CN118118161A - 建立安全关联的方法、设备、装置及存储介质 - Google Patents
建立安全关联的方法、设备、装置及存储介质 Download PDFInfo
- Publication number
- CN118118161A CN118118161A CN202211518653.XA CN202211518653A CN118118161A CN 118118161 A CN118118161 A CN 118118161A CN 202211518653 A CN202211518653 A CN 202211518653A CN 118118161 A CN118118161 A CN 118118161A
- Authority
- CN
- China
- Prior art keywords
- security
- master key
- random number
- establishing
- security association
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Pending
Links
- 238000000034 method Methods 0.000 title claims abstract description 103
- 238000003860 storage Methods 0.000 title claims abstract description 23
- 230000004044 response Effects 0.000 claims abstract description 170
- 239000013256 coordination polymer Substances 0.000 claims abstract description 96
- 238000004891 communication Methods 0.000 claims abstract description 78
- 230000006870 function Effects 0.000 claims description 147
- 238000004590 computer program Methods 0.000 claims description 30
- 238000007726 management method Methods 0.000 description 98
- 238000010586 diagram Methods 0.000 description 23
- 230000005540 biological transmission Effects 0.000 description 9
- 230000008569 process Effects 0.000 description 7
- 238000013478 data encryption standard Methods 0.000 description 6
- 230000007774 longterm Effects 0.000 description 6
- 238000010295 mobile communication Methods 0.000 description 6
- 230000003287 optical effect Effects 0.000 description 6
- 230000009286 beneficial effect Effects 0.000 description 3
- 230000000694 effects Effects 0.000 description 3
- 230000002093 peripheral effect Effects 0.000 description 3
- 238000000926 separation method Methods 0.000 description 3
- 230000006978 adaptation Effects 0.000 description 2
- 238000005516 engineering process Methods 0.000 description 2
- 238000012986 modification Methods 0.000 description 2
- 230000004048 modification Effects 0.000 description 2
- 102100022734 Acyl carrier protein, mitochondrial Human genes 0.000 description 1
- 101000678845 Homo sapiens Acyl carrier protein, mitochondrial Proteins 0.000 description 1
- 230000004075 alteration Effects 0.000 description 1
- 230000001413 cellular effect Effects 0.000 description 1
- 238000013500 data storage Methods 0.000 description 1
- 230000001419 dependent effect Effects 0.000 description 1
- 238000009826 distribution Methods 0.000 description 1
- 230000000977 initiatory effect Effects 0.000 description 1
- 238000004519 manufacturing process Methods 0.000 description 1
- 239000004065 semiconductor Substances 0.000 description 1
- 239000007787 solid Substances 0.000 description 1
Landscapes
- Mobile Radio Communication Systems (AREA)
Abstract
本申请实施例提供一种建立安全关联的方法、设备、装置及存储介质，该方法包括：第一CU‑UP接收第一CU‑CP发送的E1安全建立请求；根据E1安全建立请求，确定本次建立安全关联的主密钥，并生成第三随机数；根据本次建立安全关联的主密钥、第一随机数和第三随机数，生成本次建立安全关联的会话密钥；向第一CU‑CP发送E1安全建立响应，E1安全建立响应中包含第三随机数，第三随机数用于第一CU‑CP生成会话密钥，并生成数据通信机密性保护和完整性保护的密钥。从而可以为处于不同安全域的第一CU‑CP和第一CU‑UP建立安全通信的通道。
Description
技术领域
本申请涉及无线通信技术领域，尤其涉及一种建立安全关联的方法、设备、装置及存储介质。
背景技术
第五代移动通信(the 5th generation mobile communication，5G)基站支持基站中央单元(gNB-CU)和基站分布单元(gNB-DU)功能分离，以及基站中央单元控制平面(gNB-CU-CP)和基站中央单元用户平面(gNB-CU-UP)功能分离。一个5G基站可以有多个gNB-CU-UP，并且支持gNB-CU-UP的分布式部署。当gNB-CU-CP和gNB-CU-UP位于不同的安全域时，需要在gNB-CU-CP和gNB-CU-UP之间建立安全通道。
5G数据面安全计算的终结点位于gNB-CU-UP，对于卫星通信系统，若gNB-CU-UP位于卫星上，则卫星需要执行大量的安全计算，并需要考虑从卫星至陆地核心网之间的安全，这无疑会消耗大量宝贵的卫星计算资源。一种可能的解决方法是将一些gNB-CU-UP部署在陆地核心网内。此时，因为gNB-CU-CP和gNB-CU-UP位于不同的安全域中，因此需要在gNB-CU-CP和gNB-CU-UP之间建立安全通信的通道。
发明内容
针对现有技术存在的问题，本申请实施例提供一种建立安全关联的方法、设备、装置及存储介质。
第一方面，本申请实施例提供一种建立安全关联的方法，应用于第一中央单元用户平面CU-UP，包括：
接收第一中央单元控制平面CU-CP发送的E1安全建立请求，所述E1安全建立请求中包含所述第一CU-CP的标识和第一随机数；
根据所述E1安全建立请求，确定本次建立安全关联的主密钥，并生成第三随机数；
根据所述本次建立安全关联的主密钥、所述第一随机数和所述第三随机数，生成本次建立安全关联的会话密钥，所述会话密钥用于生成数据通信机密性保护和完整性保护的密钥；
向所述第一CU-CP发送E1安全建立响应，所述E1安全建立响应中包含所述第三随机数，所述第三随机数用于所述第一CU-CP生成所述会话密钥，并生成所述数据通信机密性保护和完整性保护的密钥；
其中，所述第一CU-CP为星载网络设备中的CU-CP，所述第一CU-UP为地面核心网中、分配给所述星载网络设备、用于实现网络设备CU-UP功能的CU-UP。
可选地，所述根据所述E1安全建立请求，确定本次建立安全关联的主密钥，包括：
在所述E1安全建立请求中包含主密钥标识，且所述主密钥标识对应的主密钥未失效的情况下，根据所述主密钥标识，获取本次建立安全关联的主密钥。
可选地，所述根据所述E1安全建立请求，确定本次建立安全关联的主密钥，包括：
在所述E1安全建立请求中不包含主密钥标识，或所述E1安全建立请求中包含的主密钥标识所对应的主密钥已失效的情况下，向E1安全管理功能发送E1安全主密钥请求，所述E1安全主密钥请求中包含所述第一CU-CP的标识、所述第一随机数和所述第一CU-UP的标识，用于所述E1安全管理功能根据所述第一CU-CP的标识检索所述第一CU-CP的根密钥，并根据所述根密钥、所述第一随机数和所述E1安全管理功能生成的第二随机数，生成本次建立安全关联的主密钥以及所述本次建立安全关联的主密钥的标识；
接收所述E1安全管理功能发送的E1安全主密钥响应，所述E1安全主密钥响应中包含所述本次建立安全关联的主密钥、所述本次建立安全关联的主密钥的标识和所述第二随机数。
可选地，所述根据所述本次建立安全关联的主密钥、所述第一随机数和所述第三随机数，生成本次建立安全关联的会话密钥，包括：
根据所述本次建立安全关联的主密钥、所述第一随机数和所述第三随机数，以及所述第一CU-CP的标识和所述第一CU-UP的标识中的至少一个，生成本次建立安全关联的会话密钥。
可选地，所述生成本次建立安全关联的会话密钥，包括：
生成本次建立安全关联的会话密钥，并确定所述会话密钥的失效时间。
可选地，所述E1安全建立响应中还包含所述会话密钥的失效时间。
可选地，所述E1安全建立响应中还包含所述第二随机数，所述第二随机数用于所述第一CU-CP生成所述本次建立安全关联的主密钥以及所述本次建立安全关联的主密钥的标识。
可选地，所述E1安全建立响应中还包含所述第一CU-UP的标识。
第二方面，本申请实施例还提供一种建立安全关联的方法，应用于第一中央单元控制平面CU-CP，包括：
向第一中央单元用户平面CU-UP发送E1安全建立请求，所述E1安全建立请求中包含所述第一CU-CP的标识和第一随机数，用于所述第一CU-UP根据所述E1安全建立请求，确定本次建立安全关联的主密钥，并根据所述本次建立安全关联的主密钥、所述第一随机数和所述第一CU-UP生成的第三随机数，生成本次建立安全关联的会话密钥，所述会话密钥用于生成数据通信机密性保护和完整性保护的密钥；
接收所述第一CU-UP发送的E1安全建立响应，所述E1安全建立响应中包含所述第三随机数；
根据本次建立安全关联的主密钥、所述第一随机数和所述第三随机数，生成所述会话密钥，并生成所述数据通信机密性保护和完整性保护的密钥；
其中，所述第一CU-CP为星载网络设备中的CU-CP，所述第一CU-UP为地面核心网中、分配给所述星载网络设备、用于实现网络设备CU-UP功能的CU-UP。
可选地，所述第一CU-UP根据所述E1安全建立请求，确定本次建立安全关联的主密钥，包括：
在所述E1安全建立请求中包含主密钥标识，且所述主密钥标识对应的主密钥未失效的情况下，所述第一CU-UP根据所述主密钥标识，获取本次建立安全关联的主密钥。
可选地，所述第一CU-UP根据所述E1安全建立请求，确定本次建立安全关联的主密钥，包括：
在所述E1安全建立请求中不包含主密钥标识，或所述E1安全建立请求中包含的主密钥标识所对应的主密钥已失效的情况下，所述第一CU-UP向E1安全管理功能发送E1安全主密钥请求，所述E1安全主密钥请求中包含所述第一CU-CP的标识、所述第一随机数和所述第一CU-UP的标识，用于所述E1安全管理功能根据所述第一CU-CP的标识检索所述第一CU-CP的根密钥，并根据所述根密钥、所述第一随机数和所述E1安全管理功能生成的第二随机数，生成本次建立安全关联的主密钥以及所述本次建立安全关联的主密钥的标识；
所述第一CU-UP接收所述E1安全管理功能发送的E1安全主密钥响应，所述E1安全主密钥响应中包含所述本次建立安全关联的主密钥、所述本次建立安全关联的主密钥的标识和所述第二随机数。
可选地，所述E1安全建立响应中还包含所述第二随机数，所述根据本次建立安全关联的主密钥、所述第一随机数和所述第三随机数，生成所述会话密钥之前，所述方法还包括：
根据所述第一CU-CP的根密钥、所述第一随机数和所述第二随机数，生成本次建立安全关联的主密钥以及所述本次建立安全关联的主密钥的标识。
可选地，所述根据所述第一CU-CP的根密钥、所述第一随机数和所述第二随机数，生成本次建立安全关联的主密钥以及所述本次建立安全关联的主密钥的标识，包括：
根据所述第一CU-CP的根密钥、所述第一随机数和所述第二随机数，以及所述第一CU-CP的标识和所述第一CU-UP的标识中的至少一个，生成本次建立安全关联的主密钥以及所述本次建立安全关联的主密钥的标识。
可选地，所述根据本次建立安全关联的主密钥、所述第一随机数和所述第三随机数，生成所述会话密钥，包括：
根据本次建立安全关联的主密钥、所述第一随机数和所述第三随机数，以及所述第一CU-CP的标识和所述第一CU-UP的标识中的至少一个，生成所述会话密钥。
可选地，所述E1安全建立响应中还包含所述会话密钥的失效时间。
可选地，所述E1安全建立响应中还包含所述第一CU-UP的标识。
第三方面，本申请实施例还提供一种建立安全关联的方法，应用于E1安全管理功能，包括：
接收第一中央单元用户平面CU-UP发送的E1安全主密钥请求，所述E1安全主密钥请求中包含第一中央单元控制平面CU-CP的标识、第一随机数和所述第一CU-UP的标识；
根据所述第一CU-CP的标识检索所述第一CU-CP的根密钥，并生成第二随机数，然后根据所述根密钥、所述第一随机数和所述第二随机数，生成本次建立安全关联的主密钥以及所述本次建立安全关联的主密钥的标识；
向所述第一CU-UP发送E1安全主密钥响应，所述E1安全主密钥响应中包含所述本次建立安全关联的主密钥、所述本次建立安全关联的主密钥的标识和所述第二随机数；
其中，所述第一CU-CP为星载网络设备中的CU-CP，所述第一CU-UP为地面核心网中、分配给所述星载网络设备、用于实现网络设备CU-UP功能的CU-UP。
可选地，所述根据所述根密钥、所述第一随机数和所述第二随机数，生成本次建立安全关联的主密钥以及所述本次建立安全关联的主密钥的标识，包括：
根据所述根密钥、所述第一随机数和所述第二随机数，以及所述第一CU-CP的标识和所述第一CU-UP的标识中的至少一个，生成本次建立安全关联的主密钥以及所述本次建立安全关联的主密钥的标识。
第四方面，本申请实施例还提供一种第一中央单元用户平面CU-UP，包括存储器，收发机，处理器；
存储器，用于存储计算机程序；收发机，用于在所述处理器的控制下收发数据；处理器，用于读取所述存储器中的计算机程序并执行以下操作：
接收第一中央单元控制平面CU-CP发送的E1安全建立请求，所述E1安全建立请求中包含所述第一CU-CP的标识和第一随机数；
根据所述E1安全建立请求，确定本次建立安全关联的主密钥，并生成第三随机数；
根据所述本次建立安全关联的主密钥、所述第一随机数和所述第三随机数，生成本次建立安全关联的会话密钥，所述会话密钥用于生成数据通信机密性保护和完整性保护的密钥；
向所述第一CU-CP发送E1安全建立响应，所述E1安全建立响应中包含所述第三随机数，所述第三随机数用于所述第一CU-CP生成所述会话密钥，并生成所述数据通信机密性保护和完整性保护的密钥；
其中，所述第一CU-CP为星载网络设备中的CU-CP，所述第一CU-UP为地面核心网中、分配给所述星载网络设备、用于实现网络设备CU-UP功能的CU-UP。
可选地，所述根据所述E1安全建立请求，确定本次建立安全关联的主密钥，包括：
在所述E1安全建立请求中包含主密钥标识，且所述主密钥标识对应的主密钥未失效的情况下，根据所述主密钥标识，获取本次建立安全关联的主密钥。
可选地，所述根据所述E1安全建立请求，确定本次建立安全关联的主密钥，包括：
在所述E1安全建立请求中不包含主密钥标识，或所述E1安全建立请求中包含的主密钥标识所对应的主密钥已失效的情况下，向E1安全管理功能发送E1安全主密钥请求，所述E1安全主密钥请求中包含所述第一CU-CP的标识、所述第一随机数和所述第一CU-UP的标识，用于所述E1安全管理功能根据所述第一CU-CP的标识检索所述第一CU-CP的根密钥，并根据所述根密钥、所述第一随机数和所述E1安全管理功能生成的第二随机数，生成本次建立安全关联的主密钥以及所述本次建立安全关联的主密钥的标识；
接收所述E1安全管理功能发送的E1安全主密钥响应，所述E1安全主密钥响应中包含所述本次建立安全关联的主密钥、所述本次建立安全关联的主密钥的标识和所述第二随机数。
可选地，所述根据所述本次建立安全关联的主密钥、所述第一随机数和所述第三随机数，生成本次建立安全关联的会话密钥，包括：
根据所述本次建立安全关联的主密钥、所述第一随机数和所述第三随机数，以及所述第一CU-CP的标识和所述第一CU-UP的标识中的至少一个，生成本次建立安全关联的会话密钥。
可选地，所述生成本次建立安全关联的会话密钥，包括：
生成本次建立安全关联的会话密钥，并确定所述会话密钥的失效时间。
可选地，所述E1安全建立响应中还包含所述会话密钥的失效时间。
可选地，所述E1安全建立响应中还包含所述第二随机数，所述第二随机数用于所述第一CU-CP生成所述本次建立安全关联的主密钥以及所述本次建立安全关联的主密钥的标识。
可选地，所述E1安全建立响应中还包含所述第一CU-UP的标识。
第五方面，本申请实施例还提供一种第一中央单元控制平面CU-CP，包括存储器，收发机，处理器；
存储器，用于存储计算机程序；收发机，用于在所述处理器的控制下收发数据；处理器，用于读取所述存储器中的计算机程序并执行以下操作：
向第一中央单元用户平面CU-UP发送E1安全建立请求，所述E1安全建立请求中包含所述第一CU-CP的标识和第一随机数，用于所述第一CU-UP根据所述E1安全建立请求，确定本次建立安全关联的主密钥，并根据所述本次建立安全关联的主密钥、所述第一随机数和所述第一CU-UP生成的第三随机数，生成本次建立安全关联的会话密钥，所述会话密钥用于生成数据通信机密性保护和完整性保护的密钥；
接收所述第一CU-UP发送的E1安全建立响应，所述E1安全建立响应中包含所述第三随机数；
根据本次建立安全关联的主密钥、所述第一随机数和所述第三随机数，生成所述会话密钥，并生成所述数据通信机密性保护和完整性保护的密钥；
其中，所述第一CU-CP为星载网络设备中的CU-CP，所述第一CU-UP为地面核心网中、分配给所述星载网络设备、用于实现网络设备CU-UP功能的CU-UP。
可选地，所述第一CU-UP根据所述E1安全建立请求，确定本次建立安全关联的主密钥，包括：
在所述E1安全建立请求中包含主密钥标识，且所述主密钥标识对应的主密钥未失效的情况下，所述第一CU-UP根据所述主密钥标识，获取本次建立安全关联的主密钥。
可选地，所述第一CU-UP根据所述E1安全建立请求，确定本次建立安全关联的主密钥，包括：
在所述E1安全建立请求中不包含主密钥标识，或所述E1安全建立请求中包含的主密钥标识所对应的主密钥已失效的情况下，所述第一CU-UP向E1安全管理功能发送E1安全主密钥请求，所述E1安全主密钥请求中包含所述第一CU-CP的标识、所述第一随机数和所述第一CU-UP的标识，用于所述E1安全管理功能根据所述第一CU-CP的标识检索所述第一CU-CP的根密钥，并根据所述根密钥、所述第一随机数和所述E1安全管理功能生成的第二随机数，生成本次建立安全关联的主密钥以及所述本次建立安全关联的主密钥的标识；
所述第一CU-UP接收所述E1安全管理功能发送的E1安全主密钥响应，所述E1安全主密钥响应中包含所述本次建立安全关联的主密钥、所述本次建立安全关联的主密钥的标识和所述第二随机数。
可选地，所述E1安全建立响应中还包含所述第二随机数，所述根据本次建立安全关联的主密钥、所述第一随机数和所述第三随机数，生成所述会话密钥之前，所述操作还包括：
根据所述第一CU-CP的根密钥、所述第一随机数和所述第二随机数，生成本次建立安全关联的主密钥以及所述本次建立安全关联的主密钥的标识。
可选地，所述根据所述第一CU-CP的根密钥、所述第一随机数和所述第二随机数，生成本次建立安全关联的主密钥以及所述本次建立安全关联的主密钥的标识，包括：
根据所述第一CU-CP的根密钥、所述第一随机数和所述第二随机数，以及所述第一CU-CP的标识和所述第一CU-UP的标识中的至少一个，生成本次建立安全关联的主密钥以及所述本次建立安全关联的主密钥的标识。
可选地，所述根据本次建立安全关联的主密钥、所述第一随机数和所述第三随机数，生成所述会话密钥，包括：
根据本次建立安全关联的主密钥、所述第一随机数和所述第三随机数，以及所述第一CU-CP的标识和所述第一CU-UP的标识中的至少一个，生成所述会话密钥。
可选地，所述E1安全建立响应中还包含所述会话密钥的失效时间。
可选地，所述E1安全建立响应中还包含所述第一CU-UP的标识。
第六方面，本申请实施例还提供一种E1安全管理功能，包括存储器，收发机，处理器；
存储器，用于存储计算机程序；收发机，用于在所述处理器的控制下收发数据；处理器，用于读取所述存储器中的计算机程序并执行以下操作：
接收第一中央单元用户平面CU-UP发送的E1安全主密钥请求，所述E1安全主密钥请求中包含第一中央单元控制平面CU-CP的标识、第一随机数和所述第一CU-UP的标识；
根据所述第一CU-CP的标识检索所述第一CU-CP的根密钥，并生成第二随机数，然后根据所述根密钥、所述第一随机数和所述第二随机数，生成本次建立安全关联的主密钥以及所述本次建立安全关联的主密钥的标识；
向所述第一CU-UP发送E1安全主密钥响应，所述E1安全主密钥响应中包含所述本次建立安全关联的主密钥、所述本次建立安全关联的主密钥的标识和所述第二随机数；
其中，所述第一CU-CP为星载网络设备中的CU-CP，所述第一CU-UP为地面核心网中、分配给所述星载网络设备、用于实现网络设备CU-UP功能的CU-UP。
可选地，所述根据所述根密钥、所述第一随机数和所述第二随机数，生成本次建立安全关联的主密钥以及所述本次建立安全关联的主密钥的标识，包括：
根据所述根密钥、所述第一随机数和所述第二随机数，以及所述第一CU-CP的标识和所述第一CU-UP的标识中的至少一个，生成本次建立安全关联的主密钥以及所述本次建立安全关联的主密钥的标识。
第七方面，本申请实施例还提供一种建立安全关联的装置，应用于第一中央单元用户平面CU-UP，包括：
第一接收单元，用于接收第一中央单元控制平面CU-CP发送的E1安全建立请求，所述E1安全建立请求中包含所述第一CU-CP的标识和第一随机数；
主密钥确定单元，用于根据所述E1安全建立请求，确定本次建立安全关联的主密钥，并生成第三随机数；
第一密钥生成单元，用于根据所述本次建立安全关联的主密钥、所述第一随机数和所述第三随机数，生成本次建立安全关联的会话密钥，所述会话密钥用于生成数据通信机密性保护和完整性保护的密钥；
第一发送单元，用于向所述第一CU-CP发送E1安全建立响应，所述E1安全建立响应中包含所述第三随机数，所述第三随机数用于所述第一CU-CP生成所述会话密钥，并生成所述数据通信机密性保护和完整性保护的密钥；
其中，所述第一CU-CP为星载网络设备中的CU-CP，所述第一CU-UP为地面核心网中、分配给所述星载网络设备、用于实现网络设备CU-UP功能的CU-UP。
第八方面，本申请实施例还提供一种建立安全关联的装置，应用于第一中央单元控制平面CU-CP，包括：
第二发送单元，用于向第一中央单元用户平面CU-UP发送E1安全建立请求，所述E1安全建立请求中包含所述第一CU-CP的标识和第一随机数，用于所述第一CU-UP根据所述E1安全建立请求，确定本次建立安全关联的主密钥，并根据所述本次建立安全关联的主密钥、所述第一随机数和所述第一CU-UP生成的第三随机数，生成本次建立安全关联的会话密钥，所述会话密钥用于生成数据通信机密性保护和完整性保护的密钥；
第二接收单元，用于接收所述第一CU-UP发送的E1安全建立响应，所述E1安全建立响应中包含所述第三随机数；
第二密钥生成单元，用于根据本次建立安全关联的主密钥、所述第一随机数和所述第三随机数，生成所述会话密钥，并生成所述数据通信机密性保护和完整性保护的密钥；
其中，所述第一CU-CP为星载网络设备中的CU-CP，所述第一CU-UP为地面核心网中、分配给所述星载网络设备、用于实现网络设备CU-UP功能的CU-UP。
第九方面，本申请实施例还提供一种建立安全关联的装置，应用于E1安全管理功能，包括：
第三接收单元，用于接收第一中央单元用户平面CU-UP发送的E1安全主密钥请求，所述E1安全主密钥请求中包含第一中央单元控制平面CU-CP的标识、第一随机数和所述第一CU-UP的标识；
第四密钥生成单元，用于根据所述第一CU-CP的标识检索所述第一CU-CP的根密钥，并生成第二随机数，然后根据所述根密钥、所述第一随机数和所述第二随机数，生成本次建立安全关联的主密钥以及所述本次建立安全关联的主密钥的标识；
第三发送单元，用于向所述第一CU-UP发送E1安全主密钥响应，所述E1安全主密钥响应中包含所述本次建立安全关联的主密钥、所述本次建立安全关联的主密钥的标识和所述第二随机数；
其中，所述第一CU-CP为星载网络设备中的CU-CP，所述第一CU-UP为地面核心网中、分配给所述星载网络设备、用于实现网络设备CU-UP功能的CU-UP。
第十方面，本申请实施例还提供一种计算机可读存储介质，所述计算机可读存储介质存储有计算机程序，所述计算机程序用于使计算机执行如上所述第一方面所述的建立安全关联的方法，或执行如上所述第二方面所述的建立安全关联的方法，或执行如上所述第三方面所述的建立安全关联的方法。
第十一方面，本申请实施例还提供一种通信设备，所述通信设备中存储有计算机程序，所述计算机程序用于使通信设备执行如上所述第一方面所述的建立安全关联的方法，或执行如上所述第二方面所述的建立安全关联的方法，或执行如上所述第三方面所述的建立安全关联的方法。
第十二方面，本申请实施例还提供一种处理器可读存储介质，所述处理器可读存储介质存储有计算机程序，所述计算机程序用于使处理器执行如上所述第一方面所述的建立安全关联的方法，或执行如上所述第二方面所述的建立安全关联的方法，或执行如上所述第三方面所述的建立安全关联的方法。
第十三方面，本申请实施例还提供一种芯片产品，所述芯片产品中存储有计算机程序，所述计算机程序用于使芯片产品执行如上所述第一方面所述的建立安全关联的方法，或执行如上所述第二方面所述的建立安全关联的方法，或执行如上所述第三方面所述的建立安全关联的方法。
本申请实施例提供的建立安全关联的方法、设备、装置及存储介质，通过E1安全建立请求和E1安全建立响应，使第一CU-UP和第一CU-CP确定相同的Kmaster，并生成相同的Ksession和数据通信机密性保护和完整性保护的密钥，从而可以为处于不同安全域的第一CU-CP和第一CU-UP建立安全通信的通道。
附图说明
为了更清楚地说明本申请实施例或相关技术中的技术方案，下面将对实施例或相关技术描述中所需要使用的附图作一简单地介绍，显而易见地，下面描述中的附图是本申请的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。
图1为相关技术提供的接入网分离架构图；
图2为本申请实施例提供的建立安全关联的方法流程示意图之一；
图3为本申请实施例提供的在卫星通信系统中实现第一CU-CP和第一CU-UP之间建立安全关联的功能架构示意图；
图4为本申请实施例提供的建立安全关联的方法流程示意图之二；
图5为本申请实施例提供的建立安全关联的方法流程示意图之三；
图6为本申请实施例提供的第一CU-CP与第一CU-UP建立安全关联的流程示意图；
图7为本申请实施例提供的第一中央单元用户平面CU-UP的结构示意图；
图8为本申请实施例提供的第一中央单元控制平面CU-CP的结构示意图；
图9为本申请实施例提供的E1安全管理功能的结构示意图；
图10为本申请实施例提供的建立安全关联的装置的结构示意图之一；
图11为本申请实施例提供的建立安全关联的装置的结构示意图之二；
图12为本申请实施例提供的建立安全关联的装置的结构示意图之三。
具体实施方式
本申请实施例中术语“和/或”，描述关联对象的关联关系，表示可以存在三种关系，例如，A和/或B，可以表示：单独存在A，同时存在A和B，单独存在B这三种情况。字符“/”一般表示前后关联对象是一种“或”的关系。
本申请实施例中术语“多个”是指两个或两个以上，其它量词与之类似。
下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本申请一部分实施例，并不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。
为了便于更加清晰地理解本申请各实施例的技术方案，首先对本申请各实施例相关的一些技术内容进行介绍。
在第三代合作伙伴计划技术规范(3rd Generation Partnership ProjectTechnical Specification，3GPP TS)38.401中，标准化了gNB的分离架构，图1为相关技术提供的接入网分离架构图，如图1所示，其中，gNB-DU负责物理层(Physical，PHY)、媒体接入控制子层(Media Access Control，MAC)和无线链路控制子层((Radio Link Control，RLC)的处理；gNB-CU-CP负责无线资源控制层(Radio Resource Control，RRC)的处理以及网络接口(如：Xn、NG、E1、F1)的管理；gNB-CU-UP负责分组数据汇聚子层(Packet DataConvergence Protocol，PDCP)和服务数据适配子层(Service Data AdaptationProtocol，SDAP)的处理；gNB-DU和gNB-CU-CP间通过F1接口控制面(F1-C)相连；gNB-DU和gNB-CU-UP间通过F1接口用户面(F1-U)相连，且一个gNB-DU可同时连接多个gNB-CU-UP；gNB-CU-CP和gNB-CU-UP间通过E1接口相连，且一个gNB-CU-CP可同时连接多个gNB-CU-UP。
5G数据面安全计算的终结点位于gNB-CU-UP，对于卫星通信系统，若gNB-CU-UP位于卫星上，则卫星需要执行大量的安全计算，并需要考虑从卫星至陆地核心网之间的安全，这无疑会消耗大量宝贵的卫星计算资源。一种可能的解决方法是将一些gNB-CU-UP部署在陆地核心网内。此时，因为gNB-CU-CP和gNB-CU-UP位于不同的安全域中，因此需要在gNB-CU-CP和gNB-CU-UP之间建立安全通信的通道。
针对将一些gNB-CU-UP部署在地面核心网内，处于卫星的gNB-CU-CP和处于地面核心网的gNB-CU-UP位于不同的安全域中的场景，本申请实施例提供一种建立安全关联的方法。
图2为本申请实施例提供的建立安全关联的方法流程示意图之一，该方法应用于第一中央单元用户平面CU-UP，如图2所示，该方法包括如下步骤：
步骤200、接收第一中央单元控制平面CU-CP发送的E1安全建立请求，E1安全建立请求中包含第一CU-CP的标识和第一随机数。
步骤201、根据E1安全建立请求，确定本次建立安全关联的主密钥，并生成第三随机数。
步骤202、根据本次建立安全关联的主密钥、第一随机数和第三随机数，生成本次建立安全关联的会话密钥，会话密钥用于生成数据通信机密性保护和完整性保护的密钥。
步骤203、向第一CU-CP发送E1安全建立响应，E1安全建立响应中包含第三随机数，第三随机数用于第一CU-CP生成会话密钥，并生成数据通信机密性保护和完整性保护的密钥。
其中，第一CU-CP为星载网络设备中的CU-CP，第一CU-UP为地面核心网中、分配给星载网络设备、用于实现网络设备CU-UP功能的CU-UP。
具体地，图3为本申请实施例提供的在卫星通信系统中实现第一CU-CP和第一CU-UP之间建立安全关联的功能架构示意图，如图3所示，在卫星通信系统中，星载网络设备(例如卫星基站)可以与多个中央单元用户平面(CU-UP)连接，其中一些CU-UP部署于卫星中，可以称之为位于卫星上的中央单元用户平面(S-CU-UP)，相当于5G技术当前定义的CU-UP类型；其他一些CU-UP部署于地面核心网内，可以称之为位于地面核心网内的中央单元用户平面(D-CU-UP)，为本申请实施例新定义的CU-UP类型，但其可以实现现有技术中CU-UP可以实现的所有功能。
多个D-CU-UP配置在地面核心网中，其由D-CU-UP管理功能所管理，D-CU-UP管理功能为新增加的位于核心网中的网元。D-CU-UP可以由地面核心网基于数据承载的实际需要，通过D-CU-UP管理功能动态分配给星载网络设备(例如星载基站)。E1安全管理功能为本申请实施例在核心网中新增加的网元，集中存储了用于D-CU-UP与星载网络设备中的CU-CP建立安全关联的密钥。
其中，第一CU-UP指的是地面核心网分配给星载网络设备、用于实现CU-UP功能的任意一个D-CU-UP。相应地，该星载网络设备中的CU-CP即为第一CU-CP，也可称之为S-CU-CP。
当第一CU-CP需要与位于地面核心网中被分配的第一CU-UP之间建立安全通信的通道时，第一CU-CP可以向第一CU-UP发送E1安全建立请求，E1安全建立请求中包含第一CU-CP的标识和第一随机数。其中，第一CU-CP的标识可以唯一确定本次发送E1安全建立请求的第一CU-CP，第一随机数是第一CU-CP为本次建立安全关联生成的一个随机数。
第一CU-UP在接收到E1安全建立请求后，可以根据E1安全建立请求，确定本次建立安全关联的主密钥(Kmaster)，Kmaster的确定过程将在后文介绍，此处不做赘述。
此外，第一CU-UP还可以生成用于本次建立安全关联的第三随机数。
第一CU-UP在确定Kmaster并生成第三随机数后，便可以根据Kmaster、第三随机数和E1安全建立请求中包含的第一随机数，生成本次建立安全关联的会话密钥(Ksession)，并根据Ksession生成数据通信机密性保护和完整性保护的密钥。
需要说明的是，具体的密钥生成算法已有很多资料进行了介绍，可参考相关文档，本申请对Kmaster、Ksession、数据通信机密性保护和完整性保护的密钥等的具体生成算法不做限制，并且Kmaster、Ksession、数据通信机密性保护和完整性保护的密钥等各自的生成算法可以相同，也可以不同。比如，密钥生成算法可以是类似应用场景下常用的密钥生成算法(所不同的只是用于生成密钥的输入参数)，例如高级加密标准(Advanced EncryptionStandard，AES)对称加密算法、数据加密标准(Data Encryption Standard，DES)对称加密算法等，或者，可以通过对输入参数进行逻辑运算(例如异或、点乘运算等)、取输入参数中的某些位、哈希(hash)算法等方法生成密钥。
第一CU-UP在生成Ksession之后，可以向第一CU-CP发送E1安全建立响应，E1安全建立响应中包含第三随机数。
第一CU-CP在接收到E1安全建立响应后，便可以根据E1安全建立响应确定本次建立安全关联的Kmaster。在确定Kmaster后，第一CU-CP采用与第一CU-UP生成Ksession以及数据通信机密性保护和完整性保护的密钥相同的方法，根据Kmaster、第一随机数和第三随机数生成Ksession，并根据Ksession生成数据通信机密性保护和完整性保护的密钥。
可选地，第一CU-CP在生成数据通信机密性保护和完整性保护的密钥后，可以向第一CU-UP发送E1安全建立完成消息。
本申请实施例提供的建立安全关联的方法，通过E1安全建立请求和E1安全建立响应，使第一CU-UP和第一CU-CP确定相同的Kmaster，并生成相同的Ksession和数据通信机密性保护和完整性保护的密钥，从而可以为处于不同安全域的第一CU-CP和第一CU-UP建立安全通信的通道。
可选地，根据E1安全建立请求，确定本次建立安全关联的主密钥，包括：
在E1安全建立请求中包含主密钥标识，且主密钥标识对应的主密钥未失效的情况下，根据主密钥标识，获取本次建立安全关联的主密钥。
具体地，当第一CU-CP与位于地面核心网中被分配的第一CU-UP之间建立安全通信的通道时，第一CU-CP向第一CU-UP发送的E1安全建立请求中除了包含第一CU-CP的标识和第一随机数，还可以包含Kmaster标识。第一CU-CP和第一CU-UP中都会存储之前确定的Kmaster和Kmaster对应的标识，通过判断E1安全建立请求中是否包含有效的Kmaster标识，第一CU-UP可以确定是否需要生成新的Kmaster。
第一CU-UP在接收到E1安全建立请求后，如果确定E1安全建立请求中包含Kmaster标识，且Kmaster标识对应的Kmaster未失效，则第一CU-UP获取Kmaster标识对应的Kmaster，并将Kmaster标识对应的Kmaster作为生成Ksession的主密钥。
可选地，根据E1安全建立请求，确定本次建立安全关联的主密钥，包括：
在E1安全建立请求中不包含主密钥标识，或E1安全建立请求中包含的主密钥标识所对应的主密钥已失效的情况下，向E1安全管理功能发送E1安全主密钥请求，E1安全主密钥请求中包含第一CU-CP的标识、第一随机数和第一CU-UP的标识，用于E1安全管理功能根据第一CU-CP的标识检索第一CU-CP的根密钥，并根据根密钥、第一随机数和E1安全管理功能生成的第二随机数，生成本次建立安全关联的主密钥以及本次建立安全关联的主密钥的标识；
接收E1安全管理功能发送的E1安全主密钥响应，E1安全主密钥响应中包含本次建立安全关联的主密钥、本次建立安全关联的主密钥的标识和第二随机数。
具体地，第一CU-UP在接收到E1安全建立请求后，如果确定E1安全建立请求中不包含Kmaster标识，或E1安全建立请求中包含的Kmaster标识所对应的Kmaster已失效，则向E1安全管理功能发送E1安全主密钥请求，通过E1安全管理功能生成新的Kmaster。E1安全主密钥请求中包含第一CU-CP的标识、第一随机数和第一CU-UP的标识。其中，第一CU-UP标识可以唯一确定本次发送E1安全建立请求的第一CU-UP。
每个星载网络设备中都有一个用于CU-CP与CU-UP认证的根密钥(Kroot)，该根密钥分别存储于星载网络设备和核心网的E1安全管理功能中。E1安全管理功能在接收到E1安全主密钥请求后，可以根据第一CU-CP的标识检索第一CU-CP对应的Kroot，并生成用于本次建立安全关联的第二随机数。然后根据检索得到的Kroot、生成的第二随机数和E1安全主密钥请求中包含的第一随机数，生成本次建立安全关联的Kmaster以及该Kmaster的标识。
在生成Kmaster和该Kmaster的标识后，E1安全管理功能向第一CU-UP发送E1安全主密钥响应，E1安全主密钥响应中包含本次建立安全关联的Kmaster、本次建立安全关联的Kmaster的标识和第二随机数。
第一CU-UP在接收到E1安全主密钥响应后，可以存储E1安全主密钥响应中包含的Kmaster以及Kmaster的标识。
可选地，E1安全建立响应中还包含第二随机数，第二随机数用于第一CU-CP生成本次建立安全关联的主密钥以及本次建立安全关联的主密钥的标识。
具体地，在第一CU-UP通过E1安全管理功能生成新的Kmaster后，为了让第一CU-CP对应生成新的Kmaster，第一CU-UP可以在E1安全建立响应中包含第二随机数，指示第一CU-CP生成新的Kmaster。
第一CU-CP在接收到包含第二随机数的E1安全建立响应后，采用与E1安全管理功能生成Kmaster和Kmaster对应的标识相同的方法，根据所处星载网络设备的根密钥Kroot、第一随机数和第二随机数生成新的Kmaster和该新的Kmaster对应的标识。
可选地，根据本次建立安全关联的主密钥、第一随机数和第三随机数，生成本次建立安全关联的会话密钥，包括：
根据本次建立安全关联的主密钥、第一随机数和第三随机数，以及第一CU-CP的标识和第一CU-UP的标识中的至少一个，生成本次建立安全关联的会话密钥。
具体地，第一CU-UP在确定Kmaster并生成第三随机数后，可以通过Kmaster、第一随机数、第三随机数和第一CU-CP的标识这四个参数生成本次建立安全关联的Ksession，或者可以通过Kmaster、第一随机数、第三随机数和第一CU-UP的标识这四个参数生成本次建立安全关联的Ksession，或者可以通过Kmaster、第一随机数、第三随机数、第一CU-CP的标识和第一CU-UP的标识这五个参数生成本次建立安全关联的Ksession。
可选地，生成本次建立安全关联的会话密钥，包括：
生成本次建立安全关联的会话密钥，并确定会话密钥的失效时间。
具体地，第一CU-UP在生成本次建立安全关联的Ksession后，可以根据安全策略确定Ksession的失效时间。在超过失效时间以后，第一CU-CP和第一CU-UP需要重新协商Ksession。
可选地，E1安全建立响应中还包含会话密钥的失效时间。
具体地，第一CU-UP根据安全策略确定Ksession的失效时间后，可以将Ksession的失效时间包含在E1安全建立响应中发送给第一CU-CP。
第一CU-CP在接收到包含Kession的失效时间的E1安全建立响应后，可以存储Kession的失效时间。
可选地，E1安全建立响应中还包含第一CU-UP的标识。
具体地，如果第一CU-UP和/或E1安全管理功能在生成密钥时，使用了第一CU-UP的标识作为生成参数，那么，第一CU-UP可以在向第一CU-CP发送的E1安全建立响应中包含第一CU-UP的标识，以使第一CU-CP能够通过相同的参数生成本次建立安全关联的密钥。
图4为本申请实施例提供的建立安全关联的方法流程示意图之二，该方法应用于第一中央单元控制平面CU-CP，如图4所示，该方法包括如下步骤：
步骤400、向第一中央单元用户平面CU-UP发送E1安全建立请求，E1安全建立请求中包含第一CU-CP的标识和第一随机数，用于第一CU-UP根据E1安全建立请求，确定本次建立安全关联的主密钥，并根据本次建立安全关联的主密钥、第一随机数和第一CU-UP生成的第三随机数，生成本次建立安全关联的会话密钥，会话密钥用于生成数据通信机密性保护和完整性保护的密钥。
步骤401、接收第一CU-UP发送的E1安全建立响应，E1安全建立响应中包含第三随机数。
步骤402、根据本次建立安全关联的主密钥、第一随机数和第三随机数，生成会话密钥，并生成数据通信机密性保护和完整性保护的密钥。
其中，第一CU-CP为星载网络设备中的CU-CP，第一CU-UP为地面核心网中、分配给星载网络设备、用于实现网络设备CU-UP功能的CU-UP。
具体地，针对将一些gNB-CU-UP部署在地面核心网内，处于卫星的gNB-CU-CP和处于地面核心网的gNB-CU-UP位于不同的安全域中的场景，本申请实施例提供一种建立安全关联的方法。
当第一CU-CP需要与位于地面核心网中被分配的第一CU-UP之间建立安全通信的通道时，第一CU-CP可以向第一CU-UP发送E1安全建立请求，E1安全建立请求中包含第一CU-CP的标识和第一随机数。其中，第一CU-CP的标识可以唯一确定本次发送E1安全建立请求的第一CU-CP，第一随机数是第一CU-CP为本次建立安全关联生成的一个随机数。
第一CU-UP在接收到E1安全建立请求后，可以根据E1安全建立请求，确定本次建立安全关联的主密钥(Kmaster)，Kmaster的确定过程将在后文介绍，此处不做赘述。
此外，第一CU-UP还可以生成用于本次建立安全关联的第三随机数。
第一CU-UP在确定Kmaster并生成第三随机数后，便可以根据Kmaster、第三随机数和E1安全建立请求中包含的第一随机数，生成本次建立安全关联的会话密钥(Ksession)，并根据Ksession生成数据通信机密性保护和完整性保护的密钥。
需要说明的是，具体的密钥生成算法已有很多资料进行了介绍，可参考相关文档，本申请对Kmaster、Ksession、数据通信机密性保护和完整性保护的密钥等的具体生成算法不做限制，并且Kmaster、Ksession、数据通信机密性保护和完整性保护的密钥等各自的生成算法可以相同，也可以不同。比如，密钥生成算法可以是类似应用场景下常用的密钥生成算法(所不同的只是用于生成密钥的输入参数)，例如高级加密标准(Advanced EncryptionStandard，AES)对称加密算法、数据加密标准(Data Encryption Standard，DES)对称加密加密算法等，或者，还可以通过对输入参数进行逻辑运算(例如异或、点乘运算等)、取输入参数中的某些位、哈希(hash)算法等方法生成密钥。
第一CU-UP在生成Ksession之后，可以向第一CU-CP发送E1安全建立响应，E1安全建立响应中包含第三随机数。
第一CU-CP在接收到E1安全建立响应后，便可以根据E1安全建立响应确定本次建立安全关联的Kmaster。在确定Kmaster后，第一CU-CP采用与第一CU-UP生成Ksession以及数据通信机密性保护和完整性保护的密钥相同的方法，根据Kmaster、第一随机数和第三随机数生成Ksession，并根据Ksession生成数据通信机密性保护和完整性保护的密钥。
可选地，第一CU-CP在生成数据通信机密性保护和完整性保护的密钥后，可以向第一CU-UP发送E1安全建立完成消息。
本申请实施例提供的建立安全关联的方法，通过E1安全建立请求和E1安全建立响应，使第一CU-UP和第一CU-CP确定相同的Kmaster，并生成相同的Ksession和数据通信机密性保护和完整性保护的密钥，从而可以为处于不同安全域的第一CU-CP和第一CU-UP建立安全通信的通道。
可选地，第一CU-UP根据E1安全建立请求，确定本次建立安全关联的主密钥，包括：
在E1安全建立请求中包含主密钥标识，且主密钥标识对应的主密钥未失效的情况下，第一CU-UP根据主密钥标识，获取本次建立安全关联的主密钥。
具体地，当第一CU-CP与位于地面核心网中被分配的第一CU-UP之间建立安全通信的通道时，第一CU-CP向第一CU-UP发送的E1安全建立请求中除了包含第一CU-CP的标识和第一随机数，还可以包含Kmaster标识。第一CU-CP和第一CU-UP中都会存储之前确定的Kmaster和Kmaster对应的标识，通过判断E1安全建立请求中是否包含有效的Kmaster标识，第一CU-UP可以确定是否需要生成新的Kmaster。
第一CU-UP在接收到E1安全建立请求后，如果确定E1安全建立请求中包含Kmaster标识，且Kmaster标识对应的Kmaster未失效，则第一CU-UP获取Kmaster标识对应的Kmaster，并将Kmaster标识对应的Kmaster作为生成Ksession的主密钥。
可选地，第一CU-UP根据E1安全建立请求，确定本次建立安全关联的主密钥，包括：
在E1安全建立请求中不包含主密钥标识，或E1安全建立请求中包含的主密钥标识所对应的主密钥已失效的情况下，第一CU-UP向E1安全管理功能发送E1安全主密钥请求，E1安全主密钥请求中包含第一CU-CP的标识、第一随机数和第一CU-UP的标识，用于E1安全管理功能根据第一CU-CP的标识检索第一CU-CP的根密钥，并根据根密钥、第一随机数和E1安全管理功能生成的第二随机数，生成本次建立安全关联的主密钥以及本次建立安全关联的主密钥的标识；
第一CU-UP接收E1安全管理功能发送的E1安全主密钥响应，E1安全主密钥响应中包含本次建立安全关联的主密钥、本次建立安全关联的主密钥的标识和第二随机数。
具体地，第一CU-UP在接收到E1安全建立请求后，如果确定E1安全建立请求中不包含Kmaster标识，或E1安全建立请求中包含的Kmaster标识所对应的Kmaster已失效，则向E1安全管理功能发送E1安全主密钥请求，通过E1安全管理功能生成新的Kmaster。E1安全主密钥请求中包含第一CU-CP的标识、第一随机数和第一CU-UP的标识。其中，第一CU-UP标识可以唯一确定本次发送E1安全建立请求的第一CU-UP。
每个星载网络设备中都有一个用于CU-CP与CU-UP认证的根密钥(Kroot)，该根密钥分别存储于星载网络设备和核心网的E1安全管理功能中。E1安全管理功能在接收到E1安全主密钥请求后，可以根据第一CU-CP的标识检索第一CU-CP对应的Kroot，并生成用于本次建立安全关联的第二随机数。然后根据检索得到的Kroot、生成的第二随机数和E1安全主密钥请求中包含的第一随机数，生成本次建立安全关联的Kmaster以及该Kmaster的标识。
在生成Kmaster和该Kmaster的标识后，E1安全管理功能向第一CU-UP发送E1安全主密钥响应，E1安全主密钥响应中包含本次建立安全关联的Kmaster、本次建立安全关联的Kmaster的标识和第二随机数。
第一CU-UP在接收到E1安全主密钥响应后，可以存储E1安全主密钥响应中包含的Kmaster以及Kmaster的标识。
可选地，E1安全建立响应中还包含第二随机数，根据本次建立安全关联的主密钥、第一随机数和第三随机数，生成会话密钥之前，方法还包括：
根据第一CU-CP的根密钥、第一随机数和第二随机数，生成本次建立安全关联的主密钥以及本次建立安全关联的主密钥的标识。
具体地，在第一CU-UP通过E1安全管理功能生成新的Kmaster后，为了让第一CU-CP对应生成新的Kmaster，第一CU-UP可以在E1安全建立响应中包含第二随机数，指示第一CU-CP生成新的Kmaster。
第一CU-CP在接收到包含第二随机数的E1安全建立响应后，采用与E1安全管理功能生成Kmaster和Kmaster对应的标识相同的方法，根据所处星载网络设备的根密钥Kroot、第一随机数和第二随机数生成新的Kmaster和该新的Kmaster对应的标识。
可选地，根据第一CU-CP的根密钥、第一随机数和第二随机数，生成本次建立安全关联的主密钥以及本次建立安全关联的主密钥的标识，包括：
根据第一CU-CP的根密钥、第一随机数和第二随机数，以及第一CU-CP的标识和第一CU-UP的标识中的至少一个，生成本次建立安全关联的主密钥以及本次建立安全关联的主密钥的标识。
具体地，第一CU-CP在接收到包含第二随机数的E1安全建立响应后，可以根据第一CU-CP的根密钥Kroot、第一随机数、第二随机数和第一CU-CP的标识这四个参数生成本次建立安全关联的Kmaster以及本次建立安全关联的Kmaster的标识，或者可以根据第一CU-CP的根密钥Kroot、第一随机数第二随机数和第一CU-UP的标识这四个参数生成本次建立安全关联的Kmaster以及本次建立安全关联的Kmaster的标识，或者可以根据第一CU-CP的根密钥Kroot、第一随机数和第二随机数、第一CU-CP的标识和第一CU-UP的标识这五个参数生成本次建立安全关联的Kmaster以及本次建立安全关联的Kmaster的标识。
需要说明的是，第一CU-CP生成Kmaster和Kmaster的标识所使用的参数与E1安全管理功能生成Kmaster和Kmaster的标识所使用的参数相同。
可选地，根据本次建立安全关联的主密钥、第一随机数和第三随机数，生成会话密钥，包括：
根据本次建立安全关联的主密钥、第一随机数和第三随机数，以及第一CU-CP的标识和第一CU-UP的标识中的至少一个，生成会话密钥。
具体地，第一CU-CP在确定本次建立安全关联的Kmaster后，可以根据Kmaster、第一随机数、第三随机数和第一CU-CP的标识这四个参数生成本次建立安全关联的Ksession，或者可以根据Kmaster、第一随机数、第三随机数和第一CU-UP的标识这四个参数生成本次建立安全关联的Ksession，或者可以根据Kmaster、第一随机数、第三随机数、第一CU-CP的标识和第一CU-UP的标识这五个参数生成本次建立安全关联的Ksession。
需要说明的是，第一CU-CP生成Ksession使用的参数与第一CU-UP生成Ksession使用的参数相同。
可选地，E1安全建立响应中还包含会话密钥的失效时间。
具体地，第一CU-UP在生成本次建立安全关联的Ksession后，可以根据安全策略确定Ksession的失效时间。在超过失效时间以后，第一CU-CP和第一CU-UP需要重新协商Ksession。
第一CU-UP在确定Ksession的失效时间后，可以将Ksession的失效时间包含在E1安全建立响应中发送给第一CU-CP。
第一CU-CP在接收到包含Kession的失效时间的E1安全建立响应后，可以存储Kession的失效时间。
可选地，E1安全建立响应中还包含第一CU-UP的标识。
具体地，如果第一CU-UP和/或E1安全管理功能在生成密钥时，使用了第一CU-UP的标识作为生成参数，那么，第一CU-UP可以在向第一CU-CP发送的E1安全建立响应中包含第一CU-UP的标识，以使第一CU-CP能够通过相同的参数生成本次建立安全关联的密钥。
图5为本申请实施例提供的建立安全关联的方法流程示意图之三，该方法应用于E1安全管理功能，如图5所示，该方法包括如下步骤：
步骤500、接收第一中央单元用户平面CU-UP发送的E1安全主密钥请求，E1安全主密钥请求中包含第一中央单元控制平面CU-CP的标识、第一随机数和第一CU-UP的标识。
步骤501、根据第一CU-CP的标识检索第一CU-CP的根密钥，并生成第二随机数，然后根据根密钥、第一随机数和第二随机数，生成本次建立安全关联的主密钥以及本次建立安全关联的主密钥的标识。
步骤502、向第一CU-UP发送E1安全主密钥响应，E1安全主密钥响应中包含本次建立安全关联的主密钥、本次建立安全关联的主密钥的标识和第二随机数。
其中，第一CU-CP为星载网络设备中的CU-CP，第一CU-UP为地面核心网中、分配给星载网络设备、用于实现网络设备CU-UP功能的CU-UP。
具体地，当第一CU-CP与位于地面核心网中被分配的第一CU-UP之间建立安全通信的通道时，第一CU-CP向第一CU-UP发送的E1安全建立请求中除了包含第一CU-CP的标识和第一随机数，还可以包含Kmaster标识。第一CU-CP和第一CU-UP中都会存储之前确定的Kmaster和对应的Kmaster标识，通过判断E1安全建立请求中是否包含有效的Kmaster标识，第一CU-UP可以确定是否需要生成新的Kmaster。
第一CU-UP在接收到E1安全建立请求后，如果确定E1安全建立请求中不包含Kmaster标识，或E1安全建立请求中包含的Kmaster标识所对应的Kmaster已失效，则向E1安全管理功能发送E1安全主密钥请求，通过E1安全管理功能生成新的Kmaster。E1安全主密钥请求中包含第一CU-CP的标识、第一随机数和第一CU-UP的标识。其中，第一CU-UP标识可以唯一确定本次发送E1安全建立请求的第一CU-UP。
每个星载网络设备中都有一个用于CU-CP与CU-UP认证的根密钥，该根密钥分别存储于星载网络设备和核心网的E1安全管理功能中。E1安全管理功能在接收到E1安全主密钥请求后，可以根据第一CU-CP的标识检索第一CU-CP对应的Kroot，并生成用于本次建立安全关联的第二随机数。然后根据检索得到的Kroot、生成的第二随机数和E1安全主密钥请求中包含的第一随机数，生成本次建立安全关联的Kmaster以及该Kmaster的标识。
在生成Kmaster和该Kmaster的标识后，E1安全管理功能向第一CU-UP发送E1安全主密钥响应，E1安全主密钥响应中包含本次建立安全关联的Kmaster、本次建立安全关联的Kmaster的标识和第二随机数。
第一CU-UP在接收到E1安全主密钥响应后，可以存储E1安全主密钥响应中包含的Kmaster以及Kmaster的标识。
本申请实施例提供的建立安全关联的方法，通过E1安全管理功能集中存储第一CU-CP与第一CU-UP建立安全关联的根密钥，并生成所需的Kmaster和Kmaster的标识，从而可以简化对大量第一CU-UP的管理。
可选地，根据根密钥、第一随机数和第二随机数，生成本次建立安全关联的主密钥以及本次建立安全关联的主密钥的标识，包括：
根据根密钥、第一随机数和第二随机数，以及第一CU-CP的标识和第一CU-UP的标识中的至少一个，生成本次建立安全关联的主密钥以及本次建立安全关联的主密钥的标识。
具体地，E1安全管理功能在检索到Kroot并生成第二随机数后，可以根据Kroot、第一随机数、第二随机数和第一CU-CP的标识这四个参数生成本次建立安全关联的Kmaster以及本次建立安全关联的Kmaster的标识，或者可以根据Kroot、第一随机数、第二随机数和第一CU-UP的标识这四个参数生成本次建立安全关联的Kmaster以及本次建立安全关联的Kmaster的标识，或者可以根据Kroot、第一随机数、第二随机数、第一CU-CP的标识和第一CU-UP的标识这五个参数生成本次建立安全关联的Kmaster以及本次建立安全关联的Kmaster的标识。
本申请各实施例提供的方法是基于同一申请构思的，因此各方法的实施可以相互参见，重复之处不再赘述。
以下通过具体应用场景的实施例对本申请各上述实施例提供的方法进行举例说明。
实施例1：第一CU-UP与E1安全管理功能分开部署。
图6为本申请实施例提供的第一CU-CP与第一CU-UP建立安全关联的流程示意图，如图6所示，建立安全关联的流程包括以下步骤：
0、第一CU-CP(卫星上的中央单元控制平面)与E1安全管理功能预置第一CU-CP的根密钥Kroot。
1、第一CU-CP向第一CU-UP发送E1安全建立请求，E1安全建立请求中包含有CPid和nonce1。请求中还可以包含Kid。其中，CPid为第一CU-CP的标识，nonce1是第一CU-CP为本次安全关联过程生成的第一随机数，Kmaster为本次会话安全的主密钥，Kid为Kmaster的标识。
若E1安全建立请求中包含有有效的Kid，且Kmaster未失效，则略过步骤2至5。
2、第一CU-UP确定生成新的Kmaster，则第一CU-UP向E1安全管理功能发送E1安全主密钥请求。请求中包含有CPid，nonce1，UPid。其中，UPid为第一CU-UP的标识。
3、E1安全管理功能利用CPid检索到第一CU-CP的根密钥Kroot，并生成nonce2。E1安全管理功能利用Kroot，以及nonce1(必选)，nonce2(必选)，CPid(可选)和UPid(可选)等参数生成用于第一CU-CP和第一CU-UP建立安全关联的Kmaster和Kmaster对应的密钥标识Kid。其中，nonce2是E1安全管理功能为本次安全关联过程生成的第二随机数。
4、E1安全管理功能将Kmaster、Kid和nonce2通过E1安全主密钥响应发送给第一CU-UP。
5、第一CU-UP存储Kmaster和Kid。
6、第一CU-UP确定Kmaster，并生成nonce3。利用Kmaster，以及nonce1(必选)，nonce3(必选)，CPid(可选)和UPid(可选)等参数生成用于本次建立安全关联的会话密钥Ksession，并依据Ksession进一步生成具体用于数据通信机密性保护和完整性保护的密钥。第一CU-UP还可根据安全策略确定会话密钥的失效时间Etime(可选)。过了有效期后，第一CU-CP和第一CU-UP需要重新协商Ksession。其中，nonce3是第一CU-UP为本次安全关联过程生成的第三随机数。
7、第一CU-UP向第一CU-CP发送E1安全建立响应。响应中包含有nonce3。若生成了新的Kmaster，则响应中应包含nonce2(可作为生成新Kmaster的指示)，还可以包含UPid。若设置有会话安全密钥失效时间，则响应中还可应包含有会话密钥失效时间Etime。
8、若响应中包含有nonce2，则第一CU-CP采用与E1安全管理功能相同的方法计算Kmaster和Kid，并存储Kmaster，Kid，和Etime(若存在)。
9、第一CU-CP采用与第一CU-UP相同的方法计算Ksession，并依据Ksession进一步生成具体用于数据通信机密性保护和完整性保护的密钥。
10、第一CU-CP可以向第一CU-UP发送E1安全建立完成消息。
实施例2：CU-UP与E1安全管理功能合并部署。
0、第一CU-CP(卫星上的中央单元控制平面)与E1安全管理功能预置第一CU-CP的根密钥Kroot。
1、第一CU-CP向第一CU-UP发送E1安全建立请求，E1安全建立请求中包含有CPid和nonce1。请求中还可以包含Kid。其中，CPid为第一CU-CP的标识，nonce1是第一CU-CP为本次安全关联过程生成的第一随机数，Kmaster为本次会话安全的主密钥，Kid为Kmaster标识。
若E1安全建立请求中包含有有效的Kid，且Kmaster未失效，则略过步骤2至5。
2、第一CU-UP确定生成新的Kmaster，将CPid，nonce1，UPid传输给E1安全管理功能。其中，UPid为第一CU-UP的标识。
3、E1安全管理功能利用CPid检索到第一CU-CP的根密钥Kroot，并生成nonce2。E1安全管理功能利用Kroot，以及nonce1(必选)，nonce2(必选)，CPid(可选)和UPid(可选)等参数生成用于第一CU-CP和第一CU-UP建立安全关联的Kmaster和Kmaster对应的密钥标识Kid。其中，nonce2是E1安全管理功能为本次安全关联过程生成的第二随机数。
4、E1安全管理功能将Kmaster、Kid和nonce2传输给第一CU-UP。
5、第一CU-UP存储Kmaster和Kid。
6、第一CU-UP确定Kmaster，并生成nonce3。利用Kmaster，以及nonce1(必选)，nonce3(必选)，CPid(可选)和UPid(可选)等参数生成用于本次建立安全关联的会话密钥Ksession，并依据Ksession进一步生成具体用于数据通信机密性保护和完整性保护的密钥。第一CU-UP还可根据安全策略确定会话密钥的失效时间Etime(可选)。过了有效期后，第一CU-CP和第一CU-UP需要重新协商Ksession。其中，nonce3是第一CU-UP为本次安全关联过程生成的第三随机数。
7、第一CU-UP向第一CU-CP发送E1安全建立响应。响应中包含有nonce3。若生成了新的Kmaster，则响应中应包含nonce2(可作为生成新Kmaster的指示)，还可以包含UPid。若设置有会话安全密钥失效时间，则响应中还可应包含有会话密钥失效时间Etime。
8、若响应中包含有nonce2，则第一CU-CP采用与E1安全管理功能相同的方法计算Kmaster和Kid，并存储Kmaster，Kid，和Etime(若存在)。
9、第一CU-CP采用与第一CU-UP相同的方法计算Ksession，并依据Ksession进一步生成具体用于数据通信机密性保护和完整性保护的密钥。
10、第一CU-CP可以向第一CU-UP发送E1安全建立完成消息。
本申请各实施例提供的方法和装置是基于同一申请构思的，由于方法和装置解决问题的原理相似，因此装置和方法的实施可以相互参见，重复之处不再赘述。
图7为本申请实施例提供的第一中央单元用户平面CU-UP的结构示意图，如图7所示，该第一中央单元用户平面CU-UP包括存储器720，收发机710和处理器700；其中，处理器700与存储器720也可以物理上分开布置。
存储器720，用于存储计算机程序；收发机710，用于在处理器700的控制下收发数据。
具体地，收发机710用于在处理器700的控制下接收和发送数据。
其中，在图7中，总线架构可以包括任意数量的互联的总线和桥，具体由处理器700代表的一个或多个处理器和存储器720代表的存储器的各种电路链接在一起。总线架构还可以将诸如外围设备、稳压器和功率管理电路等之类的各种其他电路链接在一起，这些都是本领域所公知的，因此，本申请不再对其进行进一步描述。总线接口提供接口。收发机710可以是多个元件，即包括发送机和接收机，提供用于在传输介质上与各种其他装置通信的单元，这些传输介质包括无线信道、有线信道、光缆等传输介质。
处理器700负责管理总线架构和通常的处理，存储器720可以存储处理器700在执行操作时所使用的数据。
处理器700可以是中央处理器(Central Processing Unit,CPU)、专用集成电路(Application Specific Integrated Circuit，ASIC)、现场可编程门阵列(Field－Programmable Gate Array，FPGA)或复杂可编程逻辑器件(Complex Programmable LogicDevice，CPLD)，处理器也可以采用多核架构。
处理器700通过调用存储器720存储的计算机程序，用于按照获得的可执行指令执行本申请实施例提供的任一方法，例如：接收第一中央单元控制平面CU-CP发送的E1安全建立请求，E1安全建立请求中包含第一CU-CP的标识和第一随机数；根据E1安全建立请求，确定本次建立安全关联的主密钥，并生成第三随机数；根据本次建立安全关联的主密钥、第一随机数和第三随机数，生成本次建立安全关联的会话密钥，会话密钥用于生成数据通信机密性保护和完整性保护的密钥；向第一CU-CP发送E1安全建立响应，E1安全建立响应中包含第三随机数，第三随机数用于第一CU-CP生成会话密钥，并生成数据通信机密性保护和完整性保护的密钥；其中，第一CU-CP为星载网络设备中的CU-CP，第一CU-UP为地面核心网中、分配给星载网络设备、用于实现网络设备CU-UP功能的CU-UP。
可选地，根据E1安全建立请求，确定本次建立安全关联的主密钥，包括：
在E1安全建立请求中包含主密钥标识，且主密钥标识对应的主密钥未失效的情况下，根据主密钥标识，获取本次建立安全关联的主密钥。
可选地，根据E1安全建立请求，确定本次建立安全关联的主密钥，包括：
在E1安全建立请求中不包含主密钥标识，或E1安全建立请求中包含的主密钥标识所对应的主密钥已失效的情况下，向E1安全管理功能发送E1安全主密钥请求，E1安全主密钥请求中包含第一CU-CP的标识、第一随机数和第一CU-UP的标识，用于E1安全管理功能根据第一CU-CP的标识检索第一CU-CP的根密钥，并根据根密钥、第一随机数和E1安全管理功能生成的第二随机数，生成本次建立安全关联的主密钥以及本次建立安全关联的主密钥的标识；
接收E1安全管理功能发送的E1安全主密钥响应，E1安全主密钥响应中包含本次建立安全关联的主密钥、本次建立安全关联的主密钥的标识和第二随机数。
可选地，根据本次建立安全关联的主密钥、第一随机数和第三随机数，生成本次建立安全关联的会话密钥，包括：
根据本次建立安全关联的主密钥、第一随机数和第三随机数，以及第一CU-CP的标识和第一CU-UP的标识中的至少一个，生成本次建立安全关联的会话密钥。
可选地，生成本次建立安全关联的会话密钥，包括：
生成本次建立安全关联的会话密钥，并确定会话密钥的失效时间。
可选地，E1安全建立响应中还包含会话密钥的失效时间。
可选地，E1安全建立响应中还包含第二随机数，第二随机数用于第一CU-CP生成本次建立安全关联的主密钥以及本次建立安全关联的主密钥的标识。
可选地，E1安全建立响应中还包含第一CU-UP的标识。
图8为本申请实施例提供的第一中央单元控制平面CU-CP的结构示意图，如图8所示，该第一中央单元控制平面CU-CP包括存储器820，收发机810和处理器800；其中，处理器800与存储器820也可以物理上分开布置。
存储器820，用于存储计算机程序；收发机810，用于在处理器800的控制下收发数据。
具体地，收发机810用于在处理器800的控制下接收和发送数据。
其中，在图8中，总线架构可以包括任意数量的互联的总线和桥，具体由处理器800代表的一个或多个处理器和存储器820代表的存储器的各种电路链接在一起。总线架构还可以将诸如外围设备、稳压器和功率管理电路等之类的各种其他电路链接在一起，这些都是本领域所公知的，因此，本申请不再对其进行进一步描述。总线接口提供接口。收发机810可以是多个元件，即包括发送机和接收机，提供用于在传输介质上与各种其他装置通信的单元，这些传输介质包括无线信道、有线信道、光缆等传输介质。
处理器800负责管理总线架构和通常的处理，存储器820可以存储处理器800在执行操作时所使用的数据。
处理器800可以是CPU、ASIC、FPGA或CPLD，处理器也可以采用多核架构。
处理器800通过调用存储器820存储的计算机程序，用于按照获得的可执行指令执行本申请实施例提供的任一所述方法，例如：向第一中央单元用户平面CU-UP发送E1安全建立请求，E1安全建立请求中包含第一CU-CP的标识和第一随机数，用于第一CU-UP根据E1安全建立请求，确定本次建立安全关联的主密钥，并根据本次建立安全关联的主密钥、第一随机数和第一CU-UP生成的第三随机数，生成本次建立安全关联的会话密钥，会话密钥用于生成数据通信机密性保护和完整性保护的密钥；接收第一CU-UP发送的E1安全建立响应，E1安全建立响应中包含第三随机数；根据本次建立安全关联的主密钥、第一随机数和第三随机数，生成会话密钥，并生成数据通信机密性保护和完整性保护的密钥；其中，第一CU-CP为星载网络设备中的CU-CP，第一CU-UP为地面核心网中、分配给星载网络设备、用于实现网络设备CU-UP功能的CU-UP。
可选地，第一CU-UP根据E1安全建立请求，确定本次建立安全关联的主密钥，包括：
在E1安全建立请求中包含主密钥标识，且主密钥标识对应的主密钥未失效的情况下，第一CU-UP根据主密钥标识，获取本次建立安全关联的主密钥。
可选地，第一CU-UP根据E1安全建立请求，确定本次建立安全关联的主密钥，包括：
在E1安全建立请求中不包含主密钥标识，或E1安全建立请求中包含的主密钥标识所对应的主密钥已失效的情况下，第一CU-UP向E1安全管理功能发送E1安全主密钥请求，E1安全主密钥请求中包含第一CU-CP的标识、第一随机数和第一CU-UP的标识，用于E1安全管理功能根据第一CU-CP的标识检索第一CU-CP的根密钥，并根据根密钥、第一随机数和E1安全管理功能生成的第二随机数，生成本次建立安全关联的主密钥以及本次建立安全关联的主密钥的标识；
第一CU-UP接收E1安全管理功能发送的E1安全主密钥响应，E1安全主密钥响应中包含本次建立安全关联的主密钥、本次建立安全关联的主密钥的标识和第二随机数。
可选地，E1安全建立响应中还包含第二随机数，根据本次建立安全关联的主密钥、第一随机数和第三随机数，生成会话密钥之前，该方法还包括：
根据第一CU-CP的根密钥、第一随机数和第二随机数，生成本次建立安全关联的主密钥以及本次建立安全关联的主密钥的标识。
可选地，根据第一CU-CP的根密钥、第一随机数和第二随机数，生成本次建立安全关联的主密钥以及本次建立安全关联的主密钥的标识，包括：
根据第一CU-CP的根密钥、第一随机数和第二随机数，以及第一CU-CP的标识和第一CU-UP的标识中的至少一个，生成本次建立安全关联的主密钥以及本次建立安全关联的主密钥的标识。
可选地，根据本次建立安全关联的主密钥、第一随机数和第三随机数，生成会话密钥，包括：
根据本次建立安全关联的主密钥、第一随机数和第三随机数，以及第一CU-CP的标识和第一CU-UP的标识中的至少一个，生成会话密钥。
可选地，E1安全建立响应中还包含会话密钥的失效时间。
可选地，E1安全建立响应中还包含第一CU-UP的标识。
图9为本申请实施例提供的E1安全管理功能的结构示意图，如图9所示，该E1安全管理功能包括存储器920，收发机910和处理器900；其中，处理器900与存储器920也可以物理上分开布置。
存储器920，用于存储计算机程序；收发机910，用于在处理器900的控制下收发数据。
具体地，收发机910用于在处理器900的控制下接收和发送数据。
其中，在图9中，总线架构可以包括任意数量的互联的总线和桥，具体由处理器900代表的一个或多个处理器和存储器920代表的存储器的各种电路链接在一起。总线架构还可以将诸如外围设备、稳压器和功率管理电路等之类的各种其他电路链接在一起，这些都是本领域所公知的，因此，本申请不再对其进行进一步描述。总线接口提供接口。收发机910可以是多个元件，即包括发送机和接收机，提供用于在传输介质上与各种其他装置通信的单元，这些传输介质包括无线信道、有线信道、光缆等传输介质。
处理器900负责管理总线架构和通常的处理，存储器920可以存储处理器900在执行操作时所使用的数据。
处理器900可以是CPU、ASIC、FPGA或CPLD，处理器也可以采用多核架构。
处理器900通过调用存储器920存储的计算机程序，用于按照获得的可执行指令执行本申请实施例提供的任一所述方法，例如：接收第一中央单元用户平面CU-UP发送的E1安全主密钥请求，E1安全主密钥请求中包含第一中央单元控制平面CU-CP的标识、第一随机数和第一CU-UP的标识；根据第一CU-CP的标识检索第一CU-CP的根密钥，并生成第二随机数，然后根据根密钥、第一随机数和第二随机数，生成本次建立安全关联的主密钥以及本次建立安全关联的主密钥的标识；向第一CU-UP发送E1安全主密钥响应，E1安全主密钥响应中包含本次建立安全关联的主密钥、本次建立安全关联的主密钥的标识和第二随机数；其中，第一CU-CP为星载网络设备中的CU-CP，第一CU-UP为地面核心网中、分配给星载网络设备、用于实现网络设备CU-UP功能的CU-UP。
可选地，根据根密钥、第一随机数和第二随机数，生成本次建立安全关联的主密钥以及本次建立安全关联的主密钥的标识，包括：
根据根密钥、第一随机数和第二随机数，以及第一CU-CP的标识和第一CU-UP的标识中的至少一个，生成本次建立安全关联的主密钥以及本次建立安全关联的主密钥的标识。
在此需要说明的是，本申请实施例提供的上述第一中央单元用户平面CU-UP、第一中央单元控制平面CU-CP和E1安全管理功能，能够实现上述方法实施例所实现的所有方法步骤，且能够达到相同的技术效果，在此不再对本实施例中与方法实施例相同的部分及有益效果进行具体赘述。
图10为本申请实施例提供的建立安全关联的装置的结构示意图之一，该装置应用于第一中央单元用户平面CU-UP，如图10所示，该装置包括：
第一接收单元1000，用于接收第一中央单元控制平面CU-CP发送的E1安全建立请求，E1安全建立请求中包含第一CU-CP的标识和第一随机数；
主密钥确定单元1010，用于根据E1安全建立请求，确定本次建立安全关联的主密钥，并生成第三随机数；
第一密钥生成单元1020，用于根据本次建立安全关联的主密钥、第一随机数和第三随机数，生成本次建立安全关联的会话密钥，会话密钥用于生成数据通信机密性保护和完整性保护的密钥；
第一发送单元1030，用于向第一CU-CP发送E1安全建立响应，E1安全建立响应中包含第三随机数，第三随机数用于第一CU-CP生成会话密钥，并生成数据通信机密性保护和完整性保护的密钥；
其中，第一CU-CP为星载网络设备中的CU-CP，第一CU-UP为地面核心网中、分配给星载网络设备、用于实现网络设备CU-UP功能的CU-UP。
可选地，根据E1安全建立请求，确定本次建立安全关联的主密钥，包括：
在E1安全建立请求中包含主密钥标识，且主密钥标识对应的主密钥未失效的情况下，根据主密钥标识，获取本次建立安全关联的主密钥。
可选地，根据E1安全建立请求，确定本次建立安全关联的主密钥，包括：
在E1安全建立请求中不包含主密钥标识，或E1安全建立请求中包含的主密钥标识所对应的主密钥已失效的情况下，向E1安全管理功能发送E1安全主密钥请求，E1安全主密钥请求中包含第一CU-CP的标识、第一随机数和第一CU-UP的标识，用于E1安全管理功能根据第一CU-CP的标识检索第一CU-CP的根密钥，并根据根密钥、第一随机数和E1安全管理功能生成的第二随机数，生成本次建立安全关联的主密钥以及本次建立安全关联的主密钥的标识；
接收E1安全管理功能发送的E1安全主密钥响应，E1安全主密钥响应中包含本次建立安全关联的主密钥、本次建立安全关联的主密钥的标识和第二随机数。
可选地，根据本次建立安全关联的主密钥、第一随机数和第三随机数，生成本次建立安全关联的会话密钥，包括：
根据本次建立安全关联的主密钥、第一随机数和第三随机数，以及第一CU-CP的标识和第一CU-UP的标识中的至少一个，生成本次建立安全关联的会话密钥。
可选地，生成本次建立安全关联的会话密钥，包括：
生成本次建立安全关联的会话密钥，并确定会话密钥的失效时间。
可选地，E1安全建立响应中还包含会话密钥的失效时间。
可选地，E1安全建立响应中还包含第二随机数，第二随机数用于第一CU-CP生成本次建立安全关联的主密钥以及本次建立安全关联的主密钥的标识。
可选地，E1安全建立响应中还包含第一CU-UP的标识。
图11为本申请实施例提供的建立安全关联的装置的结构示意图之二，该装置应用于第一中央单元控制平面CU-CP，如图11所示，该装置包括：
第二发送单元1100，用于向第一中央单元用户平面CU-UP发送E1安全建立请求，E1安全建立请求中包含第一CU-CP的标识和第一随机数，用于第一CU-UP根据E1安全建立请求，确定本次建立安全关联的主密钥，并根据本次建立安全关联的主密钥、第一随机数和第一CU-UP生成的第三随机数，生成本次建立安全关联的会话密钥，会话密钥用于生成数据通信机密性保护和完整性保护的密钥；
第二接收单元1110，用于接收第一CU-UP发送的E1安全建立响应，E1安全建立响应中包含第三随机数；
第二密钥生成单元1120，用于根据本次建立安全关联的主密钥、第一随机数和第三随机数，生成会话密钥，并生成数据通信机密性保护和完整性保护的密钥；
其中，第一CU-CP为星载网络设备中的CU-CP，第一CU-UP为地面核心网中、分配给星载网络设备、用于实现网络设备CU-UP功能的CU-UP。
可选地，第一CU-UP根据E1安全建立请求，确定本次建立安全关联的主密钥，包括：
在E1安全建立请求中包含主密钥标识，且主密钥标识对应的主密钥未失效的情况下，第一CU-UP根据主密钥标识，获取本次建立安全关联的主密钥。
可选地，第一CU-UP根据E1安全建立请求，确定本次建立安全关联的主密钥，包括：
在E1安全建立请求中不包含主密钥标识，或E1安全建立请求中包含的主密钥标识所对应的主密钥已失效的情况下，第一CU-UP向E1安全管理功能发送E1安全主密钥请求，E1安全主密钥请求中包含第一CU-CP的标识、第一随机数和第一CU-UP的标识，用于E1安全管理功能根据第一CU-CP的标识检索第一CU-CP的根密钥，并根据根密钥、第一随机数和E1安全管理功能生成的第二随机数，生成本次建立安全关联的主密钥以及本次建立安全关联的主密钥的标识；
第一CU-UP接收E1安全管理功能发送的E1安全主密钥响应，E1安全主密钥响应中包含本次建立安全关联的主密钥、本次建立安全关联的主密钥的标识和第二随机数。
可选地，该装置还包括：
第三密钥生成单元，用于根据第一CU-CP的根密钥、第一随机数和第二随机数，生成本次建立安全关联的主密钥以及本次建立安全关联的主密钥的标识。
可选地，根据第一CU-CP的根密钥、第一随机数和第二随机数，生成本次建立安全关联的主密钥以及本次建立安全关联的主密钥的标识，包括：
根据第一CU-CP的根密钥、第一随机数和第二随机数，以及第一CU-CP的标识和第一CU-UP的标识中的至少一个，生成本次建立安全关联的主密钥以及本次建立安全关联的主密钥的标识。
可选地，根据本次建立安全关联的主密钥、第一随机数和第三随机数，生成会话密钥，包括：
根据本次建立安全关联的主密钥、第一随机数和第三随机数，以及第一CU-CP的标识和第一CU-UP的标识中的至少一个，生成会话密钥。
可选地，E1安全建立响应中还包含会话密钥的失效时间。
可选地，E1安全建立响应中还包含第一CU-UP的标识。
图12为本申请实施例提供的建立安全关联的装置的结构示意图之三，该装置应用于E1安全管理功能，如图12所示，该装置包括：
第三接收单元1200，用于接收第一中央单元用户平面CU-UP发送的E1安全主密钥请求，E1安全主密钥请求中包含第一中央单元控制平面CU-CP的标识、第一随机数和第一CU-UP的标识；
第四密钥生成单元1210，用于根据第一CU-CP的标识检索第一CU-CP的根密钥，并生成第二随机数，然后根据根密钥、第一随机数和第二随机数，生成本次建立安全关联的主密钥以及本次建立安全关联的主密钥的标识；
第三发送单元1220，用于向第一CU-UP发送E1安全主密钥响应，E1安全主密钥响应中包含本次建立安全关联的主密钥、本次建立安全关联的主密钥的标识和第二随机数；
其中，第一CU-CP为星载网络设备中的CU-CP，第一CU-UP为地面核心网中、分配给星载网络设备、用于实现网络设备CU-UP功能的CU-UP。
可选地，根据根密钥、第一随机数和第二随机数，生成本次建立安全关联的主密钥以及本次建立安全关联的主密钥的标识，包括：
根据根密钥、第一随机数和第二随机数，以及第一CU-CP的标识和第一CU-UP的标识中的至少一个，生成本次建立安全关联的主密钥以及本次建立安全关联的主密钥的标识。
需要说明的是，本申请实施例中对单元的划分是示意性的，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式。另外，在本申请各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。上述集成的单元既可以采用硬件的形式实现，也可以采用软件功能单元的形式实现。
所述集成的单元如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个处理器可读取存储介质中。基于这样的理解，本申请的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的全部或部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)或处理器(processor)执行本申请各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器(Read-Only Memory，ROM)、随机存取存储器(Random Access Memory，RAM)、磁碟或者光盘等各种可以存储程序代码的介质。
在此需要说明的是，本申请实施例提供的上述装置，能够实现上述方法实施例所实现的所有方法步骤，且能够达到相同的技术效果，在此不再对本实施例中与方法实施例相同的部分及有益效果进行具体赘述。
另一方面，本申请实施例还提供一种计算机可读存储介质，所述计算机可读存储介质存储有计算机程序，所述计算机程序用于使计算机执行上述各实施例提供的建立安全关联的方法。
在此需要说明的是，本申请实施例提供的计算机可读存储介质，能够实现上述方法实施例所实现的所有方法步骤，且能够达到相同的技术效果，在此不再对本实施例中与方法实施例相同的部分及有益效果进行具体赘述。
所述计算机可读存储介质可以是计算机能够存取的任何可用介质或数据存储设备，包括但不限于磁性存储器(例如软盘、硬盘、磁带、磁光盘(MO)等)、光学存储器(例如CD、DVD、BD、HVD等)、以及半导体存储器(例如ROM、EPROM、EEPROM、非易失性存储器(NANDFLASH)、固态硬盘(SSD))等。
本申请实施例提供的技术方案可以适用于多种系统，尤其是5G系统。例如适用的系统可以是全球移动通讯(global system of mobile communication，GSM)系统、码分多址(code division multiple access，CDMA)系统、宽带码分多址(Wideband CodeDivision Multiple Access，WCDMA)通用分组无线业务(general packet radio service，GPRS)系统、长期演进(long term evolution，LTE)系统、LTE频分双工(frequencydivision duplex，FDD)系统、LTE时分双工(time division duplex，TDD)系统、高级长期演进(long term evolution advanced，LTE-A)系统、通用移动系统(universal mobiletelecommunication system，UMTS)、全球互联微波接入(worldwide interoperabilityfor microwave access，WiMAX)系统、5G新空口(New Radio,NR)系统等。这多种系统中均包括终端设备和网络设备。系统中还可以包括核心网部分，例如演进的分组系统(EvlovedPacket System,EPS)、5G系统(5GS)等。
本申请实施例涉及的终端，可以是指向用户提供语音和/或数据连通性的设备，具有无线连接功能的手持式设备、或连接到无线调制解调器的其他处理设备等。在不同的系统中，终端的名称可能也不相同，例如在5G系统中，终端可以称为用户设备(UserEquipment，UE)。无线终端设备可以经无线接入网(Radio Access Network,RAN)与一个或多个核心网(Core Network,CN)进行通信，无线终端设备可以是移动终端设备，如移动电话(或称为“蜂窝”电话)和具有移动终端设备的计算机，例如，可以是便携式、袖珍式、手持式、计算机内置的或者车载的移动装置，它们与无线接入网交换语言和/或数据。例如，个人通信业务(Personal Communication Service，PCS)电话、无绳电话、会话发起协议(SessionInitiated Protocol，SIP)话机、无线本地环路(Wireless Local Loop，WLL)站、个人数字助理(Personal Digital Assistant，PDA)等设备。无线终端设备也可以称为系统、订户单元(subscriber unit)、订户站(subscriber station)，移动站(mobile station)、移动台(mobile)、远程站(remote station)、接入点(access point)、远程终端设备(remoteterminal)、接入终端设备(access terminal)、用户终端设备(user terminal)、用户代理(user agent)、用户装置(user device)，本申请实施例中并不限定。
本申请实施例涉及的网络设备，可以是基站，该基站可以包括多个为终端提供服务的小区。根据具体应用场合不同，基站又可以称为接入点，或者可以是接入网中在空中接口上通过一个或多个扇区与无线终端设备通信的设备，或者其它名称。网络设备可用于将收到的空中帧与网际协议(Internet Protocol，IP)分组进行相互更换，作为无线终端设备与接入网的其余部分之间的路由器，其中接入网的其余部分可包括网际协议(IP)通信网络。网络设备还可协调对空中接口的属性管理。例如，本申请实施例涉及的网络设备可以是全球移动通信系统(Global System for Mobile communications，GSM)或码分多址接入(Code Division Multiple Access，CDMA)中的网络设备(Base Transceiver Station，BTS)，也可以是带宽码分多址接入(Wide-band Code Division Multiple Access，WCDMA)中的网络设备(NodeB)，还可以是长期演进(long term evolution，LTE)系统中的演进型网络设备(evolutional Node B，eNB或e-NodeB)、5G网络架构(next generation system)中的5G基站(gNB)，也可以是家庭演进基站(Home evolved Node B，HeNB)、中继节点(relaynode)、家庭基站(femto)、微微基站(pico)等，本申请实施例中并不限定。在一些网络结构中，网络设备可以包括集中单元(centralized unit，CU)节点和分布单元(distributedunit，DU)节点，集中单元和分布单元也可以地理上分开布置。
网络设备与终端之间可以各自使用一或多根天线进行多输入多输出(MultiInput Multi Output,MIMO)传输，MIMO传输可以是单用户MIMO(Single User MIMO,SU-MIMO)或多用户MIMO(Multiple User MIMO,MU-MIMO)。根据根天线组合的形态和数量，MIMO传输可以是2D-MIMO、3D-MIMO、FD-MIMO或massive-MIMO，也可以是分集传输或预编码传输或波束赋形传输等。
本领域内的技术人员应明白，本申请的实施例可提供为方法、系统、或计算机程序产品。因此，本申请可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本申请可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器和光学存储器等)上实施的计算机程序产品的形式。
本申请是参照根据本申请实施例的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机可执行指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机可执行指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。
这些处理器可执行指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的处理器可读存储器中，使得存储在该处理器可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。
这些处理器可执行指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。
显然，本领域的技术人员可以对本申请进行各种改动和变型而不脱离本申请的精神和范围。这样，倘若本申请的这些修改和变型属于本申请权利要求及其等同技术的范围之内，则本申请也意图包含这些改动和变型在内。
Claims (40)
1.一种建立安全关联的方法，其特征在于，应用于第一中央单元用户平面CU-UP，包括：
接收第一中央单元控制平面CU-CP发送的E1安全建立请求，所述E1安全建立请求中包含所述第一CU-CP的标识和第一随机数；
根据所述E1安全建立请求，确定本次建立安全关联的主密钥，并生成第三随机数；
根据所述本次建立安全关联的主密钥、所述第一随机数和所述第三随机数，生成本次建立安全关联的会话密钥，所述会话密钥用于生成数据通信机密性保护和完整性保护的密钥；
向所述第一CU-CP发送E1安全建立响应，所述E1安全建立响应中包含所述第三随机数，所述第三随机数用于所述第一CU-CP生成所述会话密钥，并生成所述数据通信机密性保护和完整性保护的密钥；
其中，所述第一CU-CP为星载网络设备中的CU-CP，所述第一CU-UP为地面核心网中、分配给所述星载网络设备、用于实现网络设备CU-UP功能的CU-UP。
2.根据权利要求1所述的建立安全关联的方法，其特征在于，所述根据所述E1安全建立请求，确定本次建立安全关联的主密钥，包括：
在所述E1安全建立请求中包含主密钥标识，且所述主密钥标识对应的主密钥未失效的情况下，根据所述主密钥标识，获取本次建立安全关联的主密钥。
3.根据权利要求1所述的建立安全关联的方法，其特征在于，所述根据所述E1安全建立请求，确定本次建立安全关联的主密钥，包括：
在所述E1安全建立请求中不包含主密钥标识，或所述E1安全建立请求中包含的主密钥标识所对应的主密钥已失效的情况下，向E1安全管理功能发送E1安全主密钥请求，所述E1安全主密钥请求中包含所述第一CU-CP的标识、所述第一随机数和所述第一CU-UP的标识，用于所述E1安全管理功能根据所述第一CU-CP的标识检索所述第一CU-CP的根密钥，并根据所述根密钥、所述第一随机数和所述E1安全管理功能生成的第二随机数，生成本次建立安全关联的主密钥以及所述本次建立安全关联的主密钥的标识；
接收所述E1安全管理功能发送的E1安全主密钥响应，所述E1安全主密钥响应中包含所述本次建立安全关联的主密钥、所述本次建立安全关联的主密钥的标识和所述第二随机数。
4.根据权利要求1所述的建立安全关联的方法，其特征在于，所述根据所述本次建立安全关联的主密钥、所述第一随机数和所述第三随机数，生成本次建立安全关联的会话密钥，包括：
根据所述本次建立安全关联的主密钥、所述第一随机数和所述第三随机数，以及所述第一CU-CP的标识和所述第一CU-UP的标识中的至少一个，生成本次建立安全关联的会话密钥。
5.根据权利要求1或4所述的建立安全关联的方法，其特征在于，所述生成本次建立安全关联的会话密钥，包括：
生成本次建立安全关联的会话密钥，并确定所述会话密钥的失效时间。
6.根据权利要求5所述的建立安全关联的方法，其特征在于，所述E1安全建立响应中还包含所述会话密钥的失效时间。
7.根据权利要求3所述的建立安全关联的方法，其特征在于，所述E1安全建立响应中还包含所述第二随机数，所述第二随机数用于所述第一CU-CP生成所述本次建立安全关联的主密钥以及所述本次建立安全关联的主密钥的标识。
8.根据权利要求1所述的建立安全关联的方法，其特征在于，所述E1安全建立响应中还包含所述第一CU-UP的标识。
9.一种建立安全关联的方法，其特征在于，应用于第一中央单元控制平面CU-CP，包括：
向第一中央单元用户平面CU-UP发送E1安全建立请求，所述E1安全建立请求中包含所述第一CU-CP的标识和第一随机数，用于所述第一CU-UP根据所述E1安全建立请求，确定本次建立安全关联的主密钥，并根据所述本次建立安全关联的主密钥、所述第一随机数和所述第一CU-UP生成的第三随机数，生成本次建立安全关联的会话密钥，所述会话密钥用于生成数据通信机密性保护和完整性保护的密钥；
接收所述第一CU-UP发送的E1安全建立响应，所述E1安全建立响应中包含所述第三随机数；
根据本次建立安全关联的主密钥、所述第一随机数和所述第三随机数，生成所述会话密钥，并生成所述数据通信机密性保护和完整性保护的密钥；
其中，所述第一CU-CP为星载网络设备中的CU-CP，所述第一CU-UP为地面核心网中、分配给所述星载网络设备、用于实现网络设备CU-UP功能的CU-UP。
10.根据权利要求9所述的建立安全关联的方法，其特征在于，所述第一CU-UP根据所述E1安全建立请求，确定本次建立安全关联的主密钥，包括：
在所述E1安全建立请求中包含主密钥标识，且所述主密钥标识对应的主密钥未失效的情况下，所述第一CU-UP根据所述主密钥标识，获取本次建立安全关联的主密钥。
11.根据权利要求9所述的建立安全关联的方法，其特征在于，所述第一CU-UP根据所述E1安全建立请求，确定本次建立安全关联的主密钥，包括：
在所述E1安全建立请求中不包含主密钥标识，或所述E1安全建立请求中包含的主密钥标识所对应的主密钥已失效的情况下，所述第一CU-UP向E1安全管理功能发送E1安全主密钥请求，所述E1安全主密钥请求中包含所述第一CU-CP的标识、所述第一随机数和所述第一CU-UP的标识，用于所述E1安全管理功能根据所述第一CU-CP的标识检索所述第一CU-CP的根密钥，并根据所述根密钥、所述第一随机数和所述E1安全管理功能生成的第二随机数，生成本次建立安全关联的主密钥以及所述本次建立安全关联的主密钥的标识；
所述第一CU-UP接收所述E1安全管理功能发送的E1安全主密钥响应，所述E1安全主密钥响应中包含所述本次建立安全关联的主密钥、所述本次建立安全关联的主密钥的标识和所述第二随机数。
12.根据权利要求11所述的建立安全关联的方法，其特征在于，所述E1安全建立响应中还包含所述第二随机数，所述根据本次建立安全关联的主密钥、所述第一随机数和所述第三随机数，生成所述会话密钥之前，所述方法还包括：
根据所述第一CU-CP的根密钥、所述第一随机数和所述第二随机数，生成本次建立安全关联的主密钥以及所述本次建立安全关联的主密钥的标识。
13.根据权利要求12所述的建立安全关联的方法，其特征在于，所述根据所述第一CU-CP的根密钥、所述第一随机数和所述第二随机数，生成本次建立安全关联的主密钥以及所述本次建立安全关联的主密钥的标识，包括：
根据所述第一CU-CP的根密钥、所述第一随机数和所述第二随机数，以及所述第一CU-CP的标识和所述第一CU-UP的标识中的至少一个，生成本次建立安全关联的主密钥以及所述本次建立安全关联的主密钥的标识。
14.根据权利要求9所述的建立安全关联的方法，其特征在于，所述根据本次建立安全关联的主密钥、所述第一随机数和所述第三随机数，生成所述会话密钥，包括：
根据本次建立安全关联的主密钥、所述第一随机数和所述第三随机数，以及所述第一CU-CP的标识和所述第一CU-UP的标识中的至少一个，生成所述会话密钥。
15.根据权利要求9所述的建立安全关联的方法，其特征在于，所述E1安全建立响应中还包含所述会话密钥的失效时间。
16.根据权利要求9所述的建立安全关联的方法，其特征在于，所述E1安全建立响应中还包含所述第一CU-UP的标识。
17.一种建立安全关联的方法，其特征在于，应用于E1安全管理功能，包括：
接收第一中央单元用户平面CU-UP发送的E1安全主密钥请求，所述E1安全主密钥请求中包含第一中央单元控制平面CU-CP的标识、第一随机数和所述第一CU-UP的标识；
根据所述第一CU-CP的标识检索所述第一CU-CP的根密钥，并生成第二随机数，然后根据所述根密钥、所述第一随机数和所述第二随机数，生成本次建立安全关联的主密钥以及所述本次建立安全关联的主密钥的标识；
向所述第一CU-UP发送E1安全主密钥响应，所述E1安全主密钥响应中包含所述本次建立安全关联的主密钥、所述本次建立安全关联的主密钥的标识和所述第二随机数；
其中，所述第一CU-CP为星载网络设备中的CU-CP，所述第一CU-UP为地面核心网中、分配给所述星载网络设备、用于实现网络设备CU-UP功能的CU-UP。
18.根据权利要求17所述的建立安全关联的方法，其特征在于，所述根据所述根密钥、所述第一随机数和所述第二随机数，生成本次建立安全关联的主密钥以及所述本次建立安全关联的主密钥的标识，包括：
根据所述根密钥、所述第一随机数和所述第二随机数，以及所述第一CU-CP的标识和所述第一CU-UP的标识中的至少一个，生成本次建立安全关联的主密钥以及所述本次建立安全关联的主密钥的标识。
19.一种第一中央单元用户平面CU-UP，其特征在于，包括存储器，收发机，处理器：
存储器，用于存储计算机程序；收发机，用于在所述处理器的控制下收发数据；处理器，用于读取所述存储器中的计算机程序并执行以下操作：
接收第一中央单元控制平面CU-CP发送的E1安全建立请求，所述E1安全建立请求中包含所述第一CU-CP的标识和第一随机数；
根据所述E1安全建立请求，确定本次建立安全关联的主密钥，并生成第三随机数；
根据所述本次建立安全关联的主密钥、所述第一随机数和所述第三随机数，生成本次建立安全关联的会话密钥，所述会话密钥用于生成数据通信机密性保护和完整性保护的密钥；
向所述第一CU-CP发送E1安全建立响应，所述E1安全建立响应中包含所述第三随机数，所述第三随机数用于所述第一CU-CP生成所述会话密钥，并生成所述数据通信机密性保护和完整性保护的密钥；
其中，所述第一CU-CP为星载网络设备中的CU-CP，所述第一CU-UP为地面核心网中、分配给所述星载网络设备、用于实现网络设备CU-UP功能的CU-UP。
20.根据权利要求19所述的第一CU-UP，其特征在于，所述根据所述E1安全建立请求，确定本次建立安全关联的主密钥，包括：
在所述E1安全建立请求中包含主密钥标识，且所述主密钥标识对应的主密钥未失效的情况下，根据所述主密钥标识，获取本次建立安全关联的主密钥。
21.根据权利要求19所述的第一CU-UP，其特征在于，所述根据所述E1安全建立请求，确定本次建立安全关联的主密钥，包括：
在所述E1安全建立请求中不包含主密钥标识，或所述E1安全建立请求中包含的主密钥标识所对应的主密钥已失效的情况下，向E1安全管理功能发送E1安全主密钥请求，所述E1安全主密钥请求中包含所述第一CU-CP的标识、所述第一随机数和所述第一CU-UP的标识，用于所述E1安全管理功能根据所述第一CU-CP的标识检索所述第一CU-CP的根密钥，并根据所述根密钥、所述第一随机数和所述E1安全管理功能生成的第二随机数，生成本次建立安全关联的主密钥以及所述本次建立安全关联的主密钥的标识；
接收所述E1安全管理功能发送的E1安全主密钥响应，所述E1安全主密钥响应中包含所述本次建立安全关联的主密钥、所述本次建立安全关联的主密钥的标识和所述第二随机数。
22.根据权利要求19所述的第一CU-UP，其特征在于，所述根据所述本次建立安全关联的主密钥、所述第一随机数和所述第三随机数，生成本次建立安全关联的会话密钥，包括：
根据所述本次建立安全关联的主密钥、所述第一随机数和所述第三随机数，以及所述第一CU-CP的标识和所述第一CU-UP的标识中的至少一个，生成本次建立安全关联的会话密钥。
23.根据权利要求19或22所述的第一CU-UP，其特征在于，所述生成本次建立安全关联的会话密钥，包括：
生成本次建立安全关联的会话密钥，并确定所述会话密钥的失效时间。
24.根据权利要求23所述的第一CU-UP，其特征在于，所述E1安全建立响应中还包含所述会话密钥的失效时间。
25.根据权利要求21所述的第一CU-UP，其特征在于，所述E1安全建立响应中还包含所述第二随机数，所述第二随机数用于所述第一CU-CP生成所述本次建立安全关联的主密钥以及所述本次建立安全关联的主密钥的标识。
26.根据权利要求19所述的第一CU-UP，其特征在于，所述E1安全建立响应中还包含所述第一CU-UP的标识。
27.一种第一中央单元控制平面CU-CP，其特征在于，包括存储器，收发机，处理器：
存储器，用于存储计算机程序；收发机，用于在所述处理器的控制下收发数据；处理器，用于读取所述存储器中的计算机程序并执行以下操作：
向第一中央单元用户平面CU-UP发送E1安全建立请求，所述E1安全建立请求中包含所述第一CU-CP的标识和第一随机数，用于所述第一CU-UP根据所述E1安全建立请求，确定本次建立安全关联的主密钥，并根据所述本次建立安全关联的主密钥、所述第一随机数和所述第一CU-UP生成的第三随机数，生成本次建立安全关联的会话密钥，所述会话密钥用于生成数据通信机密性保护和完整性保护的密钥；
接收所述第一CU-UP发送的E1安全建立响应，所述E1安全建立响应中包含所述第三随机数；
根据本次建立安全关联的主密钥、所述第一随机数和所述第三随机数，生成所述会话密钥，并生成所述数据通信机密性保护和完整性保护的密钥；
其中，所述第一CU-CP为星载网络设备中的CU-CP，所述第一CU-UP为地面核心网中、分配给所述星载网络设备、用于实现网络设备CU-UP功能的CU-UP。
28.根据权利要求27所述的第一CU-CP，其特征在于，所述第一CU-UP根据所述E1安全建立请求，确定本次建立安全关联的主密钥，包括：
在所述E1安全建立请求中包含主密钥标识，且所述主密钥标识对应的主密钥未失效的情况下，所述第一CU-UP根据所述主密钥标识，获取本次建立安全关联的主密钥。
29.根据权利要求27所述的第一CU-CP，其特征在于，所述第一CU-UP根据所述E1安全建立请求，确定本次建立安全关联的主密钥，包括：
在所述E1安全建立请求中不包含主密钥标识，或所述E1安全建立请求中包含的主密钥标识所对应的主密钥已失效的情况下，所述第一CU-UP向E1安全管理功能发送E1安全主密钥请求，所述E1安全主密钥请求中包含所述第一CU-CP的标识、所述第一随机数和所述第一CU-UP的标识，用于所述E1安全管理功能根据所述第一CU-CP的标识检索所述第一CU-CP的根密钥，并根据所述根密钥、所述第一随机数和所述E1安全管理功能生成的第二随机数，生成本次建立安全关联的主密钥以及所述本次建立安全关联的主密钥的标识；
所述第一CU-UP接收所述E1安全管理功能发送的E1安全主密钥响应，所述E1安全主密钥响应中包含所述本次建立安全关联的主密钥、所述本次建立安全关联的主密钥的标识和所述第二随机数。
30.根据权利要求29所述的第一CU-CP，其特征在于，所述E1安全建立响应中还包含所述第二随机数，所述根据本次建立安全关联的主密钥、所述第一随机数和所述第三随机数，生成所述会话密钥之前，所述操作还包括：
根据所述第一CU-CP的根密钥、所述第一随机数和所述第二随机数，生成本次建立安全关联的主密钥以及所述本次建立安全关联的主密钥的标识。
31.根据权利要求30所述的第一CU-CP，其特征在于，所述根据所述第一CU-CP的根密钥、所述第一随机数和所述第二随机数，生成本次建立安全关联的主密钥以及所述本次建立安全关联的主密钥的标识，包括：
根据所述第一CU-CP的根密钥、所述第一随机数和所述第二随机数，以及所述第一CU-CP的标识和所述第一CU-UP的标识中的至少一个，生成本次建立安全关联的主密钥以及所述本次建立安全关联的主密钥的标识。
32.根据权利要求27所述的第一CU-CP，其特征在于，所述根据本次建立安全关联的主密钥、所述第一随机数和所述第三随机数，生成所述会话密钥，包括：
根据本次建立安全关联的主密钥、所述第一随机数和所述第三随机数，以及所述第一CU-CP的标识和所述第一CU-UP的标识中的至少一个，生成所述会话密钥。
33.根据权利要求27所述的第一CU-CP，其特征在于，所述E1安全建立响应中还包含所述会话密钥的失效时间。
34.根据权利要求27所述的第一CU-CP，其特征在于，所述E1安全建立响应中还包含所述第一CU-UP的标识。
35.一种E1安全管理功能，其特征在于，包括存储器，收发机，处理器：
存储器，用于存储计算机程序；收发机，用于在所述处理器的控制下收发数据；处理器，用于读取所述存储器中的计算机程序并执行以下操作：
接收第一中央单元用户平面CU-UP发送的E1安全主密钥请求，所述E1安全主密钥请求中包含第一中央单元控制平面CU-CP的标识、第一随机数和所述第一CU-UP的标识；
根据所述第一CU-CP的标识检索所述第一CU-CP的根密钥，并生成第二随机数，然后根据所述根密钥、所述第一随机数和所述第二随机数，生成本次建立安全关联的主密钥以及所述本次建立安全关联的主密钥的标识；
向所述第一CU-UP发送E1安全主密钥响应，所述E1安全主密钥响应中包含所述本次建立安全关联的主密钥、所述本次建立安全关联的主密钥的标识和所述第二随机数；
其中，所述第一CU-CP为星载网络设备中的CU-CP，所述第一CU-UP为地面核心网中、分配给所述星载网络设备、用于实现网络设备CU-UP功能的CU-UP。
36.根据权利要求35所述的E1安全管理功能，其特征在于，所述根据所述根密钥、所述第一随机数和所述第二随机数，生成本次建立安全关联的主密钥以及所述本次建立安全关联的主密钥的标识，包括：
根据所述根密钥、所述第一随机数和所述第二随机数，以及所述第一CU-CP的标识和所述第一CU-UP的标识中的至少一个，生成本次建立安全关联的主密钥以及所述本次建立安全关联的主密钥的标识。
37.一种建立安全关联的装置，其特征在于，应用于第一中央单元用户平面CU-UP，包括：
第一接收单元，用于接收第一中央单元控制平面CU-CP发送的E1安全建立请求，所述E1安全建立请求中包含所述第一CU-CP的标识和第一随机数；
主密钥确定单元，用于根据所述E1安全建立请求，确定本次建立安全关联的主密钥，并生成第三随机数；
第一密钥生成单元，用于根据所述本次建立安全关联的主密钥、所述第一随机数和所述第三随机数，生成本次建立安全关联的会话密钥，所述会话密钥用于生成数据通信机密性保护和完整性保护的密钥；
第一发送单元，用于向所述第一CU-CP发送E1安全建立响应，所述E1安全建立响应中包含所述第三随机数，所述第三随机数用于所述第一CU-CP生成所述会话密钥，并生成所述数据通信机密性保护和完整性保护的密钥；
其中，所述第一CU-CP为星载网络设备中的CU-CP，所述第一CU-UP为地面核心网中、分配给所述星载网络设备、用于实现网络设备CU-UP功能的CU-UP。
38.一种建立安全关联的装置，其特征在于，应用于第一中央单元控制平面CU-CP，包括：
第二发送单元，用于向第一中央单元用户平面CU-UP发送E1安全建立请求，所述E1安全建立请求中包含所述第一CU-CP的标识和第一随机数，用于所述第一CU-UP根据所述E1安全建立请求，确定本次建立安全关联的主密钥，并根据所述本次建立安全关联的主密钥、所述第一随机数和所述第一CU-UP生成的第三随机数，生成本次建立安全关联的会话密钥，所述会话密钥用于生成数据通信机密性保护和完整性保护的密钥；
第二接收单元，用于接收所述第一CU-UP发送的E1安全建立响应，所述E1安全建立响应中包含所述第三随机数；
第二密钥生成单元，用于根据本次建立安全关联的主密钥、所述第一随机数和所述第三随机数，生成所述会话密钥，并生成所述数据通信机密性保护和完整性保护的密钥；
其中，所述第一CU-CP为星载网络设备中的CU-CP，所述第一CU-UP为地面核心网中、分配给所述星载网络设备、用于实现网络设备CU-UP功能的CU-UP。
39.一种建立安全关联的装置，其特征在于，应用于E1安全管理功能，包括：
第三接收单元，用于接收第一中央单元用户平面CU-UP发送的E1安全主密钥请求，所述E1安全主密钥请求中包含第一中央单元控制平面CU-CP的标识、第一随机数和所述第一CU-UP的标识；
第四密钥生成单元，用于根据所述第一CU-CP的标识检索所述第一CU-CP的根密钥，并生成第二随机数，然后根据所述根密钥、所述第一随机数和所述第二随机数，生成本次建立安全关联的主密钥以及所述本次建立安全关联的主密钥的标识；
第三发送单元，用于向所述第一CU-UP发送E1安全主密钥响应，所述E1安全主密钥响应中包含所述本次建立安全关联的主密钥、所述本次建立安全关联的主密钥的标识和所述第二随机数；
其中，所述第一CU-CP为星载网络设备中的CU-CP，所述第一CU-UP为地面核心网中、分配给所述星载网络设备、用于实现网络设备CU-UP功能的CU-UP。
40.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质存储有计算机程序，所述计算机程序用于使计算机执行权利要求1至8任一项所述的方法，或执行权利要求9至16任一项所述的方法，或执行权利要求17至18任一项所述的方法。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN202211518653.XA CN118118161A (zh) | 2022-11-29 | 2022-11-29 | 建立安全关联的方法、设备、装置及存储介质 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN202211518653.XA CN118118161A (zh) | 2022-11-29 | 2022-11-29 | 建立安全关联的方法、设备、装置及存储介质 |
Publications (1)
| Publication Number | Publication Date |
|---|---|
| CN118118161A true CN118118161A (zh) | 2024-05-31 |
Family
ID=91209300
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| CN202211518653.XA Pending CN118118161A (zh) | 2022-11-29 | 2022-11-29 | 建立安全关联的方法、设备、装置及存储介质 |
Country Status (1)
| Country | Link |
|---|---|
| CN (1) | CN118118161A (zh) |
-
2022
- 2022-11-29 CN CN202211518653.XA patent/CN118118161A/zh active Pending
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| WO2016119243A1 (zh) | 通信方法、网络设备、用户设备和通信系统 | |
| CN114827920B (zh) | 一种通信方法、装置、设备和可读存储介质 | |
| US20230262793A1 (en) | Method for communication between user terminal and network, and terminal, network device and apparatus | |
| CN114071805B (zh) | 业务处理方法、信息指示方法、终端和网络设备 | |
| WO2022151917A1 (zh) | 消息处理方法、装置、终端及网络侧设备 | |
| WO2022156439A1 (zh) | 信息传输方法、装置、基站及介质 | |
| CN114158059B (zh) | 一种信息处理方法、装置、终端设备及网络侧设备 | |
| CN118118161A (zh) | 建立安全关联的方法、设备、装置及存储介质 | |
| WO2022048265A1 (zh) | 一种应用层密钥确定的方法、终端、网络侧设备及装置 | |
| WO2024131598A1 (zh) | 一种信息处理方法、装置及可读存储介质 | |
| CN118233889A (zh) | 安全认证方法、装置及存储介质 | |
| WO2023213191A1 (zh) | 安全保护方法及通信装置 | |
| CN118119036A (zh) | Cu-up的分配方法、设备、装置及存储介质 | |
| CN118250686A (zh) | 一种信息处理方法、装置及可读存储介质 | |
| CN116419218A (zh) | 认证与安全方法、装置及存储介质 | |
| CN117812638A (zh) | 数据传输方法、终端及网络侧实体 | |
| CN117812583A (zh) | 密钥管理方法、装置及设备 | |
| CN118138535A (zh) | 信息传输、处理方法及装置 | |
| CN118233890A (zh) | 认证和管理方法、装置及存储介质 | |
| CN117835356A (zh) | 切换指示方法、网络单元和存储介质 | |
| CN117858058A (zh) | 紧急业务的处理方法及装置 | |
| CN117793696A (zh) | 多终端聚合传输方法、终端、网络设备、装置及存储介质 | |
| CN117858028A (zh) | 数据传输方法、装置及设备 | |
| CN116939655A (zh) | 业务数据传输方法、终端、网络节点和存储介质 | |
| CN118118163A (zh) | 密钥协商方法及装置 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| PB01 | Publication | ||
| PB01 | Publication | ||
| SE01 | Entry into force of request for substantive examination |