CN110198523B - 群组中消息加密密钥的分发方法及系统 - Google Patents

Abstract

本公开提供了一种群组中消息加密密钥的分发方法，涉及通信技术领域，该分发方法包括：群组中的第一终端向对应的第一移动管理实体发送密钥分发请求，密钥分发请求至少包括第一终端的第一用户标识、预先生成的消息加密密钥和该群组的群组标识；第一移动管理实体根据密钥分发请求，向群组中的至少一个第二终端对应的第二移动管理实体发送密钥消息，密钥消息至少包括第一终端对应的第一用户标识和消息加密密钥；针对每个接收到密钥消息的第二移动管理实体，该第二移动管理实体向对应群组中的第二终端发送密钥消息；针对每个接收到密钥消息的第二终端，该第二终端根据密钥消息存储消息加密密钥。本公开还提供了一种群组中消息加密密钥的分发系统。

Description

群组中消息加密密钥的分发方法及系统

技术领域

本公开实施例涉及通信技术领域，特别涉及一种群组中消息加密密钥的分发方法及系统。

背景技术

随着无线通信技术的快速发展，第五代(Fifth Generation，简称：5G)移动通信网络(简称5G网络)也逐渐得到完善和商用。

在5G网络下，在进行群组(一发多)通信时，由于群组通常基于呼叫连接建立，随呼叫连接建立完成而建立，随呼叫连接断开而关闭，并且群组中的成员通常不固定，群组成员之间也不一定互相存在于对方的通信录内，群组中的群组消息的安全性、隐私性难以得到有效的保障。

目前，当群组成员需要对群组成员在群组中发送的消息进行加解密，以保护群组消息的安全性、隐私性时，通常使用非对称的数据加解密的方式，但这种方式通常需要群组成员之间相互交换证书或者采用同样的根证书，使得操作较为不便。

发明内容

本公开实施例旨在至少解决现有技术中存在的技术问题之一，提供一种群组中消息加密密钥的分发方法及系统。

第一方面，本公开实施例提供一种群组中消息加密密钥的分发方法，所述群组包括第一终端和至少一个第二终端，所述群组中消息加密密钥的分发方法包括：

所述第一终端向对应的第一移动管理实体发送密钥分发请求，所述密钥分发请求至少包括所述第一终端对应的第一用户标识、预先生成的消息加密密钥和对应的所述群组的群组标识；

所述第一移动管理实体根据所述密钥分发请求，向所述群组中的至少一个第二终端对应的第二移动管理实体发送密钥消息，所述密钥消息至少包括所述第一终端对应的第一用户标识和所述消息加密密钥；

针对每个接收到所述密钥消息的第二移动管理实体，该第二移动管理实体向对应的第二终端发送所述密钥消息；

针对每个接收到所述密钥消息的第二终端，该第二终端根据所述密钥消息存储所述第一终端的所述消息加密密钥，所述消息加密密钥用于对所述第一终端在所述群组中发送的经所述第一终端加密的群组消息进行解密。

在一些实施例中，所述第一移动管理实体根据所述密钥分发请求，向所述群组中的至少一个第二终端对应的第二移动管理实体发送密钥消息，包括：

所述第一移动管理实体判断所述密钥分发请求中是否还包含所述第一终端预先设定的子组的子组信息，所述子组包括所述群组中的至少一个第二终端，所述子组信息至少包括所述子组的子组标识和所述子组中各第二终端的第二用户标识；

所述第一移动管理实体若判断出所述密钥分发请求中不包含所述第一终端预先设定的子组的子组信息时，向所述群组中各第二终端对应的第二移动管理实体发送所述密钥消息；

所述第一移动管理实体若判断出所述密钥分发请求中包含所述第一终端预先设定的子组的子组信息时，向所述子组中各第二终端对应的第二移动管理实体发送所述密钥消息，所述密钥消息还包括所述子组标识。

在一些实施例中，所述第一移动管理实体若判断出所述密钥分发请求中不包含所述第一终端预先设定的子组的子组信息时，向所述群组中各第二终端对应的第二移动管理实体发送所述密钥消息之前，还包括：

所述第一移动管理实体若判断出所述密钥分发请求中不包含所述第一终端预先设定的子组的子组信息时，根据所述群组的群组标识查询出本地预先存储的该群组标识所对应的群组信息；

所述第一移动管理实体根据该群组标识所对应的所述群组信息，识别出所述群组中各第二终端对应的第二用户标识；

所述第一移动管理实体根据所述群组中各第二终端对应的第二用户标识查询出所述群组中各第二终端对应的第二移动管理实体；

在查询出所述群组中各第二终端对应的第二移动管理实体之后，所述第一移动管理实体执行向所述群组中各第二终端对应的第二移动管理实体发送所述密钥消息的步骤。

在一些实施例中，所述第一移动管理实体若判断出所述密钥分发请求中包含所述第一终端预先设定的子组的子组信息时，向所述子组中各第二终端对应的第二移动管理实体发送所述密钥消息之前，还包括：

所述第一移动管理实体若判断出所述密钥分发请求中包含所述第一终端预先设定的子组的子组信息时，根据所述子组中各第二终端对应的第二用户标识，查询出所述子组中各第二终端对应的第二移动管理实体；

在查询出所述子组中各第二终端对应的第二移动管理实体之后，所述第一移动管理实体执行向所述子组中各第二终端对应的第二移动管理实体发送所述密钥消息的步骤。

在一些实施例中，所述针对每个接收到所述密钥消息的第二终端，该第二终端根据所述密钥消息存储所述第一终端的所述消息加密密钥，包括：

针对每个接收到所述密钥消息的第二终端，该第二终端检查所述密钥消息中是否还包含子组标识；

该第二终端若检查出所述密钥消息中不包含所述子组标识时，进一步检查本地存储的历史密钥消息中是否存在包含所述第一用户标识的历史密钥消息；

该第二终端若检查出本地存储的历史密钥消息中存在包含所述第一用户标识的历史密钥消息时，将所述密钥消息替换该包含所述第一用户标识的历史密钥消息进行存储；

该第二终端若检查出本地存储的历史密钥消息中不存在包含所述第一用户标识的历史密钥消息时，将所述密钥消息进行存储。

在一些实施例中，针对每个接收到所述密钥消息的第二终端，该第二终端检查所述密钥消息中是否还包含子组标识之后，还包括：

该第二终端若检查出所述密钥消息中包含所述子组标识时，进一步检查本地存储的历史密钥消息中是否存在包含所述第一用户标识和所述子组标识的历史密钥消息；

该第二终端若检查出本地存储的历史密钥消息中存在包含所述第一用户标识和所述子组标识的历史密钥消息时，将所述密钥消息替换该包含所述第一用户标识和所述子组标识的历史密钥消息进行存储；

该第二终端若检查出本地存储的历史密钥消息中不存在包含所述第一用户标识和所述子组标识的历史密钥消息时，将所述密钥消息进行存储。

第二方面，本公开实施例提供一种群组中消息加密密钥的分发系统，该分发系统包括第一终端、第一终端对应的第一移动管理实体、至少一个第二终端和每个第二终端对应的第二移动管理实体，所述群组包括所述第一终端和所述至少一个第二终端；

所述第一终端用于向对应的第一移动管理实体发送密钥分发请求，所述密钥分发请求至少包括所述第一终端对应的第一用户标识、预先生成的消息加密密钥和所述群组的群组标识；

所述第一移动管理实体用于根据所述密钥分发请求，向所述群组中的至少一个第二终端对应的第二移动管理实体发送密钥消息，所述密钥消息至少包括所述第一终端对应的第一用户标识和所述消息加密密钥；

针对每个接收到所述密钥消息的第二移动管理实体，该第二移动管理实体用于向对应的第二终端发送所述密钥消息；

针对每个接收到所述密钥消息的第二终端，该第二终端用于根据所述密钥消息存储所述第一终端的所述消息加密密钥，所述消息加密密钥用于对所述第一终端在所述群组中发送的经所述第一终端加密的群组消息进行解密。

在一些实施例中，所述第一移动管理实体具体用于判断所述密钥分发请求中是否还包含所述第一终端预先设定的子组的子组信息，所述子组包括所述群组中的至少一个第二终端，所述子组信息至少包括所述子组的子组标识和所述子组中各第二终端的第二用户标识；若判断出所述密钥分发请求中不包含所述第一终端预先设定的子组的子组信息时，向所述群组中各第二终端对应的第二移动管理实体发送所述密钥消息；若判断出所述密钥分发请求中包含所述第一终端预先设定的子组的子组信息时，向所述子组中各第二终端对应的第二移动管理实体发送所述密钥消息，所述密钥消息还包括所述子组标识。

在一些实施例中，所述第一移动管理实体还用于在向所述群组中各第二终端对应的第二移动管理实体发送所述密钥消息之前，根据所述群组的群组标识查询出本地预先存储的该群组标识所对应的群组信息；根据该群组标识所对应的所述群组信息，识别出所述群组中各第二终端对应的第二用户标识；根据所述群组中各第二终端对应的第二用户标识查询出所述群组中各第二终端对应的第二移动管理实体；在查询出所述群组中各第二终端对应的第二移动管理实体之后，执行向所述群组中各第二终端对应的第二移动管理实体发送所述密钥消息的步骤。

在一些实施例中，所述第一移动管理实体还用于在向所述子组中各第二终端对应的第二移动管理实体发送所述密钥消息之前，根据所述子组中各第二终端对应的第二用户标识，查询出所述子组中各第二终端对应的第二移动管理实体；在查询出所述子组中各第二终端对应的第二移动管理实体之后，执行向所述子组中各第二终端对应的第二移动管理实体发送所述密钥消息的步骤。

在一些实施例中，针对每个接收到所述密钥消息的第二终端，该第二终端具体用于：

检查所述密钥消息中是否还包含子组标识；

若检查出所述密钥消息中不包含所述子组标识时，进一步检查本地存储的历史密钥消息中是否存在包含所述第一用户标识的历史密钥消息；

若检查出本地存储的历史密钥消息中存在包含所述第一用户标识的历史密钥消息时，将所述密钥消息替换该包含所述第一用户标识的历史密钥消息进行存储；

若检查出本地存储的历史密钥消息中不存在包含所述第一用户标识的历史密钥消息时，将所述密钥消息进行存储。

在一些实施例中，针对每个接收到所述密钥消息的第二终端，该第二终端具体还用于：

若检查出所述密钥消息中包含所述子组标识时，进一步检查本地存储的历史密钥消息中是否存在包含所述第一用户标识和所述子组标识的历史密钥消息；

若检查出本地存储的历史密钥消息中存在包含所述第一用户标识和所述子组标识的历史密钥消息时，将所述密钥消息替换该包含所述第一用户标识和所述子组标识的历史密钥消息进行存储；

若检查出本地存储的历史密钥消息中不存在包含所述第一用户标识和所述子组标识的历史密钥消息时，将所述密钥消息进行存储。

本公开实施例所提供的群组中消息加密密钥的分发方法及系统，群组中的第一终端可以通过向第一移动管理实体发送密钥分发请求，以向指定的该群组中的至少一个第二终端发送其预先生成消息加密密钥，从而使得指定的该群组中的至少一个第二终端可以利用第一终端的消息加密密钥对第一终端在群组中发送的群组消息进行解密，以获得第一终端在群组发送的真实的消息内容。通过本公开实施例所提供的群组中消息加密密钥的分发方法，在群组建立完成之后，群组中群组成员可以随时创建、更新和交换消息加密密钥，操作较为简便快捷。

附图说明

图1为本公开实施例提供的一种群组中消息加密密钥的分发方法的流程图；

图2为本公开实施例中步骤12的一种具体实施方式的流程图；

图3为本公开实施例中步骤12的另一种具体实施方式的流程图；

图4为本公开实施例中步骤14的一种具体实施方式的流程图；

图5为本公开实施例提供的一种群组中消息加密密钥的分发系统的结构示意图。

具体实施方式

为使本领域的技术人员更好地理解本公开的技术方案，下面结合附图对本公开提供的群组中消息加密密钥的分发方法及系统进行详细描述。

图1为本公开实施例提供的一种群组中消息加密密钥的分发方法的流程图，如图1所示，该群组中消息加密密钥的分发方法包括：

步骤11、第一终端向对应的第一移动管理实体发送密钥分发请求，密钥分发请求至少包括第一终端对应的第一用户标识、预先生成的消息加密密钥和对应群组的群组标识。

在本公开实施例中，在5G网络下，多个用户终端可以基于呼叫连接建立群组通信关系，其中，该群组包括该多个用户终端(User Equipment，简称：UE)，该多个用户终端包括第一终端和至少一个第二终端，例如，第一终端和第二终端均可以为5G手机终端。需要说明的是，在本公开实施例中，第一终端可以是该群组中的任意一个用户终端，第二终端为该群组中除第一终端以外的其他用户终端中的任意一个用户终端。

在本公开实施例中，在该群组中，任意一个用户终端发送的消息均可同时被其他用户终端接收。对于任意一个用户终端，当该用户终端需要对其发送到该群组中的消息进行加密时，该用户终端作为第一终端，该第一终端首先可以随机生成一个消息加密密钥，而后，执行步骤11。

在步骤11中，第一终端可以通过为其提供服务的基站将密钥分发请求发送给为其提供服务的第一移动管理实体。

在本公开实施例中，上述基站可以为5G基站(5G Node B，简称：gNB)。在本公开实施例中，上述第一移动管理实体可以为接入及移动性管理功能实体(Access and MobilityManagement Function，简称：AMF)。

具体地，在步骤11中，第一终端可以通过承载无线资源控制(Radio ResourceControl，简称：RRC)信令的专用控制信道(Dedicated Control Channel，简称：DCCH)，将上述密钥分发请求传输给上述基站，而后上述基站将该密钥分发请求传输给上述第一移动管理实体。具体而言，第一终端首先可以通过扩展RRC信令中的上行信息传输(UplinkInformation Transfer，简称：ULInformationTransfer)消息中的非接入层专用信息(dedicated Non-Access Stratum Message，简称：dedicatedNAS-Message)字段，使得dedicatedNAS-Message字段中包含上述密钥分发请求，而后将该RRC信令通过对应的基站传输给上述第一移动管理实体。

在本公开实施例中，在上述密钥分发请求中，第一终端的第一用户标识可以为第一终端对应的终端号码，例如手机号码，还可以为第一终端的终端身份标识(SubscriptionPermanent Identifier，简称：SUPI)、第一终端的经公钥加密后的SUPI密文(SubscriptionConcealed Identifier，简称：SUCI)或者第一终端的5G临时移动用户标识(5G TemporaryMobile Subscription Identifier，简称：5G-TMSI)等。

在本公开实施例中，在上述密钥分发请求中，消息加密密钥可以为对称密钥，该对称密钥可以为一个随机生成的字符串。

在本公开实施例中，在上述密钥分发请求中，群组的群组标识为该群组的群组ID，第一终端可在群组建立时获得该群组的群组ID。

步骤12、第一移动管理实体根据密钥分发请求，向群组中的至少一个第二终端对应的第二移动管理实体发送密钥消息，密钥消息至少包括第一终端对应的第一用户标识和消息加密密钥。

图2为本公开实施例中步骤12的一种具体实施方式的流程图，如图2所示，在一些实施例中，步骤12包括：

步骤121a、第一移动管理实体判断密钥分发请求中是否还包含第一终端预先设定的子组的子组信息，若是，执行步骤123a，否则，执行步骤122a。

在本公开实施例中，上述第一移动管理实体在接收到密钥分发请求后，对密钥分发请求进行解析，而后，判断密钥分发请求中是否还包含第一终端预先设定的上述群组的子组的子组信息。其中，第一终端预先设定的上述群组的子组包括上述群组中的至少一个第二终端，子组信息至少包括子组的子组标识和子组中各第二终端的第二用户标识。

在本公开实施例中，子组的子组标识为该子组的子组ID，该子组ID在设定该子组时生成。

在本公开实施例中，子组中各第二终端的第二用户标识可以为子组中各第二终端的终端号码，例如手机号码。

在步骤121a中，第一移动管理实体若判断出密钥分发请求中不包含第一终端预先设定的子组的子组信息时，表明第一终端的消息加密密钥需要发送给群组中所有的第二终端，故执行步骤122a；第一移动管理实体若判断出密钥分发请求中包含第一终端预先设定的子组的子组信息时，表明第一终端指定该消息加密密钥仅需要发送给该群组的子组中所有第二终端，而不是该群组中所有的第二终端，故执行步骤123a。

步骤122a、第一移动管理实体向群组中各第二终端对应的第二移动管理实体发送密钥消息，并跳转至步骤13。

在步骤122a中，第一移动管理实体首先可以通过扩展RRC信令中的dedicatedNAS-Message字段，使得dedicatedNAS-Message字段包含上述密钥消息，而后将包含上述密钥消息的RRC信令传输给群组中各第二终端对应的第二移动管理实体。

步骤123a、第一移动管理实体向子组中各第二终端对应的第二移动管理实体发送密钥消息，密钥消息还包括该子组的子组标识，并跳转至步骤13。

在步骤123a中，第一移动管理实体首先可以通过扩展RRC信令中的dedicatedNAS-Message字段，使得dedicatedNAS-Message字段包含上述密钥消息，而后将包含上述密钥消息的RRC信令传输给子组中各第二终端对应的第二移动管理实体。

在本公开实施例中，第二移动管理实体可以为接入及移动性管理功能实体(AMF)。

图3为本公开实施例中步骤12的另一种具体实施方式的流程图，如图3所示，在一些实施例中，步骤12包括：

步骤121b、第一移动管理实体判断密钥分发请求中是否还包含第一终端预先设定的子组的子组信息，若是，执行步骤122b，否则，执行步骤126b。

在本公开实施例中，上述第一移动管理实体在接收到密钥分发请求后，对密钥分发请求进行解析，而后，判断密钥分发请求中是否还包含第一终端预先设定的上述群组的子组的子组信息。

在步骤121b中，第一移动管理实体若判断出密钥分发请求中不包含第一终端预先设定的子组的子组信息时，表明第一终端的消息加密密钥需要发送给群组中所有的第二终端，故执行步骤122b至步骤125b；第一移动管理实体若判断出密钥分发请求中包含第一终端预先设定的子组的子组信息时，表明第一终端指定该消息加密密钥仅需要发送给该群组的子组中所有第二终端，而不是该群组中所有的第二终端，故执行步骤126b和步骤127b。

关于步骤121b中的子组、子组信息的相关描述可参见前述对步骤121a的描述，此处不再赘述。

步骤122b、第一移动管理实体根据群组的群组标识查询出本地预先存储的该群组标识所对应的群组信息。

在本公开实施例中，群组建立时，第一移动管理实体预先在本地存储建立的群组对应的群组信息。因此，在步骤122b中，第一移动管理实体若判断出密钥分发请求中不包含第一终端预先设定的子组的子组信息时，则第一移动管理实体首先根据该密钥分发请求中群组的群组标识查询出本地预先存储的该群组标识所对应的群组信息，而后执行步骤123b。

步骤123b、第一移动管理实体根据该群组标识所对应的群组信息，识别出群组中各第二终端对应的第二用户标识。

在本公开实施例中，第一移动管理实体在本地预先存储的群组的群组信息中，至少包括该群组的群组标识、该群组中第一终端的第一用户标识、各第二终端的第二用户标识的对应关系。因此，在步骤123b中，第一移动管理实体在确定群组的群组标识所对应的群组信息后，可以从该群组信息中识别出该群组中各第二终端对应的第二用户标识。其中，群组中各第二终端对应的第二用户标识可以为群组中各第二终端的终端号码，例如手机号码。

步骤124b、第一移动管理实体根据群组中各第二终端对应的第二用户标识查询出群组中各第二终端对应的第二移动管理实体。

在步骤124b，针对群组中的每个第二终端，第一移动管理实体根据该第二终端对应的第二用户标识，查询出为该第二终端提供服务的第二移动管理实体。

在步骤124b中，针对群组中的每个第二终端，第一移动管理实体可以根据该第二终端的第二用户标识，查询出该第二终端对应的第二移动管理实体的ID或编号，进而确定该第二终端对应的第二移动管理实体。

步骤125b、第一移动管理实体向群组中各第二终端对应的第二移动管理实体发送密钥消息，并跳转至步骤13。

关于步骤125b的具体描述可参见上述对步骤122a的描述，此处不再赘述。

步骤126b、第一移动管理实体根据子组中各第二终端对应的第二用户标识，查询出所述子组中各第二终端对应的第二移动管理实体。

在步骤126b中，第一移动管理实体若判断出密钥分发请求中包含第一终端预先设定的子组的子组信息时，针对子组中的每个第二终端，第一移动管理实体首先根据该子组信息中该第二终端对应的第二用户标识，查询出该第二终端对应的第二移动管理实体；在查询出子组中各第二终端对应的第二移动管理实体后，执行步骤127b。

在步骤126b中，针对子组中的每个第二终端，第一移动管理实体可以根据该第二终端的第二用户标识，查询出该第二终端对应的第二移动管理实体的ID或编号，进而确定该第二终端对应的第二移动管理实体。

步骤127b、第一移动管理实体向子组中各第二终端对应的第二移动管理实体发送密钥消息，密钥消息还包括该子组的子组标识，并跳转至步骤13。

关于步骤127b的具体描述可参见上述对步骤123a的描述，此处不再赘述。

需要说明的是，在本公开实施例中，第一终端所对应的第一移动管理实体与群组中的某一个或多个第二终端所对应的第二移动管理实体为同一移动管理实体(即同一AMF)，也可以为不同的移动管理实体，而群组中的多个第二终端所对应的第二移动管理实体可以为同一移动管理实体，也可以为不同的移动管理实体，具体根据实际情况确定。例如，第一终端记为UE1，第一终端对应的第一移动管理实体记为AMF1，群组中各第二终端分别记为UE2、UE3、……、UEn，各第二终端对应的第二移动管理实体分别记为AMF2、AMF3、……、AMFn，其中，AMF1、AMF2和AMF3为同一AMF，AMF4、AMF5为同一AMF。

步骤13、针对每个接收到密钥消息的第二移动管理实体，该第二移动管理实体向对应的第二终端发送密钥消息。

在本公开实施例中，针对每个接收到密钥消息的第二移动管理实体，该第二移动管理实体接收到第一移动管理实体发送的密钥消息后，可以通过扩展RRC信令中的下行信息传输(Downlink Information Transfer，简称：DLInformationTransfer)消息中的非接入层专用信息(dedicated Non-Access Stratum Message，简称：dedicatedNAS-Message)字段，使得dedicatedNAS-Message字段中包含上述密钥消息，而后将该包含该密钥消息的RRC信令通过对应的第二终端所对应的基站传输给对应的第二终端。

需要说明的是，在本公开实施例中，若密钥分发请求中不包含第一终端预先设定的子组的子组信息时，针对群组中的每个第二终端，该第二终端对应的第二移动管理实体所接收到的密钥消息中还包括该第二终端的第二用户标识。若密钥分发请求中包含第一终端预先设定的子组的子组信息时，针对子组中的每个第二终端，该第二终端对应的第二移动管理实体所接收到的密钥消息中还包括该第二终端的第二用户标识。

因此，在步骤13中，针对每个接收到密钥消息的第二移动管理实体，该第二移动管理实体可以根据密钥消息中对应的第二终端的第二用户标识，向该对应的第二终端发送密钥消息。

步骤14、针对每个接收到密钥消息的第二终端，该第二终端根据密钥消息存储第一终端的消息加密密钥。

其中，消息加密密钥用于对所述第一终端在所述群组中发送的经所述第一终端加密的群组消息进行解密。

图4为本公开实施例中步骤14的一种具体实施方式的流程图，如图4所示，在一些实施例中，步骤14包括：

步骤141、针对每个接收到密钥消息的第二终端，该第二终端检查密钥消息中是否还包含子组标识，若是，执行步骤145，否则，执行步骤142。

在本公开实施例中，根据上述对步骤12的描述可知，第一移动管理实体若判断出密钥分发请求中包含子组的子组信息时，则第一移动管理实体发送的密钥消息中还包括该子组的子组标识。而第一移动管理实体若判断出密钥分发请求中不包含子组的子组信息时，则第一移动管理实体发送的密钥消息中不包括该子组的子组标识。因此，在接收到密钥消息后，第二终端首先检查该密钥消息中是否包含子组标识，若不包含子组标识时，执行步骤142至步骤144，若包含子组标识时，执行步骤145至步骤147。

步骤142、该第二终端进一步检查本地存储的历史密钥消息中是否存在包含第一用户标识的历史密钥消息，若是，执行步骤143，否则执行步骤144。

在步骤142中，该第二终端当检查出当前接收到的密钥消息中不包含子组标识时，进一步检查本地存储的历史密钥消息中是否存在包含第一用户标识的历史密钥消息，若检查出本地存储的历史密钥消息中存在包含第一用户标识的历史密钥消息时，表明第一终端曾经向该第二终端发送过第一终端历史生成的消息加密密钥，因此，该第二终端需要将当前接收到的该第一终端的密钥消息覆盖历史接收到的该第一终端的历史密钥消息进行存储，以更新本地存储的第一终端的消息加密密钥，即执行步骤143。

而若检查出本地存储的历史密钥消息中不存在包含第一用户标识的历史密钥消息时，表明第一终端历史从未向该第二终端发送过第一终端的消息加密密钥，故该第二终端可以直接在本地存储该密钥消息，即存储该第一终端的消息加密密钥，即执行步骤144。

步骤143、该第二终端将该密钥消息替换该包含第一用户标识的历史密钥消息进行存储，并结束流程。

此时，该第二终端已更新本地存储的第一终端发送的消息加密密钥。

步骤144、该第二终端将该密钥消息进行存储，并结束流程。

此时，该第二终端已首次在本地存储第一终端发送的消息加密密钥。

在本公开实施例中，密钥消息还可以包括群组的群组标识，该第二终端在存储密钥消息时，该密钥消息中的第一终端的第一用户标识、群组的群组标识和消息加密密钥可以以三元组的形式存储，即该三元组包括第一终端的第一用户标识、群组的群组标识和消息加密密钥。

在后续过程中，该第二终端可以利用该第一终端的消息加密密钥对第一终端在群组中发送的经加密的消息进行解密，以获得第一终端在群组中发送的真实的消息内容。

步骤145、该第二终端进一步检查本地存储的历史密钥消息中是否存在包含第一用户标识和该子组标识的历史密钥消息，若是，执行步骤146，否则，执行步骤147。

在步骤145中，该第二终端当检查出当前接收到的密钥消息中包含子组标识时，进一步检查本地存储的历史密钥消息中是否存在包含第一用户标识和该子组标识的历史密钥消息，若检查出本地存储的历史密钥消息中存在包含第一用户标识和该子组标识的历史密钥消息时，表明第一终端曾经为相同的子组标识对应的子组给该第二终端发送过历史生成的消息加密密钥，因此，该第二终端需要将当前接收到的包含该第一终端的第一用户标识和子组标识的密钥消息，覆盖历史接收到的包含该第一终端的第一用户标识和该子组标识的历史密钥消息进行存储，以更新本地存储的对应该第一用户标识和该子组标识的消息加密密钥，即执行步骤146。

而若检查出本地存储的历史密钥消息中不存在包含第一用户标识和该子组标识的历史密钥消息时，表明该第一终端历史从未为相同的子组标识对应的子组给该第二终端发送过历史生成的消息加密密钥，故该第二终端可以直接存储当前接收到的密钥消息，即存储该第一终端的对应该第一用户标识和该子组标识的消息加密密钥，即执行步骤147。

步骤146、该第二终端，将密钥消息替换该包含第一用户标识和该子组标识的历史密钥消息进行存储，并结束流程。

此时，该第二终端已更新本地存储的对应该第一用户标识和该子组标识的消息加密密钥。

步骤147、该第二终端将密钥消息进行存储，并结束流程。

此时，该第二终端已首次在本地存储对应该第一用户标识和该子组标识的消息加密密钥。

在本公开实施例中，密钥消息还可以包括群组的群组标识，该第二终端在存储密钥消息时，该密钥消息中的第一终端的第一用户标识、群组的群组标识、子组的子组标识和消息加密密钥可以以四元组的形式存储，即该四元组包括第一终端的第一用户标识、群组的群组标识和消息加密密钥。

在后续过程中，该第二终端可以利用该第一终端的消息加密密钥对第一终端在群组中发送的经加密的消息进行解密，以获得第一终端在群组中发送的真实的消息内容。

在本公开实施例中，当第一终端发送的密钥分发请求中不包含群组的子组的子组标识时，表明第一终端发送密钥分发请求中的消息加密密钥需要发送给群组中所有的第二终端，群组中所有的第二终端均可以接收到第一终端的消息加密密钥。此种情况下，当第一终端在群组中发送群组消息时，该群组中的每个第二终端均可接收到该群组消息，并通过第一终端的第一用户标识、该群组的群组标识，查询出本地存储的第一用户标识、群组标识对应的消息加密密钥，进而利用该消息加密密钥对该群组消息进行解密，以获得第一终端在群组中发送的真实的消息内容。

而当第一终端发送的密钥分发请求中包含群组的子组的子组标识以及该子组中各第二终端的第二用户标识时，表明第一终端发送密钥分发请求中的消息加密密钥只需要发送给该群组的该子组中的各第二终端，只有该子组中的各第二终端可以接收到第一终端的消息加密密钥，也即只有该子组中的各第二终端可以利用该消息加密密钥对第一终端在群组中发送的经加密的消息进行解密，进而获得第一终端在群组中发送的真实的消息内容。此种情况下，当第一终端在群组中发送群组消息，且该群组消息中携带有指定的子组的子组标识时，只有该群组中的该子组中的第二终端可以通过第一终端的第一用户标识、该群组的群组标识和该子组的子组标识，查询出本地存储的第一用户标识、群组标识、子组标识对应的消息加密密钥，并利用该消息加密密钥对该群组消息进行解密，从而获得第一终端在群组中发送的真实的消息内容。

在一种应用场景中，若第一终端设定了一个群组的子组，并且已通过上述步骤向该子组内的每个第二终端发送该子组对应的消息加密密钥，当第一终端使用该子组对应的消息加密密钥向该群组发送经加密的消息时，对于在该子组内的每个第二终端，该子组内的每个第二终端均可以利用本地存储的该子组的子组标识对应的消息加密密钥查看第一终端在该群组中发送真实的的消息内容。

而对于不在该子组内的每个第二终端，将会接收到一个不可解密的消息，因为该消息中会带有该子组的子组标识，不在该子组内的每个第二终端在本地并未存储有该子组的子组标识对应的消息加密密钥，因此，不在该子组内的每个第二终端将自动忽略该第一终端在该群组发送的消息，且不在其屏幕上进行显示。

在本公开实施例中，第一终端可以选择使用消息加密密钥对在群组中发送的消息进行加密，也可以选择不对其在群组发送的消息加密。

在本公开实施例中，第一终端可以通过上述步骤11至步骤14，向群组中所有的第二终端多次发送消息加密密钥；第一终端可以通过上述步骤11至步骤14，选择向群组中指定的子组中的所有第二终端多次发送消息加密密钥；第一终端还可以通过上述步骤11至步骤14，向群组中不同的子组发送不同的消息加密密钥。

本公开实施例所提供的群组中消息加密密钥的分发方法，群组中的第一终端可以通过向第一移动管理实体发送密钥分发请求，以向指定的该群组中的至少一个第二终端发送其预先生成消息加密密钥，从而使得指定的该群组中的至少一个第二终端可以利用第一终端的消息加密密钥对第一终端在群组中发送的群组消息进行解密，以获得第一终端在群组发送的真实的消息内容。通过本公开实施例所提供的群组中消息加密密钥的分发方法，在群组建立完成之后，群组中群组成员可以随时创建、更新和交换消息加密密钥，操作较为简便快捷。

图5为本公开实施例提供的一种群组中消息加密密钥的分发系统的结构示意图，如图5所示，该分发系统包括包括第一终端21、第一终端21对应的第一移动管理实体22、至少一个第二终端23和每个第二终端23对应的第二移动管理实体24，该群组包括第一终端21和上述至少一个第二终端23。

其中，第一终端21用于向对应的第一移动管理实体22发送密钥分发请求，密钥分发请求至少包括第一终端21对应的第一用户标识、预先生成的消息加密密钥和群组的群组标识。

第一移动管理实体22用于根据密钥分发请求，向群组中的至少一个第二终端23对应的第二移动管理实体24发送密钥消息，密钥消息至少包括第一终端21对应的第一用户标识和消息加密密钥。

针对每个接收到密钥消息的第二移动管理实体24，该第二移动管理实体24用于向对应的第二终端23发送所述密钥消息。

针对每个接收到密钥消息的第二终端23，该第二终端23用于根据密钥消息存储第一终端21的消息加密密钥，消息加密密钥用于对第一终端21在所述群组中发送的经第一终端21加密的群组消息进行解密。

在一些实施例中，第一移动管理实体22具体用于判断密钥分发请求中是否还包含第一终端21预先设定的子组的子组信息，该子组21包括上述群组中的至少一个第二终端23，该子组信息至少包括该子组的子组标识和该子组中各第二终端23的第二用户标识；若判断出密钥分发请求中不包含第一终端21预先设定的子组的子组信息时，向上述群组中各第二终端23对应的第二移动管理实体24发送密钥消息；若判断出密钥分发请求中包含第一终端21预先设定的子组的子组信息时，向该子组中各第二终端23对应的第二移动管理实体24发送密钥消息，该密钥消息还包括子组标识。

在一些实施例中，第一移动管理实体22还用于在向上述群组中各第二终端23对应的第二移动管理实体24发送密钥消息之前，根据上述群组的群组标识查询出本地预先存储的该群组标识所对应的群组信息；根据该群组标识所对应的群组信息，识别出上述群组中各第二终端23对应的第二用户标识；根据上述群组中各第二终端23对应的第二用户标识查询出上述群组中各第二终端23对应的第二移动管理实体24；在查询出上述群组中各第二终端23对应的第二移动管理实体24之后，执行向上述群组中各第二终端23对应的第二移动管理实体24发送密钥消息的步骤。

在一些实施例中，第一移动管理实体22还用于在向上述子组中各第二终端23对应的第二移动管理实体24发送密钥消息之前，根据上述子组中各第二终端23对应的第二用户标识，查询出上述子组中各第二终端23对应的第二移动管理实体24；在查询出上述子组中各第二终端23对应的第二移动管理实体24之后，执行向子组中各第二终端23对应的第二移动管理实体24发送密钥消息的步骤。

在一些实施例中，针对每个接收到密钥消息的第二终端23，该第二终端23具体用于：检查密钥消息中是否还包含子组标识；若检查出所述密钥消息中不包含子组标识时，进一步检查本地存储的历史密钥消息中是否存在包含所述第一用户标识的历史密钥消息；若检查出本地存储的历史密钥消息中存在包含所述第一用户标识的历史密钥消息时，将密钥消息替换该包含第一用户标识的历史密钥消息进行存储；若检查出本地存储的历史密钥消息中不存在包含所述第一用户标识的历史密钥消息时，将密钥消息进行存储。

在一些实施例中，针对每个接收到密钥消息的第二终端23，该第二终端23具体还用于：若检查出密钥消息中包含子组标识时，进一步检查本地存储的历史密钥消息中是否存在包含第一用户标识和该子组标识的历史密钥消息；若检查出本地存储的历史密钥消息中存在包含第一用户标识和该子组标识的历史密钥消息时，将密钥消息替换该包含该第一用户标识和该子组标识的历史密钥消息进行存储；若检查出本地存储的历史密钥消息中不存在包含该第一用户标识和该子组标识的历史密钥消息时，将密钥消息进行存储。

此外，本公开实施例所提供的群组中消息加密密钥的分发系统，用于实现前述任一实施例所提供的群组中消息加密密钥的分发方法，具体描述可参见前述任一实施例的描述，此处不再赘述。

可以理解的是，以上实施方式仅仅是为了说明本公开的原理而采用的示例性实施方式，然而本公开并不局限于此。对于本领域内的普通技术人员而言，在不脱离本公开的精神和实质的情况下，可以做出各种变型和改进，这些变型和改进也视为本公开的保护范围。

Claims (12)

1.一种群组中消息加密密钥的分发方法，其特征在于，所述群组包括第一终端和至少一个第二终端，所述消息加密密钥的分发方法包括：

所述第一终端通过专用控制信道向对应的第一移动管理实体发送密钥分发请求，所述密钥分发请求至少包括所述第一终端对应的第一用户标识、预先生成的消息加密密钥和对应的所述群组的群组标识；

所述第一移动管理实体根据所述密钥分发请求，向所述群组中的至少一个第二终端对应的第二移动管理实体发送密钥消息，所述密钥消息至少包括所述第一终端对应的第一用户标识和所述消息加密密钥；

针对每个接收到所述密钥消息的第二移动管理实体，该第二移动管理实体通过专用控制信道向对应的第二终端发送所述密钥消息；

针对每个接收到所述密钥消息的第二终端，该第二终端根据所述密钥消息存储所述第一终端的所述消息加密密钥，所述消息加密密钥用于对所述第一终端在所述群组中发送的经所述第一终端加密的群组消息进行解密。

2.根据权利要求1所述的分发方法，其特征在于，所述第一移动管理实体根据所述密钥分发请求，向所述群组中的至少一个第二终端对应的第二移动管理实体发送密钥消息，包括：

所述第一移动管理实体判断所述密钥分发请求中是否还包含所述第一终端预先设定的子组的子组信息，所述子组包括所述群组中的至少一个第二终端，所述子组信息至少包括所述子组的子组标识和所述子组中各第二终端的第二用户标识；

所述第一移动管理实体若判断出所述密钥分发请求中不包含所述第一终端预先设定的子组的子组信息时，向所述群组中各第二终端对应的第二移动管理实体发送所述密钥消息；

所述第一移动管理实体若判断出所述密钥分发请求中包含所述第一终端预先设定的子组的子组信息时，向所述子组中各第二终端对应的第二移动管理实体发送所述密钥消息，所述密钥消息还包括所述子组标识。

3.根据权利要求2所述的分发方法，其特征在于，所述第一移动管理实体若判断出所述密钥分发请求中不包含所述第一终端预先设定的子组的子组信息时，向所述群组中各第二终端对应的第二移动管理实体发送所述密钥消息之前，还包括：

所述第一移动管理实体若判断出所述密钥分发请求中不包含所述第一终端预先设定的子组的子组信息时，根据所述群组的群组标识查询出本地预先存储的该群组标识所对应的群组信息；

所述第一移动管理实体根据该群组标识所对应的所述群组信息，识别出所述群组中各第二终端对应的第二用户标识；

所述第一移动管理实体根据所述群组中各第二终端对应的第二用户标识查询出所述群组中各第二终端对应的第二移动管理实体；

在查询出所述群组中各第二终端对应的第二移动管理实体之后，所述第一移动管理实体执行向所述群组中各第二终端对应的第二移动管理实体发送所述密钥消息的步骤。

4.根据权利要求2所述的分发方法，其特征在于，所述第一移动管理实体若判断出所述密钥分发请求中包含所述第一终端预先设定的子组的子组信息时，向所述子组中各第二终端对应的第二移动管理实体发送所述密钥消息之前，还包括：

所述第一移动管理实体若判断出所述密钥分发请求中包含所述第一终端预先设定的子组的子组信息时，根据所述子组中各第二终端对应的第二用户标识，查询出所述子组中各第二终端对应的第二移动管理实体；

在查询出所述子组中各第二终端对应的第二移动管理实体之后，所述第一移动管理实体执行向所述子组中各第二终端对应的第二移动管理实体发送所述密钥消息的步骤。

5.根据权利要求1所述的分发方法，其特征在于，所述针对每个接收到所述密钥消息的第二终端，该第二终端根据所述密钥消息存储所述第一终端的所述消息加密密钥，包括：

针对每个接收到所述密钥消息的第二终端，该第二终端检查所述密钥消息中是否还包含子组标识；

该第二终端若检查出所述密钥消息中不包含所述子组标识时，进一步检查本地存储的历史密钥消息中是否存在包含所述第一用户标识的历史密钥消息；

该第二终端若检查出本地存储的历史密钥消息中存在包含所述第一用户标识的历史密钥消息时，将所述密钥消息替换该包含所述第一用户标识的历史密钥消息进行存储；

该第二终端若检查出本地存储的历史密钥消息中不存在包含所述第一用户标识的历史密钥消息时，将所述密钥消息进行存储。

6.根据权利要求5所述的分发方法，其特征在于，针对每个接收到所述密钥消息的第二终端，该第二终端检查所述密钥消息中是否还包含子组标识之后，还包括：

该第二终端若检查出所述密钥消息中包含所述子组标识时，进一步检查本地存储的历史密钥消息中是否存在包含所述第一用户标识和所述子组标识的历史密钥消息；

该第二终端若检查出本地存储的历史密钥消息中存在包含所述第一用户标识和所述子组标识的历史密钥消息时，将所述密钥消息替换该包含所述第一用户标识和所述子组标识的历史密钥消息进行存储；

该第二终端若检查出本地存储的历史密钥消息中不存在包含所述第一用户标识和所述子组标识的历史密钥消息时，将所述密钥消息进行存储。

7.一种群组中消息加密密钥的分发系统，其特征在于，包括第一终端、第一终端对应的第一移动管理实体、至少一个第二终端和每个第二终端对应的第二移动管理实体，所述群组包括所述第一终端和所述至少一个第二终端；

所述第一终端用于通过专用控制信道向对应的第一移动管理实体发送密钥分发请求，所述密钥分发请求至少包括所述第一终端对应的第一用户标识、预先生成的消息加密密钥和所述群组的群组标识；

所述第一移动管理实体用于根据所述密钥分发请求，向所述群组中的至少一个第二终端对应的第二移动管理实体发送密钥消息，所述密钥消息至少包括所述第一终端对应的第一用户标识和所述消息加密密钥；

针对每个接收到所述密钥消息的第二移动管理实体，该第二移动管理实体用于通过专用控制信道向对应的第二终端发送所述密钥消息；

针对每个接收到所述密钥消息的第二终端，该第二终端用于根据所述密钥消息存储所述第一终端的所述消息加密密钥，所述消息加密密钥用于对所述第一终端在所述群组中发送的经所述第一终端加密的群组消息进行解密。

8.根据权利要求7所述的分发系统，其特征在于，所述第一移动管理实体具体用于判断所述密钥分发请求中是否还包含所述第一终端预先设定的子组的子组信息，所述子组包括所述群组中的至少一个第二终端，所述子组信息至少包括所述子组的子组标识和所述子组中各第二终端的第二用户标识；若判断出所述密钥分发请求中不包含所述第一终端预先设定的子组的子组信息时，向所述群组中各第二终端对应的第二移动管理实体发送所述密钥消息；若判断出所述密钥分发请求中包含所述第一终端预先设定的子组的子组信息时，向所述子组中各第二终端对应的第二移动管理实体发送所述密钥消息，所述密钥消息还包括所述子组标识。

9.根据权利要求8所述的分发系统，其特征在于，所述第一移动管理实体还用于在向所述群组中各第二终端对应的第二移动管理实体发送所述密钥消息之前，根据所述群组的群组标识查询出本地预先存储的该群组标识所对应的群组信息；根据该群组标识所对应的所述群组信息，识别出所述群组中各第二终端对应的第二用户标识；根据所述群组中各第二终端对应的第二用户标识查询出所述群组中各第二终端对应的第二移动管理实体；在查询出所述群组中各第二终端对应的第二移动管理实体之后，执行向所述群组中各第二终端对应的第二移动管理实体发送所述密钥消息的步骤。

10.根据权利要求8所述的分发系统，其特征在于，所述第一移动管理实体还用于在向所述子组中各第二终端对应的第二移动管理实体发送所述密钥消息之前，根据所述子组中各第二终端对应的第二用户标识，查询出所述子组中各第二终端对应的第二移动管理实体；在查询出所述子组中各第二终端对应的第二移动管理实体之后，执行向所述子组中各第二终端对应的第二移动管理实体发送所述密钥消息的步骤。

11.根据权利要求7所述的分发系统，其特征在于，针对每个接收到所述密钥消息的第二终端，该第二终端具体用于：

检查所述密钥消息中是否还包含子组标识；

若检查出所述密钥消息中不包含所述子组标识时，进一步检查本地存储的历史密钥消息中是否存在包含所述第一用户标识的历史密钥消息；

若检查出本地存储的历史密钥消息中存在包含所述第一用户标识的历史密钥消息时，将所述密钥消息替换该包含所述第一用户标识的历史密钥消息进行存储；

若检查出本地存储的历史密钥消息中不存在包含所述第一用户标识的历史密钥消息时，将所述密钥消息进行存储。

12.根据权利要求11所述的分发系统，其特征在于，针对每个接收到所述密钥消息的第二终端，该第二终端具体还用于：

若检查出所述密钥消息中包含所述子组标识时，进一步检查本地存储的历史密钥消息中是否存在包含所述第一用户标识和所述子组标识的历史密钥消息；

若检查出本地存储的历史密钥消息中存在包含所述第一用户标识和所述子组标识的历史密钥消息时，将所述密钥消息替换该包含所述第一用户标识和所述子组标识的历史密钥消息进行存储；

若检查出本地存储的历史密钥消息中不存在包含所述第一用户标识和所述子组标识的历史密钥消息时，将所述密钥消息进行存储。

Images