WO2013004077A1 - 一种建立安全通道的方法及相应终端和系统 - Google Patents

一种建立安全通道的方法及相应终端和系统 Download PDF

Info

Publication number
WO2013004077A1
WO2013004077A1 PCT/CN2012/070306 CN2012070306W WO2013004077A1 WO 2013004077 A1 WO2013004077 A1 WO 2013004077A1 CN 2012070306 W CN2012070306 W CN 2012070306W WO 2013004077 A1 WO2013004077 A1 WO 2013004077A1
Authority
WO
WIPO (PCT)
Prior art keywords
mtc terminal
application
peer
mtc
information
Prior art date
Application number
PCT/CN2012/070306
Other languages
English (en)
French (fr)
Inventor
王坚
吴传喜
尚国强
马景旺
Original Assignee
中兴通讯股份有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Priority claimed from CN201110186883.6A external-priority patent/CN102868996B/zh
Application filed by 中兴通讯股份有限公司 filed Critical 中兴通讯股份有限公司
Publication of WO2013004077A1 publication Critical patent/WO2013004077A1/zh

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/03—Protecting confidentiality, e.g. by encryption
    • H04W12/037—Protecting confidentiality, e.g. by encryption of the control plane, e.g. signalling traffic

Definitions

  • the present invention relates to the field of machine type communication. In particular, it relates to a method of establishing a secure channel and corresponding terminals and systems.
  • MTC Machine Type Communication
  • MTC server Mobile Telecommunications Server
  • the technical problem to be solved by the present invention is to provide a method for establishing a secure channel to ensure security when an MTC terminal communicates with an application peer of an MTC terminal.
  • a method for establishing a secure channel configured to establish a secure channel between a machine-type communication (MTC) terminal and an application peer of the MTC terminal, the method comprising:
  • the MTC terminal registers with the public land mobile network (PLMN) to generate shared key information required to establish a secure channel with the application peer of the MTC terminal;
  • PLMN public land mobile network
  • the application peer initiates a trigger message, and triggers the establishment of the IP channel of the MTC terminal to the peer end of the application by using the trigger message.
  • the MTC terminal and the application peer establish a security association based on the shared key information, and form an end-to-end secure channel of the MTC terminal to the application peer.
  • the step of generating the shared key information required to establish a secure channel with the application peer of the MTC terminal in the process of registering the MTC terminal to the PLMN network includes:
  • the MTC terminal After the MTC terminal requests registration to the PLMN network, after the home location register or the home subscriber server (HLR/HSS) in the PLMN network performs authentication and key agreement with the MTC terminal, the HLR/HSS and the MTC terminal respectively Generating shared key information required for establishing a secure channel for the MTC terminal and the application peer.
  • HLR/HSS home subscriber server
  • the method also includes:
  • the HLR/HSS After the HLR/HSS generates the shared key information required for the MTC terminal and the application peer to establish a secure channel, the HLR/HSS locates the authentication and authorization accounting (AAA) server of the MTC terminal, and The generated shared key information is sent to the AAA server through a secure channel.
  • AAA authentication and authorization accounting
  • the step of initiating a triggering message by the application peer, and the step of triggering the establishment of the MTC terminal to the IP channel of the application peer by using the triggering message includes:
  • the application peer queries the AAA server to obtain the identifier of the MTC terminal and the shared key information, and sends a trigger message to the mobility management entity of the MTC terminal by using the AAA server and the HLR/HSS; After receiving the trigger message, the mobility management entity pages the MTC terminal; the MTC terminal establishes a signaling connection to the mobility management entity according to the paging, and acquires information of the application peer, based on the application.
  • the information of the peer end initiates an IP channel established to the peer end of the application.
  • the step of the MTC terminal and the application peer establishing a security association based on the shared key information, and forming an end-to-end secure channel of the MTC terminal to the application peer includes: the MTC terminal and the The application peer performs mutual authentication based on the shared key information, establishes a security association, and completes establishment of an end-to-end secure channel of the MTC terminal to the application peer end.
  • the application peer initiates a trigger message, and the trigger message is used to trigger the establishment of the
  • the steps of the MTC terminal to the IP channel of the application peer include:
  • the application peer queries the AAA server to obtain the identifier of the MTC terminal, and the common application end establishes a secure channel to the gateway, sends a trigger message to the gateway, and triggers the gateway to initiate establishment.
  • the IP channel of the application peer to the MTC terminal is described.
  • the step of the MTC terminal and the application peer establishing a security association based on the shared key information, and forming an end-to-end secure channel of the MTC terminal to the application peer includes: the MTC terminal and the The application peer establishes a security association based on the shared key information, and completes the establishment of the end-to-end secure channel of the MTC terminal to the application peer end.
  • a method for establishing a secure channel configured to establish a secure channel between a machine-type communication (MTC) terminal and an application peer of the MTC terminal, the method comprising:
  • the MTC terminal registers with the public land mobile network (PLMN) to generate shared key information required to establish a secure channel with the application peer of the MTC terminal;
  • PLMN public land mobile network
  • the application peer end When the peer end of the application needs to communicate with the MTC terminal that belongs to the opposite end of the MTC application, the application peer end triggers the core network element, and the trigger message received by the MTC terminal includes the shared key according to the shared key.
  • the security association information generated by the information the MTC terminal initiates establishing an IP channel of the MTC terminal to the peer end of the application according to the trigger message;
  • the application peer and the MTC terminal each establish a security association according to the security association information, and apply the security association to the IP channel to form an end-to-end secure channel of the MTC terminal to the application peer.
  • the step of generating the shared key information required to establish a secure channel with the application peer of the MTC terminal in the process of registering the MTC terminal to the PLMN network includes:
  • the MTC terminal After the MTC terminal requests registration to the PLMN network, after the home location register or the home subscriber server (HLR/HSS) in the PLMN network performs authentication and key agreement with the MTC terminal, the HLR/HSS and the MTC terminal are respectively generated as The MTC terminal and the application peer establish shared key information required for the secure channel.
  • HLR/HSS home subscriber server
  • the method also includes: After the HLR/HSS generates the shared key information required for the MTC terminal and the application peer of the MTC terminal to establish a secure channel, the HLR/HSS locates the authentication and authorization accounting (AAA) server of the MTC terminal, and The generated shared key information is sent to the AAA server through a secure channel.
  • AAA authentication and authorization accounting
  • the step of the application peer triggering through the core network element includes:
  • the application peer queries the AAA server to obtain the identifier of the MTC terminal and the shared key information, and initiates a trigger to the AAA server, where the AAA server moves to the MTC terminal by using the HLR/HSS.
  • the management entity sends a trigger message including the security association information, where the security association information includes information required to establish a security association generated according to the shared key information; after the mobile management entity receives the trigger message, the paging station.
  • the MTC terminal the MTC terminal establishes a signaling connection to the mobility management entity according to the paging, acquires information about the application peer end, and information required to establish a security association.
  • the step of the application peer triggering through the core network element includes:
  • the application peer queries the AAA server to obtain the identifier of the MTC terminal, the shared key information, and an IP address of a gateway between the PLMN network and the peer of the application; the application peer is configured according to the shared secret
  • the key information generates security association information, where the security association information includes information or a security association required to establish a security association; the application peer establishes a secure channel to the gateway, and initiates a trigger message to the MTC terminal by using the gateway,
  • the trigger message includes security association information.
  • the trigger message further includes the authentication information of the application peer end;
  • the method further includes: the terminal authenticating the application peer according to the authentication information before initiating the establishment of the IP channel of the MTC terminal to the peer end of the application.
  • a machine type communication (MTC) terminal for establishing a secure channel, configured to establish a secure channel between the MTC terminal and an application peer end of the MTC terminal, where the MTC terminal includes a key generation module and a secure channel establishment module. , among them:
  • the key generation module is configured to: generate, during the registration of the MTC terminal to a public land mobile network (PLMN), shared key information required to establish a secure channel with the application peer;
  • the secure channel establishing module is configured to: establish an IP channel of the MTC terminal to the application peer according to the trigger message initiated by the application peer, and establish a security association based on the shared key information.
  • PLMN public land mobile network
  • the secure channel establishing module is configured to establish an IP channel of the MTC terminal to the peer of the application according to the trigger message sent by the peer of the application in the following manner:
  • Receiving a paging of the mobility management entity establishing a signaling connection to the mobility management entity, acquiring information of the peer end of the application, and starting to establish an IP channel to the peer end of the application based on the information of the application peer end; or establishing to The IP channel of the application peer.
  • the secure channel establishing module is further configured to: authenticate the application peer based on the shared key information before establishing a security association.
  • a system for establishing a secure channel for establishing a secure channel between a machine type communication (MTC) terminal and an application peer of the MTC terminal comprising the MTC according to any one of claims 14-16 a terminal, and an application peer of the MTC terminal, where the application peer includes a trigger module and a secure channel module, where:
  • the triggering module is configured to: when the application peer needs to communicate with the MTC terminal that belongs to the peer end of the application, initiate a trigger message, and trigger the establishment of the IP address of the MTC terminal to the application peer by using the trigger message aisle;
  • the secure channel module is configured to: establish a security association based on the shared key information, and form an end-to-end secure channel of the MTC terminal to the application peer.
  • the system further includes a home location register or a home subscriber server (HLR/HSS), the HLR/HSS including a key generation module, a location module, and a transmission module, where:
  • the key generation module is configured to: perform authentication and key agreement with the MTC terminal in the process of requesting the MTC terminal to register to the PLMN network, and generate a secure channel for the MTC terminal and the application peer. Required shared key information;
  • the positioning module is configured to: locate an authentication and authorization charging (AAA) server of the MTC terminal;
  • the sending module is configured to: send the shared key information generated by the key generation module to the AAA server through a secure channel.
  • AAA authentication and authorization charging
  • the application peer further includes a first query module, where:
  • the first query module is configured to: query the AAA server to obtain the identifier of the MTC terminal and the shared key information;
  • the triggering module is configured to initiate a trigger message by: sending, by the AAA server, the HLR/HSS, a trigger message to the mobility management entity of the MTC terminal, to cause the mobility management entity to page the MTC terminal.
  • the secure channel module is further configured to: authenticate the MTC terminal based on the shared key information before establishing a security association.
  • the application peer further includes a second query module, where:
  • the second query module is configured to: query the AAA server to obtain the identifier of the MTC terminal, the shared key information, and an IP address of a gateway between the PLMN network and the application peer;
  • the triggering module is configured to initiate a triggering message by: establishing a secure channel of the application peer to the gateway, sending a trigger message to the gateway, triggering the gateway to initiate establishment of the application peer to the IP channel of the MTC terminal.
  • a machine type communication (MTC) terminal for establishing a secure channel, configured to establish a secure channel between the MTC terminal and an application peer end of the MTC terminal, where the MTC terminal includes a key generation module, an IP channel establishment module, and security Association building module, where:
  • the key generation module is configured to: generate, during the registration of the MTC terminal to a public land mobile network (PLMN), shared key information required to establish a secure channel with the application peer;
  • PLMN public land mobile network
  • the IP channel establishing module is configured to: receive a trigger message, where the trigger message includes security association information generated according to the shared key information, and initiates establishment of the IP address of the MTC terminal to the application peer according to the trigger message. aisle;
  • the security association establishing module is configured to: establish a security association according to the security association information in the trigger message, and apply the security association to the IP channel.
  • the triggering module is configured to initiate the establishment of the IP channel of the MTC terminal to the peer of the application according to the trigger message in the following manner:
  • the triggering message includes the information or security association required to establish a security association, and initiates establishment of an IP channel to the peer end of the application based on the obtained information.
  • the security association establishing module is further configured to: authenticate the application peer according to the authentication information of the application peer before establishing the IP channel.
  • a system for establishing a secure channel for establishing a secure channel between a machine type communication (MTC) terminal and an application peer end of an MTC terminal comprising the MTC terminal according to any one of claims 22-24 And an application peer of the MTC terminal, where the application peer includes a trigger module and a security channel module, where:
  • the triggering module is configured to: when the peer end of the application needs to be related to the peer end of the application
  • the trigger is initiated by the core network element, and the IP channel of the application peer to the MTC terminal is established;
  • the secure channel module is configured to: establish a security association according to the security association information, and apply the security association to the IP channel to form an end-to-end secure channel of the MTC terminal to the application peer end.
  • the system further includes a home location register or a home subscriber server (HLR/HSS), the HLR/HSS including a key generation module, a location module, and a transmission module, where:
  • the key generation module is configured to: perform authentication and key agreement with the MTC terminal in the process of requesting the MTC terminal to register to the PLMN network, and generate a secure channel for the MTC terminal and the application peer. Required shared key information;
  • the positioning module is configured to: locate an authentication and authorization charging (AAA) server of the MTC terminal;
  • AAA authentication and authorization charging
  • the sending module is configured to: pass the shared key information generated by the key generation module
  • the secure channel is sent to the AAA server.
  • the application peer further includes a first query module, where:
  • the first query module is configured to: query the AAA server to obtain the identifier of the MTC terminal and the shared key information;
  • the triggering module is configured to initiate a trigger through the core network element in the following manner:
  • the AAA server initiates a trigger, and the AAA server sends a trigger message containing the security association information to the mobility management entity of the MTC terminal by the HLR/HSS, so that the mobility management entity pages the MTC terminal, the security
  • the association information includes information required to establish a security association generated based on the shared key information.
  • the application peer further includes a second query module, where:
  • the second query module is configured to: query the AAA server to obtain the identifier of the MTC terminal, the shared key information, and an IP address of a gateway between the PLMN network and the peer of the application;
  • the triggering is initiated by the core network element in the following manner: the application peer generates security association information according to the shared key information, where the security association information includes information or security association required to establish a security association;
  • the security channel sends a trigger message to the MTC terminal by using the gateway, where the trigger message includes security association information.
  • a new system architecture provided by the embodiment of the present invention introduces an AAA server to participate in the establishment of a secure channel, and ensures an MTC terminal and an MTC terminal application by establishing an end-to-end secure channel between the MTC terminal and the MTC terminal application peer. The security of communication between the peers.
  • Figure 1 is a system architecture diagram of secure communication between the MTC device and the MTC server;
  • Embodiment 2 is a flow chart of a method for establishing a secure channel in Embodiment 1;
  • Embodiment 3 is a flow chart of a method for establishing a secure channel in Embodiment 2;
  • Embodiment 4 is a flow chart of a method for establishing a secure channel in Embodiment 3;
  • 5 is a flow chart of a method for establishing a secure channel according to Embodiment 4; 6 is a flow chart of a method for establishing a secure channel in Embodiment 5.
  • a secure channel is established between the MTC terminal and the application peer end of the MTC terminal in two ways.
  • security negotiation is required between the MTC terminal and the application peer, including:
  • the shared key information required to establish a secure channel with the application peer of the MTC terminal is generated;
  • the application peer of the MTC terminal When the application peer of the MTC terminal needs to communicate with an MTC terminal that belongs to the peer end of the application, the application peer initiates a trigger message, and the trigger message is used to trigger the establishment of the IP channel of the MTC terminal to the peer end of the application.
  • the MTC terminal and the application peer establish a security association based on the shared key information, and form an end-to-end secure channel of the MTC terminal to the application peer.
  • the application peer has two methods to initiate the trigger:
  • Method A sending a trigger message to the mobility management entity of the MTC terminal by the authentication and authorization charging (AAA) server, the HLR/HSS, and paging the MTC terminal by the mobility management entity, and establishing a signaling connection between the MTC terminal and the mobility management entity,
  • the MTC terminal obtains the information of the application peer end, and initiates establishing an IP channel to the peer end of the application based on the information of the peer end of the application.
  • Method B The application peer establishes a secure channel to the gateway between the PLMN network and the peer end of the application, and sends a trigger message to the gateway, which triggers the gateway to initiate establishment of the IP channel of the application peer to the MTC terminal.
  • the MTC terminal that establishes the secure channel by using the mode 1 includes a key generation module and a secure channel establishment module, where:
  • the key generation module is configured to: generate, during the process of registering the MTC terminal to the PLMN network, the shared key information required to establish a secure channel with the application peer of the MTC terminal;
  • the secure channel establishing module is configured to: establish an IP channel of the MTC terminal to the application peer according to the trigger message initiated by the application peer, and establish a security association based on the shared key information.
  • the secure channel establishing module is configured to establish an IP channel of the MTC terminal to the application peer according to the trigger message initiated by the application peer in the following manner:
  • Receiving a paging of the mobility management entity establishing a signaling connection to the mobility management entity, acquiring information of the peer end of the application, and initiating establishing an IP channel to the peer end of the application based on the information of the peer end of the application;
  • the secure channel establishing module is further configured to: authenticate the application peer based on the shared key information before establishing a security association.
  • the system for establishing a secure channel includes an application peer of the MTC terminal, and the application peer includes a trigger module and a secure channel module, where: the trigger module is set to: When the peer end needs to communicate with an MTC terminal that belongs to the peer end of the application, the trigger message is triggered, and the triggering message is used to trigger the establishment of the IP channel of the MTC terminal to the peer end of the application;
  • the secure channel module is configured to: establish a security association based on the shared key information, and form an end-to-end secure channel of the MTC terminal to the application peer.
  • the system further includes an HLR/HSS, which includes a key generation module, a positioning module, and a sending module, where: the key generation module is configured to: in the process of requesting the MTC terminal to register to the PLMN network, The MTC terminal performs authentication and key agreement, and generates shared key information required for establishing a secure channel for the application end of the MTC terminal and the MTC terminal;
  • HLR/HSS which includes a key generation module, a positioning module, and a sending module
  • the key generation module is configured to: in the process of requesting the MTC terminal to register to the PLMN network, The MTC terminal performs authentication and key agreement, and generates shared key information required for establishing a secure channel for the application end of the MTC terminal and the MTC terminal;
  • the positioning module is configured to: locate an AAA server of the MTC terminal;
  • the sending module is configured to: send the shared key information generated by the key generation module to the AAA server through a secure channel.
  • the application peer further includes a first query module, configured to: query the AAA server to obtain the identifier of the MTC terminal and the shared key information;
  • the triggering module is configured to initiate a trigger message by: sending, by the AAA server, the HLR/HSS, a trigger message to the mobility management entity of the MTC terminal, to cause the mobile management entity to page the MTC terminal.
  • the secure channel module is further configured to: authenticate the MTC terminal based on the shared key information before establishing a security association.
  • the application peer further includes a second query module, configured to: query the AAA server to obtain the identifier of the MTC terminal, the shared key information, and between the PLMN network and the peer of the application.
  • the IP address of the gateway configured to: query the AAA server to obtain the identifier of the MTC terminal, the shared key information, and between the PLMN network and the peer of the application.
  • the triggering module is configured to initiate a triggering message by: establishing a secure channel of the application peer to the gateway, sending a trigger message to the gateway, and triggering the gateway to initiate establishment of the application peer to the MTC The IP channel of the terminal.
  • Step 2 In this mode, there is no need for security negotiation between the MTC terminal and the application peer, including:
  • the shared key information required to establish a secure channel with the application peer of the MTC terminal is generated;
  • the application peer of the MTC terminal When the application peer of the MTC terminal needs to communicate with an MTC terminal that belongs to the opposite end of the MTC application, the application peer initiates a trigger through the core network element, and the trigger message received by the MTC terminal includes the sharing according to the sharing.
  • the security association information generated by the key information the MTC terminal initiates establishing an IP channel of the local MTC terminal to the peer end of the application according to the trigger message;
  • the application peer and the MTC terminal each establish a security association according to the security association information, and apply the security association to the IP channel to form an end-to-end secure channel of the MTC terminal to the application peer.
  • the application peer also has two methods for triggering: Method a: Initiating a trigger to the AAA server, and the AAA sends a trigger message including the security association information to the mobility management entity of the MTC terminal by using the HLR/HSS, where the security association information includes: establishing a security association according to the shared key information Information required;
  • the MTC terminal is paged by the mobility management entity; the MTC terminal obtains the information of the application peer and the information required to establish the security association through the signaling connection between the MTC terminal and the mobility management entity.
  • Method b Generate security association information according to the shared key information, where the security association information includes: establishing information or security association required for security association; establishing a secure channel with a gateway between the PLMN network and the application peer, through the gateway A trigger message is sent to the MTC terminal, and the trigger message includes security association information.
  • the MTC terminal that establishes the secure channel in the second mode includes a key generation module, an IP channel establishment module, and a security association establishment module, where:
  • the key generation module is configured to: generate, during the process of registering the MTC terminal to the PLMN network, the shared key information required to establish a secure channel with the application peer of the MTC terminal;
  • the IP channel establishing module is configured to: receive a trigger message, where the trigger message includes security association information generated according to the shared key information, and initiates establishing an IP channel of the MTC terminal to the peer end of the application according to the trigger message;
  • the security association establishing module is configured to: establish a security association according to the security association information in the trigger message, and apply the security association to the IP channel.
  • the triggering module is configured to initiate the establishment of the book according to the trigger message in the following manner
  • a trigger message that includes the security association information, where the security association information includes: information or a security association required to establish a security association, and initiates establishment to the application pair based on the obtained information.
  • the IP channel of the end The IP channel of the end.
  • the security association establishing module is further configured to: before establishing an IP channel, according to the The application peer authentication information is used to authenticate the application peer.
  • the system for establishing a secure channel in the foregoing manner includes, in addition to the foregoing MTC terminal, an application peer end of the MTC terminal, where the application peer end includes a trigger module and a secure channel module, where: the trigger module is set to: When the peer end needs to communicate with an MTC terminal that belongs to the peer end of the application, the core network element triggers the establishment, and the IP channel of the application peer to the MTC terminal is established.
  • the secure channel module is configured to: establish a security association according to the security association information, and apply the security association to the IP channel to form an end-to-end secure channel of the MTC terminal to the application peer end.
  • the system further includes an HLR/HSS, which includes a key generation module, a positioning module, and a sending module, where:
  • the key generation module is configured to: perform authentication and key agreement with the MTC terminal in the process of requesting the MTC terminal to register to the PLMN network, and establish a secure channel for the application end of the MTC terminal and the MTC terminal. Shared key information required;
  • the positioning module is configured to: locate an authentication and authorization charging (AAA) server of the MTC terminal;
  • AAA authentication and authorization charging
  • the sending module is configured to: send the shared key information generated by the key generation module to the AAA server through a secure channel.
  • the application peer further includes a first query module, configured to: query the AAA server to obtain the identifier of the MTC terminal and the shared key information;
  • the triggering module is configured to initiate a trigger by the core network element in the following manner: triggering a trigger to the AAA server, and sending, by the AAA server, the security association information to the mobility management entity of the MTC terminal by using the HLR/HSS Triggering a message, causing the mobility management entity to page the MTC terminal, where the security association information includes: information required to establish a security association generated according to the shared key information.
  • the application peer further includes a second query module, configured to: query the AAA server to obtain an identifier of the MTC terminal, the shared key information, and a PLMN network and The IP address of the gateway between the peers of the application;
  • the triggering module is configured to: initiate a trigger by using a core network element in the following manner: the application peer generates security association information according to the shared key information, where the security association information includes: information required to establish a security association or The security association is configured to establish a security channel to the gateway, and the trigger message is sent to the MTC terminal by using the gateway, where the trigger message includes security association information.
  • the application peer of the MTC terminal is the MME as an example.
  • Step 1 The MTC device requests registration to the PLMN network. After the HLR/HSS and the MTC device in the PLMN network perform 3GPP authentication and key agreement (AKA, Authentication and Key Agreement), the MTC device and the HLR/HSS are respectively generated as MTC device and MTC.
  • the server establishes shared key information of the secure channel;
  • the HLR/HSS and the MTC device respectively store the generated shared key information.
  • Step 2 The HLR/HSS locates the AAA server of the MTC device;
  • the method for locating the AAA server by the HLR/HSS may be to query the Domain Name System (DNS) server to obtain the address of the AAA server according to the subscription information of the MTC device in the HLR/HSS or the identification information provided by the MTC device, or according to the MTC.
  • DNS Domain Name System
  • the identifier of the MTC server provided by the device is used to query the DNS to obtain the address of the AAA server.
  • Step 3 The HLR/HSS sends the shared key information generated in step 1 and the information of the MTC device (including the identifier, preferably, the address of the MTC device) to the AAA server through the secure channel;
  • Step 4 When the MTC server needs to communicate with an MTC device belonging to the MTC server.
  • the MTC server initiates a query to the AAA server to obtain the status of the MTC device: online or offline. If the MTC device is online, the AAA server returns the MTC device status in addition to returning the MTC device status to the MTC server. Identifying (preferably, also including the address of the MTC device), the shared key information required by the MTC device to establish a secure channel with the MTC server;
  • Step 5 If the MTC device is online, the MTC server sends a trigger message to the AAA server that triggers the MTC device, where the trigger message includes information about the MTC device (including an identifier, preferably also an address), and information of the MTC server (including the identifier) And/or address);
  • Step 6 The AAA server sends a trigger message of the MTC device to the HLR/HSS through a secure channel, where the trigger message includes information of the MTC device and information of the MTC server;
  • Step 7 The HLR/HSS sends a trigger message of the MTC device to the mobility management entity registered by the MTC device, where the trigger message includes information about the MTC device and information of the MTC server.
  • the mobility management entity is, for example, a mobility management node (MME) or Serving GPRS Support Node (SGSN) or Mobile Switching Node (MSC).
  • MME mobility management node
  • SGSN Serving GPRS Support Node
  • MSC Mobile Switching Node
  • Step 8 The mobility management entity sends paging information to the MTC device according to the information of the MTC device.
  • Step 9 After receiving the paging information, the MTC device establishes a signaling connection to the mobility management entity, and the mobility management entity sends a trigger message to the MTC device by using the signaling connection, where the trigger message includes information of the MTC server.
  • Step 10 After receiving the trigger message, the MTC device initiates establishment of an IP channel to the MTC server according to the information of the MTC server in the trigger message (if there is a default bearer, the IP channel can be established based on the default);
  • Step 11 The MTC device and the MTC server perform mutual authentication and establish a security association between the MTC device and the MTC server based on the shared key information using an authentication and key exchange protocol such as an exchange key exchange protocol (IKE, Internet key extrange) (SA, security association) ), forming an end-to-end secure channel between the MTC device and the MTC server.
  • IKE exchange key exchange protocol
  • SA security association
  • the MTC server obtains the shared key information from the AAA server and establishes the shared key based on the shared key. Secure communication with the MTC device, and further interact with the AAA as an intermediate node to authenticate and authorize the MTC device, and establish a two-way secure channel between the MTC device and the MTC server side network.
  • EAP Extensible Authentication Protocol
  • Step 1 The MTC device requests to register with the PLMN network. After the 3GPP AKA is performed, the HLR/HSS and the MTC device in the PLMN network respectively generate shared key information for establishing a secure channel for the MTC device and the MTC server.
  • Step 2 The HLR/HSS locates the AAA server of the MTC device;
  • the method for locating the AAA server by the HLR/HSS may be to query the DNS server to obtain the address of the AAA server according to the subscription information of the MTC device in the HLR/HSS or the identifier information provided by the MTC device, or query according to the MTC server identifier provided by the MTC device. DNS to get the address of the AAA server.
  • Step 3 The HSS sends the shared key information generated in step 1 and the information (including the identifier, or the identifier and the address) of the MTC device to the AAA server through the secure channel;
  • Step 4 When the MTC server needs to communicate with an MTC device belonging to the MTC server, the MTC server initiates an inquiry to the AAA server to obtain the status of the MTC device: online or offline; if the MTC device is online, the AAA server The MTC server returns the identity of the MTC device, and also returns the identifier of the MTC device (preferably, the address of the MTC device), and the shared key information required by the MTC device to establish a secure channel with the MTC server; subsequently, the MTC server Sending trigger information to the AAA server, where the trigger information is used to trigger the MTC device, including: trigger request, information of the MTC server (including the identifier and/or address of the MTC server, and the certificate information of the MTC server), and the information of the MTC device ( Including the identifier of the MTC device, preferably including the address of the MTC device);
  • Step 5 The AAA server sends a trigger message to the HLR/HSS, where the trigger information includes a trigger request.
  • the trigger information includes a trigger request.
  • the triggering requirements include triggering requirements such as trigger timer, trigger priority, triggering the emergency flag, and so on.
  • the trigger timer indicates how long the trigger needs to be completed; the trigger priority indicates that the trigger triggers the position in the priority queue in the network; the trigger emergency flag indicates that the device can still be triggered if the network is congested.
  • Step 6 After receiving the trigger information, the HLR/HSS sends a trigger message to the mobility management entity (MME or SGSN or MSC) registered by the MTC device according to the trigger request in the trigger, where the trigger information includes information of the MTC device, and the MTC server Information
  • MME mobility management entity
  • MSC mobility management entity
  • Step 7 After receiving the trigger information, the mobility management entity sends paging information to the MTC device according to the information of the MTC device.
  • Step 8 After receiving the paging information, the MTC device establishes a signaling connection to the mobility management entity, and the mobility management entity sends the trigger information to the MTC device by using a signaling connection, where the trigger information includes information of the MTC server.
  • Step 9 The MTC device authenticates the MTC server according to the information (identification and/or address, and certificate information) of the MTC server in the trigger information.
  • Step 10 After the authentication is passed, the MTC device initiates establishment of an IP channel to the MTC server according to the information of the MTC server in the trigger message (if there is a default bearer, the IP channel can be established based on the default bearer);
  • Step 11 The MTC device and the MTC server use the authentication and key exchange protocol, such as IKE, to perform mutual authentication between the MTC device and the MTC server based on the shared key information, and establish an SA to form an end-to-end secure channel between the MTC device and the MTC server.
  • IKE authentication and key exchange protocol
  • the shared key information can be used as a key for secure communication between the MTC device and the MTC server in the EAP.
  • the communication between the MTC device and the MTC server is secure, and the MTC server acts as a NAS (Network Authentication Server) to establish a secure association with the AAA to negotiate a new key.
  • NAS Network Authentication Server
  • Step 1 The MTC device requests to register with the PLMN network. After the 3GPP AKA is performed, the HLR/HSS and the MTC device in the PLMN network respectively generate shared key information for establishing a secure channel for the MTC device and the MTC server.
  • Step 2 The HLR/HSS locates the AAA server of the MTC device;
  • the method for locating the AAA server by the HLR/HSS may be to query the DNS server according to the subscription information of the MTC device in the HLR/HSS or the identifier information provided by the MTC device to obtain the address of the AAA server, or query the DNS according to the MTC server identifier provided by the MTC device. To get the address of the AAA server.
  • Step 3 The HSS will share the shared key information generated in step 1 and the MTC device information.
  • Step 4 When the MTC server needs to communicate with an MTC device belonging to the MTC server, the MTC server initiates an inquiry to the AAA server to obtain the status of the MTC device: online or offline; if the MTC device is online, the AAA server The MTC server returns the identifier of the MTC device, and also returns the identifier of the MTC device (preferably, the address of the MTC device), and the shared key information required by the MTC device to establish a secure channel with the MTC server; The AAA server sends a trigger message, where the trigger message includes a trigger request of the MTC server, and the like;
  • Step 5 After receiving the trigger message, the AAA server sends a trigger message to the HLR/HSS.
  • the trigger message includes the trigger request, the information required to establish the SA generated according to the shared key information, and the information of the MTC server (including the identifier of the MTC server). And/or address, and the certificate information of the MTC server), the information of the MTC device (including the identifier of the MTC device, preferably including the address of the MTC device);
  • Step 6 After receiving the triggering information, the HLR/HSS sends a triggering message to the mobility management entity (MME or SGSN or MSC) registered by the MTC device according to the triggering request in the triggering, the triggering information includes the information of the MTC server, and the MTC device Information, the information required to establish the SA;
  • Step 7 After the mobile management entity receives the trigger information, according to the information of the MTC device to the MTC Device sends paging information;
  • Step 8 After receiving the paging information, the MTC device establishes a signaling connection to the mobility management entity, and the mobility management entity sends a trigger message to the MTC device by using a signaling connection, where the trigger information includes information required to establish the SA and the MTC. Server information;
  • Step 9 The MTC device authenticates the MTC server according to the certificate of the MTC server in the trigger information.
  • Step 10 If the authentication is passed, the MTC device initiates the establishment of an IP channel to the MTC server.
  • the channel can be built on top of the default bearer
  • Step 11 The MTC device and the MTC server each generate an SA according to the information required to establish the SA, and apply the SA to the IP channel established in step 10 to form an end-to-end secure channel between the MTC device and the MTC server.
  • Step 1 The MTC device requests to register with the PLMN network. After the 3GPP AKA is performed, the HLR/HSS and the MTC device in the PLMN network respectively generate shared key information for establishing a secure channel for the MTC device and the MTC server.
  • Step 2 The HLR/HSS network locates the AAA server of the MTC device;
  • the method for locating the AAA server by the HLR/HSS may be to query the DNS server to obtain the address of the AAA server according to the subscription information of the MTC device in the HLR/HSS or the identifier information provided by the MTC device, or query according to the MTC server identifier provided by the MTC device. DNS to get the address of the AAA server.
  • Step 3 The HLR/HSS sends the shared key information generated in step 1 and the information (identification, or identity and address) of the MTC device and the IP address of the gateway between the PLMN network and the MTC server to the AAA through the secure channel.
  • the gateway between the PLMN network and the MTC server is located on the inner boundary of the PLMN, and It is an MTC interworking gateway or a VPLMN (Virtual Public Land Mobile Network) gateway.
  • MTC interworking gateway or a VPLMN (Virtual Public Land Mobile Network) gateway.
  • VPLMN Virtual Public Land Mobile Network
  • Step 4 When the MTC server needs to communicate with an MTC device belonging to the MTC server, the MTC server initiates an inquiry to the AAA server to obtain the status of the MTC device: online or offline; if the MTC device is online, the AAA server In addition to returning the status of the MTC device, the MTC server also returns an identifier of the MTC device (preferably, an address of the MTC device), a shared key information required for the MTC device to establish a secure channel with the MTC server, and a PLMN network and The IP address of the gateway between the MTC servers;
  • Step 5 The MTC server generates security association information based on information such as the shared key, including: establishing required information or security association of the security association;
  • the MTC server uses an algorithm such as IKE or EAP to establish a security association to generate the required information or security association for establishing a security association.
  • Step 6 The MTC server establishes a secure channel (IP connection) to the gateway between the PLMN network and the MTC server, and sends a trigger message to the gateway between the PLMN network and the MTC server through the secure channel, and the trigger message includes Information or security association required to establish a security association, information (identification, or identity and address) of the MTC device, information (certificate, and identity and/or address) of the MTC server;
  • IP connection IP connection
  • Step 7 The gateway between the PLMN network and the MTC server sends a trigger message to the MTC device, where the trigger message includes the information or security association required for the established security association, and the information of the MTC server.
  • Step 8 The MTC device authenticates the MTC server. If the authentication succeeds, the MTC device initiates the IP channel of the MTC device to the MTC server based on the trigger message. After the IP channel is established, the MTC device and the MTC server respectively associate the information required for security association. Or a security association is applied to the IP channel to form an end-to-end secure channel between the MTC device and the MTC server.
  • the MTC server obtains the IP address of the MTC device, the IP channel is established with the MTC device through the IP address. If the MTC server does not obtain the above MTC device IP address, then establish a new IP channel with the MTC device.
  • Step 1 The MTC device requests to register with the PLMN network. After the 3GPP AKA is performed, the HLR/HSS and the MTC device in the PLMN network respectively generate shared key information for establishing a secure channel for the MTC device and the MTC server.
  • Step 2 The HLR/HSS locates the AAA server of the MTC device;
  • the method for locating the AAA server in the PLMN network may be to query the DNS server according to the subscription information of the MTC device in the HLR/HSS or the identifier information provided by the MTC device to obtain the address of the AAA server, or query according to the MTC server network identifier provided by the MTC device. DNS to get the address of the AAA server.
  • Step 3 The HSS sends the shared key information generated in step 1, the MTC device information (including the identifier, or the identifier and the IP address), and the IP address of the gateway between the PLMN network and the MTC server to the AAA server through the secure channel. ;
  • Step 4 When the MTC server needs to communicate with an MTC device belonging to the MTC server, the MTC server initiates an inquiry to the AAA server to obtain the status of the MTC device, and the AAA server returns the status of the MTC device to the MTC server, and the identifier of the MTC device.
  • Step 5 The MTC server is established to a secure channel of the gateway between the PLMN network and the MTC server, and sending trigger information (trigger information) to the gateway through the secure channel, the trigger information includes information of the MTC device, and information of the MTC server;
  • Step 6 The gateway between the PLMN network and the MTC server initiates an IP connection to establish an MTC device to the MTC server.
  • the gateway instructs the MTC device to establish an IP connection with the MTC server through the signaling plane channel.
  • the gateway between the PLMN network and the MTC server can initiate an IP connection based on the IP address of the MTC device. If the MTC server does not obtain the IP address of the MTC device, the gateway between the PLMN network and the MTC server can trigger the MTC device to establish an IP connection to the MTC server based on the ID of the MTC device.
  • Step 7 The MTC device and the MTC server use the IKE method to establish a security association (SA) based on the shared key information to form an end-to-end secure channel between the MTC device and the MTC server.
  • SA security association
  • the MTC device and the MTC server use the ESP method to establish a security association SA on the MTC device, the MTC server, and the AAA server based on the shared key, and establish an end-to-end secure channel based on the SA.
  • the security association may also be established based on the security information in the AAA server, and the MTC device includes the capability of performing security association negotiation (such as IKE, ESP) with the AAA server, or includes a non-negotiation mechanism such as Push. Security association establishment mechanism.
  • security association negotiation such as IKE, ESP
  • non-negotiation mechanism such as Push.
  • the technology for establishing an end-to-end secure channel between the MTC device and the MTC server includes the Internet Protocol Security (IPsec) technology at the network layer, and the secure channel established by the IPsec technology protects the MTC device and the MTC server at the network layer. Inter-communication, so that all communication of MTC is effectively protected.
  • IPsec Internet Protocol Security
  • the technology of establishing an end-to-end secure channel between the MTC device and the MTC server can also use transport layer technologies such as TLS (Transport Layer Security).
  • the terminal role represented by the above MTC server may also be an MTC application (MTC application), an MTC server, and an MTC application collectively referred to as an application peer of the MTC terminal.
  • MTC application MTC application
  • MTC server MTC application
  • MTC application MTC application
  • the above technical solution introduces the AAA server to participate in the establishment of the secure channel.
  • an end-to-end secure channel is established between the MTC terminal and the MTC terminal application peer end to ensure the security of communication between the MTC terminal and the MTC terminal application peer. Therefore, the present invention has strong industrial applicability.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Mobile Radio Communication Systems (AREA)

Abstract

一种建立安全通道的方法及相应终端和系统，该方法用于在MTC终端与MTC终端的应用对端之间建立安全通道，包括：MTC终端注册到PLMN网络的过程中，生成与所述MTC终端的应用对端建立安全通道所需的共享密钥信息；当所述应用对端需要与所属于该应用对端的所述MTC终端通信时，所述应用对端发起触发消息，通过所述触发消息触发建立所述MTC终端到所述应用对端的IP通道，所述MTC终端和所述应用对端基于所述共享密钥信息建立安全关联，形成所述MTC终端到所述应用对端的端到端的安全通道。采用上述方法保证了MTC终端和MTC终端应用对端之间通信的安全。

Description

一种建立安全通道的方法及相应终端和系统
技术领域
本发明涉及机器类通信领域。 特别地， 涉及到一种建立安全通道的方法 及相应终端和系统。
背景技术
机器类通信 ( MTC, Machine Type Communication)是机器到机器（ M2M, machine to machine )业务使用 3GPP移动通信网络进行通信的新的通信类型， 有别于釆用移动通信网络进行通信的传统的人与人通信。 机器类通信数据来 源于各行各业， 这些数据具有一定的商业秘密而需要保护。 在移动通信网络 的接入网内， MTC终端（ MTC device )通过 (U)SIM卡和归属位置寄存器（ HLR, Home Location Register )或归属用户月良务器 ( HSS , Home Subscriber Server ) (简称 HLR/HSS )进行鉴权、 授权和安全参数的协商； 在移动通信网络的核 心网内， 各网络节点也可以通过网络域的安全措施来保证数据安全。 MTC device有对应的应用服务器称为 MTC服务器（MTC server ) 。 MTC device 和 MTC server之间的通信应该具有安全性。
但 MTC device和 MTC server之间如何实现安全传输是目前亟待解决的 问题。
发明内容
本发明要解决的技术问题是提供一种建立安全通道的方法， 以保证 MTC 终端与 MTC终端的应用对端通信时的安全性。
为了解决上述技术问题， 釆用如下技术方案：
一种建立安全通道的方法， 用于在机器类通信（MTC )终端与所述 MTC 终端的应用对端之间建立安全通道， 该方法包括：
所述 MTC终端注册到公共陆地移动网络（ PLMN )的过程中， 生成与所 述 MTC终端的应用对端建立安全通道所需的共享密钥信息； 当所述应用对端需要与所属于该应用对端的所述 MTC终端通信时，所述 应用对端发起触发消息 ,通过所述触发消息触发建立所述 MTC终端到所述应 用对端的 IP通道， 所述 MTC终端和所述应用对端基于所述共享密钥信息建 立安全关联， 形成所述 MTC终端到所述应用对端的端到端的安全通道。
其中： MTC终端注册到 PLMN网络的过程中， 生成与所述 MTC终端的 应用对端建立安全通道所需的共享密钥信息的步骤包括：
所述 MTC终端请求注册到 PLMN网络， PLMN网络中的归属位置寄存 器或归属用户服务器（HLR/HSS )与所述 MTC终端进行认证和密钥协商之 后， 所述 HLR/HSS和所述 MTC终端分别生成为所述 MTC终端和所述应用 对端建立安全通道所需的共享密钥信息。
该方法还包括：
所述 HLR/HSS生成为所述 MTC终端和所述应用对端建立安全通道所需 的共享密钥信息后， 所述 HLR/HSS 定位所述 MTC 终端的认证授权计费 ( AAA )服务器， 并将生成的所述共享密钥信息通过安全通道发送给所述 AAA服务器。
其中： 所述应用对端发起触发消息， 通过所述触发消息触发建立所述 MTC终端到所述应用对端的 IP通道的步骤包括：
所述应用对端查询所述 AAA服务器获得所述 MTC终端的标识和所述共 享密钥信息， 通过所述 AAA服务器、 所述 HLR/HSS向所述 MTC终端的移 动管理实体发送触发消息； 所述移动管理实体接收到所述触发消息后， 寻呼 所述 MTC终端； 所述 MTC终端根据寻呼建立到所述移动管理实体的信令连 接， 获取所述应用对端的信息， 基于所述应用对端的信息， 发起建立到所述 应用对端的 IP通道。
其中：所述 MTC终端和所述应用对端基于所述共享密钥信息建立安全关 联， 形成所述 MTC终端到所述应用对端的端到端的安全通道的步骤包括： 所述 MTC终端和所述应用对端基于所述共享密钥信息进行相互认证，建 立安全关联， 完成所述 MTC终端到所述应用对端的端到端的安全通道的建 立。 其中： 所述应用对端发起触发消息， 通过所述触发消息触发建立所述
MTC终端到所述应用对端的 IP通道的步骤包括：
所述应用对端查询所述 AAA服务器获得所述 MTC终端的标识、 所述共 所述应用对端建立到所述网关的安全通道， 向所述网关发送触发消息， 触发所述网关发起建立所述应用对端到所述 MTC终端的 IP通道。
其中：所述 MTC终端和所述应用对端基于所述共享密钥信息建立安全关 联， 形成所述 MTC终端到所述应用对端的端到端的安全通道的步骤包括： 所述 MTC终端和所述应用对端基于所述共享密钥信息建立安全关联，完 成所述 MTC终端到所述应用对端的端到端的安全通道的建立。
一种建立安全通道的方法， 用于在机器类通信（MTC )终端与所述 MTC 终端的应用对端之间建立安全通道， 该方法包括：
所述 MTC终端注册到公共陆地移动网络（ PLMN )的过程中， 生成与所 述 MTC终端的应用对端建立安全通道所需的共享密钥信息；
当所述应用对端需要与所属于该 MTC应用对端的所述 MTC 终端通信 时，所述应用对端通过核心网网元发起触发 ,所述 MTC终端接收到的触发消 息中包括根据共享密钥信息生成的安全关联信息，所述 MTC终端根据所述触 发消息发起建立所述 MTC终端到所述应用对端的 IP通道；
所述应用对端和所述 MTC终端各自根据所述安全关联信息建立安全关 联， 将所述安全关联应用到所述 IP通道， 形成所述 MTC终端到所述应用对 端的端到端的安全通道。
其中： MTC终端注册到 PLMN网络的过程中， 生成与所述 MTC终端的 应用对端建立安全通道所需的共享密钥信息的步骤包括：
所述 MTC终端请求注册到 PLMN网络， PLMN网络中的归属位置寄存 器或归属用户服务器（HLR/HSS )与所述 MTC终端进行认证和密钥协商之 后， 所述 HLR/HSS和 MTC终端分别生成为所述 MTC终端和所述应用对端 建立安全通道所需的共享密钥信息。
该方法还包括： 所述 HLR/HSS生成为 MTC终端和 MTC终端的应用对端建立安全通道 所需的共享密钥信息后， 所述 HLR/HSS定位所述 MTC终端的认证授权计费 ( AAA )服务器， 并将生成的所述共享密钥信息通过安全通道发送给所述 AAA服务器。
其中： 所述应用对端通过核心网网元发起触发的步骤包括：
所述应用对端查询所述 AAA服务器获得所述 MTC终端的标识和所述共 享密钥信息， 向所述 AAA服务器发起触发， 所述 AAA服务器通过所述 HLR/HSS向所述 MTC终端的移动管理实体发送包含安全关联信息的触发消 息， 所述安全关联信息包括根据所述共享密钥信息生成的建立安全关联所需 的信息； 所述移动管理实体接收到所述触发消息后， 寻呼所述 MTC终端； 所 述 MTC终端根据寻呼建立到所述移动管理实体的信令连接，获取所述应用对 端的信息以及建立安全关联所需的信息。
其中： 所述应用对端通过核心网网元发起触发的步骤包括：
所述应用对端查询所述 AAA服务器获得所述 MTC终端的标识、 所述共 享密钥信息以及 PLMN网络与该应用对端之间的网关的 IP地址；所述应用对 端根据所述共享密钥信息生成安全关联信息， 所述安全关联信息包括建立安 全关联所需信息或者安全关联； 所述应用对端建立到所述网关的安全通道， 通过所述网关向所述 MTC终端发起触发消息，所述触发消息中包括安全关联 信息。
其中： 所述触发消息中还包括所述应用对端的认证信息；
该方法还包括： 所述终端在发起建立本 MTC终端到所述应用对端的 IP 通道之前， 根据所述认证信息对所述应用对端进行认证。
一种建立安全通道的机器类通信（MTC )终端， 用于在所述 MTC终端 与所述 MTC终端的应用对端之间建立安全通道， 所述 MTC终端包括密钥生 成模块和安全通道建立模块， 其中：
所述密钥生成模块设置成： 在所述 MTC终端注册到公共陆地移动网络 ( PLMN ) 的过程中， 生成与所述应用对端建立安全通道所需的共享密钥信 息； 所述安全通道建立模块设置成： 根据所述应用对端发起的触发消息建立 所述 MTC终端到所述应用对端的 IP通道， 以及基于所述共享密钥信息建立 安全关联。
其中： 所述安全通道建立模块设置成釆用以下方式根据所述应用对端发 起的触发消息建立所述 MTC终端到所述应用对端的 IP通道：
接受移动管理实体的寻呼， 建立到所述移动管理实体的信令连接， 获取 所述应用对端的信息， 基于所述应用对端的信息， 发起建立到所述应用对端 的 IP通道； 或者 建立到所述应用对端的 IP通道。
其中： 所述安全通道建立模块还设置成： 在建立安全关联之前基于所述 共享密钥信息对所述应用对端进行认证。
一种建立安全通道的系统， 用于在机器类通信（MTC )终端与所述 MTC 终端的应用对端之间建立安全通道， 该系统包括如权利要求 14-16 中任一项 所述的 MTC终端， 以及所述 MTC终端的应用对端， 所述应用对端包括触发 模块和安全通道模块， 其中：
所述触发模块设置成： 当所述应用对端需要与所属于本应用对端的所述 MTC终端通信时， 发起触发消息， 通过所述触发消息触发建立所述 MTC终 端到所述应用对端的 IP通道；
所述安全通道模块设置成： 基于所述共享密钥信息建立安全关联， 形成 所述 MTC终端到所述应用对端的端到端的安全通道。
该系统还包括归属位置寄存器或归属用户服务器 （HLR/HSS ) , 所述 HLR/HSS包括密钥生成模块、 定位模块和发送模块， 其中：
所述密钥生成模块设置成： 在所述 MTC终端请求注册到 PLMN网络的 过程中， 与所述 MTC终端进行认证和密钥协商， 生成为所述 MTC终端和所 述应用对端建立安全通道所需的共享密钥信息；
所述定位模块设置成： 定位所述 MTC终端的认证授权计费 （AAA )服 务器； 所述发送模块设置成： 将所述密钥生成模块生成的所述共享密钥信息通 过安全通道发送给所述 AAA服务器。
其中： 所述应用对端还包括第一查询模块， 其中：
所述第一查询模块设置成： 查询所述 AAA服务器获得所述 MTC终端的 标识和所述共享密钥信息；
所述触发模块设置成釆用以下方式发起触发消息： 通过 AAA服务器、所 述 HLR/HSS向所述 MTC终端的移动管理实体发送触发消息， 使所述移动管 理实体寻呼所述 MTC终端。 其中： 所述安全通道模块还设置成： 在建立安全关联之前， 基于所述共 享密钥信息对所述 MTC终端进行认证。
其中， 所述应用对端还包括第二查询模块， 其中：
所述第二查询模块设置成： 查询所述 AAA服务器获得所述 MTC终端的 标识、 所述共享密钥信息以及 PLMN 网络与所述应用对端之间的网关的 IP 地址；
所述触发模块设置成釆用以下方式发起触发消息： 建立所述应用对端到 所述网关的安全通道， 向所述网关发送触发消息， 触发所述网关发起建立所 述应用对端到所述 MTC终端的 IP通道。
一种建立安全通道的机器类通信（MTC )终端， 用于在所述 MTC终端 与 MTC终端的应用对端之间建立安全通道， 所述 MTC终端包括密钥生成模 块、 IP通道建立模块和安全关联建立模块， 其中：
所述密钥生成模块设置成： 在所述 MTC终端注册到公共陆地移动网络 ( PLMN ) 的过程中， 生成与所述应用对端建立安全通道所需的共享密钥信 息；
所述 IP通道建立模块设置成： 接收触发消息， 所述触发消息中包括根据 所述共享密钥信息生成的安全关联信息， 根据所述触发消息发起建立所述 MTC终端到所述应用对端的 IP通道；
所述安全关联建立模块设置成： 根据所述触发消息中的安全关联信息建 立安全关联， 将所述安全关联应用到所述 IP通道。 其中： 所述触发模块设置成釆用以下方式根据所述触发消息发起建立所 述 MTC终端到所述应用对端的 IP通道：
接受移动管理实体的寻呼， 建立到所述移动管理实体的信令连接， 获取 所述应用对端的信息以及建立安全关联所需的信息， 基于获取的信息发起建 立到所述应用对端的 IP通道； 或者
触发消息， 所述安全关联信息包括建立安全关联所需信息或者安全关联， 基 于获取的信息发起建立到所述应用对端的 IP通道。
其中： 所述安全关联建立模块还设置成： 在建立 IP通道之前， 根据所述 应用对端的认证信息对所述应用对端进行认证。
一种建立安全通道的系统， 用于在机器类通信（MTC )终端与 MTC终 端的应用对端之间建立安全通道， 所述系统包括如权利要求 22-24 中任一项 所述的 MTC终端， 以及所述 MTC终端的应用对端， 所述应用对端包括触发 模块和安全通道模块， 其中：
所述触发模块设置成： 当所述应用对端需要与所属于本应用对端的所述
MTC终端通信时，通过核心网网元发起触发，建立所述应用对端到所述 MTC 终端的 IP通道；
所述安全通道模块设置成： 根据安全关联信息建立安全关联， 将所述安 全关联应用到所述 IP通道， 形成所述 MTC终端到所述应用对端的端到端的 安全通道。
该系统还包括归属位置寄存器或归属用户服务器 （HLR/HSS ) , 所述 HLR/HSS包括密钥生成模块、 定位模块和发送模块， 其中：
所述密钥生成模块设置成： 在所述 MTC终端请求注册到 PLMN网络的 过程中， 与所述 MTC终端进行认证和密钥协商， 生成为所述 MTC终端和所 述应用对端建立安全通道所需的共享密钥信息；
所述定位模块设置成： 定位所述 MTC终端的认证授权计费 （AAA )服 务器；
所述发送模块设置成： 将所述密钥生成模块生成的所述共享密钥信息通 过安全通道发送给所述 AAA服务器。
其中： 所述应用对端还包括第一查询模块， 其中：
所述第一查询模块设置成： 查询所述 AAA服务器获得所述 MTC终端的 标识和所述共享密钥信息；
所述触发模块设置成釆用以下方式通过核心网网元发起触发： 向所述
AAA服务器发起触发， 由所述 AAA服务器通过所述 HLR/HSS向所述 MTC 终端的移动管理实体发送包含安全关联信息的触发消息， 使所述移动管理实 体寻呼所述 MTC终端，所述安全关联信息包括根据共享密钥信息生成的建立 安全关联所需的信息。
其中： 所述应用对端还包括第二查询模块， 其中：
所述第二查询模块设置成： 查询所述 AAA服务器获得所述 MTC终端的 标识、所述共享密钥信息以及 PLMN网络与该应用对端之间的网关的 IP地址； 所述触发模块设置成釆用以下方式通过核心网网元发起触发： 所述应用 对端根据所述共享密钥信息生成安全关联信息， 所述安全关联信息包括建立 安全关联所需信息或者安全关联； 建立到所述网关的安全通道， 通过该网关 向所述 MTC终端发起触发消息， 所述触发消息中包括安全关联信息。
本发明实施例提供的一种新的系统架构，引入 AAA服务器参与安全通道 的建立， 同时通过在 MTC终端和 MTC终端应用对端之间建立端到端安全通 道， 保证了 MTC终端和 MTC终端应用对端之间通信的安全。 附图概述
图 1为 MTC device和 MTC server安全通信的系统架构图；
图 2为实施例 1的建立安全通道的方法流程图；
图 3为实施例 2的建立安全通道的方法流程图；
图 4为实施例 3的建立安全通道的方法流程图；
图 5为实施例 4的建立安全通道的方法流程图； 图 6为实施例 5的建立安全通道的方法流程图。
本发明的较佳实施方式
为使本发明的目的、 技术方案和优点更加清楚明白， 下文中将结合附图 对本发明的实施例进行详细说明。 需要说明的是， 在不冲突的情况下， 本申 请中的实施例及实施例中的特征可以相互任意组合。
本发明实施例釆用两种方式在 MTC终端与 MTC终端的应用对端之间建 立安全通道。
參方式一：
本方式中， MTC终端与应用对端间需要进行安全协商， 包括：
MTC 终端注册到公共陆地移动网络 （ PLMN , Public Land Mobile Network ) 的过程中， 生成与 MTC终端的应用对端建立安全通道所需的共享 密钥信息；
当所述 MTC终端的应用对端需要与所属于该应用对端的某 MTC终端通 信时，所述应用对端发起触发消息，通过所述触发消息触发建立本 MTC终端 到所述应用对端的 IP通道， 所述 MTC终端和应用对端基于所述共享密钥信 息建立安全关联， 形成所述 MTC终端到所述应用对端的端到端的安全通道。
在上述步骤中应用对端有两种发起触发的方法：
方法 A: 通过认证授权计费 （AAA )服务器、 HLR/HSS向 MTC终端的 移动管理实体发送触发消息， 由移动管理实体寻呼 MTC终端， 通过 MTC终 端与移动管理实体间建立的信令连接， 使该 MTC终端获取应用对端的信息， 基于该应用对端的信息发起建立到所述应用对端的 IP通道。
方法 B： 应用对端建立到 PLMN网络与该应用对端之间的网关的安全通 道， 向该网关发送触发消息， 触发该网关发起建立所述应用对端到所述 MTC 终端的 IP通道。
釆用方式一建立安全通道的 MTC终端包括密钥生成模块和安全通道建 立模块， 其中： 所述密钥生成模块设置成： 在 MTC终端注册到 PLMN网络的过程中 , 生成与 MTC终端的应用对端建立安全通道所需的共享密钥信息；
所述安全通道建立模块设置成： 根据所述应用对端发起的触发消息建立 本 MTC终端到所述应用对端的 IP通道， 以及基于所述共享密钥信息建立安 全关联。
优选地， 所述安全通道建立模块设置成釆用以下方式根据所述应用对端 发起的触发消息建立本 MTC终端到所述应用对端的 IP通道：
接受移动管理实体的寻呼， 建立到所述移动管理实体的信令连接， 获取 所述应用对端的信息， 基于所述应用对端的信息， 发起建立到所述应用对端 的 IP通道； 或者
根据 PLMN网络与该应用对端之间的网关发起的建立 IP通道的消息，建 立到所述应用对端的 IP通道。
优选地， 所述安全通道建立模块还设置成： 在建立安全关联之前基于所 述共享密钥信息对所述应用对端进行认证。
釆用方式一实现安全通道建立的系统，除包含上述 MTC终端外，还包含 MTC终端的应用对端， 该应用对端包括触发模块和安全通道模块， 其中： 所述触发模块设置成： 当本应用对端需要与所属于本应用对端的某 MTC 终端通信时，发起触发消息，通过所述触发消息触发建立本 MTC终端到所述 应用对端的 IP通道；
所述安全通道模块设置成： 基于共享密钥信息建立安全关联， 形成所述 MTC终端到所述应用对端的端到端的安全通道。
优选地， 该系统还包括 HLR/HSS, 其包括密钥生成模块、 定位模块和发 送模块， 其中： 所述密钥生成模块设置成： 在所述 MTC终端请求注册到 PLMN网络的 过程中， 与所述 MTC终端进行认证和密钥协商， 生成为 MTC终端和 MTC 终端的应用对端建立安全通道所需的共享密钥信息；
所述定位模块设置成： 定位所述 MTC终端的 AAA服务器； 所述发送模块设置成： 将所述密钥生成模块生成的所述共享密钥信息通 过安全通道发送给所述 AAA服务器。
优选地， 该应用对端还包括第一查询模块， 其设置成： 查询所述 AAA服 务器获得所述 MTC终端的标识和所述共享密钥信息；
优选地，所述触发模块设置成釆用以下方式发起触发消息： 通过 AAA服 务器、 HLR/HSS向所述 MTC终端的移动管理实体发送触发消息， 使所述移 动管理实体寻呼所述 MTC终端。
优选地， 所述安全通道模块还设置成： 在建立安全关联之前， 基于所述 共享密钥信息对所述 MTC终端进行认证。
优选地， 所述应用对端还包括第二查询模块， 其设置成： 查询所述 AAA 服务器获得所述 MTC终端的标识、 所述共享密钥信息， 以及 PLMN网络与 该应用对端之间的网关的 IP地址；
所述触发模块设置成釆用以下方式发起触发消息： 建立本应用对端到所 述网关的安全通道， 向所述网关发送触发消息， 触发所述网关发起建立所述 应用对端到所述 MTC终端的 IP通道。
參方式二： 本方式中， MTC终端与应用对端间无需进行安全协商， 包括：
MTC终端注册到 PLMN网络的过程中， 生成与 MTC终端的应用对端建 立安全通道所需的共享密钥信息；
当所述 MTC终端的应用对端需要与所属于该 MTC应用对端的某 MTC 终端通信时，所述应用对端通过核心网网元发起触发，所述 MTC终端接收到 的触发消息中包括根据共享密钥信息生成的安全关联信息，所述 MTC终端根 据所述触发消息发起建立本 MTC终端到所述应用对端的 IP通道；
所述应用对端和所述 MTC终端各自根据所述安全关联信息建立安全关 联， 将所述安全关联应用到所述 IP通道， 形成所述 MTC终端到所述应用对 端的端到端的安全通道。
方式二中， 应用对端也有两种发起触发的方法： 方法 a: 向所述 AAA服务器发起触发， 由 AAA通过 HLR/HSS向 MTC 终端的移动管理实体发送包含安全关联信息的触发消息， 该安全关联信息包 括： 根据共享密钥信息生成的建立安全关联所需的信息； 由该移动管理实体 寻呼 MTC终端； 通过 MTC终端与移动管理实体的信令连接， 使 MTC终端 获取应用对端的信息以及建立安全关联所需的信息。
方法 b: 根据所述共享密钥信息生成安全关联信息， 该安全关联信息包 括： 建立安全关联所需信息或者安全关联； 与 PLMN网络与该应用对端之间 的网关建立安全通道，通过该网关向 MTC终端发起触发消息，触发消息中包 括安全关联信息。
釆用方式二建立安全通道的 MTC终端包括密钥生成模块、 IP通道建立 模块和安全关联建立模块， 其中：
所述密钥生成模块设置成： 在 MTC终端注册到 PLMN网络的过程中， 生成与 MTC终端的应用对端建立安全通道所需的共享密钥信息；
所述 IP通道建立模块设置成： 接收触发消息， 所述触发消息中包括根据 共享密钥信息生成的安全关联信息，根据所述触发消息发起建立本 MTC终端 到所述应用对端的 IP通道；
所述安全关联建立模块设置成： 根据所述触发消息中的安全关联信息建 立安全关联， 将所述安全关联应用到所述 IP通道。
优选地， 该触发模块设置成釆用以下方式根据所述触发消息发起建立本
MTC终端到所述应用对端的 IP通道：
接受移动管理实体的寻呼， 建立到所述移动管理实体的信令连接， 获取 所述应用对端的信息以及建立安全关联所需的信息， 基于获取的信息发起建 立到所述应用对端的 IP通道； 或者
接收 PLMN网络与该应用对端之间的网关发送的包括安全关联信息的触 发消息， 所述安全关联信息包括： 建立安全关联所需信息或者安全关联， 基 于获取的信息发起建立到所述应用对端的 IP通道。
优选地， 该安全关联建立模块还设置成： 在建立 IP通道之前， 先根据所 述应用对端的认证信息对所述应用对端进行认证。
釆用上述方式实现安全通道建立的系统，除包括上述 MTC终端外，还包 括 MTC终端的应用对端， 该应用对端包括触发模块和安全通道模块， 其中： 所述触发模块设置成： 当本应用对端需要与所属于本应用对端的某 MTC 终端通信时 ,通过核心网网元发起触发 ,建立本应用对端到所述 MTC终端的 IP通道；
所述安全通道模块设置成： 根据安全关联信息建立安全关联， 将所述安 全关联应用到所述 IP通道， 形成所述 MTC终端到所述应用对端的端到端的 安全通道。
优选地， 所述系统还包括 HLR/HSS, 其包括密钥生成模块、 定位模块和 发送模块， 其中：
所述密钥生成模块设置成： 在所述 MTC终端请求注册到 PLMN网络的 过程中， 与所述 MTC终端进行认证和密钥协商， 生成为 MTC终端和 MTC 终端的应用对端建立安全通道所需的共享密钥信息；
所述定位模块设置成： 定位所述 MTC终端的认证授权计费 （AAA )服 务器；
所述发送模块设置成： 将所述密钥生成模块生成的所述共享密钥信息通 过安全通道发送给所述 AAA服务器。
优选地， 所述应用对端还包括第一查询模块， 其设置成： 查询所述 AAA 服务器获得所述 MTC终端的标识和所述共享密钥信息；
所述触发模块设置成釆用以下方式通过核心网网元发起触发： 向所述 AAA服务器发起触发， 由所述 AAA服务器通过 HLR/HSS向所述 MTC终端 的移动管理实体发送包含安全关联信息的触发消息， 使所述移动管理实体寻 呼所述 MTC终端，所述安全关联信息包括：根据共享密钥信息生成的建立安 全关联所需的信息。
优选地， 所述应用对端还包括第二查询模块， 其设置成： 查询所述 AAA 服务器获得所述 MTC终端的标识、 所述共享密钥信息， 以及 PLMN网络与 该应用对端之间的网关的 IP地址；
所述触发模块设置成： 釆用以下方式通过核心网网元发起触发： 所述应 用对端根据所述共享密钥信息生成安全关联信息， 所述安全关联信息包括： 建立安全关联所需信息或者安全关联； 建立到所述网关的安全通道， 通过该 网关向所述 MTC终端发起触发消息， 所述触发消息中包括安全关联信息。
以下实施例中以 MTC终端的应用对端为 MME为例进行说明。
实施例 1
如图 2所示， 包括以下步骤：
(注册部分）
步骤 1 : MTC device请求注册到 PLMN网络， PLMN网络中的 HLR/HSS 和 MTC device进行 3GPP认证和密钥协商 （AKA, Authentication and Key Agreement )之后 MTC device和 HLR/HSS各自生成为 MTC device和 MTC server建立安全通道的共享密钥信息；
生成共享密钥后， HLR/HSS和 MTC device分别保存生成的共享密钥信 息。
生成共享密钥信息可以釆用现有的技术实现， 本文不再赘述。
步骤 2: HLR/HSS定位该 MTC device的 AAA服务器；
HLR/HSS定位 AAA服务器的方法可以是根据 HLR/HSS中该 MTC device 的签约信息或者 MTC device提供的标识信息来查询域名系统（ DNS, Domain Name System )服务器来获取 AAA服务器的地址，或者根据 MTC device提供 的 MTC server的标识（如果有的话）来查询 DNS来获取 AAA服务器的地址。
步骤 3: HLR/HSS将步骤 1中生成的共享密钥信息， 以及 MTC device的 信息（包括标识， 优选地， 还包括 MTC device的地址）通过安全通道发送给 AAA服务器；
(触发部分）
步骤 4: 当 MTC server需要与所属于该 MTC server的某 MTC device通 信时， MTC server向 AAA服务器发起查询， 获取该 MTC device的状态： 如 在线或离线； 如果 MTC device在线， 则 AAA服务器除了向 MTC server返回 所述 MTC device的状态之外， 还返回 MTC device的标识（优选地， 还包括 MTC device的地址） ， MTC device与 MTC server建立安全通道所需的共享 密钥信息；
步骤 5: 如果上述 MTC device在线， MTC server向 AAA服务器发送触 发该 MTC device的触发消息， 该触发消息包括 MTC device的信息 （包括标 识，优选还可以包括地址 ) , 以及 MTC server的信息（包括标识和 /或地址 )； 步骤 6: AAA服务器通过安全通道向 HLR/HSS发送该 MTC device的触 发消息， 该触发消息包括 MTC device的信息和 MTC server的信息；
步骤 7: HLR/HSS向该 MTC device注册的移动管理实体发送该 MTC device的触发消息，该触发消息包括 MTC device的信息和 MTC server的信息； 上述移动管理实体例如为移动管理节点（MME )或服务 GPRS支持节点 ( SGSN )或移动交换节点 （MSC ) 。
步骤 8: 移动管理实体根据 MTC device的信息向 MTC device发送寻呼 信息；
步骤 9: MTC device收到寻呼信息后， 建立到移动管理实体的信令连接， 移动管理实体通过该信令连接向 MTC device发送触发消息，触发消息包括该 MTC server的信息；
步骤 10: MTC device收到触发消息后， 根据触发消息中 MTC server的 信息， 发起建立到 MTC server的 IP通道（如果有默认承载， 则可以基于默 认 载建立该 IP通道） ；
步骤 11 : MTC device和 MTC server基于共享密钥信息使用认证和密钥 交换协议如密钥交换协议 ( IKE, Internet key extrange )进行 MTC device和 MTC server 的相互认证并建立安全关联（ SA, security association ) , 形成 MTC device和 MTC server之间的端到端安全通道。
若釆用可扩展认证协议 (EAP, Extensible Authentication Protocol)而非 IKE, 则 MTC server从 AAA服务器获取共享密钥信息后， 基于该共享密钥建立起 与 MTC device 的安全通信， 并进一步作为中间节点与 AAA交互对 MTC device进行认证、授权，建立起 MTC device与 MTC server侧网络的双向安全 通道。
实施例 2:
如图 3所示， 包括以下步骤：
(注册部分）
步骤 1 : MTC device请求注册到 PLMN网络， PLMN网络中的 HLR/HSS 和 MTC device进行 3GPP AKA之后各自生成为 MTC device和 MTC server 建立安全通道的共享密钥信息；
步骤 2: HLR/HSS定位该 MTC device的 AAA服务器；
HLR/HSS定位 AAA服务器的方法可以是根据 HLR/HSS中该 MTC device 的签约信息或者 MTC device提供的标识信息来查询 DNS服务器来获取 AAA 服务器的地址， 或者根据 MTC device提供的 MTC server标识来查询 DNS来 获取 AAA服务器的地址。
步骤 3: HSS将步骤 1中生成的共享密钥信息， 以及 MTC device的信息 (包括标识， 或标识和地址）通过安全通道发送给 AAA服务器；
(触发部分）
步骤 4: 当 MTC server需要与所属于该 MTC server的某 MTC device通 信时， MTC server向 AAA服务器发起查询， 获取该 MTC device的状态： 如 在线或离线； 如果 MTC device在线， 则 AAA服务器除了向 MTC server返回 所述 MTC device的状态之外， 还返回 MTC device的标识（优选地， 还包括 MTC device的地址） ， MTC device与 MTC server建立安全通道所需的共享 密钥信息； 随后， MTC server向 AAA服务器发送触发信息， 该触发信息用 于触发 MTC device, 包括： 触发要求， MTC server的信息（包括 MTC server 的标识和 /或地址， 以及 MTC server的证书信息 ) ,和 MTC device的信息（包 括 MTC device的标识， 优选还包括 MTC device的地址） ；
步骤 5: AAA服务器向 HLR/HSS发送触发信息，触发信息包括触发要求， MTC server的信息， 和 MTC device的信息；
触发要求包括了对触发的要求， 比如触发定时器、 触发优先级、 触发紧 急标识等。 触发定时器标明此次触发需要在多长时间内完成； 触发优先级标 明该触发在网络中触发优先队列中的位置； 触发紧急标识标明在网络拥塞的 情况下仍然能够触发该 device。
步骤 6: HLR/HSS 收到触发信息后， 根据触发中的触发要求向该 MTC device注册的移动管理实体 (MME或 SGSN或 MSC)发送触发信息，该触发信 息包括 MTC device的信息， MTC server的信息；
步骤 7:移动管理实体收到触发信息后，根据 MTC device的信息向 MTC device发送寻呼信息；
步骤 8: MTC device收到寻呼信息后， 建立到移动管理实体的信令连接， 移动管理实体通过信令连接将触发信息发送给 MTC device, 该触发信息包括 MTC server的信息；
步骤 9: MTC device根据该触发信息中的 MTC server的信息 （标识和 / 或地址， 以及证书信息 )对该 MTC server进行认证；
步骤 10: 认证通过后， MTC device根据触发消息中 MTC server的信息， 发起建立到 MTC server的 IP通道（如果有默认承载， 则可以基于默认承载 建立该 IP通道） ；
步骤 11 , MTC device和 MTC server基于共享密钥信息使用认证和密钥 交换协议如 IKE进行 MTC device和 MTC server的相互认证并建立 SA,形成 MTC device和 MTC server之间的端到端安全通道。
本实施例中共享密钥信息可以用于 EAP 中作为 MTC device 和 MTC server进行安全通信的密钥。基于 MTC device和 MTC server之间通信是安全 的， MTC server作为 NAS (网络认证服务器)来与 AAA协商新的密钥建立安全 关联。
实施例 3
如图 4所示， 包括以下步骤： (注册部分）
步骤 1 : MTC device请求注册到 PLMN网络， PLMN网络中的 HLR/HSS 和 MTC device进行 3GPP AKA之后各自生成为 MTC device和 MTC server 建立安全通道的共享密钥信息；
步骤 2: HLR/HSS定位该 MTC device的 AAA服务器；
HLR/HSS定位 AAA服务器的方法可以是根据 HLR/HSS中该 MTC device 的签约信息或者 MTC device提供的标识信息查询 DNS服务器来获取 AAA服 务器的地址， 或者根据 MTC device提供的 MTC server标识来查询 DNS来获 取 AAA服务器的地址。
步骤 3: HSS将步骤 1中生成的共享密钥信息、 以及 MTC device的信息
(标识， 或标识和地址）通过安全通道发送给 AAA服务器；
(触发部分）
步骤 4: 当 MTC server需要与所属于该 MTC server的某 MTC device通 信时， MTC server向 AAA服务器发起查询， 获取该 MTC device的状态： 如 在线或离线； 如果 MTC device在线， 则 AAA服务器除了向 MTC server返回 所述 MTC device的状态之外， 还返回 MTC device的标识（优选地， 还包括 MTC device的地址） ， MTC device与 MTC server建立安全通道所需的共享 密钥信息； 随后 MTC server向 AAA服务器发送触发消息， 触发消息包括了 该 MTC server的触发要求等；
步骤 5: 收到触发消息后， AAA服务器向 HLR/HSS发送触发消息， 触发 消息包括触发要求， 根据共享密钥信息生成的建立 SA所需的信息， 该 MTC server的信息（包括 MTC server的标识和 /或地址， 以及 MTC server的证书信 息 ) , MTC device的信息（包括 MTC device的标识，优选还包括 MTC device 的地址） ；
步骤 6: HLR/HSS 收到触发信息后， 根据触发中的触发要求向该 MTC device注册的移动管理实体 (MME或 SGSN或 MSC)发送触发信息，该触发信 息包括该 MTC server的信息， MTC device的信息， 建立 SA所需的信息； 步骤 7:移动管理实体收到触发信息后，根据 MTC device的信息向 MTC device发送寻呼信息；
步骤 8: MTC device收到寻呼信息后， 建立到移动管理实体的信令连接， 移动管理实体通过信令连接将触发消息发送给 MTC device, 该触发信息包括 建立 SA所需的信息和该 MTC server的信息；
步骤 9: MTC device根据触发信息中的 MTC server的证书对该 MTC server进行认证；
步骤 10: 如果认证通过， MTC device发起建立到 MTC server的 IP通道
(该通道可以建立在默认承载之上） ；
步骤 11： MTC device和 MTC server各自根据建立 SA所需的信息生成 SA, 将该 SA应用到步骤 10建立的 IP通道， 形成 MTC device和 MTC server 之间的端到端的安全通道。
实施例 4
如图 5所示， 包括以下步骤：
(注册部分）
步骤 1 : MTC device请求注册到 PLMN网络， PLMN网络中的 HLR/HSS 和 MTC device进行 3GPP AKA之后各自生成为 MTC device和 MTC server 建立安全通道的共享密钥信息；
步骤 2: HLR/HSS网络定位该 MTC device的 AAA服务器；
HLR/HSS定位 AAA服务器的方法可以是根据 HLR/HSS中该 MTC device 的签约信息或者 MTC device提供的标识信息来查询 DNS服务器来获取 AAA 服务器的地址， 或者根据 MTC device提供的 MTC server标识来查询 DNS来 获取 AAA服务器的地址。
步骤 3: HLR/HSS将步骤 1中生成的共享密钥信息、 以及 MTC device的 信息（标识， 或标识和地址 ) , 以及 PLMN网络与 MTC server之间的网关的 IP地址通过安全通道发送给 AAA服务器；
该 PLMN网络与 MTC server之间的网关位于 PLMN内部边界上， 可以 是 MTC互通网关或者是 VPLMN ( Virtual Public Land Mobile Network, 虚拟 公共陆上移动网 ) 网关。
(触发部分）
步骤 4: 当 MTC server需要与所属于该 MTC server的某 MTC device通 信时， MTC server向 AAA服务器发起查询， 获取该 MTC device的状态： 如 在线或离线； 如果 MTC device在线， 则 AAA服务器除了向 MTC server返回 所述 MTC device的状态之外， 还返回 MTC device的标识（优选地， 还包括 MTC device的地址） ， MTC device与 MTC server建立安全通道所需的共享 密钥信息 , 以及 PLMN网络与 MTC server之间的网关的 IP地址；
步骤 5: MTC server基于共享密钥等信息生成安全关联信息， 包括： 建 立安全关联的所需信息或者安全关联；
例如 MTC server利用 IKE或 EAP等建立安全关联的算法生成建立安全 关联的所需信息或者安全关联。
步骤 6: MTC server建立到 PLMN网络与 MTC server之间的网关的安全 通道（ IP连接 ) , 并将触发（ trigger ) 消息通过该安全通道发送给 PLMN网 络与 MTC server之间的网关， 触发消息包括建立安全关联所需信息或安全关 联， MTC device的信息（标识， 或标识和地址）， MTC server的信息（证书， 以及标识和 /或地址） ；
步骤 7: PLMN网络与 MTC server之间的网关将触发消息发送给 MTC device, 该触发消息中包括建立的安全关联所需信息或安全关联， 以及 MTC server的信息；
步骤 8: MTC device对 MTC server进行认证， 如果认证通过， 则 MTC device基于上述触发消息发起建立 MTC device到 MTC server的 IP通道， 建 立 IP通道之后， MTC device和 MTC server分别将安全关联所需信息或安全 关联应用到该 IP通道上 , 形成 MTC device和 MTC server之间的端到端安全 通道。
如果 MTC server获得上述的 MTC device的 IP地址，则通过该 IP地址与 MTC device建立 IP通道。如果该 MTC server没有获得上述的 MTC device的 IP地址， 则与 MTC device建立新的 IP通道。
实施例 5
如图 6所示， 包括以下步骤：
(注册部分）
步骤 1 : MTC device请求注册到 PLMN网络， PLMN网络中的 HLR/HSS 和 MTC device进行 3GPP AKA之后各自生成为 MTC device和 MTC server 建立安全通道的共享密钥信息；
步骤 2: HLR/HSS定位该 MTC device的 AAA服务器；
PLMN 网络定位 AAA服务器的方法可以是根据 HLR/HSS 中该 MTC device的签约信息或者 MTC device提供的标识信息来查询 DNS服务器来获 取 AAA服务器的地址，或者根据 MTC device提供的 MTC server网络标识来 查询 DNS来获取 AAA服务器的地址。
步骤 3: HSS将步骤 1中生成的共享密钥信息、 MTC device的信息 （包 括标识， 或标识和 IP地址） ， 以及 PLMN网络与 MTC server之间的网关的 IP地址通过安全通道发送给 AAA服务器；
(触发部分）
步骤 4: 当 MTC server需要与所属于该 MTC server的某 MTC device通 信时， MTC server向 AAA服务器发起查询，获取该 MTC device的状态， AAA 服务器向 MTC server返回 MTC device的状态 , MTC device的标识（优选地， 还包括 MTC device的地址） 、 MTC device的与 MTC server建立安全通道所 需的共享密钥信息 , 以及 PLMN网络与 MTC server之间的网关的 IP地址； 步骤 5: MTC server建立到 PLMN网络与 MTC server之间的网关的安全 通道， 并通过安全通道向该网关发送触发信息 （trigger信息） ， 该触发信息 包括 MTC device的信息， MTC server的信息；
步骤 6: PLMN网络与 MTC server之间的网关发起建立 MTC device到 MTC server的 IP连接； 其中， 网关通过信令面通道指示 MTC device来建立与 MTC server的 IP 连接。
该步骤中如果 MTC server获得上述 MTC device的 IP地址，则 PLMN网 络与 MTC server之间的网关可以基于该 MTC device的 IP地址发起建立 IP连 接。 如果该 MTC server没有获得上述的 MTC device的 IP地址， 则 PLMN网 络与 MTC server之间的网关可以基于 MTC device的 ID触发 MTC device建 立到 MTC server的 IP连接。
步骤 7: MTC device和 MTC server基于共享密钥信息使用 IKE 方法建 立安全关联 (SA) , 形成 MTC device和 MTC server之间的端到端的安全通道。
或者， MTC device和 MTC server基于共享密钥， 在 MTC device, MTC server和 AAA服务器上使用 ESP方法建立安全关联 SA, 基于该 SA建立端 到端的安全通道。
在上述实施例中， 安全关联也可以基于 AAA服务器内的安全信息而建 立，在 MTC device中包括了与 AAA服务器进行安全关联协商（比如 IKE, ESP) 的能力， 或者包括基于非协商机制比如 Push的安全关联建立机制。
在 MTC device和 MTC server之间建立端到端安全通道的技术包括网络 层的因特网协议安全性（IPsec, Internet Protocol Security )技术， 通过 IPsec 技术建立的安全通道在网络层保护 MTC device和 MTC server之间的通信， 使 MTC的所有通信都得到有效的安全防护。除了 IPsec技术之外， MTC device 和 MTC server之间建立端到端安全通道的技术还可以釆用传输层的技术如 TLS ( transport layer security, 传输层安全协议 )等。
另外，上述 MTC server所表示的端角色也可以是 MTC应用程序 （ MTC application ) , MTC server, MTC application统称为 MTC终端的应用对端。
本领域普通技术人员可以理解上述方法中的全部或部分步骤可通过程序 来指令相关硬件完成， 所述程序可以存储于计算机可读存储介质中， 如只读 存储器、 磁盘或光盘等。 可选地， 上述实施例的全部或部分步骤也可以使用 一个或多个集成电路来实现。 相应地， 上述实施例中的各模块 /单元可以釆用 硬件的形式实现， 也可以釆用软件功能模块的形式实现。 本发明不限制于任 何特定形式的硬件和软件的结合。
当然， 本发明还可有其他多种实施例， 在不背离本发明精神及其实质的 但这些相应的改变和变形都应属于本发明所附的权利要求的保护范围。
工业实用性
上述技术方案引入 AAA服务器参与安全通道的建立， 同时通过在 MTC 终端和 MTC终端应用对端之间建立端到端安全通道， 保证了 MTC终端和 MTC终端应用对端之间通信的安全。 因此本发明具有很强的工业实用性。

Claims

权 利 要 求 书
1、 一种建立安全通道的方法， 用于在机器类通信（MTC )终端与所述 MTC终端的应用对端之间建立安全通道， 该方法包括：
所述 MTC终端注册到公共陆地移动网络（ PLMN )的过程中， 生成与所 述 MTC终端的应用对端建立安全通道所需的共享密钥信息；
当所述应用对端需要与所属于该应用对端的所述 MTC终端通信时，所述 应用对端发起触发消息 ,通过所述触发消息触发建立所述 MTC终端到所述应 用对端的 IP通道， 所述 MTC终端和所述应用对端基于所述共享密钥信息建 立安全关联， 形成所述 MTC终端到所述应用对端的端到端的安全通道。
2、 如权利要求 1所述的方法， 其中： MTC终端注册到 PLMN网络的过 程中，生成与所述 MTC终端的应用对端建立安全通道所需的共享密钥信息的 步骤包括：
所述 MTC终端请求注册到 PLMN网络， PLMN网络中的归属位置寄存 器或归属用户服务器（HLR/HSS )与所述 MTC终端进行认证和密钥协商之 后， 所述 HLR/HSS和所述 MTC终端分别生成为所述 MTC终端和所述应用 对端建立安全通道所需的共享密钥信息。
3、 如权利要求 2所述的方法， 该方法还包括：
所述 HLR/HSS生成为所述 MTC终端和所述应用对端建立安全通道所需 的共享密钥信息后， 所述 HLR/HSS 定位所述 MTC 终端的认证授权计费 ( AAA )服务器， 并将生成的所述共享密钥信息通过安全通道发送给所述 AAA服务器。
4、 如权利要求 3所述的方法， 其中： 所述应用对端发起触发消息， 通过 所述触发消息触发建立所述 MTC终端到所述应用对端的 IP通道的步骤包括： 所述应用对端查询所述 AAA服务器获得所述 MTC终端的标识和所述共 享密钥信息， 通过所述 AAA服务器、 所述 HLR/HSS向所述 MTC终端的移 动管理实体发送触发消息； 所述移动管理实体接收到所述触发消息后， 寻呼 所述 MTC终端； 所述 MTC终端根据寻呼建立到所述移动管理实体的信令连 接， 获取所述应用对端的信息， 基于所述应用对端的信息， 发起建立到所述 应用对端的 IP通道。
5、 如权利要求 4所述的方法， 其中： 所述 MTC终端和所述应用对端基 于所述共享密钥信息建立安全关联，形成所述 MTC终端到所述应用对端的端 到端的安全通道的步骤包括：
所述 MTC终端和所述应用对端基于所述共享密钥信息进行相互认证，建 立安全关联， 完成所述 MTC终端到所述应用对端的端到端的安全通道的建 立。
6、 如权利要求 3所述的方法， 其中： 所述应用对端发起触发消息， 通过 所述触发消息触发建立所述 MTC终端到所述应用对端的 IP通道的步骤包括： 所述应用对端查询所述 AAA服务器获得所述 MTC终端的标识、 所述共 所述应用对端建立到所述网关的安全通道， 向所述网关发送触发消息， 触发所述网关发起建立所述应用对端到所述 MTC终端的 IP通道。
7、 如权利要求 6所述的方法， 其中： 所述 MTC终端和所述应用对端基 于所述共享密钥信息建立安全关联，形成所述 MTC终端到所述应用对端的端 到端的安全通道的步骤包括：
所述 MTC终端和所述应用对端基于所述共享密钥信息建立安全关联，完 成所述 MTC终端到所述应用对端的端到端的安全通道的建立。
8、 一种建立安全通道的方法， 用于在机器类通信（MTC )终端与所述 MTC终端的应用对端之间建立安全通道， 该方法包括：
所述 MTC终端注册到公共陆地移动网络（ PLMN )的过程中， 生成与所 述 MTC终端的应用对端建立安全通道所需的共享密钥信息；
当所述应用对端需要与所属于该 MTC应用对端的所述 MTC 终端通信 时，所述应用对端通过核心网网元发起触发 ,所述 MTC终端接收到的触发消 息中包括根据共享密钥信息生成的安全关联信息，所述 MTC终端根据所述触 发消息发起建立所述 MTC终端到所述应用对端的 IP通道；
所述应用对端和所述 MTC终端各自根据所述安全关联信息建立安全关 联， 将所述安全关联应用到所述 IP通道， 形成所述 MTC终端到所述应用对 端的端到端的安全通道。
9、 如权利要求 8所述的方法， 其中： MTC终端注册到 PLMN网络的过 程中，生成与所述 MTC终端的应用对端建立安全通道所需的共享密钥信息的 步骤包括：
所述 MTC终端请求注册到 PLMN网络， PLMN网络中的归属位置寄存 器或归属用户服务器（HLR/HSS )与所述 MTC终端进行认证和密钥协商之 后， 所述 HLR/HSS和 MTC终端分别生成为所述 MTC终端和所述应用对端 建立安全通道所需的共享密钥信息。
10、 如权利要求 9所述的方法， 该方法还包括：
所述 HLR/HSS生成为 MTC终端和 MTC终端的应用对端建立安全通道 所需的共享密钥信息后， 所述 HLR/HSS定位所述 MTC终端的认证授权计费 ( AAA )服务器， 并将生成的所述共享密钥信息通过安全通道发送给所述 AAA服务器。
11、 如权利要求 10所述的方法， 其中： 所述应用对端通过核心网网元发 起触发的步骤包括：
所述应用对端查询所述 AAA服务器获得所述 MTC终端的标识和所述共 享密钥信息， 向所述 AAA服务器发起触发， 所述 AAA服务器通过所述 HLR/HSS向所述 MTC终端的移动管理实体发送包含安全关联信息的触发消 息， 所述安全关联信息包括根据所述共享密钥信息生成的建立安全关联所需 的信息； 所述移动管理实体接收到所述触发消息后， 寻呼所述 MTC终端； 所 述 MTC终端根据寻呼建立到所述移动管理实体的信令连接，获取所述应用对 端的信息以及建立安全关联所需的信息。
12、 如权利要求 10所述的方法， 其中： 所述应用对端通过核心网网元发 起触发的步骤包括：
所述应用对端查询所述 AAA服务器获得所述 MTC终端的标识、 所述共 享密钥信息以及 PLMN网络与该应用对端之间的网关的 IP地址；所述应用对 端根据所述共享密钥信息生成安全关联信息， 所述安全关联信息包括建立安 全关联所需信息或者安全关联； 所述应用对端建立到所述网关的安全通道， 通过所述网关向所述 MTC终端发起触发消息，所述触发消息中包括安全关联 信息。
13、 如权利要求 11或 12所述的方法， 其中：
所述触发消息中还包括所述应用对端的认证信息；
该方法还包括： 所述终端在发起建立本 MTC终端到所述应用对端的 IP 通道之前， 根据所述认证信息对所述应用对端进行认证。
14、 一种建立安全通道的机器类通信（MTC )终端， 用于在所述 MTC 终端与所述 MTC终端的应用对端之间建立安全通道， 所述 MTC终端包括密 钥生成模块和安全通道建立模块， 其中：
所述密钥生成模块设置成： 在所述 MTC终端注册到公共陆地移动网络
( PLMN ) 的过程中， 生成与所述应用对端建立安全通道所需的共享密钥信 息；
所述安全通道建立模块设置成： 根据所述应用对端发起的触发消息建立 所述 MTC终端到所述应用对端的 IP通道， 以及基于所述共享密钥信息建立 安全关联。
15、 如权利要求 14所述的 MTC终端， 其中： 所述安全通道建立模块设 置成釆用以下方式根据所述应用对端发起的触发消息建立所述 MTC终端到 所述应用对端的 IP通道：
接受移动管理实体的寻呼， 建立到所述移动管理实体的信令连接， 获取 所述应用对端的信息， 基于所述应用对端的信息， 发起建立到所述应用对端 的 IP通道； 或者 建立到所述应用对端的 IP通道。
16、 如权利要求 14或 15所述的 MTC终端， 其中：
所述安全通道建立模块还设置成： 在建立安全关联之前基于所述共享密 钥信息对所述应用对端进行认证。
17、 一种建立安全通道的系统， 用于在机器类通信（MTC )终端与所述 MTC终端的应用对端之间建立安全通道， 该系统包括如权利要求 14-16中任 一项所述的 MTC终端， 以及所述 MTC终端的应用对端， 所述应用对端包括 触发模块和安全通道模块， 其中：
所述触发模块设置成： 当所述应用对端需要与所属于本应用对端的所述 MTC终端通信时， 发起触发消息， 通过所述触发消息触发建立所述 MTC终 端到所述应用对端的 IP通道；
所述安全通道模块设置成： 基于所述共享密钥信息建立安全关联， 形成 所述 MTC终端到所述应用对端的端到端的安全通道。
18、如权利要求 17所述的系统， 该系统还包括归属位置寄存器或归属用 户服务器（HLR/HSS ) , 所述 HLR/HSS包括密钥生成模块、 定位模块和发送 模块， 其中：
所述密钥生成模块设置成： 在所述 MTC终端请求注册到 PLMN网络的 过程中， 与所述 MTC终端进行认证和密钥协商， 生成为所述 MTC终端和所 述应用对端建立安全通道所需的共享密钥信息；
所述定位模块设置成： 定位所述 MTC终端的认证授权计费 （AAA )服 务器；
所述发送模块设置成： 将所述密钥生成模块生成的所述共享密钥信息通 过安全通道发送给所述 AAA服务器。
19、 如权利要求 18所述的系统， 其中： 所述应用对端还包括第一查询模 块， 其中：
所述第一查询模块设置成： 查询所述 AAA服务器获得所述 MTC终端的 标识和所述共享密钥信息；
所述触发模块设置成釆用以下方式发起触发消息： 通过 AAA服务器、所 述 HLR/HSS向所述 MTC终端的移动管理实体发送触发消息， 使所述移动管 理实体寻呼所述 MTC终端。
20、 如权利要求 19所述的系统， 其中：
所述安全通道模块还设置成： 在建立安全关联之前， 基于所述共享密钥 信息对所述 MTC终端进行认证。
21、 如权利要求 18所述的系统， 其中， 所述应用对端还包括第二查询模 块， 其中：
所述第二查询模块设置成： 查询所述 AAA服务器获得所述 MTC终端的 标识、 所述共享密钥信息以及 PLMN 网络与所述应用对端之间的网关的 IP 地址；
所述触发模块设置成釆用以下方式发起触发消息： 建立所述应用对端到 所述网关的安全通道， 向所述网关发送触发消息， 触发所述网关发起建立所 述应用对端到所述 MTC终端的 IP通道。
22、 一种建立安全通道的机器类通信（MTC )终端， 用于在所述 MTC 终端与 MTC终端的应用对端之间建立安全通道， 所述 MTC终端包括密钥生 成模块、 IP通道建立模块和安全关联建立模块， 其中：
所述密钥生成模块设置成： 在所述 MTC终端注册到公共陆地移动网络 ( PLMN ) 的过程中， 生成与所述应用对端建立安全通道所需的共享密钥信 息；
所述 IP通道建立模块设置成： 接收触发消息， 所述触发消息中包括根据 所述共享密钥信息生成的安全关联信息， 根据所述触发消息发起建立所述 MTC终端到所述应用对端的 IP通道；
所述安全关联建立模块设置成： 根据所述触发消息中的安全关联信息建 立安全关联， 将所述安全关联应用到所述 IP通道。
23、 如权利要求 22所述的 MTC终端， 其中： 所述触发模块设置成釆用 以下方式根据所述触发消息发起建立所述 MTC终端到所述应用对端的 IP通 道：
接受移动管理实体的寻呼， 建立到所述移动管理实体的信令连接， 获取 所述应用对端的信息以及建立安全关联所需的信息， 基于获取的信息发起建 立到所述应用对端的 IP通道； 或者
触发消息， 所述安全关联信息包括建立安全关联所需信息或者安全关联， 基 于获取的信息发起建立到所述应用对端的 IP通道。
24、 如权利要求 22或 23所述的 MTC终端， 其中： 所述安全关联建立模块还设置成： 在建立 IP通道之前， 根据所述应用对 端的认证信息对所述应用对端进行认证。
25、 一种建立安全通道的系统， 用于在机器类通信（MTC )终端与 MTC 终端的应用对端之间建立安全通道， 所述系统包括如权利要求 22-24 中任一 项所述的 MTC终端， 以及所述 MTC终端的应用对端， 所述应用对端包括触 发模块和安全通道模块， 其中：
所述触发模块设置成： 当所述应用对端需要与所属于本应用对端的所述 MTC终端通信时，通过核心网网元发起触发，建立所述应用对端到所述 MTC 终端的 IP通道；
所述安全通道模块设置成： 根据安全关联信息建立安全关联， 将所述安 全关联应用到所述 IP通道， 形成所述 MTC终端到所述应用对端的端到端的 安全通道。
26、如权利要求 25所述的系统， 该系统还包括归属位置寄存器或归属用 户服务器（HLR/HSS ) , 所述 HLR/HSS包括密钥生成模块、 定位模块和发送 模块， 其中：
所述密钥生成模块设置成： 在所述 MTC终端请求注册到 PLMN网络的 过程中， 与所述 MTC终端进行认证和密钥协商， 生成为所述 MTC终端和所 述应用对端建立安全通道所需的共享密钥信息；
所述定位模块设置成： 定位所述 MTC终端的认证授权计费 （AAA )服 务器；
所述发送模块设置成： 将所述密钥生成模块生成的所述共享密钥信息通 过安全通道发送给所述 AAA服务器。
27、 如权利要求 26所述的系统， 其中： 所述应用对端还包括第一查询模 块， 其中：
所述第一查询模块设置成： 查询所述 AAA服务器获得所述 MTC终端的 标识和所述共享密钥信息；
所述触发模块设置成釆用以下方式通过核心网网元发起触发： 向所述 AAA服务器发起触发， 由所述 AAA服务器通过所述 HLR/HSS向所述 MTC 终端的移动管理实体发送包含安全关联信息的触发消息， 使所述移动管理实 体寻呼所述 MTC终端，所述安全关联信息包括根据共享密钥信息生成的建立 安全关联所需的信息。
28、 如权利要求 26所述的系统， 其中： 所述应用对端还包括第二查询模 块， 其中：
所述第二查询模块设置成： 查询所述 AAA服务器获得所述 MTC终端的 标识、所述共享密钥信息以及 PLMN网络与该应用对端之间的网关的 IP地址； 所述触发模块设置成釆用以下方式通过核心网网元发起触发： 所述应用 对端根据所述共享密钥信息生成安全关联信息， 所述安全关联信息包括建立 安全关联所需信息或者安全关联； 建立到所述网关的安全通道， 通过该网关 向所述 MTC终端发起触发消息， 所述触发消息中包括安全关联信息。
PCT/CN2012/070306 2011-07-05 2012-01-13 一种建立安全通道的方法及相应终端和系统 WO2013004077A1 (zh)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN201110186883.6A CN102868996B (zh) 2011-07-05 一种建立安全通道的方法及相应终端和系统
CN201110186883.6 2011-07-05

Publications (1)

Publication Number Publication Date
WO2013004077A1 true WO2013004077A1 (zh) 2013-01-10

Family

ID=47436478

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2012/070306 WO2013004077A1 (zh) 2011-07-05 2012-01-13 一种建立安全通道的方法及相应终端和系统

Country Status (1)

Country Link
WO (1) WO2013004077A1 (zh)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
GB2531861A (en) * 2014-08-12 2016-05-04 Vodafone Ip Licensing Ltd Machine-to-machine cellular communication security

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20020046668A (ko) * 2000-12-15 2002-06-21 김지한, 김재형 무선 통신 기기 간 직접 데이터 통신 처리 방법 및 시스템
CN101959189A (zh) * 2010-09-21 2011-01-26 中兴通讯股份有限公司 一种管理接入密码和基础密钥的方法及系统
CN102045695A (zh) * 2009-10-23 2011-05-04 中兴通讯股份有限公司 一种获取mtc服务器地址信息的方法及系统
CN102056140A (zh) * 2009-11-06 2011-05-11 中兴通讯股份有限公司 机器类通讯终端信息的获取方法和系统
CN102076028A (zh) * 2009-11-23 2011-05-25 中兴通讯股份有限公司 公用承载建立的方法、数据传输方法和核心网络侧设备

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20020046668A (ko) * 2000-12-15 2002-06-21 김지한, 김재형 무선 통신 기기 간 직접 데이터 통신 처리 방법 및 시스템
CN102045695A (zh) * 2009-10-23 2011-05-04 中兴通讯股份有限公司 一种获取mtc服务器地址信息的方法及系统
CN102056140A (zh) * 2009-11-06 2011-05-11 中兴通讯股份有限公司 机器类通讯终端信息的获取方法和系统
CN102076028A (zh) * 2009-11-23 2011-05-25 中兴通讯股份有限公司 公用承载建立的方法、数据传输方法和核心网络侧设备
CN101959189A (zh) * 2010-09-21 2011-01-26 中兴通讯股份有限公司 一种管理接入密码和基础密钥的方法及系统

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
GB2531861A (en) * 2014-08-12 2016-05-04 Vodafone Ip Licensing Ltd Machine-to-machine cellular communication security

Also Published As

Publication number Publication date
CN102868996A (zh) 2013-01-09

Similar Documents

Publication Publication Date Title
TWI293844B (en) A system and method for performing application layer service authentication and providing secure access to an application server
EP2445143B1 (en) Method and system for accessing a 3rd generation network
JP6185017B2 (ja) セキュアユーザプレーンロケーション（ｓｕｐｌ）システムにおける認証
US7984298B2 (en) Method, system and authentication centre for authenticating in end-to-end communications based on a mobile network
KR100762644B1 (ko) Ｗｌａｎ-ｕｍｔｓ 연동망 시스템과 이를 위한 인증 방법
WO2019017837A1 (zh) 网络安全管理的方法及装置
AU2020200523B2 (en) Methods and arrangements for authenticating a communication device
US9226153B2 (en) Integrated IP tunnel and authentication protocol based on expanded proxy mobile IP
WO2008131689A1 (fr) Procédé et système de fourniture d'un service de communication d'urgence et dispositifs correspondants
TW201644292A (zh) 用於使用特定於應用的網路存取身份碼來進行到無線網路的受贊助連接的設備和方法（二）
WO2012174959A1 (zh) 一种机器到机器通信中组认证的方法、系统及网关
WO2013181847A1 (zh) 一种无线局域网接入鉴权方法、设备及系统
WO2015089996A1 (zh) 一种安全认证方法及鉴权认证服务器
WO2008125062A1 (fr) Procédé de détermination d'admission et de radiomessagerie d'utilisateur dans un système de communication mobile, système et dispositif apparentés
WO2009152676A1 (zh) Aaa服务器、p-gw、pcrf、用户设备标识的获取方法和系统
WO2017174014A1 (zh) 为终端提供紧急号码的方法和装置
WO2010133073A1 (zh) 一种证书状态信息的获取方法及证书状态管理系统
WO2011063658A1 (zh) 统一安全认证的方法和系统
WO2012126299A1 (zh) 组合认证系统及认证方法
WO2014047923A1 (zh) 接入网络的方法和装置
WO2013004077A1 (zh) 一种建立安全通道的方法及相应终端和系统
WO2010124490A1 (zh) 获取无线局域网鉴别和保密基础结构证书的方法及系统
WO2013067911A1 (zh) 一种接入认证方法、系统及设备
WO2008148348A1 (fr) Procédé de communication, système et station de base domestique
WO2012022212A1 (zh) 用户设备接入方法、装置及系统

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 12807887

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 12807887

Country of ref document: EP

Kind code of ref document: A1