WO2012022192A1 - 安全信息获取方法及多系统网络 - Google Patents

安全信息获取方法及多系统网络 Download PDF

Info

Publication number
WO2012022192A1
WO2012022192A1 PCT/CN2011/075755 CN2011075755W WO2012022192A1 WO 2012022192 A1 WO2012022192 A1 WO 2012022192A1 CN 2011075755 W CN2011075755 W CN 2011075755W WO 2012022192 A1 WO2012022192 A1 WO 2012022192A1
Authority
WO
WIPO (PCT)
Prior art keywords
key
access network
radio access
destination
source system
Prior art date
Application number
PCT/CN2011/075755
Other languages
English (en)
French (fr)
Inventor
刘芙蕾
窦建武
董小虎
Original Assignee
中兴通讯股份有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 中兴通讯股份有限公司 filed Critical 中兴通讯股份有限公司
Priority to EP11817719.5A priority Critical patent/EP2608586A4/en
Publication of WO2012022192A1 publication Critical patent/WO2012022192A1/zh

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
    • H04W12/043—Key management, e.g. using generic bootstrapping architecture [GBA] using a trusted network node as an anchor
    • H04W12/0431—Key distribution or pre-distribution; Key agreement
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
    • H04W12/041—Key generation or derivation
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W36/00—Hand-off or reselection arrangements
    • H04W36/14—Reselecting a network or an air interface
    • H04W36/144—Reselecting a network or an air interface over a different radio air interface technology
    • H04W36/1443—Reselecting a network or an air interface over a different radio air interface technology between licensed networks

Definitions

  • the present invention relates to mobile communication technologies, and more particularly to a security information acquisition method and a multi-system network.
  • Multi-system refers to UMTS (Universal Mobile Telecommunications System), GSM (Global System for Mobile Communications), and TD-SCDMA (Time Division-Synchronous Code Division Multiple Access)
  • the wireless side can be used in single mode (independent of each other) or multi-mode (for example, RNC (Radio Network Controller) of UMTS system and BSC (Base Station Controller) of GSM system) Common mode, equivalent to a network element, as shown in Figure 2, a multi-system wireless access network).
  • RNC Radio Network Controller
  • BSC Base Station Controller
  • the authentication and encryption of the UMTS and GSM systems defined by the current 3GPP protocol are independently performed.
  • the authentication of the UMTS system is in the USIM (Universal Subscriber Identity Module) and the VLR (Visiting Location Register) / SGSN (Serving GPRS Support Node), HLR (Home Location Register). , Home Location Memory) /AuC (Authentication Center) completed between.
  • Both the HLR/AuC and the USIM can generate an authentication quintuple.
  • the HLR/AuC sends the generated authentication quintuary to the VLR/SGSN.
  • the CS circuit switch
  • the VLR sends an encryption key CK (Ciphering Key) / IK (Integrity Key) to the RNC (Radio Network Controller), and the RNC and the USIM complete the encryption;
  • CK Ciphering Key
  • IK Integrity Key
  • the PS Packet switch
  • the SGSN and USIM complete the encryption.
  • the authentication of the GSM system is performed between the SIM (Subscriber Identity Module) and the VLR/SGSN, HLR/AuC.
  • the authentication quintuple is used: RAND (Random challenge, random number) / XRES (Expected Response, symbol response) / CK (Ciphering Key) / ⁇ (Integrity Key) Ntication Token, authentication token).
  • RAND Random challenge, random number
  • XRES Extended Response, symbol response
  • CK Ciphering Key
  • ⁇ Integrity Key
  • the HLR/AuC sends the generated authentication triplet to the VLR/SGSN.
  • the VLR sends the encryption key Kc (cipher Key) to the CS domain.
  • Kc cipher Key
  • the BSC, BSC and SIM complete the encryption; for the PS domain, the SGSN and SIM complete the encryption.
  • the authentication triple is used: RAND (Random challenge random number) / SRES (Signed Response, symbol response VKc Cipher Key, cryptographic key).
  • the authentication and encryption of UMTS users defined by 3GPP TS33.102 and the authentication and encryption and key conversion of GSM users are performed by the core network (HLR/AuC or VLR/SGSN) on the network side, and UTRAN (UMTS) is not involved.
  • Terrestrial Radio Access Network ), mobile equipment and terrestrial radio access network) or GSM BSS (Base Station System).
  • GSM BSS Base Station System
  • the technical problem to be solved by the present invention is to provide a security information acquisition method and a multi-system network to acquire a destination system key without involving the core network.
  • the present invention provides a method for acquiring security information, and the method includes:
  • the multi-system core network sends the source system key to the multi-system radio access network
  • the multi-system radio access network performs key conversion on the source system key to obtain a key of the destination system.
  • the multi-system radio access network includes a source system radio access network and a destination system radio access network; and when the multi-system switches, if the source system key is an initial value, the multi-system
  • the step of the key accessing the source system key to obtain the key of the destination system includes: the source system radio access network receiving the source system key, if the source system key is initial value, . . , - .
  • the radio access network converts the source system key into a destination system key, and sends the destination system key to the destination system radio access network, or the source system wireless access
  • the network sends the source system key to the destination system radio access network, and the destination system radio access network converts the source system key into a destination system key.
  • the method further includes: when the multi-system handover is performed, the source system radio access network sends, to the destination system radio access network, encryption indication information used to indicate whether an encryption function is enabled before the system handover, where The destination system radio access network determines whether the encryption function is enabled according to the encryption indication information.
  • the method further includes: if the source system key is a calculated value, and the encryption indication information indicates that the encryption function is enabled, the destination system radio access network acquires the destination to the multi-system core network. System key.
  • the method further includes: when the multi-system handover is performed, the source system radio access network sends the encryption algorithm support information of the user equipment to the destination system to the destination system radio access network, where the destination system wirelessly accesses The network is encrypted according to the corresponding encryption algorithm.
  • the source system radio access network uses the enhanced relocation resource request message in the handover preparation phase to add the encryption indication information, the encryption algorithm support information of the user equipment to the destination system, the source system key, or The converted destination system key is sent to the destination system radio access network.
  • the determining, by the source system radio access network, that the source system key is an initial value comprises: when the multi-system core network sends the source system key to the multi-system radio access network, simultaneously sending the key indication information
  • the multi-system radio access network determines, according to the key indication information, that the source system key is an initial value or a calculated value;
  • the source system radio access network receives and parses the authentication message sent by the multi-system core network, and determines, according to the parsing result, whether the source system key sent by the multi-system core network is an initial value.
  • the present invention also provides a multi-system network including a multi-system core network and a multi-system radio access network:
  • the multi-system core network is configured to: send the source system key to the multi-system wireless network side;
  • the multi-system radio access network is configured to: receive the source system key, and perform multi-system handover, if the source system key is an initial value generated by a multi-system core network, secret the source system key .,,,, The key of the system.
  • the source system radio access network is further configured to: send, to the destination system radio access network, encryption indication information used to indicate whether an encryption function is enabled before the system switching, where the purpose is
  • the system radio access network is further configured to: determine whether the encryption function is enabled according to the encryption indication information.
  • the source system radio access network is further configured to: send, to the destination system radio access network, encryption algorithm support information of the user equipment to the destination system; the destination system radio access network Also set to: Encrypt according to the corresponding encryption algorithm.
  • the source system radio access network is configured to: the encryption indication information, the encryption algorithm support information of the user equipment to the destination system, and the source system secret by using an enhanced relocation resource request message in the handover preparation phase.
  • the key, or, the converted destination system key is sent to the destination system radio access network.
  • the main idea of the security information acquisition method and the multi-system network of the present invention is to increase the key conversion function in the multi-system radio access network, so that the multi-system radio access network can participate in the multi-system core network without multi-system handover.
  • the destination system key is obtained by the source system key conversion, which reduces the process and time for obtaining the encryption key by the signaling interaction between the RNC/BSC and the VLR, improves the handover success rate, and improves the user's perception of the voice service.
  • FIG. 1 is a schematic diagram of a method for acquiring security information according to an embodiment of the present invention
  • FIG. 2 is a connection diagram of network elements of a multi-system network according to an embodiment of the present invention.
  • FIG. 3 is a schematic diagram showing an improvement of an AKA (Authentication and Encryption Protocol) architecture of a UMTS user according to an embodiment of the present invention
  • FIG. 4 is a schematic diagram showing an improvement of an AKA (Authentication and Encryption Protocol) architecture of a GSM subscriber according to an embodiment of the present invention
  • FIG. 5 is a schematic diagram of a process of switching a voice service of a USIM card UE from a UTRAN to a GSM BSS according to an embodiment of the present invention
  • FIG. 6 is a handover of a voice service of a SIM card UE from a BSS to a UTRAN according to an embodiment of the present invention
  • the main idea of the security information acquisition method and the multi-system network of the present invention is to increase the key conversion function in the multi-system radio access network, so that the multi-system radio access network can participate in the multi-system core network without multi-system handover.
  • the destination system key is obtained.
  • the security information obtaining method of the present invention includes:
  • Step 101 During initial access of the user equipment, the multi-system core network sends the source system key to the multi-system radio access network;
  • the multi-system handover referred to in the present invention refers to handover between a 2G system and a 3G system by a CS domain voice user equipment, such as a Universal Mobile Telecommunications System (UMTS), a Time Division Synchronous Code Division Multiple Access (TD-SCDMA) system, and the like; 2G systems such as Global System for Mobile Communications (GSM).
  • a CS domain voice user equipment such as a Universal Mobile Telecommunications System (UMTS), a Time Division Synchronous Code Division Multiple Access (TD-SCDMA) system, and the like
  • 2G systems such as Global System for Mobile Communications (GSM).
  • GSM Global System for Mobile Communications
  • the radio access network of the 2G system is a BSS (Base Station System); the radio access network of the 3G system is a UTRAN (UMTS Terrestrial Radio Access Network), mobile equipment and terrestrial wireless Access Network) .
  • BSS Base Station System
  • UTRAN UMTS Terrestrial Radio Access Network
  • mobile equipment and terrestrial wireless Access Network
  • Multi-system radio access networks can use single-mode (independent) or multi-mode (for example, RNC of UMTS system and BSC common mode of GSM system, equivalent to one network element), as shown in Figure 2.
  • single-mode independent
  • multi-mode for example, RNC of UMTS system and BSC common mode of GSM system, equivalent to one network element
  • the RNC and BSC can be connected to the same R99+ VLR/SGSN (R98-VLR/SGSN does not support RNC) or two different R99+ VLR/SGSN; use the same R98- or R99+HLR/AuC, as shown in Figure 2.
  • R99+, R98- indicate the version number.
  • Step 102 During multi-system switching, if the source system key is an initial value, the multi-system radio access network performs key conversion on the source system key to obtain a key of the destination system.
  • the multi-system radio access network includes a source system radio access network and a destination system radio access network; the source system radio access network receives the source system key, and if the source system key is an initial value, And the source system radio access network converts the source system key into a destination system key, and sends the destination system key to the destination system radio access network, or the source system wireless access Net direction
  • the radio access network transmits the source system key, and the destination system radio access network converts the source system key into a destination system key.
  • the source system radio access network sends the radio access network to the destination system to indicate whether the encryption function is enabled before the system is switched. And the indication information, the destination system radio access network determines, according to the indication information, whether an encryption function is enabled.
  • the radio access network can perform key conversion only when the source system key is the initial value, if the source system key is a calculated value, and the indication information indicates that the encryption function is enabled, the purpose is The system radio access network obtains the destination system key from the multi-system core network.
  • the encryption capability support information (including the encryption algorithm support information of the destination system) is reported to the source system radio access network, and when the multi-system handover is performed, the source system radio access network is The destination system radio access network sends the encryption algorithm support information of the user equipment to the destination system, and the destination system radio access network performs encryption according to the corresponding encryption algorithm.
  • the source system radio access network needs to send the encryption algorithm support information and key of the user equipment to the destination system to the destination system radio access network (source system key or after conversion) The purpose of the system key).
  • the source system radio access network determines that the source system key is an initial value in the following two ways:
  • the key is an initial value or a calculated value
  • the source system radio access network receives and parses the authentication message sent by the multi-system core network, and determines, according to the parsing result, whether the source system key sent by the multi-system core network is an initial value.
  • the user equipment is initially accessed by the RNC, and the received authentication message is a 5-tuple authentication message, or the user equipment is initially accessed through the BSC, and the received authentication message is not a 5-tuple authentication message. Then, it is judged that the multi-system core network transmission key is an initial value.
  • the authentication message mentioned here includes an authentication request and an authentication response, and if the authentication request carries an authentication token (AUTN) or an authentication response carries an authentication response parameter extension (Authentication Response) r capTM -. choirension) ) , the authentication message is a 5-tuple authentication message, otherwise it is not a 5-tuple authentication message.
  • AUTN authentication token
  • Authentication Response authentication response parameter extension
  • the 3GPP protocol defines an Iur-g interaction message between the BSC and the RNC through the standard interface.
  • China Mobile adds an ENHANCED RELOCATION RESOURCE REQUEST and an ENHANCED RELOCATION RESOURCE RESPONSE message to the interface. That is, another system is notified to prepare resources before switching, so that the wireless side switching and relocation processes can be parallel.
  • the source system radio access network will pass the IH-D interface to the ENHANCED RELOCATION RESOURCE REQUEST message during the handover preparation phase.
  • the encryption indication information, the encryption algorithm support information of the user equipment to the destination system, the source system key, or the converted destination system key are sent to the destination system radio access network.
  • the multi-system switching and key conversion of the embodiment of the present invention are:
  • the key sent by the multi-system core network is the encryption key (CK) and the consistency key (IK); when the user equipment switches from UMTS or TD-SCDMA system to GSM
  • the multi-system radio access network converts an encryption key (CK) and a consistency key (IK) into a cryptographic key (Kc);
  • Scenario 2 Initial access to the GSM system, the key sent by the multi-system core network is Kc; when the user equipment switches from the GSM system to the UMTS or TD-SCDMA system, the multi-system radio access network converts Kc to CK, IK.
  • the RNC or BSC adding module completes the conversion of CK/IK to Kc (Fig. 3 UTRAN adds CK, IK->Kc module):
  • the BSC or RNC adds modules to complete the conversion of Kc to CK/IK (Figure 4 GSM BSS adds Kc -> CK, IK module):
  • Kcl xor Kc2; In c5, Kci is 32 bits and Kc Kcl
  • the following describes the enhanced relocation resource request carrying the encryption indication information, the encryption algorithm support information of the user equipment to the destination system, and the source system key:
  • the enhanced relocation resource request (ENHANCED RELOCATION RESOURCE REQUEST) defined for the existing protocol structure is modified as shown in Table 1:
  • Ciphering indicator (not used)
  • the Iur-g interface message re-enforcement resource request (ENHANCED RELOCATION RESOURCE REQUEST) between the RNC and the BSC carries an encryption indication information UTRAN Ciphering indicator and a GSM Ciphering indicator, indicating whether the current wireless system has encryption enabled.
  • the RNC When switching from UTRAN to BSS, the RNC indicates whether the system is encrypted or not, and the cell UTRAN Ciphering indicator is added. If the UTRAN system uses encryption, it is set to "used", otherwise, it is "not used”;
  • the BSS When switching from BSS to UTRAN, the BSS indicates whether the system is encrypted or not, and the cell GSM Ciphering indicator is added. If the GSM system uses encryption, it is set to "used”, otherwise, it is "not used”.
  • the security capability information of the user equipment that is, the encryption algorithm support information of the user equipment to the destination system.
  • the user equipment When the user equipment (UE) establishes a connection with the RNC, it reports the capability information of other systems, including the GSM system-related encryption information capabilities (MS Classmark 2 and MS Classmark 3).
  • MS Classmark 2 and MS Classmark 3 When the user equipment switches from the UTRAN to the BSS, the RNC The BSC is notified of the UE's support for GSM encryption capabilities.
  • an optional (OP, Optional) cell MS Classmark 2 and MS Classmark 3 are added in the ENHANCED RELOCATION RESOURCE REQUEST;
  • the UTRAN related security capability is reported.
  • the BSC notifies the RNC of the user's support for the UTRAN encryption capability.
  • an optional ( OP , Optional ) cell is added to the ENHANCED RELOCATION RESOURCE REQUEST.
  • the key obtained by the RNC or BSC is the initial value generated by the HLR/AuC, the key is converted.
  • J RNC use c3 algorithm to convert CK/IK to Kc through ENHANCED
  • the RELOCATION RESOURCE REQUEST is passed to the BSC; correspondingly, the BSC uses the c4, c5 algorithm to convert Kc to CK/IK and pass it to the RNC via ENHANCED RELOCATION RESOURCE REQUEST.
  • the ENHANCED RELOCATION RESOURCE REQUEST sent by the BSC carries the key cells CK, IK and a timer (START-CS) indicating the validity period of the key.
  • the process of switching the voice service of the USIM card UE from the UTRAN to the GSM BSS includes:
  • Step 501 The USIM of the UE and the HLR/AuC complete the authentication.
  • HLR/AuC has sent the encryption key CK/IK to the MSC/VLR.
  • Step 502 After the authentication is passed, the MSC/VLR sends the CK/IK to the wireless access side RNC through the security mode command.
  • Step 503 The RNC sends an encryption mode command to the UE. After the RNC and the UE use CK, IK completes encryption, mainly encrypting signaling and user plane data information.
  • Step 504 Establish a CS domain voice service between the MSC, the RNC, and the UE.
  • Step 505 The UE finds that the network quality is poor in the UTRAN, and initiates a measurement report requesting to switch to
  • Step 506 The RNC sends an enhanced relocation resource request to the BSC, carrying the following information:
  • Ciphering indicator is set to "used" to indicate that the wireless system is currently using encryption
  • Step 507 On the wireless network side, the UE switches from UTRAN to GSM.
  • Step 508 Relocating from the UTRAN to the BSS on the connection side of the wireless network and the core network, that is, the interface between the Iu (the interface between the core network and the RNC);
  • the BSC obtains the key from the core network VLR side in this step.
  • Step 509 The UE completes the handover from the UTRAN to the BSS.
  • Step 510 The MSC/VLR notifies the RNC to release the resource.
  • the process of switching the voice service of the SIM card from the BSS to the UTRAN includes: Step 601: The SIM of the UE and the HLR/AuC complete the authentication;
  • the HLR/AuC has sent the encryption key Kc to the MSC/VLR.
  • Step 602 After the authentication is passed, the MSC/VLR sends the Kc to the wireless access side BSC by using an encryption mode command.
  • Step 603 The BSC sends an encryption mode setting message to the UE, and then, the BSC and the UE use Kc to complete the encryption.
  • Step 604 Establish a CS domain voice service between the MSC, the BSC, and the UE.
  • Step 605 The UE finds that the network quality is poor in the BSS, and initiates measurement "3 ⁇ 4 notification request to switch to
  • Step 606 The BSC sends an enhanced relocation resource request to the RNC, carrying the following information:
  • BSC converts the obtained CK/IK using the following formula, so that the RNC no longer needs to be to the VLR.
  • C4: CK[UMTS] Kc II Kc;
  • IK[UMTS] Kcl xor Kc2
  • Step 607 On the wireless network side, the UE switches from the BSS to the UTRAN.
  • Step 608 Relocating from the BSS to the UTRAN on the connection side of the wireless network and the core network, that is, the interface between the Iu (the interface between the core network and the BSC);
  • the RNC obtains the key CK, IK from the core network VLR side.
  • Step 609 The UE completes the handover from the BSS to the UTRAN.
  • Step 610 The MSC/VLR notifies the BSC to release the resource.
  • the multi-system network of the embodiment of the present invention includes:
  • a multi-system core network configured to send a source system key to a multi-system wireless network side
  • the multi-system radio access network is configured to receive the source system key, and when the multi-system handover is performed, if the source system key is an initial value generated by the multi-system core network, The key is keyed to obtain the key of the destination system.
  • the multi-system radio access network includes a source system radio access network and a destination system radio access network; the source system radio access network is configured to receive the source system key, if the source system key is an initial The value is further used to convert the source system key into a destination system key, and send the destination system key to the destination system radio access network, or send the target system radio access network Describe the source system key;
  • the destination system radio access network is configured to receive the transferred destination system key, or receive the source system key, and convert the source system key into a destination system key.
  • the source system radio access network is further configured to send, to the destination system radio access network, indication information indicating whether an encryption function is enabled before the system handover; the destination system is wirelessly connected.
  • the network access is also used to determine whether to enable the encryption function according to the indication information.
  • the source system radio access network is further configured to send, to the destination system radio access network, the encryption algorithm support information of the user equipment to the destination system, where the destination system radio access network according to the corresponding The encryption algorithm encrypts.
  • the source system radio access network uses the enhanced relocation resource request message in the handover preparation phase to encrypt the indication information, the encryption algorithm support information of the user equipment to the destination system, the source system key, or the converted destination.
  • the system key is sent to the destination system radio access network.
  • the invention adds a key conversion function in the multi-system radio access network, so that the multi-system radio access network obtains the target system key without the participation of the multi-system core network, and reduces the signaling between the RNC/BSC and the VLR.
  • the process and time of obtaining the encryption key interactively, especially when the RNC and BSC are connected to two different VLRs, the improvement is particularly significant. Optimize the continuity of the user plane data stream, shorten the interruption time of the user plane data stream, improve the handover success rate, and improve the user's perception of the voice service.
  • the invention reduces the process and time for obtaining the encryption key by the signaling interaction between the RNC/BSC and the VLR, improves the handover success rate, and improves the user's perception of the voice service.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Mobile Radio Communication Systems (AREA)

Description

安全信息获取方法及多系统网络
技术领域
本发明涉及移动通信技术， 尤指一种安全信息获取方法及多系统网络。
背景技术
用户在多系统切换时， 切换到不同的系统需要使用不同的密钥值。 多系 统是指 UMTS (Universal Mobile Telecommunications System, 通用移动通信系 统)、 GSM(Global System for Mobile Communications , 全球移动通信)和 TD-SCDMA ( Time Division- Synchronous Code Division Multiple Access, 时分 同步码分多址） 的无线侧可以使用单模形式（相互独立） ， 也可以是多模形 式（比如， UMTS系统的 RNC ( Radio Network Controller, 无线网络控制器） 和 GSM系统的 BSC(Base Station Controller, 基站控制器)共模， 相当于一个 网元， 如图 2示多系统无线接入网） 。
目前 3GPP协议定义的 UMTS和 GSM系统的鉴权和加密都是分别独立 进行的。 其中， UMTS 系统的鉴权在 USIM(Universal Subscriber Identity Module, 通用用户识别卡)与 VLR(Visiting Location Register, 访问位置存储 器) /SGSN(Serving GPRS Support Node, 服务 GPRS支持节点） ， HLR(Home Location Register, 归属位置存储器) /AuC ( Authentication Center, 鉴权中心） 之间完成。 HLR/AuC和 USIM都可以产生鉴权五元组， HLR/AuC把产生的鉴 权五元组发送给 VLR/SGSN, USIM与 VLR/SGSN之间双向鉴权通过后， 对 于 CS(circuit switch, 电路交换)域， VLR把加密密钥 CK(Ciphering Key, 加密 密钥) /IK( Integrity Key,一致性密钥） 发送给 RNC( Radio Network Controller, 无线网络控制器）， RNC和 USIM完成加密； 对于 PS(packet switch, 分组交 换)域， SGSN和 USIM完成加密。 GSM系统的鉴权在 SIM ( Subscriber Identity Module, 用户识别卡）与 VLR/SGSN, HLR/AuC之间完成。 使用的是鉴权五 元组： RAND(Random challenge, 随机数 )/XRES(Expected Response, 符号响 应）/CK(Ciphering Key , 加密密钥）/ΙΚ ( Integrity Key , 一致性密钥 ） ntication Token, 鉴权标记)。 HLR/AuC和 SIM产生鉴权三元组，
HLR/AuC把产生的鉴权三元组发送给 VLR/SGSN, SIM与 VLR/SGSN之间 一次鉴权校验后，对于 CS域， VLR把加密密钥 Kc(cipher Key密码密钥)发送 给 BSC, BSC和 SIM完成加密； 对于 PS域， SGSN和 SIM完成加密。 使用 的是鉴权三元组: RAND(Random challenge随机数 )/SRES(Signed Response, 符 号响应 VKc Cipher Key, 密码密钥)。
目前 3GPP TS33.102定义的 UMTS用户的鉴权和加密以及 GSM用户的 鉴权和加密、 密钥转换在网络侧都是由核心网 （ HLR/AuC或 VLR/SGSN )完 成， 不涉及 UTRAN ( UMTS Terrestrial Radio Access Network ) , 移动设备和 陆地无线接入网 )或 GSM BSS ( Base Station System, 基站系统 )。 这样移动 用户在跨系统切换时， 比如从 UMTS切换到 GSM时（反之亦然） ， 如果两 个系统都釆用加密，而加密密钥不同，对于 CS域语音业务要等到无线侧 RNC 或 BSC从 VLR获得密钥后， 业务才能继续。 这样对于实时性要求较高的语 音业务切换时延较大和中断较长。
发明内容
本发明要解决的技术问题是提供一种安全信息获取方法及多系统网络， 以在不需要核心网参与的情况下， 获取目的系统密钥。
为解决以上技术问题， 本发明提供了一种安全信息获取方法， 该方法包 括：
用户设备初始接入过程中， 多系统核心网向多系统无线接入网发送源系 统密钥；
多系统切换时， 若所述源系统密钥为初始值， 则所述多系统无线接入网 对所述源系统密钥进行密钥转换获得目的系统的密钥。
可选地， 所述多系统无线接入网包括源系统无线接入网和目的系统无线 接入网； 所述多系统切换时， 若所述源系统密钥为初始值， 则所述多系统无 线接入网对所述源系统密钥进行密钥转换获得目的系统的密钥的步骤包括： 所述源系统无线接入网接收所述源系统密钥， 若所述源系统密钥为初始值， .. , — . 无线接入网将所述源系统密钥转换为目的系统密钥， 并向所述 目的系统无线接入网发送所述目的系统密钥， 或， 所述源系统无线接入网向 所述目的系统无线接入网发送所述源系统密钥， 所述目的系统无线接入网将 所述源系统密钥转换为目的系统密钥。
可选地， 上述方法还包括： 多系统切换时， 所述源系统无线接入网向所 述目的系统无线接入网发送用以指示系统切换前是否已启用加密功能的加密 指示信息， 所述目的系统无线接入网根据所述加密指示信息判断是否启用加 密功能。
可选地， 上述方法还包括： 若所述源系统密钥为计算值， 且所述加密指 示信息指示已启用加密功能， 则所述目的系统无线接入网向所述多系统核心 网获取目的系统密钥。
可选地， 上述方法还包括： 多系统切换时， 所述源系统无线接入网向所 述目的系统无线接入网发送用户设备对目的系统的加密算法支持信息， 所述 目的系统无线接入网根据对应的加密算法进行加密。
可选地， 所述源系统无线接入网在切换准备阶段通过增强重定位资源请 求消息将所述加密指示信息、 用户设备对目的系统的加密算法支持信息、 所 述源系统密钥， 或， 转换后的目的系统密钥发送给所述目的系统无线接入网。
可选地， 所述源系统无线接入网判断源系统密钥为初始值包括： 所述多 系统核心网向所述多系统无线接入网发送源系统密钥时， 同时发送密钥指示 信息， 所述多系统无线接入网根据所述密钥指示信息判断所述源系统密钥是 初始值或计算值；
或， 所述源系统无线接入网接收并解析所述多系统核心网发送的鉴权消 息，并根据解析结果判断所述多系统核心网发送的源系统密钥是否为初始值。
为解决以上技术问题， 本发明还提供了一种多系统网络， 该多系统网络 包括多系统核心网和多系统无线接入网：
多系统核心网设置为： 向多系统无线网络侧发送源系统密钥；
所述多系统无线接入网设置为： 接收所述源系统密钥， 多系统切换时， 若所述源系统密钥为多系统核心网产生的初始值， 对所述源系统密钥进行密 .,，，、 的系统的密钥。
可选地， 多系统切换时， 所述源系统无线接入网还设置为： 向所述目的 系统无线接入网发送用以指示系统切换前是否已启用加密功能的加密指示信 息， 所述目的系统无线接入网还设置为： 根据所述加密指示信息判断是否启 用加密功能。
可选地， 多系统切换时， 所述源系统无线接入网还设置为： 向所述目的 系统无线接入网发送用户设备对目的系统的加密算法支持信息； 所述目的系 统无线接入网还设置为： 根据对应的加密算法进行加密。
可选的， 所述源系统无线接入网是设置为： 在切换准备阶段通过增强重 定位资源请求消息将所述加密指示信息、 用户设备对目的系统的加密算法支 持信息、 所述源系统密钥， 或， 转换后的目的系统密钥发送给所述目的系统 无线接入网。
本发明安全信息获取方法及多系统网络的主要思想是， 在多系统无线接 入网中增加密钥转换功能， 使得在多系统切换时， 多系统无线接入网可以在 无需多系统核心网参与的情况下， 通过源系统密钥转换获得目的系统密钥， 减少了 RNC/BSC与 VLR之间信令交互获得加密密钥的过程和时间， 提高切 换成功率， 提高用户对语音业务的感受。
附图概述
图 1是本发明实施方式的安全信息获取方法的示意图；
图 2是本发明实施方式的多系统网络各网元的连接图；
图 3是本发明实施方式的 UMTS用户的 AKA (鉴权和加密协议）架构的 改进示意图；
图 4是本发明实施方式的 GSM用户的 AKA (鉴权和加密协议） 架构的 改进示意图；
图 5是本发明实施方式的 USIM卡 UE的语音业务从 UTRAN切换到 GSM BSS的流程示意图；
图 6是本发明实施方式的 SIM卡 UE的语音业务从 BSS切换到 UTRAN 本发明的较佳实施方式
本发明安全信息获取方法及多系统网络的主要思想是， 在多系统无线接 入网中增加密钥转换功能， 使得在多系统切换时， 多系统无线接入网可以在 无需多系统核心网参与的情况下， 通过源系统密钥转换获得目的系统密钥。
如图 1所示， 本发明安全信息获取方法包括：
步骤 101 : 用户设备初始接入过程中， 多系统核心网向多系统无线接入 网发送源系统密钥；
本发明所说的多系统切换指 CS域语音用户设备在 2G系统和 3G系统之 间的切换， 3G 系统如通用移动通信系统 （UMTS ) 、 时分同步码分多址 ( TD-SCDMA ) 系统等； 2G系统如全球移动通信（GSM )等。
以现有 2G和 3G系统为例， 2G系统的无线接入网为 BSS ( Base Station System,基站系统）； 3G系统的无线接入网为 UTRAN( UMTS Terrestrial Radio Access Network ) , 移动设备和陆地无线接入网） 。
多系统无线接入网可以使用单模形式（相互独立） ， 也可以是多模形式 (比如， UMTS系统的 RNC和 GSM系统的 BSC共模， 相当于一个网元） ， 如图 2示。
RNC和 BSC可以连接到同一个 R99+ VLR/SGSN( R98- VLR/SGSN不支 持 RNC )或两个不同的 R99+ VLR/SGSN;使用同一个 R98- or R99+HLR/AuC , 如图 2示。
其中 R99+、 R98-表示版本号。
步骤 102: 多系统切换时， 若所述源系统密钥为初始值， 则所述多系统 无线接入网对所述源系统密钥进行密钥转换获得目的系统的密钥。
所述多系统无线接入网包括源系统无线接入网和目的系统无线接入网； 所述源系统无线接入网接收所述源系统密钥， 若所述源系统密钥为初始值， 则所述源系统无线接入网将所述源系统密钥转换为目的系统密钥， 并向所述 目的系统无线接入网发送所述目的系统密钥， 或， 所述源系统无线接入网向 无线接入网发送所述源系统密钥， 所述目的系统无线接入网将 所述源系统密钥转换为目的系统密钥。
为了防止切换后， 目的系统译码错误， 无法解析用户数据， 多系统切换 时， 所述源系统无线接入网向所述目的系统无线接入网发送用以指示系统切 换前是否已启用加密功能的指示信息， 所述目的系统无线接入网根据所述指 示信息判断是否启用加密功能。
因为只有在源系统密钥为初始值时， 无线接入网才可以进行密钥转换， 因此若所述源系统密钥为计算值， 且所述指示信息指示已启用加密功能， 则 所述目的系统无线接入网向所述多系统核心网获取目的系统密钥。
用户设备初始接入时， 会将其加密能力支持信息 （包括对目的系统的加 密算法支持信息）上报给源系统无线接入网， 多系统切换时， 所述源系统无 线接入网向所述目的系统无线接入网发送用户设备对目的系统的加密算法支 持信息， 所述目的系统无线接入网根据对应的加密算法进行加密。
可理解地， 只有在开启加密功能的情况下， 源系统无线接入网才需要向 目的系统无线接入网发送用户设备对目的系统的加密算法支持信息和密钥 (源系统密钥或转换后的目的系统密钥） 。
另外， 本发明实施方式中源系统无线接入网判断源系统密钥为初始值的 方法有以下两种：
( 1 )多系统核心网向所述多系统无线接入网发送源系统密钥时， 同时发 送密钥指示信息， 所述多系统无线接入网根据所述密钥指示信息判断所述源 系统密钥是初始值或计算值；
( 2 ) 源系统无线接入网接收并解析所述多系统核心网发送的鉴权消息， 并根据解析结果判断所述多系统核心网发送的源系统密钥是否为初始值。
可选地， 用户设备通过 RNC初始接入，且接收的鉴权消息为五元组鉴权 消息， 或， 用户设备通过 BSC初始接入， 且接收的鉴权消息不是五元组鉴权 消息， 则判断多系统核心网发送密钥为初始值。
这里所说的鉴权消息包括鉴权请求及鉴权响应， 若鉴权请求携带鉴权标 记 （AUTN ) 或鉴权响应携带鉴权响应参数扩展 ( Authentication Response r„™ -.„ension) ) , 则该鉴权消息为五元组鉴权消息， 否则不是五元组鉴 权消息。
3GPP协议定义 BSC和 RNC之间通过标准接口 Iur-g交互消息， 中国移 动在此接口上增加了增强重定位资源请求 （ENHANCED RELOCATION RESOURCE REQUEST )和增强重定位资源响应（ ENHANCED RELOCATION RESOURCE RESPONSE )消息， 即在切换前通知另一个系统准备资源， 这样 无线侧切换和重定位流程可以并行。 为了加快系统切换减少时延， 提高切换 成功率， 改善用户感受， 源系统无线接入网在切换准备阶段通过 Iur-g接口的 增强重定位资源请求（ ENHANCED RELOCATION RESOURCE REQUEST ) 消息将安全信息， 如加密指示信息、 用户设备对目的系统的加密算法支持信 息、 源系统密钥， 或， 转换后的目的系统密钥， 发送给所述目的系统无线接 入网。
根据现有系统， 本发明实施方式的多系统切换及密钥转换为：
场景一， 初始接入 UMTS或 TD-SCDMA系统， 多系统核心网发送的密 钥为加密密钥（ CK )和一致性密钥（ IK )；当用户设备从 UMTS或 TD-SCDMA 系统切换到 GSM系统时， 所述多系统无线接入网将加密密钥 （CK ) 、 一致 性密钥 （IK )转换为密码密钥 （Kc ) ；
场景二： 初始接入 GSM系统， 多系统核心网发送的密钥为 Kc; 当用户 设备从 GSM系统切换到 UMTS或 TD-SCDMA系统时，所述多系统无线接入 网将 Kc转换为 CK、 IK。
本发明实施方式中，在源系统密钥为初始值的情况下， RNC或 BSC增加 模块完成 CK/IK到 Kc的转换（图 3 UTRAN新增 CK,IK->Kc模块 ) ：
转换算法 c3为： Kc[GSM] = CK1 xor CK2 xor IK1 xor IK2,
其中， CKi和 IKi都是 64 bits, CK = CK1 || CK2 and IK = IK1 || IK2
BSC或 RNC增加模块完成 Kc到 CK/IK的转换（图 4 GSM BSS新增 Kc -〉 CK,IK模块） ：
转换算法 c4为： CK[UMTS] = Kc II Kc; ,、 : c5为： IK[UMTS] = Kcl xor Kc2 || Kc || Kcl xor Kc2; 在 c5中， Kci是 32 bits并且 Kc = Kcl || Kc2
以下对携带加密指示信息、 用户设备对目的系统的加密算法支持信息、 源系统密钥的增强重定位资源请求进行说明：
对现有协议结构定义的增强重定位资源请求 （ ENHANCED RELOCATION RESOURCE REQUEST )修改后如表 1所示：
表 1
信元 /组名称 （IE/Group 存在形式 范围 信元类型和参考 描述 ( Semantics
Name) (Presence ) (Range ) ( IE Type and Description)
Reference )
选择类型 （ CHOICE /¾pe
>发给 GSM 的加密信息
( Ciphering information to
GSM )
» UTRAN 加 密 指 示 必选 (MP) 列举 （使用， 不
(UTRAN Ciphering indicator) 使用）
Enumerated(used
, not used)
»移动基站类型标志 必选 (MP)
2(MS Classmark 2)
»移动基站类型标志 3(MS MP
Classmark 3)
»加密密钥 CKc) 可选 (OP)
>发给 UTRAN 的加密信息
(Ciphering information to
UTRAN)
»GSM 加密指示（GSM MP Enumerated(used
Ciphering indicator) , not used)
»安全能力 (Security MP
capability)
»加密密钥 CCK) OP
»—致性密钥 (IK) OP
»CS域定时器 (START-CS) OP START值用于核心 网的这个域（START values to be used in this CN domain. ) ― ， I口 ·
在 RNC和 BSC之间的 Iur-g接口消息增强重定位资源请求（ ENHANCED RELOCATION RESOURCE REQUEST ) 中携带加密指示信息 UTRAN Ciphering indicator和 GSM Ciphering indicator, 指示当前无线系统是否开启 加密。
从 UTRAN向 BSS切换时， RNC指示本系统是否加密，增加信元 UTRAN Ciphering indicator, 如果 UTRAN系统使用加密， 则设置为 "used" , 否则， 为 "not used" ；
从 BSS向 UTRAN切换时， BSS指示本系统是否加密， 增加信元 GSM Ciphering indicator, 如果 GSM系统使用加密， 则设置为 "used" , 否则， 为 "not used" 。
2、用户设备的安全能力信息也即用户设备对目的系统的加密算法支持信 息
在 ENHANCED RELOCATION RESOURCE REQUEST中增加 UE 的安 全能力信息。
用户设备（UE )与 RNC建立连接时把对其他系统的能力信息报告上来， 其中包括 GSM系统相关的加密信息能力 （MS Classmark 2和 MS Classmark 3 ) , 当用户设备从 UTRAN向 BSS切换时， RNC向 BSC通知该 UE对 GSM 加密能力的支持情况。 根据 UE的上报信息， 在 ENHANCED RELOCATION RESOURCE REQUEST增加可选（OP, Optional )信元 MS Classmark 2和 MS Classmark 3；
用户设备（ UE )与 BSC建立连接时会把对 UTRAN相关的加密信息能力 ( Security capability )报告上来， 当 UE从 BSS向 UTRAN切换时， BSC向 RNC通知该用户对 UTRAN加密能力的支持情况。 根据 UE的上报信息， 在 ENHANCED RELOCATION RESOURCE REQUEST增加可选（ OP , Optional ) 信元 Security capability„
3、 源系统密钥
如果 RNC或 BSC得到的密钥是由 HLR/AuC产生的初始值，以密钥转换 , J , RNC使用 c3 算法把 CK/IK换算成 Kc通过 ENHANCED
RELOCATION RESOURCE REQUEST传递给 BSC; 相应的， BSC使用 c4,c5 算法把 Kc 换算成 CK/IK 通过 ENHANCED RELOCATION RESOURCE REQUEST传递给 RNC。
从 UTRAN向 BSS切换时， RNC发送的 ENHANCED RELOCATION
RESOURCE REQUEST中携带密钥信元 Kc;
从 BSS 向 UTRAN切换时， BSC发送的 ENHANCED RELOCATION RESOURCE REQUEST中携带密钥信元 CK, IK和用于指示密钥有效期的定 时器 ( START-CS ) 。
应用示例一
如图 5所示， USIM卡 UE的语音业务从 UTRAN切换到 GSM BSS的流 程包括：
步骤 501： UE的 USIM与 HLR/AuC完成鉴权；
鉴权过程中 HLR/AuC已经把加密密钥 CK/IK发送给 MSC/VLR
步骤 502： 鉴权通过后， MSC/VLR把 CK/IK通过安全模式命令发送给无 线接入侧 RNC;
步骤 503: RNC向 UE发送加密模式命令， 之后， RNC与 UE之间使用 CK,IK完成加密， 主要是对信令和用户面数据信息加密；
步骤 504: MSC, RNC和 UE之间建立 CS域语音业务；
步骤 505: UE在 UTRAN中发现网络质量差， 发起测量报告要求切换到
GSM的 BSS;
步骤 506: RNC向 BSC发起增强重定位资源请求， 携带如下信息：
(1)信元 UTRAN Ciphering indicator设置为 "used" , 指示无线系统当前 已经使用加密；
(2)UE对 GSM系统的加密相关能力： MS Classmark 2和 MS Classmark 3;
(3) RNC釆用如下公式转换得到的 Kc, 这样 BSC不再需要向 VLR索要 密钥 Kc: [GSM] = CK1 xor CK2 xor IK1 xor IK2,
其中， CKi和 IKi都是 64 bits, CK = CK1 || CK2 and IK = IK1 || IK2 步骤 507： 在无线网络侧， UE从 UTRAN切换到 GSM。
步骤 508： 在无线网络和核心网连接侧， 即 Iu (核心网与 RNC间接口 ) 口侧， 从 UTRAN重定位到 BSS;
现有的 3GPP协议架构中， 在这一步 BSC才从核心网 VLR侧获得密钥
Kc。
步骤 509: UE完成从 UTRAN到 BSS的切换；
步骤 510: MSC/VLR通知 RNC释放资源。
应用示例二
如图 6所示， SIM卡 UE的语音业务从 BSS切换到 UTRAN的流程包括： 步骤 601 : UE的 SIM与 HLR/AuC完成鉴权；
鉴权过程中 HLR/AuC已经把加密密钥 Kc发送给 MSC/VLR。
步骤 602: 鉴权通过后， MSC/VLR把 Kc通过加密模式命令发送给无线 接入侧 BSC;
步骤 603: BSC向 UE发送加密模式设置消息， 之后， BSC与 UE之间使 用 Kc完成加密；
步骤 604: MSC, BSC和 UE之间建立 CS域语音业务；
步骤 605: UE在 BSS 中发现网络质量差， 发起测量"¾告要求切换到
UTRAN;
步骤 606: BSC向 RNC发起增强重定位资源请求， 携带如下信息：
(1)信元 GSM Ciphering indicator设置为 "used" , 表示无线系统当前已 经使用加密。
(2) UE对 UTRAN的加密能力信息： Security capability
(3) BSC使用如下公式转换得到的 CK/IK, 这样 RNC不再需要向 VLR c4: CK[UMTS] = Kc II Kc;
c5: IK[UMTS] = Kcl xor Kc2 || Kc || Kcl xor Kc2;
在 c5中， Kci是 32 bits并且 Kc = Kcl || Kc2
步骤 607: 在无线网络侧， UE从 BSS切换到 UTRAN;
步骤 608： 在无线网络和核心网连接侧， 即 Iu (核心网与 BSC间接口 ) 口侧 , 从 BSS重定位到 UTRAN;
现有的 3GPP协议架构中， 在这一步 RNC才从核心网 VLR侧获得密钥 CK, IK.
步骤 609: UE完成从 BSS到 UTRAN的切换；
步骤 610: MSC/VLR通知 BSC释放资源。
为了实现以上方法， 本发明实施方式的多系统网络包括：
多系统核心网， 用于向多系统无线网络侧发送源系统密钥；
所述多系统无线接入网， 用于接收所述源系统密钥， 多系统切换时， 若 所述源系统密钥为多系统核心网产生的初始值， 还用于对所述源系统密钥进 行密钥转换获得目的系统的密钥。
所述多系统无线接入网包括源系统无线接入网和目的系统无线接入网； 所述源系统无线接入网用于接收所述源系统密钥， 若所述源系统密钥为 初始值， 还用于将所述源系统密钥转换为目的系统密钥， 并向所述目的系统 无线接入网发送所述目的系统密钥， 或， 向所述目的系统无线接入网发送所 述源系统密钥；
所述目的系统无线接入网， 用于接收转后的目的系统密钥， 或， 接收源 系统密钥， 并将所述源系统密钥转换为目的系统密钥。
多系统切换时， 优选地， 所述源系统无线接入网还用于向所述目的系统 无线接入网发送用以指示系统切换前是否已启用加密功能的指示信息； 所述 目的系统无线接入网， 还用于根据所述指示信息判断是否启用加密功能。 7换时， 优选地， 所述源系统无线接入网还用于向所述目的系统 无线接入网发送用户设备对目的系统的加密算法支持信息， 所述目的系统无 线接入网根据对应的加密算法进行加密。
所述源系统无线接入网在切换准备阶段通过增强重定位资源请求消息将 所述加密指示信息、 用户设备对目的系统的加密算法支持信息、 所述源系统 密钥， 或， 转换后的目的系统密钥发送给所述目的系统无线接入网。
本发明在多系统无线接入网增设密钥转换功能， 使得多系统无线接入网 在无需多系统核心网参与的情况下， 获得目的系统密钥， 减少了 RNC/BSC 与 VLR之间信令交互获得加密密钥的过程和时间， 尤其当 RNC和 BSC连接 到两个不同的 VLR时， 改进尤其显著。 优化用户面数据流连续性， 缩短了用 户面数据流的中断的时间， 提高切换成功率， 提高用户对语音业务的感受。
本领域普通技术人员可以理解上述方法中的全部或部分步骤可通过程序 来指令相关硬件完成， 所述程序可以存储于计算机可读存储介质中， 如只读 存储器、 磁盘或光盘等。 可选地， 上述实施例的全部或部分步骤也可以使用 一个或多个集成电路来实现。 相应地， 上述实施例中的各单元可以釆用硬件 的形式实现， 也可以釆用软件功能模块的形式实现。 本发明不限制于任何特 定形式的硬件和软件的结合。
工业实用性
本发明减少了 RNC/BSC与 VLR之间信令交互获得加密密钥的过程和时 间， 提高切换成功率， 提高用户对语音业务的感受。

Claims

权 利 要 求 书
1、 一种安全信息获取方法， 该方法包括：
用户设备初始接入过程中， 多系统核心网向多系统无线接入网发送源系 统密钥；
多系统切换时， 若所述源系统密钥为初始值， 则所述多系统无线接入网 对所述源系统密钥进行密钥转换获得目的系统的密钥。
2、 如权利要求 1 所述的方法， 其中： 所述多系统无线接入网包括源系 统无线接入网和目的系统无线接入网； 所述多系统切换时， 若所述源系统密 钥为初始值， 则所述多系统无线接入网对所述源系统密钥进行密钥转换获得 目的系统的密钥的步骤包括：
所述源系统无线接入网接收所述源系统密钥， 若所述源系统密钥为初始 值， 则所述源系统无线接入网将所述源系统密钥转换为目的系统密钥， 并向 所述目的系统无线接入网发送所述目的系统密钥， 或， 所述源系统无线接入 网向所述目的系统无线接入网发送所述源系统密钥， 所述目的系统无线接入 网将所述源系统密钥转换为目的系统密钥。
3、 如权利要求 2所述的方法， 所述方法还包括： 多系统切换时， 所述 源系统无线接入网向所述目的系统无线接入网发送用以指示系统切换前是否 已启用加密功能的加密指示信息， 所述目的系统无线接入网根据所述加密指 示信息判断是否启用加密功能。
4、 如权利要求 3 所述的方法， 所述方法还包括： 若所述源系统密钥为 计算值， 且所述加密指示信息指示已启用加密功能， 则所述目的系统无线接 入网向所述多系统核心网获取目的系统密钥。
5、 如权利要求 2所述的方法， 所述方法还包括： 多系统切换时， 所述 源系统无线接入网向所述目的系统无线接入网发送用户设备对目的系统的加 密算法支持信息， 所述目的系统无线接入网根据对应的加密算法进行加密。
6、 如权利要求 2、 3或 5所述的方法， 其中: 统无线接入网在切换准备阶段通过增强重定位资源请求消息将 所述加密指示信息、 用户设备对目的系统的加密算法支持信息、 所述源系统 密钥， 或， 转换后的目的系统密钥发送给所述目的系统无线接入网。
7、 如权利要求 1 所述的方法， 其中： 所述源系统无线接入网判断源系 统密钥为初始值包括：
所述多系统核心网向所述多系统无线接入网发送源系统密钥时， 同时发 送密钥指示信息， 所述多系统无线接入网根据所述密钥指示信息判断所述源 系统密钥是初始值或计算值； 或者，
所述源系统无线接入网接收并解析所述多系统核心网发送的鉴权消息， 并根据解析结果判断所述多系统核心网发送的源系统密钥是否为初始值。
8、 一种多系统网络， 该多系统网络包括多系统核心网和多系统无线接 入网；
所述多系统核心网设置为向多系统无线网络侧发送源系统密钥； 所述多系统无线接入网设置为： 接收所述源系统密钥， 多系统切换时， 若所述源系统密钥为多系统核心网产生的初始值， 对所述源系统密钥进行密 钥转换获得目的系统的密钥。
9、 如权利要求 8所述的多系统网络， 其中： 所述多系统无线接入网包 括源系统无线接入网和目的系统无线接入网；
所述源系统无线接入网设置为： 接收所述源系统密钥， 若所述源系统密 钥为初始值， 将所述源系统密钥转换为目的系统密钥， 并向所述目的系统无 线接入网发送所述目的系统密钥， 或， 向所述目的系统无线接入网发送所述 源系统密钥；
所述目的系统无线接入网设置为： 接收转后的目的系统密钥， 或， 接收 源系统密钥， 并将所述源系统密钥转换为目的系统密钥。
10、 如权利要求 9所述的多系统网络， 其中： 多系统切换时， 所述源系 统无线接入网还设置为： 向所述目的系统无线接入网发送用以指示系统切换 前是否已启用加密功能的加密指示信息； 所述目的系统无线接入网还设置为 指示信息判断是否启用加密功能。
11、 如权利要求 9所述的多系统网络， 其中： 多系统切换时， 所述源系 统无线接入网还设置为向所述目的系统无线接入网发送用户设备对目的系统 的加密算法支持信息； 所述目的系统无线接入网还设置为根据对应的加密算 法进行力口密。
12、 如权利要求 9、 10或 11所述的多系统网络， 其中：
所述源系统无线接入网是设置为： 在切换准备阶段通过增强重定位资源 请求消息将所述加密指示信息、 用户设备对目的系统的加密算法支持信息、 所述源系统密钥， 或， 转换后的目的系统密钥发送给所述目的系统无线接入 网。
PCT/CN2011/075755 2010-08-17 2011-06-15 安全信息获取方法及多系统网络 WO2012022192A1 (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
EP11817719.5A EP2608586A4 (en) 2010-08-17 2011-06-15 METHOD FOR OBTAINING SECURITY INFORMATION AND MULTI-SYSTEM NETWORK

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN201010258902.7A CN102378167B (zh) 2010-08-17 2010-08-17 安全信息获取方法及多系统网络
CN201010258902.7 2010-08-17

Publications (1)

Publication Number Publication Date
WO2012022192A1 true WO2012022192A1 (zh) 2012-02-23

Family

ID=45604749

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2011/075755 WO2012022192A1 (zh) 2010-08-17 2011-06-15 安全信息获取方法及多系统网络

Country Status (3)

Country Link
EP (1) EP2608586A4 (zh)
CN (1) CN102378167B (zh)
WO (1) WO2012022192A1 (zh)

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101102600A (zh) * 2007-06-29 2008-01-09 中兴通讯股份有限公司 在不同移动接入系统中切换时的密钥处理方法
WO2009008627A2 (en) * 2007-07-10 2009-01-15 Lg Electronics Inc. A method of establishing fast security association for handover between heterogeneous radio access networks
CN101523797A (zh) * 2006-10-18 2009-09-02 艾利森电话股份有限公司 通信网络中的密码密钥管理

Family Cites Families (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102572833B (zh) * 2008-04-28 2016-08-10 华为技术有限公司 一种保持用户业务连续性的方法、系统及装置

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101523797A (zh) * 2006-10-18 2009-09-02 艾利森电话股份有限公司 通信网络中的密码密钥管理
CN101102600A (zh) * 2007-06-29 2008-01-09 中兴通讯股份有限公司 在不同移动接入系统中切换时的密钥处理方法
WO2009008627A2 (en) * 2007-07-10 2009-01-15 Lg Electronics Inc. A method of establishing fast security association for handover between heterogeneous radio access networks

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
See also references of EP2608586A4 *

Also Published As

Publication number Publication date
CN102378167A (zh) 2012-03-14
EP2608586A1 (en) 2013-06-26
CN102378167B (zh) 2015-11-25
EP2608586A4 (en) 2014-06-18

Similar Documents

Publication Publication Date Title
CN109362108B (zh) 一种安全保护的方法、装置和系统
KR101964544B1 (ko) Wwan 보안 콘텍스트로부터 wlan 보안 콘텍스트를 도출하는 방법 및 디바이스
JP5462411B2 (ja) セキュリティ設定の同期を支援する方法および装置
EP2293515B1 (en) Method, network element, and mobile station for negotiating encryption algorithms
US20170359719A1 (en) Key generation method, device, and system
US10306432B2 (en) Method for setting terminal in mobile communication system
US20240224166A1 (en) Handling a ue that is in the idle state
TWI332345B (en) Security considerations for the lte of umts
KR101712865B1 (ko) 이동 통신 시스템에서 비계층 프로토콜을 이용한 통신 지원 방법 및 장치
WO2019019736A1 (zh) 安全实现方法、相关装置以及系统
TWI452914B (zh) 處理單一無線語音通話連續性交遞之安全性之方法及其相關通訊裝置
EP2315371A2 (en) Security protected non-access stratum protocol operation supporting method in a mobile telecommunication system
WO2018170617A1 (zh) 一种基于非3gpp网络的入网认证方法、相关设备及系统
EP3554112A1 (en) Security capability negotiation method, system, and equipment
EP1878202A2 (en) Exchange of key material
WO2015089849A1 (zh) 一种网络切换方法及装置
WO2011143977A1 (zh) 终端移动到增强通用陆地无线接入网络（utran）时建立增强密钥的方法及系统
WO2015054853A1 (zh) 分流方法、基站及用户设备
EP2566205B1 (en) Notifying key method for multi-system core network and multi-system network
EP2600646B1 (en) Method for deriving key by multisystem radio access network and multisystem radio access network
WO2012022192A1 (zh) 安全信息获取方法及多系统网络
WO2024145946A1 (en) Apparatus, method, and computer program
KR20140055675A (ko) 이동통신망에서 지리 정보를 이용한 무선랜 선인증 방법 및 장치

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 11817719

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

WWE Wipo information: entry into national phase

Ref document number: 2011817719

Country of ref document: EP