WO2013083082A1 - 一种通信方法、装置 - Google Patents

一种通信方法、装置 Download PDF

Info

Publication number
WO2013083082A1
WO2013083082A1 PCT/CN2012/086182 CN2012086182W WO2013083082A1 WO 2013083082 A1 WO2013083082 A1 WO 2013083082A1 CN 2012086182 W CN2012086182 W CN 2012086182W WO 2013083082 A1 WO2013083082 A1 WO 2013083082A1
Authority
WO
WIPO (PCT)
Prior art keywords
mtc device
authentication code
message
key
base station
Prior art date
Application number
PCT/CN2012/086182
Other languages
English (en)
French (fr)
Inventor
张丽佳
Original Assignee
华为技术有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 华为技术有限公司 filed Critical 华为技术有限公司
Publication of WO2013083082A1 publication Critical patent/WO2013083082A1/zh

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W4/00—Services specially adapted for wireless communication networks; Facilities therefor
    • H04W4/70—Services for machine-to-machine communication [M2M] or machine type communication [MTC]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H04W12/069—Authentication using certificates or pre-shared keys

Definitions

  • the present invention claims the priority of the Chinese Patent Application entitled “A Communication Method, Apparatus” filed on December 7, 2011 by the Chinese Patent Office, Application No. 201110403140.X, the entire contents of which is incorporated herein by reference. This is incorporated herein by reference.
  • the present invention relates to the field of wireless communication technologies, and in particular, to a communication method and apparatus.
  • M2M Machine to Machine
  • MTC Machine Type Communication
  • the UE performs AKA (Authentication and Key Agreement) with the core network side, and establishes a non-access stratum (non-access stratum) between the UE and the core network.
  • AKA Authentication and Key Agreement
  • non-access stratum non-access stratum
  • the multi-role base station and the core network side access the network after AKA, and establish non-access stratum security with the core network.
  • the MTC device accesses the multi-role base station and communicates with the core network through the multi-role base station, so that the MTC device is invisible from the perspective of the core network, and the new air interface is used between the MTC device and the multi-role base station, but the MTC device has many
  • the communication between the new air interface between the role base stations has no security mechanism, which poses a hidden danger to network security.
  • Embodiments of the present invention provide a communication method and apparatus, which can improve the security of an M2M communication system.
  • a communication method of a machine type communication MTC device including: transmitting a resource request message to a multi-role base station, so that the multi-role base station calculates a first message authentication code;
  • the second message authentication code is calculated; the resource configuration completion message is sent to the multi-role base station, where the resource configuration completion message carries the second message authentication code, so that the The multi-role base station verifies the second message authentication code and starts communication with the MTC device if the verification is successful.
  • a method for communicating with an MTC device including: receiving a resource request message sent by the MTC device;
  • an MTC device including:
  • a first sending message unit configured to send a resource request message to the multi-role base station, so that the multi-role base station calculates a first message authentication code;
  • Receiving a message unit after the first sending message unit sends the resource request message, receiving a static resource configuration message sent by the multi-role base station, where the static resource configuration message carries the first message authentication code ;
  • a verification unit configured to verify the first message authentication code received by the receiving message unit
  • a calculating unit configured to calculate a second message authentication code if the verification unit succeeds in verifying the first message authentication code
  • a second sending message unit configured to send a resource configuration complete message to the multi-role base station, where the resource configuration complete message carries the second message authentication code calculated by the calculating unit, so that the multi-role base station The second message authentication code is verified and begins communication with the MTC device if the verification is successful.
  • a multi-role base station including:
  • a first receiving message unit configured to receive a resource request message sent by the MTC device, and a calculating unit, configured to calculate a first message authentication code according to the resource request message received by the first receiving message unit;
  • a sending message unit configured to: after the computing unit calculates the first message authentication code, send a static resource configuration message to the MTC device, where the static resource configuration message carries the first message authentication code, so that The MTC device verifies the first message authentication code, and if the MTC device successfully verifies the first message authentication code, the MTC device calculates a second message authentication code;
  • a second receiving message unit configured to receive, by the sending message unit, the resource configuration completion message sent by the MTC device, where the resource configuration completion message carries the second message authentication code ;
  • a verification unit configured to verify the second cancellation packet, the authentication code received by the second receiving message unit, and if the second message authentication code is successfully verified, the multi-role base station starts to communicate with the MTC device.
  • the MTC device passes the multi-role base The station sends a resource request message, so that the multi-role base station calculates the first message authentication code; and then receives the static resource configuration message sent by the multi-role base station, where the static resource configuration message carries the first message authentication code, and the first message authentication code If the verification is successful, the second message authentication code is calculated, and then the resource configuration completion message is sent to the multi-role base station, so that the multi-role base station verifies the second message authentication code. If the verification is successful, the MTC device and the multi-role base station start. Communicate.
  • the two sides of the mutual communication are confirmed by the message authentication code, thereby establishing an air interface authentication security mechanism between the MTC device and the multi-role base station of the multi-role base station, thereby improving the security of the M2M communication system.
  • FIG. 1 is a flowchart of a communication method of a machine type communication MTC device according to an embodiment of the present invention
  • FIG. 2 is a flow chart of a method for communicating with an MTC device according to an embodiment of the present invention
  • FIG. 3 is a structural block diagram of an MTC device according to an embodiment of the present invention.
  • FIG. 4 is a structural block diagram of a multi-role base station according to an embodiment of the present invention
  • FIG. 5 is a flowchart of a communication method of another machine type communication MTC device according to an embodiment of the present invention
  • FIG. 6 is a flowchart of a communication method of another machine type communication IPTV device according to an embodiment of the present invention.
  • FIG. 7 is a flowchart of still another communication method of a machine type communication MTC device according to an embodiment of the present invention
  • FIG. 8 is a structural block diagram of another MTC device according to an embodiment of the present invention.
  • FIG. 9 is a structural block diagram of another multi-role base station according to an embodiment of the present invention.
  • the multi-role base station involved in the embodiment of the present invention refers to a base station that can implement a concentrator role, a UE (User Equipment) role, and a base station role.
  • the concentrator role in the multi-role base station is responsible for communicating with the MTC device, and the UE is responsible for receiving information from the concentrator role and establishing a connection with the core network.
  • the UE role and the base station role are the same as those of the UE and the base station in the prior art.
  • the UE role and the base station role in the multi-role base station in the embodiment of the present invention belong to the same device, and the AS layer and the base station role need not establish the security of the AS layer, and only the UE and the core network perform AKA authentication, and establish The security of the NAS layer.
  • the embodiment of the present invention provides a communication method of a machine type communication MTC device, and the execution body of the communication method is an MTC device, as shown in FIG.
  • the resource request message sent to the multi-role base station includes: an MTC device identification number, an MTC device security capability, and a first random number generated by the MTC device.
  • the multi-role base station receives the resource request message, generates a second random number, and then obtains a root key of the MTC device according to the MTC device identification number, and selects an encryption algorithm and an integrity algorithm for the MTC device according to the MTC device security capability. .
  • the multi-role base station is based on the identification number of the multi-role base station, the MTC device identification number, and the MTC.
  • the first random number generated by the device, the second random number generated by the multi-role base station, and the root key of the MTC device calculate the first message authentication code.
  • S102 Receive a static resource configuration message sent by the multi-role base station, where the static resource configuration message carries the first message authentication code.
  • the static resource configuration message also carries a second random number generated by the multi-role base station and an encryption algorithm and an integrity algorithm selected for the MTC device.
  • the MTC device calculates the first verification message authentication code according to the identification number of the multi-role base station, the MTC device identification number, the first random number generated by the MTC device, the second random number generated by the multi-role base station, and the root key of the MTC device. If the first message authentication code is consistent with the first verification message authentication code, the first message authentication code is successfully verified.
  • the MTC device identification number may include the device identifier of the MTC device, and may also include the identity of the MTC device, which is not limited herein.
  • the MTC device calculates the second cancellation and authentication code according to the identification number of the multi-role base station, the MTC device identification number, the first random number generated by the MTC device, the second random number generated by the multi-role base station, and the root key of the MTC device.
  • the root key may be a pre-configured shared key of the MTC device, or may be a temporary shared key calculated according to the pre-configured shared key.
  • the root key of the MTC device side is obtained according to the pre-configured shared key stored in the MTC device, and the root key of the multi-role base station side is the MTC device obtained by the multi-role base station according to the MTC device identification number.
  • the pre-configured shared key is obtained by the same method for calculating the temporary shared key on the MTC device side and the multi-role base station side.
  • the embodiment of the present invention further provides a method for communicating with an MTC device, where the execution entity of the method is a multi-role base station, as shown in FIG. 2, including:
  • the multi-role base station receives the resource request message sent by the MTC device.
  • the resource request message includes: an MTC device identification number, an MTC device security capability, and a first random number generated by the MTC device.
  • the multi-role base station After receiving the resource request message sent by the MTC device, the multi-role base station generates a second random number, obtains a root key of the MTC device according to the MTC device identification number, and selects an encryption algorithm and completes the MTC device according to the security capability of the MTC device. Sexual algorithm.
  • the multi-role base station calculates the first authentication code according to the identification number of the multi-role base station, the MTC device identification number, the first random number generated by the MTC device, the second random number generated by the multi-role base station, and the root key of the MTC device.
  • S203 Send a static resource configuration message to the MTC device, where the static resource configuration message carries the first message authentication code, so that the MTC device verifies the first message authentication code, if the MTC device After the first message authentication code is successfully verified, the MTC device calculates a second message authentication code.
  • the multi-role base station sends a static resource configuration message, and the static resource configuration message carries a first message authentication code, and also carries a second random number and an encryption algorithm and an integrity algorithm selected for the MTC device.
  • the MTC device receives the static resource configuration message sent by the multi-role base station, and calculates the first verification message authentication code according to the identification number of the multi-role base station, the MTC device identification number, the first random number, the second random number, and the MTC device root key. And determining whether the first message authentication code and the first verification message authentication code are consistent. If the first message authentication code and the first verification message authentication code are consistent, the first message authentication code is successfully verified. Then, the second message authentication code is calculated according to the identification number of the multi-role base station, the MTC device identification number, the first random number, the second random number, and the root key of the MTC device, and the MTC device sends the second message authentication code to the multi-role base station. Resource configuration completion message.
  • S204 Receive a resource configuration complete message sent by the MTC device, where the resource configuration complete message carries the second message authentication code.
  • S205 Verify the second message authentication code. If the second message authentication code is verified to be successful, start communication with the MTC device.
  • the multi-role base station calculates a second verification message authentication code according to the identification number of the multi-role base station, the MTC device identification number, the first random number, the second random number, and the root key of the MTC device; determining the second message authentication code and the first 2. Verifying that the message authentication code is consistent. If the second message authentication code is consistent with the second verification message authentication code, the second message authentication code is successfully verified.
  • the root key may be a pre-configured shared key of the MTC device, or may be a temporary shared key calculated according to a pre-configured shared key of the MTC device, and the root of the MTC device side.
  • the key is obtained according to the pre-configured MTC device shared key stored in the MTC device, and the root key of the multi-role base station side is obtained by the multi-role base station according to the preset shared key of the MTC device acquired by the MTC device identification number.
  • the calculation method of the temporary shared key on the MTC device side and the multi-role base station side is the same.
  • An embodiment of the present invention further provides an MTC device, as shown in FIG. 3, including: a first sending message unit 31, a receiving message unit 32 and a verifying unit 33, a calculating unit 34, and a second sending message unit 35.
  • the first sending message unit 31 is configured to send a resource request message to the multi-role base station, so that the multi-role base station calculates the first message authentication code.
  • the resource request message sent by the first sending message unit 31 includes: an MTC device identification number, an MTC device security capability, and a first random number generated by the MTC device.
  • the multi-role base station After receiving the resource request message, the multi-role base station generates a second random number, obtains the root key of the MTC device according to the MTC device identification number, and selects an encryption algorithm and an integrity algorithm for the MTC device according to the security capability of the MTC device.
  • Receiving a message unit 32 configured to send, by the first sending message unit 31, the resource After the request message, the static resource configuration message sent by the multi-role base station is received, where the static resource configuration message carries the first message authentication code.
  • the static resource configuration message further carries a second random number sent by the multi-role base station, an encryption algorithm selected for the MTC device, and an integrity algorithm.
  • the verification unit 33 is configured to verify the first message authentication code received by the received message unit 32.
  • the verification unit 33 calculates a first verification message authentication code according to the identification number of the multi-role base station, the MTC device identification number, the first random number, the second random number, and the root key of the MTC device, if the first message authentication code and the If the first verification message authentication code is consistent, the first message authentication code is successfully verified.
  • the calculating unit 34 is configured to calculate a second message authentication code if the verification unit 33 verifies that the first message authentication code is successful.
  • the calculating unit 34 is specifically configured to calculate a second message authentication code according to the identifier number of the multi-role base station, the MTC device identification number, the first random number, the second random number, and the root key of the MTC device.
  • a second sending message unit 35 configured to send a resource configuration complete message to the multi-role base station, where the resource configuration complete message carries the second message authentication code calculated by the calculating unit 34, so that the multiple The role base station verifies the second message authentication code and begins communication with the MTC device if the verification is successful.
  • the present invention further provides a multi-role base station of a multi-role base station.
  • the method includes: a first receiving message unit 41, a calculating unit 42, a sending message unit 43, a second receiving message unit 44, and a verifying unit 45. .
  • the first receiving message unit 41 is configured to receive a resource request message sent by the MTC device.
  • the resource request message includes: an MTC device identification number, an MTC device security capability, and a first random number generated by the MTC device.
  • the calculating unit 42 is configured to calculate a first message authentication code according to the resource request message received by the first receiving message unit 41. After the first receiving message unit 41 receives the resource request message sent by the MTC device, the calculating unit 42 is first used to generate the second random number, obtain the root key of the MTC device according to the MTC device identification number, and the MTC according to the security capability of the MTC device. The device selects an encryption algorithm and an integrity algorithm.
  • the first message authentication code is calculated according to the identification number of the multi-role base station, the MTC device identification number, the first random number, the second random number, and the root key of the MTC device.
  • the sending message unit 43 is configured to send, by the calculating unit 41, the first message authentication code, to send, to the MTC device, a static resource configuration message, where the static resource configuration message carries the first message authentication code,
  • the MTC device calculates the second message authentication code, so that the MTC device verifies the first message authentication code, and if the MTC device successfully verifies the first message authentication code, the MTC device calculates the second message authentication code.
  • the static resource configuration message carries a first message authentication code, and also carries a second random number and an encryption algorithm and an integrity algorithm selected for the MTC device.
  • the MTC device receives the static resource configuration message sent by the multi-role base station, and the MTC device calculates the first verification according to the identification number of the multi-role base station, the MTC device identification number, the first random number, the second random number, and the root key of the MTC device. a message authentication code, if the first message authentication code is consistent with the first verification message authentication code, the first message authentication code is successfully verified.
  • the MTC device calculates the second message authentication code according to the identification number of the multi-role base station, the MTC device identification number, the first random number, the second random number, and the root key of the MTC device, and the MTC device sends the resource configuration to the multi-role base station. Message.
  • a second receiving message unit 44 configured to receive, by the sending message unit 43 after the static resource configuration message, a resource configuration complete message sent by the MTC device, where the resource configuration complete message carries the second message Authentication Code.
  • the verification unit 45 is configured to verify the second message authentication code received by the second receiving message unit 44. If the second message authentication code is successfully verified, the multi-role base station starts to communicate with the MTC device.
  • the verification unit 45 is based on the identification number of the multi-role base station, the MTC device identification number, and the first
  • the second verification message authentication code is calculated by the random number, the second random number, and the root key of the MTC device. If the second message authentication code and the second verification message authentication code are consistent, the second message authentication code is successfully verified, and the multi-role base station and the The MTC device starts communicating.
  • the communication method of the machine type communication MTC device provided by the embodiment of the present invention, the MTC device, and the multi-role base station, the MTC device sends a resource request message to the multi-role base station, so that the multi-role base station calculates the first message authentication code;
  • the static resource configuration message sent by the base station, the static resource configuration message carries the first message authentication code, and the first message authentication code is verified; if the verification is successful, the second message authentication code is calculated, and then the resource configuration is sent to the multi-role base station.
  • the message is completed, so that the multi-role base station verifies the second message authentication code. If the verification is successful, the MTC device and the multi-role base station start to communicate. In this way, the two sides of the mutual communication are confirmed by the message authentication code, thereby establishing an authentication security mechanism for the new air interface between the MTC device and the multi-role base station, thereby improving the security of the M2M communication system.
  • An embodiment of the present invention provides a communication method of an MTC device, as shown in FIG. 5, including:
  • the MTC device sends a resource request message to the multi-role base station, so that the multi-role base station calculates the first message authentication code.
  • the resource request message sent by the MTC device to the multi-role base station includes: an MTC device identification number, an MTC device security capability, and a first random number generated by the MTC device.
  • the multi-role base station calculates a first message authentication code.
  • the multi-role base station After receiving the resource request message, the multi-role base station generates a second random number, and then obtains a root key of the MTC device according to the MTC device identification number, and selects an encryption algorithm and an integrity algorithm for the MTC device according to the MTC device security capability.
  • the multi-role base station calculates the first message authentication code according to the identification number of the multi-role base station, the MTC device identification number, the first random number generated by the MTC device, the second random number generated by the multi-role base station, and the root key of the MTC device. S503.
  • the multi-role base station sends a static resource configuration message to the MTC device, where the static resource configuration message carries the first message authentication code.
  • the static resource configuration message also carries a second random number and an encryption algorithm and an integrity algorithm selected for the MTC device.
  • the MTC device verifies the first message authentication code.
  • the MTC device calculates the first verification message authentication code according to the identification number of the multi-role base station, the MTC device identification number, the first random number generated by the MTC device, the second random number generated by the multi-role base station, and the root key of the MTC device.
  • the first message authentication code is consistent with the first verification message authentication code, the first message authentication code is successfully verified.
  • the MTC device After the first message authentication code is successfully verified, the MTC device generates a communication key after calculating the second message authentication code.
  • the MTC device calculates the second cancellation and authentication code according to the identification number of the multi-role base station, the MTC device identification number, the first random number generated by the MTC device, the second random number generated by the multi-role base station, and the root key of the MTC device.
  • the MTC device generates a communication key for communicating with the multi-role base station, specifically: generating an intermediate key according to the root key, the first random number, and the second random number of the MTC device; selecting, according to the intermediate key, an MTC device The encryption algorithm and the integrity algorithm calculate the communication key.
  • the MTC device sends a resource configuration complete message to the multi-role base station, where the resource configuration complete message carries the second message authentication code.
  • the multi-role base station verifies the second message authentication code.
  • the multi-role base station calculates a second verification message authentication code according to the identification number of the multi-role base station, the MTC device identification number, the first random number, the second random number, and the root key of the MTC device, if the second message authentication code is If the second verification message authentication code is consistent, the second message authentication code is successfully verified.
  • the multi-role base station If the second message authentication code is successfully verified, the multi-role base station generates a communication. The key then begins communicating with the MTC device.
  • the multi-role base station generates a communication key for communication with the MTC device, and the communication key generated by the multi-role base station is the same as the communication key of the MTC device. Specifically included:
  • the communication key of the multi-role base station is calculated according to the intermediate key and an encryption algorithm and an integrity algorithm selected for the MTC device.
  • the root key may be a pre-configured shared key of the MTC device, or may be a temporary shared key calculated according to the pre-configured shared key of the MT device.
  • the root key of the MTC device side is obtained according to the pre-configured shared key stored in the MTC device, and the root key of the multi-role base station side is a pre-configured sharing of the MTC device acquired by the multi-role base station according to the MTC device identification number.
  • the method for calculating the temporary shared key on the MTC device side and the multi-role base station side is the same.
  • the root key of the multi-role base station is obtained by the multi-role base station according to the MTC device identification number.
  • the specific method may include:
  • the AKA authentication is performed between the multi-role base station and the core network, and the NAS layer security between the multi-role base station and the core network is established.
  • the core network sends a shared key list of all MTC devices under the multi-role base station to the multi-role base station, where the key list is between the multi-role base station and the core network.
  • the NAS layer is securely protected.
  • the multi-role base station After the MTC device sends the resource request message to the multi-role base station, the multi-role base station obtains the identifier from the shared key list according to the identification number of the MTC device included in the resource request message. A pre-configured shared key of the MTC device, using the shared key as the root key.
  • the authentication process S603-S610 of the specific MTC device and the multi-role base station is the same as the process of S501-S508 in FIG. 5, and details are not described herein again.
  • the root key of the multi-role base station is obtained by the multi-role base station according to the MTC device identification number.
  • the specific method may further include:
  • the multi-role base station sends a key request to the trust center, where the key request includes: the MTC device identification number, the first random number, and the second random, so that the trust center corresponds to the MTC device identification number.
  • the MTC device sends a resource request message to the multi-role base station, so that the multi-role base station calculates the first message authentication code.
  • the resource request message sent by the MTC device to the multi-role base station includes: an MTC device identification number, an MTC device security capability, and a first random number generated by the MTC device.
  • the multi-role base station sends a key request to the trust center.
  • the key request includes an identification number of the MTC device, a first random number, and a second random number generated by the multi-role base station;
  • the trust center calculates a temporary shared key of the MTC device, and sends a key response to the multi-role base station.
  • the trust center obtains the shared key of the sensor device according to the identification number of the MTC device, and then uses the key generation function to calculate the temporary sharing of the MTC device according to the shared key of the MTC device, the first random number and the second random number. Key.
  • a key response is then sent to the multi-role base station, the key response carrying the temporary shared key, and the multi-role base station uses the temporary shared key as a root key.
  • the corresponding MTC device side according to the pre-configured shared key, the first random number, the second random of the MTC device stored in the MTC device
  • the number of machines is calculated by using the same key generation function as that of the multi-role base station side to calculate the temporary shared key on the MTC device side, and then the MTC device uses the temporary shared key as the root key.
  • the pre-configured shared key of the MTC device stored in the MTC device including both the pre-configured shared key of the MTC device stored in the MTC device, and the MTC device stored in the card inserted in the MTC device
  • the pre-configured shared key is not limited here.
  • the sensor device itself stores the pre-configured shared key K.
  • the sensor device reports the data information to the MTC server through the multi-role base station, and the sensor device acquires the identification number eNB 1D of the multi-role base station by receiving the broadcast information of the multi-role base station.
  • the sensor device sends a resource request message to the multi-role base station, where the resource request message includes: a sensor device identification number & ⁇ .
  • the multi-role base station After receiving the resource request message, the multi-role base station generates a second random number ⁇ 3 ⁇ 4; and then according to the sensor device identification number & .
  • Obtaining a root key k of the sensor device which may be a pre-configured shared key K of the sensor device, or may be a temporary shared secret calculated according to the pre-configured shared key K of the sensor device.
  • the pre-configured shared key K of the multi-color base station side is stored in the multi-role base station or stored in the core network or stored in the trust center, and the pre-configured shared key of the sensor device is stored in the sensor device, and the sensor device side and the multi-sensor
  • the calculation method of the temporary shared key on the role base station side is the same; the encryption algorithm and the integrity algorithm are selected for the sensor device according to the security capability of the sensor device.
  • the multi-role base station then calculates the number according to the identification number e A3 ⁇ 4 Z3 of the multi-role base station, the identification number Sen SO r ID of the sensor device, the first random number NONCE M , the second random number NONCE c, and the root key of the sensor device.
  • the sensor device After receiving the static resource configuration message sent by the multi-role base station, the sensor device verifies the first message authentication code 1 ⁇ 24C1.
  • a sensor apparatus according to the identification number eNB ID, the sensor device as a base station identification number multiple of & ⁇ 0, the first random number ⁇ ⁇ ⁇ ⁇ ⁇ ? ⁇ , the second random number ⁇ ⁇ ⁇ ⁇ and calculating a first root key sensor Verify the message authentication code 6.
  • the sensor device calculates the second message authentication code ⁇ 4 ⁇ 72.
  • the sensor generates a communication key of the sensor device, and specifically includes: a root key obtained according to the pre-configured shared key K of the sensor stored in the sensor device: the first random number and the second random number are generated by using the key
  • the second message authentication code is successfully verified, and the multi-role base station generates a communication key, and the communication key includes: an RRC signaling complete key, an RRC signaling encryption key, and a communication data encryption key.
  • the specific algorithm is the same as the calculation method of the communication key of the sensor device.
  • the multi-role base station completes After the calculation of the communication key, the sensor device starts to communicate with the MTC server to report the data, specifically: the sensor device side encrypts the data to be reported, and sends the data to the multi-role base station that has been mutually authenticated.
  • the multi-color base station performs AKA authentication with the core network to establish NAS layer security, so that the multi-role base station securely transmits data to the server corresponding to the sensor device.
  • the sensor device starts to communicate with the MTC server to report data, specifically: the sensor device side
  • the data to be reported is encrypted and sent to the multi-role base station that has been mutually authenticated.
  • the multi-role base station generates application layer data after the received data is aggregated, and then transmits the data through the core network that has been AKA-authenticated with the multi-role base station.
  • the server corresponding to the sensor device.
  • This embodiment uses a sensor device as an example for description.
  • MTC devices such as camera monitoring devices, automatic meters (water and electricity meters) devices, home automation devices, payment system devices, and vehicle remote space devices. device of.
  • the MTC device sends a resource request message to the multi-role base station, so that the multi-role base station calculates the first message authentication code; then the MTC device verifies the first message authentication code. , verification succeeded Simultaneously calculating the second message authentication code to enable the multi-role base station to verify the second message authentication code. Further, after the MTC device and the multi-role base station verify each other successfully, each of the communication keys is generated, so that the MTC device and the multi-role base station start to communicate. In this way, not only the security authentication mechanism of the new air interface is established between the MTC device and the multi-role base station, but also the communication encryption mechanism is established, which further improves the security of the M2M communication system.
  • An embodiment of the present invention further provides an MTC device, as shown in FIG. 8, including: a first sending message unit 71, a receiving message unit 72 and a verifying unit 73, a calculating unit 74, a first communication key calculating unit 75, and a The second message unit 76 is sent.
  • the first sending message unit 71 is configured to send a resource request message to the multi-role base station, so that the multi-role base station calculates the first message authentication code.
  • the resource request message sent by the first sending message unit 71 includes: an MTC device identification number, an MTC device security capability, and a first random number generated by the MTC device.
  • the multi-role base station After receiving the resource request message, the multi-role base station generates a second random number, obtains the root key of the MTC device according to the MTC device identification number, and selects an encryption algorithm and an integrity algorithm for the MTC device according to the security capability of the MTC device.
  • the receiving message unit 72 is configured to receive, after the first sending message unit 71 sends the resource request message, a static resource configuration message sent by the multi-role base station, where the static resource configuration message carries the first message Authentication Code.
  • the static resource configuration message further carries a second random number sent by the multi-role base station, an encryption algorithm selected for the MTC device, and an integrity algorithm.
  • the verification unit 73 is configured to verify the first message authentication code received by the receiving message unit 72.
  • the verification unit 73 is configured to calculate a first verification message authentication code according to the identifier number of the multi-role base station, the MTC device identification number, the first random number, the second random number, and the root key of the MTC device. If the first message authentication code is consistent with the first verification message authentication code, the first message authentication code is successfully verified.
  • the calculating unit 74 is configured to: if the verification unit 73 verifies that the first message authentication code is successful After that, the second message authentication code is calculated.
  • the calculating unit 74 is specifically configured to calculate the second message authentication code according to the identification number of the multi-role base station, the MTC device identification number, the first random number, the second random number, and the root key of the MTC device.
  • the first communication key calculation unit 75 is configured to: after the verification unit 73 verifies that the first message authentication code is successful, generate a communication key, specifically:
  • the intermediate key generation subunit 751 is configured to generate an intermediate key according to the root key, the first random number, and the second random number of the MTC device.
  • the first communication key generation subunit 752 is configured to calculate the communication key according to the intermediate key generated by the intermediate key generation subunit 751 and the encryption algorithm and integrity algorithm selected for the MTC device.
  • a second sending message unit 76 configured to send a resource configuration complete message to the multi-role base station, where the resource configuration complete message carries the second message authentication code calculated by the calculating unit, so that the multiple roles
  • the base station verifies the second message authentication code and begins communication with the MTC device if the verification is successful.
  • the MTC device as the sensor device as an example to describe the communication process of reporting data to the MTC server.
  • the sensor device itself stores a pre-configured shared key K of the sensor, the pre-configured shared key of the sensor device stored in the sensor device, which may be a pre-configured shared secret of the sensor device stored in the sensor device.
  • the key may also be a pre-configured shared key of the sensor device stored in the card inserted in the sensor device, which is not limited herein.
  • the sensor device reports the data information to the MTC server through the multi-role base station, and the sensor device acquires the identification number eNB 1D of the multi-role base station by receiving the broadcast information of the multi-role base station.
  • the first sending message unit 71 of the sensor device sends a resource request message to the multi-role base station, where the resource request message includes: a sensor device identification number & ⁇ . , the safety capability of the sensor device and the first random number NONCE ⁇ generated by the sensor device, wherein the sensing
  • the device identification number Ser r 1D can be either the device identifier of the sensor device or the identification number of the sensor device.
  • the multi-role base station After receiving the resource request message, the multi-role base station generates a second random number ⁇ 3 ⁇ 4; and then according to the sensor device identification number & .
  • Obtaining a root key k of the sensor device where the root key may be a pre-configured shared key K of the sensor device, or may be a temporary shared key calculated according to a pre-configured shared key of the sensor device K t , the pre-configured shared key K of the sensor device on the multi-color base station side is stored in the multi-role base station or stored in the core network or the trust center, and the pre-configured shared key K on the sensor device side is stored in the sensor device, the sensor
  • the method for calculating the temporary shared key K t on the device side and the multi-role base station side is the same; the encryption algorithm and the integrity algorithm are selected for the sensor device according to the security capability of the sensor device, according to the identification number eA3 ⁇ 4 of the multi-role base station.
  • the first message authentication code 1 ⁇ 24C1 is obtained by the sensor device identification number Sen SO r ID , the first random number NONCE M , the second random number NONCE c, and the root key of the sensor device, and the specific algorithm is a hash algorithm.
  • MAC! H k (eNB ID
  • the multi-role base station sends a static resource configuration message to the sensor device, the static resource configuration message carries the first message authentication code 1 ⁇ 24C1, the second random Number NONCE c and the encryption algorithm and integrity algorithm chosen for the sensor device.
  • the receiving message unit 72 of the sensor device After receiving the static resource configuration message sent by the multi-role base station, the receiving message unit 72 of the sensor device then verifies the first message authentication code MACX by the verification unit 73. First, the verification unit 73 of the sensor device calculates the first according to the identification number e A2 ⁇ of the multi-role base station, the sensor device identification number Sensor ID , the first random number NONCE M , the second random number NONCE c, and the root key according to the storage sensor device. Verify the message authentication code 6.
  • the intermediate key generation subunit 751 generates an intermediate key Knew according to the root key k of the sensor device, the first random number, and the second random number using a key generation function algorithm; the first communication key generation subunit 752 is The intermediate key calculates the communication key using an encryption algorithm and an integrity algorithm selected for the sensor device.
  • the second sending message unit 76 of the sensor device After the calculation of the second message authentication code 1 ⁇ 24C2 and the communication key is completed, the second sending message unit 76 of the sensor device sends a resource configuration completion message to the multi-role base station, where the resource configuration completion message carries the second message authentication code 1 ⁇ 24C2 .
  • the second message authentication code 1 ⁇ 24C2 is consistent with C2', the second message authentication code is successfully verified, and the multi-role base station generates a communication key, where the communication key includes: an RRC signaling complete key, an RRC signaling encryption key, and The communication data encryption key is the same as the sensor device computing communication key.
  • the sensor device After the multi-role base station completes the calculation of the communication key, the sensor device begins to communicate with the MTC server to report the data.
  • the sensor device side encrypts the data to be reported and sends it to the multi-role base station that has been mutually authenticated.
  • the multi-role base station aggregates the received data to generate application layer data, and transmits the data to the server corresponding to the sensor device through the core network.
  • This embodiment uses a sensor device as an example for description. Of course, it may be other.
  • MTC equipment such as camera monitoring equipment, automatic meter (water and electricity meter) equipment, home automation equipment, equipment for payment systems, and related equipment such as vehicle remote space equipment.
  • the MTC device sends a resource request message to the multi-role base station by using the first sending message unit, so that the multi-role base station calculates the first message authentication code; and the receiving message unit receives the multi-role base station.
  • the static resource configuration message carries the first message authentication code; the verification unit verifies the first message authentication code; if the verification is successful, the calculation unit calculates the second message authentication code, and the first communication key calculation unit calculates a communication key, and then the second sending message unit sends a resource configuration complete message to the multi-role base station, so that the multi-role base station verifies the second message authentication code, and if the multi-role base station successfully verifies the second message authentication code, the communication secret is calculated.
  • the key so that the MTC device and the multi-role base station start to communicate, so that the MTC device has an authentication security mechanism for the new air interface with the multi-role base station, and also has an encryption security mechanism for communicating with the multi-role base station, further improving the M2M communication system. Security.
  • the embodiment of the present invention further provides a multi-role base station, as shown in FIG. 9, including: a first message receiving unit 81, a calculating unit 82, a sending message unit 83, a second receiving message unit 84, a verifying unit 85, and a first Two communication key calculation unit 86.
  • the first receiving message unit 81 is configured to receive a resource request message sent by the MTC device.
  • the resource request message includes: an MTC device identification number, an MTC device security capability, and a first random number generated by the MTC device.
  • the calculating unit 82 is configured to calculate a first message authentication code according to the resource request message received by the first receiving message unit 81, specifically for:
  • a list of shared keys storing all MTC devices is obtained from the core network.
  • the key request includes: the MTC device identification number, the first random number, and the second randomness, so that the trust center is configured according to the pre-configured MTC corresponding to the MTC device identification number.
  • a sending message unit 83 configured to send, by the calculating unit 82, the first message authentication code, to send, to the MTC device, a static resource configuration message, where the static resource configuration message carries the first message authentication code,
  • the MTC device calculates the second message authentication code, so that the MTC device verifies the first message authentication code, and if the MTC device successfully verifies the first message authentication code, the MTC device calculates the second message authentication code.
  • the static resource configuration message carries a first message authentication code, and also carries a second random number and an encryption algorithm and an integrity algorithm selected for the MTC device.
  • the MTC device receives the static resource configuration message sent by the multi-role base station, and the MTC device calculates the first verification according to the identification number of the multi-role base station, the MTC device identification number, the first random number, the second random number, and the root key of the MTC device. a message authentication code; determining whether the first message authentication code and the first verification message authentication code are consistent. If the first message authentication code and the first verification message authentication code are consistent, the first message authentication code is successfully verified. Then, according to the identification number of the multi-role base station, the MTC device identification number, the first random number, the second random number, and the root key of the MTC device, the second message authentication code is calculated, and the MTC device is multi-angled.
  • the color base station sends a resource configuration complete message.
  • a second receiving message unit 84 configured to receive, by the sending message unit 83, the resource configuration completion message sent by the MTC device, where the resource configuration completion message carries the second message Authentication Code.
  • the verification unit 85 is configured to verify the second message authentication code received by the second receiving message unit 84. Specifically:
  • the second communication key calculation unit 86 is configured to generate a communication key after the verification unit 85 verifies that the second message authentication code is successful, and specifically includes:
  • the intermediate key generation subunit 861 is configured to generate an intermediate key according to the root key of the MTC device, the first random number, and the second random number.
  • the second communication key generation subunit 862 is configured to calculate the communication key according to the intermediate key generated by the intermediate key generation subunit 861 and the encryption algorithm and integrity algorithm selected for the MTC device.
  • the following is an example of the communication process in which the multi-role base station and the sensor device establish an air interface security mechanism and report data to the MTC server.
  • the sensor device itself stores the pre-configured shared key K of the sensor device.
  • the sensor device reports the data information to the MTC server through the multi-role base station, and the sensor device acquires the device identification number of the multi-role base station by receiving the broadcast information of the multi-role base station.
  • the first receiving message unit 81 of the multi-role base station receives the resource request message sent by the sensor device, where the resource request message includes: a sensor device identification number Sensor, a security capability of the sensor device, and a first random number NONCE M generated by the sensor device.
  • the calculating unit 82 calculates the first message authentication code, and is further configured to: generate a second random number ⁇ ; select an encryption algorithm for the sensor device according to the security capability of the sensor device. And integrity algorithm; Sensor device identification number & . Get the root key k of the sensor device.
  • the first message authentication code is calculated according to the identification number of the multi-role base station, the sensor device identification number, the first random number, the second random number, and the root key of the MTC device.
  • the root key is a pre-configured shared key K of the sensor device, or a temporary shared key K Kmp calculated according to the pre-configured shared key K of the sensor device, and a root key of the sensor device side. It is obtained according to the shared key K stored in the sensor device, and the root key of the multi-role base station side is a multi-role base station according to the sensor device identification number & ⁇ . The obtained method of calculating the temporary shared key on the sensor device side and the multi-role base station side is the same.
  • the pre-configured shared key K of the sensor device on the multi-role base station side is stored in the polygonal base station or stored in the core network or the trust center.
  • the calculating unit 82 directly acquires the pre-configured shared key K of the sensor device according to the identification number Se 0 r 1D of the sensor device, and the shared key K is used as the root key. Key k.
  • the multi-role base station performs AKA authentication with the core network to establish NAS layer security, and the core network sends a shared key list of all sensor devices under the multi-color base station to the multi-role base station. Then, after receiving the resource request message sent by the sensor device, the first receiving message unit 81 is based on the identification number & ⁇ of the sensor device. Obtain the pre-configured shared key K of the sensor device, with the shared key K as the root key k .
  • the calculating unit 82 If the pre-configured shared key K is stored in the trust center, after the first receiving message unit 81 receives the resource request message sent by the sensor device, the calculating unit 82 generates the second random number ⁇ 3 ⁇ 4, The role base station sends a key request to the trust center, where the key request includes the identification number Se or 1D of the sensor device, the first random number NONCE M, and the second random number ; ⁇ 3 ⁇ 4; the trust center receives the multi-role base station to send After the key request, the pre-configured shared key K of the sensor device is obtained according to the identification number Sensor of the sensor device, and then the key generation function is used, according to the pre-configured sharing of the sensor device. The key K, the first random number ⁇ ?
  • K Kmp , Ktemp KDF (K, NONCEc, NONCEm) of the sensor device.
  • the trust center then sends a key response to the multi-role base station, where the key response carries the temporary shared key ⁇ as the root key.
  • the calculating unit 82 then calculates the first message authentication code 1 ⁇ 24C1, which is specifically: according to the identification number of the multi-role base station eA ⁇ the identification number & of the sensor device.
  • the sending message unit 83 sends a static resource configuration message to the sensor device, where the static resource configuration message carries the first message authentication code 1 ⁇ 24C1, the second random number NONCEc, and an encryption algorithm selected for the sensor device. And integrity algorithms.
  • the sensor device After receiving the static resource configuration message sent by the sending message unit 83, the sensor device verifies the first message authentication code 1 ⁇ 24C1.
  • a sensor apparatus according to the multi-character identification number of the base station eA / sensor device identification number ⁇ & o, a first random number ⁇ ⁇ ⁇ ⁇ ⁇ ? ⁇ , NONCEc second random number and the message according to the root key to verify the first computing device sensor
  • the authentication code is 1 ⁇ 24Cl'
  • the specific algorithm is hash algorithm
  • MACi H k ⁇ eNB ID ⁇ ⁇ Sensor ID ⁇ ⁇ NONCE c ⁇ ⁇ NONCE M ); then it is judged whether 1 ⁇ 24C1 and C1 ' are consistent.
  • the sensor device After the calculation of the second message authentication code 1 ⁇ 24C2 and the communication key is completed, the sensor device sends a resource configuration completion message to the multi-role base station, where the resource configuration completion message carries the second message authentication code MAC2.
  • the intermediate key generation subunit 861 generates an intermediate key according to the root key of the sensor device, the first random number, and the second random number; the second communication key generation subunit 862 uses the intermediate key according to the intermediate key
  • the communication key is calculated for the encryption algorithm and integrity algorithm selected by the sensor device.
  • the communication key also includes: an RRC signaling complete key, an RRC signaling encryption key, and a communication data encryption key, and the specific algorithm is the same as the sensor device computing communication key.
  • the second communication key calculation unit 86 completes the calculation of the communication key
  • the sensor device starts to communicate with the MTC server to report data, specifically: the sensor device side encrypts the data to be reported, and sends the data to the multi-role base station that has been mutually authenticated, and the multi-role base station generates the application layer data after the received data is aggregated. . Then the multi-role base station and the core network perform AKA authentication and establish a NAS layer. After security, the multi-role base station transmits data to the server corresponding to the sensor device.
  • the sensor device starts to communicate with the MTC server to report data, and the sensor device side encrypts and sends the data to be reported.
  • the multi-role base station generates application layer data after the received data is aggregated, and then transmits the data to the server corresponding to the sensor device through the core network.
  • an air interface security mechanism is established by using a multi-role base station and a sensor device as an example.
  • MTC devices such as camera monitoring devices, automatic meters (water and electricity meters) devices, home automation devices, and payment system devices.
  • related equipment such as vehicle remote space equipment.
  • the first receiving message unit receives the resource request message sent by the MTC device, and the calculating unit calculates the first message authentication code; and then sends the message unit to send the static resource configuration message to the MTC device, and the static resource configuration message
  • the first message authentication code is carried in the MTC device to verify the first message authentication code. If the MTC device successfully authenticates the first message authentication code, the second message authentication code and the communication key are calculated, and then the multi-role base station is sent to the multi-role base station.
  • the verification unit verifies the second message authentication code, and if the verification unit successfully verifies the second message authentication code, the second communication key calculation unit calculates the communication key, so that the MTC device and the multi-role base station start to perform Communication, such a multi-role base station not only establishes a new air interface security mechanism with the MTC device, but also establishes a communication encryption security mechanism with the MTC device, further improving the security of the M2M communication system.
  • the foregoing program may be stored in a computer readable storage medium, and the program is executed when executed.
  • the foregoing steps include the steps of the foregoing method embodiments; and the foregoing storage medium includes: a medium that can store program codes, such as a ROM, a RAM, a magnetic disk, or an optical disk.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Security & Cryptography (AREA)
  • Mobile Radio Communication Systems (AREA)

Abstract

本发明提供了一种通信方法、装置，涉及机器对机器（M2M）系统通信安全领域，可以提高M2M通信系统的安全。本发明实施例提供的机器类型通信（MTC）设备的通信方法包括：向多角色基站发送资源请求消息，以使得所述多角色基站计算第一消息认证码；接收所述多角色基站发送的静态资源配置消息，所述静态资源配置消息中携带有所述第一消息认证码；接收所述多角色基站发送的静态资源配置消息，所述静态资源配置消息中携带有所述第一消息认证码；验证所述第一消息认证码；若所述第一消息认证码验证成功，计算第二消息认证码；向所述多角色基站发送资源配置完成消息，所述资源配置完成消息中携带有所述第二消息认证码，以使得所述多角色基站验证所述第二消息认证码并在验证成功的情况下与MTC设备开始通信。本发明实施例用于M2M系统的通信过程中。

Description

一种通信方法、 装置 本申请要求于 2011 年 12 月 07 日提交中国专利局、 申请号为 201110403140.X, 发明名称为"一种通信方法、 装置"的中国专利申请的优 先权， 其全部内容通过引用结合在本申请中。 技术领域 本发明涉及无线通信技术领域， 尤其涉及一种通信方法、 装置。
背景技术 机器对机器 （ Machine to Machine , M2M ) 技术是无线通信技术 和信息技术的整合， 是指无需人工干预， 机器和机器之间可以直接进 行通信， 适用于安全监测、 远程控制、 支付系统等领域。 在 M2M系 统中， 接入至网络的 M2M 设备也被称作机器类型通信 （MTC , Machine Type Communication )设备。
现有通信网络中， UE与核心网侧进行 AKA ( Authentication and Key Agreement, 认证与密钥协商） ， 并建立 UE与核心网之间的非 接入层 NAS ( Non- Access Stratum, 非接入层 )层的安全以及 UE与 基站之间的接入层 AS ( Access Stratum, 接入层 ) 层的安全。
然而在 M2M通信系统中， 多角色基站与核心网侧进行 AKA后 接入网络， 并与核心网之间建立非接入层安全。 MTC设备接入多角 色基站并通过多角色基站与核心网进行通信，这样从核心网的角度看 来 MTC设备不可见， MTC设备与多角色基站之间使用新的空中接 口， 但 MTC设备与多角色基站之间新空口的通信没有安全机制， 对 网络安全造成隐患。
发明内容 本发明的实施例提供了一种通信方法、 装置， 可以提高 M2M通 信系统的安全。
为达到上述目的， 本发明的实施例釆用如下技术方案：
一方面， 提供了一种机器类通信 MTC设备的通信方法， 包括： 向多角色基站发送资源请求消息，以使得所述多角色基站计算第 一消息认证码；
接收所述多角色基站发送的静态资源配置消息，所述静态资源配 置消息中携带有所述第一消息认证码；
验证所述第一消息认证码；
若所述第一消息认证码验证成功， 计算第二消息认证码； 向所述多角色基站发送资源配置完成消息，所述资源配置完成消 息中携带有所述第二消息认证码，以使得所述多角色基站验证所述第 二消息认证码并在验证成功的情况下与所述 MTC设备开始通信。
一方面， 提供了另一种与 MTC设备通信的方法， 包括： 接收所述 MTC设备发送的资源请求消息；
计算第一消息认证码；
向所述 MTC设备发送静态资源配置消息， 所述静态资源配置消 息中携带有所述第一消息认证码， 以使得所述 MTC设备验证所述第 一消息认证码， 若所述 MTC设备对所述第一消息认证码验证成功， MTC设备计算第二消息认证码；
接收所述 M T C设备发送的资源配置完成消息， 所述资源配置完 成消息中携带有所述第二消息认证码；
验证所述第二消息认证码， 若所述第二消息认证码验证成功， 与 所述 MTC设备开始通信。
一方面， 提供了一种 MTC设备， 包括：
第一发送消息单元， 用于向多角色基站发送资源请求消息， 以使 得所述多角色基站计算第一消息认证码； 接收消息单元，用于所述第一发送消息单元发送所述资源请求消 息后， 接收所述多角色基站发送的静态资源配置消息， 所述静态资源 配置消息中携带有所述第一消息认证码；
验证单元，用于验证所述接收消息单元接收的所述第一消息认证 码；
计算单元， 用于若验证单元验证所述第一消息认证码成功后， 计 算第二消息认证码；
第二发送消息单元，用于向所述多角色基站发送资源配置完成消 息，所述资源配置完成消息中携带有所述计算单元计算的所述第二消 息认证码，以使得所述多角色基站验证所述第二消息认证码并在验证 成功的情况下与所述 MTC设备开始通信。
一方面， 提供了一种多角色基站的， 包括：
第一接收消息单元， 用于接收 MTC设备发送的资源请求消息； 计算单元，用于根据所述第一接收消息单元接收到的所述资源请 求消息计算第一消息认证码；
发送消息单元， 用于所述计算单元计算所述第一消息认证码后， 向所述 MTC设备发送静态资源配置消息， 所述静态资源配置消息中 携带有所述第一消息认证码， 以使得所述 MTC设备验证所述第一消 息认证码， 若所述 MTC设备对所述第一消息认证码验证成功， MTC 设备计算第二消息认证码；
第二接收消息单元，用于所述发送消息单元发送所述静态资源配 置消息后， 接收所述 MTC设备发送的资源配置完成消息， 所述资源 配置完成消息中携带有所述第二消息认证码；
验证单元，用于验证所述第二接收消息单元接收的所述第二消 ,包、 认证码， 若所述第二消息认证码验证成功， 多角色基站与所述 MTC 设备开始通信。
本发明实施例提供的通信方法、 装置， MTC设备通过向多角色基 站发送资源请求消息， 以使得多角色基站计算第一消息认证码； 然后 接收多角色基站发送的静态资源配置消息， 静态资源配置消息中携带 有第一消息认证码， 并对第一消息认证码进行验证； 若验证成功， 计 算第二消息认证码， 然后向多角色基站发送资源配置完成消息， 以使 得多角色基站对第二消息认证码进行验证， 若验证成功， MTC设备和 多角色基站开始进行通信。 这样就通过消息认证码确认相互通信的双 方，从而建立了 MTC设备和多角色基站的多角色基站之间的空口认证 安全机制， 提高了 M2M通信系统的安全。
附图说明 为了更清楚地说明本发明实施例或现有技术中的技术方案，下面 将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而 易见地， 下面描述中的附图仅仅是本发明的一些实施例， 对于本领域 普通技术人员来讲， 在不付出创造性劳动的前提下， 还可以根据这些 附图获得其他的附图。
图 1为本发明实施例提供的一种机器类通信 MTC设备的通信方 法流程图；
图 2 为本发明实施例提供的一种与 MTC 设备通信的方法流程 图；
图 3为本发明实施例提供的一种 MTC设备结构框图；
图 4为本发明实施例提供的一种多角色基站的结构框图； 图 5为本发明实施例提供的另一种机器类通信 MTC设备的通信 方法流程图；
图 6为本发明实施例提供的另一种机器类通信 M T C设备的通信 方法流程图；
图 7为本发明实施例提供的又一种机器类通信 MTC设备的通信 方法流程图； 图 8本发明实施例提供的另一种 MTC设备结构框图；
图 9为本发明实施例提供的另一种多角色基站的结构框图。
具体实施方式 下面将结合本发明实施例中的附图，对本发明实施例中的技术方 案进行清楚、 完整地描述， 显然， 所描述的实施例仅仅是本发明一部 分实施例， 而不是全部的实施例。 基于本发明中的实施例， 本领域普 通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例， 都属于本发明保护的范围。
本发明实施例中所涉及的多角色基站是指可以实现集中器角色、 UE ( User Equipment, 用户设备） 角色和基站角色的基站。 多角色基 站中的集中器角色负责与 MTC设备之间进行通信， UE 负责接收来 自集中器角色的信息， 建立与核心网的连接。 UE角色和基站角色与 现有技术中 UE、 基站功能相同。 当然本发明实施例中的多角色基站 中的 UE角色和基站角色同属于一个设备， UE角色和基站角色之间 可以不需要建立 AS层的安全， 只需 UE和核心网进行 AKA认证， 并建立 NAS层的安全。
实施例一、
本发明实施例提供了一种机器类通信 MTC设备的通信方法， 该 通信方法的执行主体为 MTC设备， 如图 1所示， 包括：
S101、 向多角色基站发送资源请求消息， 以使得所述多角色基站 计算第一消息认证码。
向多角色基站发送的资源请求消息包括： MTC设备标识号、 MTC 设备安全能力和 MTC设备生成的第一随机数。
多角色基站接收到资源请求消息， 生成第二随机数， 然后根据所 述 MTC设备标识号获取 MTC设备的根密钥、根据所述 MTC设备安 全能力为所述 MTC设备选择加密算法和完整性算法。
多角色基站根据多角色基站的标识号、 MTC设备标识号、 MTC 设备生成的第一随机数、 多角色基站生成的第二随机数和 MTC设备 的根密钥计算第一消息认证码。
S102、接收所述多角色基站发送的静态资源配置消息， 所述静态 资源配置消息中携带有所述第一消息认证码。
静态资源配置消息还携带有多角色基站生成的第二随机数和为 MTC设备选择的加密算法和完整性算法。
S 103、 验证所述第一消息认证码。
首先， MTC设备根据多角色基站的标识号、 MTC设备标识号、 MTC设备生成的第一随机数、 多角色基站生成的第二随机数和 MTC 设备的根密钥计算第一验证消息认证码，若第一消息认证码与第一验 证消息认证码一致， 则第一消息认证码验证成功。
其中， 所述 MTC设备标识号既可以包括 MTC设备的设备标识， 也可以包括 MTC设备的身份标识， 此处不做限定。
5104、 若第一消息认证码验证成功， 计算第二消息认证码。
MTC 设备根据多角色基站的标识号、 MTC 设备标识号、 MTC 设备生成的第一随机数、 多角色基站生成的第二随机数和 MTC设备 的根密钥计算第二消 , 认证码。
5105、 向所述多角色基站发送资源配置完成消息， 所述资源配置 完成消息中携带有所述第二消息认证码，以使得所述多角色基站验证 所述第二消息认证码并在验证成功的情况下与所述 MTC设备开始通 信。
其中，上述的根密钥具体可以是 MTC设备的预配置的共享密钥， 也可以是根据所述预配置的共享密钥计算得到的临时共享密钥。 MTC设备侧的根密钥为根据存储在所述 MTC设备中的预配置的共 享密钥得到的， 多角色基站侧的根密钥为多角色基站根据 MTC设备 标识号获取的所述 MTC设备的预配置的共享密钥得到的， MTC设备 侧和多角色基站侧的临时共享密钥的计算方法相同。 本发明实施例还提供了一种与 MTC设备通信的方法， 该方法的 执行主体为多角色基站， 如图 2所示包括：
5201、 多角色基站接收所述 MTC设备发送的资源请求消息。 其中， 资源请求消息包括： MTC设备标识号、 MTC设备安全能 力和 MTC设备生成的第一随机数。
5202、 计算第一消息认证码。
多角色基站接收 MTC设备发送的资源请求消息后， 多角色基站 生成第二随机数， 还根据 MTC设备标识号获取 MTC设备的根密钥 以及根据 MTC设备的安全能力为 MTC设备选择加密算法和完整性 算法。
多角色基站根据多角色基站的标识号、 MTC设备标识号、 MTC 设备生成的第一随机数、 多角色基站生成的第二随机数以及 MTC设 备的根密钥计算第一消, ί认证码。
5203、 向所述 MTC设备发送静态资源配置消息， 所述静态资源 配置消息中携带有所述第一消息认证码， 以使得所述 MTC设备验证 所述第一消息认证码， 若所述 MTC设备对所述第一消息认证码验证 成功， MTC设备计算第二消息认证码。
多角色基站发送静态资源配置消息，静态资源配置消息携带有第 一消息认证码， 还携带有第二随机数和为 MTC设备选择的加密算法 和完整性算法。
MTC设备接收到多角色基站发送的静态资源配置消息， 根据多 角色基站的标识号、 MTC设备标识号、 第一随机数、 第二随机数以 及 MTC设备根密钥计算得到第一验证消息认证码； 判断第一消息认 证码和第一验证消息认证码是否一致。若第一消息认证码和第一验证 消息认证码一致， 则第一消息认证码验证成功。 然后根据多角色基站 的标识号、 MTC设备标识号、 第一随机数、 第二随机数以及 MTC设 备的根密钥计算得到第二消息认证码， MTC设备向多角色基站发送 资源配置完成消息。
5204、 接收所述 MTC设备发送的资源配置完成消息， 所述资源 配置完成消息中携带有所述第二消息认证码。
5205、验证所述第二消息认证码， 若所述第二消息认证码验证成 功， 与所述 MTC设备开始通信。
首先， 多角色基站根据多角色基站的标识号、 MTC设备标识号、 第一随机数、 第二随机数以及 MTC设备的根密钥计算第二验证消息 认证码； 判断第二消息认证码与第二验证消息认证码是否一致， 若第 二消息认证码与第二验证消息认证码一致，则第二消息认证码验证成 功。
其中， 上述的根密钥具体可以是所述 MTC设备的预配置的共享 密钥， 也可以是根据所述 M T C设备的预配置的共享密钥计算得到的 临时共享密钥， MTC设备侧的根密钥为根据存储在 MTC设备中的预 配置的 MTC设备共享密钥得到的， 多角色基站侧的根密钥为多角色 基站根据 MTC设备标识号获取的 MTC设备的预置的共享密钥得到 的， MTC设备侧和多角色基站侧的临时共享密钥的计算方法相同。
本发明实施例还提供了一种 MTC设备， 如图 3所示， 包括： 第 一发送消息单元 31、 接收消息单元 32和验证单元 33、 计算单元 34 和第二发送消息单元 35。
第一发送消息单元 31 , 用于向多角色基站发送资源请求消息， 以使得所述多角色基站计算第一消息认证码。
第一发送消息单元 31发送的资源请求消息包括： MTC设备标识 号、 MTC设备安全能力和 MTC设备生成的第一随机数。 多角色基站 接收到资源请求消息后， 生成第二随机数， 根据 MTC设备标识号获 取 MTC设备的根密钥，根据 MTC设备的安全能力为 MTC设备选择 加密算法和完整性算法。
接收消息单元 32 , 用于所述第一发送消息单元 31发送所述资源 请求消息后，接收所述多角色基站发送的静态资源配置消息， 所述静 态资源配置消息中携带有所述第一消息认证码。
其中，静态资源配置消息中还携带有多角色基站发送的第二随机 数、 为 MTC设备选择的加密算法和完整性算法。
验证单元 33 , 用于验证所述接收消息单元 32接收的所述第一消 息认证码。
验证单元 33根据多角色基站的标识号、 MTC设备标识号、 第一 随机数、 第二随机数以及 MTC设备的根密钥计算第一验证消息认证 码， 若所述第一消息认证码与所述第一验证消息认证码一致， 则第一 消息认证码验证成功。
计算单元 34 , 用于若验证单元 33验证所述第一消息认证码成功 后， 计算第二消息认证码。
计算单元 34具体用于根据多角色基站的标识号、 MTC设备标识 号、 第一随机数、 第二随机数以及 MTC设备的根密钥计算第二消息 认证码。
第二发送消息单元 35 , 用于向所述多角色基站发送资源配置完 成消息， 所述资源配置完成消息中携带有所述计算单元 34计算的所 述第二消息认证码，以使得所述多角色基站验证所述第二消息认证码 并在验证成功的情况下与所述 M T C设备开始通信。
本发明实施还提供了一种多角色基站的多角色基站， 如图 4 所 示， 包括： 第一接收消息单元 41、 计算单元 42、 发送消息单元 43、 第二接收消息单元 44和验证单元 45。
第一接收消息单元 41 ,用于接收 MTC设备发送的资源请求消息。 其中资源请求消息包括： MTC设备标识号、 MTC设备安全能力 和 MTC设备生成的第一随机数。
计算单元 42 , 用于根据所述第一接收消息单元 41接收到的所述 资源请求消息计算第一消息认证码。 第一接收消息单元 41接收 MTC设备发送的资源请求消息后， 计算单元 42首先分别用于生成第二随机数、 根据 MTC设备标识号 获取 MTC设备的根密钥以及根据 MTC设备的安全能力为 MTC设备 选择加密算法和完整性算法。
然后根据多角色基站的标识号、 MTC设备标识号、 第一随机数、 第二随机数以及 MTC设备的根密钥计算第一消息认证码。
发送消息单元 43 , 用于所述计算单元 41计算所述第一消息认证 码后， 向所述 MTC设备发送静态资源配置消息， 所述静态资源配置 消息中携带有所述第一消息认证码， 以使得所述 MTC设备验证所述 第一消息认证码，若所述 MTC设备对所述第一消息认证码验证成功 , MTC设备计算第二消息认证码。
静态资源配置消息携带有第一消息认证码，还携带有第二随机数 和为 MTC设备选择的加密算法和完整性算法。
MTC设备接收到多角色基站发送的静态资源配置消息， MTC设 备根据多角色基站的标识号、 MTC设备标识号、 第一随机数、 第二 随机数以及 MTC设备的根密钥计算得到第一验证消息认证码， 若所 述第一消息认证码与所述第一验证消息认证码一致，则第一消息认证 码验证成功。 然后 MTC设备根据多角色基站的标识号、 MTC设备标 识号、 第一随机数、 第二随机数以及 MTC设备的根密钥计算得到第 二消息认证码， MTC设备向多角色基站发送资源配置完成消息。
第二接收消息单元 44 , 用于所述发送消息单元 43发送所述静态 资源配置消息后， 接收所述 MTC设备发送的资源配置完成消息， 所 述资源配置完成消息中携带有所述第二消息认证码。
验证单元 45 , 用于验证所述第二接收消息单元 44接收的所述第 二消息认证码， 若所述第二消息认证码验证成功， 多角色基站与所述 MTC设备开始通信。
验证单元 45根据多角色基站的标识号、 MTC设备标识号、 第一 随机数、 第二随机数以及 MTC设备的根密钥计算第二验证消息认证 码， 若第二消息认证码与第二验证消息认证码一致， 则第二消息认证 码验证成功， 多角色基站与所述 MTC设备开始通信。
本发明实施例提供的机器类通信 MTC设备的通信方法、 MTC设 备、 多角色基站， MTC设备通过向多角色基站的发送资源请求消息， 以使得多角色基站计算第一消息认证码；接收多角色基站发送的静态 资源配置消息， 静态资源配置消息中携带有第一消息认证码， 并对第 一消息认证码进行验证； 若验证成功， 计算第二消息认证码， 然后向 多角色基站发送资源配置完成消息，以使得多角色基站对第二消息认 证码进行验证， 若验证成功， MTC设备和多角色基站开始进行通信。 这样就通过消息认证码确认相互通信的双方， 从而建立了 MTC设备 和多角色基站之间的新空口的认证安全机制， 提高了 M2M通信系统 的安全。
实施例二、
本发明实施例提供了一种 MTC设备的通信方法， 如图 5所示， 包括：
5501、 MTC设备向多角色基站发送资源请求消息， 以使得所述 多角色基站计算第一消息认证码。
MTC设备向多角色基站发送的资源请求消息包括： MTC设备标 识号、 MTC设备安全能力和 MTC设备生成的第一随机数。
5502、 多角色基站计算第一消息认证码。
多角色基站接收到资源请求消息后， 生成第二随机数， 然后根据 所述 MTC设备标识号获取 MTC设备的根密钥、根据所述 MTC设备 安全能力为 MTC设备选择加密算法和完整性算法。
多角色基站根据多角色基站的标识号、 MTC设备标识号、 MTC 设备生成的第一随机数、 多角色基站生成的第二随机数和 MTC设备 的根密钥计算第一消息认证码。 S503、 多角色基站向所述 MTC设备发送静态资源配置消息， 所 述静态资源配置消息中携带有所述第一消息认证码。
其中， 静态资源配置消息还携带有第二随机数和为 MTC设备选 择的加密算法和完整性算法。
S504、 MTC设备验证所述第一消息认证码。
MTC 设备根据多角色基站的标识号、 MTC 设备标识号、 MTC 设备生成的第一随机数、 多角色基站生成的第二随机数和 MTC设备 的根密钥计算第一验证消息认证码。
若第一消息认证码与第一验证消息认证码一致，则第一消息认证 码马全证成功。
5505、 若第一消息认证码验证成功， MTC设备计算第二消息认 证码后， 还生成通信密钥。
MTC 设备根据多角色基站的标识号、 MTC 设备标识号、 MTC 设备生成的第一随机数、 多角色基站生成的第二随机数和 MTC设备 的根密钥计算第二消 , 认证码。
然后 MTC设备生成与多角色基站通信的通信密钥， 具体包括： 根据 MTC设备的根密钥、 第一随机数和第二随机数生成中间密钥； 根据所述中间密钥和为 MTC设备选择的加密算法和完整性算法 计算所述通信密钥。
5506、 MTC设备向所述多角色基站发送资源配置完成消息， 所 述资源配置完成消息中携带有所述第二消息认证码。
5507、 多角色基站验证所述第二消息认证码。
首先， 多角色基站根据多角色基站的标识号、 MTC设备标识号、 第一随机数、 第二随机数以及 MTC设备的根密钥计算得到第二验证 消息认证码， 若第二消息认证码与第二验证消息认证码一致， 则第二 消息认证码验证成功。
5508、若所述第二消息认证码验证成功， 多角色基站还生成通信 密钥， 然后与所述 MTC设备开始通信。
多角色基站生成与 MTC设备通信的通信密钥， 多角色基站生成 的通信密钥与 MTC设备的通信密钥相同。 具体包括为：
根据 MTC设备的根密钥， 第一随机数和第二随机数生成中间密 钥；
根据所述中间密钥和为 MTC设备选择的加密算法和完整性算法 计算所述多角色基站的通信密钥。
其中，上述的根密钥具体可以是 MTC设备的预配置的共享密钥， 也可以是根据所述 M T C设备的预配置的共享密钥计算得到的临时共 享密钥。 MTC设备侧的根密钥是根据存储在 MTC设备中的预配置的 共享密钥得到的， 多角色基站侧的根密钥为多角色基站根据 MTC设 备标识号获取的 MTC设备的预配置的共享密钥得到的， MTC设备侧 和多角色基站侧的临时共享密钥的计算方法相同。
多角色基站侧的根密钥为多角色基站根据 MTC设备标识号获取 的， 具体的方法可以包括：
从核心网获取多角色基站管辖的所有 MTC 设备的共享密钥列 表；
根据所述 MTC设备的标识号， 从所述共享密钥列表中获取所述 MTC设备的预配置的共享密钥， 将所述共享密钥作为根密钥。
具体交互过程如图 6所示， 包括；
5601、 多角色基站与核心网之间进行 AKA认证， 并建立多角色 基站与核心网之间的 NAS层安全。
5602、 若多角色基站与核心网之间 AKA认证成功， 核心网向多 角色基站发送多角色基站管辖的所有 MTC设备的共享密钥列表， 该 密钥列表由多角色基站与核心网之间的 NAS层安全进行保护。
在 MTC设备向多角色基站发送资源请求消息后， 多角色基站根 据资源请求消息中包含的 MTC设备的标识号从共享密钥列表中获得 MTC设备的预配置的共享密钥，将该共享密钥作为根密钥。具体 MTC 设备与多角色基站的认证过程 S603-S610与图 5中的 S501-S508的过 程相同， 在此不再赘述。
多角色基站侧的根密钥为多角色基站根据 MTC设备标识号获取 的， 具体的方法还可以包括：
所述多角色基站向信任中心发送密钥请求， 所述密钥请求包括： 所述 MTC设备标识号、 第一随机数和第二随机， 以使得所述信任中 心根据所述 MTC设备标识号对应的 MTC设备的预配置的共享密钥、 所述第一随机数和第二随机数计算所述 MTC设备的临时共享密钥； 接收所述信任中心的密钥响应，所述密钥响应携带所述临时共享 密钥， 将所述临时共享密钥作为根密钥。
具体的交互过程如图 7所示， 具体包括：
5701、 MTC设备向多角色基站发送资源请求消息， 以使得所述 多角色基站计算第一消息认证码。
MTC设备向多角色基站发送的资源请求消息包括： MTC设备标 识号、 MTC设备安全能力和 MTC设备生成的第一随机数。
5702、 多角色基站向信任中心发送密钥请求。
其中密钥请求包括 MTC设备的标识号、第一随机数和多角色基 站生成的第二随机数；
5703、 信任中心计算 MTC设备的临时共享密钥， 并向多角色基 站发送密钥响应。
信任中心根据 MTC 设备的标识号获取到传感器设备的共享密 钥， 然后釆用密钥生成函数， 根据 MTC设备的共享密钥， 第一随机 数和第二随机数计算出该 MTC设备的临时共享密钥。 然后向多角色 基站发送密钥响应， 所述密钥响应携带所述临时共享密钥， 多角色基 站将所述临时共享密钥作为根密钥。 相应的 MTC设备侧根据存储在 MTC设备中的 MTC设备的预配置的共享密钥、 第一随机数、 第二随 机数， 釆用与多角色基站侧相同的密钥生成函数计算 MTC设备侧的 临时共享密钥， 随后 MTC设备将所述临时共享密钥作为根密钥。 所 述存储在 MTC设备中的 MTC设备的预配置的共享密钥， 既包括存 储在 MTC设备中的 MTC设备的预配置的共享密钥， 也包括存储在 插入 MTC设备上的卡中的 MTC设备的预配置的共享密钥， 此处不 做限定。
之后 MTC设备和多角色基站之间的交互过程 S704-S710和图 5 中的 S502-S508的过程相同， 在此不再赘述。
以下我们以传感器设备向 MTC服务器上报数据的通信过程为例 具体进行说明。 传感器设备自身存储预配置的共享密钥 K, 传感器设 备通过多角色基站向 MTC服务器上报数据信息， 传感器设备通过接 收多角色基站的广播信息获取多角色基站的标识号 eNB1D。
首先， 传感器设备向多角色基站发送资源请求消息， 资源请求消 息包括： 传感器设备标识号& ^。 、 传感器设备的安全能力和传感器 设备生成的第一随机数 NONCE Μ , 其中传感器设备标识号 Se 0i1D既可 以是传感器设备的设备标识号， 也可以是传感器设备的身份标识号。
多角色基站接收到资源请求消息后， 生成第二随机数 Λ^Λ^¾ ; 然后根据传感器设备标识号 & 。 获取传感器设备的根密钥 k ,根密 钥 具体可以是所述传感器设备的预配置的共享密钥 K,也可以是根 据所述传感器设备的预配置的共享密钥 K计算得到的临时共享密钥
Kt ，多 色基站侧的预配置的共享密钥 K存储在多角色基站或存储 在核心网或存储在信任中心，传感器设备预配置的共享密钥存储在传 感器设备中，传感器设备侧和多角色基站侧的临时共享密钥 的计 算方法相同；根据传感器设备的安全能力为传感器设备选择加密算法 和完整性算法。 然后多角色基站根据多角色基站的标识号 eA¾Z3、 传 感器设备的标识号 SenSOrID、第一随机数 NONCE M、第二随机数 NONCE c 以及传感器设备的根密钥 计算得到所述第一消息认证码 ½4Cl , 具 体的算法为哈希算法， MAC\ = Hk (eNBID | | Sensor ID | | NONCE c | | NONCE M )； 多角色基站向传感器设备发送静态资源配置消息，静态资源配置消息 携带有第一消息认证码 ½4C1、第二随机数 NONCEc和为传感器设备选 择的加密算法和完整性算法。
传感器设备接收到多角色基站发送的静态资源配置消息后，验证 第一消息认证码 ½4C1。 首先传感器设备根据多角色基站的标识号 eNBID、 传感器设备标识号 &^0 、 第一随机数 Λ^Λ^Ϊ?Μ、 第二随机数 Λ^Λ^ 以及传感器的根密钥 计算第一验证消息认证码 6 , 具 体的算法为哈希算法， l£ Cl' = Hk{eNBID \ \ SensorID \ \ NONCEc \ \ NONCE M)； 然后判断 ½4C1与 ½4Cl '是否一致。 若 ½4C1与 ½4Cl'一致， 传感器设备 计算第二消息认证码 ^4^72，具体算法也是釆用与 ½4C1相同的哈希值 算法， 具体为 C2 = J^ (SensorID \ \ eNBID \ \ NONCE M \ \ NONCE c )。 同时传 感器生成传感器设备的通信密钥， 具体包括： 根据存储在传感器设备 中的传感器的预配置的共享密钥 K得到的根密钥 ：、 第一随机数和 第二随机数釆用密钥生成函数算法生成中间密钥 ； 然后根据中 间密钥和为传感器设备选择的加密算法和完整性算法计算传感器设 备的 通信 密钥 ， 通信 密 钥 包括： RRC 信令完 整 密 钥 KnewRRC int = KDF{Knew, RRC - int- a \g, A lg- ID) , RRC 信令力口密密钥 KnewRRCenc = KDF(Knew, RRC - enc - a lg, A lg- ID) , 通信数据力口密密钥 KnewUPenc = KDF{Knew, UP - enc - a lg, A \g< - ID) , 其中 RRC 信令完整密钥 T&ew^Cint用于对 RRC信令的完整性加密， 防止 RRC信令在传输过 程中被攻击者篡改， RRC信令加密密钥 KnewRRCenc和通信数据加密密 钥分别用于对 RRC信令的信息和传感器设备上报的数据消息进行加 密， 防止在传输过程中被攻击者窃听。
在完成第二消息认证码 ½4C2和通信密钥的计算后， 传感器设备 向多角色基站发送资源配置完成消息，资源配置完成消息中携带有所 述第二消息认证码 MAC2。 多角色基站接收到传感器设备发送的资源配置完成消息后，对第 二消息认证码 ½4C2进行认证。 具体包括： 计算第二验证消息认证码 MAC2 , 具 体 的 算 法 与 ½4C2 釆 用 相 同 的 哈 希 算 法 ， MAC2 = Hk{SensorID | | eNBID | | NONCE M | | NONCE c)， 然后判 断 ½4C2与 C2'是否一致。若 ½4C2与 C2'—致，则第二消息认证码验证成功， 多角色基站生成通信密钥， 通信密钥包括： RRC信令完整密钥、 RRC 信令加密密钥和通信数据加密密钥，具体算法与传感器设备的通信密 钥的计算方法相同。
若根密钥为存储在多角色基站中的传感器设备的预配置的共享 密钥，或为根据存储在信任中心的传感器设备的预配置的共享密钥计 算的临时共享密钥， 多角色基站完成通信密钥的计算之后， 传感器设 备开始与 MTC服务器进行通信上报数据， 具体为： 传感器设备侧对 要上报的数据进行加密， 发送给已进行相互认证的多角色基站。 多角 色基站与核心网进行 AKA认证， 建立 NAS层安全， 从而多角色基 站将数据安全传输给传感器设备对应的服务器。
若根密钥为存储在核心网中的传感器设备的预配置的共享密钥， 多角色基站完成通信密钥的计算之后， 传感器设备开始与 MTC服务 器进行通信上报数据， 具体为： 传感器设备侧对要上报的数据进行加 密， 发送给已进行相互认证的多角色基站， 多角色基站对接收到的数 据汇聚后生成应用层数据， 然后把该数据通过已与多角色基站进行 AKA认证的核心网传输给传感器设备对应的服务器。
本实施例以传感器设备为例进行说明，当然也可以应用于其他的 MTC设备， 如摄像监控设备、 自动仪表 （水电气表）设备、 家庭自 动化设备、 支付系统的设备以及车辆远程空设备等相关的设备。
本发明实施例提供的机器类通信 MTC设备的通信方法， MTC设 备通过向多角色基站发送资源请求消息，以使得多角色基站计算第一 消息认证码； 然后 MTC设备对第一消息认证码进行验证， 验证成功 的同时计算第二消息认证码，以使得多角色基站对第二消息认证码进 行验证。 进一步的， 在 MTC设备和多角色基站两侧都彼此验证成功 后，各自生成通信密钥，从而 MTC设备和多角色基站开始进行通信。 这样 MTC 设备和多角色基站之间不仅建立了新空口的安全认证机 制， 还建立了通信加密机制， 进一步提高了 M2M通信系统的安全。
实施例三、
本发明实施例还提供了一种 MTC设备， 如图 8所示， 包括： 第 一发送消息单元 71、 接收消息单元 72和验证单元 73、 计算单元 74、 第一通信密钥计算单元 75和第二发送消息单元 76。
第一发送消息单元 71 , 用于向多角色基站发送资源请求消息， 以使得所述多角色基站计算第一消息认证码。
第一发送消息单元 71发送的资源请求消息包括： MTC设备标识 号、 MTC设备安全能力和 MTC设备生成的第一随机数。 多角色基站 接收到资源请求消息后， 生成第二随机数， 根据 MTC设备标识号获 取 MTC设备的根密钥，根据 MTC设备的安全能力为 MTC设备选择 加密算法和完整性算法。
接收消息单元 72 , 用于所述第一发送消息单元 71发送所述资源 请求消息后，接收所述多角色基站发送的静态资源配置消息， 所述静 态资源配置消息中携带有所述第一消息认证码。
其中，静态资源配置消息中还携带有多角色基站发送的第二随机 数、 为 MTC设备选择的加密算法和完整性算法。
验证单元 73 , 用于验证所述接收消息单元 72接收的所述第一消 息认证码。
验证单元 73具体用于根据所述多角色基站的标识号、所述 MTC 设备标识号、 所述第一随机数、 所述第二随机数以及 MTC设备的根 密钥计算第一验证消息认证码，若所述第一消息认证码与所述第一验 证消息认证码一致， 则第一消息认证码验证成功。
计算单元 74 , 用于若验证单元 73验证所述第一消息认证码成功 后， 计算第二消息认证码。
计算单元 74具体用于根据多角色基站的标识号、 MTC设备标识 号、 第一随机数、 第二随机数以及 MTC设备的根密钥计算第二消息 认证码。
第一通信密钥计算单元 75 , 用于若所述验证单元 73验证所述第 一消息认证码成功后， 生成通信密钥， 具体包括：
中间密钥生成子单元 751 , 用于根据 MTC设备的根密钥、 第一 随机数和第二随机数生成中间密钥。
第一通信密钥生成子单元 752 , 用于根据所述中间密钥生成子单 元 751生成的所述中间密钥和所述为 MTC设备选择的加密算法和完 整性算法计算所述通信密钥。
第二发送消息单元 76 , 用于向所述多角色基站发送资源配置完 成消息，所述资源配置完成消息中携带有所述计算单元计算的所述第 二消息认证码，以使得所述多角色基站验证所述第二消息认证码并在 验证成功的情况下与所述 MTC设备开始通信。
以下我们以 MTC设备具体为传感器设备为例， 向 MTC服务器 上报数据的通信过程具体进行说明。传感器设备自身存储有传感器的 预配置的共享密钥 K,所述存储在传感器设备中的传感器设备的预配 置的共享密钥，既可以是存储在传感器设备中的传感器设备的预配置 的共享密钥，也可以是存储在插入传感器设备上的卡中的传感器设备 的预配置的共享密钥， 此处不做限定。
传感器设备通过多角色基站向 MTC服务器上报数据信息， 传感 器设备通过接收多角色基站的广播信息获取多角色基站的标识号 eNB1D。
首先， 传感器设备的第一发送消息单元 71向多角色基站发送资 源请求消息， 资源请求消息包括： 传感器设备标识号& ^。 、 传感器 设备的安全能力和传感器设备生成的第一随机数 NONCE Μ , 其中传感 器设备标识号 Se r1D既可以是传感器设备的设备标识，也可以是传感 器设备的身份标识号。
多角色基站接收到资源请求消息后， 生成第二随机数 Λ^Λ^¾ ; 然后根据传感器设备标识号 & 。 获取传感器设备的根密钥 k ,根密 钥 具体可以是所述传感器设备的预配置的共享密钥 K,也可以是根 据所述传感器设备的预配置的共享密钥计算得到的临时共享密钥 Kt ，多 色基站侧的传感器设备的预配置的共享密钥 K存储在多角 色基站或存储在核心网或信任中心，传感器设备侧的预配置的共享密 钥 K存储在传感器设备中， 传感器设备侧和多角色基站侧的临时共 享密钥 Kt 的计算方法相同；根据传感器设备的安全能力为传感器设 备选择加密算法和完整性算法、 根据多角色基站的标识号 eA¾。、 传 感器设备的标识号 SenSOrID、第一随机数 NONCE M、第二随机数 NONCE c 以及传感器设备的根密钥 计算得到所述第一消息认证码 ½4C1 , 具 体的算法为哈希算法， MAC! = Hk (eNBID | | SensorID | | NONCEc | | NONCE M )； 多角色基站向传感器设备发送静态资源配置消息，静态资源配置消息 携带有第一消息认证码 ½4C1、第二随机数 NONCEc和为传感器设备选 择的加密算法和完整性算法。
传感器设备的接收消息单元 72接收到多角色基站发送的静态资 源配置消息后， 然后通过验证单元 73验证第一消息认证码 MACX。 首 先传感器设备的验证单元 73根据多角色基站的标识号 eA2^、传感器 设备标识号 SensorID、 第一随机数 NONCE M、 第二随机数 NONCE c以及 根据存储传感器设备的根密钥 计算第一验证消息认证码 6 , 具 体的算法为哈希算法， l£ Cl' = Hk{eNBID \ \ SensorID \ \ NONCEc \ \ NONCE M)； 然后判断 ½4C1与 ½4Cl '是否一致。 若 ½4C1与 ½4Cl'一致， 传感器设备 的计算单元 74 计算第二消息认证码 ½4C2， 具体算法与 ½4C1釆用相 同的哈希算法， 具体为 ½4C2 = J^ (SensorID \ \ eNBID \ \ NONCE M \ \ NONCE c ) , 同时第一通信密钥计算单元 75生成传感器设备的通信密钥， 具体包 括： 中间密钥生成子单元 751根据传感器设备的根密钥 k、 第一随机 数和第二随机数釆用密钥生成函数算法生成中间密钥 Knew； 第一通 信密钥生成子单元 752根据中间密钥 利用为传感器设备选择 的加密算法和完整性算法计算通信密钥， 通信密钥包括： RRC 信令 完整密钥 KnewRRC int = KDF{Knew, RRC― int- a lg， A lg— ID) , RRC信令力口密 密钥 KnewRRCenc = KDF{Knew, RRC - enc - a lg, A lg- ID) , 通信数据力口密密钥 KnewUPenc = KDF{Knew, UP - enc - a lg, A \g- ID) , 其中 RRC 信令完整密钥 T&ew^Cint用于对 RRC信令的完整性加密， 防止 RRC信令在传输过 程中被攻击者篡改， RRC信令加密密钥 KnewRRCenc和通信数据加密密 钥分别用于对 RRC信令的信息和传感器设备上报的数据消息进行加 密， 防止在传输过程中被攻击者窃听。
在完成第二消息认证码 ½4C2和通信密钥的计算后， 传感器设备 的第二发送消息单元 76向多角色基站发送资源配置完成消息， 资源 配置完成消息中携带有所述第二消息认证码 ½4C2。
多角色基站接收到传感器设备发送的资源配置完成消息后，对第 二消息认证码 ½4C2进行验证。 具体包括： 计算第二验证消息认证码 MAC2 , 具 体 的 算 法 与 ½4C2 釆 用 相 同 的 哈 希 算 法 ， MAC2 = Hk{SensorID | | eNBID | | NONCE M | | NONCE c)， 然后判 断 ½4C2与 MAC2是否一致。 若第二消息认证码 ½4C2与 C2'—致， 则第二消息 认证码 ½4C2验证成功， 多角色基站生成通信密钥， 通信密钥包括： RRC信令完整密钥、 RRC信令加密密钥和通信数据加密密钥， 具体 算法与传感器设备计算通信密钥的相同。
多角色基站完成通信密钥的计算之后， 传感器设备开始与 MTC 服务器进行通信上报数据。 传感器设备侧对要上报的数据进行加密， 发送给已进行相互认证的多角色基站，多角色基站对接收到的数据汇 聚后生成应用层数据， 通过核心网传输给传感器设备对应的服务器。
本实施例以传感器设备为例进行说明， 当然也可以是其他的 MTC设备， 如摄像监控设备、 自动仪表 （水电气表）设备、 家庭自 动化设备、 支付系统的设备以及车辆远程空设备等相关的设备。
本发明实施例提供的机器类通信 MTC设备， MTC设备通过第一 发送消息单元向多角色基站发送资源请求消息，以使得多角色基站计 算第一消息认证码；接收消息单元接收多角色基站发送的静态资源配 置消息， 静态资源配置消息中携带有第一消息认证码； 验证单元对第 一消息认证码进行验证；若验证成功 ,计算单元计算第二消息认证码 , 第一通信密钥计算单元计算通信密钥，然后第二发送消息单元向多角 色基站发送资源配置完成消息，以使得多角色基站对第二消息认证码 进行验证，若多角色基站对第二消息认证码验证成功 ,计算通信密钥 , 从而 MTC设备和多角色基站开始进行通信， 这样 MTC设备具有了 和多角色基站之间的新空口的认证安全机制，还具有和多角色基站通 信的加密安全机制， 进一步提高了 M2M通信系统的安全。
实施例四、
本发明实施例还提供了一种多角色基站，具体如图 9所示，包括： 第一消息接收单元 81、 计算单元 82、 发送消息单元 83、 第二接收消 息单元 84、 验证单元 85、 第二通信密钥计算单元 86。
第一接收消息单元 81 ,用于接收 MTC设备发送的资源请求消息。 其中资源请求消息包括： MTC设备标识号、 MTC设备安全能力 和 MTC设备生成的第一随机数。
计算单元 82 , 用于根据所述第一接收消息单元 81接收到的所述 资源请求消息计算第一消息认证码， 具体用于：
生成第二随机数；
根据所述 MTC设备的安全能力为 MTC设备选择加密算法和完 整性算法；
根据所述 MTC设备标识号获取所述 MTC设备的根密钥； 根据多角色基站的标识号、 MTC设备标识号、 第一随机数、 第 二随机数以及 MTC设备的根密钥得到所述第一消息认证码。
其中计算单元 82根据所述 MTC设备标识号获取所述 MTC设备 的根密钥具体包括： 从多角色基站中直接获取该 MTC设备的预配置 的 MTC设备的共享密钥， 将所述共享密钥作为根密钥； 或者
从核心网获取存储有所有 MTC设备的共享密钥列表。
根据所述 MTC设备的标识号， 从所述共享密钥列表中获取预配 置的 MTC设备的共享密钥， 将所述共享密钥作为根密钥； 或者
向信任中心发送密钥请求， 所述密钥请求包括： 所述 MTC设备 标识号、第一随机数和第二随机，以使得所述信任中心根据所述 MTC 设备标识号对应的预配置的 MTC设备的共享密钥、 所述第一随机数 和第二随机数计算所述 MTC设备的临时共享密钥；
接收所述信任中心的密钥响应，所述密钥响应携带所述临时共享 密钥， 将所述临时共享密钥作为根密钥。
发送消息单元 83 , 用于所述计算单元 82计算所述第一消息认证 码后， 向所述 MTC设备发送静态资源配置消息， 所述静态资源配置 消息中携带有所述第一消息认证码， 以使得所述 MTC设备验证所述 第一消息认证码，若所述 MTC设备对所述第一消息认证码验证成功 , MTC设备计算第二消息认证码。
静态资源配置消息携带有第一消息认证码，还携带有第二随机数 和为 MTC设备选择的加密算法和完整性算法。
MTC设备接收到多角色基站发送的静态资源配置消息， MTC设 备根据多角色基站的标识号、 MTC设备标识号、 第一随机数、 第二 随机数以及 MTC设备的根密钥计算得到第一验证消息认证码； 判断 第一消息认证码和第一验证消息认证码是否一致。若第一消息认证码 和第一验证消息认证码一致， 则第一消息认证码验证成功。 然后根据 多角色基站的标识号、 MTC设备标识号、 第一随机数、 第二随机数 以及 MTC设备的根密钥计算得到第二消息认证码， MTC设备向多角 色基站发送资源配置完成消息。
第二接收消息单元 84 , 用于所述发送消息单元 83发送所述静态 资源配置消息后， 接收所述 MTC设备发送的资源配置完成消息， 所 述资源配置完成消息中携带有所述第二消息认证码。
验证单元 85 , 用于验证所述第二接收消息单元 84接收的所述第 二消息认证码。 具体为：
根据多角色基站的标识号、 MTC设备标识号、 第一随机数、 第 二随机数以及 MTC设备的根密钥计算第二验证消息认证码， 若所述 第一消息认证码与所述第一验证消息认证码一致，则第一消息认证码 验证成功。
第二通信密钥计算单元 86 , 用于在所述验证单元 85验证所述第 二消息认证码成功后， 生成通信密钥， 具体包括：
中间密钥生成子单元 861 , 用于根据 MTC设备的根密钥， 第一 随机数和第二随机数生成中间密钥。
第二通信密钥生成子单元 862 , 用于根据所述中间密钥生成子单 元 861生成的所述中间密钥和所述为 MTC设备选择的加密算法和完 整性算法计算所述通信密钥。
以下我们以该多角色基站与传感器设备建立空口安全机制， 向 MTC 服务器上报数据的通信过程为例具体进行说明。 传感器设备自 身存储有传感器设备的预配置的共享密钥 K,传感器设备通过多角色 基站向 MTC服务器上报数据信息， 传感器设备通过接收多角色基站 的广播信息获取多角色基站的设备标识号。
首先， 多角色基站的第一接收消息单元 81接收传感器设备发送 的资源请求消息，其中资源请求消息包括：传感器设备标识号 Sensor、 传感器设备的安全能力和传感器设备生成的第一随机数 NONCE M。
第一接收消息单元 81接收到资源请求消息后，计算单元 82计算 第一消息认证码， 还具体用于： 生成第二随机数 Λ^Λ^ ; 根据传感 器设备的安全能力为传感器设备选择加密算法和完整性算法；根据传 感器设备标识号& 。 获取传感器设备的根密钥 k。第一消息认证码 是根据多角色基站的标识号、传感器设备标识号和第一随机数、 第二 随机数以及 MTC设备的根密钥计算得到。
其中， 所述根密钥为传感器设备的预配置的共享密钥 K, 或者根 据所述传感器设备的预配置的共享密钥 K计算得到的临时共享密钥 KKmp ,传感器设备侧的根密钥 是根据存储在传感器设备中的共享密 钥 K得到的， 多角色基站侧的根密钥 为多角色基站根据传感器设 备标识号& ^。 获取的，传感器设备侧和多角色基站侧的临时共享密 钥 的计算方法相同。
多角色基站侧的传感器设备的预配置的共享密钥 K存储在多角 色基站或存储在核心网或信任中心。
若所述根密钥 K存储在多角色基站中， 计算单元 82根据传感器 设备的标识号 Se 0r1D直接获取该传感器设备的预配置的共享密钥 K , 所述共享密钥 K作为根密钥 k 。
若所述共享密钥 K存储在核心网中， 首先多角色基站与核心网 进行 AKA认证， 建立 NAS层安全， 核心网向多角色基站发送多角 色基站管辖的所有传感器设备的共享密钥列表。然后第一接收消息单 元 81在接收到传感器设备发送的资源请求消息后， 根据传感器设备 的标识号& ^。 获取传感器设备的预配置的共享密钥 K,所共享密钥 K作为根密钥 k 。
若所述预配置的共享密钥 K存储在信任中心中， 在第一接收消 息单元 81 接收到传感器设备发送的资源请求消息后， 计算单元 82 生成第二随机数 Λ^Λ^¾后， 多角色基站向信任中心发送密钥请求， 其中密钥请求包括传感器设备的标识号 Se or1D、 第一随机数 NONCE M 和第二随机数 Λ^Λ^¾ ; 信任中心接收到多角色基站发送的密钥请求 后，根据传感器设备的标识号 Sensor获取到传感器设备的预配置的共 享密钥 K, 然后釆用密钥生成函数， 根据传感器设备的预配置的共享 密钥 K, 第一随机数 Λ^Λ^Ϊ?Μ和第二随机数 ^^^ 计算出该传感器 设备的临时共享密钥 KKmp , Ktemp = KDF(K, NONCEc, NONCEm)。信任中 心然后向多角色基站发送密钥响应，其中密钥响应携带有临时共享密 钥 该临时共享密钥 ^作为根密钥。
然后计算单元 82计算第一消息认证码 ½4C1 , 具体为： 根据多角 色基站的标识号 eA^^ 传感器设备的标识号 & 。 、 第一随机数 NONCE Μ , 第二随机数 Λ^Λ ^以及传感器设备的根密钥 计算得到 所述第 一消 息认证码 ½4C1 , 具体的 算法为哈希算法 ， MAC! = Hk(eNBID \ \ Sensor 1D \ \ NONCEc \ \ NONCE M)。
完成第一消息认证码 ½4C1的计算后，发送消息单元 83向传感器 设备发送静态资源配置消息，静态资源配置消息携带有第一消息认证 码 ½4C1、第二随机数 NONCEc和为传感器设备选择的加密算法和完整 性算法。
传感器设备接收到发送消息单元 83 发送的静态资源配置消息 后， 验证第一消息认证码 ½4C1。 首先传感器设备根据多角色基站的 标识号 eA/ ^ 传感器设备标识号 & o 、 第一随机数 Λ^Λ^Ϊ?Μ、 第二 随机数 NONCEc以及根据传感器设备的根密钥 计算第一验证消息认 证 码 ½4Cl' , 具 体 的 算 法 为 哈 希 算 法 ， MACi = Hk{eNBID \ \ SensorID \ \ NONCEc \ \ NONCE M) ； 然后判 断 ½4C1与 C1 '是否一致。 若 ½4C1与 —致， 传感器设备计算第二消息认 证码 ½4C2， 具体算法与 ½4C1釆用相同的哈希算法， 具体为 MAC2 = Hk (SensorID \ \ eNBID \ \ NONCE M \ \ NONCE c ) , 同时生成传感器设备 的通信密钥， 具体包括： 根据传感器设备的根密钥 ：、 第一随机数和 第 二 随机数釆用 密 钥 生 成 函 数生 成 中 间 密 钥 Knew , Knew = KDF{K, NONCE c， NONCE M )； 然后根据中间密钥， 并利用为传感 器设备选择的加密算法和完整性算法计算所述通信密钥，通信密钥包 括： RRC信令完整密钥 KnewRRC int = KDF{Knew, RRC - int- a \g, A lg- ID) , RRC信令力口密密钥 KnewRRCenc = KDF(Knew, RRC - enc - a lg， A lg— ID) ,通信 数据力口密密钥 KnewUPenc = KDF(Knew, UP - enc - a lg, A lg— 7£>) ,其中 RRC信 令完整密钥 T&ew^Cint用于对 RRC信令的完整性加密， 防止 RRC信 令在传输过程中被攻击者篡改， RRC信令加密密钥 ew^C flc和通信 数据加密密钥分别用于对 RRC信令的信息和传感器设备上报的数据 消息进行加密， 防止在传输过程中被攻击者窃听。
在完成第二消息认证码 ½4C2和通信密钥的计算后， 传感器设备 向多角色基站发送资源配置完成消息，资源配置完成消息中携带有所 述第二消息认证码 MAC2。
第二接收消息单元 84接收传感器设备发送的资源配置完成消息 后，验证单元 85对第二消息认证码 ½4C2进行验证， 具体过程为计算 第二验证消息认证码 C2' , MAC2的算法与 ½4C2釆用相同的哈希算 法， l£ C2' = Hk{SensorID | | eNBID | | NONCE M | | NONCE c)， 然后判断 ½4C2与 MAC2是否一致。 若第二消息认证码 ½4C2与 C2'—致， 则第二消息 认证码验证成功， 第二通信密钥计算单元 86生成通信密钥。 具体包 括： 中间密钥生成子单元 861根据传感器设备的根密钥、 第一随机数 和第二随机数生成中间密钥；第二通信密钥生成子单元 862根据所述 中间密钥，并利用为传感器设备选择的加密算法和完整性算法计算所 述通信密钥。 通信密钥也包括： RRC信令完整密钥、 RRC信令加密 密钥和通信数据加密密钥， 具体算法与传感器设备计算通信密钥相 同。
若根密钥为存储在多角色基站中的预配置的共享密钥，或存储在 信任中心中的预配置的共享密钥， 在第二通信密钥计算单元 86完成 通信密钥的计算之后， 传感器设备开始与 MTC服务器进行通信上报 数据， 具体为： 传感器设备侧对要上报的数据进行加密， 发送给已进 行相互认证的多角色基站，多角色基站对接收到的数据汇聚后生成应 用层数据。 然后多角色基站与核心网进行 AKA认证和建立 NAS层 安全后， 多角色基站将数据传输给传感器设备对应的服务器。
若根密钥存储在核心网时， 在第二通信密钥计算单元 86完成通 信密钥的计算之后， 传感器设备开始与 MTC服务器进行通信上报数 据， 传感器设备侧对要上报的数据进行加密， 发送给已进行相互认证 的多角色基站， 多角色基站对接收到的数据汇聚后生成应用层数据， 然后把数据通过核心网传输给传感器设备对应的服务器。
本实施例以多角色基站与传感器设备建立空口安全机制为例进 行说明， 当然也可以与其他的 MTC设备， 如摄像监控设备、 自动仪 表（水电气表）设备、 家庭自动化设备、 支付系统的设备以及车辆远 程空设备等相关的设备。
本发明实施例提供的多角色基站， 第一接收消息单元接收 MTC 设备发送的资源请求消息， 计算单元计算第一消息认证码； 然后发送 消息单元向 MTC设备发送静态资源配置消息， 静态资源配置消息中 携带有第一消息认证码， 以使得 MTC设备对第一消息认证码进行验 证， 若 MTC设备对第一消息认证码验证成功， 计算第二消息认证码 和通信密钥， 然后向多角色基站发送资源配置完成消息； 验证单元对 第二消息认证码进行验证， 若验证单元对第二消息认证码验证成功， 第二通信密钥计算单元计算通信密钥， 从而 MTC设备和多角色基站 开始进行通信， 这样多角色基站既建立了和 MTC设备之间的新空口 的安全机制， 也建立和 MTC设备的通信加密安全机制， 进一步提高 了 M2M通信系统的安全。
本领域普通技术人员可以理解：实现上述方法实施例的全部或部 分步骤可以通过程序指令相关的硬件来完成，前述的程序可以存储于 一计算机可读取存储介质中， 该程序在执行时， 执行包括上述方法实 施例的步骤； 而前述的存储介质包括： ROM、 RAM, 磁碟或者光盘 等各种可以存储程序代码的介质。
以上所述， 仅为本发明的具体实施方式， 但本发明的保护范围并 不局限于此， 任何熟悉本技术领域的技术人员在本发明揭露的技术范 围内， 可轻易想到变化或替换， 都应涵盖在本发明的保护范围之内。 因此， 本发明的保护范围应以所述权利要求的保护范围为准。

Claims

权利要求
1、 一种机器类通信 MTC设备的通信方法， 其特征在于， 包括： 向多角色基站发送资源请求消息，以使得所述多角色基站计算第 一消息认证码；
接收所述多角色基站发送的静态资源配置消息，所述静态资源配 置消息中携带有所述第一消息认证码；
验证所述第一消息认证码；
若所述第一消息认证码验证成功， 计算第二消息认证码； 向所述多角色基站发送资源配置完成消息，所述资源配置完成消 息中携带有所述第二消息认证码，以使得所述多角色基站验证所述第 二消息认证码并在验证成功的情况下与所述 MTC设备开始通信。
2、 根据权利要求 1所述的方法， 其特征在于， 若所述第一消息 认证码验证成功后， 还包括：
生成通信密钥。
3、 根据权利要求 1或 2所述的方法， 其特征在于， 所述资源请 求信息包括： MTC设备标识号、 MTC设备安全能力和 MTC设备生 成的第一随机数。
4、 根据权利要求 3所述的方法， 其特征在于， 所述接收所述多 角色基站发送的静态资源配置消息还包括：
所述多角色基站发送的所述静态资源配置消息中还携带有第二 随机数和为所述 MTC设备选择的加密算法和完整性算法。
5、 根据权利要求 4所述的方法， 其特征在于， 所述验证所述第 一消息认证码包括：
根据所述多角色基站的标识号、 所述 MTC设备标识号、 所述第 一随机数、 所述第二随机数以及 MTC设备的根密钥计算第一验证消 息认证码， 若所述第一消息认证码与所述第一验证消息认证码一致， 则第一消息认证码验证成功。
所述计算第二消息认证码包括：
根据所述多角色基站的标识号、 所述 MTC设备标识号、 所述第 一随机数、 所述第二随机数以及所述 MTC设备的根密钥计算第二消 息认证码。
6、 根据权利要求 5所述的方法， 其特征在于， 所述生成通信密 钥包括：
根据所述 MTC设备的根密钥、 所述第一随机数和所述第二随机 数生成中间密钥；
根据所述中间密钥和所述为 MTC设备选择的加密算法和完整性 算法计算所述通信密钥。
7、 根据权利要求 6任一项所述的方法， 其特征在于， 所述根密 钥为 MTC设备的预配置的共享密钥， 或者根据所述预配置的共享密 钥计算得到的临时共享密钥。
8、 一种与 MTC设备通信的方法， 其特征在于， 包括： 接收所述 MTC设备发送的资源请求消息；
计算第一消息认证码；
向所述 MTC设备发送静态资源配置消息， 所述静态资源配置消 息中携带有所述第一消息认证码， 以使得所述 MTC设备验证所述第 一消息认证码， 若所述 MTC设备对所述第一消息认证码验证成功， MTC设备计算第二消息认证码；
接收所述 M T C设备发送的资源配置完成消息， 所述资源配置完 成消息中携带有所述第二消息认证码；
验证所述第二消息认证码， 若所述第二消息认证码验证成功， 与 所述 MTC设备开始通信。
9、 根据权利要求 8所述的方法， 其特征在于， 在所述第二消息 认证码验证成功后， 还包括： 生成通信密钥。
10、 根据权利要求 8或 9所述的方法， 其特征在于， 所述资源 请求信息包括： MTC设备标识号、 MTC设备安全能力和 MTC设备 生成的第一随机数。
11、 根据权利要求 10所述的方法， 其特征在于， 所述在接收所 述 MTC设备发送的资源请求消息后还包括：
生成第二随机数， 根据所述 MTC设备标识号获取 MTC设备的 根密钥， 根据所述 MTC设备的安全能力为所述 MTC设备选择加密 算法和完整性算法；
所述计算第一消息认证码包括：
所述多角色基站根据所述多角色基站的标识号、 所述 MTC设备 标识号、 所述第一随机数、 所述第二随机数以及所述 MTC设备的根 密钥计算第一消息认证码；
所述静态资源配置消息还携带有所述第二随机数和所述为 MTC 设备选择的加密算法和完整性算法。
12、 根据权利要求 11所述的方法， 其特征在于， 所述验证所述 第二消息认证码包括：
根据所述多角色基站的标识号、 所述 MTC设备标识号、 所述第 一随机数、 所述第二随机数以及所述 MTC设备的根密钥计算第二验 证消息认证码，若所述第一消息认证码与所述第一验证消息认证码一 致， 则第一消息认证码验证成功。
13、 根据权利要求 12所述的方法， 其特征在于， 生成所述通信 密钥包括：
根据所述 MTC设备的根密钥， 所述第一随机数和所述第二随机 数生成中间密钥；
根据所述中间密钥和所述为 MTC设备选择的加密算法和完整性 算法计算所述通信密钥。
14、 根据权利要求 10-13任一项所述的方法， 其特征在于， 所述 根据所述 MTC设备标识号获取 MTC设备的根密钥包括：
从所述多角色基站中直接获取 MTC设备的预配置的共享密钥， 将所述预配置的共享密钥作为根密钥； 或
从核心网获取所述多角色基站管辖的所有 MTC设备的共享密钥 列表， 根据所述 MTC设备的标识号， 从所述共享密钥列表中获取所 述 MTC设备的预配置的共享密钥， 将所述预配置的共享密钥作为根 密钥； 或
所述多角色基站向信任中心发送密钥请求， 所述密钥请求包括： 所述 MTC设备标识号、 所述第一随机数和所述第二随机数， 以使得 所述信任中心根据所述 MTC设备标识号对应的 MTC设备的预配置 的共享密钥、 所述第一随机数和所述第二随机数计算 MTC设备的临 时共享密钥；
接收所述信任中心的密钥响应，所述密钥响应携带所述临时共享 密钥， 将所述临时共享密钥作为根密钥。
15、 一种 MTC设备， 其特征在于， 包括：
第一发送消息单元， 用于向多角色基站发送资源请求消息， 以使 得所述多角色基站计算第一消息认证码；
接收消息单元，用于在所述第一发送消息单元发送所述资源请求 消息后，接收所述多角色基站发送的静态资源配置消息， 所述静态资 源配置消息中携带有所述第一消息认证码；
验证单元，用于验证所述接收消息单元接收的所述第一消息认证 码；
计算单元， 用于若验证单元验证所述第一消息认证码成功后， 计 算第二消息认证码；
第二发送消息单元，用于向所述多角色基站发送资源配置完成消 息，所述资源配置完成消息中携带有所述计算单元计算的所述第二消 息认证码，以使得所述多角色基站验证所述第二消息认证码并在验证 成功的情况下与所述 MTC设备开始通信。
16、 根据权利要求 15所述的设备， 其特征在于， 还包括： 第一通信密钥计算单元，用于若所述验证单元验证所述第一消息 认证码成功后， 生成通信密钥。
17、 根据权利要求 15或 16所述的设备， 其特征在于， 所述第一发送消息单元发送的资源请求消息包括： MTC设备标 识号、 MTC设备安全能力和 MTC设备生成的第一随机数。
18、 根据权利要求 17所述的设备， 其特征在于， 所述接收消息 单元接收的所述静态资源配置消息中还携带有第二随机数和为所述 MTC设备选择的加密算法和完整性算法。
19、 根据权利要求 18所述的设备， 其特征在于， 所述验证单元 具体用于根据所述多角色基站的标识号、 所述 MTC设备标识号、 所 述第一随机数、 所述第二随机数以及 MTC设备的根密钥计算第一验 证消息认证码，若所述第一消息认证码与所述第一验证消息认证码一 致， 则第一消息认证码验证成功。
所述计算单元具体用于根据所述多角色基站的标识号、 所述 MTC设备标识号、 所述第一随机数、 所述第二随机数以及所述 MTC 设备的根密钥计算第二消息认证码。
20、 根据权利要求 19所述的设备， 其特征在于， 所述第一通信 密钥计算单元包括：
中间密钥生成子单元， 用于根据所述 MTC设备的根密钥、 所述 第一随机数和所述第二随机数生成中间密钥；
第一通信密钥生成子单元，用于根据所述中间密钥生成子单元生 成的所述中间密钥和所述为 MTC设备选择的加密算法和完整性算法 计算所述通信密钥。
21、 一种多角色基站， 其特征在于， 包括： 第一接收消息单元， 用于接收 MTC设备发送的资源请求消息； 计算单元，用于根据所述第一接收消息单元接收到的所述资源请 求消息计算第一消息认证码；
发送消息单元， 用于所述计算单元计算所述第一消息认证码后， 向所述 MTC设备发送静态资源配置消息， 所述静态资源配置消息中 携带有所述第一消息认证码， 以使得所述 MTC设备验证所述第一消 息认证码， 若所述 MTC设备对所述第一消息认证码验证成功， MTC 设备计算第二消息认证码；
第二接收消息单元，用于所述发送消息单元发送所述静态资源配 置消息后， 接收所述 MTC设备发送的资源配置完成消息， 所述资源 配置完成消息中携带有所述第二消息认证码；
验证单元，用于验证所述第二接收消息单元接收的所述第二消 ,包、 认证码， 若所述第二消息认证码验证成功， 多角色基站与所述 MTC 设备开始通信。
22、 根据权利要求 21所述的多角色基站， 其特征在于， 还包括： 第二通信密钥计算单元，用于在所述验证单元验证所述第二消息 认证码成功后， 生成通信密钥。
23、 根据权利要求 20或 21所述的多角色基站， 其特征在于， 所述第一接收消息单元接收到的资源请求消息包括： MTC设备 标识号、 MTC设备安全能力和 MTC设备生成的第一随机数。
24、 根据权利要求 23所述的多角色基站， 其特征在于， 所述计 算单元具体用于：
生成第二随机数；
根据所述 MTC设备的安全能力为所述 MTC设备选择加密算法 和完整性算法；
根据所述 MTC设备标识号获取 MTC设备的根密钥；
根据所述多角色基站的标识号、 所述 MTC设备标识号、 所述第 一随机数、 所述第二随机数以及所述 MTC设备的根密钥计算第一消 息认证码；
所述发送消息单元还用于发送所述第二随机数和所述为 MTC设 备选择的加密算法和完整性算法。
25、 根据权利要求 24所述的多角色基站， 其特征在于， 所述验 证单元具体用于： 根据所述多角色基站的标识号、 所述 MTC设备标 识号、 所述第一随机数、 所述第二随机数以及所述 MTC设备的根密 钥计算第二验证消息认证码，若所述第一消息认证码与所述第一验证 消息认证码一致， 则第一消息认证码验证成功。
26、 根据权利要求 25所述的多角色基站， 其特征在于， 所述第 二通信密钥计算单元包括：
中间密钥生成子单元， 用于根据所述 MTC设备的根密钥， 所述 第一随机数和所述第二随机数生成中间密钥；
第二通信密钥生成子单元，用于根据所述中间密钥生成子单元生 成的所述中间密钥和所述为 MTC设备选择的加密算法和完整性算法 计算所述通信密钥。
27、根据权利要求 23-26任一项所述的多角色基站，其特征在于， 所述计算单元用于根据所述 MTC设备标识号获取 MTC设备的根密 钥具体为：
从所述多角色基站中直接获取 MTC设备的预配置的共享密钥， 将所述共享密钥作为根密钥； 或
从核心网获取多角色基站管辖的所有 MTC 设备的共享密钥列 表； 根据所述 MTC设备的标识号， 从所述共享密钥列表中获取所述
MTC设备的预配置的共享密钥， 将所述共享密钥作为根密钥； 或 向信任中心发送密钥请求， 所述密钥请求包括： 所述 MTC设备标 识号、 所述第一随机数和所述第二随机数， 以使得所述信任中心根据
MTC设备标识号在所述信任中心对应的 MTC设备的预配置的共享密 钥、 所述第一随机数、 所述第二随机数计算临时共享密钥； 接收所述 信任中心的密钥响应， 所述密钥响应携带有临时共享密钥， 将所述临 时共享密钥作为根密钥。
PCT/CN2012/086182 2011-12-07 2012-12-07 一种通信方法、装置 WO2013083082A1 (zh)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN201110403140.X 2011-12-07
CN201110403140XA CN103152733A (zh) 2011-12-07 2011-12-07 一种通信方法、装置

Publications (1)

Publication Number Publication Date
WO2013083082A1 true WO2013083082A1 (zh) 2013-06-13

Family

ID=48550551

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2012/086182 WO2013083082A1 (zh) 2011-12-07 2012-12-07 一种通信方法、装置

Country Status (2)

Country Link
CN (1) CN103152733A (zh)
WO (1) WO2013083082A1 (zh)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US11603806B2 (en) 2018-12-19 2023-03-14 Vitesco Technologies GmbH Synchronization of an internal combustion engine

Families Citing this family (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN104661171B (zh) * 2013-11-25 2020-02-28 中兴通讯股份有限公司 一种用于mtc设备组的小数据安全传输方法和系统
CN106209751B (zh) * 2015-05-08 2019-05-03 中标软件有限公司 基于操作系统授权证书的面向服务的接口认证方法
CN107592624B (zh) * 2016-07-07 2021-04-20 中国电信股份有限公司 用于自动生成共享密钥的方法和系统
CN107707514B (zh) 2017-02-08 2018-08-21 贵州白山云科技有限公司 一种用于cdn节点间加密的方法及系统及装置
CN118540697A (zh) * 2023-02-21 2024-08-23 华为技术有限公司 一种通信方法及通信装置

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2003044436A (ja) * 2001-08-02 2003-02-14 Sony Corp 認証処理方法、および情報処理装置、並びにコンピュータ・プログラム
CN101072096A (zh) * 2007-05-31 2007-11-14 北京威讯紫晶科技有限公司 一种无线传感器网络中数据安全传输的方法
CN101699891A (zh) * 2009-10-21 2010-04-28 西安西电捷通无线网络通信有限公司 一种传感器网络密钥管理和节点鉴别方法
CN101980558A (zh) * 2010-11-16 2011-02-23 北京航空航天大学 一种Ad hoc网络传输层协议上的加密认证方法
CN102223231A (zh) * 2010-04-16 2011-10-19 中兴通讯股份有限公司 M2m终端认证系统及认证方法

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2003044436A (ja) * 2001-08-02 2003-02-14 Sony Corp 認証処理方法、および情報処理装置、並びにコンピュータ・プログラム
CN101072096A (zh) * 2007-05-31 2007-11-14 北京威讯紫晶科技有限公司 一种无线传感器网络中数据安全传输的方法
CN101699891A (zh) * 2009-10-21 2010-04-28 西安西电捷通无线网络通信有限公司 一种传感器网络密钥管理和节点鉴别方法
CN102223231A (zh) * 2010-04-16 2011-10-19 中兴通讯股份有限公司 M2m终端认证系统及认证方法
CN101980558A (zh) * 2010-11-16 2011-02-23 北京航空航天大学 一种Ad hoc网络传输层协议上的加密认证方法

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US11603806B2 (en) 2018-12-19 2023-03-14 Vitesco Technologies GmbH Synchronization of an internal combustion engine

Also Published As

Publication number Publication date
CN103152733A (zh) 2013-06-12

Similar Documents

Publication Publication Date Title
EP3567503B1 (en) Systems and methods for provisioning a camera with a dynamic qr code and a ble connection
CN102196436B (zh) 安全认证方法、装置及系统
EP3223452B1 (en) Method and apparatus for providing service on basis of identifier of user equipment
CN107005927B (zh) 用户设备ue的接入方法、设备及系统
US20110320802A1 (en) Authentication method, key distribution method and authentication and key distribution method
EP3057351B1 (en) Access method, system, and device of terminal, and computer storage medium
CN101931955B (zh) 认证方法、装置及系统
US20140298037A1 (en) Method, apparatus, and system for securely transmitting data
WO2010012203A1 (zh) 鉴权方法、重认证方法和通信装置
US11044084B2 (en) Method for unified network and service authentication based on ID-based cryptography
US20060094401A1 (en) Method and apparatus for authentication of mobile devices
KR20120091635A (ko) 통신 시스템에서 인증 방법 및 장치
KR20160121546A (ko) 네트워크에서의 지원된 디바이스 프로비져닝
JP2018507646A (ja) 通信デバイスとネットワークデバイスとの間の通信におけるセキュリティ構成
WO2011140924A1 (zh) 一种网关、节点和服务器进行鉴权的方法、装置及系统
WO2009094942A1 (fr) Procédé et système de réseau de communication pour établir une conjonction de sécurité
WO2015100974A1 (zh) 一种终端认证的方法、装置及系统
WO2013083082A1 (zh) 一种通信方法、装置
WO2016011588A1 (zh) 移动管理实体、归属服务器、终端、身份认证系统和方法
WO2007028328A1 (fr) Procede, systeme et dispositif de negociation a propos d&#39;une cle de chiffrement partagee par equipement utilisateur et equipement externe
WO2012075825A1 (zh) 无线局域网中端站的安全配置方法、ap、sta、as及系统
WO2015058378A1 (zh) 用户设备之间进行安全通信的方法及装置
WO2012028043A1 (zh) 认证方法、装置及系统
WO2014127751A1 (zh) 无线终端配置方法及装置和无线终端
US11177951B2 (en) Method for provisioning a first communication device by using a second communication device

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 12855643

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 12855643

Country of ref document: EP

Kind code of ref document: A1