JP2023527442A - 鍵取得方法、鍵取得装置、ユーザ機器、ネットワーク側機器および可読記憶媒体 - Google Patents

Abstract

本願は、鍵取得方法、装置、ユーザ機器及びネットワーク側機器を開示する。該方法は、第１ＵＥはネットワーク側機器に第１鍵情報を送信するステップを含み、前記第１鍵情報は第２ＵＥの第１鍵を指示するためのものであり、前記第１鍵は前記第２ＵＥが前記ネットワーク側機器と通信する際のデータに対して暗号化及び／又は完全性保護を行うためのものである。

Description

本願は通信技術分野に関し、特に、鍵取得方法、装置、ユーザ機器及びネットワーク側機器に関する。

現在、ユーザ機器（Ｕｓｅｒ Ｅｑｕｉｐｍｅｎｔ，ＵＥ）とネットワーク側機器との間でデータ伝送を行う際に、ＵＥとネットワーク側機器間のデータ伝送のセキュリティを高めるために、セキュリティ機能をオン又はアクティブにし、例えば、セキュリティ鍵に基づいて伝送データの暗号化／復号及び完全性保護／検査等のセキュリティ動作を実行することができる。一般に、セキュリティ上の理由から、セキュリティ鍵はエアインタフェースを介して伝送されず、ネットワーク側機器とＵＥがローカルに記憶された情報に基づいて導出して取得する必要がある。

しかし、一部のＵＥはセキュリティ鍵を直接導出できない（例えば、ＳＩＭカードの欠如、ＵＥ能力は計算をサポートしていない等）、又は自ＵＥによりネットワーク側機器で同じセキュリティ鍵を導出できないため、ＵＥとネットワーク側機器間のデータに対するセキュリティ保護ができない。

そこで、このようなＵＥはネットワーク側機器とのデータ伝送を必要とする場合、これらのデータの伝送セキュリティは保証できず、さらにＵＥとネットワーク側機器間のデータ伝送の信頼性が低くなってしまう。

本願の実施例の目的は、一部のＵＥがセキュリティ鍵を取得できない、又は自ＵＥによりネットワーク側機器で同じセキュリティ鍵を導出できないことにより、データ伝送の信頼性が低くなるという問題を解決可能な、鍵取得方法、装置、ユーザ機器及びネットワーク側機器を提供することである。

上記技術問題を解決するために、本願は、次のように実現される。

第１側面において、第１ＵＥに応用され、ネットワーク側機器に第１鍵情報を送信するステップを含み、前記第１鍵情報は第２ＵＥの第１鍵を指示するためのものであり、前記第１鍵は前記第２ＵＥが前記ネットワーク側機器と通信する際のデータに対して暗号化及び／又は完全性保護を行うためのものである、鍵取得方法を提供する。

第２側面において、ネットワーク側機器に第１鍵情報を送信するための送信モジュールを備え、前記第１鍵情報は第２ユーザ機器ＵＥの第１鍵を指示するためのものであり、前記第１鍵は前記第２ＵＥが前記ネットワーク側機器と通信する際のデータに対して暗号化及び／又は完全性保護を行うためのものである、鍵取得装置を提供する。

第３側面において、第２ＵＥに応用され、第１ＵＥにプロキシ要求を送信するステップと、第１ＵＥからフィードバックされたプロキシ応答を受信すると、前記第１ＵＥに目標鍵情報を送信すると、を含み、前記プロキシ要求は前記第２ＵＥのセキュリティプロセスのプロキシを要求するためのものであり、前記プロキシ応答は前記第１ＵＥが前記第２ＵＥのセキュリティプロセスのプロキシを受け付けることを指示するためのものであり、前記目標鍵情報は前記第１鍵を指示するためのものであり、前記第１鍵は前記第２ＵＥが前記ネットワークと通信する際のデータに対して暗号化及び／又は完全性保護を行うためのものである、鍵取得方法を提供する。

第４側面において、第１ＵＥにプロキシ要求を送信するための送信モジュールを備え、前記送信モジュールはさらに、第１ＵＥからフィードバックされたプロキシ応答を受信すると、前記第１ＵＥに目標鍵情報を送信するために用いられ、前記プロキシ要求は前記第２ＵＥのセキュリティプロセスのプロキシを要求するためのものであり、前記プロキシ応答は前記第１ＵＥが前記第２ＵＥのセキュリティプロセスのプロキシを受け付けることを指示するためのものであり、前記目標鍵情報は前記第１鍵を指示するためのものであり、前記第１鍵は前記第２ＵＥが前記ネットワークと通信する際のデータに対して暗号化及び／又は完全性保護を行うためのものである、鍵取得装置を提供する。

第５側面において、ネットワーク側機器に応用され、第１ＵＥから第１鍵情報を受信するステップを含み、上記第１鍵情報は第２ＵＥの第１鍵を指示するためのものであり、上記第２ＵＥの第１鍵は上記第２ＵＥが上記ネットワーク側機器と通信する際のデータに対して暗号化及び／又は完全性保護を行うためのものである、鍵取得方法を提供する。

第６側面において、第１ＵＥから第１鍵情報を受信するための受信モジュールを備え、上記第１鍵情報は第２ＵＥの第１鍵を指示するためのものであり、上記第２ＵＥの第１鍵は上記第２ＵＥが上記ネットワーク側機器と通信する際のデータに対して暗号化及び／又は完全性保護を行うためのものである、鍵取得装置を提供する。

第７側面において、プロセッサと、メモリと、前記メモリに記憶され、前記プロセッサによって実行可能なプログラムもしくは命令とを備え、前記プログラムもしくは命令が前記プロセッサによって実行されると、第１側面又は第３側面に記載の方法のステップが実現される、ＵＥを提供する。

第８側面において、プロセッサと、メモリと、前記メモリに記憶され、前記プロセッサによって実行可能なプログラムもしくは命令とを備え、前記プログラムもしくは命令が前記プロセッサによって実行されると、第５側面に記載の方法のステップが実現される、ネットワーク側機器を提供する。

第９側面において、プログラムもしくは命令が記憶されており、前記プログラムもしくは命令がプロセッサによって実行されると、第１側面又は第３側面又は第５側面に記載の方法のステップが実現される、可読記憶媒体を提供する。

第１０側面において、プロセッサ及び通信インタフェースを備え、前記通信インタフェースと前記プロセッサが結合され、前記プロセッサはネットワーク側機器プログラムもしくは命令を実行して、第１側面に記載の方法を実現するか又は第３側面に記載の方法を実現するか又は第５側面に記載の方法を実現するために用いられる、チップを提供する。

本願の実施例において、エアインタフェースを介して伝送されるデータ及び／又はシグナリングに対する暗号化及び／又は完全性保護ができるように、第２ＵＥは第１ＵＥを介してネットワーク側機器に第２ＵＥのセキュリティ鍵の全部もしくは一部の情報を報告し、これにより第２ＵＥは該セキュリティ鍵を用いて該第２ＵＥがネットワーク側機器と通信する際のデータに対して暗号化／復号及び完全性保護／検査を行うことが可能になり、該第２ＵＥとネットワーク側機器間の通信の信頼性が効果的に保証される。

本願の実施例で提供される可能な一通信システム構成の模式図である。 本願の実施例で提供される鍵取得方法の手順模式図１である。 本願の実施例で提供される鍵取得方法の手順模式図２である。 本願の実施例で提供される鍵取得装置の構造模式図１である。 本願の実施例で提供される鍵取得装置の構造模式図２である。 本願の実施例で提供される鍵取得装置の構造模式図３である。 本願の実施例で提供される通信機器のハードウェア構造模式図である。 本願の実施例で提供される端末のハードウェア構造模式図である。 本願の実施例で提供されるネットワーク側機器のハードウェア構造模式図である。

以下において、本願の実施例における図面を参照しながら、本願の実施例における技術的解決手段を明確に、完全に説明し、当然ながら、説明される実施例は本願の実施例の一部であり、全ての実施例ではない。本願における実施例に基づき、当業者が創造的な労力を要することなく得られた他の全ての実施例は、いずれも本願の保護範囲に属するものとする。

以下において、本願の実施例の関連用語を説明する。

１、ＡＳセキュリティメカニズム
ＬＴＥ及びＮＲシステムにおいて、暗号化と完全性保護機能はそれぞれ、エアインタフェースを介してＵＥに伝送されるデータ及び／又はシグナリングを盗聴、改ざんから保護するためのものであり、具体的には、ＤＲＢ、ＳＲＢ又はそれらにベアラされる情報に対して暗号化及び／又は完全性保護を行うものである。ＬＴＥ及びＮＲにおけるＡＳ層の暗号化及び／又は完全性保護はいずれもＰＤＣＰ層において実現され、ＲＲＣ層はセキュリティパラメータやセキュリティアルゴリズムの構成、及びセキュリティ機能のアクティブ化を行うためのものである。

２、暗号化
暗号化プロセスは暗号化と復号を含む。送信側機器（下りは基地局、上りはＵＥである）は暗号化アルゴリズムを用いて鍵ストリームを生成し、鍵ストリームと平文を用いてビット毎の２進加算を行って暗号文を得る。上記鍵ストリームは、１２８ｂｉｔの鍵（ｋｅｙ）、３２ｂｉｔのＣＯＵＮＴ値、５ｂｉｔのＢＥＡＲＥＲ（無線ベアラ識別子）、１ｂｉｔのＤＩＲＥＣＴＩＯＮ（該情報の伝送方向が上りか下りかを指示するためのもの）、３２ｂｉｔのＬＥＮＧＴＨ（鍵ストリームの長さ）といった情報から構成されてもよい。受信側機器は暗号文を受信した後、同じ暗号化アルゴリズム及び他の４つの入力パラメータを用いて同じ鍵ストリームを生成し、鍵ストリーム及び暗号文を用いたビット毎の２進加算によって平文を得ることができる。

３、完全性保護
完全性保護アルゴリズムの入力パラメータは、１２８ｂｉｔの鍵、３２ｂｉｔのＣＯＵＮＴ値、５ｂｉｔのＢＥＡＲＥＲ、１ｂｉｔのＤＩＲＥＣＴＩＯＮ、ＭＥＳＳＡＧＥ（伝送するメッセージ）、ＬＥＮＧＴＨ（ＭＥＳＳＡＧＥの長さ）がある。具体的に、完全性保護プロセスは図２を参照することができ、送信側機器は完全性保護アルゴリズムを用いて、一定長のメッセージ完全性検証コードＭＡＣ－Ｉ（例えばｍｅｓｓａｇｅ ａｕｔｈｅｎｔｉｃａｔｉｏｎ ｃｏｄｅ ｆｏｒ ｉｎｔｅｇｒｉｔｙ）を出力し、伝送するメッセージに付加する。受信側機器は同じ完全性保護アルゴリズムと他の入力パラメータを用いてＸＭＡＣ－Ｉを生成し、ＸＭＡＣ－ＩとＭＡＣ－Ｉを比較することでメッセージの完全性を検査し、同じであれば完全性検査が通過したとされ、同じでなければ失敗とされる。

４、鍵（ｋｅｙ）
３ＧＰＰ（登録商標）プロトコルにおいて、ＫＲＲＣｅｎｃ、ＫＵＰｅｎｃはそれぞれＳＲＢ（又はＲＲＣシグナリング）、ＤＲＢ（又はユーザプレーンｕｓｅｒ ｐｌａｎｅ）を暗号化するために使用されるｋｅｙである。ＫＲＲＣｉｎｔ、ＫＵＰｉｎｔはそれぞれＳＲＢ、ＤＲＢを完全性保護するために使用されるｋｅｙである。基地局（ｅＮＢ又はｇＮＢ）及びＵＥはいずれも中間鍵ＫｅＮＢ／ＫｇＮＢに基づいてＫＲＲＣｅｎｃ、ＫＵＰｅｎｃ、ＫＲＲＣｉｎｔ、ＫＵＰｉｎｔを導出して、ＡＳセキュリティを実行する必要がある。ＫｅＮＢ／ＫｇＮＢはＮＡＳ層の鍵ＫＡＳＭＥ／ＫＡＭＦに基づいて導出されたものであり、ＫＡＳＭＥ／ＫＡＭＦはいずれも鍵Ｋからステップ・バイ・ステップで導出されたものであり、鍵ＫはＳＩＭカードと認証センタに記憶されている。

５、その他の用語
本願の明細書及び特許請求の範囲における用語「第１」、「第２」等は、特定の順序又は先後順序を記述するためのものではなく、類似する対象を区別するためのものである。このように使用される用語は、本願の実施例がここで図示又は記述される以外の順序で実施できるように、適当な場合において互いに置き換えてもよく、且つ「第１」、「第２」等で区別される対象は通常１群であり、対象の数は限定されないことを理解すべきであり、例えば、第１対象は１つでも、複数でもよい。また、明細書及び特許請求の範囲における「及び／又は」は、接続される対象のうちの少なくとも１つを意味し、符号の「／」は、一般的には前後の関連対象が「又は」という関係にあることを意味する。

以下において、本願の実施例で提供される鍵取得の解決手段に関連する通信システムを説明する。

指摘しておきたいのは、本願の実施例に記載される技術は、ロングタームエボリューション（Ｌｏｎｇ Ｔｅｒｍ Ｅｖｏｌｕｔｉｏｎ，ＬＴＥ）／ＬＴＥの進化型（ＬＴＥ－Ａｄｖａｎｃｅｄ，ＬＴＥ－Ａ）システムに限定されず、符号分割多元接続（Ｃｏｄｅ Ｄｉｖｉｓｉｏｎ Ｍｕｌｔｉｐｌｅ Ａｃｃｅｓｓ，ＣＤＭＡ）、時分割多元接続（Ｔｉｍｅ Ｄｉｖｉｓｉｏｎ Ｍｕｌｔｉｐｌｅ Ａｃｃｅｓｓ，ＴＤＭＡ）、周波数分割多元接続（Ｆｒｅｑｕｅｎｃｙ Ｄｉｖｉｓｉｏｎ Ｍｕｌｔｉｐｌｅ Ａｃｃｅｓｓ，ＦＤＭＡ）、直交周波数分割多元接続（Ｏｒｔｈｏｇｏｎａｌ Ｆｒｅｑｕｅｎｃｙ Ｄｉｖｉｓｉｏｎ Ｍｕｌｔｉｐｌｅ Ａｃｃｅｓｓ，ＯＦＤＭＡ）、シングルキャリア周波数分割多元接続（Ｓｉｎｇｌｅ－ｃａｒｒｉｅｒ Ｆｒｅｑｕｅｎｃｙ－Ｄｉｖｉｓｉｏｎ Ｍｕｌｔｉｐｌｅ Ａｃｃｅｓｓ，ＳＣ－ＦＤＭＡ）及び他のシステム等の他の無線通信システムにおいて使用されてもよい点である。本願の実施例における用語「システム」及び「ネットワーク」は、しばしば、互換的に使用され得る。記載された技術は、上記で言及されたシステム及びラジオ技術に使用され得ると共に、他のシステム及びラジオ技術にも使用され得る。しかしながら、以下の説明は例示を目的にニューラジオ（Ｎｅｗ Ｒａｄｉｏ，ＮＲ）システムについて説明し、以下の説明の多くにおいてＮＲ用語が使用されるが、これらの技術は、例えば第６世代（６ｔｈ Ｇｅｎｅｒａｔｉｏｎ，６Ｇ）通信システムのようなＮＲシステムアプリケーション以外のアプリケーションにも適用され得る。

図１は本願の実施例を応用可能な無線通信システムのブロック図を示す。無線通信システムは端末１１とネットワーク側機器１２を含む。

上記端末１１はプロキシされたＵＥ及びプロキシＵＥを含む。プロキシされたＵＥはｓｌａｖｅ ＵＥ（ＳＵＥと略称）と称され、プロキシＵＥはｍａｓｔｅｒ ＵＥ（ＭＵＥと略称）と称される。例示的に、上記ＳＵＥに対応する鍵ｋｅｙはＫｓｕｅと略称することができ、上記Ｋｓｕｅは一例に過ぎず、実際の適用には必要に応じて命名することができ、本願は鍵の名称を限定しない。

上記端末１１は端末機器又はＵＥと称されてもよく、端末１１は、携帯電話、タブレットパソコン（Ｔａｂｌｅｔ Ｐｅｒｓｏｎａｌ Ｃｏｍｐｕｔｅｒ）、ラップトップコンピュータ（Ｌａｐｔｏｐ Ｃｏｍｐｕｔｅｒ）もしくはノートパソコン、携帯情報端末（Ｐｅｒｓｏｎａｌ Ｄｉｇｉｔａｌ Ａｓｓｉｓｔａｎｔ，ＰＤＡ）、パームトップコンピュータ、ネットブック、ウルトラモバイルパーソナルコンピュータ（ｕｌｔｒａ－ｍｏｂｉｌｅ ｐｅｒｓｏｎａｌ ｃｏｍｐｕｔｅｒ，ＵＭＰＣ）、モバイルインターネット機器（Ｍｏｂｉｌｅ Ｉｎｔｅｒｎｅｔ Ｄｅｖｉｃｅ，ＭＩＤ）、ウェアラブル機器（Ｗｅａｒａｂｌｅ Ｄｅｖｉｃｅ）もしくは車載機器（ＶＵＥ）、歩行者端末（ＰＵＥ）等の端末側機器であってよく、ウェアラブル機器は、リストバンド、ヘッドフォン、メガネ等を含む。説明すべきことは、本願の実施例において端末１１の具体的な種類が限定されない点である。ネットワーク側機器１２は基地局又はコアネットワークであってもよい。基地局はノードＢ、進化型ノードＢ、アクセスポイント、トランシーバ基地局（Ｂａｓｅ Ｔｒａｎｓｃｅｉｖｅｒ Ｓｔａｔｉｏｎ，ＢＴＳ）、無線基地局、無線トランシーバ、基本サービスセット（Ｂａｓｉｃ Ｓｅｒｖｉｃｅ Ｓｅｔ，ＢＳＳ）、拡張サービスセット（Ｅｘｔｅｎｄｅｄ Ｓｅｒｖｉｃｅ Ｓｅｔ，ＥＳＳ）、Ｂノード、進化型Ｂノード（ｅＮＢ）、ホームＢノード、ホーム進化型Ｂノード、ＷＬＡＮアクセスポイント、ＷｉＦｉノード、送受信ポイント（Ｔｒａｎｓｍｉｔｔｉｎｇ Ｒｅｃｅｉｖｉｎｇ Ｐｏｉｎｔ，ＴＲＰ）又は当分野における他の何らかの適切な用語で呼ばれてもよく、同様な技術効果を達成することができれば、前記基地局は、特定の技術用語に限定されない。説明すべきことは、本願の実施例において、単にＮＲシステムにおける基地局を例にするが、基地局の具体的な種類が限定されない点である。

以下において、図面を参照しながら、本願の実施例で提供される鍵取得方法を、具体的な実施例及びその応用シーンにより詳しく説明する。

図２は本願の実施例で提供される鍵取得方法の手順模式図を示し、図２に示すように、該鍵取得方法は以下のステップを含んでもよい。

ステップ２０１で、第１ＵＥはネットワーク側機器に第１鍵情報を送信する。

例示的に、上記第１鍵情報は第２ＵＥの第１鍵を指示するためのものであり、上記第１鍵は第２ＵＥがネットワーク側機器と通信する際のデータに対して暗号化及び／又は完全性保護を行うためのものである。上記完全性保護とは、データを伝送又は記憶するプロセスにおいて、データが改ざんさらないことを保証する動作をいう。上記暗号化とは、データを伝送又は記憶するプロセスにおいて、データが盗聴さらないことを保証する動作をいう。

例示的に、上記第１ＵＥはプロキシＵＥ（即ちＭＵＥ）であり、上記第２ＵＥはプロキシされたＵＥ（即ちＳＵＥ）である。

例示的に、上記第２ＵＥがネットワーク側機器と通信する際のデータは、ユーザプレーンのデータ（例えば１つ又は複数のサービスのサービスデータストリーム、又は１つ又は複数のベアラ上で伝送されるデータ）及び制御プレーンのシグナリングを含む。

一例において、第２ＵＥは上記第１鍵に基づいて第２ＵＥがネットワーク側機器と通信する際のデータに対して完全性保護を行うと、ネットワーク側機器は上記第１鍵に基づいて第２ＵＥがネットワーク側機器と通信する際のデータに対して完全性検証を行う。

別の例において、第２ＵＥは上記第１鍵に基づいて第２ＵＥがネットワーク側機器と通信する際のデータに対して暗号化動作を行うと、ネットワーク側機器は上記第１鍵に基づいて第２ＵＥがネットワーク側機器と通信する際のデータに対して復号動作を行う。

例示的に、上記第１ＵＥが第１鍵情報を送信する前に、第１ＵＥをＡＳセキュリティアクティブ化の状態にする必要がある。一般的に、第１ＵＥのＡＳセキュリティ機能がアクティブ化された後、ローカル及び／又はネットワーク側機器で第１ＵＥのＡＳセキュリティコンテキストが確立される。

例示的に、暗号化プロセスについて、本願の実施例における暗号化プロセスの暗号化アルゴリズムはネットワークによりＵＥに構成されたものであり、鍵ストリームの５つの入力パラメータのうちのＣＯＵＮＴ、ＢＥＡＲＥＲ、ＤＩＲＥＣＴＩＯＮ、ＬＥＮＧＴＨは現在のデータから取得することができ、１２８ｂｉｔのｋｅｙはネットワーク側機器とＵＥが一定のルールで導出されたものであり、セキュリティ上の理由から、エアインタフェースを介して伝送されない。

例示的に、完全性保護プロセスについて、本願の実施例における完全性保護アルゴリズムはネットワーク側機器によりＵＥに構成されたものであり、鍵ストリームの５つの入力パラメータのうちのＣＯＵＮＴ、ＢＥＡＲＥＲ、ＤＩＲＥＣＴＩＯＮ、ＬＥＮＧＴＨ、ＭＥＳＳＡＧＥは現在のデータから取得することができ、１２８ｂｉｔのｋｅｙはネットワーク側機器とＵＥが一定のルールで導出されたものであり、セキュリティ上の理由から、エアインタフェースを介して伝送されない。

本願の実施例で提供される鍵取得方法では、エアインタフェースを介して伝送されるデータ及び／又はシグナリングに対する暗号化及び／又は完全性保護ができるように、第２ＵＥは第１ＵＥを介してネットワーク側機器に第２ＵＥのセキュリティ鍵を報告／ネゴシエーションし、これにより第２ＵＥは該セキュリティ鍵を用いて該第２ＵＥがネットワーク側機器と通信する際のデータに対して暗号化及び／又は完全性保護を行うことができるようになり、該第２ＵＥとネットワーク側機器間の通信の信頼性が効果的に保証される。

本願の実施例において、第１ＵＥは少なくとも以下の３つの鍵取得方式で第２ＵＥの第１鍵を取得することができる。

第１の可能な実施形態において、
選択的に、本願の実施例において、第２ＵＥは該第２ＵＥのセキュリティ鍵を生成する能力を有するが、ネットワーク側機器にセキュリティに指示することができない場合、第２ＵＥは第１ＵＥを介して第２ＵＥのセキュリティ鍵をネットワーク側機器に指示することができる。

例示的に、上記ステップ２０１の前に、本願の実施例で提供される鍵取得方法は、
第１ＵＥは第２ＵＥから該第２ＵＥの第１鍵の全部もしくは一部の情報を取得するステップ２０１ａを含んでもよい。

例示的に、上記第２ＵＥの第１鍵は第２ＵＥにより自ら生成したものであってもよい。

例示的に、第２ＵＥは第１ＵＥに該第２ＵＥの第１鍵を送信する際に、第２ＵＥは該第１鍵の全ての情報を第１ＵＥに送信することを選択してもよく、該第１鍵の一部の情報を第１ＵＥに送信することを選択してもよい（第１ＵＥは該一部の情報に基づいて完全な第１鍵を導出又は取得することができる）。

さらに選択的に、本願の実施例において、上記第１鍵情報は、上記第２ＵＥの第１鍵の全部もしくは一部の情報を含むか、又は上記第２ＵＥの第１鍵の全部もしくは一部の情報及び上記第２ＵＥのＵＥ識別子を含む。なお、本願の実施例における第２ＵＥのＵＥ識別子はネットワーク側機器によって予めＳＵＥに割り当て／記憶されたＵＥ識別子であることに注意すべきである。

例示的に、上記ＵＥ識別子は、国際移動加入者識別番号（Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｍｏｂｉｌｅ Ｓｕｂｓｃｒｉｂｅｒ Ｉｄｅｎｔｉｆｉｃａｔｉｏｎ Ｎｕｍｂｅｒ，ＩＭＳＩ）、ネットワークアクセス識別子（Ｎｅｔｗｏｒｋ Ａｃｃｅｓｓ Ｉｄｅｎｔｉｆｉｅｒ，ＮＡＩ）、ＳＵＰＩ（Ｓｕｂｓｃｒｉｐｔｉｏｎ ｐｅｒｍａｎｅｎｔ ｉｄｅｎｔｉｆｉｅｒ）、ＳＵＣＩ（Ｓｕｂｓｃｒｉｐｔｉｏｎ Ｃｏｎｃｅａｌｅｄ Ｉｄｅｎｔｉｆｉｅｒ）、５Ｇのグロバルに唯一の一時的ＵＥ識別子（５Ｇ Ｇｌｏｂａｌｌｙ Ｕｎｉｑｕｅ Ｔｅｍｐｏｒａｒｙ ＵＥ Ｉｄｅｎｔｉｔｙ，５Ｇ ＧＵＴＩ）、ＧＵＴＩ（Ｇｌｏｂａｌｌｙ Ｕｎｉｑｕｅ Ｔｅｍｐｏｒａｒｙ ＵＥ Ｉｄｅｎｔｉｔｙ）、Ｓ－ＴＭＳＩ、ｎｇ－Ｓ－ＴＭＳＩ、５Ｇ ＴＭＳＩ、ＴＭＳＩ、Ｃ－ＲＮＴＩ、ＴＣ－ＲＮＴＩ、Ｉ－ＲＮＴＩ、ｆｕｌｌＩ－ＲＮＴＩのうちの少なくとも１つを含んでもよい。一例において、上記ＵＥ識別子はＣ－ＲＮＴＩ、ＴＣ－ＲＮＴＩ、Ｉ－ＲＮＴＩ、ｆｕｌｌＩ－ＲＮＴＩ等の識別子の一部（例えばｓｈｏｒｔ Ｉ－ＲＮＴＩ）であってもよい。

選択的に、本願の実施例において、特定のシーンでは、セキュリティの問題により、エアインタフェースを介して第２ＵＥの第１鍵を伝送することができず、したがって、第１ＵＥは第２ＵＥに関連する情報を用いて第２ＵＥの第１鍵を算出することができる。

例示的に、上記ステップ２０１の前に、本願の実施例で提供される鍵取得方法は、
第１ＵＥは目標情報と入力パラメータに基づいて、上記第２ＵＥの第１鍵を計算するステップ２０１ｂを含んでもよい。

上記目標情報は、第１情報又は上記第１ＵＥのセキュリティ鍵を含む。

例示的に、上記第１情報は上記第１ＵＥと上記第２ＵＥに保存されている同じパラメータ又は関連パラメータであり、例えば、ＭＵＥとＳＵＥが同一のメーカに属する場合のメーカ識別番号のようなＭＵＥとＳＵＥのいずれにも保存されている１ないし複数の同じ又は関連するパラメータである。

例示的に、上記第１ＵＥのセキュリティ鍵は、第１サブ鍵、第２サブ鍵のうちの少なくとも１つを含む。上記第１サブ鍵は第１アクセスネットワーク要素に関連する鍵であり、つまり上記第１サブ鍵は第１ＵＥと第１アクセスネットワーク要素間の伝送に用いられる。上記第２サブ鍵は第２アクセスネットワーク要素に関連する鍵であり、つまり上記第２サブ鍵は第１ＵＥと第２アクセスネットワーク要素間の伝送に用いられる。なお、上記第１サブ鍵又は上記第２サブ鍵はルート鍵と呼ばれてもよく、ＫｅＮＢ、ＫｇＮＢ、ＡＳ（アクセス層）セキュリティ鍵等と呼ばれてもよいことに注意すべきである。

一例において、第１ＵＥと第２ＵＥが二重接続のシーンにある場合、上記第１アクセスネットワーク要素はマスタ基地局であってもよく、つまり、上記第１サブ鍵は第１ＵＥとマスタ基地局間のセキュリティ伝送に用いられ得、これに応じて、上記第２アクセスネットワーク要素はセカンダリ基地局であってもよく、つまり、上記第２サブ鍵は第１ＵＥとセカンダリ基地局間のセキュリティ伝送に用いられ得る。

例示的に、上記入力パラメータは、目標パラメータ、上記第２ＵＥが位置するセルのＰＣＩ、上記第２ＵＥが位置するセルの周波数ポイント情報、上記第２ＵＥの機器情報のうちの少なくとも１つを含む。上記目標パラメータは、カウンタ、乱数、シーケンスのうちの少なくとも１つを含む。一例において、上記カウンタはＳｕｅ－ｃｏｕｎｔｅｒであり、Ｋｓｕｅを初回計算時に、Ｓｕｅ－ｃｏｕｎｔｅｒ値は０であり、計算後、Ｓｕｅ－ｃｏｕｎｔｅｒ値は１になり、且つ以降Ｋｓｕｅが計算される度にインクリメントされる。ＭＵＥのｋｅｙが更新されると、Ｓｕｅ－ｃｏｕｎｔｅｒの値はリセットされる。なお、本願の実施例はカウンタの名称について限定しないことに注意すべきである。

なお、上記目標パラメータは第１鍵のランダム性を一定程度増大させることができ、これにより第１鍵は更新でき、第１鍵のセキュリティが向上することに注意すべきである。一例において、上記カウンタは上記第１鍵が取得された回数に応じてインクリメントすることができる。

さらに選択的に、本願の実施例において、上記目標情報は上記第１情報である場合、上記第１鍵情報は、上記第１鍵、上記入力パラメータ、上記第２ＵＥのＵＥ識別子、上記第１情報のうちの少なくとも１つを含む。上記目標情報は上記セキュリティ鍵である場合、上記第１鍵情報は、上記第１鍵、上記入力パラメータ、上記第２ＵＥのＵＥ識別子、第１指示情報のうちの少なくとも１つを含む。上記第１指示情報は、上記セキュリティ鍵を用いて上記第２ＵＥが上記ネットワーク側機器と通信する際のデータに対して暗号化及び／又は完全性保護を行うことを指示するためのものである。

選択的に、本願の実施例において、特定のシーンでは、セキュリティの問題により、エアインタフェースを介して第２ＵＥの第１鍵を伝送することができず、したがって、第１ＵＥは該第１ＵＥのセキュリティ鍵を第２ＵＥのために再利用可能である。

例示的に、上記ステップ２０１の前に、本願の実施例で提供される鍵取得方法は以下のステップ２０１ｃ１とステップ２０１ｃ２を含んでもよい。

ステップ２０１ｃ１で、第１ＵＥは第２ＵＥから鍵要求を受信する。

上記鍵要求は、上記第１ＵＥのセキュリティ鍵を用いて上記第２ＵＥが上記ネットワークと通信する際のデータに対して暗号化及び／又は完全性保護を行うことを要求するためのものである。上記第１ＵＥのセキュリティ鍵は第１サブ鍵又は第２サブ鍵を含み、上記第１サブ鍵は第１アクセスネットワーク要素に関連する鍵であり、上記第２サブ鍵は第２アクセスネットワーク要素に関連する鍵であり。例示的に、二重接続のシーンにおいて、ＭＵＥはＳＣＧのセキュリティ鍵をＳＵＥのために再利用可能である。

ステップ２０１ｃ２で、第１ＵＥは上記鍵要求に応じて、上記第２サブ鍵を上記第２ＵＥの第１鍵とする。

さらに選択的に、本願の実施例において、上記第１鍵情報は、第２指示情報、上記第２ＵＥのＵＥ識別子のうちの少なくとも１つを含む。上記第２指示情報は、上記第１サブ鍵又は上記第２サブ鍵を用いて上記第２ＵＥが上記ネットワークと通信する際のデータに対して暗号化及び／又は完全性保護を行うことを指示するためのものである。

選択的に、本願の実施例において、図３に示すように、上記ステップ２０１の前に、本願の実施例で提供される鍵取得方法は、
第２ＵＥは第１ＵＥにプロキシ要求を送信するステップＡ１と、
第１ＵＥは上記第２ＵＥからプロキシ要求を受信するステップＡ２と、
第１ＵＥは上記第２ＵＥにプロキシ応答を送信するステップＡ３と、
第２ＵＥは第１ＵＥからフィードバックされたプロキシ応答を受信すると、第２ＵＥは上記第１ＵＥに目標鍵情報を送信するステップＡ４と、を含んでもよい。

上記プロキシ要求は、上記第２ＵＥのセキュリティプロセスのプロキシを要求するためのものである。上記プロキシ応答は、上記第１ＵＥが上記第２ＵＥのセキュリティプロセスのプロキシを受け付けることを指示するためのものである。上記目標鍵情報は上記第２ＵＥの第１鍵を指示するためのものである。上記第１鍵は、上記第２ＵＥが上記ネットワークと通信する際のデータに対して暗号化及び／又は完全性保護を行うためのものである。

例示的に、上記目標鍵情報は、上記第１鍵の全部もしくは一部の情報、又は、鍵要求を含む。上記鍵要求は、上記第１ＵＥのセキュリティ鍵を用いて上記第２ＵＥが上記ネットワークと通信する際のデータに対して暗号化及び／又は完全性保護を行うことを要求するためのものである。上記第１ＵＥのセキュリティ鍵は第１サブ鍵又は第２サブ鍵を含み、上記第１サブ鍵は第１アクセスネットワーク要素に関連する鍵であり、上記第２サブ鍵は第２アクセスネットワーク要素に関連する鍵である。

さらに選択的に、本願の実施例において、上記ステップＡ１の前に、本願の実施例で提供される鍵取得方法は、
第１ＵＥは第２情報を送信するステップＢ１と、
第２ＵＥは上記第１ＵＥから第２情報を受信するステップＢ２と、を含んでもよい。上記第２情報は、上記第１ＵＥが他のＵＥのセキュリティプロセスをプロキシする能力を有することを指示するためのものである。

一例において、第１ＵＥは第２情報をブロードキャストして、他のＵＥのセキュリティプロセスをプロキシする能力を有することを近くのＵＥに通知する。第２ＵＥはセキュリティ鍵取得の能力を有さないため、第２ＵＥは該第２情報を受信した後、第１ＵＥにプロキシ要求を送信して、第１ＵＥがネットワーク側機器に該第１ＵＥのセキュリティ鍵を渡すことを要求する。つまり、上記プロキシ要求は、第２ＵＥが第１ＵＥによりブロードキャストされる第２情報を受信した後に開始される要求であってもよい。

別の例において、ＳＵＥはプロキシ要求を近くのＵＥ（近くのＵＥはＭＵＥを含む）にブロードキャストし、ＭＵＥはＳＵＥのプロキシ要求を受信すると、ＳＵＥにフィードバック情報を送信して、セキュリティ鍵のプロキシ要求を受け付けたことをＳＵＥに通知し、さらにセキュリティ鍵のプロキシを完了する。

選択的に、本願の実施例において、上記ステップ２０１の後、本願の実施例で提供される鍵取得方法は、
第１ＵＥは上記第２ＵＥに上記第１鍵情報を送信するステップＣ１と、
第２ＵＥは上記第１ＵＥから第１鍵情報を受信するステップＣ２と、を含んでもよい。

上記第１鍵情報は第２ＵＥの第１鍵を指示するためのものである。

例示的に、第１ＵＥと第２ＵＥとの間で鍵情報を渡す際には暗号化動作を使用することができ、例えば、第１ＵＥと第２ＵＥとの間のインタフェースプロトコルのセキュリティ暗号化方法、アプリケーション層暗号化、非３ＧＰＰ暗号化等を使用することができる。

本願の実施例において、第２ＵＥの第１鍵に変更が生じ又は変更が必要になる場合、第１ＵＥ、第２ＵＥ及びネットワーク側機器のいずれも鍵更新フローを開始することができる。

選択的に、本願の実施例において、第１ＵＥにより鍵更新フローを開始するプロセスについて、上記ステップ２０１の後、本願の実施例で提供される鍵取得方法は、
第１条件を満たす場合に、第１ＵＥは上記ネットワーク側機器及び／又は第２ＵＥに第２鍵情報を送信するステップＤ１を含んでもよい。上記第２鍵情報は更新後の第１鍵を指示するためのものである。

上記第１条件は、第２ＵＥの第１鍵の変更、該第２ＵＥの第１鍵を計算するための情報の変更のうちの少なくとも１つを含む。例示的に、上記該第２ＵＥの第１鍵を計算するための情報は上述した第１鍵を計算するための全部もしくは一部の情報であってもよく、例えば、第１ＵＥのセキュリティ鍵、上記入力パラメータ、目標情報、鍵要求等であってもよい。

例示的に、入力パラメータのカウンタについて、上記該第２ＵＥの第１鍵を計算するための情報の変更は、Ｓｕｅ－ｃｏｕｎｔｅｒ ｗｒａｐ ａｒｏｕｎｄ（即ちカウンタによるカウントが最大値を上回ったら０からカウントする）の場合、第２ＵＥの任意のＳＲＢ又はＤＲＢのアップリンクもしくはダウンリンクのＰＤＣＰ ＣＯＵＮＴ値がまもなく境界値になる場合を含む。例示的に、Ｓｕｅ－ｃｏｕｎｔｅｒ ｗｒａｐ ａｒｏｕｎｄの場合、第１ＵＥのセキュリティ鍵又は第１情報を更新する必要がある。具体的に、鍵ストリームの５つのパラメータの１つである上記ＰＤＣＰ ＣＯＵＮＴの値は境界値になると、０からカウントが再開し、この場合、他の４つのパラメータの値を変化しないと、ＵＥは送信が異なる伝送プロセスにおいて同じ鍵を使用して、セキュリティではない問題になることがあり、この場合は新しい鍵を改めて生成して、データのセキュリティを保証する必要があるう。

例示的に、上記第１ＵＥは新しい第１鍵又は第１鍵の変化量を算出した後、新しい第１鍵又は第１鍵の変化量又は第１鍵を計算するための関連パラメータをネットワーク側機器に通知する。上記第１鍵の変化量は、新第１鍵と旧第１鍵の間の差異（例えばｓｕｅ－ｃｏｕｎｔｅｒ値の変化量や、ＳＵＥが位置するＰＣＩの変化量、周波数ポイント情報の変化量）であってもよく、更新後の入力パラメータ（例えば新しいｓｕｅ－ｃｏｕｎｔｅｒ値、ＳＵＥが最後に位置したＰＣＩ、周波数ポイント情報）であってもよく、変更された目標情報（例えば、第１鍵を計算するための目標情報として第２サブ鍵を使用することは、第１鍵を計算するための目標情報として第１サブ鍵を使用することに変更された）であってもよく、変更された鍵要求（例えば、第１鍵として第２サブ鍵を使用することは、第１鍵として第１サブ鍵を使用することに変更された）であってもよい。ネットワーク側機器とＳＵＥは取り決めた方法で新しい第１鍵を生成する。

選択的に、本願の実施例において、第２ＵＥにより鍵更新フローを開始するプロセスについて、上記ステップ２０１の後、本願の実施例で提供される鍵取得方法は、
第１条件を満たす場合に、第２ＵＥはネットワーク側機器に第３鍵情報を送信するステップＥ１を含んでもよい。上記第３鍵情報は更新後の第１鍵を指示するためのものである。

上記第１条件は、第２ＵＥの第１鍵の変更、該第２ＵＥの第１鍵を計算するための情報の変更のうちの少なくとも１つを含む。例示的に、上記該第２ＵＥの第１鍵を計算するための情報は上述した第１鍵を計算するための全部もしくは一部の情報であってもよく、例えば、第１ＵＥのセキュリティ鍵、上記入力パラメータ、第１情報等であってもよい。

例示的に、第２ＵＥは直接又は第１ＵＥを介してネットワーク側機器に上記第３鍵情報を送信することができる。

例示的に、ＳＵＥは、新しい第１鍵又は第１鍵の変化量又は更新された入力パラメータ又は更新された目標情報をネットワーク側機器に通知することができる（ＳＵＥのエアインタフェース又はＭＵＥを介してネットワーク側機器に転送する）。第１鍵の変化量は、新第１鍵と旧第１鍵の間の差異（例えばｓｕｅ－ｃｏｕｎｔｅｒ値の変化量や、ＳＵＥが位置するＰＣＩの変化量、周波数ポイント情報の変化量）であってもよく、更新後の入力パラメータ（例えば新しいｓｕｅ－ｃｏｕｎｔｅｒ値、ＳＵＥが最後に位置したＰＣＩ、周波数ポイント情報）であってもよく、変更された目標情報（例えば、第１鍵を計算するための目標情報として第２サブ鍵を使用することは、第１鍵を計算するための目標情報として第１サブ鍵を使用することに変更された）であってもよく、変更された鍵要求（例えば、第１鍵として第２サブ鍵を使用することは、第１鍵として第１サブ鍵を使用することに変更された）であってもよい。ネットワーク側機器とＳＵＥは取り決めた方法で新しい第１鍵を生成する。

本願の実施例で提供される鍵取得方法の手順模式図である図２を参照し、ネットワーク側機器側について、該鍵取得方法は、
ネットワーク側機器は第１ＵＥから第１鍵情報を受信するステップ２０２を含んでもよい。

上記第１鍵情報は第２ＵＥの第１鍵を指示するためのものである。上記第２ＵＥの第１鍵は第２ＵＥが前記ネットワーク側機器と通信する際のデータに対して暗号化及び／又は完全性保護を行うためのものである。なお、上記第１鍵情報についての説明は上記記載を参照すればよく、ここでは詳細な説明を省略することに注意すべきである。

選択的に、本願の実施例において、ネットワーク側機器は第１ＵＥ又は第２ＵＥから送信した目標鍵情報を受信した後、第２ＵＥの更新後の第１鍵を取得することができる。例示的に、上記ステップ２０２の後、該方法は、
ネットワーク側機器は目標ＵＥから目標鍵情報を受信するステップ３０１ａ１と、
ネットワーク側機器は目標鍵情報に基づいて、更新後の第２ＵＥの第１鍵を決定するステップ３０１ａ２と、をさらに含んでもよい。

上記目標ＵＥは第１ＵＥ又は第２ＵＥを含む。上記目標鍵情報は更新後の第２ＵＥの第１鍵を指示するためのものである。一例において、上記目標鍵情報は上記実施例における第２鍵情報又は第３鍵情報であってもよい。

選択的に、本願の実施例において、ネットワーク側機器は第２ＵＥの第１鍵を改めて計算することができ、つまり、ネットワーク側機器により鍵更新フローを開始するプロセスについて、例示的に、上記ステップ２０２の後、該方法は、
第１条件を満たす場合に、ネットワーク側機器は目標ＵＥに第４鍵情報を送信するステップ３０１ｂ１をさらに含んでもよい。

上記目標ＵＥは第１ＵＥ又は第２ＵＥを含む。上記第４鍵情報は該更新後の第２ＵＥの第１鍵を指示するためのものである。

例示的に、上記第１条件は、第２ＵＥの第１鍵の変更、該第２ＵＥの第１鍵を計算するための情報の変更のうちの少なくとも１つを含む。例示的に、上記該第２ＵＥの第１鍵を計算するための情報は上述した第１鍵を計算するための全部もしくは一部の情報であってもよく、例えば、第１ＵＥのセキュリティ鍵、上記入力パラメータ、第１情報等であってもよい。

例示的に、ネットワーク側機器は新しい第１鍵又は第１鍵の変化量を算出した後、新しい第１鍵又は第１鍵の変化量又は第１鍵を計算するための関連パラメータをＳＵＥに通知する（ＳＵＥのエアインタフェース又はＭＵＥを介してＳＵＥに転送する）。上記第１鍵の変化量は、新第１鍵と旧第１鍵の間の差異（例えばｓｕｅ－ｃｏｕｎｔｅｒ値の変化量や、ＳＵＥが位置するＰＣＩの変化量、周波数ポイント情報の変化量）であってもよく、更新後の入力パラメータ（例えば新しいｓｕｅ－ｃｏｕｎｔｅｒ値、ＳＵＥが最後に位置したＰＣＩ、周波数ポイント情報）であってもよく、変更された目標情報（例えば、第１鍵を計算するための目標情報として第２サブ鍵を使用することは、第１鍵を計算するための目標情報として第１サブ鍵を使用することに変更された）であってもよく、変更された鍵要求（例えば、第１鍵として第２サブ鍵を使用することは、第１鍵として第１サブ鍵を使用することに変更された）であってもよい。ネットワーク側機器とＳＵＥは取り決めた方法で新しい第１鍵を生成する。

選択的に、本願の実施例において、上記ステップ２０２の後、該方法は、
第２条件を満たす場合に、ネットワーク側機器は第２ＵＥに第３情報を送信するステップ３０１ｃ１と、
第２ＵＥはネットワーク側機器から第３情報を受信するステップ３０１ｃ２と、
第２ＵＥはネットワーク側機器に応答情報をフィードバックするステップ３０１ｃ３と、
ネットワーク側機器は第２ＵＥから応答情報を受信するステップ３０１ｃ４と、をさらに含んでもよい。

上記第３情報は、第２ＵＥのセキュリティをアクティブ化及び／又は該第２ＵＥのセキュリティ鍵を確認するためのものである。上記応答情報は、第２ＵＥのセキュリティがアクティブ化されたことを指示するためのものである。

例示的に、上記第２条件は、第２ＵＥがＲＲＣ接続状態に入ること、ネットワーク側機器が第２ＵＥのセキュリティコンテキストを確立したこと、第２ＵＥのダウンリンクデータが到着し且つセキュリティ状態がアクティブ化されていないことのうちの少なくとも１つを含む。

こうして、ネットワーク側機器は第２ＵＥの第１鍵を取得した後、後続で該第２ＵＥがネットワーク側機器と通信する際のデータに対して暗号化及び／又は完全性保護を行うことができるように、第２ＵＥのセキュリティ状態をアクティブ化することができ、さらに該第２ＵＥとネットワーク側機器間の通信の信頼性が効果的に保証される。

以下において、第１ＵＥはＭＵＥであり、第２ＵＥはＳＵＥであることを例にして、上述した複数種の鍵取得方式について例を挙げて説明する。

例１では、ＳＵＥはＳＵＥのｋｅｙ（Ｋｓｕｅと略称）即ち上記第１鍵を生成する能力を有するが、ネットワークにセキュリティに指示することができず、この場合はＭＵＥを介してネットワークに送信することができる。具体的に以下のステップを含む。

ステップ１で、ＭＵＥのＡＳセキュリティをアクティブ化し、ｇＮＢとのＡＳセキュリティコンテキストが確立されている。

ステップ２で、ＳＵＥはＭＵＥを介してｇＮＢにセキュリティ鍵を渡すことを要求する。

選択的に、以下の２つの方式で要求することができる。
方式１で、ＳＵＥは、ＭＵＥによりブロードキャストされる情報（該情報はＭＵＥが他のＵＥとネットワークのＡＳセキュリティプロセスをプロキシできる能力を有することを指示する）を受信した後、要求を開始する。
方式２で、ＳＵＥは、セキュリティプロキシ要求を近くのＵＥ（近くのＵＥはＭＵＥを含む）にブロードキャストする。

ステップ３で、ＭＵＥはＳＵＥのプロキシ要求を受信する。

選択的に、ＭＵＥはＳＵＥの要求を受信した後、フィードバック（例えばＳＵＥの要求を受け付ける）を送信する。

ステップ４で、ＳＵＥはＫｓｕｅをＭＵＥに送信する。ＳＵＥとＭＵＥとの間の伝送は、例えば、非３ＧＰＰ暗号化、アプリケーション層暗号化等の暗号化の方式を用いることができる。

選択的に、ＳＵＥはＳＵＥ識別子も併せてＭＵＥに送信する。ＳＵＥはｇＮＢでＲＲＣ接続確立プロセスを開始し（自ＳＵＥのエアインタフェース又はＭＵＥのエアインタフェースを介する）、原因値がセキュリティ鍵のネゴシエーションを確立し、ＳＵＥはＭｓｇ４を受信した後、ｍｓｇ２において取得されたＣ－ＲＮＴＩをＳＵＥ識別子とする。ＭＵＥとＳＵＥのプロキシネゴシエーションにおいて、ＭＵＥはｇＮＢにより生成されたＳＵＥのためのＵＥ識別子を要求する。

ステップ５で、ＭＵＥはＫｓｕｅを受信した後、第１鍵情報をｇＮＢに送信し、該第１鍵情報はＫｓｕｅを含むか、又はＫｓｕｅ及びＳＵＥ識別子を含む。第１鍵情報はＭＵＥのＡＳ鍵を用いて暗号化及び／又は完全性保護を行うことができる。

ステップ６で、ｇＮＢは第１鍵情報を受信した後、ＳＵＥ識別子に基づいてＳＵＥの識別情報を検証し、検証が成功した後、後続でＳＵＥと通信する際のＡＳ暗号化及び／又は完全性保護のためにＫｓｕｅを保存することができる。

ステップ７で、第１条件を満たす場合、ｇＮＢはＳＵＥに第３情報（例えばＳＭＣ）を送信する。第３情報はＡＳセキュリティをアクティブ化及び／又はＡＳセキュリティ鍵を確認するためのものである。例示的に、上記第１条件は、ＳＵＥがＲＲＣ接続状態に入ること、ＧｎｂがＳＵＥのＡＳセキュリティコンテキストを確立したこと（コンテキストはＳＵＥのセキュリティ鍵及び関連パラメータを含む）、ＳＵＥのダウンリンクデータが到着し且つＡＳセキュリティがアクティブ化されていないことのうちの少なくとも１つを含む。

ステップ８で、ＳＵＥは第３情報（自ＳＵＥのエアインタフェース又はＭＵＥを介して転送される）を受信すると、ダウンリンクセキュリティはアクティブ化され、ＳＵＥはその中の情報を正しく復号した場合、ｇＮＢに応答を送信し、その後アップリンクセキュリティはアクティブ化される。

例２では、特定のシーンにおいて、セキュリティ上の理由によりエアインタフェースを介してＳＵＥ ｋｅｙを伝送できないことがあることから、セキュリティを保証するように、ｒｏｏｔ ｋｅｙとしてＭＵＥのｋｅｙを使用し、ＳＵＥ ｃｏｕｎｔｅｒのみをエアインタフェースを介して送信することができる。具体的には以下のステップを含む。

ステップ１～３は例１と同様であり、ここでは詳細な説明を省略する。

ステップ４で、ＭＵＥはＭＵＥ ｒｏｏｔ ｋｅｙ及びＳＵＥ関連パラメータ（即ち上記入力パラメータ）に基づいてＫｓｕｅを計算する。ＭＵＥ ｒｏｏｔ ｋｅｙは、ＫｇＮＢ、Ｓ－ＫｇＮＢ（即ちＭＵＥのＳＣＧ伝送用の鍵）のいずれか１つ又は複数を含む。ＳＵＥ関連パラメータは、カウンタ（例えばＳｕｅ－ｃｏｕｎｔｅｒ）、ＳＵＥが位置するセルのＰＣＩ（物理セルＩＤ）、周波数ポイント情報、ＳＵＥの機器情報（例えばＩＭＥＩ）等の情報の様々な組合せを含む。

ステップ５で、ＭＵＥはＭＵＥとＳＵＥの間のインタフェースを介してＫｓｕｅをＳＵＥに指示する。ＭＵＥとＳＵＥの間の情報伝達に暗号化メカニズムが使用されている場合は、例えばアプリケーション層暗号化、非３ＧＰＰ暗号化メカニズムを使用する。

ステップ６で、ＭＵＥはｇＮＢに第１鍵情報を送信する。第１鍵情報はＭＵＥのＡＳ鍵を用いて暗号化及び／又は完全性保護を行う。第１鍵情報は、Ｋｓｕｅ、ＳＵＥ関連パラメータ、第１指示情報（ＫｇＮＢ又はＳ－ＫｇＮＢを用いてＫｓｕｅを計算することを指示する指示情報）、ＳＵＥ識別子のうちの少なくとも１つを含む。

ステップ６で、ｇＮＢは第１鍵情報を受信した後、ＳＵＥ識別子に基づいてＳＵＥの識別情報を検証し、検証が成功した後、後続でＳＵＥと通信する際のＡＳ暗号化及び／又は完全性保護のためにＫｓｕｅを保存する。

ステップ７～８は例１のステップ７～８と同様であり、ここでは詳細な説明を省略する。

説明すべきことは、本例において、プロキシ要求、ＳＵＥ識別子、ｓｕｅ－ｃｏｕｎｔｅｒ値についての説明は、特に断りのない限り例１を参照することができ、ここでは詳細な説明を省略する点である。

例３では、特定のシーンにおいて、セキュリティ上の理由によりエアインタフェースを介してＳＵＥ ｋｅｙを伝送できないことがあることから、セキュリティを保証するように、ＳＣＧのｋｅｙをＳＵＥのために再利用することができる。具体的には以下のステップを含む。

ステップ１で、ＭＵＥのＡＳセキュリティをアクティブ化し、基地局とのＡＳセキュリティコンテキストが確立されている。

ステップ２で、ＳＵＥは、ＭＵＥのＳＣＧ ｋｅｙを使用することを要求する。

ステップ３で、ＭＵＥはＳＵＥの要求を受信する。

ステップ４で、ＭＵＥは生成された第２ｋｅｙ（例えば、ＳＣＧの鍵Ｓ－ＫｇＮＢ）をＫｓｕｅとしてＳＵＥに送信する。ＭＵＥはＳ－ＫｇＮＢをＳＵＥに送信する際に、ＭＵＥとＳＵＥの間の情報伝達の暗号化メカニズム、例えば、アプリケーション層暗号化、非３ＧＰＰ暗号化メカニズムを使用する。

選択的に、ＳＵＥに送信する前に、ＭＵＥはｇＮＢに第４情報を送信してネットワークから返した確認情報を受信する。第４情報はＳＣＧ鍵を他のＵＥ（ＳＵＥ）に用いることを要求するためのものである。

ステップ５で、ＭＵＥはｇＮＢに第１鍵情報を送信する。第１鍵情報は、第２指示情報（ＭＵＥのＳＣＧ鍵をＳＵＥに用いることを指示するための情報）、ＳＵＥ識別子を含む。

ステップ６で、ｇＮＢは第１鍵情報を受信した後、ＳＵＥ識別子に基づいてＳＵＥの識別情報を検証し、検証が成功した後、後続でＳＵＥと通信する際のＡＳ暗号化及び／又は完全性保護のためにＳ－ＫｇＮＢを使用する。

ステップ７～８は例１のステップ７～８と同様であり、ここでは詳細な説明を省略する。

説明すべきことは、本例において、プロキシ要求、ＳＵＥ識別子、ｓｕｅ－ｃｏｕｎｔｅｒ値についての説明は、特に断りのない限り例１を参照することができ、ここでは詳細な説明を省略する点である。

例４では、ＭＵＥは該ＭＵＥとＳＵＥに公知の１組のパラメータに基づいて、ＳＵＥ ｋｅｙを導出する。具体的には以下のステップを含む。

ステップ１～３は例１と同様であり、ここでは詳細な説明を省略する。

ステップ４で、ＭＵＥは目標情報と少なくとも１つの入力パラメータに基づいてＫｓｕｅを計算する。目標情報はＭＵＥとＳＵＥのいずれにおいても保存されている１ないし複数の同じ又は関連するパラメータであり、例えば、同一のメーカの携帯電話、時計が有する識別番号である。上記入力パラメータは、Ｓｕｅ－ｃｏｕｎｔｅｒ、乱数、ＳＵＥのＰＣＩ、周波数ポイント等のうちの１つ又は複数を含む。

ステップ５で、ＭＵＥはステップ４の１ないし複数の入力パラメータをＳＵＥに指示し、ＳＵＥは目標情報と当該１組の入力パラメータに基づいてＫｓｕｅを計算する。

ステップ６で、ＭＵＥはｇＮＢに第１鍵情報を送信する。該第１鍵情報は、Ｋｓｕｅ、上記入力パラメータ、目標情報、ＳＵＥ識別子のうちの少なくとも１つを含む。

ステップ７で、ｇＮＢは第１鍵情報を受信した後、ＳＵＥ識別子に基づいてＳＵＥの識別情報を検証し、検証が成功した後、後続でＳＵＥと通信する際のＡＳ暗号化及び／又は完全性保護のためにＫｓｕｅを保存／計算する。

ステップ８で、Ｋｓｕｅに更新が必要になる場合、ＭＵＥ又はＳＵＥは、更新したＫｓｕｅ又はＫｓｕｅを計算するための１ないし複数の入力パラメータだけをｇＮＢ及び／又はＳＵＥに通知する。

上記フローにおいて、ＳＵＥは、目標情報と１ないし複数の入力パラメータに基づいてＫｓｕｅを算出し、Ｋｓｕｅを計算するための１ないし複数の入力パラメータをＭＵＥに送信し、ＭＵＥを介してネットワーク側機器に転送してもよい。

説明すべきことは、本例において、プロキシ要求、ＳＵＥ識別子、ｓｕｅ－ｃｏｕｎｔｅｒ値についての説明は、特に断りのない限り例１を参照することができ、ここでは詳細な説明を省略する点である。

例示的に、上記４つの例において、Ｋｓｕｅを計算するためのパラメータに変更が生じた場合、Ｋｓｕｅを更新する必要がある。一例において、第１条件を満たす場合、ＭＵＥはＫｓｕｅを改めて計算する。次に、ＭＵＥは新しいＫｓｕｅ又はＫｓｕｅを導出するのに必要な関連情報をｇＮＢに通知する。別の例において、第１条件を満たす場合、ＳＵＥはＫｓｕｅを改めて計算する。次に、ＳＵＥは新しいＫｓｕｅ又はＫｓｕｅを導出するのに必要な関連情報をｇＮＢに通知する（方式は上記４つの例を参照できる）。説明すべきことは、いずれの場合でも、ＳＵＥとｇＮＢは新しいＫｓｕｅについて、ＫＲＲＣｅｎｃ、ＫＵＰｅｎｃ、ＫＲＲＣｉｎｔ、ＫＵＰｉｎｔ鍵を改めて計算する点である。

一例において、上記第１条件は、
ＫｇＮＢ、ＫｅＮＢ、Ｓ－ＫｇＮＢ、Ｓ－ＫｅＮＢのうちの１つを用いて計算したＫｓｕｅの値が変更した場合、
Ｓｕｅ－ｃｏｕｎｔｅｒ ｗｒａｐ ａｒｏｕｎｄ（最大値を上回ったら０からカウントする）の場合、
ＳＵＥのＰＣＩ、周波数ポイント情報が変更した場合、
ＳＵＥの任意のＳＲＢ又はＤＲＢの上り／下りのＰＤＣＰ ＣＯＵＮＴｓ値がまもなく境界値になる場合、のうちの少なくとも１つを含む。

説明すべきことは、本願の実施例で提供される鍵取得方法の実行主体は鍵取得装置であってもよく、又は該鍵取得装置内の、鍵取得方法を実行するための制御モジュールであってもよく、該鍵取得装置はＵＥであってもよい点である。本願の実施例において、ＵＥを例にして本願の実施例で提供される鍵取得方法を説明する。

図４は本願の実施例で提供される鍵取得装置の構造模式図を示し、図４に示すように、該鍵取得装置は、ネットワーク側機器に第１鍵情報を送信するための送信モジュール４０１を備える。上記第１鍵情報は、第２ＵＥの第１鍵を指示するためのものである。上記第１鍵は、上記第２ＵＥが上記ネットワーク側機器と通信する際のデータに対して暗号化及び／又は完全性保護を行うためのものである。

選択的に、図４に示すように、該鍵取得装置は、上記第２ＵＥから上記第２ＵＥの第１鍵の全部もしくは一部の情報を取得するための取得モジュール４０２をさらに備える。

選択的に、上記第１鍵情報は、上記第２ＵＥの第１鍵の全部もしくは一部の情報を含むか、又は上記第２ＵＥの第１鍵の全部もしくは一部の情報及び上記第２ＵＥのＵＥ識別子を含む。

選択的に、図４に示すように、該鍵取得装置は、目標情報と入力パラメータに基づいて、上記第２ＵＥの第１鍵を計算するための計算モジュール４０３をさらに備える。上記目標情報は、第１情報又は上記第１ＵＥのセキュリティ鍵を含む。上記第１情報は、上記第１ＵＥと上記第２ＵＥに保存されている同じパラメータ又は関連パラメータである。上記第１ＵＥのセキュリティ鍵は第１サブ鍵又は第２サブ鍵を含み、上記第１サブ鍵は第１アクセスネットワーク要素に関連する鍵であり、上記第２サブ鍵は第２アクセスネットワーク要素に関連する鍵である。上記入力パラメータは、目標パラメータ、上記第２ＵＥが位置するセルのＰＣＩ、上記第２ＵＥが位置するセルの周波数ポイント情報、上記第２ＵＥの機器情報のうちの少なくとも１つを含む。上記目標パラメータは、カウンタ、乱数、シーケンスのうちの少なくとも１つを含む。

選択的に、上記目標情報は上記第１情報である場合、上記第１鍵情報は、上記第１鍵、上記入力パラメータ、上記第２ＵＥのＵＥ識別子、上記第１情報のうちの少なくとも１つを含む。又は、上記目標情報は上記セキュリティ鍵である場合、上記第１鍵情報は、上記第１鍵、上記入力パラメータ、上記第２ＵＥのＵＥ識別子、第１指示情報のうちの少なくとも１つを含む。上記第１指示情報は、第１ＵＥのセキュリティ鍵を用いて該第２ＵＥの第１鍵を生成することを指示するためのものである。

選択的に、図４に示すように、該鍵取得装置４００は、受信モジュール４０４と処理モジュール４０５をさらに備える。受信モジュール４０４は、上記第２ＵＥから鍵要求を受信するために用いられ、上記鍵要求は、上記第１ＵＥの第２鍵を用いて上記第２ＵＥが上記ネットワークと通信する際のデータに対して暗号化及び／又は完全性保護を行うことを要求するためのものであり、上記第２鍵は第１サブ鍵又は第２サブ鍵を含み、上記第１サブ鍵は第１アクセスネットワーク要素に関連する鍵であり、上記第２サブ鍵は第２アクセスネットワーク要素に関連する鍵である。処理モジュール４０５は、受信モジュール４０４が受信した上記鍵要求に応じて、上記第２鍵を上記第２ＵＥの第１鍵とするために用いられる。

選択的に、上記第１鍵情報は、第２指示情報、上記第２ＵＥのＵＥ識別子のうちの少なくとも１つを含む。上記第２指示情報は、第１ＵＥのセキュリティ鍵を用いて上記第２ＵＥが上記ネットワークと通信する際のデータに対して暗号化及び／又は完全性保護を行うことを指示するためのものである。

選択的に、上記受信モジュール４０４はさらに、上記第２ＵＥからプロキシ要求を受信するために用いられ、上記プロキシ要求は、上記第２ＵＥのセキュリティプロセスのプロキシを要求するためのものである。上記送信モジュール４０１はさらに、上記第２ＵＥにプロキシ応答を送信するために用いられ、上記プロキシ応答は、上記第１ＵＥが上記第２ＵＥのセキュリティプロセスのプロキシを受け付けることを指示するためのものである。

選択的に、上記送信モジュール４０１はさらに、第２情報を送信するために用いられ、上記第２情報は、上記第１ＵＥが他のＵＥのセキュリティプロセスをプロキシする能力を有することを指示するためのものである。

選択的に、上記送信モジュール４０１はさらに、第１条件を満たす場合に、上記ネットワーク側機器又は第２ＵＥに第２鍵情報を送信するために用いられ、上記第２鍵情報は更新後の第１鍵を指示するためのものである。

選択的に、上記第１条件は、第２ＵＥの第１鍵の変更、第２ＵＥの第１鍵を計算するための情報の変更のうちの少なくとも１つを含む。

選択的に、上記送信モジュール４０１はさらに、上記第２ＵＥに上記第１鍵を送信するために用いられる。

本願の実施例で提供される鍵取得装置は、エアインタフェースを介して伝送されるデータ及び／又はシグナリングに対する暗号化及び／又は完全性保護ができるように、第１ＵＥを介してネットワーク側機器に第２ＵＥのセキュリティ鍵を報告し、これにより鍵取得装置は該セキュリティ鍵を用いて該第２ＵＥがネットワーク側機器と通信する際のデータに対して暗号化及び／又は完全性保護を行うことができるようになり、該第２ＵＥとネットワーク側機器間の通信の信頼性が効果的に保証される。

図５は本願の実施例で提供される鍵取得装置の構造模式図を示し、図５に示すように、該鍵取得装置は、第１ＵＥにプロキシ要求を送信するための送信モジュール５０１を備える。送信モジュール５０１はさらに、第１ＵＥからフィードバックされたプロキシ応答を受信すると、上記第１ＵＥに目標鍵情報を送信するために用いられ、上記プロキシ要求は、上記第２ＵＥのセキュリティプロセスのプロキシを要求するためのものであり、上記プロキシ応答は、上記第１ＵＥが上記第２ＵＥのセキュリティプロセスのプロキシを受け付けることを指示するためのものであり、上記目標鍵情報は、上記第１鍵を指示するためのものであり、上記第１鍵は、上記第２ＵＥが上記ネットワークと通信する際のデータに対して暗号化及び／又は完全性保護を行うためのものである。

選択的に、上記目標鍵情報は、上記第１鍵の全部もしくは一部の情報、又は、鍵要求を含む。上記鍵要求は、上記第１ＵＥの第２鍵を用いて上記第２ＵＥが上記ネットワークと通信する際のデータに対して暗号化及び／又は完全性保護を行うことを要求するためのものである。上記第２鍵は第１サブ鍵又は第２サブ鍵を含み、上記第１サブ鍵は第１アクセスネットワーク要素に関連する鍵であり、上記第２サブ鍵は第２アクセスネットワーク要素に関連する鍵である。

選択的に、図５に示すように、該鍵取得装置５００は、上記第１ＵＥから第２情報を受信するための受信モジュール５０２をさらに備え、上記第２情報は、上記第１ＵＥが他のＵＥのセキュリティプロセスをプロキシする能力を有することを指示するためのものである。

選択的に、送信モジュール５０１はさらに、第１条件を満たす場合に、ネットワーク側機器及び／又は上記第１ＵＥに第３鍵情報を送信するために用いられ、上記第３鍵情報は更新後の第１鍵を指示するためのものである。

選択的に、上記第１条件は、第２ＵＥの第１鍵の変更、第２ＵＥの第１鍵を計算するための情報の変更のうちの少なくとも１つを含む。

選択的に、受信モジュール５０２はさらに、上記第１ＵＥから第１鍵情報を受信するために用いられ、上記第１鍵情報は第２ＵＥの第１鍵を指示するためのものである。

選択的に、上記受信モジュール５０２はさらに、ネットワーク側機器から第３情報を受信するために用いられ、上記第３情報は、上記第２ＵＥのセキュリティ状態をアクティブ化及び／又は上記第２ＵＥのセキュリティ鍵を確認するためのものである。上記送信モジュール５０１はさらに、上記ネットワーク側機器に応答情報をフィードバックするために用いられ、上記応答情報は、上記第２ＵＥのアップリンクセキュリティがアクティブ化されたことを指示するためのものである。

本願の実施例で提供される鍵取得装置は、エアインタフェースを介して伝送されるデータ及び／又はシグナリングに対する暗号化及び／又は完全性保護ができるように、第１ＵＥが第２ＵＥのプロキシとして送信した第１鍵情報を取得して、その中から第２ＵＥのセキュリティ鍵を取得することができ、これにより鍵取得装置は該セキュリティ鍵を用いて該第２ＵＥがネットワーク側機器と通信する際のデータに対して暗号化及び／又は完全性保護を行うことができるようになり、該第２ＵＥとネットワーク側機器間の通信の信頼性が効果的に保証される。

図６は本願の実施例で提供される鍵取得装置の構造模式図を示し、図６に示すように、該鍵取得装置６００は、第１ＵＥから第１鍵情報を受信するための受信モジュール６０１を備え、上記第１鍵情報は、第２ＵＥの第１鍵を指示するためのものであり、上記第２ＵＥの第１鍵は、上記第２ＵＥが上記ネットワーク側機器と通信する際のデータに対して暗号化及び／又は完全性保護を行うためのものである。

選択的に、図６に示すように、該鍵取得装置６００は、決定モジュール６０２をさらに備える。上記受信モジュール６０１はさらに、目標ＵＥから目標鍵情報を受信するために用いられ、上記目標ＵＥは第１ＵＥ又は第２ＵＥを含む。決定モジュール６０２は、上記目標鍵情報に基づいて、更新後の上記第２ＵＥの第１鍵を決定するために用いられ、上記目標鍵情報は、上記更新後の上記第２ＵＥの第１鍵を指示するためのものである。

選択的に、図６に示すように、該鍵取得装置６００は、第１条件を満たす場合に、目標ＵＥに第４鍵情報を送信するための送信モジュール６０３をさらに備え、上記目標ＵＥは第１ＵＥ又は第２ＵＥを含み、上記目標鍵情報は、上記更新後の上記第２ＵＥの第１鍵を指示するためのものである。

選択的に、上記送信モジュール６０３はさらに、第２条件を満たす場合に、上記第２ＵＥに第３情報を送信するために用いられる。上記受信モジュール６０１はさらに、上記第２ＵＥから応答情報を受信するために用いられ、上記第３情報は、上記第２ＵＥのセキュリティをアクティブ化及び／又は上記第２ＵＥのセキュリティ鍵を確認するためのものであり、上記応答情報は、上記第２ＵＥのセキュリティがアクティブ化されたことを指示するためのものであり、上記第２条件は、上記第２ＵＥがＲＲＣ接続状態に入ること、上記ネットワーク側機器が上記第２ＵＥのセキュリティコンテキストを確立したこと、上記第２ＵＥのダウンリンクデータが到着し且つセキュリティ状態がアクティブ化されていないことのうちの少なくとも１つを含む。

本願の実施例で提供される鍵取得装置は、エアインタフェースを介して伝送されるデータ及び／又はシグナリングに対する暗号化及び／又は完全性保護ができるように、第２ＵＥにプロキシ要求を送信することで、第１ＵＥを介してネットワーク側機器に第２ＵＥのセキュリティ鍵を報告することを要求し、これにより鍵取得装置は該セキュリティ鍵を用いて該第２ＵＥがネットワーク側機器と通信する際のデータに対して暗号化及び／又は完全性保護を行うことができるようになり、該第２ＵＥとネットワーク側機器間の通信の信頼性が効果的に保証される。

上記鍵取得装置は装置であってもよく、ＵＥ内のコンポーネント、集積回路、又はチップであってもよい。該装置は、携帯型の端末であっても、又は非携帯型の端末であってもよい。例示的に、携帯型の端末は上記に列挙した端末のタイプを含んでもよいが、これらに限定されない。非携帯型の端末は、サーバ、ネットワーク接続ストレージ（Ｎｅｔｗｏｒｋ Ａｔｔａｃｈｅｄ Ｓｔｏｒａｇｅ，ＮＡＳ）、パーソナルコンピュータ（ｐｅｒｓｏｎａｌ ｃｏｍｐｕｔｅｒ，ＰＣ）、テレビジョン（ｔｅｌｅｖｉｓｉｏｎ，ＴＶ）、現金自動預払機又はキオスク等であってもよく、本願の実施例では具体的に限定しない。

本願の実施例における鍵取得装置はオペレーティングシステムを有する装置であってもよい。該オペレーティングシステムはアンドロイド（登録商標）（Ａｎｄｒｏｉｄ（登録商標））オペレーティングシステムであってもよく、ＩＯＳオペレーティングシステムであってもよく、他の可能なオペレーティングシステムであってもよく、本願の実施例では具体的に限定しない。

本願の実施例で提供される鍵取得装置は、方法実施例において実現される各プロセスを実現し、同様な技術効果を達成することができる。重複を避けるために、ここでは詳細な説明を省略する。

選択的に、図７に示すように、本願の実施例は通信機器７００をさらに提供する。該通信機器７００は、プロセッサ７０１と、メモリ７０２と、メモリ７０２に記憶され、上記プロセッサ７０１によって実行可能なプログラムもしくは命令とを備え、例えば、該通信機器７００は端末である場合、該プログラムもしくは命令がプロセッサ７０１によって実行されると、上記鍵取得方法実施例の各プロセスが実現され、同様な技術効果を達成することができる。該通信機器７００はネットワーク側機器である場合、該プログラムもしくは命令がプロセッサ７０１によって実行されると、上記鍵取得方法実施例の各プロセスが実現され、同様な技術効果を達成することができる。重複を避けるために、ここでは詳細な説明を省略する。

図８は本願の実施例を実現する端末のハードウェア構造模式図である。

該端末１００は、高周波ユニット１０１、ネットワークモジュール１０２、オーディオ出力ユニット１０３、入力ユニット１０４、センサ１０５、表示ユニット１０６、ユーザ入力ユニット１０７、インタフェースユニット１０８、メモリ１０９、及びプロセッサ１１０等の部材を含むが、それらに限定されない。

当業者であれば、端末１００は各部材に給電する電源（例えば、電池）をさらに含んでもよく、電源は電源管理システムによってプロセッサ１１０に論理的に接続し、さらに電源管理システムによって充放電の管理、及び電力消費管理等の機能を実現できることが理解可能である。図８に示す端末構造は端末を限定するものではなく、端末は図示より多く又はより少ない部材、又は一部の部材の組合せ、又は異なる部材配置を含んでもよく、ここでは説明を省略する。

本願の実施例において、入力ユニット１０４は、ビデオキャプチャモード又は画像キャプチャモードで画像キャプチャ装置（例えば、カメラ）が取得したスチル画像又はビデオの画像データを処理するグラフィックスプロセッシングユニット（Ｇｒａｐｈｉｃｓ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ，ＧＰＵ）１０４１、及びマイクロホン１０４２を含んでもよいことを理解すべきである。表示ユニット１０６は表示パネル１０６１を含んでもよく、液晶ディスプレイ、有機発光ダイオード等の形態で表示パネル１０６１を構成することができる。ユーザ入力ユニット１０７はタッチパネル１０７１及び他の入力機器１０７２を含む。タッチパネル１０７１はタッチスクリーンとも呼ばれる。タッチパネル１０７１は、タッチ検出装置及びタッチコントローラとの２つの部分を含んでもよい。他の入力機器１０７２は、物理キーボード、機能ボタン（例えば、音量制御ボタン、スイッチボタン等）、トラックボール、マウス、操作レバーを含んでもよいが、それらに限定されず、ここでは詳細な説明を省略する。

本願の実施例において、高周波ユニット１０１はネットワーク側機器からのダウンリンクデータを受信した後、プロセッサ１１０で処理し、また、アップリンクのデータをネットワーク側機器に送信する。通常、高周波ユニット１０１は、アンテナ、少なくとも１つの増幅器、受送信機、カプラー、低騒音増幅器、デュプレクサ等を含むが、それらに限定されない。

メモリ１０９は、ソフトウェアプログラムもしくは命令及び様々なデータを記憶するために用いることができる。メモリ１０９は、オペレーティングシステム、少なくとも１つの機能に必要なアプリケーションもしくは命令（例えば、音声再生機能、画像再生機能等）等を記憶可能なプログラムもしくは命令記憶領域と、データ記憶領域とを主に含んでもよい。また、メモリ１０９は、高速ランダムアクセスメモリを含んでもよく、非揮発性メモリをさらに含んでもよい。非揮発性メモリは、読み取り専用メモリ（Ｒｅａｄ－Ｏｎｌｙ Ｍｅｍｏｒｙ，ＲＯＭ）、プログラマブル読み取り専用メモリ（Ｐｒｏｇｒａｍｍａｂｌｅ ＲＯＭ，ＰＲＯＭ）、消去可能プログラマブル読み取り専用メモリ（Ｅｒａｓａｂｌｅ ＰＲＯＭ，ＥＰＲＯＭ）、電気消去可能プログラマブル読み取り専用メモリ（Ｅｌｅｃｔｒｉｃａｌｌｙ ＥＰＲＯＭ，ＥＥＰＲＯＭ）又はラッシュメモリであってもよく、例えば、少なくとも１つのディスク記憶装置、フラッシュメモリ、又は他の非揮発性ソリッドステート記憶装置である。

プロセッサ１１０は、１つ又は複数の処理ユニットを含んでもよい。選択的に、プロセッサ１１０に、オペレーティングシステム、ユーザインタフェース及びアプリケーションもしくは命令等を主に処理するアプリケーションプロセッサと、無線通信を主に処理するベースバンドプロセッサのようなモデムプロセッサとを統合することができる。上記モデムプロセッサはプロセッサ１１０に統合されなくてもよいことが理解可能である。

高周波ユニット１０１は、ネットワーク側機器に第１鍵情報を送信するために用いられ、上記第１鍵情報は第２ＵＥの第１鍵を指示するためのものであり、上記第１鍵は上記第２ＵＥが上記ネットワーク側機器と通信する際のデータに対して暗号化及び／又は完全性保護を行うためのものである。

選択的に、プロセッサ１１０は、上記第２ＵＥから上記第２ＵＥの第１鍵の全部もしくは一部の情報を取得するために用いられる。

選択的に、上記第１鍵情報は、上記第２ＵＥの第１鍵の全部もしくは一部の情報を含むか、又は上記第２ＵＥの第１鍵の全部もしくは一部の情報及び上記第２ＵＥのＵＥ識別子を含む。

選択的に、プロセッサ１１０はさらに、目標情報と入力パラメータに基づいて、上記第２ＵＥの第１鍵を計算するために用いられる。上記目標情報は、第１情報又は上記第１ＵＥのセキュリティ鍵を含む。上記第１情報は、上記第１ＵＥと上記第２ＵＥに保存されている同じパラメータ又は関連パラメータである。上記第１ＵＥのセキュリティ鍵は第１サブ鍵又は第２サブ鍵を含み、上記第１サブ鍵は第１アクセスネットワーク要素に関連する鍵であり、上記第２サブ鍵は第２アクセスネットワーク要素に関連する鍵である。上記入力パラメータは、目標パラメータ、上記第２ＵＥが位置するセルのＰＣＩ、上記第２ＵＥが位置するセルの周波数ポイント情報、上記第２ＵＥの機器情報のうちの少なくとも１つを含む。上記目標パラメータは、カウンタ、乱数、シーケンスのうちの少なくとも１つを含む。

選択的に、上記目標情報は上記第１情報である場合、上記第１鍵情報は、上記第１鍵、上記入力パラメータ、上記第２ＵＥのＵＥ識別子、上記第１情報のうちの少なくとも１つを含む。又は、上記目標情報は上記セキュリティ鍵である場合、上記第１鍵情報は、上記第１鍵、上記入力パラメータ、上記第２ＵＥのＵＥ識別子、第１指示情報のうちの少なくとも１つを含む。上記第１指示情報は、第１ＵＥのセキュリティ鍵を用いて該第２ＵＥの第１鍵を生成することを指示するためのものである。

選択的に、高周波ユニット１０１は、上記第２ＵＥから鍵要求を受信するために用いられ、上記鍵要求は、上記第１ＵＥの第２鍵を用いて上記第２ＵＥが上記ネットワークと通信する際のデータに対して暗号化及び／又は完全性保護を行うことを要求するためのものであり、上記第２鍵は第１サブ鍵又は第２サブ鍵を含み、上記第１サブ鍵は第１アクセスネットワーク要素に関連する鍵であり、上記第２サブ鍵は第２アクセスネットワーク要素に関連する鍵である。プロセッサ１１０は、上記鍵要求に応じて、上記第２鍵を上記第２ＵＥの第１鍵とするために用いられる。

選択的に、上記第１鍵情報は、第２指示情報、上記第２ＵＥのＵＥ識別子のうちの少なくとも１つを含む。上記第２指示情報は、第１ＵＥのセキュリティ鍵を用いて上記第２ＵＥが上記ネットワークと通信する際のデータに対して暗号化及び／又は完全性保護を行うことを指示するためのものである。

選択的に、上記高周波ユニット１０１はさらに、上記第２ＵＥからプロキシ要求を受信するために用いられ、上記プロキシ要求は、上記第２ＵＥのセキュリティプロセスのプロキシを要求するためのものである。上記送信モジュール４０１はさらに、上記第２ＵＥにプロキシ応答を送信するために用いられ、上記プロキシ応答は、上記第１ＵＥが上記第２ＵＥのセキュリティプロセスのプロキシを受け付けることを指示するためのものである。

選択的に、上記高周波ユニット１０１はさらに、第２情報を送信するために用いられ、上記第２情報は、上記第１ＵＥが他のＵＥのセキュリティプロセスをプロキシする能力を有することを指示するためのものである。

選択的に、上記高周波ユニット１０１はさらに、第１条件を満たす場合に、上記ネットワーク側機器又は第２ＵＥに第２鍵情報を送信するために用いられ、上記第２鍵情報は更新後の第１鍵を指示するためのものである。

選択的に、上記第１条件は、第２ＵＥの第１鍵の変更、第２ＵＥの第１鍵を計算するための情報の変更のうちの少なくとも１つを含む。

選択的に、上記高周波ユニット１０１はさらに、上記第２ＵＥに上記第１鍵を送信するために用いられる。

本願の実施例で提供されるＵＥは、エアインタフェースを介して伝送されるデータ及び／又はシグナリングに対する暗号化及び／又は完全性保護ができるように、第１ＵＥを介してネットワーク側機器に第２ＵＥのセキュリティ鍵を報告し、これにより該ＵＥは該セキュリティ鍵を用いて該第２ＵＥがネットワーク側機器と通信する際のデータに対して暗号化及び／又は完全性保護を行うことができるようになり、該第２ＵＥとネットワーク側機器間の通信の信頼性が効果的に保証される。

上記高周波ユニット１０１は、第１ＵＥにプロキシ要求を送信するために用いられる。上記高周波ユニット１０１はさらに、第１ＵＥからフィードバックされたプロキシ応答を受信すると、上記第１ＵＥに目標鍵情報を送信するために用いられ、上記プロキシ要求は、上記第２ＵＥのセキュリティプロセスのプロキシを要求するためのものであり、上記プロキシ応答は、上記第１ＵＥが上記第２ＵＥのセキュリティプロセスのプロキシを受け付けることを指示するためのものであり、上記目標鍵情報は上記第１鍵を指示するためのものであり、上記第１鍵は、上記第２ＵＥが上記ネットワークと通信する際のデータに対して暗号化及び／又は完全性保護を行うためのものである。

選択的に、上記目標鍵情報は、上記第１鍵の全部もしくは一部の情報、又は、鍵要求を含む。上記鍵要求は、上記第１ＵＥの第２鍵を用いて上記第２ＵＥが上記ネットワークと通信する際のデータに対して暗号化及び／又は完全性保護を行うことを要求するためのものである。上記第２鍵は第１サブ鍵又は第２サブ鍵を含み、上記第１サブ鍵は第１アクセスネットワーク要素に関連する鍵であり、上記第２サブ鍵は第２アクセスネットワーク要素に関連する鍵である。

選択的に、上記高周波ユニット１０１はさらに、上記第１ＵＥから第２情報を受信するために用いられ、上記第２情報は、上記第１ＵＥが他のＵＥのセキュリティプロセスをプロキシする能力を有することを指示するためのものである。

選択的に、上記高周波ユニット１０１はさらに、第１条件を満たす場合に、ネットワーク側機器及び／又は上記第１ＵＥに第３鍵情報を送信するために用いられ、上記第３鍵情報は更新後の第１鍵を指示するためのものである。

選択的に、上記第１条件は、第２ＵＥの第１鍵の変更、第２ＵＥの第１鍵を計算するための情報の変更のうちの少なくとも１つを含む。

選択的に、上記高周波ユニット１０１はさらに、上記第１ＵＥから第１鍵情報を受信するために用いられ、上記第１鍵情報は第２ＵＥの第１鍵を指示するためのものである。

選択的に、上記高周波ユニット１０１はさらに、ネットワーク側機器から第３情報を受信するために用いられ、上記第３情報は、上記第２ＵＥのセキュリティ状態をアクティブ化及び／又は上記第２ＵＥのセキュリティ鍵を確認するためのものである。上記高周波ユニット１０１はさらに、上記ネットワーク側機器に応答情報をフィードバックするために用いられ、上記応答情報は、上記第２ＵＥのアップリンクセキュリティがアクティブ化されたことを指示するためのものである。

本願の実施例で提供されるＵＥは、エアインタフェースを介して伝送されるデータ及び／又はシグナリングに対する暗号化及び／又は完全性保護ができるように、第２ＵＥにプロキシ要求を送信することで、第１ＵＥを介してネットワーク側機器に第２ＵＥのセキュリティ鍵を報告することを要求し、これにより該ＵＥは該セキュリティ鍵を用いて該第２ＵＥがネットワーク側機器と通信する際のデータに対して暗号化及び／又は完全性保護を行うことができるようになり、該第２ＵＥとネットワーク側機器間の通信の信頼性が効果的に保証される。

具体的に、本願の実施例はネットワーク側機器をさらに提供する。図９に示すように、該ネットワーク側機器９００は、アンテナ９０１、高周波装置９０２及びベースバンド装置９０３を含む。アンテナ９０１は高周波装置９０２に接続される。アップリンク方向において、高周波装置９０２は、アンテナ９０１を介して情報を受信して、受信した情報をベースバンド装置９０３に送信して処理する。ダウンリンク方向において、ベースバンド装置９０３は、送信対象となる情報を処理し、高周波装置９０２に送信し、高周波装置９０２は、受信した情報を処理してからアンテナ９０１を介して送信する。

上記帯域処理装置は、ベースバンド装置９０３内に位置してもよく、以上の実施例においてネットワーク側機器によって実行される方法はベースバンド装置９０３において実現することができ、該ベースバンド装置９０３はプロセッサ９０４及びメモリ９０５を含む。

ベースバンド装置９０３は、例えば、少なくとも１つのベースバンドボードを含んでもよく、該ベースバンドボードに複数のチップが設置され、図９に示すように、そのうちの１つのチップは、例えば、メモリ９０５に接続され、メモリ９０５内のプログラムを呼び出して以上の方法実施例に示したネットワーク側機器の動作を実行するプロセッサ９０４である。

該ベースバンド装置９０３は、高周波装置９０２と情報を交換するためのネットワークインタフェース９０６をさらに含んでもよく、該インタフェースは、例えば、共通公衆無線インタフェース（ｃｏｍｍｏｎ ｐｕｂｌｉｃ ｒａｄｉｏ ｉｎｔｅｒｆａｃｅ，ＣＰＲＩ）である。

具体的に、本願の実施例のネットワーク側機器は、メモリ９０５に記憶され、プロセッサ９０４によって実行可能な命令もしくはプログラムをさらに備え、プロセッサ９０４はメモリ９０５内の命令もしくはプログラムを呼び出して図６に示す各モジュールにより実行される方法を実行して、同様な技術効果を達成することができる。重複を避けるために、ここでは詳細な説明を省略する。

本願の実施例は可読記憶媒体をさらに提供する。上記可読記憶媒体には、プログラムもしくは命令が記憶されており、該プログラムもしくは命令がプロセッサによって実行されると、上記鍵取得方法実施例の各プロセスが実現され、同様な技術効果を達成することができる。重複を避けるために、ここでは詳細な説明を省略する。

上記プロセッサは上記実施例に記載の端末内のプロセッサである。上記可読記憶媒体は、コンピュータ読み取り専用メモリ（Ｒｅａｄ－Ｏｎｌｙ Ｍｅｍｏｒｙ，ＲＯＭ）、ランダムアクセスメモリ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ，ＲＡＭ）、磁気ディスク又は光ディスク等のコンピュータ可読記憶媒体を含む。

本願の実施例はチップをさらに提供する。上記チップはプロセッサ及び通信インタフェースを備え、上記通信インタフェースと上記プロセッサが結合され、上記プロセッサはネットワーク側機器プログラムもしくは命令を実行して、上記鍵取得方法実施例の各プロセスを実現するために用いられ、同様な技術効果を達成することができる、重複を避けるために、ここでは詳細な説明を省略する。

本願の実施例で言及したチップはシステムレベルチップ、システムチップ、チップシステム又はシステムオンチップ等と呼ばれてもよいことを理解すべきである。

説明すべきことは、本明細書において、用語「含む」、「からなる」又はその他のあらゆる変形は、非排他的包含を含むように意図され、それにより一連の要素を含むプロセス、方法、物品又は装置は、それらの要素のみならず、明示されていない他の要素、又はこのようなプロセス、方法、物品又は装置に固有の要素をも含む点である。特に断らない限り、語句「１つの……を含む」により限定される要素は、該要素を含むプロセス、方法、物品又は装置に別の同じ要素がさらに存在することを排除するものではない。また、指摘すべきことは、本願の実施形態における方法及び装置の範囲は、図示又は検討された順序で機能を実行することに限定されず、係る機能に応じて実質的に同時に又は逆の順序で機能を実行することも含み得る点であり、例えば、説明されたものと異なる順番で、説明された方法を実行してもよく、さらに様々なステップを追加、省略、又は組み合わせてもよい。また、何らかの例を参照して説明した特徴は他の例において組み合わせられてもよい。

以上の実施形態に対する説明によって、当業者であれば上記実施例の方法がソフトウェアと必要な共通ハードウェアプラットフォームとの組合せという形態で実現できることを明確に理解可能であり、当然ながら、ハードウェアによって実現してもよいが、多くの場合において前者はより好ましい実施形態である。このような見解をもとに、本願の技術的解決手段は実質的に又は従来技術に寄与する部分はソフトウェア製品の形で実施することができ、該コンピュータソフトウェア製品は、記憶媒体（例えばＲＯＭ／ＲＡＭ、磁気ディスク、光ディスク）に記憶され、端末（携帯電話、コンピュータ、サーバ、エアコン、又はネットワーク側機器等であってもよい）に本願の各実施例に記載の方法を実行させる複数の命令を含む。

以上、図面を参照しながら本願の実施例を説明したが、本願は上記の具体的な実施形態に限定されず、上記の具体的な実施形態は例示的なものに過ぎず、限定的なものではなく、本願の示唆をもとに、当業者が本願の趣旨及び特許請求の保護範囲から逸脱することなくなし得る多くの形態は、いずれも本願の保護範囲に属するものとする。
〔関連出願の相互参照〕

本出願は、２０２０年０５月２７日に中国で出願した中国特許出願番号２０２０１０４６３８１４．４の優先権を主張し、その全ての内容は引用によって本文に取り込まれる。

Claims (53)

1. 第１ユーザ機器ＵＥはネットワーク側機器に第１鍵情報を送信するステップを含み、前記第１鍵情報は第２ＵＥの第１鍵を指示するためのものであり、前記第２ＵＥの第１鍵は前記第２ＵＥが前記ネットワーク側機器と通信する際のデータに対して暗号化及び／又は完全性保護を行うためのものである、鍵取得方法。
2. 前記第１ＵＥはネットワーク側機器に第１鍵情報を送信する前に、
   前記第１ＵＥは前記第２ＵＥから前記第２ＵＥの第１鍵の全部もしくは一部の情報を取得するステップをさらに含む、請求項１に記載の方法。
3. 前記第１鍵情報は、前記第２ＵＥの第１鍵の全部もしくは一部の情報を含むか、又は前記第２ＵＥの第１鍵の全部もしくは一部の情報及び前記第２ＵＥのＵＥ識別子を含む、請求項２に記載の方法。
4. 前記第１ＵＥはネットワーク側機器に第１鍵情報を送信する前に、
   前記第１ＵＥは目標情報と入力パラメータに基づいて、前記第２ＵＥの第１鍵を計算するステップをさらに含み、
   前記目標情報は第１情報又は前記第１ＵＥのセキュリティ鍵を含み、
   前記第１情報は前記第１ＵＥと前記第２ＵＥに保存されている同じパラメータ又は関連パラメータであり、前記第１ＵＥのセキュリティ鍵は第１サブ鍵又は第２サブ鍵を含み、前記第１サブ鍵は第１アクセスネットワーク要素に関連する鍵であり、前記第２サブ鍵は第２アクセスネットワーク要素に関連する鍵であり、
   前記入力パラメータは、目標パラメータ、前記第２ＵＥが位置するセルのＰＣＩ、前記第２ＵＥが位置するセルの周波数ポイント情報、前記第２ＵＥの機器情報のうちの少なくとも１つを含み、前記目標パラメータは、カウンタ、乱数、シーケンスのうちの少なくとも１つを含む、請求項１に記載の方法。
5. 前記目標情報は前記第１情報である場合、前記第１鍵情報は、前記第１鍵、前記入力パラメータ、前記第２ＵＥのＵＥ識別子、前記第１情報のうちの少なくとも１つを含み、又は、
   前記目標情報は前記第１ＵＥのセキュリティ鍵である場合、前記第１鍵情報は、前記第１鍵、前記入力パラメータ、前記第２ＵＥのＵＥ識別子、第１指示情報のうちの少なくとも１つを含み、前記第１指示情報は前記第１ＵＥのセキュリティ鍵を用いて前記第２ＵＥの第１鍵を生成することを指示するためのものである、請求項４に記載の方法。
6. 前記第１ＵＥはネットワーク側機器に第１鍵情報を送信する前に、
   前記第１ＵＥは前記第２ＵＥから鍵要求を受信するステップであって、前記鍵要求は前記第１ＵＥのセキュリティ鍵を用いて前記第２ＵＥが前記ネットワークと通信する際のデータに対して暗号化及び／又は完全性保護を行うことを要求するためのものであり、前記セキュリティ鍵は第１サブ鍵又は第２サブ鍵を含み、前記第１サブ鍵は第１アクセスネットワーク要素に関連する鍵であり、前記第２サブ鍵は第２アクセスネットワーク要素に関連する鍵であるステップと、
   前記第１ＵＥは前記鍵要求に応じて、前記第１ＵＥのセキュリティ鍵を前記第２ＵＥの第１鍵とするステップと、をさらに含む、請求項１に記載の方法。
7. 前記第１鍵情報は、第２指示情報、前記第２ＵＥのＵＥ識別子のうちの少なくとも１つを含み、前記第２指示情報は前記第１ＵＥのセキュリティ鍵を用いて前記第２ＵＥが前記ネットワークと通信する際のデータに対して暗号化及び／又は完全性保護を行うことを指示するためのものである、請求項６に記載の方法。
8. 前記第１ＵＥはネットワーク側機器に第１鍵情報を送信する前に、
   前記第１ＵＥは前記第２ＵＥからプロキシ要求を受信するステップであって、前記プロキシ要求は前記第２ＵＥのセキュリティプロセスのプロキシを要求するためのものであるステップと、
   前記第１ＵＥは前記第２ＵＥにプロキシ応答を送信するステップであって、前記プロキシ応答は前記第１ＵＥが前記第２ＵＥのセキュリティプロセスのプロキシを受け付けることを指示するためのものであるステップと、をさらに含む、請求項１に記載の方法。
9. 前記第１ＵＥは前記第２ＵＥからプロキシ要求を受信する前に、
   前記第１ＵＥは第２情報を送信するステップをさらに含み、前記第２情報は前記第１ＵＥが他のＵＥのセキュリティプロセスをプロキシする能力を有することを指示するためのものである、請求項８に記載の方法。
10. 前記第１ＵＥはネットワーク側機器に第１鍵情報を送信した後、
    前記第１ＵＥは第１条件を満たす場合に、前記ネットワーク側機器又は第２ＵＥに第２鍵情報を送信するステップをさらに含み、前記第２鍵情報は更新後の前記第２ＵＥの第１鍵を指示するためのものである、請求項１に記載の方法。
11. 前記第１条件は、前記第２ＵＥの第１鍵の変更、前記第２ＵＥの第１鍵を計算するための情報の変更のうちの少なくとも１つを含む、請求項１０に記載の方法。
12. 前記第１ＵＥはネットワークに第１鍵情報を送信した後、
    前記第１ＵＥは前記第２ＵＥに前記第２ＵＥの第１鍵を送信するステップをさらに含む、請求項４又は６に記載の方法。
13. 第２ＵＥは第１ＵＥにプロキシ要求を送信するステップと、
    前記第２ＵＥは前記第１ＵＥからフィードバックされたプロキシ応答を受信すると、前記第１ＵＥに目標鍵情報を送信するステップと、を含み、
    前記プロキシ要求は前記第２ＵＥのセキュリティプロセスのプロキシを要求するためのものであり、
    前記プロキシ応答は前記第１ＵＥが前記第２ＵＥのセキュリティプロセスのプロキシを受け付けることを指示するためのものであり、
    前記目標鍵情報は前記第２ＵＥの第１鍵を指示するためのものであり、前記第２ＵＥの第１鍵は前記第２ＵＥが前記ネットワークと通信する際のデータに対して暗号化及び／又は完全性保護を行うためのものである、鍵取得方法。
14. 前記目標鍵情報は、前記第１鍵の全部もしくは一部の情報、又は、鍵要求を含み、
    前記鍵要求は前記第１ＵＥのセキュリティ鍵を用いて前記第２ＵＥが前記ネットワークと通信する際のデータに対して暗号化及び／又は完全性保護を行うことを要求するためのものであり、前記第１ＵＥのセキュリティ鍵は第１サブ鍵又は第２サブ鍵を含み、前記第１サブ鍵は第１アクセスネットワーク要素に関連する鍵であり、前記第２サブ鍵は第２アクセスネットワーク要素に関連する鍵である、請求項１３に記載の方法。
15. 前記第２ＵＥは第１ＵＥにプロキシ要求を送信する前に、
    前記第２ＵＥは前記第１ＵＥから第２情報を受信するステップをさらに含み、前記第２情報は前記第１ＵＥが他のＵＥのセキュリティプロセスをプロキシする能力を有することを指示するためのものである、請求項１３に記載の方法。
16. 前記第２ＵＥは第１ＵＥに前記第２ＵＥの第１鍵を送信した後、
    前記第２ＵＥは第１条件を満たす場合に、ネットワーク側機器及び／又は前記第１ＵＥに第３鍵情報を送信するステップをさらに含み、前記第３鍵情報は更新後の前記第２ＵＥの第１鍵を指示するためのものである、請求項１３に記載の方法。
17. 前記第１条件は、前記第２ＵＥの第１鍵の変更、前記第２ＵＥの第１鍵を計算するための情報の変更のうちの少なくとも１つを含む、請求項１６に記載の方法。
18. 前記第２ＵＥは前記第１ＵＥから第１鍵情報を受信するステップをさらに含み、前記第１鍵情報は前記第２ＵＥの第１鍵を指示するためのものである、請求項１３に記載の方法。
19. 前記第２ＵＥはネットワーク側機器に第１鍵情報を送信した後、
    前記第２ＵＥはネットワーク側機器から第３情報を受信するステップであって、前記第３情報は前記第２ＵＥのセキュリティ状態をアクティブ化及び／又は前記第２ＵＥのセキュリティ鍵を確認するためのものであるステップと、
    前記第２ＵＥは前記ネットワーク側機器に応答情報をフィードバックするステップであって、前記応答情報は前記第２ＵＥのアップリンクセキュリティがアクティブ化されたことを指示するためのものであるステップと、をさらに含む、請求項１３に記載の方法。
20. ネットワーク側機器は第１ＵＥから第１鍵情報を受信するステップを含み、
    前記第１鍵情報は第２ＵＥの第１鍵を指示するためのものであり、前記第２ＵＥの第１鍵は前記第２ＵＥが前記ネットワーク側機器と通信する際のデータに対して暗号化及び／又は完全性保護を行うためのものである、鍵取得方法。
21. 前記ネットワーク側機器は第１ＵＥから第１鍵情報を受信した後、
    前記ネットワーク側機器は目標ＵＥから目標鍵情報を受信するステップであって、前記目標ＵＥは第１ＵＥ又は第２ＵＥを含むステップと、
    前記ネットワーク側機器は前記目標鍵情報に基づいて、更新後の前記第２ＵＥの第１鍵を決定するステップと、をさらに含み、
    前記目標鍵情報は前記更新後の前記第２ＵＥの第１鍵を指示するためのものである、請求項２０に記載の方法。
22. 前記ネットワーク側機器は目標ＵＥから目標鍵情報を受信する前に、
    前記ネットワーク側機器は第１条件を満たす場合に、目標ＵＥに第４鍵情報を送信するステップをさらに含み、
    前記目標ＵＥは第１ＵＥ又は第２ＵＥを含み、前記目標鍵情報は前記更新後の前記第２ＵＥの第１鍵を指示するためのものである、請求項２０に記載の方法。
23. 前記ネットワーク側機器は目標ＵＥから目標鍵情報を受信する前に、
    前記ネットワーク側機器は第２条件を満たす場合に、前記第２ＵＥに第３情報を送信するステップと、
    前記ネットワーク側機器は前記第２ＵＥから応答情報を受信するステップと、をさらに含み、
    前記第３情報は前記第２ＵＥのセキュリティをアクティブ化及び／又は前記第２ＵＥのセキュリティ鍵を確認するためのものであり、前記応答情報は前記第２ＵＥのセキュリティがアクティブ化されたことを指示するためのものであり、
    前記第２条件は、前記第２ＵＥがＲＲＣ接続状態に入ること、前記ネットワーク側機器が前記第２ＵＥのセキュリティコンテキストを確立したこと、前記第２ＵＥのダウンリンクデータが到着し且つセキュリティ状態がアクティブ化されていないことのうちの少なくとも１つを含む、請求項２１に記載の方法。
24. ネットワーク側機器に第１鍵情報を送信するための送信モジュールを備え、前記第１鍵情報は第２ユーザ機器ＵＥの第１鍵を指示するためのものであり、前記第１鍵は前記第２ＵＥが前記ネットワーク側機器と通信する際のデータに対して暗号化及び／又は完全性保護を行うためのものである、鍵取得装置。
25. 前記第２ＵＥから前記第２ＵＥの第１鍵の全部もしくは一部の情報を取得するための取得モジュールをさらに備える、請求項２４に記載の装置。
26. 前記第１鍵情報は、前記第２ＵＥの第１鍵の全部もしくは一部の情報を含むか、又は前記第２ＵＥの第１鍵の全部もしくは一部の情報及び前記第２ＵＥのＵＥ識別子を含む、請求項２５に記載の装置。
27. 目標情報と入力パラメータに基づいて、前記第２ＵＥの第１鍵を計算するための計算モジュールをさらに備え、
    前記目標情報は第１情報又は前記第１ＵＥのセキュリティ鍵を含み、
    前記第１情報は前記第１ＵＥと前記第２ＵＥに保存されている同じパラメータ又は関連パラメータであり、前記第１ＵＥのセキュリティ鍵は第１サブ鍵又は第２サブ鍵を含み、前記第１サブ鍵は第１アクセスネットワーク要素に関連する鍵であり、前記第２サブ鍵は第２アクセスネットワーク要素に関連する鍵であり、
    前記入力パラメータは、目標パラメータ、前記第２ＵＥが位置するセルのＰＣＩ、前記第２ＵＥが位置するセルの周波数ポイント情報、前記第２ＵＥの機器情報のうちの少なくとも１つを含み、前記目標パラメータは、カウンタ、乱数、シーケンスのうちの少なくとも１つを含む、請求項２４に記載の装置。
28. 前記目標情報は前記第１情報である場合、前記第１鍵情報は、前記第１鍵、前記入力パラメータ、前記第２ＵＥのＵＥ識別子、前記第１情報のうちの少なくとも１つを含み、又は、
    前記目標情報は前記第１ＵＥのセキュリティ鍵である場合、前記第１鍵情報は、前記第１鍵、前記入力パラメータ、前記第２ＵＥのＵＥ識別子、第１指示情報のうちの少なくとも１つを含み、前記第１指示情報は前記第１ＵＥのセキュリティ鍵を用いて前記第２ＵＥの第１鍵を生成することを指示するためのものである、請求項２７に記載の装置。
29. 前記第２ＵＥから鍵要求を受信するための受信モジュールであって、前記鍵要求は前記第１ＵＥのセキュリティ鍵を用いて前記第２ＵＥが前記ネットワークと通信する際のデータに対して暗号化及び／又は完全性保護を行うことを要求するためのものであり、前記セキュリティ鍵は第１サブ鍵又は第２サブ鍵を含み、前記第１サブ鍵は第１アクセスネットワーク要素に関連する鍵であり、前記第２サブ鍵は第２アクセスネットワーク要素に関連する鍵である受信モジュールと、
    前記受信モジュールが受信した前記鍵要求に応じて、前記第１ＵＥのセキュリティ鍵を前記第２ＵＥの第１鍵とするための処理モジュールと、をさらに備える、請求項２４に記載の装置。
30. 前記第１鍵情報は、第２指示情報、前記第２ＵＥのＵＥ識別子のうちの少なくとも１つを含み、前記第２指示情報は前記第１ＵＥのセキュリティ鍵を用いて前記第２ＵＥが前記ネットワークと通信する際のデータに対して暗号化及び／又は完全性保護を行うことを指示するためのものである、請求項２９に記載の装置。
31. 前記第２ＵＥからプロキシ要求を受信するための受信モジュールをさらに備え、前記プロキシ要求は前記第２ＵＥのセキュリティプロセスのプロキシを要求するためのものであり、
    前記送信モジュールはさらに、前記第２ＵＥにプロキシ応答を送信するために用いられ、前記プロキシ応答は前記第１ＵＥが前記第２ＵＥのセキュリティプロセスのプロキシを受け付けることを指示するためのものである、請求項２４に記載の装置。
32. 前記送信モジュールはさらに、
    第２情報を送信するために用いられ、前記第２情報は前記第１ＵＥが他のＵＥのセキュリティプロセスをプロキシする能力を有することを指示するためのものである、請求項３１に記載の装置。
33. 前記送信モジュールはさらに、
    第１条件を満たす場合に、前記ネットワーク側機器又は第２ＵＥに第２鍵情報を送信するために用いられ、前記第２鍵情報は更新後の前記第２ＵＥの第１鍵を指示するためのものである、請求項２４に記載の装置。
34. 前記第１条件は、前記第２ＵＥの第１鍵の変更、前記第２ＵＥの第１鍵を計算するための情報の変更のうちの少なくとも１つを含む、請求項３３に記載の装置。
35. 前記送信モジュールはさらに、
    前記第２ＵＥに前記第２ＵＥの第１鍵を送信するために用いられる、請求項２７又は２９に記載の装置。
36. 第１ＵＥにプロキシ要求を送信するための送信モジュールを備え、
    前記送信モジュールはさらに、第１ＵＥからフィードバックされたプロキシ応答を受信すると、前記第１ＵＥに目標鍵情報を送信するために用いられ、
    前記プロキシ要求は前記第２ＵＥのセキュリティプロセスのプロキシを要求するためのものであり、
    前記プロキシ応答は前記第１ＵＥが前記第２ＵＥのセキュリティプロセスのプロキシを受け付けることを指示するためのものであり、
    前記目標鍵情報は前記第１鍵を指示するためのものであり、前記第１鍵は前記第２ＵＥが前記ネットワークと通信する際のデータに対して暗号化及び／又は完全性保護を行うためのものである、鍵取得装置。
37. 前記目標鍵情報は、前記第１鍵の全部もしくは一部の情報、又は、鍵要求を含み、
    前記鍵要求は前記第１ＵＥのセキュリティ鍵を用いて前記第２ＵＥが前記ネットワークと通信する際のデータに対して暗号化及び／又は完全性保護を行うことを要求するためのものであり、前記第１ＵＥのセキュリティ鍵は第１サブ鍵又は第２サブ鍵を含み、前記第１サブ鍵は第１アクセスネットワーク要素に関連する鍵であり、前記第２サブ鍵は第２アクセスネットワーク要素に関連する鍵である、請求項３６に記載の装置。
38. 前記第１ＵＥから第２情報を受信するための受信モジュールをさらに備え、前記第２情報は前記第１ＵＥが他のＵＥのセキュリティプロセスをプロキシする能力を有することを指示するためのものである、請求項３６に記載の装置。
39. 前記送信モジュールはさらに、
    第１条件を満たす場合に、ネットワーク側機器及び／又は前記第１ＵＥに第３鍵情報を送信するために用いられ、前記第３鍵情報は更新後の前記第２ＵＥの第１鍵を指示するためのものである、請求項３６に記載の装置。
40. 前記第１条件は、前記第２ＵＥの第１鍵の変更、前記第２ＵＥの第１鍵を計算するための情報の変更のうちの少なくとも１つを含む、請求項３９に記載の装置。
41. 前記第１ＵＥから第１鍵情報を受信するための受信モジュールをさらに備え、前記第１鍵情報は前記第２ＵＥの第１鍵を指示するためのものである、請求項３６に記載の装置。
42. ネットワーク側機器から第３情報を受信するための受信モジュールをさらに備え、前記第３情報は前記第２ＵＥのセキュリティ状態をアクティブ化及び／又は前記第２ＵＥのセキュリティ鍵を確認するためのものであり、
    前記送信モジュールはさらに、前記ネットワーク側機器に応答情報をフィードバックするために用いられ、前記応答情報は前記第２ＵＥのアップリンクセキュリティがアクティブ化されたことを指示するためのものである、請求項３６に記載の装置。
43. 第１ＵＥから第１鍵情報を受信するための受信モジュールを備え、
    前記第１鍵情報は第２ＵＥの第１鍵を指示するためのものであり、前記第２ＵＥの第１鍵は前記第２ＵＥが前記ネットワーク側機器と通信する際のデータに対して暗号化及び／又は完全性保護を行うためのものである、鍵取得装置。
44. 前記受信モジュールはさらに、目標ＵＥから目標鍵情報を受信するために用いられ、前記目標ＵＥは第１ＵＥ又は第２ＵＥを含み、
    前記受信モジュールが受信した前記目標鍵情報に基づいて、更新後の前記第２ＵＥの第１鍵を決定するための決定モジュールをさらに備え、
    前記目標鍵情報は前記更新後の前記第２ＵＥの第１鍵を指示するためのものである、請求項４３に記載の装置。
45. 第１条件を満たす場合に、目標ＵＥに第４鍵情報を送信するための送信モジュールをさらに備え、
    前記目標ＵＥは第１ＵＥ又は第２ＵＥを含み、前記目標鍵情報は前記更新後の前記第２ＵＥの第１鍵を指示するためのものである、請求項４３に記載の装置。
46. 第２条件を満たす場合に、前記第２ＵＥに第３情報を送信するための送信モジュールをさらに備え、
    前記受信モジュールはさらに、前記第２ＵＥから応答情報を受信するために用いられ、
    前記第３情報は前記第２ＵＥのセキュリティをアクティブ化及び／又は前記第２ＵＥのセキュリティ鍵を確認するためのものであり、前記応答情報は前記第２ＵＥのセキュリティがアクティブ化されたことを指示するためのものであり、
    前記第２条件は、前記第２ＵＥがＲＲＣ接続状態に入ること、前記ネットワーク側機器が前記第２ＵＥのセキュリティコンテキストを確立したこと、前記第２ＵＥのダウンリンクデータが到着し且つセキュリティ状態がアクティブ化されていないことのうちの少なくとも１つを含む、請求項４３に記載の装置。
47. プロセッサと、メモリと、前記メモリに記憶され、前記プロセッサによって実行可能なプログラムもしくは命令とを備え、前記プログラムもしくは命令が前記プロセッサによって実行されると、請求項１から１２のいずれか１項又は請求項１３から１９のいずれか１項に記載の鍵取得方法のステップが実現されることを特徴とする、ＵＥ。
48. プロセッサと、メモリと、前記メモリに記憶され、前記プロセッサによって実行可能なプログラムもしくは命令とを備え、前記プログラムもしくは命令が前記プロセッサによって実行されると、請求項２０から２３のいずれか１項に記載の鍵取得方法のステップが実現される、ネットワーク側機器。
49. プログラムもしくは命令が記憶されており、前記プログラムもしくは命令が前記プロセッサによって実行されると、請求項１から１２のいずれか１項又は請求項１３から１９のいずれか１項又は請求項２０から２３のいずれか１項に記載の鍵取得方法のステップが実現されることを特徴とする、可読記憶媒体。
50. 請求項１から１２のいずれか１項又は請求項１３から１９のいずれか１項又は請求項２０から２３のいずれか１項に記載の鍵取得方法を実行するように構成される、鍵取得装置。
51. 請求項１から１２のいずれか１項又は請求項１３から１９のいずれか１項に記載の鍵取得方法を実行するように構成される、ＵＥ。
52. 請求項２０から２３のいずれか１項に記載の鍵取得方法を実行するように構成される、ネットワーク側機器。
53. プロセッサ及び通信インタフェースを備え、前記通信インタフェースと前記プロセッサが結合され、前記プロセッサはネットワーク側機器プログラムもしくは命令を実行して、請求項１から１２のいずれか１項又は請求項１３から１９のいずれか１項又は請求項２０から２３のいずれか１項に記載の方法を実現するために用いられる、チップ。

Images