WO2016078351A1 - 实现点对多点安全通信的方法、核心单元、终端和系统 - Google Patents

实现点对多点安全通信的方法、核心单元、终端和系统 Download PDF

Info

Publication number
WO2016078351A1
WO2016078351A1 PCT/CN2015/078077 CN2015078077W WO2016078351A1 WO 2016078351 A1 WO2016078351 A1 WO 2016078351A1 CN 2015078077 W CN2015078077 W CN 2015078077W WO 2016078351 A1 WO2016078351 A1 WO 2016078351A1
Authority
WO
WIPO (PCT)
Prior art keywords
terminal
key
information
group
unit
Prior art date
Application number
PCT/CN2015/078077
Other languages
English (en)
French (fr)
Inventor
黄志强
冯双举
徐华
Original Assignee
中兴通讯股份有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 中兴通讯股份有限公司 filed Critical 中兴通讯股份有限公司
Publication of WO2016078351A1 publication Critical patent/WO2016078351A1/zh

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
    • H04W12/043—Key management, e.g. using generic bootstrapping architecture [GBA] using a trusted network node as an anchor
    • H04W12/0431—Key distribution or pre-distribution; Key agreement

Definitions

  • This paper deals with secure communication technologies, especially a method, core unit, terminal and system for implementing point-to-multipoint secure communication.
  • the wireless communication cluster system can be divided into an analog wireless communication cluster system and a digital wireless communication cluster system.
  • the digital wireless communication cluster system can be divided into second generation (2G), third generation (3G), and fourth generation (4G) digital wireless communication cluster systems.
  • point-to-point secure communication is currently implemented, that is, secure communication between two terminals in the communication system is realized; point-to-multipoint communication is also realized, wherein point-to-multipoint communication It is to say that several terminals together form a terminal group.
  • the communication system sends the service message sent by the terminal to other terminals in the terminal group through corresponding processing, and further A point-to-multipoint communication is implemented.
  • the specific implementation of the point-to-point secure communication and the point-to-multipoint communication may refer to the Long Term Evolution (LTE) protocol, and details are not described herein.
  • LTE Long Term Evolution
  • point-to-multipoint secure communication between terminals is not implemented.
  • the security of point-to-multipoint communication has received more and more attention.
  • point-to-multipoint secure communication since point-to-multipoint secure communication is not supported, the security of point-to-multipoint communication is low, and the market demand cannot be satisfactorily satisfied.
  • an embodiment of the present invention provides a method, a core unit, a terminal, and a system for implementing point-to-multipoint secure communication, which can implement point-to-multipoint secure communication and improve the security of point-to-multipoint communication.
  • an embodiment of the present invention provides a method for implementing point-to-multipoint secure communication, including:
  • the core unit sends the generated communication sequence number of the terminal group to each terminal in the terminal group, and the core unit and each terminal obtain the second key information by using the information generated by the core unit, where the information generated by the core unit includes: Serial number
  • the first terminal performs point-to-multipoint secure communication with other terminals in the terminal group via the core unit by using the second key information.
  • the method further includes:
  • the core unit Before the core unit detects that the first terminal in the terminal group applies for point-to-multipoint communication, if the core unit detects that the terminal group is composed of two or more terminals, the core unit will be the terminal group.
  • the preset group identification and algorithm identification information, and the obtained first key information are transmitted to each terminal in the terminal group.
  • the first key information is obtained according to the group identifier and the generated random number.
  • the information generated by the core unit further includes: a group identifier, algorithm identifier information, and first key information;
  • the acquiring, by the core unit, the second key information by using the information generated by the generated core unit includes:
  • the core unit acquires the second key information by using the group identifier, the algorithm identifier information, the first key information, and the communication sequence number.
  • the information generated by the core unit further includes: a group identifier, algorithm identifier information, and first key information;
  • the obtaining, by each terminal, the second key information by using the information generated by the core unit includes:
  • Each terminal obtains the second key information by using the obtained group identifier, algorithm identification information, first key information, and communication sequence number.
  • the group identifier and algorithm identification information that are preset for the terminal group, and The obtained first key information is transmitted to each terminal in the terminal group in a manner of point-to-point secure communication.
  • the algorithm identification information includes an encryption security key algorithm identifier and a security key identifier algorithm identifier; and the second key information includes an encryption security key and a security key.
  • the embodiment of the present invention further provides a core unit for implementing point-to-multipoint secure communication, including a detecting unit, a first processing unit, and a first key acquiring unit, where
  • a detecting unit configured to detect whether a terminal in the terminal group applies for point-to-multipoint communication
  • a first key obtaining unit configured to acquire second key information by using information from the first processing unit, where the information from the first processing unit includes: a communication serial number;
  • a first processing unit configured to: when the detection result from the detecting unit is an application, send the generated communication serial number to each terminal in the terminal group and the first key acquiring unit; and utilize the first key acquiring unit The second key information is securely communicated with each terminal.
  • the detecting unit is further configured to: detect whether a new terminal group is composed of two or more terminals;
  • the first processing unit is further configured to: when the detection result from the detecting unit is new, send the group identifier and algorithm identification information preset for the terminal group, and the obtained first key information to Each terminal in the terminal group.
  • the first key obtaining unit is further configured to: acquire the first key information according to the group identifier and the generated random number.
  • the information from the first processing unit further includes: a group identifier, algorithm identification information, and first key information from the first key acquiring unit;
  • the first key acquisition unit is configured to obtain the second key information by using information from the first processing unit by:
  • the second key information is obtained by using the group identification, the algorithm identification information, the first key information from the first key acquisition unit, and the communication sequence number from the first processing unit.
  • the algorithm identification information includes an encryption security key algorithm identifier and a security key identifier algorithm identifier; and the second key information includes an encryption security key and a security key.
  • the first processing unit is configured to: send the group identifier and algorithm identification information preset for the terminal group, and the obtained first key information to each terminal in the terminal group by:
  • the group identification and algorithm identification information preset for the terminal group, and the obtained first key information are sent to each terminal in the terminal group in a point-to-point secure communication manner.
  • the embodiment of the present invention further provides a terminal for implementing point-to-multipoint secure communication, including a second key acquisition unit and a second processing unit, where
  • a second key obtaining unit configured to acquire second key information according to the group identifier, the first key information, the algorithm identification information, and the communication serial number obtained from the core unit;
  • the second processing unit is configured to perform secure communication with the core unit using the second key information from the second key acquisition unit.
  • the system includes the core unit and the terminal.
  • an embodiment of the present invention further provides a computer storage medium, where the computer storage medium stores computer executable instructions, and the computer executable instructions are used to execute the foregoing method.
  • the technical solution of the embodiment of the present invention includes: when detecting that the first terminal in the terminal group applies for point-to-multipoint communication, the core unit sends the communication sequence number of the generated terminal group to each terminal in the terminal group.
  • the core unit and each terminal acquire the second key information by using the generated communication sequence number; the first terminal uses the obtained second key information through the core unit and other terminals in the terminal group.
  • the end performs point-to-multipoint secure communication.
  • the point-to-multipoint secure communication is realized, and the security of the point-to-multipoint communication is improved, thereby better satisfying the market demand.
  • FIG. 1 is a flowchart of a method for implementing point-to-multipoint secure communication according to an embodiment of the present invention
  • FIG. 2 is a schematic structural diagram of a system for implementing point-to-multipoint secure communication according to an embodiment of the present invention.
  • FIG. 1 is a flowchart of a method for implementing point-to-multipoint secure communication according to an embodiment of the present invention, including:
  • Step 101 When detecting that the first terminal in the terminal group applies for point-to-multipoint communication, the core unit sends the generated communication sequence number to each terminal in the terminal group, and the core unit and each terminal use the information generated by the core unit. Obtaining second key information; the information generated by the core unit includes: a communication sequence number.
  • a core unit is a unit set in the core network for each type of message processing; and a terminal is a mobile terminal.
  • the method of the embodiment of the present invention further includes:
  • Step 100 When detecting a terminal group that is composed of two or more terminals, the core unit sends the group identifier and algorithm identification information preset for the terminal group, and the obtained first key information to the terminal group. Each terminal.
  • the first key information is obtained according to the group identifier and the generated random number.
  • a random number is generated using a technique known in the art, such as a random function provided by the C language.
  • the obtaining the first key information includes: acquiring the first key information by using a key derivation function (KDF) in the related LTE protocol according to the group identifier and the random number.
  • KDF key derivation function
  • KDF calculates the secret key output parameter, that is, the derived key, according to the key input parameter and the byte string (S) input parameter.
  • S is composed of parameters such as FC, P0, L0, P1, L1, P2 and L2. Referring to the LTE protocol, it is known that the Key, S, and each parameter of the component S and the meaning of the derived key of the KDF are not described herein.
  • Key is a group identifier
  • FC is 16
  • P0 is a random number
  • L0 is 4
  • the first key information is a derived key.
  • step 100 information such as group identification is sent to each terminal in the terminal group in a manner of point-to-point secure communication.
  • the embodiment of the present invention further includes:
  • the terminal receives information such as the group identifier, and notifies the core unit to receive information such as the group identifier.
  • the notification includes: sending a message for confirming receipt of information such as the group identifier to the core unit in a peer-to-peer secure communication manner.
  • step 101 how to detect the first terminal in the terminal group to apply for the point-to-multipoint communication is a common technical means for those skilled in the art, and is not used to limit the protection scope of the present invention, and details are not described herein again.
  • sending the communication sequence number to each terminal in the terminal group in step 101 includes:
  • the core unit transmits a group call page message including a channel scrambling code for specifying a common broadcast channel and a communication sequence number to each terminal in the terminal group in a broadcast manner, and starts a counter.
  • the core unit broadcasts a group call configuration message for instructing the terminal to acquire the second key information on the public broadcast channel by using the channel scrambling code;
  • the terminal When receiving the group call paging message, the terminal monitors the public broadcast channel by using the channel scrambling code in the group call paging message, and saves the communication sequence number in the paging page message.
  • Public broadcast channels are well known to those skilled in the art. Specific implementations of transmitting a message to a terminal in a broadcast manner, listening to a common broadcast channel using a channel scrambling code, and broadcasting information on a common broadcast channel using a channel scrambling code are common technical means for those skilled in the art and are not intended to limit the present invention. The scope of protection is not repeated here.
  • the communication sequence number in step 101 uniquely represents a point-to-multipoint communication of a terminal group, similar to the call sequence number in point-to-point secure communication.
  • the communication sequence number can be generated by referring to the specific implementation of the generated call sequence number in the point-to-point secure communication, and details are not described herein again.
  • the information generated by the core unit in the step 101 further includes: a group identifier, an algorithm identifier information, and a first key information.
  • the core unit obtains the second key information by using the generated information, including: using the group identifier, the algorithm identifier information, and the first key.
  • the information and communication sequence number acquires the second key information.
  • the algorithm identification information includes at least an encryption security key algorithm identifier and a security key identifier algorithm identifier.
  • the second key information includes at least an encryption security key and a security key.
  • the encryption security key algorithm is used to indicate which algorithm is used to generate the encryption security key; the security key algorithm identifier is used to indicate which algorithm is used to generate the security key.
  • the encryption security key is mainly used to implement confidential communication; the security key is mainly used to implement integrity communication; that is, the two are used together to implement security communication.
  • Obtaining the second key information in the foregoing steps includes: acquiring the encrypted security key by using the KDF according to the group identifier, the security key algorithm identifier, the first key information, and the communication sequence number; and identifying, according to the group identifier, the security key algorithm, The first key information and the serial number of the communication are obtained by using KDF to obtain the security key.
  • Key is the first key information
  • FC is 21, P0 is 1, L0 is 1, P1 is the security key algorithm identifier, L1 is 1, P2 is the communication serial number, and L2 is 4.
  • the encryption security key is a derived key.
  • Key is the first key information
  • FC is 21, P0 is 2, L0 is 1, P1 is the secret key algorithm identifier, L1 is 1, P2 is the communication serial number, L2 For 4, the security key is the derived key.
  • the security key algorithm identifier The value of the identifier of the secret key algorithm is 0 to 3.
  • the information generated by the core unit in the step 101 further includes: a group identifier, an algorithm identifier information, and a first key information.
  • Each terminal uses the information generated by the core unit to obtain the second key information, including: each terminal uses the obtained group.
  • the identifier, the first key information, the algorithm identification information, and the communication sequence number obtain the second key information.
  • This step is the same as the specific implementation of the core unit by using the group identifier, the algorithm identifier information, the first key information, and the communication sequence number to obtain the second key information, and details are not described herein again.
  • the second key information obtained by the core unit is consistent with the second key information obtained by each terminal.
  • each terminal when the terminal receives the group call configuration message on the monitored public broadcast channel, each terminal performs the step of acquiring the second key information.
  • Step 102 The first terminal terminal performs point-to-multipoint secure communication with other terminals in the terminal group via the core unit by using the obtained second key information.
  • performing point-to-multipoint communication in step 102 includes:
  • the first terminal encrypts the obtained service message to be sent to each terminal by using the second key information, and sends the message to the core unit.
  • the service message includes the message sequence number and the other terminal sent by the first terminal to the terminal group.
  • the service information is voice information or picture information, and the message sequence number is set to the sequence number generated by the first terminal;
  • the core unit decrypts the received service message encrypted by the first terminal by using the second key information to obtain a service message; sets the message sequence number in the service message to the sequence number generated by the core unit; and uses the second key information to service
  • the message is encrypted; the channel message is used to broadcast the core unit encrypted service message on the public broadcast channel;
  • Each terminal receives the encrypted service message of the core unit on the monitored public broadcast channel, and decrypts the second key information to obtain a service message.
  • FIG. 2 is a schematic structural diagram of a system for implementing point-to-multipoint secure communication according to an embodiment of the present invention, including a core unit and a terminal;
  • the core unit includes a detecting unit, a first processing unit, and a first key acquiring unit;
  • a detecting unit configured to detect whether a terminal in the terminal group applies for point-to-multipoint communication
  • a first key obtaining unit configured to acquire second key information by using information from the first processing unit, where the information from the first processing unit includes: a communication serial number;
  • a first processing unit configured to: when the detection result from the detecting unit is an application, transmit the generated communication serial number to each terminal in the terminal group; and use the second key information from the first key acquiring unit and each Terminals for secure communication;
  • the detecting unit in the core unit is further configured to detect whether a terminal group composed of two or more terminals is newly added.
  • the first key obtaining unit in the core unit is further configured to: acquire first key information according to the group identifier and the generated random number.
  • the first processing unit in the core unit is further configured to: when the detection result from the detecting unit is new, the group identifier and the algorithm identification information corresponding to the terminal group, and the first key information from the first key acquiring unit. Send to each terminal in the terminal group.
  • the algorithm identification information includes an encryption security key algorithm identifier and a security security key algorithm identifier; the second key information includes an encryption security key and a security key.
  • the first processing unit is configured to: send the group identifier and algorithm identification information preset for the terminal group, and the obtained first key information to each terminal in the terminal group by:
  • the group identification and algorithm identification information preset for the terminal group, and the obtained first key information are sent to each terminal in the terminal group in a point-to-point secure communication manner.
  • the information from the first processing unit further includes: a group identifier, algorithm identifier information, and first key information from the first key acquiring unit;
  • the first key acquisition unit is configured to obtain the second key information by using information from the first processing unit by:
  • the second key information is obtained by using the group identification, the algorithm identification information, the first key information from the first key acquisition unit, and the communication sequence number from the first processing unit.
  • the terminal includes a second key acquisition unit and a second processing unit; wherein
  • a second key obtaining unit configured to acquire second key information according to the group identifier, the first key information, the algorithm identification information, and the communication serial number obtained from the core unit;
  • the second processing unit is configured to perform secure communication with the core unit using the second key information from the second key acquisition unit.
  • the embodiment of the invention further provides a system for implementing point-to-multipoint secure communication, including the core unit and the terminal.
  • all or part of the steps of the above embodiments may also be implemented by using an integrated circuit. These steps may be separately fabricated into individual integrated circuit modules, or multiple modules or steps may be fabricated into a single integrated circuit module. achieve.
  • the devices/function modules/functional units in the above embodiments may be implemented by a general-purpose computing device, which may be centralized on a single computing device or distributed over a network of multiple computing devices.
  • each device/function module/functional unit in the above embodiment When each device/function module/functional unit in the above embodiment is implemented in the form of a software function module and sold or used as a stand-alone product, it can be stored in a computer readable storage medium.
  • the above mentioned computer readable storage medium may be a read only memory, a magnetic disk or an optical disk or the like.
  • the above technical solution realizes point-to-multipoint secure communication, improves the security of point-to-multipoint communication, and thus satisfies the market demand.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Mobile Radio Communication Systems (AREA)
  • Telephonic Communication Services (AREA)

Abstract

一种实现点对多点安全通信的方法、核心单元、终端和系统，包括：检测出终端组中的第一终端申请点对多点通信时，核心单元将生成的终端组的通信序号发送给终端组中的每个终端，核心单元和每个终端均利用生成的通信序号获取第二秘钥信息；第一终端利用获得的第二秘钥信息经由核心单元与终端组中的其它终端进行点对多点安全通信。上述技术方案实现了点对多点安全通信，提高了点对多点通信的安全性。

Description

实现点对多点安全通信的方法、核心单元、终端和系统 技术领域
本文涉及安全通信技术，尤指一种实现点对多点安全通信的方法、核心单元、终端和系统。
背景技术
众所周知，点对多点安全通信技术广泛应用于多种通信系统如对讲机集群系统和无线通信集群系统。其中，无线通信集群系统可分成模拟无线通信集群系统和数字无线通信集群系统。这里，数字无线通信集群系统可分成第二代(2G)、第三代(3G)和第四代(4G)数字无线通信集群系统。
在上述通信系统中，目前均实现了点对点安全通信，也就是说，实现了通信系统中的两个终端之间的安全性通信；也实现了点对多点通信，其中，点对多点通信是指，几个终端共同构成一个终端组，当检测到终端组中的一个终端申请点对多点通信时，通信系统通过相应处理将终端发送的业务消息发送给终端组中的其他终端，进而实现点对多点通信；其中，上述点对点安全通信和点对多点通信的具体实现可以参考长期演进(LTE，Long Term Evolution)协议，此处不再赘述。但在上述实现点对多点通信的系统中，均没有实现终端之间的点对多点安全通信。随着上述集群系统的广泛应用，点对多点通信的安全性得到了越来越多的重视。相关支持点对多点通信的集群系统中，由于不支持点对多点安全通信，使得点对多点通信的安全性较低，从而无法较好地满足市场需求。
发明内容
为了解决上述技术问题，本发明实施例提供了一种实现点对多点安全通信的方法、核心单元、终端和系统，能够实现点对多点安全通信，提高点对多点通信的安全性。
为了解决上述技术问题，本发明实施例提供了一种实现点对多点安全通信的方法，包括：
当核心单元检测出终端组中的第一终端申请点对多点通信时，
核心单元将生成的终端组的通信序号发送给终端组中的每个终端，核心单元和每个终端均利用核心单元生成的信息获取第二秘钥信息，所述核心单元生成的信息包括：通信序号；
第一终端利用所述第二秘钥信息经由核心单元与终端组中的其它终端进行点对多点安全通信。
可选的，所述方法还包括：
在核心单元检测出终端组中的第一终端申请点对多点通信之前，若核心单元检测出新增由两个或两个以上终端组成所述终端组时，核心单元将为所述终端组预先设置的组标识和算法标识信息、以及获得的第一秘钥信息发送给所述终端组中的每个终端。
可选的，所述第一秘钥信息是根据所述组标识和生成的随机数获取的。
可选的，
所述核心单元生成的信息还包括：组标识、算法标识信息、第一秘钥信息；
所述核心单元利用生成的核心单元生成的信息获取第二秘钥信息包括：
所述核心单元利用所述组标识、算法标识信息、第一秘钥信息和通信序号获取所述第二秘钥信息。
可选的，
所述核心单元生成的信息还包括：组标识、算法标识信息、第一秘钥信息；
所述每个终端均利用核心单元生成的信息获取第二秘钥信息包括：
每个终端均利用获得的所述组标识、算法标识信息、第一秘钥信息和通信序号获取所述第二秘钥信息。
可选的，所述将为所述终端组预先设置的组标识和算法标识信息、以及 获得的第一秘钥信息发送给所述终端组中的每个终端是以点对点安全通信的方式进行的。
可选的，所述算法标识信息包括加密安全秘钥算法标识和完保安全秘钥算法标识；所述第二秘钥信息包括加密安全秘钥和完保安全秘钥。
为解决上述技术问题，本发明实施例还提供了一种实现点对多点安全通信的核心单元，包括检测单元、第一处理单元和第一秘钥获取单元，其中，
检测单元，设置为检测终端组中的一个终端是否申请点对多点通信；
第一秘钥获取单元，设置为利用来自第一处理单元的信息获取第二秘钥信息，所述来自第一处理单元的信息包括：通信序号；
第一处理单元，设置为当来自检测单元的检测结果为申请时，将生成的通信序号发送给终端组中的每个终端以及第一秘钥获取单元；以及利用来自第一秘钥获取单元的第二秘钥信息与每个终端进行安全通信。
可选的，
所述检测单元还设置为：检测是否新增由两个或两个以上终端组成所述终端组；
所述第一处理单元还设置为：当来自所述检测单元的检测结果是新增时，将为所述终端组预先设置的组标识和算法标识信息、以及获得的第一秘钥信息发送给所述终端组中的每个终端。
可选的，
所述第一秘钥获取单元还设置为：根据所述组标识和生成的随机数获取所述第一秘钥信息。
可选的，
所述来自第一处理单元的信息还包括：组标识、算法标识信息、来自所述第一秘钥获取单元的第一秘钥信息；
第一秘钥获取单元，是设置为通过如下方式实现利用来自第一处理单元的信息获取第二秘钥信息：
利用组标识、算法标识信息、来自所述第一秘钥获取单元的第一秘钥信息、和来自所述第一处理单元的通信序号获取第二秘钥信息。
可选的，所述算法标识信息包括加密安全秘钥算法标识和完保安全秘钥算法标识；所述第二秘钥信息包括加密安全秘钥和完保安全秘钥。
可选的，
所述第一处理单元，是设置为通过如下方式实现将为所述终端组预先设置的组标识和算法标识信息、以及获得的第一秘钥信息发送给所述终端组中的每个终端：
将为所述终端组预先设置的组标识和算法标识信息、以及获得的第一秘钥信息以点对点安全通信的方式发送给所述终端组中的每个终端。
为解决上述技术问题，本发明实施例还提供了一种实现点对多点安全通信的终端，包括第二秘钥获取单元和第二处理单元，其中，
第二秘钥获取单元，设置为根据从核心单元获得的组标识、第一秘钥信息、算法标识信息和通信序号获取第二秘钥信息；
第二处理单元，设置为利用来自第二秘钥获取单元的第二秘钥信息与核心单元进行安全通信。
可选的，所述系统包括上述核心单元和终端。
为解决上述技术问题，本发明实施例还提供了一种计算机存储介质，所述计算机存储介质中存储有计算机可执行指令，所述计算机可执行指令用于执行上述的方法。
与相关技术相比，本发明实施例技术方案包括：检测出终端组中的第一终端申请点对多点通信时，核心单元将生成的终端组的通信序号发送给终端组中的每个终端，核心单元和每个终端均利用生成的通信序号获取第二秘钥信息；第一终端利用获得的第二秘钥信息经由核心单元与终端组中的其它终 端进行点对多点安全通信。通过本发明实施例技术方案，实现了点对多点安全通信，提高了点对多点通信的安全性，从而较好地满足了市场需求。
附图概述
图1为本发明实施例实现点对多点安全通信的方法的流程图；
图2为本发明实施例实现点对多点安全通信的系统的组成结构示意图。
本发明的较佳实施方式
下文中将结合附图对本发明实施例进行详细说明。需要说明的是，在不冲突的情况下，本申请中的实施例及实施例中的特征可以相互任意组合。
在附图的流程图示出的步骤可以在诸如一组计算机可执行指令的计算机系统中执行。并且，虽然在流程图中示出了逻辑顺序，但是在某些情况下，可以以不同于此处的顺序执行所示出或描述的步骤。
图1为本发明实施例实现点对多点安全通信的方法的流程图，包括：
步骤101：检测出终端组中的第一终端申请点对多点通信时，核心单元将生成的通信序号发送给终端组中的每个终端，核心单元和每个终端均利用核心单元生成的信息获取第二秘钥信息；所述核心单元生成的信息包括：通信序号。
在无线通信领域中，核心单元为核心网中的设置为每种消息处理的单元；终端为移动终端。
本步骤之前，本发明实施例方法还包括：
步骤100：检测出新增由两个或两个以上终端组成的终端组时，核心单元将为终端组预先设置的组标识和算法标识信息、以及获得的第一秘钥信息发送给终端组中的每个终端。
其中，检测新增终端组的具体实现，属于本领域技术人员的惯用技术手段，不用于限制本发明的保护范围，此处不再赘述
其中，第一秘钥信息是根据组标识和生成的随机数获取的。这里，可以 采用本领域技术公知的技术手段如C语言提供的随机函数，生成随机数。这里，获取第一秘钥信息包括：根据组标识和随机数，采用相关LTE协议中的秘钥派生函数(KDF，Key derivation function)获取第一秘钥信息。
其中，KDF根据秘钥(Key)输入参数和字节串(S)输入参数计算出秘钥输出参数即派生秘钥。其中，S由FC、P0、L0、P1、L1、P2和L2等参数组成。参考LTE协议，可知KDF的Key、S、组成S的每个参数、和派生秘钥的含义，此处不再赘述。
在采用KDF计算第一秘钥信息时，Key为组标识，FC为16，P0为随机数，L0为4，第一秘钥信息为派生秘钥。
步骤100中，将组标识等信息发送给终端组中的每个终端是以点对点安全通信的方式进行的。
其中，核心单元如何以点对点安全通信的方式向终端发送信息，是本领域技术人员公知的。
可选地，
通过步骤100将组标识等信息发送给每个终端之后，本发明实施例还包括：
终端接收组标识等信息，并通知核心单元接收到组标识等信息。其中，通知包括：以点对点安全通信的方式将用于确认接收到组标识等信息的消息发送给核心单元。
步骤101中，如何检测终端组中的第一终端申请点对多点通信，属于本领域技术人员的惯用技术手段，不用于限制本发明的保护范围，此处不再赘述。
在本实施例中，步骤101中的将通信序号发送给终端组中的每个终端包括：
核心单元以广播的方式向终端组中的每个终端发送包含用于指定公共广播信道的信道扰码、以及通信序号的组呼寻呼消息，并启动计数器。
当计数器等于预先设置的计数器阈值时，核心单元采用信道扰码在公共广播信道上广播用于指示终端获取第二秘钥信息的组呼配置消息；
终端接收到组呼寻呼消息时，采用组呼寻呼消息中的信道扰码监听公共广播信道，并保存呼寻呼消息中的通信序号。
其中，
公共广播信道是本领域技术人员公知的。以广播的方式向终端发送消息、采用信道扰码监听公共广播信道、以及采用信道扰码在公共广播信道上广播信息的具体实现，属于本领域技术人员的惯用技术手段，不用于限制本发明的保护范围，此处不再赘述。
步骤101中的通信序号，唯一代表一个终端组的一次点对多点通信，类似于点对点安全通信中的呼叫序号。本步骤中可参照相关点对点安全通信中生成呼叫序号的具体实现生成通信序号，此处不再赘述。
步骤101中核心单元生成的信息还包括：组标识、算法标识信息、第一秘钥信息；核心单元利用生成的信息获取第二秘钥信息包括：利用组标识、算法标识信息、第一秘钥信息和通信序号获取第二秘钥信息。
其中，算法标识信息至少包括加密安全秘钥算法标识和完保安全秘钥算法标识。第二秘钥信息至少包括加密安全秘钥和完保安全秘钥。
其中，加密安全秘钥算法用于指示采用哪种算法产生加密安全秘钥；完保安全秘钥算法标识用于指示采用哪种算法产生完保安全秘钥。加密安全秘钥主要用于实现保密性通信；完保安全秘钥主要用于实现完整性通信；也就是说，两者共同用于实现安全性通信。
上述步骤中获取第二秘钥信息包括：根据组标识、安全秘钥算法标识，第一秘钥信息和通信序号，采用KDF获取加密安全秘钥；以及根据组标识、完保秘钥算法标识、第一秘钥信息和通信序号，采用KDF获取完保安全秘钥。
在采用KDF获取加密安全秘钥时，Key为第一秘钥信息，FC为21，P0为1，L0为1，P1为安全秘钥算法标识，L1为1，P2为通信序号，L2为4，加密安全秘钥为派生秘钥。在采用KDF获取完保安全秘钥时，Key为第一秘钥信息，FC为21，P0为2，L0为1，P1为完保秘钥算法标识，L1为1，P2为通信序号，L2为4，完保安全秘钥为派生秘钥。其中，安全秘钥算法标识 和完保秘钥算法标识的取值范围均为0～3。
步骤101中核心单元生成的信息还包括：组标识、算法标识信息、第一秘钥信息；每个终端均利用核心单元生成的信息获取第二秘钥信息包括：每个终端均利用获得的组标识、第一秘钥信息、算法标识信息和通信序号获取第二秘钥信息。
本步骤与核心单元利用组标识、算法标识信息、第一秘钥信息和通信序号获取第二秘钥信息的具体实现相同，此处不再赘述。
需要说明的是，核心单元获得的第二秘钥信息和每个终端获得的第二秘钥信息一致。
本实施例中，当终端在监听的公共广播信道上接收到组呼配置消息时，每个终端执行获取第二秘钥信息的步骤。
步骤102：第一终端终端利用获得的第二秘钥信息经由核心单元与终端组中的其它终端进行点对多点安全通信。
本实施例中，步骤102中的进行点对多点通信包括：
第一终端采用第二秘钥信息对获得的待发送给每个终端的业务消息进行加密，并发送给核心单元；其中，业务消息中包括消息序号和第一终端发送给终端组中的其它终端的业务信息如语音信息或者图片信息，消息序号设置为第一终端产生的序号；
核心单元采用第二秘钥信息对接收到的第一终端加密后的业务消息进行解密，得到业务消息；将业务消息中的消息序号设置为核心单元产生的序号；采用第二秘钥信息对业务消息进行加密；采用信道扰码在公共广播信道上广播核心单元加密后的业务消息；
每个终端在监听的公共广播信道上接收核心单元加密后的业务消息，并采用第二秘钥信息进行解密，得到业务消息。
图2是本发明实施例实现点对多点安全通信的系统的组成结构示意图，包括核心单元和终端；其中，
核心单元包括检测单元、第一处理单元和第一秘钥获取单元；其中，
检测单元，设置为检测终端组中的一个终端是否申请点对多点通信；
第一秘钥获取单元，设置为利用来自第一处理单元的信息获取第二秘钥信息，所述来自第一处理单元的信息包括：通信序号；
第一处理单元，设置为当来自检测单元的检测结果为申请时，将生成的通信序号发送给终端组中的每个终端；以及利用来自第一秘钥获取单元的第二秘钥信息与每个终端进行安全通信；
可选地，
核心单元中的检测单元还设置为：检测是否新增由两个或两个以上终端组成的终端组。相应地，
核心单元中的第一秘钥获取单元还设置为：根据组标识和生成的随机数获取第一秘钥信息。
核心单元中的第一处理单元还设置为：当来自检测单元的检测结果是新增时，将终端组对应的组标识和算法标识信息、以及来自第一秘钥获取单元的第一秘钥信息发送给终端组中的每个终端。所述算法标识信息包括加密安全秘钥算法标识和完保安全秘钥算法标识；所述第二秘钥信息包括加密安全秘钥和完保安全秘钥。
所述第一处理单元，是设置为通过如下方式实现将为所述终端组预先设置的组标识和算法标识信息、以及获得的第一秘钥信息发送给所述终端组中的每个终端：
将为所述终端组预先设置的组标识和算法标识信息、以及获得的第一秘钥信息以点对点安全通信的方式发送给所述终端组中的每个终端。
可选的，所述来自第一处理单元的信息还包括：组标识、算法标识信息、来自所述第一秘钥获取单元的第一秘钥信息；
第一秘钥获取单元，是设置为通过如下方式实现利用来自第一处理单元的信息获取第二秘钥信息：
利用组标识、算法标识信息、来自所述第一秘钥获取单元的第一秘钥信息、和来自所述第一处理单元的通信序号获取第二秘钥信息。
终端包括第二秘钥获取单元和第二处理单元；其中，
第二秘钥获取单元，设置为根据从核心单元获得的组标识、第一秘钥信息、算法标识信息和通信序号获取第二秘钥信息；
第二处理单元，设置为利用来自第二秘钥获取单元的第二秘钥信息与核心单元进行安全通信。
本发明实施例还提供了一种实现点对多点安全通信的系统，包括上述的核心单元和终端。
虽然本发明所揭露的实施方式如上所述，但所述的内容仅为便于理解本发明而采用的实施方式，并非用以限定本发明。任何本发明所属领域内的技术人员，在不脱离本发明所揭露的精神和范围的前提下，可以在实施的形式及细节上进行任何的修改与变化，但本发明的专利保护范围，仍须以所附的权利要求书所界定的范围为准。
本领域普通技术人员可以理解上述实施例的全部或部分步骤可以使用计算机程序流程来实现，所述计算机程序可以存储于一计算机可读存储介质中，所述计算机程序在相应的硬件平台上(如系统、设备、装置、器件等)执行，在执行时，包括方法实施例的步骤之一或其组合。
可选地，上述实施例的全部或部分步骤也可以使用集成电路来实现，这些步骤可以被分别制作成一个个集成电路模块，或者将它们中的多个模块或步骤制作成单个集成电路模块来实现。
上述实施例中的各装置/功能模块/功能单元可以采用通用的计算装置来实现，它们可以集中在单个的计算装置上，也可以分布在多个计算装置所组成的网络上。
上述实施例中的各装置/功能模块/功能单元以软件功能模块的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。上述提到的计算机可读取存储介质可以是只读存储器，磁盘或光盘等。
工业实用性
上述技术方案实现了点对多点安全通信，提高了点对多点通信的安全性，从而较好地满足了市场需求。

Claims (16)

  1. 一种实现点对多点安全通信的方法，包括：
    当核心单元检测出终端组中的第一终端申请点对多点通信时，核心单元将生成的终端组的通信序号发送给终端组中的每个终端，核心单元和每个终端均利用核心单元生成的信息获取第二秘钥信息，所述核心单元生成的信息包括：通信序号；
    第一终端利用所述第二秘钥信息经由核心单元与终端组中的其它终端进行点对多点安全通信。
  2. 根据权利要求1所述的方法，所述方法还包括：
    在核心单元检测出终端组中的第一终端申请点对多点通信之前，若核心单元检测出新增由两个或两个以上终端组成所述终端组时，核心单元将为所述终端组预先设置的组标识和算法标识信息、以及获得的第一秘钥信息发送给所述终端组中的每个终端。
  3. 根据权利要求2所述的方法，其中，
    所述第一秘钥信息是根据所述组标识和生成的随机数获取的。
  4. 根据权利要求2所述的方法，
    所述核心单元生成的信息还包括：组标识、算法标识信息、第一秘钥信息；
    所述核心单元利用生成的核心单元生成的信息获取第二秘钥信息包括：
    所述核心单元利用所述组标识、算法标识信息、第一秘钥信息和通信序号获取所述第二秘钥信息。
  5. 根据权利要求2所述的方法，
    所述核心单元生成的信息还包括：组标识、算法标识信息、第一秘钥信息；
    所述每个终端均利用核心单元生成的信息获取第二秘钥信息包括：
    每个终端均利用获得的所述组标识、算法标识信息、第一秘钥信息和通 信序号获取所述第二秘钥信息。
  6. 根据权利要求2所述的方法，其中，
    所述将为所述终端组预先设置的组标识和算法标识信息、以及获得的第一秘钥信息发送给所述终端组中的每个终端是以点对点安全通信的方式进行的。
  7. 根据权利要求2所述的方法，其中，
    所述算法标识信息包括加密安全秘钥算法标识和完保安全秘钥算法标识；所述第二秘钥信息包括加密安全秘钥和完保安全秘钥。
  8. 一种实现点对多点安全通信的核心单元，包括检测单元、第一处理单元和第一秘钥获取单元，其中，
    检测单元，设置为检测终端组中的一个终端是否申请点对多点通信；
    第一秘钥获取单元，设置为利用来自第一处理单元的信息获取第二秘钥信息，所述来自第一处理单元的信息包括：通信序号；
    第一处理单元，设置为当来自检测单元的检测结果为申请时，将生成的通信序号发送给终端组中的每个终端以及第一秘钥获取单元；以及利用来自第一秘钥获取单元的第二秘钥信息与每个终端进行安全通信。
  9. 根据权利要求8所述的核心单元，
    所述检测单元还设置为：检测是否新增由两个或两个以上终端组成所述终端组；
    所述第一处理单元还设置为：当来自所述检测单元的检测结果是新增时，将为所述终端组预先设置的组标识和算法标识信息、以及获得的第一秘钥信息发送给所述终端组中的每个终端。
  10. 根据权利要求9所述的核心单元，
    所述第一秘钥获取单元还设置为：根据所述组标识和生成的随机数获取所述第一秘钥信息。
  11. 根据权利要求9所述的核心单元，
    所述来自第一处理单元的信息还包括：组标识、算法标识信息、来自所 述第一秘钥获取单元的第一秘钥信息；
    第一秘钥获取单元，是设置为通过如下方式实现利用来自第一处理单元的信息获取第二秘钥信息：
    利用组标识、算法标识信息、来自所述第一秘钥获取单元的第一秘钥信息、和来自所述第一处理单元的通信序号获取第二秘钥信息。
  12. 根据权利要求9所述的核心单元，其中，
    所述算法标识信息包括加密安全秘钥算法标识和完保安全秘钥算法标识；所述第二秘钥信息包括加密安全秘钥和完保安全秘钥。
  13. 根据权利要求9所述的核心单元，其中，
    所述第一处理单元，是设置为通过如下方式实现将为所述终端组预先设置的组标识和算法标识信息、以及获得的第一秘钥信息发送给所述终端组中的每个终端：
    将为所述终端组预先设置的组标识和算法标识信息、以及获得的第一秘钥信息以点对点安全通信的方式发送给所述终端组中的每个终端。
  14. 一种实现点对多点安全通信的终端，包括第二秘钥获取单元和第二处理单元，其中，
    第二秘钥获取单元，设置为根据从核心单元获得的组标识、第一秘钥信息、算法标识信息和通信序号获取第二秘钥信息；
    第二处理单元，设置为利用来自第二秘钥获取单元的第二秘钥信息与核心单元进行安全通信。
  15. 一种实现点对多点安全通信的系统，包括权利要求8～13任一项所述的核心单元和权利要求14所述的终端。
  16. 一种计算机存储介质，所述计算机存储介质中存储有计算机可执行指令，所述计算机可执行指令用于执行权利要求1～7中任一项所述的方法。
PCT/CN2015/078077 2014-11-18 2015-04-30 实现点对多点安全通信的方法、核心单元、终端和系统 WO2016078351A1 (zh)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN201410660117.2 2014-11-18
CN201410660117.2A CN105611527A (zh) 2014-11-18 2014-11-18 实现点对多点安全通信的方法、核心单元、终端和系统

Publications (1)

Publication Number Publication Date
WO2016078351A1 true WO2016078351A1 (zh) 2016-05-26

Family

ID=55990998

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2015/078077 WO2016078351A1 (zh) 2014-11-18 2015-04-30 实现点对多点安全通信的方法、核心单元、终端和系统

Country Status (2)

Country Link
CN (1) CN105611527A (zh)
WO (1) WO2016078351A1 (zh)

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101145900A (zh) * 2006-09-15 2008-03-19 华为技术有限公司 组播方法和组播系统以及组播设备
CN102291680A (zh) * 2010-06-18 2011-12-21 普天信息技术研究院有限公司 一种基于td-lte集群通信系统的加密组呼方法
CN103096308A (zh) * 2011-11-01 2013-05-08 华为技术有限公司 生成组密钥的方法和相关设备

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101145900A (zh) * 2006-09-15 2008-03-19 华为技术有限公司 组播方法和组播系统以及组播设备
CN102291680A (zh) * 2010-06-18 2011-12-21 普天信息技术研究院有限公司 一种基于td-lte集群通信系统的加密组呼方法
CN103096308A (zh) * 2011-11-01 2013-05-08 华为技术有限公司 生成组密钥的方法和相关设备

Also Published As

Publication number Publication date
CN105611527A (zh) 2016-05-25

Similar Documents

Publication Publication Date Title
KR101879916B1 (ko) 3gpp lte에서 모바일 통신 디바이스 간의 근접성 발견, 인증 및 링크 설정
US11394699B2 (en) Encrypted audio streaming
US10505907B2 (en) Securely recognizing mobile devices
US10305900B2 (en) Establishing a secure connection between a master device and a slave device
WO2017114123A1 (zh) 一种密钥配置方法及密钥管理中心、网元
CN113099443B (zh) 设备认证方法、装置、设备和系统
KR101631223B1 (ko) 피어―투―피어 무선 통신 네트워크들에 대한 개선된 시스템 액세스 제어를 위한 방법들 및 장치
CN105792190B (zh) 通信系统中的数据加解密和传输方法
US8681981B2 (en) Method and apparatus for transmitting voice communications related to a multimedia session
CN111954151B (zh) 目标对象确定方法、装置、系统及存储介质
RU2012145805A (ru) Способ согласования многоадресного ключа, подходящий для системы группового вызова, и соответствующая система
WO2018233724A1 (zh) 设备凭证分发方法和系统、用户设备及管理实体
KR101777052B1 (ko) Ble 통신 장치 및 방법
KR101568871B1 (ko) 멀티캐스트 통신방식을 적용한 바이탈 제어 시스템의 암호화 방법
WO2022110083A1 (zh) 一种通信方法及装置
US20160248857A1 (en) Key Negotiation Processing Method and Apparatus
CN112367165A (zh) 串口通信方法、装置、电子设备和计算机可读介质
WO2014161300A1 (zh) 一种用于机器类通信小数据传输的密钥建立方法和系统
CN104243153A (zh) 一种用于发现设备的用户的方法和用户设备
Portnoi et al. Location-aware sign-on and key exchange using attribute-based encryption and bluetooth beacons
CN106487761B (zh) 一种消息传输方法和网络设备
WO2017012425A1 (zh) 宽带集群系统的共享信道管理方法、系统、终端和基站
WO2016078351A1 (zh) 实现点对多点安全通信的方法、核心单元、终端和系统
CN108337089B (zh) 信令传输加密、解密方法、装置及终端
WO2017114156A1 (zh) 一种数据加密传输方法、基站及pdt终端

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 15861904

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 15861904

Country of ref document: EP

Kind code of ref document: A1