CN115412909A - 一种通信方法及装置 - Google Patents

一种通信方法及装置 Download PDF

Info

Publication number
CN115412909A
CN115412909A CN202110504785.6A CN202110504785A CN115412909A CN 115412909 A CN115412909 A CN 115412909A CN 202110504785 A CN202110504785 A CN 202110504785A CN 115412909 A CN115412909 A CN 115412909A
Authority
CN
China
Prior art keywords
key
user equipment
request
home network
security node
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN202110504785.6A
Other languages
English (en)
Inventor
李飞
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Huawei Technologies Co Ltd
Original Assignee
Huawei Technologies Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Huawei Technologies Co Ltd filed Critical Huawei Technologies Co Ltd
Priority to CN202110504785.6A priority Critical patent/CN115412909A/zh
Priority to EP22806530.6A priority patent/EP4322579A4/en
Priority to PCT/CN2022/089936 priority patent/WO2022237561A1/zh
Publication of CN115412909A publication Critical patent/CN115412909A/zh
Priority to US18/505,391 priority patent/US20240089728A1/en
Pending legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/03—Protecting confidentiality, e.g. by encryption
    • H04W12/033—Protecting confidentiality, e.g. by encryption of the user plane, e.g. user's traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
    • H04W12/041—Key generation or derivation
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/10—Integrity
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/03—Protecting confidentiality, e.g. by encryption
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/10—Integrity
    • H04W12/106—Packet or message integrity
    • Y—GENERAL TAGGING OF NEW TECHNOLOGICAL DEVELOPMENTS; GENERAL TAGGING OF CROSS-SECTIONAL TECHNOLOGIES SPANNING OVER SEVERAL SECTIONS OF THE IPC; TECHNICAL SUBJECTS COVERED BY FORMER USPC CROSS-REFERENCE ART COLLECTIONS [XRACs] AND DIGESTS
    • Y02—TECHNOLOGIES OR APPLICATIONS FOR MITIGATION OR ADAPTATION AGAINST CLIMATE CHANGE
    • Y02D—CLIMATE CHANGE MITIGATION TECHNOLOGIES IN INFORMATION AND COMMUNICATION TECHNOLOGIES [ICT], I.E. INFORMATION AND COMMUNICATION TECHNOLOGIES AIMING AT THE REDUCTION OF THEIR OWN ENERGY USE
    • Y02D30/00—Reducing energy consumption in communication networks
    • Y02D30/70—Reducing energy consumption in communication networks in wireless communication networks

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Mobile Radio Communication Systems (AREA)

Abstract

一种通信方法及装置，其中方法包括：归属网络安全节点可接收来自用户设备的第一请求，第一请求包括用户设备的第一标识。归属网络安全节点还可向第一网络功能发送第二请求，第二请求包括用户设备的第二标识，并接收来自于第一网络功能的第一密钥，第一密钥根据加密密钥、完整性密钥和第一信息生成。归属网络安全节点可根据第一密钥生成第二密钥，第二密钥包括机密性保护密钥和/或完整性保护密钥。其中，第一信息包括用户设备的服务网络名称、归属网络安全节点的标识、用户设备的SUPI，以及BEST服务标识中的至少一个。该过程提供了适用于5G网络架构的安全密钥获取方式，能够降低用户设备的数据安全风险。

Description

一种通信方法及装置
技术领域
本申请涉及通信技术领域，尤其涉及一种通信方法及装置。
背景技术
在无线通信领域，为了低吞吐量的机器类型通信设备，4G技术中定义了省电的安全方案，称为为低吞吐量机器类型通信设备设计的省电安全(battery efficientsecurity for very low throughput machine type communication devices，BEST)。其主要目的是通过4G网络架构中的归属公共陆地移动网(home public land mobilenetwork，HPLMN)安全节点(HPLMN security endpoint，HSE)与用户设备(user equipment，UE)分别根据UE的加密密钥(cipher key，CK)和完整性密钥(integrity key，IK)推导出用于保护UE数据的安全密钥，用于保护UE的数据安全。
然而，在5G架构下，HSE是不能获取到UE的CK和IK的，无法根据CK和IK推导安全密钥，因此，4G技术的BEST认证方式不能完全适用在5G架构，导致UE的数据安全风险增加。
发明内容
本申请实施方式的目的在于提供一种通信方法及装置，用以提供适用于5G等网络架构的安全密钥获取方式，以降低5G等网络架构下用户设备的数据安全风险。
第一方面，本申请实施例提供一种通信方法。该方法可由归属网络安全节点执行，包括：归属网络安全节点可接收来自用户设备的第一请求，第一请求包括用户设备的第一标识。归属网络安全节点还可向第一网络功能发送第二请求，第二请求包括用户设备的第二标识，第二标识根据第一标识确定，或者第二标识与第一标识相同。归属网络安全节点接收来自于第一网络功能的第一密钥，第一密钥根据加密密钥、完整性密钥和第一信息生成。归属网络安全节点可根据第一密钥生成第二密钥，第二密钥包括用户设备与归属网络安全节点之间的机密性保护密钥和/或完整性保护密钥。其中，第一信息包括：用户设备的服务网络名称、归属网络安全节点的标识、用户设备的SUPI，以及BEST服务标识中的至少一个。
通过上述方法，归属网络安全节点可获取第一密钥，其中，第一密钥是根据加密密钥、完整性密钥和第一信息生成的，因此，归属网络安全节点不需要获取UE的加密密钥和完整性密钥就能够获得第一密钥，后续可根据第一密钥生成用于保护用户设备数据的安全密钥。因此该方案能够提供适用于5G及其他网络架构的安全密钥获取方式，能够降低用户设备的数据安全风险。
一种可能的设计中，用户设备的第一标识包括用户设备的SUCI，用户设备的第二标识包括用户设备的SUPI，归属网络安全节点向第一网络功能发送第二请求之前，还可包括：归属网络安全节点根据SUCI获取用户设备的SUPI。或者，归属网络安全节点根据归属网络安全节点的私钥解密SUCI获得SUPI，其中，SUCI是根据归属网络安全节点的公钥加密SUPI获得的。
一种可能的设计中，用户设备的第一标识包括归属网络安全节点为用户设备分配的标识，用户设备的第二标识包括用户设备的SUPI，归属网络安全节点向第一网络功能发送第二请求之前，还可包括：归属网络安全节点根据归属网络安全节点为用户设备分配的标识获取用户设备的SUPI。
一种可能的设计中，归属网络安全节点根据SUCI获取用户设备的SUPI，可包括：归属网络安全节点向第一网络功能发送用户设备的SUCI；归属网络安全节点接收来自于第一网络功能的SUPI。
一种可能的设计中，如果第二标识与第一标识相同，则第一标识包括用户设备的SUCI和/或SUPI。
通过上述方法，用户设备与归属网络安全节点之间基于用户设备的SUCI、SUPI或归属网络安全节点为UE分配的标识进行通信，而可以不使用IMSI进行通信，以适用于5G等网络架构下的通信方式。另外，通过SUCI进行认证和密钥推导能够进一步提高安全性。
一种可能的设计中，第二请求为用户设备认证获取请求，用户设备认证获取请求还可包括指示信息，指示信息用于指示根据加密密钥、完整性密钥和第一信息生成第一密钥。
一种可能的设计中，第一请求还包括用户设备的服务网络名称，第二请求还包括服务网络名称。
一种可能的设计中，第一网络功能包括认证服务功能或统一数据管理功能。
一种可能的设计中，归属网络安全节点可向用户设备发送随机数和/或认证令牌。
一种可能的设计中，归属网络安全节点根据第一密钥生成第二密钥，包括：归属网络安全节点根据第一密钥和第二信息生成第二密钥，第二信息包括以下中的至少一个：归属网络安全节点的标识、用户设备的BEST服务的算法类型标识符、用户设备中用于计算认证令牌的序列号、隐藏密钥、用户设备的SUPI、随机数，或者认证令牌。第二信息可来自于第一网络功能。
一种可能的设计中，第一请求还包括加密指示，还可包括：归属网络安全节点开启加密服务。若开启加密服务，则第二密钥包括机密性保护密钥。
一种可能的设计中，在归属网络安全节点根据第一密钥生成第二密钥之前，还可包括：归属网络安全节点接收来自于第一网络功能的加密指示；归属网络安全节点根据加密指示判断是否开启用户设备的用户面加密服务。
第二方面，提供一种通信方法。该通信方法可由统一数据管理功能执行，包括：统一数据管理功能接收来自于归属网络安全节点的第二请求，第二请求包括用户设备的第二标识。统一数据管理功能可根据第二标识生成用户设备的加密密钥和完整性密钥，并根据加密密钥、完整性密钥和第一信息生成第一密钥。统一数据管理功能可向归属网络安全节点发送第一密钥。其中，第一信息包括：用户设备的服务网络名称、归属网络安全节点的标识、用户设备的SUPI，以及BEST服务标识中的至少一个。
一种可能的设计中，该方法还可包括：统一数据管理功能接收来自于归属网络安全节点的用户设备的SUCI；统一数据管理功能根据SUCI确定用户设备的SUPI；统一数据管理功能向归属网络安全节点发送用户设备的SUPI。
一种可能的设计中，第二标识可包括用户设备的SUCI或SUPI。
一种可能的设计中，该方法还可包括：统一数据管理功能向归属网络安全节点发送加密指示。
一种可能的设计中，第二请求为用户设备认证获取请求，用户设备认证获取请求还包括指示信息，统一数据管理功能根据加密密钥和完整性密钥和第一信息生成第一密钥，可包括：统一数据管理功能在收到指示信息后，根据加密密钥和完整性密钥和第一信息生成第一密钥。
一种可能的设计中，第二请求还可包括用户设备的服务网络名称。
或者，方法还可包括：统一数据管理功能根据第二标识确定用户设备的注册的或认证的或所在的服务网络名称。
一种可能的设计中，统一数据管理功能可向归属网络安全节点发送第二信息，第二信息包括以下中的至少一个：归属网络安全节点的标识、用户设备的BEST服务的算法类型标识符、用户设备中用于计算认证令牌的序列号、隐藏密钥、用户设备的SUPI、随机数，或者认证令牌。
第三方面，提供一种通信方法。该通信方法可由用户设备执行，包括：用户设备向归属网络安全节点发送第一请求，第一请求包括用户设备的标识。用户设备还可接收归属网络安全节点发送的随机数。用户设备可根据随机数以及用户设备的根密钥生成加密密钥和完整性密钥，用户设备根据加密密钥、完整性密钥和第一信息生成第一密钥，并根据第一密钥生成第二密钥。第二密钥包括用户设备与归属网络安全节点之间的机密性保护密钥和/或完整性保护密钥。其中，第一信息包括：用户设备的服务网络名称、归属网络安全节点的标识、用户设备的SUPI，以及BEST服务标识中的至少一个。
一种可能的设计中，用户设备根据第一密钥生成第二密钥，可包括：根据第一密钥和第三信息生成第二密钥；第三信息包括以下中的至少一个：归属网络安全节点的标识、用户设备的BEST服务的算法类型标识符、用户设备中用于计算认证令牌的序列号、隐藏密钥、用户设备的SUPI、随机数，或者认证令牌。
一种可能的设计中，第一请求还包括用户设备的服务网络名称；和/或第一请求还包括加密指示，加密指示用于指示用户设备请求用户面加密服务。
一种可能的设计中，用户设备的标识包括用户设备的SUCI、SUPI或归属网络安全节点为用户设备分配的标识。
第四方面，本申请实施例提供一种通信装置，所述通信装置包括处理器，所述处理器与存储器耦合，其中：存储器用于存储指令；处理器用于根据执行存储器存储的指令，以执行上述第一方面至第三方面或以上方面中任一种可能的设计中的方法。可选的，所述通信装置还可以包括所述存储器。可选的，所述通信装置还可以包括收发器，用于支持所述通信装置进行上述方法中的信息发送和/或接收。可选的，该通信装置可以是终端设备，也可以是终端设备中的装置，如芯片或者芯片系统，其中所述芯片系统包含至少一个芯片，所述芯片系统还可以包括其他电路结构和/或分立器件。
第五方面，本申请实施例提供一种通信装置，用于实现上述第一方面至第三方面或以上方面中任一种可能的设计中的方法，包括相应的功能模块，例如包括处理单元、通信单元等，分别用于实现以上方法中的步骤。
第六方面，本申请实施例提供一种计算机可读存储介质，所述计算机存储介质中存储有计算机可读指令，当计算机读取并执行所述计算机可读指令时，使得通信装置执行第一方面至第三方面或以上方面中任一种可能的设计中的方法。
第七方面，本申请实施例提供一种计算机程序产品，当计算机读取并执行所述计算机程序产品时，使得通信装置执行第一方面至第三方面或以上方面中任一种可能的设计中的方法。
第八方面，本申请实施例提供一种芯片，所述芯片与存储器相连，用于读取并执行所述存储器中存储的软件程序，以执行第一方面至第三方面或以上方面中任一种可能的设计中的方法。
第九方面，本申请实施例提供一种通信装置，包括处理器，所述处理器用于与收发器耦合，读取并执行所述存储器中的指令，以执行第一方面至第三方面或以上方面中任一种可能的设计中的方法。
第十方面，本申请实施例提供一种通信系统，包括用于执行第一方面或第一方面中任一种可能的设计中的方法的装置、用于执行第二方面或第二方面中任一种可能的设计中的方法的装置，和用于执行第三方面或第三方面中任一种可能的设计中的方法的装置。
以上第二方面至第十方面的有益效果可以参照第一方面中有益效果的描述。
附图说明
图1为本申请实施例提供的一种通信系统的架构示意图；
图2为4G BEST方案的网络架构示意图；
图3为4G BEST方案的密钥架构示意图；
图4为本申请实施例提供的一种通信系统的架构示意图；
图5为本申请实施例提供的一种通信方法的流程示意图；
图6为本申请实施例提供的另一种通信方法的流程示意图；
图7为本申请实施例提供的另一种通信方法的流程示意图；
图8为本申请实施例提供的另一种通信方法的流程示意图；
图9为本申请实施例提供的另一种通信方法的流程示意图；
图10为本申请实施例提供的另一种通信方法的流程示意图；
图11为本申请实施例提供的一种通信装置的结构示意图；
图12为本申请实施例提供的另一种通信装置的结构示意图。
具体实施方式
为了使本申请的目的、技术方案和优点更加清楚，下面将结合附图对本申请作进一步地详细描述。方法实施例中的具体操作方法也可以应用于装置实施例或系统实施例中。
下面对本申请涉及术语进行解释：
至少一个，是指一个，或一个以上，即包括一个、两个、三个及以上。
多个，是指两个，或两个以上，即包括两个、三个及以上。
携带，可以是指某消息用于承载某信息或数据，也可以是指某消息由某信息构成。
耦合是指装置、单元或模块之间的间接耦合或通信连接，可以是电性，机械或其它的形式，用于装置、单元或模块之间的信息交互。
本申请实施例中，“和/或”，描述关联对象的关联关系，表示可以存在三种关系，例如，A和/或B，可以表示：单独存在A，同时存在A和B，单独存在B的情况，其中A、B可以是单数或者复数。字符“/”一般表示前后关联对象是一种“或”的关系。“以下至少一(项)个”或其类似表达，是指的这些项中的任意组合，包括单项(个)或复数项(个)的任意组合。例如，a、b或c中的至少一项(个)，可以表示：a，b，c，a和b，a和c，b和c，或a、b和c，其中a、b、c可以是单个，也可以是多个。
下面，结合附图对本申请实施例进行详细说明。首先，介绍本申请实施例提供的无线通信系统，本申请提供的中的通信方法可应用于该系统，然后介绍本申请实施例提供的通信方法，最后介绍本申请实施例提供的通信装置。
如图1所示，本申请实施例提供的无线通信系统100可包括终端设备101以及网络设备102。
应理解，本申请实施例提供的无线通信系统100，即可适用于低频场景(sub 6G)，也适用于高频场景(above6G)。本申请实施例提供的无线通信系统100的应用场景包括但不限于宽带码分多址(wideband code division multiple access，WCDMA)系统、通用分组无线业务(general packet radio service，GPRS)、长期演进(long term evolution，LTE)系统、LTE频分双工(frequency division duplex，FDD)系统、LTE时分双工(time divisionduplex，TDD)、通用移动通信系统(universal mobile telecommunication system，UMTS)、全球互联微波接入(worldwide interoperability for microwave access，WiMAX)通信系统、第五代系统或新无线(new radio，NR)通信系统等。
以上所示终端设备101可以是用户设备、终端(terminal)、移动台(mobilestation，MS)、移动终端(mobile terminal)等设备，该终端设备101能够与一个或多个通信系统的一个或多个网络设备进行通信，并接受网络设备提供的网络服务，这里的网络设备包括但不限于图示网络设备102。举例来说，本申请实施例中的终端设备101可以是移动电话(或称为“蜂窝”电话)、具有移动终端的计算机等，终端设备101还可以是便携式、袖珍式、手持式、计算机内置的或者车载的移动装置。终端设备101也可以是具有通信模块的通信芯片。
以上所示网络设备102可包括本申请所述的接入网设备(或称接入网站点)。具体的，网络设备102可包括接入网设备。在本申请中，接入网设备是指有提供网络接入功能的设备，如无线接入网(radio access network，RAN)基站等等。网络设备102具体可包括基站(base station，BS)，或包括基站以及用于控制基站的无线资源管理设备等，该网络设备102可以为中继站(中继设备)、接入点、车载设备、可穿戴设备以及未来5G等网络中的基站、未来演进的公共陆地移动网络(public land mobile network，PLMN)网络中的基站或者NR基站等，本申请实施例并不限定。网络设备102也可以是具有通信模块的通信芯片。
在本申请所述方法的执行过程中，网络设备102可作为RAN基站向终端设备101提供无线网络连接，例如，网络设备102可作为4G接入网——演进的通用移动通信系统(universal mobile telecommunications system，UMTS)陆地无线接入网(evolved UMTSterrestrial radio access network，E-UTRAN)中的接入网基站，或者，网络设备102可作为5G接入网——5G RAN中的接入网基站，或者，网络设备102可作为未来无线通信系统中的接入网基站。
目前，4G为低吞吐量的机器类型通信设备定义了省电的安全方案，称为BEST，图2描述了该方案的网络架构。主要目的是通过HSE完成与UE的认证以及密钥生成，从而推导出用于保护UE数据的安全密钥，密钥整体架构如图3所示。
其中，4G网络架构下，HSE与归属用户服务器(home subscriber server，HSS)之间的交互存在两种可能性，一种是HSE与HSS之间通过接口直接交互，一种是经过端到中间密钥服务器(end to middle key server，EMKS)与HSS交互。为了简化表达，本申请后续所述流程均以第一种方式为代表，但实际应用HSE可以通过EMKS与HSS进行交互。
基于图4架构，根据UE到企业应用服务器(enterprise application server，EAS)数据保护方式的不同，UE和HSE会生成不同的密钥：
一种保护方式中，UE和EAS进行端到端(end to end，E2E)保护，此时HSE需要为EAS生成中间密钥和EAS特定的预共享密钥，即图3中的KIntermediate和KEAS_PSK。然后EAS与UE根据KEAS_PSK再生成E2E安全密钥，即图3中农的KE2Eenc和KE2Eint，分别为机密性保护密钥和完整性保护密钥。
另一种保护方式中，UE、HSE和EAS进行逐跳(hop-by-hop)保护，此时HSE只需要生成其与UE之间的安全密钥，即图3中的KE2Menc和KE2Mint。
其中，在上述方式中的密钥生成过程中，UE可会携带IMSI向HSE请求建立会话，HSE判断该UE是否需要生成密钥，也就是判断是否有该UE的具备有效计数器值的有效密钥，判断的方式具体如下：
情况1)如果HSE拥有指示的会话的有效密钥集，且UE ID对该会话有效，那么HSE可以开始BEST会话，而无需重新协商密钥。
情况2)如果UE ID对HSE来说有效，但HSE没有指示的会话的有效密钥集，或HSE希望更新密钥，那么HSE则需要与UE先重新协商密钥，再发起BEST会话。
情况3)如果UE ID对该会话ID无效，或者UE不支持HSE要求的服务级别，或者企业信息对HSE无效，则HSE可能会拒绝该命令。
为简化表达，本申请后续将上述判断是否有该UE的具备有效计数器值的有效密钥过程称为HSE判断该UE是否已有合法的密钥，且对上述情况2)称为HSE判断UE没有合法的密钥，如果没有则HSE会从HSS获取鉴权向量，鉴权向量包括随机数(RAND)、认证令牌(AUTN)、CK和IK，HSE根据鉴权向量计算HSE密钥。HSE会向UE发送RAND和AUTN供UE认证，UE校验AUTN成功后，可以向HSE返回验证数据(RES)供HSE校验，也可以不返回。认证成功后，UE和HSE会根据CK和IK推导生成其他密钥，包括但不限于KE2Eenc、KE2Eint、KE2Menc和KE2Mint。
目前，在将BEST服务引用到5G网络架构时，存在不兼容的问题，下面结合5G网络架构进行说明。
如图4所示，5G网络架构可包括三部分，分别是UE、数据网络(data network，DN)和运营商网络。
其中，运营商网络可包括网络切片选择(network slice selection function，NSSF)、网络开放功能(network exposure function，NEF)、网络存储功能(networkfunction repository function，NRF)、策略控制功能(policy control function，PCF)、统一数据管理(unified data management，UDM)、应用功能(application function，AF)、网络切片特定鉴权和授权功能(network slice specific authentication andauthorization function，NSSAAF)、鉴权服务器功能(authentication server function，AUSF)、接入与移动性管理功能(access and mobility management function，AMF)、会话管理功能(session management function，SMF)、(无线)接入网((radio)access network，(R)AN)、HSE、EAS以及用户面功能(user plane function，UPF)等网络功能(networkfunction，NF)。上述运营商网络中，除(无线)接入网部分之外的部分可以称为核心网络(CN)部分。为方便说明，后续以(R)AN称为RAN为例进行说明。
本申请中，用户设备可以包括图4所示UE。UE可以是一种具有无线收发功能的设备，其可以部署在陆地上，包括室内或室外、手持或车载；也可以部署在水面上(如轮船等)；还可以部署在空中(例如飞机、气球和卫星上等)。所述UE可以是手机(mobile phone)、平板电脑(pad)、带无线收发功能的电脑、虚拟现实(virtual reality，VR)终端、增强现实(augmented reality，AR)终端、工业控制(industrial control)中的无线终端、无人驾驶(self driving)中的无线终端、远程医疗(remote medical)中的无线终端、智能电网(smart grid)中的无线终端、运输安全(transportation safety)中的无线终端、智慧城市(smart city)中的无线终端、智慧家庭(smart home)中的无线终端等。UE还可以是图1所示终端设备101。
上述UE可通过运营商网络提供的接口(例如N1等)与运营商网络建立连接，使用运营商网络提供的数据和/或语音等服务。UE还可通过运营商网络访问DN，使用DN上部署的运营商业务，和/或第三方提供的业务。其中，上述第三方可为运营商网络和UE之外的服务方，可为UE提供他数据和/或语音等服务。其中，上述第三方的具体表现形式，具体可根据实际应用场景确定，在此不做限制。
此外，本申请中的归属网络安全节点，可包括图4所示HSE，在未来通信如6G中，归属网络安全节点仍可以是HSE，或有其它的名称，本申请不做限定。认证服务功能可包括图4所示AUSF，在未来通信如6G中，认证服务功能仍可以是AUSF，或有其它的名称，本申请不做限定。统一数据管理功能可包括图4所示UDM，在未来通信如6G中，统一数据管理功能仍可以是UDM，或有其它的名称，本申请不做限定。
图4中Nnssf、Nnef、Nausf、Nnrf、Npcf、Nudm、Naf、Namf、Nssaaf、Nsmf、Nhse、N1、N2、N3、N4、N6、BEST-C、BEST-U、EAS-C，以及EAS-U分别为接口序号。这些接口序号的含义和用途可参见3GPP标准协议中定义的含义，在此不做限制。
在图4所示5G网络架构中，仍可通过HSE对UE的数据进行认证和保护，但是，由于5G网络架构中，HSE无法获得CK和IK，因此无法沿用4G网络架构下密钥的生成方式由HSE根据CK和IK生成密钥，造成将4G网络架构下的BEST服务引用到5G网络架构时的不兼容问题。
为了解决该技术问题，使得BEST服务能够在5G中实施，本申请实施例提供一种通信方法。该方法可由用户设备、归属网络安全节点和第一网络功能实施。其中，第一网络功能可以是认证服务功能和/或统一数据管理功能。下面为了方便说明，以用户设备是UE，归属网络安全节点是HSE，认证服务功能是AUSF以及统一数据管理功能是UDM为例进行说明。
如图5所示，该方法可包括以下步骤：
S101：UE向HSE发送第一请求，第一请求包括UE的第一标识。
相应地，HSE接收来自UE的第一请求，第一请求包括UE的第一标识。
可选的，第一请求为会话建立请求或称会话请求，则本申请实施例提供的方法可结合会话建立过程实施，用于为UE的该会话提供数据安全保护。
S102：HSE向第一网络功能发送第二请求，第二请求包括UE的第二标识。第一网络功能可以是AUSF和/或UDM。第二请求例如是认证向量获取请求。认证向量可以是包括密钥或用于推导密钥的参数的集合。
其中，第二标识可根据第一标识确定，例如，第一标识可以是UE的用户隐藏标识(subscription concealed identifier，SUCI)，则第二标识可以是根据该SUCI确定的UE的用户永久标识(subscription permanent identifier，SUPI)。又如，第一标识可以是HSE为UE分配的标识，第二标识可以是UE的SUPI。
另外，第二标识也可以与第一标识相同，例如，第一标识和第二标识均为UE的SUCI，或均为UE的SUPI。
相应地，第一网络功能接收来自于HSE的第二请求，第二请求包括UE的第二标识。
可选的，如果第一网络功能包括UDM，第二请求可由HSE发送至UDM。如果第一网络功能为AUSF，第二请求可由HSE发送至AUSF，之后由AUSF向UDM发送新的请求，该新的请求内容可以与第二请求相同。
S103：第一网络功能根据UE的第二标识生成第一密钥。
其中，如果第一网络功能为UDM，则UDM可根据UE的第二标识生成UE的CK和IK，并根据CK、IK和第一信息生成第一密钥。其中，UDM可根据UE的第二标识获取UE的长期密钥，然后根据长期密钥生成UE的CK和IK，之后UDM可根据CK、IK和第一信息生成第一密钥。
其中，第一信息包括用户设备的UE的服务网络(serving network，SN)名称、归属网络安全节点的标识、用户设备的SUPI，以及BEST服务标识中的至少一个。例如，上述第一信息可包括UE的服务网络(serving network，SN)名称，或者，第一信息可以是HSE的标识(HSE ID)、UE的SUPI以及BEST服务标识，或者，第一信息可以是UE的服务网络名称、HSE的标识、UE的SUPI以及BEST服务标识。此外，第一信息还可以是由UE和HSE共享的其他参数，这些参数需要由HSE和/或UE发送给第一网络功能，例如，HSE在第二请求中携带这些参数。第一信息还可以是HSE确定的参数，HSE可将这些参数发送至UE和第一网络功能。
例如，第一网络功能为UDM，UDM可使用CK和IK为密钥，以UE的服务网络名称SQN异或AK为输入参数推导出Kausf，此时Kausf即第一密钥。或者，UDM使用CK和IK或Kausf为密钥，以HSE的标识或UE的SUPI或BEST服务标识为输入参数推导出Kbest，此时Kbest即第一密钥。
如果第一网络功能为AUSF，则AUSF接收第二请求后，向UDM发送第四请求，第四请求可携带UE的第二标识。UDM可根据UE的第二标识获取UE的长期密钥，然后根据长期密钥生成UE的CK和IK。UDM再根据CK、IK和第一信息生成第四密钥，第一信息至少包括UE的服务网络名称，和/或，HSE的标识、UE的SUPI或者BEST服务标识中的至少一个。UDM向AUSF返回第四密钥。AUSF根据第四密钥和第一信息生成第一密钥。此一项新还可包括HSE的标识、UE的SUPI或者BEST服务标识中的至少一个，或包括由UE和HSE共享的其他参数，或包括HSE确定的参数。
例如，第一网络功能为AUSF，可由UDM使用CK和IK或Kausf为密钥，以服务网络名称，和/或，SQN异或AK，和/或，HSE的标识、UE的SUPI或者BEST服务标识中的至少一个为输入参数推导出第四密钥，之后将第四密钥发送至AUSF，由AUSF根据第四密钥生成Kbest’，此时的Kbest’为第一密钥。
如果第一网络功能是UDM，则第二请求可包括指示信息，第一网络功能会在接收到该指示信息后，执行S104，即根据加密密钥、完整性密钥和第一信息生成第一密钥。示例性的，指示信息可以是用于指示请求BEST的安全参数，如请求BEST认证向量或请求BEST密钥，或者是用于请求5G认证和秘钥协商(5G authentication and key agreement，AKA)认证向量或5G AKA认证密钥，或者指示请求的认证方法为5G AKA或BEST。
需要说明的是，本申请中UDM也可以根据指示信息生成5G AKA的安全参数或BEST的安全参数并在响应中返回所述安全参数，其中安全参数包括所述第一密钥。安全参数还包含认证响应等参数，不作限定。该解释适用本申请所有场景，后续不再赘述。
如果第一网络功能是AUSF，则第四请求可包括指示信息，UDM会在接收到该指示信息后，执行S103，即根据加密密钥、完整性密钥和第一信息生成第一密钥。示例性的，指示信息可以是用于指示请求BEST的安全参数，如请求BEST认证向量或请求BEST密钥，或者是用于请求5G AKA认证向量或5G AKA认证密钥，或者指示请求的认证方法为5G AKA或BEST。
若第一网络功能是UDM，HSE可以使用UDM已有的服务，如UE认证服务，此时第二请求为UE认证获取请求(Nudm_UEAuthentication_Get)，则第二请求中需要携带指示信息，UDM根据指示信息生成并返回第一密钥。本申请还包含在所述UDM中定义新的服务，此时第二请求为不同于UE认证获取请求中的其他请求，为专用于BEST认证的服务请求，此时UDM可以根据专用的服务生成并返回第一密钥，而无需在第二请求中携带指示信息。
若第一网络功能为AUSF，则AUSF可以使用UDM已有的服务，如UE认证服务，此时第四请求为UE认证获取请求，则第四请求中需要携带指示信息，UDM根据指示信息生成并向AUSF返回所述Kausf。本申请还包含在所述UDM中定义新的服务，此时第四请求为不同于UE认证获取请求中的其他请求，为专用于BEST认证的服务请求，此时UDM可以根据专用的服务生成并返回所述Kausf，而无需在第四请求中携带指示信息。其中指示信息可以是AUSF携带，也可以是AUSF从HSE的第二请求中获取，然后携带在第四请求中。
S104：第一网络功能向HSE发送第一密钥。
相应地，HSE接收来自于第一网络功能的第一密钥。
可选的，第一网络功能可向HSE发送认证向量，相应地，HSE接收认证向量。认证向量包括第一密钥。其中，认证向量还可包括随机数、认证令牌和RES或RES*。RES*是使用CK||IK为密钥，UE的服务网络名称、RAND和RES为输入参数生成的。
S105：HSE根据第一密钥生成第二密钥。
第二密钥包括UE与HSE之间的机密性保护密钥和/或完整性保护密钥。
其中，如果第一请求中携带加密指示，则第二密钥包括机密性保护密钥，例如，第二密钥包括机密性保护密钥和完整性保护密钥。或者，HSE接收到来自于第一网络功能的加密指示，则第二密钥包括机密性保护密钥。如果第一请求中未包括加密指示，且HSE未接收到来自于第一网络功能的加密指示，则第二密钥可以是完整性保护密钥，也可以包括机密性保护密钥和完整性保护密钥，只是不开启机密性保护服务，不使用机密性保护密钥即可。
可选的，如果HSE接收认证向量，HSE可根据认证向量生成第二密钥。
另外，可选的，HSE在S101之后，HSE判断该UE是否已有合法的密钥。如果有，则跳过S102-S104，执行S105即可；否则，如果HSE判断UE没有合法的密钥，则可以执行S102-S105。本申请后续，合法的密钥包括第一密钥或第二密钥。
可选的，UE的合法的密钥可以是UE此前建立会话的过程中HSE获取的。HSE可存储UE的SUPI与合法密钥之间的对应关系，当接收到第一请求中携带的SUPI后，HSE可根据SUPI查询UE是否有合法密钥，或者，当接收到第一请求中携带的UE的SUCI或HSE为UE分配的标识后，HSE可根据UE的SUCI或HSE为UE分配的标识获得UE的SUPI，并根据SUPI查询UE是否有合法密钥。
S106：UE接收随机数。
其中，随机数可由HSE发送，例如，S104之后，HSE向UE发送随机数。
可选的，随机数携带在会话开始消息中。会话开始消息中还可发送认证令牌。
S107：UE根据随机数以及UE的根密钥生成加密密钥和完整性密钥。
可选的，CK与RAND有关，或者说，CK根据RAND确定。
可选的，IK与RAND有关，或者说，IK根据RAND确定。
S108：UE根据加密密钥、完整性密钥和第一信息生成第一密钥。
第一信息和第一密钥可参见S103中的说明。
S109：UE根据第一密钥生成第二密钥，第二密钥包括UE与HSE之间的机密性保护密钥和/或完整性保护密钥。
可选的，在S105和S108中，UE和/或HSE可根据第一密钥和第二信息生成第二密钥。其中，第二信息可包括HSE的标识、UE的BEST服务的算法类型标识符、UE的用于计算认证令牌的序列号、隐藏密钥(anonymity key，AK)、UE的SUPI、随机数或者认证令牌中的至少一个。
采用以上方法，归属网络安全节点可获取第一密钥，其中，第一密钥是根据加密密钥、完整性密钥和第一信息生成的，因此，归属网络安全节点不需要获取UE的加密密钥和完整性密钥就能够获得第一密钥，后续可根据第一密钥生成用于保护用户设备数据的安全密钥。因此该方案能够提供适用于5G网络架构的安全密钥获取方式，降低用户设备的数据安全风险。
下面通过举例的方式，说明S104和/或S109中确定第一密钥的方式。其中，第一密钥可以是Kausf、Kbest或者Kbest’。
(1)如果第一密钥为Kausf，Kausf可根据CK和IK，以及服务网络名称、用于确定UE的认证令牌的序列号(sequence number，SQN)或AK中的至少一个确定。例如，Kausf可根据CK和IK、服务网络名称、服务网络名称的长度、SQN异或AK、SQN异或AK的长度，通过密钥派生函数(key derivation functon，KDF)确定。密钥派生函数例如是安全散列算法256(securehash algorithm 256，SHA-256)函数，安全散列算法256为基于哈希的消息验证码(hash-based message authentication code，HMAC)算法中的一种。
本申请中，UE的服务网络名称可携带在第一请求中发送至HSE，并由HSE通过第二请求或AUSF通过第四请求发送至UDM。或者，UDM使用存储的UE认证所在的服务网络名称或注册所在的服务网络名称。如果HSE在第二请求中或AUSF在第四请求携带了UE的服务网络名称，UDM还可根据UE认证所在的服务网络名称或注册所在的服务网络名称判断HSE中携带的服务网络名称是否正确。
可选的，AK可以与RAND有关，例如，CK根据RAND确定。
(2)如果第一密钥为Kbest，Kbest是由Kausf推演的密钥，推演方式可以是以Kausf为密钥，额外参数为输入传输，使用HMAC算法生成的新的密钥，例如，参照公式1确定新的密钥。可选的，额外参数可以是HSE的标识、SUPI、BEST服务标识等，不作限定。
此时HSE可以直接从UDM获取Kbest或包括Kbest的认证向量，也可以经过AUSF从UDM获取Kbest，或获取包括Kbest的认证向量。如果是后者，UDM向AUSF发送的认证向量可以包括Kausf、RAND、AUTN、RES或RES*中的至少一个，AUSF根据Kausf进行进一步推导Kbest。或者也可由UDM推导Kbest，由AUSF向HSE转发Kbest或转发包括Kbest的认证向量。
其中，AUTN可根据SQN、AK、AMF值和MAC值推导，AMF值为16比特(bit)的字段，可以是设定的。MAC值可根据SQN、RAND和AMF值推导。
(3)如果第一密钥为Kbest’，可选的，Kbest’可根据CK和IK，以及UE的服务网络名称，HSE的标识、SUPI、BEST服务标识等中的至少一个确定。
应理解，以上图6所示流程中，CK也可替换为CK’，且IK可以替换为IK’，此时5G为了系统中的UE主认证方式可以是扩展认证协议’认证和秘钥协商(extensibleauthentication protocol-authentication and key agreement，EAP-AKA’)。其中，CK’和IK’可根据CK和IK推导。
下面说明HSE根据UE的第一标识确定S102涉及的UE的第二标识的方法。
方法1，第一标识可以是SUCI，第二标识为SUPI，HSE可通过UDM确定该第二标识。
UDM可以从SUCI中解密获取SUPI，因此，当HSE获取第一请求中携带的SUCI时，可向UDM发送UE的SUCI，并请求UE的SUPI，之后接收UDM返回的SUPI。HSE可向UDM发送第三请求，其中携带UE的SUCI，该第三请求可以是UE标识获取请求，UDM在解密出SUPI后可向HSE发送UE标识获取响应消息，其中携带UE的SUPI。
方法2，第一标识可以是SUCI，第二标识为SUPI，HSE可在本地对第一标识进行处理后获得第二标识。
由于SUCI可以是SUPI加密获得的，则可以令HSE存储可用于解密SUCI以获得SUPI的密钥。例如，UE根据HSE的公钥加密SUPI获得SUCI，并在第一请求中携带SUCI，在接收到第一请求后，HSE可根据HSE的私钥解密第一请求中的SUCI，获得UE的SUPI。
方法3，第一标识可以是HSE为UE分配的标识，第二标识为SUPI，HSE可在本地对第一标识进行处理后获得第二标识。
HSE可存储HSE为UE分配的标识与UE的SUPI之间的对应关系，用于确定第一请求中的标识所对应的UE的SUPI。
比如，在此前UE接入网络或此前的建立会话的过程中，HSE根据UE的SUPI为UE分配了标识，则HSE可存储其为UE的标识与UE的SUPI之间的对应关系，在发送第二请求之前，根据该对应关系确定第一请求中携带的UE的标识对应的UE的SUPI。
可选的，在S102之前，如果HSE根据用户设备的第一标识或第二标识，判断该UE已有合法的密钥，则可跳过S102-S104，执行S105。
如图6所示，基于图5所示流程，如果第一信息包括UE的服务网络名称，则本申请实施例提供的一种示例性的通信方法可包括以下步骤：
S201：UE向HSE发送会话请求，其中携带UE的第一标识。
可选的，会话请求中还可包括UE的服务网络名称和/或加密指示。其中，加密指示可用于请求加密服务。
S202：HSE判断该UE是否已有合法的密钥，如果没有，则执行S203，如果有，则执行S206。
其中，第一标识为UE的SUPI。或者，第一标识为SUCI或HSE分配的标识，则HSE根据第一标识确定UE的SUPI。
S203：HSE向第一网络功能发送认证向量获取请求，其中，携带UE的第二标识。可选的，如果会话请求中包括UE的服务网络名称，则认证向量获取请求可包括UE的服务网络名称。
第一网络功能可以是UDM或AUSF，UDM或AUSF的具体实现方式可参见S103中的说明。
S204：第一网络功能根据UE的第二标识生成第一密钥，其中，第一密钥的生成过程需要第一信息作为输入参数。第一信息至少包括UE的服务网络名称。第一信息还可包括HSE的标识、UE的SUPI或BEST服务标识中的至少一个。也就是说，第一密钥至少根据UE的服务网络名称的标识生成。
可选的，如果第二请求中未携带UE的服务网络名称，则第一网络功能可根据UE的第二标识获取UE的服务网络名称。比如，第一网络功能为UDM，UDM可根据UE的第二标识获取UE的服务网络名称。如果第一网络功能为AUSF，则AUSF可根据UE的第二标识向UDM查询UE的服务网络名称。
S205：第一网络功能向HSE发送认证向量获取响应消息，其中携带认证向量，认证向量至少包括第一密钥。
可选的，认证向量还可包括RAND、AUTN、RES或RES*中的至少一个。
可选的，认证向量获取响应消息还可包括加密指示。
S206：HSE根据认证向量生成第二密钥。
其中，如果第一请求中包括加密指示，和/或，HSE接收到来自于第一网络功能的加密指示(如携带在认证向量获取响应消息或其他消息中)，则HSE根据所述加密指示判断是否开启与UE的机密性保护服务。
S207：HSE向UE发送会话开始消息。
其中，会话开始消息中可包括RAND，或者，HSE通过其他消息向UE发送RAND。RAND的获取方式可参照已有标准，本申请不具体限定。
可选的，会话开始消息中携带HSE为UE分配的标识。
可选的，UE在接收到会话开始消息后，可以向HSE发送会话开始确认消息。
S208：UE根据随机数和UE的根密钥生成CK和IK。
S209：UE根据CK、IK和第一信息生成第一密钥。
这里的第一信息与S204中生成第一密钥使用的第一信息相同。
S210：UE根据第一密钥生成第二密钥。
应理解，S207-S210与S206的时序没有严格限制，比如，S207-S210可能在S206之前或之后执行。
基于图6所示流程，UE和HSE可分别获得第二密钥，其中，第二密钥的生成过程中至少引入UE的服务网络名称，因此HSE不需要获知CK和IK，能够适用于5G网络架构。另外，图6所示方法根据UE的第一标识发起，在HSE和第一网络功能之间根据UE的第二标识进行，不需要引入UE的IMSI，能够更好地适用于5G网络架构以支持5G BEST。如果第一标识是SUCI，则进一步满足了UE使用SUCI进行通信以保护SUPI传输安全性的要求。
基于图6所示流程，如果需要启用加密服务，UE可在会话请求中携带加密指示，则HSE可根据加密指示生成机密性保护密钥。
如图7所示，基于图5所示流程，如果第一信息不包括UE的服务网络名称，则本申请实施例提供的一种通信方法包括以下步骤：
S301：UE向HSE发送会话请求，其中携带UE的第一标识。
可选的，会话请求中还可包括UE的服务网络名称。其中，UE的服务网络名称可用于指示获取加密服务。
S302：HSE判断该UE是否已有合法的密钥，如果没有，则执行S303，如果有，则执行S306。
其中，第一标识为UE的SUPI。或者，第一标识为SUCI或HSE分配的标识，则HSE根据第一标识确定UE的SUPI。
S303：HSE向第一网络功能发送认证向量获取请求，其中，携带UE的第二标识。
第一网络功能可以是UDM或AUSF，UDM或AUSF的具体实现方式可参见S103中的说明。
S304：第一网络功能根据UE的第二标识生成第一密钥，其中，第一密钥的生成过程需要第一信息作为输入参数。第一信息可包括HSE的标识、UE的SUPI或BEST服务标识中的至少一个。也就是说，第一密钥至少根据HSE的标识、UE的SUPI或BEST服务标识中的一个生成。
S305：第一网络功能向HSE发送认证向量获取响应消息，其中携带认证向量，认证向量至少包括第一密钥。
可选的，认证向量还可包括RAND、AUTN、RES或RES*中的至少一个。
可选的，认证向量获取响应消息还可包括加密指示。
S306：HSE根据认证向量生成第二密钥。
其中，如果第一请求中包括UE的服务网络名称，和/或，HSE接收到来自于第一网络功能的加密指示(如携带在认证向量获取响应消息或其他消息中)，则HSE根据所述服务网络名称或加密指示，判断是否开启与UE的机密性保护服务。
S307：HSE向UE发送会话开始消息。
其中，会话开始消息中可包括RAND，或者，HSE通过其他消息向UE发送RAND。RAND的获取方式可参照已有标准，本申请不具体限定。
可选的，UE在接收到会话开始消息后，可以向HSE发送会话开始确认消息。
S308：UE根据随机数和UE的根密钥生成CK和IK。
S309：UE根据CK、IK和第一信息生成第一密钥。
这里的第一信息与S204中生成第一密钥使用的第一信息相同。
S310：UE根据第一密钥生成第二密钥。
应理解，S307-S310与S306的时序没有严格限制，比如，S307-S310可能在S306之前或之后执行。
基于图7所示流程，UE和HSE可分别获得第二密钥，其中，第二密钥的生成过程中至少引入RAND、AUTN、RES或RES*中的一个，因此HSE不需要获知CK和IK，能够适用于5G网络架构。另外，图7所示方法根据UE的第一标识发起，在HSE和第一网络功能之间根据UE的第二标识进行，不需要引入UE的IMSI，能够更好地适用于5G网络架构以支持5G BEST。如果第一标识是SUCI，则进一步满足了UE使用SUCI进行通信以保护SUPI传输安全性的要求。
基于图7所示流程，如果需要启用加密服务，UE可在会话请求中携带服务网络名称，则HSE可根据服务网络名称生成机密性保护密钥。
在本申请实施例提供的另一种通信方法中，可使用UE和PLMN主认证中生成的Kausf进行隐式的认证，而不使用4G BEST中显式的认证方式。其中，隐式的认证是指不需要UE和HSE之间不需要进行AUTN和RES的认证，显式的认证是指UE和HSE之间需要先进行AUTN和RES的认证，再进行密钥的生成。
此种实施方式的前提是UE和网络已完成主认证，UE和AUSF均获取了主认证中的Kausf。若UE签约了BEST服务，则UDM在主认证中给AUSF返回认证向量时，也会返回BEST指示。其中，认证向量可包括Kausf和RAND、AUTN或RES中的至少一个。AUSF根据该指示将生成的Kbest以及密钥标识(key ID)推送给HSE。
后续UE可以根据Kausf生成Kbest以及key ID，并携带该key ID向HSE发起会话请求，HSE则根据Key ID找到对应的Kbest，即获得UE的Kbest。此时UE和HSE便也可以共享相同的Kbest。然后以Kbest为根密钥，推导产生后续E2M或E2E密钥。KBEST的生成可以考虑引入BEST服务代码，SUPI、HSE ID等参数；Key ID的计算可以引入SUPI、key ID代码等参数。推导的密钥均可以使用Kausf。
可选的，AUSF和/或UE生成Kbest的过程中，可将Kausf作为密钥，以及以BEST服务代码、SUPI或HSE的标识等参数作为额外参数。同理，key ID的生成过程中可将Kausf作为密钥，以及以SUPI或key ID代码等参数作为额外参数。
其中，key ID代码例如与BEST临时UE标识(BEST temporary UE identifier，B-TID)或应用的认证和密钥管理(authentication and key management forapplications，AKMA)临时UE标识(AKMA temporary UE identifier，A-TID)等有关，例如是B-TID或者A-TID等字符串。
如图8所示，在使用UE和PLMN主认证中生成的Kausf进行隐式的认证时，本申请实施例提供的通信方法可包括以下步骤：
S401：UDM确定UE签约BEST服务。
其中，UDM可查询UDM的签约数据，确定UE是否签约BEST服务。
S402：AUSF向UDM发送UE认证获取请求。
其中，本申请对于S401和S402的执行时序不进行严格限定。
S403：UDM向AUSF返回UE认证获取响应消息，其中携带UE的SUPI和指示信息。
其中，指示信息可以是BEST indication，即表明UE需要使用BEST服务。
S404：在接收到指示信息后，AUSF根据Kausf生成Kbest和key ID。
可选的，AUSF存储Kbest和key ID之间的对应关系。
S405：AUSF向HSE发送密钥登记请求，其中，携带UE的SUPI、Kbest和key ID。
S406：HSE向AUSF返回密钥登记响应。
S407：UE根据Kausf生成Kbest和key ID。
其中，S407可以在UE发送会话请求之前或之后执行，也可以是在生成Kausf之后，不具体限定。比如，当UE希望建立会话，则生成Kbest和key ID。
S408：UE向HSE发送会话请求，其中携带key ID。
S409：HSE获取来自于UE的key ID所对应的Kbest。
S410：HSE根据Kbest生成UE的安全密钥。
其中，UE的安全密钥包括机密性保护密钥和/或完整性保护密钥。
S411：HSE向UE发送会话开始消息。
S412：UE根据Kbest生成安全密钥。
其中，UE的安全密钥包括机密性保护密钥和/或完整性保护密钥。
根据图8所示流程，HSE可根据UE的key ID查询Kbest，以根据Kbest获得UE的机密性保护密钥和/或完整性保护密钥。该过程复用UE主认证的结果和密钥来完成UE和HSE之间的密钥共享，节省了UE和HSE单独的认证流程，从而更匹配BEST节能省电的需求。
在本申请实施例提供的另一种通信方法中，可沿用4G网络架构下的密钥生成方式，由UDM向HSE提供CK和IK，由UE和HSE根据CK和IK生成BEST密钥。
可选的，HSE可向UDM发送UE认证获取请求，在收到该UE认证获取请求后，可由UDM生成第三密钥，或者通过UE认证服务以外的新的服务生成第三密钥。其中，第三密钥可包括CK和IK。
例如，如果UE认证获取请求中携带指示信息，则UDM可根据该指示信息生成该第三密钥，否则，UDM可通过UE认证服务以外的其他服务生成第三密钥。这里的指示信息可以是用于指示请求BEST的安全参数，如请求BEST认证向量或请求BEST密钥，或者是用于请求5G认证和秘钥协商认证向量或5G AKA认证密钥，或者指示请求的认证方法为5G AKA或BEST。
此后UDM可向HSE发送认证向量，其中包括第三密钥，还可包括RAND、AUTN或RES中的至少一个，由HSE接收认证向量后生成UE的安全密钥。相应地，UE根据相同的参数生成安全密钥。其中，UE的安全密钥包括机密性保护密钥和/或完整性保护密钥。
如图9所示，由UE和HSE根据CK和IK生成认证密钥的过程可包括以下步骤：
S501：UE向HSE发送会话请求，其中携带UE的SUPI。
S502：HSE根据UE的SUPI判断该UE是否已有合法的密钥。
如果有合法的密钥，则可根据合法的密钥生成UE的认证密钥，之后执行S506，否则，如果没有合法的密钥，则执行S503。
S503：HSE向UDM发送BEST认证向量获取请求，其中携带UE的SUPI。
S504：UDM在接收到BEST认证向量获取请求后，生成第三密钥。
S505：UDM向HSE发送BEST认证向量获取响应消息，其中携带认证向量，认证向量包括第三密钥，还可包括RAND、AUTN或RES中的至少一个。
此后，HSE可根据第三密钥生成UE的安全密钥。
其中，UE的安全密钥包括机密性保护密钥和/或完整性保护密钥。相应地，在UE侧可生成相同的UE安全密钥，即机密性保护密钥和/或完整性保护密钥。
S506：HSE向UE发送会话开始消息。
S507：可选的，UE向HSE返回会话开始响应消息。
根据图9所述方法，可通过从UDM获取与4G BEST认证向量一致的认证向量，使得UE和HSE完成认证和密钥生成的同时，能够更好地兼容现有安全设计，因为UE侧改动较小。
在本申请实施例提供的另一种通信方法中，当UE通过4G网络接入时，可由HSE通过HSS获取认证向量，即由HSS向UDM请求获取认证向量，再由HSS发送至HSE。
其中，当UE通过4G网络接入时，携带的UE的标识为IMSI。
可选的，HSS可向UDM发送UE认证获取请求，在收到该UE认证获取请求后，可由UDM生成第四密钥，或者通过UE认证服务以外的新的服务生成第四密钥。例如，如果UE认证获取请求中携带指示信息，则UDM可根据该指示信息生成该第四密钥，否则，UDM可通过UE认证服务以外的其他服务生成第四密钥。这里的指示信息可以是用于指示请求BEST的安全参数，如请求BEST认证向量或请求BEST密钥，或者是用于请求5G认证和秘钥协商认证向量或5GAKA认证密钥，或者指示请求的认证方法为5G AKA或BEST。其中，第四密钥可包括CK和IK。
此后UDM可向HSS发送认证向量，其中包括第四密钥，还可包括RAND、AUTN或RES中的至少一个。HSS将认证向量转发至HSE，由HSE接收认证向量后生成UE的安全密钥。相应地，UE根据相同的参数生成安全密钥。其中，UE的安全密钥包括机密性保护密钥和/或完整性保护密钥。
如图10所示，由UE和HSE根据CK和IK生成认证密钥可包括以下步骤：
S601：UE向HSE发送会话请求，其中携带UE的IMSI。
S602：HSE根据UE的IMSI判断该UE是否已有合法的密钥。
如果有合法的密钥，则可根据合法的密钥生成UE的认证密钥，之后执行S608，否则，如果没有合法的密钥，则执行S603。
S603：HSE向HSS发送认证信息请求，携带UE的IMSI。
S604：HSS向UDM发送BEST认证向量获取请求，其中携带UE的IMSI。
S605：UDM在接收到BEST认证向量获取请求后，生成第四密钥。
S606：UDM向HSS发送BEST认证向量获取响应，其中携带认证向量，认证向量包括第四密钥，还可包括RAND、AUTN或RES中的至少一个。
S607：HSS向HSE发送认证信息响应消息，该响应消息携带认证向量，认证向量中包括第四密钥，还可包括RAND、AUTN或RES中的至少一个。
此后，HSE可根据第四密钥生成UE的安全密钥。
其中，UE的安全密钥包括机密性保护密钥和/或完整性保护密钥。相应地，在UE侧可生成相同的机密性保护密钥和/或完整性保护密钥。
S608：HSE向UE发送会话开始消息。
可选的，UE在收到会话开始消息后，向HSE返回会话开始响应消息。
根据图10所述方法，可在UE通过4G网络接入时，通过HSS从UDM获取鉴权向量，能够使得UE从4G接入时也能使用5G凭据访问BEST服务。
另外，类似图9所示流程，HSE也可以直接向UDM发送认证服务获取请求，区别在于这里的认证服务获取请求中携带的是UE的IMSI。
与上述构思相同，如图11所示，本申请实施例还提供一种装置1100用于实现上述方法。例如，该装置可以为软件模块或者芯片系统。本申请实施例中，芯片系统可以由芯片构成，也可以包含芯片和其他分立器件。该装置1100可以包括：处理单元1101和通信单元1102。
应理解，该装置可包括以上方法实施例中所示的HSE、UDM或UE，或者包括具备以上方法实施例中所示的HSE、UDM或UE的功能的装置。
本申请实施例中，通信单元也可以称为收发单元，可以包括发送单元和/或接收单元，分别用于执行上文方法实施例中HSE、UDM或UE发送和接收的步骤。
以下，结合图11至图10详细说明本申请实施例提供的通信装置。应理解，装置实施例的描述与方法实施例的描述相互对应，因此，未详细描述的内容可以参见上文方法实施例，为了简洁，这里不再赘述。
通信单元1102也可以称为收发器、收发机、收发装置等。处理单元1101也可以称为处理器，处理单板，处理模块、处理装置等。可选的，可以将通信单元1102中用于实现接收功能的器件视为接收单元，将通信单元1102中用于实现发送功能的器件视为发送单元，即通信单元1102包括接收单元和发送单元。通信单元1102有时也可以称为收发机、收发器、或收发电路等。接收单元有时也可以称为接收机、接收器、或接收电路等。发送单元有时也可以称为发射机、发射器或者发射电路等。
举例来说，如果该装置1100是HSE，则通信单元1102可用于接收来自UE的第一请求，第一请求包括UE的第一标识。通信单元1102还可用于向第一网络功能发送第二请求，第二请求包括UE的第二标识，第二标识根据第一标识确定，或者第二标识与第一标识相同。通信单元1102还可用于接收来自于第一网络功能的第一密钥，第一密钥根据加密密钥、完整性密钥和第一信息生成。处理单元1101可用于根据第一密钥生成第二密钥，第二密钥包括UE与HSE之间的机密性保护密钥和/或完整性保护密钥。其中，第一信息包括UE的服务网络名称、HSE的标识、UE的SUPI，以及BEST服务标识中的至少一个。
可选的，通信单元和处理单元还可以执行其他操作，例如通信单元1102用于执行上述图5至图10所示的方法实施例中HSE的发送操作和接收操作，处理单元1101用于执行上述图5至图10所示的方法实施例中HSE除了收发操作之外的其他操作，具体可以参考前面的描述，在此不再赘述。
又如，如果该装置1100是UDM，则通信单元1102可用于接收来自于HSE的第二请求，第二请求包括UE的第二标识。处理单元1101可用于根据第二标识生成UE的加密密钥和完整性密钥，并根据加密密钥、完整性密钥和第一信息生成第一密钥。通信单元1102还可用于向HSE发送第一密钥。其中，第一信息包括UE的服务网络名称、HSE的标识、UE的SUPI，以及BEST服务标识中的至少一个。
可选的，通信单元和处理单元还可以执行其他操作，例如通信单元1102用于执行上述图5至图10所示的方法实施例中UDM的发送操作和接收操作，处理单元1101用于执行上述图5至图10所示的方法实施例中UDM除了收发操作之外的其他操作，具体可以参考前面的描述，在此不再赘述。
又如，如果该装置1100是UE，则通信单元1102可用于备向HSE发送第一请求，第一请求包括UE的标识，以及接收HSE发送的随机数。处理单元1101可用于根据随机数以及UE的根密钥生成加密密钥和完整性密钥，根据加密密钥、完整性密钥和第一信息生成第一密钥，并根据第一密钥生成第二密钥。第二密钥包括UE与HSE之间的机密性保护密钥和/或完整性保护密钥。其中，第一信息包括UE的服务网络名称、HSE的标识、UE的SUPI，以及BEST服务标识中的至少一个。
可选的，通信单元和处理单元还可以执行其他操作，例如通信单元1102用于执行上述图5至图10所示的方法实施例中UDM的发送操作和接收操作，处理单元1101用于执行上述图5至图10所示的方法实施例中UDM除了收发操作之外的其他操作，具体可以参考前面的描述，在此不再赘述。
如图12所示为本申请实施例提供的另一种通信装置，图12所示的装置可以为图11所示的装置的一种硬件电路的实现方式。该通信装置可适用于前面所示出的流程图中，执行上述方法实施例中HSE、UDM或UE的功能。为了便于说明，图12仅示出了该通信装置的主要部件。
装置1200还可以包括至少一个存储器1230，用于存储程序指令和/或数据。存储器1230和处理器1220耦合。本申请实施例中的耦合是装置、单元或模块之间的间接耦合或通信连接，可以是电性，机械或其它的形式，用于装置、单元或模块之间的信息交互。处理器1220可能和存储器1230协同操作。处理器1220可能执行存储器1230中存储的程序指令。所述至少一个存储器中的至少一个可以包括于处理器中。
图12所示的装置1200包括至少一个处理器1220以及通信接口1210，处理器1220用于执行存储器1230中存储的指令或程序。存储器1230中存储的指令或程序被执行时，该处理器1220用于执行上述实施例中处理单元1101执行的操作，通信接口1210用于执行上述实施例中通信单元1102执行的操作。
在本申请实施例中，通信接口可以是收发器、电路、总线、模块或其它类型的通信接口。在本申请实施例中，通信接口为收发器时，收发器可以包括独立的接收器、独立的发射器；也可以集成收发功能的收发器、或者是通信接口。
装置1200还可以包括通信线路1240。其中，通信接口1210、处理器1220以及存储器1230可以通过通信线路1240相互连接；通信线路1240可以是外设部件互连标准(peripheral component interconnect，简称PCI)总线或扩展工业标准结构(extendedindustry standard architecture，简称EISA)总线等。所述通信线路1240可以分为地址总线、数据总线、控制总线等。为便于表示，图12中仅用一条粗线表示，但并不表示仅有一根总线或一种类型的总线。
本申请提还提供了一种通信系统，用于执行上面任一流程中提供的方法，如执行图5至图10中任一流程。该通信系统可包括图5所示架构。
本申请提还提供了一种计算机可读存储介质，用于存储计算机程序，该计算机程序包括用于执行上面任一流程中提供的方法的指令。
本申请提还提供了一种计算机程序产品，所述计算机程序产品包括：计算机程序代码，当所述计算机程序代码在计算机上运行时，使得计算机执行上面任一流程中提供的方法。
本申请提还提供一种芯片，包括处理器，所述处理器与存储器耦合，用于执行所述存储器中存储的计算机程序或指令，当所述处理器执行所述计算机程序或指令时，使得上面任一流程中提供的方法被实现。
本领域内的技术人员应明白，本申请的实施例可提供为方法、系统、或计算机程序产品。因此，本申请可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本申请可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、光学存储器等)上实施的计算机程序产品的形式。
本申请是参照根据本申请的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。
这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。
这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。
显然，本领域的技术人员可以对本申请进行各种改动和变型而不脱离本申请的保护范围。这样，倘若本申请的这些修改和变型属于本申请权利要求及其等同技术的范围之内，则本申请也意图包含这些改动和变型在内。

Claims (26)

1.一种通信方法，其特征在于，包括：
归属网络安全节点接收来自于用户设备的第一请求，所述第一请求包括所述用户设备的第一标识；
所述归属网络安全节点向第一网络功能发送第二请求，所述第二请求包括所述用户设备的第二标识，所述第二标识根据所述第一标识确定，或者所述第二标识与第一标识相同；
所述归属网络安全节点接收来自于所述第一网络功能的第一密钥，所述第一密钥根据加密密钥、完整性密钥和第一信息生成；
所述归属网络安全节点根据所述第一密钥生成第二密钥；
所述第二密钥包括所述用户设备与所述归属网络安全节点之间的机密性保护密钥和/或完整性保护密钥；
其中，所述第一信息包括：
所述用户设备的服务网络名称、所述归属网络安全节点的标识、所述用户设备的用户永久标识SUPI，以及为低吞吐量机器类型通信设备设计的省电安全BEST服务标识中的至少一个。
2.如权利要求1所述的方法，其特征在于，所述用户设备的第一标识包括所述用户设备的用户隐藏标识SUCI，所述用户设备的第二标识包括所述用户设备的SUPI，所述归属网络安全节点向第一网络功能发送第二请求之前，还包括：
所述归属网络安全节点根据所述SUCI获取所述用户设备的SUPI。
3.如权利要求2所述的方法，其特征在于，所述归属网络安全节点根据所述SUCI获取所述用户设备的SUPI，包括：
所述归属网络安全节点根据所述归属网络安全节点的私钥解密所述SUCI获得所述SUPI，其中，所述SUCI是根据所述归属网络安全节点的公钥加密所述SUPI获得的；
或者，包括：
所述归属网络安全节点向所述第一网络功能发送所述用户设备的SUCI；
所述归属网络安全节点接收来自于所述第一网络功能的所述SUPI。
4.如权利要求1-3中任一所述的方法，其特征在于，所述第二请求为用户设备认证获取请求，所述用户设备认证获取请求还包括指示信息，所述指示信息用于指示根据所述加密密钥、所述完整性密钥和所述第一信息生成所述第一密钥。
5.如权利要求1-4中任一所述的方法，其特征在于，所述第一请求还包括所述用户设备的服务网络名称，所述第二请求还包括所述服务网络名称。
6.如权利要求1-5中任一所述的方法，其特征在于，所述第一网络功能包括AUSF或统一数据管理功能。
7.一种通信方法，其特征在于，包括：
统一数据管理功能接收来自于归属网络安全节点的第二请求，所述第二请求包括用户设备的第二标识；
所述统一数据管理功能根据所述第二标识生成所述用户设备的加密密钥和完整性密钥；
所述统一数据管理功能根据所述加密密钥、完整性密钥和第一信息生成第一密钥；
所述统一数据管理功能向所述归属网络安全节点发送所述第一密钥；
其中，所述第一信息包括：
所述用户设备的服务网络名称、所述归属网络安全节点的标识、所述用户设备的SUPI，以及BEST服务标识中的至少一个。
8.如权利要求7所述的方法，其特征在于，还包括：
所述统一数据管理功能接收来自于所述归属网络安全节点的所述用户设备的SUCI；
所述统一数据管理功能根据所述SUCI确定所述用户设备的SUPI；
所述统一数据管理功能向所述归属网络安全节点发送所述用户设备的SUPI。
9.如权利要求7或8所述的方法，其特征在于，所述第二请求为用户设备认证获取请求，所述用户设备认证获取请求还包括指示信息，所述统一数据管理功能根据所述加密密钥和完整性密钥和第一信息生成第一密钥，包括：
所述统一数据管理功能在收到所述指示信息后，根据所述加密密钥和完整性密钥和第一信息生成所述第一密钥。
10.如权利要求7-9中任一所述的方法，其特征在于，
所述第二请求还包括所述用户设备的服务网络名称；
或者，所述方法还包括：
所述统一数据管理功能根据所述第二标识确定所述用户设备的注册的或认证的或所在的服务网络名称。
11.一种通信方法，其特征在于，包括：
用户设备向归属网络安全节点发送第一请求，所述第一请求包括所述用户设备的标识；
所述用户设备接收来自于所述归属网络安全节点的随机数；
所述用户设备根据所述随机数以及所述用户设备的根密钥生成加密密钥和完整性密钥；
所述用户设备根据所述加密密钥、完整性密钥和第一信息生成第一密钥；
所述用户设备根据所述第一密钥生成第二密钥；
所述第二密钥包括所述用户设备与所述归属网络安全节点之间的机密性保护密钥和/或完整性保护密钥；
其中，所述第一信息包括：
所述用户设备的服务网络名称、所述归属网络安全节点的标识、所述用户设备的SUPI，以及BEST服务标识中的至少一个。
12.如权利要求11所述的方法，其特征在于，所述第一请求还包括所述用户设备的服务网络名称；和/或所述第一请求还包括加密指示，所述加密指示用于指示所述用户设备请求用户面加密服务。
13.一种通信装置，其特征在于，包括通信单元和处理单元：
所述通信单元用于，接收来自于用户设备的第一请求，所述第一请求包括所述用户设备的第一标识；
所述通信单元还用于，向第一网络功能发送第二请求，所述第二请求包括所述用户设备的第二标识，所述第二标识根据所述第一标识确定，或者所述第二标识与第一标识相同；
所述通信单元还用于，接收来自于所述第一网络功能的第一密钥，所述第一密钥根据加密密钥、完整性密钥和第一信息生成；
所述处理单元用于，根据所述第一密钥生成第二密钥；
所述第二密钥包括所述用户设备与归属网络安全节点之间的机密性保护密钥和/或完整性保护密钥；
其中，所述第一信息包括：
所述用户设备的服务网络名称、所述归属网络安全节点的标识、所述用户设备的SUPI，以及BEST服务标识中的至少一个。
14.如权利要求13所述的通信装置，其特征在于，所述第一标识包括所述用户设备的SUCI，所述处理单元还用于：
根据所述SUCI获取所述用户设备的SUPI。
15.如权利要求14所述的通信装置，其特征在于，所述处理单元具体用于：
根据所述归属网络安全节点的私钥解密所述SUCI获得所述SUPI，其中，所述SUCI是根据所述归属网络安全节点的公钥加密所述SUPI获得的；
或者，所述通信单元还用于：
向所述第一网络功能发送所述用户设备的SUCI；
接收来自于所述第一网络功能的所述SUPI。
16.如权利要求13-15中任一所述的通信装置，其特征在于，所述第二请求为用户设备认证获取请求，所述用户设备认证获取请求还包括指示信息，所述指示信息用于指示根据所述加密密钥、所述完整性密钥和所述第一信息生成所述第一密钥。
17.如权利要求13-16中任一所述的通信装置，其特征在于，所述第一请求还包括所述用户设备的服务网络名称，所述第二请求还包括所述服务网络名称。
18.如权利要求13-17中任一所述的通信装置，其特征在于，所述第一网络功能包括认证服务功能或统一数据管理功能。
19.一种通信装置，其特征在于，包括通信单元和处理单元：
所述通信单元用于，接收来自于归属网络安全节点的第二请求，所述第二请求包括用户设备的第二标识；
所述处理单元用于，根据所述第二标识生成所述用户设备的加密密钥和完整性密钥；
所述处理单元还用于，根据所述加密密钥、完整性密钥和第一信息生成第一密钥；
所述通信单元还用于，向所述归属网络安全节点发送所述第一密钥；
其中，所述第一信息包括：
所述用户设备的服务网络名称、所述归属网络安全节点的标识、所述用户设备的SUPI，以及BEST服务标识中的至少一个。
20.如权利要求19所述的通信装置，其特征在于，所述通信单元还用于：
接收来自于所述归属网络安全节点的所述用户设备的SUCI；
所述处理单元还用于：
所述统一数据管理功能根据所述SUCI确定所述用户设备的SUPI；
所述通信单元还用于：
向所述归属网络安全节点发送所述用户设备的SUPI。
21.如权利要求19或20所述的通信装置，其特征在于，所述第二请求为用户设备认证获取请求，所述用户设备认证获取请求还包括指示信息，所述处理单元具体用于：
在收到所述指示信息后，根据所述加密密钥和完整性密钥和第一信息生成所述第一密钥。
22.如权利要求19-21中任一所述的通信装置，其特征在于，所述第二请求还包括所述用户设备的服务网络名称；
或者，所述处理单元还用于：
根据所述第二标识确定所述用户设备的注册的或认证的或所在的服务网络名称。
23.一种通信装置，其特征在于，包括通信单元和处理单元：
所述通信单元用于，向归属网络安全节点发送第一请求，所述第一请求包括所述用户设备的标识；
所述通信单元还用于，接收来自于所述归属网络安全节点的随机数；
所述处理单元用于，根据所述随机数以及所述用户设备的根密钥生成加密密钥和完整性密钥；
所述处理单元还用于，根据所述加密密钥、完整性密钥和第一信息生成第一密钥；
所述处理单元还用于，根据所述第一密钥生成第二密钥；
所述第二密钥包括所述用户设备与所述归属网络安全节点之间的机密性保护密钥和/或完整性保护密钥；
其中，所述第一信息包括：
所述用户设备的服务网络名称、所述归属网络安全节点的标识、所述用户设备的用户永久标识SUPI，以及为低吞吐量机器类型通信设备设计的省电安全BEST服务标识中的至少一个。
24.如权利要求23所述的通信装置，其特征在于，所述第一请求还包括所述用户设备的服务网络名称；和/或所述第一请求还包括加密指示，所述加密指示用于指示所述用户设备请求用户面加密服务。
25.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质中存储有计算机程序或指令，当所述计算机程序或指令被计算设备执行时，以使得所述计算设备执行如权利要求1至12中任一项所述的方法。
26.一种通信系统，其特征在于，包括如权利要求13-18中任一所述的通信装置，和如权利要求19-22中任一所述的通信装置，和如权利要求23或24所述的通信装置。
CN202110504785.6A 2021-05-10 2021-05-10 一种通信方法及装置 Pending CN115412909A (zh)

Priority Applications (4)

Application Number Priority Date Filing Date Title
CN202110504785.6A CN115412909A (zh) 2021-05-10 2021-05-10 一种通信方法及装置
EP22806530.6A EP4322579A4 (en) 2021-05-10 2022-04-28 COMMUNICATION METHOD AND DEVICE
PCT/CN2022/089936 WO2022237561A1 (zh) 2021-05-10 2022-04-28 一种通信方法及装置
US18/505,391 US20240089728A1 (en) 2021-05-10 2023-11-09 Communication method and apparatus

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202110504785.6A CN115412909A (zh) 2021-05-10 2021-05-10 一种通信方法及装置

Publications (1)

Publication Number Publication Date
CN115412909A true CN115412909A (zh) 2022-11-29

Family

ID=84027998

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202110504785.6A Pending CN115412909A (zh) 2021-05-10 2021-05-10 一种通信方法及装置

Country Status (4)

Country Link
US (1) US20240089728A1 (zh)
EP (1) EP4322579A4 (zh)
CN (1) CN115412909A (zh)
WO (1) WO2022237561A1 (zh)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN115941204A (zh) * 2022-12-06 2023-04-07 镁佳(北京)科技有限公司 一种基于hse的数据防重放方法及系统

Family Cites Families (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN104852896B (zh) * 2015-02-03 2017-09-05 四川通信科研规划设计有限责任公司 一种Wi‑Fi无线节点入网方法及系统
WO2017029282A1 (en) * 2015-08-17 2017-02-23 Nokia Solutions And Networks Oy Security procedures for the cellular internet of things
CN109756872B (zh) * 2018-12-06 2021-08-31 国网山东省电力公司电力科学研究院 基于物理不可克隆函数的电网NB-IoT端到端数据处理方法
US20220417010A1 (en) * 2019-01-11 2022-12-29 Nec Corporation A method and a device for enabling key re-usage in a communication network

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN115941204A (zh) * 2022-12-06 2023-04-07 镁佳(北京)科技有限公司 一种基于hse的数据防重放方法及系统
CN115941204B (zh) * 2022-12-06 2024-04-12 镁佳(北京)科技有限公司 一种基于hse的数据防重放方法及系统

Also Published As

Publication number Publication date
US20240089728A1 (en) 2024-03-14
EP4322579A4 (en) 2024-08-07
WO2022237561A1 (zh) 2022-11-17
EP4322579A1 (en) 2024-02-14

Similar Documents

Publication Publication Date Title
CN111669276B (zh) 一种网络验证方法、装置及系统
CN110830991B (zh) 安全会话方法和装置
EP3493462B1 (en) Authentication method, authentication apparatus and authentication system
JP5597676B2 (ja) 鍵マテリアルの交換
CN110049492B (zh) 通信方法、核心网网元、终端设备及存储介质
CN107005927B (zh) 用户设备ue的接入方法、设备及系统
CN106134231B (zh) 密钥生成方法、设备及系统
US10798082B2 (en) Network authentication triggering method and related device
CN108012264A (zh) 用于802.1x载体热点和Wi-Fi呼叫认证的基于经加密的IMSI的方案
US20200275268A1 (en) Communication method and communications apparatus
US20240080316A1 (en) Methods and apparatus for provisioning, authentication, authorization, and user equipment (ue) key generation and distribution in an on-demand network
US20240089728A1 (en) Communication method and apparatus
US20190149326A1 (en) Key obtaining method and apparatus
CN116108458A (zh) 密钥生成方法、装置、终端设备及服务器
WO2022134089A1 (zh) 一种安全上下文生成方法、装置及计算机可读存储介质
CN114245372B (zh) 一种认证方法、装置和系统
CN115515130A (zh) 一种会话密钥生成的方法及装置
CN115250469A (zh) 一种通信方法以及相关装置
WO2019144350A1 (zh) 通信方法和通信装置
CN113098688B (zh) 一种aka方法及装置
CN116684865A (zh) 通信的方法和装置
CN116782211A (zh) 切换密钥的确定方法、切换方法及装置

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination