WO2017114123A1 - 一种密钥配置方法及密钥管理中心、网元 - Google Patents

一种密钥配置方法及密钥管理中心、网元 Download PDF

Info

Publication number
WO2017114123A1
WO2017114123A1 PCT/CN2016/109040 CN2016109040W WO2017114123A1 WO 2017114123 A1 WO2017114123 A1 WO 2017114123A1 CN 2016109040 W CN2016109040 W CN 2016109040W WO 2017114123 A1 WO2017114123 A1 WO 2017114123A1
Authority
WO
WIPO (PCT)
Prior art keywords
key
network element
service
management center
token
Prior art date
Application number
PCT/CN2016/109040
Other languages
English (en)
French (fr)
Inventor
张博
甘露
Original Assignee
华为技术有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 华为技术有限公司 filed Critical 华为技术有限公司
Priority to EP16880913.5A priority Critical patent/EP3364595A4/en
Publication of WO2017114123A1 publication Critical patent/WO2017114123A1/zh
Priority to US15/978,794 priority patent/US10903987B2/en

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0819—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s)
    • H04L9/083—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s) involving central third party, e.g. key distribution center [KDC] or trusted third party [TTP]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0819—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s)
    • H04L9/0822—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s) using key encryption key
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/06—Network architectures or network communication protocols for network security for supporting key management in a packet data network
    • H04L63/062—Network architectures or network communication protocols for network security for supporting key management in a packet data network for key distribution, e.g. centrally by trusted party
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/06—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols the encryption apparatus using shift registers or memories for block-wise or stream coding, e.g. DES systems or RC4; Hash functions; Pseudorandom sequence generators
    • H04L9/0618—Block ciphers, i.e. encrypting groups of characters of a plain text message using fixed encryption transformation
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/321—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving a third party or a trusted authority
    • H04L9/3213—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving a third party or a trusted authority using tickets or tokens, e.g. Kerberos
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
    • H04W12/041—Key generation or derivation
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
    • H04W12/047—Key management, e.g. using generic bootstrapping architecture [GBA] without using a trusted network node as an anchor
    • H04W12/0471—Key exchange
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/80—Wireless

Definitions

  • the present application relates to the field of communications, and in particular, to a key configuration method, a key management center, and a network element.
  • the security protection of data from the terminal to the network is performed by segmentation encryption. For example, in the process of sending data from one user equipment to another, the user equipment at the sending end will be encrypted. The data is sent to the first base station, and the first base station decrypts and re-encrypts the data, and sends the re-encrypted data to other intermediate devices, and finally the data is sent to the receiving end user equipment.
  • end-to-end secure communication has become a trend in secure communications.
  • the so-called end-to-end secure communication means that the transmitting end device establishes a secure tunnel with the receiving end device, and the intermediate node of the secure tunnel only processes the forwarding of the ciphertext data without decrypting the encrypted data.
  • the configuration of the security key for the two network elements participating in the end-to-end communication is a prerequisite for end-to-end secure communication.
  • the present application provides a key configuration method and device, and a network element, and aims to solve the problem of how to configure a security key for a network element.
  • a first aspect of the present application provides a key configuration method, including: a key management center acquiring a service key, where the service key is used to encrypt data transmitted between a first network element and a second network element And / or integrity protection.
  • the key management center obtains a token, which is a result of encrypting and/or integrity protecting the service key.
  • the key management center sends the token, and the token is used by the first network element to be forwarded to the second network element, so that the second network element obtains according to the token.
  • the service key is acquiring a service key, where the service key is used to encrypt data transmitted between a first network element and a second network element And / or integrity protection.
  • the key management center obtains a token, which is a result of encrypting and/or integrity protecting the service key.
  • the key management center sends the token, and the token is used by the first network element to be forwarded to the second network element, so that the second network element obtains according to the token.
  • the key management center obtains the service key and the token, and after receiving the service key and the token, the first network element sends a token to the second network element because the token is As a result of the encryption and/or integrity protection of the service key, the second network element may obtain the service key according to the token, and the service key is used for the first network element and the second network element.
  • the data transmitted between the first network element and the second network element can be configured by the interaction between the key management center and the network element.
  • the foundation for secure communication is laid.
  • a second aspect of the present application provides another method for configuring a key, including: acquiring, by a first network element, a service key and a token, where the service key is used for the first network element and the second network element
  • the inter-transferred data is encrypted and/or integrity protected as a result of encryption and/or integrity protection of the service key.
  • the first network element sends the token to the second network element, where the token is used by the second network element to obtain the service key. Because the first network element sends the token to the second network element, the second network element can obtain the service confidentiality from the token.
  • the key such that the first network element and the second network element can perform end-to-end secure communication.
  • the third aspect of the present application provides another method for configuring a key.
  • the network control center receives a key request, where the key request carries an identifier of the first network element and an identifier of the second network element.
  • the identifier of the network element and/or the identifier of the second network element is not permanently identified, and the network control center replaces the identifier of the first network element with the permanent identifier of the first network element, and/or The identifier of the second network element is replaced by the permanent identifier of the second network element;
  • the network control center sends a second key request message to the key management center, where the second key request message includes the first network element a permanent identifier and a permanent identifier of the second network element;
  • the key management center is configured to generate a service confidentiality according to the permanent identifier of the first network element and the permanent identifier of the second network element in the key request a key and a token, the token being a result of encrypting and/or integrity protecting the service
  • a fourth aspect of the present application provides another key configuration method, including: a key management center receiving a key request, where the key request carries an identifier of a first network element, an identifier of a second network element, and a service parameter. At least one of the key requests sent by the first network element, the second network element, a network control center, or a service server to the key management center; Generating, by the identifier of a network element, the identifier of the second network element, and the service parameter, a service key, where the service key is used between the first network element and the second network element Transmitting and/or integrity protection of the transmitted data; the key management center uses the shared key between the key management center and the second network element to the service key and the first class Encrypting a string consisting of key parameters to obtain a token; wherein the first type of key parameter is a message authentication code used by the key management center to calculate the service key by using the shared key, or The key management center uses the shared key to calculate a message authentication code of a character
  • a fifth aspect of the present application provides another key configuration method, including: a key management center receives a key request sent by a first network element, generates a service key, and sends the service key to the first network element and the second network.
  • the service key is sent by the element, wherein the service key is used to encrypt and/or integrity protect data transmitted between the first network element and the second network element.
  • a sixth aspect of the present application provides a key management center, including: a first processor and a first memory; the first memory is configured to store an operating system and an application, and data generated during operation of the application;
  • the first processor is configured to: implement the following function by running the application stored in the first memory: acquiring a service key, where the service key is used for the first network element and the second network element Inter-transmission data is encrypted and/or integrity protected; a token is obtained, the token being a result of encrypting and/or integrity protecting the service key; sending the token, the token is used After being acquired by the first network element, forwarding to the second network element, so that the second network element obtains the service key according to the token.
  • a seventh aspect of the present application provides a network element, including: a second processor and a second memory.
  • the second memory is configured to store an operating system and an application, data generated during operation of the application; the second processor is configured to run the stored in the second memory
  • the application the function of: obtaining a service key and a token, the service key for encrypting and/or integrity protecting data transmitted between the first network element and other network elements,
  • the card is the result of encrypting and/or integrity protecting the service key; the token is sent to the other network element, the token being used by the other network element to obtain the service key.
  • An eighth aspect of the present application provides a network control center, including: a third processor and a third memory.
  • the third memory is configured to store an operating system and an application, data generated in the running of the application; the third processor is configured to implement the following functions by running the application stored in the third memory
  • a ninth aspect of the present application provides another key management center, including: a fourth processor and a fourth memory.
  • the fourth memory is configured to store an operating system and an application, data generated in the running of the application; the fourth processor is configured to implement the following functions by running the application stored in the fourth memory Receiving a key request, the key request carrying at least one of an identifier of the first network element, an identifier of the second network element, and a service parameter, where the key
  • the request is sent by the first network element, the second network element, the network control center, or the service server; the service key is obtained, where the service key is used for the first network element and the second network Encryption and/or integrity protection of data transmitted between the elements; using the shared key between the key management center and the second network element to the service key and the first type of key parameters Encrypting the formed string to obtain a token; wherein the first type of key parameter is a message authentication code used by the key management center to calculate the service key by using the shared key, or the secret
  • the key management center
  • the acquiring the token includes: obtaining a first type of key parameter according to the service key, where the first type of key parameter includes a message authentication code or a digital signature obtained by the service key And encrypting, by using the first parameter, a character string composed of the service key and the first type of key parameter to obtain the token, where the first parameter includes the key management center and the first A shared key between the two network elements, a public key of the second network element, or an identifier of the second network element.
  • the obtaining, according to the service key, the first type of key parameter comprises: calculating a message authentication code of the service key by using the shared key; or using the shared key to calculate a message authentication code of a character string composed of the service key and the information of the service key; or calculating a digital signature of the service key by using a preset private key; or, using a pre- The private key is configured to calculate a digital signature of the character string formed by the information of the service key and the service key, where the information of the service key includes any one of the following: an entity identifier of the service key The validity period of the service key, the generation time of the service key, the information of the service to which the service key is applied, and the information of the service link.
  • the acquiring the token comprises: receiving a token sent by another key management center.
  • the sending the token includes: sending the token to the first network element; the first processor is further configured to: send the service confidentiality to the first network element key.
  • the specific process of sending the service key and the token to the first network element includes: using a second parameter to encrypt a character string to form a ciphertext, and to the first The network element sends the ciphertext, where the character string is composed of the service key, the token, and the second type of key parameter; or, the second parameter is used to encrypt the character string to form a ciphertext, and Transmitting, by the first network element, the ciphertext and the token, where the character string is composed of the service key and the second type of key parameter; wherein the second type of key parameter includes a message authentication code or a digital signature obtained by using a service key and a character string formed by the token, where the second parameter includes a shared key between the key management center and the first network element, and the The public key of a network element or the identifier of the first network element.
  • the second type of key parameter in the string is a message authentication code, and the message authentication code is shared by using the key management center and the first network element.
  • the key is obtained by performing integrity protection on the service key and the string formed by the token; or the second type of key parameter in the string is a digital signature, and the digital signature is used by using Setting a private key to digitally sign the service key and the token consisting of the token The operation is obtained.
  • the specific process of sending the service key and the token to the first network element includes: by using a pre-established secure channel with the first network element, The first network element sends the service key and the token.
  • the transmitting the token comprises transmitting the token to another key management center.
  • K KDF (Key, (time, at least one of preset parameters)
  • the key is a random number selected by the key management center, a shared key K1 between the first network element and the key management center, and the second network element and the key
  • the combination is the time of the service key K, the expiration time, or the current system time.
  • the preset parameters include the identifier of the first network element, the identifier of the second network element, and the service parameter.
  • the service parameter is at least one of a serial number in the service, a related time time of the service key, a related ID in the service, a fresh parameter, and a random number (nonce/random number) SN is the serial number for calculating the service key. .
  • the preset parameter includes an identifier of the first network element, an identifier of the second network element, the service parameter, and an SN;
  • the service parameter is a serial number in a service
  • the service key is related to Time time, related ID in the service, at least one of a fresh parameter, a random number (nonce/random number), and SN is a serial number for calculating a service key.
  • the key is a reference service key or a key obtained after the DH key is negotiated, and the reference service key is generated according to KDF (first negotiation parameter, second negotiation parameter);
  • the deadline of the key K include an identifier of the first network element, an identifier of the second network element, the service parameter, and an SN;
  • the parameter is a serial number in the service, a related time time of the service key, a related ID in the service, at least one of a fresh parameter and a random number (nonce
  • the obtaining a service key includes: receiving a service key sent by another key management center.
  • the method further includes: receiving a key request, where the key request carries at least one of an identifier of the first network element, an identifier of the second network element, and a service parameter, where the key request is And being sent by the first network element, the second network element, a network control center, or a service server.
  • the method further includes: receiving a first key request sent by the network control center, where the first key request carries a permanent identifier of the first network element and a permanent identifier of the second network element,
  • the permanent identifier of the first network element is obtained by the network control center according to the temporary identifier of the first network element
  • the permanent identifier of the second network element is determined by the network control center according to the second network element.
  • the temporary identifier is converted, and the temporary identifier of the first network element and the temporary identifier of the second network element are carried in the network control by the first network element, the second network element, or a service server.
  • the second key request in the center.
  • FIG. 1 is a schematic diagram of a scenario in which two network elements communicate end to end through a communication network
  • FIG. 2 is a schematic diagram of a deployment of a key management center
  • FIG. 3 is another schematic diagram of deployment of a key management center
  • FIG. 4 is a schematic structural diagram of a key management center according to an embodiment of the present application.
  • FIG. 5 is a flowchart of a key configuration method according to an embodiment of the present application.
  • FIG. 6 is a flowchart of still another method for configuring a key according to an embodiment of the present application.
  • FIG. 7 is a flowchart of still another method for configuring a key according to an embodiment of the present application.
  • FIG. 8 is a flowchart of still another method for configuring a key according to an embodiment of the present application.
  • FIG. 9 is a flowchart of still another method for configuring a key according to an embodiment of the present application.
  • FIG. 10 is a flowchart of still another method for configuring a key according to an embodiment of the present application.
  • Figure 1 shows a scenario in which two network elements communicate end-to-end through a communication network.
  • the network element can be a user equipment (User Equipment, UE), server, controller, etc., or a gateway. And other intermediate equipment.
  • the communication network may be a mobile communication network, such as Global System for Mobile Communications (GSM), Wideband Code Division Multiple Access (WCDMA), 3GPP Long Term Evolution (LTE), the future.
  • GSM Global System for Mobile Communications
  • WCDMA Wideband Code Division Multiple Access
  • LTE 3GPP Long Term Evolution
  • 5G Wireless Fidelity
  • Wii also known as 802.11b standard
  • other wireless communication networks can also be the Internet.
  • the end-to-end communication between two network elements through the mobile communication network may include any one of the following situations: two network elements complete end-to-end communication through the mobile communication network, and two network elements are completed through the Internet. End-to-end communication and two network elements complete end-to-end communication over the mobile communication network and the Internet.
  • the service server and the network control center may be included in the communication network, and information exchange with the communication network may be implemented between the two network elements through the service server and/or the network control center.
  • a key management center is set in a communication network, which is responsible for configuring a service key for the network element, as shown in FIG. 2, specifically, a key management can be set in one type of network. Center, this key management center is responsible for configuring service keys for two network elements. You can also set up a key management center for each type of network. Each key management center is responsible for configuring service keys for one network element. For example, as shown in FIG. 3, a first key management center is set in a mobile communication network, which is responsible for configuring a service key for a first network element in a mobile communication network, and setting a second key management center in the Internet, which is responsible for Configure a service key for the second network element in the Internet.
  • the embodiment of the present application will focus on how the key management center configures the service key for the network element.
  • the structure of the key management center shown in FIG. 2 or FIG. 3 is as shown in FIG. 4, and includes a first processor 401, a first memory 402 matched with the first processor 401, and a communication interface 403. The above parts communicate via the bus.
  • the first memory 402 includes a storage medium 4021 and a storage unit 4022.
  • the storage medium may be a read only memory ROM, a hard disk, or a flash memory
  • the storage unit may be a random access memory RAM.
  • an operating system, an application, and data generated during operation of the application are stored in the first memory.
  • the application includes a program for implementing a key configuration function, and the first processor implements a function of configuring a service key for the network element by calling and running the application.
  • the data generated by the first processor during the execution of the program is also stored in the storage unit.
  • the following describes in detail how the key management center shown in FIG. 4 implements a key for configuring a network element. The function.
  • the specific process of configuring a service key for two network elements includes the following steps:
  • the key management center receives a key request, where the key request carries at least one of an identifier of the first network element, an identifier of the second network element, and a service parameter of the service.
  • the service parameter of the service may include at least a serial number SN in the service, an associated time time of the service key, a related ID in the service, a fresh parameter, and a random number (nonce/random number).
  • the relevant ID in the service may include a key management center ID, a service service ID, a session session ID, a network ID, a link ID, an application App ID, a server server ID, and a public land mobile network (Public Land Mobile Network, At least one of PLMN ID).
  • the relevant time time of the service key may include at least one of a start time, an end time, and an expiration date of the service.
  • the identifier of the first network element and the identifier of the second network element may include at least one of IMEI, IMSI, IMPI, TMSI, IMPU, App ID, network ID, MAC address, IP address, mobile phone number, and GUTI, respectively. There are no restrictions here.
  • the key request may be sent by the first network element, the second network element, or the service server to the key management center.
  • the key request may also be sent by the first network element, the second network element, or the service server to the network control center, and then forwarded by the network control center to the key management center. Specifically, the following steps are included:
  • the network control center receives the identifier of the first network element, the identifier of the second network element, and the industry A key request for at least one of the parameters.
  • the network control center converts the temporary identifier of the first network element into a permanent identifier of the first network element; if the identifier of the second network element is a temporary identifier, the network control center The temporary identifier of the second network element is converted into a permanent identifier of the second network element.
  • the network control center may pre-store the correspondence between the temporary identifier and the permanent identifier of each network element, and the network control center may implement the conversion between the temporary identifier and the permanent identifier by querying the corresponding relationship.
  • the temporary identifier may be: IMPU, GUTI, TMSI, etc.
  • the permanent identifier may be: IMSI, IMEI, IMPI, App ID, network ID, MAC address, IP address, mobile phone number, etc.;
  • the network control center sends a key request carrying at least one of a permanent identifier of the first network element, a permanent identifier of the second network element, and a service parameter to the key management center.
  • the message verification code may also be sent together, and the verification code is used by the key management center to verify the validity of the key request, so as to avoid the malicious transmission by the attacker.
  • the first network element may calculate the message verification code based on the shared key K1 between the first network element and the key management center, or based on the private key of the first network element.
  • the S5011-5013 step is an optional step.
  • the key management center After receiving the above key request, the key management center generates the service key K according to any one of the following rules.
  • the rule is
  • K KDF (Key, (time, at least one of the preset parameters)), wherein the Key may be a random number, a shared key K1 between the first network element and the key management center, and a second network element Combination of one or more of the shared key K2 between the key management centers, time is the cut of the service key K Time, duration, or current system time.
  • the preset parameter includes an identifier of the first network element, an identifier of the second network element, the service parameter, and an SN;
  • the service parameter is a serial number in a service, and an associated time of the service key.
  • the relevant ID in the service at least one of a fresh parameter and a random number (nonce/random number), and the SN is a serial number for calculating a service key.
  • the relevant ID in the service is an ID of the first network element, an ID of the second network element, an identifier of the key management center, a service ID, a session ID, a network ID, a link ID, an App ID, and a server ID.
  • a combination of one or more of a PLMN ID, a mobile phone number, a server ID, or a function device ID, time is a deadline of the service key K, a validity period duration, or a current start system time
  • the SN is a serial number for calculating a service key.
  • the ID of the first network element and the ID of the second network element may be at least one of IMEI, IMSI, IMPI, TMSI, IMPU, App ID, network ID, MAC address, IP address, mobile number, and GUTI, and KDF indicates Key Derivation Function.
  • the Key Management Center can also randomly generate a string as a service key.
  • S503 The key management center generates a token.
  • the Key Management Center can generate tokens using any of the following methods:
  • the first mode the key management center calculates the message authentication code MAC_K2_(K) of the service key K using the shared key K2 in the middle of the second network element, and uses the sharing between the key management center and the second network element.
  • the key K2, the public key PK2 of the second network element, or the identification ID2 of the second network element encrypts the character string composed of the service key K and the message authentication code MAC_K2_(K) to obtain a token Token.
  • K and MAC_K2_(K) may be in the cascading manner, or may be in the form of other string combinations, such as two strings concatenated by a specific identifier, such as 1111, a comma, a separator, and the like.
  • the above processing method does not mean that the encrypted content includes only K and MAC_K2_(K), and may also include other strings, such as nonce, Fresh parameter, and the like. Where the following strings are concatenated, the combination described above is also applicable; the contents of the signed, MAC, encrypted, and hashed are also included to contain other strings.
  • the second mode the key management center uses K2 to calculate the message authentication code MAC_K2_(K
  • indication) is encrypted to obtain a token Token.
  • the indication includes at least one of the following parameters: a usage entity identifier of the service key, an expiration date of the service key, a generation time of the service key, a service information of a service applying the service key, and Service link information, business parameters of the service.
  • the indication may also be carried in the key request described in S401.
  • Token En_PK2_(K
  • the string, En_PK2 indicates that K
  • the key management center calculates the digital signature of the service key K using the preset private key SK_KMS, and encrypts the digital signature of the service key K using K2, PK2 or ID2 to obtain the token Token.
  • Token En_ID2_(K
  • En_ID2 indicates that the string consisting of K and Signature_SK_KMS_(K) is encrypted using ID2.
  • the fourth mode the key management center uses the preset private key SK_KMS to calculate the digital signature of the character string composed of the service key K and the indication, and encrypts the digital signature of the string consisting of K and indication using K2, PK2 or ID2. Get the token Token.
  • Token En_PK2_(K
  • S504 The key management center sends the service key and the token to the first network element.
  • the service key and token can be sent using any of the following methods:
  • the first mode the key management center uses the shared key K1 between the key management center and the first network element to perform integrity protection on the string composed of the service key K and the token Token to obtain the message authentication code MAC_K1_(K).
  • token using K1, the public key PK1 of the first network element, or the identifier ID1 of the first network element, the character string K of the service key K, the token Token, and the message authentication code MAC_K1_(K
  • the key management center uses the preset private key SK to calculate the digital signature Signature_SK_KMS_(K
  • token) consisting of Signature_SK_KMS_(K
  • token) is encrypted to form ciphertext, using K1 as an example, ie Ciphertext En_K1_(K
  • the key management center uses K1 to perform integrity protection on the string composed of the service key K and the token Token to obtain the message authentication code MAC_K1_(K
  • the key management center uses the preset private key SK to calculate the digital signature Signature_SK_KMS_(K
  • the fifth mode the key management center sends the service key and the token to the first network element through a pre-established secure channel with the first network element, because the security channel is sent, so Send without encryption.
  • any one of the methods for generating a token listed above, and any one of sending a token and a service key may be used arbitrarily.
  • the first network element may receive the ciphertext according to the foregoing sending manner, or may Upon receipt of the ciphertext and token, it is also possible to receive the plaintext of the service key and token.
  • the first network element After receiving the ciphertext, the first network element obtains the service key and the token by decryption, and performs integrity verification on the two.
  • S506 The first network element sends the token to the second network element.
  • S507 The second network element decrypts the service key from the token, and performs integrity verification on the service key.
  • the key management center generates and sends a service key and a token for data transmission of the first network element and the second network element to the first network element, and the first network element
  • the token is sent to the second network element, and the second network element decrypts the token from the token. Therefore, the key management center can distribute the service key to the network element, thereby being the end between the two network elements.
  • the foundation for secure communication is laid.
  • the process shown in FIG. 5 is triggered by the key management center, and in addition, the key management center may also initiate steps S502 and subsequent steps, S501.
  • S5011 and S5012 are optional steps.
  • FIG. 6 the specific process of configuring a service key for two network elements in the scenario of two key management centers shown in FIG. 3 is as shown in FIG. 6, and includes the following steps:
  • the first key management center generates a service key K. Specifically, this step may be triggered by the first key management center, or may be initiated by the first key management center.
  • the two key management centers can generate a service key through negotiation.
  • the specific methods include the following:
  • the first key management center sends a first negotiation parameter to the second key management center, where the first negotiation parameter may be at least one of a random number 1, a system time 1, a serial number 1, a fresh parameter Fresh parameter1, and the like.
  • the item may also be the first parameter g x in the DH key negotiation.
  • the second key management center After receiving the first negotiation parameter, the second key management center sends a second negotiation parameter to the first key management center; the second negotiation parameter may be a random number 2, a system time 2, a sequence number 2, and a fresh parameter. At least one of the parameters such as Fresh parameter2 may also be the second parameter g y in the DH key negotiation.
  • KDF first negotiation parameter, second negotiation parameter
  • KDF first negotiation parameter, second negotiation parameter
  • the first key management center may also generate a service key in the manner of S402, and details are not described herein again.
  • S602 The first key management center sends the service key to the second key management center.
  • S603 The second key management center generates a token.
  • the indication may be sent by the first key management center to the second key management center, for example, in the first key management.
  • Center direction In the process of sending the service key by the second key management center, the indication is sent to the second key management center.
  • S604 The second key management center sends the token to the first key management center.
  • the first key management center sends the service key and the token to the first network element.
  • the specific manner may be parameter S504, and details are not described herein again.
  • the first network element After obtaining the service key and the token, the first network element sends the token to the second network element.
  • the specific obtaining manner can be parameter S505, and details are not described herein again.
  • the second network element decrypts the service key from the token, and performs integrity verification on the service key.
  • the first key management center may also generate both a service key and a token.
  • the method includes the following steps:
  • S701 The first key management center generates a service key. For details, see S601.
  • S702 The first key management center generates a token.
  • the first key management center and the second network element are not in the network element.
  • a shared key of the first key management center and the first network element is assumed, and the second key management center and the second network element share a key.
  • the first key management center can only generate tokens according to the third mode and the fourth manner described in S503.
  • the first key management center sends a session and a token to the first network element.
  • the second network element obtains the service key by decrypting the token.
  • both the service key and the token can be generated by the second key management center.
  • the method includes the following steps:
  • the first key management center receives the key request.
  • the identifier of the first network element and the identifier of the second network element are carried, and the indication may also be carried.
  • S802 The first key management center sends the key request to the second key management center.
  • S803 The second key management center generates a service key and a token. For the specific generation manner, refer to S503.
  • S804 The second key management center sends the service key and the token to the first key management center.
  • S805 The first key management center sends the service key and the token to the first network element.
  • S807 The second network element parses the token from the token.
  • a second key management center and a second network element share a key, assuming that the first key management center shares a key with the first network element.
  • the service key may also be configured for the first network element and the second network element according to the process shown in FIG.
  • the first key management center receives the key request sent by the first network element.
  • S902 The first key management center generates a service key. For details, see S601.
  • S903 The first key management center sends a service key to the second key management center.
  • the first key management center sends a service key to the first network element.
  • the first key management center may encrypt or send the service key, or may pass A secure channel is transmitted between the first network element and the first network element.
  • Specific implementations of performing encrypted transmission include:
  • the first mode uses the shared key K1 between the first key management center and the first network element to perform integrity protection on the service key K to obtain a message authentication code MAC_K1_(K), using K1.
  • the public key PK1 of the first network element or the identifier ID1 of the first network element encrypts the service key K and the character string K
  • Ciphertext En_K1_(K
  • the first key management center uses the preset private key SK_KMS to calculate the service key K digital signature Signature_SK_KMS_(K), and uses K1, PK1 or ID1 to form the service key K and the digital signature Signature_SK_KMS_(K)
  • S905 The second key management center sends a service key to the second network element.
  • the specific transmission mode is similar to that in S907. It is only necessary to replace K1 in S907 with the shared key K2 between the second key management center and the second network element, and replace the SK with the preset private key of the second key management center.
  • the key TK is replaced by the ID1 of the second network element.
  • the first network element and the second network element respectively obtain a service key. Specifically, if the ciphertext is received, the service key needs to be decrypted from the ciphertext.
  • S903 and S904 can be reversed, the order of S904 and S905 can be reversed, and S904 and S905 can also be performed simultaneously.
  • the second key management center may directly send the second network element to the second network element. Send the business key without passing it through the token.
  • Fig. 9 The idea shown in Fig. 9 can also be applied to the scenario of a key management center shown in Fig. 2. As shown in Figure 10, the following steps are included:
  • the key management center receives the key request sent by the first network element.
  • S1002 The key management center generates a service key. For details, see S502.
  • S1003 The key management center sends a service key to the first network element. For details, see S1004.
  • S1004 The key management center sends a service key to the second network element.
  • the specific implementation is similar to that of S1103.
  • the K1 is replaced by the shared key K2 between the second key management center and the second network element, and the SK is replaced.
  • ID1 may be replaced with the identifier ID2 of the second network element.
  • the first network element and the second network element respectively obtain a service key. Specifically, if the ciphertext is received, the service key needs to be decrypted from the ciphertext.
  • the first network element shown in FIG. 1, FIG. 2, FIG. 3, FIG. 5, FIG. 6, FIG. 7, or FIG. 8 includes: a second processor and a second memory.
  • the second memory is used to store an operating system and an application, and data generated during the running of the application.
  • the second processor is configured to: obtain the service key and the token by running the application stored in the second memory, where the service key is used for the first network element and Data transmitted between other network elements is encrypted and/or integrity protected, the token being the result of encryption and/or integrity protection of the service key;
  • the other network element sends the token, and the token is used by the other network element to obtain the service key.
  • the network control center shown in FIG. 1, FIG. 2, FIG. 3, FIG. 5, FIG. 6, FIG. 7, or FIG. 8 includes:
  • a third processor and a third memory are provided.
  • the third memory is used to store an operating system and an application, and data generated during the running of the application.
  • the third processor is configured to: by running the application stored in the third memory, implement the following function: receiving a key request, where the key request carries an identifier of the first network element and a second network element If the identifier of the first network element and/or the identifier of the second network element is not permanent, the identifier of the first network element is replaced with the permanent identifier of the first network element, and/ Or replacing the identifier of the second network element with the permanent identifier of the second network element; sending a second key request message to the key management center, where the second key request message includes the permanent of the first network element The identifier and the permanent identifier of the second network element; the key management center is configured to generate a service key according to the permanent identifier of the first network element and the permanent identifier of the second network element in the key request a token, the token being a result of encrypting and/or integrity protecting the service key
  • the key management center shown in FIG. 5 includes a fourth processor and a fourth memory.
  • the fourth memory is used to store an operating system and an application, and data generated during the running of the application.
  • the fourth processor is configured to: by running the application stored in the fourth memory, implement the following function: receiving a key request, and the key request carries At least one of the identifier of the first network element, the identifier of the second network element, and the service parameter, where the key request is sent by the first network element, the second network element, the network control center, or the service server; Acquiring a service key, the service key is used for encrypting and/or integrity protecting data transmitted between the first network element and the second network element; using the key management center and the The shared key between the second network element encrypts the service key and the character string formed by the first type of key parameters to obtain a token; wherein the first type of key parameter is the secret
  • the key management center calculates the message authentication code of the service key by using the shared key, or the key management center uses the shared key to calculate the information of the service key and the service key.
  • a message authentication code of a string where the information of the service key includes any one of the following: an entity identifier of the service key, an expiration date of the service key, a generation time of the service key, and an application.
  • Business of the service key The information and the information of the service link; the token is sent, and the token is used by the first network element to be forwarded to the second network element, so that the second network element is The token obtains the service key.
  • the key management center, the network element, and the control center described in the embodiment of the present application can interact with each other by the method shown in FIG. 5, FIG. 6, FIG. 7, FIG. 8, FIG. 9, or FIG. So that the end-to-end implementation of secure communication lays the foundation.

Abstract

本申请提供了一种密钥配置方法及装置，密钥管理中心获取业务密钥，并和对所述业务密钥进行加密和/或完整性保护获得令牌，密钥管理中心发送向第一网元发送令牌，第一网元后向第二网元转发令牌，第二网元依据所述令牌获得所述业务密钥。业务密钥用于对所述第一网元和第二网元之间传输的数据进行加密和/或完整性保护，所以，通过密钥管理中心和网元的交互，能够实现对安全密钥的配置，从而为第一网元和第二网元之间的端到端的安全通信奠定基础。

Description

一种密钥配置方法及密钥管理中心、网元
本申请要求于2015年12月31日提交中国专利局、申请号为201511030585.2、发明名称为“一种密钥配置方法及密钥管理中心、网元”的中国专利申请的优先权，其全部内容通过引用结合在本申请中。
技术领域
本申请涉及通信领域，尤其涉及一种密钥配置方法及密钥管理中心、网元。
背景技术
在已有的移动通信安全架构中，数据从终端到网络的安全保护均采用分段加密的方式进行，例如，一个用户设备向另一个用户设备发送数据的过程中，发送端用户设备将加密的数据发给第一基站，第一基站将数据先解密再加密，并将再次加密的数据发给其它中间设备，最终数据被发送到接收端用户设备。
因为分段加密的方式使得通信数据在中间设备中被解密，所以，增加了被窃取的风险。因此，端到端的安全通信成为安全通信的发展趋势。所谓端到端的安全通信即发送端设备与接收端设备建立安全隧道，安全隧道的中间节点仅处理密文数据的转发，而不对加密数据进行解密。
而对参与端到端通信的两个网元进行安全密钥的配置为端到端的安全通信的前提。
发明内容
本申请提供了一种密钥配置方法及装置、网元，目的在于解决如何为网元进行安全密钥的配置的问题。
为了实现上述目的，本申请提供了以下技术方案：
本申请的第一方面提供了一种密钥配置方法，包括：密钥管理中心获取业务密钥，所述业务密钥用于对第一网元和第二网元之间传输的数据进行加密和/或完整性保护。所述密钥管理中心获取令牌，所述令牌为对所述业务密钥进行加密和/或完整性保护的结果。所述密钥管理中心发送所述令牌，所述令牌用于由所述第一网元获取后向所述第二网元转发，以使得所述第二网元依据所述令牌获得所述业务密钥。本申请所述的密钥配置方法，密钥管理中心获取业务密钥和令牌，第一网元在接收到业务密钥和令牌后，向第二网元发送令牌，因为令牌为对业务密钥进行加密和/或完整性保护的结果，所述第二网元可以依据令牌获取业务密钥，又因为业务密钥用于对所述第一网元和第二网元之间传输的数据进行加密和/或完整性保护，所以，通过密钥管理中心和网元的交互，能够实现对安全密钥的配置，从而为第一网元和第二网元之间的端到端的安全通信奠定基础。
本申请的第二方面提供了另一种密钥配置方法，包括：第一网元获取业务密钥和令牌，所述业务密钥用于对所述第一网元和第二网元之间传输的数据进行加密和/或完整性保护，所述令牌为对所述业务密钥进行加密和/或完整性保护的结果。所述第一网元向所述第二网元发送所述令牌，所述令牌用于所述第二网元获取所述业务密钥。因为所述第一网元将所述令牌发送给所述第二网元，所以，第二网元可以从所述令牌中获得所述业务密 钥，从而所述第一网元与所述第二网元之间可以进行端到端的安全通信。
本申请的第三方面提供了另一种密钥配置方法，网络控制中心接收密钥请求，所述密钥请求中携带第一网元的标识和第二网元的标识；如果所述第一网元的标识和/或所述第二网元的标识非永久标识，所述网络控制中心将所述第一网元的标识替换为所述第一网元的永久标识，和/或将所述第二网元的标识替换为所述第二网元的永久标识；所述网络控制中心向密钥管理中心发送第二密钥请求消息，所述第二密钥请求消息包含第一网元的永久标识和第二网元的永久标识；所述密钥管理中心用于依据所述密钥请求中所述第一网元的永久标识和所述第二网元的永久标识，生成业务密钥及令牌，所述令牌为对所述业务密钥进行加密和/或完整性保护的结果，所述业务密钥用于对所述第一网元和所述第二网元之间传输的数据进行加密和/或完整性保护。
本申请的第四方面提供了另一种密钥配置方法，包括：密钥管理中心接收密钥请求，所述密钥请求中携带第一网元的标识、第二网元的标识和业务参数的至少一个，所述密钥请求由所述第一网元、所述第二网元、网络控制中心、或者业务服务器向所述密钥管理中心发送；所述密钥管理中心依据所述第一网元的标识、所述第二网元的标识和所述业务参数的至少一个生成业务密钥，所述业务密钥用于对所述第一网元和所述第二网元之间传输的数据进行加密和/或完整性保护；所述密钥管理中心使用所述密钥管理中心与所述第二网元之间的共享密钥对所述业务密钥及所述第一类密钥参数组成的字符串进行加密，得到令牌；其中，所述第一类密钥参数为所述密钥管理中心使用所述共享密钥计算所述业务密钥的消息认证码，或 者，所述密钥管理中心使用所述共享密钥计算所述业务密钥与所述业务密钥的信息组成的字符串的消息认证码，其中，所述业务密钥的信息包括以下任意一项：所述业务密钥的使用实体标识、所述业务密钥的有效期、所述业务密钥的生成时间、应用所述业务密钥的业务的信息及业务链路的信息；所述密钥管理中心发送所述令牌，所述令牌用于由所述第一网元获取后向所述第二网元转发，以使得所述第二网元依据所述令牌获得所述业务密钥。
本申请的第五方面提供了另一种密钥配置方法，包括：密钥管理中心接收第一网元发送的密钥请求，生成业务密钥，并向所述第一网元和第二网元发送所述业务密钥，其中，所述业务密钥用于对第一网元和第二网元之间传输的数据进行加密和/或完整性保护。
本申请的第六方面提供了一种密钥管理中心，包括：第一处理器和第一存储器；所述第一存储器用于存储操作系统以及应用程序、所述应用程序运行中产生的数据；所述第一处理器用于通过运行存储在所述第一存储器中的所述应用程序，实现以下功能：获取业务密钥，所述业务密钥用于对第一网元和第二网元之间传输的数据进行加密和/或完整性保护；获取令牌，所述令牌为对所述业务密钥进行加密和/或完整性保护的结果；发送所述令牌，所述令牌用于由所述第一网元获取后向所述第二网元转发，以使得所述第二网元依据所述令牌获得所述业务密钥。
本申请的第七方面提供了一种网元，包括：第二处理器和第二存储器。所述第二存储器用于存储操作系统以及应用程序、所述应用程序运行中产生的数据；所述第二处理器用于通过运行存储在所述第二存储器中的所述 应用程序，实现以下功能：获取业务密钥和令牌，所述业务密钥用于对所述第一网元和其它网元之间传输的数据进行加密和/或完整性保护，所述令牌为对所述业务密钥进行加密和/或完整性保护的结果；向所述其它网元发送所述令牌，所述令牌用于所述其它网元获取所述业务密钥。
本申请的第八方面提供了一种网络控制中心，包括：第三处理器和第三存储器。所述第三存储器用于存储操作系统以及应用程序、所述应用程序运行中产生的数据；所述第三处理器用于通过运行存储在所述第三存储器中的所述应用程序，实现以下功能：接收密钥请求，所述密钥请求中携带第一网元的标识和第二网元的标识；如果所述第一网元的标识和/或所述第二网元的标识非永久标识，将所述第一网元的标识替换为所述第一网元的永久标识，和/或将所述第二网元的标识替换为所述第二网元的永久标识；向密钥管理中心发送第二密钥请求消息，所述第二密钥请求消息包含第一网元的永久标识和第二网元的永久标识；所述密钥管理中心用于依据所述密钥请求中所述第一网元的永久标识和所述第二网元的永久标识，生成业务密钥及令牌，所述令牌为对所述业务密钥进行加密和/或完整性保护的结果，所述业务密钥用于对所述第一网元和所述第二网元之间传输的数据进行加密和/或完整性保护。
本申请的第九方面提供了又一种密钥管理中心，包括：第四处理器和第四存储器。所述第四存储器用于存储操作系统以及应用程序、所述应用程序运行中产生的数据；所述第四处理器用于通过运行存储在所述第四存储器中的所述应用程序，实现以下功能：接收密钥请求，所述密钥请求中携带第一网元的标识、第二网元的标识和业务参数的至少一个，所述密钥 请求由所述第一网元、所述第二网元、网络控制中心、或者业务服务器发送；获取业务密钥，所述业务密钥用于对所述第一网元和所述第二网元之间传输的数据进行加密和/或完整性保护；使用所述密钥管理中心与所述第二网元之间的共享密钥对所述业务密钥及所述第一类密钥参数组成的字符串进行加密，得到令牌；其中，所述第一类密钥参数为所述密钥管理中心使用所述共享密钥计算所述业务密钥的消息认证码，或者，所述密钥管理中心使用所述共享密钥计算所述业务密钥与所述业务密钥的信息组成的字符串的消息认证码，其中，所述业务密钥的信息包括以下任意一项：所述业务密钥的使用实体标识、所述业务密钥的有效期、所述业务密钥的生成时间、应用所述业务密钥的业务的信息及业务链路的信息；发送所述令牌，所述令牌用于由所述第一网元获取后向所述第二网元转发，以使得所述第二网元依据所述令牌获得所述业务密钥。
在一些实现方式中，所述获取令牌包括：依据所述业务密钥得到第一类密钥参数，所述第一类密钥参数包括由所述业务密钥得到的消息认证码或者数字签名；使用第一参数，对所述业务密钥及所述第一类密钥参数组成的字符串进行加密，得到所述令牌，所述第一参数包括所述密钥管理中心与所述第二网元之间的共享密钥、所述第二网元的公钥或者所述第二网元的标识。
在一些实现方式中，所述依据所述业务密钥得到第一类密钥参数包括：使用所述共享密钥计算所述业务密钥的消息认证码；或者，使用所述共享密钥计算所述业务密钥与所述业务密钥的信息组成的字符串的消息认证码；或者，使用预设的私钥计算所述业务密钥的数字签名；或者，使用预 设的私钥计算所述业务密钥与所述业务密钥的信息组成的字符串的数字签名；其中，所述业务密钥的信息包括以下任意一项：所述业务密钥的使用实体标识、所述业务密钥的有效期、所述业务密钥的生成时间、应用所述业务密钥的业务的信息及业务链路的信息。
在一些实现方式中，所述获取令牌包括：接收其它密钥管理中心发送的令牌。
在一些实现方式中，所述发送所述令牌包括：向所述第一网元发送所述令牌；所述第一处理器还用于：向所述第一网元发送所述业务密钥。
在一些实现方式中，所述向所述第一网元发送所述业务密钥及所述令牌的具体过程包括：使用第二参数对字符串进行加密形成密文，并向所述第一网元发送所述密文，所述字符串由所述业务密钥、所述令牌及第二类密钥参数组成；或者，使用第二参数对字符串进行加密形成密文，并向所述第一网元发送所述密文以及所述令牌，所述字符串由所述业务密钥及所述第二类密钥参数组成；其中，所述第二类密钥参数包括由所述业务密钥及所述令牌组成的字符串得到的消息认证码或者数字签名，所述第二参数包括所述密钥管理中心与所述第一网元间的共享密钥、所述第一网元的公钥，或者所述第一网元的标识。
在一些实现方式中，所述字符串中的所述第二类密钥参数为消息认证码，所述消息认证码为通过使用所述密钥管理中心与所述第一网元之间的共享密钥对所述业务密钥与所述令牌组成的字符串进行完整性保护得到；或者，所述字符串中的所述第二类密钥参数为数字签名，所述数字签名通过使用预设的私钥对所述业务密钥与所述令牌组成的字符串进行数字签名 运算得到。
在一些实现方式中，所述向所述第一网元发送所述业务密钥及所述令牌的具体过程包括：通过预先建立的与所述第一网元之间的安全通道，向所述第一网元发送所述业务密钥及所述令牌。
在一些实现方式中，所述发送所述令牌包括：向其它密钥管理中心发送所述令牌。
在一些实现方式中，所述获取业务密钥包括：依据以下规则中的任意一种生成所述业务密钥K：K＝KDF(Key，(time，预设参数中的至少一项))，其中，所述Key为所述密钥管理中心所选的随机数、所述第一网元与所述密钥管理中心之间的共享密钥K1、所述第二网元与所述密钥管理中心之间的共享密钥K2、另一个密钥管理中心所选的随机数、或者所述另一个密钥管理中心与所述第二网元之间的共享密钥中的一个或多个的组合；time为业务密钥K的截止时间、有效期时长、或当前的系统时间；所述预设参数包括所述第一网元的标识、所述第二网元的标识、所述业务参数和SN；所述业务参数为业务中的序列号、该业务密钥的相关时间time、该业务中的相关ID，新鲜参数(Fresh parameter)、随机数(nonce/random number)中的至少一项，SN为计算业务密钥的序列号。。
在一些实现方式中，所述获取业务密钥包括：向另一个密钥管理中心发送第一协商参数，所述第一协商参数为随机数1、系统时间1、序列号1、新鲜参数Fresh parameter1中的至少一项；接收所述另一个密钥管理中心发送的第二协商参数；所述第二协商参数为随机数2、系统时间2、序列号2、新鲜参数Fresh parameter2中的至少一项；规则KDF(第一协商参数，第 二协商参数)生成业务密钥，或者，所述密钥管理中心依据规则K＝KDF(Key，(time，预设参数中的至少一项))生成业务密钥；其中，Key为参考业务密钥或者DH密钥协商后得到的密钥，所述参考业务密钥依据KDF(第一协商参数，第二协商参数)生成；time为业务密钥K的截止时间、有效期时长、或当前的系统时间；所述预设参数包括所述第一网元的标识、所述第二网元的标识、所述业务参数和SN；所述业务参数为业务中的序列号、该业务密钥的相关时间time、该业务中的相关ID，新鲜参数(Fresh parameter)、随机数(nonce/random number)中的至少一项，SN为计算业务密钥的序列号。
在一些实现方式中，所述获取业务密钥包括：向另一个密钥管理中心发送DH密钥协商中的第一参数gx；接收所述另一个密钥管理中心发送的所述DH密钥协商中的第二参数gy；所述密钥管理中心计算出gxy，将gxy，KDF(gxy)，或者K＝KDF(gxy，(time，预设参数中的至少一项))作为所述业务密钥其中，Key为参考业务密钥或者DH密钥协商后得到的密钥，所述参考业务密钥依据KDF(第一协商参数，第二协商参数)生成；time为业务密钥K的截止时间、有效期时长、或当前的系统时间；所述预设参数包括所述第一网元的标识、所述第二网元的标识、所述业务参数和SN；所述业务参数为业务中的序列号、该业务密钥的相关时间time、该业务中的相关ID，新鲜参数(Fresh parameter)、随机数(nonce/random number)中的至少一项，SN为计算业务密钥的序列号。
在一些实现方式中，所述获取业务密钥包括：接收其它密钥管理中心发送的业务密钥。
在一些实现方式中，还包括：接收密钥请求，所述密钥请求中携带所述第一网元的标识、所述第二网元的标识和业务参数的至少一个，所述密钥请求由所述第一网元、所述第二网元、网络控制中心、或者业务服务器发送。
在一些实现方式中，还包括：接收网络控制中心发送的第一密钥请求，所述第一密钥请求中携带所述第一网元的永久标识和所述第二网元的永久标识，所述第一网元的永久标识由所述网络控制中心依据所述第一网元的临时标识转换得到，所述第二网元的永久标识由所述网络控制中心依据所述第二网元的临时标识转换得到，所述第一网元的临时标识和所述第二网元的临时标识携带在由所述第一网元、所述第二网元或者业务服务器发送给所述网络控制中心的第二密钥请求中。
附图说明
为了更清楚地说明本申请实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本申请的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。
图1为两个网元之间通过通信网络进行端到端通信的场景的示意图；
图2为密钥管理中心的一种部署示意图；
图3为密钥管理中心的又一种部署示意图；
图4为本申请实施例公开的密钥管理中心的结构示意图；
图5为本申请实施例公开的一种密钥配置方法的流程图；
图6为本申请实施例公开的又一种密钥配置方法的流程图；
图7为本申请实施例公开的又一种密钥配置方法的流程图；
图8为本申请实施例公开的又一种密钥配置方法的流程图；
图9为本申请实施例公开的又一种密钥配置方法的流程图；
图10为本申请实施例公开的又一种密钥配置方法的流程图。
具体实施方式
图1所示为两个网元之间通过通信网络进行端到端通信的场景，其中，网元可以为用户设备(User Equipment，UE)、服务器、控制器等通信参与方，也可以为网关等中间设备。通信网络可以为移动通信网络，例如全球移动通信系统(Global System for Mobile Communications，GSM)，宽带码分多址(Wideband Code Division Multiple Access，WCDMA)，3GPP长期演进(Long Term Evolution，LTE)，未来5G，无线保真(Wireless Fidelity，Wifi)(又称802.11b标准)等无线通信网络，也可以为互联网。
本申请实施例中，两个网元之间通过移动通信网络进行端到端通信可以包括以下任意一种情况：两个网元通过移动通信网络完成端到端通信、两个网元通过互联网完成端到端通信以及两个网元通过移动通信网络和互联网完成端到端通信。可选地，在通信网络中可以包括业务服务器和网络控制中心，两个网元之间可以通过业务服务器和/或网络控制中心实现与通信网络的信息交互。
为了实现两个网元之间的端到端的安全通信，可以使用业务密钥对两 个网元之间传输的数据进行加密和/或完整性保护，而为网元进行业务密钥的配置为实现上述目的的基础。
为了实现上述目的，本申请中，在通信网络中设置密钥管理中心，负责为网元配置业务密钥，如图2所示，具体地，可以在一种类型的网络中设置一个密钥管理中心，此密钥管理中心负责为两个网元配置业务密钥；也可以在不同类型的网络中各自设置一个密钥管理中心，每一个密钥管理中心负责为一个网元配置业务密钥，例如，如图3所示，在移动通信网络中设置第一密钥管理中心，负责为处于移动通信网络中的第一网元配置业务密钥，在互联网中设置第二密钥管理中心，负责为处于互联网中的第二网元配置业务密钥。
本申请的实施例将重点说明密钥管理中心如何为网元配置业务密钥。
图2或图3中所示的密钥管理中心的结构如图4所示，包括：第一处理器401、与第一处理器401匹配使用的第一存储器402以及通信接口403。以上各部分通过总线进行通信。
其中，第一存储器402包括存储介质4021和存储单元4022，具体地，存储介质可以为只读存储器ROM、硬盘或闪存，存储单元可以为随机存储器RAM。
在第一存储器中存储有操作系统、应用程序、所述应用程序运行中产生的数据。本实施例中，包括应用程序实现密钥配置功能的程序，第一处理器通过调用并运行所述应用程序实现为网元配置业务密钥的功能。第一处理器在运行所述程序的过程中产生的数据也被存储在存储单元中。
下面将详细说明如图4所述的密钥管理中心如何实现为网元配置密钥 的功能。
如图5所示，在图2所示的仅包括一个密钥管理中心的场景下，为两个网元配置业务密钥的具体过程包括以下步骤：
S501：密钥管理中心接收密钥请求，在密钥请求中，携带第一网元的标识、第二网元的标识和业务的业务参数的至少一项。
业务的业务参数可以有多种。例如，该业务的业务参数可以包括业务中的序列号SN、该业务密钥的相关时间time、该业务中的相关ID，新鲜参数(Fresh parameter)、随机数(nonce/random number)中的至少一项。其中，该业务中的相关ID可以包括密钥管理中心的ID、业务Service ID、会话session ID、网络ID、链路ID、应用App ID、服务器server ID和公共陆地移动网络(Public Land Mobile Network，PLMN ID)中的至少一个。其中，该业务密钥的相关时间time可以包括该业务开始的时间、结束的时间和有效期中的至少一项。
其中第一网元的标识和中第二网元的标识可以分别包括IMEI、IMSI、IMPI、TMSI、IMPU、App ID、网络ID、MAC地址、IP地址、手机号码和GUTI中的至少一项，在此不作限制。
具体地，密钥请求可以由第一网元、第二网元或者业务服务器发送给密钥管理中心。
另外，密钥请求也可以由第一网元、第二网元或者业务服务器发送给网络控制中心，再由网络控制中心转发给密钥管理中心。具体地，包括如下步骤：
S5011：网络控制中心接收携带第一网元的标识、第二网元的标识和业 务参数的至少一项的密钥请求。
S5012：若第一网元的标识为临时标识，网络控制中心将第一网元的临时标识转换成第一网元的永久标识；若第二网元的标识为临时标识，网络控制中心将第二网元的临时标识转换成第二网元的永久标识。具体地，网络控制中心可以预先存储有各个网元的临时标识和永久标识的对应关系，网络控制中心可以通过查询对应关系，实现临时标识和永久标识之间的转换。例如，临时标识可能为：IMPU，GUTI，TMSI等；永久标识可能为：IMSI，IMEI，IMPI，App ID，网络ID，MAC地址、IP地址、手机号码等；在此不做限制。
S5013：网络控制中心将携带第一网元的永久标识、第二网元的永久标识和业务参数的至少一项的密钥请求发送给密钥管理中心。
需要说明的是，第一网元在发送密钥请求的同时，还可以一并发送消息验证码，验证码用于密钥管理中心验证密钥请求的合法性，以避免攻击者恶意发送的密钥请求；第一网元可以基于第一网元与密钥管理中心之间的共享密钥K1，或者基于第一网元的私钥计算所述消息验证码。
S5011-5013步骤为可选步骤。
S502：接收到上述密钥请求后，密钥管理中心依据以下规则中的任意一种生成业务密钥K。
具体的，规则为
K＝KDF(Key，(time，预设参数中的至少一项))，其中，Key可为随机数、第一网元与密钥管理中心之间的共享密钥K1、第二网元与密钥管理中心之间的共享密钥K2中的一个或多个的组合，time为业务密钥K的截 止时间、有效期时长、或当前的系统时间。
所述预设参数包括所述第一网元的标识、所述第二网元的标识、所述业务参数和SN；所述业务参数为业务中的序列号、该业务密钥的相关时间time、该业务中的相关ID，新鲜参数(Fresh parameter)、随机数(nonce/random number)中的至少一项，SN为计算业务密钥的序列号。
进一步地，该业务中的相关ID为第一网元的ID、第二网元的ID、密钥管理中心的标识、Service ID、session ID，网络ID，链路ID，App ID，server ID，PLMN ID，手机号码，server ID或功能设备ID中一个或多个的组合，time为业务密钥K的截止时间、有效期时长、或当前的开始系统时间，SN为计算业务密钥的序列号，第一网元的ID和第二网元的ID识可以为IMEI、IMSI、IMPI、TMSI、IMPU、App ID、网络ID、MAC地址、IP地址、手机号码和GUTI中的至少一项，KDF表示密钥推演函数Key Derivation Function。
除了以上规则，密钥管理中心还可以随机生成字符串作为业务密钥。
S503:密钥管理中心生成令牌。
具体地，密钥管理中心可以使用以下任意一种方式生成令牌：
第一种方式：密钥管理中心使用与第二网元中间的共享密钥K2计算业务密钥K的消息认证码MAC_K2_(K)，并使用密钥管理中心与第二网元之间的共享密钥K2、第二网元的公钥PK2或者第二网元的标识ID2对业务密钥K及消息认证码MAC_K2_(K)组成的字符串进行加密，得到令牌Token。
以使用K2为例，即：Token＝En_K2_(K||MAC_K2_(K))，其中，K|| MAC_K2_(K)表示K和MAC_K2_(K)级联组成的字符串，En_K2表示使用K2对K||MAC_K2_(K)进行加密。K和MAC_K2_(K)可以采用所述级联的方式，也可以采用其他字符串组合的形式，如两个字符串通过特定标识串联在一块，如1111，逗号，分隔符等。以上处理方式并不代表被加密的内容仅包括K和MAC_K2_(K)，也可能包含其他的字符串，如nonce，Fresh parameter等等。以下字符串级联的地方，也适用以上所述的组合方式；也支持被签名、MAC、加密和哈希的内容包含其他的字符串。
第二种方式：密钥管理中心使用K2计算业务密钥K与业务密钥的信息indication组成的字符串的消息认证码MAC_K2_(K||indication)，并使用K2、PK2或者ID2对业务密钥K及消息认证码MAC_K2_(K||indication)组成的字符串进行加密，得到令牌Token。其中，indication包括以下参数的至少一项：所述业务密钥的使用实体标识、所述业务密钥的有效期、所述或者业务密钥的生成时间、应用所述业务密钥的业务的信息及业务链路的信息、业务的业务参数。Indication也可以携带在S401中所述的密钥请求中。
以使用PK2为例，即：Token＝En_PK2_(K||MAC_K2_(K||indication))，其中，K||MAC_K2_(K||indication)表示K和MAC_K2_(K||indication)级联组成的字符串，En_PK2表示使用PK2对K||MAC_K2_(K||indication)进行加密。
第三种方式：密钥管理中心使用预设的私钥SK_KMS计算业务密钥K的数字签名，并使用K2、PK2或者ID2对业务密钥K的数字签名进行加密得到所述令牌Token。
以使用ID2为例，Token＝En_ID2_(K||Signature_SK_KMS_(K))，其中，Signature_SK_KMS_(K)为使用SK_KMS计算得到的K的数字签名，K||Signature_SK_KMS_(K)为K与Signature_SK_KMS_(K)组成的字符串，En_ID2表示使用ID2对K与Signature_SK_KMS_(K)组成的字符串进行加密。
第四种方式：密钥管理中心使用预设的私钥SK_KMS计算业务密钥K与indication组成的字符串的数字签名，使用K2、PK2或者ID2对K与indication组成的字符串的数字签名进行加密得到令牌Token。
以使用PK2为例，即：Token＝En_PK2_(K||Signature_SK_KMS_(K||indication))。
S504：密钥管理中心向第一网元发送业务密钥和令牌。
具体地，可以使用以下任意一种方式发送业务密钥和令牌：
第一种方式：密钥管理中心使用密钥管理中心与第一网元之间的共享密钥K1对业务密钥K与令牌Token组成的字符串进行完整性保护得到消息认证码MAC_K1_(K||token)，使用K1、第一网元的公钥PK1或者第一网元的标识ID1对业务密钥K、令牌Token以及消息认证码MAC_K1_(K||token)组成的字符串K||Token||MAC_K1_(K||token)进行加密形成密文，即Ciphertext＝En_K1_(K||Token||MAC_K1_(K||token))，并向第一网元发送密文。
第二种方式：密钥管理中心使用预设的私钥SK计算业务密钥K与令牌Token组成的字符串的数字签名Signature_SK_KMS_(K||token)，使用K1、PK1或者ID1对业务密钥K、令牌Token以及数字签名 Signature_SK_KMS_(K||token)组成的字符串K||Token||Signature_SK_KMS_(K||token)进行加密形成密文，以使用K1为例，即Ciphertext＝En_K1_(K||Token||Signature_SK_KMS(K||token))，并向第一网元发送密文。
第三种方式：密钥管理中心使用K1对业务密钥K与令牌Token组成的字符串进行完整性保护得到消息认证码MAC_K1_(K||token)，使用K1、PK1或者ID1对业务密钥K以及消息认证码MAC_K1_(K||token)组成的字符串K||MAC_K1_(K||token)进行加密形成密文，以使用PK1为例，即Ciphertext＝En_PK_(K||MAC_K1_(K||token))，因为密文中没有包括token，所以，向第一网元发送密文以及token。
第四种方式：密钥管理中心使用预设的私钥SK计算业务密钥K与令牌Token组成的字符串的数字签名Signature_SK_KMS_(K||token)，使用K1、PK1或者ID1对业务密钥K以及数字签名Signature_SK_KMS_(K||token)组成的字符串K||Signature_SK_KMS_(K||token)进行加密形成密文，以使用K1为例，即Ciphertext＝En_K1_(K||Signature_SK_KMS(K||token))，并向第一网元发送密文以及token。
第五种方式：密钥管理中心通过预先建立的与所述第一网元之间的安全通道，向所述第一网元发送业务密钥及令牌，因为通过安全通道发送，所以可以直接发送，而无需进行加密。
需要说明的是，以上所列的生成令牌的任意一种方式、以及发送令牌和业务密钥的任意一种方式，均可以任意进行组合使用。
S505：依据上述发送方式的不同，第一网元可能接收到密文，也可能 接收到密文和令牌，还可能接收到业务密钥和令牌的明文。
第一网元接收到密文后，通过解密获得业务密钥和令牌，并对两者进行完整性验证。
S506：第一网元将令牌发送给第二网元。
S507：第二网元从令牌中解密出业务密钥，并对业务密钥进行完整性验证。
从本实施例所述的过程可以看出，密钥管理中心生成并向第一网元发送第一网元和第二网元进行数据传输的业务密钥和令牌，第一网元再将令牌发给第二网元，第二网元从令牌中解密出令牌，因此，能够实现密钥管理中心将业务密钥分发给网元的目的，从而为两个网元间的端到端的安全通信奠定基础。
需要说明的是，本实施例中，图5所示的流程由密钥管理中心接收到密钥请求触发，除此之外，密钥管理中心也可以自行启动S502及之后的各个步骤，S501、S5011和S5012为可选步骤。
除了图2所示的场景外，图3中所示的两个密钥管理中心的场景下为两个网元配置业务密钥的具体过程如图6所示，包括以下步骤：
S601：第一密钥管理中心生成业务密钥K。具体地，此步骤可以由第一密钥管理中心接收到密钥请求触发，也可以由第一密钥管理中心自行启动。
因为本实施例适用于两个密钥管理中心的场景，所以，两个密钥管理中心可以通过协商生成业务密钥。具体方式包括以下几种：
第一种方式：
S6011：第一密钥管理中心向第二密钥管理中心发送第一协商参数，其中，第一协商参数可以为随机数1、系统时间1、序列号1、新鲜参数Fresh parameter1等参数的至少一项，也可为DH密钥协商中的第一参数gx。
S6012：第二密钥管理中心在接收到第一协商参数后，向第一密钥管理中心发送第二协商参数；第二协商参数可以为随机数2、系统时间2、序列号2、新鲜参数Fresh parameter2等参数的至少一项，也可为DH密钥协商中的第二参数gy。
S6013：第一密钥管理中心根据规则K＝KDF(第一协商参数，第二协商参数)生成业务密钥。若第一协商参数为gx，若第二协商参数为gy，此时第一密钥管理中心首先计算出gxy，之后将gxy或者KDF(gxy)直接作为业务密钥K。
第二种方式(图6中未画出)：与第一种方式相比，在第一密钥管理中心根据规则K＝KDF(第一协商参数，第二协商参数)计算出结果后，将计算结果作为Key代入到S502所述的规则中，生成业务密钥。
除了上述方式以外，第一密钥管理中心还可以按照S402的方式生成业务密钥，这里不再赘述。
S602：第一密钥管理中心将业务密钥发送给第二密钥管理中心。
S603：第二密钥管理中心生成令牌。
本实施例中，生成令牌的具体方式可以参见S503。需要说明的是，如果按照S503中的第二种方式和第四种方式生成令牌，则indication可以由第一密钥管理中心发给第二密钥管理中心，例如，在第一密钥管理中心向 第二密钥管理中心发送业务密钥的过程中，将indication一并发送第二密钥管理中心。
S604：第二密钥管理中心将令牌发送给第一密钥管理中心。
S605：第一密钥管理中心向第一网元发送业务密钥和令牌。具体方式可以参数S504，这里不再赘述。
S606：第一网元获得业务密钥和令牌后，向第二网元发送令牌。具体的获得方式可以参数S505，这里不再赘述。
S607：第二网元从令牌中解密出业务密钥，并对业务密钥进行完整性验证。
除了图6所示的过程，第一密钥管理中心还可以既生成业务密钥，也生成令牌，具体地，如图7所示，包括以下步骤：
S701：第一密钥管理中心生成业务密钥。具体方式可以参见S601。
S702：第一密钥管理中心生成令牌。
需要强调的是，本实施例中，如图3所示，因为第二网元与第二密钥管理中心同处一种类型的网络中，而第一密钥管理中心与第二网元不在同一种类型的网络中，假设第一密钥管理中心与第一网元的共享密钥，第二密钥管理中心与第二网元共享密钥。在此前提下，第一密钥管理中心只能按照S503中所述的第三种方式和第四种方式生成令牌。
S703：第一密钥管理中心向第一网元会话和令牌。
S704：第一网元向第二网元发送令牌。
S705：第二网元通过解密令牌得到业务密钥。
除了图6和图7所示的方法外，业务密钥和令牌均可以由第二密钥管理中心生成，具体地，如图8所示，包括以下步骤：
S801：第一密钥管理中心接收密钥请求。在密钥请求中，携带第一网元的标识和第二网元的标识，还可以携带indication。
S802：第一密钥管理中心将密钥请求发送给第二密钥管理中心。
S803：第二密钥管理中心生成业务密钥和令牌，具体的生成方式可以参见S503所述。
S804：第二密钥管理中心将业务密钥和令牌发送给第一密钥管理中心。
S805：第一密钥管理中心将业务密钥和令牌发送给第一网元。
S806：第一网元将令牌发送第二网元。
S807：第二网元从令牌中解析出令牌。
除了图6、图7和图8所示的过程外，假设第一密钥管理中心与第一网元的共享密钥，第二密钥管理中心与第二网元共享密钥。还可以按照图9所示的过程为第一网元和第二网元配置业务密钥。
如图9所示，包括以下步骤：
S901：第一密钥管理中心接收第一网元发送的密钥请求。
S902:第一密钥管理中心生成业务密钥。具体方式可以参见S601。
S903：第一密钥管理中心向第二密钥管理中心发送业务密钥。
S904：第一密钥管理中心向第一网元发送业务密钥。
具体地，第一密钥管理中心可以将业务密钥进行加密发送，也可以通 过与第一网元之间预设的安全通道发送。进行加密发送的具体实现方式包括：
第一种方式：第一密钥管理中心使用第一密钥管理中心与第一网元之间的共享密钥K1对业务密钥K进行完整性保护得到消息认证码MAC_K1_(K)，使用K1、第一网元的公钥PK1或者第一网元的标识ID1对业务密钥K以及消息认证码MAC_K1_(K)组成的字符串K||MAC_K1_(K)进行加密形成密文，以使用K1为例，即Ciphertext＝En_K1_(K||MAC_K1_(K))，并向第一网元发送密文。
第二种方式：第一密钥管理中心使用预设的私钥SK_KMS计算业务密钥K数字签名Signature_SK_KMS_(K)，使用K1、PK1或者ID1对业务密钥K以及数字签名Signature_SK_KMS_(K)组成的字符串K||Signature_SK_KMS_(K)进行加密形成密文，以使用K1为例，即Ciphertext＝En_K1_(K||Signature_SK_KMS(K))，并向第一网元发送密文。
S905：第二密钥管理中心向第二网元发送业务密钥。具体的发送方式与S907中相似，仅需要将S907中的K1替换为第二密钥管理中心与第二网元间的共享密钥K2，将SK替换为第二密钥管理中心预设的私钥TK，将ID1替换为第二网元的标识ID2即可。
S906：第一网元和第二网元分别获得业务密钥。具体地，如果接收到的是密文，则需要从密文中解密出业务密钥。
需要说明的是，S903和S904的顺序可以调换，S904和S905的顺序可以调换，S904和S905也可以同时进行。
也就是说，本实施例中，可以由第二密钥管理中心直接向第二网元发 送业务密钥，而无需通过令牌传递。
图9所示的思想同样可以应用在图2所示的一个密钥管理中心的场景下。如图10所示，包括以下步骤：
S1001：密钥管理中心接收第一网元发送的密钥请求。
S1002：密钥管理中心生成业务密钥。具体实现方式可以参见S502。
S1003：密钥管理中心向第一网元发送业务密钥，具体实现方式可以参见S1004。
S1004：密钥管理中心向第二网元发送业务密钥，具体实现方式与S1103相似，只需将K1替换为第二密钥管理中心与第二网元间的共享密钥K2，将SK替换为第二密钥管理中心预设的私钥TK，将ID1替换为第二网元的标识ID2即可。
S1005：第一网元和第二网元分别获得业务密钥。具体地，如果接收到的是密文，则需要从密文中解密出业务密钥。
除了密钥管理中心之外，图1、图2、图3、图5、图6、图7或图8中所示的第一网元包括：第二处理器和第二存储器。
其中，所述第二存储器用于存储操作系统以及应用程序、所述应用程序运行中产生的数据。所述第二处理器用于通过运行存储在所述第二存储器中的所述应用程序，实现以下功能：获取业务密钥和令牌，所述业务密钥用于对所述第一网元和其它网元之间传输的数据进行加密和/或完整性保护，所述令牌为对所述业务密钥进行加密和/或完整性保护的结果；向所 述其它网元发送所述令牌，所述令牌用于所述其它网元获取所述业务密钥。
本实施例所述的网元的功能的具体实现可以参见上述实施例，这里不再赘述。
图1、图2、图3、图5、图6、图7或图8中所示的网络控制中心，包括：
第三处理器和第三存储器。
其中，所述第三存储器用于存储操作系统以及应用程序、所述应用程序运行中产生的数据。所述第三处理器用于通过运行存储在所述第三存储器中的所述应用程序，实现以下功能：接收密钥请求，所述密钥请求中携带第一网元的标识和第二网元的标识；如果所述第一网元的标识和/或所述第二网元的标识非永久标识，将所述第一网元的标识替换为所述第一网元的永久标识，和/或将所述第二网元的标识替换为所述第二网元的永久标识；向密钥管理中心发送第二密钥请求消息，所述第二密钥请求消息包含第一网元的永久标识和第二网元的永久标识；所述密钥管理中心用于依据所述密钥请求中所述第一网元的永久标识和所述第二网元的永久标识，生成业务密钥及令牌，所述令牌为对所述业务密钥进行加密和/或完整性保护的结果，所述业务密钥用于对所述第一网元和所述第二网元之间传输的数据进行加密和/或完整性保护。
图5中所示的密钥管理中心包括第四处理器和第四存储器。
其中，所述第四存储器用于存储操作系统以及应用程序、所述应用程序运行中产生的数据。所述第四处理器用于通过运行存储在所述第四存储器中的所述应用程序，实现以下功能：接收密钥请求，所述密钥请求中携 带第一网元的标识、第二网元的标识和业务参数的至少一个，所述密钥请求由所述第一网元、所述第二网元、网络控制中心、或者业务服务器发送；获取业务密钥，所述业务密钥用于对所述第一网元和所述第二网元之间传输的数据进行加密和/或完整性保护；使用所述密钥管理中心与所述第二网元之间的共享密钥对所述业务密钥及所述第一类密钥参数组成的字符串进行加密，得到令牌；其中，所述第一类密钥参数为所述密钥管理中心使用所述共享密钥计算所述业务密钥的消息认证码，或者，所述密钥管理中心使用所述共享密钥计算所述业务密钥与所述业务密钥的信息组成的字符串的消息认证码，其中，所述业务密钥的信息包括以下任意一项：所述业务密钥的使用实体标识、所述业务密钥的有效期、所述业务密钥的生成时间、应用所述业务密钥的业务的信息及业务链路的信息；发送所述令牌，所述令牌用于由所述第一网元获取后向所述第二网元转发，以使得所述第二网元依据所述令牌获得所述业务密钥。
本申请实施例中所述的密钥管理中心、网元及控制中心，通过上述图5、图6、图7、图8、图9或图10所示的方法进行交互，能够生成业务密钥，从而端到端的安全通信的实现奠定基础。
本说明书中各个实施例采用递进的方式描述，每个实施例重点说明的都是与其它实施例的不同之处，各个实施例之间相同或相似部分互相参见即可。
对所公开的实施例的上述说明，使本领域专业技术人员能够实现或使用本申请。对这些实施例的多种修改对本领域的专业技术人员来说将是显而易见的，本文中所定义的一般原理可以在不脱离本申请的范围的情况下， 在其它实施例中实现。

Claims (28)

  1. 一种密钥配置方法，其特征在于，包括：
    密钥管理中心获取业务密钥，所述业务密钥用于对第一网元和第二网元之间传输的数据进行加密和/或完整性保护；
    所述密钥管理中心获取令牌，所述令牌为对所述业务密钥进行加密和/或完整性保护的结果；
    所述密钥管理中心发送所述令牌，所述令牌用于由所述第一网元获取后向所述第二网元转发，以使得所述第二网元依据所述令牌获得所述业务密钥。
  2. 根据权利要求1所述的方法，其特征在于，所述密钥管理中心获取令牌包括：
    所述密钥管理中心依据所述业务密钥得到第一类密钥参数，所述第一类密钥参数包括由所述业务密钥得到的消息认证码或者数字签名；
    所述密钥管理中心使用第一参数，对所述业务密钥及所述第一类密钥参数组成的字符串进行加密，得到所述令牌，所述第一参数包括所述密钥管理中心与所述第二网元之间的共享密钥、所述第二网元的公钥或者所述第二网元的标识。
  3. 根据权利要求2所述的方法，其特征在于，所述密钥管理中心依据所述业务密钥得到第一类密钥参数包括：
    所述密钥管理中心使用所述共享密钥计算所述业务密钥的消息认证码；
    或者，所述密钥管理中心使用所述共享密钥计算所述业务密钥与所述 业务密钥的信息组成的字符串的消息认证码；
    或者，所述密钥管理中心使用预设的私钥计算所述业务密钥的数字签名；
    或者，所述密钥管理中心使用预设的私钥计算所述业务密钥与所述业务密钥的信息组成的字符串的数字签名；
    其中，所述业务密钥的信息包括以下任意一项：所述业务密钥的使用实体标识、所述业务密钥的有效期、所述业务密钥的生成时间、应用所述业务密钥的业务的信息及业务链路的信息。
  4. 根据权利要求1所述的方法，其特征在于，所述密钥管理中心获取令牌包括：
    所述密钥管理中心接收其它密钥管理中心发送的令牌。
  5. 根据权利要求1所述的方法，其特征在于，所述密钥管理中心发送所述令牌包括：
    所述密钥管理中心向所述第一网元发送所述令牌；
    还包括：
    所述密钥管理中心向所述第一网元发送所述业务密钥。
  6. 根据权利要求5所述的方法，其特征在于，所述密钥管理中心向所述第一网元发送所述业务密钥及所述令牌的具体过程包括：
    所述密钥管理中心使用第二参数对字符串进行加密形成密文，并向所述第一网元发送所述密文，所述字符串由所述业务密钥、所述令牌及第二类密钥参数组成；
    或者，所述密钥管理中心使用第二参数对字符串进行加密形成密文，并向所述第一网元发送所述密文以及所述令牌，所述字符串由所述业务密钥及所述第二类密钥参数组成；
    其中，所述第二类密钥参数包括由所述业务密钥及所述令牌组成的字符串得到的消息认证码或者数字签名，所述第二参数包括所述密钥管理中心与所述第一网元间的共享密钥、所述第一网元的公钥，或者所述第一网元的标识。
  7. 根据权利要求6所述的方法，其特征在于，所述字符串中的所述第二类密钥参数为消息认证码，所述消息认证码为通过使用所述密钥管理中心与所述第一网元之间的共享密钥对所述业务密钥与所述令牌组成的字符串进行完整性保护得到；
    或者，所述字符串中的所述第二类密钥参数为数字签名，所述数字签名通过使用预设的私钥对所述业务密钥与所述令牌组成的字符串进行数字签名运算得到。
  8. 根据权利要求5所述的方法，其特征在于，所述密钥管理中心向所述第一网元发送所述业务密钥及所述令牌的具体过程包括：
    所述密钥管理中心通过预先建立的与所述第一网元之间的安全通道，向所述第一网元发送所述业务密钥及所述令牌。
  9. 根据权利要求1所述的方法，其特征在于，所述密钥管理中心发送所述令牌包括：
    所述密钥管理中心向其它密钥管理中心发送所述令牌。
  10. 根据权利要求1至9任一项所述的方法，其特征在于，所述密钥 管理中心获取业务密钥包括：
    所述密钥管理中心依据以下规则中的任意一种生成所述业务密钥K：
    K＝KDF(Key，(time，预设参数中的至少一项))，
    其中，所述Key为所述密钥管理中心所选的随机数、所述第一网元与所述密钥管理中心之间的共享密钥K1、所述第二网元与所述密钥管理中心之间的共享密钥K2、另一个密钥管理中心所选的随机数、或者所述另一个密钥管理中心与所述第二网元之间的共享密钥中的一个或多个的组合；time为业务密钥K的截止时间、有效期时长、或当前的系统时间；
    所述预设参数包括所述第一网元的标识、所述第二网元的标识、所述业务参数和SN；所述业务参数为业务中的序列号、该业务密钥的相关时间time、该业务中的相关ID，新鲜参数(Fresh parameter)、随机数(nonce/random number)中的至少一项，SN为计算业务密钥的序列号。。
  11. 根据权利要求1至9任一项所述的方法，其特征在于，所述密钥管理中心获取业务密钥包括：
    所述密钥管理中心向另一个密钥管理中心发送第一协商参数，所述第一协商参数为随机数1、系统时间1、序列号1、新鲜参数Fresh parameter1中的至少一项；
    所述密钥管理中心接收所述另一个密钥管理中心发送的第二协商参数；所述第二协商参数为随机数2、系统时间2、序列号2、新鲜参数Fresh parameter2中的至少一项；
    所述密钥管理中心依据规则KDF(第一协商参数，第二协商参数)生成业务密钥，或者，所述密钥管理中心依据规则K＝KDF(Key，(time，预 设参数中的至少一项))生成业务密钥；
    其中，Key为参考业务密钥或者DH密钥协商后得到的密钥，所述参考业务密钥依据KDF(第一协商参数，第二协商参数)生成；time为业务密钥K的截止时间、有效期时长、或当前的系统时间；
    所述预设参数包括所述第一网元的标识、所述第二网元的标识、所述业务参数和SN；所述业务参数为业务中的序列号、该业务密钥的相关时间time、该业务中的相关ID，新鲜参数(Fresh parameter)、随机数(nonce/random number)中的至少一项，SN为计算业务密钥的序列号。
  12. 根据权利要求1至9任一项所述的方法，其特征在于，所述密钥管理中心获取业务密钥包括：
    所述密钥管理中心向另一个密钥管理中心发送DH密钥协商中的第一参数gx；
    所述密钥管理中心接收所述另一个密钥管理中心发送的所述DH密钥协商中的第二参数gy；
    所述密钥管理中心计算出gxy，将gxy，KDF(gxy)，或者K＝KDF(gxy，(time，预设参数中的至少一项))作为所述业务密钥其中，Key为参考业务密钥或者DH密钥协商后得到的密钥，所述参考业务密钥依据KDF(第一协商参数，第二协商参数)生成；
    time为业务密钥K的截止时间、有效期时长、或当前的系统时间；
    所述预设参数包括所述第一网元的标识、所述第二网元的标识、所述业务参数和SN；所述业务参数为业务中的序列号、该业务密钥的相关时间time、该业务中的相关ID，新鲜参数(Fresh parameter)、随机数 (nonce/random number)中的至少一项，SN为计算业务密钥的序列号。
  13. 根据权利要求1至9任一项所述的方法，其特征在于，所述密钥管理中心获取业务密钥包括：
    所述密钥管理中心接收其它密钥管理中心发送的业务密钥。
  14. 根据权利要求1所述的方法，其特征在于，还包括：
    所述密钥管理中心接收密钥请求，所述密钥请求中携带所述第一网元的标识、所述第二网元的标识和业务参数的至少一个，所述密钥请求由所述第一网元、所述第二网元、网络控制中心、或者业务服务器发送。
  15. 根据权利要求1所述的方法，其特征在于，还包括：
    所述密钥管理中心接收网络控制中心发送的第一密钥请求，所述第一密钥请求中携带所述第一网元的永久标识和所述第二网元的永久标识，所述第一网元的永久标识由所述网络控制中心依据所述第一网元的临时标识转换得到，所述第二网元的永久标识由所述网络控制中心依据所述第二网元的临时标识转换得到，所述第一网元的临时标识和所述第二网元的临时标识携带在由所述第一网元、所述第二网元或者业务服务器发送给所述网络控制中心的第二密钥请求中。
  16. 一种密钥配置方法，其特征在于，包括：
    第一网元获取业务密钥和令牌，所述业务密钥用于对所述第一网元和第二网元之间传输的数据进行加密和/或完整性保护，所述令牌为对所述业务密钥进行加密和/或完整性保护的结果；
    所述第一网元向所述第二网元发送所述令牌，所述令牌用于所述第二网元获取所述业务密钥。
  17. 根据权利要求16所述的方法，其特征在于，第一网元获取业务密钥和令牌，包括：
    所述第一网元通过使用密钥管理中心与所述第一网元之间的共享密钥解密从所述密钥管理中心接收到的密文，获得业务密钥，或者获得业务密钥和令牌。
  18. 一种密钥配置方法，其特征在于，包括：
    网络控制中心接收密钥请求，所述密钥请求中携带第一网元的标识和第二网元的标识；
    如果所述第一网元的标识和/或所述第二网元的标识非永久标识，所述网络控制中心将所述第一网元的标识替换为所述第一网元的永久标识，和/或将所述第二网元的标识替换为所述第二网元的永久标识；
    所述网络控制中心向密钥管理中心发送第二密钥请求消息，所述第二密钥请求消息包含第一网元的永久标识和第二网元的永久标识；所述密钥管理中心用于依据所述密钥请求中所述第一网元的永久标识和所述第二网元的永久标识，生成业务密钥及令牌，所述令牌为对所述业务密钥进行加密和/或完整性保护的结果，所述业务密钥用于对所述第一网元和所述第二网元之间传输的数据进行加密和/或完整性保护。
  19. 一种密钥配置方法，其特征在于，包括：
    密钥管理中心接收密钥请求，所述密钥请求中携带第一网元的标识、第二网元的标识和业务参数的至少一个，所述密钥请求由所述第一网元、所述第二网元、网络控制中心、或者业务服务器向所述密钥管理中心发送；
    所述密钥管理中心依据所述第一网元的标识、所述第二网元的标识和 所述业务参数的至少一个生成业务密钥，所述业务密钥用于对所述第一网元和所述第二网元之间传输的数据进行加密和/或完整性保护；
    所述密钥管理中心使用所述密钥管理中心与所述第二网元之间的共享密钥对所述业务密钥及所述第一类密钥参数组成的字符串进行加密，得到令牌；其中，所述第一类密钥参数为所述密钥管理中心使用所述共享密钥计算所述业务密钥的消息认证码，或者，所述密钥管理中心使用所述共享密钥计算所述业务密钥与所述业务密钥的信息组成的字符串的消息认证码，其中，所述业务密钥的信息包括所述业务密钥的使用实体标识、所述业务密钥的有效期、所述业务密钥的生成时间、应用所述业务密钥的业务的信息及业务链路的信息中的任意一项；
    所述密钥管理中心向所述第一网元发送所述令牌，所述第一网元用于向所述第二网元转发所述令牌，以使得所述第二网元依据所述令牌获得所述业务密钥。
  20. 根据权利要求19所述的方法，其特征在于，所述密钥管理中心获取业务密钥包括：
    所述密钥管理中心依据以下规则中的任意一种生成所述业务密钥K：
    K＝KDF(Key，(time，预设参数中的至少一项))，
    其中，Key为所述密钥管理中心所选的随机数、所述第一网元与所述密钥管理中心之间的共享密钥K1、所述第二网元与所述密钥管理中心之间的共享密钥K2、另一个密钥管理中心所选的随机数、或者所述另一个密钥管理中心与所述第二网元之间的共享密钥中的一个或多个的组合；time为业务密钥K的截止时间、有效期时长、或当前的系统时间；
    所述预设参数包括所述第一网元的标识、所述第二网元的标识、所述业务参数和SN；所述业务参数为业务中的序列号、该业务密钥的相关时间time、该业务中的相关ID，新鲜参数(Fresh parameter)、随机数(nonce/random number)中的至少一项，SN为计算业务密钥的序列号。
  21. 一种密钥管理中心，其特征在于，包括：
    第一处理器和第一存储器；
    所述第一存储器用于存储操作系统以及应用程序、所述应用程序运行中产生的数据；
    所述第一处理器用于通过运行存储在所述第一存储器中的所述应用程序，实现以下功能：获取业务密钥，所述业务密钥用于对第一网元和第二网元之间传输的数据进行加密和/或完整性保护；获取令牌，所述令牌为对所述业务密钥进行加密和/或完整性保护的结果；发送所述令牌，所述令牌用于由所述第一网元获取后向所述第二网元转发，以使得所述第二网元依据所述令牌获得所述业务密钥。
  22. 根据权利要求21所述的密钥管理中心，其特征在于，所述获取令牌包括：
    依据所述业务密钥得到第一类密钥参数，所述第一类密钥参数包括由所述业务密钥得到的消息认证码或者数字签名；
    使用第一参数，对所述业务密钥及所述第一类密钥参数组成的字符串进行加密，得到所述令牌，所述第一参数包括所述密钥管理中心与所述第二网元之间的共享密钥、所述第二网元的公钥或者所述第二网元的标识。
  23. 根据权利要求21所述的密钥管理中心，其特征在于，所述依据所 述业务密钥得到第一类密钥参数包括：
    使用所述共享密钥计算所述业务密钥的消息认证码；
    或者，使用所述共享密钥计算所述业务密钥与所述业务密钥的信息组成的字符串的消息认证码；
    或者，使用预设的私钥计算所述业务密钥的数字签名；
    或者，使用预设的私钥计算所述业务密钥与所述业务密钥的信息组成的字符串的数字签名；
    其中，所述业务密钥的信息包括以下任意一项：所述业务密钥的使用实体标识、所述业务密钥的有效期、所述业务密钥的生成时间、应用所述业务密钥的业务的信息及业务链路的信息。
  24. 一种网元，其特征在于，包括：
    第二处理器和第二存储器；
    所述第二存储器用于存储操作系统以及应用程序、所述应用程序运行中产生的数据；
    所述第二处理器用于通过运行存储在所述第二存储器中的所述应用程序，实现以下功能：获取业务密钥和令牌，所述业务密钥用于对所述第一网元和其它网元之间传输的数据进行加密和/或完整性保护，所述令牌为对所述业务密钥进行加密和/或完整性保护的结果；向所述其它网元发送所述令牌，所述令牌用于所述其它网元获取所述业务密钥。
  25. 根据权利要求24所述的网元，其特征在于，所述获取业务密钥和令牌，包括：
    通过使用密钥管理中心与所述第一网元之间的共享密钥解密从所述密 钥管理中心接收到的密文，获得业务密钥，或者获得业务密钥和令牌。
  26. 一种网络控制中心，其特征在于，包括：
    第三处理器和第三存储器；
    所述第三存储器用于存储操作系统以及应用程序、所述应用程序运行中产生的数据；
    所述第三处理器用于通过运行存储在所述第三存储器中的所述应用程序，实现以下功能：接收密钥请求，所述密钥请求中携带第一网元的标识和第二网元的标识；如果所述第一网元的标识和/或所述第二网元的标识非永久标识，将所述第一网元的标识替换为所述第一网元的永久标识，和/或将所述第二网元的标识替换为所述第二网元的永久标识；向密钥管理中心发送第二密钥请求消息，所述第二密钥请求消息包含第一网元的永久标识和第二网元的永久标识；所述密钥管理中心用于依据所述密钥请求中所述第一网元的永久标识和所述第二网元的永久标识，生成业务密钥及令牌，所述令牌为对所述业务密钥进行加密和/或完整性保护的结果，所述业务密钥用于对所述第一网元和所述第二网元之间传输的数据进行加密和/或完整性保护。
  27. 一种密钥管理中心，其特征在于，包括：
    第四处理器和第四存储器；
    所述第四存储器用于存储操作系统以及应用程序、所述应用程序运行中产生的数据；
    所述第四处理器用于通过运行存储在所述第四存储器中的所述应用程序，实现以下功能：接收密钥请求，所述密钥请求中携带第一网元的标识、 第二网元的标识和业务参数的至少一个，所述密钥请求由所述第一网元、所述第二网元、网络控制中心、或者业务服务器发送；获取业务密钥，所述业务密钥用于对所述第一网元和所述第二网元之间传输的数据进行加密和/或完整性保护；使用所述密钥管理中心与所述第二网元之间的共享密钥对所述业务密钥及所述第一类密钥参数组成的字符串进行加密，得到令牌；其中，所述第一类密钥参数为所述密钥管理中心使用所述共享密钥计算所述业务密钥的消息认证码，或者，所述密钥管理中心使用所述共享密钥计算所述业务密钥与所述业务密钥的信息组成的字符串的消息认证码，其中，所述业务密钥的信息包括以下任意一项：所述业务密钥的使用实体标识、所述业务密钥的有效期、所述业务密钥的生成时间、应用所述业务密钥的业务的信息及业务链路的信息；发送所述令牌，所述令牌用于由所述第一网元获取后向所述第二网元转发，以使得所述第二网元依据所述令牌获得所述业务密钥。
  28. 根据权利要求27所述的密钥管理中心，其特征在于，所述获取业务密钥包括：
    依据以下规则中的任意一种生成所述业务密钥K：
    K＝KDF(Key，(time，预设参数中的至少一项))，
    其中，Key为所述密钥管理中心所选的随机数、所述第一网元与所述密钥管理中心之间的共享密钥K1、所述第二网元与所述密钥管理中心之间的共享密钥K2、另一个密钥管理中心所选的随机数、或者所述另一个密钥管理中心与所述第二网元之间的共享密钥中的一个或多个的组合；time为业务密钥K的截止时间、有效期时长、或当前的系统时间；
    所述预设参数包括所述第一网元的标识、所述第二网元的标识、所述业务参数和SN；所述业务参数为业务中的序列号、该业务密钥的相关时间time、该业务中的相关ID，新鲜参数(Fresh parameter)、随机数(nonce/random number)中的至少一项，SN为计算业务密钥的序列号。
PCT/CN2016/109040 2015-12-31 2016-12-08 一种密钥配置方法及密钥管理中心、网元 WO2017114123A1 (zh)

Priority Applications (2)

Application Number Priority Date Filing Date Title
EP16880913.5A EP3364595A4 (en) 2015-12-31 2016-12-08 Key configuration method and key management center, and network element
US15/978,794 US10903987B2 (en) 2015-12-31 2018-05-14 Key configuration method, key management center, and network element

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN201511030585.2 2015-12-31
CN201511030585.2A CN106936570B (zh) 2015-12-31 2015-12-31 一种密钥配置方法及密钥管理中心、网元

Related Child Applications (1)

Application Number Title Priority Date Filing Date
US15/978,794 Continuation US10903987B2 (en) 2015-12-31 2018-05-14 Key configuration method, key management center, and network element

Publications (1)

Publication Number Publication Date
WO2017114123A1 true WO2017114123A1 (zh) 2017-07-06

Family

ID=59224539

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2016/109040 WO2017114123A1 (zh) 2015-12-31 2016-12-08 一种密钥配置方法及密钥管理中心、网元

Country Status (4)

Country Link
US (1) US10903987B2 (zh)
EP (1) EP3364595A4 (zh)
CN (1) CN106936570B (zh)
WO (1) WO2017114123A1 (zh)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US11296877B2 (en) 2017-08-31 2022-04-05 Huawei Technologies Co., Ltd. Discovery method and apparatus based on service-based architecture
US11469890B2 (en) * 2020-02-06 2022-10-11 Google Llc Derived keys for connectionless network protocols

Families Citing this family (18)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US10630686B2 (en) 2015-03-12 2020-04-21 Fornetix Llc Systems and methods for organizing devices in a policy hierarchy
US10965459B2 (en) 2015-03-13 2021-03-30 Fornetix Llc Server-client key escrow for applied key management system and process
CN106936570B (zh) * 2015-12-31 2021-08-20 华为技术有限公司 一种密钥配置方法及密钥管理中心、网元
US11063980B2 (en) * 2016-02-26 2021-07-13 Fornetix Llc System and method for associating encryption key management policy with device activity
CN109511115B (zh) * 2017-09-14 2020-09-29 华为技术有限公司 一种授权方法和网元
CN109560919B (zh) * 2017-09-27 2021-02-09 华为技术有限公司 一种密钥衍生算法的协商方法及装置
CN110120927B (zh) * 2018-02-05 2022-03-25 华为技术有限公司 私钥生成的方法和设备
CN109274488A (zh) * 2018-09-04 2019-01-25 广州众诺电子技术有限公司 集成电路程序烧录方法、存储介质和系统
DE102018133605B4 (de) * 2018-12-27 2023-03-02 Bachmann Gmbh Verfahren und Vorrichtung zur Prüfung der Integrität von Modulen einer Windkraftanlage
CN111435932B (zh) * 2019-01-14 2021-10-01 华为技术有限公司 一种令牌处理方法及装置
EP3719730B1 (en) * 2019-04-03 2023-12-06 Nxp B.V. Method for providing a digital representation of a transaction card in a mobile device
CN110517389B (zh) * 2019-08-30 2021-11-09 联永智能科技（上海）有限公司 设备密码的生成、验证方法、装置、设备和存储介质
CN110493258B (zh) * 2019-09-09 2022-09-30 平安普惠企业管理有限公司 基于token令牌的身份校验方法及相关设备
CN110831000B (zh) * 2019-10-31 2023-04-07 迈普通信技术股份有限公司 一种安全接入方法、设备及系统
US11265301B1 (en) * 2019-12-09 2022-03-01 Amazon Technologies, Inc. Distribution of security keys
CN112260823B (zh) * 2020-09-16 2022-08-09 浙江大华技术股份有限公司 数据传输方法、智能终端和计算机可读存储介质
CN113992367A (zh) * 2021-10-18 2022-01-28 四川托普信息技术职业学院 一种数据加密传输系统及其方法
CN116522367A (zh) * 2023-06-28 2023-08-01 星汉智能科技股份有限公司 智能卡的数据生成加密方法、系统、装置及存储介质

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1929369A (zh) * 2005-09-09 2007-03-14 三星电子株式会社 以对等方式安全地发送和接收数据的设备和方法
CN1961523A (zh) * 2004-02-23 2007-05-09 弗里塞恩公司 令牌提供
CN102891753A (zh) * 2012-09-25 2013-01-23 深圳市文鼎创数据科技有限公司 动态令牌初始化的方法及装置
EP2768178A1 (en) * 2013-02-14 2014-08-20 Gemalto SA Method of privacy-preserving proof of reliability between three communicating parties

Family Cites Families (12)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
DE102006009726A1 (de) * 2005-11-04 2007-05-10 Siemens Ag Verfahren und Server zum Bereitstellen eines Mobilitätsschlüssels
CN101719825A (zh) * 2009-04-30 2010-06-02 中兴通讯股份有限公司 Ip多媒体子系统中实现安全分叉呼叫会话的方法及系统
CN101729528B (zh) * 2009-05-21 2012-11-28 中兴通讯股份有限公司 Ims会议电话的媒体安全实现方法和系统
CN101719895A (zh) * 2009-06-26 2010-06-02 中兴通讯股份有限公司 一种实现网络安全通信的数据处理方法和系统
US8898468B2 (en) * 2009-12-08 2014-11-25 Bae Systems Information And Electronic Systems Integration Inc. Method for ensuring security and privacy in a wireless cognitive network
US20130054964A1 (en) * 2011-08-24 2013-02-28 Motorola Solutions, Inc. Methods and apparatus for source authentication of messages that are secured with a group key
US9083509B2 (en) * 2012-01-12 2015-07-14 Blackberry Limited System and method of lawful access to secure communications
US20140019753A1 (en) * 2012-07-10 2014-01-16 John Houston Lowry Cloud key management
CN104683304B (zh) * 2013-11-29 2019-01-01 中国移动通信集团公司 一种保密通信业务的处理方法、设备和系统
US10469464B2 (en) * 2015-06-09 2019-11-05 Intel Corporation Self-configuring key management system for an internet of things network
CN106714152B (zh) * 2015-11-13 2021-04-09 华为技术有限公司 密钥分发和接收方法、第一密钥管理中心和第一网元
CN106936570B (zh) * 2015-12-31 2021-08-20 华为技术有限公司 一种密钥配置方法及密钥管理中心、网元

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1961523A (zh) * 2004-02-23 2007-05-09 弗里塞恩公司 令牌提供
CN1929369A (zh) * 2005-09-09 2007-03-14 三星电子株式会社 以对等方式安全地发送和接收数据的设备和方法
CN102891753A (zh) * 2012-09-25 2013-01-23 深圳市文鼎创数据科技有限公司 动态令牌初始化的方法及装置
EP2768178A1 (en) * 2013-02-14 2014-08-20 Gemalto SA Method of privacy-preserving proof of reliability between three communicating parties

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
See also references of EP3364595A4 *

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US11296877B2 (en) 2017-08-31 2022-04-05 Huawei Technologies Co., Ltd. Discovery method and apparatus based on service-based architecture
US11824981B2 (en) 2017-08-31 2023-11-21 Huawei Technologies Co., Ltd. Discovery method and apparatus based on service-based architecture
US11469890B2 (en) * 2020-02-06 2022-10-11 Google Llc Derived keys for connectionless network protocols

Also Published As

Publication number Publication date
EP3364595A1 (en) 2018-08-22
US20180278595A1 (en) 2018-09-27
CN106936570B (zh) 2021-08-20
CN106936570A (zh) 2017-07-07
US10903987B2 (en) 2021-01-26
EP3364595A4 (en) 2018-11-21

Similar Documents

Publication Publication Date Title
WO2017114123A1 (zh) 一种密钥配置方法及密钥管理中心、网元
EP3432532B1 (en) Key distribution and authentication method, apparatus and system
CN107079023B (zh) 用于下一代蜂窝网络的用户面安全
US10742418B2 (en) Authentication method, authentication apparatus, and authentication system
EP3422629B1 (en) Method, apparatus and system for encryption key distribution and authentication
KR101490214B1 (ko) 공유된 일시적 키 데이터의 세트를 갖는 교환들을 인코딩하기 위한 시스템들 및 방법들
JP5597676B2 (ja) 鍵マテリアルの交換
CN109302412B (zh) 基于CPK的VoIP通信处理方法、终端、服务器及存储介质
KR20180130203A (ko) 사물인터넷 디바이스 인증 장치 및 방법
US20220191043A1 (en) Systems and methods for key management
CN112602344A (zh) 漫游5g-nr通信的端到端安全性
CN108353279A (zh) 一种认证方法和认证系统
CN111835691B (zh) 一种认证信息处理方法、终端和网络设备
WO2017080142A1 (zh) 密钥分发、生成和接收方法以及相关装置
WO2016176902A1 (zh) 一种终端认证方法、管理终端及申请终端
US20240097903A1 (en) Ipcon mcdata session establishment method
Southern et al. Wireless security: securing mobile UMTS communications from interoperation of GSM
Hiltunen et al. 5G-ENSURE-D3. 2 5G-PPP security enablers open specifications (v1. 0)
AlAkash A Study of Cryptographic Algorithms in Mobile Communications

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 16880913

Country of ref document: EP

Kind code of ref document: A1

WWE Wipo information: entry into national phase

Ref document number: 2016880913

Country of ref document: EP

NENP Non-entry into the national phase

Ref country code: DE