CN112702734B - 一种密钥分发系统及方法 - Google Patents

Abstract

本发明提供一种密钥分发系统及方法，包括：密钥分发系统中应用服务器向所述密钥分发系统中核心网网元发送密钥分发请求；其中，所述密钥分发请求包括设备网络标识、应用标识和密钥信息；所述核心网网元接收所述密钥分发请求，通过无线接入网将密钥信令发送给所述密钥分发系统中所述设备网络标识对应的终端设备；其中，所述密钥信令包括所述应用标识和密钥信息；所述终端设备接收所述密钥信令，将所述密钥信息推送给所述应用标识对应的终端应用。本发明实施例能够提高密钥信息的安全性。

Description

一种密钥分发系统及方法

技术领域

本发明实施例涉及安全技术领域，尤其涉及一种密钥分发系统及方法。

背景技术

随着物联网的发展，物联网设备的数目日益增多，如何保证物联网设备接入的安全性越来越受到用户的重视。目前，物联网接入的安全基本是基于密钥来实现的，设备接入时可直接通过基础密钥信息来进行认证和加密，也可以利用基础密钥信息加随机信息生成每次认证或加密的密钥信息以提高安全性。然而，无论何种认证和加密的方式，都需要基础密钥信息，因而基础密钥信息的安全性成为物联网设备接入安全的瓶颈之一。

通常，基础密钥信息可以存放在设备侧，然而，由于设备侧缺乏物理隔离性，设备软件可以通过逆向工程等方式被破解，传统的软件存储密钥的方式变得不再安全。

因此，在设备侧存放基础密钥信息存在安全性较低的技术问题。

发明内容

本发明实施例提供一种密钥分发系统及方法，以解决现有技术中在设备侧存放基础密钥信息存在安全性较低的问题。

第一方面，本发明实施例提供一种密钥分发系统，所述系统包括：

应用服务器，用于向核心网网元发送密钥分发请求；其中，所述密钥分发请求包括设备网络标识、应用标识和密钥信息；

所述核心网网元，用于接收所述密钥分发请求，通过无线接入网将密钥信令发送给所述设备网络标识对应的终端设备；其中，所述密钥信令包括所述应用标识和密钥信息；

所述终端设备，用于接收所述密钥信令，将所述密钥信息推送给所述应用标识对应的终端应用。

第二方面，本发明实施例提供一种密钥分发方法，所述方法包括：

密钥分发系统中应用服务器向所述密钥分发系统中核心网网元发送密钥分发请求；其中，所述密钥分发请求包括设备网络标识、应用标识和密钥信息；

所述核心网网元接收所述密钥分发请求，通过无线接入网将密钥信令发送给所述密钥分发系统中所述设备网络标识对应的终端设备；其中，所述密钥信令包括所述应用标识和密钥信息；

所述终端设备接收所述密钥信令，将所述密钥信息推送给所述应用标识对应的终端应用。

本发明实施例中，首先，密钥分发系统中应用服务器向所述密钥分发系统中核心网网元发送密钥分发请求；其中，所述密钥分发请求包括设备网络标识、应用标识和密钥信息；然后，所述核心网网元接收所述密钥分发请求，通过无线接入网将密钥信令发送给所述密钥分发系统中所述设备网络标识对应的终端设备；其中，所述密钥信令包括所述应用标识和密钥信息；最后，所述终端设备接收所述密钥信令，将所述密钥信息推送给所述应用标识对应的终端应用。

本发明实施例通过核心网网元作为中介设备为物联网设备进行每次认证或加密密钥的分发，即通过网络基础能力进行密钥分发，实际上是基于网络对基础密钥信息验证的可信度，来降低应用的基础密钥信息的安全性要求，从而可以回避应用的基础密钥信息本地存储的安全性问题，避免设备侧存储基础密钥信息易泄漏的风险，进而提高密钥信息的安全性。并且，也可以减少安全硬件存储基础密钥信息带来的额外成本。

附图说明

为了更清楚地说明本发明实施例的技术方案，下面将对本发明实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获取其他的附图。

图1是本发明实施例提供的密钥分发方法的流程示意图；

图2是本发明实施例提供的密码分发方法的时序图；

图3是本发明实施例提供的密钥分发系统的结构示意图。

具体实施方式

从背景技术可以看出，设备接入时可直接通过基础密钥信息来进行认证和加密，也可以利用基础密钥信息加随机信息生成每次认证或加密的密钥信息以提高安全性。

目前，设备侧基础密钥信息的存储安全性是制约物联网设备接入安全的瓶颈之一，由于设备软件的可破解性，传统软件存储密钥的方式变得不再安全，于是出现了一些利用安全芯片等硬件来存放基础密钥信息的方案，但是，这种方案需要额外增加硬件成本来实现基础密钥信息的保护。

基于此，本发明实施例提出一种新的密钥分发方案，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获取的所有其他实施例，都属于本发明保护的范围。

下面首先对本发明实施例提供的密钥分发方法进行说明。

需要说明的是，本发明实施例提供的密钥分发方法可以应用于密钥分发系统。这里，该密钥分发系统包括应用服务器、核心网网元和终端设备，用于分发密钥信息给终端应用，以使终端应用根据接收到的密钥信息，跟应用服务器进行认证或通信。

参见图1，图中示出了本发明实施例提供的密钥分发方法的流程示意图。如图1所示，该方法可以包括如下步骤：

步骤101，密钥分发系统中应用服务器向所述密钥分发系统中核心网网元发送密钥分发请求；其中，所述密钥分发请求包括设备网络标识、应用标识和密钥信息。

这里，所述密钥分发系统可以包括应用服务器、核心网网元和终端设备。其中，所述应用服务器可以是终端应用对应的服务器，比如对于支付宝应用，所述应用服务器为支付宝应用对应的服务器，对于微信应用，所述应用服务器为微信应用对应的服务器。为了安全地对终端应用进行认证，或者与终端应用进行通信，所述应用服务器可以分发密钥信息给终端应用，这样，终端应用根据接收到的密钥信息，即可以跟应用服务器进行认证或通信。

所述应用服务器可以主动触发分发密钥信息给终端应用的业务，也可以在预设触发条件发生时，触发分发密钥信息给终端应用的业务，比如，在接收到终端应用发送的与应用服务器的通信请求时，所述应用服务器触发分发密钥信息给终端应用的业务，又比如，在接收到应用平台对终端应用的认证请求时，所述应用服务器触发分发密钥信息给终端应用的业务。

如果权限允许，所述应用服务器可以直接向核心网网元发送密钥分发请求，所述应用服务器生成随机密钥信息或者指定密钥信息，然后将携带有密钥信息的密钥分发请求发送给核心网网元。

所述密钥分发系统还可以包括密钥分发业务服务器，所述密钥分发业务服务器用于按照应用服务器指示生成密钥信息，所述应用服务器可以通过密钥分发业务服务器向所述核心网网元发送密钥分发请求。

具体的，所述密钥分发系统还包括密钥分发业务服务器；所述步骤101具体包括：

所述应用服务器向所述密钥分发业务服务器发送密钥分发申请请求，所述密钥分发申请请求包括所述设备网络标识和应用标识；

所述密钥分发业务服务器接收所述密钥分发申请请求，生成密钥信息，并将携带有所述密钥信息的密钥分发请求发送给所述核心网网元。

所述密钥分发业务服务器接收所述密钥分发申请请求之后，响应所述密钥分发申请请求，生成随机密钥信息或者所述密钥分发申请请求指定的密钥信息，然后将携带有密钥信息的密钥分发请求发送给所述核心网网元。

需要说明的是，所述密钥信息包括密钥和密钥标识码(Identification，ID)。

步骤102，所述核心网网元接收所述密钥分发请求，通过无线接入网将密钥信令发送给所述密钥分发系统中所述设备网络标识对应的终端设备；其中，所述密钥信令包括所述应用标识和密钥信息。

所述核心网网元可以包括第一核心网网元和第二核心网网元，所述步骤102具体包括：

所述第一核心网网元接收所述密钥分发请求，根据所述设备网络标识，向对应的第二核心网网元发送所述密钥分发消息，所述密钥分发消息包括设备网络标识、应用标识和密钥信息；

所述第二核心网网元接收所述密钥分发消息，通过无线接入网将密钥信令发送给所述设备网络标识对应的终端设备。

所述第一核心网网元可以是核心网网络能力暴露单元，用于利用运营商网络鉴权能力，响应密钥分发请求，验证设备网络标识，并根据所述设备网络标识，调用应用程序编程接口(Application Programming Interface，API)通过安全链路向对应的第二核心网网元发送所述密钥分发消息。所述核心网网络能力暴露单元可以是5G网络开放功能(NetworkExposure Function，NEF)网元，也可以是4G服务能力开放功能(Service CapabilityExposure Function，SCEF)网元。

所述第二核心网网元可以是核心网接入和移动性管理单元，用于响应第一核心网网元发送的密钥分发消息，通过无线接入网路由到所述设备网络标识对应的终端设备，并将密钥信令发送给所述终端设备。所述核心网接入与移动性管理单元可以是5G接入和移动性管理功能(Core Access and Mobility Management Function，AMF)网元，也可以是4G移动性管理实体(Mobility Management Entity，MME)网元。

步骤103，所述终端设备接收所述密钥信令，将所述密钥信息推送给所述应用标识对应的终端应用。

所述终端设备响应所述密钥信令，根据所述应用标识，将所述密钥信息推动给所述应用标识对应的终端应用。相应的，所述终端应用接收到所述密钥信息之后，即可以根据所述密钥信息，跟应用服务器进行认证或通信。

所述步骤103之后，所述方法还包括：

所述终端设备接收所述终端应用反馈的密钥接收确认信息，并根据所述密钥接收确认信息，向所述应用服务器发送相应的密钥分发反馈信息，所述密钥分发反馈信息用于指示所述终端应用对所述密钥信息的接收状态。

所述终端应用根据是否接收到所述密钥信息，向终端设备反馈密钥接收确认信息，在接收到所述密钥信息时，所述密钥接收确认信息可以为确认收到密钥信息，相应的，所述密钥分发反馈信息指示所述终端应用接收到所述密钥信息。在未接收到所述密钥信息时，所述密钥接收确认信息可以为确认未收到密钥信息，相应的，所述密钥分发反馈信息指示所述终端应用未接收到所述密钥信息。

具体的，所述终端设备可以通过核心网网元向应用服务器发送密钥分发反馈信息，首先，所述终端设备向第二核心网网元反馈密钥信令确认信息，在所述终端应用接收到所述密钥信息时，所述密钥信令确认信息指示接收到密钥信令，在所述终端应用未接收到所述密钥信息时，所述密钥信令确认信息指示未接收到密钥信令。

然后，所述第二核心网网元向第一核心网网元反馈密钥分发消息确认信息，在所述终端应用接收到所述密钥信息时，所述密钥分发消息确认信息指示接收到密钥分发消息，在所述终端应用未接收到所述密钥信息时，所述密钥分发消息确认信息指示未接收到密钥分发消息。

接着，若密钥分发系统中包括密钥分发业务服务器，所述第一核心网网元向密钥分发业务服务器反馈密钥分发请求确认信息，若密钥分发系统中未包括密钥分发业务服务器，所述第一核心网网元直接向应用服务器反馈密钥分发请求确认信息。在所述终端应用接收到所述密钥信息时，所述密钥分发请求确认信息指示接收到密钥分发请求，在所述终端应用未接收到所述密钥信息时，所述密钥分发请求确认信息指示未接收到密钥分发请求。

最后，若密钥分发系统中包括密钥分发业务服务器，所述密钥分发业务服务器向应用服务器反馈密钥分发申请请求确认信息。在所述终端应用接收到所述密钥信息时，所述密钥分发申请请求确认信息指示接收到密钥分发申请请求，在所述终端应用未接收到所述密钥信息时，所述密钥分发申请请求确认信息指示未接收到密钥分发申请请求。

本发明实施例通过核心网网元作为中介设备为物联网设备进行每次认证或加密密钥的分发，即通过网络基础能力进行密钥分发，实际上是基于网络对基础密钥信息验证的可信度，来降低应用的基础密钥信息的安全性要求，从而可以回避应用的基础密钥信息本地存储的安全性问题，避免设备侧存储基础密钥信息易泄漏的风险，进而提高密钥信息的安全性。并且，也可以减少安全硬件存储基础密钥信息带来的额外成本。

下面对本发明实施例提供的密钥分发方法进行举例详细说明。

应用场景为应用在密钥分发系统中，所述密钥分发系统包括应用服务器、密钥分发业务服务器、NEF网元、AMF网元和终端设备。

参见图2，图中示出了本发明实施例提供的密钥分发方法的时序图，如图2所示，其流程如下：

首先，应用服务器向密钥分发业务服务器发送密钥分发申请请求，所述密钥分发申请请求中携带有设备网络标识和应用标识；

然后，密钥分发业务服务器接收所述密钥分发申请请求，并响应所述密钥分发申请请求，生成随机密钥信息，或者密钥分发申请请求也携带有指定信息，所述密钥分发业务服务器响应所述密钥分发申请请求，生成指定信息所指定的密钥信息；

接着，密钥分发业务服务器调用API接口向NEF网元发送密钥分发请求，密钥分发请求中携带有设备网络标识、应用标识和密钥信息；

接着，NEF网元接收所述密钥分发请求，并响应所述密钥分发请求，根据所述设备网络标识，向AMF网元发送密钥分发消息，所述密钥分发消息携带有设备网络标识、应用标识和密钥信息；

接着，AMF接收所述密钥分发消息，并响应所述密钥分发消息，向所述设备网络标识对应的终端设备发送密钥信令，所述密钥信令携带有应用标识和密钥信息；

接着，所述终端设备接收所述密钥信令，并响应所述密钥信令，向所述应用标识对应的终端应用推送密钥信息；

接着，终端应用接收所述密钥信息，向所述终端设备反馈密钥接收确认信息，所述密钥接收确认信息指示已经接收到所述密钥信息；

接着，所述终端设备接收所述密钥接收确认信息，向AMF网元反馈密钥信令确认信息，所述密钥信令确认信息指示所述终端设备已经接收到所述密钥信令；

接着，AMF网元接收所述密钥信令确认信息，向NEF网元反馈密钥分发消息确认信息，所述密钥分发消息确认信息指示AMF网元已经接收到所述密钥分发消息；

接着，NEF网元接收所述密钥分发消息确认信息，向密钥业务分发服务器反馈密钥分发请求确认信息，所述密钥分发请求确认信息指示NEF网元已经接收到所述密钥分发请求；

最后，密钥分发业务服务器接收所述密钥分发请求确认信息，向应用服务器反馈密钥分发申请请求确认信息，所述密钥分发申请请求确认信息指示密钥分发业务服务器已经接收到密钥分发申请请求。

下面对本发明实施例提供的密钥分发系统进行说明。

参见图3，图中示出了本发明实施例提供的密钥分发系统的结构示意图。如图3所示，密钥分发系统300包括：

应用服务器301，用于向核心网网元302发送密钥分发请求；其中，所述密钥分发请求包括设备网络标识、应用标识和密钥信息；

所述核心网网元302，用于接收所述密钥分发请求，通过无线接入网将密钥信令发送给所述设备网络标识对应的终端设备303；其中，所述密钥信令包括所述应用标识和密钥信息；

所述终端设备303，用于接收所述密钥信令，将所述密钥信息推送给所述应用标识对应的终端应用。

可选的，所述系统还包括密钥分发业务服务器304；其中，

所述应用服务器301，具体用于向所述密钥分发业务服务器304发送密钥分发申请请求，所述密钥分发申请请求包括所述设备网络标识和应用标识；

所述密钥分发业务服务器304，用于接收所述密钥分发申请请求，生成密钥信息，并将携带有所述密钥信息的密钥分发请求发送给所述核心网网元302。

可选的，所述核心网网元302包括第一核心网网元3021和第二核心网网元3022；其中，

所述第一核心网网元3021，用于接收所述密钥分发请求，根据所述设备网络标识，向对应的第二核心网网元3022发送密钥分发消息，所述密钥分发消息包括设备网络标识、应用标识和密钥信息；

所述第二核心网网元3022，用于接收所述密钥分发消息，通过无线接入网将密钥信令发送给所述设备网络标识对应的终端设备303。

可选的，所述密钥信息包括密钥和密钥标识码ID。

可选的，所述终端设备303，还用于接收所述终端应用反馈的密钥接收确认信息，并根据所述密钥接收确认信息，向所述应用服务器301发送相应的密钥分发反馈信息，所述密钥分发反馈信息用于指示所述终端应用对所述密钥信息的接收状态。

本发明实施例提供的系统能够实现上述方法实施例中实现的各个过程，为避免重复，这里不再赘述。

本发明实施例中，通过核心网网元作为中介设备为物联网设备进行每次认证或加密密钥的分发，即通过网络基础能力进行密钥分发，实际上是基于网络对基础密钥信息验证的可信度，来降低应用的基础密钥信息的安全性要求，从而可以回避应用的基础密钥信息本地存储的安全性问题，避免设备侧存储基础密钥信息易泄漏的风险，进而提高密钥信息的安全性。并且，也可以减少安全硬件存储基础密钥信息带来的额外成本。

本领域普通技术人员可以意识到，结合本文中所公开的实施例描述的各示例的单元及算法步骤，能够以电子硬件、或者计算机软件和电子硬件的结合来实现。这些功能究竟以硬件还是软件方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本发明的范围。

所属领域的技术人员可以清楚地了解到，为描述的方便和简洁，上述描述的系统、装置和单元的具体工作过程，可以参考前述方法实施例中的对应过程，在此不再赘述。

在本申请所提供的实施例中，应该理解到，所揭露的系统和方法，可以通过其它的方式实现。例如，以上所描述的系统实施例仅仅是示意性的，例如，所述单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口，装置或单元的间接耦合或通信连接，可以是电性，机械或其它的形式。

所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本发明实施例方案的目的。

另外，在本发明各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。

所述功能如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本发明各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：U盘、移动硬盘、ROM、RAM、磁碟或者光盘等各种可以存储程序代码的介质。

以上所述，仅为本发明的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应以权利要求的保护范围为准。

Claims (8)

1.一种密钥分发系统，其特征在于，所述系统包括：

应用服务器，用于向核心网网元发送密钥分发请求；其中，所述密钥分发请求包括设备网络标识、应用标识和密钥信息；

所述核心网网元，用于接收所述密钥分发请求，通过无线接入网将密钥信令发送给所述设备网络标识对应的终端设备；其中，所述密钥信令包括所述应用标识和密钥信息；

所述终端设备，用于接收所述密钥信令，将所述密钥信息推送给所述应用标识对应的终端应用；

所述核心网网元包括第一核心网网元和第二核心网网元；其中，

所述第一核心网网元，用于接收所述密钥分发请求，根据所述设备网络标识，向对应的第二核心网网元发送密钥分发消息，所述密钥分发消息包括设备网络标识、应用标识和密钥信息；

所述第二核心网网元，用于接收所述密钥分发消息，通过无线接入网将密钥信令发送给所述设备网络标识对应的终端设备。

2.根据权利要求1所述的系统，其特征在于，所述系统还包括密钥分发业务服务器；其中，

所述应用服务器，具体用于向所述密钥分发业务服务器发送密钥分发申请请求，所述密钥分发申请请求包括所述设备网络标识和应用标识；

所述密钥分发业务服务器，用于接收所述密钥分发申请请求，生成密钥信息，并将携带有所述密钥信息的密钥分发请求发送给所述核心网网元。

3.根据权利要求1所述的系统，其特征在于，所述密钥信息包括密钥和密钥标识码ID。

4.根据权利要求1所述的系统，其特征在于，所述终端设备，还用于接收所述终端应用反馈的密钥接收确认信息，并根据所述密钥接收确认信息，向所述应用服务器发送相应的密钥分发反馈信息，所述密钥分发反馈信息用于指示所述终端应用对所述密钥信息的接收状态。

5.一种密钥分发方法，其特征在于，所述方法包括：

密钥分发系统中应用服务器向所述密钥分发系统中核心网网元发送密钥分发请求；其中，所述密钥分发请求包括设备网络标识、应用标识和密钥信息；

所述核心网网元接收所述密钥分发请求，通过无线接入网将密钥信令发送给所述密钥分发系统中所述设备网络标识对应的终端设备；其中，所述密钥信令包括所述应用标识和密钥信息；

所述终端设备接收所述密钥信令，将所述密钥信息推送给所述应用标识对应的终端应用；

所述核心网网元包括第一核心网网元和第二核心网网元；其中，

所述第一核心网网元接收所述密钥分发请求，根据所述设备网络标识，向对应的第二核心网网元发送密钥分发消息，所述密钥分发消息包括设备网络标识、应用标识和密钥信息；

所述第二核心网网元接收所述密钥分发消息，通过无线接入网将密钥信令发送给所述设备网络标识对应的终端设备。

6.根据权利要求5所述的方法，其特征在于，所述密钥分发系统还包括密钥分发业务服务器；所述密钥分发系统中应用服务器向所述密钥分发系统中核心网网元发送密钥分发请求的步骤包括：

所述应用服务器向所述密钥分发业务服务器发送密钥分发申请请求，所述密钥分发申请请求包括所述设备网络标识和应用标识；

所述密钥分发业务服务器接收所述密钥分发申请请求，生成密钥信息，并将携带有所述密钥信息的密钥分发请求发送给所述核心网网元。

7.根据权利要求5所述的方法，其特征在于，所述密钥信息包括密钥和密钥标识码ID。

8.根据权利要求5所述的方法，其特征在于，所述终端设备接收所述密钥信令，将所述密钥信息推送给所述应用标识对应的终端应用之后，所述方法还包括：

所述终端设备接收所述终端应用反馈的密钥接收确认信息，并根据所述密钥接收确认信息，向所述应用服务器发送相应的密钥分发反馈信息，所述密钥分发反馈信息用于指示所述终端应用对所述密钥信息的接收状态。

Images