CN109391939A - 密钥、参数发送方法及装置、用户面实体、控制面实体 - Google Patents

密钥、参数发送方法及装置、用户面实体、控制面实体 Download PDF

Info

Publication number
CN109391939A
CN109391939A CN201710680956.4A CN201710680956A CN109391939A CN 109391939 A CN109391939 A CN 109391939A CN 201710680956 A CN201710680956 A CN 201710680956A CN 109391939 A CN109391939 A CN 109391939A
Authority
CN
China
Prior art keywords
key
drb
entity
configuration parameter
sub
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN201710680956.4A
Other languages
English (en)
Other versions
CN109391939B (zh
Inventor
杨立
刘旸
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
ZTE Corp
Original Assignee
ZTE Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by ZTE Corp filed Critical ZTE Corp
Priority to CN201710680956.4A priority Critical patent/CN109391939B/zh
Priority to PCT/CN2018/090574 priority patent/WO2019029255A1/zh
Publication of CN109391939A publication Critical patent/CN109391939A/zh
Application granted granted Critical
Publication of CN109391939B publication Critical patent/CN109391939B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0819—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s)
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/02—Protecting privacy or anonymity, e.g. protecting personally identifiable information [PII]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]

Abstract

本发明提供了一种密钥、参数发送方法及装置、用户面实体、控制面实体；其中，该密钥发送方法包括：获取用户面数据安全传输必要的配置参数；其中，配置参数包括：公共根密钥KgNB,移动下一跳参数NH，安全算法标识，与配置给终端的各个数据无线承载DRB对应的子密钥的辅助值；根据配置参数为各个DRB生成独立的子密钥；将为各个DRB生成的独立的子密钥发送给终端。通过本发明，解决了在CP与UP物理分离的情况下如何实现用户业务数据流的安全传输的问题，进而达到了安全传输的效果。

Description

密钥、参数发送方法及装置、用户面实体、控制面实体
技术领域
本发明涉及通信领域，具体而言，涉及一种密钥、参数发送方法及装置、用户面实体、控制面实体。
背景技术
随着进入到第五代移动通信技术(5th-Generation，简称5G)移动通信时代，海量连接以及用户更高的数据传输速率要求，对LTE系统中基带单元(Baseband Unit，简称BBU)与远端射频单元(Remote Radio Unit，简称RRU)之间的前传接口通用公共无线电接口(Common Public Radio Interface，简称CPRI)的传输容量提出了极大的挑战。由于CPRI接口传输的是经过物理层编码调制等处理后的同相正交(In-phase quadrature，简称IQ)信号，对应的数字比特流速率巨大，因此CPRI接口对传输时延和工作带宽都有较大的要求，否则BBU和RRU之间不能工作。如果当5G基站gNB的空口速率提升到数十Gbps后，CPRI接口的传输流量需求，将至少上升到Tbps级别，这对前传网络接口(Fronthaul)的部署成本和难度都带来了巨大的压力。因此，在5G新无线(New Radio，简称NR)新系统中，需要重新定义基站gNB内前传网络接口的划分方式。在前传接口的划分方式中，需要从传输容量、传输时延、方便部署等几方面综合考虑，比如：考虑到非理想前传传输，将时延不敏感的网络功能放在第一网元(比如：集中处理单元(Centralized Unit，简称CU)中)，将时延敏感的网络功能放在第二网元(比如：分布式处理单元(Distributed Unit，简称DU)中)，图1是相关技术中的5GNR CU-DU分离式部署的架构示意图。
一个集中式部署gNB可以包含一个gNB-CU和所辖的多个gNB-DU，它们之间通过前传链路逻辑接口F1连接。一个gNB-DU只能连接到一个gNB-CU并被其管理控制，gNB-DU和相邻gNB-DU之间没有直接接口。从外部看，NG和Xn接口都终结在gNB-CU单元上，gNB-DU对外不可见。为了保证可靠性，从实际部署的角度考虑，一个gNB-DU也可能会连接到多个gNB-CU。从5GC，其它相邻gNB或者终端UE的角度看，gNB-CU和gNB-DU都是作为一个整体大gNB而存在的，因此它们之间的NG，Xn，Uu接口和“一体扁平化”gNB的部署情况相同。
不同服务质量(Quality of Service，简称QoS)业务要求的5G用户业务和不均衡的用户业务物理分布，对5G网络的组网部署和数据传输性能的需求都不同，这些不同类型的数据业务往往交织并存的，或者在局部区域热点爆发，因此使得当前相对封闭的网络架构，不能更高效地支撑各类5G通讯场景。因此，在CU和DU划分的基础上，同时结合传输时延、负载均衡、多厂商设备互操作性以及部署成本等多个角度的综合考虑，需要进一步对CU实体内的控制面实体(Control plane，简称CP)和用户面实体(User plane，简称UP)进行物理分割(注：CP和UP功能集，过去已经被逻辑层面分割，但是物理上还是集成在单个基站网元内)，使得CP和UP可以部署在不同的地理位置，独立地被配置，资源扩展和功能升级，因此可以更灵活高效地组网部署且去满足5G的各类业务需求。图2是相关技术CP/UP物理分离的架构示意图。
从部署位置看，CP实体既可以部署在网络中心机房如：CU实体内，同时管理辖区内多个UP实体，高效协调多个UP实体之间的业务负载资源，达到负载均衡的目的；CP也可以根据需求，部署在网络边缘靠近DU实体的位置；同理，UP实体既可以部署在网络数据库中心如：CU实体或者核心网用户面功能(User plane function，简称UPF)实体内，同时被控连接于多个CP实体，实现UP实体内基带资源池的共享复用；UP也可以根据需求，部署在网络边缘靠近DU实体的位置。上述各种灵活的部署方式，既可以使得CP/UP实体内的基带资源能够被高效地利用，也可以大大减小无线资源控制(Radio Resource Control，简称RRC)控制面信令和用户业务数据和DU实体之间的交互时延，充分满足比如：超高可靠底誓言通信(UltraReliable&Low Latency Communication，简称URLLC)等低延时业务的QoS需求。
从运营商角度看，CP和UP分离可以构造更加灵活和高效的网络部署方式，在增强网络性能，满足各类业务需求的同时，可以进一步降低部署成本。同时CP/UP物理分离及相关接口的标准化，极大增强了CP和UP实体设备之间的互操作性，使得CP实体和UP实体采用不同厂商的设备成为可能，也有利于运营商进一步降低5G基础设施投资购买的成本。
从空口用户面划分的角度看，CP实体包含RRC和分组数据汇聚协议控制面(PacketData Convergence Protocol Control plane，简称PDCP-C)层(用于控制面信令的PDCP处理)，UP实体包含业务数据适配协议(Service Data Adaptation Protocol，简称SDAP)实体，分组数据汇聚协议控制面(Packet Data Convergence Protocol User plane，简称PDCP-U)层(用于用户面数据的PDCP处理)。CP实体和UP实体之间可采用多对多的映射连接方式，CP可以同时管理多个UP，而UP提供的资源也可以由多个CP共享。
随着CP/UP物理分离，在UP实体被成功配置的前提下，UP实体可以独立地处理往返于核心网元UPF的用户业务数据流，但是针对该场景下如何实现用户业务数据流的安全传输，现有技术中尚未进行规定。
针对相关技术中的上述技术问题，目前尚未提出有效的解决方案。
发明内容
本发明实施例提供了一种密钥、参数发送方法及装置、用户面实体、控制面实体，以至少解决在CP与UP物理分离的情况下如何实现用户业务数据流的安全传输的问题。
根据本发明的一个实施例，提供了一种密钥发送方法，包括：获取用户面数据安全传输必要的配置参数；其中，配置参数包括：公共根密钥KgNB,移动下一跳参数NH，安全算法标识，与配置给终端的各个数据无线承载DRB对应的子密钥的辅助值；根据配置参数为各个DRB生成独立的子密钥；将为各个DRB生成的独立的子密钥发送给终端。
根据本发明的一个实施例，提供了一种参数发送方法，包括：生成用户面数据安全传输必要的配置参数；其中，配置参数包括：公共根密钥KgNB,移动下一跳参数NH，或者安全配置参数包括KgNB、NH以及以下至少之一参数：安全算法标识，与配置给终端的各个数据无线承载DRB对应的子密钥的辅助值；将配置参数发送给用户面实体；其中，配置参数用于用户面实体为配置给终端的各个DRB生成独立的子密钥。
根据本发明的一个实施例，提供了一种密钥发送装置，包括：获取模块，用于获取用户面数据安全传输必要的配置参数；其中，配置参数包括：公共根密钥KgNB,移动下一跳参数NH，安全算法标识，与配置给终端的各个数据无线承载DRB对应的子密钥的辅助值；生成模块，用于根据配置参数为各个DRB生成独立的子密钥；发送模块，用于将为各个DRB生成的独立的子密钥发送给终端。
可选地，获取模块还用于以下之一：从控制面实体中获取配置参数；从控制面实体中获取配置参数中的部分参数，从本地获取安全配置参数中除了部分参数之外的其它参数。
根据本发明的一个实施例，提供了一种参数发送装置，包括：生成模块，用于生成用户面数据安全传输必要的配置参数；其中，配置参数包括：公共根密钥KgNB,移动下一跳参数NH，或者安全配置参数包括KgNB、NH以及以下至少之一参数：安全算法标识，与配置给终端的各个数据无线承载DRB对应的子密钥的辅助值；发送模块，用于将配置参数发送给用户面实体；其中，安全配置参数用于用户面实体为配置给终端的各个DRB生成独立的子密钥。
根据本发明的一个实施例，提供了一种用户面实体，包括：处理器，处理器用于运行程序，其中，程序运行时执行上述任一项的方法。
根据本发明的一个实施例，提供了一种控制面实体，包括：处理器，处理器用于运行程序，其中，程序运行时执行上述任一项的方法。
根据本发明的一个实施例，提供了一种存储介质，存储介质包括存储的程序，其中，程序运行时执行上述任一项的方法。
根据本发明的一个实施例，提供了一种处理器，处理器用于运行程序，其中，程序运行时执行上述任一项的方法。
通过本发明，由于通过获取用户面数据安全传输必要的配置参数，根据该配置参数生成与DRB对应的子密钥，将生成的与DRB对应的子密钥发送给终端，使得可以通过生成的子密钥实现DRB上的业务数据的安全传输，因此，可以解决在CP与UP物理分离的情况下如何实现用户业务数据流的安全传输问题，达到安全传输的效果。
附图说明
此处所说明的附图用来提供对本发明的进一步理解，构成本申请的一部分，本发明的示意性实施例及其说明用于解释本发明，并不构成对本发明的不当限定。在附图中：
图1是相关技术中的5G NR CU-DU分离式部署的架构示意图；
图2是相关技术CP/UP物理分离的架构示意图；
图3是本发明实施例的一种密钥发送方法的移动终端的硬件结构框图；
图4是根据本发明实施例的密钥发送方法的流程图；
图5是根据本发明实施例的参数发送方法的流程图；
图6是根据本发明实施例的密钥发送装置的结构框图；
图7是根据本发明实施例的参数发送装置的结构框图；
图8是根据本发明优选实施例1提供的方法的流程示意图；
图9是根据本发明优选实施例2提供的方法的流程示意图；
图10是根据本发明优选实施例3提供的方法的流程示意图；
图11是根据本发明优选实施例4提供的方法的流程示意图；
图12是根据本发明优选实施例5提供的方法的流程示意图。
具体实施方式
下文中将参考附图并结合实施例来详细说明本发明。需要说明的是，在不冲突的情况下，本申请中的实施例及实施例中的特征可以相互组合。
需要说明的是，本发明的说明书和权利要求书及上述附图中的术语“第一”、“第二”等是用于区别类似的对象，而不必用于描述特定的顺序或先后次序。
实施例1
本申请实施例1所提供的方法实施例可以在移动终端、计算机终端或者类似的运算装置中执行。以运行在移动终端上为例，图3是本发明实施例的一种密钥发送方法的移动终端的硬件结构框图。如图3所示，移动终端30可以包括一个或多个(图中仅示出一个)处理器302(处理器302可以包括但不限于微处理器MCU或可编程逻辑器件FPGA等的处理装置)、用于存储数据的存储器304、以及用于通信功能的传输装置306。本领域普通技术人员可以理解，图3所示的结构仅为示意，其并不对上述电子装置的结构造成限定。例如，移动终端30还可包括比图3中所示更多或者更少的组件，或者具有与图3所示不同的配置。
存储器304可用于存储应用软件的软件程序以及模块，如本发明实施例中的密钥发送方法对应的程序指令/模块，处理器302通过运行存储在存储器304内的软件程序以及模块，从而执行各种功能应用以及数据处理，即实现上述的方法。存储器304可包括高速随机存储器，还可包括非易失性存储器，如一个或者多个磁性存储装置、闪存、或者其他非易失性固态存储器。在一些实例中，存储器304可进一步包括相对于处理器302远程设置的存储器，这些远程存储器可以通过网络连接至移动终端30。上述网络的实例包括但不限于互联网、企业内部网、局域网、移动通信网及其组合。
传输装置306用于经由一个网络接收或者发送数据。上述的网络具体实例可包括移动终端30的通信供应商提供的无线网络。在一个实例中，传输装置306包括一个网络适配器(Network Interface Controller，NIC)，其可通过基站与其他网络设备相连从而可与互联网进行通讯。在一个实例中，传输装置306可以为射频(Radio Frequency，RF)模块，其用于通过无线方式与互联网进行通讯。
本申请实施例可以运行于图2所示的网络架构上。
在本实施例中提供了一种运行于上述移动终端或网络架构的密钥发送方法，图4是根据本发明实施例的密钥发送方法的流程图，如图4所示，该流程包括如下步骤：
步骤S402，获取用户面数据安全传输必要的配置参数；其中，配置参数包括：公共根密钥KgNB,移动下一跳参数NH，安全算法标识，与配置给终端的各个数据无线承载DRB对应的子密钥的辅助值；
步骤S404，根据配置参数为各个DRB生成独立的子密钥；
步骤S406，将为各个DRB生成的独立的子密钥发送给终端。
通过上述步骤，由于通过获取用户面数据安全传输必要的配置参数，根据该配置参数生成与DRB对应的子密钥，将生成的与DRB对应的子密钥发送给终端，使得可以通过生成的子密钥实现DRB上的业务数据的安全传输，因此，可以解决在CP与UP物理分离的情况下如何实现用户业务数据流的安全传输问题，达到安全传输的效果。
需要说明的是，上述方法可以给各个DRB生成独立的子密钥，因而在子密钥需要更新的时候，可以不去更改KgNB和NH，只需要对自身DRB对应的子密钥进行更新即可，不会影响到其他DRB上的业务数据传输。
需要说明的是，上述辅助值用于区分各个DRB对应的子密钥的，通过引入上述辅助值，实现了DRB之间的安全隔离。
需要说明的是，上述步骤S402可以表现为以下至少之一：从控制面实体中获取配置参数；从控制面实体中获取配置参数中的部分参数，从本地获取配置参数中除了部分参数之外的其它参数。即上述配置参数可以是全部是从控制面实体中获取的，也可以从控制面实体中获取上述配置参数的部分参数，而其他的参数可以是从本地获取，但并不限于此。
需要说明的是，上述部分参数可以包括KgNB和NH，或者，上述部分参数可以包括KgNB、NH以及以下之一参数：安全算法标识，辅助值。
在本发明的一个实施例中，从控制面实体中获取配置参数可以表现为：通过接收控制面实体发送的第一E1接口流程消息获取配置参数；从控制面实体中获取配置参数中的部分参数包括：通过接收控制面实体发送的第一E1接口流程消息获取部分参数；其中，第一E1接口流程消息为经过控制面实体与用户面实体之间的逻辑接口的第一流程消息。
在本发明的一个实施例中，从本地获取配置参数中除了部分参数之外的参数可以表现为：在本地生成或配置配置参数中除了部分参数之外的其它参数。
通过上述方式，控制面实体可以只提供上述配置参数中的部分参数，而其它参数可以本地生成或配置，进而可以减轻控制面实体对用户面实体在安全管理方面的依赖性。
需要说明的是，控制面实体可以只提供各个DRB对应的子密钥的生成参数(配置参数)，而不需要推导或者生成子密钥，而是由接收该生成参数的一方(比如用户面实体)来生成对应的子密钥，进而保证了不同设备厂家的接收该生成参数的一方(比如用户面实体)可以采用的不同密钥生成方式和过程来生成子密钥，否则接收该生成参数的一方(比如用户面实体)只能被动接收控制面实体确定的密钥生成方式和过程，其不够灵活。
在本发明的一个实施例中，上述步骤S406可以表现为：依次通过第二E1接口流程消息、空口流程消息将为各个DRB生成的独立的子密钥发送给终端；其中，第二E1接口流程消息为经过控制面实体与用户面实体之间的逻辑接口的第二流程消息，空口流程消息为经过控制面实体和终端之间的空口的流程消息。即在指定DRB对应的子密钥需要更新时只需要更新该指定DRB对应的辅助值，因而更新对应的子密钥，并不会影响到其他DRB的子密钥，因而并不会相应到其他DRB上的业务数据传输。
需要说明的是，子密钥包括以下至少之一：加密子密钥、解密子密钥，完整性保护子密钥；其中，加密子密钥用于用户面数据的发送端对DRB上的数据包进行加密操作，解密子密钥用于用户面数据的接收端对DRB上的数据包进行解密操作；完整性保护子密钥用于用户面数据的发送端对DRB上的数据包进行完整性保护操作或者用于用户面数据的接收端对DRB上的数据包进行完整性保护校验操作。
需要说明的是，上述加密子密钥和上述解密子密钥可以是相同的密钥。
用户面数据发送端利用各个加密子密钥分别对各个DRB上的数据包进行加密操作；用户面数据接收端利用各个解密子密钥(等同于加密子密钥)分别对各个DRB上的数据包进行解密操作；
用户面数据发送端利用各个完整性保护子密钥分别对各个DRB上的数据包进行完整性保护操作(生成完整性保护序列MAC-I(发))；用户面数据接收端利用各个完整性保护子密钥分别对各个DRB上的数据包进行完整性保护校验操作(再次生成完整性保护序列MAC-I(验),和接收的MAC-I(发)进行对比,若相同则成功)。
可选地，上述步骤的执行主体可以为用户面实体等，但不限于此。
通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到根据上述实施例的方法可借助软件加必需的通用硬件平台的方式来实现，当然也可以通过硬件，但很多情况下前者是更佳的实施方式。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质(如ROM/RAM、磁碟、光盘)中，包括若干指令用以使得一台终端设备(可以是手机，计算机，服务器，或者网络设备等)执行本发明各个实施例所述的方法。
实施例2
在本实施例中提供了一种运行于上述移动终端或网络架构的参数发送方法，图5是根据本发明实施例的参数发送方法的流程图，如图5所示，该流程包括如下步骤：
步骤S502，生成用户面数据安全传输必要的配置参数；其中，配置参数包括：公共根密钥KgNB,移动下一跳参数NH，或者配置参数包括KgNB、NH以及以下至少之一参数：安全算法标识，与配置给终端的各个数据无线承载DRB对应的子密钥的辅助值；
步骤S504，将配置参数发送给用户面实体；其中，配置参数用于用户面实体为配置给终端的各个DRB生成独立的子密钥。
通过上述步骤，由于可以将用户面数据安全传输必要的配置参数发送给用户面实体，使得用户面实体可以为各个DRB生成独立的子密钥，进而可以通过生成的子密钥实现DRB上的业务数据的安全传输，因此，可以解决在CP与UP物理分离的情况下如何实现用户业务数据流的安全传输问题，达到安全传输的效果。
需要说明的是，在上述配置参数包括KgNB和NH的情况下，用户面实体为各个DRB生成独立的子密钥时可以从本地获取安全算法标识和与配置给终端的各个数据无线承载DRB对应的子密钥的辅助值；在上述配置参数包括KgNB、NH和安全算法标识时，用户面实体为各个DRB生成独立的子密钥时可以从本地获取各个DRB对应的辅助值，在上述配置参数包括KgNB、NH和各个DRB对应的辅助值时，用户面实体为各个DRB生成独立的子密钥时可以从本地获取安全算法标识，当前，上述配置参数也可以包括KgNB、NH、安全算法标识和各个DRB对应的辅助值。
需要说明的是，在上述步骤S504之后，上述方法还可以包括：接收用户面实体为各个DRB生成的独立的子密钥；将用户面实体为各个DRB生成的独立的子密钥转发给终端。
需要说明的是，控制面实体可以只提供各个DRB对应的子密钥的生成参数(配置参数)，而不需要推导或者生成子密钥，而是由用户面实体来生成对应的子密钥，进而保证了不同设备厂家的用户面实体可以采用的不同密钥生成方式和过程来生成子密钥，否则用户面实体只能被动接收控制面实体确定的密钥生成方式和过程，其不够灵活。
需要说明的是，接收用户面实体为各个DRB生成的独立的子密钥可以表现为：通过E1接口流程消息接收用户面实体为各个DRB生成的独立的子密钥；其中，E1接口流程消息为经过控制面实体与用户面实体之间的逻辑接口的流程消息。
需要说明的是，将用户面实体为各个DRB生成的独立的子密钥转发给终端可以表现为：通过空口流程消息将用户面实体为各个DRB生成的独立的子密钥转发给终端；其中，空口流程消息为经过控制面实体和终端之间的空口的流程消息。
需要说明的是，上述辅助值用于区分各个DRB对应的子密钥的，通过引入上述辅助值，实现了DRB之间的安全隔离。
需要说明的是，上述方法可以给各个DRB生成独立的子密钥，因而在子密钥需要更新的时候，可以不去更改KgNB和NH，只需要对自身DRB对应的子密钥进行更新即可，不会影响到其他DRB上的业务数据传输。
需要说明的是，子密钥包括以下至少之一：加密子密钥、解密子密钥，完整性保护密钥；其中，加密子密钥用于用户面数据的发送端对DRB上的数据包进行加密操作，解密子密钥用于用户面数据的接收端对DRB上的数据包进行解密操作；完整性保护子密钥用于用户面数据的发送端对DRB上的数据包进行完整性保护操作或者用于用户面数据的接收端对DRB上的数据包进行完整性保护校验操作。
需要说明的是，上述加密子密钥和上述解密子密钥可以是相同的密钥。
可选地，上述步骤的执行主体可以为控制面实体等，但不限于此。
通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到根据上述实施例的方法可借助软件加必需的通用硬件平台的方式来实现，当然也可以通过硬件，但很多情况下前者是更佳的实施方式。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质(如ROM/RAM、磁碟、光盘)中，包括若干指令用以使得一台终端设备(可以是手机，计算机，服务器，或者网络设备等)执行本发明各个实施例所述的方法。
实施例3
在本实施例中还提供了一种密钥发送装置，该装置用于实现上述实施例及优选实施方式，已经进行过说明的不再赘述。如以下所使用的，术语“模块”可以实现预定功能的软件和/或硬件的组合。尽管以下实施例所描述的装置较佳地以软件来实现，但是硬件，或者软件和硬件的组合的实现也是可能并被构想的。
图6是根据本发明实施例的密钥发送装置的结构框图，如图6所示，该装置包括：
获取模块62，用于获取用户面数据安全传输必要的配置参数；其中，配置参数包括：公共根密钥KgNB,移动下一跳参数NH，安全算法标识，与配置给终端的各个数据无线承载DRB对应的子密钥的辅助值；
生成模块64，与上述获取模块62连接，用于根据配置参数为各个DRB生成独立的子密钥；
发送模块66，与上述生成模块64连接，用于将为各个DRB生成的独立的子密钥发送给终端。
通过上述装置，由于通过获取用户面数据安全传输必要的配置参数，根据该配置参数生成与DRB对应的子密钥，将生成的与DRB对应的子密钥发送给终端，使得可以通过生成的子密钥实现DRB上的业务数据的安全传输，因此，可以解决在CP与UP物理分离的情况下如何实现用户业务数据流的安全传输问题，达到安全传输的效果。
需要说明的是，上述装置可以给各个DRB生成独立的子密钥，因而在子密钥需要更新的时候，可以不去更改KgNB和NH，只需要对自身DRB对应的子密钥进行更新即可，不会影响到其他DRB上的业务数据传输。
需要说明的是，上述辅助值用于区分各个DRB对应的子密钥的，通过引入上述辅助值，实现了DRB之间的安全隔离。
在本发明的一个实施例中，上述获取模块62还可以用于以下之一：从控制面实体中获取配置参数；从控制面实体中获取配置参数中的部分参数，从本地获取安全配置参数中除了部分参数之外的其它参数。即上述配置参数可以是全部是从控制面实体中获取的，也可以从控制面实体中获取上述配置参数的部分参数，而其他的参数可以是从本地获取，但并不限于此。
需要说明的是，上述部分参数可以包括KgNB和NH，或者，上述部分参数可以包括KgNB、NH以及以下之一参数：安全算法标识，辅助值。
在本发明的实施例中，上述获取模块62还可以用于通过接收控制面实体发送的第一E1接口流程消息获取配置参数；以及用于通过接收控制面实体发送的第一E1接口流程消息获取部分参数；其中，第一E1接口流程消息为经过控制面实体与用户面实体之间的逻辑接口的第一流程消息。
在本发明的一个实施例中，上述获取模块62还可以用于在本地生成或配置配置参数中除了部分参数之外的其它参数。
即控制面实体可以只提供上述配置参数中的部分参数，而其它参数可以本地生成或配置，进而可以减轻控制面实体对用户面实体在安全管理方面的依赖性。
需要说明的是，控制面实体可以只提供各个DRB对应的子密钥的生成参数(配置参数)，而不需要推导或者生成子密钥，而是由接收该生成参数的一方(比如用户面实体)来生成对应的子密钥，进而保证了不同设备厂家的接收该生成参数的一方(比如用户面实体)可以采用的不同密钥生成方式和过程来生成子密钥，否则接收该生成参数的一方(比如用户面实体)只能被动接收控制面实体确定的密钥生成方式和过程，其不够灵活。
在本发明的一个实施例中，上述发送模块66还可以用于依次通过第二E1接口流程消息、空口流程消息将为各个DRB生成的独立的子密钥发送给终端；其中，第二E1接口流程消息为经过控制面实体与用户面实体之间的逻辑接口的第二流程消息，空口流程消息为经过控制面实体和终端之间的空口的流程消息。即在指定DRB对应的子密钥需要更新时只需要更新该指定DRB对应的辅助值，因而更新对应的子密钥，并不会影响到其他DRB的子密钥，因而并不会相应到其他DRB上的业务数据传输。
需要说明的是，子密钥包括以下至少之一：加密子密钥、解密子密钥，完整性保护密钥；其中，加密子密钥用于用户面数据的发送端对DRB上的数据包进行加密操作，解密子密钥用于用户面数据的接收端对DRB上的数据包进行解密操作；完整性保护子密钥用于用户面数据的发送端对DRB上的数据包进行完整性保护操作或者用于用户面数据的接收端对DRB上的数据包进行完整性保护校验操作。
需要说明的是，上述加密子密钥和上述解密子密钥可以是相同的密钥。
需要说明的是，上述装置可以位于用户面实体中，但并不限于此。
在本发明实施例中，还提供了一种用户面实体，该用户面实体包括：处理器，处理器用于运行程序，其中，程序运行时执行实施例1的方法。
需要说明的是，上述各个模块是可以通过软件或硬件来实现的，对于后者，可以通过以下方式实现，但不限于此：上述模块均位于同一处理器中；或者，上述各个模块以任意组合的形式分别位于不同的处理器中。
实施例4
在本实施例中还提供了一种参数发送装置，该装置用于实现上述实施例及优选实施方式，已经进行过说明的不再赘述。如以下所使用的，术语“模块”可以实现预定功能的软件和/或硬件的组合。尽管以下实施例所描述的装置较佳地以软件来实现，但是硬件，或者软件和硬件的组合的实现也是可能并被构想的。
图7是根据本发明实施例的参数发送装置的结构框图，如图7所示，该装置包括：
生成模块72，用于生成用户面数据安全传输必要的配置参数；其中，配置参数包括：公共根密钥KgNB,移动下一跳参数NH，或者安全配置参数包括KgNB、NH以及以下至少之一参数：安全算法标识，与配置给终端的各个数据无线承载DRB对应的子密钥的辅助值；
发送模块74，与上述生成模块72连接，用于将配置参数发送给用户面实体；其中，安全配置参数用于用户面实体为配置给终端的各个DRB生成独立的子密钥。
通过上述装置，由于可以将用户面数据安全传输必要的配置参数发送给用户面实体，使得用户面实体可以为各个DRB生成独立的子密钥，进而可以通过生成的子密钥实现DRB上的业务数据的安全传输，因此，可以解决在CP与UP物理分离的情况下如何实现用户业务数据流的安全传输问题，达到安全传输的效果。
需要说明的是，在上述配置参数包括KgNB和NH的情况下，用户面实体为各个DRB生成独立的子密钥时可以从本地获取安全算法标识和与配置给终端的各个数据无线承载DRB对应的子密钥的辅助值；在上述配置参数包括KgNB、NH和安全算法标识时，用户面实体为各个DRB生成独立的子密钥时可以从本地获取各个DRB对应的辅助值，在上述配置参数包括KgNB、NH和各个DRB对应的辅助值时，用户面实体为各个DRB生成独立的子密钥时可以从本地获取安全算法标识，当前，上述配置参数也可以包括KgNB、NH、安全算法标识和各个DRB对应的辅助值。
需要说明的是，上述装置还可以包括：接收模块，与上述发送模块74连接，用于接收用户面实体为各个DRB生成的独立的子密钥；转发模块，与上述接收模块连接，用于将用户面实体为各个DRB生成的独立的子密钥转发给终端。
需要说明的是，控制面实体可以只提供各个DRB对应的子密钥的生成参数(配置参数)，而不需要推导或者生成子密钥，而是由用户面实体来生成对应的子密钥，进而保证了不同设备厂家的用户面实体可以采用的不同密钥生成方式和过程来生成子密钥，否则用户面实体只能被动接收控制面实体确定的密钥生成方式和过程，其不够灵活。
需要说明的是，上述接收模块，还用于通过E1接口流程消息接收用户面实体为各个DRB生成的独立的子密钥；其中，E1接口流程消息为经过控制面实体与用户面实体之间的逻辑接口的流程消息。
需要说明的是，上述转发模块还用于：通过空口流程消息将用户面实体为各个DRB生成的独立的子密钥转发给终端；其中，空口流程消息为经过控制面实体和终端之间的空口的流程消息。
需要说明的是，上述辅助值用于区分各个DRB对应的子密钥的，通过引入上述辅助值，实现了DRB之间的安全隔离。
需要说明的是，上述装置可以给各个DRB生成独立的子密钥，因而在子密钥需要更新的时候，可以不去更改KgNB和NH，只需要对自身DRB对应的子密钥进行更新即可，不会影响到其他DRB上的业务数据传输。
需要说明的是，子密钥包括以下至少之一：加密子密钥、解密子密钥，完整性保护密钥；其中，加密子密钥用于用户面数据的发送端对DRB上的数据包进行加密操作，解密子密钥用于用户面数据的接收端对DRB上的数据包进行解密操作；完整性保护子密钥用于用户面数据的发送端对DRB上的数据包进行完整性保护操作或者用于用户面数据的接收端对DRB上的数据包进行完整性保护校验操作。
需要说明的是，上述加密子密钥和上述解密子密钥可以是相同的密钥。
可选地，上述装置可以位于控制面实体中，但不限于此。
在本发明实施例中，还提供了一种控制面实体，该控制面实体可以包括：处理器，处理器用于运行程序，其中，程序运行时执行实施例2的方法。
实施例5
本发明的实施例还提供了一种存储介质，该存储介质包括存储的程序，其中，上述程序运行时执行上述任一项所述的方法。
可选地，在本实施例中，上述存储介质可以包括但不限于：U盘、只读存储器(Read-Only Memory，简称为ROM)、随机存取存储器(Random Access Memory，简称为RAM)、移动硬盘、磁碟或者光盘等各种可以存储程序代码的介质。
本发明的实施例还提供了一种处理器，该处理器用于运行程序，其中，该程序运行时执行上述任一项方法中的步骤。
可选地，本实施例中的具体示例可以参考上述实施例及可选实施方式中所描述的示例，本实施例在此不再赘述。
为了更好的理解本发明，以下结合优选的实施例对本发明做进一步解释。
本发明优选实施例适用于5G NR或者其他等位系统中，涉及基站内CP/UP网元实体物理分离场景下，CP/UP之间如何进行用户业务数据流传输的安全处理。在本发明优选实施例中统一把CP/UP网元实体之间的逻辑接口称为E1接口，对于特定的被服务UE对象，它可以被配置一条或者多条数据无线承载DRB，用来传输用户业务数据流。
网络侧CP实体针对UP实体内的各条用户业务数据流，是以Per DRB为粒度进行安全配置操作的。
CP实体优先为每条DRB选择配置独立的安全算法，至少包括：加密算法，可选的有完整性保护算法；特例下，CP实体为所有DRB选择配置公共相同的安全算法。如果CP实体没有为DRB选择配置任何安全算法，则UP实体自身本地为每条DRB选择配置独立的安全算法；特例下，UP实体自身本地为所有DRB选择配置公共共同的安全算法。
CP实体独立生成公共根密钥KgNB和移动下一跳参数(NH：next hopping)和优先生成Per DRB相关的子密钥推导辅助值(相当于上述实施例中的辅助值)(DSKF：DRB SpecificKey Factor)。如果CP实体不提供DSKF参数，则UP实体自身本地为各条DRB生成各自独立的DSKF。
CP实体通过E1接口流程消息，把Per DRB配置的安全算法，和公共根密钥KgNB和NH值，和Per DRB相关的子密钥推导辅助值DSKF参数，一起发送给UP实体。其中Per DRB配置的安全算法和Per DRB相关的子密钥推导辅助值DSKF是可选的，如果CP实体不配置提供，则UP实体自身本地生成和配置。
UP实体内的PDCP-U协议实体(每个PDCP-U对应服务于一条DRB)，基于CP实体发送来的安全配置参数，为每条DRB推导出各自独立的算法子密钥KUPenc(相当于上述实施例中的加密子密钥或解密子密钥)和KUPint(相当于上述实施例中的完整性保护子密钥)，推导方式和过程由PDCP-U协议实体定义和选择。
UP实体将生成的每条DRB对应的KUPenc和KUPint，通过E1接口流程消息发送给CP实体。
CP实体通过空口Uu向UE发送每条DRB对应的KUPenc和KUPint。UE通过每条DRB对应的KUPenc和KUPint各自分别生成的解密流和完整性保护校验流，对每条DRB上加密的业务数据流进行解密操作，和或对每条DRB进行数据完整性保护校验。
上述安全处理方式，既适用于下行的用户业务数据流，也适用上行的用户业务数据流。
通过上述优选实施例，可以达到以下技术效果：
1：各条DRB拥有独立的算法子密钥KUPenc和KUPint，因此当KUPenc和KUPint各自需要Key Refresh更新的时候，不要求去更改公共根密钥KgNB，只需要做自身DRB对应的Key更新即可，不会影响到其他DRB上的业务数据传输。
2：引入Per DRB相关的子密钥推导辅助值DSKF，这个新参数可以用于区分各条DRB对应的KUPenc和KUPint推导结果，实现DRB间的安全隔离。
3：CP实体只能提供各条DRB对应的KUPenc和KUPint推导参数，UP实体才能执行推导出具体的KUPenc和KUPint结果并返回给CP实体，这保证了不同设备厂家的UP实体可以采取不同的密钥推导方式和过程；否则UP实体只能被动接受CP实体确定的密钥推导方式和过程。
4：当CP实体不能提供某些安全参数，如：Per DRB配置的安全算法和Per DRB相关的子密钥推导辅助值DSKF，则UP实体可以自身本地生成和配置，这也减轻了UP实体对CP实体在安全管理方面的依赖性。
优选实施例1
某时刻，UE1配置有两条DRB：DRB1和DRB2，分别用于承载传输语音和图像数据的业务，网络侧CP实体和UP实体都有三种加密算法可供选择：{AES，SNOW3G，ZUC}，暂不考虑DRB的完整性保护。此优选实施例中CP实体对UP实体具有强安全参数管理权，可以配置本发明的全部安全参数(相当于上述实施例中的配置参数)。图8是根据本发明优选实施例1提供的方法的流程示意图，如图8所示，该方法包括：
步骤801：网络侧CP实体优先为DRB1/2选择和配置相同的加密算法AES。CP实体根据核心网AMF的配置，独立生成了公共根密钥KgNB和NH，同时CP实体也优先生成了DRB1/2各自相关的DSKF参数。
步骤802：CP实体通过E1接口流程消息E1AP：Security Configuration Command，把为DRB1/2选择和配置的安全算法AES标识，和公共根密钥KgNB和NH值，和DRB1/2相关的子密钥推导辅助值DSKF参数，一起发送给UP实体。
步骤803：UP实体内的PDCP-U协议实体，基于CP实体发送来的安全配置参数，分别为DRB1/2推导出各自独立的算法子密钥KUPenc1和KUPenc2。
步骤804：UP实体将自己生成的DRB1/2对应的KUPenc1和KUPenc2，通过E1接口流程消息发E1AP：Security Configuration Complete，发送给CP实体。
步骤805：CP实体通过空口Uu流程消息RRC Connection Reconfiguration，向UE1发送DRB1/2对应的KUPenc1和KUPenc2，还有CP实体选择的AES加密算法标识。
步骤806：UE1基于AES算法，通过KUPenc1和KUPenc2各自生成的解密流，分别对DRB1/2上加密的业务数据流进行解密操作。
优选实施例2
某时刻，UE2配置有两条DRB：DRB3和DRB4，分别用于承载传输文件和视频数据的业务，网络侧CP实体和UP实体都有三种加密算法可供选择：{AES，SNOW3G，ZUC}，暂不考虑DRB的完整性保护。此实施例中CP实体对UP实体不具有强安全参数管理权，不配置本发明优选实施例的全部安全参数，UP实体自身本地生成和配置Per DRB的安全算法和相关的子密钥推导辅助值DSKF。图9是根据本发明优选实施例2提供的方法的流程示意图，如图9所示，该方法包括：
步骤901：网络侧CP实体不为DRB3/4选择配置加密算法和各自相关的DSKF参数。CP实体根据核心网AMF的配置，独立生成了公共根密钥KgNB和NH。
步骤902：CP实体通过E1接口流程消息E1AP：Security Configuration Command，仅仅把为DRB3/4配置的公共根密钥KgNB和NH值，一起发送给UP实体。
步骤903：UP实体内的PDCP-U协议实体，自身本地为DRB3/4选择配置了ZUC加密算法并且产生对应的DSKF值，再基于CP实体发送来的部分安全配置参数，分别为DRB3/4推导出各自独立的算法子密钥KUPenc3和KUPenc4。
步骤904：UP实体将自己生成的DRB3/4对应的KUPenc3和KUPenc4，通过E1接口流程消息发E1AP：Security Configuration Complete，发送给CP实体。
步骤905：CP实体通过空口Uu流程消息Security Mode Command，向UE2发送DRB3/4对应的KUPenc3和KUPenc4，还有UP实体选择的ZUC加密算法标识。
步骤906：UE2基于ZUC算法，通过KUPenc3和KUPenc4各自生成的解密流，分别对DRB3/4上加密的业务数据流进行解密操作。
优选实施例3
某时刻，UE3配置有两条DRB：DRB5和DRB6，分别用于承载传输网页浏览和音频数据的业务，网络侧CP实体和UP实体都有三种加密算法可供选择：{AES，SNOW3G，ZUC}，暂不考虑DRB的完整性保护。此实施例中CP实体对UP实体不具有强安全参数管理权，不配置本发明优选实施例的全部安全参数，UP实体自身本地生成和配置Per DRB相关的子密钥推导辅助值DSKF。图10是根据本发明优选实施例3提供的方法的流程示意图。如图10所述，该方法包括：
步骤1001：网络侧CP实体不为DRB5/6配置各自相关的DSKF参数。CP实体根据核心网AMF的配置，独立生成了公共根密钥KgNB和NH，并且为DRB5/6都选择配置了SNOW3G加密算法。
步骤1002：CP实体通过E1接口流程消息E1AP：Security Configuration Command，把为DRB5/6配置的公共根密钥KgNB和NH值，还有选择配置的SNOW3G加密算法标识，一起发送给UP实体。
步骤1003：UP实体内的PDCP-U协议实体，自身本地分别为DRB5/6配置DSKF值，再基于CP实体发送来的部分安全配置参数，分别为DRB5/6推导出各自独立的算法子密钥KUPenc5和KUPenc6。
步骤1004：UP实体将自己生成的DRB5/6对应的KUPenc5和KUPenc6，通过E1接口流程消息发E1AP：Security Configuration Complete，发送给CP实体。
步骤1005：CP实体通过空口Uu流程消息Security Mode Command，向UE3发送DRB5/6对应的KUPenc5和KUPenc6，还有CP实体选择配置的SNOW3G加密算法标识。
步骤1006：UE3基于SNOW3G算法，通过KUPenc5和KUPenc6各自生成的解密流，分别对DRB5/6上加密的业务数据流进行解密操作。
优选实施例4
某时刻，UE4配置有两条DRB：DRB7和DRB8，分别用于承载传输音频和图像数据的业务。经过前述各个优选实施例中的初始化安全配置流程，网络已选择配置好了AES加密算法，并且UP实体已经为DRB7/8推导出了各自独立的算法子密钥KUPenc7和KUPenc8，基于上述安全配置结果，网络和UE之间已进行着各条业务数据流的传输。过了一会儿，DRB7的SN序列号达到最大值，于是发生了PDCP Count值反转，因此DRB7对应的算法子密钥KUPenc7需要更新Key Refresh。图11是根据本发明优选实施例4提供的方法的流程示意图。如图11所示，该方法包括：
步骤1101：网络和UE4之间正进行着DRB7/8上业务数据流的传输，此时DRB7/8分别对应着算法子密钥KUPenc7和KUPenc8。UP实体此时保存着之前所有安全的配置参数和状态上下文。
步骤1102：到了某时刻，DRB7对应的PDCP SN序列号达到最大值，发生Count值反转，因此DRB7需要更新它的算法子密钥，对未来的数据流重新进行加密操作。
步骤1103：UP实体内的PDCP-U协议实体，基于之前保存的安全配置参数和上下文，和Key Refresh需求产生的更新DSKF值，重新为DRB7推导出新算法子密钥KUPenc7(new)。由于DRB8暂不需要更新算法子密钥，因此KUPenc8继续被使用，DRB8上的数据继续传输。
步骤1104：UP实体将自己生成的DRB7对应的新算法子密钥KUPenc7(new)，通过E1接口流程消息发E1AP：Security Configuration Update，发送给CP实体。
步骤1105：CP实体通过空口Uu流程消息RRC Connection Reconfiguration，向UE4发送DRB7对应的新算法子密钥KUPenc7(new)，还有当前正在使用的AES加密算法标识。
步骤1106：UE4基于AES算法，通过新算法子密钥KUPenc7(new)生成新解密流，对DRB7上未来新加密的业务数据流进行解密操作。整个DRB7Key Refresh的过程中，DRB8中的业务数据传输不受到影响。
优选实施例5
某时刻，UE5配置有两条DRB：DRB9和DRBa，分别用于承载传输视频和文件数据的业务。经过前述各个实施例中的初始化安全配置流程，网络已选择配置好了ZUC加密算法，并且UP实体已经为DRB9/a推导出了各自独立的算法子密钥KUPenc9和KUPencA，基于上述安全配置结果，网络和UE之间已进行着各条业务数据流的传输。过了一会儿，DRB9的SN序列号达到最大值，于是发生了PDCP Count值反转，因此DRB9对应的算法子密钥KUPenc9需要更新Key Refresh。图12是根据本发明优选实施例5提供的方法的流程示意图，如图12所示，该方法包括：
步骤1201：网络和UE5之间正进行着DRB9/a上业务数据流的传输，此时DRB9/a分别对应着算法子密钥KUPenc9和KUPencA。UP实体此时保存着之前所有安全的配置参数和状态上下文。
步骤1202：到了某时刻，DRB9对应的PDCP SN序列号达到最大值，发生Count值反转，因此DRB9需要更新它的算法子密钥，对未来的数据流重新进行加密操作。此时UP实体还决定也同时为DRBa更新它的算法子密钥，虽然DRBa还没有发生Count值反转。
步骤1203：UP实体内的PDCP-U协议实体，基于之前保存的安全配置参数和上下文，和Key Refresh需求产生的更新DSKF值，重新为DRB9推导出新算法子密钥KUPenc9(new)，同时重新为DRBa推导出新算法子密钥KUPencA(new)。此时DRB9和DRBa上的数据传输都被中断。
步骤1204：UP实体将自己生成的DRB9和DRBa分别对应的新算法子密钥KUPenc9(new)和KUPencA(new)，通过E1接口流程消息发E1AP：Security Configuration Update，发送给CP实体。
步骤1205：CP实体通过空口Uu流程消息RRC Connection Reconfiguration，向UE5发送DRB9和DRBa分别对应的新算法子密钥KUPenc9(new)和KUPencA(new)，还有当前正在使用的ZUC加密算法标识。
步骤1206：UE5基于ZUC算法，通过新算法子密钥KUPenc9(new)和KUPencA(new)生成新解密流，对DRB9和DRBa上未来新加密的业务数据流进行解密操作。
显然，本领域的技术人员应该明白，上述的本发明的各模块或各步骤可以用通用的计算装置来实现，它们可以集中在单个的计算装置上，或者分布在多个计算装置所组成的网络上，可选地，它们可以用计算装置可执行的程序代码来实现，从而，可以将它们存储在存储装置中由计算装置来执行，并且在某些情况下，可以以不同于此处的顺序执行所示出或描述的步骤，或者将它们分别制作成各个集成电路模块，或者将它们中的多个模块或步骤制作成单个集成电路模块来实现。这样，本发明不限制于任何特定的硬件和软件结合。
以上所述仅为本发明的优选实施例而已，并不用于限制本发明，对于本领域的技术人员来说，本发明可以有各种更改和变化。凡在本发明的原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (21)

1.一种密钥发送方法，其特征在于，包括：
获取用户面数据安全传输必要的配置参数；其中，所述配置参数包括：公共根密钥KgNB,移动下一跳参数NH，安全算法标识，与配置给终端的各个数据无线承载DRB对应的子密钥的辅助值；
根据所述安全配置参数为所述各个DRB生成独立的子密钥；
将为所述各个DRB生成的独立的子密钥发送给所述终端。
2.根据权利要求1所述的方法，其特征在于，获取用户面数据安全传输必要的配置参数包括以下之一：
从控制面实体中获取所述配置参数；
从控制面实体中获取所述配置参数中的部分参数，从本地获取所述配置参数中除了所述部分参数之外的其它参数。
3.根据权利要求2所述的方法，其特征在于，所述部分参数包括所述KgNB和所述NH，或者，所述部分参数包括所述KgNB、所述NH以及以下之一参数：所述安全算法标识，所述辅助值。
4.根据权利要求2所述的方法，其特征在于，
从控制面实体中获取所述配置参数包括：通过接收所述控制面实体发送的第一E1接口流程消息获取所述配置参数；
从控制面实体中获取所述配置参数中的部分参数包括：通过接收所述控制面实体发送的第一E1接口流程消息获取所述部分参数；
其中，所述第一E1接口流程消息为经过所述控制面实体与用户面实体之间的逻辑接口的第一流程消息。
5.根据权利要求2所述的方法，其特征在于，从本地获取所述配置参数中除了所述部分参数之外的参数包括：
在本地生成或配置所述配置参数中除了所述部分参数之外的其它参数。
6.根据权利要求1所述的方法，其特征在于，将为所述各个DRB生成的独立的子密钥发送给所述终端包括：
依次通过第二E1接口流程消息、空口流程消息将为所述各个DRB生成的独立的子密钥发送给所述终端；其中，所述第二E1接口流程消息为经过控制面实体与用户面实体之间的逻辑接口的第二流程消息，所述空口流程消息为经过所述控制面实体和所述终端之间的空口的流程消息。
7.根据权利要求1所述的方法，其特征在于，在将为所述各个DRB生成的独立的子密钥发送给所述终端之后，所述方法还包括：
确定所述各个DRB中指定DRB对应的子密钥是否需要更新；
在确定需要更新的情况下，获取与所述指定DRB对应的更新的所述辅助值；
根据所述KgNB,所述NH，所述安全算法标识和更新的所述辅助值生成所述指定DRB更新后的子密钥；
将所述指定DRB更新后的子密钥发送给所述终端。
8.根据权利要求1至7中任一项所述的方法，其特征在于，所述子密钥包括以下至少之一：
加密子密钥、解密子密钥，完整性保护子密钥；
其中，所述加密子密钥用于所述用户面数据的发送端对所述DRB上的数据包进行加密操作，所述解密子密钥用于所述用户面数据的接收端对所述DRB上的数据包进行解密操作；所述完整性保护子密钥用于所述用户面数据的发送端对所述DRB上的数据包进行完整性保护操作或者用于所述用户面数据的接收端对所述DRB上的数据包进行完整性保护校验操作。
9.一种参数发送方法，其特征在于，包括：
生成用户面数据安全传输必要的配置参数；其中，所述配置参数包括：公共根密钥KgNB,移动下一跳参数NH，或者所述安全配置参数包括所述KgNB、所述NH以及以下至少之一参数：安全算法标识，与配置给终端的各个数据无线承载DRB对应的子密钥的辅助值；
将所述配置参数发送给用户面实体；其中，所述配置参数用于所述用户面实体为配置给终端的各个DRB生成独立的子密钥。
10.根据权利要求9所述的方法，其特征在于，在将所述配置参数发送给用户面实体之后，所述方法还包括：
接收所述用户面实体为所述各个DRB生成的独立的子密钥；
将所述用户面实体为所述各个DRB生成的独立的子密钥转发给所述终端。
11.根据权利要求10所述的方法，其特征在于，接收所述用户面实体为所述各个DRB生成的独立的子密钥包括：
通过E1接口流程消息接收所述用户面实体为所述各个DRB生成的独立的子密钥；其中，所述E1接口流程消息为经过控制面实体与所述用户面实体之间的逻辑接口的流程消息。
12.根据权利要求10所述的方法，其特征在于，将所述用户面实体为所述各个DRB生成的独立的子密钥转发给所述终端包括：
通过空口流程消息将所述用户面实体为所述各个DRB生成的独立的子密钥转发给所述终端；其中，所述空口流程消息为经过控制面实体和所述终端之间的空口的流程消息。
13.一种密钥发送装置，其特征在于，包括：
获取模块，用于获取用户面数据安全传输必要的配置参数；其中，所述配置参数包括：公共根密钥KgNB,移动下一跳参数NH，安全算法标识，与配置给终端的各个数据无线承载DRB对应的子密钥的辅助值；
生成模块，用于根据所述配置参数为所述各个DRB生成独立的子密钥；
发送模块，用于将为所述各个DRB生成的独立的子密钥发送给所述终端。
14.根据权利要求13所述的装置，其特征在于，所述获取模块还用于以下之一：
从控制面实体中获取所述配置参数；
从控制面实体中获取所述配置参数中的部分参数，从本地获取所述安全配置参数中除了所述部分参数之外的其它参数。
15.一种参数发送装置，其特征在于，包括：
生成模块，用于生成用户面数据安全传输必要的配置参数；其中，所述配置参数包括：公共根密钥KgNB,移动下一跳参数NH，或者所述安全配置参数包括所述KgNB、所述NH以及以下至少之一参数：安全算法标识，与配置给终端的各个数据无线承载DRB对应的子密钥的辅助值；
发送模块，用于将所述配置参数发送给用户面实体；其中，所述安全配置参数用于所述用户面实体为配置给终端的各个DRB生成独立的子密钥。
16.一种用户面实体，其特征在于，包括：处理器，所述处理器用于运行程序，其中，所述程序运行时执行权利要求1至8中任一项所述的方法。
17.一种控制面实体，其特征在于，包括：处理器，所述处理器用于运行程序，其中，所述程序运行时执行权利要求9至12中任一项所述的方法。
18.一种存储介质，其特征在于，所述存储介质包括存储的程序，其中，所述程序运行时执行权利要求1至8中任一项所述的方法。
19.一种存储介质，其特征在于，所述存储介质包括存储的程序，其中，所述程序运行时执行权利要求9至12中任一项所述的方法。
20.一种处理器，其特征在于，所述处理器用于运行程序，其中，所述程序运行时执行权利要求1至8中任一项所述的方法。
21.一种处理器，其特征在于，所述处理器用于运行程序，其中，所述程序运行时执行权利要求9至12中任一项所述的方法。
CN201710680956.4A 2017-08-10 2017-08-10 密钥、参数发送方法及装置、用户面实体、控制面实体 Active CN109391939B (zh)

Priority Applications (2)

Application Number Priority Date Filing Date Title
CN201710680956.4A CN109391939B (zh) 2017-08-10 2017-08-10 密钥、参数发送方法及装置、用户面实体、控制面实体
PCT/CN2018/090574 WO2019029255A1 (zh) 2017-08-10 2018-06-11 密钥、参数发送方法及装置、用户面实体、控制面实体

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201710680956.4A CN109391939B (zh) 2017-08-10 2017-08-10 密钥、参数发送方法及装置、用户面实体、控制面实体

Publications (2)

Publication Number Publication Date
CN109391939A true CN109391939A (zh) 2019-02-26
CN109391939B CN109391939B (zh) 2021-11-02

Family

ID=65270919

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201710680956.4A Active CN109391939B (zh) 2017-08-10 2017-08-10 密钥、参数发送方法及装置、用户面实体、控制面实体

Country Status (2)

Country Link
CN (1) CN109391939B (zh)
WO (1) WO2019029255A1 (zh)

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN111399923A (zh) * 2020-03-17 2020-07-10 天津飞腾信息技术有限公司 一种固件参数配置方法、装置及电子设备
CN112399409A (zh) * 2019-08-16 2021-02-23 华为技术有限公司 一种安全加密的方法及装置
CN113766498A (zh) * 2020-06-01 2021-12-07 中国电信股份有限公司 密钥分发方法、装置、计算机可读存储介质及基站
WO2023016431A1 (zh) * 2021-08-10 2023-02-16 中国电信股份有限公司 安全策略更新系统及方法、存储介质与电子设备

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102448058A (zh) * 2011-01-10 2012-05-09 华为技术有限公司 一种Un接口上的数据保护方法与装置
US20150124708A1 (en) * 2013-11-01 2015-05-07 Blackberry Limited Method and apparatus to enable multiple wireless connections
CN104936073A (zh) * 2015-06-26 2015-09-23 苏州凯枫瑞电子科技有限公司 基于光感断电式环保节能耳机

Family Cites Families (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN104936173B (zh) * 2014-03-18 2022-02-25 华为技术有限公司 密钥生成方法、主基站、辅基站及用户设备

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102448058A (zh) * 2011-01-10 2012-05-09 华为技术有限公司 一种Un接口上的数据保护方法与装置
US20150124708A1 (en) * 2013-11-01 2015-05-07 Blackberry Limited Method and apparatus to enable multiple wireless connections
CN104936073A (zh) * 2015-06-26 2015-09-23 苏州凯枫瑞电子科技有限公司 基于光感断电式环保节能耳机

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
NOKIA: "《key Hierarchy》", 《3GPP TSG SA WG3(SECURITY)MEETING #88》 *

Cited By (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN112399409A (zh) * 2019-08-16 2021-02-23 华为技术有限公司 一种安全加密的方法及装置
CN111399923A (zh) * 2020-03-17 2020-07-10 天津飞腾信息技术有限公司 一种固件参数配置方法、装置及电子设备
CN113766498A (zh) * 2020-06-01 2021-12-07 中国电信股份有限公司 密钥分发方法、装置、计算机可读存储介质及基站
CN113766498B (zh) * 2020-06-01 2023-03-21 中国电信股份有限公司 密钥分发方法、装置、计算机可读存储介质及基站
WO2023016431A1 (zh) * 2021-08-10 2023-02-16 中国电信股份有限公司 安全策略更新系统及方法、存储介质与电子设备

Also Published As

Publication number Publication date
WO2019029255A1 (zh) 2019-02-14
CN109391939B (zh) 2021-11-02

Similar Documents

Publication Publication Date Title
CN109362108B (zh) 一种安全保护的方法、装置和系统
CN103036784B (zh) 用于自组织二层企业网络架构的方法和装置
CN109391939A (zh) 密钥、参数发送方法及装置、用户面实体、控制面实体
CN106031237A (zh) 双连接的建立
CN108810884A (zh) 密钥配置方法、装置以及系统
CN109565703A (zh) 用于管理无线通信网络中的数据通信的方法和设备
CN103314625B (zh) 无线通信系统中的资源分配
CN109586900A (zh) 数据安全处理方法及装置
CN108259362A (zh) 流控方法、装置、cu及du
CN109413005A (zh) 数据流传输安全控制方法及装置
CN104137644A (zh) 在无线电网络中分布l2基带处理
CN105530681B (zh) 业务处理方法及装置
CN109275151A (zh) 一种通信方法、设备和系统
CN105874863A (zh) 无线电通信系统、基站装置以及无线电终端
CN109246757A (zh) 一种新型服务质量架构在双连接系统的配置方法及装置
CN109587782B (zh) 一种同步方法和装置
CN107113862A (zh) 用于无线接入的网络功能的灵活分配
CN110365470A (zh) 一种密钥生成方法和相关装置
CN110463240A (zh) 电信设备和方法
CN109803263A (zh) 一种安全保护的方法及装置
CN110167018A (zh) 一种安全保护的方法、装置及接入网设备
CN107615707A (zh) 5g无线电接入网中灵活的无线电协议的支持
CN109429267A (zh) 数据传输方法、相关装置及系统
CN109246696A (zh) 密钥处理方法以及相关装置
CN110662297B (zh) 一种信令处理方法、节点及装置

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant