CN113766495A - 信息保护方法、系统及通信装置 - Google Patents

信息保护方法、系统及通信装置 Download PDF

Info

Publication number
CN113766495A
CN113766495A CN202010480899.7A CN202010480899A CN113766495A CN 113766495 A CN113766495 A CN 113766495A CN 202010480899 A CN202010480899 A CN 202010480899A CN 113766495 A CN113766495 A CN 113766495A
Authority
CN
China
Prior art keywords
key
function
information
access network
identification information
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN202010480899.7A
Other languages
English (en)
Inventor
雷骜
李�赫
吴�荣
雷中定
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Huawei Technologies Co Ltd
Original Assignee
Huawei Technologies Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Huawei Technologies Co Ltd filed Critical Huawei Technologies Co Ltd
Priority to CN202010480899.7A priority Critical patent/CN113766495A/zh
Priority to PCT/CN2021/096968 priority patent/WO2021244447A1/zh
Publication of CN113766495A publication Critical patent/CN113766495A/zh
Pending legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0861—Generation of secret information including derivation or calculation of cryptographic keys or passwords
    • H04L9/0866—Generation of secret information including derivation or calculation of cryptographic keys or passwords involving user or device identifiers, e.g. serial number, physical or biometrical information, DNA, hand-signature or measurable physical characteristics
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0861—Generation of secret information including derivation or calculation of cryptographic keys or passwords
    • H04L9/0869—Generation of secret information including derivation or calculation of cryptographic keys or passwords involving random numbers or seeds
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/14—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols using a plurality of keys or algorithms
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3236—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using cryptographic hash functions
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/02—Protecting privacy or anonymity, e.g. protecting personally identifiable information [PII]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/03—Protecting confidentiality, e.g. by encryption
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
    • H04W12/041—Key generation or derivation
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
    • H04W12/043—Key management, e.g. using generic bootstrapping architecture [GBA] using a trusted network node as an anchor
    • H04W12/0433—Key management protocols
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/80—Wireless

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Mobile Radio Communication Systems (AREA)
  • Telephonic Communication Services (AREA)

Abstract

本申请提供一种信息保护方法、系统及通信装置，用于保护终端设备与接入网设备之间的接入层信息。其中方法可包括：终端设备根据第一密钥、随机参数和第一函数，生成第二密钥，采用第二密钥对保护信息进行加密，得到第一加密保护信息，向接入网设备发送第一请求消息，第一请求消息包括第一密钥标识、设备标识信息、随机参数和第一加密保护信息；接入网设备接收到第一请求消息时，确定设备标识信息对应的第一函数和第二函数，根据第一密钥标识、随机参数、第一函数和第二函数，生成第二密钥，采用第二密钥对第一加密保护信息进行解密，得到保护信息。采用本申请，可提高终端设备与接入网设备之间传输信息的安全性，从而提高网络的安全性、可靠性。

Description

信息保护方法、系统及通信装置
技术领域
本申请涉及通信技术领域，尤其涉及一种信息保护方法、系统及通信装置。
背景技术
网络切片是一种新式网络和业务模式，可通过定制网络和管理，从而更好地满足消费者和企业的个性化服务需求，例如计费、策略、安全、移动性等需求。网络切片可被用于移动带宽、多媒体、大规模机器类通信(massive machine type communication)和关键机器类通信(critical machine type communication)。
当终端设备向网络注册时，向核心网提供请求的网络切片信息，用于核心网为终端设备选择网络切片实例；核心网根据终端设备的签约数据、请求的网络切片信息、漫游协议、本地配置信息、运营商策略等信息，为终端设备选择允许接入的网络切片，并向终端设备发送允许接入的网络切片信息。终端设备在接收到允许接入的网络切片信息时，可根据允许接入的网络切片信息，请求接入相应的网络切片，向接入网设备发送允许接入的网络切片信息。接入网设备在接收到允许接入的网络切片信息时，可根据允许接入的网络切片信息，选择接入管理网元为终端设备提供服务。
终端设备与接入网设备之间传输的信息，例如网络切片信息或终端设备的能力信息等，存在被泄露的风险，因此，如何提高终端设备与接入网设备之间传输信息的安全性是亟待解决的技术问题。
发明内容
本申请提供一种信息保护方法及通信装置，可以提高终端设备与接入网设备之间传输信息的安全性，从而提高网络的安全性、可靠性。
本申请第一方面提供一种信息保护方法，该方法可以由接入网设备执行，也可以由接入网设备中的装置(例如处理器或芯片等)执行。该方法以接入网设备为例，包括以下内容。
接入网设备接收来自终端设备的第一请求消息，第一请求消息包括第一密钥标识、设备标识信息、随机参数和第一加密保护信息；接入网设备确定设备标识信息对应的第一函数和第二函数；根据第一密钥标识、随机参数、第一函数和第二函数，生成第二密钥；采用第二密钥对第一加密保护信息进行解密，得到保护信息。
其中，保护信息可以是网络切片信息，也可以是终端设备的能力信息，还可以是其他需要在接入层保护的信息。第一加密保护信息是采用第二密钥对保护信息进行加密获得。设备标识信息可为终端设备的标识信息，也可为接入管理网元的标识信息。
本申请第一方面，接入网设备在接收到第一请求消息时，确定计算第二密钥所需的函数，采用确定的函数、第一密钥标识和随机参数，计算得到第二密钥，采用第二密钥对第一加密保护信息进行解密，得到保护信息，可以实现对终端设备向接入网设备发送的保护信息的保护，有效防止窃听者从接入层消息中获得保护信息，从而提高终端设备与接入网设备之间传输信息的安全性，提高网络的安全性、可靠性。
在一种可能的实现方式中，接入网设备根据各个设备标识信息与第一函数的标识信息以及第二函数的标识信息之间的对应关系，确定第一请求消息携带的设备标识信息对应的第一函数和第二函数。接入网设备上存有各个设备标识信息与第一函数的标识信息以及第二函数的标识之间的对应关系，以便接入网设备可以确定第一请求消息携带的设备标识信息对应的第一函数和第二函数。
其中，对应关系可以是终端设备的标识信息与第一函数的标识信息以及第二函数的标识信息之间的对应关系，也可以是接入管理网元的标识信息与第一函数的标识信息以及第二函数的标识信息之间的对应关系。
在一种可能的实现方式中，接入网设备接收来自接入管理网元的第一消息，第一消息包括第一函数的标识信息和第二函数的标识信息，接入网设备建立该接入管理网元的标识信息与第一函数的标识信息和第二函数的标识信息之间的对应关系，以便接入网设备在接收到第一请求消息时，可以确定出设备标识信息对应的第一函数和第二函数。
在一种可能的实现方式中，接入网设备在生成第二密钥时，根据第一密钥标识和第二函数，生成第一密钥，根据第一密钥、随机参数和第一函数，生成第二密钥。采用两层密钥的计算，最终得到第二密钥，以解密第一加密保护信息。采用两层密钥，使得保护信息的加密密钥可频繁更换，从而增加安全性。
在一种可能的实现方式中，接入网设备根据第一密钥、随机参数、第一函数以及设备标识信息，生成第二密钥，使得生成第二密钥的参数较多，增加复杂度，以提高安全性。设备标识信息，例如终端设备的标识信息。
在一种可能的实现方式中，接入网设备确定第一请求消息携带的设备标识信息对应的第一函数和第二函数的同时，还确定该设备标识信息对应的第一计算参数，第一计算参数作为生成第二密钥的一种参数，增加计算的复杂度，以提高安全性。接入网设备根据第一密钥标识、随机参数、第一函数和第二函数，生成第二密钥。
接入网设备可根据各个设备标识信息与第一计算参数之间的对应关系，确定第一请求消息携带的设备标识信息对应的第一计算参数。
在一种可能的实现方式中，第一消息中还包括第一计算参数，接入网设备建立接入管理网元的标识信息与第一函数的标识信息、第二函数的标识信息以及第一计算参数之间的对应关系，以便接入网设备在接收到第一请求消息时，可以确定出设备标识信息对应的第一函数、第二函数和第一计算参数。
在一种可能的实现方式中，接入管理网元在检测出另一个接入网设备被攻击者攻破的情况下，向接入网设备发送第二消息，第二消息包括第三函数的标识信息和第四函数的标识信息；接入网设备在接收到第二消息时，建立接入管理网元的标识信息与第三函数的标识信息和第四函数的标识信息之间的对应关系。可选的，第二消息还包括第二计算参数，接入网设备建立接入管理网元的标识信息与第三函数的标识信息、第四函数的标识信息以及第二计算参数之间的对应关系。
在一种可能的实现方式中，接入网设备接收到来自终端设备的第二请求消息时，第二请求消息包括第三密钥标识、设备标识信息、随机参数和第二加密保护信息，根据接入管理网元的标识信息与第三函数的标识信息和第四函数的标识信息之间的对应关系，确定设备标识信息对应的第三函数和第四函数。可选的，接入网设备还确定设备标识信息对应的第二计算参数。
接入网设备根据第三密钥标识、随机参数、第三函数和第四函数，生成第四密钥。可选的，根据第三密钥标识、随机参数、第三函数、第四函数和第二计算参数，生成第四密钥。
接入网设备采用第四密钥对第二加密保护信息进行解密，得到保护信息。
可以理解的是，接入管理网元在检测到某个接入网设备被攻击者攻破的情况下，向除这个接入网设备之外的其他接入网设备发送第二消息，以更新用于生成解密密钥的函数和参数。
在一种可能的实现方式中，接入管理网元在检测到终端设备为攻击者的情况下，向接入网设备发送指示信息，该指示信息用于指示非法密钥标识信息。接入网设备在接收到该指示信息的情况下，检测第一请求消息携带的第一密钥标识与非法密钥标识信息是否匹配，若匹配，表明发送第一请求消息的终端设备为攻击者，那么接入网设备拒绝第一请求消息，从而防止攻击者接入。
本申请第二方面提供一种信息保护方法，该方法可以由终端设备执行，也可以由终端设备中的装置(例如处理器或芯片等)执行。该方法以终端设备为例，包括以下内容。
终端设备根据第一密钥、随机参数和第一函数，生成第二密钥，采用第二密钥对保护信息进行加密，得到第一加密保护信息；向接入网设备发送第一请求消息，第一请求消息包括第一密钥标识、设备标识信息、随机参数和第一加密保护信息；第一密钥标识用于生成第一密钥。
本申请第二方面，终端设备采用第二密钥对保护信息进行加密，并向接入网设备发送加密后的第一加密保护信息，可以实现对保护信息的隐私性保护，可以有效防止窃听者从接入层消息中获得保护信息，从而提高终端设备与接入网设备之间传输信息的安全性，提高网络的安全性、可靠性。
在一种可能的实现方式中，终端设备根据第一密钥、随机参数、设备标识信息和第一函数，生成第二密钥，这样使得生成第二密钥的参数较多，增加复杂度，以提高安全性。设备标识信息，例如终端设备的标识信息。
在一种可能的实现方式中，终端设备接收来自接入管理网元的第三消息，第三消息包括第一函数的标识信息、第一密钥和第一密钥标识。第一密钥和第一函数，用于终端设备生成第二密钥；第一密钥标识用于终端设备携带在第一请求消息中，以便接入网设备生成第二密钥。
在一种可能的实现方式中，接入管理网元在检测到某个接入网设备被攻击者攻破的情况下，向终端设备发送第四消息，第四消息用于更新终端设备侧用于生成解密密钥的函数和参数，第四消息包括第三函数的标识信息、第三密钥和第三密钥标识；终端设备在接收到第四消息时，根据第三密钥、随机参数和第三函数，生成第四密钥，并采用第四密钥对保护信息进行加密，得到第二加密保护信息；向接入网设备发送第二请求消息，第二请求消息包括第三密钥标识、设备标识信息、随机参数和第二加密保护信息，第三密钥标识用于生成第三密钥。
若接入网设备被攻击者攻破，那么在接收到第二请求消息时，无法解密使用第四密钥加密过后的保护信息，从而无法获得保护信息，其他未被攻击者攻破的接入网设备在接收到第二请求消息时，可以正确解密，获得保护信息，从而在某个接入网设备被攻击者攻破的场景下，可以保护终端设备与其他接入网设备之间的信息传输。可以理解的是，接入管理网元在检测到某个接入网设备被攻击者攻破的情况下，向除这个接入网设备之外的其他接入网设备发送第二消息，以更新用于生成解密密钥的函数和参数，因此被攻破的接入网设备无法获取第二消息中的参数，进而无法生成用于解密的第四密钥。
本申请第三方面提供一种信息保护方法，该方法可以由接入网设备执行，也可以由接入网设备中的装置(例如处理器或芯片等)执行。该方法以接入网设备为例，包括以下内容。
接入网设备接收来自终端设备的第一请求消息，第一请求消息包括第一密钥标识、设备标识信息、随机参数和第一加密保护信息；确定设备标识信息对应的第一函数、第二函数和第一加密算法；根据第一密钥标识、第一函数和第二函数，生成第二密钥；根据第二密钥、随机参数和第一加密算法对第一加密保护信息进行解密，得到保护信息。
其中，保护信息可以是网络切片信息，也可以是终端设备的能力信息，还可以是其他需要在接入层保护的信息。设备标识信息可为终端设备的标识信息，也可为接入管理网元的标识信息。
本申请第三方面，接入网设备在接收到第一请求消息时，确定计算第二密钥所需的函数和加密算法，采用确定的函数计算得到第二密钥，采用第二密钥和加密算法对第一加密保护信息进行解密，得到保护信息，可以实现对终端设备向接入网设备发送的保护信息的保护，有效防止窃听者从接入层消息中获得保护信息，从而提高终端设备与接入网设备之间传输信息的安全性，提高网络的安全性、可靠性。
在一种可能的实现方式中，接入网设备根据设备标识信息与第一函数的标识信息、第二函数的标识信息以及第一加密算法的算法标识之间的对应关系，确定设备标识信息对应的第一函数、第二函数和第一加密算法，以便生成第二密钥，采用第二密钥和第一加密算法对第一加密保护信息进行解密。
在一种可能的实现方式中，接入网设备接收来自接入管理网元的第一消息，第一消息包括第一函数的标识信息、第二函数的标识信息和第一加密算法的算法标识；建立接入管理网元的标识信息与第一函数的标识信息、第二函数的标识信息以及第一加密算法的算法标识之间的对应关系。从而接入网设备在接收到第一请求消息时，可以确定出设备标识信息对应的第一函数、第二函数和第一加密算法。
在一种可能的实现方式中，接入网设备根据第一密钥标识和第一函数，生成第一密钥；根据第一密钥和第二函数，生成第二密钥标识；根据第二密钥标识和第一函数，生成第二密钥。采用两层密钥，使得保护信息的加密密钥可频繁更换，从而增加安全性。
在一种可能的实现方式中，接入网设备根据第一密钥标识、第一密钥和第二函数，生成第二密钥标识。增加计算第二密钥标识的复杂度，以提高安全性。
在一种可能的实现方式中，接入网设备接收来自接入管理网元的第二消息，第二消息包括第三函数的标识信息、第四函数的标识信息和第二加密算法的算法标识；建立接入网设备的标识信息与第三函数的标识信息、第四函数的标识信息以及第二加密算法的算法标识之间的对应关系。
在一种可能的实现方式中，接入网设备接收来自终端设备的第二请求消息，第二请求消息包括第三密钥标识、设备标识信息、随机参数和第二加密保护信息；根据接入网设备的标识信息与第三函数的标识信息、第四函数的标识信息以及第二加密算法的算法标识之间的对应关系，确定设备标识信息对应的第三函数、第四函数和第二加密算法；根据第三密钥标识、第三函数和第四函数，生成第四密钥；根据第四密钥、随机参数和第二加密算法对第二加密保护信息进行解密，得到保护信息。
可以理解的是，接入管理网元在检测到某个接入网设备被攻击者攻破的情况下，向除这个接入网设备之外的其他接入网设备发送第二消息，以更新用于生成解密密钥的函数和参数。
在一种可能的实现方式中，接入管理网元在检测到终端设备为攻击者的情况下，向接入网设备发送指示信息，该指示信息用于指示非法密钥标识信息。接入网设备在接收到该指示信息的情况下，检测第一请求消息携带的第一密钥标识与非法密钥标识信息是否匹配，若匹配，表明发送第一请求消息的终端设备为攻击者，那么接入网设备拒绝第一请求消息，从而防止攻击者接入。
本申请第四方面提供一种信息保护方法，该方法可以由终端设备执行，也可以由终端设备中的装置(例如处理器或芯片等)执行。该方法以终端设备为例，包括以下内容。
终端设备根据第二密钥、随机参数和第一加密算法对保护信息进行加密，得到第一加密保护信息；向接入网设备发送第一请求消息，第一请求消息包括第一密钥标识、设备标识信息、随机参数和第一加密保护信息。
本申请第四方面，终端设备采用第二密钥和第一加密算法对保护信息进行加密，并向接入网设备发送加密后的第一加密保护信息，可以实现对保护信息的隐私性保护，可以有效防止窃听者从接入层消息中获得保护信息，从而提高终端设备与接入网设备之间传输信息的安全性，提高网络的安全性、可靠性。
在一种可能的实现方式中，终端设备接收来自接入管理网元的第三消息，第三消息包括第二密钥、第一加密算法的算法标识和第一密钥标识。第二密钥和第一加密算法用于终端设备对保护信息进行加密，第一密钥标识用于终端设备携带在第一请求消息中，以便接入网设备生成第二密钥。
在一种可能的实现方式中，接入管理网元在检测到某个接入网设备被攻击者攻破的情况下，向终端设备发送第四消息，第四消息用于更新终端设备侧用于生成解密密钥的函数和参数，第四消息包括第四密钥、第二加密算法的算法标识和第三密钥标识。终端设备在接收到第四消息的情况下，根据第四密钥、随机参数和第二加密算法对保护信息进行加密，得到第二加密保护信息；向接入网设备发送第二请求消息，第二请求消息包括第三密钥标识、设备标识信息、随机参数和第二加密保护信息。
若接入网设备被攻击者攻破，那么在接收到第二请求消息时，无法解密使用第四密钥加密过后的保护信息，从而无法获得保护信息，其他未被攻击者攻破的接入网设备在接收到第二请求消息时，可以正确解密，获得保护信息，从而在某个接入网设备被攻击者攻破的场景下，可以保护终端设备与其他接入网设备之间的信息传输。
本申请第五方面提供一种通信装置，该通信装置可以是接入网设备，也可以是接入网设备中的装置。一种设计中，该装置可以包括执行第一方面或第三方面中，以及各种可能性实现方式所描述的方法/操作/步骤/动作所对应的模块，该模块可以是硬件电路，也可以是软件，也可以是硬件电路结合软件实现。一种设计中，该装置可以包括处理单元和收发单元。示例性的，
收发单元，用于接收来自终端设备的第一请求消息，第一请求消息包括第一密钥标识、设备标识信息、随机参数和第一加密保护信息；确定设备标识信息对应的第一函数和第二函数；
处理单元，用于根据第一密钥标识、随机参数、第一函数和第二函数，生成第二密钥；采用第二密钥对第一加密保护信息进行解密，得到保护信息。
本申请第六方面提供一种通信装置，该装置包括处理器，用于实现上述第一方面或第三方面描述的方法。该装置还可以包括存储器，用于存储指令和数据。该存储器与该处理器耦合，该处理器执行该存储器中存储的指令时，可以使该装置实现上述第一方面以及第一方面的各个可能实现方式，或第三方面以及第三方面的各个可能实现方式所描述的方法。该装置还可以包括通信接口，该通信接口用于该装置与其它设备进行通信，示例性的，通信接口可以是收发器、总线等电路硬件模块，其它设备可以为终端设备等。在一种可能的设计中，该装置包括：
存储器，用于存储程序指令；
处理器，用于接收来自终端设备的第一请求消息，第一请求消息包括第一密钥标识、设备标识信息、随机参数和第一加密保护信息；确定设备标识信息对应的第一函数和第二函数；根据第一密钥标识、随机参数、第一函数和第二函数，生成第二密钥；采用第二密钥对第一加密保护信息进行解密，得到保护信息。
本申请第七方面提供一种计算机可读存储介质，包括指令，当其在计算机上运行时，使得计算机执行第一方面以及第一方面的各个可能实现方式，或第三方面以及第三方面的各个可能实现方式提供的方法。
本申请第八方面提供一种芯片系统，该芯片系统包括处理器，还可以包括存储器，用于实现上述第一方面以及第一方面的各个可能实现方式，或第三方面以及第三方面的各个可能实现方式提供的方法。该芯片系统可以由芯片构成，也可以包含芯片和其他分立器件。
本申请第九方面提供一种通信装置，该通信装置可以是终端设备，也可以是终端设备中的装置。一种设计中，该装置可以包括执行第二方面或第四方面中，以及各种可能性实现方式所描述的方法/操作/步骤/动作所对应的模块，该模块可以是硬件电路，也可以是软件，也可以是硬件电路结合软件实现。一种设计中，该装置可以包括处理单元和收发单元。示例性的，
处理单元，用于根据第一密钥、随机参数和第一函数，生成第二密钥，采用第二密钥对保护信息进行加密，得到第一加密保护信息；
收发单元，用于向接入网设备发送第一请求消息，第一请求消息包括第一密钥标识、设备标识信息、随机参数和第一加密保护信息；第一密钥标识用于生成第一密钥。
本申请第十方面提供一种通信装置，该装置包括处理器，用于实现上述第二方面或第四方面描述的方法。该装置还可以包括存储器，用于存储指令和数据。该存储器与该处理器耦合，该处理器执行该存储器中存储的指令时，可以使该装置实现上述第二方面以及第二方面的各个可能实现方式，或第四方面以及第四方面的各个可能实现方式所描述的方法。该装置还可以包括通信接口，该通信接口用于该装置与其它设备进行通信，示例性的，通信接口可以是收发器、总线等电路硬件模块，其它设备可以为接入网设备等。在一种可能的设计中，该装置包括：
存储器，用于存储程序指令；
处理器，用于根据第一密钥、随机参数和第一函数，生成第二密钥，采用第二密钥对保护信息进行加密，得到第一加密保护信息；向接入网设备发送第一请求消息，第一请求消息包括第一密钥标识、设备标识信息、随机参数和第一加密保护信息；第一密钥标识用于生成第一密钥。
本申请第十一方面提供一种计算机可读存储介质，包括指令，当其在计算机上运行时，使得计算机执行第二方面以及第二方面的各个可能实现方式，或第四方面以及第四方面的各个可能实现方式提供的方法。
本申请第十二方面提供一种芯片系统，该芯片系统包括处理器，还可以包括存储器，用于实现上述第二方面以及第二方面的各个可能实现方式，或第四方面以及第四方面的各个可能实现方式提供的方法。该芯片系统可以由芯片构成，也可以包含芯片和其他分立器件。
本申请第十三方面提供一种通信系统，该通信系统包括第一方面所述的接入网设备和第二方面所述的终端设备，或包括第三方面所述的接入网设备和第四方面所述的终端设备。
附图说明
图1为预配置信息基于终端设备粒度的流程示例图；
图2为预配置信息基于PLMN粒度的流程示例图；
图3为应用本申请实施例的网络架构示意图；
图4为本申请实施例一提供的信息保护方法的流程示意图；
图4a为实施例一中UE生成第二密钥的示意图；
图4b为实施例一中接入网设备生成第二密钥的示意图；
图5为本申请实施例二提供的信息保护方法的流程示意图；
图5a为实施例二中接入网设备生成第二密钥的示意图；
图6为本申请实施例三提供的信息保护方法的流程示意图；
图6a为实施例三中接入网设备生成第二密钥的示意图；
图7为本申请实施例四提供的信息保护方法的流程示意图；
图8为本申请实施例五提供的信息保护方法的流程示意图；
图9为本申请实施例提供一种通信装置的结构示意图；
图10为本申请实施例提供的另一种通信装置的结构示意图。
具体实施方式
为了更好地理解本申请实施例提供的技术方案，首先对本申请实施例涉及的技术术语进行介绍。
(1)网络切片
网络切片也可以称为切片或网络切片实例等。为了满足多样性需求和切片间的隔离，业务间可以相对独立的管理和运维，并提供量身定做的业务功能和分析能力。不同业务类型的实例可以部署在不同的网络切片上，相同业务类型的不同实例也可以部署在不同的网络切片上。一个网络切片可以视为一个实例化的核心网络架构。
第五代(5th-generation，5G)网络中的网络切片，是一个虚拟的专用网络，可以由一组网络功能、子网络构成。运营商网络中可以部署很多网络切片，每个网络切片可以有不同的性能，用于满足不同应用、不同垂直行业的需求。
(2)网络切片信息
在网络部署了网络切片的情况下，终端设备注册到网络时，会触发网络切片的选择过程。网络切片的选择过程依赖于终端设备的签约数据、漫游协议、本地配置信息、运营商策略等信息。
当终端设备需要接入到网络切片时，向核心网提供请求的网络切片信息，用于核心网为终端设备选择网络切片实例。其中，请求的(requested)网络切片信息可以为请求的网络切片选择辅助信息(network slice selection assistance information，NSSAI)，记为requested NSSAI。NSSAI可以由一个或多个单网络切片选择辅助信息(single networkslice selection assistance information，S-NSSAI)构成，一个S-NSSAI用于标识一个单网络切片类型。由于NSSAI由一个或多个S-NSSAI组成，那么NSSAI可以替换为S-NSSAI或S-NSSAIs。
核心网网元在接收到请求的网络切片信息时，根据终端设备的签约数据、请求的网络切片信息、漫游协议、本地配置信息、运营商策略等信息，为终端设备选择允许接入的网络切片，并向终端设备发送允许接入的(allowed)网络切片信息，允许接入的网络切片信息可以是允许接入的NSSAI，记为allowed NSSAI。allowed NSSAI中，当前运营商网络允许接入的单网络切片选择辅助信息可用allowed S-NSSAI表示。其中，核心网网元可以是5G系统中的接入和移动性管理功能(access and mobility management function，AMF)网元，或网络切片选择功能(network slice selection function，NSSF)网元，或统一数据管理(unified data management，UDM)网元。
终端设备接收到allowed NSSAI时，可以根据allowed NSSAI，在会话建立请求的非接入层(non-access stratum，NAS)消息中携带相应的allowed NSSAI，以向接入和移动性管理功能网元请求接入相应的网络切片。终端设备也可在下次发送注册请求(携带requested NSSAI)时，在requested NSSAI中携带allowed NSSAI，并向接入网设备发送该requested NSSAI，接入网设备在接收到requested NSSAI时，根据requested NSSAI选择接入管理网元，例如AMF网元，为终端设备提供服务。
终端设备向接入网设备发送requested NSSAI时，可以理解为终端设备通过接入层(access stratum，AS)消息向接入网设备发送requested NSSAI，即requested NSSAI携带在AS消息中。由于AS消息未进行安全和隐私保护，因此AS消息所携带的内容存在被泄露的风险。例如，警用网络切片或消防用网络切片等隐私性和安全性要求较高的网络切片，如果在AS消息中携带这些网络切片对应的NSSAI，攻击者便可以区分警察或消防员用户与普通用户。再例如，窃听者可以截取AS消息中的NSSAI，从而判断某个区域是否存在警察局。又例如，窃听者可以截取AS消息中的NSSAI，判断某个用户最近接入的网络切片类型，从而推断此用户近期行为。因此，如何提高终端设备与接入网设备之间传输信息的安全性是亟待解决的技术问题。其中，传输的信息可以是网络切片信息，例如requested NSSAI；也可以是终端设备的能力信息，例如终端设备是否支持机密性保护。
鉴于此，目前提供一种方案用于解决上述技术问题，该方案是在终端设备与接入网设备之间预配置一些信息；终端设备使用预配置信息对在AS消息中携带的NSSAI进行安全保护处理(例如对NSSAI中的S-NSSAI进行加密，或使用S-NSSAI假名)；接入网设备在接收到处理过的NSSAI时，使用预配置信息获取NSSAI。因为预配置信息存在于终端设备与接入网设备之间，因此可以确保NSSAI在空口传输的安全性。
在一种实现方式中，预配置信息基于终端设备粒度。该种实现方式可参见图1所示的流程图，可包括：
步骤100，终端设备已经注册到核心网，5G非接入层(non-access stratum，NAS)已经建立。
步骤101，AMF网元生成随机参数(random，RAND)，使用allowed S-NSSAI和RAND计算得到临时S-NSSAI(temporary S-NSSAI，T-S-NSSAI)。随机参数可以理解为新鲜性参数。
AMF网元为终端设备生成RAND，使用该RAND和该终端设备对应的allowed NSSAI计算得到T-S-NSSAI(例如使用RAND作为机密性算法128-NEA1的加密密钥)。可以理解的是，T-S-NSSAI是经过安全保护的allowed NSSAI。AMF网元可以针对不同的终端设备生成不同的RAND。
步骤102，AMF网元向终端设备发送注册成功消息，注册成功消息包括T-S-NSSAI和allowed S-NSSAI。相应的，终端设备接收来自AMF网元的注册成功消息。
其中，T-S-NSSAI和allowed S-NSSAI可以二元组的形式携带在注册成功消息中。注册成功消息用于指示终端设备成功注册到核心网。注册成功消息可以是N1消息。
步骤103，AMF网元向接入网设备发送N2消息，N2消息包括RAND。相应的，接入网设备接收来自AMF网元的N2消息。
其中，N2消息包括AMF网元为终端设备生成的RAND。
可以理解的是，步骤100-步骤103为预配置过程，其中不限定执行步骤102和步骤103的先后顺序。步骤104和步骤105为使用预配置信息的过程。
步骤104，终端设备向接入网设备发送注册请求消息，注册请求消息包括T-S-NSSAI。相应的，接入网设备接收来自终端设备的注册请求消息。
步骤104为终端设备再次发送注册请求消息，该注册请求消息包括步骤102接收到的T-S-NSSAI，而在requested NSSAI中不携带allowed NSSAI。
步骤105，接入网设备根据RAND和T-S-NSSAI，计算得到allowed S-NSSAI。
接入网设备在接收到来自终端设备的注册请求消息时，根据步骤103接收到的RAND对T-S-NSSAI进行计算，以得到allowed NSSAI。例如使用RAND作为机密性算法128-NEA1的解密密钥对T-S-NSSAI进行解密得到allowed S-NSSAI。
图1所示的流程，预配置信息(例如RAND)基于终端设备粒度，属于终端设备的上下文信息。但是，在终端设备进入空闲态(idle)的情况下，接入网设备会删除终端设备的上下文信息，这样在终端设备再次发起注册请求时，接入网设备无法获得RAND，进而无法获得allowed NSSAI。并且，为了使得终端设备在移动过程中新连接的接入网设备可以正确处理终端设备提供的T-S-NSSAI，AMF网元需要对其所管辖的接入网设备上的终端设备的上下文信息进行更新，信令开销过大。
在另一种实现方式中，预配置信息基于公共陆地移动网(public land mobilenetwork，PLMN)粒度。该种实现方式可参见图2所示的流程图，可包括：
步骤201，接入网设备向AMF网元发送建立请求消息。相应的，AMF网元接收来自接入网设备的建立请求消息。
其中，建立请求消息携带基于跟踪区(tracking area，TA)粒度的S-NSSAI和T-S-NSSAI的二元组。
步骤202，AMF网元向接入网设备发送建立响应消息。相应的，接入网设备接收来自AMF网元得建立响应消息。
其中，建立响应消息携带基于PLMN粒度的S-NSSAI和T-S-NSSAI的二元组，以及随机参数RAND。
需要说明的是，步骤201和步骤202中，二元组的数量可以是一个或多个。
步骤203，AMF网元向终端设备发送注册成功消息，注册成功消息携带与步骤202中相同的T-S-NSSAI和RAND。
可以理解的是，步骤201-步骤203为预配置过程，步骤204和步骤205为使用预配置信息的过程。
步骤204，终端设备向接入网设备发送连接建立的接入层消息。相应的，接入网设备接收来自终端设备的连接建立的接入层消息。
终端设备将T-S-NSSAI、S-TMSI和RAND输入哈希运算，得到第一哈希值，并将第一哈希值携带在连接建立的接入层消息中。由于T-S-NSSAI的数量可能为多个，那么第一哈希值的数量可能为多个。连接建立的接入层消息，例如无线资源控制(radio resourcecontrol，RRC)连接建立完成消息。
步骤205，接入网设备计算得到第二哈希值。
接入网设备在接收到连接建立的接入层消息时，将自己存储的T-S-NSSAI和RAND，以及终端设备的S-TMSI，输入哈希运算，得到第二哈希值。接入网设备对比第一哈希值和第二哈希值，以确定S-NSSAI(例如，若第一哈希值和第二哈希值相同，则表示此时终端设备请求接入的S-NSSAI为T-S-NSSAI对应的allowed S-NSSAI)。进一步的，接入网设备根据确定的S-NSSAI，选择AMF网元，向选择的AMF网元发送初始NAS消息。
图2所示的流程，虽然可以解决图1所示流程的问题，但是所有终端设备会被配置相同的信息(例如T-S-NSSAI)以确定S-NSSAI。如果攻击者也通过网络注册流程获得步骤203携带的信息，那么攻击者也有能力监听和获取终端设备发送的S-NSSAI，导致接入网设备执行步骤205仍无法保证T-S-NSSAI的完全隐私性。
因此，本申请实施例提供一种信息保护方法及通信装置，可以提供终端设备与接入网设备之间传输信息的安全性，还可以解决图1和图2所示流程存在的问题，从而提高网络的安全性、可靠性。
在本申请实施例中的附图中，各个实施例所示的步骤，以及步骤之间的先后顺序用于举例，并不构成对本申请实施例的限定。应理解，执行图示中的部分步骤或调整步骤的顺序进行具体实施，均落在本申请的保护范围内。
本申请实施例描述的技术可用于各种通信系统，例如第四代(4th generation，4G)通信系统，4.5G通信系统，5G通信系统，多种通信系统融合的系统，或者未来演进的通信系统。
本申请实施例涉及的终端设备(也可称为终端)可以是一种具有无线收发功能的设备，可以部署在陆地上，包括室内或室外、手持或车载；也可以部署在水面上(如轮船等)；还可以部署在空中(例如飞机、气球和人造卫星上等)。终端设备可以是UE，UE包括具有无线通信功能的手持式设备、车载设备、穿戴式设备或计算设备。示例性地，UE可以是手机(mobile phone)、平板电脑或带无线收发功能的电脑。终端设备还可以是虚拟现实(virtual reality，VR)终端设备、增强现实(augmented reality，AR)终端设备、智能汽车(smart vehicle)终端设备、工业控制中的无线终端、无人驾驶中的无线终端、远程医疗中的无线终端、智能电网中的无线终端、智慧城市(smart city)中的无线终端、智慧家庭(smart home)中的无线终端、等等。本申请实施例中，用于实现终端设备的功能的装置可以是终端设备；也可以是能够支持终端设备实现该功能的装置，例如芯片系统，该装置可以被安装在终端设备中或者和终端设备匹配使用，例如处理器。在本申请实施例提供的技术方案中，以用于实现终端设备的功能的装置是终端设备为例，描述本申请实施例提供的技术方案。
本申请实施例涉及的接入网设备，可以包括基站(base station，BS)，可以是一种部署在无线接入网络中能够和终端设备进行无线通信的设备。其中，基站可能有多种形式，比如宏基站、微基站、中继站和接入点等。示例性地，本申请实施例涉及到的接入网设备可以是5G中的基站或长期演进(long term evolution，LTE)中的基站，其中，5G中的基站还可以称为发送接收点(transmission reception point，TRP)或下一代基站节点(nextgeneration Node B，gNB)。本申请实施例中，用于实现接入网设备的功能的装置可以是接入网设备；也可以是能够支持接入网设备实现该功能的装置，例如芯片系统，该装置可以被安装在接入网设备中或者和接入网设备匹配使用，例如处理器。本申请实施例中，芯片系统可以由芯片构成，也可以包括芯片和其他分立器件。在本申请实施例提供的技术方案中，以用于实现接入网设备的功能的装置是接入网设备为例，描述本申请实施例提供的技术方案。
请参见图3，为应用本申请实施例的网络架构示意图。图3包括接入网设备301和终端设备302。
在一种实现方式中，终端设备302根据第一密钥、随机参数和第一函数，生成第二密钥，并采用第二密钥对网络切片信息或终端设备302的能力信息等保护信息进行加密，得到第一加密保护信息；向接入网设备301发送第一请求消息，第一请求消息包括第一密钥标识、设备标识信息、随机参数和第一加密保护信息。接入网设备301在接收到第一请求消息时，确定设备标识信息对应的第一函数和第二函数；根据第一密钥标识、随机参数、第一函数和第二函数，生成第二密钥；采用第二密钥对第一加密保护信息进行解密，得到网络切片信息或终端设备302的能力信息等保护信息。
可选的，图3还包括接入管理网元303。接入管理网元303可以是5G系统中的AMF网元，或未来通信系统中与AMF网元具有相同功能的网元。接入管理网元303可以向接入网设备301提供设备标识信息与第一函数的标识信息以及第二函数的标识信息之间的对应关系，以便接入网设备301可以确定设备标识信息对应的第一函数和第二函数。
在一种实现方式中，终端设备302根据第二密钥、随机参数和第一加密算法对网络切片信息或终端设备302的能力信息等保护信息进行加密，得到第一加密保护信息；向接入网设备301发送第一请求消息，第一请求消息包括第一密钥标识、设备标识信息、随机参数和第一加密保护信息。接入网设备301在接收到第一请求消息时，确定设备标识信息对应的第一函数、第二函数和第一加密算法；根据第一密钥标识、第一函数和第二函数，生成第二密钥；根据第二密钥、随机参数和第一加密算法对第一加密保护信息进行解密，得到网络切片信息或终端设备302的能力信息等保护信息。
可选的，接入管理网元303可以向接入网设备301提供设备标识信息与第一函数的标识信息、第二函数的标识信息以及第一加密算法的算法标识之间的对应关系，以便接入网设备301可以确定设备标识信息对应的第一函数、第二函数和第一加密算法。
本申请实施例提供的信息保护方法，不仅可以应用于终端设备与接入网设备传输网络切片信息的场景，还可以应用于终端设备与接入网设备传输终端设备的能力信息的场景。
下面将对本申请实施例提供的信息保护方法进行具体阐述，终端设备以UE为例，接入管理网元以AMF为例。需要说明的是，本申请下述实施例中各个网元之间的消息名字或消息中各参数的名字等只是一个示例，具体实现中也可以是其他的名字，本申请实施例对此不作具体限定。
请参见图4，为本申请实施例一提供的信息保护方法的流程示意图，该流程可包括但不限于如下步骤：
步骤401，UE根据第一密钥、随机参数和第一函数，生成第二密钥，并采用第二密钥对保护信息进行加密，得到第一加密保护信息。
其中，第一密钥可表示为Key_1；随机参数为UE生成的随机参数RAND；第一函数是不可逆函数，可以是哈希函数，可表示为hash_1。第一密钥，随机参数和第一函数可通过步骤400c获得，具体可参见步骤400c的描述。第一函数也可以预配置在UE上，这样UE可以直接使用第一函数。
UE将Key_1和RAND输入hash_1，得到第二密钥，第二密钥可表示为Key_2。可选的，UE将Key_1、RAND以及UE标识(identifier，ID)输入hash_1，得到第二密钥。UE ID可以是UE的设备标识、国际移动用户识别码(international mobile subscriber identity，IMSI)、临时移动用户标识(temporary mobile subscriber identity，TMSI)、GUTI或S-TMSI等。UE生成第二密钥的过程可参见图4a所示，图4a中虚线表示可选的。
UE在生成第二密钥的情况下，采用第二密钥对保护信息进行加密，得到第一加密保护信息。其中，保护信息可以是网络切片信息，例如requested NSSAI或allowed NSSAI；也可以是UE的能力信息；还可以是需要在AS层保护的敏感信息。为了描述方便，保护信息以S-NSSAI为例进行描述，S-NSSAI可以是requested NSSAI或allowed S-NSSAI。第一加密保护信息即为采用Key_2对S-NSSAI进行加密保护得到的信息。
示例性的，UE对S-NSSAI的加密方式可以是：S-NSSAI XOR hash_1(Key_1XORRAND)。其中，XOR表示异或运算，将Key_1与RAND的异或结果输入hash_1，再将S-NSSAI与hash_1的输出结果进行异或，得到加密保护后的S-NSSAI。采用哈希运算和异或运算，计算开销较小。本申请实施例中，不限定采用第二密钥对保护信息进行加密的方式。
步骤402，UE向接入网设备发送第一请求消息。相应的，接入网设备接收来自UE的第一请求消息。
其中，第一请求消息包括第一密钥标识、设备标识信息、随机参数和第一加密保护信息。第一密钥标识可标识为Key_1ID，第一密钥标识可用于生成第一密钥，UE可通过步骤400c获得第一密钥标识，具体可参见步骤400c的描述。设备标识信息可以包括UE ID。UE ID与AMF网元ID存在对应关系。该对应关系可以是通过UE ID确定出UE对应的AMF网元ID，或UEID包括AMF网元ID。AMF网元ID可用于辅助确定设备标识信息对应的第一函数和第二函数。随机参数即UE生成的随机参数RAND。
步骤403，接入网设备确定设备标识信息对应的第一函数和第二函数。
接入网设备在接收到第一请求消息时，确定设备标识信息对应的第一函数和第二函数。该对应关系可以是设备标识信息对应的第一函数和第二函数，也可以是设备标识信息中UE ID对应的第一函数和第二函数，还可以是UE ID中的AMF网元ID对应的第一函数和第二函数。第二函数也是不可逆函数，可以是哈希函数，可表示为hash_2。第一函数和第二函数可以是同一类型的不同函数，也可以是不同类型的函数。可以理解的是，接入网设备确定AMF网元对应的hash_1和hash_2。
在一种实现方式中，接入网设备接收来自各个AMF网元的第一消息，第一消息包括第一函数的标识信息和第二函数的标识信息，建立各个AMF网元ID与第一函数的标识信息以及第二函数的标识信息之间的对应关系。这样，接入网设备在接收到第一请求消息时，可根据第一请求消息携带的AMF网元ID确定其对应的第一函数和第二函数。
可选的，第一消息还包括第一计算参数，第一计算参数可表示为a_1。接入网设备在建立对应关系时，建立各个AMF网元与第一函数的标识信息、第二函数的标识信息以及第一计算参数之间的对应关系。这样，接入网设备在接收到第一请求消息时，可确定AMF网元对应的第一函数、第二函数和第一计算参数。第一计算参数、第一密钥标识和第二函数可用于确定出第一密钥。
在一种实现方式中，接入网设备上存有第一函数的标识信息和第二函数的标识信息。接入网设备在接收到第一请求消息时，默认将存有的第一函数和第二函数作为AMF网元对应的第一函数和第二函数。
可选的，接入网设备上还存在第一计算参数，接入网设备默认将存有的第一计算参数作为AMF网元对应的第一计算参数。
上述第一函数的标识信息可以是第一函数的版本号(version)或函数标识等，例如hash_1version。上述第二函数的标识信息可以是第二函数的版本号或函数标识等。
步骤404，接入网设备根据第一密钥标识、随机参数、第一函数和第二函数，生成第二密钥。
接入网设备根据第一密钥标识和第二函数，生成第一密钥；根据第一密钥、随机参数和第一函数，生成第二密钥。
可选的，接入网设备根据第一密钥标识、第二函数和第一计算参数，生成第一密钥。例如，将第一密钥标识和第一计算参数输入第二函数，输出第一密钥。
可选的，接入网设备根据第一密钥、随机参数、UE ID以及第一函数，生成第二密钥。例如，将第一密钥、随机参数和UE ID输入第一函数，输出第二密钥。
接入网设备生成第二密钥的过程可参见图4b所示，图4b中虚线表示可选的。
步骤405，接入网设备采用第二密钥对第一加密保护信息进行解密，得到保护信息。
接入网设备采用第二密钥对第一加密保护信息进行解密，得到保护信息，这样便实现对UE向接入网设备发送的AS层敏感信息进行保护，有效防止窃听者从AS层消息中获取敏感信息。例如得到S-NSSAI。这样便实现对UE向接入网设备发送的S-NSSAI的保护，可以有效防止窃听者获得S-NSSAI。
可选的，步骤405之后，接入网设备根据获得的S-NSSAI以及第一请求消息中携带的信息，继续执行UE注册流程。
可选的，步骤401之前还包括步骤400a-步骤400c，可以理解的是，步骤400a-步骤400c为初始注册过程中的预配置过程，第一请求消息为后续注册过程中的注册请求消息。
步骤400a，接入网设备向AMF网元发送请求消息。相应的，AMF网元接收来自接入网设备的请求消息。
接入网设备在初始注册过程中，向AMF网元发送请求消息，该请求消息用于请求AMF网元对接入网设备进行初始配置，同时告知AMF网元该接入网设备支持的能力信息。该请求消息可以理解为配置请求消息或入网请求消息。请求消息例如可以是建立请求(setuprequest)消息。
步骤400b，AMF网元向接入网设备发送第一消息。相应的，接入网设备接收来自AMF网元的第一消息。
AMF网元在接收到请求消息时，向接入网设备发送第一消息，第一消息用于响应请求消息，例如可以是建立响应(setup response)消息。该响应消息用于AMF网元对接入网设备进行初始配置，可以理解为配置请求响应消息或入网请求响应消息。
其中，第一消息包括第一函数的标识信息和第二函数的标识信息。接入网设备在接收到第一消息时，建立AMF网元ID与第一函数的标识信息和第二函数的标识信息之间的对应关系，例如该对应关系可表示为AMF网元ID
Figure BDA0002517326370000141
{hash_1version，hash_2version}，以便接入网设备在接收到设备标识信息时，可以根据AMF网元ID确定出该AMF网元ID对应的第一函数和第二函数。
可选的，第一消息还包括第一计算参数。接入网设备建立AMF网元ID与第一函数的标识信息、第二函数的标识信息以及第一计算参数之间的对应关系，例如该对应关系可表示为AMF网元ID
Figure BDA0002517326370000142
{hash_1version，hash_1version，a_1}，以便接入网设备在接收到设备标识信息时，可以从设备标识信息中获取AMF网元ID，进一步确定出AMF网元ID对应的第一函数、第二函数和第一计算参数。
步骤400c，AMF网元向UE发送第三消息。相应的，UE接收来自AMF网元的第三消息。
AMF网元在初始注册过程中，向UE发送第三消息(例如注册成功消息)，第三消息包括第一函数的标识信息、第一密钥标识和第一密钥。第一密钥标识和第一密钥可以二元组的形式携带在第三消息。具体第三消息为初始注册过程中的何种消息，在本申请实施例中不作限定。
AMF网元向UE发送第一密钥和第一函数的标识信息，以便UE将第一密钥和随机参数输入第一函数，得到第二密钥。AMF网元向UE发送第一密钥标识，以便UE向接入网设备发送第一密钥标识，以便接入网设备根据第一密钥标识和第二函数，生成第一密钥，进而根据第一密钥和第一函数，生成第二密钥。
上述第一密钥也可以描述为第一层密钥，上述第二密钥也可以描述为第二层密钥。
在图4所示的实施例中，采用分层密钥的计算思想，使得保护信息的加密密钥可频繁更换，从而增加安全性。接入网设备上的预配置信息是第一函数和第二函数(可选的还包括第一计算参数)，UE上的预配置信息是第一函数、第一密钥标识和第一密钥，这些预配置信息不属于UE的上下文信息，从而克服图1的技术缺陷。不同UE生成的RAND不同，进而得到的第二密钥不同，使得对保护信息进行加密保护的密钥不同，从而克服图2的技术缺陷。
请参见图5，为本申请实施例二提供的信息保护方法的流程示意图，该流程可包括但不限于如下步骤：
步骤501，UE根据第二密钥、随机参数和第一加密算法对保护信息进行加密，得到第一加密保护信息。
其中，随机参数为UE生成的随机参数。第一加密算法是对保护信息进行加密或解密的算法。第二密钥和第一加密算法可通过步骤500c获得，具体可参见步骤500c的具体描述。第二密钥和第一加密算法也可以是预配置在UE上的默认信息。
示例性的，UE采用第二密钥，随机参数和第一加密算法对S-NSSAI进行加密，得到加密保护后的S-NSSAI，即第一加密保护信息。
步骤502，UE向接入网设备发送第一请求消息。相应的，接入网设备接收来自UE的第一请求消息。
其中，第一请求消息包括第一密钥标识、设备标识信息、随机参数和第一加密保护信息。第一密钥标识可用于确定第一密钥。设备标识信息可参见图4所示实施例中对设备标识信息的详细描述。随机参数即为UE生成的随机参数。
步骤503，接入网设备确定设备标识信息对应的第一函数、第二函数和第一加密算法。
接入网设备在接收到第一请求消息时，确定设备标识信息对应的第一函数、第二函数和第一加密算法。第一函数和第二函数均是不可逆函数，第一函数可表示为f1(x)，第二函数可表示为f2(x)。第一函数和第二函数可以是同一类型的不同函数，也可以是不同类型的函数。可以理解的是，接入网设备确定AMF网元对应的f1(x)、f2(x)和第一加密算法。
在一种实现方式中，接入网设备接收来自各个AMF网元的第一消息，第一消息包括第一函数的标识信息，第二函数的标识信息以及第一加密算法的算法标识，建立各个AMF网元ID与第一函数的标识信息，第二函数的标识信息以及第一加密算法的算法标识之间的对应关系。这样，接入网设备在接收到第一请求消息时，可根据第一请求消息携带的AMF网元ID确定其对应的第一函数、第二函数和第一加密算法。
在一种实现方式中，接入网设备上存有第一函数的标识信息、第二函数的标识信息以及第一加密算法的算法标识。接入网设备在接收到第一请求消息时，默认将存有的第一函数、第二函数以及第一加密算法作为AMF网元对应的第一函数、第二函数以及第一加密算法。
步骤504，接入网设备根据第一密钥标识、第一函数和第二函数，生成第二密钥。
接入网设备根据第一密钥标识和第一函数，生成第一密钥。即将第一密钥标识作为第一函数的输入，第一函数的输出即第一密钥。可选的，根据第一密钥标识、UE ID和第一函数，生成第一密钥。即将第一密钥标识、UE ID作为第一函数的输入，第一函数的输出即第一密钥。
接入网设备根据第一密钥和第二函数，生成第二密钥标识。即将第一密钥作为第二函数的输入，第一函数的输出即第二密钥标识。可选的，根据第一密钥标识、第一密钥和第二函数，生成第二密钥标识。即将第一密钥标识和第一密钥作为第二函数的输入，第二函数的输出即第二密钥标识。可选的，根据第一密钥、UE ID和第二函数，生成第二密钥标识。即将第一密钥和UE ID作为第二函数的输入，第二函数的输出即第二密钥标识。可选的，根据第一密钥标识、第一密钥、UE ID和第二函数，生成第二密钥标识。即将第一密钥标识、第一密钥和UE ID作为第二函数的输入，第二函数的输出即第二密钥标识。
接入网设备根据第二密钥标识和第一函数，生成第二密钥。即将第二密钥标识作为第一函数的输入，第一函数的输出即第二密钥。可选的，根据第二密钥标识、UE ID和第一函数，生成第二密钥。即将第二密钥标识和UE ID作为第一函数的输入，第一函数的输出即第二密钥。
在第一请求消息包括第一密钥标识的情况下，接入网设备生成第二密钥的过程可参见图5a所示。图5a中虚线表示可选的。
步骤505，接入网设备根据第二密钥、随机参数和第一加密算法对第一加密保护信息进行解密，得到保护信息。
接入网设备在得到第二密钥的情况下，采用第二密钥、第一请求消息包括的随机参数，以及确定的第一加密算法，对第一加密保护信息进行解密，得到保护信息。
示例性的，接入网设备采用第二密钥，随机参数和第一加密算法对第一加密保护信息进行加密，得到S-NSSAI。
可选的，步骤505之后，接入网设备根据获得的S-NSSAI以及第一请求消息中携带的信息，继续执行UE注册流程。
可选的，步骤501之前还包括步骤500a-步骤500c，可以理解的是，步骤500a-步骤500c为初始注册过程中的预配置过程，第一请求消息为后续注册过程中的注册请求消息。
步骤500a，接入网设备向AMF网元发送请求消息。相应的，AMF网元接收来自接入网设备的请求消息。该请求消息的功能与举例可见400a，此处不再赘述。
步骤500b，AMF网元向接入网设备发送第一消息。相应的，接入网设备接收来自AMF网元的第一消息。
其中，第一消息包括第一函数的标识信息、第二函数的标识信息以及第一加密算法的算法标识。接入网设备在接收到第一消息时，建立AMF网元ID与第一函数的标识信息、第二函数的标识信息以及第一加密算法的算法标识之间的对应关系，例如该对应关系可表示为AMF网元ID
Figure BDA0002517326370000161
{f1(x)version，f2(x)version，Enc ID}，以便接入网设备在接收到设备标识信息时，可以根据设备标识信息中的AMF网元ID，进一步确定出AMF网元ID对应的第一函数、第二函数以及第一加密算法。
步骤500c，AMF网元向UE发送第三消息。相应的，UE接收来自AMF网元的第三消息。
其中，第三消息包括第一密钥标识、第二密钥以及第一加密算法的算法标识。UE可在第一请求消息中携带第一密钥标识，以便接入网设备可以按照图5a所示的过程获得第二密钥。第二密钥和第一加密算法，用于UE对保护信息进行加密保护。其中，第三消息的定义可参见400c步骤，此处不再赘述。
在图5所示的实施例中，采用分层密钥的计算思想，使得保护信息的加密密钥可频繁更换，从而增加安全性。接入网设备上的预配置信息是第一函数、第二函数以及第一加密算法，UE上的预配置信息是第二密钥、第一密钥标识和第一加密算法，这些预配置信息不属于UE的上下文信息，从而克服图1的技术缺陷。不同UE生成的RAND不同，进而得到的第二密钥不同，使得对保护信息进行加密保护的密钥不同，从而克服图2的技术缺陷。
请参见图6，为本申请实施例三提供的信息保护方法的流程示意图，该流程可包括但不限于如下步骤：
步骤600a，接入网设备向AMF网元发送请求消息。相应的，AMF网元接收来自接入网设备的请求消息。
步骤600b，AMF网元向接入网设备发送第一消息。相应的，接入网设备接收来自AMF网元的第一消息。
其中，第一消息包括第一函数的标识信息和第一加密算法的算法标识。
步骤600c，AMF网元向UE发送第三消息。相应的，UE接收来自AMF网元的第三消息。
其中，第三消息包括第二密钥标识、第二密钥以及第一加密算法的算法标识。UE可在第一请求消息中携带第二密钥标识，以便接入网设备根据第二密钥标识和第一函数生成第二密钥。第二密钥和第一加密算法，用于UE对保护信息进行加密保护。
步骤601，UE根据第二密钥、随机参数和第一加密算法对保护信息进行加密，得到第一加密保护信息。步骤601可参见步骤501的具体描述，在此不再赘述。
步骤602，UE向接入网设备发送第一请求消息。相应的，接入网设备接收来自UE的第一请求消息。
其中，第一请求消息包括第二密钥标识、设备标识信息、随机参数和第一加密保护信息。
步骤603，接入网设备确定设备标识信息对应的第一函数和第一加密算法。
步骤604，接入网设备根据第二密钥标识和第一函数，生成第二密钥。
接入网设备将第二密钥标识输入第一函数，第一函数的输出即第二密钥。可选的，接入网设备将第二密钥标识和UE ID输入第一函数，第一函数的输出即第二密钥。
在第一请求消息包括第二密钥标识的情况下，接入网设备生成第二密钥的过程可参见图6a所示。图6a中虚线表示可选的。
步骤605，接入网设备根据第二密钥、随机参数和第一加密算法对第一加密保护信息进行解密，得到保护信息。步骤605可参见步骤505的具体描述，在此不再赘述。
图6所示实施例于图5所示实施例的不同之处在于，第一消息、第三消息以及第一请求消息携带的内容不同。图6所示实施例相比图5所示实施例，实现更为简单。图6所示实施例，可以保护UE向接入网设备发送的保护信息，可以克服图1和图2的技术缺陷。
请参见图7，为本申请实施例四提供的信息保护方法的流程示意图。图7在AMF网元感知接入网设备1被攻击者攻破的场景下，向除接入网设备1以外的其他接入网设备，例如接入网设备2发送第二消息，向UE发送第四消息。图7所示的流程可包括但不限于如下步骤：
步骤701，AMF网元感知接入网设备1被攻击者攻破。
AMF网元可在检测到接入网设备1的流量异常，或接入网设备1未上报信息的情况下，感知接入网设备1被攻击者攻破。具体检测接入网设备被攻击者攻破的方法，在本申请中不作限定。
步骤702，AMF网元向接入网设备2发送第二消息。相应的，接入网设备2接收来自AMF网元的第二消息。
其中，第二消息包括第三函数的标识信息和第四函数的标识信息。接入网设备在接收到第二消息时，建立AMF网元ID与第三函数的标识信息和第四函数的标识信息之间的对应关系。
可选的，第二消息还包括第二计算参数。接入网设备建立AMF网元ID与第三函数的标识信息、第四函数的标识信息以及第二计算参数之间的对应关系。
步骤703，AMF网元向UE发送第四消息。相应的，UE接收来自AMF网元的第四消息。
其中，第四消息包括第三函数的标识信息、第三密钥标识和第三密钥。
步骤704，UE根据第三密钥、随机参数和第三函数，生成第四密钥，并采用第四密钥对保护信息进行加密，得到第二加密保护信息。
步骤705，UE向接入网设备2发送第二请求消息。相应的，接入网设备2接收来自UE的第二请求消息。
其中，第二请求消息包括第三密钥标识、设备标识信息、随机参数和第二加密保护信息。第二请求消息中携带的随机参数可以与第一请求消息中携带的随机参数相同，或不同。例如UE在接收到第四消息，发送第二请求消息之前，重新生成一个随机参数，那么该随机参数与第一请求消息中携带的随机参数不同。
步骤706，接入网设备2确定设备标识信息对应的第三函数和第四函数。
步骤707，接入网设备2根据第三密钥标识、随机参数、第三函数和第四函数，生成第四密钥。
步骤708，接入网设备2采用第四密钥对第二加密保护信息进行解密，得到保护信息。
图7所示实施例基于图4所示实施例，相同或类似的地方可参见图4所示实施例的具体描述，不同之处在于，图4中接入网设备未被攻击者攻破，而图7中接入网设备1被攻击者攻破，AMF网元更新其他接入网设备的预配置信息以及UE的预配置信息。这样，接入网设备1在接收到第二加密保护信息时，无法使用之前的第二密钥获得保护信息，从而可以有效防止攻击者获取保护信息，进而提高网络的安全性、可靠性。
图7所示实施例的思想也可以应用于图5或图6所示的实施例中，即AMF网元在感知接入网设备1被攻击者攻破的情况下，按照图5或图6中的预配置信息，更新其他接入网设备的预配置信息以及UE的预配置信息。如应用于图5或图6所示的实施例中，则对其他接入网设备更新的预配置信息消息为第三函数的标识信息、第四函数的标识信息以及第二加密算法的算法标识。对应图5实施例中对UE更新的预配置信息为第三密钥标识、第四密钥以及第二加密算法的算法标识。对应图6实施例中对UE更新的预配置信息为第四密钥标识、第四密钥以及第二加密算法的算法标识。
请参见图8，为本申请实施例五提供的信息保护方法的流程示意图。图8在AMF网元感知UE为攻击者的场景下，告知接入网设备拒绝来自UE的注册请求消息。图8所示的流程可包括但不限于如下步骤：
步骤801，AMF网元感知UE为攻击者。
AMF网元感知UE为攻击者的方法在本申请实施例中不作限定。UE可通过图4或图5或图6所示流程中的预配置过程，获取预配置信息。
步骤802，AMF网元向接入网设备发送指示消息。相应的，接入网设备接收来自AMF网元的指示消息。
其中，指示消息用于指示非法密钥标识信息。
步骤803，UE向接入网设备发送第一请求消息。相应的，接入网设备接收来自UE的第一请求消息。
步骤804，若第一请求消息包括的密钥标识与非法密钥标识信息匹配，则拒绝第一请求消息。
基于图4所示的实施例，第一请求消息包括第一密钥标识。若第一密钥标识与非法密钥标识信息匹配，则接入网设备拒绝第一请求消息。
基于图5所示的实施例，第一请求消息包括第一密钥标识。若第一密钥标识与非法密钥标识信息匹配，则接入网设备拒绝第一请求消息。
基于图6所示的实施例，第一请求消息包括第二密钥标识。若第二密钥标识与非法密钥标识信息匹配，则接入网设备拒绝第一请求消息。
图8所示的实施例中，AMF网元在感知UE为攻击者的情况下，可通知接入网设备拒绝该UE的注册请求消息，从而可以提高安全性。
相应于上述方法实施例给出的方法，本申请实施例还提供了相应的装置，包括用于执行上述实施例相应的单元。所述单元可以是软件，也可以是硬件，或者是软件和硬件结合。
请参见图9，为本申请提供的一种通信装置的结构示意图。图9所示的通信装置900包括收发单元901和处理单元902。
在一种设计中，装置900为接入网设备：
示例性的，收发单元901，用于接收来自终端设备的第一请求消息，第一请求消息包括第一密钥标识、设备标识信息、随机参数和第一加密保护信息；确定设备标识信息对应的第一函数和第二函数；
处理单元902，用于根据第一密钥标识、随机参数、第一函数和第二函数，生成第二密钥；采用第二密钥对第一加密保护信息进行解密，得到保护信息。
装置900为接入网设备时，用于实现图4、图5、图6、图7或图8所示实施例中接入网设备的功能，具体可参见图4、图5、图6、图7或图8所示实施例中接入网设备的相应描述。
在一种设计中，装置900为终端设备：
处理单元902，用于根据第一密钥、随机参数和第一函数，生成第二密钥，采用第二密钥对保护信息进行加密，得到第一加密保护信息；
收发单元901，用于向接入网设备发送第一请求消息，第一请求消息包括第一密钥标识、设备标识信息、随机参数和第一加密保护信息；第一密钥标识用于生成第一密钥。
装置900为终端设备时，用于实现图4、图5、图6、图7或图8所示实施例中UE的功能，具体可参见图4、图5、图6、图7或图8所示实施例中UE的相应描述。
请参见图10，为本申请提供的另一种通信装置的结构示意图。图10所示的通信装置1000包括至少一个处理器1001、存储器1002，可选的，还可包括通信接口1003。
存储器1002可以是易失性存储器，例如随机存取存储器；存储器也可以是非易失性存储器，例如只读存储器，快闪存储器，硬盘(hard disk drive，HDD)或固态硬盘(solid-state drive，SSD)、或者存储器1002是能够用于携带或存储具有指令或数据结构形式的期望的程序代码并能够由计算机存取的任何其他介质，但不限于此。存储器1002可以是上述存储器的组合。
本申请实施例中不限定上述处理器1001以及存储器1002之间的具体连接介质。本申请实施例在图中以存储器1002和处理器1001之间通过总线1004连接，总线1004在图中以粗线表示，其它部件之间的连接方式，仅是进行示意性说明，并不引以为限。该总线1004可以分为地址总线、数据总线、控制总线等。为便于表示，图10中仅用一条粗线表示，但并不表示仅有一根总线或一种类型的总线。
处理器1001可以具有数据收发功能，能够与其他设备进行通信，在如图10装置中，也可以设置独立的数据收发模块，例如通信接口1003，用于收发数据；处理器1001在与其他设备进行通信时，可以通过通信接口1003进行数据传输。
一种示例中，当接入网设备采用图10所示的形式时，图10中的处理器可以通过调用存储器1002中存储的计算机执行指令，使得接入网设备执行上述任一方法实施例中的接入网设备执行的方法。
一种示例中，当终端设备采用图10所示的形式时，图10中的处理器可以通过调用存储器1002中存储的计算机执行指令，使得UE执行上述任一方法实施例中的UE执行的方法。
具体的，图9的处理单元和收发单元的功能/实现过程均可以通过图10中的处理器1001调用存储器1002中存储的计算机执行指令来实现。或者，图9的处理单元的功能/实现过程可以通过图10中的处理器1001调用存储器1002中存储的计算机执行指令来实现，图9的收发单元的功能/实现过程可以通过图10中的通信接口1003来实现。
本申请实施例还提供一种通信系统，该系统可以包括图4、图5、图6、图7或图8中的接入网设备和UE。可选的，还包括AMF网元。
可以理解的是，本申请实施例中的一些可选的特征，在某些场景下，可以不依赖于其他特征，比如其当前所基于的方案，而独立实施，解决相应的技术问题，达到相应的效果，也可以在某些场景下，依据需求与其他特征进行结合。相应的，本申请实施例中给出的装置也可以相应的实现这些特征或功能，在此不予赘述。
本领域技术人员还可以理解到本申请实施例列出的各种说明性逻辑块(illustrative logical block)和步骤(step)可以通过电子硬件、电脑软件，或两者的结合进行实现。这样的功能是通过硬件还是软件来实现取决于特定的应用和整个系统的设计要求。本领域技术人员对于相应的应用，可以使用各种方法实现所述的功能，但这种实现不应被理解为超出本申请实施例保护的范围。
本申请所描述的方案可通过各种方式来实现。例如，这些技术可以用硬件、软件或者硬件结合的方式来实现。对于硬件实现，用于在通信装置(例如，基站，终端、网络实体、核心网网元或芯片)处执行这些技术的处理单元，可以实现在一个或多个通用处理器、数字信号处理器(digital signal processor，DSP)、数字信号处理器件、专用集成电路(application specific integrated circuit，ASIC)、可编程逻辑器件、现场可编程门阵列(field programmable gate array，FPGA)、或其它可编程逻辑装置，离散门或晶体管逻辑，离散硬件部件，或上述任何组合中。通用处理器可以为微处理器，可选地，该通用处理器也可以为任何传统的处理器、控制器、微控制器或状态机。处理器也可以通过计算装置的组合来实现，例如数字信号处理器和微处理器，多个微处理器，一个或多个微处理器联合一个数字信号处理器核，或任何其它类似的配置来实现。
可以理解，本申请实施例中的存储器可以是易失性存储器或非易失性存储器，或可包括易失性和非易失性存储器两者。其中，非易失性存储器可以是只读存储器(read-only memory，ROM)、可编程只读存储器(programmable ROM，PROM)、可擦除可编程只读存储器(erasable PROM，EPROM)、电可擦除可编程只读存储器(electrically EPROM，EEPROM)或闪存。易失性存储器可以是随机存取存储器(random access memory，RAM)，其用作外部高速缓存。通过示例性但不是限制性说明，许多形式的RAM可用，例如静态随机存取存储器(static RAM，SRAM)、动态随机存取存储器(dynamic RAM，DRAM)、同步动态随机存取存储器(synchronous DRAM，SDRAM)、双倍数据速率同步动态随机存取存储器(double data rateSDRAM，DDR SDRAM)、增强型同步动态随机存取存储器(enhanced SDRAM，ESDRAM)、同步连接动态随机存取存储器(synchlink DRAM，SLDRAM)和直接内存总线随机存取存储器(directrambus RAM，DR RAM)。应注意，本文描述的系统和方法的存储器旨在包括但不限于这些和任意其它适合类型的存储器。
本申请还提供了一种计算机可读介质，其上存储有计算机程序，该计算机程序被计算机执行时实现上述任一方法实施例的功能。
本申请还提供了一种计算机程序产品，该计算机程序产品被计算机执行时实现上述任一方法实施例的功能。
可以理解，在本申请中，“当…时”、“若”以及“如果”均指在某种客观情况下装置会做出相应的处理，并非是限定时间，且也不要求装置实现时一定要有判断的动作，也不意味着存在其它限定。
本申请中的“同时”可以理解为在相同的时间点，也可以理解为在一段时间段内，还可以理解为在同一个周期内。
本申请中对于使用单数表示的元素旨在用于表示“一个或多个”，而并非表示“一个且仅一个”，除非有特别说明。本申请中，在没有特别说明的情况下，“至少一个”旨在用于表示“一个或者多个”，“多个”旨在用于表示“两个或两个以上”。
另外，本文中术语“系统”和“网络”在本文中常被可互换使用。本文中术语“和/或”，仅仅是一种描述关联对象的关联关系，表示可以存在三种关系，例如，A和/或B，可以表示：单独存在A，同时存在A和B，单独存在B这三种情况，其中A可以是单数或者复数，B可以是单数或者复数。
可以理解，在本申请各实施例中，“与A相应的B”表示B与A相关联，根据A可以确定B。但还应理解，根据A确定B并不意味着仅仅根据A确定B，还可以根据A和/或其它信息确定B。
本申请中各表所示的对应关系可以被配置，也可以是预定义的。各表中的信息的取值仅仅是举例，可以配置为其他值，本申请并不限定。在配置信息与各参数的对应关系时，并不一定要求必须配置各表中示意出的所有对应关系。例如，本申请中的表格中，某些行示出的对应关系也可以不配置。又例如，可以基于上述表格做适当的变形调整，例如，拆分，合并等等。上述各表中标题示出参数的名称也可以采用通信装置可理解的其他名称，其参数的取值或表示方式也可以通信装置可理解的其他取值或表示方式。上述各表在实现时，也可以采用其他的数据结构，例如可以采用数组、队列、容器、栈、线性表、指针、链表、树、图、结构体、类、堆、散列表或哈希表等。
本申请中的预定义可以理解为定义、预先定义、存储、预存储、预协商、预配置、固化、或预烧制。
本领域普通技术人员可以理解，为描述的方便和简洁，上述描述的系统、装置和单元的具体工作过程，可以参考前述方法实施例中的对应过程，在此不再赘述。
本申请中各个实施例之间相同或相似的部分可以互相参考。在本申请中各个实施例、以及各实施例中的各个实施方式/实施方法/实现方法中，如果没有特殊说明以及逻辑冲突，不同的实施例之间、以及各实施例中的各个实施方式/实施方法/实现方法之间的术语和/或描述具有一致性、且可以相互引用，不同的实施例、以及各实施例中的各个实施方式/实施方法/实现方法中的技术特征根据其内在的逻辑关系可以组合形成新的实施例、实施方式、实施方法、或实现方法。以上所述的本申请实施方式并不构成对本申请保护范围的限定。
以上所述，仅为本申请的具体实施方式，但本申请的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本申请揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本申请的保护范围之内。

Claims (24)

1.一种信息保护方法，其特征在于，包括：
接入网设备接收来自终端设备的第一请求消息，所述第一请求消息包括第一密钥标识、设备标识信息、随机参数和第一加密保护信息；
所述接入网设备确定所述设备标识信息对应的第一函数和第二函数；
所述接入网设备根据所述第一密钥标识、所述随机参数、所述第一函数和所述第二函数，生成第二密钥；
所述接入网设备采用所述第二密钥对所述第一加密保护信息进行解密，得到保护信息。
2.根据权利要求1所述的方法，其特征在于，所述接入网设备确定所述设备标识信息对应的第一函数和第二函数，包括：
所述接入网设备根据所述设备标识信息与第一函数的标识信息以及第二函数的标识信息之间的对应关系，确定所述设备标识信息对应的第一函数和第二函数。
3.根据权利要求1或2所述的方法，其特征在于，所述接入网设备根据所述第一密钥标识、所述随机参数、所述第一函数和所述第二函数，生成第二密钥，包括：
所述接入网设备根据所述第一密钥标识和所述第二函数，生成第一密钥；
所述接入网设备根据所述第一密钥、所述随机参数和所述第一函数，生成第二密钥。
4.根据权利要求3所述的方法，其特征在于，所述接入网设备根据所述第一密钥、所述随机参数和所述第一函数，生成第二密钥，包括：
所述接入网设备根据所述第一密钥、所述随机参数、所述设备标识信息和所述第一函数，生成第二密钥。
5.根据权利要求1所述的方法，其特征在于，所述方法还包括：
所述接入网设备根据所述设备标识信息与第一计算参数之间的对应关系，确定所述设备标识信息对应的第一计算参数；
所述接入网设备根据所述第一密钥标识、所述随机参数、所述第一函数和所述第二函数，生成第二密钥，包括：
所述接入网设备根据所述第一密钥标识、所述随机参数、所述第一函数、所述第二函数和所述第一计算参数，生成第二密钥。
6.根据权利要求5所述的方法，其特征在于，所述方法还包括：
所述接入网设备接收来自接入管理网元的第一消息，所述第一消息包括所述第一函数的标识信息、所述第二函数的标识信息和所述第一计算参数；
所述接入网设备建立所述接入管理网元的标识信息与所述第一函数的标识信息、所述第二函数的标识信息以及所述第一计算参数之间的对应关系。
7.根据权利要求6所述的方法，其特征在于，所述方法还包括：
所述接入网设备接收来自所述接入管理网元的第二消息，所述第二消息包括第三函数的标识信息、第四函数的标识信息和第二计算参数；
所述接入网设备建立所述接入管理网元的标识信息与所述第三函数的标识信息、所述第四函数的标识信息以及所述第二计算参数之间的对应关系。
8.根据权利要求7所述的方法，其特征在于，所述方法还包括：
所述接入网设备接收来自所述终端设备的第二请求消息，所述第二请求消息包括第三密钥标识、所述设备标识信息、所述随机参数和第二加密保护信息；
所述接入网设备根据所述接入管理网元的标识信息与所述第三函数的标识信息、所述第四函数的标识信息以及所述第二计算参数之间的对应关系，确定所述设备标识信息对应的所述第三函数、所述第四函数和所述第二计算参数；
所述接入网设备根据所述第三密钥标识、所述随机参数、所述第三函数、所述第四函数和所述第二计算参数，生成所述第四密钥；
所述接入网设备采用所述第四密钥对所述第二加密保护信息进行解密，得到所述保护信息。
9.根据权利要求1-8任一项所述的方法，其特征在于，所述方法还包括：
所述接入网设备接收来自所述接入管理网元的指示消息，所述指示消息用于指示非法密钥标识信息；
若所述第一密钥标识与所述非法密钥标识信息匹配，所述接入网设备拒绝所述第一请求消息。
10.一种信息保护方法，其特征在于，包括：
终端设备根据第一密钥、随机参数和第一函数，生成第二密钥，并采用所述第二密钥对保护信息进行加密，得到第一加密保护信息；
所述终端设备向接入网设备发送第一请求消息，所述第一请求消息包括第一密钥标识、设备标识信息、所述随机参数和所述第一加密保护信息；所述第一密钥标识用于生成所述第一密钥。
11.根据权利要求10所述的方法，其特征在于，所述终端设备根据第一密钥、随机参数和第一函数生成第二密钥，包括：
所述终端设备根据第一密钥、随机参数、所述设备标识信息和第一函数，生成第二密钥。
12.根据权利要求10或11所述的方法，其特征在于，所述方法还包括：
所述终端设备接收来自接入管理网元的第三消息，所述第三消息包括所述第一函数的标识信息、所述第一密钥和所述第一密钥标识。
13.根据权利要求12所述的方法，其特征在于，所述方法还包括：
所述终端设备接收来自所述接入管理网元的第四消息，所述第四消息包括第三函数的标识信息、第三密钥和第三密钥标识；
所述终端设备根据所述第三密钥、所述随机参数和所述第三函数，生成第四密钥，并采用所述第四密钥对所述保护信息进行加密，得到第二加密保护信息；
所述终端设备向所述接入网设备发送第二请求消息，所述第二请求消息包括所述第三密钥标识、所述设备标识信息、所述随机参数和所述第二加密保护信息，所述第三密钥标识用于生成所述第三密钥。
14.一种通信系统，其特征在于，包括接入网设备和终端设备；
所述终端设备，用于根据第一密钥、随机参数和第一函数，生成第二密钥，并采用所述第二密钥对保护信息进行加密，得到第一加密保护信息；向接入网设备发送第一请求消息，所述第一请求消息包括第一密钥标识、设备标识信息、所述随机参数和所述第一加密保护信息；所述第一密钥标识用于生成所述第一密钥；
所述接入网设备，用于接收所述第一请求消息；确定所述设备标识信息对应的第一函数和第二函数；根据所述第一密钥标识、所述随机参数、所述第一函数和所述第二函数，生成第二密钥；采用所述第二密钥对所述第一加密保护信息进行解密，得到保护信息。
15.根据权利要求14所述的系统，其特征在于，
所述接入网设备，还用于根据所述设备标识信息与第一计算参数之间的对应关系，确定所述设备标识信息对应的第一计算参数。
16.根据权利要求15所述的系统，其特征在于，
所述接入网设备，还用于接收来自接入管理网元的第一消息，所述第一消息包括所述第一函数的标识信息、所述第二函数的标识信息和所述第一计算参数；建立所述接入管理网元的标识信息与所述第一函数的标识信息、所述第二函数的标识信息以及所述第一计算参数之间的对应关系；
所述终端设备，还用于接收来自所述接入管理网元的第三消息，所述第三消息包括所述第一函数的标识信息、所述第一密钥和所述第一密钥标识。
17.根据权利要求16所述的系统，其特征在于，
所述接入网设备，还用于接收来自所述接入管理网元的第二消息，所述第二消息包括第三函数的标识信息、第四函数的标识信息和第二计算参数；建立所述接入管理网元的标识信息与所述第三函数的标识信息、所述第四函数的标识信息以及所述第二计算参数之间的对应关系。
18.根据权利要求17所述的系统，其特征在于，
所述终端设备，还用于接收来自所述接入管理网元的第四消息，所述第四消息包括第三函数的标识信息、第三密钥和第三密钥标识；根据所述第三密钥、所述随机参数和所述第三函数，生成第四密钥，并采用所述第四密钥对所述保护信息进行加密，得到第二加密保护信息；向所述接入网设备发送第二请求消息，所述第二请求消息包括所述第三密钥标识、所述设备标识信息、所述随机参数和所述第二加密保护信息，所述第三密钥标识用于生成所述第三密钥；
所述接入网设备，还用于接收所述第二请求消息，根据所述接入管理网元的标识信息与所述第三函数的标识信息、所述第四函数的标识信息以及所述第二计算参数之间的对应关系，确定所述设备标识信息对应的所述第三函数、所述第四函数和所述第二计算参数；根据所述第三密钥标识、所述随机参数、所述第三函数、所述第四函数和所述第二计算参数，生成所述第四密钥；采用所述第四密钥对所述第二加密保护信息进行解密，得到所述保护信息。
19.根据权利要求16-18任一项所述的系统，其特征在于，
所述接入网设备，还用于接收来自所述接入管理网元的指示消息，所述指示消息用于指示非法密钥标识信息；
若所述第一密钥标识与所述非法密钥标识信息匹配，所述接入网设备，还用于拒绝所述第一请求消息。
20.一种通信装置，其特征在于，所述装置包括处理单元和收发单元，所述处理单元和所述收发单元用于所述装置执行权利要求1至9中任一项所述的方法，或者，用于执行权利要求10至13中任一项所述的方法。
21.一种通信装置，其特征在于，所述装置用于执行权利要求1至9中任一项所述的方法，或者，用于执行权利要求10至13中任一项所述的方法。
22.一种通信装置，包括：处理器，所述处理器与存储器耦合，所述存储器用于存储程序或指令，当所述程序或指令被所述处理器执行时，使得所述装置执行如权利要求1至9中任一项所述的方法，或者，执行权利要求10至13中任一项所述的方法。
23.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，所述计算机程序被执行时使得计算机执行如权利要求1至9中任一项所述的方法，或者，如权利要求10至13中任一项所述的方法。
24.一种芯片，其特征在于，包括处理器，所述处理器与存储器耦合，所述存储器用于存储程序，当所述程序被所述处理器执行时，使得包含所述芯片的装置执行如权利要求1至9中任一项所述的方法，或者，如权利要求10至13中任一项所述的方法。
CN202010480899.7A 2020-05-30 2020-05-30 信息保护方法、系统及通信装置 Pending CN113766495A (zh)

Priority Applications (2)

Application Number Priority Date Filing Date Title
CN202010480899.7A CN113766495A (zh) 2020-05-30 2020-05-30 信息保护方法、系统及通信装置
PCT/CN2021/096968 WO2021244447A1 (zh) 2020-05-30 2021-05-28 信息保护方法、系统及通信装置

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202010480899.7A CN113766495A (zh) 2020-05-30 2020-05-30 信息保护方法、系统及通信装置

Publications (1)

Publication Number Publication Date
CN113766495A true CN113766495A (zh) 2021-12-07

Family

ID=78782415

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202010480899.7A Pending CN113766495A (zh) 2020-05-30 2020-05-30 信息保护方法、系统及通信装置

Country Status (2)

Country Link
CN (1) CN113766495A (zh)
WO (1) WO2021244447A1 (zh)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN116011041A (zh) * 2022-12-07 2023-04-25 成都海光集成电路设计有限公司 密钥管理方法、数据保护方法、系统、芯片及计算机设备
WO2024031724A1 (zh) * 2022-08-12 2024-02-15 北京小米移动软件有限公司 终端设备能力指示方法及装置

Families Citing this family (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN114339737B (zh) * 2021-12-23 2023-06-09 咻享智能(深圳)有限公司 无线通讯指令加密方法及相关设备
CN114499888B (zh) * 2022-02-17 2024-02-02 上海焜耀网络科技有限公司 一种用于签名服务的私钥保护、解析方法与设备

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2006295334A (ja) * 2005-04-06 2006-10-26 Ntt Docomo Inc 認証情報提供サーバおよび認証情報提供方法
CN1992587A (zh) * 2005-12-29 2007-07-04 摩托罗拉公司 基于身份的加密系统
US20140192976A1 (en) * 2012-10-31 2014-07-10 Snu R&Db Foundation Method and system for id-based encryption and decryption

Family Cites Families (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN107846676A (zh) * 2016-09-20 2018-03-27 北京信威通信技术股份有限公司 基于网络切片安全架构的安全通信方法和系统
CN110800332A (zh) * 2017-06-29 2020-02-14 华为国际有限公司 网络切片分配方法、设备及系统

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2006295334A (ja) * 2005-04-06 2006-10-26 Ntt Docomo Inc 認証情報提供サーバおよび認証情報提供方法
CN1992587A (zh) * 2005-12-29 2007-07-04 摩托罗拉公司 基于身份的加密系统
US20140192976A1 (en) * 2012-10-31 2014-07-10 Snu R&Db Foundation Method and system for id-based encryption and decryption

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
3GPP: "Technical Specification Group Services and System Aspects; Security Aspects; Study on Security Aspects of Enhanced Network Slicing (Release 16)", 《3GPP SPECS\ARCHIVE》 *

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2024031724A1 (zh) * 2022-08-12 2024-02-15 北京小米移动软件有限公司 终端设备能力指示方法及装置
CN116011041A (zh) * 2022-12-07 2023-04-25 成都海光集成电路设计有限公司 密钥管理方法、数据保护方法、系统、芯片及计算机设备

Also Published As

Publication number Publication date
WO2021244447A1 (zh) 2021-12-09

Similar Documents

Publication Publication Date Title
US10880747B2 (en) Network slice allocation method, device, and system
KR102358918B1 (ko) 무선 통신 시스템에서 서비스에 따른 보안 관리 방법 및 장치
CN110121168B (zh) 安全协商方法及装置
US11510052B2 (en) Identity information processing method, device, and system
US20200228977A1 (en) Parameter Protection Method And Device, And System
CN113766495A (zh) 信息保护方法、系统及通信装置
US11902787B2 (en) Method and apparatus for handling security policies in V2X communication system
EP3485624B1 (en) Operation related to user equipment using secret identifier
TWI812678B (zh) 終端訊息的傳遞方法及相關產品
KR20160078426A (ko) 무선 직접통신 네트워크에서 비대칭 키를 사용하여 아이덴티티를 검증하기 위한 방법 및 장치
JP6904363B2 (ja) システム、基地局、コアネットワークノード、及び方法
US10172003B2 (en) Communication security processing method, and apparatus
CN108702303B (zh) 一种为无线承载进行安全配置方法和设备
CN114079915A (zh) 确定用户面安全算法的方法、系统及装置
CN110050436B (zh) 数据传输方法、用户设备和控制面节点
CN116235524A (zh) 一种安全通信方法以及装置
EP3622736B1 (en) Privacy key in a wireless communication system
WO2022174419A1 (zh) 一种根密钥保护方法和系统
CN115885496B (zh) 一种通信方法及相关装置
CN112654043A (zh) 注册方法及装置
US11979743B2 (en) Systems and methods for secure access to 5G non-public networks using mobile network operator credentials
CN111741467B (zh) 一种鉴权方法及装置
CN117692902B (zh) 一种基于嵌入式家庭网关的智能家居的交互方法及系统
CN115334457A (zh) 组寻呼的方法和装置
CN115915114A (zh) 注册方法及装置

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
RJ01 Rejection of invention patent application after publication
RJ01 Rejection of invention patent application after publication

Application publication date: 20211207