CN114640992A - 更新用户身份标识的方法和装置 - Google Patents

Abstract

本申请提供了更新用户身份标识的方法和装置，在本申请的技术方案中，核心网设备负责管理终端设备身份标识和身份之间的关联关系，并且可以接收来自终端设备的身份标识更新请求，更新数据库中的终端设备的身份标识和身份之间的关联关系，以便用户自主选择向不同外部应用功能体提供不同身份标识时判断终端设备的真实性。

Description

更新用户身份标识的方法和装置

技术领域

本申请涉及通信领域，并且更具体地，涉及更新用户身份标识的方法和装置。

背景技术

目前，终端设备在和外部应用功能体建立应用连接时，外部应用功能体会参考核心网 对终端设备的鉴权结果来确保终端设备的真实性。

现有的应用的身份验证和密钥管理/通用引导架构(authentication and keymanagement for applications/generic bootstrapping architecture，AKMA/GBA)架构在标准上支持由核心 网的认证服务器功能(authentication server function，AUSF)网元向外部应用功能体提供 终端设备的确认鉴权服务。然而，在该方案中，终端设备向外部应用功能体所提出的服务 请求需要关联上终端设备的唯一标识(例如密钥标识等)，由核心网唯一确定终端设备的 上下文，来判断与外部应用功能体交互的终端设备的真实性。因此，在该方案中，终端设 备的隐私是难以保障的。

针对上述问题，第三代合作伙伴计划(3rd generation partnership project，3GPP)的 UUI5在TR22.904提出以用户为中心的身份标识和认证架构。在该架构中，用户身份可以 关联多个身份标识，并且由核心网中的设备充当身份提供者的角色。并且在该架构中，具 有让用户自主选择向外部应用功能体提供的身份标识的需求。这个需求在隐私保护上、以 及在账户隔离上都有重要的优势，例如，用户在私人时间可以用与公司账户无关的身份标 识接入服务。

上述需求则要求核心网设备能够更新用户身份所关联的身份标识。

发明内容

本申请提供一种更新用户身份标识的方法和装置，能够实现在核心网设备更新用户身 份所关联的身份标识。

第一方面，本申请提供了一种更新用户身份标识的方法，所述方法包括：

锚点网元接收来自第一设备的第一请求消息，所述第一请求消息用于请求在第二设备 存储的关联关系中添加第一标识，所述第一标识为终端设备的身份标识，所述关联关系包 括所述终端设备的身份与所述终端设备的身份标识的关联关系，所述第二设备为核心网设 备；所述锚点网元向所述第二设备发送第二请求消息，所述第二请求消息用于请求在所述 第二设备存储的所述关联关系中添加所述第一标识；所述锚点网元接收来自所述第二设备 的第一通知消息，所述第一通知消息用于通知所述第一标识添加完成；所述锚点网元向第 一设备发送第二通知消息，所述第二通知消息用于通知所述第一标识添加完成。

在上述技术方案中，核心网设备负责管理终端设备身份标识和身份之间的关联关系， 并且可以接收来自终端设备的身份标识更新请求，更新数据库中的终端设备的身份标识和 身份之间的关联关系，以便用户自主选择向不同外部应用功能体提供不同身份标识时判断 终端设备的真实性。

结合第一方面，在一种可能的实现方式中，所述第一设备为所述终端设备或负责为终 端设备颁发证书的颁发设备。

在本申请中，若颁发设备可以与核心网直接连接，当终端设备请求颁发设备为终端设 备创建的身份标识时，颁发设备可以直接连接核心网，将为终端设备创建的新的身份标识 配置到核心网中，也可以将为终端设备创建的新的身份标识颁发给终端设备，再由终端设 备将该身份标识配置到核心网中。若颁发设备与核心网之间没有连接通道，当终端设备请 求颁发者为终端设备创建的身份标识时，颁发设备需要将为终端设备创建的新的身份标识 颁发给终端设备，再由终端设备将该身份标识配置到核心网中。

结合第一方面或上述任一种的实现方式，在另一种可能的实现方式中，当所述第一设 备为所述颁发设备时，所述第一请求消息还包括第一授权信息和所述颁发设备的签名，所 述第一授权信息用于验证所述终端设备对所述颁发设备的授权和/或用于进行完整性保 护。

在上述技术方案中，若由颁发设备直接将为终端设备创建的新的身份标识配置到核心 网中，则需要由终端设备授权颁发设备将创建的身份标识配置到核心网，这样，颁发设备 不会在不受终端设备控制和需求的情况下私自改变终端设备在核心网中的身份标识；终端 设备也需要在每次配置中确认颁发者是否已经为自己完成了标识配置。

此外，从核心网来看，标识更新的操作由颁发设备来执行完成，可以降低标识更新流 程的复杂度，尤其是当核心网拒绝为某个身份标识的关联做出响应时，本实施例中颁发设 备有灵活更换新标识的能力。

结合第一方面或上述任一种的实现方式，在另一种可能的实现方式中，在所述锚点网 元向所述第二设备发送第二请求消息之前，所述方法还包括：所述锚点网元确定所述第一 请求消息有效；和/或，所述锚点网元确定所述第一标识有效。

由于终端设备的身份标识会关联用户的账户信息，比如用户数据、账户余额、偏好等， 因此保证终端设备的身份标识的有效性和合法性十分重要。因此，在本申请实施例中，核 心网在处理终端设备发起的身份标识更新时，需要确保身份标识可有效性，避免将不符合 要求的身份标识(例如，已经与其他终端设备建立绑定关系的身份标识等)关联到该终端 设备的身份中。

结合第一方面或上述任一种的实现方式，在另一种可能的实现方式中，所述锚点网元 确定所述第一请求消息有效，包括：所述锚点网元确定所述第一请求消息通过完整性验证。

结合第一方面或上述任一种的实现方式，在另一种可能的实现方式中，所述第一请求 消息包括颁发设备的签名，所述锚点网元确定所述第一标识有效，包括：所述锚点网元向 区块链管理功能(blockchain handing function，BCHF)网元发送第一查询消息，所述第一 查询消息用于向第三设备查询与颁发所述第一标识的颁发设备对应的第二授权信息，所述 第一查询消息包括用于确定所述颁发设备的信息，所述第三设备采用区块链的方式存储颁 发设备的第二授权信息；所述锚点网元从所述BCHF接收所述颁发设备的公钥；所述锚点 网元根据所述颁发设备的公钥，对所述颁发设备的签名进行验证；当所述颁发设备的签名 通过验证时，所述锚点网元确定所述第一标识有效。

在本申请中，若身份标识是合法的或是被授权使用的，则可以认为身份标识是有效的。 在上述技术方案中，锚点网元借助BCHF和区块链，通过验证身份标识是否有具备颁发资 格的颁发设备的颁发的，来确定身份标识是否有效。

结合第一方面或上述任一种的实现方式，在另一种可能的实现方式中，用于确定所述 颁发设备的信息包括所述第一标识的格式或所述颁发设备的标识。

结合第一方面或上述任一种的实现方式，在另一种可能的实现方式中，所述锚点网元 确定所述第一标识有效，包括：所述锚点网元向区块链管理功能网元BCHF发送第三查询 消息，所述第三查询消息用于向第三设备查询所述第一标识是否占用，所述第三设备采用 区块链的方式存储终端设备的身份标识；所述锚点网元从所述BCHF接收第三指示信息，所述第三指示信息用于指示所述第一标识可用；所述锚点网元根据所述第三指示信息，确定所述第一标识有效。

在本申请中，若身份标识是全网唯一的，则可以认为身份标识是有效的。在上述技术 方案中，锚点网元借助BCHF和区块链，通过验证身份标识是否被占用，来确定身份标识是否有效。

第二方面，本申请提供了一种更新用户身份标识的方法，所述方法包括：

第二设备接收锚点网元发送的第二请求消息，所述第二请求消息用于请求在所述第二 设备存储的关联关系中添加第一标识，所述第一标识为终端设备的身份标识，所述关联关 系包括所述终端设备的身份与所述终端设备的身份标识的关联关系，所述第二设备为核心 网设备；所述第二设备在所述关联关系中添加所述第一标识；所述第二设备向所述锚点网 元的第一通知消息，所述第一通知消息用于通知所述第一标识添加完成。

在上述技术方案中，核心网设备负责管理终端设备身份标识和身份之间的关联关系， 并且可以接收来自终端设备的身份标识更新请求，更新数据库中的终端设备的身份标识和 身份之间的关联关系，以便用户自主选择向不同外部应用功能体提供不同身份标识时判断 终端设备的真实性。

第三方面，本申请提供了一种更新用户身份标识的方法，所述方法包括：

区块链管理功能网元BCHF接收来自锚点网元的第一查询消息，所述第一查询消息用 于向第三设备查询颁发设备的第二授权信息，所述颁发设备负责为终端设备颁发证书，所 述第三设备采用区块链的方式存储颁发设备的第二授权信息；所述BCHF向所述第三设备 发送第二查询消息，所述第二查询消息用于向所述第三设备查询所述颁发设备的第二授权 信息；所述BCHF接收来自所述第三设备的反馈信息，所述反馈信息包括以下信息中的至 少一项：所述颁发设备的标识、所述颁发设备的公钥、以及根信任对授权的签名；在根据所述根信任对授权的签名验证所述颁发设备的签名后，所述BCHF向所述锚点网元发送所述颁发设备的公钥。

在本申请中，若身份标识是合法的或是被授权使用的，则可以认为身份标识是有效的。 在上述技术方案中，锚点网元借助BCHF和区块链，可以通过验证身份标识是否有具备颁 发资格的颁发设备的颁发的，来确定身份标识是否有效。

第四方面，本申请提供了一种更新用户身份标识的方法，所述方法包括：

区块链管理功能网元BCHF接收来自锚点网元的第三查询消息，所述第三查询消息用 于向第三设备查询第一标识是否被占用，所述第一标识为终端设备的身份标识，所述第三 设备采用区块链的方式存储终端设备的身份标识；所述BCHF向所述第三设备发送第四查 询消息，所述第四查询消息用于向所述第三设备查询所述第一标识是否被占用；所述BCHF 接收来自所述第三设备的第一指示信息，所述第一指示信息用于指示所述第一标识未被占 用；所述BCHF向所述锚点网元发送第三指示信息，所述第三指示信息用于指示所述第一 标识可用。

在本申请中，若身份标识是全网唯一的，则可以认为身份标识是有效的。在上述技术 方案中，锚点网元借助BCHF和区块链，可以通过验证身份标识是否被占用，来确定身份标识是否有效。

结合第四方面，在一种可能的实现方式中，所述方法还包括：所述BCHF向所述第三设备发送第二指示信息，所述第二指示信息用于指示占用所述第一标识。

第五方面，本申请提供了一种更新用户身份标识的方法，所述方法包括：

第三设备接收区块链管理功能网元BCHF发送的第二查询消息，所述第二查询消息用 于向所述第三设备查询颁发设备的第二授权信息，所述颁发设备负责为终端设备颁发证 书，所述第三设备采用区块链的方式存储颁发设备的第二授权信息；所述第三设备向所述 BCHF发送反馈信息，所述反馈信息包括以下信息中的至少一项：所述颁发设备的标识、所述颁发设备的公钥、以及根信任对授权的签名。

在本申请中，若身份标识是合法的或是被授权使用的，则可以认为身份标识是有效的。 在上述技术方案中，第三设备在接收到BCHF发送的查询消息后，可以向BCHF反馈所述 颁发设备的标识、所述颁发设备的公钥、以及根信任对授权的签名中的至少一项，使得锚 点网元可以通过验证身份标识是否有具备颁发资格的颁发设备的颁发的，来确定身份标识 是否有效。

第六方面，本申请提供了一种更新用户身份标识的方法，所述方法包括：

第三设备接收区块链管理功能网元BCHF发送的第四查询消息，所述第四查询消息用 于向所述第三设备查询第一标识是否被占用，所述第三设备采用区块链的方式存储终端设 备的身份标识，所述第一标识为终端设备的身份标识；所述第三设备向所述BCHF发送第 一指示信息，所述第一指示信息用于指示所述第一标识未被占用。

在本申请中，若身份标识是全网唯一的，则可以认为身份标识是有效的。在上述技术 方案中，第三设备在接收到BCHF发送的查询消息后，可以向BCHF反馈第一标识是否被占用，使得锚点网元可以通过验证身份标识是否被占用，来确定身份标识是否有效。

结合第六方面，在一种可能的实现方式中，所述方法还包括：所述第三设备接收来自 所述BCHF的第二指示信息，所述第二指示信息用于指示占用所述第一标识。

第七方面，本申请提供了一种更新用户身份标识的方法，所述方法包括：

终端设备从颁发设备获取第一标识，所述第一标识为所述终端设备的身份标识，所述 颁发设备负责为终端设备颁发证书；所述终端设备向锚点网元发送第一请求消息，所述第 一请求消息用于请求在第二设备存储的关联关系中添加所述第一标识，所述关联关系包括 所述终端设备的身份与所述终端设备的身份标识的关联关系，所述第二设备为核心网设 备；所述终端设备接收来自所述锚点网元的第二通知消息，所述第二通知消息用于通知所 述第一标识添加完成。

在上述技术方能中，由终端设备获取为终端设备创建的新的身份标识，并将该身份标 识配置到核心网中，可以实现更新核心网数据库中的终端设备的身份标识和身份之间的关 联关系，以便用户自主选择向不同外部应用功能体提供不同身份标识时判断终端设备的真 实性。

第八方面，本申请提供了一种更新用户身份标识的方法，所述方法包括：

终端设备向用于颁发证书的颁发设备发送第三请求消息，所述第三请求消息用于请求 所述颁发设备为所述终端设备创建身份标识、以及授权所述颁发设备将创建的身份标识配 置到核心网；所述终端设备接收来自所述颁发设备的第三通知消息，所述第三通知消息用 于向所述终端设备通知身份标识添加完成，所述第三通知消息包括第一标识，所述第一标 识为所述颁发设备为所述终端设备的创建的身份标识。

在上述技术方能中，若由颁发设备直接将为终端设备创建的新的身份标识配置到核心 网中，则需要由终端设备授权颁发设备将创建的身份标识配置到核心网，这样，颁发设备 不会在不受终端设备控制和需求的情况下私自改变终端设备在核心网中的身份标识；终端 设备也需要在每次配置中确认颁发者是否已经为自己完成了标识配置。

结合第八方面，在一种可能的实现方式中，所述方法还包括：所述终端设备对所述第 三通知消息进行完整性校验；当所述第三通知消息通过完整性校验时，所述终端设备确定 所述身份标识添加完成。

第九方面，本申请提供了一种更新用户身份标识的方法，所述方法包括：颁发设备接 收终端设备发送的第三请求消息，所述第三请求消息用于请求所述颁发设备为所述终端设 备创建身份标识、以及授权所述颁发设备将所述身份标识配置到核心网；所述颁发设备为 所述终端设备创建第一标识，所述第一标识为所述终端设备的身份标识；所述颁发设备锚 点网元发送第一请求消息，所述第一请求消息用于请求在第二设备存储的关联关系中添加 所述第一标识，所述关联关系包括所述终端设备的身份与所述终端设备的身份标识的关联 关系，所述第二设备为核心网设备；所述颁发设备接收来自所述锚点网元的第二通知消息， 所述第二通知消息用于通知所述第一标识添加完成；所述颁发设备向所述终端设备发送第 三通知消息，所述第三通知消息用于向所述终端设备通知所述第一标识添加完成，所述第 三通知消息包括所述第一标识。

在上述技术方能中，若由颁发设备直接将为终端设备创建的新的身份标识配置到核心 网中，则需要由终端设备授权颁发设备将创建的身份标识配置到核心网，这样，颁发设备 不会在不受终端设备控制和需求的情况下私自改变终端设备在核心网中的身份标识；终端 设备也需要在每次配置中确认颁发者是否已经为自己完成了标识配置。

结合第九方面，在一种可能的实现方式中，所述第一请求消息还包括第一授权信息和 所述颁发设备的签名，所述第一授权信息用于验证所述终端设备对所述颁发设备的授权和 /或用于进行完整性保护。

第十方面，本申请提供了一种更新用户身份标识的装置，所述装置包括：

收发单元，用于接收来自第一设备的第一请求消息，所述第一请求消息用于请求在第 二设备存储的关联关系中添加第一标识，所述第一标识为终端设备的身份标识，所述关联 关系包括所述终端设备的身份与所述终端设备的身份标识的关联关系，所述第二设备为核 心网设备；向所述第二设备发送第二请求消息，所述第二请求消息用于请求在所述第二设 备存储的所述关联关系中添加所述第一标识；接收来自所述第二设备的第一通知消息，所 述第一通知消息用于通知所述第一标识添加完成；向第一设备发送第二通知消息，所述第 二通知消息用于通知所述第一标识添加完成。

上述装置可以为锚点网元。

在上述技术方案中，核心网设备负责管理终端设备身份标识和身份之间的关联关系， 并且可以接收来自终端设备的身份标识更新请求，更新数据库中的终端设备的身份标识和 身份之间的关联关系，以便用户自主选择向不同外部应用功能体提供不同身份标识时判断 终端设备的真实性。

结合第十方面，在一种可能的实现方式中，所述第一设备为所述终端设备或负责为终 端设备颁发证书的颁发设备。

在本申请中，若颁发设备可以与核心网直接连接，当终端设备请求颁发设备为终端设 备创建的身份标识时，颁发设备可以直接连接核心网，将为终端设备创建的新的身份标识 配置到核心网中，也可以将为终端设备创建的新的身份标识颁发给终端设备，再由终端设 备将该身份标识配置到核心网中。若颁发设备与核心网之间没有连接通道，当终端设备请 求颁发者为终端设备创建的身份标识时，颁发设备需要将为终端设备创建的新的身份标识 颁发给终端设备，再由终端设备将该身份标识配置到核心网中。

结合第十方面或上述任一种的实现方式，在另一种可能的实现方式中，当所述第一设 备为所述颁发设备时，所述第一请求消息还包括第一授权信息和所述颁发设备的签名，所 述第一授权信息用于验证所述终端设备对所述颁发设备的授权和/或用于进行完整性保 护。

在上述技术方案中，若由颁发设备直接将为终端设备创建的新的身份标识配置到核心 网中，则需要由终端设备授权颁发设备将创建的身份标识配置到核心网，这样，颁发设备 不会在不受终端设备控制和需求的情况下私自改变终端设备在核心网中的身份标识；终端 设备也需要在每次配置中确认颁发者是否已经为自己完成了标识配置。

此外，从核心网来看，标识更新的操作由颁发设备来执行完成，可以降低标识更新流 程的复杂度，尤其是当核心网拒绝为某个身份标识的关联做出响应时，本实施例中颁发设 备有灵活更换新标识的能力。

结合第十方面或上述任一种的实现方式，在另一种可能的实现方式中，所述装置还包 括：处理单元，用于在所述收发单元向所述第二设备发送第二请求消息之前，确定所述第 一请求消息有效；和/或，确定所述第一标识有效。

由于终端设备的身份标识会关联用户的账户信息，比如用户数据、账户余额、偏好等， 因此保证终端设备的身份标识的有效性和合法性十分重要。因此，在本申请实施例中，核 心网在处理终端设备发起的身份标识更新时，需要确保身份标识可有效性，避免将不符合 要求的身份标识(例如，已经与其他终端设备建立绑定关系的身份标识等)关联到该终端 设备的身份中。

结合第十方面或上述任一种的实现方式，在另一种可能的实现方式中，所述处理单元 具体用于：确定所述第一请求消息通过完整性验证。

结合第十方面或上述任一种的实现方式，在另一种可能的实现方式中，所述第一请求 消息包括颁发设备的签名，所述收发单元，还用于向区块链管理功能网元BCHF发送第一 查询消息，所述第一查询消息用于向第三设备查询与颁发所述第一标识的颁发设备对应的 第二授权信息，所述第一查询消息包括用于确定所述颁发设备的信息，所述第三设备采用 区块链的方式存储颁发设备的第二授权信息；从所述BCHF接收所述颁发设备的公钥。所 述处理单元具体用于根据所述颁发设备的公钥，对所述颁发设备的签名进行验证；当所述 颁发设备的签名通过验证时，确定所述第一标识有效。

在本申请中，若身份标识是合法的或是被授权使用的，则可以认为身份标识是有效的。 在上述技术方案中，锚点网元借助BCHF和区块链，通过验证身份标识是否有具备颁发资 格的颁发设备的颁发的，来确定身份标识是否有效。

结合第十方面或上述任一种的实现方式，在另一种可能的实现方式中，用于确定所述 颁发设备的信息包括所述第一标识的格式或所述颁发设备的标识。

结合第十方面或上述任一种的实现方式，在另一种可能的实现方式中，所述收发单元 还用于向区块链管理功能网元BCHF发送第三查询消息，所述第三查询消息用于向第三设 备查询所述第一标识是否占用，所述第三设备采用区块链的方式存储终端设备的身份标 识；从所述BCHF接收第三指示信息，所述第三指示信息用于指示所述第一标识可用。所 述处理单元具体用于根据所述第三指示信息，确定所述第一标识有效。

在本申请中，若身份标识是全网唯一的，则可以认为身份标识是有效的。在上述技术 方案中，锚点网元借助BCHF和区块链，通过验证身份标识是否被占用，来确定身份标识是否有效。

第十一方面，本申请提供了一种更新用户身份标识的装置，所述装置包括：

收发单元，用于接收锚点网元发送的第二请求消息，所述第二请求消息用于请求在所 述第二设备存储的关联关系中添加第一标识，所述第一标识为终端设备的身份标识，所述 关联关系包括所述终端设备的身份与所述终端设备的身份标识的关联关系，所述第二设备 为核心网设备。处理单元，用于在所述关联关系中添加所述第一标识。所述收发单元，还 用于向所述锚点网元的第一通知消息，所述第一通知消息用于通知所述第一标识添加完 成。

上述装置可以为核心网设备，例如，标识提供者(identity provider，IdP)。

在上述技术方案中，核心网设备负责管理终端设备身份标识和身份之间的关联关系， 并且可以接收来自终端设备的身份标识更新请求，更新数据库中的终端设备的身份标识和 身份之间的关联关系，以便用户自主选择向不同外部应用功能体提供不同身份标识时判断 终端设备的真实性。

第十二方面，本申请提供了一种更新用户身份标识的装置，所述装置包括：

收发单元，用于接收来自锚点网元的第一查询消息，所述第一查询消息用于向第三设 备查询颁发设备的第二授权信息，所述颁发设备负责为终端设备颁发证书，所述第三设备 采用区块链的方式存储颁发设备的第二授权信息；向所述第三设备发送第二查询消息，所 述第二查询消息用于向所述第三设备查询所述颁发设备的第二授权信息；接收来自所述第 三设备的反馈信息，所述反馈信息包括以下信息中的至少一项：所述颁发设备的标识、所 述颁发设备的公钥、以及根信任对授权的签名；在根据所述根信任对授权的签名验证所述 颁发设备的签名后，向所述锚点网元发送所述颁发设备的公钥。

上述装置可以为BCHF。

在本申请中，若身份标识是合法的或是被授权使用的，则可以认为身份标识是有效的。 在上述技术方案中，锚点网元借助BCHF和区块链，可以通过验证身份标识是否有具备颁 发资格的颁发设备的颁发的，来确定身份标识是否有效。

第十三方面，本申请提供了一种更新用户身份标识的装置，所述装置包括：

收发单元，用于接收来自锚点网元的第三查询消息，所述第三查询消息用于向第三设 备查询第一标识是否被占用，所述第一标识为终端设备的身份标识，所述第三设备采用区 块链的方式存储终端设备的身份标识；向所述第三设备发送第四查询消息，所述第四查询 消息用于向所述第三设备查询所述第一标识是否被占用；接收来自所述第三设备的第一指 示信息，所述第一指示信息用于指示所述第一标识未被占用；向所述锚点网元发送第三指 示信息，所述第三指示信息用于指示所述第一标识可用。

上述装置可以为BCHF。

在本申请中，若身份标识是全网唯一的，则可以认为身份标识是有效的。在上述技术 方案中，锚点网元借助BCHF和区块链，可以通过验证身份标识是否被占用，来确定身份标识是否有效。

结合第十三方面，在一种可能的实现方式中，所述收发单元还用于向所述第三设备发 送第二指示信息，所述第二指示信息用于指示占用所述第一标识。

第十四方面，本申请提供了一种更新用户身份标识的装置，所述装置包括：

收发单元，用于接收区块链管理功能网元BCHF发送的第二查询消息，所述第二查询 消息用于向所述第三设备查询颁发设备的第二授权信息，所述颁发设备负责为终端设备颁 发证书，所述第三设备采用区块链的方式存储颁发设备的第二授权信息；向所述BCHF发 送反馈信息，所述反馈信息包括以下信息中的至少一项：所述颁发设备的标识、所述颁发 设备的公钥、以及根信任对授权的签名。

在本申请中，若身份标识是合法的或是被授权使用的，则可以认为身份标识是有效的。 在上述技术方案中，第三设备在接收到BCHF发送的查询消息后，可以向BCHF反馈所述 颁发设备的标识、所述颁发设备的公钥、以及根信任对授权的签名中的至少一项，使得锚 点网元可以通过验证身份标识是否有具备颁发资格的颁发设备的颁发的，来确定身份标识 是否有效。

第十五方面，本申请提供了一种更新用户身份标识的装置，所述装置包括：

收发单元，用于接收区块链管理功能网元BCHF发送的第四查询消息，所述第四查询 消息用于向所述第三设备查询第一标识是否被占用，所述第三设备采用区块链的方式存储 终端设备的身份标识，所述第一标识为终端设备的身份标识；向所述BCHF发送第一指示 信息，所述第一指示信息用于指示所述第一标识未被占用。

在本申请中，若身份标识是全网唯一的，则可以认为身份标识是有效的。在上述技术 方案中，第三设备在接收到BCHF发送的查询消息后，可以向BCHF反馈第一标识是否被占用，使得锚点网元可以通过验证身份标识是否被占用，来确定身份标识是否有效。

结合第十五方面，在一种可能的实现方式中，所述收发单元还用于接收来自所述BCHF 的第二指示信息，所述第二指示信息用于指示占用所述第一标识。

第十六方面，本申请提供了一种更新用户身份标识的装置，所述装置包括：

收发单元，用于从颁发设备获取第一标识，所述第一标识为所述终端设备的身份标识， 所述颁发设备负责为终端设备颁发证书；向锚点网元发送第一请求消息，所述第一请求消 息用于请求在第二设备存储的关联关系中添加所述第一标识，所述关联关系包括所述终端 设备的身份与所述终端设备的身份标识的关联关系，所述第二设备为核心网设备；接收来 自所述锚点网元的第二通知消息，所述第二通知消息用于通知所述第一标识添加完成。

上述装置可以为终端设备。

在上述技术方能中，由终端设备获取为终端设备创建的新的身份标识，并将该身份标 识配置到核心网中，可以实现更新核心网数据库中的终端设备的身份标识和身份之间的关 联关系，以便用户自主选择向不同外部应用功能体提供不同身份标识时判断终端设备的真 实性。

第十七方面，本申请提供了一种更新用户身份标识的装置，所述装置包括：

收发单元，用于向用于颁发证书的颁发设备发送第三请求消息，所述第三请求消息用 于请求所述颁发设备为所述终端设备创建身份标识、以及授权所述颁发设备将创建的身份 标识配置到核心网；接收来自所述颁发设备的第三通知消息，所述第三通知消息用于向所 述终端设备通知身份标识添加完成，所述第三通知消息包括第一标识，所述第一标识为所 述颁发设备为所述终端设备的创建的身份标识。

上述装置可以为终端设备。

在上述技术方能中，若由颁发设备直接将为终端设备创建的新的身份标识配置到核心 网中，则需要由终端设备授权颁发设备将创建的身份标识配置到核心网，这样，颁发设备 不会在不受终端设备控制和需求的情况下私自改变终端设备在核心网中的身份标识；终端 设备也需要在每次配置中确认颁发者是否已经为自己完成了标识配置。

结合第十七方面，在一种可能的实现方式中，所述装置还包括处理单元，用于对所述 第三通知消息进行完整性校验；当所述第三通知消息通过完整性校验时，确定所述身份标 识添加完成。

第十八方面，本申请提供了一种更新用户身份标识的装置，所述装置包括：

收发单元，用于接收终端设备发送的第三请求消息，所述第三请求消息用于请求所述 颁发设备为所述终端设备创建身份标识、以及授权所述颁发设备将所述身份标识配置到核 心网。处理单元，用于所述终端设备创建第一标识，所述第一标识为所述终端设备的身份 标识。所述收发单元，还用于所述颁发设备锚点网元发送第一请求消息，所述第一请求消 息用于请求在所述第二设备存储的关联关系中添加第一标识，所述第一标识为终端设备的 身份标识，所述关联关系包括所述终端设备的身份与所述终端设备的身份标识的关联关 系，所述第二设备为核心网设备；接收来自所述锚点网元的第二通知消息，所述第二通知 消息用于通知所述第一标识添加完成；向所述终端设备发送第三通知消息，所述第三通知 消息用于向所述终端设备通知所述第一标识添加完成，所述第三通知消息包括所述第一标 识。

上述装置可以为颁发设备，例如，颁发者(issuer)。

在上述技术方能中，若由颁发设备直接将为终端设备创建的新的身份标识配置到核心 网中，则需要由终端设备授权颁发设备将创建的身份标识配置到核心网，这样，颁发设备 不会在不受终端设备控制和需求的情况下私自改变终端设备在核心网中的身份标识；终端 设备也需要在每次配置中确认颁发者是否已经为自己完成了标识配置。

结合第十八方面，在一种可能的实现方式中，所述第一请求消息还包括第一授权信息 和所述颁发设备的签名，所述第一授权信息用于验证所述终端设备对所述颁发设备的授权 和/或用于进行完整性保护。

第十九方面，本申请提供了一种更新用户身份标识的装置，包括处理器。该处理器与 存储器耦合，可用于执行存储器中的指令，以使得该装置执行上述第一方面至第九方面中 任一方面提供的方法，或执行第一方面至第九方面中任一种可能实现方式中的方法。可选 地，该装置还包括存储器。可选地，该装置还包括接口电路，处理器与接口电路耦合。

第二十方面，本申请提供了一种处理器，包括：输入电路、输出电路和处理电路。该处理电路用于通过该输入电路接收信号，并通过该输出电路发射信号，使得该处理器执行第一方面至第九方面中任一方面提供的方法，或执行第一方面至第九方面中任一种可能实现方式中的方法。

在具体实现过程中，上述处理器可以为芯片，输入电路可以为输入管脚，输出电路可 以为输出管脚，处理电路可以为晶体管、门电路、触发器和各种逻辑电路等。输入电路所接收的输入的信号可以是由例如但不限于接收器接收并输入的，输出电路所输出的信号可以是例如但不限于输出给发射器并由发射器发射的，且输入电路和输出电路可以是同一电路，该电路在不同的时刻分别用作输入电路和输出电路。本申请实施例对处理器及各种电路的具体实现方式不做限定。

第二十一方面，本申请提供了一种处理装置，包括处理器和存储器。该处理器用于读 取存储器中存储的指令，并可通过接收器接收信号，通过发射器发射信号，以执行第一方 面至第九方面中任一方面提供的方法，或执行第一方面至第九方面中任一种可能实现方式 中的方法。

可选地，该处理器为一个或多个，该存储器为一个或多个。

可选地，该存储器可以与该处理器集成在一起，或者该存储器与处理器分离设置。

在具体实现过程中，存储器可以为非瞬时性(non-transitory)存储器，例如只读存储 器(read only memory，ROM)，其可以与处理器集成在同一块芯片上，也可以分别设置在不同的芯片上，本申请实施例对存储器的类型以及存储器与处理器的设置方式不做限定。

应理解，相关的信号交互过程例如发送第一信息等可以为从处理器输出第一信息的过 程。具体地，处理输出的信号可以输出给发射器，处理器接收的输入信号可以来自接收器。 其中，发射器和接收器可以统称为收发器。

上述第二十一方面中的处理装置可以是一个芯片，该处理器可以通过硬件来实现也可 以通过软件来实现，当通过硬件实现时，该处理器可以是逻辑电路、集成电路等；当通过 软件来实现时，该处理器可以是一个通用处理器，通过读取存储器中存储的软件代码来实 现，该存储器可以集成在处理器中，可以位于该处理器之外，独立存在。

第二十二方面，本申请提供了一种计算机程序产品，该计算机程序产品包括：计算机 程序(也可以称为代码，或指令)，当该计算机程序被运行时，使得计算机执行上述第一方面至第八方面中任一方面提供的方法，或执行第一方面至第九方面中任一种可能实现方式中的方法。

第二十三方面，本申请提供了一种计算机可读介质，该计算机可读介质存储有计算机 程序(也可以称为代码，或指令)当其在计算机上运行时，使得计算机执行上述第一方面 至第八方面中任一方面提供的方法，或执行第一方面至第九方面中任一种可能实现方式中 的方法。

第二十四方面，本申请提供了一种通信系统，包括上述任一方面或其可能的实现方式 中提供的装置中的至少一个。

附图说明

图1是可以应用本申请的技术方案的网络架构的示意图。

图2是本申请实施例提供的更新用户身份标识的方法的示意性流程图。

图3是本申请实施例的有效性验证的示意性流程图。

图4是本申请实施例的有效性验证的另一示意性流程图。

图5是本申请实施例的更新用户身份标识的方法的另一示意性流程图。

图6是本申请实施例提供的更新用户身份标识的装置的示意性框图。

图7是本申请提供的一种更新用户身份标识的装置的结构示意图。

图8为本申请提供的一种更新用户身份标识的装置的结构示意图。

具体实施方式

下面将结合附图，对本申请中的技术方案进行描述。

为了方便理解，首先对本申请涉及的相关术语进行描述。

1、身份：表示某个用户。自然人或终端设备都可以通过身份表示，且一个自然人、设备可以有不止一个身份。每个身份由多个属性表征。在本申请中，可以认为身份是个逻辑概念：在网络服务中，服务提供商需要鉴别某个身份是否具有对应的权限，而不是这个身份所对应的某些属性，或者标识。举例来说，在有匿名性要求的环境中，只关心身份这 个逻辑概念是否具有访问权限；而所出示的具体的标识是匿名化之后的，没有实际意义。

2、身份标识：是表征身份的属性中特别的一类属性。其特别在于，身份标识在网络中具有唯一性，即不会有其他身份拥有这个标识。根据应用的需要，一个身份可以有不止一个身份标识。

3、证书：由颁发者(通常是可信的)颁发的凭证，用于证明具体信息的有效关联性。比如在公钥基础设施(public key infrastructure，PKI)中，证书用于证明公钥和身份之间 的一一匹配。在本申请中，证书用于表明身份标识和当前会话标识(identity，ID)之间的 一一匹配。证书需要一定的摘要来表示关联有效性是被颁发者承认的，比如，一般的做法 是颁发者的数字签名，该签名可通过颁发者公钥的验证。

目前，终端设备在和外部应用功能体建立应用连接时，外部应用功能体会参考核心网 对终端设备的鉴权结果来确保终端设备的真实性。

现有的AKMA/GBA架构在标准上支持由核心网的AUSF向外部应用功能体提供终端设备的确认鉴权服务。然而，在该方案中，终端设备向外部应用功能体所提出的服务请求需要关联上终端设备的唯一标识(例如密钥标识等)，由核心网唯一确定终端设备的上下文，来判断与外部应用功能体交互的终端设备的真实性。因此，在该方案中，终端设备的 隐私是难以保障的。

针对上述问题，3GPP的UUI5在TR22.904提出以用户为中心的身份标识和认证架构。 在该架构中，用户身份可以关联多个身份标识，并且由核心网中的设备充当身份提供者的 角色。并且在该架构中，具有让用户自主选择向不同外部应用功能体提供不同身份标识的 需求。这个需求在隐私保护上、以及在账户隔离上都有重要的优势，例如，用户在私人时 间可以用与公司账户无关的身份标识接入服务。

基于上述需求，本申请提供了更新用户身份标识的方法和装置，在本申请的技术方案 中，核心网中的设备作为身份提供方，负责管理终端设备身份标识和身份之间的关联关系， 可以接收来自终端设备的身份标识更新请求，并更新(比如添加、删除)数据库中的身份 标识和身份之间的关联关系，以便用户自主选择向不同外部应用功能体提供不同身份标识 时判断终端设备的真实性。

在本申请中，通过对区块链的有效使用，在多标识基于身份有效性的安全分发的基础 上，进一步了实现标识验证。具体而言，核心网作为身份提供方，在为终端设备提供标识 更新时，不仅确认终端设备的身份认证，进一步地，还要验证待绑定的身份标识的有效性。 具体地，通过3GPP本身的鉴权和信令完整性保护机制进行终端设备的身份认证；通过区 块链，辅助核心网确认待绑定标识的有效性。在基于身份标识有效的前提下，核心网进行 标识更新。

本申请从两个方面去衡量身份标识的有效性。

一方面，身份标识是否合法性或是否被授权使用。若具有可信第三方管理授权用户设 备对身份标识的使用，则标识是合法性或被授权使用的。其中，可信第三方可以是核心网 本身或独立于网络的机构。

另一方面，身份标识是否全网唯一。若选用的身份标识在此前从未被其他终端设备的 身份绑定关联过，那么这个身份标识就是有效的。

下面对本申请实施例的技术方案进行详细描述。

本申请实施例的技术方案可以应用于各种通信系统，例如：长期演进(long termevolution，LTE)系统、LTE频分双工(frequency division duplex，FDD)系统、LTE时分 双工(time division duplex，TDD)、通用移动通信系统(universal mobiletelecommunication system，UMTS)、全球互联微波接入(worldwide interoperabilityfor microwave access， WiMAX)通信系统、第五代(5th generation，5G)系统或新无线(new radio，NR)、卫 星通信系统、以及未来的移动通信系统等。

图1是可以应用本申请的技术方案的网络架构的示意图。

如图1所示，该网络架构包括终端设备、颁发者、锚点网元、IdP、BCHF、以及区块链。

图1中的终端设备也可以称为用户设备(user equipment，UE)、用户、接入终端、用户单元、用户站、移动站、移动台、远方站、远程终端、移动设备、用户终端、终端、 无线通信设备、用户代理或用户装置等。终端设备可以是蜂窝电话、智能手表、无线数据 卡、手机、平板电脑、个人数字助理(personal digital assistant，PDA)电脑、无线调制解 调器、手持设备、膝上型电脑、机器类型通信(machine type communication，MTC)终端、 带无线收发功能的电脑、虚拟现实终端设备、增强现实终端设备、工业控制中的无线终端、 无人驾驶中的无线终端、远程手术中的无线终端、智能电网中的无线终端、运输安全中的 无线终端、智慧城市中的无线终端、智慧家庭中的无线终端、卫星通信中的无线终端(例 如，卫星电话或卫星终端等)等等。本申请的实施例对终端设备所采用的具体技术和具体 设备形态不做限定。

该网络架构的核心网部分主要为用户提供身份管理和标识关联，可以包括锚点网元、 标识提供者和区块链管理功能网元等。

锚点网元(anchor)：用于为终端设备和其他实体提供身份管理功能。在一些实现方 式中，接入和移动管理功能(access and mobility management function，AMF)能很好地提 供锚点角色，然而考虑到终端设备漫游或接入到非完全可信的网络时，很有可能为AUSF 等功能体来充当该角色。

IdP：用于为终端设备提供身份标识和身份(例如，核心网唯一身份：国际移动用户识别码(international mobile subscriber identity，IMSI))之间的关联关系。在一些实现方 式中，IdP可以为统一数据管理(unified data management，UDM)或UDM的某个组件，能响应通过锚点网元鉴别的终端设备发送的用户数据更新请求。

BCHF：作为核心网访问区块链的对外接口，连接于核心网网元和区块链之间。在联盟链架构下，运营商的BCHF本身也可以作为联盟链的联盟背书节点。

该网络架构的核心网以外部分还可以包括颁发者、区块链等。

颁发者(issuer)：用于为终端设备创建有效身份标识。在一些实现方式中，颁发者可以与网络有连接通道(例如，通过网络应用服务器(Network Application Server，NAF)等)。在另一些实现方式中，颁发者也可以不与网络直连，而只和终端设备发生交互。

区块链(blockchain)：区块链的核心是一种分布式账本的安全实现，以区块作为数 据结构存储交易信息。每个区块包含区块体和区块头。其中，区块体存储交易记录，交易记录根据具体的应用场景需要，可以为转账记录、智能合约记录、清算记录、数据记录等；区块头存储时间戳、交易的哈希汇总结果，以及使之和前序区块形成链式结构的必要信息，如前序区块的哈希值。这种链式结构保证了，一旦一个区块被所有节点共识后加入到各自的区块副本上后，该区块将不可被更改。在本申请中，基于上述特点，一方面，区块链可 作为信任管理账本，查询用户获得标识的颁发者的身份可信性，使得具有授权许可的颁发 者为终端设备的标识的有效性负责；另一方面，区块链也被用于标识查重账本，供核心网 确认终端设备申请更新的身份标识是否已经绑定其他终端设备。

在该网络架构中，IdP为身份标识和身份的关联负责，保证终端设备向其他实体出示 的标识均为该终端设备本人持有；颁发者为所创建的标识的有效性负责，保证所创建的标 识是有效的，例如保证所创建的标识不会和系统中其他终端设备正在使用的标识发生碰 撞。

需要说明的是，若本申请中的颁发者、IdP、以及区块链对应的功能可以由实体/虚拟 设备来实现或承载，颁发者、IdP、以及区块链也可以指代相应地实体/虚拟设备，例如颁发者可以指代提供颁发者功能的设备、IdP可以指代提供IdP功能的设备、区块链可以指 代存储区块链的设备等。为了方便，本申请中统一描述为颁发者、IdP、以及区块链。

图2是本申请实施例提供的更新用户身份标识的方法的示意性流程图。图2所示的方 法可以由终端设备、锚点网元、IdP、颁发者执行，也可以由终端设备、锚点网元、IdP、 颁发者中的模块或单元(例如，电路、芯片、或片上系统(system on chip，SOC)等)来 执行。下面以执行主体为终端设备、锚点网元、IdP、颁发者为例进行描述。

图2所示的方法可以包括以下内容的至少部分内容。

在步骤201中，颁发者根据终端设备的请求为终端设备创建新的有效身份标识。

具体地，终端设备向颁发者发送第四请求消息，第四请求消息用于请求新的身份标识； 颁发者在接收到第四请求消息后，为终端设备创建新的有效身份标识，并发送给终端设备。 为了方便描述，下文将为终端设备创建新的有效身份标识简称为第一标识。

终端设备可以在第四请求消息中出示自己的可公开信息。

可公开信息可以包括以下各项中的至少一项：通用公共用户标识(genericpublic subscription identifier，GPSI)、MSISDN(mobile subscriber ISDN)、MSISDN的散列结果、 以及核心网已知的可公开的临时身份(例如，5G-GUTI的单向函数输出等)等。

在本申请中，颁发者提供的第一标识可以包含颁发者的有效签名，形式可等效于该身 份标识的证书。被签名的信息(即如图2所示的证书信息)可以包括第一标识和上述可公 开信息。

需要说明的是，当终端设备向颁发者出示的信息是可公开的临时身份时，要求整个请 求和更新身份标识的流程在较短的时间完成，即从终端设备从颁发者处获得有效身份标识 到终端设备在核心网完成新标识配置的时间内，终端设备在核心网的上下文信息未改变或 可追溯。

在步骤202中，在从颁发者处获得证书信息后，终端设备可以向锚点网元发送第一请 求消息，用以请求在核心网设备中添加第一标识。其中，第一请求消息可以包括上述证书 信息。

可选地，终端设备可以通过用户数据更新请求消息(UE context updaterequest)向锚 点网元发送上述证书信息。

在步骤203中，锚点网元在接收到第一请求消息后，可以向IdP发送第二请求消息，用以请求添加第一标识。其中，第二请求消息可以包括上述证书信息。

可选地，锚点网元可以通过用户数据更新请求消息(UE context updaterequest)向IdP 发送上述证书信息。

在步骤204中，IdP在本地完成第一标识的添加。

例如，IdP更新数据库中终端设备的身份与其多个身份标识的关联关系，将第一标识 加入该关联关系。

在步骤205中，IdP向锚点网元发送第一通知消息，用于通知锚点网元用户数据更新 完成或第一标识添加完成。

在步骤206中，锚点网元向终端设备发送第二通知消息，用于通知终端设备用户数据 更新完成或第一标识添加完成。

终端设备接收到第二通知消息后，合理管理第一标识。例如，终端设备在本地存储或 后续需要选择和出示标识时向核心网查询。

在上述技术方案中，IdP作为身份提供方，负责管理终端设备身份标识和身份之间的 关联关系，可以接收来自终端设备的身份标识更新请求，并更新数据库中的终端设备的身 份标识和身份之间的关联关系，以便用户自主选择向不同外部应用功能体提供不同身份标 识时判断终端设备的真实性。

由于终端设备的身份标识会关联用户的账户信息，比如用户数据、账户余额、偏好等， 因此保证终端设备的身份标识的有效性和合法性十分重要。因此，在本申请实施例中，在 核心网在处理终端设备发起的身份标识更新时，需要确保身份标识可有效性，避免将不符 合要求的身份标识(例如，已经与其他终端设备建立绑定关系的身份标识等)关联到该终 端设备的身份中。

在一些实现方式中，在步骤203之前，还可以执行步骤207，即由锚点网元发起有效性验证。可选地，上述有效性验证可以包括第一标识的有效性验证和第一请求消息的有效性验证。

实现上述有效性验证的方式有很多，本申请实施例对此不作具体限定。例如，上述有 效性验证可以通过图3所示的方式1和图4所示的方式2来实现。

1)方式1

在该方式中，锚点网元需要借助BCHF和区块链的参与，提供有效性验证的查询信息。

图3是本申请实施例的有效性验证的示意性流程图。同样，图3所示的方法可以由锚 点网元、BCHF、区块链执行，也可以由锚点网元、BCHF、区块链中的模块或单元(例如， 电路、芯片、或SOC等)来执行。下面以执行主体为锚点网元、BCHF、区块链为例进行 描述。图3所示的方法可以包括以下内容的至少部分内容。

在步骤301中，在接收到第一请求消息之后，锚点网元判断第一请求消息的有效性。

在一些实现方式中，锚点网元可以确认第一请求消息本身的源认证，通过与终端设备 之间的完整性保护，来确认第一请求消息是否与第一请求消息中携带的证书信息中的公开 身份信息对应。

在步骤302中，锚点网元向BCHF发送第一查询消息。相应地，BCHF接收锚点网元 发送的第一查询消息。其中，第一查询消息包括用于确定颁发者的身份的信息，以便BCHF 和/或区块链确定颁发者。

可选地，第一查询消息可以包括第一标识的格式。例如，用户永久标识符(subscriber permanent ID，SUPI)、媒体接入控制(media access control，MAC)地址的前缀，邮箱 后缀等能通过格式信息唯一确定颁发者的身份的信息。

可选地，第一查询消息可以包括颁发者的ID。例如，在证书信息中包含颁发者的ID。

在步骤303中，BCHF在接收到第一查询消息后，向区块链发送第二查询消息，查询颁发者的第二授权信息。相应地，区块链接收第二查询消息。

同样，第二查询消息包括用于确定颁发者的身份的信息，以便区块链确定颁发者。

可选地，第二查询消息可以包括第一标识的格式。例如，SUPI、MAC地址的前缀， 邮箱后缀等能通过格式信息唯一确定颁发者的身份的信息。

可选地，第二查询消息可以包括颁发者的ID。例如，在证书信息中包含颁发者的ID。

在步骤304中，区块链在接收到第二查询消息后，查询是否有与第一标识的颁发者对 应(以下简称为目标颁发者)的第二授权信息，并向BCHF发送反馈信息。

若BCHF具有对根证书的信任，且根信任已授权目标颁发者为用户提供有效身份标识，具有可信任性，且该授权记录在区块链中，即区块链包含根信任节点对目标颁发者的信任关系，在此情况下，反馈信息可以包括以下各项中的至少一项：目标颁发者的身份、 目标颁发者的公钥、以及根信任对授权的签名等。

若BCHF未查询目标颁发者的第二授权信息，即区块链不包含根信任节点对目标颁发 者的信任关系，在此情况下，反馈信息可以指示未查询到目标颁发者。

在步骤305中，在接收到反馈信息后，BCHF根据反馈信息进行处理。

若接收到的反馈信息中反馈信息包括目标颁发者的身份、目标颁发者的公钥、以及根 信任对授权的签名，BCHF根据根信任对授权的签名，验证根信任对目标颁发者的授权签 名的有效性，验证通过后将目标颁发者的公钥反馈给锚点网元。

若接收到的反馈信息指示未查询到目标颁发者，BCHF向锚点网元反馈指示未查询到 目标颁发者。

图3以反馈信息中反馈信息包括目标颁发者的身份、目标颁发者的公钥、以及根信任 对授权的签名为例。

在步骤306中，锚点网元判断第一标识的有效性。

若在步骤305中接收到目标颁发者的公钥，说明已经确定目标颁发者被授权，锚点网 元可以进一步确认终端设备所出示的证书信息是否是目标颁发者授予的。在一种实现方式 中，锚点网元可以根据接收到的公钥检验第一请求消息中签名的有效性。若第一请求消息 中签名通过检验，锚点网元确定第一标识的有效；反之，若第一请求消息中签名未通过检 验，锚点网元确定第一标识的无效。

若在步骤305中接收到未查询到目标颁发者的指示，锚点网元同样确定第一标识的无 效。后续，锚点网元可以中止身份标识更新过程，并向终端设备提示异常。

需要说明的是，本申请实施例对步骤301和步骤302的先后顺序不作具体限定。例如， 锚点网元可以通过步骤301确定第一请求消息有效后，才执行步骤302。又例如，锚点网元可以同时执行步骤301和302。

2)方式2

在该方式中，区块链不记录对颁发者的信任和授权，而是用于对身份标识全网唯一性 进行查询检测。在方式中可以将身份标识作为具有价值的虚拟商品通过区块链进行交易。

图4是本申请实施例的有效性验证的另一示意性流程图。同样，图4所示的方法可以 由锚点网元、BCHF、区块链执行，也可以由锚点网元、BCHF、区块链中的模块或单元(例如，电路、芯片、或SOC等)来执行。下面以执行主体为锚点网元、BCHF、区块链为例 进行描述。图4所示的方法可以包括以下内容的至少部分内容。

在步骤401中，在接收到第一请求消息之后，锚点网元向BCHF发送第三查询消息，用于查询第一标识是否被占用。相应地，BCHF接收锚点网元发送的第三查询消息。其中， 第三查询消息包括第一标识。

在步骤402中，BCHF向区块链发送第四查询消息，用于向区块链查询第一标识的信息，检查第一标识是否有效，具体而言，查询第一标识是否被占用。其中，第四查询消息 包括第一标识。

在接收到第四查询消息后，区块链确定区块链查询账本中已记录的身份标识是否有第 一标识。若区块链查询账本中存在第一标识，则第一无效；若区块链查询账本种没有第一 标识的记录，则第一标识有效。

情况1：当第一标识有效时，可以执行步骤403-406

在步骤403中，区块链检索发现第一标识未被占用，向BCHF发送第三指示信息，指示第一标识未被占用。

在步骤404中，在接收到第三指示信息后，BCHF实现占用第一标识，并向区块链发送第四指示信息，反馈占用第一标识。

可选地，BCHF可以通过交易的形式占用第一标识。在区块链占用第一标识的方式对 运营商而言是可以是有偿的，可以通过微支付的方式实现对第一标识的有效占用。

对第一标识的占用，从终端设备来看可以分为两种方式：有偿占用或限次占用。

在有偿占用的模式下，BCHF要有调用CHF的权限记录话单信息，使得运营商的业务支持系统能对UE做针对标识更新和占用的扣费；在限次占用的模式下，锚点网元要在 向IdP获取的用户数据中包含UE所剩余的获取身份标识的次数。当锚点网元获知UE没 有新标识配置的剩余次数时，则不再承接相应的请求。

在步骤405中，BCHF向锚点网元发送第五指示信息，指示第一标识可用。例如，第五指示信息指示第一标识未被占用、第一标识有效、验证成功等。

在步骤406中，在接收到第五指示信息后，锚点网元确定第一标识有效。

后续，可以继续执行图2中的剩余步骤。

情况2：

当第一标识无效时，可以执行步骤407-409

在步骤407中，区块链检索发现第一标识已被占用，向BCHF发送第一指示信息，指示第一标识已被占用。

在步骤408中，在接收到第一指示信息后，BCHF向锚点网元发送第二指示信息，指示第一标识已被占用或第一标识无效。

在步骤409中，在接收到第二指示信息后，锚点网元确定第一标识无效。

后续，锚点网元可以中止身份标识更新过程，并向终端设备提示异常。

在上述各方法中，颁发者不与核心网直接连接，而是将为终端设备创建的新的身份标 识颁发给终端设备，再由终端设备将该身份标识配置到核心网中。在本申请中，若颁发者 与核心网之间有连接通道(例如，通过NAF等)，当终端设备请求颁发者为终端设备创建的身份标识时，颁发者可以直接连接核心网，将为终端设备创建的新的身份标识配置到核心网中，下面结合图5对该方法进行详细描述。

图5是本申请实施例的更新用户身份标识的方法的另一示意性流程图。同样，图5所 示的方法可以由终端设备、颁发者、NEF、IdP、锚点网元、BCHF、以及区块链执行，也 可以由终端设备、颁发者、NEF、IdP、锚点网元、BCHF、区块链中的模块或单元(例如， 电路、芯片、或SOC等)来执行。下面以执行主体为终端设备、颁发者、NEF、IdP、锚 点网元、BCHF、以及区块链为例进行描述。图5所示的方法可以包括以下内容的至少部 分内容。

在步骤501中，终端设备向颁发者发送第三请求消息。相应地，颁发者接收终端设备 发送的第三请求消息。其中，第三请求消息用于请求颁发者为终端设备创建身份标识、以 及授权颁发者将创建的身份标识配置到核心网。第三请求消息包括第一授权信息。

可选地，第一授权信息包括颁发者的标识、时戳等信息。

可选地，第一授权信息还可以用于对锚点网元关联的安全上下文进行完整性保护。第 一授权信息还可以包括使用完整性密钥生成的摘要信息。

例如，当锚点网元为AMF时，可用NAS密钥K_NAS_int对锚点网元关联的安全上 下文进行完整性保护。

又例如，当锚点网元为AUSF时，可通过K_AUSF派生出的完整性密钥对锚点网元 关联的安全上下文进行完整性保护。

又例如，当锚点网元为其他网元时，AMF或AUSF通过密钥派生和向锚点网元的分发，使得终端设备和锚点网元具有相同的密钥对相应的消息进行完整性保护。

在一些实现方式中，在向颁发者发送第三请求消息之前，终端设备可以确定颁发者的 可信性或授权性。

在步骤502中，颁发者根据终端设备的请求为终端设备创建新的有效身份标识(下文 简称为第一标识)；并向锚点网元发送第一请求消息，用以请求添加第一标识。其中，第一请求消息中包括第一标识。

可选地，第一请求消息可以为用户数据更新请求消息。

在一些实现方式中，第一请求消息中还可以包括上述第一授权信息和颁发者签名。其 中，第一授权信息用于验证终端设备对颁发者的授权和/或用于对锚点网元关联的安全上 下文进行完整性保护。

在一些实现方式中，颁发者可以通过核心网的对外接口功能网元向锚点网元发送上述 第一请求消息。

可选地，如图5所示，该对外接口功能网元可以是NEF等。

在步骤503中，锚点网元向IdP发送第二请求消息，用以请求添加第一标识。其中，第二请求消息包括第一标识。

可选地，第二请求消息可以为用户数据更新请求消息。

在步骤504中，IdP在本地完成第一标识的添加。

例如，IdP更新数据库中终端设备的身份与其多个身份标识的关联关系，将第一标识 加入该关联关系。

在步骤505中，IdP向锚点网元发送第一通知消息，用于通知锚点网元用户数据更新 完成或第一标识添加完成。

在步骤206中，锚点网元向颁发者发送第二通知消息，用于通知颁发者用户数据更新 完成或第一标识添加完成。其中，第二通知消息中包括第一标识。

可选地，第二通知消息以完整性保护通过NEF发送给颁发者。

在步骤507中，颁发者向终端设备发送第三通知消息，用于通知终端设备标识更新完 成。其中，第三通知消息中包括第一标识。

可选地，第三通知消息包括锚点网元对第一标识的完整性保护。

在步骤508中，终端设备根据第三通知消息，确定本次身份标识更新完成。

在一些实现方式中，终端设备根据与锚点网元之间的完整性密钥，对第三通知消息的 完整性进行校验。若校验通过，终端设备确认该第三通知消息的真实性，确定本次身份标 识更新完成。

终端设备接收到第三通知消息后，合理管理第一标识。例如，终端设备在本地存储或 后续需要选择和出示标识时向核心网查询。

同样，在一些实现方式中，步骤503之前，还可以执行步骤509，即在锚点网元发送第二请求消息之前锚点网元可以发起有效性验证。可选地，上述有效性验证可以包括第一标识的有效性验证和/或第一请求消息的有效性验证。对于第一标识的有效性验证、以及第一请求消息的有效性验证可以参考图3和图4所示的方法，在此不再赘述。

图5所示的方法，从核心网来看，标识更新的操作由颁发者来执行完成，可以降低标 识更新流程的复杂度，尤其是当核心网拒绝为某个身份标识的关联做出响应时，本实施例 中颁发者有灵活更换新标识的能力。此外，在这种模式下，需要由终端设备授权颁发者将 创建的身份标识配置到核心网，这样，颁发者不会在不受终端设备控制和需求的情况下私 自改变终端设备在核心网中的身份标识；终端设备也需要在每次配置中确认颁发者是否已 经为自己完成了标识配置。本申请实施例通过终端设备和网络之间在附着时的安全上下文 对于这两个需求进行了安全上的保护。

此外，还需要说明，基于本申请的技术方案，对于用户A以用户B的名义注册标识的情况，即使用户A以用户B的名义成功注册某个标识，用于该标识已经成为用户B的 身份标识，在IdP中该标识与用户B的身份具有关联关系，仅仅用户B可用，作为攻击的 发起者A在无法使用该身份标识。对于用户B，作为被攻击方，在未知晓的情况下获得了 该身份标识，可在标识查询过程中，获得该标识，选择摒弃或使用该标识。

应理解，本申请实施例的各个方案可以进行合理的组合使用，并且实施例中出现的各 个术语的解释或说明可以在各个实施例中互相参考或解释，对此不作限定。

还应理解，在本申请的各种实施例中，上述各过程的序号的大小并不意味着执行顺序 的先后，各过程的执行顺序应以其功能和内在逻辑确定。上述各个过程涉及的各种数字编 号或序号仅为描述方便进行的区分，而不应对本申请实施例的实施过程构成任何限定。

以上，结合图2至图5详细说明了本申请实施例提供的方法。以下，结合图6至图7详细说明本申请实施例提供的装置。

图6是本申请实施例提供的更新用户身份标识的装置的示意性框图。如图6所示，该 装置600可以包括收发单元610和处理单元620。

该收发单元610可以包括发送单元和/或接收单元。该收发单元610可以是收发器(包 括发射器和/或接收器)、输入/输出接口(包括输入和/或输出接口)、管脚或电路等。该收发单元610可以用于执行上述方法实施例中发送和/或接收的步骤。

该处理单元620可以是处理器(可以包括一个多个)、具有处理器功能的处理电路等， 可以用于执行上述方法实施例中除发送接收外的其它步骤。

可选地，该装置还可以包括存储单元，该存储单元可以是存储器、内部存储单元(例 如，寄存器、缓存等)、外部的存储单元(例如，只读存储器、随机存取存储器等)等。 该存储单元用于存储指令，该处理单元620执行该存储单元所存储的指令，以使该装置执 行上述方法。

一种设计中，该装置600可对应于上述方法中任一方法中的锚点网元，且可以执行相 应方法中由锚点网元所执行的操作。

例如，收发单元610，用于接收来自第一设备的第一请求消息，所述第一请求消息用 于请求在所述第二设备存储的关联关系中添加第一标识，所述第一标识为终端设备的身份 标识，所述关联关系包括所述终端设备的身份与所述终端设备的身份标识的关联关系，所 述第二设备为核心网设备；向所述第二设备发送第二请求消息，所述第二请求消息用于请 求在所述第二设备存储的所述关联关系中添加所述第一标识；接收来自所述第二设备的第 一通知消息，所述第一通知消息用于通知所述第一标识添加完成；向第一设备发送第二通 知消息，所述第二通知消息用于通知所述第一标识添加完成。

应理解，收发单元610以及处理单元620还可以执行上述方法中任一方法中由锚点网 元所执行的其他操作，这里不再一一详述。

一种设计中，该装置600可对应于上述方法中任一方法中的IdP，且可以执行相应方 法中由IdP所执行的操作。

例如，收发单元610，用于接收锚点网元发送的第二请求消息，所述第二请求消息用 于请求在所述第二设备存储的关联关系中添加第一标识，所述第一标识为终端设备的身份 标识，所述关联关系包括所述终端设备的身份与所述终端设备的身份标识的关联关系，所 述第二设备为核心网设备。处理单元620，用于在所述关联关系中添加所述第一标识。所 述收发单元610，还用于向所述锚点网元的第一通知消息，所述第一通知消息用于通知所 述第一标识添加完成。

应理解，收发单元610以及处理单元620还可以执行上述方法中任一方法中由IdP所 执行的其他操作，这里不再一一详述。

一种设计中，该装置600可对应于上述方法中任一方法中的BCHF，且可以执行相应方法中由BCHF所执行的操作。

例如，收发单元610，用于接收来自锚点网元的第一查询消息，所述第一查询消息用 于向第三设备查询颁发设备的第二授权信息，所述颁发设备负责为终端设备颁发证书，所 述第三设备采用区块链的方式存储颁发设备的第二授权信息；向所述第三设备发送第二查 询消息，所述第二查询消息用于向所述第三设备查询所述颁发设备的第二授权信息；接收 来自所述第三设备的反馈信息，所述反馈信息包括以下信息中的至少一项：所述颁发设备 的标识、所述颁发设备的公钥、以及根信任对授权的签名；在根据所述根信任对授权的签 名验证所述颁发设备的签名后，向所述锚点网元发送所述颁发设备的公钥。

又例如，收发单元610，用于接收来自锚点网元的第三查询消息，所述第三查询消息 用于向第三设备查询第一标识是否被占用，所述第一标识为终端设备的身份标识，所述第 三设备采用区块链的方式存储终端设备的身份标识；向所述第三设备发送第四查询消息， 所述第四查询消息用于向所述第三设备查询所述第一标识是否被占用；接收来自所述第三 设备的第一指示信息，所述第一指示信息用于指示所述第一标识未被占用；向所述锚点网 元发送第三指示信息，所述第三指示信息用于指示所述第一标识可用。

应理解，收发单元610以及处理单元620还可以执行上述方法中任一方法中由BCHF所执行的其他操作，这里不再一一详述。

一种设计中，该装置600可对应于上述方法中任一方法中的区块链，且可以执行相应 方法中由区块链所执行的操作。

例如，收发单元610，用于接收区块链管理功能网元BCHF发送的第二查询消息，所述第二查询消息用于向所述第三设备查询颁发设备的第二授权信息，所述颁发设备负责为终端设备颁发证书，所述第三设备采用区块链的方式存储颁发设备的第二授权信息；向所述BCHF发送反馈信息，所述反馈信息包括以下信息中的至少一项：所述颁发设备的标识、所述颁发设备的公钥、以及根信任对授权的签名。

又例如，收发单元610，用于接收区块链管理功能网元BCHF发送的第四查询消息，所述第四查询消息用于向所述第三设备查询第一标识是否被占用，所述第三设备采用区块链的方式存储终端设备的身份标识，所述第一标识为终端设备的身份标识；向所述BCHF 发送第一指示信息，所述第一指示信息用于指示所述第一标识未被占用。

应理解，收发单元610以及处理单元620还可以执行上述方法中任一方法中由区块链 所执行的其他操作，这里不再一一详述。

一种设计中，该装置600可对应于上述方法中任一方法中的终端设备，且可以执行相 应方法中由终端设备所执行的操作。

例如，收发单元610，用于从颁发设备获取第一标识，所述第一标识为所述终端设备 的身份标识，所述颁发设备负责为终端设备颁发证书；向锚点网元发送第一请求消息，所 述第一请求消息用于请求在所述第二设备存储的关联关系中添加第一标识，所述第一标识 为终端设备的身份标识，所述关联关系包括所述终端设备的身份与所述终端设备的身份标 识的关联关系，所述第二设备为核心网设备；接收来自所述锚点网元的第二通知消息，所 述第二通知消息用于通知所述第一标识添加完成。

又例如，收发单元610，用于向用于颁发证书的颁发设备发送第三请求消息，所述第 三请求消息用于请求所述颁发设备为所述终端设备创建身份标识、以及授权所述颁发设备 将创建的身份标识配置到核心网；接收来自所述颁发设备的第三通知消息，所述第三通知 消息用于向所述终端设备通知身份标识添加完成，所述第三通知消息包括第一标识，所述 第一标识为所述颁发设备为所述终端设备的创建的身份标识。

应理解，收发单元610以及处理单元620还可以执行上述方法中任一方法中由终端设 备所执行的其他操作，这里不再一一详述。

一种设计中，该装置600可对应于上述方法中任一方法中的颁发者，且可以执行相应 方法中由颁发者所执行的操作。

例如，收发单元610，用于接收终端设备发送的第三请求消息，所述第三请求消息用 于请求所述颁发设备为所述终端设备创建身份标识、以及授权所述颁发设备将所述身份标 识配置到核心网。处理单元620，用于所述终端设备创建第一标识，所述第一标识为所述 终端设备的身份标识。所述收发单元610，还用于锚点网元发送第一请求消息，所述第一请求消息用于请求在所述第二设备存储的关联关系中添加第一标识，所述第一标识为终端设备的身份标识，所述关联关系包括所述终端设备的身份与所述终端设备的身份标识的关联关系，所述第二设备为核心网设备；接收来自所述锚点网元的第二通知消息，所述第二通知消息用于通知所述第一标识添加完成；向所述终端设备发送第三通知消息，所述第三通知消息用于向所述终端设备通知所述第一标识添加完成，所述第三通知消息包括所述第一标识。

应理解，收发单元610以及处理单元620还可以执行上述方法中任一方法中由颁发者 所执行的其他操作，这里不再一一详述。

应理解，上述各个单元的划分仅仅是功能上的划分，实际实现时可能会有其它的划分 方法。

还应理解，上述处理单元可以通过硬件来实现也可以通过软件来实现，或者可以通过 软硬结合的方式实现。

图7是本申请提供的一种更新用户身份标识的装置的结构示意图。如图7所示，该装 置700可实现上述任一方法实施例中任一网元所能实现的功能。

装置700可包括处理器710。所述处理器710也可以称为处理单元，可以实现一定的控制功能。所述处理器710可以用于对该装置700进行控制，执行软件程序，处理软 件程序的数据。

在一种可选的设计中，处理器710也可以存有指令和/或数据，所述指令和/或数据可以被所述处理器710运行，使得所述装置700执行上述方法实施例中描述的方法。

可选地，所述装置700中可以包括存储器720，其上可以存有指令，所述指令可 在所述处理器上被运行，使得所述装置700执行上述方法实施例中描述的方法。可选 的，所述存储器中还可以存储有数据。可选的，处理器中也可以存储指令和/或数据。 所述处理器和存储器可以单独设置，也可以集成在一起。例如，上述方法实施例中所 描述的对应关系可以存储在存储器中，或者存储在处理器中。

可选地，所述装置700可以包括基带电路730，主要用于进行基带处理。

可选地，所述装置700可以包括射频电路740，主要用于射频信号的收发以及射频信号与基带信号的转换，例如用于发送上述方法实施例中的BAR帧。射频电路1340也 可以称为收发单元、收发机、收发电路、或者收发器等等。

可选地，所述装置700可以包括天线750，主要用于信号的发送和接收。

可选地，所述装置700可以包括总线760，用于连接装置700的各部分，如上述的 处理器710、存储器720、基带电路730、射频电路740和天线750。

图8为本申请提供的一种更新用户身份标识的装置800的结构示意图。为了便于说明， 图8仅示出了装置800的主要部件。该装置800可实现上述任一方法实施例中终端设备的 功能。

如图8所示，装置800包括处理器和存储器。

可选地，装置800包括控制电路、天线以及输入输出装置。

处理器主要用于对通信协议以及通信数据进行处理，以及对整个装置800进行控制， 执行软件程序，处理软件程序的数据，例如用于支持装置800执行上述方法实施例中所描 述的终端设备所执行的操作。存储器主要用于存储软件程序和数据。控制电路主要用于基 带信号与射频信号的转换以及对射频信号的处理。控制电路和天线一起也可以叫做收发 器，主要用于收发电磁波形式的射频信号。输入输出装置，例如触摸屏、显示屏，键盘等主要用于接收用户输入的数据以及对用户输出数据。

当装置800开机后，处理器可以读取存储单元中的软件程序，解释并执行软件程序的 指令，处理软件程序的数据。当需要通过无线发送数据时，处理器对待发送的数据进行基 带处理后，输出基带信号至射频电路，射频电路将基带信号进行射频处理后将射频信号通 过天线以电磁波的形式向外发送。当有数据发送到装置800时，射频电路通过天线接收到 射频信号，将射频信号转换为基带信号，并将基带信号输出至处理器，处理器将基带信号 转换为数据并对该数据进行处理。

本领域技术人员可以理解，为了便于说明，图8仅示出了一个存储器和处理器。在实 际的装置800中，可以存在多个处理器和存储器。存储器也可以称为存储介质或者存储设 备等，本申请实施例对此不做限制。

作为一种可选的实现方式，处理器可以包括基带处理器和中央处理器，基带处理器主 要用于对通信协议以及通信数据进行处理，中央处理器主要用于对整个装置800进行控 制，执行软件程序，处理软件程序的数据。图8中的处理器集成了基带处理器和中央处理器的功能，本领域技术人员可以理解，基带处理器和中央处理器也可以是各自独立的处理器，通过总线等技术互联。本领域技术人员可以理解，装置800可以包括多个基带处理器 以适应不同的网络制式，装置800可以包括多个中央处理器以增强其处理能力，装置800 的各个部件可以通过各种总线连接。所述基带处理器也可以表述为基带处理电路或者基带 处理芯片。所述中央处理器也可以表述为中央处理电路或者中央处理芯片。对通信协议以 及通信数据进行处理的功能可以内置在处理器中，也可以以软件程序的形式存储在存储单元中，由处理器执行软件程序以实现基带处理功能。

示例性的，在本申请实施例中，可以将具有收发功能的天线和控制电路视为装置800 的收发单元810，将具有处理功能的处理器视为装置800的处理单元820。如图8所示，装置800包括收发单元810和处理单元820。收发单元也可以称为收发器、收发机、收发 装置等。可选的，可以将收发单元810中用于实现接收功能的器件视为接收单元，将收发 单元810中用于实现发送功能的器件视为发送单元，即收发单元810包括接收单元和发送 单元。示例性的，接收单元也可以称为接收机、接收器、接收电路等，发送单元可以称为 发射机、发射器或者发射电路等。

应注意，本申请实施例中的处理器可以是一种集成电路芯片，具有信号的处理能力。 在实现过程中，上述方法实施例的各步骤可以通过处理器中的硬件的集成逻辑电路或者软 件形式的指令完成。上述的处理器可以是通用处理器、数字信号处理器(digitalsignal processor，DSP)、专用集成电路(application specific integrated circuit，ASIC)、现场可 编程门阵列(field programmable gate array，FPGA)或者其它可编程逻辑器件、分立门或 者晶体管逻辑器件、分立硬件组件，还可以是系统芯片(system on chip，SoC)，还可以 是中央处理器(central processor unit，CPU)，还可以是网络处理器(network processor， NP)，还可以是微控制器(micro controller unit，MCU)，还可以是可编程控制器 (programmable logic device，PLD)或其他集成芯片。可以理解，本申请实施例中的存储 器可以是易失性存储器或非易失性存储器，或可包括易失性和非易失性存储器两者。其中， 非易失性存储器可以是只读存储器(read-only memory，ROM)、可编程只读存储器 (programmable ROM，PROM)、可擦除可编程只读存储器(erasable PROM，EPROM)、电可擦除可编程只读存储器(electrically EPROM，EEPROM)或闪存。易失性存储器可以 是随机存取存储器(random access memory，RAM)，其用作外部高速缓存。通过示例性 但不是限制性说明，许多形式的RAM可用，例如静态随机存取存储器(static RAM， SRAM)、动态随机存取存储器(dynamic RAM，DRAM)、同步动态随机存取存储器 (synchronous DRAM，SDRAM)、双倍数据速率同步动态随机存取存储器(double data rate SDRAM，DDR SDRAM)、增强型同步动态随机存取存储器(enhanced SDRAM，ESDRAM)、 同步连接动态随机存取存储器(synchlink DRAM，SLDRAM)和直接内存总线随机存取 存储器(direct rambus RAM，DRRAM)。应注意，本文描述的系统和方法的存储器旨在 包括但不限于这些和任意其它适合类型的存储器。

根据本申请实施例提供的方法，本申请还提供了一种计算机程序产品，该计算机程序 产品包括：计算机程序代码，当该计算机程序代码在计算机上运行时，使得该计算机执行 前述任一方法实施例任一网元所执行的操作。

根据本申请实施例提供的方法，本申请还提供了一种计算机可读介质，该计算机可读 介质存储有程序代码，当该程序代码在计算机上运行时，使得该计算机执行前述方法实施 例中任一网元所执行的操作。

根据本申请实施例提供的方法，本申请还提供了一种系统，其包括任一方法实施例中 的一个或多个网元。

本申请实施例还提供了一种通信装置，包括处理器和接口；所述处理器用于执行上述 任一方法实施例中的方法。

应理解，上述通信装置可以是一个芯片。例如，该处理装置可以是现场可编程门阵列 (field programmable gate array，FPGA)，可以是通用处理器、数字信号处理器(digital signal processor，DSP)、专用集成电路(application specific integratedcircuit，ASIC)、现成可 编程门阵列(field programmable gate array，FPGA)或者其他可编程逻辑器件、分立门或 者晶体管逻辑器件、分立硬件组件，还可以是系统芯片(systemon chip，SoC)，还可以 是中央处理器(central processor unit，CPU)，还可以是网络处理器(network processor， NP)，还可以是数字信号处理电路(digital signal processor，DSP)，还可以是微控制器 (micro controller unit，MCU)，还可以是可编程控制器(programmable logic device，PLD) 或其他集成芯片。可以实现或者执行本申请实施例中的公开的各方法、步骤及逻辑框图。 通用处理器可以是微处理器或者该处理器也可以是任何常规的处理器等。结合本申请实施 例所公开的方法的步骤可以直接体现为硬件译码处理器执行完成，或者用译码处理器中的 硬件及软件模块组合执行完成。软件模块可以位于随机存储器，闪存、只读存储器，可编 程只读存储器或者电可擦写可编程存储器、寄存器等本领域成熟的存储介质中。该存储介 质位于存储器，处理器读取存储器中的信息，结合其硬件完成上述方法的步骤。

可以理解，本申请实施例中的存储器可以是易失性存储器或非易失性存储器，或可包 括易失性和非易失性存储器两者。其中，非易失性存储器可以是只读存储器(read-only memory，ROM)、可编程只读存储器(programmable ROM，PROM)、可擦除可编程只 读存储器(erasable PROM，EPROM)、电可擦除可编程只读存储器(electrically EPROM，EEPROM)或闪存。易失性存储器可以是随机存取存储器(random access memory，RAM)， 其用作外部高速缓存。通过示例性但不是限制性说明，许多形式的RAM可用，例如静态 随机存取存储器(static RAM，SRAM)、动态随机存取存储器(dynamic RAM，DRAM)、 同步动态随机存取存储器(synchronous DRAM，SDRAM)、双倍数据速率同步动态随机 存取存储器(doubledata rate SDRAM，DDR SDRAM)、增强型同步动态随机存取存储器 (enhanced SDRAM，ESDRAM)、同步连接动态随机存取存储器(synchlink DRAM， SLDRAM)和直接内存总线随机存取存储器(direct rambus RAM，DR RAM)。应注意， 本文描述的系统和方法的存储器旨在包括但不限于这些和任意其它适合类型的存储器。

在上述实施例中，可以全部或部分地通过软件、硬件、固件或者其任意组合来实现。 当使用软件实现时，可以全部或部分地以计算机程序产品的形式实现。所述计算机程序产 品包括一个或多个计算机指令。在计算机上加载和执行所述计算机指令时，全部或部分地 产生按照本申请实施例所述的流程或功能。所述计算机可以是通用计算机、专用计算机、 计算机网络、或者其他可编程装置。所述计算机指令可以存储在计算机可读存储介质中， 或者从一个计算机可读存储介质向另一个计算机可读存储介质传输，例如，所述计算机指 令可以从一个网站站点、计算机、服务器或数据中心通过有线(例如同轴电缆、光纤、数 字用户线(digital subscriber line，DSL))或无线(例如红外、无线、微波等)方式向另一个网站站点、计算机、服务器或数据中心进行传输。所述计算机可读存储介质可以是计算机能够存取的任何可用介质或者是包含一个或多个可用介质集成的服务器、数据中心等数据存储设备。所述可用介质可以是磁性介质(例如，软盘、硬盘、磁带)、光介质(例 如，高密度数字视频光盘(digital video disc，DVD))、或者半导体介质(例如，固态硬 盘(solidstate disc，SSD))等。

上述各个装置实施例中网络设备与终端设备和方法实施例中的网络设备或终端设备 完全对应，由相应的模块或单元执行相应的步骤，例如通信单元(收发器)执行方法实施 例中接收或发送的步骤，除发送、接收外的其它步骤可以由处理单元(处理器)执行。具体单元的功能可以参考相应的方法实施例。其中，处理器可以为一个或多个。

在本说明书中使用的术语“部件”、“模块”、“系统”等用于表示计算机相关的实体、硬件、固件、硬件和软件的组合、软件、或执行中的软件。例如，部件可以是但不限 于，在处理器上运行的进程、处理器、对象、可执行文件、执行线程、程序或计算机。通 过图示，在计算设备上运行的应用和计算设备都可以是部件。一个或多个部件可驻留在进 程或执行线程中，部件可位于一个计算机上或分布在2个或更多个计算机之间。此外，这 些部件可从在上面存储有各种数据结构的各种计算机可读介质执行。部件可例如根据具有 一个或多个数据分组(例如来自与本地系统、分布式系统或网络间的另一部件交互的二个 部件的数据，例如通过信号与其它系统交互的互联网)的信号通过本地或远程进程来通信。

应理解，说明书通篇中提到的“实施例”意味着与实施例有关的特定特征、结构或特 性包括在本申请的至少一个实施例中。因此，在整个说明书各个实施例未必一定指相同的 实施例。此外，这些特定的特征、结构或特性可以任意适合的方式结合在一个或多个实施 例中。

应理解，在本申请实施例中，编号“第一”、“第二”…仅仅为了区分不同的对象， 比如为了区分不同的网络设备，并不对本申请实施例的范围构成限制，本申请实施例并不 限于此。

还应理解，在本申请中，“当…时”、“若”以及“如果”均指在某种客观情况下网 元会做出相应的处理，并非是限定时间，且也不要求网元实现时一定要有判断的动作，也 不意味着存在其它限定。

还应理解，在本申请中，“至少一个”是指一个或者多个，“多个”是指两个或两个以上。

还应理解，在本申请各实施例中，“A对应的B”表示B与A相关联，根据A可以 确定B。但还应理解，根据A确定B并不意味着仅仅根据A确定B，还可以根据A和/ 或其它信息确定B。

还应理解，本文中术语“和/或”，仅仅是一种描述关联对象的关联关系，表示可以存在三种关系，例如，A和/或B，可以表示：单独存在A，同时存在A和B，单独存在B 这三种情况。另外，本文中字符“/”，一般表示前后关联对象是一种“或”的关系。

本申请中出现的类似于“项目包括如下中的一项或多项：A，B，以及C”表述的含义，如无特别说明，通常是指该项目可以为如下中任一个：A；B；C；A和B；A和C； B和C；A，B和C；A和A；A，A和A；A，A和B；A，A和C，A，B和B；A，C 和C；B和B，B，B和B，B，B和C，C和C；C，C和C，以及其他A，B和C的组合。 以上是以A，B和C共3个元素进行举例来说明该项目的可选用条目，当表达为“项目包 括如下中至少一种：A，B，……，以及X”时，即表达中具有更多元素时，那么该项目 可以适用的条目也可以按照前述规则获得。

可以理解的，本申请实施例中，终端设备和/或网络设备可以执行本申请实施例中的 部分或全部步骤，这些步骤或操作仅是示例，本申请实施例还可以执行其它操作或者各种 操作的变形。此外，各个步骤可以按照本申请实施例呈现的不同的顺序来执行，并且有可 能并非要执行本申请实施例中的全部操作。

本领域普通技术人员可以意识到，结合本文中所公开的实施例描述的各示例的单元及 算法步骤，能够以电子硬件、或者计算机软件和电子硬件的结合来实现。这些功能究竟以 硬件还是软件方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术人员可 以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本 申请的范围。

所属领域的技术人员可以清楚地了解到，为描述的方便和简洁，上述描述的系统、装 置和单元的具体工作过程，可以参考前述方法实施例中的对应过程，在此不再赘述。

在本申请所提供的几个实施例中，应该理解到，所揭露的系统、装置和方法，可以通过其它的方式实现。例如，以上所描述的装置实施例仅仅是示意性的，例如，所述单元 的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或 组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所 显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口，装置或单元的 间接耦合或通信连接，可以是电性，机械或其它的形式。

所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的 部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络 单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。

另外，在本申请各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各 个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。

所述功能如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储 在一个计算机可读取存储介质中。基于这样的理解，本申请的技术方案本质上或者说对现 有技术做出贡献的部分或者该技术方案的部分可以以软件产品的形式体现出来，该计算机 软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计 算机，服务器，或者网络设备等)执行本申请各个实施例所述方法的全部或部分步骤。而 前述的存储介质包括：U盘、移动硬盘、只读存储器ROM、随机存取存储器RAM、磁碟 或者光盘等各种可以存储程序代码的介质。

以上所述，仅为本申请的具体实施方式，但本申请的保护范围并不局限于此，任何熟 悉本技术领域的技术人员在本申请揭露的技术范围内，可轻易想到变化或替换，都应涵盖 在本申请的保护范围之内。因此，本申请的保护范围应以所述权利要求的保护范围为准。

Claims (24)

1.一种更新用户身份标识的方法，其特征在于，包括：

锚点网元接收来自第一设备的第一请求消息，所述第一请求消息用于请求在第二设备存储的关联关系中添加第一标识，所述第一标识为终端设备的身份标识，所述关联关系包括所述终端设备的身份与所述终端设备的身份标识的关联关系，所述第二设备为核心网设备；

所述锚点网元向所述第二设备发送第二请求消息，所述第二请求消息用于请求在所述第二设备存储的所述关联关系中添加所述第一标识；

所述锚点网元接收来自所述第二设备的第一通知消息，所述第一通知消息用于通知所述第一标识添加完成；

所述锚点网元向第一设备发送第二通知消息，所述第二通知消息用于通知所述第一标识添加完成。

2.根据权利要求1所述的方法，其特征在于，所述第一设备为所述终端设备或负责为终端设备颁发证书的颁发设备。

3.根据权利要求2所述的方法，其特征在于，当所述第一设备为所述颁发设备时，所述第一请求消息还包括第一授权信息和所述颁发设备的签名，所述第一授权信息用于验证所述终端设备对所述颁发设备的授权和/或用于进行完整性保护。

4.根据权利要求1至3中任一项所述的方法，其特征在于，在所述锚点网元向所述第二设备发送第二请求消息之前，所述方法还包括：

所述锚点网元确定所述第一请求消息有效；和/或，

所述锚点网元确定所述第一标识有效。

5.根据权利要求4所述的方法，其特征在于，所述锚点网元确定所述第一请求消息有效，包括：

所述锚点网元确定所述第一请求消息通过完整性验证。

6.根据权利要求4或5所述的方法，其特征在于，所述第一请求消息包括颁发设备的签名，所述锚点网元确定所述第一标识有效，包括：

所述锚点网元向区块链管理功能网元BCHF发送第一查询消息，所述第一查询消息用于向第三设备查询与颁发所述第一标识的颁发设备对应的第二授权信息，所述第一查询消息包括用于确定所述颁发设备的信息，所述第三设备采用区块链的方式存储颁发设备的第二授权信息；

所述锚点网元从所述BCHF接收所述颁发设备的公钥；

所述锚点网元根据所述颁发设备的公钥，对所述颁发设备的签名进行验证；

当所述颁发设备的签名通过验证时，所述锚点网元确定所述第一标识有效。

7.根据权利要求6所述的方法，其特征在于，用于确定所述颁发设备的信息包括所述第一标识的格式或所述颁发设备的标识。

8.根据权利要求4或5所述的方法，其特征在于，所述锚点网元确定所述第一标识有效，包括：

所述锚点网元向区块链管理功能网元BCHF发送第三查询消息，所述第三查询消息用于向第三设备查询所述第一标识是否占用，所述第三设备采用区块链的方式存储终端设备的身份标识；

所述锚点网元从所述BCHF接收第三指示信息，所述第三指示信息用于指示所述第一标识可用；

所述锚点网元根据所述第三指示信息，确定所述第一标识有效。

9.一种更新用户身份标识的方法，其特征在于，包括：

第二设备接收锚点网元发送的第二请求消息，所述第二请求消息用于请求在所述第二设备存储的关联关系中添加第一标识，所述第一标识为终端设备的身份标识，所述关联关系包括所述终端设备的身份与所述终端设备的身份标识的关联关系，所述第二设备为核心网设备；

所述第二设备在所述关联关系中添加所述第一标识；

所述第二设备向所述锚点网元的第一通知消息，所述第一通知消息用于通知所述第一标识添加完成。

10.一种更新用户身份标识的方法，其特征在于，包括：

区块链管理功能网元BCHF接收来自锚点网元的第一查询消息，所述第一查询消息用于向第三设备查询颁发设备的第二授权信息，所述颁发设备负责为终端设备颁发证书，所述第三设备采用区块链的方式存储颁发设备的第二授权信息；

所述BCHF向所述第三设备发送第二查询消息，所述第二查询消息用于向所述第三设备查询所述颁发设备的第二授权信息；

所述BCHF接收来自所述第三设备的反馈信息，所述反馈信息包括以下信息中的至少一项：所述颁发设备的标识、所述颁发设备的公钥、以及根信任对授权的签名；

在根据所述根信任对授权的签名验证所述颁发设备的签名后，所述BCHF向所述锚点网元发送所述颁发设备的公钥。

11.一种更新用户身份标识的方法，其特征在于，包括：

区块链管理功能网元BCHF接收来自锚点网元的第三查询消息，所述第三查询消息用于向第三设备查询第一标识是否被占用，所述第一标识为终端设备的身份标识，所述第三设备采用区块链的方式存储终端设备的身份标识；

所述BCHF向所述第三设备发送第四查询消息，所述第四查询消息用于向所述第三设备查询所述第一标识是否被占用；

所述BCHF接收来自所述第三设备的第一指示信息，所述第一指示信息用于指示所述第一标识未被占用；

所述BCHF向所述锚点网元发送第三指示信息，所述第三指示信息用于指示所述第一标识可用。

12.根据权利要求11所述的方法，其特征在于，所述方法还包括：

所述BCHF向所述第三设备发送第二指示信息，所述第二指示信息用于指示占用所述第一标识。

13.一种更新用户身份标识的方法，其特征在于，包括：

第三设备接收区块链管理功能网元BCHF发送的第二查询消息，所述第二查询消息用于向所述第三设备查询颁发设备的第二授权信息，所述颁发设备负责为终端设备颁发证书，所述第三设备采用区块链的方式存储颁发设备的第二授权信息；

所述第三设备向所述BCHF发送反馈信息，所述反馈信息包括以下信息中的至少一项：所述颁发设备的标识、所述颁发设备的公钥、以及根信任对授权的签名。

14.一种更新用户身份标识的方法，其特征在于，包括：

第三设备接收区块链管理功能网元BCHF发送的第四查询消息，所述第四查询消息用于向所述第三设备查询第一标识是否被占用，所述第三设备采用区块链的方式存储终端设备的身份标识，所述第一标识为终端设备的身份标识；

所述第三设备向所述BCHF发送第一指示信息，所述第一指示信息用于指示所述第一标识未被占用。

15.根据权利要求14述的方法，其特征在于，所述方法还包括：

所述第三设备接收来自所述BCHF的第二指示信息，所述第二指示信息用于指示占用所述第一标识。

16.一种更新用户身份标识的方法，其特征在于，包括：

终端设备从颁发设备获取第一标识，所述第一标识为所述终端设备的身份标识，所述颁发设备负责为终端设备颁发证书；

所述终端设备向锚点网元发送第一请求消息，所述第一请求消息用于请求在第二设备存储的关联关系中添加所述第一标识，所述关联关系包括所述终端设备的身份与所述终端设备的身份标识的关联关系，所述第二设备为核心网设备；

所述终端设备接收来自所述锚点网元的第二通知消息，所述第二通知消息用于通知所述第一标识添加完成。

17.一种更新用户身份标识的方法，其特征在于，包括：

终端设备向用于颁发证书的颁发设备发送第三请求消息，所述第三请求消息用于请求所述颁发设备为所述终端设备创建身份标识、以及授权所述颁发设备将创建的身份标识配置到核心网；

所述终端设备接收来自所述颁发设备的第三通知消息，所述第三通知消息用于向所述终端设备通知身份标识添加完成，所述第三通知消息包括第一标识，所述第一标识为所述颁发设备为所述终端设备的创建的身份标识。

18.根据权利要求17所述的方法，其特征在于，所述方法还包括：

所述终端设备对所述第三通知消息进行完整性校验；

当所述第三通知消息通过完整性校验时，所述终端设备确定所述身份标识添加完成。

19.一种更新用户身份标识的方法，其特征在于，包括：

颁发设备接收终端设备发送的第三请求消息，所述第三请求消息用于请求所述颁发设备为所述终端设备创建身份标识、以及授权所述颁发设备将所述身份标识配置到核心网；

所述颁发设备为所述终端设备创建第一标识，所述第一标识为所述终端设备的身份标识；

所述颁发设备锚点网元发送第一请求消息，所述第一请求消息用于请求在第二设备存储的关联关系中添加所述第一标识，所述关联关系包括所述终端设备的身份与所述终端设备的身份标识的关联关系，所述第二设备为核心网设备；

所述颁发设备接收来自所述锚点网元的第二通知消息，所述第二通知消息用于通知所述第一标识添加完成；

所述颁发设备向所述终端设备发送第三通知消息，所述第三通知消息用于向所述终端设备通知所述第一标识添加完成，所述第三通知消息包括所述第一标识。

20.根据权利要求19所述的方法，其特征在于，所述第一请求消息还包括第一授权信息和所述颁发设备的签名，所述第一授权信息用于验证所述终端设备对所述颁发设备的授权和/或用于进行完整性保护。

21.一种更新用户身份标识的装置，其特征在于，包括处理器和存储器，所述处理器和所述存储器耦合，所述存储器用于存储计算机程序，所述处理器用于执行所述存储器中存储的计算机程序以实现如权利要求1至20中任一项所述的方法。

22.一种芯片，其特征在于，包括处理器和存储器，所述处理器和所述存储器耦合，所述存储器用于存储计算机程序，所述处理器用于执行所述存储器中存储的计算机程序以实现如权利要求1至20中任一项所述的方法。

23.一种计算机可读存储介质，其特征在于，包括计算机程序，当所述计算机程序在计算机上运行时，使得所述计算机执行如权利要求1至20中任一项所述的方法。

24.一种计算机程序产品，其特征在于，包括计算机程序，当所述计算机程序被运行时，如权利要求1至20中任一项所述的方法被执行。

Images