CN113490212A

CN113490212A - 一种密钥的分配方法、通信设备和存储介质

Info

Publication number: CN113490212A
Application number: CN202110677272.5A
Authority: CN
Inventors: 彭艺
Original assignee: New H3C Technologies Co Ltd
Current assignee: New H3C Technologies Co Ltd
Priority date: 2021-06-18
Filing date: 2021-06-18
Publication date: 2021-10-08

Abstract

本说明书提供一种密钥的分配方法、通信设备和存储介质，该方法包括：接收NF服务生产者发送的注册请求，根据所述注册请求，从存储的密钥集中获取待分配的第一密钥，将所述第一密钥和用于标识所述第一密钥的第一密钥标识发送给所述NF服务生产者。通过该方法，可实现NRF自动为NF分配密钥。

Description

一种密钥的分配方法、通信设备和存储介质

技术领域

本公开涉及通信技术领域，尤其涉及一种密钥的分配方法、通信设备和存储介质。

背景技术

NRF：Network Repository Function，5G网络中的网络存储功能网元，负责5G核心网网元及其服务的注册、发现、授权等功能。

NF：Network Function，网络功能单元(即网元)，5G网络中核心网设备的通称。

NF服务消费者、NF服务生产者：5G网络中，当某个网元向其他网元申请服务时，服务的申请方是服务消费者网元，服务的提供方是服务生产者网元。服务消费者网元和服务生产者网元是相对的，某个具体的网元可能既向其他网元申请服务，同时又可能提供服务给其他网元。

URI：Uniform Resource Identifier，表示的是Web上每一种可用的资源，如HTML文档、图像、视频片段、程序等都由一个URI进行标识的。

5G网络架构的控制面功能基于服务化原则，每个核心网控制面网元对外提供基于HTTP协议的服务化接口，控制面网元之间通过互相调用对方的服务化接口进行通信。为了确保服务化接口调用的安全，5G标准中定义了基于OAuth 2.0框架的鉴权架构：NRF作为OAuth 2.0授权服务器，NF服务消费者作为OAuth 2.0客户端，NF服务生产者作为OAuth 2.0资源服务器。

NF服务消费者在访问NF服务生产者提供的服务时，NF服务消费者需先获得NF服务生产者认证，待认证通过后NF服务消费者才可以访问NF服务生产者提供的服务。

然而，现有的5G标准中，NRF和NF服务生产者需要先提前配置鉴权密钥，但现有标准并未明确密钥如何在NRF和NF服务生产者配置。

发明内容

本公开提供了一种密钥的分配方法、通信设备和存储介质，可以实现NRF自动为NF服务生产者分配密钥。

本公开提供了一种密钥的分配方法，该方法应用于5G网络存储功能网元NRF中，所述方法包括：

接收NF服务生产者发送的注册请求；

根据所述注册请求，从存储的密钥集中获取待分配的第一密钥，将所述第一密钥和用于标识所述第一密钥的第一密钥标识发送给所述NF服务生产者。

可选的，在接收NF服务生产者发送的注册请求后，所述方法还包括：

根据所述注册请求确定所述NF服务生产者的级别属性；

根据确定的级别属性从所述密钥集中获取与所述级别属性对应的待分配的第一密钥。

可选的，所述密钥集中包括：对称密钥或公私钥密钥。

可选的，当所述密钥集中包括：公私钥密钥或对称密钥；

当所述密钥集中的密钥为公私钥密钥时，所述从存储的密钥集中获取待分配的第一密钥为公钥密钥。

可选的，为所述密钥集中的公私钥密钥或对称密钥设置定时器，当所述定时器超时时更新所述公私钥密钥或对称密钥。

可选的，所述方法还包括：

记录为所述NF服务生产者分配的第一密钥、第一密钥标识和该NF服务生产者标识的对应关系。

通过该方法可以看出，在NRF中配置密钥集，可以根据NF服务生产者发送的注册请求，为NF服务生产者分配密钥，从而可以实现自动为NF分配密钥。

本公开实施例还提供了一种密钥的分配方法，该方法应用于5G网络存储功能网元NRF中，所述方法包括：

接收NF服务消费者发送的访问目标NF服务生产者的访问请求；

根据所述访问请求从存储的密钥集中获取第二密钥，所述第二密钥与所述NRF为所述目标NF服务生产者分配的第一密钥对应；

根据所述NF服务消费者的访问请求获取声明信息，利用所述第二密钥对所述声明信息进行数字签名，并将所述数字签名和声明信息发送给目标NF服务生产者，以使所述目标NF服务生产者根据对所述数字签名的验证结果为NF服务消费者提供服务。

可选的，所述访问请求携带该目标NF服务生产者标识。

可选的，根据所述访问请求从存储的密钥集中获取第二密钥，包括：

以访问请求中携带的标识为索引，从记录的为所述目标NF服务生产者分配的第一密钥、第一密钥标识和该目标NF服务生产者标识的对应关系中确定第一密钥；

从密钥集中获取与所述第一密钥对应的第二密钥。

可选的，所述声明信息包括：

所述NF服务消费者的标识、欲访问的目标NF服务生产者的标识、欲请求的服务名中的一个或多个组合。

可选的，所述密钥集包括：对称密钥或公私钥密钥；

当所述密钥集中的密钥为公私钥密钥时，所述根据所述访问请求从存储的密钥集中获取第二密钥为私钥密钥。

可选的，所述将所述数字签名和声明信息发送给目标NF服务生产者，包括：

利用所述数字签名和声明信息构成Access Token信息，将所述Access Token信息发送给目标NF服务生产者。

将所述Access Token信息直接发送给目标NF服务生产者；

或者，将所述Access Token信息发送给所述NF服务消费者，使所述NF服务消费者将Access Token信息发送给目标NF服务生产者。

获取用于标识第二密钥的第一密钥标识，所述第一密钥标识与第一密钥和第二密钥对应；

将所述第一密钥标识携带在Access Token信息发送给目标NF服务生产者，以使目标NF服务生产者根据所述第一密钥标识确定第一密钥。

可选的，所述以使所述目标NF服务生产者根据对所述数字签名的验证结果为NF服务消费者提供服务，包括：

目标NF服务生产者利用该确定的第一密钥对所述数字签名进行解密，获得解密结果；

目标NF服务生产者利用该解密结果与声明信息进行匹配；

若匹配成功，则验证结果为通过验证，则目标NF服务生产者为NF服务消费者提供服务；

若匹配不成功，则验证结果为不通过，则目标NF服务生产者禁止为NF服务消费者提供服务。

通过上述实施例可以看出，NRF可根据NF服务消费者的请求，以及自身存储的密钥集生成声明信息和数字签名，并通过将声明信息和数字签名发送给NF服务生产者，以使NF服务生产者根据对数字签名的认证结果确定是否为NF服务消费者提供服务。

本公开实施例还提供了一种通信设备，所述通信设备包括：存储器、处理器及存储在所述存储器上并可在所述处理器上运行的程序，所述程序被所述处理器执行时实现上述各实施例中的方法步骤。

本公开实施例还提供了一种计算机可读存储介质，所述计算机可读存储介质上存储有程序，所述程序被处理器执行时实现上述各实施例中的方法步骤。

附图说明

此处的附图被并入说明书中并构成本说明书的一部分，示出了符合本说明书的实施例，并与说明书一起用于解释本说明书的原理。

图1为本公开实施例提供的一种密钥的分配方法的流程示意图。

图2为本公开实施例提供的一种密钥的分配方法的流程示意图。

具体实施方式

这里将详细地对示例性实施例进行说明，其示例表示在附图中。下面的描述涉及附图时，除非另有表示，不同附图中的相同数字表示相同或相似的要素。以下示例性实施例中所描述的实施方式并不代表与本说明书相一致的所有实施方式。相反，它们仅是与如所附权利要求书中所详述的、本说明书的一些方面相一致的装置和方法的例子。

在本说明书使用的术语是仅仅出于描述特定实施例的目的，而非旨在限制本说明书。在本说明书和所附权利要求书中所使用的单数形式的“一种”、“所述”和“该”也旨在包括多数形式，除非上下文清楚地表示其他含义。还应当理解，本文中使用的术语“和/或”是指并包含一个或多个相关联的列出项目的任何或所有可能组合。

应当理解，尽管在本说明书可能采用术语第一、第二、第三等来描述各种信息，但这些信息不应限于这些术语。这些术语仅用来将同一类型的信息彼此区分开。例如，在不脱离本说明书范围的情况下，第一信息也可以被称为第二信息，类似地，第二信息也可以被称为第一信息。取决于语境，如在此所使用的词语“如果”可以被解释成为“在……时”或“当……时”或“响应于确定”。

目前，现有的5G标准中，NRF和NF服务生产者需要先提前配置鉴权密钥，鉴权密钥可包括对称密钥和公私钥密钥两种形式，但由于现有标准并未明确密钥如何在NRF和NF服务生产者配置，也并未明确基于安全考虑如何更新密钥，从而导致，为了满足异厂商NRF和NF服务生产者之间互操作的兼容性，初始密钥和更新密钥只能在NRF和NF服务生产者上手工配置，比较繁琐。

为解决上述技术问题，本公开提供了一种密钥的分配方法，如图1所示，该方法应用于5G网络存储功能网元NRF中，所述方法包括：

S101接收NF服务生产者发送的注册请求；

S102根据所述注册请求，从存储的密钥集中获取待分配的第一密钥，将所述第一密钥和用于标识所述第一密钥的第一密钥标识发送给所述NF服务生产者。

在本实施例中，NRF作为密钥的分配者，管理员可在NRF中通过手动或自动生成的方式配置密钥集，该密钥集中可包括对称密钥和/或非对称密钥，其中，该非对称密钥包括公私钥密钥，如表1所示出的一种密钥集的示例。

第一密钥	第二密钥
		AKs1	AKs1
AKs2	AKs2
		AKu1	AKi1
AKu2	Aki2

表1

如表1所示，第一密钥为待为NF服务生产者分配的密钥，第二密钥为待为NF服务消费者分配的密钥，其中AKs对称密钥，AKu和Aki构成非对称密钥，具体的，AKu为公钥密钥，Aki为私钥密钥，例如，AKu1和AKi1便构成一对公私钥密钥。

当NRF为第一NF分配第一密钥时，若从密钥集中选择的密钥为公私钥密钥时，则为第一NF分配的第一密钥为公密钥，若从密钥集中选择的密钥为对称钥时，为第一NF分配的第一密钥和第二密钥相同。

在步骤S101中，NRF收到NF服务生产者(为便于描述，后续将NF服务生产者称为第一NF)，发送的注册请求后，可通过该注册请求获取该第一NF的属性信息，例如，该属性信息可以为第一NF标识(如第一NF编号，实例号等)，可提供的服务名等。

在一种实施例中，NRF中配置的密钥集可按照重要级别进行分类，例如，将对称密钥设置为低重要级别，将非对称密钥设置为高重要级别。相应的，第一NF发送的注册请求中也可携带级别属性(该级别属性可也可根据第一NF的类型或实例确定)，当NRF接收到注册请求后，获取该级别属性，并从密钥集中选择与该级别属性对应的密钥分配给该第一NF。

例如，第一NF向NRF发送的注册请求中，携带高重要级的级别属性，NRF收到该注册请求后，获取该高重要级的级别属性，从密钥集中找到高重要级的密钥区域，并从高重要级的密钥区域中选择待分配给该第一NF的第一密钥。

在本实施例中，NRF会为密钥集中的各密钥分配用于唯一标识密钥的密钥标识，如表2所示，其中kid为密钥标识。

第一密钥	第二密钥	密钥标识
			AKs1	AKs1	Kid1
AKs2	AKs2	Kid2
			AKu1	AKi1	Kid3
AKu2	Aki2	Kid4

表2

在有些情况下，NRF可以为第一NF分配多个第一密钥，例如，若该第一NF存在会被大量NF服务消费者(为便于描述，后续将NF服务消费者称为第二NF)访问，或者第一NF中可提供多种服务的时候，NRF可为该第一NF分配多个第一密钥，并为了后续在对数据签名进行认证时快速选择对应的第一密钥，NRF在为第一NF分配第一密钥时，可同时将第一密钥对应的第一密钥标识一同分配给第一NF，例如，NRF为第一NF分配的第一密钥为{kid1,AKu1}，其中，kdi1为AKu1的密钥标识。

同时，NRF在为第一NF分配第一密钥后，NRF还可记录为第一NF分配的第一密钥、第一密钥标识和第一NF标识的对应关系。如表3所示。

第一密钥	第一密钥标识	第一NF标识
			AKs1	Kid1	1
AKs2	Kid2	2
			AKu1	Kid3	3
AKu2	Kid4	4

如表3

在本实施例中，第一NF发送的注册请求中还可携带鉴权密钥通知回调URI，该URI用于指示NRF根据该URI将第一密钥发送给第一NF，同时，在发送该第一密钥，为了提高安全性，NRF可通过HTTPS通信方式将该第一密钥发送给第一NF。其中，HTTPS(Hyper TextTransfer Protocol over Secure Socket Layer)，是以安全为目标的HTTP通道，在HTTP的基础上通过传输加密和身份认证保证了传输过程的安全性。

在本实施例中，为避免出现密钥泄露的可能性，可为密钥集中的各密钥设置定时器，当定时器老化后可为该定时器对应的密钥进行更新。

通过上述实施例可以看出，NRF在接收到第一NF发送的注册请求后，可以为第一NF自动分配密钥，从而解决了需要在NF上人工配置密钥，节约了人工成本，提升了配置密钥的效率。

在NRF为第一NF分配了密钥后，相应的，NRF可在第二NF欲访问第一NF时，根据为第一NF分配的密钥，协助第一NF对第二NF进行认证，具体如下实施例。

本公开实施例提供了一种密钥的分配方法，如图2所示，所述方法应用于5G网络存储功能网元NRF中，所述方法包括：

S201接收NF服务消费者发送的访问目标NF服务生产者的访问请求；

S202根据所述访问请求从存储的密钥集中获取第二密钥，所述第二密钥与所述NRF为所述目标NF服务生产者分配的第一密钥对应；

S203根据所述NF服务消费者的访问请求获取声明信息，利用所述第二密钥对所述声明信息进行数字签名，并将所述数字签名和声明信息发送给目标NF服务生产者，以使所述目标NF服务生产者根据对所述数字签名的验证结果为NF服务消费者提供服务。

当第二NF需要访问第一NF时，第二NF会发送访问请求给NRF，该访问请求中可携带欲访问的第一NF(为便于描述，后续称为第一目标NF)的标识和/或需要访问的服务名，同时，该访问请求中还可携带该第二NF的标识。

NRF收到第二NF发送的访问请求后，可获取该第二NF欲访问的第一目标NF标识和/或需要访问的用户名，以及该第二NF的标识。

根据前述内容，NRF在为第一目标NF分配第一密钥时，NRF记录了第一目标NF标识、第一密钥和第一密钥标识的对应关系。同时，NRF在向第一目标NF发送第一密钥时，还会发送第一密钥标识，所示第一目标NF会记录第一密钥和第一密钥标识，若该NRF向第一目标NF发送了多个第一密钥时，因对应的密钥标识不同，所以第一目标NF可通过密钥标识进行区分。

在步骤S202中，NRF可以根据第二NF发送的访问请求，确定第二NF要访问的第一目标NF，例如，根据第二NF发送的访问请求中携带的标识(第一目标NF的标识)确定第一目标NF。

根据记录的第一目标NF、第一密钥和第一密钥标识的对应关系，以该标识为索引从记录的对应关系中以该标识为索引，从对应关系中，确定为该第一目标NF分配的第一密钥和第一密钥标识。

再从NRF中记录的密钥表中，找到与第一密钥对应的第二密钥。例如，确定为该第一目标NF分配的第一密钥为AKu1、第一密钥标识为Kid3，根据密钥表找到与AKu1对应的第二密钥为AKi1。

在步骤S203中，NRF还可根据第二NF发送的访问请求获取声明信息，例如，可以根据访问请求中携带的第二NF的标识、欲访问第一目标NF的标识、欲访问的服务名中的一个或多个组合来生成声明信息，在利用上述信息生成声明信息时，可以将各信息转换为数字代码，即该声明信息为数字代码形式。

同时，NRF利用获取的该第二密钥来对声明信息进行数字签名，即，若该密钥集中的密钥为公私钥密钥，则该第二密钥为私钥密钥；若该密钥集中的密钥为对称密钥，则该第二密钥与第一密钥相同。

NRF在对声明信息进行数字签名后，利用该数字签名和声明信息构成AccessToken，同时，还可将获取的第一密钥标识加载在Access Token中，以使第一目标NF根据第一密钥标识选择对应的第一密钥对数字签名进行解密。

在本市实施例中，NRF可直接将该Access Token发送给第一目标NF，也可将该Access Token反馈该第二NF。

若NRF将Access Token反馈给第二NF，第二NF接收到该Access Token后，将AccessToken发送给第一目标NF。

第一目标NF对获取该Access Token后进行分析处理，获取Access Token中携带的数字签名、声明信息和第一密钥标识。

第一目标NF根据第一密钥标识获取对应的第一密钥，并利用第一密钥对数字签名进行解密，并将解密后的信息与声明信息进行匹配，当匹配成功后，则可认为数字签名认证通过，此时，便可为第二NF提供服务。当匹配不成功后，则可认为数字签名认证不通过，此时便可不为第二NF提供服务。

基于上述各方法实施例，本公开实施例还提供了一种通信设备，该通信设备可以为运行5G控制面功能的服务器、主机、基站等，该通信设备包括：存储器、处理器及存储在所述存储器上并可在所述处理器上运行的程序，所述程序被所述处理器执行时实现上述各实施例中的方法步骤。

本公开实施例还提供了一种计算机可读存储介质，该计算机可读存储介质上存储有程序，所述程序被处理器执行时实现上述各实施例中的方法步骤。

上述对本说明书特定实施例进行了描述。其它实施例在所附权利要求书的范围内。在一些情况下，在权利要求书中记载的动作或步骤可以按照不同于实施例中的顺序来执行并且仍然可以实现期望的结果。另外，在附图中描绘的过程不一定要求示出的特定顺序或者连续顺序才能实现期望的结果。在某些实施方式中，多任务处理和并行处理也是可以的或者可能是有利的。

本领域技术人员在考虑说明书及实践这里申请的发明后，将容易想到本说明书的其它实施方案。本说明书旨在涵盖本说明书的任何变型、用途或者适应性变化，这些变型、用途或者适应性变化遵循本说明书的一般性原理并包括本说明书未申请的本技术领域中的公知常识或惯用技术手段。说明书和实施例仅被视为示例性的，本说明书的真正范围和精神由下面的权利要求指出。

应当理解的是，本说明书并不局限于上面已经描述并在附图中示出的精确结构，并且可以在不脱离其范围进行各种修改和改变。本说明书的范围仅由所附的权利要求来限制。

以上所述仅为本说明书的较佳实施例而已，并不用以限制本说明书，凡在本说明书的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本说明书保护的范围之内。

Claims

1.一种密钥的分配方法，其特征在于，所述方法应用于5G网络存储功能网元NRF中，所述方法包括：

接收NF服务生产者发送的注册请求；

2.根据权利要求1所述的方法，其特征在于，在接收NF服务生产者发送的注册请求后，所述方法还包括：

根据所述注册请求确定所述NF服务生产者的级别属性；

3.根据权利要求1所述的方法，其特征在于，所述密钥集中包括：对称密钥或公私钥密钥。

4.根据权利要求3所述的方法，其特征在于，当所述密钥集中包括：公私钥密钥或对称密钥；

5.根据权利要求4所述的方法，其特征在于，为所述密钥集中的公私钥密钥或对称密钥设置定时器，当所述定时器超时时更新所述公私钥密钥或对称密钥。

6.根据权利要求1所述的方法，其特征在于，所述方法还包括：

7.一种密钥的分配方法，其特征在于，所述方法应用于5G网络存储功能网元NRF中，所述方法包括：

接收NF服务消费者发送的访问目标NF服务生产者的访问请求；

8.根据权利要求7所述的方法，其特征在于，所述访问请求携带该目标NF服务生产者标识。

9.根据权利要求8所述的方法，其特征在于，根据所述访问请求从存储的密钥集中获取第二密钥，包括：

从密钥集中获取与所述第一密钥对应的第二密钥。

10.根据权利要求7所述的方法，其特征在于，所述声明信息包括：

11.根据权利要求7所述的方法，其特征在于，所述密钥集包括：对称密钥或公私钥密钥；

12.根据权利要求7所述的方法，其特征在于，所述将所述数字签名和声明信息发送给目标NF服务生产者，包括：

13.根据权利要求12所述的方法，其特征在于，所述将所述数字签名和声明信息发送给目标NF服务生产者，包括：

将所述Access Token信息直接发送给目标NF服务生产者；

14.根据权利要求12所述的方法，其特征在于，所述将所述数字签名和声明信息发送给目标NF服务生产者，包括：

15.根据权利要求12所述的方法，其特征在于，所述以使所述目标NF服务生产者根据对所述数字签名的验证结果为NF服务消费者提供服务，包括：

目标NF服务生产者利用该解密结果与声明信息进行匹配；

16.一种通信设备，其特征在于，所述通信设备包括：存储器、处理器及存储在所述存储器上并可在所述处理器上运行的程序，所述程序被所述处理器执行时实现如权利要求1至15中任一项所述的方法步骤。

17.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质上存储有程序，所述程序被处理器执行时实现如权利要求1至15中任一项所述的方法步骤。