合第三方面、第三方面的第一种至第十四种中任一种可能的实现方式，在第三方面的第十五种可能的实现方式中，该方法还包括：网络认证服务器进行相互认证，根据通信密钥、第二参数集合、会话密钥随机数、会话密钥新鲜参数、会话密钥的预设时间参数中的任一项，采用密钥生成函数生成终端设备的会话密钥。
下面第四方面和第五方面提供一种密钥认证方法，与上述第三方面提供的密钥认证方法进行交互，为对称侧方法，具有相对应的技术特征和技术效果，本发明实施例对此不再赘述。
第四方面，本发明实施例提供一种密钥认证方法，包括：
网络认证服务器接收终端设备发送的认证请求消息，认证请求消息包括第一参数集合，向业务中心服务器发送第二密钥请求消息，接收业务中心服务器发送的第二层密钥，第二密钥请求消息包括第一参数集合；或者网络认证服务器接收终端设备发送的认证请求消息，认证请求消息包括第一参数集合，向业务中心服务器发送第二密钥请求消息，接收业务中心服务器发送的第一层密钥，网络认证服务器根据第一层密钥和第一参数集合，采用密钥生成函数生成终端设备的第二层密钥；
网络认证服务器根据第二层密钥，与终端设备进行相互认证以获得终端设备与功能网元的通信密钥；
其中，第一参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数、第二层密钥的密钥随机数、第二层密钥的新鲜参数、第二层密钥的时间参数中的至少一种。
结合第四方面，在第四方面的第一种可能的实现方式中，认证请求消息还包括加密处理后的第一随机数，相互认证过程具体包括：
网络认证服务器根据第二层密钥对加密处理后的第一随机数进行解密，得到第一随机数，确定第二随机数，采用第二层密钥对第二随机数进行加密处理，得到加密处理后的第二随机数，加密处理后的第一随机数为终端设备采用第二层密钥对第一随机数加密处理得到；
网络认证服务器根据第二层密钥、第一随机数、第二随机数中的至少一项，以及第二参数集合，采用密钥生成函数生成网络认证服务器的通信密钥，根据通信密钥、第二层密钥中的任一项，以及第一随机数，第二随机数，第二参数集合生成第二消息验证码，将加密处理后的第二随机数、第二消息验证码，发送给终端设备；
网络认证服务器接收终端设备发送的第一消息验证码，在对第一消息验证码验证通过后，向功能网元发送通信密钥；
其中，第二参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数中的至少一种。
结合第四方面，在第四方面的第二种可能的实现方式中，认证请求消息还包括第一随机数，相互认证过程具体包括：
网络认证服务器确定第二随机数，根据第一随机数、第二随机数、第二参数集合中的至少一项，以及第二层密钥，采用密钥生成函数生成网络认证服务器的通信密钥，根据通信密钥、第二层密钥中的任一项，以及第一随机数，第二随机数，第二参数集合生成第二消息验证码，并将第二随机数、第二消息验证码，发送给终端设备；
网络认证服务器接收终端设备发送的第一消息验证码，在对第一消息验证码验证通过后，向功能网元发送通信密钥；
其中，第二参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数中的至少一种。
结合第四方面，在第四方面的第三种可能的实现方式中，认证请求消息还包括第一随机数，相互认证过程具体包括：
网络认证服务器确定第二随机数，根据密钥随机数生成网络认证服务器的通信密钥，采用第二层密钥对通信密钥进行加密处理，得到加密处理后的通信密钥，根据通信密钥、第二层密钥中的任一项，以及第一随机数，第二随机数，第二参数集合生成第二消息验证码，并将第二随机数、加密处理后的通信密钥和第二消息验证码，发送给终端设备；
网络认证服务器接收终端设备发送的第一消息验证码，在对第一消息验证码验证通过后，向功能网元发送通信密钥；
其中，第二参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数中的至少一种。
结合第四方面，在第四方面的第四种可能的实现方式中，认证请求消息还包括第一传输参数和第一随机数，相互认证过程具体包括：
网络认证服务器确定第二随机数、DH协议的第二传输参数，根据第一传输参数和第二传输参数执行DH密钥协商算法得到第三传输参数；
网络认证服务器根据第一随机数、第二随机数、第二参数集合中的至少一项，以及第三传输参数，采用密钥生成函数生成网络认证服务器的通信密钥，根据通信密钥、第二层密钥中的任一项，以及，第一传输参数，第二传输参数，第二参数集合生成第二消息验证码，将第二随机数和第二消息验证码，发送给终端设备；
网络认证服务器接收终端设备发送的第一消息验证码，在对第一消息验证码验证通过后，向功能网元发送通信密钥；
其中，第二参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数中的至少一种。
结合第四方面，在第四方面的第五种可能的实现方式中，认证请求消息还包括第一消息验证码和加密处理后的第一随机数，相互认证过程具体包括：
网络认证服务器根据第二层密钥对加密处理后的第一随机数进行解密，得到第一随机数，确定第二随机数，采用第二层密钥对第二随机数进行加密处理，得到加密处理后的第二随机数，加密处理后的第一随机数为终端设备采用第二层密钥对第一随机数加密处理得到；
网络认证服务器在对第一消息验证码验证通过后，根据第二层密钥、第一随机数、第二随机数中的至少一项，以及第二参数集合，采用密钥生成函数生成网络认证服务器的通信密钥，根据通信密钥、第二层密钥中的任一项，以及，第一随机数、第二随机数、第二参数集合中的至少一项生成第二消息验证码，将加密处理后的第二随机数、第二消息验证码，发送给终端设备，并向功能网元发送通信密钥；
其中，第二参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数中的至少一种。
结合第四方面，在第四方面的第六种可能的实现方式中，认证请求消息还包括第一消息验证码和第一随机数，相互认证过程具体包括：
网络认证服务器确定第二随机数，在对第一消息验证码验证通过后，根据第一随机数、第二随机数、第二参数集合中的至少一项，以及第二层密钥，采用密钥生成函数生成网络认证服务器的通信密钥，根据通信密钥、第二层密钥中的任一项，以及，第一随机数、第二随机数、第二参数集合中的至少一项生成第二消息验证码，将加密处理后的第二随机数、第二消息验证码，发送给终端设备，并向功能网元发送通信密钥；
其中，第二参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数中的至少一种。
结合第四方面，在第四方面的第七种可能的实现方式中，认证请求消息还包括第一消息验证码和第一随机数，相互认证过程具体包括：
网络认证服务器确定第二随机数，在对第一消息验证码验证通过后，根据密钥随机数生成网络认证服务器的通信密钥，采用第二层密钥对通信密钥进行加密处理，得到加密处理后的通信密钥，根据通信密钥、第二层密钥中的任一项，以及，第一随机数、第二随机数、第二参数集合中的至少一项生成第二消息验证码，将第二随机数、加密处理后的通信密钥和第二消息验证码，发送给终端设备，并向功能网元发送通信密钥；
其中，第二参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数中的至少一种。
结合第四方面，在第四方面的第八种可能的实现方式中，认证请求消息还包括第一消息验证码和加密处理后的第一随机数，相互认证过程具体包括：
网络认证服务器根据第二层密钥对加密处理后的第一随机数进行解密，得到第一随机数，确定第二随机数，采用第二层密钥对第二随机数进行加密处理，得到加密处理后的第二随机数，加密处理后的第一随机数为终端设备采用第二层密钥对第一随机数加密处理得到；
网络认证服务器在对第一消息验证码验证通过后，根据第二层密钥、第一随机数中的至少一项，以及第二参数集合，采用密钥生成函数生成终端设备的通信密钥，根据通信密钥、第二层密钥中的任一项，以及，第一随机数、第二随机数、第二参数集合中的至少一项生成第二消息验证码，将加密处理后的第二随机数、第二消息验证码，发送给终端设备，并向功能网元发送通信密钥；
其中，第二参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数中的至少一种。
结合第四方面，在第四方面的第九种可能的实现方式中，认证请求消息还包括第一消息验证码和第一随机数，相互认证过程具体包括：
网络认证服务器确定第二随机数，在对第一消息验证码验证通过后，根据第一随机数、第二参数集合中的至少一项，以及第二层密钥采用密钥生成函数生成终端设备的通信密钥，根据通信密钥、第二层密钥中的任一项，以及，第一随机数、第二随机数、第二参数集合中的至少一项生成第二消息验证码，将第二随机数、第二消息验证码，发送给终端设备，并向功能网元发送通信密钥；
其中，第二参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数中的至少一种。
结合第四方面，在第四方面的第十种可能的实现方式中，认证请求消息还包括第一消息验证码、第一传输参数和第一随机数，相互认证过程具体包括：
网络认证服务器确定第二随机数、DH协议的第二传输参数，根据第一传输参数和第二传输参数执行DH密钥协商算法得到第三传输参数；
网络认证服务器在对第一消息验证码验证通过后，根据第一随机数、第二随机数、第二参数集合中的至少一项，以及第三传输参数采用密钥生成函数生成网络认证服务器的通信密钥，根据通信密钥、第二层密钥中的任一项，以及，第一随机数、第二随机数、第一传输参数、第二传输参数、第二参数集合中的任一项生成第二消息验证码，将第二随机数和第二消息验证码，发送给终端设备，并向功能网元发送通信密钥；
其中，第二参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数中的至少一种。
结合第四方面、第四方面的第一种至第十种中任一种可能的实现方式，在第四方面的第十一种可能的实现方式中，该方法还包括：网络认证服务器和终端设备进行相互认证，根据通信密钥、第二参数集合、会话密钥随机数、会话密钥新鲜参数、会话密钥的预设时间参数中的任一项，采用密钥生成函数生成网络认证服务器的会话密钥，并将会话密钥发送给功能网元。
第五方面，本发明实施例提供一种密钥认证方法，包括：
网络认证服务器接收终端设备发送的认证请求消息，认证请求消息包括终端设备的公钥，根据终端设备的公钥、网络认证服务器的公钥和网络认证服务器的私钥，与终端设备进行相互认证以获得终端设备与功能网元的通信密钥。
结合第五方面，在第五方面的第一种可能的实现方式中，认证请求消息还包括第一数字签名、加密处理后的第一随机数和第二参数集合；相互认证过程具体包括：
网络认证服务器根据网络认证服务器的私钥对加密处理后的第一随机数进行解密，得到第一随机数，确定第二随机数，采用终端设备的公钥对第二随机数进行加密处理，得到加密处理后的第二随机数，加密处理后的第一随机数为终端设备采用网络认证服务器的公钥对第一随机数加密处理得到；
网络认证服务器在对第一数字签名验证通过后，根据第一随机数、第二随机数中的至少一项，以及第二参数集合，采用密钥生成函数生成网络认证服务器的通信密钥，根据网络认证服务器的私钥、第一随机数、第二随机数和第二参数集合生成第二数字签名，将第二数字签名和加密处理后的第二随机数，发送给终端设备；
网络认证服务器接收终端设备发送的第一消息验证码或第三数字签名，在对第一消息验证码或第三数字签名验证通过后，向功能网元发送通信密钥；
其中，第二参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数中的至少一种。
结合第五方面，在第五方面的第二种可能的实现方式中，认证请求消息还包括加密处理后的第一随机数和第二参数集合；相互认证过程具体包括：
网络认证服务器根据网络认证服务器的私钥对加密处理后的第一随机数进行解密，得到第一随机数，确定第二随机数，采用终端设备的公钥对第二随机数进行加密处理，得到加密处理后的第二随机数，加密处理后的第一随机数为终端设备采用网络认证服务器的公钥对第一随机数加密处理得到；
网络认证服务器根据第一随机数、第二随机数中的至少一项，以及第二参数集合，采用密钥生成函数生成网络认证服务器的通信密钥，根据网络认证服务器的私钥、第一随机数、第二随机数和第二参数集合生成第二数字签名，将加密处理后的第二随机数、第二数字签名，发送给设备终端；
网络认证服务器接收终端设备发送的第一消息验证码或第三数字签名，在对第一消息验证码或第三数字签名验证通过后，向功能网元发送通信密钥；
其中，第二参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数中的至少一种。
结合第五方面，在第五方面的第三种可能的实现方式中，认证请求消息还包括第一随机数、第一传输参数和第二参数集合；相互认证过程具体包括：
网络认证服务器确定第二随机数、DH协议的第二传输参数，根据第一传输参数和第二传输参数执行DH密钥协商算法得到第三传输参数；
网络认证服务器根据第一随机数、第二随机数、第二参数集合中的至少一项，以及第三传输参数采用密钥生成函数生成网络认证服务器的通信密钥，根据第一随机数、第二随机数、第二参数集合中的至少一项，以及网络认证服务器的私钥，第一传输参数，第二传输参数，生成第二数字签名，将第二随机数、第二传输参数和第二数字签名，发送给终端设备；
网络认证服务器接收终端设备发送的第一消息验证码或第三数字签名，在对第一消息验证码验证通过后，或根据终端设备的公钥对第三数字签名验证通过后，向功能网元发送通信密钥；
其中，第二参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数中的至少一种。
结合第五方面、第五方面的第一种至第三种可能的实现方式中的任一种可能的实现方式，在第五方面的第四种可能的实现方式中，网络认证服务器还接收终端设备发送的公钥请求消息；向终端设备发送网络认证服务器的公钥。
结合第五方面、第五方面的第一种至第四种中任一种可能的实现方式，在第五方面的第五种可能的实现方式中，该方法还包括：网络认证服务器和终端设备进行相互认证，根据通信密钥、第二参数集合、会话密钥随机数、会话密钥新鲜参数、会话密钥的预设时间参数中的任一项，采用密钥生成函数生成网络认证服务器的会话密钥，并将会话密钥发送给功能网元。
下面介绍本发明实施例提供的一种密钥分发、认证装置，该装置与上述方法一一对应，用以实现上述实施例中的密钥分发、认证方法，具有相同的技术特征和技术效果，本发明实施例对此不再赘述。
第六方面，本发明实施例提供一种用户管理服务器，包括：
请求发送模块，用于向业务中心服务器发送第一密钥请求消息，第一密钥请求消息用于指示业务中心服务器生成用户管理服务器的第一层密钥，第一密钥请求消息包含用户管理服务器的用户标识；
密钥接收模块，用于接收业务中心服务器发送的用户管理服务器的第一层密钥；
密钥生成分发模块，用于根据第一层密钥生成终端设备的第二层密钥，并将第二层密钥发送给终端设备，以使终端设备通过第二层密钥，与网络认证服务器进行相互认证以获取终端设备与功能网元的通信密钥。
结合第六方面，在第六方面的第一种可能的实现方式中，密钥生成分发模块具体用于：
根据第一层密钥和第一参数集合，采用密钥生成函数生成终端设备的第二层密钥，并将第二层密钥和第一参数集合发送给终端设备，以使终端设备通过第二层密钥，与网络认证服务器进行相互认证获取终端设备与功能网元的通信密钥；
其中，第一参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数、第二层密钥的密钥随机数、第二层密钥的新鲜参数、第二层密钥的时间参数中的至少一种。
结合第六方面，在第六方面的第二种可能的实现方式中，第一层密钥为用户管理服务器的私钥，密钥生成分发模块具体用于：
根据用户管理服务器的私钥和第一参数集合，生成终端设备的第二层密钥和终端设备的公钥，第二层密钥为与终端设备的公钥对应的终端设备的私钥；
根据第一层密钥、终端设备的公钥，以及第一参数集合生成第一数字签名；
将终端设备的公钥、第二层密钥、第一数字签名，以及第二参数集合发送给终端设备，以使终端设备通过第二层密钥，与网络认证服务器进行相互认证获取终端设备与功能网元的通信密钥；
其中，第一参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数、第二层密钥的密钥随机数、第二层密钥的新鲜参数、第二层密钥的时间参数中的至少一种；
第二参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数中的至少一种。
结合第六方面，在第六方面的第三种可能的实现方式中，第一层密钥为用户管理服务器的私钥，密钥生成分发模块具体用于：
根据用户管理服务器的私钥和终端设备的设备标识，基于设备身份生成算法生成终端设备的第二层密钥，第二层密钥为终端设备的私钥；
将第二参数集合、第二层密钥以及与终端设备的私钥对应的终端设备的公钥发送给终端设备，以使终端设备通过第二层密钥，与网络认证服务器进行相互认证获取终端设备与功能网元的通信密钥；
其中，第二参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数中的至少一种。
结合第六方面，在第六方面的第四种可能的实现方式中，第一层密钥为用户管理服务器的私钥，密钥接收模块还用于接收业务中心服务器发送的用户管理服务器的公钥；密钥生成分发模块具体用于：
根据用户管理服务器的私钥，采用隐私增强的密钥技术的生成算法生成终端设备的第二层密钥，第二层密钥为终端设备的私钥；
将用户管理服务器的公钥、第二层密钥、和第二参数集合发送给终端设备，以使终端设备通过第二层密钥，与网络认证服务器进行相互认证获取终端设备与功能网元的通信密钥；
其中，第二参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数中的至少一种。
第七方面，本发明实施例提供一种业务中心服务器，包括：
密钥请求接收模块，用于接收用户管理服务器发送的第一密钥请求消息，第一密钥请求消息用于指示业务中心服务器生成用户管理服务器的第一层密钥，第一密钥请求消息包含用户管理服务器的用户标识；
密钥生成分发模块，用于根据第一密钥请求消息生成用户标识对应的用户管理服务器的第一层密钥，并将第一层密钥发送给用户管理服务器。
结合第七方面，在第七方面的第一种可能的实现方式中，密钥生成分发模块具体用于：
根据第三参数集合，采用密钥生成函数生成用户管理服务器的第一层密钥，并将第一层密钥发送给用户管理服务器；
其中，第三参数集合包括第一层密钥的密钥随机数、第一层密钥的新鲜参数、第一层密钥的时间参数、共享密钥中的至少一种，共享密钥为用户管理服务器与业务中心服务器的共享密钥；
或者
确定业务随机数，并将其作为用户管理服务器的第一层密钥，将第一层密钥发送给用户管理服务器。
结合第七方面，在第七方面的第二种可能的实现方式中，第一密钥请求消息中还包括用户管理服务器的网络标识、业务参数中的至少一种，密钥生成分发模块具体用于：根据第四参数集合，采用密钥生成函数生成用户管理服务器的第一层密钥，并将第一层密钥发送给用户管理服务器；
其中，第四参数集合包括用户管理服务器的用户标识、用户管理服务器的网络标识、业务参数、第一层密钥的密钥随机数、第一层密钥的新鲜参数、第一层密钥的时间参数、共享密钥中的至少一种，共享密钥为用户管理服务器与业务中心服务器的共享密钥。
结合第七方面，在第七方面的第三种可能的实现方式中，密钥生成分发模块具体用于：
根据用户管理服务器的用户标识，基于身份密码系统的密钥生成算法生成用户管理服务器的第一层密钥，并将第一层密钥发送给用户管理服务器，第一层密钥为用户管理服务器的私钥。
结合第七方面，在第七方面的第四种可能的实现方式中，密钥生成分发模块具体用于：根据用户管理服务器的用户标识和第五参数集合，基于身份密码系统的密钥生成算法生成用户管理服务器的第一层密钥，并将第一层密钥发送给用户管理服务器，第一层密钥为用户管理服务器的私钥；
其中，第五参数集合包括如下中的至少一种：
第一层密钥的密钥随机数、第一层密钥的新鲜参数、第一层密钥的时间参数。
结合第七方面，在第七方面的第五种可能的实现方式中，密钥生成分发模块具体用于：
采用隐私增强的密钥技术生成用户管理服务器的私钥和用户管理服务器的公钥，其中用户管理服务器的私钥为用户管理服务器的第一层密钥，并将第一层密钥和用户管理服务器的公钥发送给用户管理服务器。
结合第七方面、第七方面的第一种、第七方面的第二种中任一种可能的实现方式，在第七方面的第六种可能的实现方式中，密钥请求接收模块还用于，接收网络认证服务器发送的第二密钥请求消息，第二密钥请求消息包含用户管理服务器的用户标识；
密钥生成分发模块还用于，根据第二密钥请求消息中用户管理服务器的用户标识检索得到第一层密钥，或生成第一层密钥，并将第一层密钥发送给网络认证服务器，以使网络认证服务器根据第一层密钥生成终端设备的第二层密钥，并根据第二层密钥与终端设备进行相互认证。
结合第七方面、第七方面的第一种、第七方面的第二种中任一种可能的实现方式，在第七方面的第七种可能的实现方式中，密钥请求接收模块还用于，接收网络认证服务器发送的第二密钥请求消息，第二密钥请求消息中包括第一参数集合；
密钥生成分发模块还用于，根据第一层密钥和第一参数集合，采用密钥生成函数生成终端设备的第二层密钥，并将第二层密钥发送给网络认证服务器以使得网络认证服务器根据第二层密钥与终端设备进行相互认证；
其中，第一参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数、第二层密钥的密钥随机数、第二层密钥的新鲜参数、第二层密钥的时间参数中的至少一种。
第八方面，本发明实施例提供一种终端设备，包括：
密钥接收模块，用于接收用户管理服务器发送的终端设备的第二层密钥；
认证模块，用于根据第二层密钥，与网络认证服务器进行相互认证以获取终端设备与功能网元的通信密钥。
结合第八方面，在第八方面的第一种可能的实现方式中，密钥接收模块还用于，接收用户管理服务器发送的第一参数集合；认证模块具体用于：
确定第一随机数，采用第二层密钥对第一随机数进行加密处理，得到加密处理后的第一随机数，向网络认证服务器发送认证请求消息，认证请求消息包括第一参数集合和加密处理后的第一随机数；
接收网络认证服务器发送的加密处理后的第二随机数和第二消息验证码，根据第二层密钥对加密处理后的第二随机数进行解密，得到第二随机数，加密处理后的第二随机数为网络认证服务器采用第二层密钥对第二随机数加密处理得到；
在对第二消息验证码验证通过后，根据第二层密钥、第一随机数、第二随机数中的至少一项，以及第二参数集合采用密钥生成函数生成终端设备的通信密钥，根据通信密钥、第二层密钥中的任一项，以及第一随机数，第二随机数，第二参数集合生成第一消息验证码，并将第一消息验证码发送给网络认证服务器，以使网络认证服务器对第一消息验证码进行验证；
其中，第一参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数、第二层密钥的密钥随机数、第二层密钥的新鲜参数、第二层密钥的时间参数中的至少一种；
第二参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数中的至少一种。
结合第八方面，在第八方面的第二种可能的实现方式中，密钥接收模块还用于，接收用户管理服务器发送的第一参数集合；认证模块具体用于：
确定第一随机数，向网络认证服务器发送认证请求消息，认证请求消息包括第一参数集合和第一随机数；
接收网络认证服务器发送第二随机数和第二消息验证码；
在对第二消息验证码验证通过后，根据第一随机数、第二随机数、第二参数集合中的至少一项，以及第二层密钥，采用密钥生成函数生成终端设备的通信密钥，根据通信密钥、第二层密钥中的任一项，以及第一随机数，第二随机数，第二参数集合生成第一消息验证码，并将第一消息验证码，发送给网络认证服务器，以使网络认证服务器对第一消息验证码进行验证；
其中，第一参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数、第二层密钥的密钥随机数、第二层密钥的新鲜参数、第二层密钥的时间参数中的至少一种；
第二参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数中的至少一种。
结合第八方面，在第八方面的第三种可能的实现方式中，密钥接收模块还用于，接收用户管理服务器发送的第一参数集合；认证模块具体用于：
确定第一随机数，向网络认证服务器发送认证请求消息，认证请求消息包括第一参数集合和第一随机数；
接收网络认证服务器发送的第二随机数、第二消息验证码和加密处理后的通信密钥，根据第二层密钥对加密处理后的通信密钥进行解密，得到通信密钥，加密处理后的通信密钥为网络认证服务器采用第二层密钥对通信密钥加密处理得到；
在对第二消息验证码验证通过后，根据通信密钥、第二层密钥中的任一项，以及第一随机数，第二随机数，以及第二参数集合生成第一消息验证码，并将第一消息验证码，发送给网络认证服务器，以使网络认证服务器对第一消息验证码进行验证；
其中，第一参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数、第二层密钥的密钥随机数、第二层密钥的新鲜参数、第二层密钥的时间参数中的至少一种；
第二参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数中的至少一种。
结合第八方面，在第八方面的第四种可能的实现方式中，密钥接收模块还用于，接收用户管理服务器发送的第一参数集合；认证模块具体用于：
确定第一随机数、DH协议的第一传输参数，向网络认证服务器发送认证请求消息，认证请求消息包括第一随机数、第一传输参数和第一参数集合；
接收网络认证服务器发送的第二传输参数、第二随机数和第二消息验证码，根据第一传输参数和第二传输参数执行DH密钥协商算法得到第三传输参数；
在对第二消息验证码验证通过后，根据第一随机数、第二随机数、第二参数集合中的至少一项，以及第三传输参数，采用密钥生成函数生成终端设备的通信密钥，根据通信密钥、第二层密钥中的任一项，以及，第一随机数，第二随机数，第二参数集合，采用消息验证码生成函数生成第一消息验证码，并将第一消息验证码，发送给网络认证服务器，以使网络认证服务器对第一消息验证码进行验证；
其中，第一参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数、第二层密钥的密钥随机数、第二层密钥的新鲜参数、第二层密钥的时间参数中的至少一种；
第二参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数中的至少一种。
结合第八方面，在第八方面的第五种可能的实现方式中，密钥接收模块还用于，接收用户管理服务器发送的第一参数集合；认证模块具体用于：
确定第一随机数，采用第二层密钥对第一随机数进行加密处理，得到加密处理后的第一随机数，根据第二参数集合、第一随机数中的至少一项，以及第二层密钥采用消息验证码生成函数生成第一消息验证码，向网络认证服务器发送认证请求消息，认证请求消息包括第一消息验证码、加密处理后的第一随机数、第一参数集合；
接收网络认证服务器发送的第二消息验证码和加密处理后的第二随机数，根据第二层密钥对加密处理后的第二随机数进行解密，得到第二随机数，加密处理后的第二随机数为网络认证服务器采用第二层密钥对第二随机数加密处理得到；
在对第二消息验证码验证通过后，根据第二层密钥、第一随机数、第二随机数中的至少一项，以及第二参数集合，采用密钥生成函数生成终端设备的通信密钥；
其中，第一参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数、第二层密钥的密钥随机数、第二层密钥的新鲜参数、第二层密钥的时间参数中的至少一种；
第二参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数中的至少一种。
结合第八方面，在第八方面的第六种可能的实现方式中，密钥接收模块还用于，接收用户管理服务器发送的第一参数集合；认证模块具体用于：
确定第一随机数，根据第二参数集合、第一随机数中的至少一项，以及第二层密钥采用消息验证码生成函数生成第一消息验证码，向网络认证服务器发送认证请求消息，认证请求消息包括第一消息验证码、第一随机数、第一参数集合；
备接收网络认证服务器发送的第二随机数和第二消息验证码；
在对第二消息验证码验证通过后，根据第一随机数、第二随机数、第二参数集合中的至少一项，以及第二层密钥采用密钥生成函数生成终端设备的通信密钥；
其中，第一参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数、第二层密钥的密钥随机数、第二层密钥的新鲜参数、第二层密钥的时间参数中的至少一种；
第二参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数中的至少一种。
结合第八方面，在第八方面的第七种可能的实现方式中，密钥接收模块还用于，接收用户管理服务器发送的第一参数集合；认证模块具体用于：
确定第一随机数，根据第二参数集合、第一随机数中的至少一项，以及第二层密钥采用消息验证码生成函数生成第一消息验证码，向网络认证服务器发送认证请求消息，认证请求消息包括第一消息验证码、第一随机数、第一参数集合；
接收网络认证服务器发送的第二随机数、第二消息验证码和加密处理后的通信密钥；
在根据第二随机数对第二消息验证码验证通过后，根据第二层密钥对加密处理后的通信密钥进行解密，得到通信密钥；
其中，第一参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数、第二层密钥的密钥随机数、第二层密钥的新鲜参数、第二层密钥的时间参数中的至少一种；
第二参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数中的至少一种。
结合第八方面，在第八方面的第八种可能的实现方式中，密钥接收模块还用于，接收用户管理服务器发送的第一参数集合；认证模块具体用于：
确定第一随机数，采用第二层密钥对第一随机数进行加密处理，得到加密处理后的第一随机数，根据第二层密钥、第一随机数中的至少一项，以及第二参数集合采用密钥生成函数生成终端设备的通信密钥，根据第二层密钥、通信密钥中的任一项，以及第二参数集合、第一随机数中的至少一项，采用消息验证码生成函数生成第一消息验证码，向网络认证服务器发送认证请求消息，认证请求消息包括第一消息验证码、加密处理后的第一随机数、第一参数集合；
接收网络认证服务器发送的第二消息验证码和加密处理后的第二随机数，根据第二层密钥对加密处理后的第二随机数进行解密，得到第二随机数，加密处理后的第二随机数为网络认证服务器采用第二层密钥对第二随机数加密处理得到，根据第二随机数对第二消息验证码进行验证并确定通过；
其中，第一参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数、第二层密钥的密钥随机数、第二层密钥的新鲜参数、第二层密钥的时间参数中的至少一种；
第二参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数中的至少一种。
结合第八方面，在第八方面的第九种可能的实现方式中，密钥接收模块还用于，接收用户管理服务器发送的第一参数集合；认证模块具体用于：
确定第一随机数，根据第一随机数、第二参数集合中的至少一项，以及第二层密钥采用密钥生成函数生成终端设备的通信密钥，根据第二层密钥、通信密钥中的任一项，以及第二参数集合、第一随机数中的至少一项，采用消息验证码生成函数生成第一消息验证码，向网络认证服务器发送认证请求消息，认证请求消息包括第一消息验证码、第一随机数、第一参数集合；
接收网络认证服务器发送的第二随机数和第二消息验证码，对第二消息验证码进行验证并确定通过；
其中，第一参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数、第二层密钥的密钥随机数、第二层密钥的新鲜参数、第二层密钥的时间参数中的至少一种；
第二参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数中的至少一种。
结合第八方面，在第八方面的第十种可能的实现方式中，密钥接收模块还用于，接收用户管理服务器发送的第一参数集合；认证模块具体用于：
确定第一随机数、DH协议的第一传输参数，根据第二层密钥、第一随机数和第二参数集合，采用消息验证码生成函数生成第一消息验证码，向网络认证服务器发送认证请求消息，认证请求消息包括第一随机数、第一传输参数、第一消息验证码、第一参数集合；
接收网络认证服务器发送的第二传输参数、第二随机数和第二消息验证码，根据第一传输参数和第二传输参数执行DH密钥协商算法得到第三传输参数；
在对第二消息验证码验证通过后，根据第一随机数、第二随机数、第二参数集合中的至少一项，以及第三传输参数采用密钥生成函数生成终端设备的通信密钥；
其中，第一参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数、第二层密钥的密钥随机数、第二层密钥的新鲜参数、第二层密钥的时间参数中的至少一种；
第二参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数中的至少一种。
结合第八方面，在第八方面的第十一种可能的实现方式中，密钥接收模块还用于，接收用户管理服务器发送的终端设备的公钥、第一数字签名，以及第二参数集合；认证模块具体用于：
确定第一随机数，采用网络认证服务器的公钥对第一随机数进行加密处理，得到加密处理后的第一随机数，向网络认证服务器发送认证请求消息，认证请求消息包括终端设备的公钥、第一数字签名、加密处理后的第一随机数，以及第二参数集合；
接收网络认证服务器发送的加密处理后的第二随机数和第二数字签名，根据终端设备的第二层密钥对加密处理后的第二随机数进行解密，得到第二随机数，加密处理后的第二随机数为网络认证服务器采用终端设备的公钥对第二随机数加密处理得到；
在对第二数字签名验证通过后，根据第一随机数、第二随机数中的至少一项，以及第二参数集合采用密钥生成函数生成终端设备的通信密钥，根据通信密钥、第一随机数、第二随机数和第二参数集合生成第一消息验证码，或者根据第二层密钥、第一随机数、第二随机数和第二参数集合生成第三数字签名，将第一消息验证码或第三数字签名发送给网络认证服务器，以使网络认证服务器对第一消息验证码或第三数字签名进行验证；
其中，第二参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数中的至少一种。
结合第八方面，在第八方面的第十二种可能的实现方式中，密钥接收模块还用于，接收用户管理服务器发送的终端设备的公钥和第二参数集合；认证模块具体用于：
确定第一随机数，采用网络认证服务器的公钥对第一随机数进行加密处理，得到加密处理后的第一随机数，向网络认证服务器发送认证请求消息，认证请求消息包括终端设备的公钥、加密处理后的第一随机数，以及第二参数集合；
接收网络认证服务器发送的加密处理后的第二随机数和第二数字签名，根据终端设备的第二层密钥对加密处理后的第二随机数进行解密，得到第二随机数，加密处理后的第二随机数为网络认证服务器采用终端设备的公钥对第二随机数加密处理得到；
在对第二数字签名验证通过后，根据第一随机数、第二随机数中的至少一项，以及第二参数集合采用密钥生成函数生成终端设备的通信密钥，根据通信密钥、第一随机数、第二随机数和第二参数集合生成第一消息验证码，或者根据第二层密钥、第一随机数、第二随机数和第二参数集合生成第三数字签名，将第一消息验证码或第三数字签名发送给网络认证服务器，以使网络认证服务器对第一消息验证码或第三数字签名进行验证；
其中，第二参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数中的至少一种。
结合第八方面，在第八方面的第十三种可能的实现方式中，密钥接收模块还用于，接收用户管理服务器发送的用户管理服务器的公钥和第二参数集合，用户管理服务器的公钥为与终端设备的第二层密钥对应的终端设备的公钥；认证模块具体用于：
确定第一随机数、DH协议的第一传输参数，向网络认证服务器发送认证请求消息，认证请求消息包括终端设备的公钥、第一随机数、第一传输参数和第二参数集合；
接收网络认证服务器发送的第二传输参数、第二随机数和第二数字签名，根据第一传输参数和第二传输参数执行DH密钥协商算法得到第三传输参数；
在对第二数字签名验证通过后，根据第一随机数、第二随机数、第二参数集合中的至少一项，以及第三传输参数采用密钥生成函数生成终端设备的通信密钥，根据第一随机数、第二随机数、第二参数集合中的至少一项，以及通信密钥，第一传输参数，第二传输参数，采用消息验证码生成函数生成第一消息验证码，或者根据第一随机数、第二随机数、第二参数集合中的至少一项，以及第二层密钥，第一传输参数，第二传输参数，生成第三数字签名，将第一消息验证码或第三数字签名，发送给网络认证服务器，以使网络认证服务器对第一消息验证码或第三数字签名进行验证；
其中，第二参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数中的至少一种。
结合第八方面的第十一种至第十三种可能的实现方式中的任一种可能的实现方式，在第八方面的第十四种可能的实现方式中，该服务器还包括公钥请求模块，用于向网络认证服务器发送公钥请求消息；密钥接收模块还用于接收网络认证服务器发送的网络认证服务器的公钥。
结合第八方面、第八方面的第一种至第十四种中任一种可能的实现方式，在第八方面的第十五种可能的实现方式中，认证模块具体用于：与网络认证服务器进行相互认证，根据通信密钥、第二参数集合、会话密钥随机数、会话密钥新鲜参数、会话密钥的预设时间参数中的任一项，采用密钥生成函数生成终端设备的会话密钥。
第九方面，本发明实施例提供一种网络认证服务器，包括：
密钥获取模块，用于接收终端设备发送的认证请求消息，认证请求消息包括第一参数集合，向业务中心服务器发送第二密钥请求消息，接收业务中心服务器发送的第二层密钥，第二密钥请求消息包括第一参数集合；或者用于接收终端设备发送的认证请求消息，认证请求消息包括第一参数集合，向业务中心服务器发送第二密钥请求消息，接收业务中心服务器发送的第一层密钥，并根据第一层密钥和第一参数集合，采用密钥生成函数生成终端设备的第二层密钥；
认证模块，用于根据第二层密钥，与终端设备进行相互认证以获得终端设备与功能网元的通信密钥；
其中，第一参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数、第二层密钥的密钥随机数、第二层密钥的新鲜参数、第二层密钥的时间参数中的至少一种。
结合第九方面，在第九方面的第一种可能的实现方式中，认证请求消息还包括加密处理后的第一随机数，认证模块具体用于：
根据第二层密钥对加密处理后的第一随机数进行解密，得到第一随机数，确定第二随机数，采用第二层密钥对第二随机数进行加密处理，得到加密处理后的第二随机数，加密处理后的第一随机数为终端设备采用第二层密钥对第一随机数加密处理得到；
根据第二层密钥、第一随机数、第二随机数中的至少一项，以及第二参数集合，采用密钥生成函数生成网络认证服务器的通信密钥，根据通信密钥、第二层密钥中的任一项，以及第一随机数，第二随机数，第二参数集合生成第二消息验证码，将加密处理后的第二随机数、第二消息验证码，发送给终端设备；
接收终端设备发送的第一消息验证码，在对第一消息验证码验证通过后，向功能网元发送通信密钥；
其中，第二参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数中的至少一种。
结合第九方面，在第九方面的第二种可能的实现方式中，认证请求消息还包括第一随机数，认证模块具体用于：
确定第二随机数，根据第一随机数、第二随机数、第二参数集合中的至少一项，以及第二层密钥，采用密钥生成函数生成网络认证服务器的通信密钥，根据通信密钥、第二层密钥中的任一项，以及第一随机数，第二随机数，第二参数集合生成第二消息验证码，并将第二随机数、第二消息验证码，发送给终端设备；
接收终端设备发送的第一消息验证码，在对第一消息验证码验证通过后，向功能网元发送通信密钥；
其中，第二参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数中的至少一种。
结合第九方面，在第九方面的第三种可能的实现方式中，认证请求消息还包括第一随机数，认证模块具体用于：
确定第二随机数，根据密钥随机数生成网络认证服务器的通信密钥，采用第二层密钥对通信密钥进行加密处理，得到加密处理后的通信密钥，根据通信密钥、第二层密钥中的任一项，以及第一随机数，第二随机数，第二参数集合生成第二消息验证码，并将第二随机数、加密处理后的通信密钥和第二消息验证码，发送给终端设备；
接收终端设备发送的第一消息验证码，在对第一消息验证码验证通过后，向功能网元发送通信密钥；
其中，第二参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数中的至少一种。
结合第九方面，在第九方面的第四种可能的实现方式中，认证请求消息还包括第一传输参数和第一随机数，认证模块具体用于：
确定第二随机数、DH协议的第二传输参数，根据第一传输参数和第二传输参数执行DH密钥协商算法得到第三传输参数；
根据第一随机数、第二随机数、第二参数集合中的至少一项，以及第三传输参数，采用密钥生成函数生成网络认证服务器的通信密钥，根据通信密钥、第二层密钥中的任一项，以及，第一传输参数，第二传输参数，第二参数集合生成第二消息验证码，将第二随机数和第二消息验证码，发送给终端设备；
接收终端设备发送的第一消息验证码，在对第一消息验证码验证通过后，向功能网元发送通信密钥；
其中，第二参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数中的至少一种。
结合第九方面，在第九方面的第五种可能的实现方式中，认证请求消息还包括第一消息验证码和加密处理后的第一随机数，认证模块具体用于：
根据第二层密钥对加密处理后的第一随机数进行解密，得到第一随机数，确定第二随机数，采用第二层密钥对第二随机数进行加密处理，得到加密处理后的第二随机数，加密处理后的第一随机数为终端设备采用第二层密钥对第一随机数加密处理得到；
在对第一消息验证码验证通过后，根据第二层密钥、第一随机数、第二随机数中的至少一项，以及第二参数集合，采用密钥生成函数生成网络认证服务器的通信密钥，根据通信密钥、第二层密钥中的任一项，以及，第一随机数、第二随机数、第二参数集合中的至少一项生成第二消息验证码，将加密处理后的第二随机数、第二消息验证码，发送给终端设备，并向功能网元发送通信密钥；
其中，第二参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数中的至少一种。
结合第九方面，在第九方面的第六种可能的实现方式中，认证请求消息还包括第一消息验证码和第一随机数，认证模块具体用于：
确定第二随机数，在对第一消息验证码验证通过后，根据第一随机数、第二随机数、第二参数集合中的至少一项，以及第二层密钥，采用密钥生成函数生成网络认证服务器的通信密钥，根据通信密钥、第二层密钥中的任一项，以及，第一随机数、第二随机数、第二参数集合中的至少一项生成第二消息验证码，将加密处理后的第二随机数、第二消息验证码，发送给终端设备，并向功能网元发送通信密钥；
其中，第二参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数中的至少一种。
结合第九方面，在第九方面的第七种可能的实现方式中，认证请求消息还包括第一消息验证码和第一随机数，认证模块具体用于：
确定第二随机数，在对第一消息验证码验证通过后，根据密钥随机数生成网络认证服务器的通信密钥，采用第二层密钥对通信密钥进行加密处理，得到加密处理后的通信密钥，根据通信密钥、第二层密钥中的任一项，以及，第一随机数、第二随机数、第二参数集合中的至少一项生成第二消息验证码，将第二随机数、加密处理后的通信密钥和第二消息验证码，发送给终端设备，并向功能网元发送通信密钥；
其中，第二参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数中的至少一种。
结合第九方面，在第九方面的第八种可能的实现方式中，认证请求消息还包括第一消息验证码和加密处理后的第一随机数，认证模块具体用于：
根据第二层密钥对加密处理后的第一随机数进行解密，得到第一随机数，确定第二随机数，采用第二层密钥对第二随机数进行加密处理，得到加密处理后的第二随机数，加密处理后的第一随机数为终端设备采用第二层密钥对第一随机数加密处理得到；
在对第一消息验证码验证通过后，根据第二层密钥、第一随机数中的至少一项，以及第二参数集合，采用密钥生成函数生成终端设备的通信密钥，根据通信密钥、第二层密钥中的任一项，以及，第一随机数、第二随机数、第二参数集合中的至少一项生成第二消息验证码，将加密处理后的第二随机数、第二消息验证码，发送给终端设备，并向功能网元发送通信密钥；
其中，第二参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数中的至少一种。
结合第九方面，在第九方面的第九种可能的实现方式中，认证请求消息还包括第一消息验证码和第一随机数，认证模块具体用于：
确定第二随机数，在对第一消息验证码验证通过后，根据第一随机数、第二参数集合中的至少一项，以及第二层密钥采用密钥生成函数生成终端设备的通信密钥，根据通信密钥、第二层密钥中的任一项，以及，第一随机数、第二随机数、第二参数集合中的至少一项生成第二消息验证码，将第二随机数、第二消息验证码，发送给终端设备，并向功能网元发送通信密钥；
其中，第二参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数中的至少一种。
结合第九方面，在第九方面的第十种可能的实现方式中，认证请求消息还包括第一消息验证码、第一传输参数和第一随机数，认证模块具体用于：
确定第二随机数、DH协议的第二传输参数，根据第一传输参数和第二传输参数执行DH密钥协商算法得到第三传输参数；
在对第一消息验证码验证通过后，根据第一随机数、第二随机数、第二参数集合中的至少一项，以及第三传输参数采用密钥生成函数生成网络认证服务器的通信密钥，根据通信密钥、第二层密钥中的任一项，以及，第一随机数、第二随机数、第一传输参数、第二传输参数、第二参数集合中的任一项生成第二消息验证码，将第二随机数和第二消息验证码，发送给终端设备，并向功能网元发送通信密钥；
其中，第二参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数中的至少一种。
结合第九方面、第九方面的第一种至第十种中任一种可能的实现方式，在第九方面的第十一种可能的实现方式中，认证模块具体用于：与终端设备进行相互认证，根据通信密钥、第二参数集合、会话密钥随机数、会话密钥新鲜参数、会话密钥的预设时间参数中的任一项，采用密钥生成函数生成网络认证服务器的会话密钥，并将会话密钥发送给功能网元。
第十方面，本发明实施例提供一种网络认证服务器，包括：
公钥获取模块，用于接收终端设备发送的认证请求消息，认证请求消息包括终端设备的公钥；
认证模块，用于根据终端设备的公钥、网络认证服务器的公钥和网络认证服务器的私钥，与终端设备进行相互认证以获得终端设备与功能网元的通信密钥。
结合第十方面，在第十方面的第一种可能的实现方式中，认证请求消息还包括第一数字签名、加密处理后的第一随机数和第二参数集合；认证模块具体用于：
根据网络认证服务器的私钥对加密处理后的第一随机数进行解密，得到第一随机数，确定第二随机数，采用终端设备的公钥对第二随机数进行加密处理，得到加密处理后的第二随机数，加密处理后的第一随机数为终端设备采用网络认证服务器的公钥对第一随机数加密处理得到；
在对第一数字签名验证通过后，根据第一随机数、第二随机数中的至少一项，以及第二参数集合，采用密钥生成函数生成网络认证服务器的通信密钥，根据网络认证服务器的私钥、第一随机数、第二随机数和第二参数集合生成第二数字签名，将第二数字签名和加密处理后的第二随机数，发送给终端设备；
接收终端设备发送的第一消息验证码或第三数字签名，在对第一消息验证码或第三数字签名验证通过后，向功能网元发送通信密钥；
其中，第二参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数中的至少一种。
结合第十方面，在第十方面的第二种可能的实现方式中，认证请求消息还包括加密处理后的第一随机数和第二参数集合；认证模块具体用于：
根据网络认证服务器的私钥对加密处理后的第一随机数进行解密，得到第一随机数，确定第二随机数，采用终端设备的公钥对第二随机数进行加密处理，得到加密处理后的第二随机数，加密处理后的第一随机数为终端设备采用网络认证服务器的公钥对第一随机数加密处理得到；
根据第一随机数、第二随机数中的至少一项，以及第二参数集合，采用密钥生成函数生成网络认证服务器的通信密钥，根据网络认证服务器的私钥、第一随机数、第二随机数和第二参数集合生成第二数字签名，将加密处理后的第二随机数、第二数字签名，发送给设备终端；
接收终端设备发送的第一消息验证码或第三数字签名，在对第一消息验证码或第三数字签名验证通过后，向功能网元发送通信密钥；
其中，第二参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数中的至少一种。
结合第十方面，在第十方面的第三种可能的实现方式中，认证请求消息还包括第一随机数、第一传输参数和第二参数集合；认证模块具体用于：
确定第二随机数、DH协议的第二传输参数，根据第一传输参数和第二传输参数执行DH密钥协商算法得到第三传输参数；
根据第一随机数、第二随机数、第二参数集合中的至少一项，以及第三传输参数采用密钥生成函数生成网络认证服务器的通信密钥，根据第一随机数、第二随机数、第二参数集合中的至少一项，以及网络认证服务器的私钥，第一传输参数，第二传输参数，生成第二数字签名，将第二随机数、第二传输参数和第二数字签名，发送给终端设备；
接收终端设备发送的第一消息验证码或第三数字签名，在对第一消息验证码验证通过后，或根据终端设备的公钥对第三数字签名验证通过后，向功能网元发送通信密钥；
其中，第二参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数中的至少一种。
结合第十方面、第十方面的第一种至第三种中任一种可能的实现方式，在第十方面的第四种可能的实现方式中，该服务器还包括公钥请求接收模块，用于接收终端设备发送的公钥请求消息；
公钥发送模块，用于向终端设备发送网络认证服务器的公钥。
结合第十方面、第十方面的第一种至第四种中任一种可能的实现方式，在第十方面的第五种可能的实现方式中，认证模块具体用于：与终端设备进行相互认证，根据通信密钥、第二参数集合、会话密钥随机数、会话密钥新鲜参数、会话密钥的预设时间参数中的任一项，采用密钥生成函数生成网络认证服务器的会话密钥，并将会话密钥发送给功能网元。
第十一方面，本发明实施例提供一种存储介质，存储介质为计算机可读存储介质，存储有一个或多个程序，一个或多个程序包括指令，指令当被包括多个应用程序的电子设备执行时，使电子设备执行上述第一方面、第一方面的第一种至第四种中任一种可能的实现方式中的密钥分发方法。
第十二方面，本发明实施例提供一种存储介质，存储介质为计算机可读存储介质，存储有一个或多个程序，一个或多个程序包括指令，指令当被包括多个应用程序的电子设备执行时，使电子设备执行上述第二方面、第二方面的第一种至第七种中任一种可能的实现方式中的密钥分发方法。
第十三方面，本发明实施例提供一种存储介质，存储介质为计算机可读存储介质，存储有一个或多个程序，一个或多个程序包括指令，指令当被包括多个应用程序的电子设备执行时，使电子设备执行上述第三方面、第三方面的第一种至第十五种中任一种可能的实现方式中的密钥认证方法。
第十四方面，本发明实施例提供一种存储介质，存储介质为计算机可读存储介质，存储有一个或多个程序，一个或多个程序包括指令，指令当被包括多个应用程序的电子设备执行时，使电子设备执行上述第四方面、第四方面的第一种至第十一种、第五方面、第五方面的第一种至第五种中任一种可能的实现方式中的密钥认证方法。
第十五方面，本发明实施例提供一种密钥分发、认证系统，包括：如上述第六方面、第六方面的第一种至第七种中任一种可能的实现方式中的业务中心服务器；如第七方面、第七方面的第一种、第七方面的第二种中任一种可能的实现方式中的用户管理服务器；如第八方面、第八方面的第一种至第十五种中任一种可能的实现方式中的终端设备；如第九方面、第九方面的第一种至第十一种、第十方面、第十方面的第一种至第五种中任一种可能的实现方式中的网络认证服务器。
附图说明
为了更清楚地说明本发明实施例的技术方案，下面将对实施例描述中所需要使用的附图作一简单地介绍，显而易见地，下面描述中的附图是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。
图1为本发明密钥分发、认证方法实施例一的系统架构示意图；
图2为本发明密钥分发、认证方法实施例一的信令流程图；
图3为本发明密钥认证方法实施例一的信令流程图；
图4为本发明密钥认证方法实施例二的信令流程图；
图5为本发明密钥认证方法实施例三的信令流程图；
图6为本发明密钥认证方法实施例四的信令流程图；
图7为本发明密钥认证方法实施例五的信令流程图；
图8为本发明密钥认证方法实施例六的信令流程图；
图9为本发明密钥认证方法实施例七的信令流程图；
图10为本发明密钥认证方法实施例八的信令流程图；
图11为本发明密钥认证方法实施例九的信令流程图；
图12为本发明密钥认证方法实施例十的信令流程图；
图13为本发明密钥认证方法实施例十一的信令流程图；
图14为本发明密钥认证方法实施例十二的信令流程图；
图15为本发明密钥认证方法实施例十三的信令流程图；
图16为本发明用户管理服务器实施例一的结构示意图；
图17为本发明业务中心服务器实施例一的结构示意图；
图18为本发明终端设备实施例一的结构示意图；
图19为本发明网络认证服务器实施例一的结构示意图；
图20为本发明网络认证服务器实施例二的结构示意图。
具体实施方式
为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。
本发明的说明书和权利要求书的术语“包括”和“具有”以及他们的任何变形，意图在于覆盖不排他的包含，例如，包含了一系列步骤或单元的过程、方法、系统、产品或设备不必限于清楚地列出的那些步骤或单元，而是可包括没有清楚地列出的或对于这些过程、方法、产品或设备固有的其它步骤或单元。
本发明实施例提供一种密钥分发、认证方法及设备，用于为终端设备分发密钥，并使终端设备根据分发的密钥在与网络认证服务器相互认证后得到通信密钥，使得终端设备能够根据通信密钥连入到通信网络中，并进行安全通信。下面采用具体的实施例，对本发明实施例进行密钥分发和认证的系统架构进行详细说明。
图1为本发明密钥分发、认证方法实施例一的系统架构示意图。如图1所示，该系统架构包括业务中心服务器101、用户管理服务器102、终端设备103、网络认证服务器104和功能网元105。其中，业务中心服务器101用于为用户管理服务器102安全生成和分配第一层密钥，在用户管理服务器102发送第一密钥请求消息时，根据用户管理服务器102的用户标识的不同，为不同的用户管理服务器102分配不同的第一层密钥，业务中心服务器101还可针对用户管理服务器102的不同业务类型采用不同算法分发不同类型或不同安全等级的密钥。业务中心服务器101可以由网络运营商控制，也可由独立于网络运营商和用户管理服务器之外的第三方控制。业务中心服务器101具体可以为服务器、基站、工作站、计算机、网关等设备，本发明实施例仅以服务器为例，而并非对此进行限制。用户管理服务器102可以为一个公司、企业，也可以为一个终端用户或者一个终端，其下部署了一个或者多个终端设备103，图1中以一个用户管理服务器102管理两个终端设备103为例，本领域技术人员应该明白，这并非对本发明实施例的限制。用户管理服务器102用于为其所管理的终端设备103安全生成和分配第二层密钥，在接收到业务中心服务器101发送的第一层密钥后，根据终端设备103的设备标识的不同，生成不同的第二层密钥，用户管理服务器102还可针对终端设备103的不同业务类型采用不同算法分发不同类型或不同安全等级的第二层密钥。终端设备103可以为如手机、平板电脑、智能终端等智能设备，或者服务器等通信设备，或者如传感器、电表、水表等物联网设备。网络认证服务器104与功能网元105由网络运营商控制，网络认证服务器104用于与终端设备103根据分发的第二层密钥进行相互认证并得到通信密钥，网络认证服务器104具体可以为移动管理节点(Mobility Management Entity，简称MME)、归属签约用户服务器(Home Subscriber Server，简称HSS)、控制器、控制节点、网关、服务器等。功能网元105用于根据认证过程中得到的通信密钥与终端设备103实现安全通信，功能网元105具体可以为终端设备103接入通信网络的数据面锚点、核心网服务器、控制节点、用户数据面网关，如PDH设备、SDH-ADM、DACS、TEM、REG、PCM等等。
可选的，业务中心服务器101包括业务认证服务器和密钥管理服务器。示例性的，业务认证服务器与用户管理服务器102进行通信，密钥管理服务器与网络认证服务器104通信，业务认证服务器接收用户管理服务器102发送的第一密钥请求消息，并将第一密钥请求消息转发给密钥管理服务器，当密钥管理服务器生成第一层密钥时，密钥管理服务器通过业务认证服务器将第一层密钥发送给用户管理服务器102，用户管理服务器102根据第一层密钥生成第二层密钥并发送给终端设备103，在终端设备103和网络认证服务器104基于对称秘钥技术进行相互认证时，密钥管理服务器可直接向网络认证服务器104发送第一层密钥以使网络认证服务器104根据第一层密钥生成第二层密钥。示例性的，也可为业务认证服务器与网络认证服务器104进行通信，密钥管理服务器与用户管理服务器102直接通信，密钥管理服务器直接接收用户管理服务器102发送的第一密钥请求消息，并将生成的第一层密钥直接发送给用户管理服务器102，在终端设备103和网络认证服务器104基于对称秘钥技术进行相互认证时，密钥管理服务器通过业务认证服务器向网络认证服务器104发送第一层密钥。示例性的，也可为业务认证服务器与用户管理服务器102、网络认证服务器104进行通信，密钥管理服务器仅与业务认证服务器通信，业务认证服务器与用户管理服务器102直接通信，业务认证服务器直接接收用户管理服务器102发送的第一密钥请求消息，并将密钥管理服务器生成的第一层密钥直接发送给用户管理服务器102，在终端设备103和网络认证服务器104基于对称秘钥技术进行相互认证时，业务认证服务器向网络认证服务器104发送第一层密钥。
下面在上述系统架构的基础上，以具体地实施例对本发明的技术方案以及本发明的技术方案如何实现进行详细说明。下面这几个具体的实施例可以相互结合，对于相同或相似的概念或过程可能在某些实施例中不再赘述。
图2为本发明密钥分发、认证方法实施例一的信令流程图。如图2所示，本方法包括：
S201、用户管理服务器向业务中心服务器发送第一密钥请求消息。
第一密钥请求消息用于指示业务中心服务器生成用户管理服务器的第一层密钥，第一密钥请求消息包含用户管理服务器的用户标识。
具体的，在步骤201之前，用户管理服务器与业务中心服务器已相互认证通过，建立了安全的通信通道，示例性的，认证方式可以为根据用户名口令、证书、对称密钥、AKA协议等方式。
S202、业务中心服务器接收用户管理服务器发送的第一密钥请求消息，生成用户管理服务器的第一层密钥，并将第一层密钥发送给用户管理服务器。
具体的，当业务中心服务器接收到用户管理服务器发送的第一密钥请求消息时，生成第一层密钥并将该第一层密钥发送给用户管理服务器，以使得用户管理服务器根据该第一层密钥生成终端设备的第二层密钥。示例性的，不同的用户管理服务器向业务中心服务器发送的第一密钥请求消息中，包含用户管理服务器的用户标识，业务中心服务器根据每一个第一密钥请求消息中所包含的用户标识所指示的用户管理服务器生成一个第一层密钥。示例性，业务中心服务器在生成用户管理服务器的第一层密钥时，包括如下可行的实现方式：
第一种可行的实现方式，基于对称密钥技术的密钥生成过程：
业务中心服务器根据第三参数集合，采用密钥生成函数生成用户管理服务器的第一层密钥；
或者
业务中心服务器确定业务随机数，并将其作为用户管理服务器的第一层密钥；
或者
当第一密钥请求消息中还包括用户管理服务器的网络标识、业务参数中的至少一种时，业务中心服务器根据第四参数集合，采用密钥生成函数生成用户管理服务器的第一层密钥；
其中，第三参数集合包括第一层密钥的密钥随机数、第一层密钥的新鲜参数、第一层密钥的时间参数、共享密钥中的至少一种，共享密钥为用户管理服务器与业务中心服务器的共享密钥；
第四参数集合包括用户管理服务器的用户标识、用户管理服务器的网络标识、业务参数、第一层密钥的密钥随机数、第一层密钥的新鲜参数、第一层密钥的时间参数、共享密钥中的至少一种，共享密钥为用户管理服务器与业务中心服务器的共享密钥。
在第一种可行的实现方式中，业务中心服务器将第一层密钥发送给用户管理服务器，用户管理服务器根据第一层密钥生成第二层密钥并发送给终端设备。
为使终端设备与网络认证服务器基于对称密钥技术进行相互认证，业务中心服务器可将该第一层密钥发送给网络认证服务器，以使网络认证服务器根据该第一层密钥生成与终端设备的第二层密钥相同的第二层密钥。
具体的，业务中心服务器接收网络认证服务器发送的第二密钥请求消息，第二密钥请求消息包含用户管理服务器的用户标识；业务中心服务器根据第二密钥请求消息中用户管理服务器的用户标识检索得到第一层密钥，或生成第一层密钥，并将第一层密钥发送给网络认证服务器，以使网络认证服务器根据第一层密钥生成终端设备的第二层密钥，并根据第二层密钥与终端设备进行相互认证。
业务中心服务器可将用户管理服务器的用户标识和第一层密钥对应存储，可以在每次接收到包含用户标识的密钥请求消息后，根据用户标识重新生成当前用户标识对应的用户管理服务器的第一层密钥。
也可先根据第一层密钥为网络认证服务器生成与终端设备的第二层密钥相同的第二层密钥，并将第二层密钥发送给网络认证服务器。
具体的，业务中心服务器接收网络认证服务器发送的第二密钥请求消息，第二密钥请求消息中包括第一参数集合；业务中心服务器根据第一层密钥和第一参数集合，采用密钥生成函数生成终端设备的第二层密钥，并将第二层密钥发送给网络认证服务器以使得网络认证服务器根据第二层密钥与终端设备进行相互认证；
其中，第一参数集合为用户管理服务器为不同终端设备生成终端设备的第二层密钥时使用的参数，为保证终端设备与网络认证服务器的第二层密钥相同，根据生成第二层密钥的服务器的不同，需将第一参数集合发送给网络认证服务器或业务中心服务器。
其中，第一参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数、第二层密钥的密钥随机数、第二层密钥的新鲜参数、第二层密钥的时间参数中的至少一种。
终端设备在接收到用户管理服务器发送的第二层密钥后，可与网络认证服务器基于对称密钥技术进行相互认证，由于第二层密钥仅终端设备和网络认证服务器具有，并未公开，故终端设备和网络认证服务器可根据第二层密钥进行数据加密和解密，从而保证了认证过程的保密性。
在第一种可行的实现方式中，密钥生成函数(Key Derivation Function,简称KDF)根据输入的参数，进行推衍得到密钥，输入参数的内容、个数与顺序不同，得到不同的密钥，具体的，KDF所采用的算法可以为HMAC算法(如HMAC-sha256)，OMAC，CBC-MAC，PMAC，UMAC和VMAC等算法。
在第一种可行的实现方式中，用户管理服务器与业务中心服务器的共享密钥可以是提前预设的，也可以是用户与密钥管理中心执行IPsec，TLS等协议后协商的密钥，也可以是用户与密钥管理中心在AKA认证后得到的密钥(如Kasme，CK，IK等)。
第二种可行的实现方式，基于身份密码系统或基于分等级的身份密码系统的密钥生成过程：
业务中心服务器根据用户管理服务器的用户标识，基于身份密码系统的密钥生成算法生成用户管理服务器的第一层密钥；
或者
业务中心服务器根据用户管理服务器的用户标识和第五参数集合，基于身份密码系统的密钥生成算法生成用户管理服务器的第一层密钥；
其中，第一层密钥为用户管理服务器的私钥，用户管理服务器的用户标识即为用户管理服务器的公钥。可选的，还可选择基于用户管理服务器的用户标识生成的公钥作为用户管理服务器的公钥。以下实施例中均以用户管理服务器的用户标识作为用户管理服务器的公钥为例，而非对其的限定。第五参数集合包括如下中的至少一种：第一层密钥的密钥随机数、第一层密钥的新鲜参数、第一层密钥的时间参数。
在第二种实现方式中，身份密码系统的密钥生成算法，基于不同用户管理服务器的用户标识为不同的用户管理服务器生成不同的用户管理服务器的私钥，与用户管理服务器的私钥对应的还有用户管理服务器的公钥。当用户管理服务器根据用户管理服务器的私钥为终端设备生成第二层密钥时，同样得到了终端设备的私钥和终端设备的公钥，同时，网络认证服务器同样具有基于身份密码系统的公钥和私钥，其中公钥为公开数据，终端设备的私钥仅终端设备具有，不公开。当某一设备采用终端设备的公钥加密数据并发送给终端设备后，终端设备可利用终端设备的私钥对加密数据进行解密，得到数据。而其他设备即使获取了加密数据，由于不具有终端设备的私钥，而无法进行正确解密或验证。因此，该类基于身份密码系统的密钥适用于基于身份密钥技术的相互认证过程。在相互认证过程中，网络认证服务器也可提前预设由基于身份密码系统的公钥和私钥。
第三种可行的实现方式，基于隐私增强的密钥生成过程；
业务中心服务器采用隐私增强的密钥技术生成用户管理服务器的私钥和用户管理服务器的公钥；
其中用户管理服务器的私钥为用户管理服务器的第一层密钥，业务中心服务器还将用户管理服务器的公钥发送给用户管理服务器。
隐私增强的密钥技术，可基于不同用户管理服务器的用户标识为不同的用户管理服务器生成不同的用户管理服务器的私钥，以及与用户管理服务器的私钥对应的用户管理服务器的公钥。当用户管理服务器根据用户管理服务器的私钥为终端设备生成终端设备的私钥，即第二层密钥时，终端设备可以根据第二层密钥生成数字签名；而接收者仅使用用户管理服务器的公钥即可完成对于终端设备的数字签名的验证。与第二种方式的不同点在于，终端设备不具有自己的公钥，仅具有用户管理服务器的公钥。
上述任一种可行的实现方式中，第一密钥新鲜参数(如，序列号，freshparameter,nonce等等)用于指示第一密钥的新鲜性，抵御重放攻击，不同时刻的第一密钥的新鲜参数应该不同，如果相同则可认为受到了重放攻击。第一密钥的预设时间参数用于指示该第一密钥的有效期，包括：第一密钥有效的时间、无效的时间和有效期中的至少一种。以下实施例中的任意密钥的新鲜参数具有同样含义，不再赘述。
用户管理服务器的标识包括但不限于如下中的至少一种：行业用户ID，公司的标识ID，业务ID，个人用户的ID(如：IMEI、IMSI、IMPI、TMSI、IMPU、用户的App ID、MAC地址、IP地址、手机号码和GUTI等)。
网络标识包括但不限于如下中的至少一种：运营商ID(PLMN ID)，接入网络ID(Access Network ID)，服务网络ID(Serving Network ID)，局域网网络ID等网络ID标识。
业务参数包括但不限于如下中的至少一种：业务中的序列号SN、时间戳、该业务中的相关ID，业务新鲜参数、业务随机数(nonce’/random number1)，业务等级，时延参数，其中，该业务中的相关ID可以为业务的名称，包括密钥管理中心的ID、业务认证中心的ID，业务中心ID，会话ID、链路ID、应用ID、服务器ID中的至少一个。其中，时间戳可以为发送此请求消息时用户的系统时间。
终端设备的设备标识包括但不限于如下中的至少一项：设备的编号，序列号，IMEI、IMSI、IMPI、TMSI、IMPU、设备的App ID、MAC地址、IP地址、手机号码和GUTI。可选的，还可为其他可能的唯一标识设备的标识。
在上述任一生成第一层密钥的方式中，通常采用不同的参数，以针对不同的用户管理服务器生成不同的第一层密钥。示例性的，可在生成第一层密钥的过程中，增加用户管理服务器的网络标识、业务参数，以为不同用户管理服务器的不同业务，生成复杂度不同的第一层密钥，即业务中心服务器可根据用户管理服务器的不同，为不同的用户管理服务器设置复杂度不同的第一层密钥。当同一用户管理服务器的不同业务向业务中心服务器请求密钥时，业务中心服务器可为同一用户管理服务器设置多个第一层密钥，进而实现，用户管理服务器上的不同业务采用不同密钥来保护的目的。
S203、用户管理服务器根据第一层密钥生成终端设备的第二层密钥，并将第二层密钥发送给终端设备。
具体的，用户管理服务器接收业务中心服务器发送的第一层密钥，根据第一层密钥生成终端设备的第二层密钥，并将第二层密钥发送给终端设备，以使终端设备通过第二层密钥，与网络认证服务器进行相互认证获取终端设备与功能网元的通信密钥。
示例性的，当用户管理服务器管理多个终端设备时，用户管理服务器根据终端设备的设备标识，为不同的终端设备生成不同的第二层密钥。进一步可通过增加生成第二层密钥时使用的参数，可使得第二层密钥更具有保密性，且具有不同的保密等级。通过由用户管理服务器为不同的终端设备生成第二层密钥，可大大减轻业务中心服务器生成密钥的负荷。
可选的，业务中心服务器在将第一层密钥发送给用户管理服务器，以及用户管理服务器在将第二层密钥发送给终端设备时，同时还发送有各密钥的时间信息，以限定该密钥的有效可用时间。
示例性，用户管理服务器在生成终端设备的第二层密钥时，包括如下可行的实现方式：
第一种可行的实现方式，基于对称密钥技术的密钥生成过程：
用户管理服务器根据第一层密钥和第一参数集合，采用密钥生成函数生成终端设备的第二层密钥。
该方法应用于当第一层密钥为基于对称密钥技术生成时。具体的，用户管理服务器将第二层密钥和第一参数集合发送给终端设备。
其中，第一参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数、第二层密钥的密钥随机数、第二层密钥的新鲜参数、第二层密钥的时间参数中的至少一种。
第二种可行的实现方式，基于身份密钥技术的密钥生成过程：
用户管理服务器根据用户管理服务器的私钥和第一参数集合，生成终端设备的第二层密钥和终端设备的公钥。
具体的，第一层密钥为用户管理服务器的私钥，第二层密钥为与终端设备的公钥对应的终端设备的私钥；用户管理服务器还根据第一层密钥、终端设备的公钥，以及第一参数集合生成第一数字签名；并将终端设备的公钥、第二层密钥、第一数字签名，以及第二参数集合发送给终端设备。其中终端设备的公钥可以为终端设备的设备标识。
该方法应用于当第一层密钥为基于身份密钥技术生成时。其中，第一参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数、第二层密钥的密钥随机数、第二层密钥的新鲜参数、第二层密钥的时间参数中的至少一种，第二参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数中的至少一种。
第三种可行的实现方式，基于分等级的身份密钥技术的密钥生成过程：
用户管理服务器根据第一层密钥和终端设备的设备标识，基于设备身份生成算法生成终端设备的第二层密钥。
具体的，第一层密钥为用户管理服务器的私钥，第二层密钥为终端设备的私钥。用户管理服务器将第二参数集合，第二层密钥，以及与终端设备的私钥对应的终端设备的公钥发送给终端设备。其中终端设备的公钥可以为终端设备的设备标识。
该方法应用于当第一层密钥为基于身份密钥技术生成时。其中，第二参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数中的至少一种。
第四种可行的实现方式，基于隐私增强的密钥技术的密钥生成过程：
用户管理服务器根据用户管理服务器的私钥，采用隐私增强的密钥技术的生成算法生成终端设备的第二层密钥。
具体的，第一层密钥为用户管理服务器的私钥，第二层密钥为终端设备的私钥。用户管理服务器将用户管理服务器的公钥、第二层密钥、和第二参数集合发送给终端设备。其中用户管理服务器的公钥为与终端设备的私钥相对应的公钥。
该方法应用于当第一层密钥为基于隐私增强的密钥技术生成时。其中，第二参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数中的至少一种。
S204、终端设备与网络认证服务器进行相互认证以得到通信密钥。
具体的，终端设备接收用户管理服务器发送的第二层密钥，与网络认证服务器进行相互认证以得到终端设备与功能网元的通信密钥。
可选的，在步骤204之后，本发明实施例还包括：
网络认证服务器向功能网元发送通信密钥，使得终端设备与功能网元可基于通信密钥进行安全通信。
可选的，在生成通信密钥后，本发明实施例中网络认证中心和终端设备还可根据共享的通信密钥、第二参数集合、会话密钥随机数、会话密钥新鲜参数、会话密钥的预设时间参数中的任一项，采用密钥生成函数生成会话密钥，并将会话密钥发送给功能网元，采用会话密钥替代通信密钥实现功能网元与终端设备的安全通信。
步骤201至步骤203中，主要说明密钥的分发方法，步骤204主要说明密钥的认证过程。
具体的，在步骤204中，根据终端设备的第二层密钥的生成方式不同，终端设备与网络认证中心的相互认证包括如下可行的实现方式：
一种可行的实现方式：终端设备与网络认证服务器基于对称密钥技术进行相互认证。
在该种可行的实现方式中，业务中心服务器将用户管理服务器的第一层密钥发送给用户管理服务器，用户管理服务器根据第一层密钥生成第二层密钥，与此同时，网络认证服务器接收业务中心服务器发送的第一层密钥或第二层密钥，当为第一层密钥时，网络认证服务根据第一层密钥生成第二层密钥，具体的生成方法与用户管理服务器生成第二层密钥的方式相同，不再赘述，最后网络认证服务器根据第二层密钥与终端设备进行相互认证。
示例性的，如图2中虚线所示，业务中心服务器可在向用户管理服务器发送第一层密钥的同时或之后，向网络认证服务器发送第一层密钥或第二层密钥。可选的，也可是在接收到网络认证服务器向业务中心服务器发送的第二密钥请求消息后，向网络认证服务器发送第一层密钥或第二层密钥。
示例性的，网络认证服务器也可在与终端设备的相互认证过程中，在接收到终端设备发送的认证请求消息后，向业务中心服务器发送第二密钥请求消息，业务中心服务器在接收到第二密钥请求消息后将第一层密钥发送给网络认证服务器。
另一种可行的实现方式：终端设备与网络认证服务器基于非对称密钥技术进行相互认证。
在该种可行的实现方式中，终端设备的第二层密钥为终端设备的私钥，终端设备的设备标识为终端设备的公钥。可选的，还可选择基于终端设备的设备标识生成的公钥作为终端设备的公钥。以下实施例中不再赘述。
此时，网络认证服务器在接收到终端设备发送的认证请求消息后，就获取了终端设备的公钥，即网络认证服务器中存储有终端设备的公钥和网络认证服务器的公钥和私钥，终端设备中存储有网络认证服务器的公钥，网络认证服务器可根据终端设备的公钥对待传输数据进行加密，终端设备可根据网络认证服务器的公钥对传输数据进行加密，进而使得终端设备与网络认证服务器可在保密的情况下进行相互认证得到通信密钥。
示例性的，网络认证服务器的公钥和私钥基于身份密码系统生成，网络认证服务器的公钥可以为网络认证服务器的ID，或者采用根据网络认证服务器的ID生成的公钥作为网络认证服务器的公钥。
示例性的，可将网络认证服务器的公钥预存在终端设备中。示例性的，网络认证服务器的公钥的获取还可以是在网络认证服务器与终端设备相互认证之前，网络认证服务器接收终端设备发送的公钥请求消息或证书请求消息；网络认证服务器向终端设备发送网络认证服务器的公钥或网络认证服务器的证书，该证书中包含有网络认证服务器的公钥。
示例性的，还可以是在相互认证过程中，由网络认证服务器将网络认证服务器的公钥发送给终端设备。
其中，网络认证服务器也可基于公钥基础设施(Public Key Infrastructure，简称PKI)密码系统生成网络认证服务器的第三公钥和第三私钥，以代替网络认证服务器基于身份密码系统生成的公钥和私钥。
可选的，终端设备与网络认证服务器还可根据IPsec，TLS等协议进行相互认证。可选的，终端设备与网络认证服务器还可直接采用第二层密钥作为终端设备与功能网元的安全通信密钥。
特别地，本发明实施例适用于一个企业或公司基于多种业务同时管理多个终端设备时的密钥分发与认证，可使得多个终端设备在未提前预设根密钥或不支持USIM卡的情况下，依据终端设备处理的业务的不同，得到业务中心服务器分发的不同密钥，进而可实现安全通信，同时实现了企业或公司主导的基于业务的密钥分发和认证，降低了运营商的运行复杂度。
本发明实施例提供的密钥分发、认证方法，由业务中心服务器为各用户管理服务器分发不同密钥，各用户管理服务器为各终端设备分发不同密钥，然后各终端设备基于各自密钥与网络认证中心进行相互认证，最终得到终端设备与功能网元的通信密钥。本发明实施例为终端设备提供了安全通信通道的建立方法，具有广泛的应用范围，同时降低了运营商网络的复杂度。
下面采用具体实施例对步骤204中的相互认证过程进行详细说明，如上所述，相互认证方式至少包括基于对称密钥技术的认证方式和基于非对称密钥技术的认证方式。
在基于对称密钥技术的认证方式中，终端设备还接收用户管理服务器发送的第一参数集合。具体的，相互认证过程包括如下可能的实现方式：
第一种可能的认证实现方式：
图3为本发明密钥认证方法实施例一的信令流程图。如图3所示，包括：
S301、终端设备向网络认证服务器发送认证请求消息；
具体地，终端设备确定第一随机数，采用第二层密钥对第一随机数进行加密处理，得到加密处理后的第一随机数，向网络认证服务器发送认证请求消息，认证请求消息包括第一参数集合和加密处理后的第一随机数；
S302、网络认证服务器向终端设备发送第二随机数、第二消息验证码；
具体地，网络认证服务器根据第二层密钥对加密处理后的第一随机数进行解密，得到第一随机数，确定第二随机数，采用第二层密钥对第二随机数进行加密处理，得到加密处理后的第二随机数，根据第二层密钥K_dev、第一随机数nonce1、第二随机数nonce2中的至少一项，以及第二参数集合，采用密钥生成函数生成网络认证服务器的通信密钥K_com，即K_com＝KDF((K_dev，nonce1，nonce2的至少一项)，第二参数集合)，根据通信密钥K_com、第二层密钥K_dev中的任一项，以及第一随机数nonce1，第二随机数nonce2，第二参数集合生成第二消息验证码MAC2，即MAC2＝MAC((K_com或K_dev)，nonce1，nonce2，第二参数集合)，将加密处理后的第二随机数、第二消息验证码，发送给终端设备。
S303、终端设备向网络认证服务器发送第一消息验证码；
具体地，终端设备接收网络认证服务器发送的加密处理后的第二随机数和第二消息验证码，根据第二层密钥对加密处理后的第二随机数进行解密，得到第二随机数，终端设备在对第二消息验证码验证通过后，根据第二层密钥K_dev、第一随机数nonce1、第二随机数nonce2中的至少一项，以及第二参数集合采用密钥生成函数KDF生成终端设备的通信密钥K_com，即K_com＝KDF((K_dev，nonce1，nonce2的至少一项)，第二参数集合)，根据通信密钥K_com、第二层密钥K_dev中的任一项，以及第一随机数，第二随机数，第二参数集合生成第一消息验证码MAC1，并将第一消息验证码发送给网络认证服务器，示例性的，MAC1＝MAC((K_com或K_dev)，(nonce2，nonce1，第二参数集合的至少一项))。
S304、网络认证服务器接收终端设备发送的第一消息验证码，在对第一消息验证码验证通过后，向功能网元发送通信密钥。
可选的，在实现上述认证方式的过程中，在生成通信密钥、消息验证码过程中通过增加第二参数集合，可以提高保密性，增加通信密钥与终端设备的相关性。其中第二参数集合包括：用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数中的至少一种。可选的，在实现上述认证方式的过程中，在生成通信密钥、消息验证码过程中还可不根据第二参数集合，以简化通信密钥。
本申请各实施例中的第一参数集合和第二参数集合均相同，故下文不再赘述。
可选的，在上述生成通信密钥的过程中，也可采用通信密钥的密钥参数替代第二参数集合，也可同时采用通信密钥的密钥参数和第二参数集合。通信密钥的密钥参数包括如下中的至少一种：通信密钥随机数、通信密钥新鲜参数、通信密钥的预设时间参数。本领域技术人员清楚增加其他类似的参数、删除部分参数或采用其他类似参数替换本申请中的参数，也在本申请的保护范围内。具体的，在上述相互认证的过程中，当网络认证服务器生成通信密钥的过程中采用了通信密钥的密钥参数时，网络认证服务器需向终端设备发送通信密钥的密钥参数，当网络认证服务器生成通信密钥的过程中未采用通信密钥的密钥参数时，网络认证服务器无需向终端设备发送通信密钥的密钥参数。
具体的，在上述认证过程中，还可根据第二层密钥对第一消息验证码、第二消息验证码进行加密，以提高认证过程的保密性。具体的，在生成通信密钥K_com的过程中，若选择采用终端设备与网络认证服务器共享的第二层密钥生成K_com，则在相互认证过程中，也可不对第一随机数或第二随机数进行加密。在上述认证过程中，终端设备与网络认证服务器采用相同的密钥生成函数以及参数生成终端设备的通信密钥。终端设备与网络认证服务器在生成消息验证码的过程中，可采用不同的参数或采用顺序不同的参数，得到不同的消息验证码。
以下多种可能的认证方式中，也可采用上述相同或相似设置，下文不再赘述。
可选的，上述步骤S302中的通信密钥可由网络认证服务器根据第三随机数获得，当通信密钥根据第三随机数获得时，网络认证服务器采用第二层密钥将该通信密钥进行加密，发送给终端设备，以使终端设备在对加密后的通信密钥进行解密后，即可得到通信密钥。可选的，在随机生成通信密钥的过程中，可选择不对第一随机数和第二随机数进行加密。
第二种可能的认证实现方式：
图4为本发明密钥认证方法实施例二的信令流程图。如图4所示，包括：
S401、终端设备向网络认证服务器发送认证请求消息；
具体地，终端设备确定第一随机数、DH协议的第一传输参数。示例性的，可先确定第一参数x，根据第一参数x得到DH协议的第一传输参数gx，第一传输参数gx为预设DH协议的生成元g的第一参数次方，向网络认证服务器发送认证请求消息，认证请求消息包括第一随机数、第一传输参数和第一参数集合；
其中，本发明各实施例中的DH协议为Diffie-Hellman协议。
S402、网络认证服务器向终端设备发送第二随机数、第二传输参数和第二消息验证码；
具体地，网络认证服务器接收第一随机数、第一传输参数、第一参数集合，确定第二随机数、DH协议的第二传输参数，示例性的，可先确定第二参数y，根据第二参数y得到第二传输参数gy，第二传输参数gy为预设DH协议的生成元g的第二参数次方，根据第一传输参数gx和第二传输参数gy执行DH密钥协商算法得到第三传输参数gxy，根据第一随机数、第二随机数、第二参数集合中的至少一项，以及第三传输参数，采用密钥生成函数生成网络认证服务器的通信密钥，根据通信密钥、第二层密钥中的任一项，以及，第一传输参数，第二传输参数，第二参数集合生成第二消息验证码，将第二随机数和第二消息验证码，发送给终端设备；
S403、终端设备向网络认证服务器发送第一消息验证码；
具体地，终端设备接收网络认证服务器发送的第二随机数、第二传输参数、第二消息验证码，根据第一传输参数和第二传输参数执行DH密钥协商算法得到第三传输参数，在对第二消息验证码验证通过后，根据第一随机数、第二随机数、第二参数集合中的至少一项，以及第三传输参数，采用密钥生成函数生成终端设备的通信密钥，根据通信密钥、第二层密钥中的任一项，以及，第一随机数，第二随机数，第二参数集合，采用消息验证码生成函数生成第一消息验证码，并将第一消息验证码，发送给网络认证服务器；
S404、网络认证服务器接收终端设备发送的第一消息验证码，在对第一消息验证码验证通过后，向功能网元发送通信密钥。
可选的，在相互认证过程中，还可将第一随机数和第二随机数进行加密传输。可选的，在相互认证过程中，还可选择第一传输参数和第二传输参数中的至少一个进行加密。
可选的，当存在多种预设DH协议和群组时，在步骤401中，认证请求消息还包括终端设备选择的预设DH协议的DH协议标识和/或DH群组标识，网络认证服务器根据接收的DH协议标识，确定采用哪一种DH协议；根据DH群组标识确定传输参数生成中所采用的预设DH协议的群组，如生成元g。
与第一种可能的认证实现方式相比，通过增加第一传输参数和第二传输参数，增加了认证过程中密钥协商的保密性。
第三种可能的认证实现方式：
图5为本发明密钥认证方法实施例三的信令流程图。如图5所示，包括：
S501、终端设备向网络认证中心发送认证请求消息；
具体地，终端设备确定第一随机数，采用第二层密钥对第一随机数进行加密处理，得到加密处理后的第一随机数，根据第二参数集合、第一随机数中的至少一项，以及第二层密钥采用消息验证码生成函数生成第一消息验证码，向网络认证服务器发送认证请求消息，认证请求消息包括第一消息验证码、加密处理后的第一随机数、第一参数集合；
S502、网络认证服务器向终端设备发送第二随机数和第二消息验证码；
具体地，网络认证服务器根据第二层密钥对加密处理后的第一随机数进行解密，得到第一随机数，确定第二随机数，采用第二层密钥对第二随机数进行加密处理，得到加密处理后的第二随机数，在对第一消息验证码验证通过后，根据第二层密钥、第一随机数、第二随机数中的至少一项，以及第二参数集合，采用密钥生成函数生成网络认证服务器的通信密钥，根据通信密钥、第二层密钥中的任一项，以及，第一随机数、第二随机数、第二参数集合中的至少一项生成第二消息验证码，将加密处理后的第二随机数、第二消息验证码，发送给终端设备，并向功能网元发送通信密钥。
S503、终端设备生成通信密钥；
具体地，终端设备接收网络认证服务器发送的第二消息验证码和加密处理后的第二随机数，根据第二层密钥对加密处理后的第二随机数进行解密，得到第二随机数，在对第二消息验证码验证通过后，根据第二层密钥、第一随机数、第二随机数中的至少一项，以及第二参数集合，采用密钥生成函数生成终端设备的通信密钥。
可选的，在根据第二层密钥生成通信密钥时，可选择不对第一随机数和第二随机数进行加密。可选的，上述步骤S502中的通信密钥可由网络认证服务器根据第三随机数获得，当通信密钥根据第三随机数获得时，网络认证服务器采用第二层密钥将该通信密钥进行加密，发送给终端设备，以使终端设备在对加密后的通信密钥进行解密后，即可得到通信密钥。可选的，在随机生成通信密钥的过程中，也可选择不对第一随机数和第二随机数进行加密。
该种认证实现方式与第一种和第二种可能的认证实现方式相比，减少了信令交互次数，提高了认证效率。
第四种可能的认证实现方式：
图6为本发明密钥认证方法实施例四的信令流程图。如图6所示，包括：
S601、终端设备向网络认证服务器发送认证请求消息；
具体地，终端设备确定第一随机数，采用第二层密钥对第一随机数进行加密处理，得到加密处理后的第一随机数，根据第二层密钥、第一随机数中的至少一项，以及第二参数集合采用密钥生成函数生成终端设备的通信密钥，根据第二层密钥、通信密钥中的任一项，以及第二参数集合、第一随机数中的至少一项，采用消息验证码生成函数生成第一消息验证码，向网络认证服务器发送认证请求消息，认证请求消息包括第一消息验证码、加密处理后的第一随机数、第一参数集合；
S602、网络认证服务器向终端设备发送第二随机数和第二消息验证码；
具体地，网络认证服务器根据第二层密钥对加密处理后的第一随机数进行解密，得到第一随机数，确定第二随机数，采用第二层密钥对第二随机数进行加密处理，得到加密处理后的第二随机数，网络认证服务器在对第一消息验证码验证通过后，根据第二层密钥、第一随机数中的至少一项，以及第二参数集合，采用密钥生成函数生成终端设备的通信密钥，根据通信密钥、第二层密钥中的任一项，以及，第一随机数、第二随机数、第二参数集合中的至少一项生成第二消息验证码，将加密处理后的第二随机数、第二消息验证码，发送给终端设备，并向功能网元发送通信密钥；
S603、终端设备对第二消息验证码进行验证；
具体地，终端设备接收网络认证服务器发送的加密处理后的第二随机数和第二消息验证码，根据第二层密钥对加密的第二随机数进行解密，得到第二随机数，终端设备对第二消息验证码进行验证并确定验证通过。
该种认证实现方式与第一种和第二种可能的认证实现方式相比，减少了信令交互次数，提高了认证效率。
该种认证方式与第三种可能的认证方式相比，终端设备先根据第一随机数生成通信密钥，不再依赖网络认证中心服务器发送的第二随机数。可选的，在根据第二层密钥生成通信密钥时，可选择不对第一随机数和第二随机数进行加密。
第五种可能的认证方式：
图7为本发明密钥认证方法实施例五的信令流程图。如图7所示，包括：
S701、终端设备向网络认证服务器发送认证请求消息；
具体地，终端设备确定第一随机数、DH协议的第一传输参数，根据第一密钥和第一随机数，采用消息验证码生成函数生成第一消息验证码，向网络认证服务器发送认证请求消息，认证请求消息包括第一消息验证码、第一随机数、第一传输参数以及终端设备的设备标识；
S702、网络认证服务器向终端设备发送第二随机数、第二传输参数和第二消息验证码；
具体地，网络认证服务器确定第二随机数、DH协议的第二传输参数，根据第一传输参数和第二传输参数执行DH密钥协商算法得到第三传输参数，网络认证服务器在对第一消息验证码验证通过后，根据第一随机数、第二随机数、第二参数集合中的至少一项，以及第三传输参数采用密钥生成函数生成网络认证服务器的通信密钥，根据通信密钥、第二层密钥中的任一项，以及，第一随机数、第二随机数、第一传输参数、第二传输参数、第二参数集合中的任一项生成第二消息验证码，将第二随机数和第二消息验证码，发送给终端设备，并向功能网元发送通信密钥；
S703、终端设备验证第二消息验证码；
具体地，终端设备接收网络认证服务器发送的第二随机数、第二传输参数、第二消息验证码，根据第一传输参数和第二传输参数执行DH密钥协商算法得到第三传输参数；根据第一随机数、第二随机数中的至少一项，以及第三传输参数，采用密钥生成函数生成终端设备的通信密钥，对第二消息验证码进行验证并确定通过验证。
该种认证实现方式与第一种和第二种可能的认证实现方式相比，减少了信令交互次数，提高了认证效率。
可选的，在相互认证过程中，还可将第一随机数、第二随机数、第一传输参数、第二传输参数进行加密传输，以提高保密性。
可选的，当存在多种预设DH协议和群组时，在步骤701中，认证请求消息还包括终端设备选择的预设DH协议的DH协议标识和/或DH群组标识，网络认证服务器根据接收的DH协议标识，确定采用哪一种DH协议；根据DH群组标识确定传输参数生成中所采用的预设DH协议的群组，如生成元g。
与第一种可能的认证实现方式相比，通过增加第一传输参数和第二传输参数，增加了认证过程的保密性。
在基于身份密钥技术的认证方式中，包括如下可能的实现方式：
第六种可能的认证实现方式：
图8为本发明密钥认证方法实施例六的信令流程图。如图8所示，包括：
S801、终端设备向网络认证服务器发送认证请求消息，认证请求消息包括终端设备的公钥、第一数字签名、第一随机数，以及第二参数集合；
具体地，终端设备确定第一随机数，采用网络认证服务器的公钥对第一随机数进行加密处理，得到加密处理后的第一随机数，向网络认证服务器发送认证请求消息，认证请求消息包括终端设备的公钥、第一数字签名、加密处理后的第一随机数，以及第二参数集合；
S802、网络认证服务器向终端设备发送第二随机数和第二数字签名；
具体地，网络认证服务器根据网络认证服务器的私钥对加密处理后的第一随机数进行解密，得到第一随机数，确定第二随机数，采用终端设备的公钥对第二随机数进行加密处理，得到加密处理后的第二随机数，在对第一数字签名验证通过后，根据第一随机数、第二随机数中的至少一项，以及第二参数集合，采用密钥生成函数生成网络认证服务器的通信密钥，根据网络认证服务器的私钥、第一随机数、第二随机数和第二参数集合生成第二数字签名，将第二数字签名和加密处理后的第二随机数，发送给终端设备；
S803、终端设备向网络认证服务器发送第一消息验证码或第三数字签名；
具体地，终端设备接收网络认证服务器发送的加密处理后的第二随机数和第二数字签名，根据终端设备的第二层密钥对加密处理后的第二随机数进行解密，得到第二随机数，在对第二数字签名验证通过后，根据第一随机数、第二随机数中的至少一项，以及第二参数集合采用密钥生成函数生成终端设备的通信密钥，根据通信密钥、第一随机数、第二随机数和第二参数集合生成第一消息验证码，或者根据第二层密钥、第一随机数、第二随机数和第二参数集合生成第三数字签名，将第一消息验证码或第三数字签名发送给网络认证服务器；
S804、网络认证服务器接收终端设备发送的第一消息验证码或第三数字签名，在对第一消息验证码或第三数字签名验证通过后，向功能网元发送通信密钥。
其中，终端设备接收用户管理服务器发送的终端设备的公钥、第一数字签名，以及第二参数集合。
具体的，在上述认证过程中，还可对第一数字签名、第二数字签名和第三数字签名进行加密，以提高认证过程的保密性。
可选的，上述步骤S802中的通信密钥可由网络认证服务器根据第三随机数获得，当通信密钥根据第三随机数获得时，网络认证服务器采用终端设备的公钥将该通信密钥进行加密，发送给终端设备，以使终端设备根据终端设备的私钥，即第二层密钥对加密后的通信密钥进行解密后，即可得到通信密钥。可选的，在随机生成通信密钥的过程中，可选择不对第一随机数和第二随机数进行加密。
第七种可能的认证实现方式：
图9为本发明密钥认证方法实施例七的信令流程图。如图9所示，包括：
S901、终端设备向网络认证服务器发送认证请求消息，认证请求消息包括终端设备的公钥、第一数字签名、第一随机数、第一传输参数和第二参数集合；
具体地，终端设备确定第一随机数、DH协议的第一传输参数，向网络认证服务器发送认证请求消息，认证请求消息包括终端设备的公钥、第一数字签名、第一随机数、第一传输参数和第二参数集合；
S902、网络认证服务器向终端设备发送第二随机数、第二传输参数和第二数字签名；
具体地，网络认证服务器确定第二随机数、DH协议的第二传输参数，根据第一传输参数和第二传输参数执行DH密钥协商算法得到第三传输参数，在对第一数字签名验证通过后，网络认证服务器根据第一随机数、第二随机数、第二参数集合中的至少一项，以及第三传输参数采用密钥生成函数生成网络认证服务器的通信密钥，根据第一随机数、第二随机数、第二参数集合中的至少一项，以及网络认证服务器的私钥，第一传输参数，第二传输参数，生成第二数字签名，将第二随机数、第二传输参数和第二数字签名，发送给终端设备；
S903、终端设备向网络认证服务器发送第一消息验证码或第三数字签名；
具体地，终端设备接收网络认证服务器发送的第二传输参数、第二随机数和第二数字签名，根据第一传输参数和第二传输参数执行DH密钥协商算法得到第三传输参数，在对第二数字签名验证通过后，根据第一随机数、第二随机数、第二参数集合中的至少一项，以及第三传输参数采用密钥生成函数生成终端设备的通信密钥，根据第一随机数、第二随机数、第二参数集合中的至少一项，以及通信密钥，第一传输参数，第二传输参数，采用消息验证码生成函数生成第一消息验证码，或者根据第一随机数、第二随机数、第二参数集合中的至少一项，以及第二层密钥，第一传输参数，第二传输参数，生成第三数字签名，将第一消息验证码或第三数字签名，发送给网络认证服务器；
S904、网络认证服务器接收终端设备发送的第一消息验证码或第三数字签名，在对第一消息验证码或第三数字签名验证通过后，向功能网元发送通信密钥。
第八种可能的认证实现方式：
图10为本发明密钥认证方法实施例八的信令流程图。如图10所示，包括：
S1001、终端设备向网络认证中心发送认证请求消息，认证请求消息包括终端设备的公钥、第一数字签名、第三数字签名、第一随机数，以及第二参数集合；
具体地，终端设备确定第一随机数，采用网络认证服务器的公钥对第一随机数进行加密处理，得到加密处理后的第一随机数，根据第二层密钥、第一随机数和第二参数集合生成第三数字签名，向网络认证服务器发送认证请求消息，认证请求消息包括终端设备的公钥、第一数字签名、第三数字签名、加密处理后的第一随机数，以及第二参数集合；
S1002、网络认证服务器向终端设备发送第二随机数和第二数字签名；
具体地，网络认证服务器根据网络认证服务器的私钥对加密处理后的第一随机数进行解密，得到第一随机数，确定第二随机数，采用终端设备的公钥对第二随机数进行加密处理，得到加密处理后的第二随机数，在对第一数字签名和第三数字签名验证通过后，根据第一随机数、第二随机数中的至少一项，以及第二参数集合，采用密钥生成函数生成网络认证服务器的通信密钥，根据网络认证服务器的私钥、第一随机数、第二随机数和第二参数集合生成第二数字签名，将第二数字签名和加密处理后的第二随机数，发送给终端设备，并向功能网元发送通信密钥。
S1003、终端设备生成通信密钥；
具体地，终端设备接收网络认证服务器发送的第二数字签名和加密处理后的第二随机数，根据终端设备的第二层密钥对加密处理后的第二随机数进行解密，得到第二随机数，在对第二数字签名验证通过后，根据第一随机数、第二随机数中的至少一项，以及第二参数集合采用密钥生成函数生成终端设备的通信密钥。
可选的，上述步骤S1002中的通信密钥可由网络认证服务器根据第三随机数获得，当通信密钥根据第三随机数获得时，网络认证服务器采用终端设备的公钥将该通信密钥进行加密，发送给终端设备，以使终端设备根据终端设备的私钥，即第二层密钥对加密后的通信密钥进行解密后，即可得到通信密钥。可选的，在随机生成通信密钥的过程中，可选择不对第一随机数和第二随机数进行加密。
该种认证实现方式与第六种和第七种可能的认证实现方式相比，减少了信令交互次数，提高了认证效率。
在基于分等级的身份密钥技术的认证方式中，包括如下可能的实现方式：
第九种可能的认证实现方式，
图11为本发明密钥认证方法实施例九的信令流程图。如图11所示，包括：
S1101、终端设备向网络认证服务器发送认证请求消息，认证请求消息包括终端设备的公钥、第一随机数，以及第二参数集合；
具体地，终端设备确定第一随机数，采用网络认证服务器的公钥对第一随机数进行加密处理，得到加密处理后的第一随机数，向网络认证服务器发送认证请求消息，认证请求消息包括终端设备的公钥、加密处理后的第一随机数，以及第二参数集合；
S1102、网络认证服务器向终端设备发送第二随机数和第二数字签名；
具体地，网络认证服务器根据网络认证服务器的私钥对加密处理后的第一随机数进行解密，得到第一随机数，确定第二随机数，采用终端设备的公钥对第二随机数进行加密处理，得到加密处理后的第二随机数，根据第一随机数、第二随机数中的至少一项，以及第二参数集合，采用密钥生成函数生成网络认证服务器的通信密钥，根据网络认证服务器的私钥、第一随机数、第二随机数和第二参数集合生成第二数字签名，将加密处理后的第二随机数、第二数字签名，发送给设备终端；
S1103、终端设备向网络认证服务器发送第一消息验证码或第三数字签名；
具体地，终端设备接收网络认证服务器发送的加密处理后的第二随机数和第二数字签名，根据终端设备的第二层密钥对加密处理后的第二随机数进行解密，得到第二随机数，在对第二数字签名验证通过后，根据第一随机数、第二随机数中的至少一项，以及第二参数集合采用密钥生成函数生成终端设备的通信密钥，根据通信密钥、第一随机数、第二随机数和第二参数集合生成第一消息验证码，或者根据第二层密钥、第一随机数、第二随机数和第二参数集合生成第三数字签名，将第一消息验证码或第三数字签名发送给网络认证服务器；
S1104、网络认证服务器接收终端设备发送的第一消息验证码或第三数字签名，在对第一消息验证码或第三数字签名验证通过后，向功能网元发送通信密钥。
可选的，上述步骤S1102中的通信密钥可由网络认证服务器根据第三随机数获得，当通信密钥根据第三随机数获得时，网络认证服务器采用终端设备的公钥将该通信密钥进行加密，发送给终端设备，以使终端设备根据终端设备的私钥，即第二层密钥对加密后的通信密钥进行解密后，即可得到通信密钥。可选的，在随机生成通信密钥的过程中，可选择不对第一随机数和第二随机数进行加密。
第十种可能的认证实现方式：
图12为本发明密钥认证方法实施例十的信令流程图。如图12所示，包括：
S1201、终端设备向网络认证服务器发送认证请求消息，认证请求消息包括终端设备的公钥、第一随机数、第一传输参数和第二参数集合；
具体地，终端设备确定第一随机数、DH协议的第一传输参数，向网络认证服务器发送认证请求消息，认证请求消息包括终端设备的公钥、第一随机数、第一传输参数和第二参数集合；
S1202、网络认证服务器向终端设备发送第二随机数、第二传输参数和第二数字签名；
具体地，网络认证服务器确定第二随机数、DH协议的第二传输参数，根据第一传输参数和第二传输参数执行DH密钥协商算法得到第三传输参数，根据第一随机数、第二随机数、第二参数集合中的至少一项，以及第三传输参数采用密钥生成函数生成网络认证服务器的通信密钥，根据第一随机数、第二随机数、第二参数集合中的至少一项，以及网络认证服务器的私钥，第一传输参数，第二传输参数，生成第二数字签名，将第二随机数、第二传输参数和第二数字签名，发送给终端设备；
S1203、终端设备向网络认证服务器发送第一消息验证码或第三数字签名；
具体地，终端设备接收网络认证服务器发送的第二传输参数、第二随机数和第二数字签名，根据第一传输参数和第二传输参数执行DH密钥协商算法得到第三传输参数，在对第二数字签名验证通过后，根据第一随机数、第二随机数、第二参数集合中的至少一项，以及第三传输参数采用密钥生成函数生成终端设备的通信密钥，根据第一随机数、第二随机数、第二参数集合中的至少一项，以及通信密钥，第一传输参数，第二传输参数，采用消息验证码生成函数生成第一消息验证码，或者根据第一随机数、第二随机数、第二参数集合中的至少一项，以及第二层密钥，第一传输参数，第二传输参数，生成第三数字签名，将第一消息验证码或第三数字签名，发送给网络认证服务器；
S1204、网络认证服务器接收终端设备发送的第一消息验证码或第三数字签名，在对第一消息验证码或第三数字签名验证通过后，向功能网元发送通信密钥。
第十一种可能的认证实现方式：
图13为本发明密钥认证方法实施例十一的信令流程图。如图13所示，包括：
S1301、终端设备向网络认证中心发送认证请求消息，认证请求消息包括终端设备的公钥、第三数字签名、第一随机数，以及第二参数集合；
具体地，终端设备确定第一随机数，采用网络认证服务器的公钥对第一随机数进行加密处理，得到加密处理后的第一随机数，根据第二层密钥、第一随机数和第二参数集合生成第三数字签名，向网络认证服务器发送认证请求消息，认证请求消息包括终端设备的公钥、第三数字签名、加密处理后的第一随机数，以及第二参数集合；
S1302、网络认证服务器向终端设备发送第二随机数和第二数字签名；
具体地，网络认证服务器根据网络认证服务器的私钥对加密处理后的第一随机数进行解密，得到第一随机数，确定第二随机数，采用终端设备的公钥对第二随机数进行加密处理，得到加密处理后的第二随机数，在对第三数字签名验证通过后，根据第一随机数、第二随机数中的至少一项，以及第二参数集合，采用密钥生成函数生成网络认证服务器的通信密钥，根据网络认证服务器的私钥、第一随机数、第二随机数和第二参数集合生成第二数字签名，将第二数字签名和加密处理后的第二随机数，发送给终端设备，并向功能网元发送通信密钥。
S1303、终端设备生成通信密钥；
具体地，终端设备接收网络认证服务器发送的第二数字签名和加密处理后的第二随机数，根据终端设备的第二层密钥对加密处理后的第二随机数进行解密，得到第二随机数，在对第二数字签名验证通过后，根据第一随机数、第二随机数中的至少一项，以及第二参数集合采用密钥生成函数生成终端设备的通信密钥。
可选的，上述步骤S1302中的通信密钥可由网络认证服务器根据第三随机数获得，当通信密钥根据第三随机数获得时，网络认证服务器采用终端设备的公钥将该通信密钥进行加密，发送给终端设备，以使终端设备根据终端设备的私钥，即第二层密钥对加密后的通信密钥进行解密后，即可得到通信密钥。可选的，在随机生成通信密钥的过程中，可选择不对第一随机数和第二随机数进行加密。可选的，若仅使用第一随机数生成通信密钥时，终端设备可以在步骤S1301时执行步骤S1303中生成通信密钥的动作。
该种认证实现方式与第九种和第十种可能的认证实现方式相比，减少了信令交互次数，提高了认证效率。
在隐私增强的身份密钥技术的认证方式中，用户管理服务器的公钥为与终端设备的第二层密钥对应的终端设备的公钥，认证方式包括如下可能的实现方式：
第十二种可能的认证实现方式：
图14为本发明密钥认证方法实施例十二的信令流程图。如图14所示，包括：
S1401、终端设备向网络认证服务器发送认证请求消息，认证请求消息包括用户管理服务器的公钥、第一随机数、第一传输参数和第二参数集合；
具体地，终端设备确定第一随机数、DH协议的第一传输参数，向网络认证服务器发送认证请求消息，认证请求消息包括用户管理服务器的公钥、第一随机数、第一传输参数和第二参数集合；
S1402、网络认证服务器向终端设备发送第二随机数、第二传输参数和第二数字签名；
具体地，网络认证服务器确定第二随机数、DH协议的第二传输参数，根据第一传输参数和第二传输参数执行DH密钥协商算法得到第三传输参数，网络认证服务器根据第一随机数、第二随机数、第二参数集合中的至少一项，以及第三传输参数采用密钥生成函数生成网络认证服务器的通信密钥，根据第一随机数、第二随机数、第二参数集合中的至少一项，以及网络认证服务器的私钥，第一传输参数，第二传输参数，生成第二数字签名，将第二随机数、第二传输参数和第二数字签名，发送给终端设备；
S1403、终端设备向网络认证服务器发送第一消息验证码或第三数字签名；
具体地，终端设备接收网络认证服务器发送的第二传输参数、第二随机数和第二数字签名，根据第一传输参数和第二传输参数执行DH密钥协商算法得到第三传输参数，在对第二数字签名验证通过后，根据第一随机数、第二随机数、第二参数集合中的至少一项，以及第三传输参数采用密钥生成函数生成终端设备的通信密钥，根据第一随机数、第二随机数、第二参数集合中的至少一项，以及通信密钥，第一传输参数，第二传输参数，采用消息验证码生成函数生成第一消息验证码，或者根据第一随机数、第二随机数、第二参数集合中的至少一项，以及第二层密钥，第一传输参数，第二传输参数，生成第三数字签名，将第一消息验证码或第三数字签名，发送给网络认证服务器；
S1404、网络认证服务器接收终端设备发送的第一消息验证码或第三数字签名，在对第一消息验证码或第三数字签名验证通过后，向功能网元发送通信密钥。
第十三种可能的认证实现方式：
图15为本发明密钥认证方法实施例十三的信令流程图。如图15所示，包括：
S1501、终端设备向网络认证服务器发送认证请求消息，认证请求消息包括用户管理服务器的公钥、第三数字签名、第一随机数、第一传输参数和第二参数集合；
具体地，终端设备确定第一随机数、DH协议的第一传输参数，根据第一随机数、第二参数集合中的至少一项，以及第二层密钥，第一传输参数，生成第三数字签名，向网络认证服务器发送认证请求消息，认证请求消息包括用户管理服务器的公钥、第三数字签名，第一随机数、第一传输参数和第二参数集合；
S1502、网络认证服务器向终端设备发送第二随机数和第二数字签名；
具体地，网络认证服务器确定第二随机数、DH协议的第二传输参数，根据第一传输参数和第二传输参数执行DH密钥协商算法得到第三传输参数，在对第三数字签名验证通过后，网络认证服务器根据第一随机数、第二随机数、第二参数集合中的至少一项，以及第三传输参数采用密钥生成函数生成网络认证服务器的通信密钥，根据第一随机数、第二随机数、第二参数集合中的至少一项，以及网络认证服务器的私钥，第一传输参数，第二传输参数，生成第二数字签名，将第二随机数、第二传输参数和第二数字签名，发送给终端设备，并向功能网元发送通信密钥
S1503、终端设备生成通信密钥；
具体地，终端设备接收网络认证服务器发送的第二传输参数、第二随机数和第二数字签名，根据第一传输参数和第二传输参数执行DH密钥协商算法得到第三传输参数，在对第二数字签名验证通过后，根据第一随机数、第二随机数、第二参数集合中的至少一项，以及第三传输参数采用密钥生成函数生成终端设备的通信密钥。
可选的，在步骤1502中，网络认证服务器还可在生成通信密钥后，根据通信密钥生成消息验证码，并将消息验证码发送给终端设备，终端设备可先生成通信密钥，再对接收到的消息验证码进行验证。可选的，若仅使用第一随机数生成通信密钥时，终端设备可以在步骤S1501时执行步骤S1503中生成通信密钥的动作。
该种认证实现方式与第十二种可能的认证实现方式相比，减少了信令交互次数，提高了认证效率。
可选的，在上述第七种、第十种、第十二种、第十三种可能的认证实现方式中，当存在多种预设DH协议和群组时，认证请求消息还包括终端设备选择的预设DH协议的DH协议标识和/或DH群组标识，网络认证服务器根据接收的DH协议标识，确定采用哪一种DH协议；根据DH群组标识确定传输参数生成中所采用的预设DH协议的群组，如生成元g。
在上述基于非对称密钥技术的认证方式中，网络认证服务器还接收终端设备发送的公钥请求消息；并向终端设备发送网络认证服务器的公钥。
本发明实施例另一方面提供一种业务中心服务器用以执行上述实施例中的密钥分发方法，具有相同的技术特征和技术效果。
图16为本发明用户管理服务器实施例一的结构示意图。如图16所示，该服务器包括：
请求发送模块1601，用于向业务中心服务器发送第一密钥请求消息，第一密钥请求消息用于指示业务中心服务器生成用户管理服务器的第一层密钥，第一密钥请求消息包含用户管理服务器的用户标识；
密钥接收模块1602，用于接收业务中心服务器发送的用户管理服务器的第一层密钥；
密钥生成分发模块1603，用于根据第一层密钥生成终端设备的第二层密钥，并将第二层密钥发送给终端设备，以使终端设备通过第二层密钥，与网络认证服务器进行相互认证以获取终端设备与功能网元的通信密钥。
可选的，在图16所示实施例的基础上，密钥生成分发模块1602具体用于：
根据第一层密钥和第一参数集合，采用密钥生成函数生成终端设备的第二层密钥，并将第二层密钥和第一参数集合发送给终端设备，以使终端设备通过第二层密钥，与网络认证服务器进行相互认证获取终端设备与功能网元的通信密钥；
其中，第一参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数、第二层密钥的密钥随机数、第二层密钥的新鲜参数、第二层密钥的时间参数中的至少一种。
可选的，在图16所示实施例的基础上，第一层密钥为用户管理服务器的私钥，密钥生成分发模块1602具体用于：
根据用户管理服务器的私钥和第一参数集合，生成终端设备的第二层密钥和终端设备的公钥，第二层密钥为与终端设备的公钥对应的终端设备的私钥；
根据第一层密钥、终端设备的公钥，以及第一参数集合生成第一数字签名；
将终端设备的公钥、第二层密钥、第一数字签名，以及第二参数集合发送给终端设备，以使终端设备通过第二层密钥，与网络认证服务器进行相互认证获取终端设备与功能网元的通信密钥；
其中，第一参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数、第二层密钥的密钥随机数、第二层密钥的新鲜参数、第二层密钥的时间参数中的至少一种；
第二参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数中的至少一种。
可选的，在图16所示实施例的基础上，第一层密钥为用户管理服务器的私钥，密钥生成分发模块1602具体用于：
根据用户管理服务器的私钥和终端设备的设备标识，基于设备身份生成算法生成终端设备的第二层密钥，第二层密钥为终端设备的私钥；
将第二参数集合、第二层密钥以及与终端设备的私钥对应的终端设备的公钥发送给终端设备，以使终端设备通过第二层密钥，与网络认证服务器进行相互认证获取终端设备与功能网元的通信密钥；
其中，第二参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数中的至少一种。
可选的，在图16所示实施例的基础上，第一层密钥为用户管理服务器的私钥，密钥接收模块还用于接收业务中心服务器发送的用户管理服务器的公钥，密钥生成分发模块1602具体用于：
根据用户管理服务器的私钥，采用隐私增强的密钥技术的生成算法生成终端设备的第二层密钥，第二层密钥为终端设备的私钥；
将用户管理服务器的公钥、第二层密钥、和第二参数集合发送给终端设备，以使终端设备通过第二层密钥，与网络认证服务器进行相互认证获取终端设备与功能网元的通信密钥；
其中，第二参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数中的至少一种。
本发明实施例再一方面提供一种业务中心服务器用以执行上述实施例中的密钥分发方法，具有相同的技术特征和技术效果。
图17为本发明业务中心服务器实施例一的结构示意图。如图17所示，该服务器包括：
密钥请求接收模块1701，用于接收用户管理服务器发送的第一密钥请求消息，第一密钥请求消息用于指示业务中心服务器生成用户管理服务器的第一层密钥，第一密钥请求消息包含用户管理服务器的用户标识；
密钥生成分发模块1702，用于根据第一密钥请求消息生成用户标识对应的用户管理服务器的第一层密钥，并将第一层密钥发送给用户管理服务器。
可选的，在图17所示实施例的基础上，密钥生成分发模块1702具体用于：
根据第三参数集合，采用密钥生成函数生成用户管理服务器的第一层密钥，并将第一层密钥发送给用户管理服务器；
其中，第三参数集合包括第一层密钥的密钥随机数、第一层密钥的新鲜参数、第一层密钥的时间参数、共享密钥中的至少一种，共享密钥为用户管理服务器与业务中心服务器的共享密钥；
或者
确定业务随机数，并将其作为用户管理服务器的第一层密钥，将第一层密钥发送给用户管理服务器。
可选的，在图17所示实施例的基础上，第一密钥请求消息中还包括用户管理服务器的网络标识、业务参数中的至少一种，密钥生成分发模块1702具体用于：
根据第四参数集合，采用密钥生成函数生成用户管理服务器的第一层密钥，并将第一层密钥发送给用户管理服务器；
其中，第四参数集合包括用户管理服务器的用户标识、用户管理服务器的网络标识、业务参数、第一层密钥的密钥随机数、第一层密钥的新鲜参数、第一层密钥的时间参数、共享密钥中的至少一种，共享密钥为用户管理服务器与业务中心服务器的共享密钥。
可选的，在图17所示实施例的基础上，密钥生成分发模块1702具体用于：
根据用户管理服务器的用户标识，基于身份密码系统的密钥生成算法生成用户管理服务器的第一层密钥，并将第一层密钥发送给用户管理服务器，第一层密钥为用户管理服务器的私钥。
可选的，在图17所示实施例的基础上，密钥生成分发模块1702具体用于：
根据用户管理服务器的用户标识和第五参数集合，基于身份密码系统的密钥生成算法生成用户管理服务器的第一层密钥，并将第一层密钥发送给用户管理服务器，第一层密钥为用户管理服务器的私钥；
其中，第五参数集合包括如下中的至少一种：
第一层密钥的密钥随机数、第一层密钥的新鲜参数、第一层密钥的时间参数。
可选的，在图17所示实施例的基础上，密钥生成分发模块1702具体用于：
采用隐私增强的密钥技术生成用户管理服务器的私钥和用户管理服务器的公钥，其中用户管理服务器的私钥为用户管理服务器的第一层密钥，并将第一层密钥和用户管理服务器的公钥发送给用户管理服务器。
可选的，在图17所示实施例的基础上，当相互认证过程为基于对称密钥技术时，密钥请求接收模块1701还用于，接收网络认证服务器发送的第二密钥请求消息，第二密钥请求消息包含用户管理服务器的用户标识；
密钥生成分发模块1202还用于，根据第二密钥请求消息中用户管理服务器的用户标识检索得到第一层密钥，或生成第一层密钥，并将第一层密钥发送给网络认证服务器，以使网络认证服务器根据第一层密钥生成终端设备的第二层密钥，并根据第二层密钥与终端设备进行相互认证。
可选的，在图17所示实施例的基础上，当相互认证过程为基于对称密钥技术时，密钥请求接收模块1701还用于，接收网络认证服务器发送的第二密钥请求消息，第二密钥请求消息中包括第一参数集合；
密钥生成分发模块1702还用于，根据第一层密钥和第一参数集合，采用密钥生成函数生成终端设备的第二层密钥，并将第二层密钥发送给网络认证服务器以使得网络认证服务器根据第二层密钥与终端设备进行相互认证；
其中，第一参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数、第二层密钥的密钥随机数、第二层密钥的新鲜参数、第二层密钥的时间参数中的至少一种。
本发明实施例又一方面提供一种终端设备用以执行上述实施例中的密钥认证方法，具有相同的技术特征和技术效果。
图18为本发明终端设备实施例一的结构示意图。如图18所示，该终端设备包括：
密钥接收模块1801，用于接收用户管理服务器发送的终端设备的第二层密钥；
认证模块1802，用于根据第二层密钥，与网络认证服务器进行相互认证以获取终端设备与功能网元的通信密钥。
下面采用具体实施例对认证模块1802的相互认证过程进行详细说明，如上述方法实施例所述，相互认证方式至少包括基于对称密钥技术的认证方式和基于身份密钥技术的认证方式。
在基于对称密钥技术的认证方式中，包括如下可能的实现方式：
第一种可行的认证方式中，密钥接收模块1801还用于接收用户管理服务器发送的第一参数集合；认证模块1802具体用于：
确定第一随机数，采用第二层密钥对第一随机数进行加密处理，得到加密处理后的第一随机数，向网络认证服务器发送认证请求消息，认证请求消息包括第一参数集合和加密处理后的第一随机数；
接收网络认证服务器发送的加密处理后的第二随机数和第二消息验证码，根据第二层密钥对加密处理后的第二随机数进行解密，得到第二随机数，加密处理后的第二随机数为网络认证服务器采用第二层密钥对第二随机数加密处理得到；
在对第二消息验证码验证通过后，根据第二层密钥、第一随机数、第二随机数中的至少一项，以及第二参数集合采用密钥生成函数生成终端设备的通信密钥，根据通信密钥、第二层密钥中的任一项，以及第一随机数，第二随机数，第二参数集合生成第一消息验证码，并将第一消息验证码发送给网络认证服务器，以使网络认证服务器对第一消息验证码进行验证；
其中，第一参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数、第二层密钥的密钥随机数、第二层密钥的新鲜参数、第二层密钥的时间参数中的至少一种；
第二参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数中的至少一种。
第二种可行的认证方式中，密钥接收模块1801还用于接收用户管理服务器发送的第一参数集合；认证模块1802具体用于：
确定第一随机数，向网络认证服务器发送认证请求消息，认证请求消息包括第一参数集合和第一随机数；
接收网络认证服务器发送第二随机数和第二消息验证码；
在对第二消息验证码验证通过后，根据第一随机数、第二随机数、第二参数集合中的至少一项，以及第二层密钥，采用密钥生成函数生成终端设备的通信密钥，根据通信密钥、第二层密钥中的任一项，以及第一随机数，第二随机数，第二参数集合生成第一消息验证码，并将第一消息验证码，发送给网络认证服务器，以使网络认证服务器对第一消息验证码进行验证；
其中，第一参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数、第二层密钥的密钥随机数、第二层密钥的新鲜参数、第二层密钥的时间参数中的至少一种；
第二参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数中的至少一种。
第三种可行的认证方式中，密钥接收模块1801还用于接收用户管理服务器发送的第一参数集合；认证模块1802具体用于：
确定第一随机数，向网络认证服务器发送认证请求消息，认证请求消息包括第一参数集合和第一随机数；
接收网络认证服务器发送的第二随机数、第二消息验证码和加密处理后的通信密钥，根据第二层密钥对加密处理后的通信密钥进行解密，得到通信密钥，加密处理后的通信密钥为网络认证服务器采用第二层密钥对通信密钥加密处理得到；
在对第二消息验证码验证通过后，根据通信密钥、第二层密钥中的任一项，以及第一随机数，第二随机数，以及第二参数集合生成第一消息验证码，并将第一消息验证码，发送给网络认证服务器，以使网络认证服务器对第一消息验证码进行验证；
其中，第一参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数、第二层密钥的密钥随机数、第二层密钥的新鲜参数、第二层密钥的时间参数中的至少一种；
第二参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数中的至少一种。
第四种可行的认证方式中，密钥接收模块1801还用于接收用户管理服务器发送的第一参数集合；认证模块1802具体用于：
确定第一随机数、DH协议的第一传输参数，向网络认证服务器发送认证请求消息，认证请求消息包括第一随机数、第一传输参数和第一参数集合；
接收网络认证服务器发送的第二传输参数、第二随机数和第二消息验证码，根据第一传输参数和第二传输参数执行DH密钥协商算法得到第三传输参数；
在对第二消息验证码验证通过后，根据第一随机数、第二随机数、第二参数集合中的至少一项，以及第三传输参数，采用密钥生成函数生成终端设备的通信密钥，根据通信密钥、第二层密钥中的任一项，以及，第一随机数，第二随机数，第二参数集合，采用消息验证码生成函数生成第一消息验证码，并将第一消息验证码，发送给网络认证服务器，以使网络认证服务器对第一消息验证码进行验证；
其中，第一参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数、第二层密钥的密钥随机数、第二层密钥的新鲜参数、第二层密钥的时间参数中的至少一种；
第二参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数中的至少一种。
第五种可行的认证方式中，密钥接收模块1801还用于接收用户管理服务器发送的第一参数集合；认证模块1802具体用于：
确定第一随机数，采用第二层密钥对第一随机数进行加密处理，得到加密处理后的第一随机数，根据第二参数集合、第一随机数中的至少一项，以及第二层密钥采用消息验证码生成函数生成第一消息验证码，向网络认证服务器发送认证请求消息，认证请求消息包括第一消息验证码、加密处理后的第一随机数、第一参数集合；
接收网络认证服务器发送的第二消息验证码和加密处理后的第二随机数，根据第二层密钥对加密处理后的第二随机数进行解密，得到第二随机数，加密处理后的第二随机数为网络认证服务器采用第二层密钥对第二随机数加密处理得到；
在对第二消息验证码验证通过后，根据第二层密钥、第一随机数、第二随机数中的至少一项，以及第二参数集合，采用密钥生成函数生成终端设备的通信密钥；
其中，第一参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数、第二层密钥的密钥随机数、第二层密钥的新鲜参数、第二层密钥的时间参数中的至少一种；
第二参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数中的至少一种。
第六种可行的认证方式中，密钥接收模块1801还用于接收用户管理服务器发送的第一参数集合；认证模块1802具体用于：
确定第一随机数，根据第二参数集合、第一随机数中的至少一项，以及第二层密钥采用消息验证码生成函数生成第一消息验证码，向网络认证服务器发送认证请求消息，认证请求消息包括第一消息验证码、第一随机数、第一参数集合；
备接收网络认证服务器发送的第二随机数和第二消息验证码；
在对第二消息验证码验证通过后，根据第一随机数、第二随机数、第二参数集合中的至少一项，以及第二层密钥采用密钥生成函数生成终端设备的通信密钥；
其中，第一参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数、第二层密钥的密钥随机数、第二层密钥的新鲜参数、第二层密钥的时间参数中的至少一种；
第二参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数中的至少一种。
第七种可行的认证方式中，密钥接收模块1801还用于接收用户管理服务器发送的第一参数集合；认证模块1802具体用于：
确定第一随机数，根据第二参数集合、第一随机数中的至少一项，以及第二层密钥采用消息验证码生成函数生成第一消息验证码，向网络认证服务器发送认证请求消息，认证请求消息包括第一消息验证码、第一随机数、第一参数集合；
接收网络认证服务器发送的第二随机数、第二消息验证码和加密处理后的通信密钥；
在根据第二随机数对第二消息验证码验证通过后，根据第二层密钥对加密处理后的通信密钥进行解密，得到通信密钥；
其中，第一参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数、第二层密钥的密钥随机数、第二层密钥的新鲜参数、第二层密钥的时间参数中的至少一种；
第二参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数中的至少一种。
第八种可行的认证方式中，密钥接收模块1801还用于接收用户管理服务器发送的第一参数集合；认证模块1802具体用于：
确定第一随机数，采用第二层密钥对第一随机数进行加密处理，得到加密处理后的第一随机数，根据第二层密钥、第一随机数中的至少一项，以及第二参数集合采用密钥生成函数生成终端设备的通信密钥，根据第二层密钥、通信密钥中的任一项，以及第二参数集合、第一随机数中的至少一项，采用消息验证码生成函数生成第一消息验证码，向网络认证服务器发送认证请求消息，认证请求消息包括第一消息验证码、加密处理后的第一随机数、第一参数集合；
接收网络认证服务器发送的第二消息验证码和加密处理后的第二随机数，根据第二层密钥对加密处理后的第二随机数进行解密，得到第二随机数，加密处理后的第二随机数为网络认证服务器采用第二层密钥对第二随机数加密处理得到，根据第二随机数对第二消息验证码进行验证并确定通过；
其中，第一参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数、第二层密钥的密钥随机数、第二层密钥的新鲜参数、第二层密钥的时间参数中的至少一种；
第二参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数中的至少一种。
第九种可行的认证方式中，密钥接收模块1801还用于接收用户管理服务器发送的第一参数集合；认证模块1802具体用于：
确定第一随机数，根据第一随机数、第二参数集合中的至少一项，以及第二层密钥采用密钥生成函数生成终端设备的通信密钥，根据第二层密钥、通信密钥中的任一项，以及第二参数集合、第一随机数中的至少一项，采用消息验证码生成函数生成第一消息验证码，向网络认证服务器发送认证请求消息，认证请求消息包括第一消息验证码、第一随机数、第一参数集合；
接收网络认证服务器发送的第二随机数和第二消息验证码，对第二消息验证码进行验证并确定通过；
其中，第一参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数、第二层密钥的密钥随机数、第二层密钥的新鲜参数、第二层密钥的时间参数中的至少一种；
第二参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数中的至少一种。
第十种可行的认证方式中，密钥接收模块1801还用于接收用户管理服务器发送的第一参数集合；认证模块1802具体用于：
确定第一随机数、DH协议的第一传输参数，根据第二层密钥、第一随机数和第二参数集合，采用消息验证码生成函数生成第一消息验证码，向网络认证服务器发送认证请求消息，认证请求消息包括第一随机数、第一传输参数、第一消息验证码、第一参数集合；
接收网络认证服务器发送的第二传输参数、第二随机数和第二消息验证码，根据第一传输参数和第二传输参数执行DH密钥协商算法得到第三传输参数；
在对第二消息验证码验证通过后，根据第一随机数、第二随机数、第二参数集合中的至少一项，以及第三传输参数采用密钥生成函数生成终端设备的通信密钥；
其中，第一参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数、第二层密钥的密钥随机数、第二层密钥的新鲜参数、第二层密钥的时间参数中的至少一种；
第二参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数中的至少一种。
基于身份密钥技术的认证方式中，第二层密钥为终端设备的私钥，终端设备的公钥为与第二层密钥相对应。包括如下可能的实现方式：
第二十一种可行的认证方式中，密钥接收模块1801还用于，接收用户管理服务器发送的终端设备的公钥、第一数字签名，以及第二参数集合；认证模块1802具体用于：
确定第一随机数，采用网络认证服务器的公钥对第一随机数进行加密处理，得到加密处理后的第一随机数，向网络认证服务器发送认证请求消息，认证请求消息包括终端设备的公钥、第一数字签名、加密处理后的第一随机数，以及第二参数集合；
接收网络认证服务器发送的加密处理后的第二随机数和第二数字签名，根据终端设备的第二层密钥对加密处理后的第二随机数进行解密，得到第二随机数，加密处理后的第二随机数为网络认证服务器采用终端设备的公钥对第二随机数加密处理得到；
在对第二数字签名验证通过后，根据第一随机数、第二随机数中的至少一项，以及第二参数集合采用密钥生成函数生成终端设备的通信密钥，根据通信密钥、第一随机数、第二随机数和第二参数集合生成第一消息验证码，或者根据第二层密钥、第一随机数、第二随机数和第二参数集合生成第三数字签名，将第一消息验证码或第三数字签名发送给网络认证服务器，以使网络认证服务器对第一消息验证码或第三数字签名进行验证；
其中，第二参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数中的至少一种。
第二十二种可行的认证方式中，密钥接收模块1801还用于，接收用户管理服务器发送的终端设备的公钥和第二参数集合；认证模块1802具体用于：
确定第一随机数，采用网络认证服务器的公钥对第一随机数进行加密处理，得到加密处理后的第一随机数，向网络认证服务器发送认证请求消息，认证请求消息包括终端设备的公钥、加密处理后的第一随机数，以及第二参数集合；
接收网络认证服务器发送的加密处理后的第二随机数和第二数字签名，根据终端设备的第二层密钥对加密处理后的第二随机数进行解密，得到第二随机数，加密处理后的第二随机数为网络认证服务器采用终端设备的公钥对第二随机数加密处理得到；
在对第二数字签名验证通过后，根据第一随机数、第二随机数中的至少一项，以及第二参数集合采用密钥生成函数生成终端设备的通信密钥，根据通信密钥、第一随机数、第二随机数和第二参数集合生成第一消息验证码，或者根据第二层密钥、第一随机数、第二随机数和第二参数集合生成第三数字签名，将第一消息验证码或第三数字签名发送给网络认证服务器，以使网络认证服务器对第一消息验证码或第三数字签名进行验证；
其中，第二参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数中的至少一种。
第二十三种可行的认证方式中，密钥接收模块1801还用于，接收用户管理服务器发送的用户管理服务器的公钥和第二参数集合，用户管理服务器的公钥为与终端设备的第二层密钥对应的终端设备的公钥；认证模块1802具体用于：
确定第一随机数、DH协议的第一传输参数，向网络认证服务器发送认证请求消息，认证请求消息包括终端设备的公钥、第一随机数、第一传输参数和第二参数集合；
接收网络认证服务器发送的第二传输参数、第二随机数和第二数字签名，根据第一传输参数和第二传输参数执行DH密钥协商算法得到第三传输参数；
在对第二数字签名验证通过后，根据第一随机数、第二随机数、第二参数集合中的至少一项，以及第三传输参数采用密钥生成函数生成终端设备的通信密钥，根据第一随机数、第二随机数、第二参数集合中的至少一项，以及通信密钥，第一传输参数，第二传输参数，采用消息验证码生成函数生成第一消息验证码，或者根据第一随机数、第二随机数、第二参数集合中的至少一项，以及第二层密钥，第一传输参数，第二传输参数，生成第三数字签名，将第一消息验证码或第三数字签名，发送给网络认证服务器，以使网络认证服务器对第一消息验证码或第三数字签名进行验证；
其中，第二参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数中的至少一种。
在基于身份密钥技术的认证方式中，终端设备还包括公钥请求模块，用于向网络认证服务器发送公钥请求消息；密钥接收模块，还用于接收网络认证服务器发送的网络认证服务器的公钥。
可选的，认证模块1802具体用于：与网络认证服务器进行相互认证，根据通信密钥、第二参数集合、会话密钥随机数、会话密钥新鲜参数、会话密钥的预设时间参数中的任一项，采用密钥生成函数生成终端设备的会话密钥。
本发明实施例又一方面提供一种网络认证服务器，用以执行上述实施例中的密钥认证方法，以实现与终端设备的信令交互完成相互认证，与上述方法实施例具有相同的技术特征和技术效果。
如上述方法实施例所述，网络认证服务器的相互认证过程至少包括基于对称密钥技术的认证方式和基于身份密钥技术的认证方式。
在基于对称密钥技术的认证方式中，结合图19对本发明实施例提供的网络认证服务器进行详细说明。图19为本发明网络认证服务器实施例一的结构示意图。如图19所示，该服务器包括：
密钥获取模块1901，用于接收终端设备发送的认证请求消息，认证请求消息包括第一参数集合，向业务中心服务器发送第二密钥请求消息，接收业务中心服务器发送的第二层密钥，第二密钥请求消息包括第一参数集合；或者用于接收终端设备发送的认证请求消息，认证请求消息包括第一参数集合，向业务中心服务器发送第二密钥请求消息，接收业务中心服务器发送的第一层密钥，并根据第一层密钥和第一参数集合，采用密钥生成函数生成终端设备的第二层密钥；
认证模块1902，用于根据第二层密钥，与终端设备进行相互认证以获得终端设备与功能网元的通信密钥；
其中，第一参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数、第二层密钥的密钥随机数、第二层密钥的新鲜参数、第二层密钥的时间参数中的至少一种。
在基于对称密钥技术的认证方式中，认证模块1902的认证方式包括如下可能的实现方式：
第一种可行的认证方式中，认证请求消息还包括加密处理后的第一随机数，认证模块1902具体用于：
根据第二层密钥对加密处理后的第一随机数进行解密，得到第一随机数，确定第二随机数，采用第二层密钥对第二随机数进行加密处理，得到加密处理后的第二随机数，加密处理后的第一随机数为终端设备采用第二层密钥对第一随机数加密处理得到；
根据第二层密钥、第一随机数、第二随机数中的至少一项，以及第二参数集合，采用密钥生成函数生成网络认证服务器的通信密钥，根据通信密钥、第二层密钥中的任一项，以及第一随机数，第二随机数，第二参数集合生成第二消息验证码，将加密处理后的第二随机数、第二消息验证码，发送给终端设备；
接收终端设备发送的第一消息验证码，在对第一消息验证码验证通过后，向功能网元发送通信密钥；
其中，第二参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数中的至少一种。
第二种可行的认证方式中，认证请求消息还包括第一随机数，认证模块1902具体用于：
确定第二随机数，根据第一随机数、第二随机数、第二参数集合中的至少一项，以及第二层密钥，采用密钥生成函数生成网络认证服务器的通信密钥，根据通信密钥、第二层密钥中的任一项，以及第一随机数，第二随机数，第二参数集合生成第二消息验证码，并将第二随机数、第二消息验证码，发送给终端设备；
接收终端设备发送的第一消息验证码，在对第一消息验证码验证通过后，向功能网元发送通信密钥；
其中，第二参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数中的至少一种。
第三种可行的认证方式中，认证请求消息还包括第一随机数，认证模块1902具体用于：
确定第二随机数，根据密钥随机数生成网络认证服务器的通信密钥，采用第二层密钥对通信密钥进行加密处理，得到加密处理后的通信密钥，根据通信密钥、第二层密钥中的任一项，以及第一随机数，第二随机数，第二参数集合生成第二消息验证码，并将第二随机数、加密处理后的通信密钥和第二消息验证码，发送给终端设备；
接收终端设备发送的第一消息验证码，在对第一消息验证码验证通过后，向功能网元发送通信密钥；
其中，第二参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数中的至少一种。
第四种可行的认证方式中，认证请求消息还包括第一传输参数和第一随机数，认证模块1902具体用于：
确定第二随机数、DH协议的第二传输参数，根据第一传输参数和第二传输参数执行DH密钥协商算法得到第三传输参数；
根据第一随机数、第二随机数、第二参数集合中的至少一项，以及第三传输参数，采用密钥生成函数生成网络认证服务器的通信密钥，根据通信密钥、第二层密钥中的任一项，以及，第一传输参数，第二传输参数，第二参数集合生成第二消息验证码，将加密处理后的第二随机数和第二消息验证码，发送给终端设备；
接收终端设备发送的第一消息验证码，在对第一消息验证码验证通过后，向功能网元发送通信密钥；
其中，第二参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数中的至少一种。
第五种可行的认证方式中，认证请求消息还包括第一消息验证码和加密处理后的第一随机数，认证模块1902具体用于：
根据第二层密钥对加密处理后的第一随机数进行解密，得到第一随机数，确定第二随机数，采用第二层密钥对第二随机数进行加密处理，得到加密处理后的第二随机数，加密处理后的第一随机数为终端设备采用第二层密钥对第一随机数加密处理得到；
在对第一消息验证码验证通过后，根据第二层密钥、第一随机数、第二随机数中的至少一项，以及第二参数集合，采用密钥生成函数生成网络认证服务器的通信密钥，根据通信密钥、第二层密钥中的任一项，以及，第一随机数、第二随机数、第二参数集合中的至少一项生成第二消息验证码，将加密处理后的第二随机数、第二消息验证码，发送给终端设备，并向功能网元发送通信密钥；
其中，第二参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数中的至少一种。
第六种可行的认证方式中，认证请求消息还包括第一消息验证码和第一随机数，认证模块1902具体用于：
确定第二随机数，在对第一消息验证码验证通过后，根据第一随机数、第二随机数、第二参数集合中的至少一项，以及第二层密钥，采用密钥生成函数生成网络认证服务器的通信密钥，根据通信密钥、第二层密钥中的任一项，以及，第一随机数、第二随机数、第二参数集合中的至少一项生成第二消息验证码，将加密处理后的第二随机数、第二消息验证码，发送给终端设备，并向功能网元发送通信密钥；
其中，第二参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数中的至少一种。
第七种可行的认证方式中，认证请求消息还包括第一消息验证码和第一随机数，认证模块1902具体用于：
确定第二随机数，在对第一消息验证码验证通过后，根据密钥随机数生成网络认证服务器的通信密钥，采用第二层密钥对通信密钥进行加密处理，得到加密处理后的通信密钥，根据通信密钥、第二层密钥中的任一项，以及，第一随机数、第二随机数、第二参数集合中的至少一项生成第二消息验证码，将第二随机数、加密处理后的通信密钥和第二消息验证码，发送给终端设备，并向功能网元发送通信密钥；
其中，第二参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数中的至少一种。
第八种可行的认证方式中，认证请求消息还包括第一消息验证码和加密处理后的第一随机数，认证模块1902具体用于：
根据第二层密钥对加密处理后的第一随机数进行解密，得到第一随机数，确定第二随机数，采用第二层密钥对第二随机数进行加密处理，得到加密处理后的第二随机数，加密处理后的第一随机数为终端设备采用第二层密钥对第一随机数加密处理得到；
在对第一消息验证码验证通过后，根据第二层密钥、第一随机数中的至少一项，以及第二参数集合，采用密钥生成函数生成终端设备的通信密钥，根据通信密钥、第二层密钥中的任一项，以及，第一随机数、第二随机数、第二参数集合中的至少一项生成第二消息验证码，将加密处理后的第二随机数、第二消息验证码，发送给终端设备，并向功能网元发送通信密钥；
其中，第二参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数中的至少一种。
第九种可行的认证方式中，认证请求消息还包括第一消息验证码和第一随机数，认证模块1902具体用于：
确定第二随机数，在对第一消息验证码验证通过后，根据第一随机数、第二参数集合中的至少一项，以及第二层密钥采用密钥生成函数生成终端设备的通信密钥，根据通信密钥、第二层密钥中的任一项，以及，第一随机数、第二随机数、第二参数集合中的至少一项生成第二消息验证码，将第二随机数、第二消息验证码，发送给终端设备，并向功能网元发送通信密钥；
其中，第二参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数中的至少一种。
第十种可行的认证方式中，认证请求消息还包括第一消息验证码、第一传输参数和第一随机数，认证模块1902具体用于：
确定第二随机数、DH协议的第二传输参数，根据第一传输参数和第二传输参数执行DH密钥协商算法得到第三传输参数；
在对第一消息验证码验证通过后，根据第一随机数、第二随机数、第二参数集合中的至少一项，以及第三传输参数采用密钥生成函数生成网络认证服务器的通信密钥，根据通信密钥、第二层密钥中的任一项，以及，第一随机数、第二随机数、第一传输参数、第二传输参数、第二参数集合中的任一项生成第二消息验证码，将第二随机数和第二消息验证码，发送给终端设备，并向功能网元发送通信密钥；
其中，第二参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数中的至少一种。
在基于非对称密钥技术的认证方式中，结合图20对本发明实施例提供的网络认证服务器进行详细说明。图20为本发明网络认证服务器实施例二的结构示意图。如图20所示，该网络认证服务器包括：
公钥获取模块2001，用于接收终端设备发送的认证请求消息，认证请求消息包括终端设备的公钥；
认证模块2002，用于根据终端设备的公钥、网络认证服务器的公钥和网络认证服务器的私钥，与终端设备进行相互认证以获得终端设备与功能网元的通信密钥。
在基于非对称密钥技术的认证方式中，认证模块2002的认证方式包括如下可能的实现方式：
第十一种可行的认证方式中，认证请求消息还包括第一数字签名、加密处理后的第一随机数和第二参数集合；认证模块2002具体用于：
根据网络认证服务器的私钥对加密处理后的第一随机数进行解密，得到第一随机数，确定第二随机数，采用终端设备的公钥对第二随机数进行加密处理，得到加密处理后的第二随机数，加密处理后的第一随机数为终端设备采用网络认证服务器的公钥对第一随机数加密处理得到；
在对第一数字签名验证通过后，根据第一随机数、第二随机数中的至少一项，以及第二参数集合，采用密钥生成函数生成网络认证服务器的通信密钥，根据网络认证服务器的私钥、第一随机数、第二随机数和第二参数集合生成第二数字签名，将第二数字签名和加密处理后的第二随机数，发送给终端设备；
接收终端设备发送的第一消息验证码或第三数字签名，在对第一消息验证码或第三数字签名验证通过后，向功能网元发送通信密钥；
其中，第二参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数中的至少一种。
第十二种可行的认证方式中，认证请求消息还包括加密处理后的第一随机数和第二参数集合；认证模块2002具体用于：
根据网络认证服务器的私钥对加密处理后的第一随机数进行解密，得到第一随机数，确定第二随机数，采用终端设备的公钥对第二随机数进行加密处理，得到加密处理后的第二随机数，加密处理后的第一随机数为终端设备采用网络认证服务器的公钥对第一随机数加密处理得到；
根据第一随机数、第二随机数中的至少一项，以及第二参数集合，采用密钥生成函数生成网络认证服务器的通信密钥，根据网络认证服务器的私钥、第一随机数、第二随机数和第二参数集合生成第二数字签名，将加密处理后的第二随机数、第二数字签名，发送给设备终端；
接收终端设备发送的第一消息验证码或第三数字签名，在对第一消息验证码或第三数字签名验证通过后，向功能网元发送通信密钥；
其中，第二参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数中的至少一种。
第十三种可行的认证方式中，认证请求消息还包括第一随机数、第一传输参数和第二参数集合；用户管理服务器的公钥为与终端设备的第二层密钥对应的终端设备的公钥；认证模块2002具体用于：
确定第二随机数、DH协议的第二传输参数，根据第一传输参数和第二传输参数执行DH密钥协商算法得到第三传输参数；
根据第一随机数、第二随机数、第二参数集合中的至少一项，以及第三传输参数采用密钥生成函数生成网络认证服务器的通信密钥，根据第一随机数、第二随机数、第二参数集合中的至少一项，以及网络认证服务器的私钥，第一传输参数，第二传输参数，生成第二数字签名，将第二随机数、第二传输参数和第二数字签名，发送给终端设备；
接收终端设备发送的第一消息验证码或第三数字签名，在对第一消息验证码验证通过后，或根据终端设备的公钥对第三数字签名验证通过后，向功能网元发送通信密钥；
其中，第二参数集合包括用户管理服务器的用户标识、终端设备的设备标识、用户管理服务器的网络标识、业务参数中的至少一种。
在上述任一基于身份密钥技术的认证方式中，该服务器还包括公钥请求接收模块，用于接收终端设备发送的公钥请求消息；公钥发送模块，用于向终端设备发送网络认证服务器的公钥。
可选的，基于对称密钥技术和基于身份密钥技术的认证方式中，认证模块1902或认证模块2002还可具体用于：与终端设备进行相互认证，根据通信密钥、第二参数集合、会话密钥随机数、会话密钥新鲜参数、会话密钥的预设时间参数中的任一项，采用密钥生成函数生成网络认证服务器的会话密钥，并将会话密钥发送给功能网元。
可选的，如图18所示的终端设备和如图20所示的网络认证服务器还可用于执行如图8至15所示的第六种至第十三种可能的认证实现方式。
本发明实施例又一方面提供一种存储介质，存储介质为计算机可读存储介质，存储有一个或多个程序，一个或多个程序包括指令，指令当被包括多个应用程序的电子设备执行时，使电子设备执行上述任一业务中心服务器的密钥分发方法实施例所述的方法。
本发明实施例又一方面提供一种存储介质，存储介质为计算机可读存储介质，存储有一个或多个程序，一个或多个程序包括指令，指令当被包括多个应用程序的电子设备执行时，使电子设备执行上述任一用户管理服务器的密钥分发方法实施例所述的方法。
本发明实施例又一方面提供一种存储介质，存储介质为计算机可读存储介质，存储有一个或多个程序，一个或多个程序包括指令，指令当被包括多个应用程序的电子设备执行时，使电子设备执行上述任一终端设备的密钥认证方法实施例所述的方法。
本发明实施例又一方面提供一种存储介质，存储介质为计算机可读存储介质，存储有一个或多个程序，一个或多个程序包括指令，指令当被包括多个应用程序的电子设备执行时，使电子设备执行上述任一网络认证服务器的密钥认证方法实施例所述的方法。
本发明实施例又一方面提供一种密钥分发、认证系统用以执行上述实施例中的密钥分发、认证方法，具有相同的技术特征和技术效果。
该系统包括如上述任一实施例所述的业务中心服务器、如上述任一实施例所述的用户管理服务器、如上述任一实施例所述的终端设备、如上述任一实施例所述的网络认证服务器。
本领域普通技术人员可以意识到，结合本文中所公开的实施例描述的各示例的单元及算法步骤，能够以电子硬件、或者计算机软件和电子硬件的结合来实现。这些功能究竟以硬件还是软件方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本发明的范围。
所属领域的技术人员可以清楚地了解到，为描述的方便和简洁，上述描述的系统、装置和单元的具体工作过程，可以参考前述方法实施例中的对应过程，在此不再赘述。
在本申请所提供的几个实施例中，应该理解到，所揭露的系统、装置和方法，可以通过其它的方式实现。例如，以上所描述的装置实施例仅仅是示意性的，例如，所述单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口，装置或单元的间接耦合或通信连接，可以是电性，机械或其它的形式。
本发明的说明书和权利要求书及上述附图中的术语“第一”、“第二”、“第三”“第四”等(如果存在)是用于区别类似的对象，而不必用于描述特定的顺序或先后次序。应该理解这样使用的数据在适当情况下可以互换，以便这里描述的本发明的实施例例如能够以除了在这里图示或描述的那些以外的顺序实施。此外，术语“包括”和“具有”以及他们的任何变形，意图在于覆盖不排他的包含，例如，包含了一系列步骤或单元的过程、方法、系统、产品或设备不必限于清楚地列出的那些步骤或单元，而是可包括没有清楚地列出的或对于这些过程、方法、产品或设备固有的其它步骤或单元。
所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。
另外，在本发明各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。
所述功能如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本发明各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器(Read-Only Memory，简称ROM)、随机存取存储器(Random Access Memory，简称RAM)、磁碟或者光盘等各种可以存储程序代码的介质。
最后应说明的是：以上各实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述各实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分或者全部技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的范围。

Claims (89)

1.一种密钥分发方法，其特征在于，包括：
用户管理服务器向业务中心服务器发送第一密钥请求消息，所述第一密钥请求消息用于指示所述业务中心服务器生成所述用户管理服务器的第一层密钥，所述第一密钥请求消息包含所述用户管理服务器的用户标识；
所述用户管理服务器接收所述业务中心服务器发送的所述用户管理服务器的第一层密钥；
所述用户管理服务器根据所述第一层密钥生成终端设备的第二层密钥，并将所述第二层密钥发送给所述终端设备，以使所述终端设备通过所述第二层密钥，与网络认证服务器进行相互认证以获取所述终端设备与功能网元的通信密钥。
2.根据权利要求1所述的方法，其特征在于，所述用户管理服务器根据所述第一层密钥生成终端设备的第二层密钥，包括：
所述用户管理服务器根据所述第一层密钥和第一参数集合，采用密钥生成函数生成所述终端设备的第二层密钥；
所述方法还包括：
所述用户管理服务器将所述第一参数集合发送给所述终端设备；
其中，所述第一参数集合包括所述用户管理服务器的用户标识、所述终端设备的设备标识、所述用户管理服务器的网络标识、业务参数、所述第二层密钥的密钥随机数、所述第二层密钥的新鲜参数、所述第二层密钥的时间参数中的至少一种。
3.根据权利要求1所述的方法，其特征在于，所述第一层密钥为所述用户管理服务器的私钥，所述用户管理服务器根据所述第一层密钥生成终端设备的第二层密钥，包括：
所述用户管理服务器根据所述用户管理服务器的私钥和第一参数集合，生成所述终端设备的第二层密钥和所述终端设备的公钥，所述第二层密钥为与所述终端设备的公钥对应的所述终端设备的私钥；
所述方法还包括：
所述用户管理服务器根据所述第一层密钥、所述终端设备的公钥，以及所述第一参数集合生成第一数字签名；
所述用户管理服务器将所述终端设备的公钥、所述第一数字签名，以及第二参数集合发送给所述终端设备；
其中，所述第一参数集合包括所述用户管理服务器的用户标识、所述终端设备的设备标识、所述用户管理服务器的网络标识、业务参数、所述第二层密钥的密钥随机数、所述第二层密钥的新鲜参数、所述第二层密钥的时间参数中的至少一种；
所述第二参数集合包括所述用户管理服务器的用户标识、所述终端设备的设备标识、所述用户管理服务器的网络标识、业务参数中的至少一种。
4.根据权利要求1所述的方法，其特征在于，所述第一层密钥为所述用户管理服务器的私钥，所述用户管理服务器根据所述第一层密钥生成终端设备的第二层密钥，包括：
所述用户管理服务器根据所述用户管理服务器的私钥和所述终端设备的设备标识，基于设备身份生成算法生成终端设备的第二层密钥，所述第二层密钥为所述终端设备的私钥；
所述方法还包括：
所述用户管理服务器将第二参数集合，以及与所述终端设备的私钥对应的所述终端设备的公钥发送给所述终端设备；
其中，所述第二参数集合包括所述用户管理服务器的用户标识、所述终端设备的设备标识、所述用户管理服务器的网络标识、业务参数中的至少一种。
5.根据权利要求1所述的方法，其特征在于，所述第一层密钥为所述用户管理服务器的私钥，所述用户管理服务器根据所述第一层密钥生成终端设备的第二层密钥，包括：
所述用户管理服务器根据所述用户管理服务器的私钥，采用隐私增强的密钥技术的生成算法生成终端设备的第二层密钥，所述第二层密钥为所述终端设备的私钥；
所述方法还包括：
所述用户管理服务器接收所述业务中心服务器发送的所述用户管理服务器的公钥，并将所述用户管理服务器的公钥和第二参数集合发送给所述终端设备；
其中，所述第二参数集合包括所述用户管理服务器的用户标识、所述终端设备的设备标识、所述用户管理服务器的网络标识、业务参数中的至少一种。
6.一种密钥分发方法，其特征在于，包括：
业务中心服务器接收用户管理服务器发送的第一密钥请求消息，所述第一密钥请求消息用于指示所述业务中心服务器生成所述用户管理服务器的第一层密钥，所述第一密钥请求消息包含所述用户管理服务器的用户标识；
所述业务中心服务器根据所述第一密钥请求消息生成所述用户标识对应的用户管理服务器的第一层密钥，并将所述第一层密钥发送给所述用户管理服务器。
7.根据权利要求6所述的方法，其特征在于，所述业务中心服务器生成所述用户管理服务器的第一层密钥，包括：
所述业务中心服务器根据第三参数集合，采用密钥生成函数生成所述用户管理服务器的第一层密钥；
其中，所述第三参数集合包括所述第一层密钥的密钥随机数、所述第一层密钥的新鲜参数、所述第一层密钥的时间参数、共享密钥中的至少一种，所述共享密钥为所述用户管理服务器与所述业务中心服务器的共享密钥；
或者
所述业务中心服务器确定业务随机数，并将其作为所述用户管理服务器的第一层密钥。
8.根据权利要求6所述的方法，其特征在于，所述第一密钥请求消息中还包括所述用户管理服务器的网络标识、业务参数中的至少一种，所述业务中心服务器生成所述用户管理服务器的第一层密钥，包括：
所述业务中心服务器根据第四参数集合，采用密钥生成函数生成所述用户管理服务器的第一层密钥；
其中，所述第四参数集合包括所述用户管理服务器的用户标识、所述用户管理服务器的网络标识、业务参数、所述第一层密钥的密钥随机数、所述第一层密钥的新鲜参数、所述第一层密钥的时间参数、共享密钥中的至少一种，所述共享密钥为所述用户管理服务器与所述业务中心服务器的共享密钥。
9.根据权利要求6所述的方法，其特征在于，所述业务中心服务器生成所述用户管理服务器的第一层密钥，包括：
所述业务中心服务器根据所述用户管理服务器的用户标识，基于身份密码系统的密钥生成算法生成所述用户管理服务器的第一层密钥，所述第一层密钥为所述用户管理服务器的私钥。
10.根据权利要求6所述的方法，其特征在于，所述业务中心服务器生成所述用户管理服务器的第一层密钥，包括：
所述业务中心服务器根据所述用户管理服务器的用户标识和第五参数集合，基于身份密码系统的密钥生成算法生成所述用户管理服务器的第一层密钥，所述第一层密钥为所述用户管理服务器的私钥；
其中，所述第五参数集合包括如下中的至少一种：
所述第一层密钥的密钥随机数、所述第一层密钥的新鲜参数、所述第一层密钥的时间参数。
11.根据权利要求6所述的方法，其特征在于，所述业务中心服务器生成所述用户管理服务器的第一层密钥，包括：
所述业务中心服务器采用隐私增强的密钥技术生成所述用户管理服务器的私钥和所述用户管理服务器的公钥，其中所述用户管理服务器的私钥为所述用户管理服务器的第一层密钥；
所述方法还包括：
所述业务中心服务器将所述用户管理服务器的公钥发送给所述用户管理服务器。
12.根据权利要求6至8任一项所述的方法，其特征在于，所述业务中心服务器生成所述用户管理服务器的第一层密钥之后，还包括：
所述业务中心服务器接收所述网络认证服务器发送的第二密钥请求消息，所述第二密钥请求消息包含所述用户管理服务器的用户标识；
所述业务中心服务器根据所述第二密钥请求消息中所述用户管理服务器的用户标识检索得到所述第一层密钥，或生成所述第一层密钥，并将所述第一层密钥发送给所述网络认证服务器，以使所述网络认证服务器根据所述第一层密钥生成所述终端设备的第二层密钥，并根据所述第二层密钥与所述终端设备进行相互认证。
13.根据权利要求6至8任一项所述的方法，其特征在于，所述业务中心服务器生成所述用户管理服务器的第一层密钥之后，还包括：
所述业务中心服务器接收所述网络认证服务器发送的第二密钥请求消息，所述第二密钥请求消息中包括第一参数集合；
所述业务中心服务器根据所述第一层密钥和所述第一参数集合，采用密钥生成函数生成所述终端设备的第二层密钥，并将所述第二层密钥发送给所述网络认证服务器以使得所述网络认证服务器根据所述第二层密钥与所述终端设备进行相互认证；
其中，所述第一参数集合包括所述用户管理服务器的用户标识、所述终端设备的设备标识、所述用户管理服务器的网络标识、业务参数、所述第二层密钥的密钥随机数、所述第二层密钥的新鲜参数、所述第二层密钥的时间参数中的至少一种。
14.一种密钥认证方法，其特征在于，包括：
终端设备接收用户管理服务器发送的所述终端设备的第二层密钥；
所述终端设备根据所述第二层密钥，与网络认证服务器进行相互认证以获取所述终端设备与功能网元的通信密钥。
15.根据权利要求14所述的方法，其特征在于，所述方法还包括：所述终端设备接收用户管理服务器发送的第一参数集合；
所述终端设备根据所述第二层密钥，与网络认证服务器进行相互认证以获取所述终端设备与功能网元的通信密钥，包括：
所述终端设备确定第一随机数，采用第二层密钥对所述第一随机数进行加密处理，得到加密处理后的第一随机数，向网络认证服务器发送认证请求消息，所述认证请求消息包括所述第一参数集合和所述加密处理后的第一随机数；
所述终端设备接收所述网络认证服务器发送的加密处理后的第二随机数和第二消息验证码，根据所述第二层密钥对所述加密处理后的第二随机数进行解密，得到第二随机数，所述加密处理后的第二随机数为所述网络认证服务器采用所述第二层密钥对第二随机数加密处理得到；
所述终端设备在对所述第二消息验证码验证通过后，根据所述第二层密钥、所述第一随机数、所述第二随机数中的至少一项，以及第二参数集合采用密钥生成函数生成所述终端设备的通信密钥，根据所述通信密钥、所述第二层密钥中的任一项，以及所述第一随机数，所述第二随机数，所述第二参数集合生成第一消息验证码，并将所述第一消息验证码发送给所述网络认证服务器，以使所述网络认证服务器对所述第一消息验证码进行验证；
其中，所述第一参数集合包括所述用户管理服务器的用户标识、所述终端设备的设备标识、所述用户管理服务器的网络标识、业务参数、所述第二层密钥的密钥随机数、所述第二层密钥的新鲜参数、所述第二层密钥的时间参数中的至少一种；
所述第二参数集合包括所述用户管理服务器的用户标识、所述终端设备的设备标识、所述用户管理服务器的网络标识、业务参数中的至少一种。
16.根据权利要求14所述的方法，其特征在于，所述方法还包括：所述终端设备接收用户管理服务器发送的第一参数集合；
所述终端设备根据所述第二层密钥，与网络认证服务器进行相互认证以获取所述终端设备与功能网元的通信密钥，包括：
所述终端设备确定第一随机数，向网络认证服务器发送认证请求消息，所述认证请求消息包括所述第一参数集合和所述第一随机数；
所述终端设备接收所述网络认证服务器发送第二随机数和第二消息验证码；
所述终端设备在对所述第二消息验证码验证通过后，根据所述第一随机数、所述第二随机数、第二参数集合中的至少一项，以及所述第二层密钥，采用密钥生成函数生成所述终端设备的通信密钥，根据所述通信密钥、所述第二层密钥中的任一项，以及所述第一随机数，所述第二随机数，第二参数集合生成第一消息验证码，并将所述第一消息验证码，发送给所述网络认证服务器，以使所述网络认证服务器对所述第一消息验证码进行验证；
其中，所述第一参数集合包括所述用户管理服务器的用户标识、所述终端设备的设备标识、所述用户管理服务器的网络标识、业务参数、所述第二层密钥的密钥随机数、所述第二层密钥的新鲜参数、所述第二层密钥的时间参数中的至少一种；
所述第二参数集合包括所述用户管理服务器的用户标识、所述终端设备的设备标识、所述用户管理服务器的网络标识、业务参数中的至少一种。
17.根据权利要求14所述的方法，其特征在于，所述方法还包括：所述终端设备接收用户管理服务器发送的第一参数集合；
所述终端设备根据所述第二层密钥，与网络认证服务器进行相互认证以获取所述终端设备与功能网元的通信密钥，包括：
所述终端设备确定第一随机数，向网络认证服务器发送认证请求消息，所述认证请求消息包括所述第一参数集合和所述第一随机数；
所述终端设备接收所述网络认证服务器发送的第二随机数、第二消息验证码和加密处理后的通信密钥，根据所述第二层密钥对所述加密处理后的通信密钥进行解密，得到通信密钥，所述加密处理后的通信密钥为所述网络认证服务器采用所述第二层密钥对所述通信密钥加密处理得到；
所述终端设备在对所述第二消息验证码验证通过后，根据所述通信密钥、所述第二层密钥中的任一项，以及所述第一随机数，所述第二随机数，以及所述第二参数集合生成第一消息验证码，并将所述第一消息验证码，发送给所述网络认证服务器，以使所述网络认证服务器对所述第一消息验证码进行验证；
其中，所述第一参数集合包括所述用户管理服务器的用户标识、所述终端设备的设备标识、所述用户管理服务器的网络标识、业务参数、所述第二层密钥的密钥随机数、所述第二层密钥的新鲜参数、所述第二层密钥的时间参数中的至少一种；
所述第二参数集合包括所述用户管理服务器的用户标识、所述终端设备的设备标识、所述用户管理服务器的网络标识、业务参数中的至少一种。
18.根据权利要求14所述的方法，其特征在于，所述方法还包括：所述终端设备接收用户管理服务器发送的第一参数集合；
所述终端设备根据所述第二层密钥，与网络认证服务器进行相互认证以获取所述终端设备与功能网元的通信密钥，包括：
所述终端设备确定第一随机数、DH协议的第一传输参数，向网络认证服务器发送认证请求消息，所述认证请求消息包括所述第一随机数、所述第一传输参数和所述第一参数集合；
所述终端设备接收所述网络认证服务器发送的第二传输参数、第二随机数和第二消息验证码，根据所述第一传输参数和所述第二传输参数执行DH密钥协商算法得到第三传输参数；
所述终端设备在对所述第二消息验证码验证通过后，根据所述第一随机数、所述第二随机数、第二参数集合中的至少一项，以及所述第三传输参数，采用密钥生成函数生成所述终端设备的通信密钥，根据所述通信密钥、第二层密钥中的任一项，以及，所述第一随机数，所述第二随机数，第二参数集合，采用消息验证码生成函数生成第一消息验证码，并将所述第一消息验证码，发送给所述网络认证服务器，以使所述网络认证服务器对所述第一消息验证码进行验证；
其中，所述第一参数集合包括所述用户管理服务器的用户标识、所述终端设备的设备标识、所述用户管理服务器的网络标识、业务参数、所述第二层密钥的密钥随机数、所述第二层密钥的新鲜参数、所述第二层密钥的时间参数中的至少一种；
所述第二参数集合包括所述用户管理服务器的用户标识、所述终端设备的设备标识、所述用户管理服务器的网络标识、业务参数中的至少一种。
19.根据权利要求14所述的方法，其特征在于，所述方法还包括：所述终端设备接收用户管理服务器发送的第一参数集合；
所述终端设备根据所述第二层密钥，与网络认证服务器进行相互认证以获取所述终端设备与功能网元的通信密钥，包括：
所述终端设备确定第一随机数，采用第二层密钥对所述第一随机数进行加密处理，得到加密处理后的第一随机数，根据第二参数集合、所述第一随机数中的至少一项，以及所述第二层密钥采用消息验证码生成函数生成第一消息验证码，向网络认证服务器发送认证请求消息，所述认证请求消息包括所述第一消息验证码、所述加密处理后的第一随机数、所述第一参数集合；
所述终端设备接收所述网络认证服务器发送的第二消息验证码和加密处理后的第二随机数，根据所述第二层密钥对所述加密处理后的第二随机数进行解密，得到第二随机数，所述加密处理后的第二随机数为所述网络认证服务器采用所述第二层密钥对第二随机数加密处理得到；
所述终端设备在对所述第二消息验证码验证通过后，根据所述第二层密钥、所述第一随机数、所述第二随机数中的至少一项，以及所述第二参数集合，采用密钥生成函数生成所述终端设备的通信密钥；
其中，所述第一参数集合包括所述用户管理服务器的用户标识、所述终端设备的设备标识、所述用户管理服务器的网络标识、业务参数、所述第二层密钥的密钥随机数、所述第二层密钥的新鲜参数、所述第二层密钥的时间参数中的至少一种；
所述第二参数集合包括所述用户管理服务器的用户标识、所述终端设备的设备标识、所述用户管理服务器的网络标识、业务参数中的至少一种。
20.根据权利要求14所述的方法，其特征在于，所述方法还包括：所述终端设备接收用户管理服务器发送的第一参数集合；
所述终端设备根据所述第二层密钥，与网络认证服务器进行相互认证以获取所述终端设备与功能网元的通信密钥，包括：
所述终端设备确定第一随机数，根据第二参数集合、所述第一随机数中的至少一项，以及所述第二层密钥采用消息验证码生成函数生成第一消息验证码，向网络认证服务器发送认证请求消息，所述认证请求消息包括所述第一消息验证码、所述第一随机数、所述第一参数集合；
所述终端设备接收所述网络认证服务器发送的第二随机数和第二消息验证码；
所述终端设备在对所述第二消息验证码验证通过后，根据所述第一随机数、所述第二随机数、第二参数集合中的至少一项，以及所述第二层密钥采用密钥生成函数生成所述终端设备的通信密钥；
其中，所述第一参数集合包括所述用户管理服务器的用户标识、所述终端设备的设备标识、所述用户管理服务器的网络标识、业务参数、所述第二层密钥的密钥随机数、所述第二层密钥的新鲜参数、所述第二层密钥的时间参数中的至少一种；
所述第二参数集合包括所述用户管理服务器的用户标识、所述终端设备的设备标识、所述用户管理服务器的网络标识、业务参数中的至少一种。
21.根据权利要求14所述的方法，其特征在于，所述方法还包括：所述终端设备接收用户管理服务器发送的第一参数集合；
所述终端设备根据所述第二层密钥，与网络认证服务器进行相互认证以获取所述终端设备与功能网元的通信密钥，包括：
所述终端设备确定第一随机数，根据第二参数集合、所述第一随机数中的至少一项，以及所述第二层密钥采用消息验证码生成函数生成第一消息验证码，向网络认证服务器发送认证请求消息，所述认证请求消息包括所述第一消息验证码、所述第一随机数、所述第一参数集合；
所述终端设备接收所述网络认证服务器发送的第二随机数、第二消息验证码和加密处理后的通信密钥；
所述终端设备在根据所述第二随机数对所述第二消息验证码验证通过后，根据所述第二层密钥对所述加密处理后的通信密钥进行解密，得到通信密钥；
其中，所述第一参数集合包括所述用户管理服务器的用户标识、所述终端设备的设备标识、所述用户管理服务器的网络标识、业务参数、所述第二层密钥的密钥随机数、所述第二层密钥的新鲜参数、所述第二层密钥的时间参数中的至少一种；
所述第二参数集合包括所述用户管理服务器的用户标识、所述终端设备的设备标识、所述用户管理服务器的网络标识、业务参数中的至少一种。
22.根据权利要求14所述的方法，其特征在于，所述方法还包括：所述终端设备接收用户管理服务器发送的第一参数集合；
所述终端设备根据所述第二层密钥，与网络认证服务器进行相互认证以获取所述终端设备与功能网元的通信密钥，包括：
所述终端设备确定第一随机数，采用第二层密钥对所述第一随机数进行加密处理，得到加密处理后的第一随机数，根据所述第二层密钥、所述第一随机数中的至少一项，以及第二参数集合采用密钥生成函数生成所述终端设备的通信密钥，根据所述第二层密钥、所述通信密钥中的任一项，以及所述第二参数集合、所述第一随机数中的至少一项，采用消息验证码生成函数生成第一消息验证码，向网络认证服务器发送认证请求消息，所述认证请求消息包括所述第一消息验证码、所述加密处理后的第一随机数、所述第一参数集合；
所述终端设备接收所述网络认证服务器发送的第二消息验证码和加密处理后的第二随机数，根据所述第二层密钥对所述加密处理后的第二随机数进行解密，得到第二随机数，所述加密处理后的第二随机数为所述网络认证服务器采用所述第二层密钥对第二随机数加密处理得到，根据所述第二随机数对所述第二消息验证码进行验证并确定通过；
其中，所述第一参数集合包括所述用户管理服务器的用户标识、所述终端设备的设备标识、所述用户管理服务器的网络标识、业务参数、所述第二层密钥的密钥随机数、所述第二层密钥的新鲜参数、所述第二层密钥的时间参数中的至少一种；
所述第二参数集合包括所述用户管理服务器的用户标识、所述终端设备的设备标识、所述用户管理服务器的网络标识、业务参数中的至少一种。
23.根据权利要求14所述的方法，其特征在于，所述方法还包括：所述终端设备接收用户管理服务器发送的第一参数集合；
所述终端设备根据所述第二层密钥，与网络认证服务器进行相互认证以获取所述终端设备与功能网元的通信密钥，包括：
所述终端设备确定第一随机数，根据所述第一随机数、第二参数集合中的至少一项，以及所述第二层密钥采用密钥生成函数生成所述终端设备的通信密钥，根据所述第二层密钥、所述通信密钥中的任一项，以及所述第二参数集合、所述第一随机数中的至少一项，采用消息验证码生成函数生成第一消息验证码，向网络认证服务器发送认证请求消息，所述认证请求消息包括所述第一消息验证码、所述第一随机数、所述第一参数集合；
所述终端设备接收所述网络认证服务器发送的第二随机数和第二消息验证码，对所述第二消息验证码进行验证并确定通过；
其中，所述第一参数集合包括所述用户管理服务器的用户标识、所述终端设备的设备标识、所述用户管理服务器的网络标识、业务参数、所述第二层密钥的密钥随机数、所述第二层密钥的新鲜参数、所述第二层密钥的时间参数中的至少一种；
所述第二参数集合包括所述用户管理服务器的用户标识、所述终端设备的设备标识、所述用户管理服务器的网络标识、业务参数中的至少一种。
24.根据权利要求14所述的方法，其特征在于，所述方法还包括：所述终端设备接收用户管理服务器发送的第一参数集合；
所述终端设备根据所述第二层密钥，与网络认证服务器进行相互认证以获取所述终端设备与功能网元的通信密钥，包括：
所述终端设备确定第一随机数、DH协议的第一传输参数，根据所述第二层密钥、所述第一随机数和第二参数集合，采用消息验证码生成函数生成第一消息验证码，向网络认证服务器发送认证请求消息，所述认证请求消息包括所述第一随机数、所述第一传输参数、所述第一消息验证码、所述第一参数集合；
所述终端设备接收所述网络认证服务器发送的第二传输参数、第二随机数和第二消息验证码，根据所述第一传输参数和所述第二传输参数执行DH密钥协商算法得到第三传输参数；
所述终端设备在对所述第二消息验证码验证通过后，根据所述第一随机数、所述第二随机数、所述第二参数集合中的至少一项，以及所述第三传输参数采用密钥生成函数生成所述终端设备的通信密钥；
其中，所述第一参数集合包括所述用户管理服务器的用户标识、所述终端设备的设备标识、所述用户管理服务器的网络标识、业务参数、所述第二层密钥的密钥随机数、所述第二层密钥的新鲜参数、所述第二层密钥的时间参数中的至少一种；
所述第二参数集合包括所述用户管理服务器的用户标识、所述终端设备的设备标识、所述用户管理服务器的网络标识、业务参数中的至少一种。
25.根据权利要求14所述的方法，其特征在于，所述方法还包括：所述终端设备接收所述用户管理服务器发送的所述终端设备的公钥、第一数字签名，以及第二参数集合；
所述终端设备根据所述第二层密钥，与网络认证服务器进行相互认证以获取所述终端设备与功能网元的通信密钥，包括：
所述终端设备确定第一随机数，采用网络认证服务器的公钥对所述第一随机数进行加密处理，得到加密处理后的第一随机数，向所述网络认证服务器发送认证请求消息，所述认证请求消息包括所述终端设备的公钥、所述第一数字签名、所述加密处理后的第一随机数，以及所述第二参数集合；
所述终端设备接收所述网络认证服务器发送的加密处理后的第二随机数和第二数字签名，根据所述终端设备的第二层密钥对所述加密处理后的第二随机数进行解密，得到第二随机数，所述加密处理后的第二随机数为所述网络认证服务器采用所述终端设备的公钥对第二随机数加密处理得到；
所述终端设备在对所述第二数字签名验证通过后，根据所述第一随机数、所述第二随机数中的至少一项，以及所述第二参数集合采用密钥生成函数生成所述终端设备的通信密钥，根据所述通信密钥、所述第一随机数、所述第二随机数和所述第二参数集合生成第一消息验证码，或者根据所述第二层密钥、所述第一随机数、所述第二随机数和所述第二参数集合生成第三数字签名，将所述第一消息验证码或所述第三数字签名发送给所述网络认证服务器，以使所述网络认证服务器对所述第一消息验证码或所述第三数字签名进行验证；
其中，所述第二参数集合包括所述用户管理服务器的用户标识、所述终端设备的设备标识、所述用户管理服务器的网络标识、业务参数中的至少一种。
26.根据权利要求14所述的方法，其特征在于，所述方法还包括：所述终端设备接收所述用户管理服务器发送的所述终端设备的公钥和第二参数集合；
所述终端设备根据所述第二层密钥，与网络认证服务器进行相互认证以获取所述终端设备与功能网元的通信密钥，包括：
所述终端设备确定第一随机数，采用网络认证服务器的公钥对所述第一随机数进行加密处理，得到加密处理后的第一随机数，向所述网络认证服务器发送认证请求消息，所述认证请求消息包括所述终端设备的公钥、所述加密处理后的第一随机数，以及所述第二参数集合；
所述终端设备接收所述网络认证服务器发送的加密处理后的第二随机数和第二数字签名，根据所述终端设备的所述第二层密钥对所述加密处理后的第二随机数进行解密，得到第二随机数，所述加密处理后的第二随机数为所述网络认证服务器采用所述终端设备的公钥对第二随机数加密处理得到；
所述终端设备在对所述第二数字签名验证通过后，根据所述第一随机数、所述第二随机数中的至少一项，以及所述第二参数集合采用密钥生成函数生成所述终端设备的通信密钥，根据所述通信密钥、所述第一随机数、所述第二随机数和所述第二参数集合生成第一消息验证码，或者根据所述第二层密钥、所述第一随机数、所述第二随机数和所述第二参数集合生成第三数字签名，将所述第一消息验证码或所述第三数字签名发送给所述网络认证服务器，以使所述网络认证服务器对所述第一消息验证码或所述第三数字签名进行验证；
其中，所述第二参数集合包括所述用户管理服务器的用户标识、所述终端设备的设备标识、所述用户管理服务器的网络标识、业务参数中的至少一种。
27.根据权利要求14所述的方法，其特征在于，所述方法还包括：所述终端设备接收所述用户管理服务器发送的所述用户管理服务器的公钥和第二参数集合，所述用户管理服务器的公钥为与所述终端设备的第二层密钥对应的所述终端设备的公钥；
所述终端设备根据所述第二层密钥，与网络认证服务器进行相互认证以获取所述终端设备与功能网元的通信密钥，包括：
所述终端设备确定第一随机数、DH协议的第一传输参数，向所述网络认证服务器发送认证请求消息，所述认证请求消息包括所述终端设备的公钥、所述第一随机数、所述第一传输参数和所述第二参数集合；
所述终端设备接收所述网络认证服务器发送的第二传输参数、第二随机数和第二数字签名，根据所述第一传输参数和所述第二传输参数执行DH密钥协商算法得到第三传输参数；
所述终端设备在对所述第二数字签名验证通过后，根据所述第一随机数、所述第二随机数、所述第二参数集合中的至少一项，以及所述第三传输参数采用密钥生成函数生成所述终端设备的通信密钥，根据所述第一随机数、所述第二随机数、所述第二参数集合中的至少一项，以及所述通信密钥，所述第一传输参数，所述第二传输参数，采用消息验证码生成函数生成第一消息验证码，或者根据所述第一随机数、所述第二随机数、所述第二参数集合中的至少一项，以及所述第二层密钥，所述第一传输参数，所述第二传输参数，生成第三数字签名，将所述第一消息验证码或所述第三数字签名，发送给所述网络认证服务器，以使所述网络认证服务器对所述第一消息验证码或所述第三数字签名进行验证；
其中，所述第二参数集合包括所述用户管理服务器的用户标识、所述终端设备的设备标识、所述用户管理服务器的网络标识、业务参数中的至少一种。
28.根据权利要求25至27任一项所述的方法，其特征在于，所述终端设备确定第一随机数之前，还包括：
所述终端设备向所述网络认证服务器发送公钥请求消息；
所述终端设备接收所述网络认证服务器发送的所述网络认证服务器的公钥。
29.一种密钥认证方法，其特征在于，包括：
网络认证服务器接收终端设备发送的认证请求消息，所述认证请求消息包括第一参数集合，向业务中心服务器发送第二密钥请求消息，接收业务中心服务器发送的第二层密钥，所述第二密钥请求消息包括第一参数集合；或者网络认证服务器接收终端设备发送的认证请求消息，所述认证请求消息包括第一参数集合，向业务中心服务器发送第二密钥请求消息，接收业务中心服务器发送的第一层密钥，所述网络认证服务器根据所述第一层密钥和第一参数集合，采用密钥生成函数生成所述终端设备的第二层密钥；
所述网络认证服务器根据所述第二层密钥，与所述终端设备进行相互认证以获得所述终端设备与功能网元的通信密钥；
其中，所述第一参数集合包括所述用户管理服务器的用户标识、所述终端设备的设备标识、所述用户管理服务器的网络标识、业务参数、所述第二层密钥的密钥随机数、所述第二层密钥的新鲜参数、所述第二层密钥的时间参数中的至少一种。
30.根据权利要求29所述的方法，其特征在于，所述认证请求消息还包括加密处理后的第一随机数，所述网络认证服务器根据所述第二层密钥，与所述终端设备进行相互认证以获得所述终端设备与功能网元的通信密钥，包括：
所述网络认证服务器根据所述第二层密钥对所述加密处理后的第一随机数进行解密，得到第一随机数，确定第二随机数，采用所述第二层密钥对所述第二随机数进行加密处理，得到加密处理后的第二随机数，所述加密处理后的第一随机数为所述终端设备采用所述第二层密钥对第一随机数加密处理得到；
所述网络认证服务器根据所述第二层密钥、所述第一随机数、所述第二随机数中的至少一项，以及第二参数集合，采用密钥生成函数生成所述网络认证服务器的通信密钥，根据所述通信密钥、所述第二层密钥中的任一项，以及所述第一随机数，所述第二随机数，所述第二参数集合生成第二消息验证码，将所述加密处理后的第二随机数、所述第二消息验证码，发送给所述终端设备；
所述网络认证服务器接收所述终端设备发送的第一消息验证码，在对所述第一消息验证码验证通过后，向所述功能网元发送所述通信密钥；
其中，所述第二参数集合包括所述用户管理服务器的用户标识、所述终端设备的设备标识、所述用户管理服务器的网络标识、业务参数中的至少一种。
31.根据权利要求29所述的方法，其特征在于，所述认证请求消息还包括第一随机数，所述网络认证服务器根据所述第二层密钥，与所述终端设备进行相互认证以获得所述终端设备与功能网元的通信密钥，包括：
所述网络认证服务器确定第二随机数，根据所述第一随机数、所述第二随机数、第二参数集合中的至少一项，以及所述第二层密钥，采用密钥生成函数生成所述网络认证服务器的通信密钥，根据所述通信密钥、所述第二层密钥中的任一项，以及所述第一随机数，所述第二随机数，第二参数集合生成第二消息验证码，并将所述第二随机数、所述第二消息验证码，发送给所述终端设备；
所述网络认证服务器接收所述终端设备发送的第一消息验证码，在对所述第一消息验证码验证通过后，向所述功能网元发送所述通信密钥；
其中，所述第二参数集合包括所述用户管理服务器的用户标识、所述终端设备的设备标识、所述用户管理服务器的网络标识、业务参数中的至少一种。
32.根据权利要求29所述的方法，其特征在于，所述认证请求消息还包括第一随机数，所述网络认证服务器根据所述第二层密钥，与所述终端设备进行相互认证以获得所述终端设备与功能网元的通信密钥，包括：
所述网络认证服务器确定第二随机数，根据密钥随机数生成所述网络认证服务器的通信密钥，采用所述第二层密钥对所述通信密钥进行加密处理，得到加密处理后的通信密钥，根据所述通信密钥、所述第二层密钥中的任一项，以及所述第一随机数，所述第二随机数，第二参数集合生成第二消息验证码，并将所述第二随机数、所述加密处理后的通信密钥和所述第二消息验证码，发送给所述终端设备；
所述网络认证服务器接收所述终端设备发送的第一消息验证码，在对所述第一消息验证码验证通过后，向所述功能网元发送所述通信密钥；
其中，所述第二参数集合包括所述用户管理服务器的用户标识、所述终端设备的设备标识、所述用户管理服务器的网络标识、业务参数中的至少一种。
33.根据权利要求29所述的方法，其特征在于，所述认证请求消息还包括第一传输参数和第一随机数，所述网络认证服务器根据所述第二层密钥，与所述终端设备进行相互认证以获得所述终端设备与功能网元的通信密钥，包括：
所述网络认证服务器确定第二随机数、DH协议的第二传输参数，根据所述第一传输参数和所述第二传输参数执行DH密钥协商算法得到第三传输参数；
所述网络认证服务器根据所述第一随机数、所述第二随机数、第二参数集合中的至少一项，以及所述第三传输参数，采用密钥生成函数生成所述网络认证服务器的通信密钥，根据所述通信密钥、第二层密钥中的任一项，以及，所述第一传输参数，所述第二传输参数，第二参数集合生成第二消息验证码，将所述第二随机数和所述第二消息验证码，发送给所述终端设备；
所述网络认证服务器接收所述终端设备发送的第一消息验证码，在对所述第一消息验证码验证通过后，向所述功能网元发送所述通信密钥；
其中，所述第二参数集合包括所述用户管理服务器的用户标识、所述终端设备的设备标识、所述用户管理服务器的网络标识、业务参数中的至少一种。
34.根据权利要求29所述的方法，其特征在于，所述认证请求消息还包括第一消息验证码和加密处理后的第一随机数，所述网络认证服务器根据所述第二层密钥，与所述终端设备进行相互认证以获得所述终端设备与功能网元的通信密钥，包括：
所述网络认证服务器根据所述第二层密钥对所述加密处理后的第一随机数进行解密，得到第一随机数，确定第二随机数，采用所述第二层密钥对所述第二随机数进行加密处理，得到加密处理后的第二随机数，所述加密处理后的第一随机数为所述终端设备采用所述第二层密钥对第一随机数加密处理得到；
所述网络认证服务器在对所述第一消息验证码验证通过后，根据所述第二层密钥、所述第一随机数、所述第二随机数中的至少一项，以及第二参数集合，采用密钥生成函数生成所述网络认证服务器的通信密钥，根据所述通信密钥、所述第二层密钥中的任一项，以及，所述第一随机数、所述第二随机数、所述第二参数集合中的至少一项生成第二消息验证码，将所述加密处理后的第二随机数、所述第二消息验证码，发送给所述终端设备，并向所述功能网元发送所述通信密钥；
其中，所述第二参数集合包括所述用户管理服务器的用户标识、所述终端设备的设备标识、所述用户管理服务器的网络标识、业务参数中的至少一种。
35.根据权利要求29所述的方法，其特征在于，所述认证请求消息还包括第一消息验证码和第一随机数，所述网络认证服务器根据所述第二层密钥，与所述终端设备进行相互认证以获得所述终端设备与功能网元的通信密钥，包括：
所述网络认证服务器确定第二随机数，在对所述第一消息验证码验证通过后，根据所述第一随机数、所述第二随机数、第二参数集合中的至少一项，以及所述第二层密钥，采用密钥生成函数生成所述网络认证服务器的通信密钥，根据所述通信密钥、所述第二层密钥中的任一项，以及，所述第一随机数、所述第二随机数、所述第二参数集合中的至少一项生成第二消息验证码，将所述加密处理后的第二随机数、所述第二消息验证码，发送给所述终端设备，并向所述功能网元发送所述通信密钥；
其中，所述第二参数集合包括所述用户管理服务器的用户标识、所述终端设备的设备标识、所述用户管理服务器的网络标识、业务参数中的至少一种。
36.根据权利要求29所述的方法，其特征在于，所述认证请求消息还包括第一消息验证码和第一随机数，所述网络认证服务器根据所述第二层密钥，与所述终端设备进行相互认证以获得所述终端设备与功能网元的通信密钥，包括：
所述网络认证服务器确定第二随机数，在对所述第一消息验证码验证通过后，根据密钥随机数生成所述网络认证服务器的通信密钥，采用所述第二层密钥对所述通信密钥进行加密处理，得到加密处理后的通信密钥，根据所述通信密钥、所述第二层密钥中的任一项，以及，所述第一随机数、所述第二随机数、第二参数集合中的至少一项生成第二消息验证码，将所述第二随机数、所述加密处理后的通信密钥和所述第二消息验证码，发送给所述终端设备，并向所述功能网元发送所述通信密钥；
其中，所述第二参数集合包括所述用户管理服务器的用户标识、所述终端设备的设备标识、所述用户管理服务器的网络标识、业务参数中的至少一种。
37.根据权利要求29所述的方法，其特征在于，所述认证请求消息还包括第一消息验证码和加密处理后的第一随机数，所述网络认证服务器根据所述第二层密钥，与所述终端设备进行相互认证以获得所述终端设备与功能网元的通信密钥，包括：
所述网络认证服务器根据所述第二层密钥对所述加密处理后的第一随机数进行解密，得到第一随机数，确定第二随机数，采用所述第二层密钥对所述第二随机数进行加密处理，得到加密处理后的第二随机数，所述加密处理后的第一随机数为所述终端设备采用所述第二层密钥对第一随机数加密处理得到；
所述网络认证服务器在对所述第一消息验证码验证通过后，根据所述第二层密钥、所述第一随机数中的至少一项，以及第二参数集合，采用密钥生成函数生成所述终端设备的通信密钥，根据所述通信密钥、所述第二层密钥中的任一项，以及，所述第一随机数、所述第二随机数、所述第二参数集合中的至少一项生成第二消息验证码，将所述加密处理后的第二随机数、所述第二消息验证码，发送给所述终端设备，并向所述功能网元发送所述通信密钥；
其中，所述第二参数集合包括所述用户管理服务器的用户标识、所述终端设备的设备标识、所述用户管理服务器的网络标识、业务参数中的至少一种。
38.根据权利要求29所述的方法，其特征在于，所述认证请求消息还包括第一消息验证码和第一随机数，所述网络认证服务器根据所述第二层密钥，与所述终端设备进行相互认证以获得所述终端设备与功能网元的通信密钥，包括：
所述网络认证服务器确定第二随机数，在对所述第一消息验证码验证通过后，根据所述第一随机数、第二参数集合中的至少一项，以及所述第二层密钥采用密钥生成函数生成所述终端设备的通信密钥，根据所述通信密钥、所述第二层密钥中的任一项，以及，所述第一随机数、所述第二随机数、所述第二参数集合中的至少一项生成第二消息验证码，将所述第二随机数、所述第二消息验证码，发送给所述终端设备，并向所述功能网元发送所述通信密钥；
其中，所述第二参数集合包括所述用户管理服务器的用户标识、所述终端设备的设备标识、所述用户管理服务器的网络标识、业务参数中的至少一种。
39.根据权利要求29所述的方法，其特征在于，所述认证请求消息还包括第一消息验证码、第一传输参数和第一随机数，所述网络认证服务器根据所述第二层密钥，与所述终端设备进行相互认证以获得所述终端设备与功能网元的通信密钥，包括：
所述网络认证服务器确定第二随机数、DH协议的第二传输参数，根据所述第一传输参数和所述第二传输参数执行DH密钥协商算法得到第三传输参数；
所述网络认证服务器在对所述第一消息验证码验证通过后，根据所述第一随机数、所述第二随机数、第二参数集合中的至少一项，以及所述第三传输参数采用密钥生成函数生成所述网络认证服务器的通信密钥，根据所述通信密钥、所述第二层密钥中的任一项，以及，所述第一随机数、所述第二随机数、所述第一传输参数、所述第二传输参数、所述第二参数集合中的任一项生成第二消息验证码，将所述第二随机数和所述第二消息验证码，发送给所述终端设备，并向所述功能网元发送所述通信密钥；
其中，所述第二参数集合包括所述用户管理服务器的用户标识、所述终端设备的设备标识、所述用户管理服务器的网络标识、业务参数中的至少一种。
40.一种密钥认证方法，其特征在于，包括：
网络认证服务器接收终端设备发送的认证请求消息，所述认证请求消息包括所述终端设备的公钥；
所述网络认证服务器根据所述终端设备的公钥、所述网络认证服务器的公钥和所述网络认证服务器的私钥，与所述终端设备进行相互认证以获得所述终端设备与功能网元的通信密钥。
41.根据权利要求40所述的方法，其特征在于，所述认证请求消息还包括第一数字签名、加密处理后的第一随机数和第二参数集合；
所述网络认证服务器根据所述终端设备的公钥、所述网络认证服务器的公钥和所述网络认证服务器的私钥，与所述终端设备进行相互认证以获得所述终端设备与功能网元的通信密钥，包括：
所述网络认证服务器根据所述网络认证服务器的私钥对所述加密处理后的第一随机数进行解密，得到第一随机数，确定第二随机数，采用所述终端设备的公钥对所述第二随机数进行加密处理，得到加密处理后的第二随机数，所述加密处理后的第一随机数为所述终端设备采用所述网络认证服务器的公钥对第一随机数加密处理得到；
所述网络认证服务器在对所述第一数字签名验证通过后，根据所述第一随机数、所述第二随机数中的至少一项，以及所述第二参数集合，采用密钥生成函数生成所述网络认证服务器的通信密钥，根据所述网络认证服务器的私钥、所述第一随机数、所述第二随机数和所述第二参数集合生成第二数字签名，将所述第二数字签名和所述加密处理后的第二随机数，发送给所述终端设备；
所述网络认证服务器接收所述终端设备发送的第一消息验证码或第三数字签名，在对所述第一消息验证码或所述第三数字签名验证通过后，向所述功能网元发送所述通信密钥；
其中，所述第二参数集合包括所述用户管理服务器的用户标识、所述终端设备的设备标识、所述用户管理服务器的网络标识、业务参数中的至少一种。
42.根据权利要求40所述的方法，其特征在于，所述认证请求消息还包括加密处理后的第一随机数和第二参数集合；
所述网络认证服务器根据所述终端设备的公钥、所述网络认证服务器的公钥和所述网络认证服务器的私钥，与所述终端设备进行相互认证以获得所述终端设备与功能网元的通信密钥，包括：
所述网络认证服务器根据所述网络认证服务器的私钥对所述加密处理后的第一随机数进行解密，得到第一随机数，确定第二随机数，采用所述终端设备的公钥对所述第二随机数进行加密处理，得到加密处理后的第二随机数，所述加密处理后的第一随机数为所述终端设备采用所述网络认证服务器的公钥对第一随机数加密处理得到；
所述网络认证服务器根据所述第一随机数、所述第二随机数中的至少一项，以及所述第二参数集合，采用密钥生成函数生成所述网络认证服务器的通信密钥，根据所述网络认证服务器的私钥、所述第一随机数、所述第二随机数和所述第二参数集合生成第二数字签名，将所述加密处理后的第二随机数、所述第二数字签名，发送给所述设备终端；
所述网络认证服务器接收所述终端设备发送的第一消息验证码或第三数字签名，在对所述第一消息验证码或所述第三数字签名验证通过后，向所述功能网元发送所述通信密钥；
其中，所述第二参数集合包括所述用户管理服务器的用户标识、所述终端设备的设备标识、所述用户管理服务器的网络标识、业务参数中的至少一种。
43.根据权利要求40所述的方法，其特征在于，所述认证请求消息还包括第一随机数、第一传输参数和第二参数集合；
所述网络认证服务器根据所述终端设备的公钥、所述网络认证服务器的公钥和所述网络认证服务器的私钥，与所述终端设备进行相互认证以获得所述终端设备与功能网元的通信密钥，包括：
所述网络认证服务器确定第二随机数、DH协议的第二传输参数，根据所述第一传输参数和所述第二传输参数执行DH密钥协商算法得到第三传输参数；
所述网络认证服务器根据所述第一随机数、所述第二随机数、所述第二参数集合中的至少一项，以及所述第三传输参数采用密钥生成函数生成所述网络认证服务器的通信密钥，根据所述第一随机数、所述第二随机数、所述第二参数集合中的至少一项，以及所述网络认证服务器的私钥，所述第一传输参数，所述第二传输参数，生成第二数字签名，将所述第二随机数、所述第二传输参数和所述第二数字签名，发送给所述终端设备；
所述网络认证服务器接收所述终端设备发送的第一消息验证码或第三数字签名，在对所述第一消息验证码验证通过后，或根据所述终端设备的公钥对所述第三数字签名验证通过后，向所述功能网元发送所述通信密钥；
其中，所述第二参数集合包括所述用户管理服务器的用户标识、所述终端设备的设备标识、所述用户管理服务器的网络标识、业务参数中的至少一种。
44.根据权利要求40至43任一项所述的方法，其特征在于，所述方法还包括：
网络认证服务器接收所述终端设备发送的公钥请求消息；
所述网络认证服务器向所述终端设备发送所述网络认证服务器的公钥。
45.一种用户管理服务器，其特征在于，包括：
请求发送模块，用于向业务中心服务器发送第一密钥请求消息，所述第一密钥请求消息用于指示所述业务中心服务器生成用户管理服务器的第一层密钥，所述第一密钥请求消息包含所述用户管理服务器的用户标识；
密钥接收模块，用于接收所述业务中心服务器发送的所述用户管理服务器的第一层密钥；
密钥生成分发模块，用于根据所述第一层密钥生成终端设备的第二层密钥，并将所述第二层密钥发送给所述终端设备，以使所述终端设备通过所述第二层密钥，与网络认证服务器进行相互认证以获取所述终端设备与功能网元的通信密钥。
46.根据权利要求45所述的服务器，其特征在于，所述密钥生成分发模块具体用于：
根据所述第一层密钥和第一参数集合，采用密钥生成函数生成所述终端设备的第二层密钥，并将所述第二层密钥和所述第一参数集合发送给所述终端设备，以使所述终端设备通过所述第二层密钥，与网络认证服务器进行相互认证获取所述终端设备与功能网元的通信密钥；
其中，所述第一参数集合包括所述用户管理服务器的用户标识、所述终端设备的设备标识、所述用户管理服务器的网络标识、业务参数、所述第二层密钥的密钥随机数、所述第二层密钥的新鲜参数、所述第二层密钥的时间参数中的至少一种。
47.根据权利要求45所述的服务器，其特征在于，所述第一层密钥为所述用户管理服务器的私钥，所述密钥生成分发模块具体用于：
根据所述用户管理服务器的私钥和第一参数集合，生成所述终端设备的第二层密钥和所述终端设备的公钥，所述第二层密钥为与所述终端设备的公钥对应的所述终端设备的私钥；
根据所述第一层密钥、所述终端设备的公钥，以及所述第一参数集合生成第一数字签名；
将所述终端设备的公钥、所述第二层密钥、所述第一数字签名，以及所述第二参数集合发送给所述终端设备，以使所述终端设备通过所述第二层密钥，与网络认证服务器进行相互认证获取所述终端设备与功能网元的通信密钥；
其中，所述第一参数集合包括所述用户管理服务器的用户标识、所述终端设备的设备标识、所述用户管理服务器的网络标识、业务参数、所述第二层密钥的密钥随机数、所述第二层密钥的新鲜参数、所述第二层密钥的时间参数中的至少一种；
所述第二参数集合包括所述用户管理服务器的用户标识、所述终端设备的设备标识、所述用户管理服务器的网络标识、业务参数中的至少一种。
48.根据权利要求45所述的服务器，其特征在于，所述第一层密钥为所述用户管理服务器的私钥，所述密钥生成分发模块具体用于：
根据所述用户管理服务器的私钥和所述终端设备的设备标识，基于设备身份生成算法生成终端设备的第二层密钥，所述第二层密钥为所述终端设备的私钥；
将第二参数集合、所述第二层密钥以及与所述终端设备的私钥对应的所述终端设备的公钥发送给所述终端设备，以使所述终端设备通过所述第二层密钥，与网络认证服务器进行相互认证获取所述终端设备与功能网元的通信密钥；
其中，所述第二参数集合包括所述用户管理服务器的用户标识、所述终端设备的设备标识、所述用户管理服务器的网络标识、业务参数中的至少一种。
49.根据权利要求45所述的服务器，其特征在于，所述第一层密钥为所述用户管理服务器的私钥，所述密钥接收模块还用于接收所述业务中心服务器发送的所述用户管理服务器的公钥；
所述密钥生成分发模块具体用于：
根据所述用户管理服务器的私钥，采用隐私增强的密钥技术的生成算法生成终端设备的第二层密钥，所述第二层密钥为所述终端设备的私钥；
将所述用户管理服务器的公钥、所述第二层密钥和第二参数集合发送给所述终端设备，以使所述终端设备通过所述第二层密钥，与网络认证服务器进行相互认证获取所述终端设备与功能网元的通信密钥；
其中，所述第二参数集合包括所述用户管理服务器的用户标识、所述终端设备的设备标识、所述用户管理服务器的网络标识、业务参数中的至少一种。
50.一种业务中心服务器，其特征在于，包括：
密钥请求接收模块，用于接收用户管理服务器发送的第一密钥请求消息，所述第一密钥请求消息用于指示所述业务中心服务器生成所述用户管理服务器的第一层密钥，所述第一密钥请求消息包含所述用户管理服务器的用户标识；
密钥生成分发模块，用于根据所述第一密钥请求消息生成所述用户标识对应的用户管理服务器的第一层密钥，并将所述第一层密钥发送给所述用户管理服务器。
51.根据权利要求50所述的服务器，其特征在于，所述密钥生成分发模块具体用于：
根据第三参数集合，采用密钥生成函数生成所述用户管理服务器的第一层密钥，并将所述第一层密钥发送给所述用户管理服务器；
其中，所述第三参数集合包括所述第一层密钥的密钥随机数、所述第一层密钥的新鲜参数、所述第一层密钥的时间参数、共享密钥中的至少一种，所述共享密钥为所述用户管理服务器与所述业务中心服务器的共享密钥；
或者
确定业务随机数，并将其作为所述用户管理服务器的第一层密钥，将所述第一层密钥发送给所述用户管理服务器。
52.根据权利要求50所述的服务器，其特征在于，所述第一密钥请求消息中还包括所述用户管理服务器的网络标识、业务参数中的至少一种，所述密钥生成分发模块具体用于：
根据第四参数集合，采用密钥生成函数生成所述用户管理服务器的第一层密钥，并将所述第一层密钥发送给所述用户管理服务器；
其中，所述第四参数集合包括所述用户管理服务器的用户标识、所述用户管理服务器的网络标识、业务参数、所述第一层密钥的密钥随机数、所述第一层密钥的新鲜参数、所述第一层密钥的时间参数、共享密钥中的至少一种，所述共享密钥为所述用户管理服务器与所述业务中心服务器的共享密钥。
53.根据权利要求50所述的服务器，其特征在于，所述密钥生成分发模块具体用于：
根据所述用户管理服务器的用户标识，基于身份密码系统的密钥生成算法生成所述用户管理服务器的第一层密钥，并将所述第一层密钥发送给所述用户管理服务器，所述第一层密钥为所述用户管理服务器的私钥。
54.根据权利要求50所述的服务器，其特征在于，所述密钥生成分发模块具体用于：
根据所述用户管理服务器的用户标识和第五参数集合，基于身份密码系统的密钥生成算法生成所述用户管理服务器的第一层密钥，并将所述第一层密钥发送给所述用户管理服务器，所述第一层密钥为所述用户管理服务器的私钥；
其中，所述第五参数集合包括如下中的至少一种：
所述第一层密钥的密钥随机数、所述第一层密钥的新鲜参数、所述第一层密钥的时间参数。
55.根据权利要求50所述的服务器，其特征在于，所述密钥生成分发模块具体用于：
采用隐私增强的密钥技术生成所述用户管理服务器的私钥和所述用户管理服务器的公钥，其中所述用户管理服务器的私钥为所述用户管理服务器的第一层密钥，并将所述第一层密钥和所述用户管理服务器的公钥发送给所述用户管理服务器。
56.根据权利要求50至52任一项所述的服务器，其特征在于，所述密钥请求接收模块还用于，接收所述网络认证服务器发送的第二密钥请求消息，所述第二密钥请求消息包含所述用户管理服务器的用户标识；
所述密钥生成分发模块还用于，根据所述第二密钥请求消息中所述用户管理服务器的用户标识检索得到第一层密钥，或生成第一层密钥，并将所述第一层密钥发送给所述网络认证服务器，以使所述网络认证服务器根据所述第一层密钥生成所述终端设备的第二层密钥，并根据所述第二层密钥与所述终端设备进行相互认证。
57.根据权利要求50至52任一项所述的服务器，其特征在于，所述密钥请求接收模块还用于，接收所述网络认证服务器发送的第二密钥请求消息，所述第二密钥请求消息中包括第一参数集合；
所述密钥生成分发模块还用于，根据所述第一层密钥和所述第一参数集合，采用密钥生成函数生成所述终端设备的第二层密钥，并将所述第二层密钥发送给所述网络认证服务器以使得所述网络认证服务器根据所述第二层密钥与所述终端设备进行相互认证；
其中，所述第一参数集合包括所述用户管理服务器的用户标识、所述终端设备的设备标识、所述用户管理服务器的网络标识、业务参数、所述第二层密钥的密钥随机数、所述第二层密钥的新鲜参数、所述第二层密钥的时间参数中的至少一种。
58.一种终端设备，其特征在于，包括：
密钥接收模块，用于接收用户管理服务器发送的所述终端设备的第二层密钥；
认证模块，用于根据所述第二层密钥，与网络认证服务器进行相互认证以获取所述终端设备与功能网元的通信密钥。
59.根据权利要求58所述的终端设备，其特征在于，所述密钥接收模块还用于，接收用户管理服务器发送的第一参数集合；
所述认证模块具体用于：
确定第一随机数，采用第二层密钥对所述第一随机数进行加密处理，得到加密处理后的第一随机数，向网络认证服务器发送认证请求消息，所述认证请求消息包括所述第一参数集合和所述加密处理后的第一随机数；
接收所述网络认证服务器发送的加密处理后的第二随机数和第二消息验证码，根据所述第二层密钥对所述加密处理后的第二随机数进行解密，得到第二随机数，所述加密处理后的第二随机数为所述网络认证服务器采用所述第二层密钥对第二随机数加密处理得到；
在对所述第二消息验证码验证通过后，根据所述第二层密钥、所述第一随机数、所述第二随机数中的至少一项，以及第二参数集合采用密钥生成函数生成所述终端设备的通信密钥，根据所述通信密钥、所述第二层密钥中的任一项，以及所述第一随机数，所述第二随机数，所述第二参数集合生成第一消息验证码，并将所述第一消息验证码发送给所述网络认证服务器，以使所述网络认证服务器对所述第一消息验证码进行验证；
其中，所述第一参数集合包括所述用户管理服务器的用户标识、所述终端设备的设备标识、所述用户管理服务器的网络标识、业务参数、所述第二层密钥的密钥随机数、所述第二层密钥的新鲜参数、所述第二层密钥的时间参数中的至少一种；
所述第二参数集合包括所述用户管理服务器的用户标识、所述终端设备的设备标识、所述用户管理服务器的网络标识、业务参数中的至少一种。
60.根据权利要求58所述的终端设备，其特征在于，所述密钥接收模块还用于，接收用户管理服务器发送的第一参数集合；
所述认证模块具体用于：
确定第一随机数，向网络认证服务器发送认证请求消息，所述认证请求消息包括所述第一参数集合和所述第一随机数；
接收所述网络认证服务器发送第二随机数和第二消息验证码；
在对所述第二消息验证码验证通过后，根据所述第一随机数、所述第二随机数、第二参数集合中的至少一项，以及所述第二层密钥，采用密钥生成函数生成所述终端设备的通信密钥，根据所述通信密钥、所述第二层密钥中的任一项，以及所述第一随机数，所述第二随机数，第二参数集合生成第一消息验证码，并将所述第一消息验证码，发送给所述网络认证服务器，以使所述网络认证服务器对所述第一消息验证码进行验证；
其中，所述第一参数集合包括所述用户管理服务器的用户标识、所述终端设备的设备标识、所述用户管理服务器的网络标识、业务参数、所述第二层密钥的密钥随机数、所述第二层密钥的新鲜参数、所述第二层密钥的时间参数中的至少一种；
所述第二参数集合包括所述用户管理服务器的用户标识、所述终端设备的设备标识、所述用户管理服务器的网络标识、业务参数中的至少一种。
61.根据权利要求58所述的终端设备，其特征在于，所述密钥接收模块还用于，接收用户管理服务器发送的第一参数集合；
所述认证模块具体用于：
确定第一随机数，向网络认证服务器发送认证请求消息，所述认证请求消息包括所述第一参数集合和所述第一随机数；
接收所述网络认证服务器发送的第二随机数、第二消息验证码和加密处理后的通信密钥，根据所述第二层密钥对所述加密处理后的通信密钥进行解密，得到通信密钥，所述加密处理后的通信密钥为所述网络认证服务器采用所述第二层密钥对所述通信密钥加密处理得到；
在对所述第二消息验证码验证通过后，根据所述通信密钥、所述第二层密钥中的任一项，以及所述第一随机数，所述第二随机数，以及所述第二参数集合生成第一消息验证码，并将所述第一消息验证码，发送给所述网络认证服务器，以使所述网络认证服务器对所述第一消息验证码进行验证；
其中，所述第一参数集合包括所述用户管理服务器的用户标识、所述终端设备的设备标识、所述用户管理服务器的网络标识、业务参数、所述第二层密钥的密钥随机数、所述第二层密钥的新鲜参数、所述第二层密钥的时间参数中的至少一种；
所述第二参数集合包括所述用户管理服务器的用户标识、所述终端设备的设备标识、所述用户管理服务器的网络标识、业务参数中的至少一种。
62.根据权利要求58所述的终端设备，其特征在于，所述密钥接收模块还用于，接收用户管理服务器发送的第一参数集合；
所述认证模块具体用于：
确定第一随机数、DH协议的第一传输参数，向网络认证服务器发送认证请求消息，所述认证请求消息包括所述第一随机数、所述第一传输参数和所述第一参数集合；
接收所述网络认证服务器发送的第二传输参数、第二随机数和第二消息验证码，根据所述第一传输参数和所述第二传输参数执行DH密钥协商算法得到第三传输参数；
在对所述第二消息验证码验证通过后，根据所述第一随机数、所述第二随机数、第二参数集合中的至少一项，以及所述第三传输参数，采用密钥生成函数生成所述终端设备的通信密钥，根据所述通信密钥、第二层密钥中的任一项，以及，所述第一随机数，所述第二随机数，第二参数集合，采用消息验证码生成函数生成第一消息验证码，并将所述第一消息验证码，发送给所述网络认证服务器，以使所述网络认证服务器对所述第一消息验证码进行验证；
其中，所述第一参数集合包括所述用户管理服务器的用户标识、所述终端设备的设备标识、所述用户管理服务器的网络标识、业务参数、所述第二层密钥的密钥随机数、所述第二层密钥的新鲜参数、所述第二层密钥的时间参数中的至少一种；
所述第二参数集合包括所述用户管理服务器的用户标识、所述终端设备的设备标识、所述用户管理服务器的网络标识、业务参数中的至少一种。
63.根据权利要求58所述的终端设备，其特征在于，所述密钥接收模块还用于，接收用户管理服务器发送的第一参数集合；
所述认证模块具体用于：
确定第一随机数，采用第二层密钥对所述第一随机数进行加密处理，得到加密处理后的第一随机数，根据第二参数集合、所述第一随机数中的至少一项，以及所述第二层密钥采用消息验证码生成函数生成第一消息验证码，向网络认证服务器发送认证请求消息，所述认证请求消息包括所述第一消息验证码、所述加密处理后的第一随机数、所述第一参数集合；
接收所述网络认证服务器发送的第二消息验证码和加密处理后的第二随机数，根据所述第二层密钥对所述加密处理后的第二随机数进行解密，得到第二随机数，所述加密处理后的第二随机数为所述网络认证服务器采用所述第二层密钥对第二随机数加密处理得到；
在对所述第二消息验证码验证通过后，根据所述第二层密钥、所述第一随机数、所述第二随机数中的至少一项，以及所述第二参数集合，采用密钥生成函数生成所述终端设备的通信密钥；
其中，所述第一参数集合包括所述用户管理服务器的用户标识、所述终端设备的设备标识、所述用户管理服务器的网络标识、业务参数、所述第二层密钥的密钥随机数、所述第二层密钥的新鲜参数、所述第二层密钥的时间参数中的至少一种；
所述第二参数集合包括所述用户管理服务器的用户标识、所述终端设备的设备标识、所述用户管理服务器的网络标识、业务参数中的至少一种。
64.根据权利要求58所述的终端设备，其特征在于，所述密钥接收模块还用于，接收用户管理服务器发送的第一参数集合；
所述认证模块具体用于：
确定第一随机数，根据第二参数集合、所述第一随机数中的至少一项，以及所述第二层密钥采用消息验证码生成函数生成第一消息验证码，向网络认证服务器发送认证请求消息，所述认证请求消息包括所述第一消息验证码、所述第一随机数、所述第一参数集合；
备接收所述网络认证服务器发送的第二随机数和第二消息验证码；
在对所述第二消息验证码验证通过后，根据所述第一随机数、所述第二随机数、第二参数集合中的至少一项，以及所述第二层密钥采用密钥生成函数生成所述终端设备的通信密钥；
其中，所述第一参数集合包括所述用户管理服务器的用户标识、所述终端设备的设备标识、所述用户管理服务器的网络标识、业务参数、所述第二层密钥的密钥随机数、所述第二层密钥的新鲜参数、所述第二层密钥的时间参数中的至少一种；
所述第二参数集合包括所述用户管理服务器的用户标识、所述终端设备的设备标识、所述用户管理服务器的网络标识、业务参数中的至少一种。
65.根据权利要求58所述的终端设备，其特征在于，所述密钥接收模块还用于，接收用户管理服务器发送的第一参数集合；
所述认证模块具体用于：
确定第一随机数，根据第二参数集合、所述第一随机数中的至少一项，以及所述第二层密钥采用消息验证码生成函数生成第一消息验证码，向网络认证服务器发送认证请求消息，所述认证请求消息包括所述第一消息验证码、所述第一随机数、所述第一参数集合；
接收所述网络认证服务器发送的第二随机数、第二消息验证码和加密处理后的通信密钥；
在根据所述第二随机数对所述第二消息验证码验证通过后，根据所述第二层密钥对所述加密处理后的通信密钥进行解密，得到通信密钥；
其中，所述第一参数集合包括所述用户管理服务器的用户标识、所述终端设备的设备标识、所述用户管理服务器的网络标识、业务参数、所述第二层密钥的密钥随机数、所述第二层密钥的新鲜参数、所述第二层密钥的时间参数中的至少一种；
所述第二参数集合包括所述用户管理服务器的用户标识、所述终端设备的设备标识、所述用户管理服务器的网络标识、业务参数中的至少一种。
66.根据权利要求58所述的终端设备，其特征在于，所述密钥接收模块还用于，接收用户管理服务器发送的第一参数集合；
所述认证模块具体用于：
确定第一随机数，采用第二层密钥对所述第一随机数进行加密处理，得到加密处理后的第一随机数，根据所述第二层密钥、所述第一随机数中的至少一项，以及第二参数集合采用密钥生成函数生成所述终端设备的通信密钥，根据所述第二层密钥、所述通信密钥中的任一项，以及所述第二参数集合、所述第一随机数中的至少一项，采用消息验证码生成函数生成第一消息验证码，向网络认证服务器发送认证请求消息，所述认证请求消息包括所述第一消息验证码、所述加密处理后的第一随机数、所述第一参数集合；
接收所述网络认证服务器发送的第二消息验证码和加密处理后的第二随机数，根据所述第二层密钥对所述加密处理后的第二随机数进行解密，得到第二随机数，所述加密处理后的第二随机数为所述网络认证服务器采用所述第二层密钥对第二随机数加密处理得到，根据所述第二随机数对所述第二消息验证码进行验证并确定通过；
其中，所述第一参数集合包括所述用户管理服务器的用户标识、所述终端设备的设备标识、所述用户管理服务器的网络标识、业务参数、所述第二层密钥的密钥随机数、所述第二层密钥的新鲜参数、所述第二层密钥的时间参数中的至少一种；
所述第二参数集合包括所述用户管理服务器的用户标识、所述终端设备的设备标识、所述用户管理服务器的网络标识、业务参数中的至少一种。
67.根据权利要求58所述的终端设备，其特征在于，所述密钥接收模块还用于，接收用户管理服务器发送的第一参数集合；
所述认证模块具体用于：
确定第一随机数，根据所述第一随机数、第二参数集合中的至少一项，以及所述第二层密钥采用密钥生成函数生成所述终端设备的通信密钥，根据所述第二层密钥、所述通信密钥中的任一项，以及所述第二参数集合、所述第一随机数中的至少一项，采用消息验证码生成函数生成第一消息验证码，向网络认证服务器发送认证请求消息，所述认证请求消息包括所述第一消息验证码、所述第一随机数、所述第一参数集合；
接收所述网络认证服务器发送的第二随机数和第二消息验证码，对所述第二消息验证码进行验证并确定通过；
其中，所述第一参数集合包括所述用户管理服务器的用户标识、所述终端设备的设备标识、所述用户管理服务器的网络标识、业务参数、所述第二层密钥的密钥随机数、所述第二层密钥的新鲜参数、所述第二层密钥的时间参数中的至少一种；
所述第二参数集合包括所述用户管理服务器的用户标识、所述终端设备的设备标识、所述用户管理服务器的网络标识、业务参数中的至少一种。
68.根据权利要求58所述的终端设备，其特征在于，所述密钥接收模块还用于，接收用户管理服务器发送的第一参数集合；
所述认证模块具体用于：
确定第一随机数、DH协议的第一传输参数，根据所述第二层密钥、所述第一随机数和第二参数集合，采用消息验证码生成函数生成第一消息验证码，向网络认证服务器发送认证请求消息，所述认证请求消息包括所述第一随机数、所述第一传输参数、所述第一消息验证码、所述第一参数集合；
接收所述网络认证服务器发送的第二传输参数、第二随机数和第二消息验证码，根据所述第一传输参数和所述第二传输参数执行DH密钥协商算法得到第三传输参数；
在对所述第二消息验证码验证通过后，根据所述第一随机数、所述第二随机数、所述第二参数集合中的至少一项，以及所述第三传输参数采用密钥生成函数生成所述终端设备的通信密钥；
其中，所述第一参数集合包括所述用户管理服务器的用户标识、所述终端设备的设备标识、所述用户管理服务器的网络标识、业务参数、所述第二层密钥的密钥随机数、所述第二层密钥的新鲜参数、所述第二层密钥的时间参数中的至少一种；
所述第二参数集合包括所述用户管理服务器的用户标识、所述终端设备的设备标识、所述用户管理服务器的网络标识、业务参数中的至少一种。
69.根据权利要求58所述的终端设备，其特征在于，所述密钥接收模块还用于，接收所述用户管理服务器发送的所述终端设备的公钥、第一数字签名，以及第二参数集合；
所述认证模块具体用于：
确定第一随机数，采用网络认证服务器的公钥对所述第一随机数进行加密处理，得到加密处理后的第一随机数，向所述网络认证服务器发送认证请求消息，所述认证请求消息包括所述终端设备的公钥、所述第一数字签名、所述加密处理后的第一随机数，以及所述第二参数集合；
接收所述网络认证服务器发送的加密处理后的第二随机数和第二数字签名，根据所述终端设备的第二层密钥对所述加密处理后的第二随机数进行解密，得到第二随机数，所述加密处理后的第二随机数为所述网络认证服务器采用所述终端设备的公钥对第二随机数加密处理得到；
在对所述第二数字签名验证通过后，根据所述第一随机数、所述第二随机数中的至少一项，以及所述第二参数集合采用密钥生成函数生成所述终端设备的通信密钥，根据所述通信密钥、所述第一随机数、所述第二随机数和所述第二参数集合生成第一消息验证码，或者根据所述第二层密钥、所述第一随机数、所述第二随机数和所述第二参数集合生成第三数字签名，将所述第一消息验证码或所述第三数字签名发送给所述网络认证服务器，以使所述网络认证服务器对所述第一消息验证码或所述第三数字签名进行验证；
其中，所述第二参数集合包括所述用户管理服务器的用户标识、所述终端设备的设备标识、所述用户管理服务器的网络标识、业务参数中的至少一种。
70.根据权利要求58所述的终端设备，其特征在于，所述密钥接收模块还用于，接收所述用户管理服务器发送的所述终端设备的公钥和第二参数集合；
所述认证模块具体用于：
确定第一随机数，采用网络认证服务器的公钥对所述第一随机数进行加密处理，得到加密处理后的第一随机数，向所述网络认证服务器发送认证请求消息，所述认证请求消息包括所述终端设备的公钥、所述加密处理后的第一随机数，以及所述第二参数集合；
接收所述网络认证服务器发送的加密处理后的第二随机数和第二数字签名，根据所述终端设备的所述第二层密钥对所述加密处理后的第二随机数进行解密，得到第二随机数，所述加密处理后的第二随机数为所述网络认证服务器采用所述终端设备的公钥对第二随机数加密处理得到；
在对所述第二数字签名验证通过后，根据所述第一随机数、所述第二随机数中的至少一项，以及所述第二参数集合采用密钥生成函数生成所述终端设备的通信密钥，根据所述通信密钥、所述第一随机数、所述第二随机数和所述第二参数集合生成第一消息验证码，或者根据所述第二层密钥、所述第一随机数、所述第二随机数和所述第二参数集合生成第三数字签名，将所述第一消息验证码或所述第三数字签名发送给所述网络认证服务器，以使所述网络认证服务器对所述第一消息验证码或所述第三数字签名进行验证；
其中，所述第二参数集合包括所述用户管理服务器的用户标识、所述终端设备的设备标识、所述用户管理服务器的网络标识、业务参数中的至少一种。
71.根据权利要求58所述的终端设备，其特征在于，所述密钥接收模块还用于，接收所述用户管理服务器发送的所述用户管理服务器的公钥和第二参数集合，所述用户管理服务器的公钥为与所述终端设备的第二层密钥对应的所述终端设备的公钥；
所述认证模块具体用于：
确定第一随机数、DH协议的第一传输参数，向所述网络认证服务器发送认证请求消息，所述认证请求消息包括所述终端设备的公钥、所述第一随机数、所述第一传输参数和所述第二参数集合；
接收所述网络认证服务器发送的第二传输参数、第二随机数和第二数字签名，根据所述第一传输参数和所述第二传输参数执行DH密钥协商算法得到第三传输参数；
在对所述第二数字签名验证通过后，根据所述第一随机数、所述第二随机数、所述第二参数集合中的至少一项，以及所述第三传输参数采用密钥生成函数生成所述终端设备的通信密钥，根据所述第一随机数、所述第二随机数、所述第二参数集合中的至少一项，以及所述通信密钥，所述第一传输参数，所述第二传输参数，采用消息验证码生成函数生成第一消息验证码，或者根据所述第一随机数、所述第二随机数、所述第二参数集合中的至少一项，以及所述第二层密钥，所述第一传输参数，所述第二传输参数，生成第三数字签名，将所述第一消息验证码或所述第三数字签名，发送给所述网络认证服务器，以使所述网络认证服务器对所述第一消息验证码或所述第三数字签名进行验证；
其中，所述第二参数集合包括所述用户管理服务器的用户标识、所述终端设备的设备标识、所述用户管理服务器的网络标识、业务参数中的至少一种。
72.根据权利要求69至71任一项所述的终端设备，其特征在于，还包括公钥请求模块，用于向所述网络认证服务器发送公钥请求消息；
所述密钥接收模块，还用于接收所述网络认证服务器发送的所述网络认证服务器的公钥。
73.一种网络认证服务器，其特征在于，包括：
密钥获取模块，用于接收终端设备发送的认证请求消息，所述认证请求消息包括第一参数集合，向业务中心服务器发送第二密钥请求消息，接收业务中心服务器发送的第二层密钥，所述第二密钥请求消息包括第一参数集合；或者用于接收终端设备发送的认证请求消息，所述认证请求消息包括第一参数集合，向业务中心服务器发送第二密钥请求消息，接收业务中心服务器发送的第一层密钥，并根据所述第一层密钥和所述第一参数集合，采用密钥生成函数生成所述终端设备的第二层密钥；
认证模块，用于根据所述第二层密钥，与所述终端设备进行相互认证以获得所述终端设备与功能网元的通信密钥；
其中，所述第一参数集合包括所述用户管理服务器的用户标识、所述终端设备的设备标识、所述用户管理服务器的网络标识、业务参数、所述第二层密钥的密钥随机数、所述第二层密钥的新鲜参数、所述第二层密钥的时间参数中的至少一种。
74.根据权利要求73所述的服务器，其特征在于，所述认证请求消息还包括加密处理后的第一随机数，所述认证模块具体用于：
根据所述第二层密钥对所述加密处理后的第一随机数进行解密，得到第一随机数，确定第二随机数，采用所述第二层密钥对所述第二随机数进行加密处理，得到加密处理后的第二随机数，所述加密处理后的第一随机数为所述终端设备采用所述第二层密钥对第一随机数加密处理得到；
根据所述第二层密钥、所述第一随机数、所述第二随机数中的至少一项，以及第二参数集合，采用密钥生成函数生成所述网络认证服务器的通信密钥，根据所述通信密钥、所述第二层密钥中的任一项，以及所述第一随机数，所述第二随机数，所述第二参数集合生成第二消息验证码，将所述加密处理后的第二随机数、所述第二消息验证码，发送给所述终端设备；
接收所述终端设备发送的第一消息验证码，在对所述第一消息验证码验证通过后，向所述功能网元发送所述通信密钥；
其中，所述第二参数集合包括所述用户管理服务器的用户标识、所述终端设备的设备标识、所述用户管理服务器的网络标识、业务参数中的至少一种。
75.根据权利要求73所述的服务器，其特征在于，所述认证请求消息还包括第一随机数，所述认证模块具体用于：
确定第二随机数，根据所述第一随机数、所述第二随机数、第二参数集合中的至少一项，以及所述第二层密钥，采用密钥生成函数生成所述网络认证服务器的通信密钥，根据所述通信密钥、所述第二层密钥中的任一项，以及所述第一随机数，所述第二随机数，第二参数集合生成第二消息验证码，并将所述第二随机数、所述第二消息验证码，发送给所述终端设备；
接收所述终端设备发送的第一消息验证码，在对所述第一消息验证码验证通过后，向所述功能网元发送所述通信密钥；
其中，所述第二参数集合包括所述用户管理服务器的用户标识、所述终端设备的设备标识、所述用户管理服务器的网络标识、业务参数中的至少一种。
76.根据权利要求73所述的服务器，其特征在于，所述认证请求消息还包括第一随机数，所述认证模块具体用于：
确定第二随机数，根据密钥随机数生成所述网络认证服务器的通信密钥，采用所述第二层密钥对所述通信密钥进行加密处理，得到加密处理后的通信密钥，根据所述通信密钥、所述第二层密钥中的任一项，以及所述第一随机数，所述第二随机数，第二参数集合生成第二消息验证码，并将所述第二随机数、所述加密处理后的通信密钥和所述第二消息验证码，发送给所述终端设备；
接收所述终端设备发送的第一消息验证码，在对所述第一消息验证码验证通过后，向所述功能网元发送所述通信密钥；
其中，所述第二参数集合包括所述用户管理服务器的用户标识、所述终端设备的设备标识、所述用户管理服务器的网络标识、业务参数中的至少一种。
77.根据权利要求73所述的服务器，其特征在于，所述认证请求消息还包括第一传输参数和第一随机数，所述认证模块具体用于：
确定第二随机数、DH协议的第二传输参数，根据所述第一传输参数和所述第二传输参数执行DH密钥协商算法得到第三传输参数；
根据所述第一随机数、所述第二随机数、第二参数集合中的至少一项，以及所述第三传输参数，采用密钥生成函数生成所述网络认证服务器的通信密钥，根据所述通信密钥、第二层密钥中的任一项，以及，所述第一传输参数，所述第二传输参数，第二参数集合生成第二消息验证码，将所述第二随机数和所述第二消息验证码，发送给所述终端设备；
接收所述终端设备发送的第一消息验证码，在对所述第一消息验证码验证通过后，向所述功能网元发送所述通信密钥；
其中，所述第二参数集合包括所述用户管理服务器的用户标识、所述终端设备的设备标识、所述用户管理服务器的网络标识、业务参数中的至少一种。
78.根据权利要求73所述的服务器，其特征在于，所述认证请求消息还包括第一消息验证码和加密处理后的第一随机数，所述认证模块具体用于：
根据所述第二层密钥对所述加密处理后的第一随机数进行解密，得到第一随机数，确定第二随机数，采用所述第二层密钥对所述第二随机数进行加密处理，得到加密处理后的第二随机数，所述加密处理后的第一随机数为所述终端设备采用所述第二层密钥对第一随机数加密处理得到；
在对所述第一消息验证码验证通过后，根据所述第二层密钥、所述第一随机数、所述第二随机数中的至少一项，以及第二参数集合，采用密钥生成函数生成所述网络认证服务器的通信密钥，根据所述通信密钥、所述第二层密钥中的任一项，以及，所述第一随机数、所述第二随机数、所述第二参数集合中的至少一项生成第二消息验证码，将所述加密处理后的第二随机数、所述第二消息验证码，发送给所述终端设备，并向所述功能网元发送所述通信密钥；
其中，所述第二参数集合包括所述用户管理服务器的用户标识、所述终端设备的设备标识、所述用户管理服务器的网络标识、业务参数中的至少一种。
79.根据权利要求73所述的服务器，其特征在于，所述认证请求消息还包括第一消息验证码和第一随机数，所述认证模块具体用于：
确定第二随机数，在对所述第一消息验证码验证通过后，根据所述第一随机数、所述第二随机数、第二参数集合中的至少一项，以及所述第二层密钥，采用密钥生成函数生成所述网络认证服务器的通信密钥，根据所述通信密钥、所述第二层密钥中的任一项，以及，所述第一随机数、所述第二随机数、所述第二参数集合中的至少一项生成第二消息验证码，将所述加密处理后的第二随机数、所述第二消息验证码，发送给所述终端设备，并向所述功能网元发送所述通信密钥；
其中，所述第二参数集合包括所述用户管理服务器的用户标识、所述终端设备的设备标识、所述用户管理服务器的网络标识、业务参数中的至少一种。
80.根据权利要求73所述的服务器，其特征在于，所述认证请求消息还包括第一消息验证码和第一随机数，所述认证模块具体用于：
确定第二随机数，在对所述第一消息验证码验证通过后，根据密钥随机数生成所述网络认证服务器的通信密钥，采用所述第二层密钥对所述通信密钥进行加密处理，得到加密处理后的通信密钥，根据所述通信密钥、所述第二层密钥中的任一项，以及，所述第一随机数、所述第二随机数、第二参数集合中的至少一项生成第二消息验证码，将所述第二随机数、所述加密处理后的通信密钥和所述第二消息验证码，发送给所述终端设备，并向所述功能网元发送所述通信密钥；
其中，所述第二参数集合包括所述用户管理服务器的用户标识、所述终端设备的设备标识、所述用户管理服务器的网络标识、业务参数中的至少一种。
81.根据权利要求73所述的服务器，其特征在于，所述认证请求消息还包括第一消息验证码和加密处理后的第一随机数，所述认证模块具体用于：
根据所述第二层密钥对所述加密处理后的第一随机数进行解密，得到第一随机数，确定第二随机数，采用所述第二层密钥对所述第二随机数进行加密处理，得到加密处理后的第二随机数，所述加密处理后的第一随机数为所述终端设备采用所述第二层密钥对第一随机数加密处理得到；
在对所述第一消息验证码验证通过后，根据所述第二层密钥、所述第一随机数中的至少一项，以及第二参数集合，采用密钥生成函数生成所述终端设备的通信密钥，根据所述通信密钥、所述第二层密钥中的任一项，以及，所述第一随机数、所述第二随机数、所述第二参数集合中的至少一项生成第二消息验证码，将所述加密处理后的第二随机数、所述第二消息验证码，发送给所述终端设备，并向所述功能网元发送所述通信密钥；
其中，所述第二参数集合包括所述用户管理服务器的用户标识、所述终端设备的设备标识、所述用户管理服务器的网络标识、业务参数中的至少一种。
82.根据权利要求73所述的服务器，其特征在于，所述认证请求消息还包括第一消息验证码和第一随机数，所述认证模块具体用于：
确定第二随机数，在对所述第一消息验证码验证通过后，根据所述第一随机数、第二参数集合中的至少一项，以及所述第二层密钥采用密钥生成函数生成所述终端设备的通信密钥，根据所述通信密钥、所述第二层密钥中的任一项，以及，所述第一随机数、所述第二随机数、所述第二参数集合中的至少一项生成第二消息验证码，将所述第二随机数、所述第二消息验证码，发送给所述终端设备，并向所述功能网元发送所述通信密钥；
其中，所述第二参数集合包括所述用户管理服务器的用户标识、所述终端设备的设备标识、所述用户管理服务器的网络标识、业务参数中的至少一种。
83.根据权利要求73所述的服务器，其特征在于，所述认证请求消息还包括第一消息验证码、第一传输参数和第一随机数，所述认证模块具体用于：
确定第二随机数、DH协议的第二传输参数，根据所述第一传输参数和所述第二传输参数执行DH密钥协商算法得到第三传输参数；
在对所述第一消息验证码验证通过后，根据所述第一随机数、所述第二随机数、第二参数集合中的至少一项，以及所述第三传输参数采用密钥生成函数生成所述网络认证服务器的通信密钥，根据所述通信密钥、所述第二层密钥中的任一项，以及，所述第一随机数、所述第二随机数、所述第一传输参数、所述第二传输参数、所述第二参数集合中的任一项生成第二消息验证码，将所述第二随机数和所述第二消息验证码，发送给所述终端设备，并向所述功能网元发送所述通信密钥；
其中，所述第二参数集合包括所述用户管理服务器的用户标识、所述终端设备的设备标识、所述用户管理服务器的网络标识、业务参数中的至少一种。
84.一种网络认证服务器，其特征在于，包括：
公钥获取模块，用于接收终端设备发送的认证请求消息，所述认证请求消息包括所述终端设备的公钥；
认证模块，用于根据所述终端设备的公钥、所述网络认证服务器的公钥和所述网络认证服务器的私钥，与所述终端设备进行相互认证以获得所述终端设备与功能网元的通信密钥。
85.根据权利要求84所述的服务器，其特征在于，所述认证请求消息还包括第一数字签名、加密处理后的第一随机数和第二参数集合；所述认证模块具体用于：
根据所述网络认证服务器的私钥对所述加密处理后的第一随机数进行解密，得到第一随机数，确定第二随机数，采用所述终端设备的公钥对所述第二随机数进行加密处理，得到加密处理后的第二随机数，所述加密处理后的第一随机数为所述终端设备采用所述网络认证服务器的公钥对第一随机数加密处理得到；
在对所述第一数字签名验证通过后，根据所述第一随机数、所述第二随机数中的至少一项，以及所述第二参数集合，采用密钥生成函数生成所述网络认证服务器的通信密钥，根据所述网络认证服务器的私钥、所述第一随机数、所述第二随机数和所述第二参数集合生成第二数字签名，将所述第二数字签名和所述加密处理后的第二随机数，发送给所述终端设备；
接收所述终端设备发送的第一消息验证码或第三数字签名，在对所述第一消息验证码或所述第三数字签名验证通过后，向所述功能网元发送所述通信密钥；
其中，所述第二参数集合包括所述用户管理服务器的用户标识、所述终端设备的设备标识、所述用户管理服务器的网络标识、业务参数中的至少一种。
86.根据权利要求84所述的服务器，其特征在于，所述认证请求消息还包括加密处理后的第一随机数和第二参数集合；所述认证模块具体用于：
根据所述网络认证服务器的私钥对所述加密处理后的第一随机数进行解密，得到第一随机数，确定第二随机数，采用所述终端设备的公钥对所述第二随机数进行加密处理，得到加密处理后的第二随机数，所述加密处理后的第一随机数为所述终端设备采用所述网络认证服务器的公钥对第一随机数加密处理得到；
根据所述第一随机数、所述第二随机数中的至少一项，以及所述第二参数集合，采用密钥生成函数生成所述网络认证服务器的通信密钥，根据所述网络认证服务器的私钥、所述第一随机数、所述第二随机数和所述第二参数集合生成第二数字签名，将所述加密处理后的第二随机数、所述第二数字签名，发送给所述设备终端；
接收所述终端设备发送的第一消息验证码或第三数字签名，在对所述第一消息验证码或所述第三数字签名验证通过后，向所述功能网元发送所述通信密钥；
其中，所述第二参数集合包括所述用户管理服务器的用户标识、所述终端设备的设备标识、所述用户管理服务器的网络标识、业务参数中的至少一种。
87.根据权利要求84所述的服务器，其特征在于，所述认证请求消息还包括第一随机数、第一传输参数和第二参数集合；所述认证模块具体用于：
确定第二随机数、DH协议的第二传输参数，根据所述第一传输参数和所述第二传输参数执行DH密钥协商算法得到第三传输参数；
根据所述第一随机数、所述第二随机数、所述第二参数集合中的至少一项，以及所述第三传输参数采用密钥生成函数生成所述网络认证服务器的通信密钥，根据所述第一随机数、所述第二随机数、所述第二参数集合中的至少一项，以及所述网络认证服务器的私钥，所述第一传输参数，所述第二传输参数，生成第二数字签名，将所述第二随机数、所述第二传输参数和所述第二数字签名，发送给所述终端设备；
接收所述终端设备发送的第一消息验证码或第三数字签名，在对所述第一消息验证码验证通过后，或根据所述终端设备的公钥对所述第三数字签名验证通过后，向所述功能网元发送所述通信密钥；
其中，所述第二参数集合包括所述用户管理服务器的用户标识、所述终端设备的设备标识、所述用户管理服务器的网络标识、业务参数中的至少一种。
88.根据权利要求84至87任一项所述的服务器，其特征在于，还包括公钥请求接收模块，用于接收所述终端设备发送的公钥请求消息；
公钥发送模块，用于向所述终端设备发送所述网络认证服务器的公钥。
89.一种密钥分发、认证系统，其特征在于，包括：如权利要求45至49中任一项所述的用户管理服务器、如权利要求50至57中任一项所述的业务中心服务器、如权利要求58至72中任一项所述的终端设备、如权利要求73至88中任一项所述的网络认证服务器。
CN201610268327.6A 2016-04-27 2016-04-27 密钥分发、认证方法，装置及系统 Active CN107317789B (zh)

Priority Applications (5)

Application Number Priority Date Filing Date Title
CN201610268327.6A CN107317789B (zh) 2016-04-27 2016-04-27 密钥分发、认证方法，装置及系统
PCT/CN2016/103334 WO2017185692A1 (zh) 2016-04-27 2016-10-26 密钥分发、认证方法，装置及系统
EP16900200.3A EP3432532B1 (en) 2016-04-27 2016-10-26 Key distribution and authentication method, apparatus and system
JP2018556317A JP6641029B2 (ja) 2016-04-27 2016-10-26 キー配信および認証方法およびシステム、ならびに装置
US16/171,235 US20190068591A1 (en) 2016-04-27 2018-10-25 Key Distribution And Authentication Method And System, And Apparatus

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201610268327.6A CN107317789B (zh) 2016-04-27 2016-04-27 密钥分发、认证方法，装置及系统

Publications (2)

Publication Number Publication Date
CN107317789A true CN107317789A (zh) 2017-11-03
CN107317789B CN107317789B (zh) 2020-07-21

Family

ID=60160692

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201610268327.6A Active CN107317789B (zh) 2016-04-27 2016-04-27 密钥分发、认证方法，装置及系统

Country Status (5)

Country Link
US (1) US20190068591A1 (zh)
EP (1) EP3432532B1 (zh)
JP (1) JP6641029B2 (zh)
CN (1) CN107317789B (zh)
WO (1) WO2017185692A1 (zh)

Cited By (23)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN107948183A (zh) * 2017-12-06 2018-04-20 深圳数字电视国家工程实验室股份有限公司 一种适用于物联网的密钥分配方法及系统
CN108062107A (zh) * 2017-11-30 2018-05-22 中国航空工业集团公司沈阳飞机设计研究所 一种无人机控制权变更方法
CN108537548A (zh) * 2018-04-16 2018-09-14 北京知道创宇信息技术有限公司 Nfc密钥卡配置方法、装置及nfc密钥卡配置设备
CN108616354A (zh) * 2018-04-27 2018-10-02 北京信息科技大学 一种移动通信中密钥协商方法和设备
CN108616533A (zh) * 2018-04-27 2018-10-02 正方软件股份有限公司 敏感数据加密方法及装置
CN108718313A (zh) * 2018-05-31 2018-10-30 深圳市文鼎创数据科技有限公司 应用软件数据安全使用方法、终端设备及服务器
CN108737431A (zh) * 2018-05-28 2018-11-02 深圳职业技术学院 IoT场景下基于混淆的分等级分布式认证方法、装置及系统
CN109410396A (zh) * 2018-10-14 2019-03-01 浙江鸿利锁业有限公司 一种智能锁数据加密传输方法以及应用其的租赁设备
CN109862560A (zh) * 2017-11-30 2019-06-07 阿里巴巴集团控股有限公司 一种蓝牙认证方法、装置、设备和介质
CN110035033A (zh) * 2018-01-11 2019-07-19 华为技术有限公司 密钥分发方法、装置及系统
CN110120927A (zh) * 2018-02-05 2019-08-13 华为技术有限公司 私钥生成的方法和设备
CN110266478A (zh) * 2019-05-31 2019-09-20 联想(北京)有限公司 一种信息处理方法、电子设备
CN110519708A (zh) * 2019-08-27 2019-11-29 深圳成谷科技有限公司 一种基于pc5接口点到多点的通信方法和装置
CN110690966A (zh) * 2019-11-08 2020-01-14 北京金茂绿建科技有限公司 终端与业务服务器连接的方法、系统、设备及存储介质
CN111163107A (zh) * 2020-01-03 2020-05-15 杭州涂鸦信息技术有限公司 一种zigbee的安全通信方法及系统
CN111435913A (zh) * 2019-01-14 2020-07-21 海信集团有限公司 一种物联网终端的身份认证方法、装置和存储介质
CN111586007A (zh) * 2020-04-29 2020-08-25 国家电网公司华中分部 一种数据传输的安全认证系统和方法
CN112953725A (zh) * 2021-02-23 2021-06-11 浙江大华技术股份有限公司 设备私钥的确定方法及装置、存储介质、电子装置
CN115051814A (zh) * 2022-08-15 2022-09-13 南方电网数字电网研究院有限公司 一种风电场安全通信认证方法和系统
WO2022257877A1 (zh) * 2021-06-09 2022-12-15 维沃移动通信有限公司 信息处理方法、密钥材料的获取方法及设备
WO2022257876A1 (zh) * 2021-06-09 2022-12-15 维沃移动通信有限公司 密钥材料的处理方法、获取方法、信息传输方法及设备
WO2022257878A1 (zh) * 2021-06-09 2022-12-15 维沃移动通信有限公司 密钥材料的发送方法、获取方法、信息传输方法及设备
WO2023151505A1 (zh) * 2022-02-14 2023-08-17 阿里云计算有限公司 获取身份认证信息的方法、装置、存储介质及系统

Families Citing this family (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US11005971B2 (en) * 2018-08-02 2021-05-11 Paul Swengler System and method for user device authentication or identity validation without passwords or matching tokens
US11477182B2 (en) * 2019-05-07 2022-10-18 International Business Machines Corporation Creating a credential dynamically for a key management protocol
WO2021024250A1 (en) * 2019-08-02 2021-02-11 Kzen Networks Ltd System and method of cryptographic key management in a plurality of blockchain based computer networks
US20210056053A1 (en) * 2019-08-19 2021-02-25 Cryptography Research, Inc. Application authentication and data encryption without stored pre-shared keys
US20230078954A1 (en) * 2021-09-10 2023-03-16 Assa Abloy Ab Fast bilateral key confirmation

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP1526677A1 (en) * 2002-06-19 2005-04-27 Secured Communications, Inc. Inter-authentication method and device
CN1770681A (zh) * 2005-10-14 2006-05-10 西安电子科技大学 无线环境下的会话密钥安全分发方法
CN101005359A (zh) * 2006-01-18 2007-07-25 华为技术有限公司 一种实现终端设备间安全通信的方法及装置
CN101388770A (zh) * 2008-10-20 2009-03-18 华为技术有限公司 获取动态主机配置协议密钥的方法、服务器及客户端装置
CN107317674A (zh) * 2016-04-27 2017-11-03 华为技术有限公司 密钥分发、认证方法，装置及系统

Family Cites Families (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP4617763B2 (ja) * 2003-09-03 2011-01-26 ソニー株式会社 機器認証システム、機器認証サーバ、端末機器、機器認証方法、および機器認証プログラム
CN102082665B (zh) * 2009-11-30 2013-10-23 中国移动通信集团公司 一种eap认证中的标识认证方法、系统和设备
CN103081397B (zh) * 2010-08-24 2015-09-23 三菱电机株式会社 加密装置、加密系统、加密方法

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP1526677A1 (en) * 2002-06-19 2005-04-27 Secured Communications, Inc. Inter-authentication method and device
CN1770681A (zh) * 2005-10-14 2006-05-10 西安电子科技大学 无线环境下的会话密钥安全分发方法
CN101005359A (zh) * 2006-01-18 2007-07-25 华为技术有限公司 一种实现终端设备间安全通信的方法及装置
CN101388770A (zh) * 2008-10-20 2009-03-18 华为技术有限公司 获取动态主机配置协议密钥的方法、服务器及客户端装置
CN107317674A (zh) * 2016-04-27 2017-11-03 华为技术有限公司 密钥分发、认证方法，装置及系统

Cited By (32)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN109862560B (zh) * 2017-11-30 2022-06-14 阿里巴巴集团控股有限公司 一种蓝牙认证方法、装置、设备和介质
CN108062107A (zh) * 2017-11-30 2018-05-22 中国航空工业集团公司沈阳飞机设计研究所 一种无人机控制权变更方法
CN109862560A (zh) * 2017-11-30 2019-06-07 阿里巴巴集团控股有限公司 一种蓝牙认证方法、装置、设备和介质
CN107948183B (zh) * 2017-12-06 2021-02-02 深圳数字电视国家工程实验室股份有限公司 一种适用于物联网的密钥分配方法及系统
CN107948183A (zh) * 2017-12-06 2018-04-20 深圳数字电视国家工程实验室股份有限公司 一种适用于物联网的密钥分配方法及系统
CN110035033A (zh) * 2018-01-11 2019-07-19 华为技术有限公司 密钥分发方法、装置及系统
US11588626B2 (en) 2018-01-11 2023-02-21 Huawei Technologies Co., Ltd. Key distribution method and system, and apparatus
CN110120927A (zh) * 2018-02-05 2019-08-13 华为技术有限公司 私钥生成的方法和设备
CN110120927B (zh) * 2018-02-05 2022-03-25 华为技术有限公司 私钥生成的方法和设备
CN108537548A (zh) * 2018-04-16 2018-09-14 北京知道创宇信息技术有限公司 Nfc密钥卡配置方法、装置及nfc密钥卡配置设备
CN108616354A (zh) * 2018-04-27 2018-10-02 北京信息科技大学 一种移动通信中密钥协商方法和设备
CN108616533B (zh) * 2018-04-27 2021-02-19 正方软件股份有限公司 敏感数据加密方法及装置
CN108616533A (zh) * 2018-04-27 2018-10-02 正方软件股份有限公司 敏感数据加密方法及装置
CN108737431B (zh) * 2018-05-28 2020-09-15 深圳职业技术学院 IoT场景下基于混淆的分等级分布式认证方法、装置及系统
CN108737431A (zh) * 2018-05-28 2018-11-02 深圳职业技术学院 IoT场景下基于混淆的分等级分布式认证方法、装置及系统
CN108718313A (zh) * 2018-05-31 2018-10-30 深圳市文鼎创数据科技有限公司 应用软件数据安全使用方法、终端设备及服务器
CN109410396B (zh) * 2018-10-14 2021-01-01 浙江鸿利锁业有限公司 一种智能锁数据加密传输方法以及应用其的租赁设备
CN109410396A (zh) * 2018-10-14 2019-03-01 浙江鸿利锁业有限公司 一种智能锁数据加密传输方法以及应用其的租赁设备
CN111435913B (zh) * 2019-01-14 2022-04-08 海信集团有限公司 一种物联网终端的身份认证方法、装置和存储介质
CN111435913A (zh) * 2019-01-14 2020-07-21 海信集团有限公司 一种物联网终端的身份认证方法、装置和存储介质
CN110266478A (zh) * 2019-05-31 2019-09-20 联想(北京)有限公司 一种信息处理方法、电子设备
CN110519708A (zh) * 2019-08-27 2019-11-29 深圳成谷科技有限公司 一种基于pc5接口点到多点的通信方法和装置
CN110519708B (zh) * 2019-08-27 2021-08-10 深圳成谷科技有限公司 一种基于pc5接口点到多点的通信方法和装置
CN110690966A (zh) * 2019-11-08 2020-01-14 北京金茂绿建科技有限公司 终端与业务服务器连接的方法、系统、设备及存储介质
CN111163107A (zh) * 2020-01-03 2020-05-15 杭州涂鸦信息技术有限公司 一种zigbee的安全通信方法及系统
CN111586007A (zh) * 2020-04-29 2020-08-25 国家电网公司华中分部 一种数据传输的安全认证系统和方法
CN112953725A (zh) * 2021-02-23 2021-06-11 浙江大华技术股份有限公司 设备私钥的确定方法及装置、存储介质、电子装置
WO2022257877A1 (zh) * 2021-06-09 2022-12-15 维沃移动通信有限公司 信息处理方法、密钥材料的获取方法及设备
WO2022257876A1 (zh) * 2021-06-09 2022-12-15 维沃移动通信有限公司 密钥材料的处理方法、获取方法、信息传输方法及设备
WO2022257878A1 (zh) * 2021-06-09 2022-12-15 维沃移动通信有限公司 密钥材料的发送方法、获取方法、信息传输方法及设备
WO2023151505A1 (zh) * 2022-02-14 2023-08-17 阿里云计算有限公司 获取身份认证信息的方法、装置、存储介质及系统
CN115051814A (zh) * 2022-08-15 2022-09-13 南方电网数字电网研究院有限公司 一种风电场安全通信认证方法和系统

Also Published As

Publication number Publication date
US20190068591A1 (en) 2019-02-28
EP3432532A1 (en) 2019-01-23
EP3432532A4 (en) 2019-04-24
CN107317789B (zh) 2020-07-21
WO2017185692A1 (zh) 2017-11-02
JP6641029B2 (ja) 2020-02-05
JP2019517187A (ja) 2019-06-20
EP3432532B1 (en) 2021-12-01

Similar Documents

Publication Publication Date Title
CN107317789A (zh) 密钥分发、认证方法，装置及系统
CN107317674A (zh) 密钥分发、认证方法，装置及系统
CN103781066B (zh) 无线发射/接收单元以及由其实施的方法
CN106134152B (zh) 用于加入社交wi-fi网状网络的方法、设备及装置
CN103354498B (zh) 一种基于身份的文件加密传输方法
CN101667916B (zh) 一种基于分离映射网络使用数字证书验证用户身份的方法
CN105684344B (zh) 一种密钥配置方法和装置
CN110035033A (zh) 密钥分发方法、装置及系统
CN107809411A (zh) 移动网络的认证方法、终端设备、服务器和网络认证实体
CN101969638B (zh) 一种移动通信中对imsi进行保护的方法
CN110087239A (zh) 基于5g网络中的匿名接入认证与密钥协商方法及装置
CN107800539A (zh) 认证方法、认证装置和认证系统
CN107493570B (zh) 一种基于身份群签的pmipv6匿名接入认证系统及方法
CN106936570A (zh) 一种密钥配置方法及密钥管理中心、网元
CN108964897B (zh) 基于群组通信的身份认证系统和方法
CN108683501A (zh) 基于量子通信网络的以时间戳为随机数的多次身份认证系统和方法
WO2012024906A1 (zh) 一种移动通信系统及其语音通话加密的方法
CN109075973A (zh) 一种使用基于id的密码术进行网络和服务统一认证的方法
CN108650028A (zh) 基于量子通信网络与真随机数的多次身份认证系统和方法
CN101420686A (zh) 基于密钥的工业无线网络安全通信实现方法
CN109905348A (zh) 端到端认证及密钥协商方法、装置及系统
CN110087240A (zh) 基于wpa2-psk模式的无线网络安全数据传输方法及系统
CN108880799B (zh) 基于群组密钥池的多次身份认证系统和方法
Hsu et al. Group anonymous D2D communication with end-to-end security in LTE-A
CN108600152A (zh) 基于量子通信网络的改进型Kerberos身份认证系统和方法

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant