WO2010111964A1

WO2010111964A1 - 安全算法选择处理方法与装置、网络实体及通信系统

Info

Publication number: WO2010111964A1
Application number: PCT/CN2010/071522
Authority: WO
Inventors: 张爱琴; 陈璟; 杨义
Original assignee: 华为技术有限公司
Priority date: 2009-04-03
Filing date: 2010-04-02
Publication date: 2010-10-07
Also published as: MX2011010433A; US20120066737A1; BRPI1015037A2; CN101854625A; EP2416521A1; US8898729B2; CN101854625B; EP2416521B1; EP2416521A4

Description

安全算法选择处理方法与装置、网络实体及通信系统本申请要求于 2009 年 4 月 3 日提交中国专利局、申请号为 200910081161.7、发明名称为"安全算法选择处理方法与装置、网络实体及通信系统"的中国专利申请的优先权，其全部内容通过引用结合在本申请中。技术领域本发明涉及通信技术，尤其是一种安全算法选择处理方法与装置、网络实体及通信系统。背景技术长期演进（Long Term Evolve, 以下简称： LTE )是由第三代合作伙伴计划（ Third Generation Partnership Project, 以下简称： 3GPP )定义的移动宽带网络标准的下一个演进目标，支持在成对频谱和非成对频语上的运行，可实现对现有和未来的无线频带的高效利用。如图 1所示，为作为 LTE系统中接入网部分的演进的通用移动电信系统陆地无线接入网（ Evolved UMTS Terrestrial Radio Access Network, 以下简称： E-UTRAN ) 的结构示意图。演进基站（Evolved NodeB , 以下简称： eNB )之间通过 X2接口实现数据和信令的交互。 eNB通过 S 1接口连接到演变分组核心（ Evolved Packet Core，以下简称： EPC ) 网络中的移动性管理实体（ Mobility Management Entity, 以下简称： MME )。 eNB 通过 SI 接口连接到服务网关（Serving Gateway, 以下简称： S-GW )。

如图 2所示，为 LTE系统架构演进（ LTE System Architecture Evolution, 以下简称： LTE-SAE ) 系统的安全架构示意图。该 LTE-SAE系统中，具有如下两层安全保护：一层是用户终端（User Equipment, 以下简称： UE ) 与 eNB之间的接入层（ Access Stratum, 以下简称： AS ), 主要用于对 UE与 eNB之间的无线资源控制（ Radio Resource Control, 以下简称： RRC )信令和用户面（ User Plane，以下简称： UP ) 的用户数据进行安全保护，包括 RRC信令的加密保护和完整性保护以及 UP的用户数据的加密；另一层是 UE和 MME之间的非接入层 ( Non Access Stratum, 以下简称： NAS )，主要用于对 UE和 MME之间的 NAS信令进行安全保护，包括： NAS信令的加密保护和完整性保护。

在 LTE-SAE系统中， UE的能力包括 UE空口能力（ UE radio capability ) 和 UE网络能力（ UE network capability )。其中， UE空口能力使用在 UE与 eNB之间，主要体现在 UE对于 AS所支持的 AS安全算法列表，假设该 AS 安全算法列表中算法的集合表示为 {A}。 UE 网络能力使用在 UE 与 MME之间，包含了 UE在 NAS的安全能力，体现在对于 NAS所支持的 NAS安全算法的列表，假设该 NAS安全算法列表中算法的集合表示为 {B}。从 AS与 NAS的安全模式启动成功后启动对数据和信令的安全保护。启动 AS与 NAS的安全模式时， UE分别向网络实体 eNB、 MME上报 AS安全算法 {A}与 NAS安全算法 {B}; 假设表示 eNB 自身安全算法支持能力的安全算法列表为 {a}，表示 MME 自身安全算法支持能力的安全算法列表为 {b}， eNB从 {{A} Π {a}}中选择 AS的安全算法，包括： RRC加密算法，即：演进的分组系统（ Evolved Packet System，以下简称： EPS ) AS信令加密算法（EPS AS Encryption Algorithm, 以下简称： EAEA ), RRC完整性保护算法，即： EPS AS信令完整性保护算法（EPS AS Integrity Algorithm, 以下简称： EAIA ), 和用户面加密算法，即： EPS 用户面加密算法（EPS User-plan Encryption Algorithm, 以下简称： EUEA ), MME从 { {B}门 {b}}中选择 NAS 的安全算法，包括 EPS NAS加密算法（ EPS NAS Encryption Algorithm，以下简称： ENEA ) , 和 EPS NAS 完整性保护算法（EPS NAS Integrity Algorithm, 以下简称： ENIA )。

UE中的 AS安全算法列表与 NAS安全算法列表相同，也即：集合 {A}= 集合 {B}，当 UE中的 AS安全算法列表包含 eNB的安全算法列表、 UE中的 NAS安全算法列表包含 MME的安全算法列表时，也即： {a}包含于 {A}、集合 {b}包含于 {B}时， eNB选择的 AS的安全算法与 MME选择的 NAS的安全算法可能相同；并且， UE中的 AS安全算法列表包括了 RRC信令的安全算法和 UP的安全算法，因此，根据现有技术选择的 RRC信令的安全算法和 UP的安全算法完全相同。在 LTE-SAE系统中， UE与网络实体支持的安全算法可能会有多种，不同安全算法的复杂度与开销有所不同。一般而言，安全级别越高的算法其复杂度与开销越大。不同的数据类型、业务类型与用户需求可能需要不同的安全算法，甚至不需要进行安全保护，因此，没必要针对所有的业务均采用相同的安全算法。但是，现有技术中网络实体 eNB、 MME无法基于不同的数据类型、业务类型与用户需求来选择相应的 AS的安全算法与 NAS的安全算法，因此，无法根据不同的数据类型、业务类型与用户需求对相应的业务进行不同的安全保护。发明内容

本发明实施例的目的是：提供一种安全算法选择处理方法与装置、网络实体及通信系统，以针对不同的业务选择不同的安全算法进行安全保护。

本发明实施例提供的一种安全算法选择处理方法，包括：

接收用户终端发送的业务请求消息；

根据该业务请求消息的安全保护需求，从该用户终端与网络实体都支持的安全算法列表中选择安全算法；

其中，该用户终端和 /或该网络实体支持的安全算法列表基于不同的安全保护需求分别设置，或者，该用户终端与该网络实体支持的安全算法列表分别用于表示该用户终端与该网络实体的安全能力。

本发明实施例提供的一种安全算法选择处理装置，包括：

第一获取模块，用于获取用户终端发送的业务请求消息的安全保护需求；

第一选择模块，用于根据该业务请求消息的安全保护需求，从该用户终端与网络实体都支持的安全算法列表中选择安全算法；该用户终端和 /或该网络实体支持的安全算法列表基于不同的安全保护需求分别设置，或者，该用户终端与该网络实体支持的安全算法列表分别用于表示该用户终端与该网络实体的安全能力。

本发明实施例提供的一种通信系统，包括网络实体，还包括安全算法选择处理装置，用于获取该用户终端发送的业务请求消息的安全保护需求，并根据该业务请求消息对应的安全保护需求，从该用户终端与该网络实体都支持的安全算法列表中选择安全算法；该用户终端和 /或该网络实体支持的安全算法列表基于不同的安全保护需求分别设置，或者，该用户终端与该网络实体支持的安全算法列表分别用于表示该用户终端与该网络实体的安全能力。

基于本发明上述实施例提供的安全算法选择处理方法、安全算法选择处理装置与通信系统，由于用户终端和 /或网络实体，例如： eNB、 MME, 支持的安全算法列表基于不同的安全保护需求分别设置，可以根据不同业务请求消息的安全保护需求选择不同的安全算法，以对相应的业务进行不同的安全保护，不但提高了业务的安全性，还可以综合考虑通信系统中各算法的复杂度与占用的开销，在对业务进行有效安全保护的同时提高通信系统的性能。

本发明实施例提供的一种用户终端，包括：

第一存储模块，用于存储该用户终端支持的安全算法列表，该安全算法列表基于不同的安全保护需求分别设置或者用于表示该用户终端的安全能力；

第二获取模块，用于从该第一存储模块中获取安全算法列表，或查询该业务请求消息的安全保护需求，从该第一存储模块中获取该安全保护需求对应的安全算法列表；

第一发送模块，用于生成并向网络实体发送业务请求消息，该业务请求消息中包括该第二获取模块获取的安全算法列表；

第一接收模块，用于接收该网络实体返回的安全算法，该安全算法根据该业务请求消息的安全保护需求，从该用户终端与网络实体都支持的安全算法列表中选择。

本发明实施例提供的一种网络实体，包括：

第二存储模块，用于存储该网络实体支持的安全算法列表或安全算法选择策略，该安全算法列表基于不同的安全保护需求分别设置或者用于表示该网络实体的安全能力，该安全算法选择策略基于该网络实体支持的安全算法列表设置；

第二接收模块，用于接收用户终端发送的业务请求消息，该业务请求消息中包括该用户终端支持的安全算法列表；

第二选择模块，用于根据该第二存储模块中存储的安全算法列表或安全算法选择策略，与该业务请求消息中的安全算法列表，从该用户终端与该网络实体都支持的安全算法列表中选择该安全保护需求对应的安全算法；

第二发送模块，用于将该第二选择模块选择的安全算法发送给该用户终端。

本发明实施例提供的另一种通信系统，包括网络实体，该网络实体中存储有该网络实体支持的安全算法列表或安全算法选择策略，该安全算法列表基于不同的安全保护需求分别设置或用于表示该网络实体的安全能力，该安全算法选择策略基于该网络实体支持的安全算法列表设置；

该网络实体用于接收该用户终端发送的业务请求消息，该业务请求消息中包括该用户终端支持的安全算法列表或该业务请求消息的安全保护需求所对应的安全算法列表，根据该网络实体支持的安全算法列表或安全算法选择策略，与该业务请求消息中携带的安全算法列表，从该用户终端与该网络实体都支持的安全算法列表中选择该安全保护需求对应的安全算法，并将选择的安全算法发送给该用户终端。

基于本发明上述实施例提供的用户终端、网络实体与另一种通信系统，由于用户终端和 /或网络实体，支持的安全算法列表基于不同的安全保护需求分别设置，用户终端将其支持的全部安全算法列表或与业务请求消息的安全保护需求相应的安全算法列表发送给网络实体后，网络实体就可以从用户终端与该网络实体支持的安全算法中选择业务请求消息的安全保护需求相应的安全算法，以便后续对该业务进行相应的安全保护，提高了业务的安全性；另外，还可以综合考虑通信系统中各算法的复杂度与占用的开销，在对业务进行有效安全保护的同时提高通信系统的性能。

本发明实施例提供的另一种用户终端，包括：

第一存储模块，用于存储该用户终端支持的安全算法列表，该安全算法列表基于不同的安全保护需求分别设置或用于表示该用户终端的安全能力；

第一发送模块，用于生成并向网络实体发送业务请求消息；

第一接收模块，用于接收该网络实体返回的安全算法列表、安全算法选择策略或安全算法选择策略标识，该安全算法列表为该网络实体支持的安全算法列表或该安全算法列表中与该业务请求消息的安全保护需求对应的安全算法列表，该安全算法选择策略基于该网络实体支持的安全算法列表设置；

第三选择模块，用于根据该第一存储模块中存储的安全算法列表，与该第一接收模块接收到的安全算法列表，从该用户终端与该网络实体都支持的安全算法列表中选择该安全保护需求对应的安全算法。

本发明实施例提供的另一种网络实体，包括：

第二存储模块，用于存储该网络实体支持的安全算法列表、安全算法选择策略或安全算法选择策略标识，该安全算法列表基于不同的安全保护需求分别设置或用于表示该网络实体的安全能力，该安全算法选择策略基于该网络实体支持的安全算法列表设置；

第二接收模块，用于接收用户终端发送的业务请求消息；

第四发送模块，用于将该第二存储模块中存储的安全算法列表、该业务请求消息的安全保护需求对应的安全算法列表、安全算法选择策略或安全算法选择策略标识发送给该用户终端。

本发明实施例提供的又一种通信系统，包括网络实体，该网络实体中存储有该网络实体支持的安全算法列表、安全算法选择策略或安全算法选择策略标识，该安全算法列表基于不同的安全保护需求分别设置相应表示该用户终端或该网络实体的安全能力，该安全算法选择策略基于该网络实体支持的安全算法列表设置；

该网络实体用于接收该用户终端发送的业务请求消息，将该网络实体存储的安全算法列表、该安全保护需求对应的安全算法列表、安全算法选择策略或安全算法选择策略标识发送给该用户终端，以便该用户终端根据该用户终端存储的安全算法列表，与该网络实体返回的安全算法列表、安全算法选择策略或安全算法选择策略标识，选择该安全保护需求对应的安全算法。

基于本发明上述实施例提供的另一种用户终端、另一种网络实体与又一种通信系统，由于用户终端和 /或网络实体，支持的安全算法列表基于不同的安全保护需求分别设置，网络实体接收到用户终端发送的业务请求消息后，可以将其支持的全部安全算法列表或与业务请求消息的安全保护需求相应的安全算法列表返回给用户终端，以便用户终端从该用户终端与网络实体支持的安全算法中选择业务请求消息的安全保护需求相应的安全算法，从而在后续对该业务进行相应的安全保护，提高了业务的安全性；另外，还可以综合考虑通信系统中各算法的复杂度与占用的开销，在对业务进行有效安全保护的同时提高通信系统的性能。附图说明图 1为作为 LTE系统中接入网部分的 E-UTRAN的结构示意图；图 2为 LTE-SAE系统的安全架构示意图；

图 3为本发明实施例的一种安全算法选择处理方法流程图；图 4为本发明安全算法选择处理方法一个实施例的流程图；图 5为本发明安全算法选择处理方法另一个实施例的流程图；图 6为本发明安全算法选择处理方法又一个实施例的流程图；图 7为本发明安全算法选择处理方法再一个实施例的流程图；图 8为本发明安全算法选择处理方法还一个实施例的流程图；图 9为本发明安全算法选择处理方法又一个实施例的流程图；图 10为本发明安全算法选择处理装置一个实施例的结构示意图；图 11为本发明安全算法选择处理装置另一个实施例的结构示意图; 图 12为本发明通信系统一个实施例的结构示意图；

图 13为本发明 UE—个实施例的结构示意图；

图 14为本发明 UE另一个实施例的结构示意图；

图 15为本发明 UE又一个实施例的结构示意图；

图 16为本发明网络实体一个实施例的结构示意图；

图 17为本发明网络实体另一个实施例的结构示意图；

图 18为本发明应用服务器一个实施例的结构示意图；

图 19为本发明通信系统另一个实施例的结构示意图；

图 20为本发明通信系统又一个实施例的结构示意图；

图 21为本发明 UE再一个实施例的结构示意图；

图 22为本发明 UE还一个实施例的结构示意图；

图 23为本发明网络实体又一个实施例的结构示意图；图 24为本发明网络实体再一个实施例的结构示意图；

图 25为本发明通信系统再一个实施例的结构示意图；

图 26为本发明通信系统还一个实施例的结构示意图。具体实施方式如图 3所示，本发明实施例的一种安全算法选择处理方法，包括： Sl，接收 UE发送的业务请求消息； S2，根据业务请求消息的安全保护需求，从 UE与网络实体都支持的安全算法列表中选择安全算法。其中， UE和 /或网络实体支持的安全算法列表基于不同的安全保护需求分别设置，或者， UE 与网络实体支持的安全算法列表分别用于表示 UE与网络实体的安全能力。由于用户终端和 /或网络实体，支持的安全算法列表基于不同的安全保护需求分别设置，可以根据不同业务请求消息的安全保护需求选择不同的安全算法，以对相应的业务进行不同的安全保护，不但提高了业务的安全性，还可以综合考虑通信系统中各算法的复杂度与占用的开销，在对业务进行有效安全保护的同时提高通信系统的性能。

其中的安全保护需求可以包括数据类型、业务类型与用户需求中的任意一种或多种。例如：数据类型对应的安全保护级别需求或安全算法列表，业务类型对应的安全保护级别需求或安全算法列表或安全算法策略，其中，业务类型对应的安全算法策略用于表示该业务类型在不同条件下的安全保护级别需求。具体地，数据类型可以是 RRC信令、 UP的用户数据或 NAS 信令。安全算法可以是 RRC加密算法、 RRC完整性保护算法、 UP加密算法、 UP完整性保护算法、 NAS加密算法或 NAS完整性算法。

作为本发明的一个实施例， UE支持的安全算法列表包括该 UE的空口安全能力 Radio Capability算法列表与网络安全保护能力 Network Capability 算法列表。 UE 发送的业务请求消息具体可以是服务请求消息 Service Request或者附着请求消息 Attach Requests 本发明的实施例中， UE的安全能力，例如：算法能力集，可以按照不同数据类型安全保护需求的不同，例如：区分信令与用户面数据，来分别定义不同的算法能力集，为不同数据类型或者不同安全保护层次提供该用 UE 支持的、不同的安全保护算法列表。其中的安全保护层次包括 AS 与 NAS。网络实体的安全能力具体可以为不同数据类型或者不同安全保护层次提供该网络实体支持的、不同的安全保护算法列表。由于不同安全算法的复杂度不同，占用的开销与加解密、完整性验证码的计算和校验的效率也不同，不同数据类型的数据包以及流量的特点是不一样的，对于安全保护需求也不同，例如：信令和用户数据为不同的数据类型。本发明实施例中， UE 的安全能力基于不同的数据类型、业务类型或用户需求的安全保护需求，在 UE和 /或网络实体中设置不同的安全算法能力集，这样， UE或网络实体就可以根据不同的安全保护需求选择不同的安全算法来相应的业务进行安全保护，不但提高了业务的安全性，还可以综合考虑通信系统中各算法的复杂度与占用的开销，在对业务进行有效安全保护的同时提高通信系统的性能。

由于数据量大，完整性算法占用的开销太大，对于系统的性能影响太大，现有技术中，对于 UP的用户数据，并没有进行完整性保护。但是在某些场合，例如：在安全级别要求较高的防篡改、需要准确保证数据正常传输的场合，也有实际的数据完整性保护的需求。或者，基于高安全级别安全算法性能的局限性，本发明实施例中可以根据安全算法本身的特点，例如：复杂度、占用的开销等，来根据用户订阅的安全保护需求预先设置相应的安全算法列表，从而可以采用较为适合和完整性保护算法，例如：采用较低计算量的完整性算法，或者特定部分数据完整性校验的方法，来对相应的 UP的用户数据进行完整性保护。

在本发明的实施例中，网络实体具体可以是 eNB，也可以是 MME。网络实体为演进基站 _eNB时，相应的业务请求消息为 RRC请求消息或 UP的用户数据，接收 UE发送的业务请求消息具体为： eNB接收 UE发送的 RRC 请求消息或 UP的用户数据。网络实体为 MME时，相应的业务请求消息为 NAS请求消息，接收 UE发送的业务请求消息具体为： MME接收由 eNB 转发的、由 UE发送的 NAS请求消息。

具体从 UE 与网络实体都支持的安全算法列表中选择业务请求消息的安全保护需求对应的安全算法时，若 UE与网络实体都支持的安全算法列表中与业务请求消息的安全保护需求对应的安全算法有多种，则可以才据预先设定的优先级顺序，从符合条件的算法中选择用于业务保护的安全算法。该预先设定的优先级顺序可以包含在安全算法列表本身中，也可以在安全算法列表以外的位置存储安全算法列表中各安全算法的优先级顺序。

本发明实施例的安全算法选择处理方法之前，可以在 UE和 /或网络实体中，根据不同的安全保护需求分别设置不同的安全算法列表，并可以根据实际需求，对 UE的和 /或网络实体中安全算法列表进行增加、删除或更新。

通过本发明实施例，从 UE与网络实体都支持的安全算法列表中选择业务请求消息的安全保护需求对应的安全算法后， UE与网络实体之间，例如： UE与 eNB之间， UE与 MME之间，就可以根据选择的安全算法对业务进行安全保护。

具体地，在 LTE-SAE系统中， eNB从该 eNB自身与 UE都支持的安全算法列表中选择出 RRC加密算法、 RRC完整性保护算法、 UP加密算法、 UP完整性保护算法后， eNB向 UE发送经过完整性保护的 AS安全模式命令，其中携带有密钥标识 KSIasme、 EAEA、 EAIA、 EUEA和 AS消息完整性保护的认证码 ( AS Message Authentication Codes，以下简称： AS-MAC )， UE进入 AS安全模式并向 eNB返回经过完整性保护的 AS安全模式响应，其中携带有 AS-MAC, 从而启动 AS的安全模式，从 AS的安全模式启动成功后，通过 eNB 选择的安全保护算法对数据和信令进行安全保护。 MME 从该 MME自身与 UE都支持的安全算法列表中选择出 ENEA与 ENIA后，向 UE发送经过完整性保护的 NAS 安全模式命令，其中携带有密钥标识 KSIasme, ENEA, ENIA与 NAS消息完整性保护的认证码（ NAS Message Authentication Codes, 以下简称： NAS-MAC )， UE进入 NAS安全模式并向 MME返回经过完整性保护的 NAS安全模式响应，其中携带有 NAS-MAC，从而启动 NAS的安全模式，从 NAS的安全模式启动成功后，通过 MME 选择的安全保护算法对数据和信令进行安全保护。

如图 4所示，为本发明安全算法选择处理方法一个实施例的流程图，其包括以下步骤：

步骤 101，网络实体接收 UE发送的业务请求消息，该业务请求消息中包括 UE支持的安全算法列表。

其中的网络实体可以是 eNB或者 MME。若网络实体是 eNB，则 eNB 可以与 UE进行信息交互，直接从 UE获得 UE支持的安全算法列表。另夕卜， UE也可以将其支持的安全算法列表发送给 MME, eNB从 MME获取 UE 支持的安全算法列表。若网络实体是 MME, 由于 MME通过 eNB与 UE进行信息交互， UE先将业务请求消息发送给 eNB, 再由 eNB将该业务请求消息转发给 MME。其它实施例中的消息发送流程同理，不再赘述。

另外，步骤 101中的业务请求消息中也可以不包括 UE支持的安全算法列表，而由网络实体预先存储 UE支持的安全算法列表，或者由应用服务器中存储的关于 UE的安全能力信息提供。

步骤 102，网络实体根据预先设置的业务请求消息与安全保护需求之间的对应关系信息，获取 UE发送的业务请求消息的安全保护需求。

步骤 103，网络实体获取自己支持的安全算法列表中与安全保护需求对应的安全算法列表，以及获取 UE支持的安全算法列表中与安全保护需求对应的安全算法列表。

具体地，若网络实体与 UE中只有一个安全算法列表基于不同的安全保护需求分别设置，则仅对基于不同的安全保护需求分别设置安全算法列表的 UE或网络实体执行该步骤 103的操作，而认为未基于不同的安全保护需求分别设置的安全算法列表中的安全算法适用于所有的安全保护需求，也就是说，不论安全保护需求是什么，针对该安全保护需求，从该未基于不同的安全保护需求分别设置安全算法列表的 UE或网络实体中获取的安全算法都是该 UE或网络实体中的所有安全算法列表。其它实施例同理。例如：假设 UE支持的安全算法列表包括 A、 B、 C三种算法，且该安全算法列表未基于不同的安全保护需求分别设置，而网络实体支持的安全算法列表包括八、 B、 D、 E、 F五种算法，该安全算法列表中，与第一用户需求对应的安全算法为 A与 B，与第二用户需求对应的安全算法为 D、 E与 F，则若用户终端发送的业务请求消息的安全保护需求为第一用户需求，则从 UE获取的与该第一用户需求对应的安全算法 UE 支持的安全算法列表中的所有安全算法，即： A、 B与 C，从网络实体获取的与该第一用户需求对应的安全算法为八与 B。

步骤 104，网络实体从获取的安全算法列表中， UE与网络实体都支持的安全算法列表中选择一种作为该业务请求消息所请求业务的安全保护算法。

根据步骤 103中的实例，可以选择 A或 B作为该业务请求消息所请求业务的安全保护算法。若预先设置了 A安全算法与 B安全算法的优先级顺序，则根据优先级顺序选择 A或 B作为该业务请求消息所请求业务的安全保护算法。否则，可以根据其它规则或随机选择 A或 B作为该业务请求消息所请求业务的安全保护算法。

在上述图 4所示的实施例中，由 UE在发送给网络实体的业务请求消息时携带 UE支持的安全算法列表，由网络实体直接根据 UE支持的安全算法列表与网络实体支持的安全算法列表中选择相应的安全保护算法，对现有技术的流程改动较小，并且流程简单，易于实现。本发明实施例中的步骤 103与步骤 104可以没有时间顺序关系，例如：步骤 104也可以先于或同时与步骤 103执行。例如：可以先通过步骤 104 选择 UE和网络实体都支持的安全算法，则从中选择出与业务请求消息的安全保护需求对应的安全算法。还是基于步骤 103的实施例，从 UE的安全算法列表和网络实体的安全算法列表中选择出二者都支持的安全算法为 A与 B, 再从 A与 B中选择出与第一用户需求对应的安全算法： A与 B，之后可以根据优先级顺序或随机选择 A或 B作为该业务请求消息所请求业务的安全保护算法。作为本发明实施例的一个具体应用，假设 UE支持的安全算法列表如下表 1 所示。其中，在信令协议中的标识包括该安全算法支持的密钥长度-安全算法名称缩写，例如： "128-EEA0"表示名称为 Null ciphering algorithm的安全算法支持的密钥长度为 128，该安全算法名称缩写为 EEA0。

" V " 表示该安全算法适用于某项业务， " V "表示该安全算法不适用于某项业务，根据表 1，安全算法 Null ciphering与 AES适用于 RRC加密业务，安全算法 SNOW 3G不适用于 RRC加密业务，也就是说：对于 RRC加密算法， UE支持 Null ciphering与 AES安全算法。进一步地，可以按照安全算法被选择的优先级顺序来为安全算法分配安全算法编号，也就是说，在某一安全保护需求对应的各种算法中，可以优先选择编号较小或者编号较大的算法作为对相应业务进行安全保护的算法。

表 1 UE支持的安全算法列表安在^ ?中安全算法名称 ^加 ··· ··· ^加密

00002" 128-EEAO Null ciphering V ··. ··. X algorithm

"00012" 128-EEA1 SNOW 3G X ··. ··. V

"00102" 128-EEA2 AES V …… V eNB支持的安全算法列表如下表 2所示， eNB支持的安全算法适用于所有业务的安全保护需求，也就是说， eNB 支持的安全算法列表未基于不同的安全保护需求分别设置。

eNB支持的安全算法列表

安全算法编号在信令协议中的标识安全算法名称

00002" 128-EEA0 Null ciphering algorithm "00012" 128-EEA1 SNOW 3G

"00102" 128-EEA2 AES 表 1与表 2中的安全保护需求仅以数据类型为例。若网络实体接收到 UE发送的业务请求消息为 RRC请求消息，则确定其数据类型为 RRC信令，根据步骤 103，从 RRC请求消息中 UE支持的安全算法列表中选择的安全算法列表包括安全算法 Null ciphering与 AES，从 eNB支持的安全算法列表中选择的安全算法列表包括安全算法 Null ciphering、 SNOW 3G与 AES，因此， eNB可从 Null ciphering与 AES中选择一种安全算法作为 RRC信令的加密算法。若表 1与表 2中的安全算法按照从高到低的优先级顺序排列，则 eNB选择 Null ciphering与 AES中优先级较高的 Null ciphering作为 RRC 信令的加密算法。而针对 UP的用户数据选择 SNOW 3G安全算法，这样，对 UP的用户数据与 RRC信令就选择了不同多个安全算法。在本发明的各实施例中，若网络实体与 UE中对安全算法的优先级排列顺序冲突，可以根据预先设定，按照 UE或网络实体中的优先级顺序选择，或者优先级顺序冲突的安全算法都不选择，或者直接结束本次安全算法选择。

另外，在步骤 101之前， UE可以根据其将要发送的业务请求消息的安全保护需求，从该 UE支持的安全算法列表中选择该安全保护需求对应的安全算法列表；相应的，步骤 101中，业务请求消息中包括的是该 UE支持的、安全保护需求对应的安全算法列表；步骤 103 中，仅需网络实体获取自己支持的安全算法列表中与获取的安全保护需求对应的安全算法即可，若网络实体中的安全算法列表未基于不同的安全保护需求分别设置，则网络实体获取自己支持的安全算法列表。

如图 5所示，为本发明安全算法选择处理方法另一个实施例的流程图，其包括以下步骤：

步骤 201，网络实体接收 UE发送的业务请求消息。

步骤 202，网络实体获取自己支持的向安全算法列表，并发送给 UE。步骤 203， UE根据预先设置的业务请求消息与安全保护需求之间的对应关系信息，获取 UE发送的业务请求消息的安全保护需求。

其中，步骤 203与步骤 202之间没有严格的时间关系限制，步骤 203 也可以与步骤 202同时执行或先于步骤 202执行。

步骤 204， UE从该 UE与网络实体都支持的安全算法列表中选择安全保护需求对应的安全算法。

具体地， UE可以参考步骤 103-104的方式选择从该 UE与网络实体都支持的安全算法列表中选择安全保护需求对应的安全算法。

在上述图 5所示的实施例中，网络实体在接收到 UE发送的业务请求消息后，向 UE反馈该网络实体支持的安全算法列表，由 UE直接根据 UE支持的安全算法列表与网络实体支持的安全算法列表中选择相应的安全保护算法，不需要 UE向网络实体上报其支持的安全算法列表，因此，可以较为快速的选择出安全保护需求对应的安全算法。

或者，在步骤 201 之后，网络实体可以根据预先设置的业务请求消息与安全保护需求之间的对应关系信息，获取 UE发送的业务请求消息的安全保护需求，并从自己支持的安全算法列表中与获取的安全保护需求对应的安全算法列表。相应的，步骤 202 中，网络实体仅将获取的安全保护需求对应的安全算法列表发送给 UE。步骤 204中， UE从网络实体发送的安全保护需求对应的安全算法列表与 UE自身中与通过步骤 203获取的安全保护需求对应的安全算法列表中，选择一种安全算法作为业务消息所请求业务的安全保护算法。

若 UE中的安全算法列表未基于不同的安全保护需求分别设置，则不需要执行步骤 203。相应的，步骤 204中， UE从网络实体发送的安全保护需求对应的安全算法列表与 UE自身支持的安全算法列表中，选择一种安全算法作为业务消息所请求业务的安全保护算法。

或者，在网络实体中存储有安全算法选择策略时，步骤 201 之后，向 UE返回网络实体支持的安全算法选择策略，该安全算法选择策略基于网络实体支持的安全算法列表设置，例如：安全算法选择策略可以是在网络实体支持的安全算法列表中，各种数据类型、业务类型与用户需求具体对应的安全算法，或进一步包括安全算法的优先级顺序。相应的，步骤 204中， UE根据网络实体发送的安全算法选择策略，从 UE与网络实体都支持的安全算法列表中选择安全保护需求对应的安全算法。

网络实体中可以存储多个安全算法选择策略，这些安全算法选择策略的相关信息，例如：策略名称、策略标识（ identifier, 以下简称： ID )、安全保护需求应用的安全算法在终端与网络实体都是同步的，或者，网络实

¼算算算应.

体与 UE对对方所能支持的安全算法选择策略是可知的安法法法用。当网络实体启用安全 D B c

全算法的时候，可以将安全算法选择策略通过安全保护的消t息传递给 UE，法法法法、

法

指示 UE采用相应的安全算法保护后续的通信业务。如下表 3、全 A D B c表 4所示，算分别为网络实体中存储的安全算法策略一和安全算法策略二。安全法算法策略给出了针对不同的数据类型、业务类型与用户需求具体应用的安全算法。

表 3 安全算法策略一

安全保护需求

数据类型一 / 业务类型一

数据类型二 / 业务类型二

数据类型三 / 业务类型三

数据类型四 I 业务类型四表 4 安全算法策略二

安全保护需求应，

数据类型一 I 用户 AAAAAAA

数据类型二 I 用户 CCCCCCC

数据类型三 I 用户 EEEEEEEE 数据类型四 I 用户 xxxxxxx 算法 A 进一步地，若 UE中也存储有与网络实体中相同的安全算法选择策略，并且 UE与网络实体都存储有安全算法选择策略与安全算法选择策略 ID时，为了减少网络流量，尽可能少地占用有限的网络带宽资源，网络实体可以仅将与用户终端发送的业务请求消息对应的安全算法选择策略的安全算法选择策略 ID发送给 UE。在步骤 204中， UE确定网络实体发送的安全算法选择策略 ID所标识的安全算法选择策略，并根据该安全算法选择策略，从 UE 与网络实体都支持的安全算法列表中选择安全保护需求对应的安全算法。

为了进一步对不同安全保护需求的安全算法进行限制，便于对安全算法的选择进行统一管理和更新，可以在通信网络中设置一个应用服务器，在其中基于不同的安全保护需求分别设置安全算法列表、安全算法选择策略或安全算法选择策略 ID，其中的安全算法选择策略基于安全保护需求设置，其设置方法可以参考网络实体中安全算法选择策略的设置方法。具体选择业务请求消息所请求业务的安全算法时，从 UE与网络实体都支持且应用服务器存储的安全算法列表中选择安全算法。可以预先设定，在 UE或网络实体选择的安全算法与应用服务器选择的安全算法冲突时，以应用服务器选择的安全算法为准。

如图 6所示，为本发明安全算法选择处理方法又一个实施例的流程图，其包括以下步骤：

步骤 301， UE向应用服务器发送获取请求消息，获取该应用服务器存储的安全算法列表，或该安全算法列表中与将要发送的业务请求消息的安全保护需求对应的安全算法列表，或安全算法选择策略，或安全算法选择策略 ID。

步骤 302， UE根据自身支持的安全算法列表，与从应用服务器获取的安全算法列表、安全算法选择策略或安全算法选择策略 ID,相应选择该 UE 支持且应用服务器存储的安全算法列表，或选择该 UE支持且应用服务器存储的、业务请求消息的安全保护需求对应的安全算法列表。

若 UE从应用服务器获取的是安全算法选择策略 ID， UE先根据安全算法选择策略与安全算法选择策略 ID之间的对应关系获取相应的安全算法选择策略。

UE选择的安全算法列表具体是 UE支持且应用服务器存储的、且与业务请求消息的安全保护需求对应的安全算法列表，还是 UE支持且应用服务器存储的安全算法列表，可以根据通信需求预先设定。

步骤 303， UE向网络实体发送业务请求消息，该业务请求消息中包括 UE选择的安全算法列表，具体为 UE支持且应用服务器存储的安全算法列表，或 UE支持且应用服务器存储的、且与业务请求消息的安全保护需求对应的安全算法列表。

步骤 304，网络实体根据预先设置的业务请求消息与安全保护需求之间的对应关系信息，获取 UE发送的业务请求消息的安全保护需求。

步骤 305，若业务请求消息中包括的是 UE支持且应用服务器存储的、且与业务请求消息的安全保护需求对应的安全算法列表，网络实体获取自己支持的安全算法列表中与获取的安全保护需求对应的安全算法列表。

若业务请求消息中包括的是 UE 支持且应用服务器存储的安全算法列表，则该步骤 305 中，网络实体还从该安全算法列表中选择出安全保护需求对应的安全算法列表。

具体业务请求消息中包括的安全算法列表是 UE 支持且应用服务器存储的、且与业务请求消息的安全保护需求对应的安全算法列表，还是 UE 支持且应用服务器存储的安全算法列表，可以根据通信需求预先设定。

步骤 306，网络实体从自己支持的、且与业务请求消息的安全保护需求对应的安全算法列表，与业务请求消息中 UE选择的安全算法列表中，选择一种作为该业务请求消息所请求业务的安全保护算法。

在上述图 6所示的实施例中， UE先选择出该 UE支持且应用服务器存储的安全算法列表，或选择该 UE支持且应用服务器存储的、业务请求消息的安全保护需求对应的安全算法列表，再发送给网络实体，减少了 UE发送全部该 UE支持的全算法列表与应用服务器存储的全算法列表的网络流量。并且，网络实体选择安全算法列表时还考虑了应用服务器存储的安全算法列表，进一步限制了不同安全保护需求的安全算法，便于对安全算法的选择进行统一管理和更新。

如图 7所示，为本发明安全算法选择处理方法再一个实施例的流程图，其包括以下步骤：

步骤 401， UE向应用服务器发送获取请求消息，获取该应用服务器存储的安全算法列表，或该安全算法列表中与将要发送的业务请求消息的安全保护需求对应的安全算法列表，或安全算法选择策略，或安全算法选择策略 ID。

步骤 402， UE向网络实体发送业务请求消息，该业务请求消息中包括 UE支持的安全算法列表，或该安全算法列表中与将要发送的业务请求消息的安全保护需求对应的安全算法列表，与获取的应用服务器存储的安全算法列表，或该安全算法列表中与安全保护需求对应的安全算法列表，或安全算法选择策略，或安全算法选择策略 ID。

该业务请求消息中的安全算法列表具体是 UE支持的安全算法列表，还是该安全算法列表中与将要发送的业务请求消息的安全保护需求对应的安全算法列表，是应用服务器存储的安全算法列表，还是该安全算法列表中与安全保护需求对应的安全算法列表，可以根据通信需求预先设定。

步骤 403，网络实体根据预先设置的业务请求消息与安全保护需求之间的对应关系信息，获取 UE发送的业务请求消息的安全保护需求。

步骤 404，若业务请求消息中包括的是 UE支持且应用服务器存储的、与该安全保护需求对应的安全算法列表，网络实体获取自己支持的安全算法列表中与获取的安全保护需求对应的安全算法列表。

若业务请求消息中包括的是 UE支持的安全算法列表，与应用服务器存储的安全算法列表、安全算法选择策略或安全算法选择策略 ID，则该步骤 404中，网络实体还分别选择出 UE支持且应用服务器存储的、与该安全保护需求对应的安全算法列表。

如果业务请求消息中包括应用服务器的安全算法选择策略 ID，则需要预先在网络实体与应用服务器中设置相同的安全算法选择策略与安全算法选择策略 ID之间的对应关系，网络实体根据安全算法选择策略 ID获取相应的安全算法选择策略。

具体业务请求消息中包括的安全算法列表是 UE 支持且应用服务器存储的、且与该安全保护需求对应的安全算法列表，还是 UE支持且应用服务器存储的安全算法列表、安全算法选择策略或安全算法选择策略 ID，可以根据通信需求预先设定。

步骤 405，网络实体从自己支持的、且与该安全保护需求对应的安全算法列表，和 UE支持且应用服务器存储的、与该安全保护需求对应的安全算法列表中，选择一种作为该业务请求消息所请求业务的安全保护算法。

在上述图 7所示的实施例中， UE将该 UE支持的安全算法列表与应用服务器存储的安全算法列表，或该安全算法列表中与安全保护需求对应的安全算法列表，或安全算法选择策略，或安全算法选择策略 ID，发送给网络实体，网络实体选择安全算法列表时还考虑了应用服务器存储的安全算法列表，进一步限制了不同安全保护需求的安全算法，便于对安全算法的选择进行统一管理和更新。

如图 8所示，为本发明安全算法选择处理方法还一个实施例的流程图，其包括以下步骤：

步骤 501， UE向网络实体发送业务请求消息，该业务请求消息中包括 UE支持的安全算法列表，或 UE根据该业务请求消息的安全保护需求，从自己支持的安全算法列表选择出来的与安全保护需求对应的安全算法列表。

业务请求消息中的安全算法列表具体是 UE支持的、且与业务请求消息的安全保护需求对应的安全算法列表，还是 UE支持的安全算法列表，可以根据通信需求预先设定。

步骤 502，网络实体接收到 UE发送的业务请求消息之后，获取应用服务器存储的安全算法列表、该应用服务器存储的且与该安全保护需求对应的安全算法列表、安全算法选择策略或安全算法选择策略 ID。

步骤 503，网络实体根据预先设置的业务请求消息与安全保护需求之间的对应关系信息，获取 UE发送的业务请求消息的安全保护需求。

步骤 504，若网络实体通过步骤 501与步骤 502获得的是 UE与应用服务器都支持的、业务请求消息的安全保护需求对应的安全算法列表，网络实体获取自己支持的安全算法列表中与获取的安全保护需求对应的安全算法列表。

若网络实体通过步骤 501与步骤 502获得的是 UE支持的安全算法列表，与应用服务器存储的安全算法列表、安全算法选择策略或安全算法选择策略 ID, 则该步骤 504中，网络实体还分别选择出 UE支持且应用服务器存储的、与安全保护需求对应的安全算法列表。

步骤 505，网络实体从自己支持的、且与该安全保护需求对应的安全算法列表，与 UE支持且应用服务器存储的、与该安全保护需求对应的安全算法列表中，选择一种作为该业务请求消息所请求业务的安全保护算法。在上述图 8所示的实施例中，网络实体接收到 UE发送的业务请求消息后，自己获取而不需要 UE获取再发送应用服务器存储的安全算法列表，或该安全算法列表中与安全保护需求对应的安全算法列表，或安全算法选择策略，或安全算法选择策略 ID，减少了 UE发送应用服务器的安全算法列表，或安全算法选择策略，或安全算法选择策略 ID所占用的网络带宽；另外，网络实体选择安全算法列表时还考虑了应用服务器存储的安全算法列表，进一步限制了不同安全保护需求的安全算法，便于对安全算法的选择进行统一管理和更新。

通过图 4中的步骤 104，图 6中的步骤 306，图 7中的步骤 405，与图 8中的步骤 505，网络实体选择出安全算法之后，可以通过安全模式命令将该选择的安全算法发送给 UE, 以便于 UE与网络实体通过该安全算法对相应的业务进行安全保护。具体地，若网络实体是 eNB，则 eNB可以直接将选择的安全算法发送给 UE; 若网络实体是 MME, 则 MME可以将选择的安全算法发送给 eNB, 由 eNB将该安全算法转发给 UE, 网络实体向 UE 发送的其它消息流程类同，不再赘述。

如图 9所示，为本发明安全算法选择处理方法又一个实施例的流程图，其包括以下步骤：

步骤 601， UE向应用服务器发送获取请求消息，获取该应用服务器存储的安全算法列表，或该安全算法列表中与将要发送的业务请求消息的安全保护需求对应的安全算法列表，或安全算法选择策略，或安全算法选择策略 ID。

若从应用服务器获取的是安全算法选择策略 ID，UE需要根据安全算法选择策略与安全算法选择策略 _ID之间的对应关系获取相应的安全算法选择策略。

步骤 602， UE向网络实体发送业务请求消息。

另外，步骤 602也可以与步骤 601同时执行或先于步骤 601执行。步骤 603，网络实体接收到 UE发送的业务请求消息之后，向 UE返回该网络实体支持的安全算法列表，或其中与安全保护需求对应的安全算法列表，或安全算法选择策略，或安全算法选择策略 ID，该安全算法选择策略基于网络实体支持的安全算法列表设置。

若网络实体返回的是安全算法选择策略 ID，UE需要根据安全算法选择策略与安全算法选择策略 ID之间的对应关系获取相应的安全算法选择策略。

网络实体返回的具体是其支持的安全算法列表，还是其中安全保护需求对应的安全算法列表，还是安全算法选择策略，还安全算法选择策略 ID，可以根据通信需求预先设定。

步骤 604， UE根据自己支持的安全算法列表，与应用服务器存储的安全算法列表或安全算法选择策略，与网络实体的安全算法列表或安全算法选择策略，选择出与该业务请求消息的安全保护需求对应的安全算法。

具体地，该步骤 604中， UE可以先分别选择出 UE与网络实体都支持且应用服务器存储的、与安全保护需求对应的安全算法列表，如果网络实体或应用服务器本身返回的就是其支持的、且与安全保护需求对应的安全算法列表，则无需执行该操作。然后，再进一步从三个安全算法列表中选择出一个共有的安全算法。具体实现可以参考图 4-图 8中的相应步骤。另外，如果网络实体或应用服务器本身返回的都是其支持的安全算法列表、安全算法选择策略或安全算法选择策略 ID, UE也可以先选择出 UE与网络实体都支持且应用服务器存储的安全算法列表，再从中选择出一个与安全保护需求对应的安全算法。

在上述图 9所示的实施例中，由 UE获取网络实体支持的安全算法列表与应用服务器存储的安全算法列表，或该安全算法列表中与安全保护需求对应的安全算法列表，或安全算法选择策略，或安全算法选择策略 ID，据此选择 UE 与网络实体都支持且应用服务器存储的与安全保护需求对应的安全算法列表，对现有技术的流程改动较小；另外， UE选择安全算法列表时还考虑了应用服务器存储的安全算法列表，进一步限制了不同安全保护需求的安全算法，便于对安全算法的选择进行统一管理和更新。

如图 10所示，为本发明安全算法选择处理装置一个实施例的结构示意图，其包括第一获取模块 701 与第一选择模块 702。其中，第一获取模块 701用于获取 UE发送的业务请求消息的安全保护需求。第一选择模块 702 用于根据业务请求消息的安全保护需求，从 UE与网络实体都支持的安全算法列表中选择安全算法。其中， UE和 /或网络实体支持的安全算法列表基于不同的安全保护需求分别设置，或者， UE与网络实体支持的安全算法列表分别用于表示 UE与网络实体的安全能力。

如图 11所示，为本发明安全算法选择处理装置另一个实施例的结构示意图，与图 10所示的实施例相比，该实施例中的第一选择模块 702包括第一获取单元 7021与第一选择单元 7022。其中，第一获取单元 7021用于获取 UE支持的安全算法列表，或 UE支持的、且与该 UE发送的业务请求消息的安全保护需求对应的安全算法列表，与网络实体支持的安全算法列表、该安全算法列表中与该业务请求消息的安全保护需求对应的安全算法列表、安全算法选择策略或安全算法选择策略 ID，该安全算法选择策略基于网络实体支持的安全算法列表设置。第一选择单元 7022用于根据第一获取单元 7021从 UE获取的安全算法列表，与从网络实体获取的安全算法列表、安全算法选择策略或安全算法选择策略 ID，选择该安全保护需求对应的安全算法。

进一步地，在图 11所示的实施例中，第一获取单元 7021还可以获取应用服务器存储的安全算法列表、该安全算法列表中与该业务请求消息的安全保护需求对应的安全算法列表、安全算法选择策略或安全算法选择策略 ID，该安全算法选择策略基于安全保护需求设置，应用服务器存储的安全算法列表基于不同的安全保护需求分别设置。相应的，第一选择单元 7022 用于根据第一获取单元 7021从 UE获取的安全算法列表，与分别从网络实体和应用服务器获取的安全算法列表、安全算法选择策略或安全算法选择策略 ID，选择 UE、网络实体与应用服务器都支持的、且与该安全保护需求对应的安全算法。

由于 UE、网络实体和 /或应用服务器的安全算法列表基于不同的安全保护需求分别设置，本发明实施例的安全算法选择处理装置可以根据不同业务请求消息的安全保护需求选择不同的安全算法，以对 UE与网络实体之间相应的业务进行不同的安全保护，不但提高了业务的安全性，还可以综合考虑通信系统中各算法的复杂度与占用的开销，在对业务进行有效安全保护的同时提高通信系统的性能。

本发明上述各实施例提供的安全算法选择处理装置可用于实现本发明上述实施例中各安全算法选择处理的相应流程。

本发明实施例提供的一种通信系统，包括网络实体 1与安全算法选择处理装置 2。其中，安全算法选择处理装置 2用于获取 UE发送的业务请求消息的安全保护需求，并根据该业务请求消息对应的安全保护需求，从 UE 与网络实体 1都支持的安全算法列表中选择安全算法。其中， UE和 /或网络实体 1支持的安全算法列表基于不同的安全保护需求分别设置，或者， UE 与网络实体 1支持的安全算法列表分别用于表示该 UE与网络实体 1的安全能力。该实施例中的安全算法选择处理装置 2可基于图 10或图 11所示实施例的安全算法选择处理装置实现。

进一步地，通信系统中还可以包括应用服务器 3，用于存储该应用服务器 3存储的安全算法列表、安全算法选择策略或安全算法选择策略标识，其中的安全算法选择策略基于安全保护需求设置，应用服务器 3存储的安全算法列表基于不同的安全保护需求分别设置。相应的，安全算法选择处理装置 2还可以获取应用服务器 3存储的安全算法列表、安全算法选择策略或安全算法选择策略 ID，根据从 UE获取的安全算法列表，与分别从网络实体 1和应用服务器 3获取的安全算法列表、安全算法选择策略或安全算法选择策略 ID，选择与 UE发送的业务请求消息的安全保护需求对应的安全算法。其中，网络实体 1的安全算法选择策略基于该网络实体 1支持的安全算法列表设置。该实施例中的安全算法选择处理装置 2可基于图 11 所示实施例的安全算法选择处理装置实现。如图 12所示，为本发明通信系统一个实施例的结构示意图，该实施例的安全算法选择处理装置 2采用图 11所示实施例的安全算法选择处理装置。

如图 13所示，为本发明 UE—个实施例的结构示意图，该实施例的 UE 可以实现本发明图 4与图 8所示实施例中的相应流程，其包括第一存储模块 801、第二获取模块 802、第一发送模块 803与第一接收模块 804。其中，第一存储模块 801用于存储 UE支持的安全算法列表，该安全算法列表基于不同的安全保护需求分别设置或者用于表示该 UE的安全能力。第二获取模块 802用于从第一存储模块 801 中获取安全算法列表，或查询业务请求消息的安全保护需求，从第一存储模块 801 中获取该安全保护需求对应的安全算法列表。第一发送模块 803用于生成并向网络实体发送业务请求消息，业务请求消息中包括第二获取模块 802获取的安全算法列表。第一接收模块 804用于接收网络实体根据该业务请求消息返回的安全算法，该安全算法根据业务请求消息的安全保护需求，从 UE与网络实体都支持的安全算法列表中选择。

如图 14所示，为本发明 UE另一个实施例的结构示意图，该实施例的 UE可以实现本发明图 7所示实施例中的相应流程。与图 13所示的实施例相比，该实施例的 UE还包括第三获取模块 805，用于获取应用服务器存储的安全算法列表，或其中与安全保护需求对应的安全算法列表，或安全算法选择策略，或安全算法选择策略 ID，该安全算法选择策略基于安全保护需求设置，应用服务器存储的安全算法列表基于不同的安全保护需求分别设置。相应的，第一发送模块 803 向网络实体发送的业务请求消息中包括第二获耳莫块 802从第一存储模块 801 中获取的安全算法列表和第三获取模块 805从应用服务器获取的安全算法列表、安全算法选择策略、或安全算法选择策略 ID。

如图 15所示，为本发明 UE又一个实施例的结构示意图，该实施例的 UE可以实现本发明图 6所示实施例中的相应流程。与图 13所示的实施例相比，该实施例的 UE还包括第三获取模块 805，用于获取应用服务器存储的安全算法列表，或其中与 UE发送的业务请求消息的安全保护需求对应的安全算法列表，或安全算法选择策略，或安全算法选择策略 ID，该安全算法选择策略基于安全保护需求设置。相应的，第二获取模块 802 包括第二获取单元 8021与第二选择单元 8022。其中，第二获取单元 8021用于从第一存储模块 801 中获取安全算法列表，或查询业务请求消息的安全保护需求，从第一存储模块 801 中获取该安全保护需求对应的安全算法列表。第二选择单元 8022用于根据第二获取单元 8021从第一存储模块 801 中存储的安全算法列表，与第三获取模块 805从应用服务器获取的安全算法列表、安全算法选择策略、或安全算法选择策略 ID，选择 UE支持且应用服务器存储的安全算法列表，或 UE支持且应用服务器存储的、且与 UE发送的业务请求消息的安全保护需求对应的安全算法列表。相应的， UE向网络实体发送的业务请求消息中的安全算法列表具体为第二选择单元 8022选择的安全算法列表。

如图 16所示，为本发明网络实体一个实施例的结构示意图，该实施例的网络实体可用于实现本发明图 4所示实施例中的相应流程，其包括第二存储模块 901、第二接收模块 902、第二选择模块 903与第二发送模块 904。其中，第二存储模块 901 用于存储网络实体支持的安全算法列表或安全算法选择策略，其中的安全算法列表基于不同的安全保护需求分别设置或者用于表示该网络实体的安全能力，安全算法选择策略基于网络实体支持的安全算法列表设置。第二接收模块 902用于接收 UE发送的业务请求消息，该业务请求消息中包括 UE支持的安全算法列表。第二选择模块 903用于根据第二存储模块 901 中存储的安全算法列表或安全算法选择策略，与第二接收模块 902接收到的业务请求消息中的安全算法列表，从 UE与网络实体都支持的安全算法列表中选择安全保护需求对应的安全算法。第二发送模块 904用于将第二选择模块 903选择的安全算法发送给 UE。

与图 7所示实施例中的流程相应，在图 16所示实施例的网络实体中，第二接收模块 902接收到的业务请求消息中的安全算法列表具体可以是 UE 支持且应用服务器存储的安全算法列表，或 UE支持且应用服务器存储的、且与业务请求消息的安全保护需求对应的安全算法列表。相应的，第二选择模块 903从第二存储模块 901 中存储的安全算法列表或安全算法选择策略，与业务请求消息中的安全算法列表中，选择该安全保护需求对应的安全算法。

与图 6所示实施例中的流程相应，在图 16所示实施例的网络实体中，第二接收模块 902接收到的业务请求消息中还可以包括应用服务器存储的安全算法列表，或该安全算法列表中与业务请求消息的安全保护需求对应的安全算法列表，或安全算法选择策略，或安全算法选择策略 ID，其中的安全算法选择策略基于安全保护需求设置，应用服务器存储的安全算法列表基于不同的安全保护需求分别设置。相应的，第二选择模块 903根据第二存储模块 901 中存储的安全算法列表或安全算法选择策略，与业务请求消息中 UE的安全算法列表，和应用服务器存储的安全算法列表、与安全保护需求对应的安全算法列表、安全算法选择策略或安全算法选择策略 ID，选择安全保护需求对应的安全算法。

如图 17所示，为本发明网络实体另一个实施例的结构示意图。与图 8 所示实施例中的流程相应，与图 16所示实施例的网络实体相比，第二接收模块 902接收到的业务请求消息中的安全算法列表具体为 UE支持的、且与 UE发送的业务请求消息的安全保护需求对应的安全算法列表。相应的，网络实体还包括第四获取模块 905，用于获取应用服务器存储的安全算法列表，或该安全算法列表中与安全保护需求对应的安全算法列表，或安全算法选择策略，或安全算法选择策略 ID，其中的安全算法选择策略基于安全保护需求设置，应用服务器存储的安全算法列表基于不同的安全保护需求分别设置。相应的，第二选择模块 903根据第二存储模块 901 中存储的安全算法列表或安全算法选择策略，与第二接收模块 902接收到的业务请求消息中的安全算法列表，与第四获取模块 905获取到的应用服务器存储的安全算法列表、安全保护需求对应的安全算法列表、安全算法选择策略或安全算法选择策略 ID，选择安全保护需求对应的安全算法。

如图 18所示，为本发明应用服务器一个实施例的结构示意图，该实施例的应用服务器包括第三存储模块 1001、第三接收模块 1002与第三发送模块 1003。其中，第三存储模块 1001用于存储应用服务器的安全算法列表、安全算法选择策略或安全算法选择策略 ID，其中的安全算法选择策略基于安全保护需求设置。第三接收模块 1002用于接收 UE或网络实体发送的获取请求消息。第三发送模块 1003用于向发送获取请求消息的相应 UE返回第三存储模块 1001中存储的安全算法列表、安全算法选择策略或安全算法选择策略 Π

本发明提供的另一个实施例的通信系统包括网络实体 1。该实施例的通信系统中， UE中存储有该 UE支持的安全算法列表，该安全算法列表基于不同的安全保护需求分别设置。网络实体 1 中存储有该网络实体 1支持的安全算法列表或安全算法选择策略，其中的安全算法列表基于不同的安全保护需求分别设置，安全算法选择策略基于该网络实体 1 支持的安全算法列表设置。 UE生成并向网络实体 1发送业务请求消息，该业务请求消息中包括 UE 支持的安全算法列表或其中与业务请求消息的安全保护需求对应的安全算法列表，以及接收网络实体 1 返回的安全算法，该安全算法由网络实体 1根据业务请求消息的安全保护需求，从 UE与网络实体 1都支持的安全算法列表中选择得到。网络实体 1接收 UE发送的业务请求消息，根据网络实体 1 支持的安全算法列表或安全算法选择策略，与业务请求消息中携带的安全算法列表，从 UE与网络实体 1都支持的安全算法列表中选择与 UE发送的业务请求消息的安全保护需求对应的安全算法，并将该选择的安全算法发送给 UE。该实施例的通信系统可用于实现如本发明图 4所示实施例的流程，其中的 UE可以采用图 13所示实施例的 UE，网络实体 1可以采用图 16所示实施例的网络实体。如图 19所示，为本发明通信系统另一个实施例的结构示意图。

进一步地，本发明实施例的通信系统还可以包括应用服务器 3，用于存储该应用服务器 3 的安全算法列表、安全算法选择策略或安全算法选择策略 ID，其中的安全算法选择策略基于安全保护需求设置，应用服务器 3存储的安全算法列表基于不同的安全保护需求分别设置，根据 UE发送的获取请求消息，向 UE返回该应用服务器 3存储的安全算法列表、安全算法选择策略或安全算法选择策略标识。相应的， UE还可以用于获取应用服务器 3 存储的安全算法列表、或其中与该安全保护需求对应的安全算法列表、安全算法选择策略或安全算法选择策略 ID，并通过业务请求消息发送给网络实体 1，或者，选择 UE支持且应用服务器 3存储的安全算法列表，或其中与安全保护需求对应的安全算法列表，并通过业务请求消息发送给网络实体 1。网络实体 1根据该网络实体 1支持的安全算法列表或安全算法选择策略，与业务请求消息中携带的安全算法列表，选择 UE与网络实体 1都支持且应用服务器 3存储的、且与该安全保护需求对应的安全算法。该实施例的通信系统可用于实现如本发明图 6与图 7所示实施例的流程，其中的 UE 可以采用图 15与图 14所示实施例的 UE，网络是实体 1可以采用图 16所示实施例中的相应网络实体。如图 20所示，为本发明通信系统又一个实施例的结构示意图。

如图 21所示，为本发明 UE再一个实施例的结构示意图，该实施例的 UE可以实现本发明图 5与图 8所示实施例中的相应流程。其包括第一存储模块 801、第一发送模块 803、第一接收模块 804与第三选择模块 806。其中，第一存储模块 801用于存储该 UE支持的安全算法列表，该安全算法列表基于不同的安全保护需求分别设置或用于表示该 UE的安全能力。第一发送模块 803 用于生成并向网络实体发送业务请求消息。第一接收模块 804 用于接收网络实体返回的安全算法列表、安全算法选择策略或安全算法选择策略 ID,该安全算法列表为网络实体支持的安全算法列表，或其中与 UE 发送的业务请求消息的安全保护需求对应的安全算法列表，其中的安全算法选择策略基于网络实体支持的安全算法列表设置。第三选择模块 806用于根据第一存储模块 801 中存储的安全算法列表，与第一接收模块 804接收到的安全算法列表，从 UE与网络实体都支持的安全算法列表中选择安全保护需求对应的安全算法。

如图 22所示，为本发明 UE还一个实施例的结构示意图，该实施例的 UE可以实现本发明图 9所示实施例中的相应流程。与图 21所示的实施例相比，该实施例的 UE还包括第三获取模块 805，用于获取应用服务器存储的安全算法列表，或其中与 UE发送的业务请求消息的安全保护需求对应的安全算法列表，或安全算法选择策略，或安全算法选择策略 ID，其中的安全算法选择策略基于安全保护需求设置。相应的，第三选择模块 806根据第一存储模块 801 中存储的安全算法列表，与第三获取模块 805从应用服务器获取到的安全算法列表、安全算法选择策略或安全算法选择策略 ID，与第一接收模块 804接收到的网络实体的安全算法列表、安全算法选择策略或安全算法选择策略 ID，选择 UE与网络实体都支持且应用服务器存储的、与 UE发送的业务请求消息的安全保护需求对应的安全算法。

如图 23所示，为本发明网络实体又一个实施例的结构示意图，该实施例的网络实体可以实现本发明图 5所示实施例中的相应流程。该实施例的网络实体包括第二存储模块 901、第二接收模块 902与第四发送模块 907。其中，第二存储模块 901 用于存储网络实体支持的安全算法列表、安全算法选择策略或安全算法选择策略 ID，其中的安全算法列表基于不同的安全保护需求分别设置或用于表示该网络实体的安全能力，安全算法选择策略基于网络实体支持的安全算法列表设置。第二接收模块 902 用于接收 UE 发送的业务请求消息。第四发送模块 907用于将第二存储模块 901 中存储的安全算法列表、其中与业务请求消息的安全保护需求对应的安全算法列表、安全算法选择策略或安全算法选择策略 ID发送给 UE。

如图 24所示，为本发明网络实体再一个实施例的结构示意图，该实施例的网络实体可以实现本发明图 9所示实施例中的相应流程。与图 23所示的实施例相比，该实施例的网络实体还包括第四获取模块 905与第二选择模块 903。其中，第四获取模块 905用于获取应用服务器存储的安全算法列表、该安全算法列表中与安全保护需求对应的安全算法列表、安全算法选择策略或安全算法选择策略 ID，其中的安全算法选择策略基于安全保护需求设置，应用服务器存储的安全算法列表基于不同的安全保护需求分别设置。第二选择模块 903用于根据第二存储模块 901 中存储的安全算法列表或安全算法选择策略，与第四获取模块 905获取的应用服务器存储的安全算法列表、安全保护需求对应的安全算法列表、安全算法选择策略或安全算法选择策略 ID，或者进一步选择网络实体支持且应用服务器存储的安全算法列表、安全保护需求对应的安全算法列表、安全算法选择策略或安全算法选择策略 ID。第四发送模块 907将第二存储模块 901中存储的安全算法列表或安全算法选择策略，与第四获取模块 905获取的应用服务器存储的安全算法列表、安全保护需求对应的安全算法列表、安全算法选择策略或安全算法选择策略 ID发送给 UE, 或者将第二选择模块 903选择的安全算法列表、安全保护需求对应的安全算法列表、安全算法选择策略或安全算法选择策略 ID发送给 UE。

本发明再一个实施例提供的通信系统中， UE中存储有该 UE支持的安全算法列表，该安全算法列表基于不同的安全保护需求分别设置。网络实体 1 中存储有该网络实体 1支持的安全算法列表、安全算法选择策略或安全算法选择策略 ID，其中的安全算法列表基于不同的安全保护需求分别设置或相应表示 UE或网络实体 1的安全能力，安全算法选择策略基于网络实体 1支持的安全算法列表设置。 UE生成并向网络实体 1发送业务请求消息，以及接收网络实体 1 返回的安全算法列表、安全算法选择策略或安全算法选择策略 ID，其中的安全算法列表为网络实体 1支持的安全算法列表或其中与业务请求消息的安全保护需求对应的安全算法列表，并根据 UE存储的安全算法列表，与网络实体 1 返回的安全算法列表、安全算法选择策略或安全算法选择策略 ID，选择 UE发送的业务请求消息的安全保护需求对应的安全算法。网络实体 1用于接收 UE发送的业务请求消息，将该网络实体 1存储的安全算法列表、其中与业务请求消息的安全保护需求对应的安全算法列表、安全算法选择策略或安全算法选择策略 ID发送给 UE。该实施例的通信系统可用于实现如本发明图 5所示实施例的流程，其中的 UE可以采用图 21所示实施例的 UE，网络是实体 1可以采用图 23所示实施例中的相应网络实体。如图 25所示，为本发明通信系统再一个实施例的结构示意图。

进一步地，在上述通信系统中，还可以包括应用服务器 3，用于存储该应用服务器 3的安全算法列表、安全算法选择策略或安全算法选择策略 ID，其中的安全算法选择策略基于安全保护需求设置，并根据 UE发送的获取请求消息，向 UE返回应用服务器 3存储的安全算法列表、与 UE发送的业务请求消息的安全保护需求对应的安全算法列表、安全算法选择策略或安全算法选择策略 ID, 相应的，网络实体 1还用于通过获取请求消息获取应用服务器 3存储的安全算法列表、或其中与安全保护需求对应的安全算法列表、安全算法选择策略或安全算法选择策略 ID，并发送给 UE，或者选择网络实体 1支持且应用服务器 3存储的安全算法列表、安全保护需求对应的安全算法列表、安全算法选择策略或安全算法选择策略 ID，并发送给 UE。 UE根据 UE存储的安全算法列表，和网络实体 1返回的安全算法列表、安全算法选择策略或安全算法选择策略 ID，选择 UE与网络实体 1都支持且应用服务器 3存储的、且与业务请求消息的安全保护需求对应的安全算法。该实施例的通信系统可用于实现如本发明图 9所示实施例的流程，其中的 UE可以采用图 22所示实施例的 UE，网络实体 1可以采用图 24所示实施例中的相应网络实体。如图 26所示，为本发明通信系统还一个实施例的结构示意图。

本领域普通技术人员可以理解：实现上述方法实施例的全部或部分步骤可以通过程序指令相关的硬件来完成，前述的程序可以存储于一计算机可读取存储介质中，该程序在执行时，执行包括上述方法实施例的步骤；而前述的存储介质包括： ROM、 RAM, 磁碟或者光盘等各种可以存储程序代码的介质。

本发明实施例可以根据不同业务请求消息的安全保护需求选择不同的安全算法，以对相应的业务进行不同的安全保护，不但提高了业务的安全性，还可以综合考虑通信系统中各算法的复杂度与占用的开销，在对业务进行有效安全保护的同时提高通信系统的性能。最后所应说明的是：以上实施例仅用以说明本发明的技术方案，而非对本发明作限制性理解。尽管参照上述较佳实施例对本发明进行了详细说明，本领域的普通技术人员应当理解：其依然可以对本发明的技术方案进行修改或者等同替换，而这种修改或者等同替换并不脱离本发明技术方案的精神和范围。

Claims

权利要求

1、一种安全算法选择处理方法，其特征在于，包括：

接收用户终端发送的业务请求消息；

根据所述业务请求消息的安全保护需求，从所述用户终端与网络实体都支持的安全算法列表中选择安全算法；

其中，所述用户终端和 /或所述网络实体支持的安全算法列表基于不同的安全保护需求分别设置，或者，所述用户终端与所述网络实体支持的安全算法列表分别用于表示所述用户终端与所述网络实体的安全能力。

2、根据权利要求 1所述的方法，其特征在于，所述网络实体预先存储所述用户终端支持的安全算法列表，或者，所述业务请求消息中包括所述用户终端支持的安全算法列表；相应的，根据所述业务请求消息的安全保护需求，从所述用户终端与网络实体都支持的安全算法列表中选择安全算法具体包括：所述网络实体从所述用户终端与所述网络实体都支持的安全算法列表中选择所述安全保护需求对应的安全算法；或者

所述业务请求消息中包括所述用户终端支持的、所述安全保护需求对应的安全算法列表；相应的，根据所述业务请求消息的安全保护需求，从所述用户终端与网络实体都支持的安全算法列表中选择安全算法具体包括：所述网络实体从所述用户终端支持的、所述安全保护需求对应的安全算法列表与所述网络实体支持的安全算法列表中选择安全算法；或者，所述网络实体从所述用户终端支持的、所述安全保护需求对应的安全算法列表与所述网络实体支持的、所述安全保护需求对应的安全算法列表中选择安全算法。

3、根据权利要求 1所述的方法，其特征在于，接收用户终端发送的业务请求消息之后，还包括：

所述网络实体向所述用户终端返回所述网络实体支持的安全算法列表，以便所述用户终端根据所述业务请求消息的安全保护需求，从所述用户终端与网络实体都支持的安全算法列表中选择安全算法，具体包括：所述用户终端从所述用户终端与所述网络实体都支持的安全算法列表中选择所述安全保护需求对应的安全算法；或者

所述网络实体向所述用户终端返回所述网络实体支持的、所述安全保护需求对应的安全算法列表，以便所述用户终端根据所述业务请求消息的安全保护需求，从所述用户终端与网络实体都支持的安全算法列表中选择安全算法，具体包括：所述用户终端从所述用户终端支持的安全算法列表与所述网络实体支持的、所述安全保护需求对应的安全算法列表中选择安全算法；或者，所述用户终端从所述用户终端支持的、所述安全保护需求对应的安全算法列表与所述网络实体支持的、所述安全保护需求对应的安全算法列表中选择安全算法；或者

所述网络实体向所述用户终端返回所述网络实体支持的安全算法选择策略，该安全算法选择策略基于所述网络实体支持的安全算法列表设置，以便根据所述业务请求消息的安全保护需求，从所述用户终端与网络实体都支持的安全算法列表中选择安全算法，具体包括：所述用户终端根据所述安全算法选择策略，从所述用户终端与所述网络实体都支持的安全算法列表中选择所述安全保护需求对应的安全算法；或者

所述网络实体向所述用户终端返回用于标识所述网络实体支持的安全算法选择策略的安全算法选择策略标识，以便所述用户终端根据所述业务请求消息的安全保护需求，从所述用户终端与网络实体都支持的安全算法列表中选择安全算法，具体包括：所述用户终端确定所述安全算法选择策略标识所述标识的安全算法选择策略；所述用户终端根据所述安全算法选择策略，从所述用户终端与所述网络实体都支持的安全算法列表中选择所述安全保护需求对应的安全算法。

4、根据权利要求 1所述的方法，其特征在于，从所述用户终端与网络实体都支持的安全算法列表中选择安全算法包括：从所述用户终端与网络实体都支持的且应用服务器存储的安全算法列表中选择安全算法，所述应用服务器支持的安全算法列表基于不同的安全保护需求分别设置。

5、根据权利要求 4所述的方法，其特征在于，所述业务请求消息中包括所述用户终端选择的安全算法列表，该安全算法列表由所述用户终端从所述用户终端支持的安全算法列表与所述应用服务器存储的安全算法列表、该安全算法列表中所述安全保护需求对应的安全算法列表、安全算法选择策略或安全算法选择策略标识选择，为所述用户终端支持且所述应用服务器存储的安全算法列表或所述用户终端支持且所述应用服务器存储的、所述安全保护需求对应的安全算法列表；

根据所述业务请求消息的安全保护需求，从所述用户终端与网络实体都支持的安全算法列表中选择安全算法具体包括：所述网络实体根据所述业务请求消息中的安全算法列表，从所述用户终端支持且所述应用服务器存储的安全算法列表以及所述网络实体支持的安全算法列表中，选择所述安全保护需求对应的安全算法；或者，所述网络实体根据所述业务请求消息中所述用户终端支持且所述应用服务器存储的、所述安全保护需求对应的安全算法列表与所述网络实体支持的、所述安全保护需求对应的安全算法列表中，选择所述安全保护需求对应的安全算法。

6、根据权利要求 4所述的方法，其特征在于，所述业务请求消息中包括所述用户终端支持的安全算法列表或所述安全保护需求对应的安全算法列表，与所述应用服务器存储的安全算法列表、所述安全保护需求对应的安全算法列表、安全算法选择策略或安全算法选择策略标识；

根据所述业务请求消息的安全保护需求，从所述用户终端与网络实体都支持的安全算法列表中选择安全算法包括：所述网络实体根据所述业务请求消息中所述用户终端支持的安全算法列表或所述安全保护需求对应的安全算法列表，与所述应用服务器存储的安全算法列表、所述安全保护需求对应的安全算法列表、安全算法选择策略或安全算法选择策略标识，与所述网络实体支持的安全算法列表或所述安全保护需求对应的安全算法列表，选择所述安全保护需求对应的安全算法。

7、根据权利要求 4所述的方法，其特征在于，所述业务请求消息中包括所述用户终端支持的安全算法列表或该安全算法列表中与所述安全保护需求对应的安全算法列表；

所述接收用户终端发送的业务请求消息之后，还包括：所述网络实体获取所述应用服务器存储的安全算法列表、该安全算法列表中与所述安全保护需求对应的安全算法列表、安全算法选择策略或安全算法选择策略标识，该安全算法选择策略基于安全保护需求设置；

根据所述业务请求消息的安全保护需求，从所述用户终端与网络实体都支持的安全算法列表中选择安全算法包括：所述网络实体从所述用户终端与所述网络实体都支持且所述应用服务器存储的安全算法列表中，选择所述安全保护需求对应的安全算法；或者，所述网络实体根据所述应用服务器存储的安全算法选择策略、或所述安全算法选择策略标识所标识的安全算法选择策略，从所述用户终端与所述网络实体都支持且所述应用服务器存储的与所述安全保护需求对应的安全算法列表中，选择所述安全保护需求对应的安全算法。

8、根据权利要求 4所述的方法，其特征在于，所述接收用户终端发送的业务请求消息之后，还包括：所述网络实体向所述用户终端返回所述网络实体支持的安全算法列表、该安全算法列表中与所述安全保护需求对应的安全算法列表、所述网络实体支持的安全算法选择策略或安全算法选择策略标识，该安全算法选择策略基于所述网络实体支持的安全算法列表设置，以便所述用户终端根据所述业务请求消息的安全保护需求，从所述用户终端与网络实体都支持的安全算法列表中选择安全算法，具体包括：所述用户终端根据所述应用服务器存储的安全算法列表、所述安全保护需求对应的安全算法列表、安全算法选择策略或安全算法选择策略标识，与所述网络实体支持的安全算法列表、所述安全保护需求对应的安全算法列表、所述网络实体支持的安全算法选择策略或安全算法选择策略标识，从所述用户终端与所述网络实体都支持且所述应用服务器存储的安全算法列表中，选择所述安全保护需求对应的安全算法，所述安全算法选择策略基于安全保护需求设置。

9、根据权利要求 1至 8任意一项所述的方法，其特征在于，所述安全保护需求包括：数据类型对应的安全保护级别需求或安全算法列表、业务类型对应的安全保护级别需求或安全算法列表或安全算法策略、与用户需求中的任意一种或多种，其中业务类型对应的安全算法策略用于表示所述业务类型在不同条件下的安全保护级别需求。

10、根据权利要求 1至 8任意一项所述的方法，其特征在于，所述用户终端的安全能力包括：为不同数据类型或者不同安全保护层次提供该用户终端支持的、不同的安全保护算法列表；

所述网络实体的安全能力包括：为不同数据类型或者不同安全保护层次提供该网络实体支持的安全保护算法列表。

11、一种用户终端，其特征在于，包括：

第一存储模块，用于存储所述用户终端支持的安全算法列表，该安全算法列表基于不同的安全保护需求分别设置或者用于表示所述用户终端的安全能力；

第二获取模块，用于从所述第一存储模块中获取安全算法列表，或查询所述业务请求消息的安全保护需求，从所述第一存储模块中获取该安全保护需求对应的安全算法列表；

第一发送模块，用于生成并向网络实体发送业务请求消息，所述业务请求消息中包括所述第二获取模块获取的安全算法列表；

第一接收模块，用于接收所述网络实体返回的安全算法，所述安全算法根据所述业务请求消息的安全保护需求，从所述用户终端与网络实体都支持的安全算法列表中选择。

12、根据权利要求 11所述的用户终端，其特征在于，还包括：第三获取模块，用于获取应用服务器存储的安全算法列表、该安全算法列表中与所述安全保护需求对应的安全算法列表、安全算法选择策略或安全算法选择策略标识，该安全算法选择策略基于安全保护需求设置，所述应用服务器存储的安全算法列表基于不同的安全保护需求分别设置；所述第一发送模块向所述网络实体发送的业务请求消息中包括所述第二获取模块从第一存储模块中获取的安全算法列表和所述第三获取模块从所述应用服务器获取的安全算法列表、安全算法选择策略或安全算法选择策略标识。

13、根据权利要求 11所述的用户终端，其特征在于，还包括：第三获取模块，用于获取应用服务器存储的安全算法列表、所述安全保护需求对应的安全算法列表、安全算法选择策略或安全算法选择策略标识，该安全算法选择策略基于安全保护需求设置；

所述第二获取模块包括：

第二获取单元，用于从所述第一存储模块中获取安全算法列表，或查询所述业务请求消息的安全保护需求，从所述第一存储模块中获取该安全保护需求对应的安全算法列表；

第二选择单元，用于根据所述第二获取单元从所述第一存储模块中存储的安全算法列表，与所述第三获取模块从所述应用服务器获取的安全算法列表、安全算法选择策略或安全算法选择策略标识，选择所述用户终端支持且所述应用服务器存储的安全算法列表，或所述用户终端支持且所述应用服务器存储的安全算法列表中与所述安全保护需求对应的安全算法列表；

所述业务请求消息的安全算法列表包括所述第二选择单元选择的安全算法列表。

14、一种网络实体，其特征在于，包括：

第二存储模块，用于存储所述网络实体支持的安全算法列表或安全算法选择策略，所述安全算法列表基于不同的安全保护需求分别设置或者用于表示所述网络实体的安全能力，所述安全算法选择策略基于所述网络实体支持的安全算法列表设置；

第二接收模块，用于接收用户终端发送的业务请求消息，该业务请求消息中包括所述用户终端支持的安全算法列表；

第二选择模块，用于根据所述第二存储模块中存储的安全算法列表或安全算法选择策略，与所述业务请求消息中的安全算法列表，从所述用户终端与所述网络实体都支持的安全算法列表中选择所述安全保护需求对应的安全算法；

第二发送模块，用于将所述第二选择模块选择的安全算法发送给所述用户终端。

15、根据权利要求 14所述的网络实体，其特征在于，所述用户终端支持的安全算法列表包括所述用户终端支持且应用服务器存储的安全算法列表、或该安全算法列表中与所述业务请求消息的安全保护需求对应的安全算法列表；

所述第二选择模块从所述第二存储模块中存储的安全算法列表或安全算法选择策略，与所述业务请求消息中的安全算法列表中，选择所述安全保护需求对应的安全算法。

16、根据权利要求 14所述的网络实体，其特征在于，所述业务请求消息中还包括所述应用服务器存储的安全算法列表、所述安全保护需求对应的安全算法列表、安全算法选择策略或安全算法选择策略标识，该安全算法选择策略基于安全保护需求设置，所述应用服务器支持的安全算法列表基于不同的安全保护需求分别设置；

所述第二选择模块根据所述第二存储模块中存储的安全算法列表或安全算法选择策略，与所述业务请求消息中所述用户终端的安全算法列表，和所述应用服务器存储的安全算法列表、所述安全保护需求对应的安全算法列表、安全算法选择策略或安全算法选择策略标识，选择所述安全保护需求对应的安全算法。

17、根据权利要求 14所述的网络实体，其特征在于，所述业务请求消息中的安全算法列表包括所述用户终端支持的、所述安全保护需求对应的安全算法列表；

所述网络实体还包括：

第四获取模块，用于获取所述应用服务器存储的安全算法列表、该安全算法列表中所述安全保护需求对应的安全算法列表、安全算法选择策略或安全算法选择策略标识，该安全算法选择策略基于安全保护需求设置，所述应用服务器支持的安全算法列表基于不同的安全保护需求分别设置；所述第二选择模块根据所述第二存储模块中存储的安全算法列表或安全算法选择策略，所述业务请求消息中的安全算法列表，与所述应用服务器存储的安全算法列表、所述安全保护需求对应的安全算法列表、安全算法选择策略或安全算法选择策略标识，选择所述安全保护需求对应的安全算法。

18、一种用户终端，其特征在于，包括：

第一存储模块，用于存储所述用户终端支持的安全算法列表，该安全算法列表基于不同的安全保护需求分别设置或用于表示所述用户终端的安全能力；

第一发送模块，用于生成并向网络实体发送业务请求消息；

第一接收模块，用于接收所述网络实体返回的安全算法列表、安全算法选择策略或安全算法选择策略标识，所述安全算法列表为所述网络实体支持的安全算法列表或该安全算法列表中与所述业务请求消息的安全保护需求对应的安全算法列表，所述安全算法选择策略基于所述网络实体支持的安全算法列表设置；

第三选择模块，用于根据所述第一存储模块中存储的安全算法列表，与所述第一接收模块接收到的安全算法列表，从所述用户终端与所述网络实体都支持的安全算法列表中选择所述安全保护需求对应的安全算法。

19、根据权利要求 18所述的用户终端，其特征在于，还包括：第三获取模块，用于获取应用服务器存储的安全算法列表、该安全算法列表中与所述安全保护需求对应的安全算法列表、安全算法选择策略或安全算法选择策略标识，该安全算法选择策略基于安全保护需求设置；所述第三选择模块根据所述第一存储模块中存储的安全算法列表，与所述第三获取模块获取到的安全算法列表、安全算法选择策略或安全算法选择策略标识，与所述第一接收模块接收到的安全算法列表、安全算法选择策略或安全算法选择策略标识，选择所述用户终端与所述网络实体都支持且所述应用服务器存储的、所述安全保护需求对应的安全算法。

20、一种网络实体，其特征在于，包括：

第二存储模块，用于存储所述网络实体支持的安全算法列表、安全算法选择策略或安全算法选择策略标识，所述安全算法列表基于不同的安全保护需求分别设置或用于表示所述网络实体的安全能力，所述安全算法选择策略基于所述网络实体支持的安全算法列表设置；

第二接收模块，用于接收用户终端发送的业务请求消息；

第四发送模块，用于将所述第二存储模块中存储的安全算法列表、所述业务请求消息的安全保护需求对应的安全算法列表、安全算法选择策略或安全算法选择策略标识发送给所述用户终端。

21、根据权利要求 20所述的网络实体，其特征在于，还包括：第四获取模块，用于获取所述应用服务器存储的安全算法列表、该安全算法列表中与所述安全保护需求对应的安全算法列表、安全算法选择策略或安全算法选择策略标识，该安全算法选择策略基于安全保护需求设置，所述应用服务器支持的安全算法列表基于不同的安全保护需求分别设置；第二选择模块，用于根据所述第二存储模块中存储的安全算法列表或安全算法选择策略，与所述第四获取模块获取的所述应用服务器的安全算法列表、所述安全保护需求对应的安全算法列表、安全算法选择策略或安全算法选择策略标识，或者进一步选择所述网络实体支持且所述应用服务器存储的安全算法列表、所述安全保护需求对应的安全算法列表、安全算法选择策略或安全算法选择策略标识；

所述第二发送模块将所述第二存储模块中存储的安全算法列表或安全算法选择策略，与所述第四获取模块获取的所述应用服务器存储的安全算法列表、所述安全保护需求对应的安全算法列表、安全算法选择策略或安全算法选择策略标识发送给所述用户终端，或者将所述第二选择模块选择的安全算法列表、所述安全保护需求对应的安全算法列表、安全算法选择策略或安全算法选择策略标识发送给所述用户终端。