CN115119166A - 一种终端设备的配置方法、装置和通信设备 - Google Patents

一种终端设备的配置方法、装置和通信设备 Download PDF

Info

Publication number
CN115119166A
CN115119166A CN202111217636.8A CN202111217636A CN115119166A CN 115119166 A CN115119166 A CN 115119166A CN 202111217636 A CN202111217636 A CN 202111217636A CN 115119166 A CN115119166 A CN 115119166A
Authority
CN
China
Prior art keywords
key
message
server
request message
usim
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN202111217636.8A
Other languages
English (en)
Inventor
田野
粟栗
何申
杜海涛
马洁
姜文姝
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
China Mobile Communications Group Co Ltd
China Mobile Communications Ltd Research Institute
Original Assignee
China Mobile Communications Group Co Ltd
China Mobile Communications Ltd Research Institute
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by China Mobile Communications Group Co Ltd, China Mobile Communications Ltd Research Institute filed Critical China Mobile Communications Group Co Ltd
Priority to BR112023019397A priority Critical patent/BR112023019397A2/pt
Priority to CA3213048A priority patent/CA3213048A1/en
Priority to EP22774225.1A priority patent/EP4297443A4/en
Priority to US18/551,861 priority patent/US20240179523A1/en
Priority to MX2023011195A priority patent/MX2023011195A/es
Priority to AU2022245724A priority patent/AU2022245724A1/en
Priority to PCT/CN2022/082192 priority patent/WO2022199569A1/zh
Priority to JP2023558176A priority patent/JP2024512011A/ja
Publication of CN115119166A publication Critical patent/CN115119166A/zh
Pending legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/03—Protecting confidentiality, e.g. by encryption
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W4/00—Services specially adapted for wireless communication networks; Facilities therefor
    • H04W4/30—Services specially adapted for particular environments, situations or purposes
    • H04W4/40—Services specially adapted for particular environments, situations or purposes for vehicles, e.g. vehicle-to-pedestrians [V2P]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
    • H04W12/041—Key generation or derivation
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
    • H04W12/043—Key management, e.g. using generic bootstrapping architecture [GBA] using a trusted network node as an anchor
    • H04W12/0431—Key distribution or pre-distribution; Key agreement
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
    • H04W12/043—Key management, e.g. using generic bootstrapping architecture [GBA] using a trusted network node as an anchor
    • H04W12/0433—Key management protocols
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H04W12/069—Authentication using certificates or pre-shared keys
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/10—Integrity
    • H04W12/106—Packet or message integrity
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/40—Security arrangements using identity modules
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/60—Context-dependent security
    • H04W12/69—Identity-dependent
    • H04W12/72—Subscriber identity

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Mobile Radio Communication Systems (AREA)
  • Telephone Function (AREA)
  • Telephonic Communication Services (AREA)

Abstract

本发明实施例公开了一种终端设备的配置方法、装置和通信设备，所述方法包括：终端设备基于第一密钥生成第二密钥，基于所述第二密钥对证书请求消息进行加密和/或完整性保护；发送第一请求消息，所述第一请求消息中包括经所述第二密钥加密和/或完整性保护的所述证书请求消息。

Description

一种终端设备的配置方法、装置和通信设备
相关申请的交叉引用
本申请基于申请号为202110304444.4、申请日为2021年03月22日的中国专利申请提出，并要求该中国专利申请的优先权，该中国专利申请的全部内容在此以引入方式并入本申请。
技术领域
本发明涉及车联网技术领域，具体涉及一种终端设备的配置方法、装置和通信设备。
背景技术
蜂窝车联网(C-V2X)车联网中，车辆、交通设施、车联网管理系统之间传递大量的实时交通信息，包括车辆行驶状态、路况事件、信号灯信息等，这些关键的交通信息直接关系着公共交通安全与司乘人员的生命安全，在根本上决定着C-V2X技术能否产业落地。
为了保障信息的安全性，引入了数字证书，并基于数字证书对C-V2X系统中用户与设备的真实性、传递信息的真实性进行保障。因此，保障数字证书的安全性就成为C-V2X技术落地的关键。
目前的生产流程中，需要在车辆或车联网设备的生产过程中离线配置数字证书，这种方法对车辆厂商、C-V2X终端设备厂商有较高的安全生产要求，要么需要改造生产线以满足离线灌装的物理环境安全要求，要么需要将设备送到专业的安全机构进行灌装，因此该方法投资成本高，灵活性较差，部署难度大，技术实施的难度较大。
此外，采用现有标准GBA方法，如图1所示，车辆或车联网设备和CA服务器间能够建立起安全连接，C-V2X设备可通过在线方式完成数字证书配置，但是标准方案要求网络运营商为每一个CA服务器部署一个NAF/AP网元来提供GBA服务(参加图1中C-V2X服务提供者(C-V2X Service Provider)虚框，虚框中对于CA服务器(图中为C-V2X应用服务器(C-V2XApplication Server))与NAF/AP网元一一对应)，这对运营商而言增加了巨大的网络运营及维护的成本。除此之外，由于CA服务器与车联网设备通信所使用的GBA会话密钥是由NAF/AP网元中存储的，消息加解密、完整性保护等安全保护操作是由NAF/AP设备执行的，而NAF/AP是按照通信行业安全技术标准研发的，因此CA服务器不能够灵活使用GBA会话密钥，所执行的安全保护操作也不一定能够符合C-V2X车联网行业安全技术要求，这给GBA方案的产业应用带来的困难。
另外，在线配置方式完成数字证书配置对C-V2X设备的安全实现有着极高的设计要求。为了保证数字证书及敏感参数在设备侧的安全性，这些信息不能够简单地由客户端应用操作，在设备上通用CPU、内/外部存储器等上运算执行，而应结合密钥的生成获取方式在可信的安全环境中处理。然而，现有配置方案缺乏设备侧整体安全设计与实现，无法确保数字证书的配置安全。
总而言之，如何安全、便捷地将数字证书及敏感安全参数在C-V2X设备上安全部署配置是当前C-V2X车联网行业在安全领域面临的一大挑战。
发明内容
为解决现有存在的技术问题，本发明实施例提供一种终端设备的配置方法、装置和通信设备。
为达到上述目的，本发明实施例的技术方案是这样实现的：
第一方面，本发明实施例提供了一种终端设备的配置方法，所述方法包括：
终端设备基于第一密钥生成第二密钥，基于所述第二密钥对证书请求消息进行加密和/或完整性保护；
发送第一请求消息，所述第一请求消息中包括经所述第二密钥加密和/或完整性保护的所述证书请求消息。
上述方案中，所述方法还包括：所述终端设备接收来自服务器的第一响应消息，基于所述第二密钥对所述第一响应消息进行完整性校验和/或解密，获得所述第一响应消息中携带的数字证书。
上述方案中，所述终端设备包括：应用客户端、基带芯片和全球用户识别模块(USIM)；
所述终端设备基于第一密钥生成第二密钥，基于所述第二密钥对证书请求消息进行加密和/或完整性保护，包括：
所述应用客户端通过所述基带芯片触发所述USIM基于所述第一密钥生成第二密钥；
所述应用客户端生成第一证书请求消息，并通过所述基带芯片向所述USIM发送所述第一证书请求消息；
所述USIM生成公私钥对，在所述第一证书请求消息中添加所述公私钥对中的公钥，并利用所述公私钥对中的私钥对所述第一证书请求消息进行签名，获得第二证书请求消息；
所述USIM基于所述第二密钥对所述第二证书请求消息进行加密和/或完整性保护，在所述第二证书请求消息中添加第一校验值；
所述USIM通过所述基带芯片向所述应用客户端发送经上述处理后的所述第二证书请求消息。
上述方案中，所述发送第一请求消息，包括：所述应用客户端向服务器发送第一请求消息，所述第一请求消息中包括经所述第二密钥加密和/或完整性保护的所述第二证书请求消息；所述第一请求消息中还包括：引导事务标识(B-TID)和/或服务器的全限定域名(FQDN)。
上述方案中，所述终端设备包括：应用客户端、基带芯片和USIM；
所述终端设备接收来自所述服务器的第一响应消息，基于所述第二密钥对所述第一响应消息进行完整性校验和/或解密，获得所述第一响应消息中携带的数字证书，包括：
所述应用客户端接收来自所述服务器的第一响应消息，并通过所述基带芯片向所述USIM发送所述第一响应消息；
所述USIM基于所述第二密钥对所述第一响应消息进行完整性校验和/或解密；
校验通过后，所述USIM获得所述第一响应消息中携带的数字证书，并在安全组件中存储所述数字证书。
上述方案中，所述方法还包括：所述终端设备执行通用引导架构(GBA)认证流程或面向应用的认证或密钥管理(AKMA)认证流程，与网络设备协商所述第一密钥。
第二方面，本发明实施例还提供了一种终端设备的配置方法，所述方法包括：服务器接收来自终端设备的第一请求消息；所述第一请求消息中包括经第二密钥加密和/或完整性保护的证书请求消息；
所述服务器获得来自网络设备的所述第二密钥；所述第二密钥由所述网络设备基于第一密钥生成；
所述服务器基于所述第二密钥对所述第一请求消息进行完整性校验和/或解密，并在对所述第一请求消息授权通过后签发数字证书；
所述服务器向所述终端设备发送第一响应消息，所述第一响应消息中包括所述数字证书。
上述方案中，所述服务器向所述终端设备发送第一响应消息，包括：
所述服务器构建包含有所述数字证书的第一响应消息，基于所述第二密钥对所述第一响应消息进行加密和/或完整性保护，在所述第一响应消息中添加第二校验值；
向所述终端设备发送经上述处理后的第一响应消息。
上述方案中，所述第一请求消息中还包括：引导事务标识(B-TID)；
所述服务器获得来自网络设备的所述第二密钥，包括：
所述服务器查询是否存在与所述B-TID对应的第二密钥；
在查询结果为不存在与所述B-TID对应的第二密钥的情况下，获得来自网络设备的所述第二密钥。
上述方案中，所述服务器获得来自网络设备的所述第二密钥，包括：
所述服务器向所述网络设备发送第二请求消息，所述第二请求消息用于请求所述第二密钥；
所述服务器接收所述网络设备发送的第二响应消息，所述第二响应消息中包括所述第二密钥。
第三方面，本发明实施例还提供了一种终端设备的配置方法，所述方法包括：网络设备基于预先协商的第一密钥生成第二密钥，向服务器发送所述第二密钥。
上述方案中，所述方法还包括：所述网络设备与所述终端设备通过执行GBA认证流程或AKMA认证流程，与所述终端设备协商所述第一密钥。
上述方案中，所述网络设备基于预先协商的第一密钥生成第二密钥，向服务器发送所述第二密钥，包括：
所述网络设备接收所述服务器发送的第二请求信息，所述第二请求消息用于请求所述第二密钥；
所述网络设备基于预先协商的第一密钥生成第二密钥，向所述服务器发送第二响应消息，所述第二响应消息中包括所述第二密钥。
第四方面，本发明实施例还提供了一种终端设备的配置装置，所述装置包括：第一生成单元和第一通信单元；其中，
所述第一生成单元，用于基于第一密钥生成第二密钥，基于所述第二密钥对证书请求消息进行加密和/或完整性保护；
所述第一通信单元，用于发送第一请求消息，所述第一请求消息中包括经所述第二密钥加密和/或完整性保护的所述证书请求消息。
上述方案中，所述第一通信单元，还用于接收来自服务器的第一响应消息，基于所述第二密钥对所述第一响应消息进行完整性校验和/或解密，获得所述第一响应消息中携带的数字证书。
上述方案中，所述第一生成单元包括：应用客户端、基带芯片和USIM；
所述应用客户端，用于通过所述基带芯片触发所述USIM基于所述第一密钥生成第二密钥；还用于生成第一证书请求消息，并通过所述基带芯片向所述USIM发送所述第一证书请求消息；
所述USIM，用于生成公私钥对，在所述第一证书请求消息中添加所述公私钥对中的公钥，并利用所述公私钥对中的私钥对所述第一证书请求消息进行签名，获得第二证书请求消息；基于所述第二密钥对所述第二证书请求消息进行加密和/或完整性保护，并在所述第二证书请求消息中添加第一校验值；通过所述基带芯片向所述应用客户端发送经所述第二密钥加密和/或完整性保护的所述第二证书请求消息。
上述方案中，所述应用客户端，用于通过所述第一通信单元向服务器发送第一请求消息，所述第一请求消息中包括经所述第二密钥加密和/或完整性保护的所述第二证书请求消息；所述第一请求消息中还包括：B-TID和/或服务器FQDN。
上述方案中，所述第一生成单元包括：应用客户端、基带芯片和USIM；
所述应用客户端，用于通过所述第一通信单元接收来自所述服务器的第一响应消息，并通过所述基带芯片向所述USIM发送所述第一响应消息；
所述USIM，用于基于所述第二密钥对所述第一响应消息进行完整性校验和/或解密；校验通过后，获得所述第一响应消息中携带的数字证书，并在安全组件中存储所述数字证书。
上述方案中，所述装置还包括第一执行单元，用于执行GBA认证流程或AKMA认证流程，与网络设备协商所述第一密钥。
第五方面，本发明实施例还提供了一种终端设备的配置装置，所述装置包括：第二通信单元和第一校验单元；其中，
所述第二通信单元，用于接收来自终端设备的第一请求消息；所述第一请求消息中包括经第二密钥加密和/或完整性保护的证书请求消息；
所述第一校验单元，用于获得来自网络设备的所述第二密钥；所述第二密钥由所述网络设备基于第一密钥生成；还用于基于所述第二密钥对所述第一请求消息进行完整性校验和/或解密，并在对所述第一请求消息授权通过后签发数字证书；
所述第二通信单元，还用于向所述终端设备发送第一响应消息，所述第一响应消息中包括所述数字证书。
上述方案中，所述第二通信单元，用于构建包含有所述数字证书的第一响应消息，基于所述第二密钥对所述第一响应消息进行加密和/或完整性保护，在所述第一响应消息中添加第二校验值，向所述终端设备发送经上述处理后的第一响应消息。
上述方案中，所述第一请求消息中还包括：引导事务标识B-TID；
所述装置还包括第二执行单元，用于查询是否存在与所述B-TID对应的第二密钥；在查询结果为不存在与所述B-TID对应的第二密钥的情况下，通过所述第二通信单元获得来自网络设备的所述第二密钥。
第六方面，本发明实施例还提供了一种终端设备的配置装置，所述装置包括第二生成单元和第三通信单元；其中，
所述第二生成单元，用于基于预先协商的第一密钥生成第二密钥；
所述第三通信单元，用于向服务器发送所述第二密钥。
上述方案中，所述装置还包括第三执行单元，用于与终端设备通过执行GBA认证流程或AKMA认证流程，与所述终端设备协商所述第一密钥。
上述方案中，所述第二生成单元，用于基于预先协商的第一密钥，为每个服务器生成对应的第二密钥；
所述第三通信单元，用于分别向每个服务器发送所述对应的第二密钥。
第七方面，本发明实施例还提供了一种终端设备的配置方法，所述方法包括：终端设备基于第一密钥生成第二密钥，基于所述第二密钥对第一消息的部分或全部进行加密和/或完整性保护；
发送第一消息。
上述方案中，所述方法还包括：所述终端设备接收来自服务器的第二消息，基于所述第二密钥对所述第二消息进行完整性校验和/或解密。
上述方案中，所述终端设备包括：应用客户端、基带芯片和全球用户识别模块(USIM)；
所述终端设备基于第一密钥生成第二密钥，基于所述第二密钥对第一消息的部分或全部进行加密和/或完整性保护，包括：
所述应用客户端通过所述基带芯片触发所述USIM基于所述第一密钥生成第二密钥；
所述应用客户端生成第一消息，并通过所述基带芯片向所述USIM发送所述第一消息；
所述USIM基于所述第二密钥对所述第一消息的部分或全部进行加密和/或完整性保护；
所述USIM通过所述基带芯片向所述应用客户端发送经上述处理后的所述第一消息。
上述方案中，所述发送第一消息，包括：所述应用客户端向服务器发送所述第一消息；
所述第一消息中还包括：引导事务标识(B-TID)和/或服务器的全限定域名(FQDN)；或者包括：面向应用的认证或密钥管理(AKMA)密钥标识符(A-KID)和/或FQDN。
上述方案中，所述终端设备包括：应用客户端、基带芯片和全球用户识别模块(USIM)；
所述终端设备接收来自服务器的第二消息，基于所述第二密钥对所述第二消息进行完整性校验和/或解密，包括：
所述应用客户端接收来自所述服务器的第二消息，并通过所述基带芯片向所述USIM发送所述第二消息；
所述USIM基于所述第二密钥对所述第二消息进行完整性校验和/或解密。
第八方面，本发明实施例还提供了一种终端设备的配置方法，所述方法包括：
服务器接收来自终端设备的第一消息，所述第一消息的部分或全部经第二密钥加密和/或完整性保护；
所述服务器获得来自网络设备的所述第二密钥；所述第二密钥由所述网络设备基于第一密钥生成；
所述服务器基于所述第二密钥对所述第一消息进行完整性校验和/或解密。
上述方案中，所述方法还包括：所述服务器基于所述第二密钥对第二消息的部分或全部进行加密和/或完整性保护；
发送第二消息。
上述方案中，所述第一消息中还包括：引导事务标识(B-TID)，或者包括面向应用的认证或密钥管理(AKMA)密钥标识符(A-KID)；
所述服务器获得来自网络设备的所述第二密钥，包括：
所述服务器查询是否存在与所述B-TID或所述A-KID对应的第二密钥；
在查询结果为不存在与所述B-TID或所述A-KID对应的第二密钥的情况下，获得来自网络设备的所述第二密钥。
第九方面，本发明实施例还提供了一种终端设备的配置装置，所述装置包括：第三生成单元和第四通信单元；其中，
所述第三生成单元，用于基于第一密钥生成第二密钥，基于所述第二密钥对第一消息的部分或全部进行加密和/或完整性保护；
所述第四通信单元，用于发送第一消息。
上述方案中，所述第四通信单元，还用于接收来自服务器的第二消息，基于所述第二密钥对所述第二消息进行完整性校验和/或解密。
上述方案中，所述第三生成单元包括：应用客户端、基带芯片和全球用户识别模块(USIM)；
所述应用客户端，用于通过所述基带芯片触发所述USIM基于所述第一密钥生成第二密钥；还用于生成第一消息，并通过所述基带芯片向所述USIM发送所述第一消息；
所述USIM，用于基于所述第二密钥对所述第一消息的部分或全部进行加密和/或完整性保护；还用于通过所述基带芯片向所述应用客户端发送经上述处理后的所述第一消息。
上述方案中，所述应用客户端，还用于向服务器发送所述第一消息；
所述第一消息中还包括：引导事务标识(B-TID)和/或服务器的全限定域名(FQDN)；或者包括：面向应用的认证或密钥管理(AKMA)密钥标识符(A-KID)和/或FQDN。
上述方案中，所述第三生成单元包括：应用客户端、基带芯片和全球用户识别模块(USIM)；
所述应用客户端，用于接收来自所述服务器的第二消息，并通过所述基带芯片向所述USIM发送所述第二消息；
所述USIM，用于基于所述第二密钥对所述第二消息进行完整性校验和/或解密。
第十方面，本发明实施例还提供了一种终端设备的配置装置，所述装置包括：第五通信单元和第二校验单元；其中，
所述第五通信单元，用于接收来自终端设备的第一消息，所述第一消息的部分或全部经第二密钥加密和/或完整性保护；
所述第二校验单元，用于获得来自网络设备的所述第二密钥；所述第二密钥由所述网络设备基于第一密钥生成；还用于基于所述第二密钥对所述第一消息进行完整性校验和/或解密。
上述方案中，所述装置还包括第四生成单元，用于基于所述第二密钥对第二消息的部分或全部进行加密和/或完整性保护；
所述第五通信单元，还用于发送第二消息。
上述方案中，所述第一消息中还包括：引导事务标识(B-TID)，或者包括面向应用的认证或密钥管理(AKMA)密钥标识符(A-KID)；
所述装置还包括第三执行单元，用于查询是否存在与所述B-TID或所述A-KID对应的第二密钥；
所述第二校验单元，用于在所述第三执行单元获得的查询结果为不存在与所述B-TID或所述A-KID对应的第二密钥的情况下，通过所述第五通信单元获得来自网络设备的所述第二密钥。
第十一方面，本发明实施例还提供了一种计算机可读存储介质，其上存储有计算机程序，该程序被处理器执行时实现本发明实施例第一方面、第二方面、第三方面、第七方面或第八方面所述方法的步骤。
第十二方面，本发明实施例还提供了一种通信设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，所述处理器执行所述程序时实现本发明实施例第一方面、第二方面、第三方面、第七方面或第八方面所述方法的步骤。
本发明实施例提供的终端设备的配置方法、装置和通信设备，终端设备基于第一密钥生成第二密钥，基于所述第二密钥对证书请求消息进行加密和/或完整性保护；发送请求消息，所述请求消息中包括经所述第二密钥加密和/或完整性保护的所述证书请求消息；服务器接收来自终端设备的请求消息；所述请求消息中包括经第二密钥加密和/或完整性保护的证书请求消息；获得来自网络设备的所述第二密钥；所述第二密钥由所述网络设备基于第一密钥生成；基于所述第二密钥对所述请求消息进行完整性校验和/或解密，并在对所述请求消息授权通过后签发数字证书；向所述终端设备发送响应消息，所述响应消息中包括所述数字证书。采用本发明实施例的技术方案，基于GBA机制，可通过“一键配置”的方式实现C-V2X终端设备的数字证书的安全配置，无需生产线安全环境的改造，也无需专业的安全机构进行灌装，提升数字证书配置的灵活性、降低部署难度以及投资成本。
附图说明
图1为GBA架构示意图；
图2为本发明实施例的终端设备的配置方法的流程示意图一；
图3为本发明实施例中的GBA增强架构示意图；
图4为本发明实施例的终端设备的一种可选架构示意图；
图5为本发明实施例的终端设备的配置方法的流程示意图二；
图6为本发明实施例的终端设备的配置方法的流程示意图三；
图7为本发明实施例的终端设备的配置方法的交互流程示意图一；
图8为本发明实施例的终端设备的配置装置的组成结构示意图一；
图9为本发明实施例的终端设备的配置装置的组成结构示意图二；
图10为本发明实施例的终端设备的配置装置的组成结构示意图三；
图11为本发明实施例的终端设备的配置方法的流程示意图四；
图12为本发明实施例的终端设备的配置方法的流程示意图五；
图13为本发明实施例的终端设备的配置方法的交互流程示意图二；
图14为本发明实施例的终端设备的配置装置的组成结构示意图四；
图15为本发明实施例的终端设备的配置装置的组成结构示意图五；
图16为本发明实施例的通信设备的硬件组成结构示意图。
具体实施方式
下面结合附图及具体实施例对本发明作进一步详细的说明。
本发明实施例提供了一种终端设备的配置方法。图2为本发明实施例的终端设备的配置方法的流程示意图一；如图2所示，所述方法包括：
步骤101：终端设备基于第一密钥生成第二密钥，基于所述第二密钥对证书请求消息进行加密和/或完整性保护；
步骤102：发送第一请求消息，所述第一请求消息中包括经所述第二密钥加密和/或完整性保护的所述证书请求消息。
本实施例的终端设备的配置方法(以下简称方法)应用于终端设备中，所述终端设备具体可以是车联网终端设备(也可以称为C-V2X Device)，在一些可选实施例中，所述车联网终端设备例如可以是车载单元(OBU，On board Unit)、路侧单元(RSU，Road SideUnit)等等；在另一些可选实施例中，所述车联网终端设备也可以是行人的手持设备、可穿戴设备等等。
在本发明的一些可选实施例中，所述方法还包括：所述终端设备执行通用引导架构(GBA，Generic Bootstrapping Architecture)认证流程或面向应用的认证和密钥管理(AKMA，Authentication and Key Management for Applications)认证流程，与网络设备协商所述第一密钥。
具体来说，这里的网络设备在GBA认证流程下具体可以是网络应用功能(NAF，Network Application Function)或认证代理(AP，Authentication Proxy)。进而，在AKMA认证流程下，网络设备可以是网络暴露功能实体(NEF，Network Exposure Function)，NEF用于将网络能力暴露给其他网元使用。
终端与网络设备预先协商第一密钥的一种可能的实现方式为(这里以C-V2X设备基于GBA认证流程为例)：
C-V2X设备与BSF进行AKA认证，BSF返回200OK响应后，C-V2X设备生成GBA会话密钥，也即所述第一密钥。随后，在C-V2X设备访问NAF/AP时，NAF/AP请求BSF为其协商生成同样的GBA会话密钥，也即所述第一密钥。这里的NAF/AP向C-V2X服务提供者(例如C-V2X应用服务器)提供GBA服务。NAF/AP从BSF获得该GBA会话密钥，也即所述第一密钥，从而完成了终端与网络设备协商第一密钥的过程。
在C-V2X设备需要与服务器安全地进行业务消息交互(如申请数字证书)时，C-V2X设备向服务器发起应用请求。此时，服务器通过与网络设备预先建立的安全连接访问NAF/AP，请求NAF/AP基于第一密钥为本次业务生成第二密钥，并获取生成的第二密钥。基于第二密钥，C-V2X终端与服务器间可对交互的业务消息进行加密、完整性保护等安全处理，相当于在C-V2X终端与服务器间建立起安全的通信通道。
其中，这里的服务器可以为C-V2X应用服务器(C-V2X application server),C-V2X应用服务器可以是CA服务器(CA为Certificate Authority，也即证书颁发机构)。在这一架构下CA服务器可以：为注册CA服务器或授权CA服务器。也即如果C-V2X设备要申请注册证书，则服务器相应为注册CA服务器(Enrolment CA server或ECA)；如果C-V2X要申请授权证书或应用证书或身份证书，则服务器相应为授权CA服务器(Authorization CA server或ACA)。CA服务器可由MNO自己部署或第三方部署，从而可以为C-V2X设备提供证书服务。
这里的C-V2X终端与服务器间建立起安全的通信通道是指：终端设备通过上述GBA认证流程后，会获得第一密钥，后续会基于第一密钥生成第二密钥。而服务器侧可以从网络设备处获得第二密钥(网络设备NAF/AP已经预先与终端协商好了第一密钥，并在服务器需要第二密钥时，基于第一密钥生成第二密钥，将第二密钥返回给服务器，后续会对这一流程进行详细说明)。可见，终端设备与服务器都获得了第二密钥，并且基于第二密钥进行消息的安全保护及收发，从而终端设备与服务器之间实际建立了一个安全通道(或称为安全连接、安全链路等)，用于基于第二密钥对所收发的消息进行良好地保护。
此外，这里的所述第一密钥也可称为共享会话密钥；基于第一密钥生成第二密钥，所述第二密钥也可称为应用会话密钥或会话密钥。
需要说明的是，应用该方法的终端设备可以部署在如图3所示的GBA增强架构中。在增强的架构中，网络设备NAF/AP由少数几个C-V2X应用服务器(例如CA服务器)共享(参见图3中C-V2X服务提供者(C-V2X Service Provider)虚框，虚框中不包含NAF/AP网元，而是将NAF/AP网元部署在移动网络运营商(MNO，Mobile Network Operator)侧，且多个CA服务器(图中为C-V2X应用服务器(C-V2X Application Server))共享一个NAF/AP网元)。不难理解，多个CA服务器共享一个NAF/AP网元能够大大降低部署成本，降低维护难度。
进一步的，基于引导服务器功能(BSF，Bootstrapping Server Function)在GBA引导的安全关联过程中提供的GBA会话密钥(例如Ks_int_NAF)，网络设备NAF/AP进一步为每个C-V2X应用服务器(例如CA服务器)派生出GBA应用会话密钥(用K*表示)，并将K*共享给CA服务器。同时，C-V2X设备(C-V2X Device)也从本地获取与GBA引导过程中相同的K*，然后提供K*给上层的C-V2X应用客户端(C-V2X Application Client)调用。这样，CA服务器和C-V2X设备共享相同的GBA应用会话密钥K*。他们可以使用K*实现相互认证，保护传输的消息，建立安全通道等，然后用共享的GBA应用会话密钥K*对C-V2X证书申请及发放过程进行保护。
本实施例的方法可允许用户通过“一键”触发方式实现数字证书配置，具体来说，用户通过终端上的人机界面点击触发或者通过其他接口软件触发，可以很容易地触发终端启动证书配置操作。接收到触发命令后，终端可自动与服务器完成接入认证、安全通道建立、密钥生成、数字证书申请以及后续的数字证书下载及安全存储等操作，实现终端设备的初始安全配置。该方式相比于现有的离线部署以及在线部署方式来说，自动化程度高、应用及维护成本较低、人工操作步骤少、易于推广。
在本发明的一些可选实施例中，所述终端设备包括：应用客户端(也可以称为C-V2X application client)、基带芯片(也可以称为设备调制解调器Device modem，用于接入4G或5G网络)和全球用户识别模块(USIM，Universal Subscriber Identity Module)；所述终端设备基于第一密钥生成第二密钥，基于所述第二密钥对证书请求消息进行加密和/或完整性保护，包括：所述应用客户端通过所述基带芯片触发所述USIM基于所述第一密钥生成第二密钥；所述应用客户端生成第一证书请求消息，并通过所述基带芯片向所述USIM发送所述第一证书请求消息；所述USIM生成公私钥对，在所述第一证书请求消息中添加所述公私钥对中的公钥，并利用所述公私钥对中的私钥对所述第一证书请求消息进行签名，获得第二证书请求消息；所述USIM基于所述第二密钥对所述第二证书请求消息进行加密和/或完整性保护，在所述第二证书请求消息中添加第一校验值；所述USIM通过所述基带芯片向所述应用客户端发送经过上述处理的所述第二证书请求消息。
其中，这里的第二密钥可以仅由一种密钥组成，也可以由多种密钥组成(也即这里的多种密钥都是基于第一密钥生成的，统称为第二密钥)。一种可行的实施方式中，第二密钥由多种密钥组成，例如可以包括加密密钥和/或完整性保护密钥，当然还可以根据实际需要包括其他类型的密钥，此处不再赘述。进而，USIM基于所述第二密钥对所述第二证书请求消息进行加密的过程包括：USIM利用第二密钥中的加密密钥对明文的第二证书请求消息进行加密，使其变成密文。和/或，USIM基于所述第二密钥对所述第二证书请求消息进行完整性保护的过程包括：USIM利用第二密钥中的完整性保护密钥对消息进行完整性保护，例如可以对加密后的消息利用完整性保护密钥计算出第一校验值，然后将计算出的第一校验值添加到所述第二证书请求消息中。其中，可选地，所述第一校验值可以是哈希运算消息认证码(HMAC，Hash-based Message Authentication Code)值，示例性的，USIM可基于消息中的某些比特位进行计算，得到所述第一校验值。需要说明的是，“将计算出的第一校验值添加到请求消息中”其实是消息完整性保护过程的一个步骤，这里为了能够更清晰的说明后续如何对于第二证书请求消息进行保护，才将此步骤重点强调。
图4为本发明实施例的终端设备的一种可选架构示意图；如图4所示，终端设备可包括应用(Application)层、用户库(User libraries)、Linux内核(Linux Kernel)以及硬件(Hardware)层等等。其中，应用层可包括CA管理应用和V2X应用；用户库包括GBA接口库、USIM接口库、硬件安全模块(HSM，Hardware Security Module)接口库以及LTE-V2X接口库等等；硬件层包括HSM、LTE-V2X通信模组和LTE-Uu通信模组，LTE-Uu通信模组中可包括基带芯片和USIM。其中，LTE-Uu通信模组、LTE-V2X通信模组以及HSM以分立模块或元器件的方式实现，或者也可封装集成为一个模块/模组，但这不影响它们之间的逻辑功能划分。
本示例中，CA管理应用(也即CA application client)是终端设备(例如C-V2X终端设备)实现“初始安全一键配置”的控制软件，它负责整个业务流程的逻辑控制。V2X应用(也可称为C-V2X应用)是终端设备通过PC5/V5接口实现V2X直连通信的业务应用模块，负责直连通信业务消息的收发控制。它通过调用LTE-V2X接口库访问硬件层的LTE-V2X通信模组，与其他终端设备实现C-V2X业务交互。
GBA接口库、USIM接口库，HSM接口库是终端底层硬件模块开放给上层应用的调用接口，分别用于调用LTE-Uu通信模组支持的GBA安全接入认证能力、USIM提供的数字证书管理应用能力和安全能力以及HSM提供的安全存储及运算能力。
当然，本发明实施例中的终端设备的组成架构不限于图4中所示，其他的架构形式也可在本发明实施例的保护范围之内。
本实施例中的应用客户端负责实现CA管理应用的功能，负责终端设备数字证书的管理，具体可参照图4中的CA管理应用。
本实施例中，应用客户端通过所述基带芯片、调用USIM接口库触发所述USIM基于所述第一密钥生成第二密钥。应用客户端可根据“一键触发”生成第一证书请求消息，调用USIM重构证书请求接口(即第一USIM接口)、通过所述基带芯片向所述USIM发送所述第一证书请求消息；当然，本实施例中所述第一USIM接口不限于是USIM重构证书请求接口，其他用于重构证书请求的接口名称也可在本发明实施例的保护范围之内。USIM接收到第一证书请求消息后，可基于通用集成电路卡(UICC，Universal Integrated Circuit Card)内部的随机数发生器生成公私钥对，按照C-V2X相关规范的协议格式的要求，完善证书请求消息，在第一证书请求消息中添加公私钥对中的公钥，并利用所述公私钥对中的私钥对所述第一证书请求消息进行签名，获得第二证书请求消息，USIM基于第二密钥对第二证书请求进行加密和/或完整性保护。接着，USIM通过所述基带芯片并通过接口库向所述应用客户端发送经上述处理的所述第二证书请求消息。
其中，这里的UICC是一种安全级别达到EAL 4+的安全硬件，可基于它实现USIM功能，可以保证Ks_int_NAF(也即第一密钥)的安全性。具体来说，UICC可以理解为是一种通用架构，或者可以理解为是一种安全载体，当USIM function被实施在这一通用架构中，则实现了USIM功能，也即成为USIM。UICC其实还可以实现很多应用，也即该架构中可以支持实施很多功能，在本发明实施例中实现的是USIM，因此USIM也具有很高的安全性，进而在USIM中进行证书公私钥对生成、密码运算、安全存储等操作能够有效保证终端的安全性。避免出现现有技术中，由于密钥在不安全的终端CPU、内存等器件中运算、存储所带来的敏感信息泄露之类的安全隐患。且通过将已有的USIM作为终端上的安全器件进行上述安全操作，能够避免在终端上增加新的安全硬件，从而降低终端的硬件实现成本。
示例性的，本实施例中的数字证书也可称为注册证书(EC，EnrollmentCertificate)，用于标识一个可信的终端设备，因此需要以安全的方法实现数字证书在终端设备上的初始安全配置。相应的，本实施例中的服务器可以为ECA服务器，也即授权CA服务器。
在本发明的一些可选实施例中，所述发送第一请求消息，包括：所述应用客户端向服务器发送第一请求消息，所述第一请求消息中包括经所述第二密钥加密和/或完整性保护的所述第二证书请求消息；所述第一请求消息中还包括：引导事务标识(B-TID，Bootstrapping-Transaction Identifier)和/或服务器全限定域名(FQDN，FullyQualified Domain Name)。
在本发明的一些可选实施例中，所述方法还包括：所述终端设备接收来自服务器的第一响应消息，基于所述第二密钥对所述第一响应消息进行完整性校验和/或解密，获得所述第一响应消息中携带的数字证书。
本实施例中，示例性的，所述第一响应消息可通过超文本传输协议(HTTP，HyperText Transfer Protocol)消息承载，例如可通过HTTP 200OK消息承载。
在本发明的一些可选实施例中，所述终端设备包括：应用客户端、基带芯片和USIM；所述终端设备接收来自所述服务器的第一响应消息，基于所述第二密钥对所述第一响应消息进行完整性校验和/或解密，获得所述第一响应消息中携带的数字证书，包括：所述应用客户端接收来自所述服务器的第一响应消息，并通过所述基带芯片向所述USIM发送所述第一响应消息；所述USIM基于所述第二密钥对所述第一响应消息进行完整性校验和/或解密；校验通过后，所述USIM获得所述第一响应消息中携带的数字证书，并在安全组件中存储所述数字证书。
本实施例中，应用客户端接收来自所述CA服务器的第一响应消息，调用USIM安全检验接口(即第二USIM接口)通过所述基带芯片向所述USIM发送所述第一响应消息；当然，本实施例中所述第二USIM接口不限于是USIM安全检验接口，其他用于安全检验的接口也可在本发明实施例的保护范围之内。USIM基于所述第二密钥对所述第一响应消息进行完整性校验和/或解密，其中，第一响应消息中携带第二校验值，所述完整性校验即校验所述第一响应消息中携带的第二校验值；其中，可选地，所述第二校验值也可以是HMAC值，示例性的，USIM可基于消息中的某些比特位进行计算，得到一个校验值，再将该校验值与所述第二校验值进行比对，比对一致则表明所述完整性校验通过。校验通过后，所述USIM获得所述第一响应消息中携带的数字证书。
本实施例中，所述USIM在安全组件中存储所述数字证书。示例性的，USIM(还可包括HSM)是终端设备本地的安全实体/模块，能够为数据的运算、存储、处理提供可靠的安全环境。为了确保V2X业务数据的安全性，密钥(例如第一密钥、公私钥对等敏感参数)、数字证书等以及涉及它们的运算通常应在终端设备本地的安全实体/模块中处理，因此保证C-V2X终端设备数字证书安全配置过程的安全性。
基于前述实施例，本发明实施例还提供了一种终端设备的配置方法。图5为本发明实施例的终端设备的配置方法的流程示意图二；如图5所示，所述方法包括：
步骤201：服务器接收来自终端设备的第一请求消息；所述第一请求消息中包括经第二密钥加密和/或完整性保护的证书请求消息；
步骤202：获得来自网络设备的所述第二密钥；所述第二密钥由所述网络设备基于第一密钥生成；
步骤203：基于所述第二密钥对所述第一请求消息进行完整性校验和/或解密，并在对所述第一请求消息授权通过后签发数字证书；
步骤204：向所述终端设备发送第一响应消息，所述第一响应消息中包括所述数字证书。
本实施例中，在用户的“一键”触发下，终端设备可基于GBA技术机制或AKMA认证机制自动完成服务器接入认证以及安全通道的建立、密钥生成以及数字证书的申请以及后续的数字证书的下载及安全存储等操作，实现终端设备的初始安全配置。
本实施例中，所述服务器通过上述建立的安全通道接收来自终端设备的第一请求消息。示例性的，所述服务器可通过网络设备接收来自终端设备的第一请求消息，即，第一请求消息经终端设备发出、到达网络设备，再经由网络设备将第一请求消息发送至服务器。
本实施例中，由于第一请求消息中包括经第二密钥加密和/或完整性保护的证书请求消息，则服务器需要获得上述第二密钥。示例性的，服务器从网络设备处获得所述第二密钥。在终端设备执行GBA认证流程或AKMA认证流程过程中，终端设备与网络设备协商第一密钥，所述第一密钥也可称为共享会话密钥。
在一些可选实施方式中，所述服务器获得来自网络设备的所述第二密钥，包括：所述服务器向所述网络设备发送第二请求消息，所述第二请求消息用于请求所述第二密钥；所述服务器接收所述网络设备发送的第二响应消息，所述第二响应消息中包括所述第二密钥。
本实施例中，服务器可向网络设备发送第二请求消息，所述第二请求消息用于请求第二密钥；则网络设备接收到所述第二请求消息后，基于预先协商的第一密钥生成第二密钥，再向服务器发送第二响应消息，所述第二响应消息中包括所述第二密钥，由此使得服务器获得所述第二密钥。
另一些可选实施方式中，网络设备在接收到终端设备发送的用于请求数字证书的第一请求消息后，也可基于预先协商的第一密钥生成第二密钥，在向服务器发送该第一请求消息的过程中，将所述第二密钥发送至所述服务器。
在本发明的一些可选实施例中，所述第一请求消息中还包括：B-TID；所述服务器获得来自网络设备的所述第二密钥，包括：所述服务器查询是否存在与所述B-TID对应的第二密钥；在查询结果为不存在与所述B-TID对应的第二密钥的情况下，获得来自网络设备的所述第二密钥。
本实施例中，服务器中可能预先获得与B-TID对应的第二密钥。则在接收到第一请求消息后，可先通过第一请求消息中携带的B-TID查询是否存在与所述B-TID对应的第二密钥；在查询结果为不存在与所述B-TID对应的第二密钥的情况下，获得来自网络设备的所述第二密钥；在存在与所述B-TID对应的第二密钥的情况下，可直接获得所述B-TID对应的第二密钥。
本实施例中，由于终端设备发送的消息是经过第二密钥加密和/或完整性保护的，服务器获得第二密钥后，基于所述第二密钥对所述第一请求消息进行完整性校验和/或解密，并在对所述第一请求消息授权通过后签发数字证书。
本实施例中，所述证书请求消息中还包括第一校验值，所述第一校验值可以是HAMC值，所述服务器可基于第一请求消息中的某些比特位进行计算，得到一个校验值，再将该校验值与所述第一校验值进行比对，比对一致则表明完整性校验通过。
在本发明的一些可选实施例中，所述服务器向所述终端设备发送第一响应消息，包括：所述服务器构建包含有所述数字证书的第一响应消息，基于所述第二密钥对所述第一响应消息进行加密和/或完整性保护，在所述第一响应消息中添加第二校验值，向所述终端设备发送经过上述处理的第一响应消息。同样的，这里的添加第二校验值也属于对第一响应消息进行完整性保护过程的一部分，为便于更清晰的说明后续终端如何基于第一响应消息进行处理，本实施例中才将添加第二校验值这一步骤重点强调。
本实施例中，服务器在签发数字证书后，按照C-V2X相关规范的协议格式要求，构建第一响应消息(或证书响应消息)，并基于第一响应消息中的某些比特位进行计算，得到第二校验值，将第二校验值添加至所述第一响应消息中，并向所述终端设备发送经上述处理的第一响应消息。示例性的，所述第一响应消息可通过HTTP消息承载，例如可通过HTTP200OK消息承载。
基于前述实施例，本发明实施例还提供了一种终端设备的配置方法。图6为本发明实施例的终端设备的配置方法的流程示意图三；如图6所示，所述方法包括：
步骤301：网络设备基于预先协商的第一密钥生成第二密钥；
步骤302：向服务器发送所述第二密钥。
本实施例中，所述网络设备具体可以是NAF/AP。终端设备执行GBA认证流程或AKMA认证流程，开始建立与服务器之间的安全访问连接(或安全通道、安全链路等等)，认证完成后，终端设备与网络设备已协商好第一密钥，所述第一密钥也可称为共享会话密钥。
在一些可选实施例中，网络设备可接收服务器的第二请求消息，所述第二请求消息用于请求第二密钥，则所述网络设备基于预先协商的第一密钥生成第二密钥，再向服务器发送第二响应消息，所述第二响应消息中包括所述第二密钥，由此使得服务器获得所述第二密钥。在另一些可选实施例中，网络设备在接收到终端设备发送的用于请求数字证书的第一请求消息后，也可基于预先协商的第一密钥生成第二密钥，在向服务器发送该第一请求消息的过程中，将所述第二密钥发送至所述服务器。
在本发明的一些可选实施例中，所述方法还包括：所述网络设备与终端设备通过执行GBA认证流程或AKMA认证流程，与所述终端设备协商所述第一密钥。
采用本发明实施例的技术方案，基于GBA机制，可通过“一键配置”的方式实现C-V2X终端设备的数字证书的安全配置，无需生产线安全环境的改造，也无需专业的安全机构进行灌装，提升数字证书配置的灵活性、降低部署难度以及投资成本。
下面结合具体的场景对本发明实施例的终端设备的配置方法进行说明。
本示例中，以终端设备为C-V2X设备(C-V2X Device)、网络设备为NAF/AP为例进行说明。其中，C-V2X设备中包括USIM、基带芯片和应用客户端；基带芯片也可称为设备调制解调器(Device Modem)，应用客户端也可称为(C-V2X Application Client)，上述实施例中的CA服务器在本示例中称为应用服务器或C-V2X应用服务器(C-V2X ApplicationServer)。图7为本发明实施例的终端设备的配置方法的交互流程示意图一；如图7所示，所述方法包括：
步骤401、C-V2X应用客户端向基带芯片发起GBA启动请求。
在需要对C-V2X设备进行初始化、配置数字证书时，应用客户端通过GBA接口库调用底层基带芯片启动GBA认证流程，开始建立至CA服务器(如ECA服务器)的安全访问连接。
步骤402、执行GBA认证流程，与NAF/AP协商共享会话密钥Ks_int_NAF(即前述实施例中的第一密钥)。
步骤403、基带芯片向C-V2X应用客户端发送对应于GBA启动请求的GBA响应。
步骤404-步骤408、在采用GBA增强技术的情况下，C-V2X应用客户端通过接口调用，即调用USIM接口库(例如USIM重构证书请求接口)向USIM传送消息，以触发USIM基于Ks_int_NAF生成应用会话密钥K*(即第二密钥)；USIM通过基带芯片以及接口返回，即调用USIM接口库向C-V2X应用客户端进行消息传送，以告知C-V2X应用客户端已生成应用会话密钥K*。
示例性的，C-V2X应用客户端向USIM传送的消息可携带B-TID、IMPI和NAF标识(ID)；USIM接收到消息后，基于Ks_int_NAF生成应用会话密钥K*。
步骤409-步骤410、C-V2X应用客户端组建证书请求消息(即前述第一证书请求消息)，准备向CA服务器申请数字证书。C-V2X应用客户端通过接口调用，即调用USIM重构证书请求接口、通过基带芯片向USIM进行消息传送，传送的消息中携带准备好的证书请求消息(即前述实施例中的第一证书请求消息)。
步骤411、接收到证书请求消息后，USIM生成公私钥对，在证书请求消息中添加所述公私钥对中的公钥，并利用所述公私钥对中的私钥对证书请求消息进行签名，获得第二证书请求消息；基于所述第二密钥对所述第二证书请求消息进行加密和/或完整性保护，在所述第二证书请求消息中添加HMAC值。
具体的，USIM执行如下操作：
1)使用UICC内部的随机数发生器为EC数字证书生成所需的密码公私钥对；
2)按照C-V2X相关规范的协议要求，完善证书请求消息，其中增加所生成的公私钥对中的公钥；
3)使用公私钥对中的私钥对证书请求消息进行签名；
4)使用应用会话密钥K*对证书请求消息进行加密及完整性保护，并将HMAC值加入到消息中，得到第二证书请求消息。
步骤412-步骤413、USIM通过基带芯片以及接口返回，即通过调用USIM接口库向C-V2X应用客户端进行消息传送，传送的消息中包含经过应用会话密钥K*加密和/或完整性保护的第二证书请求消息。
步骤414、C-V2X应用客户端向CA服务器发送请求消息，请求消息中携带受K*保护的第二证书请求消息以及B-TID、Server FQDN等信息。
其中，示例性的，所述请求消息经NAF/AP传输至CA服务器。
步骤415-步骤417、CA服务器通过预先建立的安全通道与NAF/AP交互，请求NAF/AP基于Ks_int_NAF生成应用会话密钥K*，并获取应用会话密钥K*及其相关信息。所述相关信息例如可包括应用会话密钥K*的生存时间等等。
其中，NAF/AP可通过HTTP 200OK响应消息向CA服务器发送应用会话密钥K*及其相关信息。
其中，CA服务器向NAF/AP发送的请求消息中还可包括B-TID、Server FQDN等信息。
步骤418、CA服务器获取应用会话密钥K*之后，基于应用会话密钥K*对请求消息进行完整性校验和/或解密，并在对请求消息授权通过后签发数字证书；构建包含有所述数字证书的响应消息，基于应用会话密钥K*对所述响应消息进行加密和/或完整性保护，在所述响应消息中添加HMAC值。
具体的，CA服务器可执行如下操作：
1)使用应用会话密钥K*校验请求消息的HMAC值，解密消息；
2)对证书请求消息进行授权检验；在授权检验通过的情况下，为C-V2X设备签发数字证书；
3)按照C-V2X相关规范的协议要求，构建响应消息，响应消息中包含签发的数字证书；
4)使用应用会话密钥K*对响应消息进行加密及完整性保护，并将HMAC值加入到响应消息中。
步骤419、CA服务器向C-V2X应用客户端返回经应用会话密钥K*保护的响应消息；示例性的，该响应消息可通过HTTP 200OK消息承载。
步骤420-步骤421、C-V2X应用客户端通过接口调用，即调用USIM安全检验接口、并经基带芯片向USIM进行消息传送，传送的消息中携带上述经应用会话密钥K*保护的响应消息。
步骤422-步骤424、USIM使用应用会话密钥K*对响应消息进行完整性校验和/或解密；校验成功之后，USIM将CA服务器签发的数字证书在安全组件中安全存储，并通过接口返回、经基带芯片向C-V2X应用客户端传送结果状态指示。
本发明实施例还提供了一种终端设备的配置装置，应用于终端设备中。图8为本发明实施例的终端设备的配置装置的组成结构示意图一；如图8所示，所述装置包括：第一生成单元11和第一通信单元12；其中，
所述第一生成单元11，用于基于第一密钥生成第二密钥，基于所述第二密钥对证书请求消息进行加密和/或完整性保护；
所述第一通信单元12，用于发送第一请求消息，所述第一请求消息中包括经所述第二密钥加密和/或完整性保护的所述证书请求消息。
在本发明的一些可选实施例中，所述第一通信单元12，还用于接收来自服务器的第一响应消息，基于所述第二密钥对所述第一响应消息进行完整性校验和/或解密，获得所述第一响应消息中携带的数字证书。
在本发明的一些可选实施例中，所述第一生成单元11包括：应用客户端、基带芯片和USIM；
所述应用客户端，用于通过所述基带芯片触发所述USIM基于所述第一密钥生成第二密钥；还用于生成第一证书请求消息，并通过所述基带芯片向所述USIM发送所述第一证书请求消息；
所述USIM，用于生成公私钥对，在所述第一证书请求消息中添加所述公私钥对中的公钥，并利用所述公私钥对中的私钥对所述第一证书请求消息进行签名，获得第二证书请求消息；基于所述第二密钥对所述第二证书请求消息进行加密和/或完整性保护，并在所述第二证书请求消息中添加第一校验值；通过所述基带芯片向所述应用客户端发送经所述第二密钥加密和/或完整性保护的所述第二证书请求消息。
在本发明的一些可选实施例中，所述应用客户端，用于通过所述第一通信单元12向服务器发送第一请求消息，所述第一请求消息中包括经所述第二密钥加密和/或完整性保护的所述第二证书请求消息；所述第一请求消息中还包括：B-TID和/或服务器FQDN。
在本发明的一些可选实施例中，所述第一生成单元11包括：应用客户端、基带芯片和USIM；
所述应用客户端，用于通过所述第一通信单元12接收来自所述服务器的第一响应消息，并通过所述基带芯片向所述USIM发送所述第一响应消息；
所述USIM，用于基于所述第二密钥对所述第一响应消息进行完整性校验和/或解密；校验通过后，获得所述第一响应消息中携带的数字证书，并在安全组件中存储所述数字证书。
在本发明的一些可选实施例中，所述装置还包括第一执行单元，用于执行GBA认证流程或AKMA认证流程，与网络设备协商所述第一密钥。
本发明实施例中，所述装置中的第一生成单元11、第一通信单元12和第一执行单元，在实际应用中均可由中央处理器(CPU，Central Processing Unit)、数字信号处理器(DSP，Digital Signal Processor)、微控制单元(MCU，Microcontroller Unit)或可编程门阵列(FPGA，Field－Programmable Gate Array)结合通信模组(包含：基础通信套件、操作系统、通信模块、标准化接口和协议等)及收发天线实现。
本发明实施例还提供了一种终端设备的配置装置，应用于服务器中。图9为本发明实施例的终端设备的配置装置的组成结构示意图二；如图9所示，所述装置包括：第二通信单元21和校验单元22；其中，
所述第二通信单元21，用于接收来自终端设备的第一请求消息；所述第一请求消息中包括经第二密钥加密和/或完整性保护的证书请求消息；
所述校验单元22，用于获得来自网络设备的所述第二密钥；所述第二密钥由所述网络设备基于第一密钥生成；还用于基于所述第二密钥对所述第一请求消息进行完整性校验和/或解密，并在对所述第一请求消息授权通过后签发数字证书；
所述第二通信单元21，还用于向所述终端设备发送第一响应消息，所述第一响应消息中包括所述数字证书。
在本发明的一些可选实施例中，所述第二通信单元21，用于构建包含有所述数字证书的第一响应消息，基于所述第二密钥对所述第一响应消息进行加密和/或完整性保护，在所述第一响应消息中添加第二校验值，向所述终端设备发送经上述处理后的第一响应消息。
在本发明的一些可选实施例中，所述第一请求消息中还包括：B-TID；
所述装置还包括第二执行单元，用于查询是否存在与所述B-TID对应的第二密钥；在查询结果为不存在与所述B-TID对应的第二密钥的情况下，通过所述第二通信单元获得来自网络设备的所述第二密钥。
在本发明的一些可选实施例中，所述第二通信单元21，用于向所述网络设备发送第二请求消息，所述第二请求消息用于请求所述第二密钥；接收所述网络设备发送的第二响应消息，所述第二响应消息中包括所述第二密钥。
本发明实施例中，所述装置中的第二通信单元21和校验单元22，在实际应用中均可由CPU、DSP、MCU或FPGA结合通信模组(包含：基础通信套件、操作系统、通信模块、标准化接口和协议等)及收发天线实现。
本发明实施例还提供了一种终端设备的配置装置，应用于网络设备中。图10为本发明实施例的终端设备的配置装置的组成结构示意图三；如图10所示，所述装置包括第二生成单元31和第三通信单元32；其中，
所述第二生成单元31，用于基于预先协商的第一密钥生成第二密钥；
所述第三通信单元32，用于向服务器发送所述第二密钥。
在本发明的一些可选实施例中，所述装置还包括第二执行单元，用于与终端设备通过执行GBA认证流程或AKMA认证流程，与所述终端设备协商所述第一密钥。
在本发明的一些可选实施例中，所述第二生成单元31，用于基于预先协商的第一密钥，为每个服务器生成对应的第二密钥；
所述第三通信单元32，用于分别向每个服务器发送所述对应的第二密钥。
在本发明的一些可选实施例中，所述第三通信单元32，用于接收所述服务器发送的第二请求信息，所述第二请求消息用于请求所述第二密钥；向所述服务器发送第二响应消息，所述第二响应消息中包括所述第二生成单元31生成的所述第二密钥。
本发明实施例中，所述装置中的第二生成单元31、第三通信单元32和第二执行单元，在实际应用中均可由CPU、DSP、MCU或FPGA结合通信模组(包含：基础通信套件、操作系统、通信模块、标准化接口和协议等)及收发天线实现。
需要说明的是：上述实施例提供的终端设备的配置装置在进行配置时，仅以上述各程序模块的划分进行举例说明，实际应用中，可以根据需要而将上述处理分配由不同的程序模块完成，即将装置的内部结构划分成不同的程序模块，以完成以上描述的全部或者部分处理。另外，上述实施例提供的终端设备的配置装置与终端设备的配置方法实施例属于同一构思，其具体实现过程详见方法实施例，这里不再赘述。
本发明实施例还提供了一种终端设备的配置方法。图11为本发明实施例的终端设备的配置方法的流程示意图四；如图11所示，所述方法包括：
步骤501：终端设备基于第一密钥生成第二密钥，基于所述第二密钥对第一消息的部分或全部进行加密和/或完整性保护；
步骤502：发送第一消息。
本实施例的终端设备的配置方法(以下简称方法)应用于终端设备中，所述终端设备具体可以是车联网终端设备(也可以称为C-V2X Device)，在一些可选实施例中，所述车联网终端设备例如可以是OBU、RSU等等；在另一些可选实施例中，所述车联网终端设备也可以是行人的手持设备、可穿戴设备等等。
在本发明的一些可选实施例中，所述方法还包括：所述终端设备执行GBA认证流程或AKMA认证流程，与网络设备协商所述第一密钥。具体过程可参见前述实施例中终端设备的配置方法的详细记载，这里不再赘述。
在本发明的一些可选实施例中，所述终端设备包括：应用客户端、基带芯片和USIM；所述终端设备基于第一密钥生成第二密钥，基于所述第二密钥对第一消息的部分或全部进行加密和/或完整性保护，包括：所述应用客户端通过所述基带芯片触发所述USIM基于所述第一密钥生成第二密钥；所述应用客户端生成第一消息，并通过所述基带芯片向所述USIM发送所述第一消息；所述USIM基于所述第二密钥对所述第一消息的部分或全部进行加密和/或完整性保护；所述USIM通过所述基带芯片向所述应用客户端发送经上述处理后的所述第一消息。
本实施例中，第二密钥可以仅由一种密钥组成，也可以由多种密钥组成(也即这里的多种密钥都是基于第一密钥生成的，统称为第二密钥)。一种可行的实施方式中，第二密钥由多种密钥组成，例如可以包括加密密钥和/或完整性保护密钥，当然还可以根据实际需要包括其他类型的密钥，此处不再赘述。进而，USIM基于所述第二密钥对所述第一消息的部分或全部进行加密和/或完整性保护，其加密和/或完整性保护的具体过程可参照前述实施例中所述，这里不再赘述。
本实施例中，所述第一消息可以是终端设备发送给服务器的任意消息、信息等。
在本发明的一些可选实施例中，所述发送第一消息，包括：所述应用客户端向服务器发送所述第一消息；所述第一消息中还包括：B-TID和/或服务器的FQDN；或者包括：AKMA密钥标识符(A-KID)和/或FQDN。
在本发明的一些可选实施例中，所述方法还包括：所述终端设备接收来自服务器的第二消息，基于所述第二密钥对所述第二消息进行完整性校验和/或解密。
本实施例中，所述第二消息可以是服务器发送给终端设备的任意消息、信息等。
在本发明的一些可选实施例中，所述终端设备包括：应用客户端、基带芯片和USIM；所述终端设备接收来自服务器的第二消息，基于所述第二密钥对所述第二消息进行完整性校验和/或解密，包括：所述应用客户端接收来自所述服务器的第二消息，并通过所述基带芯片向所述USIM发送所述第二消息；所述USIM基于所述第二密钥对所述第二消息进行完整性校验和/或解密。
本实施例中，应用客户端接收来自服务器的第二消息，调用USIM安全检验接口通过所述基带芯片向所述USIM发送所述第二消息；当然，本实施例中接口不限于是USIM安全检验接口，其他用于安全检验的接口也可在本发明实施例的保护范围之内。USIM基于所述第二密钥对所述第二消息进行完整性校验和/或解密，其完整性校验和/或解密的具体过程可参照前述实施例中所述，这里不再赘述。进而，USIM将解密获得的明文信息和/或处理结果返回给应用客户端。
基于上述实施例，本发明实施例还提供了一种终端设备的配置方法。图12为本发明实施例的终端设备的配置方法的流程示意图四；如图12所示，所述方法包括：
步骤601：服务器接收来自终端设备的第一消息，所述第一消息的部分或全部经第二密钥加密和/或完整性保护；
步骤602：所述服务器获得来自网络设备的所述第二密钥；所述第二密钥由所述网络设备基于第一密钥生成；
步骤603：所述服务器基于所述第二密钥对所述第一消息进行完整性校验和/或解密。
本实施例中，在用户的“一键”触发下，终端设备可基于GBA技术机制或AKMA认证机制自动完成服务器接入认证以及安全通道的建立和密钥生成等操作，实现终端设备的初始安全配置。
本实施例中，所述服务器通过上述建立的安全通道接收来自终端设备的第一消息。示例性的，所述服务器可通过网络设备接收来自终端设备的第一消息，即，第一请求消息经终端设备发出、到达网络设备，再经由网络设备将第一消息发送至服务器。
本实施例中，由于第一消息的部分或全部经第二密钥加密和/或完整性保护处理，则服务器需要获得上述第二密钥。示例性的，服务器从网络设备处获得所述第二密钥。在终端设备执行GBA认证流程或AKMA认证流程过程中，终端设备与网络设备协商第一密钥，所述第一密钥也可称为共享会话密钥。
在一些可选实施方式中，所述服务器获得来自网络设备的所述第二密钥，包括：所述服务器向所述网络设备发送第三消息，所述第三消息用于请求所述第二密钥；所述服务器接收所述网络设备发送的第四消息，所述第四消息中包括所述第二密钥。
本实施例中，服务器可向网络设备发送第三消息，所述第三消息用于请求第二密钥；则网络设备接收到所述第三消息后，基于预先协商的第一密钥生成第二密钥，再向服务器发送第四消息，所述第四消息中包括所述第二密钥，由此使得服务器获得所述第二密钥。
另一些可选实施方式中，网络设备在接收到终端设备发送的第一消息后，也可基于预先协商的第一密钥生成第二密钥，在向服务器发送该第一消息的过程中，将所述第二密钥发送至所述服务器。
在本发明的一些可选实施例中，所述第一消息中还包括：B-TID，或者包括AKMA密钥标识符(A-KID)；所述服务器获得来自网络设备的所述第二密钥，包括：所述服务器查询是否存在与所述B-TID或所述A-KID对应的第二密钥；在查询结果为不存在与所述B-TID或所述A-KID对应的第二密钥的情况下，获得来自网络设备的所述第二密钥。
本实施例中，服务器中可能预先获得与B-TID对应的第二密钥。则在接收到第一请求消息后，可先通过第一请求消息中携带的B-TID查询是否存在与所述B-TID对应的第二密钥；在查询结果为不存在与所述B-TID对应的第二密钥的情况下，获得来自网络设备的所述第二密钥；在存在与所述B-TID对应的第二密钥的情况下，可直接获得所述B-TID对应的第二密钥。
在本发明的一些可选实施例中，所述方法还包括：所述服务器基于所述第二密钥对第二消息的部分或全部进行加密和/或完整性保护；发送第二消息。
本实施例中，服务器在待向终端设备发送第二消息时，按照相关规范的协议格式要求，构建第二消息，具体是基于第二密钥对第二消息的部分或全部进行加密和/或完整性保护，其加密和/或完整性保护的具体过程可参照前述实施例中所述，这里不再赘述。
下面结合具体的场景对本发明实施例的终端设备的配置方法进行说明。
本示例中，以终端设备为UE、网络设备为AF为例进行说明。其中，UE中包括USIM、基带芯片和应用客户端；基带芯片也可称为设备调制解调器(Device Modem)，应用客户端也可称为(C-V2X Application Client)，上述实施例中的服务器在本示例中称为应用服务器(Application Server)或C-V2X应用服务器(C-V2X Application Server)。图13为本发明实施例的终端设备的配置方法的交互流程示意图二；如图13所示，所述方法包括：
步骤701、UE启动AKMA。
在需要对C-V2X设备进行初始化、配置数字证书时，应用客户端通过GBA接口库调用底层基带芯片启动GBA认证流程，开始建立至CA服务器(如ECA服务器)的安全访问连接。
步骤702、执行AKMA认证流程，与AF协商共享会话密钥KAF(即前述实施例中的第一密钥)。
步骤703、UE获得共享会话密钥KAF。
步骤704-步骤705、UE基于共享会话密钥KAF生成应用会话密钥K*，使用应用会话密钥K*对消息(上行消息)进行加密和/或完整性保护。
示例性的，应用客户端通过基带芯片向USIM传送消息，消息中可携带B-TID等信息；USIM接收到消息后，基于共享会话密钥KAF生成应用会话密钥K*，并利用应用会话密钥K*对消息的部分或全部进行加密或完整性保护，通过基带芯片向应用客户端发送经上述处理后的消息。
步骤706、UE向应用服务器发送消息(即上行消息)，消息中携带受应用会话密钥K*保护的上行消息以及B-TID、Server FQDN等信息。
其中，示例性的，所述消息经AF传输至应用服务器。
步骤707-步骤709、应用服务器通过预先建立的安全通道与AF交互，请求AF基于共享会话密钥KAF生成应用会话密钥K*，并获取应用会话密钥K*及其相关信息。所述相关信息例如可包括应用会话密钥K*的生存时间等等。
其中，AF可通过HTTP 200OK响应消息向应用服务器发送应用会话密钥K*及其相关信息。
其中，应用服务器向AF发送的请求消息中还可包括B-TID、Server FQDN等信息。
步骤710、应用服务器获取应用会话密钥K*之后，使用应用会话密钥K*对消息进行完整性校验和/或解密。
以上为终端与应用服务器之间的上行消息的传输过程。
步骤711、应用服务器使用应用会话密钥K*对消息(下行消息)进行加密和/或完整性保护。
步骤712、应用服务器向UE发送消息(下行消息)。
步骤713、UE使用应用会话密钥K*对消息进行完整性校验和/或解密。
步骤714、UE与应用服务器之间可使用应用会话密钥K*安全传输上下行消息。
基于上述实施例，本发明实施例还提供了一种终端设备的配置装置，应用于终端设备中。图14为本发明实施例的终端设备的配置装置的组成结构示意图四；如图14所示，所述装置包括：第三生成单元51和第四通信单元52；其中，
所述第三生成单元51，用于基于第一密钥生成第二密钥，基于所述第二密钥对第一消息的部分或全部进行加密和/或完整性保护；
所述第四通信单元52，用于发送第一消息。
在本发明的一些可选实施例中，所述第四通信单元52，还用于接收来自服务器的第二消息，基于所述第二密钥对所述第二消息进行完整性校验和/或解密。
在本发明的一些可选实施例中，所述第三生成单元51包括：应用客户端、基带芯片和USIM；
所述应用客户端，用于通过所述基带芯片触发所述USIM基于所述第一密钥生成第二密钥；还用于生成第一消息，并通过所述基带芯片向所述USIM发送所述第一消息；
所述USIM，用于基于所述第二密钥对所述第一消息的部分或全部进行加密和/或完整性保护；还用于通过所述基带芯片向所述应用客户端发送经上述处理后的所述第一消息。
在本发明的一些可选实施例中，所述应用客户端，还用于向服务器发送所述第一消息；
所述第一消息中还包括：B-TID和/或服务器的FQDN；或者包括：AKMA密钥标识符(A-KID)和/或FQDN。
在本发明的一些可选实施例中，所述第三生成单元51包括：应用客户端、基带芯片和全球用户识别模块USIM；
所述应用客户端，用于接收来自所述服务器的第二消息，并通过所述基带芯片向所述USIM发送所述第二消息；
所述USIM，用于基于所述第二密钥对所述第二消息进行完整性校验和/或解密。
本发明实施例中，所述装置中的第三生成单元51和第四通信单元52，在实际应用中均可由CPU、DSP、MCU或FPGA结合通信模组(包含：基础通信套件、操作系统、通信模块、标准化接口和协议等)及收发天线实现。
本发明实施例还提供了一种终端设备的配置装置，应用于服务器中。图15为本发明实施例的终端设备的配置装置的组成结构示意图四；如图15所示，所述装置包括：第五通信单元61和第二校验单元62；其中，
所述第五通信单元61，用于接收来自终端设备的第一消息，所述第一消息的部分或全部经第二密钥加密和/或完整性保护；
所述第二校验单元62，用于获得来自网络设备的所述第二密钥；所述第二密钥由所述网络设备基于第一密钥生成；还用于基于所述第二密钥对所述第一消息进行完整性校验和/或解密。
在本发明的一些可选实施例中，所述装置还包括第四生成单元，用于基于所述第二密钥对第二消息的部分或全部进行加密和/或完整性保护；
所述第五通信单元61，还用于发送第二消息。
在本发明的一些可选实施例中，所述第一消息中还包括：B-TID，或者包括AKMA密钥标识符(A-KID)；
所述装置还包括第三执行单元，用于查询是否存在与所述B-TID或所述A-KID对应的第二密钥；
所述第二校验单元62，用于在所述第三执行单元获得的查询结果为不存在与所述B-TID或所述A-KID对应的第二密钥的情况下，通过所述第五通信单元61获得来自网络设备的所述第二密钥。
本发明实施例中，所述装置中的第五通信单元61、第二校验单元62和第三执行单元，在实际应用中均可由CPU、DSP、MCU或FPGA结合通信模组(包含：基础通信套件、操作系统、通信模块、标准化接口和协议等)及收发天线实现。
需要说明的是：上述实施例提供的终端设备的配置装置在进行配置时，仅以上述各程序模块的划分进行举例说明，实际应用中，可以根据需要而将上述处理分配由不同的程序模块完成，即将装置的内部结构划分成不同的程序模块，以完成以上描述的全部或者部分处理。另外，上述实施例提供的终端设备的配置装置与终端设备的配置方法实施例属于同一构思，其具体实现过程详见方法实施例，这里不再赘述。
本发明实施例还提供了一种通信设备。图16为本发明实施例的通信设备的硬件组成结构示意图，如图16所示，所述通信设备包括存储器42、处理器41及存储在存储器42上并可在处理器41上运行的计算机程序，所述处理器41执行所述程序时实现本发明实施例前述应用于终端设备中的终端设备的配置方法的步骤；或者，所述处理器41执行所述程序时实现本发明实施例前述应用于服务器中的终端设备的配置方法的步骤；或者，所述处理器41执行所述程序时实现本发明实施例前述应用于网络设备中的终端设备的配置方法的步骤，
可选地，通信设备还可包括一个或多个网络接口43。可以理解，通信设备中的各个组件通过总线系统44耦合在一起。可理解，总线系统44用于实现这些组件之间的连接通信。总线系统44除包括数据总线之外，还包括电源总线、控制总线和状态信号总线。但是为了清楚说明起见，在图16中将各种总线都标为总线系统44。
可以理解，存储器42可以是易失性存储器或非易失性存储器，也可包括易失性和非易失性存储器两者。其中，非易失性存储器可以是只读存储器(ROM，Read Only Memory)、可编程只读存储器(PROM，Programmable Read-Only Memory)、可擦除可编程只读存储器(EPROM，Erasable Programmable Read-Only Memory)、电可擦除可编程只读存储器(EEPROM，Electrically Erasable Programmable Read-Only Memory)、磁性随机存取存储器(FRAM，ferromagnetic random access memory)、快闪存储器(Flash Memory)、磁表面存储器、光盘、或只读光盘(CD-ROM，Compact Disc Read-Only Memory)；磁表面存储器可以是磁盘存储器或磁带存储器。易失性存储器可以是随机存取存储器(RAM，Random AccessMemory)，其用作外部高速缓存。通过示例性但不是限制性说明，许多形式的RAM可用，例如静态随机存取存储器(SRAM，Static Random Access Memory)、同步静态随机存取存储器(SSRAM，Synchronous Static Random Access Memory)、动态随机存取存储器(DRAM，Dynamic Random Access Memory)、同步动态随机存取存储器(SDRAM，SynchronousDynamic Random Access Memory)、双倍数据速率同步动态随机存取存储器(DDRSDRAM，Double Data Rate Synchronous Dynamic Random Access Memory)、增强型同步动态随机存取存储器(ESDRAM，Enhanced Synchronous Dynamic Random Access Memory)、同步连接动态随机存取存储器(SLDRAM，SyncLink Dynamic Random Access Memory)、直接内存总线随机存取存储器(DRRAM，Direct Rambus Random Access Memory)。本发明实施例描述的存储器42旨在包括但不限于这些和任意其它适合类型的存储器。
上述本发明实施例揭示的方法可以应用于处理器41中，或者由处理器41实现。处理器41可能是一种集成电路芯片，具有信号的处理能力。在实现过程中，上述方法的各步骤可以通过处理器41中的硬件的集成逻辑电路或者软件形式的指令完成。上述的处理器41可以是通用处理器、DSP，或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件等。处理器41可以实现或者执行本发明实施例中的公开的各方法、步骤及逻辑框图。通用处理器可以是微处理器或者任何常规的处理器等。结合本发明实施例所公开的方法的步骤，可以直接体现为硬件译码处理器执行完成，或者用译码处理器中的硬件及软件模块组合执行完成。软件模块可以位于存储介质中，该存储介质位于存储器42，处理器41读取存储器42中的信息，结合其硬件完成前述方法的步骤。
在示例性实施例中，通信设备可以被一个或多个应用专用集成电路(ASIC，Application Specific Integrated Circuit)、DSP、可编程逻辑器件(PLD，ProgrammableLogic Device)、复杂可编程逻辑器件(CPLD，Complex Programmable Logic Device)、FPGA、通用处理器、控制器、MCU、微处理器(Microprocessor)、或其他电子元件实现，用于执行前述方法。
在示例性实施例中，本发明实施例还提供了一种计算机可读存储介质，例如包括计算机程序的存储器42，上述计算机程序可由通信设备的处理器41执行，以完成前述方法所述步骤。计算机可读存储介质可以是FRAM、ROM、PROM、EPROM、EEPROM、Flash Memory、磁表面存储器、光盘、或CD-ROM等存储器；也可以是包括上述存储器之一或任意组合的各种设备。
本发明实施例还提供了一种计算机可读存储介质，其上存储有计算机程序，该程序被处理器执行时实现本发明实施例前述应用于终端设备中的终端设备的配置方法的步骤；或者，该程序被处理器执行时实现本发明实施例前述应用于服务器中的终端设备的配置方法的步骤；或者，该程序被处理器执行时实现本发明实施例前述应用于网络设备中的终端设备的配置方法的步骤。
本申请所提供的几个方法实施例中所揭露的方法，在不冲突的情况下可以任意组合，得到新的方法实施例。
本申请所提供的几个产品实施例中所揭露的特征，在不冲突的情况下可以任意组合，得到新的产品实施例。
本申请所提供的几个方法或设备实施例中所揭露的特征，在不冲突的情况下可以任意组合，得到新的方法实施例或设备实施例。
在本申请所提供的几个实施例中，应该理解到，所揭露的设备和方法，可以通过其它的方式实现。以上所描述的设备实施例仅仅是示意性的，例如，所述单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，如：多个单元或组件可以结合，或可以集成到另一个系统，或一些特征可以忽略，或不执行。另外，所显示或讨论的各组成部分相互之间的耦合、或直接耦合、或通信连接可以是通过一些接口，设备或单元的间接耦合或通信连接，可以是电性的、机械的或其它形式的。
上述作为分离部件说明的单元可以是、或也可以不是物理上分开的，作为单元显示的部件可以是、或也可以不是物理单元，即可以位于一个地方，也可以分布到多个网络单元上；可以根据实际的需要选择其中的部分或全部单元来实现本实施例方案的目的。
另外，在本发明各实施例中的各功能单元可以全部集成在一个处理单元中，也可以是各单元分别单独作为一个单元，也可以两个或两个以上单元集成在一个单元中；上述集成的单元既可以采用硬件的形式实现，也可以采用硬件加软件功能单元的形式实现。
本领域普通技术人员可以理解：实现上述方法实施例的全部或部分步骤可以通过程序指令相关的硬件来完成，前述的程序可以存储于一计算机可读取存储介质中，该程序在执行时，执行包括上述方法实施例的步骤；而前述的存储介质包括：移动存储设备、ROM、RAM、磁碟或者光盘等各种可以存储程序代码的介质。
或者，本发明上述集成的单元如果以软件功能模块的形式实现并作为独立的产品销售或使用时，也可以存储在一个计算机可读取存储介质中。基于这样的理解，本发明实施例的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机、服务器、或者网络设备等)执行本发明各个实施例所述方法的全部或部分。而前述的存储介质包括：移动存储设备、ROM、RAM、磁碟或者光盘等各种可以存储程序代码的介质。
以上所述，仅为本发明的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应以所述权利要求的保护范围为准。

Claims (44)

1.一种终端设备的配置方法，其特征在于，所述方法包括：
终端设备基于第一密钥生成第二密钥，基于所述第二密钥对证书请求消息进行加密和/或完整性保护；
发送第一请求消息，所述第一请求消息中包括经所述第二密钥加密和/或完整性保护的所述证书请求消息。
2.根据权利要求1所述的方法，其特征在于，所述方法还包括：
所述终端设备接收来自服务器的第一响应消息，基于所述第二密钥对所述第一响应消息进行完整性校验和/或解密，获得所述第一响应消息中携带的数字证书。
3.根据权利要求1所述的方法，其特征在于，所述终端设备包括：应用客户端、基带芯片和全球用户识别模块USIM；
所述终端设备基于第一密钥生成第二密钥，基于所述第二密钥对证书请求消息进行加密和/或完整性保护，包括：
所述应用客户端通过所述基带芯片触发所述USIM基于所述第一密钥生成第二密钥；
所述应用客户端生成第一证书请求消息，并通过所述基带芯片向所述USIM发送所述第一证书请求消息；
所述USIM生成公私钥对，在所述第一证书请求消息中添加所述公私钥对中的公钥，并利用所述公私钥对中的私钥对所述第一证书请求消息进行签名，获得第二证书请求消息；
所述USIM基于所述第二密钥对所述第二证书请求消息进行加密和/或完整性保护，在所述第二证书请求消息中添加第一校验值；
所述USIM通过所述基带芯片向所述应用客户端发送经上述处理后的所述第二证书请求消息。
4.根据权利要求3所述的方法，其特征在于，所述发送第一请求消息，包括：
所述应用客户端向服务器发送第一请求消息，所述第一请求消息中包括经所述第二密钥加密和/或完整性保护的所述第二证书请求消息；
所述第一请求消息中还包括：引导事务标识B-TID和/或服务器的全限定域名FQDN。
5.根据权利要求2所述的方法，其特征在于，所述终端设备包括：应用客户端、基带芯片和USIM；
所述终端设备接收来自所述服务器的第一响应消息，基于所述第二密钥对所述第一响应消息进行完整性校验和/或解密，获得所述第一响应消息中携带的数字证书，包括：
所述应用客户端接收来自所述服务器的第一响应消息，并通过所述基带芯片向所述USIM发送所述第一响应消息；
所述USIM基于所述第二密钥对所述第一响应消息进行完整性校验和/或解密；
校验通过后，所述USIM获得所述第一响应消息中携带的数字证书，并在安全组件中存储所述数字证书。
6.根据权利要求1所述的方法，其特征在于，所述方法还包括：
所述终端设备执行通用引导架构GBA认证流程或面向应用的认证或密钥管理AKMA认证流程，与网络设备协商所述第一密钥。
7.一种终端设备的配置方法，其特征在于，所述方法包括：
服务器接收来自终端设备的第一请求消息；所述第一请求消息中包括经第二密钥加密和/或完整性保护的证书请求消息；
所述服务器获得来自网络设备的所述第二密钥；所述第二密钥由所述网络设备基于第一密钥生成；
所述服务器基于所述第二密钥对所述第一请求消息进行完整性校验和/或解密，并在对所述第一请求消息授权通过后签发数字证书；
所述服务器向所述终端设备发送第一响应消息，所述第一响应消息中包括所述数字证书。
8.根据权利要求7所述的方法，其特征在于，所述服务器向所述终端设备发送第一响应消息，包括：
所述服务器构建包含有所述数字证书的第一响应消息，基于所述第二密钥对所述第一响应消息进行加密和/或完整性保护，在所述第一响应消息中添加第二校验值；
向所述终端设备发送经上述处理后的第一响应消息。
9.根据权利要求7所述的方法，其特征在于，所述第一请求消息中还包括：引导事务标识B-TID；
所述服务器获得来自网络设备的所述第二密钥，包括：
所述服务器查询是否存在与所述B-TID对应的第二密钥；
在查询结果为不存在与所述B-TID对应的第二密钥的情况下，获得来自网络设备的所述第二密钥。
10.根据权利要求7所述的方法，其特征在于，所述服务器获得来自网络设备的所述第二密钥，包括：
所述服务器向所述网络设备发送第二请求消息，所述第二请求消息用于请求所述第二密钥；
所述服务器接收所述网络设备发送的第二响应消息，所述第二响应消息中包括所述第二密钥。
11.一种终端设备的配置方法，其特征在于，所述方法包括：
网络设备基于预先协商的第一密钥生成第二密钥，向服务器发送所述第二密钥。
12.根据权利要求11所述的方法，其特征在于，所述方法还包括：
所述网络设备与所述终端设备通过执行通用引导架构GBA认证流程或面向应用的认证和密钥管理AKMA认证流程，与所述终端设备协商所述第一密钥。
13.根据权利要求11所述的方法，其特征在于，所述网络设备基于预先协商的第一密钥生成第二密钥，向服务器发送所述第二密钥，包括：
所述网络设备基于预先协商的第一密钥，为每个服务器生成对应的第二密钥，向每个服务器发送所述对应的第二密钥。
14.根据权利要求11至13任一项所述的方法，其特征在于，所述网络设备基于预先协商的第一密钥生成第二密钥，向服务器发送所述第二密钥，包括：
所述网络设备接收所述服务器发送的第二请求信息，所述第二请求消息用于请求所述第二密钥；
所述网络设备基于预先协商的第一密钥生成第二密钥，向所述服务器发送第二响应消息，所述第二响应消息中包括所述第二密钥。
15.一种终端设备的配置装置，其特征在于，所述装置包括：第一生成单元和第一通信单元；其中，
所述第一生成单元，用于基于第一密钥生成第二密钥，基于所述第二密钥对证书请求消息进行加密和/或完整性保护；
所述第一通信单元，用于发送第一请求消息，所述第一请求消息中包括经所述第二密钥加密和/或完整性保护的所述证书请求消息。
16.根据权利要求15所述的装置，其特征在于，所述第一通信单元，还用于接收来自服务器的第一响应消息，基于所述第二密钥对所述第一响应消息进行完整性校验和/或解密，获得所述第一响应消息中携带的数字证书。
17.根据权利要求15所述的装置，其特征在于，所述第一生成单元包括：应用客户端、基带芯片和全球用户识别模块USIM；
所述应用客户端，用于通过所述基带芯片触发所述USIM基于所述第一密钥生成第二密钥；还用于生成第一证书请求消息，并通过所述基带芯片向所述USIM发送所述第一证书请求消息；
所述USIM，用于生成公私钥对，在所述第一证书请求消息中添加所述公私钥对中的公钥，并利用所述公私钥对中的私钥对所述第一证书请求消息进行签名，获得第二证书请求消息；基于所述第二密钥对所述第二证书请求消息进行加密和/或完整性保护，并在所述第二证书请求消息中添加第一校验值；通过所述基带芯片向所述应用客户端发送经所述第二密钥加密和/或完整性保护的所述第二证书请求消息。
18.根据权利要求17所述的装置，其特征在于，所述应用客户端，用于通过所述第一通信单元向服务器发送第一请求消息，所述第一请求消息中包括经所述第二密钥加密和/或完整性保护的所述第二证书请求消息；所述第一请求消息中还包括：引导事务标识B-TID和/或服务器全限定域名FQDN。
19.根据权利要求16所述的装置，其特征在于，所述第一生成单元包括：应用客户端、基带芯片和全球用户识别模块USIM；
所述应用客户端，用于通过所述第一通信单元接收来自所述服务器的第一响应消息，并通过所述基带芯片向所述USIM发送所述第一响应消息；
所述USIM，用于基于所述第二密钥对所述第一响应消息进行完整性校验和/或解密；校验通过后，获得所述第一响应消息中携带的数字证书，并在安全组件中存储所述数字证书。
20.根据权利要求15所述的装置，其特征在于，所述装置还包括第一执行单元，用于执行通用引导架构GBA认证流程或面向应用的认证和密钥管理AKMA认证流程，与网络设备协商所述第一密钥。
21.一种终端设备的配置装置，其特征在于，所述装置包括：第二通信单元和第一校验单元；其中，
所述第二通信单元，用于接收来自终端设备的第一请求消息；所述第一请求消息中包括经第二密钥加密和/或完整性保护的证书请求消息；
所述第一校验单元，用于获得来自网络设备的所述第二密钥；所述第二密钥由所述网络设备基于第一密钥生成；还用于基于所述第二密钥对所述第一请求消息进行完整性校验和/或解密，并在对所述第一请求消息授权通过后签发数字证书；
所述第二通信单元，还用于向所述终端设备发送第一响应消息，所述第一响应消息中包括所述数字证书。
22.根据权利要求21所述的装置，其特征在于，所述第二通信单元，用于构建包含有所述数字证书的第一响应消息，基于所述第二密钥对所述第一响应消息进行加密和/或完整性保护，在所述第一响应消息中添加第二校验值，向所述终端设备发送经上述处理后的第一响应消息。
23.根据权利要求21所述的装置，其特征在于，所述第一请求消息中还包括：引导事务标识B-TID；
所述装置还包括第二执行单元，用于查询是否存在与所述B-TID对应的第二密钥；在查询结果为不存在与所述B-TID对应的第二密钥的情况下，通过所述第二通信单元获得来自网络设备的所述第二密钥。
24.一种终端设备的配置装置，其特征在于，所述装置包括第二生成单元和第三通信单元；其中，
所述第二生成单元，用于基于预先协商的第一密钥生成第二密钥；
所述第三通信单元，用于向服务器发送所述第二密钥。
25.根据权利要求24所述的装置，其特征在于，所述装置还包括第二执行单元，用于与终端设备通过执行通用引导架构GBA认证流程或面向应用的认证和密钥管理AKMA认证流程，与所述终端设备协商所述第一密钥。
26.根据权利要求24所述的装置，其特征在于，所述第二生成单元，用于基于预先协商的第一密钥，为每个服务器生成对应的第二密钥；
所述第三通信单元，用于分别向每个服务器发送所述对应的第二密钥。
27.一种终端设备的配置方法，其特征在于，所述方法包括：
终端设备基于第一密钥生成第二密钥，基于所述第二密钥对第一消息的部分或全部进行加密和/或完整性保护；
发送第一消息。
28.根据权利要求27所述的方法，其特征在于，所述方法还包括：
所述终端设备接收来自服务器的第二消息，基于所述第二密钥对所述第二消息进行完整性校验和/或解密。
29.根据权利要求27所述的方法，其特征在于，所述终端设备包括：应用客户端、基带芯片和全球用户识别模块USIM；
所述终端设备基于第一密钥生成第二密钥，基于所述第二密钥对第一消息的部分或全部进行加密和/或完整性保护，包括：
所述应用客户端通过所述基带芯片触发所述USIM基于所述第一密钥生成第二密钥；
所述应用客户端生成第一消息，并通过所述基带芯片向所述USIM发送所述第一消息；
所述USIM基于所述第二密钥对所述第一消息的部分或全部进行加密和/或完整性保护；
所述USIM通过所述基带芯片向所述应用客户端发送经上述处理后的所述第一消息。
30.根据权利要求29所述的方法，其特征在于，所述发送第一消息，包括：
所述应用客户端向服务器发送所述第一消息；
所述第一消息中还包括：引导事务标识B-TID和/或服务器的全限定域名FQDN；或者包括：面向应用的认证或密钥管理AKMA密钥标识符A-KID和/或FQDN。
31.根据权利要求28所述的方法，其特征在于，所述终端设备包括：应用客户端、基带芯片和全球用户识别模块USIM；
所述终端设备接收来自服务器的第二消息，基于所述第二密钥对所述第二消息进行完整性校验和/或解密，包括：
所述应用客户端接收来自所述服务器的第二消息，并通过所述基带芯片向所述USIM发送所述第二消息；
所述USIM基于所述第二密钥对所述第二消息进行完整性校验和/或解密。
32.一种终端设备的配置方法，其特征在于，所述方法包括：
服务器接收来自终端设备的第一消息，所述第一消息的部分或全部经第二密钥加密和/或完整性保护；
所述服务器获得来自网络设备的所述第二密钥；所述第二密钥由所述网络设备基于第一密钥生成；
所述服务器基于所述第二密钥对所述第一消息进行完整性校验和/或解密。
33.根据权利要求32所述的方法，其特征在于，所述方法还包括：
所述服务器基于所述第二密钥对第二消息的部分或全部进行加密和/或完整性保护；
发送第二消息。
34.根据权利要求32所述的方法，其特征在于，所述第一消息中还包括：引导事务标识B-TID，或者包括面向应用的认证或密钥管理AKMA密钥标识符A-KID；
所述服务器获得来自网络设备的所述第二密钥，包括：
所述服务器查询是否存在与所述B-TID或所述A-KID对应的第二密钥；
在查询结果为不存在与所述B-TID或所述A-KID对应的第二密钥的情况下，获得来自网络设备的所述第二密钥。
35.一种终端设备的配置装置，其特征在于，所述装置包括：第三生成单元和第四通信单元；其中，
所述第三生成单元，用于基于第一密钥生成第二密钥，基于所述第二密钥对第一消息的部分或全部进行加密和/或完整性保护；
所述第四通信单元，用于发送第一消息。
36.根据权利要求35所述的装置，其特征在于，所述第四通信单元，还用于接收来自服务器的第二消息，基于所述第二密钥对所述第二消息进行完整性校验和/或解密。
37.根据权利要求35所述的装置，其特征在于，所述第三生成单元包括：应用客户端、基带芯片和全球用户识别模块USIM；
所述应用客户端，用于通过所述基带芯片触发所述USIM基于所述第一密钥生成第二密钥；还用于生成第一消息，并通过所述基带芯片向所述USIM发送所述第一消息；
所述USIM，用于基于所述第二密钥对所述第一消息的部分或全部进行加密和/或完整性保护；还用于通过所述基带芯片向所述应用客户端发送经上述处理后的所述第一消息。
38.根据权利要求37所述的装置，其特征在于，所述应用客户端，还用于向服务器发送所述第一消息；
所述第一消息中还包括：引导事务标识B-TID和/或服务器的全限定域名FQDN；或者包括：面向应用的认证或密钥管理AKMA密钥标识符A-KID和/或FQDN。
39.根据权利要求36所述的装置，其特征在于，所述第三生成单元包括：应用客户端、基带芯片和全球用户识别模块USIM；
所述应用客户端，用于接收来自所述服务器的第二消息，并通过所述基带芯片向所述USIM发送所述第二消息；
所述USIM，用于基于所述第二密钥对所述第二消息进行完整性校验和/或解密。
40.一种终端设备的配置装置，其特征在于，所述装置包括：第五通信单元和第二校验单元；其中，
所述第五通信单元，用于接收来自终端设备的第一消息，所述第一消息的部分或全部经第二密钥加密和/或完整性保护；
所述第二校验单元，用于获得来自网络设备的所述第二密钥；所述第二密钥由所述网络设备基于第一密钥生成；还用于基于所述第二密钥对所述第一消息进行完整性校验和/或解密。
41.根据权利要求40所述的装置，其特征在于，所述装置还包括第四生成单元，用于基于所述第二密钥对第二消息的部分或全部进行加密和/或完整性保护；
所述第五通信单元，还用于发送第二消息。
42.根据权利要求40所述的装置，其特征在于，所述第一消息中还包括：引导事务标识B-TID，或者包括面向应用的认证或密钥管理AKMA密钥标识符A-KID；
所述装置还包括第三执行单元，用于查询是否存在与所述B-TID或所述A-KID对应的第二密钥；
所述第二校验单元，用于在所述第三执行单元获得的查询结果为不存在与所述B-TID或所述A-KID对应的第二密钥的情况下，通过所述第五通信单元获得来自网络设备的所述第二密钥。
43.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，该程序被处理器执行时实现权利要求1至6任一项所述方法的步骤；或者，
该程序被处理器执行时实现权利要求7至10任一项所述方法的步骤；或者，
该程序被处理器执行时实现权利要求11至14任一项所述方法的步骤；或者，
该程序被处理器执行时实现权利要求27至31任一项所述方法的步骤；或者，
该程序被处理器执行时实现权利要求32至34任一项所述方法的步骤。
44.一种通信设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，其特征在于，所述处理器执行所述程序时实现权利要求1至6任一项所述方法的步骤；或者，
所述处理器执行所述程序时实现权利要求7至10任一项所述方法的步骤；或者，
所述处理器执行所述程序时实现权利要求11至14任一项所述方法的步骤；或者，
所述处理器执行所述程序时实现权利要求27至31任一项所述方法的步骤；或者，
所述处理器执行所述程序时实现权利要求32至34任一项所述方法的步骤。
CN202111217636.8A 2021-03-22 2021-10-19 一种终端设备的配置方法、装置和通信设备 Pending CN115119166A (zh)

Priority Applications (8)

Application Number Priority Date Filing Date Title
BR112023019397A BR112023019397A2 (pt) 2021-03-22 2022-03-22 Método para configurar um dispositivo de terminal, e dispositivo de comunicação
CA3213048A CA3213048A1 (en) 2021-03-22 2022-03-22 Configuration method and apparatus for terminal device, and communication device
EP22774225.1A EP4297443A4 (en) 2021-03-22 2022-03-22 CONFIGURATION METHOD AND DEVICE FOR A TERMINAL DEVICE AND COMMUNICATIONS DEVICE
US18/551,861 US20240179523A1 (en) 2021-03-22 2022-03-22 Configuration method and apparatus for terminal device, and communication device
MX2023011195A MX2023011195A (es) 2021-03-22 2022-03-22 Metodo y aparato de configuracion para dispositivo terminal, y dispositivo de comunicacion.
AU2022245724A AU2022245724A1 (en) 2021-03-22 2022-03-22 Configuration method and apparatus for terminal device, and communication device
PCT/CN2022/082192 WO2022199569A1 (zh) 2021-03-22 2022-03-22 一种终端设备的配置方法、装置和通信设备
JP2023558176A JP2024512011A (ja) 2021-03-22 2022-03-22 端末機器の構成方法、装置及び通信機器

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN2021103044444 2021-03-22
CN202110304444 2021-03-22

Publications (1)

Publication Number Publication Date
CN115119166A true CN115119166A (zh) 2022-09-27

Family

ID=83325109

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202111217636.8A Pending CN115119166A (zh) 2021-03-22 2021-10-19 一种终端设备的配置方法、装置和通信设备

Country Status (9)

Country Link
US (1) US20240179523A1 (zh)
EP (1) EP4297443A4 (zh)
JP (1) JP2024512011A (zh)
CN (1) CN115119166A (zh)
AU (1) AU2022245724A1 (zh)
BR (1) BR112023019397A2 (zh)
CA (1) CA3213048A1 (zh)
MX (1) MX2023011195A (zh)
WO (1) WO2022199569A1 (zh)

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2017091959A1 (zh) * 2015-11-30 2017-06-08 华为技术有限公司 一种数据传输方法、用户设备和网络侧设备
CN108667781A (zh) * 2017-04-01 2018-10-16 西安西电捷通无线网络通信股份有限公司 一种数字证书管理方法及设备
CN111404670A (zh) * 2019-01-02 2020-07-10 中国移动通信有限公司研究院 一种密钥生成方法、ue及网络设备

Family Cites Families (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101808286B (zh) * 2010-03-16 2012-06-13 西安西电捷通无线网络通信股份有限公司 一种适合集群系统的组播密钥协商方法及系统
CN104955040B (zh) * 2014-03-27 2019-12-24 西安西电捷通无线网络通信股份有限公司 一种网络鉴权认证的方法及设备
US9998449B2 (en) * 2014-09-26 2018-06-12 Qualcomm Incorporated On-demand serving network authentication
WO2020199134A1 (en) * 2019-04-02 2020-10-08 Qualcomm Incorporated Methods and systems for provisioning of certificates for vehicle-based communication
WO2020249861A1 (en) * 2019-06-08 2020-12-17 Nokia Technologies Oy Communication security between user equipment and third-party application using communication network-based key
CN112449323B (zh) * 2019-08-14 2022-04-05 华为技术有限公司 一种通信方法、装置和系统
CN110958229A (zh) * 2019-11-20 2020-04-03 南京理工大学 一种基于区块链的可信身份认证方法

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2017091959A1 (zh) * 2015-11-30 2017-06-08 华为技术有限公司 一种数据传输方法、用户设备和网络侧设备
CN108667781A (zh) * 2017-04-01 2018-10-16 西安西电捷通无线网络通信股份有限公司 一种数字证书管理方法及设备
CN111404670A (zh) * 2019-01-02 2020-07-10 中国移动通信有限公司研究院 一种密钥生成方法、ue及网络设备

Also Published As

Publication number Publication date
MX2023011195A (es) 2024-01-05
BR112023019397A2 (pt) 2023-11-07
AU2022245724A1 (en) 2023-10-12
JP2024512011A (ja) 2024-03-18
EP4297443A1 (en) 2023-12-27
WO2022199569A1 (zh) 2022-09-29
CA3213048A1 (en) 2022-09-29
EP4297443A4 (en) 2024-07-10
US20240179523A1 (en) 2024-05-30

Similar Documents

Publication Publication Date Title
CN102595404B (zh) 用于存储和执行访问控制客户端的方法及装置
CN101409619B (zh) 闪存卡及虚拟专用网密钥交换的实现方法
WO2021109963A1 (zh) 初始安全配置方法、安全模块及终端
US20100161958A1 (en) Device for Realizing Security Function in Mac of Portable Internet System and Authentication Method Using the Device
US9608971B2 (en) Method and apparatus for using a bootstrapping protocol to secure communication between a terminal and cooperating servers
KR20110103473A (ko) 가상 가입자 식별 모듈
WO2004034645A1 (ja) Ｗｌａｎ相互接続における識別情報の保護方法
CN109218263A (zh) 一种控制方法及装置
WO2018202109A1 (zh) 一种证书请求消息发送方法、接收方法和装置
WO2021244569A1 (zh) 数据传输方法、系统、电子设备、存储介质
CN108353279A (zh) 一种认证方法和认证系统
CN114338091B (zh) 数据传输方法、装置、电子设备及存储介质
CN114095919A (zh) 一种基于车联网的证书授权处理方法及相关设备
CN110417722B (zh) 一种业务数据通信方法、通信设备及存储介质
CN117118628A (zh) 电力物联网轻量级身份认证方法、装置及电子设备
CN113727059B (zh) 多媒体会议终端入网认证方法、装置、设备及存储介质
CN115348077A (zh) 一种虚拟机加密方法、装置、设备、存储介质
CN115119166A (zh) 一种终端设备的配置方法、装置和通信设备
CN114448609A (zh) 组密钥的管理方法、装置、相关设备及存储介质
CN113422753A (zh) 数据处理方法、装置、电子设备及计算机存储介质
CN115996126B (zh) 信息交互方法、应用设备、辅助平台及电子设备
CN118317299B (zh) 5g加密通信方法、装置、电子设备及存储介质
CN113727057B (zh) 多媒体会议终端入网认证方法、装置、设备及存储介质
CN113676468B (zh) 一种基于消息验证技术的三方增强认证系统设计方法
CN113037782A (zh) 证书获取方法和系统、电子设备、计算机可读存储介质

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination