CN108702620A - 一种安全通信方法及核心网节点 - Google Patents

一种安全通信方法及核心网节点 Download PDF

Info

Publication number
CN108702620A
CN108702620A CN201680081558.4A CN201680081558A CN108702620A CN 108702620 A CN108702620 A CN 108702620A CN 201680081558 A CN201680081558 A CN 201680081558A CN 108702620 A CN108702620 A CN 108702620A
Authority
CN
China
Prior art keywords
core net
hplmn
net node
terminal
security algorithm
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN201680081558.4A
Other languages
English (en)
Inventor
应江威
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Huawei Technologies Co Ltd
Original Assignee
Huawei Technologies Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Huawei Technologies Co Ltd filed Critical Huawei Technologies Co Ltd
Publication of CN108702620A publication Critical patent/CN108702620A/zh
Pending legal-status Critical Current

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/06—Network architectures or network communication protocols for network security for supporting key management in a packet data network
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0876—Network architectures or network communication protocols for network security for authentication of entities based on the identity of the terminal or configuration, e.g. MAC address, hardware or software configuration or device fingerprint
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0892—Network architectures or network communication protocols for network security for authentication of entities by using authentication-authorization-accounting [AAA] servers or protocols
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • H04L63/205—Network architectures or network communication protocols for network security for managing network security; network security policies in general involving negotiation or determination of the one or more network security mechanisms to be used, e.g. by negotiation between the client and the server or between peers or by selection according to the capabilities of the entities involved
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H04W12/068—Authentication using credential vaults, e.g. password manager applications or one time password [OTP] applications
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W84/00—Network topologies
    • H04W84/02—Hierarchically pre-organised networks, e.g. paging networks, cellular networks, WLAN [Wireless Local Area Network] or WLL [Wireless Local Loop]
    • H04W84/04—Large scale networks; Deep hierarchical networks
    • H04W84/042—Public Land Mobile systems, e.g. cellular systems
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W88/00—Devices specially adapted for wireless communication networks, e.g. terminals, base stations or access point devices
    • H04W88/16—Gateway arrangements

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Business, Economics & Management (AREA)
  • Accounting & Taxation (AREA)
  • Power Engineering (AREA)
  • Mobile Radio Communication Systems (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

一种安全通信方法及核心网节点，该方法中归属公用陆地移动网络HPLMN的第一核心网节点接收拜访公共陆地移动网络VPLMN的核心网节点发送的第一认证数据请求，并向归属位置寄存器HLR或归属用户服务器HSS发送第二认证数据请求，所述HLR或所述HSS生成端到端安全密钥，所述HPLMN中的第一核心网节点将所述端到端安全密钥发送给所述HPLMN中的第二核心网节点，所述HPLMN中的第二核心网节点基于所述端到端安全密钥与漫游到所述VPLMN中的终端进行安全通信，能够保证HPLMN网络使用的密钥不被VPLMN网络获取。

Description

一种安全通信方法及核心网节点 技术领域
本发明涉及通信技术领域，尤其涉及一种安全通信方法及核心网节点。
背景技术
移动通信系统的信息是在无线信道上传递的，很容易被攻击者窃听、截获和篡改，而通信系统的信息往往是具有私密性的，为了确保用户数据的安全传输，需要对通信数据进行安全保护。
例如蜂窝网(Cellular)物联网(Internet of Thing，IoT)通信中，Cellular IoT数据，会涉及很多高敏感度、重要、高隐私需求以及高安全等级需求的数据，这些数据不仅需要得到安全保护，还需要避免拜访公共陆地移动网络(Visited Public Land Mobile Network，VPLMN)解密这些数据。一套安全机制主要涉及三个方面：认证、密钥协商、算法协商。现有移动通信系统使用认证和密钥协商机制(Authentication Key Agreement，AKA)来实现认证和密钥协商；另外，用户设备(User Equipment，UE)和演进的节点B(evolved NodeB简称：eNB或者eNodeB)之间通过接入层安全模式信令(Access Stratum Security Mode Command，AS SMC)进行算法协商，UE和移动性管理实体(Mobility Management Entity，MME)之间通过非接入层安全模式信令(No Access Stratum Security Mode Command，NAS SMC)进行算法协商。同样地，为了保证Cellular IoT通信的安全，也需要实现相应的UE和归属公用陆地移动网络(Home Public Land Mobile Network，HPLMN)之间的认证、密钥协商、和算法协商。
另外，移动通信系统中，终端的通信场景包括非漫游场景和漫游场景。在非漫游场景下，可在归属公用陆地移动网络(Home Public Land Mobile Network，HPLMN)中完成对用户的安全认证，进行安全通信。在漫游场景下，则需要在拜访公共陆地移动网络(Visited Public Land Mobile Network， VPLMN)网络内对漫游用户完成安全认证，进行安全通信。在VPLMN网络中进行安全认证，VPLMN网络需要从HPLMN网络中获取到密钥，例如从归属位置寄存器(Home Location Register，HLR)或归属用户服务器(Home Subscriber Server，HSS)处获取到密钥，再进行安全认证，然而针对漫游用户而言，一些较敏感较隐私的通信数据，可能不便让VPLMN网络获知，采用上述对漫游用户进行安全认证和密钥协商的过程，则有可能导致通信数据在VPLMN中泄露。
故针对漫游用户提供一种新的安全协商机制，以避免VPLMN网络获取HPLMN网络使用的通信密钥，提高通信安全，势在必行。
发明内容
本发明实施例提供一种安全通信方法及核心网节点，以避免VPLMN网络获取HPLMN网络使用的通信密钥，提高通信安全。
第一方面，提供一种安全通信方法，拜访公共陆地移动网络VPLMN中的核心网节点向归属公用陆地移动网络HPLMN中的第一核心网节点发送第一认证数据请求，所述第一认证数据请求中包括漫游到所述VPLMN中的终端的终端标识。
归属公用陆地移动网络HPLMN中的第一核心网节点接收拜访公共陆地移动网络VPLMN中的核心网节点发送的第一认证数据请求并向归属位置寄存器HLR或归属用户服务器HSS发送第二认证数据请求，所述第二认证数据请求中包括所述第一认证数据请求中包括的漫游到所述VPLMN中终端的终端标识。
HLR或HSS生成用于VPLMN中的核心网节点对所述终端进行安全认证的认证向量，以及用于保护所述终端与所述HPLMN中的第二核心网节点之间安全通信的端到端安全密钥。所述HLR或所述HSS向所述HPLMN中的第一核心网节点发送第二认证数据响应，所述第二认证数据响应中包括所述认证向量和所述端到端安全密钥。
所述HPLMN中的第一核心网节点接收所述HLR或所述HSS发送的第二认证数据响应，并向所述VPLMN中的核心网节点返回第一认证数据响应，以及向所述HPLMN中的第二核心网节点发送端到端通知，所述第一认证数据响应中包括所述认证向量，所述端到端密钥通知中包括所述终端标识、端到端安全密钥。
HPLMN中的第二核心网节点接收所述HPLMN中的第一核心网节点发送的端到端密钥通知，解析得到所述端到端安全密钥，并在终端支持的安全算法中选择端到端安全算法，从而完成终端和HPLMN中的第二核心网节点之间的密钥协商和算法协商，HPLMN中的第二核心网节点基于所述端到端安全密钥和所述选择的端到端安全算法与所述终端标识对应的终端之间进行安全通信，能够避免HPLMN中的安全密钥被VPLMN获取，保护了UE和HPLMN网络之间的端到端安全。并且本发明实施例中HLR/HSS与HPLMN中的第二核心网节点之间无需进行直接交互，故可避免开启HPLMN中的第二核心网节点与HLR/HSS之间的接口。
一种可能的设计中，所述VPLMN中的所述核心网节点可在确定所述VPLMN中的终端的通信数据需要路由到HPLMN的核心网节点的情况下，向HPLMN中的第一核心网节点发送第一认证数据请求。
可选的，所述VPLMN中的核心网节点通过终端发送的终端标识，确定所述VPLMN中的终端的通信数据需要路由到HPLMN的核心网节点，所述终端标识能够表征终端的通信数据需要路由到HPLMN的核心网节点；或者所述VPLMN中的核心网节点通过终端发送的指示信息，确定所述VPLMN中的终端的通信数据需要路由到HPLMN的核心网节点，所述指示信息用于指示终端的通信数据需要路由到HPLMN的核心网节点。
另一种可能的设计中，所述VPLMN中的所述核心网节点可为终端选择HPLMN中第二核心网节点，并在所述第一认证数据请求中包括选择的HPLMN中第二核心网节点的地址，将选择的HPLMN中第二核心网节点的地址发送给HPLMN中的第一核心网节点，HPLMN中的第一核心网节点依据所 述第二核心网节点的地址，向所述地址指示的所述HPLMN中的第二核心网节点发送端到端密钥通知。
上述涉及的安全通信方法可应用于通用分组无线服务(General Packet Radio Service，GPRS)系统。所述VPLMN中的核心网节点可以为所述VPLMN中的服务通用分组无线服务GPRS支持节点SGSN、所述HPLMN中的第一核心网节点为所述HPLMN中的SGSN，所述HPLMN中的第二核心网节点为所述HPLMN中的网关通用分组无线服务GPRS支持节点。
上述涉及的安全通信方法还可应用于系统架构演进(System Architecture Evolution，SAE)系统。所述VPLMN中的核心网节点可以是所述VPLMN中的移动性管理实体MME、所述HPLMN中的第一核心网节点为所述HPLMN中的MME，所述HPLMN中的第二核心网节点为所述HPLMN中的分组数据网网关。
上述涉及的安全通信方法应用于不同的通信场景下，HPLMN中的第二核心网节点与漫游到VPLMN中的终端之间可采用不同的算法协商过程。
一种可能的设计中，适用于GPRS通信场景和SAE场景，可在密钥协商过程中进行算法协商，具体过程如下：
VPLMN中的核心网节点将终端支持的安全算法发送给HPLMN中的第一核心网节点，HPLMN中的第一核心网节点将终端支持的安全算法发送给HPLMN中的第二核心网节点，HPLMN中的第二核心网节点在终端支持的安全算法中选择所需要的端到端安全算法，并将选择的端到端安全算法发送给终端，完整算法协商。
具体的，VPLMN中的核心网节点可在向HPLMN中的第一核心网节点发送的第一认证数据请求中包括终端支持的安全算法。其中，终端支持的安全算法可通过终端支持的网络能力上报给VPLMN中的核心网节点。
HPLMN中的第一核心网节点可在向HPLMN中的第二核心网节点发送的端到端密钥通知中包括所述终端支持的安全算法。
可选的，HPLMN中的第二核心网节点可基于完整性保护算法和完整性密钥，对所述终端支持的安全算法和所述选择的所述端到端安全算法进行完整 性保护，生成消息验证值，并将所述消息验证值、所述终端支持的安全算法以及选择的所述端到端安全算法发送给所述终端标识对应的终端。
具体的，HPLMN中的第二核心网节点可在向HPLMN中的第一核心网节点发送的端到端密钥通知的回复消息中包括所述消息验证值、所述终端支持的安全算法以及选择的所述端到端安全算法。HPLMN中的第一核心网节点在向VPLMN中的核心网节点发送的所述第一认证数据响应中包括所述消息验证值、所述终端支持的安全算法以及选择的所述端到端安全算法，所述VPLMN中的核心网节点接收所述第一认证数据响应，将所述消息验证值、所述终端支持的安全算法以及选择的所述端到端安全算法发送给所述终端标识对应的终端，完成HPLMN中的第二核心网节点与终端之间的算法协商。
另一种可能的设计中，对于GPRS通信场景，HPLMN中的第二核心网节点与终端之间，可采用PDP上下文的激活流程来进行算法协商，得到端到端安全算法，实现过程如下：
VPLMN中的核心网节点向所述HPLMN中的第二核心网节点发送创建PDP上下文请求消息，所述创建PDP上下文请求消息中包括终端支持的安全算法。所述HPLMN中的第二核心网节点获取所述VPLMN中的核心网节点发送的创建PDP上下文请求消息，通过所述创建PDP上下文请求消息确定终端支持的安全算法，并在所述终端支持的安全算法中选择端到端安全算法。
所述HPLMN中的第二核心网节点向所述VPLMN中的核心网节点返回创建PDP上下文响应消息，所述创建PDP上下文响应消息中包括所述HPLMN中的第二核心网节点选择的端到端安全算法。
可选的，本发明实施例中HPLMN中的第二核心网节点可基于完整性保护算法和完整性密钥，对所述终端支持的安全算法和所述选择的所述端到端安全算法进行完整性保护，生成消息验证值，并将所述消息验证值、所述终端支持的安全算法以及选择的所述端到端安全算法发送给所述终端标识对应的终端，即所述创建PDP上下文响应消息中包括验证值、所述终端支持的安全算法以及选择的所述端到端安全算法。
所述VPLMN中的核心网节点接收所述HPLMN中的第二核心网节点返回的创建PDP上下文响应消息，将所述创建PDP上下文响应消息中包括的所述HPLMN中的第二核心网节点选择的所述端到端安全算法发送给所述终端标识对应的终端。
可选的，若所述HPLMN中的第二核心网节点生成消息验证值，则将所述消息验证值、所述终端支持的安全算法以及选择的所述端到端安全算法发送给所述终端标识对应的终端。
又一种可能的设计中，对于SAE通信场景，HPLMN中的第二核心网节点与终端之间，可在会话创建过程中进行算法协商，得到端到端安全算法，实现过程如下：
VPLMN中的核心网节点向所述HPLMN中的第二核心网节点发送创建会话请求消息，所述创建会话请求消息中包括终端支持的安全算法。所述HPLMN中的第二核心网节点获取所述VPLMN中的核心网节点发送的创建会话请求消息，通过所述创建会话请求消息确定终端支持的安全算法，并在所述终端支持的安全算法中选择端到端安全算法。
所述HPLMN中的第二核心网节点向所述VPLMN中的核心网节点返回创建会话响应消息，所述创建会话响应消息中包括所述HPLMN中的第二核心网节点选择的端到端安全算法。
可选的，本发明实施例中HPLMN中的第二核心网节点可基于完整性保护算法和完整性密钥，对所述终端支持的安全算法和所述选择的所述端到端安全算法进行完整性保护，生成消息验证值，并将所述消息验证值、所述终端支持的安全算法以及选择的所述端到端安全算法发送给所述终端标识对应的终端，即所述创建会话响应消息中包括验证值、所述终端支持的安全算法以及选择的所述端到端安全算法。
所述VPLMN中的核心网节点接收所述HPLMN中的第二核心网节点返回的创建会话响应消息，将所述创建会话响应消息中包括的所述HPLMN中的第二核心网节点选择的所述端到端安全算法发送给所述终端标识对应的终 端。
可选的，若所述HPLMN中的第二核心网节点生成消息验证值，则将所述消息验证值、所述终端支持的安全算法以及选择的所述端到端安全算法发送给所述终端标识对应的终端。
再一种可能的设计中，对于SAE通信场景，HPLMN中的第二核心网节点与终端之间，可通过单独的算法协商过程中进行算法协商，得到端到端安全算法，实现过程如下：
VPLMN中的核心网节点向所述HPLMN中的第二核心网节点发送算法协商请求消息，所述算法协商请求消息中包括终端支持的安全算法。所述HPLMN中的第二核心网节点获取所述VPLMN中的核心网节点发送的算法协商请求消息，通过所述算法协商请求消息确定终端支持的安全算法，并在所述终端支持的安全算法中选择端到端安全算法。
所述HPLMN中的第二核心网节点向所述VPLMN中的核心网节点返回算法协商响应消息，所述算法协商响应消息中包括所述HPLMN中的第二核心网节点选择的端到端安全算法。
可选的，本发明实施例中HPLMN中的第二核心网节点可基于完整性保护算法和完整性密钥，对所述终端支持的安全算法和所述选择的所述端到端安全算法进行完整性保护，生成消息验证值，并将所述消息验证值、所述终端支持的安全算法以及选择的所述端到端安全算法发送给所述终端标识对应的终端，即所述算法协商响应消息中包括验证值、所述终端支持的安全算法以及选择的所述端到端安全算法。
所述VPLMN中的核心网节点接收所述HPLMN中的第二核心网节点返回的算法协商响应消息，将所述算法协商响应消息中包括的所述HPLMN中的第二核心网节点选择的所述端到端安全算法发送给所述终端标识对应的终端。
可选的，若所述HPLMN中的第二核心网节点生成消息验证值，则将所述消息验证值、所述终端支持的安全算法以及选择的所述端到端安全算法发送 给所述终端标识对应的终端。
第二方面，提供一种核心网节点，该核心网节点应用于VPLMN中，具有实现上述方法设计中VPLMN中的核心网节点的行为的功能。所述功能可以通过硬件实现，也可以通过硬件执行相应的软件实现。所述硬件或软件包括一个或多个与上述功能相对应的模块。
在一种可能的设计中，该VPLMN中的核心网节点的结构中包括处理器、接收器和发射器，所述处理器被配置为支持核心网节点执行上述方法中相应的功能。所述接收器和所述发射器用于支持该VPLMN中的核心网节点与终端之间、该VPLMN中的核心网节点与HPLMN中的第一核心网节点和第二核心网节点之间的通信，进行上述方法涉及的信息的交互。该VPLMN中的核心网节点还可以包括存储器，所述存储器用于与处理器耦合，其保存核心网节点必要的程序指令和数据。
第三方面，提供一种HPLMN中的第一核心网节点，具有实现上述方法设计中HPLMN中的第一核心网节点的行为的功能。所述功能可以通过硬件实现，也可以通过硬件执行相应的软件实现。所述硬件或软件包括一个或多个与上述功能相对应的模块。
在一种可能的设计中，该HPLMN中的第一核心网节点的结构中包括接收器和发射器。所述接收器和所述发射器用于支持该HPLMN中的第一核心网节点与VPLMN中的核心网节点、该HPLMN中的第一核心网节点和HPLMN中的第二核心网节点之间的通信，进行上述方法涉及的信息的交互。
第四方面，提供一种HPLMN中的第二核心网节点，具有实现上述方法设计中HPLMN中的第二核心网节点的行为的功能。所述功能可以通过硬件实现，也可以通过硬件执行相应的软件实现。所述硬件或软件包括一个或多个与上述功能相对应的模块。
在一种可能的设计中，该HPLMN中的第二核心网节点的结构中包括处理器、接收器和发射器，所述处理器被配置为支持HPLMN中的第二核心网节点执行上述方法中相应的功能。所述接收器和所述发射器用于支持该HPLMN中 的第二核心网节点与VPLMN中的核心网节点、该HPLMN中的第二核心网节点和HPLMN中的第一核心网节点之间的通信，进行上述方法涉及的信息的交互。
第五方面，提供一种通信系统，该通信系统包括上述方面涉及的VPLMN中的核心网节点、HPLMN中的第一核心网节点和HPLMN中的第二核心网节点。
第六方面，本发明实施例提供了一种计算机存储介质，用于储存为上述VPLMN中的核心网节点所用的计算机软件指令，其包含用于执行上述方面所设计的程序。
第七方面，本发明实施例提供了一种计算机存储介质，用于储存为上述HPLMN中的第一核心网节点所用的计算机软件指令，其包含用于执行上述方面所设计的程序。
第八方面，本发明实施例提供了一种计算机存储介质，用于储存为上述HPLMN中的第二核心网节点所用的计算机软件指令，其包含用于执行上述方面所设计的程序。
相较于现有针对漫游的终端进行安全通信的方法，本发明实施例提供的安全通信方法能够避免HPLMN中的安全密钥被VPLMN获取，保护了UE和HPLMN网络之间的端到端安全。并且本发明实施例中HLR/HSS与HPLMN中的第二核心网节点之间无需进行直接交互，故可避免开启HPLMN中的第二核心网节点与HLR/HSS之间的接口。
附图说明
图1为本发明实施例适用的通信场景架构示意图；
图2为GPRS系统架构示意图；
图3为SAE系统架构示意图；
图4为本发明实施例提供的GPRS场景下的安全通信方法中密钥协商过程 的一种实施流程图；
图5A至图5B为本发明实施例提供的GPRS场景下的安全通信方法的实施流程图；
图6为本发明实施例提供的SAE场景下的安全通信方法中密钥协商过程的一种实施流程图；
图7A至图7C为本发明实施例提供的SAE场景下的安全通信方法的实施流程图；
图8为本发明实施例提供的VPLMN中的核心网节点的结构示意图；
图9为本发明实施例提供的VPLMN中的核心网节点的另一结构示意图；
图10为本发明实施例提供的HPLMN中的第一核心网节点的结构示意图；
图11为本发明实施例提供的HPLMN中的第一核心网节点的另一结构示意图；
图12为本发明实施例提供的HPLMN中的第二核心网节点的结构示意图；
图13为本发明实施例提供的HPLMN中的第二核心网节点的另一结构示意图。
具体实施方式
下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行详细地描述。
本发明实施例提供的通信方法可应用于图1所示的漫游场景下的通信架构。图1中，终端在拜访公共陆地移动网络(Visited Public Land Mobile Network，VPLMN)中通过无线接入网接入网络。归属公用陆地移动网络(Home Public Land Mobile Network，HPLMN)中的归属位置寄存器(Home Location Register，HLR)或归属用户服务器(Home Subscriber Server，HSS)可生成用于终端与HPLMN第二核心网节点之间进行安全通信的安全密钥。VPLMN中的核心网节点对漫游入其网络内的终端完成安全认证后，终端可通过HPLMN网络中的第二核心网节点接入到分组数据网(Packet Data Network， PDN)相应的应用服务器。
本发明实施例中为避免VPLMN网络获取HPLMN网络使用的通信密钥，可通过HPLMN网络的第一核心网节点将VPLMN网络中的鉴权和密钥协商(Authentication and Key Agreement，AKA)相关的信令(认证数据请求)路由到HPLMN网络中并进一步发送给HPLMN网络的HLR或HSS，并由HPLMN网络的第一核心网节点将HLR或HSS生成的安全密钥传递给HPLMN网络中的第二核心网节点，由HPLMN网络中的第二核心网节点选择与终端通信使用的安全算法，以保证HPLMN网络使用的密钥不被VPLMN网络获取，从而保证UE和HPLMN网络之间通信的端到端安全。
本发明实施例提供的通信方法可适用于图2所示的通用分组无线服务(General Packet Radio Service，GPRS)系统或者图3所示的系统架构演进(System Architecture Evolution，SAE)系统。
GPRS系统中VPLMN网络中的核心网节点可以是VPLMN网络中的服务GPRS支持节点(Serving GPRS Support Node，SGSN)，本发明实施例以下为描述方便，将VPLMN网络中的SGSN称为SGSN-V。HPLMN网络的第一核心网节点可以是HPLMN网络中的SGSN，本发明实施例以下为描述方便，将HPLMN网络中的SGSN称为SGSN-H。HPLMN网络的第二核心网节点可以是HPLMN网络中的网关GPRS支持节点(Gateway GPRS Support Node，GGSN)，本发明实施例以下为描述方便，将HPLMN网络中的GGSN称为GGSN-H。
SAE系统中VPLMN网络中的核心网节点可以是VPLMN网络中的移动性管理实体(Mobility Management Entity，MME)，本发明实施例以下为描述方便，将VPLMN网络中的MME称为MME-V。HPLMN网络的第一核心网节点可以是HPLMN网络中的MME，本发明实施例以下为描述方便，将HPLMN网络中的MME称为MME-H。HPLMN网络的第二核心网节点可以是HPLMN网络中的分组数据网络网关实体(Packet Data Network Gateway，P-GW)，本发明实施例以下为描述方便，将HPLMN网络中的P-GW称为P-GW -H。
本发明实施例中，名词“网络”和“系统”经常交替使用，但本领域的技术人员可以理解其含义。终端可以包括各种具有无线通信功能的手持设备、车载设备、可穿戴设备、计算设备或连接到无线调制解调器的其它处理设备，以及各种形式的用户设备(User Equipment，UE)，移动台(Mobile station，MS)，终端(terminal)，终端设备(Terminal Equipment)等等。
本发明实施例中“多个”是指两个或两个以上。“和/或”，描述关联对象的关联关系，表示可以存在三种关系，例如，A和/或B，可以表示：单独存在A，同时存在A和B，单独存在B这三种情况。字符“/”一般表示前后关联对象是一种“或”的关系。
本发明实施例以下将分别以GPRS系统和SAE系统为例，对本发明实施例涉及的安全通信方法进行详细说明，可以理解的是，本发明实施例以下实施例及附图中涉及的SGSN-V/MME-V可以替换为VPLMN中的核心网节点，SGSN-H/MME-H可以替换为HPLMN中的第一核心网节点，GGSN-H/P-GW-H可以替换为HPLMN中的第二核心网节点。
图4所示为本发明实施例提供的GPRS系统中安全通信方法中密钥协商过程的一种实施流程图，如图4所示，包括：
S101：SGSN-V向SGSN-H发送第一认证数据请求。
本发明实施例中SGSN-V可通过向SGSN-H发送认证数据请求实现将AKA信令路由到HPLMN网络中。本发明实施例以下为描述方便，将SGSN-V向SGSN-H发送的认证数据请求称为第一认证数据请求，在该第一认证数据请求中可包括漫游到所述VPLMN中的终端的终端标识。本发明实施例中所述终端标识可以是国际移动用户识别码(International Mobile Subscriber Identification Number，IMSI)、或临时识别码(Temporary Mobile Subscriber Identity，TMSI)或全球唯一临时UE标识(Globally Unique Temporary UE Identity，GUTI)。
可选的，本发明实施例中SGSN-V可在确定所述VPLMN中的终端的通信数据需要路由到HPLMN的核心网节点的情况下，向SGSN-H发送第一认证数 据请求。
本发明实施例中SGSN-V可采用如下方式确定VPLMN中的终端的通信数据需要路由到HPLMN的核心网节点：
第一种方式：漫游到所述VPLMN中的终端向SGSN-V发送终端标识，该终端标识可以包含在所述终端向SGSN-V发送的附着或路由区更新请求中，且该终端标识可以表征终端的通信数据需要路由到HPLMN的核心网节点，则SGSN-V可通过终端发送的终端标识确定所述VPLMN中的终端的通信数据需要路由到HPLMN的核心网节点。
第二种方式：漫游到所述VPLMN中的终端向SGSN-V发送终端标识和指示信息，该终端标识和指示信息可以包含在所述终端向SGSN-V发送的附着或路由区更新请求中，该终端标识不能表征所述VPLMN中的终端的通信数据需要路由到HPLMN的核心网节点，所述指示信息用于指示终端的通信数据需要路由到HPLMN的核心网节点。SGSN-V可通过终端发送的指示信息，确定所述VPLMN中的终端的通信数据需要路由到HPLMN的核心网节点。
S102：SGSN-H接收SGSN-V发送的第一认证数据请求，并向HLR或HSS发送第二认证数据请求。
本发明实施例中为描述方便将SGSN-H向HLR或HSS发送的认证数据请求称为第二认证数据请求。所述第二认证数据请求中包括漫游到所述VPLMN中终端的终端标识。
S103：HLR或HSS依据SGSN-H发送的第二认证数据请求中包括的终端标识查找终端的签约信息，并生成认证向量(Authentication Vectors，AV)和端到端安全密钥。
本发明实施例中所述认证向量用于SGSN-V对终端进行安全认证，所述端到端安全密钥用于保护所述终端与所述HPLMN中的第二核心网节点之间的安全通信。
所述端到端安全密钥例如可以包括加密密钥(Ciphering Key，CK)和完 整性密钥(Integrity Key，IK)，为描述方便可将端到端安全密钥中包括的CK称为Kc_m2m，将端到端安全密钥中包括的IK称为Ki_m2m。
本发明实施例中HLR/HSS接收到SGSN-H发送的第二认证数据请求后，不同于现有技术之处在于不仅生成认证向量AV，还生成端到端安全密钥(Kc_m2m和Ki_m2m)。
S104：HLR/HSS向SGSN-H发送第二认证数据响应，所述第二认证数据响应中包括认证向量AV和端到端安全密钥(Kc_m2m和Ki_m2m)，以将生成的认证向量AV和端到端安全密钥(Kc_m2m和Ki_m2m)发送给SGSN-H。
S105：SGSN-H接收HLR/HSS发送的第二认证数据响应，获取到认证向量AV和端到端安全密钥(Kc_m2m和Ki_m2m)，并向GGSN-H发送端到端密钥通知，所述端到端密钥通知中包括端到端安全密钥(Kc_m2m和Ki_m2m)和漫游到所述VPLMN中终端的终端标识(比如IMSI)。
S101中，SGSN-V可选择与终端进行安全通信的GGSN-H，并在向SGSN-H发送的第一认证数据请求中包括选择的GGSN-H的地址，故S105中SGSN-H可基于第一认证数据请求中包括的GGSN-H的地址，将端到端安全密钥(Kc_m2m和Ki_m2m)和漫游到所述VPLMN中终端的终端标识(比如IMSI)发送给对应的GGSN-H。
S106：GGSN-H接收GGSN-H发送的端到端密钥通知，并保存端到端密钥通知中的端到端安全密钥(Kc_m2m和Ki_m2m)和漫游到所述VPLMN中终端的终端标识(比如IMSI)，且端到端安全密钥(Kc_m2m和Ki_m2m)和漫游到所述VPLMN中终端的终端标识之间具有固定的对应关系。
S107：GGSN-H向SGSN-H发送端到端密钥通知的回复消息。
S108：SGSN-H向SGSN-V发送第一认证数据响应，所述第一认证数据响应中包括认证向量AV。
需要说明的是S108中SGSN-H向SGSN-V发送第一认证数据响应，以及S105中SGSN-H向GGSN-H发送端到端密钥通知的执行顺序不分先后。
S109：终端和SGSN-V基于所述第一认证数据响应中包括的认证向量进行 安全认证和密钥协商。
S110：终端生成用于与GGSN-H之间进行安全通信的端到端安全密钥。
本发明实施例中，终端和SGSN-V进行密钥协商使得所述终端得到用于所述终端与HPLMN中的第二核心网节点之间进行安全通信的端到端安全密钥。终端和GGSN-H之间进行算法协商得到端到端安全算法，终端和GGSN-H之间基于所述端到端安全密钥和所述端到端安全算法，与所述终端标识对应的终端进行安全通信。
本发明实施例中终端和GGSN-H之间可采用分组数据协议(Packet Data Protocol，PDP)上下文的激活流程来进行算法协商，得到端到端安全算法。
图5A为本发明实施例提供的GPRS系统中安全通信方法的一种实施流程图。图5A所示为的安全通信方法的密钥协商过程可采用图4所示的方法流程实现，在此不再赘述。以下着重对算法协商过程进行说明，实现过程如下：
S111：终端向所述SGSN-V发送激活PDP上下文请求消息，所述激活PDP上下文请求消息中包括终端支持的安全算法。
S112：所述SGSN-V向所述GGSN-H发送创建PDP上下文请求消息，所述创建PDP上下文请求消息中包括终端支持的安全算法。
S113：所述GGSN-H获取所述SGSN-V发送的创建PDP上下文请求消息，通过所述创建PDP上下文请求消息确定终端支持的安全算法，并在所述终端支持的安全算法中选择端到端安全算法，所述端到端安全算法例如可包括完整性保护算法alg_int_H，当然也可包括加密保护算法alg_enc_H。
S114：所述GGSN-H向所述SGSN-V返回创建PDP上下文响应消息，所述创建PDP上下文响应消息中包括所述HPLMN中的第二核心网节点选择的端到端安全算法。
可选的，本发明实施例中GGSN-H可基于完整性保护算法和完整性密钥，对所述终端支持的安全算法和所述选择的所述端到端安全算法进行完整性保护，生成消息验证值MAC-I_H，并将所述消息验证值、所述终端支持的安全算法以及选择的所述端到端安全算法发送给所述终端标识对应的终端，即所 述创建PDP上下文响应消息中包括验证值、所述终端支持的安全算法以及选择的所述端到端安全算法。
本发明实施例中GGSN-H生成的消息验证值用于使得终端识别该端到端安全算法确实是GGSN-H发送的。
S115：所述SGSN-V接收所述GGSN-H返回的创建PDP上下文响应消息，将所述创建PDP上下文响应消息中包括的验证值、所述终端支持的安全算法以及选择的所述端到端安全算法发送给所述终端标识对应的终端。
S116：所述终端与所述GGSN-H基于所述端到端安全密钥和所述端到端安全算法进行安全通信。
本发明实施例中终端和GGSN-H之间可在进行密钥协商过程中进行算法协商。
图5B所示为本发明实施例提供的GPRS系统中安全通信方法的另一种实施流程图，如图5B所示，包括：
S201、S202、S203、S204、S205分别与图4中的S101、S102、S103、S104、S105相似，不同之处在于在SGSN-V向SGSN-H发送的第一认证数据请求中以及SGSN-H向GGSN-H中发送的端到端密钥通知中还包括终端支持的安全算法。
S206与S106相似，不同之处在于在此步骤中GGSN-H可基于所述端到端密钥通知中包括的所述终端支持的安全算法，选择与终端之间进行安全通信的端到端安全算法，并将选择的端到端安全算法通过端到端密钥通知的回复消息发送给SGSN-H。
类似的，在此步骤中GGSN-H同样可生成消息验证值。
S207：GGSN-H向SGSN-H发送端到端密钥通知的回复消息，不同于S107之处在于，所述端到端密钥通知的回复消息中还包括GGSN-H选择的端到端安全算法。
若GGSN-H生成有消息验证值，则所述端到端密钥通知的回复消息中包括消息验证值、所述终端支持的安全算法以及所述HPLMN中的第二核心网节点 选择的端到端安全算法。
S208：SGSN-H向SGSN-V发送第一认证数据响应，不同于S108之处在于，所述第一认证数据响应中还包括GGSN-H选择的端到端安全算法。
若GGSN-H生成有消息验证值，则所述第一认证数据响应中还包括消息验证值、所述终端支持的安全算法以及所述HPLMN中的第二核心网节点选择的端到端安全算法。
S209与S109类似，基于所述第一认证数据响应中包括的认证向量进行安全认证和密钥协商。
S210与S110类似，终端生成用于与GGSN-H之间进行安全通信的端到端安全密钥。
S211：SGSN-V将所述述第一认证数据响应中包括的GGSN-H选择的端到端安全算法，发送给所述终端标识对应的终端。
若GGSN-H生成有消息验证值，则所述SGSN-V将所述消息验证值、所述终端支持的安全算法以及所述GGSN-H选择的端到端安全算法，发送给所述终端标识对应的终端。
S212：所述终端与所述GGSN-H基于所述端到端安全密钥和所述端到端安全算法进行安全通信。
图6所示为本发明实施例提供的SAE系统中安全通信方法中密钥协商的一种实施流程图。
图6中S301、S302、S303、S304、S305、S306、S307、S308、S309和S310分别与图4中的S101、S102、S103、S104、S105、S106、S107、S108、S109和S110相同，不同之处在于，SGSN-V替换为MME-V、SGSN-H替换为MME-H、GGSN-H替换为P-GW-H。
需要说明的是，SAE系统中，MME-V可通过终端向MME-V发送的终端标识或指示信息，确定所述VPLMN中的终端的通信数据需要路由到HPLMN的核心网节点，其中，所述终端标识或所述指示信息可以包含在附着或跟踪区更新请求中。即MME-V可通过终端向MME-V发送的附着或跟踪区更新请 求中包括的可以表征终端的通信数据需要路由到HPLMN的核心网节点的终端标识，或者通过终端向MME-V发送附着或跟踪区更新请求中包括的终端标识和指示信息，确定所述VPLMN中的终端的通信数据需要路由到HPLMN的核心网节点。
另外，需要说明的是，图6中进行密钥协商过程中，MME-H可通过HPLMN中的服务网关(Serving Gateway，S-GW-H)与P-GW-H之间进行信息的交互。
SAE系统中，终端和P-GW-H之间可在会话创建过程中进行算法协商，得到端到端安全算法。
图7A为本发明实施例提供的SAE系统中安全通信方法的一种实施流程图。图7A所示为的安全通信方法的密钥协商过程可采用图6所示的方法流程实现，在此不再赘述。以下着重对算法协商过程进行说明，实现过程如下：
S311：所述MME-V向所述P-GW-H发送创建会话请求消息，所述创建会话请求消息中包括终端支持的安全算法。
S312：所述P-GW-H获取所述MME-V发送的创建会话请求消息，通过所述创建会话请求消息确定终端支持的安全算法，并在所述终端支持的安全算法中选择端到端安全算法，所述端到端安全算法例如可包括完整性保护算法alg_int_H，当然也可包括加密保护算法alg_enc_H。
S313：所述P-GW-H向所述MME-V返回创建会话响应消息，所述创建会话响应消息中包括所述HPLMN中的第二核心网节点选择的端到端安全算法。
可选的，本发明实施例中P-GW-H可基于完整性保护算法和完整性密钥，对所述终端支持的安全算法和所述选择的所述端到端安全算法进行完整性保护，生成消息验证值MAC-I_H，并将所述消息验证值、所述终端支持的安全算法以及选择的所述端到端安全算法发送给所述终端标识对应的终端，即所述创建会话响应消息中包括验证值、所述终端支持的安全算法以及选择的所述端到端安全算法。
本发明实施例中GGSN-H生成的消息验证值用于使得终端识别该端到端 安全算法确实是GGSN-H发送的。
S314：所述MME-V接收所述P-GW-H返回的创建会话响应消息，将所述创建会话响应消息中包括的选择的所述端到端安全算法发送给所述终端标识对应的终端。
可选的，若P-GW-H生成有消息验证值，则将所述创建会话响应消息中包括的验证值、所述终端支持的安全算法以及选择的所述端到端安全算法发送给所述终端标识对应的终端。
S315：所述终端与所述P-GW-H基于所述端到端安全密钥和所述端到端安全算法进行安全通信。
需要说明的是，图7A中，MME-V可通过VPLMN中的服务网关(Serving Gateway，S-GW-V)与P-GW-H之间进行信息的交互，即所述MME-V可先将创建会话请求消息发送给S-GW-V，由S-GW-V将该创建会话请求消息发送给P-GW-H。
本发明实施例中终端和P-GW-H之间还可通过单独的算法协商过程得到端到端安全算法，具体实现过程如图7所示的算法协商过程。
图7B所示为本发明实施例提供的SAE系统中进行安全通信的另一方法实施流程。
图7B所示的方法实施流程中S401、S402、S403、S404、S405、S406、S407、S408、S409和S410分别与图6中的S301、S302、S303、S304、S305、S306、S307、S308、S309和S310相同，在此不再赘述。
S411、S412、S413、S414和S415分别与图6中的S311、S312、S313、S314和S315类似，不同之处在于，将所述创建会话请求消息替换为算法协商请求消息，将所述创建会话响应消息替换为算法协商响应消息，故在此不再赘述。
SAE系统中，终端和P-GW-H之间可在进行密钥协商过程中进行算法协商。
图7C所示为本发明实施例提供的SAE系统中进行安全通信的再一方法实施流程。
图7C所示的各方法执行步骤与图5B所示的安全通信方法中的各方法执行步骤类似，不同之处在于SGSN-V替换为MME-V、SGSN-H替换为MME-H、GGSN-H替换为P-GW-H。
需要说明的是，SAE系统中，MME-V可通过终端向MME-V发送附着或跟踪区更新请求中包括的可以表征终端的通信数据需要路由到HPLMN的核心网节点的终端标识，或者通过终端向MME-V发送附着或跟踪区更新请求中包括的终端标识和指示信息，确定所述VPLMN中的终端的通信数据需要路由到HPLMN的核心网节点。
另外，需要说明的是，图7C中MME-H可通过HPLMN中的服务网关(Serving Gateway，S-GW-H)与P-GW-H之间进行信息的交互。
本发明实施例提供的安全通信方法增加了SGSN-V/MME-V和SGSN-H/MME-H之间的信令交互，当SGSN-V/MME-V确定终端的通信数据需要路由到HPLMN中时，SGSN-V/MME-V向HPLMN中的SGSN-H/MME-H发送认证请求消息，认证请求消息中包括终端标识，并转发给HLR/HSS，从而使得HLR/HSS生成端到端安全密钥。通过SGSN-H/MME-H将端到端安全密钥，以及终端标识发送给GGSN-H/P-GW-H，终端和GGSN-H/P-GW-H之间进行算法协商，从而完成终端和GGSN-H/P-GW-H之间的密钥协商和算法协商，保护了UE和HPLMN网络之间的端到端安全。
另外，本发明实施例中可以做到在不开启HLR/HSS和HPLMN GGSN/P-GW之间接口的情况下，使得安全参数不需要经过VPLMN网络而发到HPLMN网络的GGSN/P-GW，避免了GGSN和HSS之间开设新的接口。
基于上述实施例提供的安全通信方法，本发明实施例提供一种VPLMN中的核心网节点100，图8所示为本发明实施例提供的VPLMN中的核心网节点100的结构示意图，如图8所示，VPLMN中的核心网节点100包括发送单元101、接收单元102和处理单元103，其中：
发送单元101，用于向HPLMN中的第一核心网节点发送第一认证数据请求，所述第一认证数据请求中包括漫游到所述VPLMN中的终端的终端标识。
接收单元102，用于接收所述HPLMN中的第一核心网节点根据所述发送单元101发送的第一认证数据请求中包括的终端标识发送的第一认证数据响应，所述第一认证数据响应中包括认证向量。
处理单元103，用于依据所述接收单元102接收的所述认证向量，与所述终端标识对应的终端进行安全认证和密钥协商。其中，密钥协商使得所述终端得到用于所述终端与HPLMN中的第二核心网节点之间进行安全通信的端到端安全密钥。
其中，所述处理单元103，还用于：
在所述发送单元101向HPLMN中的第一核心网节点发送第一认证数据请求之前，确定所述VPLMN中的终端的通信数据需要路由到HPLMN的核心网节点。
具体的，所述处理单元103，具体用于采用如下方式确定所述VPLMN中的终端的通信数据需要路由到HPLMN的核心网节点：
通过终端发送的终端标识，确定所述VPLMN中的终端的通信数据需要路由到HPLMN的核心网节点，所述终端标识能够表征终端的通信数据需要路由到HPLMN的核心网节点。或者
通过终端发送的指示信息，确定所述VPLMN中的终端的通信数据需要路由到HPLMN的核心网节点，所述指示信息用于指示终端的通信数据需要路由到HPLMN的核心网节点。
其中，GPRS系统中，所述终端标识和所述指示信息可以包含在所述终端发送的附着或路由区更新请求中。SAE系统中，所述终端标识和所述指示信息可以包含在所述终端发送的附着或跟踪区更新请求中。
可选的，所述VPLMN中的核心网节点为所述VPLMN中的服务通用分组无线服务GPRS支持节点SGSN、所述HPLMN中的第一核心网节点为所述HPLMN中的SGSN，所述HPLMN中的第二核心网节点为所述HPLMN中的网关通用分组无线服务GPRS支持节点。
可选的，所述VPLMN中的核心网节点为所述VPLMN中的移动性管理 实体MME、所述HPLMN中的第一核心网节点为所述HPLMN中的MME，所述HPLMN中的第二核心网节点为所述HPLMN中的分组数据网网关。
可选的，所述第一认证数据请求中还包括终端支持的安全算法。所述第一认证数据响应中还包括消息验证值、所述终端支持的安全算法以及所述HPLMN中的第二核心网节点选择的端到端安全算法。其中，所述消息验证值为所述HPLMN中的第二核心网节点，基于完整性保护算法和完整性密钥，对所述终端支持的安全算法和所述端到端安全算法进行完整性保护所生成的。所述发送单元101，还用于在所述接收单元102接收所述HPLMN中的第一核心网节点发送的第一认证数据响应之后，将所述消息验证值、所述终端支持的安全算法以及所述HPLMN中的第二核心网节点选择的端到端安全算法发送给所述终端标识对应的终端。
可选的，所述发送单元101，还用于：在所述处理单元103对所述终端标识对应的终端进行安全认证之后，向所述HPLMN中的第二核心网节点发送算法协商请求，所述算法协商请求中包括终端支持的安全算法。所述接收单元102，还用于接收所述HPLMN中的第二核心网节点返回的算法协商响应消息。所述算法协商响应消息中包括消息验证值、所述终端支持的安全算法以及所述HPLMN中的第二核心网节点选择的端到端安全算法。其中，所述消息验证值为所述HPLMN中的第二核心网节点，基于完整性保护算法和完整性密钥，对所述终端支持的安全算法和所述端到端安全算法进行完整性保护所生成的。所述发送单元101，还用于将所述消息验证值、所述终端支持的安全算法以及所述HPLMN中的第二核心网节点选择的端到端安全算法发送给所述终端标识对应的终端。
可选的，所述第一认证数据请求中还包括所述HPLMN中第二核心网节点的地址，所述HPLMN中第二核心网节点为所述VPLMN中的核心网节点为所述终端所选择进行安全通信的HPLMN中的核心网节点。
基于上述实施例提供的安全通信方法，本发明实施例提供一种VPLMN 中的核心网节点1000，图9所示为本发明实施例提供的VPLMN中的核心网节点1000的结构示意图，如图9所示，VPLMN中的核心网节点1000包括发射器1001，接收器1002，处理器1003和存储器1004。
存储器1004，用于存储处理器1003执行的程序代码。
处理器1003，用于调用所述存储器1004存储的程序，通过发射器1001向HPLMN中的第一核心网节点发送第一认证数据请求，所述第一认证数据请求中包括漫游到所述VPLMN中的终端的终端标识。通过接收器1002接收所述HPLMN中的第一核心网节点根据所述第一认证数据请求中包括的终端标识发送的第一认证数据响应，所述第一认证数据响应中包括认证向量。并用于依据接收到的所述认证向量与所述终端标识对应的终端进行安全认证和密钥协商。其中，密钥协商使得所述终端得到用于所述终端与HPLMN中的第二核心网节点之间进行安全通信的端到端安全密钥。
处理器1003还执行图4至图7C中涉及的VPLMN中的核心网节点(SGSN-V/MME-V)的处理过程和/或用于本申请所描述的技术的其他过程。所述接收器1002和所述发射器1001用于支持该VPLMN中的核心网节点(SGSN-V/MME-V)与HPLMN中的第二核心网节点(GGSN-H/P-GW-H)之间、该VPLMN中的核心网节点(SGSN-V/MME-V)与HPLMN中的第一核心网节点(SGSN-H/MME-H)之间的通信，进行上述方法涉及的信息的交互，在此不再赘述。
本发明实施例提供了一种计算机存储介质，用于储存为上述VPLMN中的核心网节点所用的计算机软件指令，其包含用于执行上述方面所设计的程序。
基于上述实施例提供的安全通信方法，本发明实施例还提供一种HPLMN中的第一核心网节点200，所述HPLMN中包括不同于所述核心网节点的第二核心网节点，图10所示为本发明实施例提供的HPLMN中的第一核心网节点200的结构示意图，如图10所示，HPLMN中的第一核心网节点200包括接收单元201和发送单元202，其中：
接收单元201，用于接收VPLMN中的核心网节点发送的第一认证数据请求，以及接收所述HLR或所述HSS发送的第二认证数据响应，所述第二认证数据响应中包括认证向量和端到端安全密钥，其中，所述端到端安全密钥用于保护所述终端与所述HPLMN中的第二核心网节点之间的安全通信，其中，所述第一认证数据请求中包括漫游到所述VPLMN中终端的终端标识。
发送单元202，用于基于所述接收单元201接收的所述第一认证数据请求向归属位置寄存器HLR或归属用户服务器HSS发送第二认证数据请求，并向所述HPLMN中的第二核心网节点发送端到端密钥通知以及向所述VPLMN中的核心网节点返回第一认证数据响应。
其中，所述第二认证数据请求中包括漫游到所述VPLMN中终端的终端标识，所述端到端密钥通知中包括所述终端标识、端到端安全密钥，所述第一认证数据响应中包括认证向量，所述认证向量用于所述VPLMN中的核心网节点依据所述认证向量，与所述终端标识对应的终端进行安全认证和密钥协商。
可选的，所述第一核心网节点200为所述HPLMN中的服务通用分组无线服务GPRS支持节点SGSN，所述VPLMN中的核心网节点为所述VPLMN中的SGSN、所述HPLMN中的第二核心网节点为所述HPLMN中的网关通用分组无线服务GPRS支持节点。
可选的，所述第一核心网节点200为所述HPLMN中的移动性管理实体MME，所述VPLMN中的核心网节点为所述VPLMN中的MME、所述HPLMN中的第二核心网节点为所述HPLMN中的分组数据网网关。
可选的，所述第一认证数据请求和所述端到端密钥通知中还包括终端支持的安全算法；所述接收单元201，还用于接收所述HPLMN中的第二核心网节点针对所述端到端密钥通知反馈的端到端密钥通知的回复消息；其中，所述端到端密钥通知的回复消息中包括消息验证值、所述终端支持的安全算法以及所述HPLMN中的第二核心网节点选择的端到端安全算法；所述第一认证数据响应中还包括消息验证值、所述终端支持的安全算法以及所述HPLMN 中的第二核心网节点选择的端到端安全算法；其中，所述消息验证值为所述HPLMN中的第二核心网节点，基于完整性保护算法和完整性密钥，对所述终端支持的安全算法和所述选择的所述端到端安全算法进行完整性保护所生成的。
可选的，所述第一认证数据请求中还包括所述HPLMN中第二核心网节点的地址，所述HPLMN中第二核心网节点为所述VPLMN中的核心网节点为所述终端所选择进行安全通信的HPLMN中的核心网节点。所述发送单元202，具体采用如下方式向所述HPLMN中的第二核心网节点发送端到端密钥通知：向所述地址指示的所述HPLMN中的第二核心网节点发送端到端密钥通知。
基于上述实施例提供的安全通信方法，本发明实施例提供一种HPLMN中的第一核心网节点2000，图11所示为本发明实施例提供的HPLMN中的第一核心网节点2000的结构示意图，如图11所示，HPLMN中的第一核心网节点2000包括接收器2001和发射器2002。
其中，接收器2001用于接收VPLMN中的核心网节点发送的第一认证数据请求，以及接收HLR或HSS发送的第二认证数据响应，所述第二认证数据响应中包括认证向量和端到端安全密钥，其中，所述端到端安全密钥用于保护所述终端与所述HPLMN中的第二核心网节点之间的安全通信，其中，所述第一认证数据请求中包括漫游到所述VPLMN中终端的终端标识。发射器2002用于基于所述接收器2001接收的所述第一认证数据请求向HLR或HSS发送第二认证数据请求，并向所述HPLMN中的第二核心网节点发送端到端密钥通知以及向所述VPLMN中的核心网节点返回第一认证数据响应。其中，所述第二认证数据请求中包括漫游到所述VPLMN中终端的终端标识，所述端到端密钥通知中包括所述终端标识、端到端安全密钥，所述第一认证数据响应中包括认证向量，所述认证向量用于所述VPLMN中的核心网节点依据所述认证向量，与所述终端标识对应的终端进行安全认证和密钥协商。
所述接收器2001和所述发射器2002还用于支持上述方法实施例中图4至图7C所示的HPLMN中的第一核心网节点(SGSN-H/MME-H)与VPLMN中的核心网节点(SGSN-V/MME-V)和HPLMN中的第二核心网节点(GGSN-H/P-GW-H)之间的通信，进行上述方法涉及的信息的交互，在此不再赘述。
本发明实施例提供了一种计算机存储介质，用于储存为上述HPLMN中的第一核心网节点所用的计算机软件指令，其包含用于执行上述方面所设计的程序。
基于上述实施例提供的安全通信方法，本发明实施例还提供一种HPLMN中的第二核心网节点300，图12所示为本发明实施例提供的HPLMN中的第二核心网节点300的结构示意图，如图12所示，HPLMN中的第二核心网节点300包括接收单元301、处理单元302和发送单元303，其中，所述HPLMN中包括不同于所述核心网节点的第一核心网节点。
接收单元301，用于接收所述HPLMN中的第一核心网节点发送的端到端密钥通知。所述端到端密钥通知中包括终端标识和端到端安全密钥，所述终端标识用于标识需要将通信数据路由到HPLMN的核心网节点的终端，所述端到端安全密钥为所述终端的HLR或HSS依据所述VPLMN中的核心网节点路由到所述HPLMN网络的第二认证数据请求所生成，并用于保护终端与HPLMN中的第二核心网节点之间的安全通信。
处理单元302，用于根据所述端到端密钥通知中包括的终端标识和端到端安全密钥，选择端到端安全算法，以及基于所述端到端安全密钥和所述端到端安全算法，与所述终端标识对应的终端进行安全通信。
发送单元303，用于将所述处理单元302选择的端到端安全算法发送给所述终端标识对应的终端。
可选的，所述第二核心网节点300为所述HPLMN中的网关通用分组无线服务GPRS支持节点，所述VPLMN中的核心网节点为所述VPLMN中的 服务通用分组无线服务GPRS支持节点SGSN、所述HPLMN中的第一核心网节点为所述HPLMN中的SGSN。
可选的，所述第二核心网节点300为所述HPLMN中的网关通用分组无线服务GPRS支持节点，所述VPLMN中的核心网节点为所述VPLMN中的移动性管理实体MME、所述HPLMN中的第一核心网节点为所述HPLMN中的MME。
可选的，所述第一认证数据请求和所述端到端密钥通知中还包括终端支持的安全算法。所述端到端安全算法包括完整性保护算法，所述端到端安全密钥包括完整性保护密钥。所述处理单元302，采用如下方式选择端到端安全算法：所述HPLMN中的第二核心网节点获取所述HPLMN中的第一核心网节点发送的所述端到端密钥通知，通过所述端到端密钥通知确定终端支持的安全算法。所述HPLMN中的第二核心网节点在所述终端支持的安全算法中选择端到端安全算法。所述处理单元302，还用于：基于所述完整性保护算法和所述完整性密钥，对所述终端支持的安全算法和所述选择的所述端到端安全算法进行完整性保护，生成消息验证值。所述发送单元303，具体采用如下方式将所述选择的端到端安全算法发送给所述终端标识对应的终端：向所述HPLMN中的第一核心网节点发送端到端密钥通知的回复消息，所述端到端密钥通知的回复消息中包括消息验证值、所述终端支持的安全算法以及所述HPLMN中的第二核心网节点选择的端到端安全算法，并通过所述HPLMN中的第一核心网节点和所述VPLMN中的核心网节点，将消息验证值、所述终端支持的安全算法以及所述选择的端到端安全算法发送给所述终端标识对应的终端。
可选的，所述端到端安全算法包括完整性保护算法，所述端到端安全密钥包括完整性保护密钥。所述接收单元301，还用于：获取所述VPLMN中的核心网节点发送的算法协商请求，所述算法协商请求中包括终端支持的安全算法。所述处理单元302，具体采用如下方式选择端到端安全算法：通过所述算法协商请求确定终端支持的安全算法，并在所述终端支持的安全算法中选 择端到端安全算法。所述处理单元302，还用于：基于所述完整性保护算法和所述完整性密钥，对所述终端支持的安全算法和所述选择的所述端到端安全算法进行完整性保护，生成消息验证值。所述发送单元303，具体用于采用如下方式将所述选择的端到端安全算法发送给所述终端标识对应的终端：向所述VPLMN中的核心网节点返回算法协商响应消息，所述算法协商响应消息中包括消息验证值、所述终端支持的安全算法以及所述HPLMN中的第二核心网节点选择的端到端安全算法，并通过所述VPLMN中的核心网节点将所述消息验证值、所述终端支持的安全算法以及所述HPLMN中的第二核心网节点选择的端到端安全算法发送给所述终端标识对应的终端。
基于上述实施例提供的通信方法，本发明实施例还提供一种HPLMN中的第二核心网节点3000，图13所示为本发明实施例提供的HPLMN中的第二核心网节点3000的结构示意图，如图13所示HPLMN中的第二核心网节点3000包括处理器3001、接收器3002、发射器3003和存储器3004。
存储器3004，用于存储处理器3001执行的程序代码。
处理器3001，用于调用所述存储器3004存储的程序，通过接收器3002接收所述HPLMN中的第一核心网节点发送的端到端密钥通知，通过发射器3003将选择的端到端安全算法发送给所述终端标识对应的终端，并根据所述端到端密钥通知中包括的终端标识和端到端安全密钥选择端到端安全算法，以及基于所述端到端安全密钥和所述端到端安全算法，与所述终端标识对应的终端进行安全通信。
所述处理器3001被配置为支持上述方法实施例图4至图7C所示的HPLMN中的第二核心网节点(GGSN-H/P-GW-H)执行上述方法中相应的功能。所述接收器3002和所述发射器3003用于支持该HPLMN中的第二核心网节点(GGSN-H/P-GW-H)与VPLMN中的核心网节点(SGSN-V/MME-V)、该HPLMN中的第二核心网节点(GGSN-H/P-GW-H)和HPLMN中的第一核心网节点(SGSN-H/MME-H)之间的通信，进行上述方法涉及的信息的交互，在此不再赘述。
本发明实施例提供了一种计算机存储介质，用于储存为上述HPLMN中的第二核心网节点所用的计算机软件指令，其包含用于执行上述方面所设计的程序。
本发明实施例还提供一种通信系统，该通信系统包括上述方面涉及的VPLMN中的核心网节点、HPLMN中的第一核心网节点和HPLMN中的第二核心网节点，并具有相应的功能，在此不再赘述。
本发明实施例提供的针对漫游的终端进行安全通信的方法，能够避免HPLMN中的安全密钥被VPLMN获取，保护了UE和HPLMN网络之间的端到端安全。并且本发明实施例中HLR/HSS与HPLMN中的第二核心网节点之间无需进行直接交互，故可避免开启HPLMN中的第二核心网节点与HLR/HSS之间的接口。
本领域普通技术人员可以理解实现上述实施例方法中的全部或部分步骤是可以通过程序来指令处理器完成，所述的程序可以存储于计算机可读存储介质中，所述存储介质是非短暂性(英文：non-transitory)介质，例如随机存取存储器，只读存储器，快闪存储器，硬盘，固态硬盘，磁带(英文：magnetic tape)，软盘(英文：floppy disk)，光盘(英文：optical disc)及其任意组合。
本发明是参照本发明实施例的方法和设备各自的流程图和方框图来描述的。应理解可由计算机程序指令实现流程图和方框图中的每一流程和方框、以及流程图和方框图中的流程和方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和方框图一个方框或多个方框中指定的功能的装置。
以上所述，仅为本发明较佳的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到的变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应该以权利要求的保护范围为准。

Claims (36)

  1. 一种安全通信方法，其特征在于，包括：
    拜访公共陆地移动网络VPLMN中的核心网节点向归属公用陆地移动网络HPLMN中的第一核心网节点发送第一认证数据请求，所述第一认证数据请求中包括漫游到所述VPLMN中的终端的终端标识；
    所述VPLMN中的核心网节点接收所述HPLMN中的第一核心网节点根据所述第一认证数据请求中包括的终端标识发送的第一认证数据响应，所述第一认证数据响应中包括认证向量；
    所述VPLMN中的核心网节点依据所述认证向量，与所述终端标识对应的终端进行安全认证和密钥协商；
    其中，密钥协商使得所述终端得到用于所述终端与HPLMN中的第二核心网节点之间进行安全通信的端到端安全密钥。
  2. 如权利要求1所述的方法，其特征在于，所述VPLMN中的核心网节点向HPLMN中的第一核心网节点发送第一认证数据请求之前，还包括：
    所述VPLMN中的所述核心网节点确定所述VPLMN中的终端的通信数据需要路由到HPLMN的核心网节点。
  3. 如权利要求2所述的方法，其特征在于，所述VPLMN中的所述核心网节点确定所述VPLMN中的终端的通信数据需要路由到HPLMN的核心网节点，包括：
    所述VPLMN中的核心网节点通过终端发送的终端标识，确定所述VPLMN中的终端的通信数据需要路由到HPLMN的核心网节点，所述终端标识能够表征终端的通信数据需要路由到HPLMN的核心网节点；或者
    所述VPLMN中的核心网节点通过终端发送的指示信息，确定所述VPLMN中的终端的通信数据需要路由到HPLMN的核心网节点，所述指示信息用于指示终端的通信数据需要路由到HPLMN的核心网节点。
  4. 如权利要求1至3任一项所述的方法，其特征在于，所述VPLMN中 的核心网节点为所述VPLMN中的服务通用分组无线服务GPRS支持节点SGSN、所述HPLMN中的第一核心网节点为所述HPLMN中的SGSN，所述HPLMN中的第二核心网节点为所述HPLMN中的网关通用分组无线服务GPRS支持节点。
  5. 如权利要求1至3任一项所述的方法，其特征在于，所述VPLMN中的核心网节点为所述VPLMN中的移动性管理实体MME、所述HPLMN中的第一核心网节点为所述HPLMN中的MME，所述HPLMN中的第二核心网节点为所述HPLMN中的分组数据网网关。
  6. 如权利要求1至5任一项所述的方法，其特征在于，所述第一认证数据请求中还包括终端支持的安全算法；
    所述第一认证数据响应中还包括消息验证值、所述终端支持的安全算法以及所述HPLMN中的第二核心网节点选择的端到端安全算法；
    其中，所述消息验证值为所述HPLMN中的第二核心网节点，基于完整性保护算法和完整性密钥，对所述终端支持的安全算法和所述端到端安全算法进行完整性保护所生成的；
    所述VPLMN中的核心网节点接收所述HPLMN中的第一核心网节点发送的第一认证数据响应之后，所述方法还包括：
    所述VPLMN中的核心网节点将所述消息验证值、所述终端支持的安全算法以及所述HPLMN中的第二核心网节点选择的端到端安全算法发送给所述终端标识对应的终端。
  7. 如权利要求5所述的方法，其特征在于，对所述终端标识对应的终端进行安全认证之后，所述方法还包括：
    所述VPLMN中的核心网节点向所述HPLMN中的第二核心网节点发送算法协商请求，所述算法协商请求中包括终端支持的安全算法；
    所述VPLMN中的核心网节点接收所述HPLMN中的第二核心网节点返回的算法协商响应消息；
    所述算法协商响应消息中包括消息验证值、所述终端支持的安全算法以 及所述HPLMN中的第二核心网节点选择的端到端安全算法；
    其中，所述消息验证值为所述HPLMN中的第二核心网节点，基于完整性保护算法和完整性密钥，对所述终端支持的安全算法和所述端到端安全算法进行完整性保护所生成的；
    所述VPLMN中的核心网节点将所述消息验证值、所述终端支持的安全算法以及所述HPLMN中的第二核心网节点选择的端到端安全算法发送给所述终端标识对应的终端。
  8. 如权利要求1至7任一项所述的方法，其特征在于，所述第一认证数据请求中还包括所述HPLMN中第二核心网节点的地址，所述HPLMN中第二核心网节点为所述VPLMN中的核心网节点为所述终端所选择进行安全通信的HPLMN中的核心网节点。
  9. 一种安全通信方法，其特征在于，包括：
    归属公用陆地移动网络HPLMN中的第一核心网节点接收拜访公共陆地移动网络VPLMN中的核心网节点发送的第一认证数据请求；并
    基于所述第一认证数据请求向归属位置寄存器HLR或归属用户服务器HSS发送第二认证数据请求，其中，所述第一认证数据请求和所述第二认证数据请求中均包括漫游到所述VPLMN中的终端的终端标识；
    所述HPLMN中的第一核心网节点接收所述HLR或所述HSS根据所述第二认证数据请求中的终端标识发送的第二认证数据响应，所述第二认证数据响应中包括认证向量和端到端安全密钥，其中，所述端到端安全密钥用于保护所述终端与所述HPLMN中的第二核心网节点之间的安全通信；
    所述HPLMN中的第一核心网节点向所述HPLMN中的第二核心网节点发送端到端密钥通知，其中，所述端到端密钥通知中包括所述终端标识、端到端安全密钥；
    所述HPLMN中的第一核心网节点向所述VPLMN中的核心网节点返回第一认证数据响应，所述第一认证数据响应中包括认证向量，所述认证向量 用于所述VPLMN中的核心网节点依据所述认证向量，与所述终端标识对应的终端进行安全认证和密钥协商。
  10. 如权利要求9所述的方法，其特征在于，所述VPLMN中的核心网节点为所述VPLMN中的服务通用分组无线服务GPRS支持节点SGSN、所述HPLMN中的第一核心网节点为所述HPLMN中的SGSN，所述HPLMN中的第二核心网节点为所述HPLMN中的网关通用分组无线服务GPRS支持节点。
  11. 如权利要求9所述的方法，其特征在于，所述VPLMN中的核心网节点为所述VPLMN中的移动性管理实体MME、所述HPLMN中的第一核心网节点为所述HPLMN中的MME，所述HPLMN中的第二核心网节点为所述HPLMN中的分组数据网网关。
  12. 如权利要求9至11任一项所述的方法，其特征在于，所述第一认证数据请求和所述端到端密钥通知中还包括终端支持的安全算法；
    所述方法还包括：
    所述HPLMN中的第一核心网节点接收所述HPLMN中的第二核心网节点针对所述端到端密钥通知反馈的端到端密钥通知的回复消息；
    其中，所述端到端密钥通知的回复消息中包括消息验证值、所述终端支持的安全算法以及所述HPLMN中的第二核心网节点选择的端到端安全算法；
    所述第一认证数据响应中还包括消息验证值、所述终端支持的安全算法以及所述HPLMN中的第二核心网节点选择的端到端安全算法；
    其中，所述消息验证值为所述HPLMN中的第二核心网节点，基于完整性保护算法和完整性密钥，对所述终端支持的安全算法和所述选择的所述端到端安全算法进行完整性保护所生成的。
  13. 如权利要求9至12任一项所述的方法，其特征在于，所述第一认证数据请求中还包括所述HPLMN中第二核心网节点的地址，所述HPLMN中第二核心网节点为所述VPLMN中的核心网节点为所述终端所选择进行安全通信的HPLMN中的核心网节点；
    所述HPLMN中的第一核心网节点向所述HPLMN中的第二核心网节点 发送端到端密钥通知，包括：
    所述HPLMN中的第一核心网节点向所述地址指示的所述HPLMN中的第二核心网节点发送端到端密钥通知。
  14. 一种安全通信方法，其特征在于，包括：
    归属公用陆地移动网络HPLMN中的第二核心网节点接收所述HPLMN中的第一核心网节点发送的端到端密钥通知；
    所述端到端密钥通知中包括终端标识和端到端安全密钥，所述终端标识用于标识需要将通信数据路由到HPLMN的核心网节点的终端，所述端到端安全密钥为所述终端的归属位置寄存器HLR或归属用户服务器HSS依据所述VPLMN中的核心网节点路由到所述HPLMN网络的第二认证数据请求所生成，并用于保护终端与HPLMN中的第二核心网节点之间的安全通信；
    所述HPLMN中的第二核心网节点根据所述端到端密钥通知中包括的终端标识和端到端安全密钥，选择端到端安全算法并将选择的端到端安全算法发送给所述终端标识对应的终端；
    所述HPLMN中的第二核心网节点基于所述端到端安全密钥和所述端到端安全算法，与所述终端标识对应的终端进行安全通信。
  15. 如权利要求14所述的方法，其特征在于，所述VPLMN中的核心网节点为所述VPLMN中的服务通用分组无线服务GPRS支持节点SGSN、所述HPLMN中的第一核心网节点为所述HPLMN中的SGSN，所述HPLMN中的第二核心网节点为所述HPLMN中的网关通用分组无线服务GPRS支持节点。
  16. 如权利要求14所述的方法，其特征在于，所述VPLMN中的核心网节点为所述VPLMN中的移动性管理实体MME、所述HPLMN中的第一核心网节点为所述HPLMN中的MME，所述HPLMN中的第二核心网节点为所述HPLMN中的分组数据网网关。
  17. 如权利要求14至16任一项所述的方法，其特征在于，所述第一认证数据请求和所述端到端密钥通知中还包括终端支持的安全算法；
    所述端到端安全算法包括完整性保护算法，所述端到端安全密钥包括完整性保护密钥；
    所述HPLMN中的第二核心网节点选择端到端安全算法并将所述选择的端到端安全算法发送给所述终端标识对应的终端，包括：
    所述HPLMN中的第二核心网节点获取所述HPLMN中的第一核心网节点发送的所述端到端密钥通知，通过所述端到端密钥通知确定终端支持的安全算法；
    所述HPLMN中的第二核心网节点在所述终端支持的安全算法中选择端到端安全算法；
    所述HPLMN中的第二核心网节点，基于所述完整性保护算法和所述完整性密钥，对所述终端支持的安全算法和所述选择的所述端到端安全算法进行完整性保护，生成消息验证值；
    所述HPLMN中的第二核心网节点向所述HPLMN中的第一核心网节点发送端到端密钥通知的回复消息，所述端到端密钥通知的回复消息中包括消息验证值、所述终端支持的安全算法以及所述HPLMN中的第二核心网节点选择的端到端安全算法，并
    通过所述HPLMN中的第一核心网节点和所述VPLMN中的核心网节点，将消息验证值、所述终端支持的安全算法以及所述选择的端到端安全算法发送给所述终端标识对应的终端。
  18. 如权利要求16所述的方法，其特征在于，所述端到端安全算法包括完整性保护算法，所述端到端安全密钥包括完整性保护密钥；
    所述HPLMN中的第二核心网节点选择端到端安全算法并将所述选择的端到端安全算法发送给所述终端标识对应的终端，包括：
    所述HPLMN中的第二核心网节点获取所述VPLMN中的核心网节点发送的算法协商请求，所述算法协商请求中包括终端支持的安全算法；
    所述HPLMN中的第二核心网节点通过所述算法协商请求确定终端支持的安全算法，并在所述终端支持的安全算法中选择端到端安全算法；
    所述HPLMN中的第二核心网节点，基于所述完整性保护算法和所述完整性密钥，对所述终端支持的安全算法和所述选择的所述端到端安全算法进行完整性保护，生成消息验证值；
    所述HPLMN中的第二核心网节点向所述VPLMN中的核心网节点返回算法协商响应消息，所述算法协商响应消息中包括消息验证值、所述终端支持的安全算法以及所述HPLMN中的第二核心网节点选择的端到端安全算法，并
    通过所述VPLMN中的核心网节点将所述消息验证值、所述终端支持的安全算法以及所述HPLMN中的第二核心网节点选择的端到端安全算法发送给所述终端标识对应的终端。
  19. 一种拜访公共陆地移动网络VPLMN中的核心网节点，其特征在于，包括：
    发送单元，用于向归属公用陆地移动网络HPLMN中的第一核心网节点发送第一认证数据请求，所述第一认证数据请求中包括漫游到所述VPLMN中的终端的终端标识；
    接收单元，用于接收所述HPLMN中的第一核心网节点根据所述第一认证数据请求中包括的终端标识发送的第一认证数据响应，所述第一认证数据响应中包括认证向量；
    处理单元，用于依据所述接收单元接收的所述认证向量，与所述终端标识对应的终端进行安全认证和密钥协商；
    其中，密钥协商使得所述终端得到用于所述终端与HPLMN中的第二核心网节点之间进行安全通信的端到端安全密钥。
  20. 如权利要求19所述的核心网节点，其特征在于，所述处理单元，还用于：
    在所述发送单元向HPLMN中的第一核心网节点发送第一认证数据请求之前，确定所述VPLMN中的终端的通信数据需要路由到HPLMN的核心网 节点。
  21. 如权利要求20所述的核心网节点，其特征在于，所述处理单元，具体用于采用如下方式确定所述VPLMN中的终端的通信数据需要路由到HPLMN的核心网节点：
    通过终端发送的终端标识，确定所述VPLMN中的终端的通信数据需要路由到HPLMN的核心网节点，所述终端标识能够表征终端的通信数据需要路由到HPLMN的核心网节点；或者
    通过终端发送的指示信息，确定所述VPLMN中的终端的通信数据需要路由到HPLMN的核心网节点，所述指示信息用于指示终端的通信数据需要路由到HPLMN的核心网节点。
  22. 如权利要求19至21任一项所述的核心网节点，其特征在于，所述核心网节点为所述VPLMN中的服务通用分组无线服务GPRS支持节点SGSN、所述HPLMN中的第一核心网节点为所述HPLMN中的SGSN，所述HPLMN中的第二核心网节点为所述HPLMN中的网关通用分组无线服务GPRS支持节点。
  23. 如权利要求19至21任一项所述的核心网节点，其特征在于，所述核心网节点为所述VPLMN中的移动性管理实体MME、所述HPLMN中的第一核心网节点为所述HPLMN中的MME，所述HPLMN中的第二核心网节点为所述HPLMN中的分组数据网网关。
  24. 如权利要求19至23任一项所述的核心网节点，其特征在于，所述第一认证数据请求中还包括终端支持的安全算法；
    所述第一认证数据响应中还包括消息验证值、所述终端支持的安全算法以及所述HPLMN中的第二核心网节点选择的端到端安全算法；
    其中，所述消息验证值为所述HPLMN中的第二核心网节点，基于完整性保护算法和完整性密钥，对所述终端支持的安全算法和所述端到端安全算法进行完整性保护所生成的；
    所述发送单元，还用于在所述接收单元接收所述HPLMN中的第一核心 网节点发送的第一认证数据响应之后，将所述消息验证值、所述终端支持的安全算法以及所述HPLMN中的第二核心网节点选择的端到端安全算法发送给所述终端标识对应的终端。
  25. 如权利要求23所述的核心网节点，其特征在于，所述发送单元，还用于：
    在所述处理单元对所述终端标识对应的终端进行安全认证之后，向所述HPLMN中的第二核心网节点发送算法协商请求，所述算法协商请求中包括终端支持的安全算法；
    所述接收单元，还用于接收所述HPLMN中的第二核心网节点返回的算法协商响应消息；
    所述算法协商响应消息中包括消息验证值、所述终端支持的安全算法以及所述HPLMN中的第二核心网节点选择的端到端安全算法；
    其中，所述消息验证值为所述HPLMN中的第二核心网节点，基于完整性保护算法和完整性密钥，对所述终端支持的安全算法和所述端到端安全算法进行完整性保护所生成的；
    所述发送单元，还用于将所述消息验证值、所述终端支持的安全算法以及所述HPLMN中的第二核心网节点选择的端到端安全算法发送给所述终端标识对应的终端。
  26. 如权利要求19至25任一项所述的核心网节点，其特征在于，所述第一认证数据请求中还包括所述HPLMN中第二核心网节点的地址，所述HPLMN中第二核心网节点为所述VPLMN中的核心网节点为所述终端所选择进行安全通信的HPLMN中的核心网节点。
  27. 一种归属公用陆地移动网络HPLMN中的第一核心网节点，所述HPLMN中包括不同于所述核心网节点的第二核心网节点，其特征在于，包括：
    接收单元，用于接收拜访公共陆地移动网络VPLMN中的核心网节点发送的第一认证数据请求，以及接收所述HLR或所述HSS发送的第二认证数据 响应，所述第二认证数据响应中包括认证向量和端到端安全密钥，其中，所述端到端安全密钥用于保护所述终端与所述HPLMN中的第二核心网节点之间的安全通信，其中，所述第一认证数据请求中包括漫游到所述VPLMN中终端的终端标识，
    发送单元，用于基于所述接收单元接收的所述第一认证数据请求向归属位置寄存器HLR或归属用户服务器HSS发送第二认证数据请求，并向所述HPLMN中的第二核心网节点发送端到端密钥通知以及向所述VPLMN中的核心网节点返回第一认证数据响应；
    其中，所述第二认证数据请求中包括漫游到所述VPLMN中终端的终端标识，所述端到端密钥通知中包括所述终端标识、端到端安全密钥，所述第一认证数据响应中包括认证向量，所述认证向量用于所述VPLMN中的核心网节点依据所述认证向量，与所述终端标识对应的终端进行安全认证和密钥协商。
  28. 如权利要求27所述的第一核心网节点，其特征在于，所述第一核心网节点为所述HPLMN中的服务通用分组无线服务GPRS支持节点SGSN，所述VPLMN中的核心网节点为所述VPLMN中的SGSN、所述HPLMN中的第二核心网节点为所述HPLMN中的网关通用分组无线服务GPRS支持节点。
  29. 如权利要求27所述的第一核心网节点，其特征在于，所述第一核心网节点为所述HPLMN中的移动性管理实体MME，所述VPLMN中的核心网节点为所述VPLMN中的MME、所述HPLMN中的第二核心网节点为所述HPLMN中的分组数据网网关。
  30. 如权利要求27至29任一项所述的第一核心网节点，其特征在于，所述第一认证数据请求和所述端到端密钥通知中还包括终端支持的安全算法；
    所述接收单元，还用于接收所述HPLMN中的第二核心网节点针对所述端到端密钥通知反馈的端到端密钥通知的回复消息；
    其中，所述端到端密钥通知的回复消息中包括消息验证值、所述终端支 持的安全算法以及所述HPLMN中的第二核心网节点选择的端到端安全算法；
    所述第一认证数据响应中还包括消息验证值、所述终端支持的安全算法以及所述HPLMN中的第二核心网节点选择的端到端安全算法；
    其中，所述消息验证值为所述HPLMN中的第二核心网节点，基于完整性保护算法和完整性密钥，对所述终端支持的安全算法和所述选择的所述端到端安全算法进行完整性保护所生成的。
  31. 如权利要求27至30任一项所述的第一核心网节点，其特征在于，所述第一认证数据请求中还包括所述HPLMN中第二核心网节点的地址，所述HPLMN中第二核心网节点为所述VPLMN中的核心网节点为所述终端所选择进行安全通信的HPLMN中的核心网节点；
    所述发送单元，具体采用如下方式向所述HPLMN中的第二核心网节点发送端到端密钥通知：
    向所述地址指示的所述HPLMN中的第二核心网节点发送端到端密钥通知。
  32. 一种归属公用陆地移动网络HPLMN中的第二核心网节点，所述HPLMN中包括不同于所述核心网节点的第一核心网节点，其特征在于，包括：
    接收单元，用于接收所述HPLMN中的第一核心网节点发送的端到端密钥通知；
    所述端到端密钥通知中包括终端标识和端到端安全密钥，所述终端标识用于标识需要将通信数据路由到HPLMN的核心网节点的终端，所述端到端安全密钥为所述终端的归属位置寄存器HLR或归属用户服务器HSS依据所述VPLMN中的核心网节点路由到所述HPLMN网络的第二认证数据请求所生成，并用于保护终端与HPLMN中的第二核心网节点之间的安全通信；
    处理单元，用于根据所述端到端密钥通知中包括的终端标识和端到端安全密钥，选择端到端安全算法，以及基于所述端到端安全密钥和所述端到端安全算法，与所述终端标识对应的终端进行安全通信；
    发送单元，用于将所述处理单元选择的端到端安全算法发送给所述终端标识对应的终端。
  33. 如权利要求32所述的第二核心网节点，其特征在于，所述第二核心网节点为所述HPLMN中的网关通用分组无线服务GPRS支持节点，所述VPLMN中的核心网节点为所述VPLMN中的服务通用分组无线服务GPRS支持节点SGSN、所述HPLMN中的第一核心网节点为所述HPLMN中的SGSN。
  34. 如权利要求32所述的第二核心网节点，其特征在于，所述第二核心网节点为所述HPLMN中的网关通用分组无线服务GPRS支持节点，所述VPLMN中的核心网节点为所述VPLMN中的移动性管理实体MME、所述HPLMN中的第一核心网节点为所述HPLMN中的MME。
  35. 如权利要求32至34任一项所述的第二核心网节点，其特征在于，所述第一认证数据请求和所述端到端密钥通知中还包括终端支持的安全算法；
    所述端到端安全算法包括完整性保护算法，所述端到端安全密钥包括完整性保护密钥；
    所述处理单元，采用如下方式选择端到端安全算法：
    所述HPLMN中的第二核心网节点获取所述HPLMN中的第一核心网节点发送的所述端到端密钥通知，通过所述端到端密钥通知确定终端支持的安全算法；
    所述HPLMN中的第二核心网节点在所述终端支持的安全算法中选择端到端安全算法；
    所述处理单元，还用于：基于所述完整性保护算法和所述完整性密钥，对所述终端支持的安全算法和所述选择的所述端到端安全算法进行完整性保护，生成消息验证值；
    所述发送单元，具体采用如下方式将所述选择的端到端安全算法发送给所述终端标识对应的终端：
    向所述HPLMN中的第一核心网节点发送端到端密钥通知的回复消息， 所述端到端密钥通知的回复消息中包括消息验证值、所述终端支持的安全算法以及所述HPLMN中的第二核心网节点选择的端到端安全算法，并
    通过所述HPLMN中的第一核心网节点和所述VPLMN中的核心网节点，将消息验证值、所述终端支持的安全算法以及所述选择的端到端安全算法发送给所述终端标识对应的终端。
  36. 如权利要求34所述的第二核心网节点，其特征在于，所述端到端安全算法包括完整性保护算法，所述端到端安全密钥包括完整性保护密钥；
    所述接收单元，还用于：获取所述VPLMN中的核心网节点发送的算法协商请求，所述算法协商请求中包括终端支持的安全算法；
    所述处理单元，具体采用如下方式选择端到端安全算法：
    通过所述算法协商请求确定终端支持的安全算法，并在所述终端支持的安全算法中选择端到端安全算法；
    所述处理单元，还用于：
    基于所述完整性保护算法和所述完整性密钥，对所述终端支持的安全算法和所述选择的所述端到端安全算法进行完整性保护，生成消息验证值；
    所述发送单元，具体用于采用如下方式将所述选择的端到端安全算法发送给所述终端标识对应的终端：
    向所述VPLMN中的核心网节点返回算法协商响应消息，所述算法协商响应消息中包括消息验证值、所述终端支持的安全算法以及所述HPLMN中的第二核心网节点选择的端到端安全算法，并
    通过所述VPLMN中的核心网节点将所述消息验证值、所述终端支持的安全算法以及所述HPLMN中的第二核心网节点选择的端到端安全算法发送给所述终端标识对应的终端。
CN201680081558.4A 2016-02-23 2016-02-23 一种安全通信方法及核心网节点 Pending CN108702620A (zh)

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/CN2016/074365 WO2017143521A1 (zh) 2016-02-23 2016-02-23 一种安全通信方法及核心网节点

Publications (1)

Publication Number Publication Date
CN108702620A true CN108702620A (zh) 2018-10-23

Family

ID=59685846

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201680081558.4A Pending CN108702620A (zh) 2016-02-23 2016-02-23 一种安全通信方法及核心网节点

Country Status (4)

Country Link
US (1) US20190014472A1 (zh)
EP (1) EP3407635A1 (zh)
CN (1) CN108702620A (zh)
WO (1) WO2017143521A1 (zh)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN113994625A (zh) * 2019-04-11 2022-01-28 株式会社Ntt都科摩 网络节点

Families Citing this family (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN108282775B (zh) * 2017-12-22 2021-01-01 中国科学院信息工程研究所 面向移动专用网络的动态附加认证方法及系统
CN113039765B (zh) * 2018-09-21 2023-09-12 诺基亚技术有限公司 用于网络功能之间的安全消息收发的方法和装置
WO2020221612A1 (en) 2019-04-29 2020-11-05 Telefonaktiebolaget Lm Ericsson (Publ) Handling of multiple authentication procedures in 5g

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101594616A (zh) * 2009-07-08 2009-12-02 深圳华为通信技术有限公司 认证方法、服务器、用户设备及通信系统
CN102396203A (zh) * 2009-04-16 2012-03-28 阿尔卡特朗讯公司 根据通信网络中的认证过程的紧急呼叫处理
EP2894890A1 (en) * 2014-01-09 2015-07-15 Koninklijke KPN N.V. Conditional access to a wireless network
GB2525205A (en) * 2014-04-15 2015-10-21 Vodafone Ip Licensing Ltd Provisioning a network subscription
US20160050562A1 (en) * 2014-08-12 2016-02-18 Vodafone Ip Licensing Limited Machine-to-machine cellular communication security

Family Cites Families (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP1452000A2 (en) * 2001-12-07 2004-09-01 Telefonaktiebolaget LM Ericsson (publ) Lawful interception of end-to-end encrypted data traffic
CN101420695B (zh) * 2008-12-16 2011-09-07 天津工业大学 一种基于无线局域网的3g用户快速漫游认证方法
US9450928B2 (en) * 2010-06-10 2016-09-20 Gemalto Sa Secure registration of group of clients using single registration procedure
TWI584668B (zh) * 2011-09-29 2017-05-21 內數位專利控股公司 致能存取與客籍網路整合之應用方法及裝置
WO2018008970A1 (en) * 2016-07-05 2018-01-11 Samsung Electronics Co., Ltd. Method and apparatus for specified attach procedure and mobility and paging support in data communication network
US10021557B1 (en) * 2017-08-18 2018-07-10 Verizon Patent And Licensing Inc. Universal GUTI for simplified device onboarding

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102396203A (zh) * 2009-04-16 2012-03-28 阿尔卡特朗讯公司 根据通信网络中的认证过程的紧急呼叫处理
CN101594616A (zh) * 2009-07-08 2009-12-02 深圳华为通信技术有限公司 认证方法、服务器、用户设备及通信系统
EP2894890A1 (en) * 2014-01-09 2015-07-15 Koninklijke KPN N.V. Conditional access to a wireless network
GB2525205A (en) * 2014-04-15 2015-10-21 Vodafone Ip Licensing Ltd Provisioning a network subscription
US20160050562A1 (en) * 2014-08-12 2016-02-18 Vodafone Ip Licensing Limited Machine-to-machine cellular communication security

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN113994625A (zh) * 2019-04-11 2022-01-28 株式会社Ntt都科摩 网络节点

Also Published As

Publication number Publication date
EP3407635A4 (en) 2018-11-28
WO2017143521A1 (zh) 2017-08-31
EP3407635A1 (en) 2018-11-28
US20190014472A1 (en) 2019-01-10

Similar Documents

Publication Publication Date Title
US11829774B2 (en) Machine-to-machine bootstrapping
CN108293223B (zh) 一种数据传输方法、用户设备和网络侧设备
CN107018676B (zh) 用户设备与演进分组核心之间的相互认证
CN107736047A (zh) 用于蜂窝物联网的网络安全架构
CN108141754A (zh) 用于涉及移动性管理实体重定位的移动性过程的装置和方法
CN111869182B (zh) 对设备进行认证的方法、通信系统、通信设备
EP3923615B1 (en) Key obtaining method and device, and communications system
EP3258718B1 (en) Gprs system key enhancement method, sgsn device, ue, hlr/hss and gprs system
KR102100159B1 (ko) 이동 통신 시스템에서 서비스 발견 및 그룹 통신을 위한 보안 지원 방법 및 시스템
EP3490289B1 (en) Cross-interface correlation of traffic
CN107852600A (zh) 具有简化的移动性过程的网络架构和安全
CN105432103A (zh) 接入网络辅助引导自举
Vintilă et al. Security analysis of LTE access network
JP6904363B2 (ja) システム、基地局、コアネットワークノード、及び方法
KR20200004377A (ko) 인증 요청들을 제어하기 위한 프라이버시 표시자들
CN112218287B (zh) 一种通信方法及装置
CN111264071A (zh) 安全性建立方法、终端装置及网络装置
US20190014472A1 (en) Secure Communication Method and Core Network Node
CN107006052A (zh) 使用ott服务的基于基础设施的d2d连接建立
US20200169885A1 (en) Method and system for supporting security and information for proximity based service in mobile communication system environment
CN113841366B (zh) 通信方法及装置
WO2024146582A1 (zh) 通信方法和通信装置
EP3488627A1 (en) Proof-of-presence indicator
CN118317301A (zh) 通信方法和通信装置
CN117062054A (zh) 通信方法和装置

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
WD01 Invention patent application deemed withdrawn after publication
WD01 Invention patent application deemed withdrawn after publication

Application publication date: 20181023