WO2018006627A1 - 一种传输数据的保护系统、方法及装置 - Google Patents

一种传输数据的保护系统、方法及装置 Download PDF

Info

Publication number
WO2018006627A1
WO2018006627A1 PCT/CN2017/077952 CN2017077952W WO2018006627A1 WO 2018006627 A1 WO2018006627 A1 WO 2018006627A1 CN 2017077952 W CN2017077952 W CN 2017077952W WO 2018006627 A1 WO2018006627 A1 WO 2018006627A1
Authority
WO
WIPO (PCT)
Prior art keywords
public key
enc
gpk
protection
data
Prior art date
Application number
PCT/CN2017/077952
Other languages
English (en)
French (fr)
Inventor
王海光
刘斐
康鑫
Original Assignee
华为技术有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 华为技术有限公司 filed Critical 华为技术有限公司
Priority to EP17823440.7A priority Critical patent/EP3468138B1/en
Publication of WO2018006627A1 publication Critical patent/WO2018006627A1/zh
Priority to US16/237,902 priority patent/US11122428B2/en

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/30—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy
    • H04L9/3066—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy involving algebraic varieties, e.g. elliptic or hyper-elliptic curves
    • H04L9/3073—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy involving algebraic varieties, e.g. elliptic or hyper-elliptic curves involving pairings, e.g. identity based encryption [IBE], bilinear mappings or bilinear pairings, e.g. Weil or Tate pairing
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H04L63/0435—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload wherein the sending and receiving network entities apply symmetric encryption, i.e. same key used for encryption and decryption
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0807—Network architectures or network communication protocols for network security for authentication of entities using tickets, e.g. Kerberos
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0876—Network architectures or network communication protocols for network security for authentication of entities based on the identity of the terminal or configuration, e.g. MAC address, hardware or software configuration or device fingerprint
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/12—Applying verification of the received information
    • H04L63/123—Applying verification of the received information received data contents, e.g. message integrity
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/02—Protocols based on web technology, e.g. hypertext transfer protocol [HTTP]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0819—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s)
    • H04L9/0825—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s) using asymmetric-key encryption or public key infrastructure [PKI], e.g. key signature or public key certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/30—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3247—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/40—Network security protocols
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/02—Protecting privacy or anonymity, e.g. protecting personally identifiable information [PII]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
    • H04W12/041—Key generation or derivation
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
    • H04W12/043—Key management, e.g. using generic bootstrapping architecture [GBA] using a trusted network node as an anchor
    • H04W12/0433—Key management protocols
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W8/00—Network data management
    • H04W8/02—Processing of mobility data, e.g. registration information at HLR [Home Location Register] or VLR [Visitor Location Register]; Transfer of mobility data, e.g. between HLR, VLR or external networks
    • H04W8/04—Registration at HLR or HSS [Home Subscriber Server]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/60—Digital content management, e.g. content distribution
    • H04L2209/601—Broadcast encryption

Definitions

  • the present invention relates to the field of communications technologies, and in particular, to a system, method, and apparatus for transmitting data.
  • the shared key is not established between the UE and the network before the user equipment (UE) and the network interaction authentication are completed.
  • the data transmission between the UE and the network is transmitted in plaintext.
  • the attacker can easily detect the identity information of the UE through air interface signaling, causing privacy leakage of the UE.
  • the security risks of the above data transmission also exist in the 5G network.
  • the UE in order to protect the identity information, the UE needs to carry the non-permanent identity information of the UE in the attach request (English: attach request), for example, the mobile user pseudo-identity (English: pseudo mobile subscriber informaiton) , PMSI).
  • the network side After receiving the PMSI of the UE, the network side allocates a new PMSI to the UE and transmits it to the UE through the authentication vector.
  • the UE may use the new PMSI to send an attach request to the network side in the next network access, so as to avoid using the UE's permanent identity information (for example, the mobile user identity (IMSI)).
  • IMSI mobile user identity
  • the request further prevents the attacker from eavesdropping on the IMSI of the UE through the air interface, causing the privacy leakage of the UE.
  • the network side needs to maintain the update of the temporary identity of the UE, which increases the complexity of the network side server, achieves high cost, and has low applicability in data transmission of the 5G network.
  • connectionless data (English: connection less data)
  • the network side generates a cookie containing the security context for the UE and sends it to the UE.
  • the UE receives the cookie with the security context sent by the network side and saves it.
  • the UE encrypts the data using the security context information contained in the cookie, and sends the cookie along with the security context to the network side.
  • the base station or the network side After receiving the cookie containing the security context, the base station or the network side uses the information provided by the cookie to reconstruct the security context and decrypt the data packet. Since the content of the cookie may be large, the signaling overhead of the data transmission is increased. At the same time, the cookie also contains the privacy information such as the user identity, and cannot protect the sensitive information such as the user identity in the cookie, so there is a security risk.
  • the present application provides a protection system, method and device for transmitting data, which can protect transmission data, filter unsafe data, and improve network security.
  • a protection system for transmitting data may include: a user equipment UE and an access point;
  • the access point is configured to send a broadcast message, where the broadcast message carries an encrypted public key
  • the UE is configured to receive the broadcast message of the access point, and store the encrypted public key
  • the UE is further configured to: when the transmission data needs to be sent to the access point, acquire a global public key of the identity-based cryptographic IBC technology or a private key corresponding to the UE from the first pre-stored data, and use the Encrypting the public key and the global public key or the private key corresponding to the UE to protect the transmission data to obtain a protection message;
  • the UE is further configured to send the protection message to the access point, where the protection message carries an indication message of a protection mode of the transmission data;
  • the access point is further configured to: after receiving the protection message, obtain the global public key and a private key corresponding to the access point from the second pre-stored data according to the indication message of the protection mode, and And using the global public key and the private key corresponding to the access point to parse the protection message to obtain transmission data sent by the UE;
  • the access point is further configured to send the parsed transmission data sent by the UE to a core network.
  • the information such as the identity of the access point can be used as the encryption public key, and the upload and transmission data is encrypted by using the global public key of the IBC technology, which can effectively solve the problem in the network.
  • Air interface signaling and its data protection prevent user privacy and signaling content from leaking.
  • the access point decrypts the message sent by the UE, performs signature verification, integrity check code, etc., filters the illegal signaling and data, and protects the security of the core network.
  • the global public key includes a first global public key and a second global public key
  • the private key corresponding to the access point includes a first private key and a second Private key
  • the access point is further configured to: acquire system parameters from a network or key management system KMS, and store the system parameters as second pre-stored data of the access point before sending the broadcast message;
  • the system parameter includes an encrypted public key and at least one of the following two sets of data: a first global public key and a first private key, or a second global public key and a second private key;
  • the first global public key is a data encryption global public key GPK enc of the IBC technology
  • the first private key is a data encryption private key SK BS_ID_enc corresponding to the access point of the IBC technology
  • the second global public key is a data signature global public key GPK Sig of the IBC technology
  • the second private key is a data signature private key SK BS_ID_Sig corresponding to the access point of the IBC technology.
  • the cryptographic public key is an identity BS_ID of the base station BS, or the cryptographic public key includes a BS_ID; or
  • the encrypted public key includes a media control sublayer MAC address of the wireless fidelity Wi-Fi pointcut AP, or a service set identifier SSID of the Wi-Fi AP; or
  • the cryptographic public key includes an identity UE_ID of the hotspot UE or a mobile subscriber identity IMSI of the hotspot UE.
  • the global public key includes a first global public key and a second global public key
  • the private key corresponding to the UE includes a third private key and a fourth private key.
  • the UE is further configured to: before receiving the broadcast message of the access point, acquire, from a network or a KMS, a processing parameter used by the UE to process the transmission data, and store the processing parameter as the first of the UE. Pre-stored data;
  • the processing parameter includes an identifier of the operator to which the UE belongs, and at least one of the following three sets of data: a first global public key, or a first global public key and a third private key, or a second global public key and Fourth private key;
  • the first global public key is a data encryption global public key GPK enc of the IBC technology
  • the third private key is a data encryption private key SK UE_ID_enc corresponding to the UE_ID of the IBC technology
  • the second global public key is a data signature global public key GPK Sig of the IBC technology
  • the fourth private key is a data signature private key SK UE_ID_Sig corresponding to the UE_ID of the IBC technology.
  • the second pre-stored data includes the GPK Sig and the SK BS_ID_Sig ;
  • the access point is further configured to use the GPK Sig and the SK BS_ID_Sig to sign the broadcast message to obtain a signature Sig1 of the broadcast message, and carry the access point with data in the broadcast message.
  • the first pre-stored data includes the operator ID1 and the GPK Sig ;
  • the UE is specifically configured to:
  • the broadcast message carries the signature Sig1
  • the GPK Sig 1 and the identification information of the access point are used to verify the broadcast message
  • the first pre-stored data includes the GPK enc ;
  • the UE is specifically configured to:
  • the protection mode of the transmission data is to encrypt the transmission data by using the encryption public key and the GPK enc .
  • the second pre-stored data includes the GPK enc , the SK BS_ID_enc , the GPK Sig, and the SK BS_ID_Sig ;
  • the access point is specifically configured to:
  • the first pre-stored data includes the GPK enc and the SK UE_ID_enc ;
  • the UE is specifically configured to:
  • the protection mode of the transmission data is to encrypt the transmission data, the identification information of the UE, and the MAC2 by using the encryption public key and the GPK enc .
  • the second pre-stored data includes an encrypted public key, the GPK enc, and the SK BS_ID_enc ;
  • the access point is specifically configured to:
  • the access point is also used to:
  • the identification information of the UE, and the decrypted transmission data to calculate a fourth integrity check code MAC3, and when the MAC3 matches the MAC2, perform transmission that is sent by the UE The step of sending data to the core network.
  • the first pre-stored data includes the GPK enc and the SK UE_ID_Sig ;
  • the UE is specifically configured to:
  • the protection mode of the transmission data is to encrypt the transmission data and the Sig2 by using the cryptographic public key and the GPK enc .
  • the second pre-stored data includes the GPK enc , the SK BS_ID_enc, and the GPK Sig ;
  • the access point is specifically configured to:
  • the access point is also used to:
  • the protection message is verified by using the identifier information of the UE and the GPK sig , and when the protection message verification is successful, performing the step of transmitting the transmission data sent by the UE to the core network.
  • a protection system for transmitting data may include: a user equipment UE, an access point, and a core network node;
  • the UE is configured to acquire an encrypted public key, a global public key of the identity-based cryptographic IBC technology, or a private key corresponding to the UE from the first pre-stored data when the transmission data needs to be sent, and use the encrypted public key. And the global public key or the private key corresponding to the UE protects the transmission data to obtain a protection message;
  • the UE is further configured to send the protection message to the access point, where the protection message carries an indication message of a protection mode of the transmission data;
  • the access point is configured to send the protection message to the core network node
  • the core network node is configured to: after receiving the protection message, obtain the global public key and the private key corresponding to the core network node from the second pre-stored data according to the indication message of the protection mode, and use The global public key and the private key corresponding to the core network node parse the protection message to obtain transmission data sent by the UE.
  • the information such as the identity of the core network node may be used as the encryption public key, and the uploading and transmitting data may be performed by using the global public key of the IBC technology and the private key corresponding to the core network node.
  • Encryption can effectively solve the protection of air interface signaling and its data in the network, and prevent user privacy and signaling content from leaking.
  • the core network node performs decryption and signature verification of the message sent by the UE, integrity check code, etc., filters illegal signaling and data, and protects the security of the core network.
  • the global public key includes a first global public key and a second global public key
  • the private key corresponding to the core network node includes a fifth private key and a sixth Private key
  • the core network node is further configured to obtain a core network system parameter from a key management system KMS, and store the core network system parameter as a second pre-stored data of the core network access point;
  • the core network system parameter includes an encrypted public key and at least one of the following two sets of data: a first global public key and a fifth private key, or a second global public key and a sixth private key;
  • the first global public key is a data encryption global public key GPK enc of the IBC technology
  • the fifth private key is a data encryption private key SK CP_ID_enc corresponding to the core network node of the IBC technology
  • the second global public key is a data signature global public key GPK Sig of the IBC technology
  • the sixth private key is a data signature private key SK CP_ID_Sig corresponding to the core network node of the IBC technology.
  • the cryptographic public key is an identity of a core network authentication node, or the cryptographic public key includes an identity of the core network node.
  • the global public key includes a first global public key and a second global public key
  • the private key corresponding to the UE includes a third private key and a fourth private key.
  • the UE is further configured to obtain an encrypted public key from a core network, a core network processing parameter used by the UE to process the transmitted data, and store the encrypted public key and the core network processing parameter as the UE. Pre-stored data;
  • the core network processing parameter includes at least one of the following three sets of data: a first global public key, or a first global public key and a third private key, or a second global public key and a fourth private key;
  • the first global public key is a data encryption global public key GPK enc of the IBC technology
  • the third private key is a data encryption private key SK UE_ID_enc corresponding to the UE_ID of the IBC technology
  • the second global public key is a data signature global public key GPK Sig of the IBC technology
  • the fourth private key is a data signature private key SK UE_ID_Sig corresponding to the UE_ID of the IBC technology.
  • the first pre-stored data includes the encrypted public key and the GPK Enc ;
  • the UE is specifically configured to:
  • the protection mode of the transmission data is to encrypt the transmission data by using the encryption public key and the GPK enc .
  • the second pre-stored data includes the GPK enc and the SK CP_ID_enc ;
  • the core network node is specifically configured to:
  • the protection message is decrypted to obtain transmission data of the UE.
  • the first pre-stored data includes the encrypted public key, the GPK enc and the SK UE_ID_enc;
  • the UE is specifically configured to:
  • the protection mode of the transmission data is to encrypt the transmission data and the MAC3 by using the encryption public key and the GPK enc .
  • the second pre-stored data includes the GPK enc and the SK CP_ID_enc ;
  • the core network node is specifically configured to:
  • the first pre-stored data includes the encrypted public key, the GPK enc and SK UE_ID_Sig;
  • the UE is specifically configured to:
  • the protection mode of the transmission data is to encrypt the transmission data and the signature by using the cryptographic public key and the GPK enc .
  • the second pre-stored data includes the cryptographic public key, the GPK enc , the SK CP_ID_enc, and the GPK Sig ;
  • the core network node is specifically configured to:
  • a third aspect provides a protection system for transmitting data, which may include: a user equipment UE, an access point, and a core network node;
  • the core network node is configured to receive the transmission data sent by the user plane gateway, and obtain the identifier information of the UE, the global public key of the identity-based password IBC technology, and the core network node corresponding to the second pre-stored data. Private key
  • the core network node is further configured to use the identifier information of the UE, the global public key, and the private key to protect the transmission data to obtain a protection message, and send the protection message to the access point;
  • the access point is configured to send the protection message to the UE
  • the UE obtains the identifier of the core network node from the first pre-stored data, and the global public key and the private key corresponding to the UE parse the protection message to obtain the transmission data.
  • the UE and the core network node can use the IBC-based technology to encrypt and verify the downlink data, which enhances the security of the network transmission data.
  • the global public key includes a first global public key and a second global public key
  • the private key corresponding to the core network node includes a fifth private key and a sixth Private key
  • the core network node is further configured to acquire a core network system parameter from a network or a key management system KMS, and store the core network system parameter as a second pre-stored data of the core network access point;
  • the core network system parameter includes an encrypted public key and at least one of the following two sets of data: a first global public key and a fifth private key, or a second global public key and a sixth private key;
  • the first global public key is a data encryption global public key GPK enc of the IBC technology
  • the fifth private key is a data encryption private key SK CP_ID_enc corresponding to the core network node of the IBC technology
  • the second global public key is a data signature global public key GPK Sig of the IBC technology
  • the sixth private key is a data signature private key SK CP_ID_Sig corresponding to the core network node of the IBC technology.
  • the global public key includes a first global public key and a second global public key
  • the private key corresponding to the UE includes a third private key and a fourth private key.
  • the UE is further configured to obtain, from the core network, the identifier information, the core network processing parameter used by the UE to process the transmission data, and store the identifier information and the core network processing parameter as the first of the UE. Pre-stored data;
  • the core network processing parameter includes at least one of the following two sets of data: a first global public key and a third private key. Or a second global public key and a fourth private key;
  • the first global public key is a data encryption global public key GPK enc of the IBC technology
  • the third private key is a data encryption private key SK UE_ID_enc corresponding to the UE_ID of the IBC technology
  • the second global public key is a data signature global public key GPK Sig of the IBC technology
  • the fourth private key is a data signature private key SK UE_ID_Sig corresponding to the UE_ID of the IBC technology.
  • the second pre-stored data includes the GPK enc and the SK CP_ID_enc ;
  • the core network node is specifically configured to:
  • the transmission data is encrypted using the K5 to obtain a protection message.
  • the first pre-stored data includes the identifier information of the UE, the identifier of the core network node, the GPK enc, and The SK UE_ID_enc ;
  • the UE is specifically configured to:
  • the seventh integrity check code MAC6 is generated by using the K6 and the decrypted message, and the transmission data is acquired when the MAC6 matches the MAC5 carried in the decrypted message.
  • a fourth aspect provides a method for protecting transmission data, which may include:
  • the user equipment UE receives the broadcast message sent by the access point, and stores the encrypted public key carried in the broadcast message;
  • the UE When the UE needs to send the transmission data to the access point, the UE obtains the global public key of the identity-based cryptography IBC technology or the private key corresponding to the UE from the first pre-stored data, and uses the cryptographic public key. And protecting the transmission data with the global public key or a private key corresponding to the UE to obtain a protection message;
  • the UE sends the protection message to the access point, where the protection message carries an indication message of a protection mode of the transmission data.
  • the global public key includes a first global public key and a second global public key
  • the private key corresponding to the UE includes a third private key and a fourth private key.
  • the method further includes:
  • the processing parameter includes an identifier of the operator to which the UE belongs, and at least one of the following three sets of data: a first global public key, or a first global public key and a third private key, or a second global public key and Fourth private key;
  • the first global public key is a data encryption global public key GPK enc of the IBC technology
  • the third private key is a data encryption private key SK UE_ID_enc corresponding to the UE_ID of the IBC technology
  • the second global public key is a data signature global public key GPK Sig of the IBC technology
  • the fourth private key is a data signature private key SK UE_ID_Sig corresponding to the UE_ID of the IBC technology.
  • the first pre-stored data includes the operator ID1 and the GPK Sig ;
  • the method further includes:
  • the broadcast message carries the signature Sig1
  • the GPK Sig 1 and the identification information of the access point are used to verify the broadcast message
  • the first pre-stored data includes the GPK enc ;
  • the UE When the UE needs to send transmission data to the access point, the UE obtains a global public key of the identity-based cryptographic IBC technology from its first pre-stored data, and uses the cryptographic public key and the global public key pair
  • the protection of the transmitted data includes:
  • the UE acquires the encrypted public key and the GPK enc from the first pre-stored data when it needs to send transmission data to the access point;
  • the protection mode of the transmission data is to encrypt the transmission data by using the encryption public key and the GPK enc .
  • the first pre-stored data includes the GPK enc and the SK UE_ID_enc ;
  • the UE When the UE needs to send the transmission data to the access point, the UE obtains the global public key of the identity-based cryptography IBC technology or the private key corresponding to the UE from the first pre-stored data, and uses the cryptographic public key. And protecting the transmission data with the global public key or a private key corresponding to the UE, including:
  • the UE When the UE needs to send transmission data to the access point, the UE obtains the encrypted public key, the GPK enc, and the SK UE_ID_enc from the first pre-stored data;
  • the protection mode of the transmission data is to encrypt the transmission data, the identification information of the UE, and the MAC2 by using the encryption public key and the GPK enc .
  • the first pre-stored data includes the GPK enc and the SK UE_ID_Sig ;
  • the UE When the UE needs to send the transmission data to the access point, the UE obtains the global public key of the identity-based cryptography IBC technology or the private key corresponding to the UE from the first pre-stored data, and uses the cryptographic public key. And protecting, by the global public key or the private key corresponding to the UE, the transmission data to obtain a protection message includes:
  • the UE acquires the encrypted public key, the GPK enc , the GPK sig, and the SK UE_ID_Sig from the first pre-stored data when the transmission data needs to be sent to the access point;
  • the protection mode of the transmission data is to encrypt the transmission data and the Sig2 by using the cryptographic public key and the GPK enc .
  • a fifth aspect provides a method for protecting transmission data, which may include:
  • the access point sends a broadcast message, where the broadcast message carries an encrypted public key
  • the access point receives a protection message that is sent by the user equipment, and is protected by the ciphering public key, and the protection message carries an indication message of the protection mode of the transmission data sent by the UE;
  • the access point sends the parsed transmission data sent by the UE to the core network.
  • the global public key includes a first global public key and a second global public key
  • the private key corresponding to the access point includes a first private key and a second Private key
  • the method further includes:
  • the access point acquires system parameters from a network or key management system KMS, and stores the system parameters as second pre-stored data of the access point;
  • the system parameter includes an encrypted public key and at least one of the following two sets of data: a first global public key and a first private key, or a second global public key and a second private key;
  • the first global public key is a data encryption global public key GPK enc of the IBC technology
  • the first private key is a data encryption private key SK BS_ID_enc corresponding to the access point of the IBC technology
  • the second global public key is a data signature global public key GPK Sig of the IBC technology
  • the second private key is a data signature private key SK BS_ID_Sig corresponding to the access point of the IBC technology.
  • the cryptographic public key is an identity BS_ID of the base station BS, or the cryptographic public key includes a BS_ID; or
  • the encrypted public key includes a media control sublayer MAC address of the wireless fidelity Wi-Fi pointcut AP, or a service set identifier SSID of the Wi-Fi AP; or
  • the cryptographic public key includes an identity UE_ID of the hotspot UE or a mobile subscriber identity IMSI of the hotspot UE.
  • the second pre-stored data includes the GPK Sig and the SK BS_ID_Sig ;
  • the method further includes:
  • the access point uses the GPK Sig and the SK BS_ID_Sig to sign the broadcast message to obtain a signature Sig1 of the broadcast message, and carries the access point with a data signature function in the broadcast message.
  • the indication information or the signature Sig1 of the broadcast message is included in the broadcast message.
  • the second pre-stored data includes the GPK enc , the SK BS_ID_enc , the GPK Sig, and the SK BS_ID_Sig ;
  • the second pre-stored data includes an encryption public key, the GPK enc, and the SK BS_ID_enc ;
  • the sending, by the access point, the parsed transmission data sent by the UE to the core network includes:
  • the second pre-stored data includes the GPK enc , the SK BS_ID_enc, and the GPK Sig ;
  • the sending, by the access point, the parsed transmission data sent by the UE to the core network includes:
  • the protection message is verified by using the identifier information of the UE and the GPK sig , and when the protection message is successfully verified, the transmission data sent by the UE is sent to the core network.
  • a method for protecting data transmission which may include:
  • the user equipment UE When the user equipment UE needs to send the transmission data, obtain the encrypted public key, the global public key of the identity-based cryptographic IBC technology or the private key corresponding to the UE from the first pre-stored data, and use the cryptographic public key, and The global public key or the private key corresponding to the UE protects the transmission data to obtain a protection message;
  • the global public key includes a first global public key and a second global public key
  • the private key corresponding to the UE includes a third private key and a fourth private key.
  • the method further includes:
  • the core network processing parameter includes at least one of the following three sets of data: a first global public key, or a first global public key and a third private key, or a second global public key and a fourth private key;
  • the first global public key is a data encryption global public key GPK enc of the IBC technology
  • the third private key is a data encryption private key SK UE_ID_enc corresponding to the UE_ID of the IBC technology
  • the second global public key is a data signature global public key GPK Sig of the IBC technology
  • the fourth private key is a data signature private key SK UE_ID_Sig corresponding to the UE_ID of the IBC technology.
  • the first pre-stored data includes the encrypted public key and the GPK enc ;
  • Obtaining, by the UE from the first pre-stored data, the cryptographic public key, the global public key of the identity-based cryptographic IBC technology, and using the cryptographic public key, and the global public key to protect the transmission data includes:
  • the UE acquires the encrypted public key and the GPK enc from the first pre-stored data when it needs to send transmission data to the access point;
  • the protection mode of the transmission data is to encrypt the transmission data by using the encryption public key and the GPK enc .
  • the first pre-stored data includes the cryptographic public key, the GPK enc, and the SK UE_ID_enc ;
  • the protection of the transmission data by the private key corresponding to the UE includes:
  • the UE When the UE needs to send transmission data to the access point, the UE obtains the encrypted public key, the GPK enc, and the SK UE_ID_enc from the first pre-stored data;
  • the protection mode of the transmission data is to encrypt the transmission data and the MAC3 by using the encryption public key and the GPK enc .
  • the first pre-stored data includes the cryptographic public key, the GPK enc, and the SK UE_ID_Sig ;
  • the protection of the transmission data by the private key corresponding to the UE includes:
  • the UE acquires the encrypted public key, the GPK enc , the GPK sig, and the SK UE_ID_Sig from the first pre-stored data when the transmission data needs to be sent to the access point;
  • the protection mode of the transmission data is to encrypt the transmission data and the signature by using the cryptographic public key and the GPK enc .
  • a seventh aspect provides a method for protecting transmission data, which may include:
  • the core network node receives the protection message sent by the access point, where the protection message carries an indication message of the protection mode of the transmission data sent by the user equipment UE;
  • the core network node And obtaining, by the core network node, the global public key of the identity-based cryptographic IBC technology and the private key corresponding to the core network node from the second pre-stored data according to the indication message of the protection mode, and using the global public key and The private key corresponding to the core network node parses the protection message to obtain transmission data sent by the UE.
  • the global public key includes a first global public key and a second global public key
  • the private key corresponding to the core network node includes a fifth private key and a sixth Private key
  • the method further includes:
  • the core network node obtains core network system parameters from the key management system KMS, and stores the core network system parameters as second pre-stored data of the core network access point;
  • the core network system parameter includes an encrypted public key and at least one of the following two sets of data: a first global public key and a fifth private key, or a second global public key and a sixth private key;
  • the first global public key is a data encryption global public key GPK enc of the IBC technology
  • the fifth private key is a data encryption private key SK CP_ID_enc corresponding to the core network node of the IBC technology
  • the second global public key is a data signature global public key GPK Sig of the IBC technology
  • the sixth private key is a data signature private key SK CP_ID_Sig corresponding to the core network node of the IBC technology.
  • the cryptographic public key is an identity of a core network authentication node, or the cryptographic public key includes an identity of the core network node.
  • the second pre-stored data includes the GPK enc and the SK CP_ID_enc ;
  • the core network node Determining, by the core network node, the protection mode of the transmission data according to the indication message of the protection mode, and acquiring the SK CP_ID_enc and the GPK enc from the second pre-stored data, and using the SK CP_ID_enc and the The GPK enc decrypts the protection message to obtain transmission data of the UE.
  • the second pre-stored data includes the GPK enc and the SK CP_ID_enc ;
  • the second pre-stored data includes the cryptographic public key, the GPK enc , the SK CP_ID_enc, and the GPK Sig ;
  • the core network node Determining, by the core network node, the protection manner of the transmission data according to the indication message of the encryption mode, and using the GPK enc , the encryption public key, and the SK CP_ID_enc pair obtained from the second pre-stored data.
  • the protection message is decrypted;
  • a method for protecting data transmission which may include:
  • the core network node receives the transmission data sent by the user plane gateway, and obtains the identity information of the user equipment UE, the global public key of the identity-based password IBC technology, and the private key corresponding to the core network node from the second pre-stored data;
  • the core network node protects the transmission data by using the identifier information of the UE, the global public key, and the private key to obtain a protection message, and sends the protection message to an access point.
  • the global public key includes a first global public key and a second global public key
  • the private key corresponding to the core network node includes a fifth private key and a sixth Private key
  • the method further includes:
  • the core network node obtains core network system parameters from a network or key management system KMS, and stores the core network system parameters as second pre-stored data of the core network access point;
  • the core network system parameter includes an encrypted public key and at least one of the following two sets of data: a first global public key and a fifth private key, or a second global public key and a sixth private key;
  • the first global public key is a data encryption global public key GPK enc of the IBC technology
  • the fifth private key is a data encryption private key SK CP_ID_enc corresponding to the core network node of the IBC technology
  • the second global public key is a data signature global public key GPK Sig of the IBC technology
  • the sixth private key is a data signature private key SK CP_ID_Sig corresponding to the core network node of the IBC technology.
  • the second pre-stored data includes the GPK enc and the SK CP_ID_enc ;
  • the core network node obtains the identifier information of the user equipment UE from the second pre-stored data, the global public key of the identity-based cryptography IBC technology, and the private key corresponding to the core network node, including:
  • the protecting, by the core network node, the protection data by using the identifier information of the UE, the global public key, and the private key to obtain the protection message includes:
  • the core network node generates a symmetric key K5 according to the identification information of the UE, the GPK enc, and the SK CP_ID_enc , and inputs the transmission data and the K5 into a system function to obtain a sixth integrity check code MAC5. ;
  • the transmission data is encrypted using the K5 to obtain a protection message.
  • a ninth aspect provides a method for protecting transmission data, which may include:
  • the user equipment UE receives the protection message sent by the access point
  • the UE obtains the identifier of the core network node from the first pre-stored data, and the global public key of the identity-based cryptographic IBC technology and the private key corresponding to the UE parse the protection message to obtain the transmission data.
  • the global public key includes a first global public key and a second global public key
  • the private key corresponding to the UE includes a third private key and a fourth private key.
  • the method further includes:
  • the UE obtains its identification information from the core network, the core network processing parameters used by the UE to process the transmission data, and stores the identification information and the core network processing parameters as the first pre-stored data of the UE;
  • the core network processing parameter includes at least one of the following two sets of data: a first global public key and a third private key, or a second global public key and a fourth private key;
  • the first global public key is a data encryption global public key GPK enc of the IBC technology
  • the third private key is a data encryption private key SK UE_ID_enc corresponding to the UE_ID of the IBC technology
  • the second global public key is a data signature global public key GPK Sig of the IBC technology
  • the fourth private key is a data signature private key SK UE_ID_Sig corresponding to the UE_ID of the IBC technology.
  • the first pre-stored data includes the identifier information of the UE, the identifier of the core network node, the GPK enc, and The SK UE_ID_enc ;
  • the UE acquires the identity of the core network node from its first pre-stored data, and the identity-based password IBC technology
  • the public key of the office and the private key corresponding to the UE parsing the protection message to obtain the transmission data includes:
  • the seventh integrity check code MAC6 is generated by using the K6 and the decrypted message, and the transmission data is acquired when the MAC6 matches the sixth integrity check code MAC5 carried in the decrypted message.
  • a tenth aspect provides a protection device for transmitting data, which may include:
  • a receiving unit configured to receive a broadcast message sent by the access point, and store the encrypted public key carried in the broadcast message
  • a processing unit configured to acquire a global public key of the identity-based cryptographic IBC technology or a private key corresponding to the UE from the first pre-stored data of the user equipment UE when the transmission data needs to be sent to the access point, and use The encrypted public key and the global public key received by the receiving unit or the private key corresponding to the UE protect the transmission data to obtain a protection message;
  • a sending unit configured to send, to the access point, the protection message that is processed by the processing unit, where the protection message carries an indication message of a protection mode of the transmission data.
  • the global public key includes a first global public key and a second global public key
  • the private key corresponding to the UE includes a third private key and a fourth private key.
  • the processing unit is further configured to:
  • the processing parameter includes an identifier of the operator to which the UE belongs, and at least one of the following three sets of data: a first global public key, or a first global public key and a third private key, or a second global public key and Fourth private key;
  • the first global public key is a data encryption global public key GPK enc of the IBC technology
  • the third private key is a data encryption private key SK UE_ID_enc corresponding to the UE_ID of the IBC technology
  • the second global public key is a data signature global public key GPK Sig of the IBC technology
  • the fourth private key is a data signature private key SK UE_ID_Sig corresponding to the UE_ID of the IBC technology.
  • the first pre-stored data includes the operator ID1 and the GPK Sig ;
  • the receiving unit is specifically configured to:
  • the broadcast message carries the signature Sig1
  • the GPK Sig 1 and the identification information of the access point are used to verify the broadcast message
  • the first pre-stored data includes the GPK enc ;
  • the processing unit is specifically configured to:
  • the protection mode of the transmission data is to encrypt the transmission data by using the encryption public key and the GPK enc .
  • the first pre-stored data includes the GPK enc and the SK UE_ID_enc ;
  • the processing unit is specifically configured to:
  • the protection mode of the transmission data is to encrypt the transmission data, the identification information of the UE, and the MAC2 by using the encryption public key and the GPK enc .
  • the first pre-stored data includes the GPK enc and the SK UE_ID_Sig ;
  • the processing unit is specifically configured to:
  • the protection mode of the transmission data is to encrypt the transmission data and the Sig2 by using the cryptographic public key and the GPK enc .
  • a protection device for transmitting data which may include:
  • a sending unit configured to send a broadcast message, where the broadcast message carries an encrypted public key
  • a receiving unit configured to receive, by using a user equipment UE, a protection message that is protected by the encrypted public key sent by the sending unit, where the protection message carries a protection manner of the transmission data sent by the UE.
  • Indication message
  • a parsing unit configured to acquire, according to the protection mode indication message received by the receiving unit, a global public key of the identity-based cryptographic IBC technology and a private key corresponding to the access point from the second pre-stored data, and use The global public Decrypting the protection message with a private key corresponding to the access point to obtain transmission data sent by the UE;
  • the sending unit is further configured to send the transmission data sent by the UE that is parsed by the parsing unit to a core network.
  • the global public key includes a first global public key and a second global public key
  • the private key corresponding to the access point includes a first private key and a Second private key
  • the parsing unit is further configured to:
  • the system parameter includes an encrypted public key and at least one of the following two sets of data: a first global public key and a first private key, or a second global public key and a second private key;
  • the first global public key is a data encryption global public key GPK enc of the IBC technology
  • the first private key is a data encryption private key SK BS_ID_enc corresponding to the access point of the IBC technology
  • the second global public key is a data signature global public key GPK Sig of the IBC technology
  • the second private key is a data signature private key SK BS_ID_Sig corresponding to the access point of the IBC technology.
  • the cryptographic public key is an identity BS_ID of the base station BS, or the cryptographic public key includes a BS_ID; or
  • the encrypted public key includes a media control sublayer MAC address of the wireless fidelity Wi-Fi pointcut AP, or a service set identifier SSID of the Wi-Fi AP; or
  • the cryptographic public key includes an identity UE_ID of the hotspot UE or a mobile subscriber identity IMSI of the hotspot UE.
  • the second pre-stored data includes the GPK Sig and the SK BS_ID_Sig ;
  • the sending unit is specifically configured to:
  • the second pre-stored data includes the GPK enc , the SK BS_ID_enc , the GPK Sig, and the SK BS_ID_Sig ;
  • the parsing unit is specifically configured to:
  • the second pre-stored data includes an encrypted public key, the GPK enc, and the SK BS_ID_enc ;
  • the parsing unit is specifically configured to:
  • the sending unit is specifically configured to:
  • the second pre-stored data includes the GPK enc , the SK BS_ID_enc, and the GPK Sig ;
  • the parsing unit is specifically configured to:
  • the sending unit is specifically configured to:
  • the protection message is verified by using the identifier information of the UE and the GPK sig , and when the protection message is successfully verified, the transmission data sent by the UE is sent to the core network.
  • a protection device for transmitting data which may include:
  • a protection unit configured to acquire an encrypted public key, a global public key of the identity-based cryptographic IBC technology, or a private key corresponding to the UE from the first pre-stored data of the user equipment when the transmission data needs to be sent, and use the encryption And the public key, and the global public key or the private key corresponding to the UE, to protect the transmission data to obtain a protection message;
  • a sending unit configured to send, to the access point, the protection message that is processed by the protection unit, to send the protection message to the core network node by using the access point, where the protection message carries the transmission data The indication of the way to protect.
  • the global public key includes a first global public key and a second global public key
  • the private key corresponding to the UE includes a third private key and a fourth private key
  • the protection unit is also used to:
  • the core network processing parameter includes at least one of the following three sets of data: a first global public key, or a first global public key and a third private key, or a second global public key and a fourth private key;
  • the first global public key is a data encryption global public key GPK enc of the IBC technology
  • the third private key is a data encryption private key SK UE_ID_enc corresponding to the UE_ID of the IBC technology
  • the second global public key is a data signature global public key GPK Sig of the IBC technology
  • the fourth private key is a data signature private key SK UE_ID_Sig corresponding to the UE_ID of the IBC technology.
  • the first pre-stored data includes the encrypted public key and the GPK enc ;
  • the protection unit is specifically configured to:
  • the protection mode of the transmission data is to encrypt the transmission data by using the encryption public key and the GPK enc .
  • the first pre-stored data includes the cryptographic public key, the GPK enc, and the SK UE_ID_enc ;
  • the protection unit is specifically configured to:
  • the protection mode of the transmission data is to encrypt the transmission data and the MAC3 by using the encryption public key and the GPK enc .
  • the first pre-stored data includes the cryptographic public key, the GPK enc, and the SK UE_ID_Sig ;
  • the protection unit is specifically configured to:
  • the protection mode of the transmission data is to encrypt the transmission data and the signature by using the cryptographic public key and the GPK enc .
  • a protection device for transmitting data which may include:
  • a receiving unit configured to receive a protection message sent by the access point, where the protection message carries an indication message of a protection mode of the transmission data sent by the user equipment UE;
  • a parsing unit configured to acquire, according to the protection mode indication message received by the receiving unit, a global public key of the identity-based cryptography IBC technology and a private key corresponding to the core network node from the second pre-stored data, and use The global public key and the private key corresponding to the core network node parse the protection message to obtain transmission data sent by the UE.
  • the global public key includes a first global public key and a second global public key
  • the private key corresponding to the core network node includes a fifth private key and a Six private keys
  • the parsing unit is further configured to:
  • the core network system parameter includes an encrypted public key and at least one of the following two sets of data: a first global public key and a fifth private key, or a second global public key and a sixth private key;
  • the first global public key is a data encryption global public key GPK enc of the IBC technology
  • the fifth private key is a data encryption private key SK CP_ID_enc corresponding to the core network node of the IBC technology
  • the second global public key is a data signature global public key GPK Sig of the IBC technology
  • the sixth private key is a data signature private key SK CP_ID_Sig corresponding to the core network node of the IBC technology.
  • the cryptographic public key is an identity of a core network authentication node, or the cryptographic public key includes the core network node Identity.
  • the second pre-stored data includes the GPK enc and the SK CP_ID_enc ;
  • the parsing unit is specifically configured to:
  • the protection message is decrypted to obtain transmission data of the UE.
  • the second pre-stored data includes the GPK enc and the SK CP_ID_enc ;
  • the parsing unit is specifically configured to:
  • the second pre-stored data includes the encrypted public key, the GPK enc , the SK CP_ID_enc, and the GPK Sig ;
  • the parsing unit is specifically configured to:
  • a protection device for transmitting data which may include:
  • a receiving unit configured to receive transmission data sent by a user plane gateway
  • a processing unit configured to acquire, from the second pre-stored data of the core network node, the identifier information of the user equipment UE, the global public key of the identity-based cryptographic IBC technology, and the private key corresponding to the core network node, and use the UE
  • the identification information, the global public key, and the private key protect the transmission data received by the receiving unit for protection Message.
  • a sending unit configured to send the protection message processed by the processing unit to the access point.
  • the global public key includes a first global public key and a second global public key
  • the private key corresponding to the core network node includes a fifth private key and a Six private keys
  • the processing unit is further configured to:
  • the core network system parameter includes an encrypted public key and at least one of the following two sets of data: a first global public key and a fifth private key, or a second global public key and a sixth private key;
  • the first global public key is a data encryption global public key GPK enc of the IBC technology
  • the fifth private key is a data encryption private key SK CP_ID_enc corresponding to the core network node of the IBC technology
  • the second global public key is a data signature global public key GPK Sig of the IBC technology
  • the sixth private key is a data signature private key SK CP_ID_Sig corresponding to the core network node of the IBC technology.
  • the second pre-stored data includes the GPK enc and the SK CP_ID_enc ;
  • the processing unit is specifically configured to:
  • the transmission data is encrypted using the K5 to obtain a protection message.
  • a protection device for transmitting data which may include:
  • a receiving unit configured to receive a protection message sent by the access point
  • a parsing unit configured to obtain an identifier of a core network node from a first pre-stored data of the user equipment, and parse the protection message by using a global public key of the identity-based cryptographic IBC technology and a private key corresponding to the UE to obtain the transfer data.
  • the global public key includes a first global public key and a second global public key
  • the private key corresponding to the UE includes a third private key and a fourth private key
  • the parsing unit is further configured to:
  • the core network processing parameter includes at least one of the following two sets of data: a first global public key and a third private key, or a second global public key and a fourth private key;
  • the first global public key is a data encryption global public key GPK enc of the IBC technology
  • the third private key is a data encryption private key SK UE_ID_enc corresponding to the UE_ID of the IBC technology
  • the second global public key is a data signature global public key GPK Sig of the IBC technology
  • the fourth private key is a data signature private key SK UE_ID_Sig corresponding to the UE_ID of the IBC technology.
  • the first pre-stored data includes identifier information of the UE, an identifier of the core network node, and the GPK enc And the SK UE_ID_enc ;
  • the parsing unit is specifically configured to:
  • the seventh integrity check code MAC6 is generated by using the K6 and the decrypted message, and the transmission data is acquired when the MAC6 matches the MAC5 carried in the decrypted message.
  • a sixteenth aspect provides a user equipment, which can include: a memory and a processor, the memory being coupled to the processor;
  • the memory is for storing a set of program codes
  • the processor is configured to invoke program code stored in the memory to perform a protection method for transmitting data as provided in the fourth aspect above.
  • a seventeenth aspect provides an access point, which can include: a memory and a processor, the memory being coupled to the processor;
  • the memory is for storing a set of program codes
  • the processor is configured to invoke program code stored in the memory to perform a protection method for transmitting data as provided in the fifth aspect above.
  • a eighteenth aspect provides a user equipment, which can include: a memory and a processor, the memory being coupled to the processor;
  • the memory is for storing a set of program codes
  • the processor is configured to invoke program code stored in the memory to perform a protection method for transmitting data as provided in the sixth aspect above.
  • a nineteenth aspect provides a core network node, which can include: a memory and a processor, the memory being coupled to the processor;
  • the memory is for storing a set of program codes
  • the processor is configured to invoke program code stored in the memory, and perform a protection method for transmitting data as provided in the seventh aspect above.
  • a twentieth aspect provides a core network node, which can include: a memory and a processor, the memory being coupled to the processor;
  • the memory is for storing a set of program codes
  • the processor is configured to invoke program code stored in the memory to perform a protection method for transmitting data as provided in the eighth aspect above.
  • a twenty-first aspect provides a user equipment, which may include: a memory and a processor, the memory being connected to the processor;
  • the memory is for storing a set of program codes
  • the processor is configured to invoke program code stored in the memory, and perform a protection method for transmitting data as provided in the ninth aspect.
  • the present application discloses a system, method and apparatus for transmitting data.
  • the system includes: a user equipment UE and an access point; the access point sends a broadcast message carrying the encrypted public key; and the UE receives and stores the encryption.
  • Public key the UE obtains the global public key or the private key corresponding to the UE from the first pre-stored data, and protects the transmission data by using the encrypted public key and the global public key or the private key corresponding to the UE; the UE sends a protection message to the access point.
  • the protection message carries the indication message of the protection mode of the transmission data; after receiving the protection message, the access point obtains the global public key and the private key corresponding to the access point from the second pre-stored data according to the indication manner of the protection mode, The protection message is parsed by using the global public key and the private key corresponding to the access point; the access point sends the parsed transmission data to the core network.
  • the transmission data can be protected and the unsafe data is filtered, thereby improving the security of the network.
  • 1 is a transmission architecture diagram of data transmission according to an embodiment of the present invention
  • FIG. 2 is a schematic diagram of interaction of data transmission by a protection system for transmitting data according to an embodiment of the present invention
  • FIG. 3 is a schematic diagram of interaction of a protection system in scenario 1 according to an embodiment of the present invention.
  • FIG 4 is another schematic diagram of interaction of the protection system in scenario 1 according to an embodiment of the present invention.
  • FIG. 5 is a schematic diagram of interaction of a protection system according to an embodiment of the present invention in scenario 2;
  • FIG. 6 is another schematic diagram of interaction of the protection system in scenario 2 according to an embodiment of the present invention.
  • FIG. 7 is a schematic diagram of interaction of a protection system in scenario 3 according to an embodiment of the present invention.
  • FIG. 8 is a schematic diagram of interaction of a protection system in scenario 4 according to an embodiment of the present invention.
  • FIG. 9 is another transmission architecture diagram of data transmission according to an embodiment of the present invention.
  • FIG. 10 is another schematic diagram of interaction of data transmission by a protection system for transmitting data according to an embodiment of the present invention.
  • FIG. 11 is a schematic diagram of interaction of a protection system according to an embodiment of the present invention in scenario 5;
  • FIG. 12 is another schematic diagram of interaction of the protection system in scenario 5 according to an embodiment of the present invention.
  • FIG. 13 is another schematic diagram of interaction of the protection system according to the embodiment of the present invention in scenario 5;
  • FIG. 14 is another transmission architecture diagram of data transmission according to an embodiment of the present invention.
  • 15 is a schematic diagram of interaction of a downlink data transmission by a protection system for transmitting data according to an embodiment of the present invention
  • 16 is a schematic diagram of interaction of a protection system in scenario 6 according to an embodiment of the present invention.
  • 17 is a schematic flowchart of a method for protecting transmission data according to an embodiment of the present invention.
  • FIG. 18 is another schematic flowchart of a method for protecting transmission data according to an embodiment of the present invention.
  • 19 is another schematic flowchart of a method for protecting transmission data according to an embodiment of the present invention.
  • 20 is another schematic flowchart of a method for protecting transmission data according to an embodiment of the present invention.
  • FIG. 21 is another schematic flowchart of a method for protecting transmission data according to an embodiment of the present invention.
  • FIG. 22 is another schematic flowchart of a method for protecting transmission data according to an embodiment of the present invention.
  • FIG. 23 is a schematic structural diagram of a device for protecting data transmission according to an embodiment of the present invention.
  • 24 is another schematic structural diagram of a device for protecting data transmitted according to an embodiment of the present invention.
  • 25 is another schematic structural diagram of a device for protecting data transmitted according to an embodiment of the present invention.
  • FIG. 26 is another schematic structural diagram of a device for protecting data transmitted according to an embodiment of the present invention.
  • FIG. 27 is another schematic structural diagram of a device for protecting data transmitted according to an embodiment of the present invention.
  • FIG. 28 is another schematic structural diagram of a device for protecting data transmitted according to an embodiment of the present invention.
  • IBC Identity Based Cryptography
  • IBE Identity Based Encryption
  • IBS Identity Based Signature
  • IBC technology is a public key technology.
  • the key is generated based on a pair of global parameters, including the global public key (English: Global Public Key, GPK) and the global private key (English: Global Secret Key, GSK).
  • the key generation party performs the operation according to the identity (English: Identity, ID) information provided by the user, and generates a private key SK ID corresponding to the ID of the user for the user.
  • the key generation party may perform the operation according to the identity provided by the UE (eg, UE_ID) using the global parameter to obtain the private key SK UE_ID corresponding to the UE.
  • the user ID, the private key SK ID, and the global public key GPK may be distributed to the user by a reliable means, and the specific method may be determined according to the actual application scenario.
  • the encryptor When encrypting using the IBC technology, the encryptor needs to obtain the encrypted public key (specifically, the recipient's ID) and the global public key GPK.
  • the encrypting party encrypts the plaintext data M of the user using the ID of the recipient and the global public key to form a ciphertext E(M) and sends it to the recipient.
  • the receiving party receives the ciphertext E(M), first obtains the private key SK ID and the global public key GPK corresponding to the ID corresponding to the ID according to its ID, and decrypts the ciphertext E(M) by using the SK ID and the GPK. Obtain the corresponding plaintext M.
  • the signing party When signing using the IBC technology, the signing party needs to have its own ID, the private key SK ID for signing and the global public key GPK.
  • the signing party M uses the global public key and the private key SK ID to sign the plaintext data of the user, forms the signature Sig (SK ID , M), and sends the signed message ⁇ ID, M, Sig (SK ID , M) ⁇ to receiver.
  • the receiver After receiving the message with the signature, the receiver first obtains the corresponding global public key GPK according to the ID carried in the message, and uses the ID and GPK to verify the signature Sig (SK ID , M) carried in the message to verify the message. Integrity.
  • IBC technology The difference between IBC technology and the existing public key infrastructure (PKI) public key technology is that the public key in the existing PKI technology is a string of random numbers, which does not have identity significance. IBC technology makes up for this shortcoming.
  • the public key can be any string of meaningful characters, usually the identity information of our real life, such as the email address abc@xyz.com, etc., and can also use information such as phone number or IMSI for easy memory and verification.
  • the embodiment of the present invention can use the IBC technology to protect the transmission of the air interface signaling or the low frequency small data.
  • the transmission data described in the present invention may include air interface signaling or low-frequency small data without connection, and may be determined according to actual application scenarios. There are no restrictions here.
  • FIG. 1 is a transmission architecture diagram of data transmission according to an embodiment of the present invention.
  • a data transmission end such as a UE, an access point, and a core network may be included.
  • the access point may include a base station (English: Base Station, BS), an access point (English: Access Point, AP) in a Wireless-Fidelity (Wi-Fi) network or a hotspot UE as a network hotspot.
  • the foregoing BS may be a base station in a 3G network (English: Node B, NB), or an evolved base station (English: Evolved Node B, eNB) in a 4G network, or a base station in an earlier network era. There is no limit here.
  • FIG. 2 is a schematic diagram of interaction of data transmission by a protection system for transmitting data according to an embodiment of the present invention.
  • the process of data transmission performed by each data transmission end in the protection system provided by the embodiment of the present invention may include the following steps:
  • the access point sends a broadcast message to the UE.
  • the system parameters may be obtained in advance from a network or a key management system (KMS), and the acquired system parameters are stored in the access point.
  • KMS key management system
  • the obtained system parameters can be stored as pre-stored data of the access point (ie, the second pre-stored data).
  • the system parameters obtained by the access point from the network or the KMS may include an encrypted public key, or a first global public key and a private key, or a second global public key and a private key.
  • the information that is specifically included in the system parameters that the access point obtains from the network or the KMS may be determined according to the requirements of the data transmission operation performed by the access point in the actual application scenario, and is not limited herein.
  • the foregoing encrypted public key may be an identifier of the access point.
  • the encrypted public key may be the identity of the BS (ie, BS_ID), or the encrypted public key may include the BS_ID.
  • the encrypted public key includes a BS_ID indicating that the encrypted public key is composed of a BS_ID and other data, and the BS_ID is only a part of data in the long string data of the encrypted public key, and may be specifically determined according to a data form of the encrypted public key used at the time. No restrictions.
  • the encrypted public key may be a Media Control Control (MAC) address of the Wi-Fi AP or a service of the Wi-Fi AP.
  • Set ID (English: Service Set Identifier, SSID).
  • the specific form of the encrypted public key can be determined according to the actual application scenario, and is not limited herein.
  • the encrypted public key may be a UE_ID of the hotspot UE or a mobile subscriber identity of the hotspot UE (English: International Mobile Subscriber Identity, IMSI).
  • IMSI International Mobile Subscriber Identity
  • the specific form of the encrypted public key may be determined according to the actual application scenario, and no limitation is imposed herein.
  • the first global public key obtained by the access point from the network or the KMS may be a data encryption global public key GPK enc of the IBC technology.
  • the first private key may encrypt the private key SK BS_ID_enc according to the ID of the access point and the data corresponding to the access point generated by the GPK enc described above using the IBC technology.
  • the access point BS, the Wi-Fi AP, and the hotspot UE are both used as base stations in data transmission, and the ID of the access point used when generating the data encryption private key includes the ID of the BS, the ID of the WiFi AP, or the hotspot UE.
  • the second global public key is the data signature global public key GPK Sig of the IBC technology.
  • the second private key is a data signature private key SK BS_ID_Sig corresponding to the access point generated by the IBC technology according to the ID of the access point and the GPK Sig .
  • the access point BS, the Wi-Fi AP, and the hotspot UE are both used as base stations in data transmission, and the ID of the access point used when generating the data signature private key includes the ID of the BS, the ID of the WiFi AP, or the hotspot UE. ID, so the data signature private key corresponding to the access point is represented as SK BS_ID_Sig .
  • the UE may also obtain processing parameters for processing transmission data from the network or the above KMS.
  • the foregoing processing parameters may include an identity of an operator to which the UE belongs, a global public key, or a private key corresponding to the UE.
  • the identity of the operator to which the UE belongs may be represented as operator ID1.
  • the operator ID1 is the identity of the operator A.
  • the global public key includes a first global public key and a second global public key
  • the private key includes a third private key and a fourth private key.
  • the first global public key is a data encryption global public key GPK enc that is the same as the first global public key acquired by the access point.
  • the second global public key is the same data signature global public key GPK sig as the second global public key acquired by the access point.
  • the third private key may encrypt the private key SK UE_ID_enc according to the UE_ID and the data corresponding to the UE generated by the GPKenc using the IBC technology.
  • the fourth private key is a data signature private key SK UE_ID_Sig corresponding to the UE generated by the ICMP technology according to the UE_ID and the GPK sig .
  • the access point may periodically send a broadcast message to the UE, and carry the encrypted public key in the broadcast message, so that the UE performs data protection according to the encrypted public key.
  • the access point may use the GPK Sig and the SK BS_ID_Sig stored in the second pre-stored data to sign the broadcast message to obtain a signature of the broadcast message (denoted as Sig1), and broadcast The message carries an indication that the access point has a data signature function. Further, the above Sig1 may also be carried in the above broadcast message.
  • the UE receives the broadcast message of the access point, and stores the encrypted public key carried in the broadcast message.
  • the UE may determine, according to the information carried in the broadcast message, whether the access point supports data encryption or data signature based on the encrypted public key, and encrypt the public key. type.
  • the type of the encrypted public key may include an encrypted public key of the IBC technology or a public key of the PKI technology.
  • the embodiment of the present invention will specifically describe the data transmission of the encrypted public key of the IBC technology.
  • the broadcast message sent by the access point may not carry the encrypted public key, it may be determined that the access point does not support data encryption of the encrypted public key, and the UE may send data to the access point without encryption, for such application. The scenario is not specifically described in the embodiment of the present invention.
  • the UE may directly store the encrypted public key carried in the broadcast message, so as to follow the foregoing need for the encrypted public key.
  • the data sent by the access point is encrypted.
  • the UE may determine, according to the indication information, whether the access point has a data signature function. The UE can also verify whether the timestamp (English: timestamp) or the sequence number (English: sequence number) carried in the broadcast message is legal. If the timestamp or serial number is legal, the information carried in the broadcast message can be further directly stored. , including information such as encryption public key, timestamp, and serial number.
  • the UE may determine the identity of the operator to which the access point belongs according to the identification information of the access point (for example, the ID of the access point, etc.) carried in the broadcast message.
  • the above operator ID2 is matched with the operator ID1. If the operator ID2 is the same as the operator ID1, it can be determined that the access point and the UE belong to the same operator.
  • the UE may search for the data signature global public key corresponding to the operator ID1 from the first pre-stored data according to the operator ID1 (the operator ID2 and the operator ID1 are the same). It is the third global public key), that is, the third global public key GPK Sig 1 corresponding to the access point. Further, if the broadcast message carries the signature Sig1, the UE may verify the broadcast message by using information such as the GPK Sig 1 and the ID of the access point. When the broadcast message is verified, the information such as the encrypted public key, the timestamp or the serial number carried in the broadcast message is added to the first pre-stored data of the UE for use in subsequent transmission data processing. If the above broadcast message verification fails, the broadcast message is discarded. When the UE needs to send the transmission data, the data may be processed according to the information of the target access point stored in the first stored data and sent to the target access point.
  • the UE uses the encrypted public key obtained from the first pre-stored data, the global public key, or the private key corresponding to the UE to protect the transmission data to obtain a protection message.
  • the global public key may include a GPK enc or a GPK Sig , and may be specifically determined according to a specific processing manner of the UE for transmitting data.
  • the private key corresponding to the UE may include the SK UE_ID_enc or the SK UE_ID_Sig , and may be determined according to a specific processing manner of the UE for the transmission data. The implementation of the data transmission will be specifically described below in conjunction with steps S204-S206.
  • the UE sends a protection message to the access point.
  • the foregoing protection message carries an indication message of a protection mode of the transmission data.
  • the above protection manner may include encryption, or encryption and signature, or a key used for encryption, and a key used for signature.
  • the implementation of the data transmission will be specifically described below in conjunction with steps S205-S206.
  • the access point obtains the global public key and the private key corresponding to the access point from the second pre-stored data according to the indication message of the protection mode, and parses the protection message by using the global public key and the private key corresponding to the access point.
  • the access point sends the parsed transmission data to the core network.
  • the UE may obtain the encrypted public key corresponding to the target access point from the first pre-stored data according to the identifier information of the target access point or the like. GPK enc .
  • the target access point may be one of one or more access point information included in the first pre-stored data of the UE.
  • the target access point is a target BS (abbreviated as BS)
  • the encrypted public key may be obtained from the first pre-stored data according to the BS_ID, wherein the encrypted public key may be a BS_ID, or the encrypted public key includes a BS_ID.
  • the UE may also obtain its own identification information, such as information such as UE_ID, in its first pre-stored data.
  • the UE may input information such as transmission data and UE_ID that need to be sent into a system function to obtain a first Message Authentication Code (MAC) (such as MAC0), and use the encrypted public key, GPK enc to transmit data and MAC0. Encrypt to get a protection message.
  • the protection message may carry indication information of a protection mode of the transmission data.
  • the above transmission data is protected by encrypting the transmission data and MAC0 using the encrypted public key and GPK enc .
  • the UE when the UE generates the integrity check code, information such as a timestamp and a sequence number stored in the first pre-stored data may be input into the system together with information such as transmission data and UE_ID to be transmitted.
  • Function that generates MAC0 through a system function Adding information such as timestamp and serial number to the data that generates MAC0, the access point can better verify the integrity of the message and enhance the security of data transmission.
  • the generation of the integrity check code may be added to the data of the input system function according to the requirements of the actual application scenario, and the security of data transmission in each application scenario is enhanced, which will not be described below.
  • the protection message may be sent to the access point.
  • the protection message may include an indication bit, where the indication bit is used to transmit the indication information, and is used to notify the access point of the protection manner of the transmission data.
  • the access point may first determine, according to the foregoing protection message, a protection manner of the transmission data, and then obtain relevant data from the second pre-stored data according to the protection manner to perform transmission data. Analysis. Wherein, if the above-mentioned transmission data is protected by using the encrypted public key and GPK enc to encrypt the transmission data and MAC0, the access point may obtain SK BS_ID_enc and GPK enc from the second pre-stored data, and use SK BS_ID_enc and GPK enc The protection message is decrypted to obtain a decrypted message.
  • the access point may also obtain the MAC0 carried in the protection message from the decrypted message.
  • the decrypted message may also be input to a system function to obtain an integrity check code (specifically, it may be set as the second integrity check code MAC1).
  • the data for generating the MAC1 may include information such as a timestamp and a sequence number. Specifically, if the broadcast message of the access point carries information such as a timestamp and a sequence number, the UE may add the timestamp and the sequence number to the data that generates the integrity check code when generating the integrity check code.
  • the access point verifies the protection message sent by the UE
  • the information such as the timestamp and the sequence number may be added to the data for generating the integrity check code for verifying the protection message, which may be determined according to the actual application scenario.
  • the integrity check code may be generated according to the requirements of the actual application scenario, and the timestamp and the integrity check code are added, and details are not described herein.
  • the transmission data carried in the protection message may be obtained, and the transmission data may be sent to the core network.
  • the transmission data when the UE needs to send transmission data to a target access point (hereinafter referred to as an access point), the transmission data may also be signed. Specifically, the UE may obtain the encrypted public key, GPK enc , GPK sig, and SK UE_ID_Sig from the first pre-stored data when the transmission data needs to be sent to the access point. Further, the transmission data may be signed according to GPK sig and SK UE_ID_Sig to obtain a signature Sig2, and the transmission data, the identification information of the UE, and the above Sig2 are encrypted using the above-mentioned encrypted public key, GPK enc to obtain a protection message. The protection message may carry indication information of a protection mode of the transmission data. The above-mentioned transmission data is protected by encrypting the transmission data and the above Sig2 using the encrypted public key, GPK enc .
  • the protection message may be sent to the access point.
  • the protection message may include an indication bit, where the indication bit is used to transmit the indication information, and is used to notify the access point of the protection manner of the transmission data.
  • the access point may first determine, according to the foregoing protection message, a protection manner of the transmission data, and then obtain relevant data from the second pre-stored data according to the protection manner to perform transmission data. Analysis.
  • the above method for protecting the transmission data is to encrypt the transmission data and the Sig2 using the encrypted public key and the GPK enc .
  • the access point determines the protection mode of the transmission data according to the indication message of the encryption mode. After encrypting the transmission data and the above Sig2 by using the encryption public key, GPK enc , the GPK enc and the SK BS_ID_enc may be obtained from the second pre-stored data, and used.
  • the access point may further obtain identification information (such as UE_ID) of the UE and the foregoing Sig2 from the decrypted message obtained by decrypting the protection message.
  • identification information such as UE_ID
  • the UE may carry the identifier such as the UE_ID in the protection message, so that the access point verifies the signature in the protection message according to the identifier of the UE_ID to determine whether to transmit the transmission data. Go to the core network.
  • the access point determines, according to the indication message of the encryption mode, that the protection mode of the transmission data is that the GPK sig is obtained from the second pre-stored data after the transmission data and the Sig2 are encrypted by using the encryption public key and the GPK enc . And verifying Sig2 carried in the above protection message by using UE_ID and the above GPK sig . If the Sig2 verification in the protection message is successful, the access point can transmit the transmission data to the core network.
  • the information such as the identity of the access point can be used as the encryption public key, and the upload and transmission data is encrypted by using the global public key of the IBC technology, which can effectively solve the 5G. Protection of air interface signaling and its data in the network to prevent leakage of user privacy and signaling content. Message sent by the access point to the UE Perform decryption and signature verification, integrity check code, etc., filter illegal signaling and data, and protect the security of the core network.
  • FIG. 3 is a schematic diagram of interaction of the protection system in scenario 1 according to an embodiment of the present invention.
  • the data interaction process in the scenario 1 of each data transmission end in the protection system for transmitting data provided by the embodiment of the present invention will be described below with reference to FIG.
  • the access point is a BS.
  • the encrypted public key may be a BS_ID or the encrypted public key includes a BS_ID.
  • the private key SK BS_ID_enc and the private key SK BS_ID_Sig are specifically the data encryption private key and the data signature private key corresponding to the BS.
  • the UE and the access network use the technology of the IBE to encrypt the transmission of the uplink data from the UE to the RAN, but the UE does not provide the authentication information for the message, so the RAN is the user.
  • the message has no authentication capability.
  • the RAN is a network to which the access point belongs, and the RAN can provide the function of the access point.
  • the RAN side will take a base station as an example for description.
  • the specific process involved in the system execution data transmission consisting of the UE and the base station includes the following steps:
  • the base station acquires system parameters of the IBC technology.
  • the base station may obtain system parameters from the network, where the system parameters may include an encrypted public key (such as BS_ID), a global public key GPK, and an encrypted or signed key SK BS_ID corresponding to the base station.
  • the system parameters that the base station needs to obtain from the network include two global public keys, namely GPK enc and GPK Sig , and two private keys, respectively SK BS_ID_enc and SK BS_ID_Sig .
  • the base station stores system parameters of the IBC technology.
  • the above system parameters include BS_ID, GPK enc , GPK Sig , SK BS_ID_enc, and SK BS_ID_Sig .
  • the UE acquires processing parameters of the IBC technology.
  • the UE obtains an operator ID of the operator to which it belongs and a public key GPK based on the IBC technology.
  • the GPK can be two, corresponding to encryption and signature, such as GPK enc and GPK Sig .
  • the base station sends a broadcast message.
  • the broadcast message includes an indicator (English: indicator), and the indicator bit (such as indicator1) can be used to indicate whether the message contains the public key of the PKI technology, or the public key of the IBC technology, or can also be used to indicate the base station.
  • the identity ie BS_ID
  • the broadcast message may also carry a timestamp or a message sequence number.
  • the base station can sign the message using the GPK Sig and the private key SK BS_ID_Sig to obtain Sig1.
  • the UE verifies the message and stores related data carried in the broadcast message.
  • the UE after receiving the broadcast message sent by the base station, the UE first confirms whether the base station supports public key-based encryption and a public key according to the indicator 1 included in the broadcast message, where the public key type includes a PKI public key or an IBC.
  • the public key the embodiment of the present invention will describe the IBC public key, and the PKI public key is not limited.
  • the UE may further confirm whether the Timestamp or sequence number in the message is legal. The UE also determines if the signature is carried in the message.
  • the UE obtains the corresponding operator ID (for example, the above operator ID2) according to the operator to which the base station belongs, and further confirms the global public key GPK Sig corresponding to the operator ID2.
  • the UE uses the identity information of the base station (such as BS_ID) and the GPK Sig to verify the validity of the message. If the message is legal, the encrypted public key (such as BS_ID, where BS_ID is also the identification information of the base station), the Timestamp, and the Sequence number are included in the broadcast message. Otherwise, the UE discards the message.
  • the verification of the above-mentioned signature and the broadcast message can be referred to the related description of each step in the foregoing S201-S206, and details are not described herein again.
  • the UE generates an integrity check code, and encrypts the transmission data to obtain a protection message.
  • the UE when the UE needs to send signaling to the RAN or small data without connection, the UE first obtains the encrypted public key corresponding to the BS_ID from the first pre-stored data according to the ID of the receiver (such as BS_ID). It may be a BS_ID or a key containing a BS_ID and a system parameter corresponding to the BS_ID (such as Timestamp, Sequence number, and GPK enc ). The UE inputs a message to be encrypted by the user into a system function (specifically, a hash function (Hash)) to obtain an integrity check code (such as MAC0). The message to be encrypted by the user may be signaling (or small data without connection).
  • a system function specifically, a hash function (Hash)
  • an integrity check code such as MAC0
  • the message to be encrypted by the user may also include signaling (or connectionless small data), Timestamp, and Sequence number.
  • the timestamp or the sequence number may be the value recently received by the UE.
  • the UE performs an encryption operation on the signaling to be transmitted (or the connectionless small data) and its MAC0 using the encrypted public key (BS_ID) corresponding to the BS or the global public key GPKenc to obtain a protection message.
  • BS_ID encrypted public key
  • the UE sends the protection message encrypted by the foregoing step 36 to the base station.
  • the protection message includes an indication bit (such as indicator 2), indicating whether the protection message is encrypted, or a protection mode of the protection message, for example, whether the message is encrypted by using the BS_ID.
  • an indication bit such as indicator 2
  • the base station verifies the message sent by the UE.
  • the base station after receiving the protection message sent by the UE, the base station first determines the protection mode of the protection message according to the indication bit (such as indicator 2) carried in the protection message. If the protection message is encrypted using BS_ID and GPK enc , the base station can obtain the BS_ID and its corresponding private key SK BS_ID_enc and the global public key GPK enc from its pre-stored data. The base station can then decrypt the received protection message using the acquired parameters (SK BS_ID_enc and its global public key GPK enc ). If the message further includes an integrity check code (MAC0), the base station further generates another integrity check code (MAC1) according to the decrypted message, and verifies the integrity of the message by comparing MAC0 and MAC1.
  • the indication bit such as indicator 2
  • the base station sends the decrypted message to the core network.
  • the base station may update the charging information of the related user and send the charging information to the charging unit of the core network.
  • FIG. 4 is another schematic diagram of interaction of the protection system in scenario 1 according to an embodiment of the present invention.
  • the data interaction process of each data transmission end in the scenario 1 in the protection system for transmitting data provided by the embodiment of the present invention will be described below with reference to FIG.
  • the access point is a Wi-Fi AP.
  • the encrypted public key may be the MAC address or SSID of the Wi-Fi AP.
  • the private key SK BS_ID_enc and the private key SK BS_ID_Sig are specifically the data encryption private key and the data signature private key corresponding to the Wi-Fi AP.
  • the UE and the Wi-Fi AP use the technology of the IBE to encrypt the data from the UE to the RAN, but the UE does not provide the authentication information for the message, so the Wi-Fi AP has no authentication capability for the user message.
  • the RAN is a network to which the access point belongs, and the RAN can provide the function of the access point.
  • the RAN side will take a Wi-Fi AP as an example for description.
  • the specific process involved in performing data transmission by the system composed of the UE and the Wi-Fi AP includes the following steps:
  • the Wi-Fi AP obtains system parameters of the IBC technology.
  • the Wi-Fi AP may obtain system parameters from the network, where the system parameters may include an encrypted public key (such as a MAC address or an SSID), a global public key GPK, and an encrypted or signed key SK corresponding to the base station.
  • BS_ID an encrypted public key
  • GPK global public key
  • SK an encrypted or signed key
  • BS_ID the system parameters that the Wi-Fi AP needs to obtain from the network include two global public keys, GPK enc and GPK Sig , and two private keys, respectively SK.
  • GPK enc and GPK Sig
  • the Wi-Fi AP stores system parameters of the IBC technology.
  • the above system parameters include a MAC address or an SSID, a GPK enc , a GPK Sig , an SK BS_ID_enc, and an SK BS_ID_Sig .
  • the UE acquires processing parameters of the IBC technology.
  • the UE obtains an operator ID of the operator to which it belongs and a public key GPK based on the IBC technology.
  • the GPK can be two, corresponding to encryption and signature, such as GPK enc and GPK Sig .
  • the Wi-Fi AP sends a broadcast message or a unicast message.
  • the broadcast message may be a Beacon, and the unicast message may be a Probe response.
  • the broadcast message includes an indicator (English: indicator), which can be used to indicate whether the message contains the public key of the PKI technology, or the public key of the IBC technology, or can also be used to indicate the Wi-Fi AP.
  • Identity ie, MAC address or SSID
  • the broadcast message may also carry a timestamp or a message sequence number.
  • the Wi-Fi AP may sign the message using the MAC address or the SSID and the private key SK BS_ID_Sig to obtain Sig1.
  • the UE verifies the message and stores related data carried in the broadcast message or the unicast message.
  • the UE after receiving the broadcast message sent by the Wi-Fi AP, the UE first confirms whether the Wi-Fi AP supports the public key-based encryption and the public key type according to the indicator 1 included in the broadcast message, where the public key type
  • the PKI public key or the IBC public key is included in the embodiment of the present invention, and the IBC public key is described, and the PKI public key is not limited.
  • the UE may further confirm whether the Timestamp or sequence number in the message is legal.
  • the UE also determines if the signature is carried in the message.
  • the UE further confirms the MAC address or the global public key GPK Sig corresponding to the SSID according to the MAC address or SSID of the Wi-Fi AP.
  • the UE verifies the validity of the message using the identification information of the Wi-Fi AP (such as the MAC address or SSID) and the GPK Sig . If the message is legal, the encrypted public key (such as a MAC address or SSID, where the MAC address or SSID is also the identification information of the Wi-Fi AP), the Timestamp, and the Sequence number are included in the broadcast message. Otherwise, the UE discards the message.
  • the verification of the above-mentioned signature and the broadcast message can be referred to the related description of each step in the foregoing S201-S206, and details are not described herein again.
  • the UE generates an integrity check code, and encrypts the transmission data to obtain a protection message.
  • the UE when the UE needs to send signaling to the RAN or small data without connection, the UE first obtains the MAC address or the corresponding encryption ID of the SSID from the first pre-stored data according to the ID of the receiver (such as the MAC address or the SSID).
  • the key (the encrypted public key may specifically be a MAC address or an SSID or a key containing a MAC address or an SSID), and a system parameter corresponding to the MAC address or SSID (such as Timestamp, Sequence number, and GPK enc ).
  • the UE inputs a message to be encrypted by the user into a system function (specifically, a hash function (Hash)) to obtain an integrity check code (such as MAC0).
  • a system function specifically, a hash function (Hash)
  • the message to be encrypted by the user may be signaling (or small data without connection). Further, the message to be encrypted by the user may also include signaling (or connectionless small data), Timestamp, and Sequence number. The timestamp or the sequence number may be the value recently received by the UE.
  • the UE encrypts the signaling (or connectionless small data) to be sent and its MAC0 using the encrypted public key (such as MAC address or SSID) corresponding to the Wi-Fi AP or the global public key GPK enc to obtain a protection message.
  • the encrypted public key such as MAC address or SSID
  • the UE sends the protection message encrypted by the foregoing step 46 to the Wi-Fi AP.
  • the protection message includes an indication bit (such as indicator 2), indicating whether the protection message is encrypted, or a protection mode of the protection message, such as whether the MAC address of the Wi-Fi AP or the SSID is used for encrypting the message.
  • the Wi-Fi AP performs message verification.
  • the Wi-Fi AP after receiving the protection message sent by the UE, the Wi-Fi AP first determines the protection mode of the protection message according to the indication bit (such as indicator 2) carried in the protection message. If the protection message is encrypted using the MAC address or SSID and GPK enc , the Wi-Fi AP can obtain the MAC address or SSID and its corresponding private key SK BS_ID_enc and the global public key GPK enc from its pre-stored data. In turn, the Wi-Fi AP can decrypt the received protection message using the acquired parameters (SK BS_ID_enc and its global public key GPK enc ). If the message also includes an integrity check code (MAC0), the Wi-Fi AP further generates another integrity check code (MAC1) according to the decrypted message, and verifies the integrity of the message through the comparison of MAC0 and MAC1. .
  • the indication bit such as indicator 2
  • the Wi-Fi AP sends the decrypted message to the core network.
  • the Wi-Fi AP determines the integrity of the protection message by comparing the MAC0 and the MAC1, the transmission data carried in the protection message may be sent to the core network.
  • the foregoing steps refer to the related description of each step in the foregoing S201-S206, and details are not described herein again.
  • the UE when the UE needs to send the transmission data to the access point, the UE may also generate a symmetric key according to the data such as the encrypted public key, the global public key, and the data encryption private key corresponding to the UE, and then the symmetric value may be used.
  • the key protects the transmitted data.
  • the UE may obtain the encrypted public key, GPK enc, and SK UE_ID_enc from the first pre-stored data when the transmission data needs to be sent to the access point.
  • the UE may generate a symmetric key (set as the first symmetric key K1) according to the above-mentioned encrypted public key, GPK enc, and SK UE_ID_enc , and input the above-mentioned transmission data and the above K1 into the system function to obtain an integrity check code ( Set to the third integrity check code MAC2).
  • the system function described in the embodiment of the present invention may be a hash function, or may be another system function that can implement the generation of the integrity check code, which may be determined according to the actual application scenario, and is not Make further restrictions.
  • the UE may use the encrypted public key and the GPK enc to encrypt the UE identification information such as the transmission data and the UE_ID and the generated MAC2 to obtain the protection message. Further, the UE may carry the indication information of the protection mode of the transmission data in the foregoing protection message, where the indication information is used to indicate that the protection mode of the transmission data is to encrypt the transmission data, the UE_ID, and the MAC2 by using the encryption public key and the GPK enc .
  • the protection message may be sent to the access point.
  • the protection message may include an indication bit, where the indication bit is used to transmit the indication information, and is used to notify the access point of the protection manner of the transmission data.
  • the access point may first determine, according to the foregoing protection message, a protection manner of the transmission data, and then obtain relevant data from the second pre-stored data according to the protection manner to perform transmission data.
  • the protection mode of the foregoing transmission data is to encrypt the transmission data, the UE_ID, and the MAC2 by using the encrypted public key and the GPK enc .
  • the access point may determine, according to the indication message of the foregoing protection mode, that the transmission data is protected by using the encrypted public key and the GPK enc to encrypt the transmission data, the UE_ID, and the MAC2, and further obtain the GPK enc and the SK BS_ID_enc from the second pre-stored data. And decrypting the protection message using the above SK BS_ID_enc and GPK enc to obtain a decrypted message.
  • the access point may also obtain the MAC2, UE_ID, and transmission data carried in the protection message from the decryption message, and generate the symmetric key K2 by using the above-mentioned encrypted public key, UE_ID, GPK enc, and SK BS_ID_enc .
  • an integrity check code (set to the fourth integrity check code MAC3) may be calculated using the above K2, UE_ID and the decrypted transmission data. If the MAC3 matches the MAC2 carried in the protection message, the access point may send the transmission data sent by the UE carried in the protection message to the core network.
  • the encrypted public key used by the UE for data encryption is the same as the encrypted public key used by the access point for data decryption or verification, thereby enabling encrypted data to be received.
  • the cryptographic public key is transmitted from the transmission data receiver (ie, the access point) to the transmission data sender (ie, the UE) by means of a broadcast message, etc., and the transmission data sender uses the public key provided by the transmission data receiver for data protection, thereby avoiding Carrying information such as data encryption keys in data transmission causes information leakage and enhances network security.
  • FIG. 5 is a schematic diagram of interaction of the protection system in scenario 2 according to an embodiment of the present invention.
  • the data interaction process in the second data transmission end of each data transmission end in the protection system for transmitting data provided by the embodiment of the present invention will be described below with reference to FIG.
  • the access point is a BS.
  • the encrypted public key may be a BS_ID or the encrypted public key includes a BS_ID.
  • the private key SK BS_ID_enc and the private key SK BS_ID_Sig are specifically the data encryption private key and the data signature private key corresponding to the BS.
  • the UE and the RAN use the technology of the IBE to encrypt the transmission of uplink data from the UE to the RAN, and the UE provides authentication for the message. Information, so the RAN has the ability to authenticate user messages.
  • the RAN is a network to which the access point belongs, and the RAN can provide the function of the access point.
  • the RAN side will take a base station as an example for description.
  • the specific process involved in the system execution data transmission consisting of the UE and the base station includes the following steps:
  • the base station acquires system parameters of the IBC technology.
  • the base station may obtain system parameters from the network, where the system parameters may include an encrypted public key (such as BS_ID), a global public key GPK, and an encrypted or signed key SK BS_ID corresponding to the base station.
  • the system parameters that the base station needs to obtain from the network include two global public keys, namely GPK enc and GPK Sig , and two private keys, respectively SK BS_ID_enc and SK BS_ID_Sig .
  • the base station stores system parameters of the IBC technology.
  • the above system parameters include BS_ID, GPK enc , GPK Sig , SK BS_ID_enc, and SK BS_ID_Sig .
  • the UE acquires processing parameters of the IBC technology.
  • the UE obtains the operator ID1 of the operator to which it belongs and the public key GPK and the private key based on the IBC technology from the network.
  • the GPK can be two, corresponding to encryption and signature, such as GPK enc and GPK Sig .
  • the private key may also be two, corresponding to encryption and signature, such as SK UE_ID_enc and SK UE_ID_sig .
  • the base station sends a broadcast message.
  • the broadcast message includes an indication bit, such as indicator1, which can be used to indicate whether the message contains the public key of the PKI technology, or the public key of the IBC technology, or can also be used to indicate the identity of the base station (ie, the BS_ID). ), or information indicating whether the base station supports encryption of the IBE technology, whether the base station has the ability to sign.
  • the broadcast message may also carry a timestamp or a message sequence number.
  • the base station may sign the message using the BS_ID and the private key SK BS_ID_Sig to obtain Sig1.
  • the UE verifies the message and stores related data carried in the broadcast message.
  • the UE After receiving the broadcast message sent by the base station, the UE first confirms whether the base station supports the public key-based encryption and the public key type according to the indicator 1 included in the broadcast message.
  • the public key type includes the PKI public key or the IBC public key.
  • the embodiment of the invention will describe the IBC public key, and the PKI public key is not limited.
  • the UE may further confirm whether the Timestamp or sequence number in the message is legal.
  • the UE also determines if the signature is carried in the message. If the broadcast message includes a signature (such as the above Sig1), the UE obtains the corresponding operator ID (for example, the above operator ID2) according to the operator to which the base station belongs, and further confirms the global public key GPK Sig corresponding to the operator ID2.
  • a signature such as the above Sig1
  • the UE obtains the corresponding operator ID (for example, the above operator ID2) according to the operator to which the base station belongs, and further confirms the global public key GPK Sig
  • the UE uses the identity information of the base station (such as BS_ID) and the GPK Sig to verify the validity of the message. If the message is legal, the encrypted public key (such as BS_ID, where BS_ID is also the identification information of the base station), the Timestamp, and the Sequence number are included in the broadcast message. Otherwise, the UE discards the message.
  • the verification of the above-mentioned signature and the broadcast message can be referred to the related description of each step in the foregoing S201-S206, and details are not described herein again.
  • the UE generates an authentication code, and encrypts the transmission data by using an encrypted public key and a global public key to obtain a protection message.
  • the UE when the UE needs to send signaling to the RAN or small data without connection, the UE first obtains the encrypted public key corresponding to the BS_ID from the first pre-stored data according to the ID of the receiver (such as BS_ID). It may be a BS_ID or a key containing a BS_ID and a system parameter corresponding to the BS_ID (such as Timestamp, Sequence number, and GPK enc ). Further, the UE may generate an authentication code for the message that needs to be sent.
  • the method for generating the authentication code may include two types:
  • the UE generates a symmetric key (set to K1) using data such as the private key SK UE_ID , the global public key GPK enc , and the encrypted public key (ie, BS_ID).
  • the UE sends the message to be encrypted by the user (ie, transmits data, such as signaling or connectionless small data, and may further include a timestamp or serial number, and the timestamp or serial number may be the value recently received by the UE, and used.
  • the K1) generated by the above method is input to a system function to obtain an integrity check code (set to MAC2) with authentication capability.
  • the UE directly uses GPK sig and SK UE_ID_sig to sign the message to be sent (ie, transmit data, such as signaling or connectionless small data, and may further include a timestamp or serial number, etc.) to obtain a signature Sig2.
  • the UE performs an encryption operation on the signaling to be transmitted (or the connectionless small data) and its MAC2 using the encrypted public key (BS_ID) corresponding to the BS and the global public key GPK enc to obtain a protection message. Further, the UE may also perform an encryption operation on the signaling (or connectionless small data) and its Sig2 to be sent by the UE using the encrypted public key (BS_ID) corresponding to the BS and the global public key GPK enc to obtain a protection message.
  • the UE sends the protection message encrypted by the foregoing step 56 to the base station.
  • the protection message includes an indication bit (such as indicator 2), indicating whether the protection message is encrypted, or a protection mode of the protection message, such as whether the message is encrypted using the BS_ID.
  • an indication bit such as indicator 2
  • a protection mode of the protection message such as whether the message is encrypted using the BS_ID.
  • the base station verifies the protection message.
  • the base station after receiving the protection message sent by the UE, the base station first determines the protection mode of the protection message according to the indication bit (such as indicator 2) carried in the protection message. If the protection message is encrypted using BS_ID and GPK enc , the base station can obtain the BS_ID and its corresponding private key SK BS_ID_enc and the global public key GPK enc from its pre-stored data. The base station can then decrypt the received protection message using the acquired parameters (SK BS_ID_enc and its global public key GPK enc ).
  • the indication bit such as indicator 2
  • the base station needs to further verify the integrity of the message. If the message is integrity protected using the symmetric key K1, the base station generates the symmetric key K2 using the private key SK BS_ID_enc , the global public key GPK enc , and the UE_ID, and then uses K2 and UE_ID and the transmission data obtained by decrypting the protection message. Calculate an integrity check code MAC3. The verification of the protection message is performed by the comparison of MAC3 and MAC2.
  • the base station uses the UE_ID carried in the message, and combines the global public key GPK sig (further, may also include other parameters such as a timestamp or a serial number, etc.) to authenticate the protection message.
  • GPK sig global public key
  • the base station sends the decrypted message to the core network.
  • the transmission data carried in the protection message may be sent to the core network.
  • the foregoing steps refer to the related description of each step in the foregoing S201-S206, and details are not described herein again.
  • FIG. 6 is another schematic diagram of interaction of the protection system in scenario 2 according to an embodiment of the present invention.
  • the data interaction process in the second data transmission end of each data transmission end in the protection system for transmitting data provided by the embodiment of the present invention will be described below with reference to FIG.
  • the access point is a Wi-Fi AP.
  • the encrypted public key may be the MAC address or SSID of the Wi-Fi AP.
  • the private key SK BS_ID_enc and the private key SK BS_ID_Sig are specifically the data encryption private key and the data signature private key corresponding to the Wi-Fi AP.
  • the UE and the RAN use the technology of the IBE to encrypt the transmission of uplink data from the UE to the RAN, and the UE provides authentication for the message. Information, so the RAN has the ability to authenticate user messages.
  • the RAN is a network to which the access point belongs, and the RAN can provide the function of the access point.
  • the RAN side will take a Wi-Fi AP as an example for description.
  • the specific process involved in performing data transmission by the system composed of the UE and the Wi-Fi AP includes the following steps:
  • the Wi-Fi AP obtains system parameters of the IBC technology.
  • the Wi-Fi AP may obtain system parameters from the network, where the system parameters may include an encrypted public key (such as a MAC address or an SSID), a global public key GPK, and an encrypted or signed corresponding to the Wi-Fi AP.
  • Key SK BS_ID When the Wi-Fi AP has both encryption and signature functions, the system parameters that the Wi-Fi AP needs to obtain from the network include two global public keys, GPK enc and GPK Sig , and two private keys, respectively SK. BS_ID_enc , SK BS_ID_Sig .
  • the Wi-Fi AP stores system parameters of the IBC technology.
  • the above system parameters include a MAC address or an SSID, GPK enc , GPK Sig , SK BS_ID_enc, and SK BS_ID_Sig .
  • the UE acquires processing parameters of the IBC technology.
  • the UE obtains its MAC address and the public key GPK and private key based on the IBC technology from the network.
  • the GPK can be two, corresponding to encryption and signature, such as GPK enc and GPK Sig .
  • the private key can also be two, corresponding to encryption and signature, such as SK MAC_enc and SK MAC_sig .
  • the Wi-Fi AP sends a broadcast message or a unicast message.
  • the broadcast message may be a Beacon, and the unicast message may be a Probe response.
  • the broadcast message includes an indicator (English: indicator), which can be used to indicate whether the message contains the public key of the PKI technology, or the public key of the IBC technology, or can also be used to indicate the Wi-Fi AP.
  • Identity ie, MAC address or SSID
  • the broadcast message may also carry a timestamp or a message sequence number.
  • the Wi-Fi AP may sign the message using the MAC address or the SSID and the private key SK BS_ID_Sig to obtain Sig1.
  • the UE verifies the message and stores related data carried in the broadcast message.
  • the UE after receiving the broadcast message sent by the Wi-Fi AP, the UE first confirms whether the Wi-Fi AP supports the public key-based encryption and the public key type according to the indicator 1 included in the broadcast message, where the public key type
  • the PKI public key or the IBC public key is included in the embodiment of the present invention, and the IBC public key is described, and the PKI public key is not limited.
  • the UE may further confirm whether the Timestamp or sequence number in the message is legal.
  • the UE also determines if the signature is carried in the message.
  • the UE further confirms the MAC address or the global public key GPK Sig corresponding to the SSID according to the MAC address or SSID of the Wi-Fi AP.
  • the UE verifies the validity of the message using the identification information of the Wi-Fi AP (such as the MAC address or SSID) and the GPK Sig . If the message is legal, the encrypted public key (such as a MAC address or SSID, where the MAC address or SSID is also the identity information of the base station), the Timestamp, and the Sequence number are included in the broadcast message. Otherwise, the UE discards the message.
  • the verification of the above-mentioned signature and the broadcast message can be referred to the related description of each step in the foregoing S201-S206, and details are not described herein again.
  • the UE generates an authentication code, and encrypts the transmission data by using an encrypted public key and a global public key to obtain a protection message.
  • the UE when the UE needs to send signaling to the RAN or small data without connection, the UE first obtains the MAC address or the corresponding encryption ID of the SSID from the first pre-stored data according to the ID of the receiver (such as the MAC address or the SSID).
  • the key (the encrypted public key may specifically be a MAC address or an SSID, or a key containing a MAC address or an SSID) and a system parameter corresponding to the MAC address or SSID (such as Timestamp, Sequence number, and GPK enc ).
  • the UE may generate an authentication code for the message that needs to be sent.
  • the method for generating the authentication code may include two types:
  • the UE generates a symmetric key (set to K1) using the private key SK MAC_enc and the global public key GPK enc , as well as its own MAC address or SSID.
  • the UE sends the message to be encrypted by the user (ie, transmits data, such as signaling or connectionless small data, and may further include a timestamp or serial number, and the timestamp or serial number may be the value recently received by the UE, and used.
  • the K1) generated by the above method is input to a system function to obtain an integrity check code (set to MAC2) with authentication capability.
  • the UE directly uses GPK sig and SK MAC_sig to sign the message to be sent (ie, transmit data, such as signaling or connectionless small data, and may further include a timestamp or serial number, etc.) to obtain a signature Sig2.
  • the UE performs an encryption operation on the signaling (or connectionless small data) to be transmitted and the MAC2 using the encrypted public key (MAC address or SSID) corresponding to the WiFi AP and the global public key GPKenc to obtain a protection message. Further, the UE may also perform encryption operation on the signaling (or connectionless small data) and the Sig2 to be sent by the UE using the encrypted public key (MAC address or SSID) corresponding to the WiFi AP and the global public key GPK enc to obtain protection. Message.
  • the UE sends the protection message encrypted by the foregoing step 56 to the Wi-Fi AP.
  • the protection message includes an indication bit (such as indicator 2), indicating whether the protection message is encrypted, or a protection mode of the protection message, such as whether the MAC address of the WiFi AP or the SSID is used for encrypting the message.
  • an indication bit such as indicator 2
  • a protection mode of the protection message such as whether the MAC address of the WiFi AP or the SSID is used for encrypting the message.
  • the Wi-Fi AP performs message verification.
  • the Wi-Fi AP after receiving the protection message sent by the UE, the Wi-Fi AP first determines the protection mode of the protection message according to the indication bit (such as indicator 2) carried in the protection message. If the protection message is encrypted using the WiFi AP's MAC address or SSID, and GPK enc , the Wi-Fi AP can obtain the WiFi AP's MAC address or SSID and its corresponding private key SK BS_ID_enc from its pre-stored data. Public key GPK enc . The base station can then decrypt the received protection message using the acquired parameters (SK BS_ID_enc and its global public key GPKenc).
  • the indication bit such as indicator 2
  • the Wi-Fi AP needs to further verify the integrity of the message. If the message is integrity protected using the symmetric key K1, the Wi-Fi AP generates a symmetric key using the encrypted public key (such as the WiFi AP's MAC address or SSID), the private key SK BS_ID_enc , the global public key GPK enc , and the UE_ID. K2, then calculates an integrity check code MAC3 using K2 and UE_ID and the transmission data obtained by decrypting the protection message. The verification of the protection message is performed by the comparison of MAC3 and MAC2.
  • the Wi-Fi AP If the message also contains an authentication code (integrity check code or signature), the Wi-Fi AP needs to further verify the integrity of the message. If the message is integrity protected using the symmetric key K1, the Wi-Fi AP generates a symmetric key using the encrypted public key (such as the WiFi AP's MAC address or SSID), the private key SK BS_ID_enc , the global public key
  • the Wi-Fi AP uses the UE_ID carried in the message, and combines the global public key GPK sig (further, may also include other parameters such as timestamp or serial number, etc.) to authenticate the protection message. .
  • the Wi-Fi AP sends the decrypted message to the core network.
  • the Wi-Fi AP determines the integrity of the protection message through the comparison of the MAC3 and the MAC2 or the verification of the Sig2, the transmission data carried in the protection message may be sent to the core network.
  • the foregoing steps refer to the related description of each step in the foregoing S201-S206, and details are not described herein again.
  • FIG. 7 is a schematic diagram of interaction of a protection system in scenario 3 according to an embodiment of the present invention.
  • the data interaction process in each of the data transmission ends in the protection system for transmitting data provided by the embodiment of the present invention will be described below with reference to FIG.
  • the access point is a BS.
  • the encrypted public key may be a BS_ID or the encrypted public key includes a BS_ID.
  • the private key SK BS_ID_enc and the private key SK BS_ID_Sig are specifically the data encryption private key and the data signature private key corresponding to the BS.
  • the UE and the RAN use the technology of the IBE to encrypt the transmission of uplink data from the UE to the RAN, and the UE provides authentication for the message. Information, so the RAN has the ability to authenticate user messages.
  • the RAN is a network to which the access point belongs, and the RAN can provide the function of the access point.
  • the system consisting of the UE and the RAN may also perform data interaction with the network element in the core network, where the network element in the core network includes: a user plane gateway (English: User Plane Gateway, UP-GW), KMS and Control Plane Authentication Unit (English: Control Plane Authentication Unit, CP-AU).
  • the following RAN side will take a base station as an example for description.
  • the specific process involved in performing data transmission by the system composed of the UE and the base station includes the following steps:
  • the base station acquires system parameters of the IBC technology.
  • the base station may obtain system parameters from the KMS, where the system parameters may include an encrypted public key (such as BS_ID), a global public key GPK, and an encrypted or signed key SK BS_ID corresponding to the base station.
  • the system parameters that the base station needs to obtain from the network include two global public keys, namely GPK enc and GPK Sig , and two private keys, respectively SK BS_ID_enc and SK BS_ID_Sig .
  • the base station stores system parameters of the IBC technology.
  • the above system parameters include BS_ID, GPK enc , GPK Sig , SK BS_ID_enc, and SK BS_ID_Sig .
  • the UP-GW obtains system parameters of the IBC technology from the KMS.
  • the system parameters acquired by the UP-GW from the KMS include GPK enc and GPK Sig for encryption and signature, respectively.
  • the UE performs mutual authentication with the core network.
  • the authentication unit in the core network may be the CP-AU defined in the 3GPP TR 23.799.
  • the specific authentication mode refer to the implementation manners described in the 3GPP TR 23.799, and details are not described herein again.
  • the UE notifies the core network that the KMS and the core network are successfully authenticated.
  • the UE acquires processing parameters of the IBC technology.
  • the UE acquires the operator ID of the operator to which it belongs and the public key GPK and private key based on the IBC technology from the KMS.
  • the GPK can be two, corresponding to encryption and signature, such as GPK enc and GPK Sig .
  • the private key may also be two, corresponding to encryption and signature, such as SK UE_ID_enc and SK UE_ID_sig .
  • the base station sends a broadcast message.
  • the broadcast message includes an indication bit, such as indicator1, which can be used to indicate whether the message contains the public key of the PKI technology, or the public key of the IBC technology, or can also be used to indicate the identity of the base station (ie, the BS_ID). ), or information indicating whether the base station supports encryption of the IBE technology, whether the base station has the ability to sign.
  • the broadcast message may also carry a timestamp or a message sequence number.
  • the base station may sign the message using the BS_ID and the private key SK BS_ID_Sig to obtain Sig1.
  • the UE verifies the message and stores related data carried in the broadcast message.
  • the UE after receiving the broadcast message sent by the base station, the UE first confirms whether the base station supports public key-based encryption and a public key according to the indicator 1 included in the broadcast message, where the public key type includes a PKI public key or an IBC.
  • the public key the embodiment of the present invention will describe the IBC public key, and the PKI public key is not limited.
  • the UE may further confirm whether the Timestamp or sequence number in the message is legal. The UE also determines if the signature is carried in the message.
  • the UE obtains the corresponding operator ID (for example, the above operator ID2) according to the operator to which the base station belongs, and further confirms the global public key GPK Sig corresponding to the operator ID2.
  • the UE uses the identity information of the base station (such as BS_ID) and the GPK Sig to verify the validity of the message. If the message is legal, the encrypted public key (such as BS_ID, where BS_ID is also the identification information of the base station), the Timestamp, and the Sequence number are included in the broadcast message. Otherwise, the UE discards the message.
  • the verification of the above-mentioned signature and the broadcast message can be referred to the related description of each step in the foregoing S201-S206, and details are not described herein again.
  • the UE generates an authentication code, and encrypts the transmission data by using an encrypted public key and a global public key to obtain a protection message.
  • the UE when the UE needs to send signaling to the RAN or small data without connection, the UE first obtains the encrypted public key corresponding to the BS_ID from the first pre-stored data according to the ID of the receiver (such as BS_ID). It may be a BS_ID or a key containing a BS_ID and a system parameter corresponding to the BS_ID (such as Timestamp, Sequence number, and GPK enc ). Further, the UE may generate an authentication code for the message that needs to be sent.
  • the method for generating the authentication code may include two types:
  • the UE generates a symmetric key (set to K1) using data such as the private key SK UE_ID , the global public key GPK enc , and the encrypted public key (ie, BS_ID).
  • the UE sends the message to be encrypted by the user (ie, transmits data, such as signaling or connectionless small data, and may further include a timestamp or serial number, and the timestamp or serial number may be the value recently received by the UE, and used.
  • the K1) generated by the above method is input to a system function to obtain an integrity check code (set to MAC2) with authentication capability.
  • the UE directly uses GPK sig and SK UE_ID_sig to sign the message to be sent (ie, transmit data, such as signaling or connectionless small data, and may further include a timestamp or serial number, etc.) to obtain a signature Sig2.
  • the UE performs an encryption operation on the signaling to be transmitted (or the connectionless small data) and its MAC2 using the encrypted public key (BS_ID) corresponding to the BS and the global public key GPK enc to obtain a protection message. Further, the UE may also perform an encryption operation on the signaling (or connectionless small data) and its Sig2 to be sent by the UE using the encrypted public key (BS_ID) corresponding to the BS and the global public key GPK enc to obtain a protection message.
  • the UE sends, to the base station, a protection message encrypted by the foregoing step 79.
  • the protection message includes an indication bit (such as indicator 2), indicating whether the protection message is encrypted, or a protection manner of the protection message, for example, whether the message is encrypted by using the BS_ID, and whether the UE_ID is used.
  • indication bit such as indicator 2
  • the protection message includes an indication bit (such as indicator 2), indicating whether the protection message is encrypted, or a protection manner of the protection message, for example, whether the message is encrypted by using the BS_ID, and whether the UE_ID is used.
  • the signature of the message etc.
  • the base station verifies the message sent by the UE.
  • the base station after receiving the protection message sent by the UE, the base station first determines the protection mode of the protection message according to the indication bit (such as indicator 2) carried in the protection message. If the protection message is encrypted using BS_ID and GPK enc , the base station can obtain the BS_ID and its corresponding private key SK BS_ID_enc and the global public key GPK enc from its pre-stored data. The base station can then decrypt the received protection message using the acquired parameters (SK BS_ID_enc and its global public key GPK enc ).
  • the indication bit such as indicator 2
  • the base station needs to further verify the integrity of the message. If the message is integrity protected using the symmetric key K1, the base station generates a symmetric key K2 using the encrypted public key (such as BS_ID), the private key SK BS_ID_enc , the global public key GPK enc , and the UE_ID, and then uses K2 and UE_ID and the pair.
  • the transmission data obtained by the protection message is decrypted to calculate an integrity check code MAC3.
  • the verification of the protection message is performed by the comparison of MAC3 and MAC2.
  • the base station uses the UE_ID carried in the message, and combines the global public key GPK sig (further, may also include other parameters such as a timestamp or a serial number, etc.) to authenticate the protection message.
  • GPK sig global public key
  • the base station sends the decrypted message to the core network.
  • the decrypted message may be sent to the UP-GW of the core network.
  • the message sent to the UP-GW includes information such as the UE_ID and the signature generated by the UE using the SK UE_ID_sig for the message.
  • the UP-GW verifies the message.
  • the UP-GW can use the GPK sig and the UE_ID to verify the signature carried in the message.
  • the specific verification mode refer to the verification mode of the signature described in each application scenario, and no further details are provided here. After the verification is passed, it is further forwarded to other routers or servers.
  • FIG. 8 is a schematic diagram of interaction of a protection system in scenario 4 according to an embodiment of the present invention.
  • the data interaction process in the fourth data transmission end of each data transmission end in the protection system for transmitting data provided by the embodiment of the present invention will be described below with reference to FIG.
  • the access point is a BS.
  • the encryption and decryption of data is based on PKI, and the key is a PKI-based public and private key.
  • the UE and the RAN can implement the protection of the transmission data by using the PKI technology in combination with the above-described implementation of the same principle using the IBC technology.
  • the UE and the RAN perform encryption on the data from the UE to the RAN using the PKI technology, but the UE does not provide authentication information to the message, and thus the RAN has no authentication capability for the user message.
  • the specific process includes the following steps:
  • the base station acquires system parameters based on the PKI technology.
  • the foregoing system parameters include an identity of the base station (such as BS_ID), a public key PK1 used by the base station for encryption, a public key PK2 and a certificate thereof, and a certificate, a private key SK1 for encryption, and a private key for decryption.
  • BS_ID identity of the base station
  • PK1 public key used by the base station for encryption
  • PK2 public key PK2 and a certificate thereof
  • a certificate a private key SK1 for encryption
  • SK2 private key for decryption.
  • the base station stores system parameters based on the PKI technology.
  • the foregoing system parameters include BS_ID, PK1, PK2, SK1, and SK2.
  • the UE acquires an operator ID of the operator and PK1 and PK2 based on the PKI technology from the network.
  • the base station sends a broadcast message.
  • the broadcast message includes an indication bit (such as indicator3) indicating whether the PKI-based public key PK (including PK1 and PK2) and its certificate are included in the message.
  • an indication bit such as indicator3 indicating whether the PKI-based public key PK (including PK1 and PK2) and its certificate are included in the message.
  • the UE uses the PKI key to verify the broadcast message.
  • the UE after receiving the broadcast message sent by the base station, the UE first confirms whether the base station supports the PKI public key based encryption according to the indicator 3 included in the broadcast message. The UE further confirms whether the Timestamp or sequence number in the message is legal. The UE also determines if the signature is carried in the message. If the broadcast message also contains a signature, the UE uses PK2 to verify the legitimacy of the message. If the message is legal, BS_ID, PK1 and PK2 are stored, and further, Timestamp, or Sequence number, etc. may be stored. Otherwise, if the message is not valid, the UE discards the message.
  • the UE performs protection of the transmitted data.
  • the UE when the UE needs to send transmission data (including signaling or connectionless small data) to the network side, the UE first obtains the corresponding encrypted public key PK1, and its Timestamp and Sequence number data according to the BS_ID of the base station. The obtained data is input into a system function to obtain an integrity check code (set to MAC8). The UE uses BS_ID and PK1 to perform an encryption operation on the message to be transmitted and its MAC8.
  • the UE sends the message encrypted by the foregoing step 86 to the base station.
  • the foregoing message includes an indication bit (such as indicator 4), indicating whether the message is encrypted, or whether the PKI-based public key of the base station is used for encryption.
  • the base station after receiving the message sent by the UE, the base station first determines the encryption mode of the message according to the indication bit carried in the message. If the message is encrypted using the PKI public key PK1, the base station acquires the private key SK1 corresponding to the base station and decrypts the received message using the acquired parameters such as SK1. If the message also includes an integrity protection code, the base station further verifies the integrity of the message according to parameters such as SK1.
  • the base station sends the decrypted message to the core network.
  • FIG. 9 is another transmission architecture diagram of data transmission according to an embodiment of the present invention.
  • a data transmission end such as a UE, an access point, and a core network node may be included.
  • the access point may include a BS, a Wi-Fi AP, or a hotspot UE as a network hotspot.
  • the foregoing BS may be an NB in a 3G network, or may be an eNB in a 4G network, or a base station in a network age, and is not limited herein.
  • the embodiment of the present invention will be described by taking a BS as an example.
  • the core network node may include: a CP-AU, an HSS, a Control Plane Function (CP-Function), or a KMS.
  • CP-AU Control Plane Function
  • HSS HSS
  • CP-Function Control Plane Function
  • KMS KMS
  • FIG. 10 is another interaction diagram of data transmission by a protection system for transmitting data according to an embodiment of the present invention.
  • the process of data transmission performed by each data transmission end in the protection system provided by the embodiment of the present invention may include the following steps:
  • the UE obtains the encrypted public key, the global public key, or the private key corresponding to the UE from the first pre-stored data to protect the transmission data to obtain a protection message.
  • the UE sends a protection message to the access point.
  • the access point sends a protection message to the core network node.
  • the core network node After receiving the protection message, the core network node obtains the global public key and the private key corresponding to the core network node from the second pre-stored data according to the protection mode indication message to parse the protection message.
  • the UE may perform mutual authentication with the core network before sending the transmission data to the core network through the BS.
  • the core network node may obtain system parameters from the KMS in advance, and store the acquired system parameters in a specified storage space of the core network node, and the obtained system parameters may be stored as pre-stored data of the core network node (set to second Pre-stored data).
  • the system parameters obtained by the core network node from the KMS may include an encrypted public key, or a first global public key and a fifth private key, or a second global public key and a sixth private key.
  • the information specifically included in the system parameters obtained by the core network node from the KMS may be determined according to the requirements of the data transmission operation performed by the core network node in the actual application scenario, and is not limited herein.
  • the encrypted public key may be an identifier of a core network node, such as an ID of a core network node, or the encrypted public key includes an ID of a core network node. If the core network node is CP_AU in a specific application scenario, the encrypted public key may be the identity of the CP-AU (ie, CP_AU_ID), or the encrypted public key may include the CP_AU_ID.
  • the cryptographic public key includes a CP_AU_ID indicating that the cryptographic public key is composed of a CP_AU_ID and other data, and the CP_AU_ID is only a part of data in the long string data of the cryptographic public key, which may be determined according to the data form of the cryptographic public key used at the time. No restrictions.
  • the encrypted public key may be an HSS_ID, or the encrypted public key may include an HSS_ID.
  • the specific form of the encrypted public key can be determined according to the actual application scenario, and is not limited herein.
  • the first global public key obtained by the access point from the KMS may be a data encryption global public key GPK enc of the IBC technology.
  • the fifth private key may use the IBC technology to encrypt the private key SK CP_ID_enc according to the ID of the core network node and the data corresponding to the core network node generated by the GPK enc .
  • the CP-AU and the HSS are both used as core network nodes in the data transmission, and the ID of the core network node used to generate the data encryption private key includes the CP_AU_ID and the HSS_ID, so the data encryption private key corresponding to the core network node is represented as SK CP_ID_enc .
  • the second global public key is the data signature global public key GPK Sig of the IBC technology.
  • the sixth private key is a data signature private key SK CP_ID_Sig corresponding to the core network node generated by the IBC technology according to the ID of the core network node and the GPK Sig .
  • the UE may obtain an encrypted public key and a core network processing parameter for processing the transmitted data from the core network, and store the encrypted public key and the core network processing parameter as the first pre-stored data of the UE.
  • the core network processing parameter may include a global public key or a private key corresponding to the UE.
  • the global public key includes a first global public key and a second global public key, and the private key includes a third private key and a fourth private key.
  • the first global public key is a data encryption global public key GPK enc that is the same as the first global public key acquired by the core network node.
  • the second global public key is the same data signature global public key GPK sig as the second global public key acquired by the core network node.
  • the third private key may use the IBC technology to encrypt the private key SK UE_ID_enc according to the UE_ID and the data corresponding to the UE generated by the GPK enc .
  • the fourth private key is a data signature private key SK UE_ID_Sig corresponding to the UE generated by the ICMP technology according to the UE_ID and the GPK sig .
  • the UE may obtain the encrypted public key and the GPK enc corresponding to the core network node from the first pre-stored data according to the identifier information of the core network node or the like. For example, if the core network node is a CP-AU, the encrypted public key may be obtained from the first pre-stored data according to the CP_AU_ID, wherein the encrypted public key may be a CP_AU_ID, or the encrypted public key includes a CP_AU_ID. Further, the UE may encrypt the transmission data to obtain a protection message by using an encrypted public key and GPK enc . The protection message may carry indication information of a protection mode of the transmission data. The above transmission data is protected by encrypting the transmission data using the encrypted public key and GPK enc .
  • the protection message may be sent to the access point.
  • the protection message may include an indication bit, where the indication bit is used to transmit the indication information, and is used to notify the core network node of the protection manner of the transmission data.
  • the access point may forward the protection message and the indication information carried in the protection message to the core network node.
  • the core network node may first determine, according to the foregoing protection message, a protection manner of the transmission data, and then obtain related data from the second pre-stored data according to the protection manner to perform transmission data. Analysis. Wherein, if the protection mode of the transmission data is to encrypt the transmission data by using the cryptographic public key and GPK enc , the core network node may obtain SK CP_ID_enc and GPK enc from the second pre-stored data, and protect by using SK BS_ID_enc and GPK enc The message is decrypted to get the decrypted message.
  • the transmission data when the UE needs to send transmission data to the core network node, the transmission data may also be signed. Specifically, the UE may obtain the encrypted public key, GPK enc , GPK sig, and SK UE_ID_Sig from the first pre-stored data when the transmission data needs to be sent to the core network node. Further, the transmission data may be signed according to GPK sig and SK UE_ID_Sig to obtain a signature Sig3, and the transmission data, the identification information of the UE, and the above Sig3 are encrypted using the above-mentioned encrypted public key, GPK enc to obtain a protection message. The protection message may carry indication information of a protection mode of the transmission data. The above-mentioned transmission data is protected by encrypting the transmission data and the above Sig3 using the encrypted public key, GPK enc .
  • the protection message may be sent to the access point.
  • the access point can forward the above protection message to the core network node.
  • the protection message may include an indication bit, where the indication bit is used to transmit the indication information, and is used to notify the access point of the protection manner of the transmission data.
  • the core network node may first determine, according to the foregoing protection message, a protection manner of the transmission data, and then obtain related data from the second pre-stored data according to the protection manner to perform transmission data. Analysis.
  • the above method for protecting the transmission data is to encrypt the transmission data and the Sig3 using the encrypted public key and GPK enc .
  • the core network node determines the protection mode of the transmission data according to the indication message of the encryption mode. After encrypting the transmission data and the above Sig3 by using the encryption public key, GPK enc , the GPK enc and the SK CP_ID_enc may be obtained from the second pre-stored data, and used.
  • the core network node may further obtain identification information (such as UE_ID) of the UE and the foregoing Sig3 from the decrypted message obtained by decrypting the protection message.
  • identification information such as UE_ID
  • the protection message may carry the identifier such as the UE_ID, so that the core network node verifies the signature in the protection message according to the identifier of the UE_ID.
  • the core network node determines, according to the indication message of the encryption mode, that the protection mode of the transmission data is that the GPK sig is obtained from the second pre-stored data after the transmission data and the Sig3 are encrypted by using the encryption public key and the GPK enc . And verifying the Sig3 carried in the protection message by using the UE_ID and the GPK sig . If the Sig3 verification in the protection message is successful, the core network node may send the transmission data to the relevant network element in the core network.
  • the UE when the UE needs to send the transmission data to the core network node, the UE may also generate the symmetric key K3 according to the encrypted public key, the global public key, and the data corresponding to the data encryption private key of the UE, and then may be used.
  • the symmetric key protects the transmitted data.
  • the UE may obtain the encrypted public key, the GPK enc, and the SK UE_ID_enc from the first pre-stored data when the transmission data needs to be sent to the core network node.
  • the UE may generate a symmetric key (set to K3) according to the above-mentioned encrypted public key, GPK enc, and SK UE_ID_enc , and input the above-mentioned transmission data and the above K3 into a system function to obtain an integrity check code (set to Four integrity check code MAC3).
  • a system function described in the embodiment of the present invention may be a hash function, or may be another system function that can implement the generation of the integrity check code, which may be determined according to the actual application scenario, and is not Make further restrictions.
  • the UE may use the encrypted public key and the GPK enc to encrypt the UE identification information such as the transmission data and the UE_ID and the generated MAC3 to obtain a protection message. Further, the UE may carry the indication information of the protection mode of the transmission data in the protection message, where the indication information is used to indicate that the protection mode of the transmission data is to encrypt the transmission data, the UE_ID, and the MAC3 by using the encryption public key and the GPK enc .
  • the protection message may be sent to the access point.
  • the access point may send the above protection message to the core network node.
  • the protection message may include an indication bit, where the indication bit is used to transmit the indication information, and is used to notify the access point of the protection manner of the transmission data.
  • the core network node may first determine, according to the foregoing protection message, a protection manner of the transmission data, and then obtain related data from the second pre-stored data according to the protection manner to perform transmission data. Analysis.
  • the protection mode of the foregoing transmission data is to encrypt the transmission data, the UE_ID, and the MAC3 by using the encrypted public key and the GPK enc .
  • the core network node may determine, according to the indication message of the foregoing protection mode, that the transmission data is protected by using the encrypted public key and the GPK enc to encrypt the transmission data, the UE_ID, and the MAC3, and then obtain the GPK enc and the SK CP_ID_enc from the second pre-stored data. And decrypt the protection message using the above SK CP_ID_enc and GPK enc to get the decrypted message.
  • the core network node may further obtain the MAC3, the UE_ID, and the transmission data carried in the protection message from the decryption message, and generate the symmetric key K4 by using the encryption public key, the UE_ID, the GPK enc, and the SK CP_ID_enc .
  • an integrity check code (set to the fifth integrity check code MAC4) may be calculated using the above K4, UE_ID and decrypted transmission data. If the MAC4 matches the MAC3 carried in the protection message, the core network node may send the transmission data sent by the UE carried in the protection message to the relevant network element in the core network.
  • the encrypted public key used by the UE for data encryption is the same as the encrypted public key used by the core network node for data decryption or verification, thereby enabling encrypted data to be received.
  • the encrypted public key is transmitted from the core network to the UE through KMS delivery, and the data sender uses the public key provided by the data receiver to perform data protection, thereby preventing information leakage caused by carrying data encryption key and the like in the data transmission. , enhance the security of the network.
  • the information such as the identity of the core network node may be used as the encryption public key, and the global public key of the IBC technology and the private key pair corresponding to the core network node are used for uploading and transmitting.
  • Data encryption can effectively solve the protection of air interface signaling and its data in 5G networks, and prevent user privacy and signaling content from leaking.
  • the core network node performs decryption and signature verification of the message sent by the UE, integrity check code, etc., filters illegal signaling and data, and protects the security of the core network.
  • FIG. 11 is a schematic diagram of interaction of a protection system according to an embodiment of the present invention in scenario 5.
  • the data interaction process in the scenario 5 of each data transmission end in the protection system for transmitting data provided by the embodiment of the present invention will be described below with reference to FIG.
  • the core network node may be a CP-AU, and the corresponding encrypted public key is a CP_AU_ID or a CP_AU_ID.
  • the UE and the CP-AU use the IBC-based technology to encrypt the signaling and data from the UE to the core network.
  • the specific process is as follows:
  • the CP-AU obtains system parameters based on IBC.
  • the CP-AU can obtain system parameters from the KMS.
  • the above system parameters include CP_AU_ID, GPK enc , GPK sig , SK CP_AU_ID_enc, and SK CP_AU_ID_sig .
  • the CP-AU can store the above system parameters as its pre-stored data.
  • the UE and the CP-AU complete the mutual authentication.
  • the UE informs the CP-AU that the UE supports the IBC-based encryption capability.
  • the UE acquires core network processing parameters from the core network.
  • the core network processing parameters include CP_AU_ID, GPK sig, and GPK enc , or further include UE_ID, SK UE_ID_enc, and SK UE_ID_sig .
  • the UE stores the core network processing parameters obtained in step 113 above.
  • the UE may store the foregoing core network processing parameters as its pre-stored data.
  • the UE protects the transmission data that needs to be sent according to the processing parameters of the core network.
  • the UE receives the signaling or data that the application needs to send, and obtains parameters such as CP_AU_ID, GPK sig , and GPK enc from the first pre-stored data, and the UE uses GPK sig and SK UE_ID_sig to sign signaling or data, and the UE also Data or signaling can be encrypted using CP_AU_ID and GPK enc to obtain a protection message.
  • the UE sends the encrypted signaling or data to the base station.
  • the base station forwards the encrypted signaling or data to the CP-AU.
  • the CP-AU verifies the received signaling or data.
  • the CP-AU uses GPK enc and SK CP_AU_ID_enc to decrypt data or signaling. Further, the CP-AU can also use the UE_ID and GPK sig to verify the signature carried in the protection message.
  • GPK enc and SK CP_AU_ID_enc used to decrypt data or signaling. Further, the CP-AU can also use the UE_ID and GPK sig to verify the signature carried in the protection message.
  • the specific implementation manner of the above-mentioned CP-AU for decrypting the encrypted data in the protection message and verifying the signature in the protection message can be referred to the implementation manner described in each step in the foregoing application scenarios, and details are not described herein again.
  • the CP-AU forwards the data.
  • the CP-AU may correspond to the address information included in the decrypted data packet.
  • the core network data gateway (such as UP_GW) forwards the data. If it is determined that the received message is a signaling message, the CP-AU may process or send signaling to the corresponding core network node (such as the HSS) according to the information contained in the decrypted data packet.
  • FIG. 12 is another schematic diagram of interaction of the protection system in scenario 5 according to an embodiment of the present invention.
  • the data interaction process in the scenario 5 of each data transmission end in the protection system for transmitting data provided by the embodiment of the present invention will be described below with reference to FIG.
  • the core network node may be an HSS, and the corresponding encrypted public key is an HSS_ID or an HSS_ID.
  • the UE and the HSS use the IBC-based technology to encrypt the signaling and data from the UE to the core network.
  • the specific process is as follows:
  • the HSS obtains system parameters based on IBC.
  • the HSS may obtain system parameters from the KMS, where the system parameters may include HSS_ID, GPK enc , GPK sig , SK HSS_ID_enc, and SK HSS_ID_sig .
  • the HSS can store the above system parameters as its pre-stored data.
  • the UE and the CP-AU complete the mutual authentication.
  • the UE may also be notified of the capability of the I-C based encryption or authentication.
  • the UE acquires core network processing parameters from the core network.
  • the core network processing parameters may include: HSS_ID, GPK sig, and GPK enc .
  • the UE stores the core network processing parameters obtained in step 123 above.
  • the UE may store the acquired core network processing parameters as its pre-stored data.
  • the UE protects the transmission data that needs to be sent according to the processing parameters of the core network.
  • the UE when receiving the signaling (such as an attach message) that the application needs to send, the UE may obtain parameters such as HSS_ID, GPK sig, and GPK enc from the first pre-stored data, and encrypt the signaling by using HSS_ID and GPK enc to obtain protection. Message.
  • the UE sends the encrypted signaling to the base station.
  • the encrypted signaling carries the HSS_ID.
  • the base station forwards the encrypted signaling to the CP-AU.
  • the CP-AU forwards the encrypted signaling to the HSS.
  • the HSS uses the parameters HSS_ID, GPK enc, and SK HSS_ID_enc to decrypt the signaling and perform subsequent signaling interaction with the UE.
  • FIG. 13 is another schematic diagram of interaction of the protection system in scenario 5 according to an embodiment of the present invention.
  • the data interaction process in the scenario 5 of each data transmission end in the protection system for transmitting data provided by the embodiment of the present invention will be described below with reference to FIG.
  • the core network node may be a CP-AU and a CP-Function, and the corresponding encrypted public key is a CP_AU_ID or a CP_AU_ID.
  • the UE and the CP-AU use the IBC-based technology to encrypt the signaling and data from the UE to the core network.
  • the specific process is as follows:
  • the UE performs mutual authentication with the CP-AU.
  • the UE can inform the CP-AU of the IBC-based encryption and authentication capabilities supported by the CP-AU.
  • the UE acquires core network processing parameters from the core network.
  • the foregoing core network processing parameters may include CP_AU_ID, GPK sig , GPK enc, and SK UE_ID .
  • the UE stores the core network processing parameters obtained in step 132 above.
  • the UE may store the obtained core network processing parameters as its pre-stored data.
  • the UE protects the transmitted data.
  • the UE may obtain parameters such as CP_AU_ID, GPK sig, and GPK enc from the pre-stored data, and the UE generates a symmetric key by using parameters such as CP_AU_ID, SK UE_ID , GPK sig, and GPK enc .
  • K3 encrypts the data using K3 and provides integrity protection MAC3 to get the protection message.
  • the UE sends the foregoing protection message to the base station.
  • the protection message carries the UE_ID, the transmission data, the MAC3, and the like, and the UE_ID includes a Globally Unique Temporary UE Identity (GUTI).
  • GUI Globally Unique Temporary UE Identity
  • the base station forwards data to the CP-Function of the core network.
  • the above CP-Function is a node that the core network specializes in processing small data.
  • CP-Function acquires decrypted data.
  • the CP-Function can acquire the UE_ID using the GUTI and generate the symmetric key K4 using the UE_ID, SK CP_AU_ID , GPK enc or GPK sig . Further, the MAC3 included in the message may be verified and the transmission data may be acquired according to the K4 and the UE_ID and the protection message.
  • FIG. 14 is another transmission architecture diagram of data transmission according to an embodiment of the present invention.
  • a data transmission end such as a UE, an access point, and a core network node may be included.
  • the access point may include a base station (English: Base Station, BS), an access point (English: Access Point, AP) in a wireless-fidelity (Wi-Fi) network, or as a network hotspot. Hotspot UE.
  • the foregoing BS may be a base station in a 3G network (English: Node B, NB), or an evolved base station (English: Evolved Node B, eNB) in a 4G network, or a base station in a network age. There are no restrictions here.
  • the embodiment of the present invention will be described by taking a BS as an example.
  • the core network node may include: a core network authentication node CP-AU, an HSS, a CP-Function, or an UP-Function.
  • FIG. 15 is a schematic diagram of interaction of a data transmission protection system for downlink data transmission according to an embodiment of the present invention.
  • the process of data transmission performed by each data transmission end in the protection system provided by the embodiment of the present invention may include the following steps:
  • the core network node receives the transmission data sent by the user plane gateway.
  • the core network node may also obtain, from the second pre-stored data, the identification information of the UE, the global public key of the identity-based cryptographic IBC technology, and the private key corresponding to the core network node.
  • the core network node uses the identifier information of the UE, the global public key, and the corresponding private key to protect the transmission data to obtain a protection message, and sends the protection message to the access point.
  • the access point is configured to send a protection message to the UE.
  • the UE obtains the identifier of the core network node from the first pre-stored data, and the global public key and the private key corresponding to the UE parse the protection message to obtain the transmission data.
  • the global public key includes a first global public key and a second global public key
  • the private key corresponding to the core network node includes a fifth private key and a sixth private key.
  • the core network node may obtain core network system parameters from the network or the KMS, and store the core network system parameters as the second pre-stored data of the core network access point.
  • the core network system parameter includes an encryption public key and at least one of the following two sets of data: a first global public key and a fifth private key, or a second global public key and a sixth private key.
  • the first global public key is GPK enc ; the fifth private key is a data encryption private key SK CP_ID_enc corresponding to the core network node of the IBC technology; the second global public key is a data signature global public key GPK Sig of the IBC technology; The sixth private key is a data signature private key SK CP_ID_Sig corresponding to the core network node of the IBC technology.
  • the UE may obtain its identification information and core network processing parameters from the core network, and store the identification information and the core network processing parameters as the first pre-stored data of the UE.
  • the core network processing parameters include the GPK enc , the SK UE_ID_enc , the GPK Sig, and the SK UE_ID_Sig .
  • the definitions of the foregoing parameters may be referred to the implementation manners described in the respective steps in the foregoing application scenarios, and details are not described herein.
  • the core network node may receive downlink transmission data (hereinafter referred to as transmission data) sent by the user plane gateway, and may obtain the identifier information of the UE from the second pre-stored data after receiving the transmission data (for example, Parameters such as UE_ID), GPK enc, and SK CP_ID_enc , and generate a symmetric key K5 according to the identification information of the UE, GPK enc, and SK CP_ID_enc , and then input the transmission data and K5 into the system function to obtain the sixth integrity check code MAC5. Further, the core network node may also use K5 to encrypt the transmission data and MAC5 to obtain a protection message.
  • transmission data for example, Parameters such as UE_ID), GPK enc, and SK CP_ID_enc
  • K5 symmetric key
  • the core network node may also use K5 to encrypt the transmission data and MAC5 to obtain a protection message.
  • the core network node sends the foregoing protection message to the base station, and sends the message to the UE through the base station. After receiving the message, the UE may confirm that the message is sent to itself according to the information carried in the protection message, and then decrypt the message.
  • the GPK enc and the SK UE_ID_enc may be obtained from the first pre-stored data, and the protection message is decrypted using the GPK enc and the SK UE_ID_enc to obtain the decrypted message. Further, the UE may generate the symmetric key K6 by using the identification information of the UE, the GPK enc and the SK UE_ID_enc , and generate the seventh integrity check code MAC6 by using the identification information of the UE and the decryption message, and when the MAC6 and the decryption are performed. When the MAC5 carried in the message matches, the transmission data is obtained.
  • the UE and the core network node may use the IBC-based technology to encrypt and verify the downlink data, thereby enhancing the security of the network transmission data.
  • the number of downlinks of the UE and the core network node For the specific encryption and authentication protection mode, refer to the implementation manner of the encryption and verification protection of the uplink data by the UE and the access point or the core network node in the foregoing uplink data transmission, and details are not described herein again.
  • FIG. 16 is a schematic diagram of interaction of a protection system in scenario 6 according to an embodiment of the present invention.
  • the data interaction process in the sixth data transmission end of each data transmission end in the protection system for transmitting data provided by the embodiment of the present invention will be described below with reference to FIG.
  • the core network node may be an UP-GW, an UP-Function, and a CP-Function, and the corresponding encrypted public key is a CP_Function_ID (hereinafter referred to as CP_ID) or a CP_Function_ID.
  • CP_ID CP_Function_ID
  • the UE and the CP-Function use the IBC-based technology to encrypt the signaling and data from the UE to the core network.
  • the specific process is as follows:
  • the core network node CP_Function receives the data sent by the UP-GW.
  • CP_Function protects the data.
  • the CP_Function may generate a symmetric key K5 using UE_ID, SK CP_ID , GPK enc , encrypt the data using the symmetric key K5, and generate an integrity check code MAC5 according to the transmitted data and K5 to encrypt the data.
  • the CP-Function sends the encrypted data to the RAN.
  • the data sent by the CP-Function to the RAN includes the GUTI of the UE, the encrypted data, and the MAC5.
  • the RAN sends data to the UE.
  • the data sent by the RAN to the UE includes GUTI, encrypted data, and MAC5.
  • the UE decrypts the data.
  • the UE may confirm that the message is its own according to the GUTI, and obtain the UE_ID from its pre-stored data, generate a symmetric key K6 using the CP_ID, the SK UE_ID and the GPK enc , and verify the signature and decrypt the data using K6.
  • FIG. 17 is a schematic flowchart of a method for protecting transmission data according to an embodiment of the present invention.
  • the method provided by the embodiment of the present invention includes the following steps:
  • the UE receives the broadcast message sent by the access point, and stores the encrypted public key carried in the broadcast message.
  • the UE When the UE needs to send transmission data to the access point, the UE obtains a global public key of the identity-based cryptography IBC technology or a private key corresponding to the UE from the first pre-stored data, and uses the encryption.
  • the public key and the global public key or the private key corresponding to the UE protect the transmission data to obtain a protection message.
  • S1703 The UE sends the protection message to the access point, where the protection message carries an indication message of a protection mode of the transmission data.
  • the global public key includes a first global public key and a second global public key
  • the private key corresponding to the UE includes a third private key and a fourth private key
  • the method further includes:
  • the processing parameter includes an identifier of the operator to which the UE belongs, and at least one of the following three sets of data: a first global public key, or a first global public key and a third private key, or a second global public key and Fourth private key;
  • the first global public key is a data encryption global public key GPK enc of the IBC technology
  • the third private key is a data encryption private key SK UE_ID_enc corresponding to the UE_ID of the IBC technology
  • the second global public key is a data signature global public key GPK Sig of the IBC technology
  • the fourth private key is a data signature private key SK UE_ID_Sig corresponding to the UE_ID of the IBC technology.
  • the first pre-stored data includes the operator ID1 and the GPK Sig ;
  • the method further includes:
  • the broadcast message carries the signature Sig1
  • the GPK Sig 1 and the identification information of the access point are used to verify the broadcast message
  • the GPK enc is included in the first pre-stored data
  • the UE When the UE needs to send transmission data to the access point, the UE obtains a global public key of the identity-based cryptographic IBC technology from its first pre-stored data, and uses the cryptographic public key and the global public key pair
  • the protection of the transmitted data includes:
  • the UE acquires the encrypted public key and the GPK enc from the first pre-stored data when it needs to send transmission data to the access point;
  • the protection mode of the transmission data is to encrypt the transmission data by using the encryption public key and the GPK enc .
  • the first pre-stored data includes the GPK enc and the SK UE_ID_enc ;
  • the UE When the UE needs to send the transmission data to the access point, the UE obtains the global public key of the identity-based cryptography IBC technology or the private key corresponding to the UE from the first pre-stored data, and uses the cryptographic public key. And protecting the transmission data with the global public key or a private key corresponding to the UE, including:
  • the UE When the UE needs to send transmission data to the access point, the UE obtains the encrypted public key, the GPK enc, and the SK UE_ID_enc from the first pre-stored data;
  • the protection mode of the transmission data is to encrypt the transmission data, the identification information of the UE, and the MAC2 by using the encryption public key and the GPK enc .
  • the first pre-stored data includes the GPK enc and SK UE_ID_Sig ;
  • the UE When the UE needs to send the transmission data to the access point, the UE obtains the global public key of the identity-based cryptography IBC technology or the private key corresponding to the UE from the first pre-stored data, and uses the cryptographic public key. And protecting, by the global public key or the private key corresponding to the UE, the transmission data to obtain a protection message includes:
  • the UE acquires the encrypted public key, the GPK enc , the GPK sig, and the SK UE_ID_Sig from the first pre-stored data when the transmission data needs to be sent to the access point;
  • the protection mode of the transmission data is to encrypt the transmission data and the Sig2 by using the cryptographic public key and the GPK enc .
  • FIG. 18 is another schematic flowchart of a method for protecting transmission data according to an embodiment of the present invention.
  • the method provided by the embodiment of the present invention includes the following steps:
  • the access point sends a broadcast message.
  • the broadcast message carries an encrypted public key.
  • the access point receives a protection message that is sent by the user equipment UE and protects the transmission data according to the encrypted public key.
  • the protection message carries an indication message of a protection mode of the transmission data sent by the UE.
  • the access point obtains a global public key of the identity-based cryptographic IBC technology and a private key corresponding to the access point from the second pre-stored data according to the indication message of the protection mode, and uses the global public The key and the private key corresponding to the access point parse the protection message to obtain transmission data sent by the UE.
  • the access point sends the parsed transmission data sent by the UE to the core network.
  • the global public key includes a first global public key and a second global public key
  • the private key corresponding to the access point includes a first private key and a second private key
  • the method further includes:
  • the access point acquires system parameters from a network or key management system KMS, and stores the system parameters as second pre-stored data of the access point;
  • the system parameter includes an encrypted public key and at least one of the following two sets of data: a first global public key and a first private key, or a second global public key and a second private key;
  • the first global public key is a data encryption global public key GPK enc of the IBC technology
  • the first private key is a data encryption private key SK BS_ID_enc corresponding to the access point of the IBC technology
  • the second global public key is a data signature global public key GPK Sig of the IBC technology
  • the second private key is a data signature private key SK BS_ID_Sig corresponding to the access point of the IBC technology.
  • the encrypted public key is an identity BS_ID of the base station BS, or the encrypted public key includes a BS_ID; or
  • the encrypted public key includes a media control sublayer MAC address of the wireless fidelity Wi-Fi pointcut AP, or a service set identifier SSID of the Wi-Fi AP; or
  • the cryptographic public key includes an identity UE_ID of the hotspot UE or a mobile subscriber identity IMSI of the hotspot UE.
  • the second pre-stored data includes the GPK Sig and the SK BS_ID_Sig ;
  • the method further includes:
  • the access point uses the GPK Sig and the SK BS_ID_Sig to sign the broadcast message to obtain a signature Sig1 of the broadcast message, and carries the access point with a data signature function in the broadcast message.
  • the indication information or the signature Sig1 of the broadcast message is included in the broadcast message.
  • the second pre-stored data includes the GPK enc , the SK BS_ID_enc , the GPK Sig, and the SK BS_ID_Sig ;
  • the second pre-stored data includes an encrypted public key, the GPK enc, and the SK BS_ID_enc ;
  • the sending, by the access point, the parsed transmission data sent by the UE to the core network includes:
  • the second pre-stored data includes the GPK enc , the SK BS_ID_enc, and the GPK Sig ;
  • the sending, by the access point, the parsed transmission data sent by the UE to the core network includes:
  • the protection message is verified by using the identifier information of the UE and the GPK sig , and when the protection message is successfully verified, the transmission data sent by the UE is sent to the core network.
  • FIG. 19 is another schematic flowchart of a method for protecting transmission data according to an embodiment of the present invention.
  • the method provided by the embodiment of the present invention includes the following steps:
  • S1901 When the user equipment UE needs to send the transmission data, obtain the encrypted public key, the global public key of the identity-based cryptography IBC technology, or the private key corresponding to the UE from the first pre-stored data, and use the cryptographic public key. And the global public key or the private key corresponding to the UE protects the transmission data to obtain a protection message.
  • S1902 The UE sends the protection message to an access point, to send the protection message to a core network node by using the access point.
  • the protection message carries an indication message of a protection mode of the transmission data.
  • the global public key includes a first global public key and a second global public key
  • the private key corresponding to the UE includes a third private key and a fourth private key
  • the method further includes:
  • the core network processing parameter includes at least one of the following three sets of data: a first global public key, or a first global public key and a third private key, or a second global public key and a fourth private key;
  • the first global public key is a data encryption global public key GPK enc of the IBC technology
  • the third private key is a data encryption private key SK UE_ID_enc corresponding to the UE_ID of the IBC technology
  • the second global public key is a data signature global public key GPK Sig of the IBC technology
  • the fourth private key is a data signature private key SK UE_ID_Sig corresponding to the UE_ID of the IBC technology.
  • the first pre-stored data includes the encrypted public key and the GPK enc ;
  • Obtaining, by the UE from the first pre-stored data, the cryptographic public key, the global public key of the identity-based cryptographic IBC technology, and using the cryptographic public key, and the global public key to protect the transmission data includes:
  • the UE acquires the encrypted public key and the GPK enc from the first pre-stored data when it needs to send transmission data to the access point;
  • the protection mode of the transmission data is to encrypt the transmission data by using the encryption public key and the GPK enc .
  • the first pre-stored data includes the encrypted public key, the GPK enc, and the SK UE_ID_enc ;
  • the protection of the transmission data by the private key corresponding to the UE includes:
  • the UE When the UE needs to send transmission data to the access point, the UE obtains the encrypted public key, the GPK enc, and the SK UE_ID_enc from the first pre-stored data;
  • the protection mode of the transmission data is to encrypt the transmission data and the MAC3 by using the encryption public key and the GPK enc .
  • the first pre-stored data includes the encrypted public key, the GPK enc, and the SK UE_ID_Sig ;
  • the protection of the transmission data by the private key corresponding to the UE includes:
  • the UE acquires the encrypted public key, the GPK enc , the GPK sig, and the SK UE_ID_Sig from the first pre-stored data when the transmission data needs to be sent to the access point;
  • the protection mode of the transmission data is to encrypt the transmission data and the signature by using the cryptographic public key and the GPK enc .
  • FIG. 20 is another schematic flowchart of a method for protecting transmission data according to an embodiment of the present invention.
  • the method provided by the embodiment of the present invention includes the following steps:
  • S2001 The core network node receives the protection message sent by the access point.
  • the protection message carries an indication message of a protection mode of the transmission data sent by the user equipment UE.
  • the core network node acquires a global public key of the identity-based cryptography IBC technology and a private key corresponding to the core network node from the second pre-stored data according to the indication message of the protection mode, and uses the global public The key and the private key corresponding to the core network node parse the protection message to obtain transmission data sent by the UE.
  • the global public key includes a first global public key and a second global public key
  • the private key corresponding to the core network node includes a fifth private key and a sixth private key
  • the method further includes:
  • the core network node obtains core network system parameters from the key management system KMS, and stores the core network system parameters as second pre-stored data of the core network access point;
  • the core network system parameter includes an encrypted public key and at least one of the following two sets of data: a first global public a key and a fifth private key, or a second global public key and a sixth private key;
  • the first global public key is a data encryption global public key GPK enc of the IBC technology
  • the fifth private key is a data encryption private key SK CP_ID_enc corresponding to the core network node of the IBC technology
  • the second global public key is a data signature global public key GPK Sig of the IBC technology
  • the sixth private key is a data signature private key SK CP_ID_Sig corresponding to the core network node of the IBC technology.
  • the encrypted public key is an identity of a core network authentication node, or the encrypted public key includes an identity of the core network node.
  • the second pre-stored data includes the GPK enc and the SK CP_ID_enc ;
  • the core network node Determining, by the core network node, the protection mode of the transmission data according to the indication message of the protection mode, and acquiring the SK CP_ID_enc and the GPK enc from the second pre-stored data, and using the SK CP_ID_enc and the The GPK enc decrypts the protection message to obtain transmission data of the UE.
  • the second pre-stored data includes the GPK enc and the SK CP_ID_enc ;
  • the second pre-stored data includes the encrypted public key, the GPK enc , the SK CP_ID_enc, and the GPK Sig ;
  • the core network node Determining, by the core network node, the protection manner of the transmission data according to the indication message of the encryption mode, and using the GPK enc , the encryption public key, and the SK CP_ID_enc pair obtained from the second pre-stored data.
  • the protection message is decrypted;
  • FIG. 21 is another schematic flowchart of a method for protecting transmission data according to an embodiment of the present invention.
  • the method provided by the embodiment of the present invention includes the following steps:
  • the core network node receives the transmission data sent by the user plane gateway, and obtains the identifier information of the user equipment UE, the global public key of the identity-based password IBC technology, and the private key corresponding to the core network node from the second pre-stored data. key.
  • the core network node uses the identifier information of the UE, the global public key, and the private key to protect the transmission data to obtain a protection message, and send the protection message to an access point.
  • the global public key includes a first global public key and a second global public key
  • the private key corresponding to the core network node includes a fifth private key and a sixth private key
  • the method further includes:
  • the core network node obtains core network system parameters from a network or key management system KMS, and stores the core network system parameters as second pre-stored data of the core network access point;
  • the core network system parameter includes an encrypted public key and at least one of the following two sets of data: a first global public key and a fifth private key, or a second global public key and a sixth private key;
  • the first global public key is a data encryption global public key GPK enc of the IBC technology
  • the fifth private key is a data encryption private key SK CP_ID_enc corresponding to the core network node of the IBC technology
  • the second global public key is a data signature global public key GPK Sig of the IBC technology
  • the sixth private key is a data signature private key SK CP_ID_Sig corresponding to the core network node of the IBC technology.
  • the second pre-stored data includes the GPK enc and the SK CP_ID_enc ;
  • the core network node obtains the identifier information of the user equipment UE from the second pre-stored data, the global public key of the identity-based cryptography IBC technology, and the private key corresponding to the core network node, including:
  • the protecting, by the core network node, the protection data by using the identifier information of the UE, the global public key, and the private key to obtain the protection message includes:
  • the core network node generates a symmetric key K5 according to the identification information of the UE, the GPK enc, and the SK CP_ID_enc , and inputs the transmission data and the K5 into a system function to obtain a sixth integrity check code MAC5. ;
  • the transmission data is encrypted using the K5 to obtain a protection message.
  • FIG. 22 is another schematic flowchart of a method for protecting transmission data according to an embodiment of the present invention.
  • the method provided by the embodiment of the present invention includes the following steps:
  • S2201 The user equipment UE receives the protection message sent by the access point.
  • S2202 The UE obtains an identifier of a core network node from the first pre-stored data, and the global public key of the identity-based cryptographic IBC technology and the private key corresponding to the UE parse the protection message to obtain the transmission data. .
  • the global public key includes a first global public key and a second global public key
  • the UE The corresponding private key includes a third private key and a fourth private key
  • the method further includes:
  • the UE obtains its identification information from the core network, the core network processing parameters used by the UE to process the transmission data, and stores the identification information and the core network processing parameters as the first pre-stored data of the UE;
  • the core network processing parameter includes at least one of the following two sets of data: a first global public key and a third private key, or a second global public key and a fourth private key;
  • the first global public key is a data encryption global public key GPK enc of the IBC technology
  • the third private key is a data encryption private key SK UE_ID_enc corresponding to the UE_ID of the IBC technology
  • the second global public key is a data signature global public key GPK Sig of the IBC technology
  • the fourth private key is a data signature private key SK UE_ID_Sig corresponding to the UE_ID of the IBC technology.
  • the first pre-stored data includes identification information of the UE, an identifier of the core network node, the GPK enc, and the SK UE_ID_enc ;
  • the UE obtains the identifier of the core network node from the first pre-stored data, and the global public key of the identity-based cryptographic IBC technology and the private key corresponding to the UE parse the protection message to obtain the transmission data, including:
  • the seventh integrity check code MAC6 is generated by using the K6 and the decrypted message, and the transmission data is acquired when the MAC6 matches the sixth integrity check code MAC5 carried in the decrypted message.
  • FIG. 23 is a schematic structural diagram of a device for protecting data transmitted according to an embodiment of the present invention.
  • the protection device provided by the embodiment of the invention includes:
  • the receiving unit 231 is configured to receive a broadcast message sent by the access point, and store the encrypted public key carried in the broadcast message.
  • the processing unit 232 is configured to: when the transmission data needs to be sent to the access point, acquire a global public key of the identity-based cryptographic IBC technology or a private key corresponding to the UE from the first pre-stored data of the user equipment UE, and And using the encrypted public key received by the receiving unit and the global public key or a private key corresponding to the UE to protect the transmission data to obtain a protection message.
  • the sending unit 233 is configured to send, to the access point, the protection message that is processed by the processing unit, where the protection message carries an indication message of a protection mode of the transmission data.
  • the global public key includes a first global public key and a second global public key
  • the private key corresponding to the UE includes a third private key and a fourth private key
  • the processing unit 232 is further configured to:
  • the processing parameter includes an identifier of the operator to which the UE belongs, and at least one of the following three sets of data: a first global public key, or a first global public key and a third private key, or a second global public key and Fourth private key;
  • the first global public key is a data encryption global public key GPK enc of the IBC technology
  • the third private key is a data encryption private key SK UE_ID_enc corresponding to the UE_ID of the IBC technology
  • the second global public key is a data signature global public key GPK Sig of the IBC technology
  • the fourth private key is a data signature private key SK UE_ID_Sig corresponding to the UE_ID of the IBC technology.
  • the first pre-stored data includes the operator ID1 and the GPK Sig ;
  • the receiving unit 231 is specifically configured to:
  • the broadcast message carries the signature Sig1
  • the GPK Sig 1 and the identification information of the access point are used to verify the broadcast message
  • the GPK enc is included in the first pre-stored data
  • the processing unit 232 is specifically configured to:
  • the protection mode of the transmission data is to encrypt the transmission data by using the encryption public key and the GPK enc .
  • the first pre-stored data includes the GPK enc and the SK UE_ID_enc ;
  • the processing unit 232 is specifically configured to:

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Theoretical Computer Science (AREA)
  • Databases & Information Systems (AREA)
  • Power Engineering (AREA)
  • Physics & Mathematics (AREA)
  • Algebra (AREA)
  • General Physics & Mathematics (AREA)
  • Mathematical Analysis (AREA)
  • Mathematical Optimization (AREA)
  • Mathematical Physics (AREA)
  • Pure & Applied Mathematics (AREA)
  • Mobile Radio Communication Systems (AREA)

Abstract

本发明实施例公开了一种传输数据的保护系统、方法及装置，所述系统包括：用户设备UE和接入点；接入点发送广播消息，其中携带加密公钥；UE接收并存储加密公钥；UE从第一预存数据中获取全局公钥或者UE对应的私钥，并使用加密公钥和全局公钥或者UE对应的私钥对传输数据进行保护；UE向接入点发送保护消息，保护消息中携带传输数据的保护方式的指示消息；接入点在接收到保护消息之后，根据保护方式的指示消息从其第二预存数据中获取全局公钥和接入点对应的私钥，并使用全局公钥和接入点对应的私钥对保护消息进行解析；接入点将解析得到的传输数据发送到核心网。采用本发明实施例，具有可对传输数据进行保护，过滤不安全数据，从而提高网络的安全性。

Description

一种传输数据的保护系统、方法及装置 技术领域
本发明涉及通信技术领域，尤其涉及一种传输数据的保护系统、方法及装置。
背景技术
在4G网络中，在用户设备(英文：user equipment，UE)与网络交互认证完成之前，UE与网络之间没有建立共享密钥。UE与网络的数据传输采用的是明文传输，攻击者容易通过空口信令监听到UE的身份信息，造成UE的隐私泄露。在5G网络中也同样存在上述数据传输的安全隐患。
在4G网络的现有技术中，为了保护身份信息，UE需要在向网络发送附着请求(英文：attachment request)中携带UE的非永久身份信息，例如，移动用户伪标识(英文：pseudo mobile subscriber informaiton，PMSI)。网络侧接收到UE的PMSI之后，给UE分配一个新的PMSI并通过认证向量传递给UE。UE接收到新的PMSI之后，在下一次入网时可采用新的PMSI给网络侧发送附着请求，避免使用UE的永久身份信息(例如，移动用户身份(英文：international mobile subscriber identity，IMSI))发送附着请求，进而避免了攻击者通过空口窃听UE的IMSI，造成UE的隐私泄露。然而，UE每次都使用新的PMSI向HSS发送附着请求，网络侧需要维护UE临时身份的更新，增加了网络侧服务器的复杂度，实现成本高，在5G网络的数据传输中适用性低。
此外，在5G网络中，为了更好地支撑物联网(英文：internet of things，IOT)设备的数据传输，还需要对无连接数据的传输进行保护。在3GPP TR 22.799中，针对无连接数据(英文：connection less data)的发送是在UE与网络认证并建立连接后，网络侧为UE生成包含安全上下文的Cookie并发送给UE。UE接收由网络侧发送的带有安全上下文的Cookie并保存。当UE需要发送数据时，UE使用Cookie中包含的安全上下文信息对数据进行加密，将Cookie连同安全上下文发送到网络侧。基站或者网络侧接受到包含安全上下文的Cookie后，使用该Cookie提供的信息重建安全上下文并解密数据包。由于Cookie的内容可能较大，增加了数据传输的信令开销，同时Cookie中也包含了用户身份等隐私信息，无法保护Cookie中的用户身份等敏感信息，因而存在安全方面的隐患。
发明内容
本申请提供了一种传输数据的保护系统、方法及装置，可对传输数据进行保护，过滤不安全数据，提高了网络的安全性。
第一方面，提供了一种传输数据的保护系统，其可包括：用户设备UE和接入点；
所述接入点用于发送广播消息，所述广播消息中携带加密公钥；
所述UE用于接收所述接入点的所述广播消息，并存储所述加密公钥；
所述UE还用于在需要向所述接入点发送传输数据时，从其第一预存数据中获取基于身份的密码IBC技术的全局公钥或者所述UE对应的私钥，并使用所述加密公钥和所述全局公钥或者所述UE对应的私钥对所述传输数据进行保护以得到保护消息；
所述UE还用于向所述接入点发送所述保护消息，所述保护消息中携带所述传输数据的保护方式的指示消息；
所述接入点还用于在接收到所述保护消息之后，根据所述保护方式的指示消息从其第二预存数据中获取所述全局公钥和所述接入点对应的私钥，并使用所述全局公钥和所述接入点对应的私钥对所述保护消息进行解析以得到所述UE发送的传输数据；
所述接入点还用于将解析得到的所述UE发送的传输数据发送到核心网中。
在本申请中，UE向接入点发送上行数据时，可使用接入点的身份等信息作为加密公钥，并使用IBC技术的全局公钥对上传传输数据进行加密，可以有效解决网络中对空口信令及其数据的保护，防止用户隐私、信令内容的泄露。接入点对UE发送的消息进行解密和签名、完整性校验码等验证，过滤非法信令和数据，保护核心网的安全。
结合第一方面，在第一种可能的实现方式中，所述全局公钥包括第一全局公钥和第二全局公钥，所述接入点对应的私钥包括第一私钥和第二私钥；
所述接入点还用于在发送广播消息之前，从网络或者密钥管理系统KMS中获取系统参数，并将所述系统参数存储为所述接入点的第二预存数据；
其中，所述系统参数包括加密公钥以及以下两组数据中至少一组：第一全局公钥和第一私钥，或者第二全局公钥和第二私钥；
所述第一全局公钥为IBC技术的数据加密全局公钥GPKenc；
所述第一私钥为IBC技术的所述接入点对应的数据加密私钥SKBS_ID_enc；
所述第二全局公钥为IBC技术的数据签名全局公钥GPKSig；
所述第二私钥为IBC技术的所述接入点对应的数据签名私钥SKBS_ID_Sig。
结合第一方面第一种可能的实现方式，在第二种可能的实现方式中，所述加密公钥为基站BS的身份BS_ID，或者所述加密公钥包含BS_ID；或者
所述加密公钥包括无线保真Wi-Fi切入点AP的介质控制子层MAC地址，或者Wi-Fi AP的服务集标识SSID；或者
所述加密公钥包括热点UE的身份UE_ID，或者热点UE的移动用户身份IMSI。
结合第一方面，在第三种可能的实现方式中，所述全局公钥包括第一全局公钥和第二全局公钥，所述UE对应的私钥包括第三私钥和第四私钥；
所述UE还用于在接收所述接入点的广播消息之前，从网络或者KMS中获取所述UE用于处理传输数据的处理参数，并将所述处理参数存储为所述UE的第一预存数据；
其中，所述处理参数包括UE所属运营商的身份operator ID1以及以下三组数据中至少一组：第一全局公钥,或者第一全局公钥和第三私钥，或者第二全局公钥和第四私钥；
所述第一全局公钥为IBC技术的数据加密全局公钥GPKenc；
所述第三私钥为IBC技术的所述UE_ID对应的数据加密私钥SKUE_ID_enc；
所述第二全局公钥为IBC技术的数据签名全局公钥GPKSig；
所述第四私钥为IBC技术的所述UE_ID对应的数据签名私钥SKUE_ID_Sig。
结合第一方面第二种可能的实现方式或者第一方面第三种可能的实现方式，在第四种可能的实现方式中，所述第二预存数据中包括所述GPKSig和所述SKBS_ID_Sig；
所述接入点还用于使用所述GPKSig和所述SKBS_ID_Sig对所述广播消息进行签名以得到 所述广播消息的签名Sig1，并在所述广播消息中携带所述接入点具有数据签名功能的指示信息或者所述广播消息的签名Sig1。
结合第一方面第四种可能的实现方式，在第五种可能的实现方式中，所述第一预存数据中包括所述operator ID1和所述GPKSig；
所述UE具体用于：
根据接收到的所述广播消息中携带的指示信息确定所述接入点具有数据签名功能，并根据所述广播消息对应的接入点的标识信息确定所述接入点所属的运营商的身份operator ID2；
将所述operator ID2与所述operator ID1进行匹配，从所述第一预存数据中查找所述接入点对应的第三全局公钥GPKSig1；
当所述广播消息中携带签名Sig1时，使用所述GPK Sig1和所述接入点的标识信息对所述广播消息进行验证；
当所述广播消息验证通过时，确定将所述广播消息携带的所述加密公钥添加至所述第一预存数据中。
结合第一方面第五种可能的实现方式，在第六种可能的实现方式中，所述第一预存数据中包括所述GPKenc；
所述UE具体用于：
在需要向所述接入点发送传输数据时，从所述第一预存数据中获取所述加密公钥和所述GPKenc；
使用所述加密公钥、所述GPKenc对所述传输数据进行加密得到保护消息；
其中，所述传输数据的保护方式为使用所述加密公钥、所述GPKenc对所述传输数据进行加密。
结合第一方面第六种可能的实现方式，在第七种可能的实现方式中，所述第二预存数据中包括所述GPKenc、所述SKBS_ID_enc、所述GPKSig和所述SKBS_ID_Sig；
所述接入点具体用于：
根据所述保护方式的指示消息确定所述传输数据的保护方式，并从所述第二预存数据中获取所述SKBS_ID_enc和所述GPKenc，并使用所述SKBS_ID_enc和所述GPKenc对所述保护消息进行解密以得到解密消息；
执行将所述解密消息中携带的所述UE发送的传输数据发送到核心网的步骤。
结合第一方面第五种可能的实现方式，在第八种可能的实现方式中，所述第一预存数据中包括所述GPKenc和所述SKUE_ID_enc；
所述UE具体用于：
在需要向所述接入点发送传输数据时，从所述第一预存数据中获取所述加密公钥、所述GPKenc以及所述SKUE_ID_enc；
根据所述加密公钥、所述GPKenc以及所述SKUE_ID_enc生成第一对称钥K1，并将所述传输数据和所述K1输入系统函数以获取第三完整性校验码MAC2；
使用所述加密公钥和所述GPKenc对所述传输数据以及所述UE的标识信息、所述MAC2进行加密得到保护消息；
其中，所述传输数据的保护方式为使用所述加密公钥和所述GPKenc对所述传输数据、所述UE的标识信息以及所述MAC2进行加密。
结合第一方面第八种可能的实现方式，在第九种可能的实现方式中，所述第二预存数据中包括加密公钥、所述GPKenc和所述SKBS_ID_enc；
所述接入点具体用于：
根据所述保护方式的指示消息确定所述传输数据的保护方式，并从所述第二预存数据中获取所述GPKenc和所述SKBS_ID_enc，并使用所述SKBS_ID_enc和所述GPKenc对所述保护消息进行解密以得到解密消息；
所述接入点还用于：
从所述解密消息中获取所述保护消息携带的所述MAC2、UE的标识信息以及所述传输数据；
使用所述UE的标识信息、所述GPKenc和所述SKBS_ID_enc生成对称钥K2；
使用所述对称钥K2、所述UE的标识信息和解密得到的传输数据计算第四完整性校验码MAC3，并当所述MAC3与所述MAC2相匹配时，执行将所述UE发送的传输数据发送到核心网的步骤。
结合第一方面第五种可能的实现方式，在第十种可能的实现方式中，所述第一预存数据中包括所述所述GPKenc和SKUE_ID_Sig；
所述UE具体用于：
在需要向所述接入点发送传输数据时，从所述第一预存数据中获取所述加密公钥、所述GPKenc、所述GPKsig以及所述SKUE_ID_Sig；
根据所述GPKsig和所述SKUE_ID_Sig对所述传输数据进行签名以得到签名Sig2，并使用所述加密公钥、所述GPKenc对所述传输数据、所述UE的标识信息和所述Sig2进行加密得到保护消息；
其中，所述传输数据的保护方式为使用所述加密公钥、所述GPKenc对所述传输数据以及所述Sig2进行加密。
结合第一方面第十种可能的实现方式，在第十一种可能的实现方式中，所述第二预存数据中包括所述GPKenc、所述SKBS_ID_enc和所述GPKSig；
所述接入点具体用于：
根据所述加密方式的指示消息确定所述传输数据的保护方式，并从所述第二预存数据中获取所述GPKenc和所述SKBS_ID_enc，并使用所述SKBS_ID_enc和所述GPKenc对所述保护消息进行解密以获取所述传输数据；
所述接入点还用于：
从所述保护消息解密得到的解密消息中获取所述UE的标识信息和所述签名Sig2；
根据所述保护方式的指示消息确定所述传输数据的保护方式，并从所述第二预存数据中获取所述GPKsig；
使用所述UE的标识信息以及所述GPKsig对所述保护消息进行验证，当所述保护消息验证成功时，执行将所述UE发送的传输数据发送到核心网的步骤。
第二方面，提供了一种传输数据的保护系统，其可包括：用户设备UE、接入点和核心网节点；
所述UE用于在需要发送传输数据时，从其第一预存数据中获取加密公钥、基于身份的密码IBC技术的全局公钥或者所述UE对应的私钥，并使用所述加密公钥，以及所述全局公钥或者所述UE对应的私钥对所述传输数据进行保护以得到保护消息；
所述UE还用于向所述接入点发送所述保护消息，所述保护消息中携带所述传输数据的保护方式的指示消息；
所述接入点用于向所述核心网节点发送所述保护消息；
所述核心网节点用于在接收到所述保护消息之后，根据所述保护方式的指示消息从其第二预存数据中获取所述全局公钥和所述核心网节点对应的私钥，并使用所述全局公钥和所述核心网节点对应的私钥对所述保护消息进行解析以得到所述UE发送的传输数据。
在本申请中，UE向核心网节点发送上行数据时，可使用核心网节点的身份等信息作为加密公钥，并使用IBC技术的全局公钥和核心网节点对应的私钥对上传传输数据进行加密，可以有效解决网络中对空口信令及其数据的保护，防止用户隐私、信令内容的泄露。核心网节点对UE发送的消息进行解密和签名、完整性校验码等验证，过滤非法信令和数据，保护核心网的安全。
结合第二方面，在第一种可能的实现方式中，所述全局公钥包括第一全局公钥和第二全局公钥，所述核心网节点对应的私钥包括第五私钥和第六私钥；
所述核心网节点还用于从密钥管理系统KMS中获取核心网系统参数，并将所述核心网系统参数存储为所述核心网接入点的第二预存数据；
其中，所述核心网系统参数包括加密公钥以及以下两组数据中至少一组：第一全局公钥和第五私钥，或者第二全局公钥和第六私钥；
所述第一全局公钥为IBC技术的数据加密全局公钥GPKenc；
所述第五私钥为IBC技术的所述核心网节点对应的数据加密私钥SKCP_ID_enc；
所述第二全局公钥为IBC技术的数据签名全局公钥GPKSig；
所述第六私钥为IBC技术的所述核心网节点对应的数据签名私钥SKCP_ID_Sig。
结合第二方面第一种可能的实现方式，在第二种可能的实现方式中，所述加密公钥为核心网认证节点的身份，或者所述加密公钥包含所述核心网节点的身份。
结合第二方面，在第三种可能的实现方式中，所述全局公钥包括第一全局公钥和第二全局公钥，所述UE对应的私钥包括第三私钥和第四私钥；
所述UE还用于从核心网中获取加密公钥、所述UE用于处理传输数据的核心网处理参数，并将所述加密公钥和所述核心网处理参数存储为所述UE的第一预存数据；
其中，所述核心网处理参数包括以下三组数据中至少一组：第一全局公钥,或者第一全局公钥和第三私钥，或者第二全局公钥和第四私钥；
所述第一全局公钥为IBC技术的数据加密全局公钥GPKenc；
所述第三私钥为IBC技术的所述UE_ID对应的数据加密私钥SKUE_ID_enc；
所述第二全局公钥为IBC技术的数据签名全局公钥GPKSig；
所述第四私钥为IBC技术的所述UE_ID对应的数据签名私钥SKUE_ID_Sig。
结合第二方面第二种可能的实现方式或者第二方面第三种可能的实现方式，在第四种可能的实现方式中，所述第一预存数据中包括所述加密公钥和所述GPKenc；
所述UE具体用于：
在需要向所述接入点发送传输数据时，从所述第一预存数据中获取所述加密公钥和所述GPKenc；
使用所述加密公钥和所述GPKenc对所述传输数据进行加密得到保护消息；
其中，所述传输数据的保护方式为使用所述加密公钥和所述GPKenc对所述传输数据进行加密。
结合第二方面第四种可能的实现方式，在第五种可能的实现方式中，所述第二预存数据中包括所述GPKenc和所述SKCP_ID_enc；
所述核心网节点具体用于：
根据所述保护方式的指示消息确定所述传输数据的保护方式，并从所述第二预存数据中获取所述SKCP_ID_enc和所述GPKenc，并使用所述SKCP_ID_enc和所述GPKenc对所述保护消息进行解密以得到所述UE的传输数据。
结合第二方面第二种可能的实现方式或者第二方面第三种可能的实现方式，在第六种可能的实现方式中，所述第一预存数据中包括所述加密公钥、所述GPKenc和所述SKUE_ID_enc；
所述UE具体用于：
在需要向所述接入点发送传输数据时，从所述第一预存数据中获取所述加密公钥、所述GPKenc以及所述SKUE_ID_enc；
根据所述加密公钥、所述GPKenc以及所述SKUE_ID_enc生成对称钥K3，并将所述传输数据和所述K3输入系统函数以获取第四完整性校验码MAC3；
使用所述加密公钥和所述GPKenc对所述传输数据和所述MAC3进行加密得到保护消息；
其中，所述传输数据的保护方式为使用所述加密公钥和所述GPKenc对所述传输数据和所述MAC3进行加密。
结合第二方面第六种可能的实现方式，在第七种可能的实现方式中，所述第二预存数据中包括所述GPKenc和所述SKCP_ID_enc；
所述核心网节点具体用于：
根据所述保护方式的指示消息确定所述传输数据的保护方式，从所述第二预存数据中获取所述GPKenc和所述SKCP_ID_enc，对所述保护消息进行解密以得到解密消息；
使用所述UE的标识信息、所述GPKenc和所述SKCP_ID_enc生成对称钥K4；
使用所述K4、所述UE的标识信息和所述解密消息生成第五完整性校验码MAC4，并当所述MAC4与所述MAC3相匹配时，获取所述传输数据。
结合第二方面第三种可能的实现方式或者第二方面第三种可能的实现方式，在第八种可能的实现方式中，所述第一预存数据中包括所述加密公钥、所述GPKenc和SKUE_ID_Sig；
所述UE具体用于：
在需要向所述接入点发送传输数据时，从所述第一预存数据中获取所述加密公钥、所述GPKenc、所述GPKsig以及所述SKUE_ID_Sig；
根据所述GPKsig和所述SKUE_ID_Sig对所述传输数据进行签名以得到签名Sig3，并使用 所述加密公钥、所述GPKenc对所述传输数据和所述签名Sig2进行加密得到保护消息；
其中，所述传输数据的保护方式为使用所述加密公钥、所述GPKenc对所述传输数据以及所述签名进行加密。
结合第二方面第八种可能的实现方式，在第九种可能的实现方式中，所述第二预存数据中包括所述加密公钥、所述GPKenc、所述SKCP_ID_enc和所述GPKSig；
所述核心网节点具体用于：
根据所述加密方式的指示消息确定所述传输数据的保护方式，并使用从所述第二预存数据中获取的所述GPKenc、所述加密公钥和所述SKCP_ID_enc对所述保护消息进行解密；
从所述保护消息解密得到的解密消息中获取所述签名Sig3，并使用所述UE的标识信息和所述GPKsig对所述保护消息进行验证，当所述保护消息验证成功时，获取所述传输数据。
第三方面，提供了一种传输数据的保护系统，其可包括：用户设备UE、接入点和核心网节点；
所述核心网节点用于接收用户面网关下发的传输数据，并从其第二预存数据中获取所述UE的标识信息、基于身份的密码IBC技术的全局公钥以及所述核心网节点对应的私钥；
所述核心网节点还用于使用所述UE的标识信息、所述全局公钥和所述私钥对所述传输数据进行保护以得到保护消息，并将所述保护消息发送给所述接入点；
所述接入点用于将所述保护消息发送给所述UE；
所述UE从其第一预存数据中获取所述所述核心网节点的标识，所述全局公钥和所述UE对应的私钥对所述保护消息进行解析以得到所述传输数据。
在本申请中，UE和核心网节点可使用基于IBC的技术对下行数据进行加密和验证保护，增强了网络传输数据的安全性。
结合第三方面，在第一种可能的实现方式中，所述全局公钥包括第一全局公钥和第二全局公钥，所述核心网节点对应的私钥包括第五私钥和第六私钥；
所述核心网节点还用于从网络或者密钥管理系统KMS中获取核心网系统参数，并将所述核心网系统参数存储为所述核心网接入点的第二预存数据；
其中，所述核心网系统参数包括加密公钥以及以下两组数据中至少一组：第一全局公钥和第五私钥，或者第二全局公钥和第六私钥；
所述第一全局公钥为IBC技术的数据加密全局公钥GPKenc；
所述第五私钥为IBC技术的所述核心网节点对应的数据加密私钥SKCP_ID_enc；
所述第二全局公钥为IBC技术的数据签名全局公钥GPKSig；
所述第六私钥为IBC技术的所述核心网节点对应的数据签名私钥SKCP_ID_Sig。
结合第三方面，在第二种可能的实现方式中，所述全局公钥包括第一全局公钥和第二全局公钥，所述UE对应的私钥包括第三私钥和第四私钥；
所述UE还用于从核心网中获取其标识信息、所述UE用于处理传输数据的核心网处理参数，并将所述标识信息和所述核心网处理参数存储为所述UE的第一预存数据；
其中，所述核心网处理参数包括以下两组数据中至少一组：第一全局公钥和第三私钥， 或者第二全局公钥和第四私钥；
所述第一全局公钥为IBC技术的数据加密全局公钥GPKenc；
所述第三私钥为IBC技术的所述UE_ID对应的数据加密私钥SKUE_ID_enc；
所述第二全局公钥为IBC技术的数据签名全局公钥GPKSig；
所述第四私钥为IBC技术的所述UE_ID对应的数据签名私钥SKUE_ID_Sig。
结合第三方面第一种可能的实现方式或者第三方面第二种可能的实现方式，在第三种可能的实现方式中，所述第二预存数据中包括所述GPKenc和所述SKCP_ID_enc；
所述核心网节点具体用于：
在接收到所述传输数据之后，从所述第二预存数据中获取所述UE的标识信息、所述GPKenc以及所述SKCP_ID_enc；
根据所述UE的标识信息、所述GPKenc以及所述SKCP_ID_enc生成对称钥K5，并将所述传输数据和所述K5输入系统函数以获取第六完整性校验码MAC5；
使用所述K5对所述传输数据加密得到保护消息。
结合第三方面第三种可能的实现方式，在第四种可能的实现方式中，所述第一预存数据中包括所述UE的标识信息、所述核心网节点的标识、所述GPKenc和所述SKUE_ID_enc；
所述UE具体用于：
从所述第一预存数据中获取所述GPKenc和所述SKUE_ID_enc，并使用所述GPKenc和所述SKUE_ID_enc对所述保护消息进行解密以得到解密消息；
使用所述核心网节点的标识信息、所述GPKenc和所述SKUE_ID_enc生成对称钥K6；
使用所述K6对所述保护消息进行解密以得到解密消息；
使用所述K6和所述解密消息生成第七完整性校验码MAC6，并当所述MAC6与所述解密消息中携带的MAC5相匹配时，获取所述传输数据。
第四方面，提供了一种传输数据的保护方法，其可包括：
用户设备UE接收接入点发送的广播消息，并存储所述广播消息中携带的加密公钥；
所述UE在需要向所述接入点发送传输数据时，从其第一预存数据中获取基于身份的密码IBC技术的全局公钥或者所述UE对应的私钥，并使用所述加密公钥和所述全局公钥或者所述UE对应的私钥对所述传输数据进行保护以得到保护消息；
所述UE向所述接入点发送所述保护消息，所述保护消息中携带所述传输数据的保护方式的指示消息。
结合第四方面，在第一种可能的实现方式中，所述全局公钥包括第一全局公钥和第二全局公钥，所述UE对应的私钥包括第三私钥和第四私钥；
所述UE接收所述接入点的广播消息之前，所述方法还包括：
所述UE从网络或者KMS中获取所述UE用于处理传输数据的处理参数，并将所述处理参数存储为所述UE的第一预存数据；
其中，所述处理参数包括UE所属运营商的身份operator ID1以及以下三组数据中至少一组：第一全局公钥,或者第一全局公钥和第三私钥，或者第二全局公钥和第四私钥；
所述第一全局公钥为IBC技术的数据加密全局公钥GPKenc；
所述第三私钥为IBC技术的所述UE_ID对应的数据加密私钥SKUE_ID_enc；
所述第二全局公钥为IBC技术的数据签名全局公钥GPKSig；
所述第四私钥为IBC技术的所述UE_ID对应的数据签名私钥SKUE_ID_Sig。
结合第四方面第一种可能的实现方式，在第二种可能的实现方式中，所述第一预存数据中包括所述operator ID1和所述GPKSig；
所述UE存储所述广播消息中携带的加密公钥之前，所述方法还包括：
所述UE根据接收到的所述广播消息中携带的指示信息确定所述接入点具有数据签名功能，并根据所述广播消息对应的接入点的标识信息确定所述接入点所属的运营商的身份operator ID2；
将所述operator ID2与所述operator ID1进行匹配，从所述第一预存数据中查找所述接入点对应的第三全局公钥GPKSig1；
当所述广播消息中携带签名Sig1时，使用所述GPK Sig1和所述接入点的标识信息对所述广播消息进行验证；
当所述广播消息验证通过时，确定将所述广播消息携带的所述加密公钥添加至所述第一预存数据中。
结合第四方面第二种可能的实现方式，在第三种可能的实现方式中，所述第一预存数据中包括所述GPKenc；
所述UE在需要向所述接入点发送传输数据时，从其第一预存数据中获取基于身份的密码IBC技术的全局公钥，并使用所述加密公钥和所述全局公钥对所述传输数据进行保护包括：
所述UE在需要向所述接入点发送传输数据时，从所述第一预存数据中获取所述加密公钥和所述GPKenc；
使用所述加密公钥、所述GPKenc对所述传输数据进行加密得到保护消息；
其中，所述传输数据的保护方式为使用所述加密公钥、所述GPKenc对所述传输数据进行加密。
结合第四方面第二种可能的实现方式，在第四种可能的实现方式中，所述第一预存数据中包括所述GPKenc和所述SKUE_ID_enc；
所述UE在需要向所述接入点发送传输数据时，从其第一预存数据中获取基于身份的密码IBC技术的全局公钥或者所述UE对应的私钥，并使用所述加密公钥和所述全局公钥或者所述UE对应的私钥对所述传输数据进行保护包括：
所述UE在需要向所述接入点发送传输数据时，从所述第一预存数据中获取所述加密公钥、所述GPKenc以及所述SKUE_ID_enc；
根据所述加密公钥、所述GPKenc以及所述SKUE_ID_enc生成第一对称钥K1，并将所述传输数据和所述K1输入系统函数以获取第三完整性校验码MAC2；
使用所述加密公钥和所述GPKenc对所述传输数据以及所述UE的标识信息、所述MAC2进行加密得到保护消息；
其中，所述传输数据的保护方式为使用所述加密公钥和所述GPKenc对所述传输数据、所述UE的标识信息以及所述MAC2进行加密。
结合第四方面第二种可能的实现方式，在第五种可能的实现方式中，所述第一预存数据中包括所述所述GPKenc和SKUE_ID_Sig；
所述UE在需要向所述接入点发送传输数据时，从其第一预存数据中获取基于身份的密码IBC技术的全局公钥或者所述UE对应的私钥，并使用所述加密公钥和所述全局公钥或者所述UE对应的私钥对所述传输数据进行保护以得到保护消息包括：
所述UE在需要向所述接入点发送传输数据时，从所述第一预存数据中获取所述加密公钥、所述GPKenc、所述GPKsig以及所述SKUE_ID_Sig；
根据所述GPKsig和所述SKUE_ID_Sig对所述传输数据进行签名以得到签名Sig2，并使用所述加密公钥、所述GPKenc对所述传输数据、所述UE的标识信息和所述Sig2进行加密得到保护消息；
其中，所述传输数据的保护方式为使用所述加密公钥、所述GPKenc对所述传输数据以及所述Sig2进行加密。
第五方面，提供了一种传输数据的保护方法，其可包括：
接入点发送广播消息，所述广播消息中携带加密公钥；
所述接入点接收用户设备UE发送的根据所述加密公钥对传输数据进行保护得到的保护消息，所述保护消息中携带所述UE发送的传输数据的保护方式的指示消息；
所述接入点根据所述保护方式的指示消息从其第二预存数据中获取基于身份的密码IBC技术的全局公钥和所述接入点对应的私钥，并使用所述全局公钥和所述接入点对应的私钥对所述保护消息进行解析以得到所述UE发送的传输数据；
所述接入点将解析得到的所述UE发送的传输数据发送到核心网中。
结合第五方面，在第一种可能的实现方式中，所述全局公钥包括第一全局公钥和第二全局公钥，所述接入点对应的私钥包括第一私钥和第二私钥；
所述接入点发送广播消息之前，所述方法还包括：
所述接入点从网络或者密钥管理系统KMS中获取系统参数，并将所述系统参数存储为所述接入点的第二预存数据；
其中，所述系统参数包括加密公钥以及以下两组数据中至少一组：第一全局公钥和第一私钥，或者第二全局公钥和第二私钥；
所述第一全局公钥为IBC技术的数据加密全局公钥GPKenc；
所述第一私钥为IBC技术的所述接入点对应的数据加密私钥SKBS_ID_enc；
所述第二全局公钥为IBC技术的数据签名全局公钥GPKSig；
所述第二私钥为IBC技术的所述接入点对应的数据签名私钥SKBS_ID_Sig。
结合第五方面第一种可能的实现方式，在第二种可能的实现方式中，所述加密公钥为基站BS的身份BS_ID，或者所述加密公钥包含BS_ID；或者
所述加密公钥包括无线保真Wi-Fi切入点AP的介质控制子层MAC地址，或者Wi-Fi AP的服务集标识SSID；或者
所述加密公钥包括热点UE的身份UE_ID，或者热点UE的移动用户身份IMSI。
结合第五方面第二种可能的实现方式，在第三种可能的实现方式中，所述第二预存数 据中包括所述GPKSig和所述SKBS_ID_Sig；
所述接入点发送广播消息之前，所述方法还包括：
所述接入点使用所述GPKSig和所述SKBS_ID_Sig对所述广播消息进行签名以得到所述广播消息的签名Sig1，并在所述广播消息中携带所述接入点具有数据签名功能的指示信息或者所述广播消息的签名Sig1。
结合第五方面第二种可能的实现方式，在第四种可能的实现方式中，所述第二预存数据中包括所述GPKenc、所述SKBS_ID_enc、所述GPKSig和所述SKBS_ID_Sig；
所述接入点根据所述保护方式的指示消息从其第二预存数据中获取基于身份的密码IBC技术的全局公钥和所述接入点对应的私钥，并使用所述全局公钥和所述接入点对应的私钥对所述保护消息进行解析包括：
所述接入点根据所述保护方式的指示消息确定所述传输数据的保护方式，从所述第二预存数据中获取所述SKBS_ID_enc和所述GPKenc，并使用所述SKBS_ID_enc和所述GPKenc对所述保护消息进行解密以得到解密消息。
结合第五方面第二种可能的实现方式，在第五种可能的实现方式中，所述第二预存数据中包括加密公钥、所述GPKenc和所述SKBS_ID_enc；
所述接入点根据所述保护方式的指示消息从其第二预存数据中获取基于身份的密码IBC技术的全局公钥和所述接入点对应的私钥，并使用所述全局公钥和所述接入点对应的私钥对所述保护消息进行解析包括：
所述接入点根据所述保护方式的指示消息确定所述传输数据的保护方式，从所述第二预存数据中获取所述GPKenc和所述SKBS_ID_enc，并使用所述SKBS_ID_enc和所述GPKenc对所述保护消息进行解密以得到解密消息；
所述接入点将解析得到的所述UE发送的传输数据发送到核心网中包括：
所述接入点从所述解密消息中获取所述保护消息携带的第三完整性保护码MAC2、UE的标识信息以及所述传输数据；
使用所述UE的标识信息、所述GPKenc和所述SKBS_ID_enc生成对称钥K2；
使用所述对称钥K2、所述UE的标识信息和解密得到的传输数据计算第四完整性校验码MAC3，并当所述MAC3与所述MAC2相匹配时，将所述UE发送的传输数据发送到核心网。
结合第五方面第二种可能的实现方式，在第六种可能的实现方式中，所述第二预存数据中包括所述GPKenc、所述SKBS_ID_enc和所述GPKSig；
所述接入点根据所述保护方式的指示消息从其第二预存数据中获取基于身份的密码IBC技术的全局公钥和所述接入点对应的私钥，并使用所述全局公钥和所述接入点对应的私钥对所述保护消息进行解析包括：
根据所述加密方式的指示消息确定所述传输数据的保护方式，并从所述第二预存数据中获取所述GPKenc和所述SKBS_ID_enc，并使用所述SKBS_ID_enc和所述GPKenc对所述保护消息进行解密以获取所述传输数据；
所述接入点将解析得到的所述UE发送的传输数据发送到核心网中包括：
从所述保护消息解密得到的解密消息中获取所述UE的标识信息和所述签名Sig2；
根据所述保护方式的指示消息确定所述传输数据的保护方式，并从所述第二预存数据中获取所述GPKsig；
使用所述UE的标识信息以及所述GPKsig对所述保护消息进行验证，当所述保护消息验证成功时，将所述UE发送的传输数据发送到核心网。
第六方面，提供了一种传输数据的保护方法，其可包括：
用户设备UE在需要发送传输数据时，从其第一预存数据中获取加密公钥、基于身份的密码IBC技术的全局公钥或者所述UE对应的私钥，并使用所述加密公钥，以及所述全局公钥或者所述UE对应的私钥对所述传输数据进行保护以得到保护消息；
所述UE向接入点发送所述保护消息，以通过所述接入点将所述保护消息发送给核心网节点，所述保护消息中携带所述传输数据的保护方式的指示消息。
结合第六方面，在第一种可能的实现方式中，所述全局公钥包括第一全局公钥和第二全局公钥，所述UE对应的私钥包括第三私钥和第四私钥；
所述UE发送传输数据之前，所述方法还包括：
所述UE从核心网中获取加密公钥、所述UE用于处理传输数据的核心网处理参数，并将所述加密公钥和所述核心网处理参数存储为所述UE的第一预存数据；
其中，所述核心网处理参数包括以下三组数据中至少一组：第一全局公钥,或者第一全局公钥和第三私钥，或者第二全局公钥和第四私钥；
所述第一全局公钥为IBC技术的数据加密全局公钥GPKenc；
所述第三私钥为IBC技术的所述UE_ID对应的数据加密私钥SKUE_ID_enc；
所述第二全局公钥为IBC技术的数据签名全局公钥GPKSig；
所述第四私钥为IBC技术的所述UE_ID对应的数据签名私钥SKUE_ID_Sig。
结合第六方面第一种可能的实现方式，在第二种可能的实现方式中，所述第一预存数据中包括所述加密公钥和所述GPKenc；
所述UE从其第一预存数据中获取加密公钥、基于身份的密码IBC技术的全局公钥，并使用所述加密公钥，以及所述全局公钥对所述传输数据进行保护包括：
所述UE在需要向所述接入点发送传输数据时，从所述第一预存数据中获取所述加密公钥和所述GPKenc；
使用所述加密公钥和所述GPKenc对所述传输数据进行加密得到保护消息；
其中，所述传输数据的保护方式为使用所述加密公钥和所述GPKenc对所述传输数据进行加密。
结合第六方面第一种可能的实现方式，在第三种可能的实现方式中，所述第一预存数据中包括所述加密公钥、所述GPKenc和所述SKUE_ID_enc；
所述UE从其第一预存数据中获取加密公钥、基于身份的密码IBC技术的全局公钥或者所述UE对应的私钥，并使用所述加密公钥，以及所述全局公钥或者所述UE对应的私钥对所述传输数据进行保护包括：
所述UE在需要向所述接入点发送传输数据时，从所述第一预存数据中获取所述加密公钥、所述GPKenc以及所述SKUE_ID_enc；
根据所述加密公钥、所述GPKenc以及所述SKUE_ID_enc生成对称钥K3，并将所述传输数据和所述K3输入系统函数以获取第四完整性校验码MAC3；
使用所述加密公钥和所述GPKenc对所述传输数据和所述MAC3进行加密得到保护消息；
其中，所述传输数据的保护方式为使用所述加密公钥和所述GPKenc对所述传输数据和所述MAC3进行加密。
结合第六方面第二种可能的实现方式，在第四种可能的实现方式中，所述第一预存数据中包括所述加密公钥、所述GPKenc和SKUE_ID_Sig；
所述UE从其第一预存数据中获取加密公钥、基于身份的密码IBC技术的全局公钥或者所述UE对应的私钥，并使用所述加密公钥，以及所述全局公钥或者所述UE对应的私钥对所述传输数据进行保护包括：
所述UE在需要向所述接入点发送传输数据时，从所述第一预存数据中获取所述加密公钥、所述GPKenc、所述GPKsig以及所述SKUE_ID_Sig；
根据所述GPKsig和所述SKUE_ID_Sig对所述传输数据进行签名以得到签名Sig3，并使用所述加密公钥、所述GPKenc对所述传输数据和所述签名Sig2进行加密得到保护消息；
其中，所述传输数据的保护方式为使用所述加密公钥、所述GPKenc对所述传输数据以及所述签名进行加密。
第七方面，提供了一种传输数据的保护方法，其可包括：
核心网节点接收接入点发送的保护消息，所述保护消息中携带用户设备UE发送的所述传输数据的保护方式的指示消息；
所述核心网节点根据所述保护方式的指示消息从其第二预存数据中获取基于身份的密码IBC技术的全局公钥和所述核心网节点对应的私钥，并使用所述全局公钥和所述核心网节点对应的私钥对所述保护消息进行解析以得到所述UE发送的传输数据。
结合第七方面，在第一种可能的实现方式中，所述全局公钥包括第一全局公钥和第二全局公钥，所述核心网节点对应的私钥包括第五私钥和第六私钥；
所述核心网节点接收接入点发送的保护消息之前，所述方法还包括：
所述核心网节点从密钥管理系统KMS中获取核心网系统参数，并将所述核心网系统参数存储为所述核心网接入点的第二预存数据；
其中，所述核心网系统参数包括加密公钥以及以下两组数据中至少一组：第一全局公钥和第五私钥，或者第二全局公钥和第六私钥；
所述第一全局公钥为IBC技术的数据加密全局公钥GPKenc；
所述第五私钥为IBC技术的所述核心网节点对应的数据加密私钥SKCP_ID_enc；
所述第二全局公钥为IBC技术的数据签名全局公钥GPKSig；
所述第六私钥为IBC技术的所述核心网节点对应的数据签名私钥SKCP_ID_Sig。
结合第七方面第一种可能的实现方式，在第二种可能的实现方式中，所述加密公钥为核心网认证节点的身份，或者所述加密公钥包含所述核心网节点的身份。
结合第七方面第二种可能的实现方式，在第三种可能的实现方式中，所述第二预存数据中包括所述GPKenc和所述SKCP_ID_enc；
所述核心网节点根据所述保护方式的指示消息从其第二预存数据中获取基于身份的密码IBC技术的全局公钥和所述核心网节点对应的私钥，并使用所述全局公钥和所述核心网节点对应的私钥对所述保护消息进行解析包括：
所述核心网节点根据所述保护方式的指示消息确定所述传输数据的保护方式，并从所述第二预存数据中获取所述SKCP_ID_enc和所述GPKenc，并使用所述SKCP_ID_enc和所述GPKenc对所述保护消息进行解密以得到所述UE的传输数据。
结合第七方面第二种可能的实现方式，在第四种可能的实现方式中，所述第二预存数据中包括所述GPKenc和所述SKCP_ID_enc；
所述核心网节点根据所述保护方式的指示消息从其第二预存数据中获取基于身份的密码IBC技术的全局公钥和所述核心网节点对应的私钥，并使用所述全局公钥和所述核心网节点对应的私钥对所述保护消息进行解析包括：
所述核心网节点根据所述保护方式的指示消息确定所述传输数据的保护方式，从所述第二预存数据中获取所述GPKenc和所述SKCP_ID_enc，对所述保护消息进行解密以得到解密消息；
获取所述解密消息中携带的第四完整性校验码MAC3，并使用所述UE的标识信息、所述GPKenc和所述SKCP_ID_enc生成对称钥K4；
使用所述K4、所述UE的标识信息和所述解密消息生成第五完整性校验码MAC4，并当所述MAC4与所述MAC3相匹配时，获取所述传输数据。
结合第七方面第二种可能的实现方式，在第五种可能的实现方式中，所述第二预存数据中包括所述加密公钥、所述GPKenc、所述SKCP_ID_enc和所述GPKSig；
所述核心网节点根据所述保护方式的指示消息从其第二预存数据中获取基于身份的密码IBC技术的全局公钥和所述核心网节点对应的私钥，并使用所述全局公钥和所述核心网节点对应的私钥对所述保护消息进行解析包括：
所述核心网节点根据所述加密方式的指示消息确定所述传输数据的保护方式，并使用从所述第二预存数据中获取的所述GPKenc、所述加密公钥和所述SKCP_ID_enc对所述保护消息进行解密；
从所述保护消息解密得到的解密消息中获取所述签名Sig3，并使用所述UE的标识信息和所述GPKsig对所述保护消息进行验证，当所述保护消息验证成功时，获取所述传输数据。
第八方面，提供了一种传输数据的保护方法，其可包括：
核心网节点接收用户面网关下发的传输数据，并从其第二预存数据中获取用户设备UE的标识信息、基于身份的密码IBC技术的全局公钥以及所述核心网节点对应的私钥；
所述核心网节点使用所述UE的标识信息、所述全局公钥和所述私钥对所述传输数据进行保护以得到保护消息，并将所述保护消息发送给接入点。
结合第八方面，在第一种可能的实现方式中，所述全局公钥包括第一全局公钥和第二全局公钥，所述核心网节点对应的私钥包括第五私钥和第六私钥；
所述核心网节点接收用户面网关下发的传输数据之前，所述方法还包括：
所述核心网节点从网络或者密钥管理系统KMS中获取核心网系统参数，并将所述核心网系统参数存储为所述核心网接入点的第二预存数据；
其中，所述核心网系统参数包括加密公钥以及以下两组数据中至少一组：第一全局公钥和第五私钥，或者第二全局公钥和第六私钥；
所述第一全局公钥为IBC技术的数据加密全局公钥GPKenc；
所述第五私钥为IBC技术的所述核心网节点对应的数据加密私钥SKCP_ID_enc；
所述第二全局公钥为IBC技术的数据签名全局公钥GPKSig；
所述第六私钥为IBC技术的所述核心网节点对应的数据签名私钥SKCP_ID_Sig。
结合第八方面第一种可能的实现方式，在第二种可能的实现方式中，所述第二预存数据中包括所述GPKenc和所述SKCP_ID_enc；
所述核心网节点从其第二预存数据中获取用户设备UE的标识信息、基于身份的密码IBC技术的全局公钥以及所述核心网节点对应的私钥包括：
所述核心网节点从所述第二预存数据中获取所述UE的标识信息、所述GPKenc以及所述SKCP_ID_enc；
所述核心网节点使用所述UE的标识信息、所述全局公钥和所述私钥对所述传输数据进行保护以得到保护消息包括：
所述核心网节点根据所述UE的标识信息、所述GPKenc以及所述SKCP_ID_enc生成对称钥K5，并将所述传输数据和所述K5输入系统函数以获取第六完整性校验码MAC5；
使用所述K5对所述传输数据加密得到保护消息。
第九方面，提供了一种传输数据的保护方法，其可包括：
用户设备UE接收接入点发送的保护消息；
所述UE从其第一预存数据中获取核心网节点的标识，基于身份的密码IBC技术的全局公钥和所述UE对应的私钥对所述保护消息进行解析以得到所述传输数据。
结合第九方面，在第一种可能的实现方式中，所述全局公钥包括第一全局公钥和第二全局公钥，所述UE对应的私钥包括第三私钥和第四私钥；
所述UE接收接入点发送的保护消息之前，所述方法还包括：
所述UE从核心网中获取其标识信息、所述UE用于处理传输数据的核心网处理参数，并将所述标识信息和所述核心网处理参数存储为所述UE的第一预存数据；
其中，所述核心网处理参数包括以下两组数据中至少一组：第一全局公钥和第三私钥，或者第二全局公钥和第四私钥；
所述第一全局公钥为IBC技术的数据加密全局公钥GPKenc；
所述第三私钥为IBC技术的所述UE_ID对应的数据加密私钥SKUE_ID_enc；
所述第二全局公钥为IBC技术的数据签名全局公钥GPKSig；
所述第四私钥为IBC技术的所述UE_ID对应的数据签名私钥SKUE_ID_Sig。
结合第九方面第一种可能的实现方式，在第二种可能的实现方式中，所述第一预存数据中包括所述UE的标识信息、所述核心网节点的标识、所述GPKenc和所述SKUE_ID_enc；
所述UE从其第一预存数据中获取核心网节点的标识，基于身份的密码IBC技术的全 局公钥和所述UE对应的私钥对所述保护消息进行解析以得到所述传输数据包括：
所述UE从所述第一预存数据中获取所述GPKenc和所述SKUE_ID_enc，并使用所述GPKenc和所述SKUE_ID_enc对所述保护消息进行解密以得到解密消息；
使用所述核心网节点的标识信息、所述GPKenc和所述SKUE_ID_enc生成对称钥K6；
使用所述K6对所述保护消息进行解密以得到解密消息；
使用所述K6和所述解密消息生成第七完整性校验码MAC6，并当所述MAC6与所述解密消息中携带的第六完整性校验码MAC5相匹配时，获取所述传输数据。
第十方面，提供了一种传输数据的保护装置，其可包括：
接收单元，用于接收接入点发送的广播消息，并存储所述广播消息中携带的加密公钥；
处理单元，用于在需要向所述接入点发送传输数据时，从用户设备UE的第一预存数据中获取基于身份的密码IBC技术的全局公钥或者所述UE对应的私钥，并使用所述接收单元接收的所述加密公钥和所述全局公钥或者所述UE对应的私钥对所述传输数据进行保护以得到保护消息；
发送单元，用于向所述接入点发送所述处理单元处理的所述保护消息，所述保护消息中携带所述传输数据的保护方式的指示消息。
结合第十方面，在第一种可能的实现方式中，所述全局公钥包括第一全局公钥和第二全局公钥，所述UE对应的私钥包括第三私钥和第四私钥；
所述处理单元还用于：
从网络或者KMS中获取所述UE用于处理传输数据的处理参数，并将所述处理参数存储为所述UE的第一预存数据；
其中，所述处理参数包括UE所属运营商的身份operator ID1以及以下三组数据中至少一组：第一全局公钥,或者第一全局公钥和第三私钥，或者第二全局公钥和第四私钥；
所述第一全局公钥为IBC技术的数据加密全局公钥GPKenc；
所述第三私钥为IBC技术的所述UE_ID对应的数据加密私钥SKUE_ID_enc；
所述第二全局公钥为IBC技术的数据签名全局公钥GPKSig；
所述第四私钥为IBC技术的所述UE_ID对应的数据签名私钥SKUE_ID_Sig。
结合第十方面第一种可能的实现方式，在第二种可能的实现方式中，所述第一预存数据中包括所述operator ID1和所述GPKSig；
所述接收单元具体用于：
根据接收到的所述广播消息中携带的指示信息确定所述接入点具有数据签名功能，并根据所述广播消息对应的接入点的标识信息确定所述接入点所属的运营商的身份operator ID2；
将所述operator ID2与所述operator ID1进行匹配，从所述第一预存数据中查找所述接入点对应的第三全局公钥GPKSig1；
当所述广播消息中携带签名Sig1时，使用所述GPK Sig1和所述接入点的标识信息对所述广播消息进行验证；
当所述广播消息验证通过时，确定将所述广播消息携带的所述加密公钥添加至所述第 一预存数据中。
结合第十方面第二种可能的实现方式，在第三种可能的实现方式中，所述第一预存数据中包括所述GPKenc；
所述处理单元具体用于：
在需要向所述接入点发送传输数据时，从所述第一预存数据中获取所述加密公钥和所述GPKenc；
使用所述加密公钥、所述GPKenc对所述传输数据进行加密得到保护消息；
其中，所述传输数据的保护方式为使用所述加密公钥、所述GPKenc对所述传输数据进行加密。
结合第十方面第二种可能的实现方式，在第四种可能的实现方式中，所述第一预存数据中包括所述GPKenc和所述SKUE_ID_enc；
所述处理单元具体用于：
在需要向所述接入点发送传输数据时，从所述第一预存数据中获取所述加密公钥、所述GPKenc以及所述SKUE_ID_enc；
根据所述加密公钥、所述GPKenc以及所述SKUE_ID_enc生成第一对称钥K1，并将所述传输数据和所述K1输入系统函数以获取第三完整性校验码MAC2；
使用所述加密公钥和所述GPKenc对所述传输数据以及所述UE的标识信息、所述MAC2进行加密得到保护消息；
其中，所述传输数据的保护方式为使用所述加密公钥和所述GPKenc对所述传输数据、所述UE的标识信息以及所述MAC2进行加密。
结合第十方面第二种可能的实现方式，在第五种可能的实现方式中，所述第一预存数据中包括所述所述GPKenc和SKUE_ID_Sig；
所述处理单元具体用于：
在需要向所述接入点发送传输数据时，从所述第一预存数据中获取所述加密公钥、所述GPKenc、所述GPKsig以及所述SKUE_ID_Sig；
根据所述GPKsig和所述SKUE_ID_Sig对所述传输数据进行签名以得到签名Sig2，并使用所述加密公钥、所述GPKenc对所述传输数据、所述UE的标识信息和所述Sig2进行加密得到保护消息；
其中，所述传输数据的保护方式为使用所述加密公钥、所述GPKenc对所述传输数据以及所述Sig2进行加密。
第十一方面，提供了一种传输数据的保护装置，其可包括：
发送单元，用于发送广播消息，所述广播消息中携带加密公钥；
接收单元，用于接收用户设备UE发送的根据所述发送单元发送的所述加密公钥对传输数据进行保护得到的保护消息，所述保护消息中携带所述UE发送的传输数据的保护方式的指示消息；
解析单元，用于根据所述接收单元接收的所述保护方式的指示消息从其第二预存数据中获取基于身份的密码IBC技术的全局公钥和所述接入点对应的私钥，并使用所述全局公 钥和所述接入点对应的私钥对所述保护消息进行解析以得到所述UE发送的传输数据；
所述发送单元，还用于将所述解析单元解析得到的所述UE发送的传输数据发送到核心网中。
结合第十一方面，在第一种可能的实现方式中，所述全局公钥包括第一全局公钥和第二全局公钥，所述接入点对应的私钥包括第一私钥和第二私钥；
所述解析单元还用于：
从网络或者密钥管理系统KMS中获取系统参数，并将所述系统参数存储为所述接入点的第二预存数据；
其中，所述系统参数包括加密公钥以及以下两组数据中至少一组：第一全局公钥和第一私钥，或者第二全局公钥和第二私钥；
所述第一全局公钥为IBC技术的数据加密全局公钥GPKenc；
所述第一私钥为IBC技术的所述接入点对应的数据加密私钥SKBS_ID_enc；
所述第二全局公钥为IBC技术的数据签名全局公钥GPKSig；
所述第二私钥为IBC技术的所述接入点对应的数据签名私钥SKBS_ID_Sig。
结合第十一方面第一种可能的实现方式，在第二种可能的实现方式中，所述加密公钥为基站BS的身份BS_ID，或者所述加密公钥包含BS_ID；或者
所述加密公钥包括无线保真Wi-Fi切入点AP的介质控制子层MAC地址，或者Wi-Fi AP的服务集标识SSID；或者
所述加密公钥包括热点UE的身份UE_ID，或者热点UE的移动用户身份IMSI。
结合第十一方面第二种可能的实现方式，在第三种可能的实现方式中，所述第二预存数据中包括所述GPKSig和所述SKBS_ID_Sig；
所述发送单元具体用于：
使用所述GPKSig和所述SKBS_ID_Sig对所述广播消息进行签名以得到所述广播消息的签名Sig1，并在所述广播消息中携带所述接入点具有数据签名功能的指示信息或者所述广播消息的签名Sig1。
结合第十一方面第二种可能的实现方式，在第四种可能的实现方式中，所述第二预存数据中包括所述GPKenc、所述SKBS_ID_enc、所述GPKSig和所述SKBS_ID_Sig；
所述解析单元具体用于：
根据所述保护方式的指示消息确定所述传输数据的保护方式，从所述第二预存数据中获取所述SKBS_ID_enc和所述GPKenc，并使用所述SKBS_ID_enc和所述GPKenc对所述保护消息进行解密以得到解密消息。
结合第十一方面第二种可能的实现方式，在第五种可能的实现方式中，所述第二预存数据中包括加密公钥、所述GPKenc和所述SKBS_ID_enc；
所述解析单元具体用于：
根据所述保护方式的指示消息确定所述传输数据的保护方式，从所述第二预存数据中获取所述GPKenc和所述SKBS_ID_enc，并使用所述SKBS_ID_enc和所述GPKenc对所述保护消息进行解密以得到解密消息；
所述发送单元具体用于：
从所述解析单元解析得到的所述解密消息中获取所述保护消息携带的第三完整性保护码MAC2、UE的标识信息以及所述传输数据；
使用所述UE的标识信息、所述GPKenc和所述SKBS_ID_enc生成对称钥K2；
使用所述对称钥K2、所述UE的标识信息和解密得到的传输数据计算第四完整性校验码MAC3，并当所述MAC3与所述MAC2相匹配时，将所述UE发送的传输数据发送到核心网。
结合第十一方面第二种可能的实现方式，在第六种可能的实现方式中，所述第二预存数据中包括所述GPKenc、所述SKBS_ID_enc和所述GPKSig；
所述解析单元具体用于：
根据所述加密方式的指示消息确定所述传输数据的保护方式，并从所述第二预存数据中获取所述GPKenc和所述SKBS_ID_enc，并使用所述SKBS_ID_enc和所述GPKenc对所述保护消息进行解密以获取所述传输数据；
所述发送单元具体用于：
从所述保护消息解密得到的解密消息中获取所述UE的标识信息和所述签名Sig2；
根据所述保护方式的指示消息确定所述传输数据的保护方式，并从所述第二预存数据中获取所述GPKsig；
使用所述UE的标识信息以及所述GPKsig对所述保护消息进行验证，当所述保护消息验证成功时，将所述UE发送的传输数据发送到核心网。
第十二方面，提供了一种传输数据的保护装置，其可包括：
保护单元，用于在需要发送传输数据时，从用户设备的第一预存数据中获取加密公钥、基于身份的密码IBC技术的全局公钥或者所述UE对应的私钥，并使用所述加密公钥，以及所述全局公钥或者所述UE对应的私钥对所述传输数据进行保护以得到保护消息；
发送单元，用于向接入点发送所述保护单元处理得到的所述保护消息，以通过所述接入点将所述保护消息发送给核心网节点，所述保护消息中携带所述传输数据的保护方式的指示消息。
结合第十二方面，在第一种可能的实现方式中，所述全局公钥包括第一全局公钥和第二全局公钥，所述UE对应的私钥包括第三私钥和第四私钥；
所述保护单元还用于：
从核心网中获取加密公钥、所述UE用于处理传输数据的核心网处理参数，并将所述加密公钥和所述核心网处理参数存储为所述UE的第一预存数据；
其中，所述核心网处理参数包括以下三组数据中至少一组：第一全局公钥,或者第一全局公钥和第三私钥，或者第二全局公钥和第四私钥；
所述第一全局公钥为IBC技术的数据加密全局公钥GPKenc；
所述第三私钥为IBC技术的所述UE_ID对应的数据加密私钥SKUE_ID_enc；
所述第二全局公钥为IBC技术的数据签名全局公钥GPKSig；
所述第四私钥为IBC技术的所述UE_ID对应的数据签名私钥SKUE_ID_Sig。
结合第十二方面第一种可能的实现方式，在第二种可能的实现方式中，所述第一预存 数据中包括所述加密公钥和所述GPKenc；
所述保护单元具体用于：
在需要向所述接入点发送传输数据时，从所述第一预存数据中获取所述加密公钥和所述GPKenc；
使用所述加密公钥和所述GPKenc对所述传输数据进行加密得到保护消息；
其中，所述传输数据的保护方式为使用所述加密公钥和所述GPKenc对所述传输数据进行加密。
结合第十二方面第一种可能的实现方式，在第三种可能的实现方式中，所述第一预存数据中包括所述加密公钥、所述GPKenc和所述SKUE_ID_enc；
所述保护单元具体用于：
在需要向所述接入点发送传输数据时，从所述第一预存数据中获取所述加密公钥、所述GPKenc以及所述SKUE_ID_enc；
根据所述加密公钥、所述GPKenc以及所述SKUE_ID_enc生成对称钥K3，并将所述传输数据和所述K3输入系统函数以获取第四完整性校验码MAC3；
使用所述加密公钥和所述GPKenc对所述传输数据和所述MAC3进行加密得到保护消息；
其中，所述传输数据的保护方式为使用所述加密公钥和所述GPKenc对所述传输数据和所述MAC3进行加密。
结合第十二方面第一种可能的实现方式，在第四种可能的实现方式中，所述第一预存数据中包括所述加密公钥、所述GPKenc和SKUE_ID_Sig；
所述保护单元具体用于：
在需要向所述接入点发送传输数据时，从所述第一预存数据中获取所述加密公钥、所述GPKenc、所述GPKsig以及所述SKUE_ID_Sig；
根据所述GPKsig和所述SKUE_ID_Sig对所述传输数据进行签名以得到签名Sig3，并使用所述加密公钥、所述GPKenc对所述传输数据和所述签名Sig2进行加密得到保护消息；
其中，所述传输数据的保护方式为使用所述加密公钥、所述GPKenc对所述传输数据以及所述签名进行加密。
第十三方面，提供了一种传输数据的保护装置，其可包括：
接收单元，用于接收接入点发送的保护消息，所述保护消息中携带用户设备UE发送的所述传输数据的保护方式的指示消息；
解析单元，用于根据所述接收单元接收的所述保护方式的指示消息从其第二预存数据中获取基于身份的密码IBC技术的全局公钥和所述核心网节点对应的私钥，并使用所述全局公钥和所述核心网节点对应的私钥对所述保护消息进行解析以得到所述UE发送的传输数据。
结合第十三方面，在第一种可能的实现方式中，所述全局公钥包括第一全局公钥和第二全局公钥，所述核心网节点对应的私钥包括第五私钥和第六私钥；
所述解析单元还用于：
从密钥管理系统KMS中获取核心网系统参数，并将所述核心网系统参数存储为所述核 心网接入点的第二预存数据；
其中，所述核心网系统参数包括加密公钥以及以下两组数据中至少一组：第一全局公钥和第五私钥，或者第二全局公钥和第六私钥；
所述第一全局公钥为IBC技术的数据加密全局公钥GPKenc；
所述第五私钥为IBC技术的所述核心网节点对应的数据加密私钥SKCP_ID_enc；
所述第二全局公钥为IBC技术的数据签名全局公钥GPKSig；
所述第六私钥为IBC技术的所述核心网节点对应的数据签名私钥SKCP_ID_Sig。
结合第十三方面，第一种可能的实现方式，在第二种可能的实现方式中，所述加密公钥为核心网认证节点的身份，或者所述加密公钥包含所述核心网节点的身份。
结合第十三方面，第二种可能的实现方式，在第三种可能的实现方式中，所述第二预存数据中包括所述GPKenc和所述SKCP_ID_enc；
所述解析单元具体用于：
根据所述保护方式的指示消息确定所述传输数据的保护方式，并从所述第二预存数据中获取所述SKCP_ID_enc和所述GPKenc，并使用所述SKCP_ID_enc和所述GPKenc对所述保护消息进行解密以得到所述UE的传输数据。
结合第十三方面，第二种可能的实现方式，在第四种可能的实现方式中，所述第二预存数据中包括所述GPKenc和所述SKCP_ID_enc；
所述解析单元具体用于：
根据所述保护方式的指示消息确定所述传输数据的保护方式，从所述第二预存数据中获取所述GPKenc和所述SKCP_ID_enc，对所述保护消息进行解密以得到解密消息；
获取所述解密消息中携带的第四完整性校验码MAC3，并使用所述UE的标识信息、所述GPKenc和所述SKCP_ID_enc生成对称钥K4；
使用所述K4、所述UE的标识信息和所述解密消息生成第五完整性校验码MAC4，并当所述MAC4与所述MAC3相匹配时，获取所述传输数据。
结合第十三方面，第二种可能的实现方式，在第五种可能的实现方式中，所述第二预存数据中包括所述加密公钥、所述GPKenc、所述SKCP_ID_enc和所述GPKSig；
所述解析单元具体用于：
根据所述加密方式的指示消息确定所述传输数据的保护方式，并使用从所述第二预存数据中获取的所述GPKenc、所述加密公钥和所述SKCP_ID_enc对所述保护消息进行解密；
从所述保护消息解密得到的解密消息中获取所述签名Sig3，并使用所述UE的标识信息和所述GPKsig对所述保护消息进行验证，当所述保护消息验证成功时，获取所述传输数据。
第十四方面，提供了一种传输数据的保护装置，其可包括：
接收单元，用于接收用户面网关下发的传输数据；
处理单元，用于从核心网节点的第二预存数据中获取用户设备UE的标识信息、基于身份的密码IBC技术的全局公钥以及所述核心网节点对应的私钥，并使用所述UE的标识信息、所述全局公钥和所述私钥对所述接收单元接收的所述传输数据进行保护以得到保护 消息。
发送单元，用于将所述处理单元处理得到的所述保护消息发送给接入点。
结合第十四方面，在第一种可能的实现方式中，所述全局公钥包括第一全局公钥和第二全局公钥，所述核心网节点对应的私钥包括第五私钥和第六私钥；
所述处理单元还用于：
从网络或者密钥管理系统KMS中获取核心网系统参数，并将所述核心网系统参数存储为所述核心网接入点的第二预存数据；
其中，所述核心网系统参数包括加密公钥以及以下两组数据中至少一组：第一全局公钥和第五私钥，或者第二全局公钥和第六私钥；
所述第一全局公钥为IBC技术的数据加密全局公钥GPKenc；
所述第五私钥为IBC技术的所述核心网节点对应的数据加密私钥SKCP_ID_enc；
所述第二全局公钥为IBC技术的数据签名全局公钥GPKSig；
所述第六私钥为IBC技术的所述核心网节点对应的数据签名私钥SKCP_ID_Sig。
结合第十四方面第一种可能的实现方式，在第二种可能的实现方式中，所述第二预存数据中包括所述GPKenc和所述SKCP_ID_enc；
所述处理单元具体用于：
从所述第二预存数据中获取所述UE的标识信息、所述GPKenc以及所述SKCP_ID_enc；
根据所述UE的标识信息、所述GPKenc以及所述SKCP_ID_enc生成对称钥K5，并将所述传输数据和所述K5输入系统函数以获取第六完整性校验码MAC5；
使用所述K5对所述传输数据加密得到保护消息。
第十五方面，提供了一种传输数据的保护装置，其可包括：
接收单元，用于接收接入点发送的保护消息；
解析单元，用于从用户设备的第一预存数据中获取核心网节点的标识，基于身份的密码IBC技术的全局公钥和所述UE对应的私钥对所述保护消息进行解析以得到所述传输数据。
结合第十五方面，在第一种可能的实现方式中，所述全局公钥包括第一全局公钥和第二全局公钥，所述UE对应的私钥包括第三私钥和第四私钥；
所述解析单元还用于：
从核心网中获取其标识信息、所述UE用于处理传输数据的核心网处理参数，并将所述标识信息和所述核心网处理参数存储为所述UE的第一预存数据；
其中，所述核心网处理参数包括以下两组数据中至少一组：第一全局公钥和第三私钥，或者第二全局公钥和第四私钥；
所述第一全局公钥为IBC技术的数据加密全局公钥GPKenc；
所述第三私钥为IBC技术的所述UE_ID对应的数据加密私钥SKUE_ID_enc；
所述第二全局公钥为IBC技术的数据签名全局公钥GPKSig；
所述第四私钥为IBC技术的所述UE_ID对应的数据签名私钥SKUE_ID_Sig。
结合第十五方面第一种可能的实现方式，在第二种可能的实现方式中，所述第一预存数据中包括所述UE的标识信息、所述核心网节点的标识、所述GPKenc和所述SKUE_ID_enc；
所述解析单元具体用于：
从所述第一预存数据中获取所述GPKenc和所述SKUE_ID_enc，并使用所述GPKenc和所述SKUE_ID_enc对所述保护消息进行解密以得到解密消息；
使用所述核心网节点的标识信息、所述GPKenc和所述SKUE_ID_enc生成对称钥K6；
使用所述K6对所述保护消息进行解密以得到解密消息；
使用所述K6和所述解密消息生成第七完整性校验码MAC6，并当所述MAC6与所述解密消息中携带的MAC5相匹配时，获取所述传输数据。
第十六方面提供了一种用户设备，其可包括：存储器和处理器，所述存储器和所述处理器相连；
所述存储器用于存储一组程序代码；
所述处理器用于调用所述存储器中存储的程序代码，执行如上述第四方面提供的传输数据的保护方法。
第十七方面提供了一种接入点，其可包括：存储器和处理器，所述存储器和所述处理器相连；
所述存储器用于存储一组程序代码；
所述处理器用于调用所述存储器中存储的程序代码，执行如上述第五方面提供的传输数据的保护方法。
第十八方面提供了一种用户设备，其可包括：存储器和处理器，所述存储器和所述处理器相连；
所述存储器用于存储一组程序代码；
所述处理器用于调用所述存储器中存储的程序代码，执行如上述第六方面提供的传输数据的保护方法。
第十九方面提供了一种核心网节点，其可包括：存储器和处理器，所述存储器和所述处理器相连；
所述存储器用于存储一组程序代码；
所述处理器用于调用所述存储器中存储的程序代码，执行如上述第七方面提供的传输数据的保护方法。
第二十方面提供了一种核心网节点，其可包括：存储器和处理器，所述存储器和所述处理器相连；
所述存储器用于存储一组程序代码；
所述处理器用于调用所述存储器中存储的程序代码，执行如上述第八方面提供的传输数据的保护方法。
第二十一方面提供了一种用户设备，其可包括：存储器和处理器，所述存储器和所述处理器相连；
所述存储器用于存储一组程序代码；
所述处理器用于调用所述存储器中存储的程序代码，执行如上述第九方面提供的传输数据的保护方法。
由上可知，本申请公开了一种传输数据的保护系统、方法及装置，上述系统包括：用户设备UE和接入点；接入点发送广播消息，其中携带加密公钥；UE接收并存储加密公钥；UE从第一预存数据中获取全局公钥或者UE对应的私钥，并使用加密公钥和全局公钥或者UE对应的私钥对传输数据进行保护；UE向接入点发送保护消息，保护消息中携带传输数据的保护方式的指示消息；接入点在接收到保护消息之后，根据保护方式的指示消息从其第二预存数据中获取全局公钥和接入点对应的私钥，并使用全局公钥和接入点对应的私钥对保护消息进行解析；接入点将解析得到的传输数据发送到核心网。采用本申请，具有可对传输数据进行保护，过滤不安全数据，从而提高网络的安全性。
附图说明
为了更清楚地说明本发明实施例中的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。
图1是本发明实施例提供的数据传输的一传输架构图；
图2是本发明实施例提供的传输数据的保护系统进行数据传输的一交互示意图；
图3是本发明实施例提供的保护系统在场景一中的一交互示意图；
图4是本发明实施例提供的保护系统在场景一中的另一交互示意图；
图5是本发明实施例提供的保护系统在场景二中的一交互示意图；
图6是本发明实施例提供的保护系统在场景二中的另一交互示意图；
图7是本发明实施例提供的保护系统在场景三中的交互示意图；
图8是本发明实施例提供的保护系统在场景四中的交互示意图；
图9是本发明实施例提供的数据传输的另一传输架构图；
图10是本发明实施例提供的传输数据的保护系统进行数据传输的另一交互示意图；
图11是本发明实施例提供的保护系统在场景五中的一交互示意图；
图12是本发明实施例提供的保护系统在场景五中的另一交互示意图；
图13是本发明实施例提供的保护系统在场景五中的另一交互示意图；
图14是本发明实施例提供的数据传输的另一传输架构图；
图15是本发明实施例提供的传输数据的保护系统进行下行数据传输的交互示意图；
图16是本发明实施例提供的保护系统在场景六中的交互示意图；
图17是本发明实施例提供的传输数据的保护方法的一流程示意图；
图18是本发明实施例提供的传输数据的保护方法的另一流程示意图；
图19是本发明实施例提供的传输数据的保护方法的另一流程示意图；
图20是本发明实施例提供的传输数据的保护方法的另一流程示意图；
图21是本发明实施例提供的传输数据的保护方法的另一流程示意图；
图22是本发明实施例提供的传输数据的保护方法的另一流程示意图；
图23是本发明实施例提供的传输数据的保护装置的一结构示意图；
图24是本发明实施例提供的传输数据的保护装置的另一结构示意图；
图25是本发明实施例提供的传输数据的保护装置的另一结构示意图；
图26是本发明实施例提供的传输数据的保护装置的另一结构示意图；
图27是本发明实施例提供的传输数据的保护装置的另一结构示意图；
图28是本发明实施例提供的传输数据的保护装置的另一结构示意图。
具体实施方式
下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。
基于身份的密码(英文：Identity Based Cryptography，IBC)技术提供一种基于身份的加密(英文：Identity Based Encryption，IBE)技术和基于身份的签名(英文：Identity Based Signature，IBS)技术等。IBC技术属于一种公钥技术。首先密钥的产生是基于一对全局参数，包括全局公钥(英文：Global Public Key，GPK)和全局私钥(英文：Global Secret Key，GSK)。其中，密钥产生方根据用户提供的身份(英文：Identity，ID)信息，使用上述全局参数进行运算，为用户产生一个对应于该用户的ID的私钥SKID。例如，密钥产生方可根据UE提供的身份(如，UE_ID)，使用上述全局参数进行运算得到UE对应的私钥SKUE_ID。进一步的，可将上述用户的ID、私钥SKID和全局公钥GPK通过可靠手段分发给用户，具体手段可根据实际应用场景确定。
在使用IBC技术加密时，加密方需要获得加密公钥(具体可为接收方的ID)和全局公钥GPK。加密方使用接收方的ID和全局公钥加密用户的明文数据M，形成密文E(M)，并发送给接收方。接收方接收到密文E(M)，首先根据自身的ID获得该ID相对应的用于解密的私钥SKID和全局公钥GPK，并使用SKID和GPK解密密文E(M)，获得相应的明文M。
在使用IBC技术签名时，签名方需要拥有自身的ID，用于签名的私钥SKID和全局公钥GPK。签名方使用全局公钥和私钥SKID对用户的明文数据M签名，形成签名Sig(SKID,M),并把签名后的消息{ID,M,Sig(SKID,M)}发送给接收方。接收方接收到带有签名的消息后，首先根据消息中携带的ID获得相对应的全局公钥GPK，并使用ID和GPK验证消息中携带的签名Sig(SKID，M)，以验证消息的完整性。
IBC技术与现有的基于公钥基础设施(英文：Public Key Infrastructure，PKI)的公钥技术不同之处在于，现有PKI技术中的公钥是一串随机数字，不具有身份意义特征，而IBC技术弥补了这方面的的缺陷。在IBC技术中，公钥可以是任意一串有意义的字符，通常是我们现实生活中的身份信息，如email地址abc@xyz.com等，也可以使用电话号码或者IMSI等信息，便于记忆和验证。
本发明实施例可使用IBC技术保护空口信令或者低频小数据的传输，即本发明中所描述的传输数据可包括空口信令或者无连接的低频小数据等，具体可根据实际应用场景确定，在此不做限制。
参见图1，是本发明实施例提供的数据传输的一传输架构图。在图1所示的传输架构中，可包括UE、接入点和核心网等数据传输端。其中，接入点可包括基站(英文：Base Station， BS)，无线保真(英文：Wireless-Fidelity，Wi-Fi)网络中的接入点(英文：Access Point，AP)或者作为网络热点的热点UE。其中，上述BS可为3G网络中的基站(英文：Node B，NB)，也可为4G网络中的演进性基站(英文：Evolved Node B，eNB)，或者更早前的网络时代中的基站，在此不做限制。
参见图2，图2是本发明实施例提供的传输数据的保护系统进行数据传输的一交互示意图。本发明实施例提供的保护系统中各个数据传输端进行数据传输的过程可包括步骤：
S201，接入点向UE发送广播消息。
在一些可行的实施方式中，接入点发送广播消息之前，可预先从网络或者密钥管理系统(英文：Key Management System，KMS)获取系统参数，并将获取的系统参数存储在接入点的指定存储空间，即可将获取的系统参数存储为接入点的预存数据(即第二预存数据)。其中，接入点从网络或者KMS中获取的系统参数可包括加密公钥，或者第一全局公钥和私钥，或者第二全局公钥和私钥等。其中，接入点从网络或者KMS中获取的系统参数具体包含的信息可根据接入点在实际应用场景中执行的数据传输操作的需求确定，在此不做限制。
具体实现中，上述加密公钥可为接入点的标识。若具体应用场景中，上述接入点为BS，则上述加密公钥可为BS的身份(即BS_ID)，或者上述加密公钥包含BS_ID。其中，上述加密公钥包含BS_ID表示上述加密公钥由BS_ID和其他数据构成，BS_ID只是加密公钥的长串数据中的一部分数据，具体可根据时间采用的加密公钥的数据形式确定，在此不做限制。
若具体应用场景中，上述接入点为Wi-Fi AP，则上述加密公钥可为Wi-Fi AP的介质控制子层(英文：Media Access Control，MAC)地址，或者Wi-Fi AP的服务集标识(英文：Service Set Identifier，SSID)。具体实现中，接入点为WiFi AP时，加密公钥的具体组成形式可根据实际应用场景确定，在此不做限制。
若具体应用场景中，上述接入点为热点UE，则上述加密公钥可为热点UE的UE_ID，或者热点UE的移动用户身份(英文：International Mobile Subscriber Identity，IMSI)。具体实现中，接入点为热点UE时，加密公钥的具体组成形式可根据实际应用场景确定，在此不做限制。
进一步的，具体实现中，上述接入点从网络或者KMS中获取的第一全局公钥可为IBC技术的数据加密全局公钥GPKenc。第一私钥可使用IBC技术根据接入点的ID和上述GPKenc生成的接入点对应的数据加密私钥SKBS_ID_enc。其中，上述接入点BS、Wi-Fi AP和热点UE在数据传输中都作为基站，上述生成数据加密私钥时使用的接入点的ID包括BS的ID、WiFi AP的ID或者热点UE的ID，因此接入点对应的数据加密私钥均表示为SKBS_ID_enc。上述第二全局公钥为IBC技术的数据签名全局公钥GPKSig。第二私钥为使用IBC技术根据接入点的ID和上述GPKSig生成的接入点对应的数据签名私钥SKBS_ID_Sig。同理，上述接入点BS、Wi-Fi AP和热点UE在数据传输中都作为基站，上述生成数据签名私钥时使用的接入点的ID包括BS的ID、WiFi AP的ID或者热点UE的ID，因此接入点对应的数据签名私钥均表示为SKBS_ID_Sig。
在一些可行的实施方式中，UE也可从网络或者上述KMS中获取用于处理传输数据的处理参数。其中，上述处理参数可包括UE所属运营商的身份、全局公钥或者UE对应的私 钥等。其中，上述UE所属运营商的身份可表示为operator ID1，例如UE所属运营商为运营商A时，上述operator ID1则为运营商A的身份。上述全局公钥包括第一全局公钥和第二全局公钥，上述私钥包括第三私钥和第四私钥。其中，上述第一全局公钥为与接入点获取的第一全局公钥相同的数据加密全局公钥GPKenc。上述第二全局公钥为与接入点获取的第二全局公钥相同的数据签名全局公钥GPKsig。上述第三私钥可使用IBC技术根据UE_ID和上述GPKenc生成的UE对应的数据加密私钥SKUE_ID_enc。上述第四私钥为使用IBC技术根据UE_ID和上述GPKsig生成的UE对应的数据签名私钥SKUE_ID_Sig。
具体实现中，接入点可周期性向UE发送广播消息，并在上述广播消息中携带上述加密公钥，以供UE根据上述加密公钥进行数据保护。
进一步的，在一些可行的实施方式中，接入点可使用第二预存数据中存储的GPKSig和SKBS_ID_Sig对所述广播消息进行签名以得到广播消息的签名(表示为Sig1)，并在广播消息中携带接入点具有数据签名功能的指示信息。进一步的，也可在上述广播消息中携带上述Sig1。
S202，UE接收接入点的广播消息，并存储广播消息中携带的加密公钥。
在一些可行的实施方式中，UE接收到接入点发送的广播消息之后，可根据上述广播消息中携带的信息确定接入点是否支持基于加密公钥的数据加密或者数据签名，以及加密公钥的类型。其中，上述加密公钥的类型可包括IBC技术的加密公钥，或者PKI技术的公钥。本发明实施例将具体支持对IBC技术的加密公钥的数据传输进行描述。具体实现中，若接入点发送的广播消息不携带加密公钥，则可确定接入点不支持加密公钥的数据加密，UE可向该接入点发送数据时无需加密，对此类应用场景，本发明实施例不具体描述。若上述广播消息中携带加密公钥，但是不包含接入点是否具有数据签名功能的指示信息，UE则可直接存储上述广播消息中携带的加密公钥，以根据上述加密公钥对后续需要向接入点发送的数据进行加密处理。
在一些可行的实施方式中，若UE接收到上述接入点发送的广播消息，并且确定上述广播消息中携带指示信息，则可根据上述指示信息确定接入点是否具有数据签名功能。UE还可验证上述广播消息中携带的时间戳(英文：timestamp)或者序列号(英文：sequence number)是否合法，若上述时间戳或者序列号合法，则可进一步直接存储上述广播消息中携带的信息，包括加密公钥、时间戳和序列号等信息。
进一步的，在一些可行的实施方式中，若UE根据广播消息中携带的指示信息确定接入点具有数据签名功能，则可根据上述广播消息中携带的签名验证广播消息的合法性。具体的，UE可根据广播消息中携带的接入点的标识信息(例如接入点的ID等)确定接入点所属的运营商的身份operator ID2。将上述operator ID2与operator ID1进行匹配，若上述operator ID2与operator ID1相同，则可确定上述接入点和UE同属一个运营商。进一步的，UE确定接入点与其同属一个运营商之后，则可根据operator ID1(此时operator ID2与operator ID1相同)从其第一预存数据中查找operator ID1对应的数据签名全局公钥(设定为第三全局公钥)，即接入点对应的第三全局公钥GPKSig1。进一步的，若上述广播消息中携带签名Sig1，UE可则使用上述GPKSig1和接入点的ID等信息对广播消息进行验证。当广播消息验证通过时，确定将广播消息携带的加密公钥、时间戳或者序列号等信息添加至 UE的第一预存数据中，以备后续传输数据处理时使用。若上述广播消息验证不通过，则丢弃该广播消息。UE需要发送传输数据时，则可根据第一存储数据中存储的目标接入点的信息进行数据处理并发送给目标接入点。
S203，UE在需要向接入点发送传输数据时，使用从第一预存数据中获取的加密公钥、全局公钥或者UE对应的私钥对传输数据进行保护以得到保护消息。
具体实现中，上述全局公钥可包括GPKenc或者GPKSig，具体可根据UE对传输数据的具体处理方式确定。上述UE对应的私钥可包括SKUE_ID_enc或者SKUE_ID_Sig，具体可根据UE对传输数据的具体处理方式确定。下面将结合步骤S204-S206对数据传输的实现方式进行具体描述。
S204，UE向接入点发送保护消息。
具体实现中，上述保护消息中携带传输数据的保护方式的指示消息。其中，上述保护方式可包括加密、或者加密和签名、或者加密使用的密钥，以及签名使用的密钥等信息。下面将结合步骤S205-S206对数据传输的实现方式进行具体描述。
S205，接入点根据保护方式的指示消息从第二预存数据中获取全局公钥和接入点对应的私钥，并使用全局公钥和接入点对应的私钥对保护消息进行解析。
S206，接入点将解析得到的传输数据发送到核心网中。
在一些可行的实施方式中，UE可在需要向目标接入点发送传输数据时，可根据目标接入点的ID等标识信息从第一预存数据中获取目标接入点对应的加密公钥和GPKenc。其中，上述目标接入点可为UE的第一预存数据中包含的一个或者多个接入点信息中的某一个接入点。例如，若上述目标接入点为目标BS(简称BS)，则可根据BS_ID从第一预存数据中获取加密公钥，其中，加密公钥可为BS_ID，或者加密公钥包含BS_ID。进一步的，UE还可在其第一预存数据中获取自身的标识信息，例如UE_ID等信息。UE可将需要发送的传输数据和UE_ID等信息输入系统函数以获取第一完整性校验码(英文Message Authentication Code，MAC)(如MAC0)，并使用加密公钥、GPKenc对传输数据和MAC0进行加密以得到保护消息。其中，上述保护消息可携带传输数据的保护方式的指示信息。上述传输数据的保护方式为使用加密公钥和GPKenc对传输数据和MAC0进行加密。
进一步的，在一些可行的实施方式中，UE生成完整性校验码时也可将存储在第一预存数据中的时间戳和序列号等信息，连同需要发送的传输数据、UE_ID等信息输入系统函数，通过系统函数生成MAC0。将时间戳和序列号等信息添加到生成MAC0的数据中，可供接入点更好地验证消息的完整性，增强数据传输的安全性。下面各个应用场景中完整性校验码的生成也可根据实际应用场景需求添加时间戳和序列号到输入系统函数的数据中，增强各个应用场景中数据传输的安全性，下面不再赘述。
具体实现中，UE对传输数据进行加密得到保护消息之后，则可将上述保护消息发送给接入点。其中，上述保护消息可包含一个指示位，上述指示位用于传输上述指示信息，用于告知接入点上述传输数据的保护方式。
在一些可行的实施方式中，接入点接到上述保护消息之后，可首先根据上述保护消息确定传输数据的保护方式，进而可根据保护方式从第二预存数据中获取相关的数据对传输数据进行解析。其中，若上述传输数据的保护方式为使用加密公钥和GPKenc对传输数据和 MAC0进行加密，接入点则可从第二预存数据中获取SKBS_ID_enc和GPKenc，并使用SKBS_ID_enc和GPKenc对保护消息进行解密以得到解密消息。进一步的，接入点还可从解密消息中获取保护消息携带的MAC0。接入点解密得到上述解密消息之后，还可将解密消息输入到一个系统函数，获得一个完整性校验码(具体可设定为第二完整性校验码MAC1)。其中，上述生成MAC1的数据中也可包含时间戳和序列号等信息。具体的，若接入点的广播消息中携带时间戳和序列号等信息，UE生成完整性校验码时可将时间戳和序列号添加到生成完整性校验码的数据中。相对应的，接入点验证UE发送的保护消息时，也可将时间戳和序列号等信息添加在生成用于验证保护消息的完整性校验码的数据中，具体可根据实际应用场景确定。下述各个应用场景中完整性校验码的生成也可根据实际应用场景需求确定是否添加时间戳和完整性校验码，在此不再赘述。当MAC1与MAC0相匹配时，则可获取上述保护消息中携带的传输数据，进而可将上述传输数据发送到核心网。
进一步的，在一些可行的实施方式中，UE需要向目标接入点(下面简称接入点)发送传输数据时，还可对传输数据进行签名。具体的，UE可在需要向接入点发送传输数据时，从第一预存数据中获取加密公钥、GPKenc、GPKsig以及SKUE_ID_Sig。进而可根据GPKsig和SKUE_ID_Sig对传输数据进行签名以得到签名Sig2，并使用上述加密公钥、GPKenc对传输数据、UE的标识信息和上述Sig2进行加密以得到保护消息。其中，上述保护消息可携带传输数据的保护方式的指示信息。上述传输数据的保护方式为使用加密公钥、GPKenc对传输数据以及上述Sig2进行加密。
具体实现中，UE对传输数据进行加密得到保护消息之后，则可将上述保护消息发送给接入点。其中，上述保护消息可包含一个指示位，上述指示位用于传输上述指示信息，用于告知接入点上述传输数据的保护方式。
在一些可行的实施方式中，接入点接到上述保护消息之后，可首先根据上述保护消息确定传输数据的保护方式，进而可根据保护方式从第二预存数据中获取相关的数据对传输数据进行解析。其中，上述传输数据的保护方式为使用使用加密公钥、GPKenc对传输数据以及上述Sig2进行加密。接入点根据加密方式的指示消息确定传输数据的保护方式为使用使用加密公钥、GPKenc对传输数据以及上述Sig2进行加密之后，可从第二预存数据中获取GPKenc和SKBS_ID_enc，并使用SKBS_ID_enc和GPKenc对保护消息进行解密以获取传输数据。进一步的，接入点还可从保护消息解密得到的解密消息中获取UE的标识信息(如UE_ID)和上述Sig2。具体实现中，UE向接入点发送保护消息时，可在上述保护消息中携带UE_ID等标识，以供接入点根据UE_ID等标识对保护消息中的签名进行验证，以确定是否将传输数据发送到核心网。
具体实现中，接入点根据加密方式的指示消息确定传输数据的保护方式为使用使用加密公钥、GPKenc对传输数据以及上述Sig2进行加密之后，可从第二预存数据中获取上述GPKsig，并使用UE_ID和上述GPKsig对上述保护消息中携带的Sig2进行验证。若上述当保护消息中的Sig2验证成功，接入点则可将传输数据发送到核心网。
在本发明实施例中，UE向接入点发送上行数据时，可使用接入点的身份等信息作为加密公钥，并使用IBC技术的全局公钥对上传传输数据进行加密，可以有效解决5G网络中对空口信令及其数据的保护，防止用户隐私、信令内容的泄露。接入点对UE发送的消息 进行解密和签名、完整性校验码等验证，过滤非法信令和数据，保护核心网的安全。
参见图3，图3是本发明实施例提供的保护系统在场景一中的一交互示意图。下面将结合图3，对本发明实施例提供的传输数据的保护系统中各个数据传输端在场景一中数据交互过程进行描述。其中，接入点为BS。当接入点为BS时，加密公钥可为BS_ID或者加密公钥中包含BS_ID。私钥SKBS_ID_enc和私钥SKBS_ID_Sig具体为BS对应的数据加密私钥和数据签名私钥。
在该应用场景中，UE和接入网(英文：Radio Access Network，RAN)使用IBE的技术对从UE到RAN的上行数据的传输实施了加密，但是UE不对消息提供认证信息，因此RAN对用户消息无认证能力。其中，上述RAN为接入点所属的网络，RAN可提供上述接入点的功能。在该应用场景中，RAN侧将以基站为例进行说明，UE和基站组成的系统执行数据传输包含的具体流程包括步骤：
31、基站获取IBC技术的系统参数。
具体实现中，基站可从网络中获取系统参数，其中，上述系统参数可包括加密公钥(如BS_ID)、全局公钥GPK，以及基站对应的加密或者签名的密钥SKBS_ID。当基站同时具有加密和签名的功能时，基站需要从网络中获取的系统参数包括两个全局公钥，分别为GPKenc和GPKSig，和两个私钥，分别为SKBS_ID_enc，SKBS_ID_Sig。
32、基站存储IBC技术的系统参数。
其中，上述系统参数包括BS_ID，GPKenc、GPKSig，SKBS_ID_enc和SKBS_ID_Sig等。
33、UE获取IBC技术的处理参数。
具体实现中，UE从网络中获取其所属运营商的operator ID和基于IBC技术的公钥GPK。GPK可以是两个，分别对应于加密和签名，如GPKenc和GPKSig。
34、基站发送广播消息。
具体实现中，广播消息中包含一个指示位(英文：indicator)，该指示位(如indicator1)可用于标明消息中是否包含PKI技术的公钥，或者IBC技术的公钥，或者还可用于指明基站的身份(即BS_ID)，或者用于表明基站是否支持IBE技术的加密，基站是否具有签名的能力等信息。广播消息中还可能携带时间戳或者一个消息序列号。
进一步的，基站可以使用GPKSig和私钥SKBS_ID_Sig对该消息进行签名得到Sig1。
35、UE验证消息并存储广播消息中携带的相关数据。
具体实现中，UE接收到基站发送的广播消息后，首先根据广播消息中包含的indicator1，确认基站是否支持基于公钥的加密及公钥的类型，其中，公钥的类型包括PKI公钥或者IBC公钥，本发明实施例将对IBC公钥进行描述，对PKI公钥不做限制。UE还可进一步确认消息中的Timestamp或者sequence number是否合法。UE还要确定消息中是否携带了签名。如果广播消息中包含一个签名(如上述Sig1)，UE根据基站所属运营商获得相应的operator ID(例如上述operator ID2)，并进一步确认operator ID2相对应的全局公钥GPKSig。UE使用基站的标识信息(如BS_ID)和GPKSig验证消息的合法性。如果消息合法，则存储广播消息中包含的加密公钥(如BS_ID，其中BS_ID也为基站的标识信息)、Timestamp以及Sequence number等信息。否则，UE丢弃该消息。具体实现中，上述签名和广播消息的 验证可参见上述S201-S206中各个步骤的相关描述，在此不再赘述。
36、UE生成完整性校验码，并对传输数据进行加密以得到保护消息。
具体实现中，当UE需要向RAN发送信令或者无连接的小数据时，UE首先根据接收方的ID(如BS_ID)从第一预存数据中获取BS_ID相对应的加密公钥(加密公钥具体可为BS_ID或者包含BS_ID的密钥)及BS_ID相对应的系统参数(如Timestamp，Sequence number和GPKenc)。UE把用户要加密的消息输入到一个系统函数(具体可为哈希函数(Hash))中获取一个完整性校验码(如MAC0)。其中，上述用户要加密的消息可为信令(或者无连接的小数据)，进一步的，上述用户要加密的消息也可包括信令(或者无连接的小数据)、Timestamp和Sequence number等。其中，timestamp或者Sequence number可以是UE最近接收到的数值。UE使用BS对应的加密公钥(BS_ID)或者全局公钥GPKenc对要发送的信令(或者无连接的小数据)及其MAC0进行加密操作以得到保护消息。
37、UE向基站发送由上述第36步加密的保护消息。
具体实现中，上述保护消息中包含一个指示位(如indicator2)，标明该保护消息是否被加密，或者该保护消息的保护方式，例如是否使用了BS_ID进行了消息的加密等。
38、基站验证UE发送的消息。
具体实现中，基站接收到UE发送的保护消息后，首先根据保护消息中携带的指示位(如indicator2)确定保护消息的保护方式。如果保护消息是使用BS_ID和GPKenc进行了加密，基站则可从其预存数据中获取BS_ID及其相对应的私钥SKBS_ID_enc、全局公钥GPKenc。进而基站可使用获取的参数(SKBS_ID_enc及其全局公钥GPKenc)对接收到的保护消息进行解密。如果消息中还包含了完整性校验码(MAC0)，基站进一步根据解密得到的消息生成另一个完整性校验码(MAC1)，通过MAC0和MAC1的比对来验证消息的完整性。
39、基站将解密后的消息发送到核心网。
具体实现中，若基站通过MAC0和MAC1的比对确定了保护消息的完整性，则可将保护消息中携带的传输数据发送到核心网。进一步的，完成消息验证后，基站可更新相关用户的计费信息，并发送到核心网的计费单元。
具体实现中，上述各个步骤的更多详细实现方式可参见上述S201-S206中各个步骤的相关描述，在此不再赘述。
参见图4，图4是本发明实施例提供的保护系统在场景一中的另一交互示意图。下面将结合图4，对本发明实施例提供的传输数据的保护系统中各个数据传输端在场景一中数据交互过程进行描述。其中，接入点为Wi-Fi AP。当接入点为Wi-Fi AP时，加密公钥可为Wi-Fi AP的MAC地址或者SSID。私钥SKBS_ID_enc和私钥SKBS_ID_Sig具体为Wi-Fi AP对应的数据加密私钥和数据签名私钥。
在该应用场景中，UE和Wi-Fi AP使用IBE的技术对从UE到RAN的数据实施了加密，但是UE不对消息提供认证信息，因此Wi-Fi AP对用户消息无认证能力。其中，上述RAN为接入点所属的网络，RAN可提供上述接入点的功能。在该应用场景中，RAN侧将以Wi-Fi AP为例进行说明，UE和Wi-Fi AP组成的系统执行数据传输包含的具体流程包括步骤：
41、Wi-Fi AP获取IBC技术的系统参数。
具体实现中，Wi-Fi AP可从网络中获取系统参数，其中，上述系统参数可包括加密公钥(如MAC地址或者SSID)、全局公钥GPK，以及基站对应的加密或者签名的密钥SKBS_ID。当Wi-Fi AP同时具有加密和签名的功能时，Wi-Fi AP需要从网络中获取的系统参数包括两个全局公钥，分别为GPKenc和GPKSig，和两个私钥，分别为SKBS_ID_enc，SKBS_ID_Sig。
42、Wi-Fi AP存储IBC技术的系统参数。
其中，上述系统参数包括MAC地址或者SSID、GPKenc、GPKSig，SKBS_ID_enc和SKBS_ID_Sig等。
43、UE获取IBC技术的处理参数。
具体实现中，UE从网络中获取其所属运营商的operator ID和基于IBC技术的公钥GPK。GPK可以是两个，分别对应于加密和签名，如GPKenc和GPKSig。
44、Wi-Fi AP发送广播消息或者单播消息。
具体实现中，上述广播消息可为Beacon，单播消息可为Probe response，下面将以广播消息为例进行说明。广播消息中包含一个指示位(英文：indicator)，该指示位(如indicator1)可用于标明消息中是否包含PKI技术的公钥，或者IBC技术的公钥，或者还可用于指明Wi-Fi AP的身份(即MAC地址或者SSID)，或者用于表明Wi-Fi AP是否支持IBE技术的加密，Wi-Fi AP是否具有签名的能力等信息。广播消息中还可能携带时间戳或者消息序列号。
进一步的，Wi-Fi AP可以使用MAC地址或者SSID和私钥SKBS_ID_Sig对该消息进行签名得到Sig1。
45、UE验证消息并存储广播消息或者单播消息中携带的相关数据。
具体实现中，UE接收到Wi-Fi AP发送的广播消息后，首先根据广播消息中包含的indicator1，确认Wi-Fi AP是否支持基于公钥的加密及公钥的类型，其中，公钥的类型包括PKI公钥或者IBC公钥，本发明实施例将对IBC公钥进行描述，对PKI公钥不做限制。UE还可进一步确认消息中的Timestamp或者sequence number是否合法。UE还要确定消息中是否携带了签名。如果广播消息中包含一个签名(如上述Sig1)，UE根据Wi-Fi AP的MAC地址或者SSID进一步确认MAC地址或者SSID相对应的全局公钥GPKSig。UE使用Wi-Fi AP的标识信息(如MAC地址或者SSID)和GPKSig验证消息的合法性。如果消息合法，则存储广播消息中包含的加密公钥(如MAC地址或者SSID，其中，MAC地址或者SSID也为Wi-Fi AP的标识信息)、Timestamp以及Sequence number等信息。否则，UE丢弃该消息。具体实现中，上述签名和广播消息的验证可参见上述S201-S206中各个步骤的相关描述，在此不再赘述。
46、UE生成完整性校验码，并对传输数据进行加密以得到保护消息。
具体实现中，当UE需要向RAN发送信令或者无连接的小数据时，UE首先根据接收方的ID(如MAC地址或者SSID)从第一预存数据中获取MAC地址或者SSID相对应的加密公钥(加密公钥具体可为MAC地址或者SSID或者包含MAC地址或者SSID的密钥)，以及MAC地址或者SSID相对应的系统参数(如Timestamp，Sequence number和GPKenc)。UE把用户要加密的消息输入到一个系统函数(具体可为哈希函数(Hash))中获取一个完整性校验码(如MAC0)。其中，上述用户要加密的消息可为信令(或者无连接的小数据)， 进一步的，上述用户要加密的消息也可包括信令(或者无连接的小数据)、Timestamp和Sequence number等。其中，timestamp或者Sequence number可以是UE最近接收到的数值。UE使用Wi-Fi AP对应的加密公钥(如MAC地址或者SSID)或者全局公钥GPKenc对要发送的信令(或者无连接的小数据)及其MAC0进行加密操作以得到保护消息。
47、UE向Wi-Fi AP发送由上述第46步加密的保护消息。该保护消息中包含一个指示位(如indicator2)，标明该保护消息是否被加密，或者该保护消息的保护方式，例如是否使用了Wi-Fi AP的MAC地址或者SSID进行了消息的加密等。
48、Wi-Fi AP进行消息验证。
具体实现中，Wi-Fi AP接受到UE发送的保护消息后，首先根据保护消息中携带的指示位(如indicator2)确定保护消息的保护方式。如果保护消息是使用MAC地址或者SSID和GPKenc进行了加密，Wi-Fi AP则可从其预存数据中获取MAC地址或者SSID及其相对应的私钥SKBS_ID_enc和全局公钥GPKenc。进而Wi-Fi AP可使用获取的参数(SKBS_ID_enc及其全局公钥GPKenc)对接收到的保护消息进行解密。如果消息中还包含了完整性校验码(MAC0)，Wi-Fi AP进一步根据解密得到的消息生成另一个完整性校验码(MAC1)，通过MAC0和MAC1的比对来验证消息的完整性。
49、Wi-Fi AP将解密后的消息发送到核心网。
具体实现中，若Wi-Fi AP通过MAC0和MAC1的比对确定了保护消息的完整性，则可将保护消息中携带的传输数据发送到核心网。具体实现中，上述各个步骤的更多详细实现方式可参见上述S201-S206中各个步骤的相关描述，在此不再赘述。
进一步的，在一些可行的实施方式中，UE需要向接入点发送传输数据时，还可根据加密公钥、全局公钥以及UE对应的数据加密私钥等数据生成对称钥，进而可使用对称钥对传输数据进行保护。具体的，UE可在需要向接入点发送传输数据时，从第一预存数据中获取加密公钥、GPKenc以及SKUE_ID_enc。进一步的，UE可根据上述加密公钥、GPKenc以及SKUE_ID_enc生成对称钥(设定为第一对称钥K1)，并将上述传输数据和上述K1输入系统函数以获取一个完整性校验码(设定为第三完整性校验码MAC2)。需要说明的是，本发明实施例中所描述的系统函数具体可为哈希函数，也可为其他可实现完整性校验码的生成的系统函数，具体可根据实际应用场景确定，在此不再做限制。
具体实现中，UE根据加密公钥、GPKenc以及SKUE_ID_enc生成K1之后，可使用上述加密公钥和上述GPKenc对传输数据、UE_ID等UE标识信息以及上述生成的MAC2进行加密以得到保护消息。进一步的，UE可在上述保护消息中携带上述传输数据的保护方式的指示信息，上述指示信息用于指示传输数据的保护方式为使用加密公钥和GPKenc对传输数据、UE_ID以及MAC2进行加密。
具体实现中，UE对传输数据进行加密得到保护消息之后，则可将上述保护消息发送给接入点。其中，上述保护消息可包含一个指示位，上述指示位用于传输上述指示信息，用于告知接入点上述传输数据的保护方式。
在一些可行的实施方式中，接入点接到上述保护消息之后，可首先根据上述保护消息确定传输数据的保护方式，进而可根据保护方式从第二预存数据中获取相关的数据对传输 数据进行解析。其中，上述传输数据的保护方式为使用加密公钥和GPKenc对传输数据、UE_ID以及MAC2进行加密。接入点可根据上述保护方式的指示消息确定传输数据的保护方式为使用加密公钥和GPKenc对传输数据、UE_ID以及MAC2进行加密，进而可从上述第二预存数据中获取GPKenc和SKBS_ID_enc，并使用上述SKBS_ID_enc和GPKenc对保护消息进行解密以得到解密消息。进一步的，接入点还可从上述解密消息中获取保护消息携带的MAC2、UE_ID以及传输数据，并使用上述加密公钥、UE_ID、GPKenc和SKBS_ID_enc生成对称钥K2。接入点生成上述K2之后，则可使用上述K2、UE_ID和解密得到的传输数据计算一个完整性校验码(设定为第四完整性校验码MAC3)。若上述MAC3与保护消息中携带的上述MAC2相匹配，接入点则可将上述保护消息中携带的UE发送的传输数据发送到核心网中。
需要说明的是，在本发明实施例中，同一个应用场景中，UE进行数据加密使用的加密公钥与接入点进行数据解密或者验证使用的加密公钥相同，进而可实现加密数据在接收方的正确解密。加密公钥通过广播消息等方式从传输数据接收方(即接入点)传递给传输数据发送方(即UE)，传输数据发送方使用传输数据接收方提供的公钥进行数据保护，进而可避免在数据传输中携带数据加密密钥等信息造成信息泄露，增强了网络的安全性。
参见图5，图5是本发明实施例提供的保护系统在场景二中的一交互示意图。下面将结合图5，对本发明实施例提供的传输数据的保护系统中各个数据传输端在场景二中数据交互过程进行描述。其中，接入点为BS。当接入点为BS时，加密公钥可为BS_ID或者加密公钥中包含BS_ID。私钥SKBS_ID_enc和私钥SKBS_ID_Sig具体为BS对应的数据加密私钥和数据签名私钥。
在该应用场景中，与上述图3所示的应用场景提供的实现方式不同的是，UE和RAN使用IBE的技术对从UE到RAN的上行数据的传输实施了加密，并且UE对消息提供认证信息，因此RAN对用户消息有认证能力。其中，上述RAN为接入点所属的网络，RAN可提供上述接入点的功能。在该应用场景中，RAN侧将以基站为例进行说明，UE和基站组成的系统执行数据传输包含的具体流程包括步骤：
51、基站获取IBC技术的系统参数。
具体实现中，基站可从网络中获取系统参数，其中，上述系统参数可包括加密公钥(如BS_ID)、全局公钥GPK，以及基站对应的加密或者签名的密钥SKBS_ID。当基站同时具有加密和签名的功能时，基站需要从网络中获取的系统参数包括两个全局公钥，分别为GPKenc和GPKSig，和两个私钥，分别为SKBS_ID_enc，SKBS_ID_Sig。
52、基站存储IBC技术的系统参数。
其中，上述系统参数包括BS_ID，GPKenc、GPKSig，SKBS_ID_enc和SKBS_ID_Sig等。
53、UE获取IBC技术的处理参数。
具体实现中，UE从网络中获取其所属运营商的operator ID1和基于IBC技术的公钥GPK以及私钥。GPK可以是两个，分别对应于加密和签名，如GPKenc和GPKSig。私钥也可以是两个，分别对应于加密和签名，如SKUE_ID_enc和SKUE_ID_sig。
54、基站发送广播消息。
具体实现中，广播消息中包含一个指示位，该指示位(如indicator1)可用于标明消息中是否包含PKI技术的公钥，或者IBC技术的公钥，或者还可用于指明基站的身份(即BS_ID)，或者用于表明基站是否支持IBE技术的加密，基站是否具有签名的能力等信息。广播消息中还可能携带时间戳或者一个消息序列号。
进一步的，基站可以使用BS_ID和私钥SKBS_ID_Sig对该消息进行签名得到Sig1。
55、UE验证消息并存储广播消息中携带的相关数据。
UE接收到基站发送的广播消息后，首先根据广播消息中包含的indicator1，确认基站是否支持基于公钥的加密及公钥的类型，其中，公钥的类型包括PKI公钥或者IBC公钥，本发明实施例将对IBC公钥进行描述，对PKI公钥不做限制。UE还可进一步确认消息中的Timestamp或者sequence number是否合法。UE还要确定消息中是否携带了签名。如果广播消息中包含一个签名(如上述Sig1)，UE根据基站所属运营商获得相应的operator ID(例如上述operator ID2)，并进一步确认operator ID2相对应的全局公钥GPKSig。UE使用基站的标识信息(如BS_ID)和GPKSig验证消息的合法性。如果消息合法，则存储广播消息中包含的加密公钥(如BS_ID，其中BS_ID也为基站的标识信息)、Timestamp以及Sequence number等信息。否则，UE丢弃该消息。具体实现中，上述签名和广播消息的验证可参见上述S201-S206中各个步骤的相关描述，在此不再赘述。
56、UE生成认证码，并使用加密公钥和全局公钥对传输数据进行加密以得到保护消息。
具体实现中，当UE需要向RAN发送信令或者无连接的小数据时，UE首先根据接收方的ID(如BS_ID)从第一预存数据中获取BS_ID相对应的加密公钥(加密公钥具体可为BS_ID或者包含BS_ID的密钥)及BS_ID相对应的系统参数(如Timestamp，Sequence number和GPKenc)。进一步的，UE可为需要发送的消息生成一个认证码。其中，生成认证码的方式可包括两种：
其一，UE使用私钥SKUE_ID、以及全局公钥GPKenc，以及加密公钥(即BS_ID)等数据生成一个对称钥(设定为K1)。UE把用户要加密的消息(即传输数据，例如信令或者无连接的小数据，进一步的还可包括一个时间戳或者序列号，时间戳或者序列号可以是UE最近接收到的数值，以及使用上述方法生成的K1)输入到一个系统函数中获取一个具有认证能力的完整性校验码(设定为MAC2)。
其二，UE直接使用GPKsig和SKUE_ID_sig对要发送的消息(即传输数据，例如信令或者无连接的小数据，进一步的还可包括一个时间戳或者序列号等)进行签名得到签名Sig2。
UE使用BS对应的加密公钥(BS_ID)和全局公钥GPKenc对要发送的信令(或者无连接的小数据)及其MAC2进行加密操作以得到保护消息。进一步的，UE也可UE使用BS对应的加密公钥(BS_ID)和全局公钥GPKenc对要发送的信令(或者无连接的小数据)及其Sig2进行加密操作以得到保护消息。
57、UE向基站发送由上述第56步加密的保护消息。
该保护消息中包含一个指示位(如indicator2)，标明该保护消息是否被加密，或者该保护消息的保护方式，例如是否使用了BS_ID进行了消息的加密等。
58、基站对保护消息进行验证。
具体实现中，基站接收到UE发送的保护消息后，首先根据保护消息中携带的指示位 (如indicator2)确定保护消息的保护方式。如果保护消息是使用BS_ID和GPKenc进行了加密，基站则可从其预存数据中获取BS_ID及其相对应的私钥SKBS_ID_enc、全局公钥GPKenc。进而基站可使用获取的参数(SKBS_ID_enc及其全局公钥GPKenc)对接收到的保护消息进行解密。
如果消息中还包含了认证码(完整性校验码或者签名)，基站则需进一步验证消息的完整性。如果消息使用了对称钥K1进行了完整性保护，则基站使用私钥SKBS_ID_enc、全局公钥GPKenc，以及UE_ID生成对称密钥K2，然后使用K2和UE_ID以及对保护消息进行解密得到的传输数据计算一个完整性校验码MAC3。通过MAC3和MAC2的比对来进行保护消息的验证。如果UE对该保护消息进行了签名，基站则使用消息中携带的UE_ID，结合全局公钥GPKsig(进一步的，还可包括其他参数如时间戳或者序列号等)对保护消息进行认证。
59、基站将解密后的消息发送到核心网。
具体实现中，若基站通过MAC3和MAC2的比对或者Sig2的验证确定了保护消息的完整性，则可将保护消息中携带的传输数据发送到核心网。具体实现中，上述各个步骤的更多详细实现方式可参见上述S201-S206中各个步骤的相关描述，在此不再赘述。
参见图6，图6是本发明实施例提供的保护系统在场景二中的另一交互示意图。下面将结合图6，对本发明实施例提供的传输数据的保护系统中各个数据传输端在场景二中数据交互过程进行描述。其中，接入点为Wi-Fi AP。当接入点为Wi-Fi AP时，加密公钥可为Wi-Fi AP的MAC地址或者SSID。私钥SKBS_ID_enc和私钥SKBS_ID_Sig具体为Wi-Fi AP对应的数据加密私钥和数据签名私钥。
在该应用场景中，与上述图3所示的应用场景提供的实现方式不同的是，UE和RAN使用IBE的技术对从UE到RAN的上行数据的传输实施了加密，并且UE对消息提供认证信息，因此RAN对用户消息有认证能力。其中，上述RAN为接入点所属的网络，RAN可提供上述接入点的功能。在该应用场景中，RAN侧将以Wi-Fi AP为例进行说明，UE和Wi-Fi AP组成的系统执行数据传输包含的具体流程包括步骤：
61、Wi-Fi AP获取IBC技术的系统参数。
具体实现中，Wi-Fi AP可从网络中获取系统参数，其中，上述系统参数可包括加密公钥(如MAC地址或者SSID)、全局公钥GPK，以及Wi-Fi AP对应的加密或者签名的密钥SKBS_ID。当Wi-Fi AP同时具有加密和签名的功能时，Wi-Fi AP需要从网络中获取的系统参数包括两个全局公钥，分别为GPKenc和GPKSig，和两个私钥，分别为SKBS_ID_enc，SKBS_ID_Sig。
62、Wi-Fi AP存储IBC技术的系统参数。
其中，上述系统参数包括MAC地址或者SSID，GPKenc、GPKSig，SKBS_ID_enc和SKBS_ID_Sig等。
63、UE获取IBC技术的处理参数。
具体实现中，UE从网络中获取其MAC地址和基于IBC技术的公钥GPK以及私钥。GPK可以是两个，分别对应于加密和签名，如GPKenc和GPKSig。私钥也可以是两个，分 别对应于加密和签名，如SKMAC_enc和SKMAC_sig。
64、Wi-Fi AP发送广播消息或者单播消息。
具体实现中，上述广播消息可为Beacon，单播消息可为Probe response，下面将以广播消息为例进行说明。广播消息中包含一个指示位(英文：indicator)，该指示位(如indicator1)可用于标明消息中是否包含PKI技术的公钥，或者IBC技术的公钥，或者还可用于指明Wi-Fi AP的身份(即MAC地址或者SSID)，或者用于表明Wi-Fi AP是否支持IBE技术的加密，Wi-Fi AP是否具有签名的能力等信息。广播消息中还可能携带时间戳或者消息序列号。
进一步的，Wi-Fi AP可以使用MAC地址或者SSID和私钥SKBS_ID_Sig对该消息进行签名得到Sig1。
65、UE验证消息并存储广播消息中携带的相关数据。
具体实现中，UE接收到Wi-Fi AP发送的广播消息后，首先根据广播消息中包含的indicator1，确认Wi-Fi AP是否支持基于公钥的加密及公钥的类型，其中，公钥的类型包括PKI公钥或者IBC公钥，本发明实施例将对IBC公钥进行描述，对PKI公钥不做限制。UE还可进一步确认消息中的Timestamp或者sequence number是否合法。UE还要确定消息中是否携带了签名。如果广播消息中包含一个签名(如上述Sig1)，UE根据Wi-Fi AP的MAC地址或者SSID进一步确认MAC地址或者SSID相对应的全局公钥GPKSig。UE使用Wi-Fi AP的标识信息(如MAC地址或者SSID)和GPKSig验证消息的合法性。如果消息合法，则存储广播消息中包含的加密公钥(如MAC地址或者SSID，其中MAC地址或者SSID也为基站的标识信息)、Timestamp以及Sequence number等信息。否则，UE丢弃该消息。具体实现中，上述签名和广播消息的验证可参见上述S201-S206中各个步骤的相关描述，在此不再赘述。
66、UE生成认证码，并使用加密公钥和全局公钥对传输数据进行加密以得到保护消息。
具体实现中，当UE需要向RAN发送信令或者无连接的小数据时，UE首先根据接收方的ID(如MAC地址或者SSID)从第一预存数据中获取MAC地址或者SSID相对应的加密公钥(加密公钥具体可为MAC地址或者SSID，或者包含MAC地址或者SSID的密钥)及MAC地址或者SSID相对应的系统参数(如Timestamp，Sequence number和GPKenc)。进一步的，UE可为需要发送的消息生成一个认证码。其中，生成认证码的方式可包括两种：
其一，UE使用私钥SKMAC_enc、以及全局公钥GPKenc，以及自己的MAC地址或者SSID等数据生成一个对称钥(设定为K1)。UE把用户要加密的消息(即传输数据，例如信令或者无连接的小数据，进一步的还可包括一个时间戳或者序列号，时间戳或者序列号可以是UE最近接收到的数值，以及使用上述方法生成的K1)输入到一个系统函数中获取一个具有认证能力的完整性校验码(设定为MAC2)。
其二，UE直接使用GPKsig和SKMAC_sig对要发送的消息(即传输数据，例如信令或者无连接的小数据，进一步的还可包括一个时间戳或者序列号等)进行签名得到签名Sig2。
UE使用WiFi AP对应的加密公钥(MAC地址或者SSID)和全局公钥GPKenc对要发送的信令(或者无连接的小数据)及其MAC2进行加密操作以得到保护消息。进一步的，UE也可UE使用WiFi AP对应的加密公钥(MAC地址或者SSID)和全局公钥GPKenc对 要发送的信令(或者无连接的小数据)及其Sig2进行加密操作以得到保护消息。
67、UE向Wi-Fi AP发送由上述第56步加密的保护消息。
该保护消息中包含一个指示位(如indicator2)，标明该保护消息是否被加密，或者该保护消息的保护方式，例如是否使用了WiFi AP的MAC地址或者SSID进行了消息的加密等。
68、Wi-Fi AP进行消息验证。
具体实现中，Wi-Fi AP接收到UE发送的保护消息后，首先根据保护消息中携带的指示位(如indicator2)确定保护消息的保护方式。如果保护消息是使用WiFi AP的MAC地址或者SSID、和GPKenc进行了加密，Wi-Fi AP则可从其预存数据中获取WiFi AP的MAC地址或者SSID及其相对应的私钥SKBS_ID_enc、全局公钥GPKenc。进而基站可使用获取的参数(SKBS_ID_enc及其全局公钥GPKenc)对接收到的保护消息进行解密。
如果消息中还包含了认证码(完整性校验码或者签名)，Wi-Fi AP则需进一步验证消息的完整性。如果消息使用了对称钥K1进行了完整性保护，则Wi-Fi AP使用加密公钥(如WiFi AP的MAC地址或者SSID)、私钥SKBS_ID_enc、全局公钥GPKenc，以及UE_ID生成对称密钥K2，然后使用K2和UE_ID以及对保护消息进行解密得到的传输数据计算一个完整性校验码MAC3。通过MAC3和MAC2的比对来进行保护消息的验证。如果UE对该保护消息进行了签名，Wi-Fi AP则使用消息中携带的UE_ID，结合全局公钥GPKsig(进一步的，还可包括其他参数如时间戳或者序列号等)对保护消息进行认证。
69、Wi-Fi AP将解密后的消息发送到核心网。
具体实现中，若Wi-Fi AP通过MAC3和MAC2的比对或者Sig2的验证确定了保护消息的完整性，则可将保护消息中携带的传输数据发送到核心网。具体实现中，上述各个步骤的更多详细实现方式可参见上述S201-S206中各个步骤的相关描述，在此不再赘述。
参见图7，图7是本发明实施例提供的保护系统在场景三中的交互示意图。下面将结合图7，对本发明实施例提供的传输数据的保护系统中各个数据传输端在场景三中数据交互过程进行描述。其中，接入点为BS。当接入点为BS时，加密公钥可为BS_ID或者加密公钥中包含BS_ID。私钥SKBS_ID_enc和私钥SKBS_ID_Sig具体为BS对应的数据加密私钥和数据签名私钥。
在该应用场景中，与上述图3所示的应用场景提供的实现方式不同的是，UE和RAN使用IBE的技术对从UE到RAN的上行数据的传输实施了加密，并且UE对消息提供认证信息，因此RAN对用户消息有认证能力。其中，上述RAN为接入点所属的网络，RAN可提供上述接入点的功能。在该应用场景中，UE和RAN组成的系统还可和核心网中的网元进行数据交互，其中，核心网中的网元包括：用户面网关(英文：User Plane Gateway，UP-GW)、KMS和控制面认证单元(英文：Control Plane Authentication Unit，CP-AU)等。下面RAN侧将以基站为例进行说明，UE和基站组成的系统执行数据传输包含的具体流程包括步骤：
71、基站获取IBC技术的系统参数。
具体实现中，基站可从KMS中获取系统参数，其中，上述系统参数可包括加密公钥(如BS_ID)、全局公钥GPK，以及基站对应的加密或者签名的密钥SKBS_ID。当基站同时具有 加密和签名的功能时，基站需要从网络中获取的系统参数包括两个全局公钥，分别为GPKenc和GPKSig，两个私钥，分别为SKBS_ID_enc，SKBS_ID_Sig。
72、基站存储IBC技术的系统参数。
其中，上述系统参数包括BS_ID，GPKenc、GPKSig，SKBS_ID_enc和SKBS_ID_Sig等。
73、UP-GW从KMS获取IBC技术的系统参数。
其中，上述UP-GW从KMS获取的系统参数包括GPKenc和GPKSig，分别用于加密和签名。
74、UE与核心网进行交互认证。
其中，UE与核心网进行交互认证时可核心网中的认证单元可为3GPP TR 23.799中定义的CP-AU，具体认证方式可参见3GPP TR 23.799中描述的实现方式，在此不再赘述。
75、UE通知核心网的KMS与核心网认证成功。
76、UE获取IBC技术的处理参数。
具体实现中，UE从KMS获取其所属运营商的operator ID和基于IBC技术的公钥GPK以及私钥。GPK可以是两个，分别对应于加密和签名，如GPKenc和GPKSig。私钥也可以是两个，分别对应于加密和签名，如SKUE_ID_enc和SKUE_ID_sig。
77、基站发送广播消息。
具体实现中，广播消息中包含一个指示位，该指示位(如indicator1)可用于标明消息中是否包含PKI技术的公钥，或者IBC技术的公钥，或者还可用于指明基站的身份(即BS_ID)，或者用于表明基站是否支持IBE技术的加密，基站是否具有签名的能力等信息。广播消息中还可能携带时间戳或者一个消息序列号。
进一步的，基站可以使用BS_ID和私钥SKBS_ID_Sig对该消息进行签名得到Sig1。
78、UE验证消息并存储广播消息中携带的相关数据。
具体实现中，UE接收到基站发送的广播消息后，首先根据广播消息中包含的indicator1，确认基站是否支持基于公钥的加密及公钥的类型，其中，公钥的类型包括PKI公钥或者IBC公钥，本发明实施例将对IBC公钥进行描述，对PKI公钥不做限制。UE还可进一步确认消息中的Timestamp或者sequence number是否合法。UE还要确定消息中是否携带了签名。如果广播消息中包含一个签名(如上述Sig1)，UE根据基站所属运营商获得相应的operator ID(例如上述operator ID2)，并进一步确认operator ID2相对应的全局公钥GPKSig。UE使用基站的标识信息(如BS_ID)和GPKSig验证消息的合法性。如果消息合法，则存储广播消息中包含的加密公钥(如BS_ID，其中BS_ID也为基站的标识信息)、Timestamp以及Sequence number等信息。否则，UE丢弃该消息。具体实现中，上述签名和广播消息的验证可参见上述S201-S206中各个步骤的相关描述，在此不再赘述。
79、UE生成认证码，并使用加密公钥和全局公钥对传输数据进行加密以得到保护消息。
具体实现中，当UE需要向RAN发送信令或者无连接的小数据时，UE首先根据接收方的ID(如BS_ID)从第一预存数据中获取BS_ID相对应的加密公钥(加密公钥具体可为BS_ID或者包含BS_ID的密钥)及BS_ID相对应的系统参数(如Timestamp，Sequence number和GPKenc)。进一步的，UE可为需要发送的消息生成一个认证码。其中，生成认证码的方式可包括两种：
其一，UE使用私钥SKUE_ID、以及全局公钥GPKenc，以及加密公钥(即BS_ID)等数据生成一个对称钥(设定为K1)。UE把用户要加密的消息(即传输数据，例如信令或者无连接的小数据，进一步的还可包括一个时间戳或者序列号，时间戳或者序列号可以是UE最近接收到的数值，以及使用上述方法生成的K1)输入到一个系统函数中获取一个具有认证能力的完整性校验码(设定为MAC2)。
其二，UE直接使用GPKsig和SKUE_ID_sig对要发送的消息(即传输数据，例如信令或者无连接的小数据，进一步的还可包括一个时间戳或者序列号等)进行签名得到签名Sig2。
UE使用BS对应的加密公钥(BS_ID)和全局公钥GPKenc对要发送的信令(或者无连接的小数据)及其MAC2进行加密操作以得到保护消息。进一步的，UE也可UE使用BS对应的加密公钥(BS_ID)和全局公钥GPKenc对要发送的信令(或者无连接的小数据)及其Sig2进行加密操作以得到保护消息。
710、UE向基站发送由上述第79步加密的保护消息。
具体实现中，上述保护消息中包含一个指示位(如indicator2)，标明该保护消息是否被加密，或者该保护消息的保护方式，例如是否使用了BS_ID进行了消息的加密，以及是否使用了UE_ID进行了消息的签名等。
711、基站验证UE发送的消息。
具体实现中，基站接收到UE发送的保护消息后，首先根据保护消息中携带的指示位(如indicator2)确定保护消息的保护方式。如果保护消息是使用BS_ID和GPKenc进行了加密，基站则可从其预存数据中获取BS_ID及其相对应的私钥SKBS_ID_enc、全局公钥GPKenc。进而基站可使用获取的参数(SKBS_ID_enc及其全局公钥GPKenc)对接收到的保护消息进行解密。
如果消息中还包含了认证码(完整性校验码或者签名)，基站则需进一步验证消息的完整性。如果消息使用了对称钥K1进行了完整性保护，则基站使用加密公钥(如BS_ID)、私钥SKBS_ID_enc、全局公钥GPKenc，以及UE_ID生成对称密钥K2，然后使用K2和UE_ID以及对保护消息进行解密得到的传输数据计算一个完整性校验码MAC3。通过MAC3和MAC2的比对来进行保护消息的验证。如果UE对该保护消息进行了签名，基站则使用消息中携带的UE_ID，结合全局公钥GPKsig(进一步的，还可包括其他参数如时间戳或者序列号等)对保护消息进行认证。
712、基站将解密后的消息发送到核心网。
具体实现中，基站对保护消息认证通过之后，可将解密后的消息发送给核心网的UP-GW。其中，发送给UP-GW的消息中包含UE_ID和UE使用SKUE_ID_sig对消息产生的签名等信息。
713、UP-GW验证消息。
具体实现中，UP-GW接收到消息之后，可使用GPKsig和UE_ID对消息中携带的签名进行验证。具体验证方式可参见上述各个应用场景中描述的签名的验证方式，在此不再赘述。验证通过后，则进一步转发给其它路由器或者服务器。
具体实现中，上述各个步骤的更多详细实现方式可参见上述S201-S206中各个步骤的相关描述，在此不再赘述。
参见图8，图8是本发明实施例提供的保护系统在场景四中的交互示意图。下面将结合图8，对本发明实施例提供的传输数据的保护系统中各个数据传输端在场景四中数据交互过程进行描述。其中，接入点为BS。
在该应用场景中，数据的加密和解密是基于PKI，密钥为基于PKI的公钥和私钥。UE和RAN可使用PKI技术，结合上述使用IBC技术的相同原理的实现方式实现传输数据的保护。在该用于场景中，UE和RAN使用PKI的技术对从UE到RAN的数据实施了加密，但是UE不对消息提供认证信息，因此RAN对用户消息无认证能力。具体流程包括如下步骤：
81、基站获取基于PKI技术的系统参数。
具体实现中，上述系统参数包括基站的身份(如BS_ID)，基站用于加密的公钥PK1及其证书和解密的公钥PK2及其证书，用于加密的私钥SK1和用于解密的私钥SK2等。
82、基站存储基于PKI技术的系统参数。
具体实现中，上述系统参数包括BS_ID，PK1、PK2、SK1和SK2等。
83、UE从网络获取运营商的operator ID和基于PKI技术的PK1和PK2等。
84、基站发送广播消息。
具体实现中，广播消息中包含一个指示位(如indicator3)，该指示位标明消息中是否包含基于PKI的公钥PK(包括PK1和PK2)及其证书。
85、UE使用PKI密钥验证广播消息。
具体实现中，UE接收到基站发送的广播消息后，首先根据广播消息中包含的indicator3，确认基站是否支持基于PKI公钥的加密。UE进一步确认消息中的Timestamp或者sequence number是否合法。UE还要确定消息中是否携带了签名。如果广播消息中还包含一个签名，UE使用PK2验证消息的合法性。如果消息合法，则存储BS_ID，PK1和PK2，进一步的，还可存储Timestamp，或者Sequence number等。否则，如果消息不合法，UE丢弃该消息。
86、UE进行传输数据的保护。
具体实现中，当UE需要向网络侧发送传输数据(包括信令或者是无连接的小数据)时，UE首先根据基站的BS_ID获取相应的加密公钥PK1，及其Timestamp和Sequence number等数据，并将获取的上述数据输入到一个系统函数中获取一个完整性校验码(设为MAC8)。UE使用BS_ID和PK1对要发送的消息及其MAC8进行加密操作。
87、UE向基站发送由上述第86步加密的消息。
具体实现中，上述消息中包含一个指示位(如indicator4)，标明该消息是否被加密，或者是否使用了基站的基于PKI的公钥进行了加密。
88、基站验证消息。
具体实现中，基站接收到UE发送的消息后，首先根据消息中携带的指示位确定消息的加密方式。如果消息是使用PKI公钥PK1进行了加密，基站获取基站相对应的私钥SK1并使用获取的SK1等参数对接收到消息进行解密。如果消息中还包含了完整性保护码，基站进一步根据SK1等参数验证消息的完整性。
89、基站将解密后的消息发送到核心网。
具体实现中，上述各个步骤的更多详细实现方式可参见上述基于IBS技术的各个应用场景中各个步骤的相关描述，在此不再赘述。
参见图9，是本发明实施例提供的数据传输的另一传输架构图。在图9所示的传输架构中，可包括UE、接入点和核心网节点等数据传输端。其中，接入点可包括BS，Wi-Fi AP或者作为网络热点的热点UE。其中，上述BS可为3G网络中的NB，也可为4G网络中的eNB，或者更前的网络时代中的基站，在此不做限制。本发明实施例将以BS为例进行说明。
其中，上述核心网节点可包括：CP-AU、HSS、控制面功能(英文：Control Plane Function，CP-Function)或者KMS等。
参见图10，图10是本发明实施例提供的传输数据的保护系统进行数据传输的另一交互示意图。本发明实施例提供的保护系统中各个数据传输端进行数据传输的过程可包括步骤：
S901，UE在需要发送传输数据时，从其第一预存数据中获取加密公钥、全局公钥或者UE对应的私钥对传输数据进行保护以得到保护消息。
S902，UE向接入点发送保护消息。
S903，接入点向核心网节点发送保护消息。
S904，核心网节点在接收到保护消息之后，根据保护方式的指示消息从其第二预存数据中获取全局公钥和核心网节点对应的私钥对保护消息进行解析。
在一些可行的实施方式中，UE发送通过BS发送传输数据到核心网之前，可与核心网进行交互认证。具体的，核心网节点可预先从KMS获取系统参数，并将获取的系统参数存储在核心网节点的指定存储空间，即可将获取的系统参数存储为核心网节点的预存数据(设为第二预存数据)。其中，核心网节点从KMS获取的系统参数可包括加密公钥，或者第一全局公钥和第五私钥，或者第二全局公钥和第六私钥等。其中，核心网节点从KMS获取的系统参数具体包含的信息可根据核心网节点在实际应用场景中执行的数据传输操作的需求确定，在此不做限制。
具体实现中，上述加密公钥可为核心网节点的标识，如核心网节点的ID，或者上述加密公钥包含核心网节点的ID等。若具体应用场景中，上述核心网节点为CP_AU，则上述加密公钥可为CP-AU的身份(即CP_AU_ID)，或者上述加密公钥包含CP_AU_ID。其中，上述加密公钥包含CP_AU_ID表示上述加密公钥由CP_AU_ID和其他数据构成，CP_AU_ID只是加密公钥的长串数据中的一部分数据，具体可根据时间采用的加密公钥的数据形式确定，在此不做限制。
若具体应用场景中，上述接入点为HSS，则上述加密公钥可为HSS_ID，或者上述加密公钥包含HSS_ID。具体实现中，接入点为HSS时，加密公钥的具体组成形式可根据实际应用场景确定，在此不做限制。
进一步的，具体实现中，上述接入点从KMS获取的第一全局公钥可为IBC技术的数据加密全局公钥GPKenc。第五私钥可使用IBC技术根据核心网节点的ID和上述GPKenc生成的核心网节点对应的数据加密私钥SKCP_ID_enc。其中，上述CP-AU和HSS在数据传输中都作为核心网节点，上述生成数据加密私钥时使用的核心网节点的ID包括CP_AU_ID和 HSS_ID，因此核心网节点对应的数据加密私钥均表示为SKCP_ID_enc。上述第二全局公钥为IBC技术的数据签名全局公钥GPKSig。第六私钥为使用IBC技术根据核心网节点的ID和上述GPKSig生成的核心网节点对应的数据签名私钥SKCP_ID_Sig。
在一些可行的实施方式中，UE可从核心网获取加密公钥和用于处理传输数据的核心网处理参数，并将上述加密公钥和核心网处理参数存储为UE的第一预存数据。其中，上述核心网处理参数可包括全局公钥或者UE对应的私钥等。其中，上述全局公钥包括第一全局公钥和第二全局公钥，上述私钥包括第三私钥和第四私钥。其中，上述第一全局公钥为与核心网节点获取的第一全局公钥相同的数据加密全局公钥GPKenc。上述第二全局公钥为与核心网节点获取的第二全局公钥相同的数据签名全局公钥GPKsig。上述第三私钥可使用IBC技术根据UE_ID和上述GPKenc生成的UE对应的数据加密私钥SKUE_ID_enc。上述第四私钥为使用IBC技术根据UE_ID和上述GPKsig生成的UE对应的数据签名私钥SKUE_ID_Sig。
在一些可行的实施方式中，UE可在需要向接入点发送传输数据时，可根据核心网节点的ID等标识信息从第一预存数据中获取核心网节点对应的加密公钥和GPKenc。例如，若上述核心网节点为CP-AU，则可根据CP_AU_ID从第一预存数据中获取加密公钥，其中，加密公钥可为CP_AU_ID，或者加密公钥包含CP_AU_ID。进一步的，UE可使用加密公钥、GPKenc对传输数据进行加密以得到保护消息。其中，上述保护消息可携带传输数据的保护方式的指示信息。上述传输数据的保护方式为使用加密公钥和GPKenc对传输数据进行加密。
具体实现中，UE对传输数据进行加密得到保护消息之后，则可将上述保护消息发送给接入点。其中，上述保护消息可包含一个指示位，上述指示位用于传输上述指示信息，用于告知核心网节点上述传输数据的保护方式。接入点接收到上述保护消息之后，可向核心网节点转发上述保护消息以及上述保护消息中携带的指示信息等。
在一些可行的实施方式中，核心网节点接到上述保护消息之后，可首先根据上述保护消息确定传输数据的保护方式，进而可根据保护方式从第二预存数据中获取相关的数据对传输数据进行解析。其中，若上述传输数据的保护方式为使用加密公钥和GPKenc对传输数据进行加密，核心网节点则可从第二预存数据中获取SKCP_ID_enc和GPKenc，并使用SKBS_ID_enc和GPKenc对保护消息进行解密以得到解密消息。
进一步的，在一些可行的实施方式中，UE需要向核心网节点发送传输数据时，还可对传输数据进行签名。具体的，UE可在需要向核心网节点发送传输数据时，从第一预存数据中获取加密公钥、GPKenc、GPKsig以及SKUE_ID_Sig。进而可根据GPKsig和SKUE_ID_Sig对传输数据进行签名以得到签名Sig3，并使用上述加密公钥、GPKenc对传输数据、UE的标识信息和上述Sig3进行加密以得到保护消息。其中，上述保护消息可携带传输数据的保护方式的指示信息。上述传输数据的保护方式为使用加密公钥、GPKenc对传输数据以及上述Sig3进行加密。
具体实现中，UE对传输数据进行加密得到保护消息之后，则可将上述保护消息发送给接入点。接入点可将上述保护消息转发给核心网节点。其中，上述保护消息可包含一个指示位，上述指示位用于传输上述指示信息，用于告知接入点上述传输数据的保护方式。
在一些可行的实施方式中，核心网节点接到上述保护消息之后，可首先根据上述保护消息确定传输数据的保护方式，进而可根据保护方式从第二预存数据中获取相关的数据对 传输数据进行解析。其中，上述传输数据的保护方式为使用使用加密公钥、GPKenc对传输数据以及上述Sig3进行加密。核心网节点根据加密方式的指示消息确定传输数据的保护方式为使用使用加密公钥、GPKenc对传输数据以及上述Sig3进行加密之后，可从第二预存数据中获取GPKenc和SKCP_ID_enc，并使用SKCP_ID_enc和GPKenc对保护消息进行解密以获取传输数据。进一步的，核心网节点还可从保护消息解密得到的解密消息中获取UE的标识信息(如UE_ID)和上述Sig3。具体实现中，UE向核心网节点发送保护消息时，可在上述保护消息中携带UE_ID等标识，以供核心网节点根据UE_ID等标识对保护消息中的签名进行验证。
具体实现中，核心网节点根据加密方式的指示消息确定传输数据的保护方式为使用使用加密公钥、GPKenc对传输数据以及上述Sig3进行加密之后，可从第二预存数据中获取上述GPKsig，并使用UE_ID和上述GPKsig对上述保护消息中携带的Sig3进行验证。若上述当保护消息中的Sig3验证成功，核心网节点则可将传输数据发送到核心网中的相关网元。
进一步的，在一些可行的实施方式中，UE需要向核心网节点发送传输数据时，还可根据加密公钥、全局公钥以及UE对应的数据加密私钥等数据生成对称钥K3，进而可使用对称钥对传输数据进行保护。具体的，UE可在需要向核心网节点发送传输数据时，从第一预存数据中获取加密公钥、GPKenc以及SKUE_ID_enc。进一步的，UE可根据上述加密公钥、GPKenc以及SKUE_ID_enc生成对称钥(设定为K3)，并将上述传输数据和上述K3输入系统函数以获取一个完整性校验码(设定为第四完整性校验码MAC3)。需要说明的是，本发明实施例中所描述的系统函数具体可为哈希函数，也可为其他可实现完整性校验码的生成的系统函数，具体可根据实际应用场景确定，在此不再做限制。
具体实现中，UE根据加密公钥、GPKenc以及SKUE_ID_enc生成K3之后，可使用上述加密公钥和上述GPKenc对传输数据、UE_ID等UE标识信息以及上述生成的MAC3进行加密以得到保护消息。进一步的，UE可在上述保护消息中携带上述传输数据的保护方式的指示信息，上述指示信息用于指示传输数据的保护方式为使用加密公钥和GPKenc对传输数据、UE_ID以及MAC3进行加密。
具体实现中，UE对传输数据进行加密得到保护消息之后，则可将上述保护消息发送给接入点。接入点可将上述保护消息发送给核心网节点。其中，上述保护消息可包含一个指示位，上述指示位用于传输上述指示信息，用于告知接入点上述传输数据的保护方式。
在一些可行的实施方式中，核心网节点接到上述保护消息之后，可首先根据上述保护消息确定传输数据的保护方式，进而可根据保护方式从第二预存数据中获取相关的数据对传输数据进行解析。其中，上述传输数据的保护方式为使用加密公钥和GPKenc对传输数据、UE_ID以及MAC3进行加密。核心网节点可根据上述保护方式的指示消息确定传输数据的保护方式为使用加密公钥和GPKenc对传输数据、UE_ID以及MAC3进行加密，进而可从上述第二预存数据中获取GPKenc和SKCP_ID_enc，并使用上述SKCP_ID_enc和GPKenc对保护消息进行解密以得到解密消息。进一步的，核心网节点还可从上述解密消息中获取保护消息携带的MAC3、UE_ID以及传输数据，并使用上述加密公钥、UE_ID、GPKenc和SKCP_ID_enc生成对称钥K4。核心网节点生成上述K4之后，则可使用上述K4、UE_ID和解密得到的传输数据计算一个完整性校验码(设定为第五完整性校验码MAC4)。若上述MAC4与保 护消息中携带的上述MAC3相匹配，核心网节点则可将上述保护消息中携带的UE发送的传输数据发送到核心网中相关网元。
需要说明的是，在本发明实施例中，同一个应用场景中，UE进行数据加密使用的加密公钥与核心网节点进行数据解密或者验证使用的加密公钥相同，进而可实现加密数据在接收方的正确解密。加密公钥通过KMS下发等方式从核心网传递给UE，传输数据发送方使用传输数据接收方提供的公钥进行数据保护，进而可避免在数据传输中携带数据加密密钥等信息造成信息泄露，增强了网络的安全性。
在本发明实施例中，UE向核心网节点发送上行数据时，可使用核心网节点的身份等信息作为加密公钥，并使用IBC技术的全局公钥和核心网节点对应的私钥对上传传输数据进行加密，可以有效解决5G网络中对空口信令及其数据的保护，防止用户隐私、信令内容的泄露。核心网节点对UE发送的消息进行解密和签名、完整性校验码等验证，过滤非法信令和数据，保护核心网的安全。
参见图11，图11是本发明实施例提供的保护系统在场景五中的一交互示意图。下面将结合图11，对本发明实施例提供的传输数据的保护系统中各个数据传输端在场景五中数据交互过程进行描述。其中，上述核心网节点具体可为CP-AU，则对应的加密公钥则为CP_AU_ID或者包含CP_AU_ID。
在该应用场景中，UE和CP-AU使用基于IBC的技术对从UE到核心网的信令和数据实施了加密，具体流程如下步骤：
111、CP-AU获取基于IBC的系统参数。
具体实现中，CP-AU可从KMS中获取系统参数。其中，上述系统参数包括CP_AU_ID，GPKenc，GPKsig，SKCP_AU_ID_enc以及SKCP_AU_ID_sig等。CP-AU获取得到上述系统参数之后可将上述系统参数存储为其预存数据。
112、UE与CP-AU完成交互认证。
UE与CP-AU认证完成之后，UE告知CP-AU该UE支持基于IBC的加密能力。
113、UE从核心网获取核心网处理参数。
其中，上述核心网处理参数包括CP_AU_ID、GPKsig和GPKenc，或者还包含UE_ID、SKUE_ID_enc和SKUE_ID_sig。
114、UE存储上述步骤113获取的核心网处理参数。
进一步的，UE可将上述核心网处理参数存储为其预存数据。
115、UE根据核心网处理参数对需要发送的传输数据进行保护。
具体实现中，UE收到应用需要发送的信令或者数据，从第一预存数据中获取CP_AU_ID,GPKsig，GPKenc等参数，UE使用GPKsig和SKUE_ID_sig对信令或者数据进行签名，UE还可使用CP_AU_ID和GPKenc对数据或者信令进行加密以得到保护消息。
116、UE将加密后的信令或者数据发给基站。
117、基站向CP-AU转发加密后的信令或者数据。
118、CP-AU验证收到的信令或者数据。
CP-AU使用GPKenc和SKCP_AU_ID_enc解密数据或者信令，进一步的，CP-AU还可使用 UE_ID和GPKsig对保护消息中携带的签名进行验证。具体实现中，上述CP-AU对保护消息中的加密数据进行解密以及保护消息中的签名进行验证的具体实现方式可参见上述各个应用场景中各个步骤描述的实现方式，在此不再赘述。
119、CP-AU转发数据。
具体实现中，CP-AU对保护消息进行解密和验证之后，若判断得接收到的消息是用户面数据包，CP-AU则可根据解密后的数据包中包含的地址信息，向相对应的核心网数据网关(如UP_GW)转发数据。若判断得接收到的的消息是信令消息时，CP-AU则可根据解密后的数据包中包含的信息，自己处理或者向相对应的核心网节点(如HSS)发送信令。
具体实现中，上述各个步骤的更多详细实现方式可参见上述S901-S904中各个步骤的相关描述，在此不再赘述。
参见图12，图12是本发明实施例提供的保护系统在场景五中的另一交互示意图。下面将结合图12，对本发明实施例提供的传输数据的保护系统中各个数据传输端在场景五中数据交互过程进行描述。其中，上述核心网节点具体可为HSS，则对应的加密公钥则为HSS_ID或者包含HSS_ID。
在该应用场景中，UE和HSS使用基于IBC的技术对从UE到核心网的信令和数据实施了加密，具体流程如下步骤：
121、HSS获取基于IBC的系统参数。
具体实现中，HSS可从KMS中获取系统参数，其中，上述系统参数可包括HSS_ID、GPKenc、GPKsig、SKHSS_ID_enc和SKHSS_ID_sig等。HSS可将上述系统参数存储为其预存数据。
122、UE与CP-AU完成交互认证。
具体实现中，UE与CP-AU完成交互认证之后，还可告知CP-AU该UE支持基于IBC的加密或者认证等能力。
123、UE从核心网获取核心网处理参数。
其中，上述核心网处理参数可包括：HSS_ID、GPKsig和GPKenc等。
124、UE存储上述步骤123获取的核心网处理参数。
进一步的，UE可将获取的核心网处理参数存储为其预存数据。
125、UE根据核心网处理参数对需要发送的传输数据进行保护。
具体实现中，UE收到应用需要发送的信令(如attach消息)时，可从第一预存数据中获取HSS_ID、GPKsig和GPKenc等参数，使用HSS_ID和GPKenc对信令加密以得到保护消息。
126、UE将加密后的信令发送给基站。
其中，上述加密后的信令中携带HSS_ID。
127、基站向CP-AU转发加密后的信令。
128、CP-AU向HSS转发加密后的信令。
129、HSS解密信令。
具体实现中，HSS使用HSS_ID、GPKenc和SKHSS_ID_enc等参数解密信令并与UE开展后续信令交互。
具体实现中，上述各个步骤的更多详细实现方式可参见上述S901-S904中各个步骤的相关描述，在此不再赘述。
参见图13，图13是本发明实施例提供的保护系统在场景五中的另一交互示意图。下面将结合图13，对本发明实施例提供的传输数据的保护系统中各个数据传输端在场景五中数据交互过程进行描述。其中，上述核心网节点具体可为CP-AU和CP-Function，则对应的加密公钥则为CP_AU_ID或者包含CP_AU_ID。
在该应用场景中，UE和CP-AU使用基于IBC的技术对从UE到核心网的信令和数据实施了加密，具体流程如下步骤：
131、UE与CP-AU进行交互认证。
具体实现中，UE与CP-AU进行相互认证成功之后，UE可告知CP-AU其支持的基于IBC的加密和认证等能力。
132、UE从核心网获取核心网处理参数。
具体实现中，上述核心网处理参数可包括CP_AU_ID、GPKsig、GPKenc和SKUE_ID等。
133、UE存储上述步骤132获取的核心网处理参数。
具体实现中，UE可将获取得到的核心网处理参数存储为其预存数据。
134、UE对传输数据进行保护。
具体实现中，UE收到应用需要发送的传输数据之后，可从其预存数据中获取CP_AU_ID、GPKsig和GPKenc等参数，UE使用CP_AU_ID、SKUE_ID、GPKsig和GPKenc等参数生成对称密钥K3，使用K3对数据进行加密并提供完整性保护MAC3以得到保护消息。
135、UE将上述保护消息发送给基站。
其中，上述保护消息中携带UE_ID，传输数据和MAC3等，其中包含UE_ID具体可为全球唯一临时UE标识(英文：Globally Unique Temporary UE Identity，GUTI)。
136、基站向核心网的CP-Function转发数据。
其中，上述CP-Function是核心网专门处理小数据的节点。
137、CP-Function获取解密数据。
CP-Function可使用GUTI获取UE_ID，并使用UE_ID,SKCP_AU_ID、GPKenc或者GPKsig生成对称密钥K4。进一步的，可根据K4和UE_ID以及保护消息对消息中包含的MAC3进行验证并获取传输数据。
具体实现中，上述各个步骤的更多详细实现方式可参见上述S901-S904中各个步骤的相关描述，在此不再赘述。
参见图14，是本发明实施例提供的数据传输的另一传输架构图。在图14所示的传输架构中，可包括UE、接入点和核心网节点等数据传输端。其中，接入点可包括基站(英文：Base Station，BS)，无线保真(英文：Wireless-Fidelity，Wi-Fi)网络中的接入点(英文：Access Point，AP)或者作为网络热点的热点UE。其中，上述BS可为3G网络中的基站(英文：Node B，NB)，也可为4G网络中的演进性基站(英文：Evolved Node B，eNB)，或者更前的网络时代中的基站，在此不做限制。本发明实施例将以BS为例进行说明。
其中，上述核心网节点可包括：核心网认证节点CP-AU、HSS、CP-Function或者UP-Function等。
参见图15，图15是本发明实施例提供的传输数据的保护系统进行下行数据传输的交互示意图。本发明实施例提供的保护系统中各个数据传输端进行数据传输的过程可包括步骤：
S1501，核心网节点接收用户面网关下发的传输数据。
进一步的，核心网节点还可从其第二预存数据中获取UE的标识信息、基于身份的密码IBC技术的全局公钥以及核心网节点对应的私钥等数据。
S1502，核心网节点使用UE的标识信息、全局公钥和其对应的私钥对传输数据进行保护以得到保护消息，并将保护消息发送给接入点。
S1503，接入点用于将保护消息发送给UE。
S1504，UE从其第一预存数据中获取所述核心网节点的标识，全局公钥和UE对应的私钥对保护消息进行解析以得到传输数据。
在一些可行的实施方式中，上述全局公钥包括第一全局公钥和第二全局公钥，上述核心网节点对应的私钥包括第五私钥和第六私钥。核心网节点可从网络或者KMS中获取核心网系统参数，并将核心网系统参数存储为核心网接入点的第二预存数据。其中，上述核心网系统参数包括加密公钥以及以下两组数据中至少一组：第一全局公钥和第五私钥，或者第二全局公钥和第六私钥等。上述第一全局公钥为GPKenc；上述第五私钥为IBC技术的核心网节点对应的数据加密私钥SKCP_ID_enc；上述第二全局公钥为IBC技术的数据签名全局公钥GPKSig；上述述第六私钥为IBC技术的核心网节点对应的数据签名私钥SKCP_ID_Sig。
具体实现中，UE可从核心网中获取其标识信息和核心网处理参数，并将标识信息和核心网处理参数存储为UE的第一预存数据。其中，上述核心网处理参数包括GPKenc、SKUE_ID_enc、GPKSig以及SKUE_ID_Sig等，其中，上述各个参数的定义可参见上述各个应用场景中各个步骤描述的实现方式，在此不再赘述。
在一些可行的实施方式中，核心网节点可接收用户面网关发送的下行传输数据(以下简称传输数据)，进而可在接收到传输数据之后，从第二预存数据中获取UE的标识信息(如UE_ID)、GPKenc以及SKCP_ID_enc等参数，并根据UE的标识信息、GPKenc以及SKCP_ID_enc生成对称钥K5，进而可将传输数据和K5输入系统函数以获取第六完整性校验码MAC5。进一步的，核心网节点还可使用K5对传输数据和MAC5进行加密得到保护消息。
核心网节点将上述保护消息发送给基站，并通过基站发送给UE。UE接收到消息之后，可根据保护消息中携带的信息确认消息是发给自己的，进而可对消息进行解密。
具体实现中，UE对消息进行解密时，可从其第一预存数据中获取GPKenc和SKUE_ID_enc，并使用GPKenc和SKUE_ID_enc对保护消息进行解密以得到解密消息。进一步的，UE可使用上述UE的标识信息、GPKenc和SKUE_ID_enc生成对称钥K6，并使用K6、UE的标识信息和解密消息生成第七完整性校验码MAC6，并当所述MAC6与解密消息中携带的MAC5相匹配时，获取传输数据。
在本发明实施例中，UE和核心网节点可使用基于IBC的技术对下行数据进行加密和验证保护，增强了网络传输数据的安全性。具体实现中，上述UE和核心网节点对下行数 据的具体加密和验证保护的方式可参见上述上行数据传输中UE和接入点或者核心网节点对上行数据的加密和验证保护的实现方式，在此不再赘述。
参见图16，图16是本发明实施例提供的保护系统在场景六中的交互示意图。下面将结合图16，对本发明实施例提供的传输数据的保护系统中各个数据传输端在场景六中数据交互过程进行描述。其中，上述核心网节点具体可为UP-GW、UP-Function和CP-Function，则对应的加密公钥则为CP_Function_ID(以下简称CP_ID)或者包含CP_Function_ID。
在该应用场景中，UE和CP-Function使用基于IBC的技术对从UE到核心网的信令和数据实施了加密，具体流程如下步骤：
161、核心网节点CP_Function收到UP-GW发来的数据。
162、CP_Function对数据进行保护。
具体实现中，CP_Function可使用UE_ID,SKCP_ID,GPKenc生成对称密钥K5，使用对称密钥K5对数据进行加密，并根据传输数据和K5生成完整性校验码MAC5，以对加密后的数据提供完整性保护。
163、CP-Function发送上述加密后的数据到RAN。
其中，上述CP-Function发送给RAN的数据中包括UE的GUTI、加密后的数据和上述MAC5。
164、RAN发送数据到UE。
其中，RAN向UE发送的数据中包括GUTI、加密后的数据以及MAC5。
165、UE解密数据。
具体实现中，UE可根据GUTI确认消息是自己的，并从其预存数据中获取UE_ID，使用CP_ID,SKUE_ID和GPKenc生成对称密钥K6,使用K6验证签名并解密数据。
具体实现中，上述各个步骤的更多详细实现方式可参见上述S1501-S1504中各个步骤的相关描述，在此不再赘述。
参见图17，是本发明实施例提供的传输数据的保护方法的一流程示意图。本发明实施例提供的方法，包括步骤：
S1701，UE接收接入点发送的广播消息，并存储所述广播消息中携带的加密公钥。
S1702，所述UE在需要向所述接入点发送传输数据时，从其第一预存数据中获取基于身份的密码IBC技术的全局公钥或者所述UE对应的私钥，并使用所述加密公钥和所述全局公钥或者所述UE对应的私钥对所述传输数据进行保护以得到保护消息。
S1703，所述UE向所述接入点发送所述保护消息，所述保护消息中携带所述传输数据的保护方式的指示消息。
在一些可行的实施方式中，所述全局公钥包括第一全局公钥和第二全局公钥，所述UE对应的私钥包括第三私钥和第四私钥；
所述UE接收所述接入点的广播消息之前，所述方法还包括：
所述UE从网络或者KMS中获取所述UE用于处理传输数据的处理参数，并将所述处理参数存储为所述UE的第一预存数据；
其中，所述处理参数包括UE所属运营商的身份operator ID1以及以下三组数据中至少一组：第一全局公钥,或者第一全局公钥和第三私钥，或者第二全局公钥和第四私钥；
所述第一全局公钥为IBC技术的数据加密全局公钥GPKenc；
所述第三私钥为IBC技术的所述UE_ID对应的数据加密私钥SKUE_ID_enc；
所述第二全局公钥为IBC技术的数据签名全局公钥GPKSig；
所述第四私钥为IBC技术的所述UE_ID对应的数据签名私钥SKUE_ID_Sig。
在一些可行的实施方式中，所述第一预存数据中包括所述operator ID1和所述GPKSig；
所述UE存储所述广播消息中携带的加密公钥之前，所述方法还包括：
所述UE根据接收到的所述广播消息中携带的指示信息确定所述接入点具有数据签名功能，并根据所述广播消息对应的接入点的标识信息确定所述接入点所属的运营商的身份operator ID2；
将所述operator ID2与所述operator ID1进行匹配，从所述第一预存数据中查找所述接入点对应的第三全局公钥GPKSig1；
当所述广播消息中携带签名Sig1时，使用所述GPK Sig1和所述接入点的标识信息对所述广播消息进行验证；
当所述广播消息验证通过时，确定将所述广播消息携带的所述加密公钥添加至所述第一预存数据中。
在一些可行的实施方式中，所述第一预存数据中包括所述GPKenc；
所述UE在需要向所述接入点发送传输数据时，从其第一预存数据中获取基于身份的密码IBC技术的全局公钥，并使用所述加密公钥和所述全局公钥对所述传输数据进行保护包括：
所述UE在需要向所述接入点发送传输数据时，从所述第一预存数据中获取所述加密公钥和所述GPKenc；
使用所述加密公钥、所述GPKenc对所述传输数据进行加密得到保护消息；
其中，所述传输数据的保护方式为使用所述加密公钥、所述GPKenc对所述传输数据进行加密。
在一些可行的实施方式中，所述第一预存数据中包括所述GPKenc和所述SKUE_ID_enc；
所述UE在需要向所述接入点发送传输数据时，从其第一预存数据中获取基于身份的密码IBC技术的全局公钥或者所述UE对应的私钥，并使用所述加密公钥和所述全局公钥或者所述UE对应的私钥对所述传输数据进行保护包括：
所述UE在需要向所述接入点发送传输数据时，从所述第一预存数据中获取所述加密公钥、所述GPKenc以及所述SKUE_ID_enc；
根据所述加密公钥、所述GPKenc以及所述SKUE_ID_enc生成第一对称钥K1，并将所述传输数据和所述K1输入系统函数以获取第三完整性校验码MAC2；
使用所述加密公钥和所述GPKenc对所述传输数据以及所述UE的标识信息、所述MAC2进行加密得到保护消息；
其中，所述传输数据的保护方式为使用所述加密公钥和所述GPKenc对所述传输数据、所述UE的标识信息以及所述MAC2进行加密。
在一些可行的实施方式中，所述第一预存数据中包括所述所述GPKenc和SKUE_ID_Sig；
所述UE在需要向所述接入点发送传输数据时，从其第一预存数据中获取基于身份的密码IBC技术的全局公钥或者所述UE对应的私钥，并使用所述加密公钥和所述全局公钥或者所述UE对应的私钥对所述传输数据进行保护以得到保护消息包括：
所述UE在需要向所述接入点发送传输数据时，从所述第一预存数据中获取所述加密公钥、所述GPKenc、所述GPKsig以及所述SKUE_ID_Sig；
根据所述GPKsig和所述SKUE_ID_Sig对所述传输数据进行签名以得到签名Sig2，并使用所述加密公钥、所述GPKenc对所述传输数据、所述UE的标识信息和所述Sig2进行加密得到保护消息；
其中，所述传输数据的保护方式为使用所述加密公钥、所述GPKenc对所述传输数据以及所述Sig2进行加密。
具体实现中，本发明实施例提供的传输数据的保护方法中各个步骤所描述的实现方式可参见上述各个系统中相关描述，在此不再赘述。
参见图18，是本发明实施例提供的传输数据的保护方法的另一流程示意图。本发明实施例提供的方法，包括步骤：
S1801，接入点发送广播消息。
其中，所述广播消息中携带加密公钥。
S1802，所述接入点接收用户设备UE发送的根据所述加密公钥对传输数据进行保护得到的保护消息。
其中，所述保护消息中携带所述UE发送的传输数据的保护方式的指示消息。
S1803，所述接入点根据所述保护方式的指示消息从其第二预存数据中获取基于身份的密码IBC技术的全局公钥和所述接入点对应的私钥，并使用所述全局公钥和所述接入点对应的私钥对所述保护消息进行解析以得到所述UE发送的传输数据。
S1804，所述接入点将解析得到的所述UE发送的传输数据发送到核心网中。
在一些可行的实施方式中，所述全局公钥包括第一全局公钥和第二全局公钥，所述接入点对应的私钥包括第一私钥和第二私钥；
所述接入点发送广播消息之前，所述方法还包括：
所述接入点从网络或者密钥管理系统KMS中获取系统参数，并将所述系统参数存储为所述接入点的第二预存数据；
其中，所述系统参数包括加密公钥以及以下两组数据中至少一组：第一全局公钥和第一私钥，或者第二全局公钥和第二私钥；
所述第一全局公钥为IBC技术的数据加密全局公钥GPKenc；
所述第一私钥为IBC技术的所述接入点对应的数据加密私钥SKBS_ID_enc；
所述第二全局公钥为IBC技术的数据签名全局公钥GPKSig；
所述第二私钥为IBC技术的所述接入点对应的数据签名私钥SKBS_ID_Sig。
在一些可行的实施方式中，所述加密公钥为基站BS的身份BS_ID，或者所述加密公钥包含BS_ID；或者
所述加密公钥包括无线保真Wi-Fi切入点AP的介质控制子层MAC地址，或者Wi-Fi AP的服务集标识SSID；或者
所述加密公钥包括热点UE的身份UE_ID，或者热点UE的移动用户身份IMSI。
在一些可行的实施方式中，所述第二预存数据中包括所述GPKSig和所述SKBS_ID_Sig；
所述接入点发送广播消息之前，所述方法还包括：
所述接入点使用所述GPKSig和所述SKBS_ID_Sig对所述广播消息进行签名以得到所述广播消息的签名Sig1，并在所述广播消息中携带所述接入点具有数据签名功能的指示信息或者所述广播消息的签名Sig1。
在一些可行的实施方式中，所述第二预存数据中包括所述GPKenc、所述SKBS_ID_enc、所述GPKSig和所述SKBS_ID_Sig；
所述接入点根据所述保护方式的指示消息从其第二预存数据中获取基于身份的密码IBC技术的全局公钥和所述接入点对应的私钥，并使用所述全局公钥和所述接入点对应的私钥对所述保护消息进行解析包括：
所述接入点根据所述保护方式的指示消息确定所述传输数据的保护方式，从所述第二预存数据中获取所述SKBS_ID_enc和所述GPKenc，并使用所述SKBS_ID_enc和所述GPKenc对所述保护消息进行解密以得到解密消息。
在一些可行的实施方式中，所述第二预存数据中包括加密公钥、所述GPKenc和所述SKBS_ID_enc；
所述接入点根据所述保护方式的指示消息从其第二预存数据中获取基于身份的密码IBC技术的全局公钥和所述接入点对应的私钥，并使用所述全局公钥和所述接入点对应的私钥对所述保护消息进行解析包括：
所述接入点根据所述保护方式的指示消息确定所述传输数据的保护方式，从所述第二预存数据中获取所述GPKenc和所述SKBS_ID_enc，并使用所述SKBS_ID_enc和所述GPKenc对所述保护消息进行解密以得到解密消息；
所述接入点将解析得到的所述UE发送的传输数据发送到核心网中包括：
所述接入点从所述解密消息中获取所述保护消息携带的第三完整性保护码MAC2、UE的标识信息以及所述传输数据；
使用所述UE的标识信息、所述GPKenc和所述SKBS_ID_enc生成对称钥K2；
使用所述对称钥K2、所述UE的标识信息和解密得到的传输数据计算第四完整性校验码MAC3，并当所述MAC3与所述MAC2相匹配时，将所述UE发送的传输数据发送到核心网。
在一些可行的实施方式中，所述第二预存数据中包括所述GPKenc、所述SKBS_ID_enc和所述GPKSig；
所述接入点根据所述保护方式的指示消息从其第二预存数据中获取基于身份的密码IBC技术的全局公钥和所述接入点对应的私钥，并使用所述全局公钥和所述接入点对应的私钥对所述保护消息进行解析包括：
根据所述加密方式的指示消息确定所述传输数据的保护方式，并从所述第二预存数据中获取所述GPKenc和所述SKBS_ID_enc，并使用所述SKBS_ID_enc和所述GPKenc对所述保护消 息进行解密以获取所述传输数据；
所述接入点将解析得到的所述UE发送的传输数据发送到核心网中包括：
从所述保护消息解密得到的解密消息中获取所述UE的标识信息和所述签名Sig2；
根据所述保护方式的指示消息确定所述传输数据的保护方式，并从所述第二预存数据中获取所述GPKsig；
使用所述UE的标识信息以及所述GPKsig对所述保护消息进行验证，当所述保护消息验证成功时，将所述UE发送的传输数据发送到核心网。
具体实现中，本发明实施例提供的传输数据的保护方法中各个步骤所描述的实现方式可参见上述各个系统中相关描述，在此不再赘述。
参见图19，是本发明实施例提供的传输数据的保护方法的另一流程示意图。本发明实施例提供的方法，包括步骤：
S1901，用户设备UE在需要发送传输数据时，从其第一预存数据中获取加密公钥、基于身份的密码IBC技术的全局公钥或者所述UE对应的私钥，并使用所述加密公钥，以及所述全局公钥或者所述UE对应的私钥对所述传输数据进行保护以得到保护消息。
S1902，所述UE向接入点发送所述保护消息，以通过所述接入点将所述保护消息发送给核心网节点。
其中，所述保护消息中携带所述传输数据的保护方式的指示消息。
在一些可行的实施方式中，所述全局公钥包括第一全局公钥和第二全局公钥，所述UE对应的私钥包括第三私钥和第四私钥；
所述UE发送传输数据之前，所述方法还包括：
所述UE从核心网中获取加密公钥、所述UE用于处理传输数据的核心网处理参数，并将所述加密公钥和所述核心网处理参数存储为所述UE的第一预存数据；
其中，所述核心网处理参数包括以下三组数据中至少一组：第一全局公钥,或者第一全局公钥和第三私钥，或者第二全局公钥和第四私钥；
所述第一全局公钥为IBC技术的数据加密全局公钥GPKenc；
所述第三私钥为IBC技术的所述UE_ID对应的数据加密私钥SKUE_ID_enc；
所述第二全局公钥为IBC技术的数据签名全局公钥GPKSig；
所述第四私钥为IBC技术的所述UE_ID对应的数据签名私钥SKUE_ID_Sig。
在一些可行的实施方式中，所述第一预存数据中包括所述加密公钥和所述GPKenc；
所述UE从其第一预存数据中获取加密公钥、基于身份的密码IBC技术的全局公钥，并使用所述加密公钥，以及所述全局公钥对所述传输数据进行保护包括：
所述UE在需要向所述接入点发送传输数据时，从所述第一预存数据中获取所述加密公钥和所述GPKenc；
使用所述加密公钥和所述GPKenc对所述传输数据进行加密得到保护消息；
其中，所述传输数据的保护方式为使用所述加密公钥和所述GPKenc对所述传输数据进行加密。
在一些可行的实施方式中，所述第一预存数据中包括所述加密公钥、所述GPKenc和所 述SKUE_ID_enc；
所述UE从其第一预存数据中获取加密公钥、基于身份的密码IBC技术的全局公钥或者所述UE对应的私钥，并使用所述加密公钥，以及所述全局公钥或者所述UE对应的私钥对所述传输数据进行保护包括：
所述UE在需要向所述接入点发送传输数据时，从所述第一预存数据中获取所述加密公钥、所述GPKenc以及所述SKUE_ID_enc；
根据所述加密公钥、所述GPKenc以及所述SKUE_ID_enc生成对称钥K3，并将所述传输数据和所述K3输入系统函数以获取第四完整性校验码MAC3；
使用所述加密公钥和所述GPKenc对所述传输数据和所述MAC3进行加密得到保护消息；
其中，所述传输数据的保护方式为使用所述加密公钥和所述GPKenc对所述传输数据和所述MAC3进行加密。
在一些可行的实施方式中，所述第一预存数据中包括所述加密公钥、所述GPKenc和SKUE_ID_Sig；
所述UE从其第一预存数据中获取加密公钥、基于身份的密码IBC技术的全局公钥或者所述UE对应的私钥，并使用所述加密公钥，以及所述全局公钥或者所述UE对应的私钥对所述传输数据进行保护包括：
所述UE在需要向所述接入点发送传输数据时，从所述第一预存数据中获取所述加密公钥、所述GPKenc、所述GPKsig以及所述SKUE_ID_Sig；
根据所述GPKsig和所述SKUE_ID_Sig对所述传输数据进行签名以得到签名Sig3，并使用所述加密公钥、所述GPKenc对所述传输数据和所述签名Sig2进行加密得到保护消息；
其中，所述传输数据的保护方式为使用所述加密公钥、所述GPKenc对所述传输数据以及所述签名进行加密。
具体实现中，本发明实施例提供的传输数据的保护方法中各个步骤所描述的实现方式可参见上述各个系统中相关描述，在此不再赘述。
参见图20，是本发明实施例提供的传输数据的保护方法的另一流程示意图。本发明实施例提供的方法，包括步骤：
S2001，核心网节点接收接入点发送的保护消息。
其中，所述保护消息中携带用户设备UE发送的所述传输数据的保护方式的指示消息。
S2002，所述核心网节点根据所述保护方式的指示消息从其第二预存数据中获取基于身份的密码IBC技术的全局公钥和所述核心网节点对应的私钥，并使用所述全局公钥和所述核心网节点对应的私钥对所述保护消息进行解析以得到所述UE发送的传输数据。
在一些可行的实施方式中，所述全局公钥包括第一全局公钥和第二全局公钥，所述核心网节点对应的私钥包括第五私钥和第六私钥；
所述核心网节点接收接入点发送的保护消息之前，所述方法还包括：
所述核心网节点从密钥管理系统KMS中获取核心网系统参数，并将所述核心网系统参数存储为所述核心网接入点的第二预存数据；
其中，所述核心网系统参数包括加密公钥以及以下两组数据中至少一组：第一全局公 钥和第五私钥，或者第二全局公钥和第六私钥；
所述第一全局公钥为IBC技术的数据加密全局公钥GPKenc；
所述第五私钥为IBC技术的所述核心网节点对应的数据加密私钥SKCP_ID_enc；
所述第二全局公钥为IBC技术的数据签名全局公钥GPKSig；
所述第六私钥为IBC技术的所述核心网节点对应的数据签名私钥SKCP_ID_Sig。
在一些可行的实施方式中，所述加密公钥为核心网认证节点的身份，或者所述加密公钥包含所述核心网节点的身份。
在一些可行的实施方式中，所述第二预存数据中包括所述GPKenc和所述SKCP_ID_enc；
所述核心网节点根据所述保护方式的指示消息从其第二预存数据中获取基于身份的密码IBC技术的全局公钥和所述核心网节点对应的私钥，并使用所述全局公钥和所述核心网节点对应的私钥对所述保护消息进行解析包括：
所述核心网节点根据所述保护方式的指示消息确定所述传输数据的保护方式，并从所述第二预存数据中获取所述SKCP_ID_enc和所述GPKenc，并使用所述SKCP_ID_enc和所述GPKenc对所述保护消息进行解密以得到所述UE的传输数据。
在一些可行的实施方式中，所述第二预存数据中包括所述GPKenc和所述SKCP_ID_enc；
所述核心网节点根据所述保护方式的指示消息从其第二预存数据中获取基于身份的密码IBC技术的全局公钥和所述核心网节点对应的私钥，并使用所述全局公钥和所述核心网节点对应的私钥对所述保护消息进行解析包括：
所述核心网节点根据所述保护方式的指示消息确定所述传输数据的保护方式，从所述第二预存数据中获取所述GPKenc和所述SKCP_ID_enc，对所述保护消息进行解密以得到解密消息；
获取所述解密消息中携带的第四完整性校验码MAC3，并使用所述UE的标识信息、所述GPKenc和所述SKCP_ID_enc生成对称钥K4；
使用所述K4、所述UE的标识信息和所述解密消息生成第五完整性校验码MAC4，并当所述MAC4与所述MAC3相匹配时，获取所述传输数据。
在一些可行的实施方式中，所述第二预存数据中包括所述加密公钥、所述GPKenc、所述SKCP_ID_enc和所述GPKSig；
所述核心网节点根据所述保护方式的指示消息从其第二预存数据中获取基于身份的密码IBC技术的全局公钥和所述核心网节点对应的私钥，并使用所述全局公钥和所述核心网节点对应的私钥对所述保护消息进行解析包括：
所述核心网节点根据所述加密方式的指示消息确定所述传输数据的保护方式，并使用从所述第二预存数据中获取的所述GPKenc、所述加密公钥和所述SKCP_ID_enc对所述保护消息进行解密；
从所述保护消息解密得到的解密消息中获取所述签名Sig3，并使用所述UE的标识信息和所述GPKsig对所述保护消息进行验证，当所述保护消息验证成功时，获取所述传输数据。
具体实现中，本发明实施例提供的传输数据的保护方法中各个步骤所描述的实现方式可参见上述各个系统中相关描述，在此不再赘述。
参见图21，是本发明实施例提供的传输数据的保护方法的另一流程示意图。本发明实施例提供的方法，包括步骤：
S2101，核心网节点接收用户面网关下发的传输数据，并从其第二预存数据中获取用户设备UE的标识信息、基于身份的密码IBC技术的全局公钥以及所述核心网节点对应的私钥。
S2102，所述核心网节点使用所述UE的标识信息、所述全局公钥和所述私钥对所述传输数据进行保护以得到保护消息，并将所述保护消息发送给接入点。
在一些可行的实施方式中，所述全局公钥包括第一全局公钥和第二全局公钥，所述核心网节点对应的私钥包括第五私钥和第六私钥；
所述核心网节点接收用户面网关下发的传输数据之前，所述方法还包括：
所述核心网节点从网络或者密钥管理系统KMS中获取核心网系统参数，并将所述核心网系统参数存储为所述核心网接入点的第二预存数据；
其中，所述核心网系统参数包括加密公钥以及以下两组数据中至少一组：第一全局公钥和第五私钥，或者第二全局公钥和第六私钥；
所述第一全局公钥为IBC技术的数据加密全局公钥GPKenc；
所述第五私钥为IBC技术的所述核心网节点对应的数据加密私钥SKCP_ID_enc；
所述第二全局公钥为IBC技术的数据签名全局公钥GPKSig；
所述第六私钥为IBC技术的所述核心网节点对应的数据签名私钥SKCP_ID_Sig。
在一些可行的实施方式中，所述第二预存数据中包括所述GPKenc和所述SKCP_ID_enc；
所述核心网节点从其第二预存数据中获取用户设备UE的标识信息、基于身份的密码IBC技术的全局公钥以及所述核心网节点对应的私钥包括：
所述核心网节点从所述第二预存数据中获取所述UE的标识信息、所述GPKenc以及所述SKCP_ID_enc；
所述核心网节点使用所述UE的标识信息、所述全局公钥和所述私钥对所述传输数据进行保护以得到保护消息包括：
所述核心网节点根据所述UE的标识信息、所述GPKenc以及所述SKCP_ID_enc生成对称钥K5，并将所述传输数据和所述K5输入系统函数以获取第六完整性校验码MAC5；
使用所述K5对所述传输数据加密得到保护消息。
具体实现中，本发明实施例提供的传输数据的保护方法中各个步骤所描述的实现方式可参见上述各个系统中相关描述，在此不再赘述。
参见图22，是本发明实施例提供的传输数据的保护方法的另一流程示意图。本发明实施例提供的方法，包括步骤：
S2201，用户设备UE接收接入点发送的保护消息。
S2202，所述UE从其第一预存数据中获取核心网节点的标识，基于身份的密码IBC技术的全局公钥和所述UE对应的私钥对所述保护消息进行解析以得到所述传输数据。
在一些可行的实施方式中，所述全局公钥包括第一全局公钥和第二全局公钥，所述UE 对应的私钥包括第三私钥和第四私钥；
所述UE接收接入点发送的保护消息之前，所述方法还包括：
所述UE从核心网中获取其标识信息、所述UE用于处理传输数据的核心网处理参数，并将所述标识信息和所述核心网处理参数存储为所述UE的第一预存数据；
其中，所述核心网处理参数包括以下两组数据中至少一组：第一全局公钥和第三私钥，或者第二全局公钥和第四私钥；
所述第一全局公钥为IBC技术的数据加密全局公钥GPKenc；
所述第三私钥为IBC技术的所述UE_ID对应的数据加密私钥SKUE_ID_enc；
所述第二全局公钥为IBC技术的数据签名全局公钥GPKSig；
所述第四私钥为IBC技术的所述UE_ID对应的数据签名私钥SKUE_ID_Sig。
在一些可行的实施方式中，所述第一预存数据中包括所述UE的标识信息、所述核心网节点的标识、所述GPKenc和所述SKUE_ID_enc；
所述UE从其第一预存数据中获取核心网节点的标识，基于身份的密码IBC技术的全局公钥和所述UE对应的私钥对所述保护消息进行解析以得到所述传输数据包括：
所述UE从所述第一预存数据中获取所述GPKenc和所述SKUE_ID_enc，并使用所述GPKenc和所述SKUE_ID_enc对所述保护消息进行解密以得到解密消息；
使用所述核心网节点的标识信息、所述GPKenc和所述SKUE_ID_enc生成对称钥K6；
使用所述K6对所述保护消息进行解密以得到解密消息；
使用所述K6和所述解密消息生成第七完整性校验码MAC6，并当所述MAC6与所述解密消息中携带的第六完整性校验码MAC5相匹配时，获取所述传输数据。
具体实现中，本发明实施例提供的传输数据的保护方法中各个步骤所描述的实现方式可参见上述各个系统中相关描述，在此不再赘述。
参见图23，是本发明实施例提供的传输数据的保护装置的一结构示意图。本发明实施例提供的保护装置，包括：
接收单元231，用于接收接入点发送的广播消息，并存储所述广播消息中携带的加密公钥。
处理单元232，用于在需要向所述接入点发送传输数据时，从用户设备UE的第一预存数据中获取基于身份的密码IBC技术的全局公钥或者所述UE对应的私钥，并使用所述接收单元接收的所述加密公钥和所述全局公钥或者所述UE对应的私钥对所述传输数据进行保护以得到保护消息。
发送单元233，用于向所述接入点发送所述处理单元处理的所述保护消息，所述保护消息中携带所述传输数据的保护方式的指示消息。
在一些可行的实施方式中，所述全局公钥包括第一全局公钥和第二全局公钥，所述UE对应的私钥包括第三私钥和第四私钥；
所述处理单元232还用于：
从网络或者KMS中获取所述UE用于处理传输数据的处理参数，并将所述处理参数存储为所述UE的第一预存数据；
其中，所述处理参数包括UE所属运营商的身份operator ID1以及以下三组数据中至少一组：第一全局公钥,或者第一全局公钥和第三私钥，或者第二全局公钥和第四私钥；
所述第一全局公钥为IBC技术的数据加密全局公钥GPKenc；
所述第三私钥为IBC技术的所述UE_ID对应的数据加密私钥SKUE_ID_enc；
所述第二全局公钥为IBC技术的数据签名全局公钥GPKSig；
所述第四私钥为IBC技术的所述UE_ID对应的数据签名私钥SKUE_ID_Sig。
在一些可行的实施方式中，所述第一预存数据中包括所述operator ID1和所述GPKSig；
所述接收单元231具体用于：
根据接收到的所述广播消息中携带的指示信息确定所述接入点具有数据签名功能，并根据所述广播消息对应的接入点的标识信息确定所述接入点所属的运营商的身份operator ID2；
将所述operator ID2与所述operator ID1进行匹配，从所述第一预存数据中查找所述接入点对应的第三全局公钥GPKSig1；
当所述广播消息中携带签名Sig1时，使用所述GPK Sig1和所述接入点的标识信息对所述广播消息进行验证；
当所述广播消息验证通过时，确定将所述广播消息携带的所述加密公钥添加至所述第一预存数据中。
在一些可行的实施方式中，所述第一预存数据中包括所述GPKenc；
所述处理单元232具体用于：
在需要向所述接入点发送传输数据时，从所述第一预存数据中获取所述加密公钥和所述GPKenc；
使用所述加密公钥、所述GPKenc对所述传输数据进行加密得到保护消息；
其中，所述传输数据的保护方式为使用所述加密公钥、所述GPKenc对所述传输数据进行加密。
在一些可行的实施方式中，所述第一预存数据中包括所述GPKenc和所述SKUE_ID_enc；
所述处理单元232具体用于：
在需要向所述接入点发送传输数据时，从所述第一预存数据中获取所述加密公钥、所述GPKenc以及所述SKUE_ID_enc；
根据所述加密公钥、所述GPKenc以及所述SKUE_ID_enc生成第一对称钥K1，并将所述传输数据和所述K1输入系统函数以获取第三完整性校验码MAC2；
使用所述加密公钥和所述GPKenc对所述传输数据以及所述UE的标识信息、所述MAC2进行加密得到保护消息；
其中，所述传输数据的保护方式为使用所述加密公钥和所述GPKenc对所述传输数据、所述UE的标识信息以及所述MAC2进行加密。
在一些可行的实施方式中，所述第一预存数据中包括所述所述GPKenc和SKUE_ID_Sig；
所述处理单元232具体用于：
在需要向所述接入点发送传输数据时，从所述第一预存数据中获取所述加密公钥、所述GPKenc、所述GPKsig以及所述SKUE_ID_Sig；
根据所述GPKsig和所述SKUE_ID_Sig对所述传输数据进行签名以得到签名Sig2，并使用所述加密公钥、所述GPKenc对所述传输数据、所述UE的标识信息和所述Sig2进行加密得到保护消息；
其中，所述传输数据的保护方式为使用所述加密公钥、所述GPKenc对所述传输数据以及所述Sig2进行加密。
具体实现中，本发明实施例提供的传输数据的保护装置中各个单元所执行的实现方式可参见上述各个系统中相关数据传输中对应的实现方式，在此不再赘述。
参见图24，是本发明实施例提供的传输数据的保护装置的另一结构示意图。本发明实施例提供的保护装置，包括：
发送单元241，用于发送广播消息，所述广播消息中携带加密公钥。
接收单元242，用于接收用户设备UE发送的根据所述发送单元发送的所述加密公钥对传输数据进行保护得到的保护消息，所述保护消息中携带所述UE发送的传输数据的保护方式的指示消息。
解析单元243，用于根据所述接收单元接收的所述保护方式的指示消息从其第二预存数据中获取基于身份的密码IBC技术的全局公钥和所述接入点对应的私钥，并使用所述全局公钥和所述接入点对应的私钥对所述保护消息进行解析以得到所述UE发送的传输数据。
所述发送单元241，还用于将所述解析单元解析得到的所述UE发送的传输数据发送到核心网中。
在一些可行的实施方式中，所述全局公钥包括第一全局公钥和第二全局公钥，所述接入点对应的私钥包括第一私钥和第二私钥；
所述解析单元243还用于：
从网络或者密钥管理系统KMS中获取系统参数，并将所述系统参数存储为所述接入点的第二预存数据；
其中，所述系统参数包括加密公钥以及以下两组数据中至少一组：第一全局公钥和第一私钥，或者第二全局公钥和第二私钥；
所述第一全局公钥为IBC技术的数据加密全局公钥GPKenc；
所述第一私钥为IBC技术的所述接入点对应的数据加密私钥SKBS_ID_enc；
所述第二全局公钥为IBC技术的数据签名全局公钥GPKSig；
所述第二私钥为IBC技术的所述接入点对应的数据签名私钥SKBS_ID_Sig。
在一些可行的实施方式中，所述加密公钥为基站BS的身份BS_ID，或者所述加密公钥包含BS_ID；或者
所述加密公钥包括无线保真Wi-Fi切入点AP的介质控制子层MAC地址，或者Wi-Fi AP的服务集标识SSID；或者
所述加密公钥包括热点UE的身份UE_ID，或者热点UE的移动用户身份IMSI。
在一些可行的实施方式中，所述第二预存数据中包括所述GPKSig和所述SKBS_ID_Sig；
所述发送单元241具体用于：
使用所述GPKSig和所述SKBS_ID_Sig对所述广播消息进行签名以得到所述广播消息的签 名Sig1，并在所述广播消息中携带所述接入点具有数据签名功能的指示信息或者所述广播消息的签名Sig1。
在一些可行的实施方式中，所述第二预存数据中包括所述GPKenc、所述SKBS_ID_enc、所述GPKSig和所述SKBS_ID_Sig；
所述解析单元243具体用于：
根据所述保护方式的指示消息确定所述传输数据的保护方式，从所述第二预存数据中获取所述SKBS_ID_enc和所述GPKenc，并使用所述SKBS_ID_enc和所述GPKenc对所述保护消息进行解密以得到解密消息。
在一些可行的实施方式中，所述第二预存数据中包括加密公钥、所述GPKenc和所述SKBS_ID_enc；
所述解析单元243具体用于：
根据所述保护方式的指示消息确定所述传输数据的保护方式，从所述第二预存数据中获取所述GPKenc和所述SKBS_ID_enc，并使用所述SKBS_ID_enc和所述GPKenc对所述保护消息进行解密以得到解密消息；
所述发送单元241具体用于：
从所述解析单元解析得到的所述解密消息中获取所述保护消息携带的第三完整性保护码MAC2、UE的标识信息以及所述传输数据；
使用所述UE的标识信息、所述GPKenc和所述SKBS_ID_enc生成对称钥K2；
使用所述对称钥K2、所述UE的标识信息和解密得到的传输数据计算第四完整性校验码MAC3，并当所述MAC3与所述MAC2相匹配时，将所述UE发送的传输数据发送到核心网。
在一些可行的实施方式中，所述第二预存数据中包括所述GPKenc、所述SKBS_ID_enc和所述GPKSig；
所述解析单元243具体用于：
根据所述加密方式的指示消息确定所述传输数据的保护方式，并从所述第二预存数据中获取所述GPKenc和所述SKBS_ID_enc，并使用所述SKBS_ID_enc和所述GPKenc对所述保护消息进行解密以获取所述传输数据；
所述发送单元241具体用于：
从所述保护消息解密得到的解密消息中获取所述UE的标识信息和所述签名Sig2；
根据所述保护方式的指示消息确定所述传输数据的保护方式，并从所述第二预存数据中获取所述GPKsig；
使用所述UE的标识信息以及所述GPKsig对所述保护消息进行验证，当所述保护消息验证成功时，将所述UE发送的传输数据发送到核心网。
具体实现中，本发明实施例提供的传输数据的保护装置中各个单元所执行的实现方式可参见上述各个系统中相关数据传输中对应的实现方式，在此不再赘述。
参见图25，是本发明实施例提供的传输数据的保护装置的另一结构示意图。本发明实施例提供的保护装置，包括：
保护单元251，用于在需要发送传输数据时，从用户设备的第一预存数据中获取加密公钥、基于身份的密码IBC技术的全局公钥或者所述UE对应的私钥，并使用所述加密公钥，以及所述全局公钥或者所述UE对应的私钥对所述传输数据进行保护以得到保护消息。
发送单元252，用于向接入点发送所述保护单元处理得到的所述保护消息，以通过所述接入点将所述保护消息发送给核心网节点，所述保护消息中携带所述传输数据的保护方式的指示消息。
在一些可行的实施方式中，所述全局公钥包括第一全局公钥和第二全局公钥，所述UE对应的私钥包括第三私钥和第四私钥；
所述保护单元251还用于：
从核心网中获取加密公钥、所述UE用于处理传输数据的核心网处理参数，并将所述加密公钥和所述核心网处理参数存储为所述UE的第一预存数据；
其中，所述核心网处理参数包括以下三组数据中至少一组：第一全局公钥,或者第一全局公钥和第三私钥，或者第二全局公钥和第四私钥；
所述第一全局公钥为IBC技术的数据加密全局公钥GPKenc；
所述第三私钥为IBC技术的所述UE_ID对应的数据加密私钥SKUE_ID_enc；
所述第二全局公钥为IBC技术的数据签名全局公钥GPKSig；
所述第四私钥为IBC技术的所述UE_ID对应的数据签名私钥SKUE_ID_Sig。
在一些可行的实施方式中，所述第一预存数据中包括所述加密公钥和所述GPKenc；
所述保护单元251具体用于：
在需要向所述接入点发送传输数据时，从所述第一预存数据中获取所述加密公钥和所述GPKenc；
使用所述加密公钥和所述GPKenc对所述传输数据进行加密得到保护消息；
其中，所述传输数据的保护方式为使用所述加密公钥和所述GPKenc对所述传输数据进行加密。
在一些可行的实施方式中，所述第一预存数据中包括所述加密公钥、所述GPKenc和所述SKUE_ID_enc；
所述保护单元251具体用于：
在需要向所述接入点发送传输数据时，从所述第一预存数据中获取所述加密公钥、所述GPKenc以及所述SKUE_ID_enc；
根据所述加密公钥、所述GPKenc以及所述SKUE_ID_enc生成对称钥K3，并将所述传输数据和所述K3输入系统函数以获取第四完整性校验码MAC3；
使用所述加密公钥和所述GPKenc对所述传输数据和所述MAC3进行加密得到保护消息；
其中，所述传输数据的保护方式为使用所述加密公钥和所述GPKenc对所述传输数据和所述MAC3进行加密。
在一些可行的实施方式中，所述第一预存数据中包括所述加密公钥、所述GPKenc和SKUE_ID_Sig；
所述保护单元251具体用于：
在需要向所述接入点发送传输数据时，从所述第一预存数据中获取所述加密公钥、所 述GPKenc、所述GPKsig以及所述SKUE_ID_Sig；
根据所述GPKsig和所述SKUE_ID_Sig对所述传输数据进行签名以得到签名Sig3，并使用所述加密公钥、所述GPKenc对所述传输数据和所述签名Sig2进行加密得到保护消息；
其中，所述传输数据的保护方式为使用所述加密公钥、所述GPKenc对所述传输数据以及所述签名进行加密。
具体实现中，本发明实施例提供的传输数据的保护装置中各个单元所执行的实现方式可参见上述各个系统中相关数据传输中对应的实现方式，在此不再赘述。
参见图26，是本发明实施例提供的传输数据的保护装置的另一结构示意图。本发明实施例提供的保护装置，包括：
接收单元261，用于接收接入点发送的保护消息，所述保护消息中携带用户设备UE发送的所述传输数据的保护方式的指示消息。
解析单元262，用于根据所述接收单元接收的所述保护方式的指示消息从其第二预存数据中获取基于身份的密码IBC技术的全局公钥和所述核心网节点对应的私钥，并使用所述全局公钥和所述核心网节点对应的私钥对所述保护消息进行解析以得到所述UE发送的传输数据。
在一些可行的实施方式中，所述全局公钥包括第一全局公钥和第二全局公钥，所述核心网节点对应的私钥包括第五私钥和第六私钥；
所述解析单元262还用于：
从密钥管理系统KMS中获取核心网系统参数，并将所述核心网系统参数存储为所述核心网接入点的第二预存数据；
其中，所述核心网系统参数包括加密公钥以及以下两组数据中至少一组：第一全局公钥和第五私钥，或者第二全局公钥和第六私钥；
所述第一全局公钥为IBC技术的数据加密全局公钥GPKenc；
所述第五私钥为IBC技术的所述核心网节点对应的数据加密私钥SKCP_ID_enc；
所述第二全局公钥为IBC技术的数据签名全局公钥GPKSig；
所述第六私钥为IBC技术的所述核心网节点对应的数据签名私钥SKCP_ID_Sig。
在一些可行的实施方式中，所述加密公钥为核心网认证节点的身份，或者所述加密公钥包含所述核心网节点的身份。
在一些可行的实施方式中，所述第二预存数据中包括所述GPKenc和所述SKCP_ID_enc；
所述解析单元262具体用于：
根据所述保护方式的指示消息确定所述传输数据的保护方式，并从所述第二预存数据中获取所述SKCP_ID_enc和所述GPKenc，并使用所述SKCP_ID_enc和所述GPKenc对所述保护消息进行解密以得到所述UE的传输数据。
在一些可行的实施方式中，所述第二预存数据中包括所述GPKenc和所述SKCP_ID_enc；
所述解析单元262具体用于：
根据所述保护方式的指示消息确定所述传输数据的保护方式，从所述第二预存数据中获取所述GPKenc和所述SKCP_ID_enc，对所述保护消息进行解密以得到解密消息；
获取所述解密消息中携带的第四完整性校验码MAC3，并使用所述UE的标识信息、所述GPKenc和所述SKCP_ID_enc生成对称钥K4；
使用所述K4、所述UE的标识信息和所述解密消息生成第五完整性校验码MAC4，并当所述MAC4与所述MAC3相匹配时，获取所述传输数据。
在一些可行的实施方式中，所述第二预存数据中包括所述加密公钥、所述GPKenc、所述SKCP_ID_enc和所述GPKSig；
所述解析单元262具体用于：
根据所述加密方式的指示消息确定所述传输数据的保护方式，并使用从所述第二预存数据中获取的所述GPKenc、所述加密公钥和所述SKCP_ID_enc对所述保护消息进行解密；
从所述保护消息解密得到的解密消息中获取所述签名Sig3，并使用所述UE的标识信息和所述GPKsig对所述保护消息进行验证，当所述保护消息验证成功时，获取所述传输数据。
具体实现中，本发明实施例提供的传输数据的保护装置中各个单元所执行的实现方式可参见上述各个系统中相关数据传输中对应的实现方式，在此不再赘述。
参见图27，是本发明实施例提供的传输数据的保护装置的另一结构示意图。本发明实施例提供的保护装置，包括：
接收单元271，用于接收用户面网关下发的传输数据。
处理单元272，用于从核心网节点的第二预存数据中获取用户设备UE的标识信息、基于身份的密码IBC技术的全局公钥以及所述核心网节点对应的私钥，并使用所述UE的标识信息、所述全局公钥和所述私钥对所述接收单元接收的所述传输数据进行保护以得到保护消息。
发送单元273，用于将所述处理单元处理得到的所述保护消息发送给接入点。
在一些可行的实施方式中，所述全局公钥包括第一全局公钥和第二全局公钥，所述核心网节点对应的私钥包括第五私钥和第六私钥；
所述处理单元272还用于：
从网络或者密钥管理系统KMS中获取核心网系统参数，并将所述核心网系统参数存储为所述核心网接入点的第二预存数据；
其中，所述核心网系统参数包括加密公钥以及以下两组数据中至少一组：第一全局公钥和第五私钥，或者第二全局公钥和第六私钥；
所述第一全局公钥为IBC技术的数据加密全局公钥GPKenc；
所述第五私钥为IBC技术的所述核心网节点对应的数据加密私钥SKCP_ID_enc；
所述第二全局公钥为IBC技术的数据签名全局公钥GPKSig；
所述第六私钥为IBC技术的所述核心网节点对应的数据签名私钥SKCP_ID_Sig。
在一些可行的实施方式中，所述第二预存数据中包括所述GPKenc和所述SKCP_ID_enc；
所述处理单元272具体用于：
从所述第二预存数据中获取所述UE的标识信息、所述GPKenc以及所述SKCP_ID_enc；
根据所述UE的标识信息、所述GPKenc以及所述SKCP_ID_enc生成对称钥K5，并将所述 传输数据和所述K5输入系统函数以获取第六完整性校验码MAC5；
使用所述K5对所述传输数据加密得到保护消息。
具体实现中，本发明实施例提供的传输数据的保护装置中各个单元所执行的实现方式可参见上述各个系统中相关数据传输中对应的实现方式，在此不再赘述。
参见图28，是本发明实施例提供的传输数据的保护装置的另一结构示意图。本发明实施例提供的保护装置，包括：
接收单元281，用于接收接入点发送的保护消息。
解析单元282，用于从用户设备的第一预存数据中获取核心网节点的标识，基于身份的密码IBC技术的全局公钥和所述UE对应的私钥对所述保护消息进行解析以得到所述传输数据。
在一些可行的实施方式中，所述全局公钥包括第一全局公钥和第二全局公钥，所述UE对应的私钥包括第三私钥和第四私钥；
所述解析单元282还用于：
从核心网中获取其标识信息、所述UE用于处理传输数据的核心网处理参数，并将所述标识信息和所述核心网处理参数存储为所述UE的第一预存数据；
其中，所述核心网处理参数包括以下两组数据中至少一组：第一全局公钥和第三私钥，或者第二全局公钥和第四私钥；
所述第一全局公钥为IBC技术的数据加密全局公钥GPKenc；
所述第三私钥为IBC技术的所述UE_ID对应的数据加密私钥SKUE_ID_enc；
所述第二全局公钥为IBC技术的数据签名全局公钥GPKSig；
所述第四私钥为IBC技术的所述UE_ID对应的数据签名私钥SKUE_ID_Sig。
在一些可行的实施方式中，所述第一预存数据中包括所述UE的标识信息、所述核心网节点的标识、所述GPKenc和所述SKUE_ID_enc；
所述解析单元282具体用于：
从所述第一预存数据中获取所述GPKenc和所述SKUE_ID_enc，并使用所述GPKenc和所述SKUE_ID_enc对所述保护消息进行解密以得到解密消息；
使用所述核心网节点的标识信息、所述GPKenc和所述SKUE_ID_enc生成对称钥K6；
使用所述K6对所述保护消息进行解密以得到解密消息；
使用所述K6和所述解密消息生成第七完整性校验码MAC6，并当所述MAC6与所述解密消息中携带的MAC5相匹配时，获取所述传输数据。
具体实现中，本发明实施例提供的传输数据的保护装置中各个单元所执行的实现方式可参见上述各个系统中相关数据传输中对应的实现方式，在此不再赘述。
本发明的说明书、权利要求书以及附图中的术语“第一”、“第二”、“第三”和“第四”等是用于区别不同对象，而不是用于描述特定顺序。此外，术语“包括”和“具有”以及它们任何变形，意图在于覆盖不排他的包含。例如包含了一系列步骤或者单元的过程、方法、系统、产品或设备没有限定于已列出的步骤或单元，而是可选地还包括没有列出的步骤或者单元， 或可选地还包括对于这些过程、方法、系统、产品或设备固有的其他步骤或单元。
本领域普通技术人员可以理解实现上述实施例方法中的全部或部分流程，是可以通过计算机程序来指令相关的硬件来完成，所述的程序可存储于一计算机可读取存储介质中，该程序在执行时，可包括如上述各方法的实施例的流程。其中，所述的存储介质可为磁碟、光盘、只读存储记忆体(Read-Only Memory，ROM)或随机存储记忆体(Random Access Memory，RAM)等。
以上所揭露的仅为本发明较佳实施例而已，当然不能以此来限定本发明之权利范围，因此依本发明权利要求所作的等同变化，仍属本发明所涵盖的范围。

Claims (87)

  1. 一种传输数据的保护系统，其特征在于，包括：用户设备UE和接入点；
    所述接入点用于发送广播消息，所述广播消息中携带加密公钥；
    所述UE用于接收所述接入点的所述广播消息，并存储所述加密公钥；
    所述UE还用于在需要向所述接入点发送传输数据时，从其第一预存数据中获取基于身份的密码IBC技术的全局公钥或者所述UE对应的私钥，并使用所述加密公钥和所述全局公钥或者所述UE对应的私钥对所述传输数据进行保护以得到保护消息；
    所述UE还用于向所述接入点发送所述保护消息，所述保护消息中携带所述传输数据的保护方式的指示消息；
    所述接入点还用于在接收到所述保护消息之后，根据所述保护方式的指示消息从其第二预存数据中获取所述全局公钥和所述接入点对应的私钥，并使用所述全局公钥和所述接入点对应的私钥对所述保护消息进行解析以得到所述UE发送的传输数据；
    所述接入点还用于将解析得到的所述UE发送的传输数据发送到核心网中。
  2. 如权利要求1所述的保护系统，其特征在于，所述全局公钥包括第一全局公钥和第二全局公钥，所述接入点对应的私钥包括第一私钥和第二私钥；
    所述接入点还用于在发送广播消息之前，从网络或者密钥管理系统KMS中获取系统参数，并将所述系统参数存储为所述接入点的第二预存数据；
    其中，所述系统参数包括加密公钥以及以下两组数据中至少一组：第一全局公钥和第一私钥，或者第二全局公钥和第二私钥；
    所述第一全局公钥为IBC技术的数据加密全局公钥GPKenc；
    所述第一私钥为IBC技术的所述接入点对应的数据加密私钥SKBS_ID_enc；
    所述第二全局公钥为IBC技术的数据签名全局公钥GPKSig；
    所述第二私钥为IBC技术的所述接入点对应的数据签名私钥SKBS_ID_Sig。
  3. 如权利要求2所述的保护系统，其特征在于，所述加密公钥为基站BS的身份BS_ID，或者所述加密公钥包含BS_ID；或者
    所述加密公钥包括无线保真Wi-Fi切入点AP的介质控制子层MAC地址，或者Wi-Fi AP的服务集标识SSID；或者
    所述加密公钥包括热点UE的身份UE_ID，或者热点UE的移动用户身份IMSI。
  4. 如权利要求1所述的保护系统，其特征在于，所述全局公钥包括第一全局公钥和第二全局公钥，所述UE对应的私钥包括第三私钥和第四私钥；
    所述UE还用于在接收所述接入点的广播消息之前，从网络或者KMS中获取所述UE用于处理传输数据的处理参数，并将所述处理参数存储为所述UE的第一预存数据；
    其中，所述处理参数包括UE所属运营商的身份operator ID1以及以下三组数据中至少一组：第一全局公钥,或者第一全局公钥和第三私钥，或者第二全局公钥和第四私钥；
    所述第一全局公钥为IBC技术的数据加密全局公钥GPKenc；
    所述第三私钥为IBC技术的所述UE_ID对应的数据加密私钥SKUE_ID_enc；
    所述第二全局公钥为IBC技术的数据签名全局公钥GPKSig；
    所述第四私钥为IBC技术的所述UE_ID对应的数据签名私钥SKUE_ID_Sig。
  5. 如权利要求3或4所述的保护系统，其特征在于，所述第二预存数据中包括所述GPKSig和所述SKBS_ID_Sig；
    所述接入点还用于使用所述GPKSig和所述SKBS_ID_Sig对所述广播消息进行签名以得到所述广播消息的签名Sig1，并在所述广播消息中携带所述接入点具有数据签名功能的指示信息或者所述广播消息的签名Sig1。
  6. 如权利要求5所述的保护系统，其特征在于，所述第一预存数据中包括所述operator ID1和所述GPKSig；
    所述UE具体用于：
    根据接收到的所述广播消息中携带的指示信息确定所述接入点具有数据签名功能，并根据所述广播消息对应的接入点的标识信息确定所述接入点所属的运营商的身份operator ID2；
    将所述operator ID2与所述operator ID1进行匹配，从所述第一预存数据中查找所述接入点对应的第三全局公钥GPKSig1；
    当所述广播消息中携带签名Sig1时，使用所述GPKSig1和所述接入点的标识信息对所述广播消息进行验证；
    当所述广播消息验证通过时，确定将所述广播消息携带的所述加密公钥添加至所述第一预存数据中。
  7. 如权利要求6所述的保护系统，其特征在于，所述第一预存数据中包括所述GPKenc；
    所述UE具体用于：
    在需要向所述接入点发送传输数据时，从所述第一预存数据中获取所述加密公钥和所述GPKenc；
    使用所述加密公钥、所述GPKenc对所述传输数据进行加密得到保护消息；
    其中，所述传输数据的保护方式为使用所述加密公钥、所述GPKenc对所述传输数据进行加密。
  8. 如权利要求7所述的保护系统，其特征在于，所述第二预存数据中包括所述GPKenc、所述SKBS_ID_enc、所述GPKSig和所述SKBS_ID_Sig；
    所述接入点具体用于：
    根据所述保护方式的指示消息确定所述传输数据的保护方式，并从所述第二预存数据中获取所述SKBS_ID_enc和所述GPKenc，并使用所述SKBS_ID_enc和所述GPKenc对所述保护消息进行解密以得到解密消息；
    执行将所述解密消息中携带的所述UE发送的传输数据发送到核心网的步骤。
  9. 如权利要求6所述的保护系统，其特征在于，所述第一预存数据中包括所述GPKenc和所述SKUE_ID_enc；
    所述UE具体用于：
    在需要向所述接入点发送传输数据时，从所述第一预存数据中获取所述加密公钥、所述GPKenc以及所述SKUE_ID_enc；
    根据所述加密公钥、所述GPKenc以及所述SKUE_ID_enc生成第一对称钥K1，并将所述传输数据和所述K1输入系统函数以获取第三完整性校验码MAC2；
    使用所述加密公钥和所述GPKenc对所述传输数据以及所述UE的标识信息、所述MAC2进行加密得到保护消息；
    其中，所述传输数据的保护方式为使用所述加密公钥和所述GPKenc对所述传输数据、所述UE的标识信息以及所述MAC2进行加密。
  10. 如权利要求9所述的保护系统，其特征在于，所述第二预存数据中包括加密公钥、所述GPKenc和所述SKBS_ID_enc；
    所述接入点具体用于：
    根据所述保护方式的指示消息确定所述传输数据的保护方式，并从所述第二预存数据中获取所述GPKenc和所述SKBS_ID_enc，并使用所述SKBS_ID_enc和所述GPKenc对所述保护消息进行解密以得到解密消息；
    所述接入点还用于：
    从所述解密消息中获取所述保护消息携带的所述MAC2、UE的标识信息以及所述传输数据；
    使用所述UE的标识信息、所述GPKenc和所述SKBS_ID_enc生成对称钥K2；
    使用所述对称钥K2、所述UE的标识信息和解密得到的传输数据计算第四完整性校验码MAC3，并当所述MAC3与所述MAC2相匹配时，执行将所述UE发送的传输数据发送到核心网的步骤。
  11. 如权利要求6所述的保护系统，其特征在于，所述第一预存数据中包括所述所述GPKenc和SKUE_ID_Sig；
    所述UE具体用于：
    在需要向所述接入点发送传输数据时，从所述第一预存数据中获取所述加密公钥、所述GPKenc、所述GPKsig以及所述SKUE_ID_Sig；
    根据所述GPKsig和所述SKUE_ID_Sig对所述传输数据进行签名以得到签名Sig2，并使用所述加密公钥、所述GPKenc对所述传输数据、所述UE的标识信息和所述Sig2进行加密得到保护消息；
    其中，所述传输数据的保护方式为使用所述加密公钥、所述GPKenc对所述传输数据以及所述Sig2进行加密。
  12. 如权利要求11所述的保护系统，其特征在于，所述第二预存数据中包括所述GPKenc、所述SKBS_ID_enc和所述GPKSig；
    所述接入点具体用于：
    根据所述加密方式的指示消息确定所述传输数据的保护方式，并从所述第二预存数据中获取所述GPKenc和所述SKBS_ID_enc，并使用所述SKBS_ID_enc和所述GPKenc对所述保护消息进行解密以获取所述传输数据；
    所述接入点还用于：
    从所述保护消息解密得到的解密消息中获取所述UE的标识信息和所述签名Sig2；
    根据所述保护方式的指示消息确定所述传输数据的保护方式，并从所述第二预存数据中获取所述GPKsig；
    使用所述UE的标识信息以及所述GPKsig对所述保护消息进行验证，当所述保护消息验证成功时，执行将所述UE发送的传输数据发送到核心网的步骤。
  13. 一种传输数据的保护系统，其特征在于，包括：用户设备UE、接入点和核心网节点；
    所述UE用于在需要发送传输数据时，从其第一预存数据中获取加密公钥、基于身份的密码IBC技术的全局公钥或者所述UE对应的私钥，并使用所述加密公钥，以及所述全局公钥或者所述UE对应的私钥对所述传输数据进行保护以得到保护消息；
    所述UE还用于向所述接入点发送所述保护消息，所述保护消息中携带所述传输数据的保护方式的指示消息；
    所述接入点用于向所述核心网节点发送所述保护消息；
    所述核心网节点用于在接收到所述保护消息之后，根据所述保护方式的指示消息从其第二预存数据中获取所述全局公钥和所述核心网节点对应的私钥，并使用所述全局公钥和所述核心网节点对应的私钥对所述保护消息进行解析以得到所述UE发送的传输数据。
  14. 如权利要求13所述的保护系统，其特征在于，所述全局公钥包括第一全局公钥和第二全局公钥，所述核心网节点对应的私钥包括第五私钥和第六私钥；
    所述核心网节点还用于从密钥管理系统KMS中获取核心网系统参数，并将所述核心网系统参数存储为所述核心网接入点的第二预存数据；
    其中，所述核心网系统参数包括加密公钥以及以下两组数据中至少一组：第一全局公钥和第五私钥，或者第二全局公钥和第六私钥；
    所述第一全局公钥为IBC技术的数据加密全局公钥GPKenc；
    所述第五私钥为IBC技术的所述核心网节点对应的数据加密私钥SKCP_ID_enc；
    所述第二全局公钥为IBC技术的数据签名全局公钥GPKSig；
    所述第六私钥为IBC技术的所述核心网节点对应的数据签名私钥SKCP_ID_Sig。
  15. 如权利要求14所述的保护系统，其特征在于，所述加密公钥为核心网认证节点的 身份，或者所述加密公钥包含所述核心网节点的身份。
  16. 如权利要求13所述的保护系统，其特征在于，所述全局公钥包括第一全局公钥和第二全局公钥，所述UE对应的私钥包括第三私钥和第四私钥；
    所述UE还用于从核心网中获取加密公钥、所述UE用于处理传输数据的核心网处理参数，并将所述加密公钥和所述核心网处理参数存储为所述UE的第一预存数据；
    其中，所述核心网处理参数包括以下三组数据中至少一组：第一全局公钥,或者第一全局公钥和第三私钥，或者第二全局公钥和第四私钥；
    所述第一全局公钥为IBC技术的数据加密全局公钥GPKenc；
    所述第三私钥为IBC技术的所述UE_ID对应的数据加密私钥SKUE_ID_enc；
    所述第二全局公钥为IBC技术的数据签名全局公钥GPKSig；
    所述第四私钥为IBC技术的所述UE_ID对应的数据签名私钥SKUE_ID_Sig。
  17. 如权利要求15或16所述的保护系统，其特征在于，所述第一预存数据中包括所述加密公钥和所述GPKenc；
    所述UE具体用于：
    在需要向所述接入点发送传输数据时，从所述第一预存数据中获取所述加密公钥和所述GPKenc；
    使用所述加密公钥和所述GPKenc对所述传输数据进行加密得到保护消息；
    其中，所述传输数据的保护方式为使用所述加密公钥和所述GPKenc对所述传输数据进行加密。
  18. 如权利要求17所述的保护系统，其特征在于，所述第二预存数据中包括所述GPKenc和所述SKCP_ID_enc；
    所述核心网节点具体用于：
    根据所述保护方式的指示消息确定所述传输数据的保护方式，并从所述第二预存数据中获取所述SKCP_ID_enc和所述GPKenc，并使用所述SKCP_ID_enc和所述GPKenc对所述保护消息进行解密以得到所述UE的传输数据。
  19. 如权利要求15或16所述的保护系统，其特征在于，所述第一预存数据中包括所述加密公钥、所述GPKenc和所述SKUE_ID_enc；
    所述UE具体用于：
    在需要向所述接入点发送传输数据时，从所述第一预存数据中获取所述加密公钥、所述GPKenc以及所述SKUE_ID_enc；
    根据所述加密公钥、所述GPKenc以及所述SKUE_ID_enc生成对称钥K3，并将所述传输数据和所述K3输入系统函数以获取第四完整性校验码MAC3；
    使用所述加密公钥和所述GPKenc对所述传输数据和所述MAC3进行加密得到保护消息；
    其中，所述传输数据的保护方式为使用所述加密公钥和所述GPKenc对所述传输数据和 所述MAC3进行加密。
  20. 如权利要求19所述的保护系统，其特征在于，所述第二预存数据中包括所述GPKenc和所述SKCP_ID_enc；
    所述核心网节点具体用于：
    根据所述保护方式的指示消息确定所述传输数据的保护方式，从所述第二预存数据中获取所述GPKenc和所述SKCP_ID_enc，对所述保护消息进行解密以得到解密消息；
    使用所述UE的标识信息、所述GPKenc和所述SKCP_ID_enc生成对称钥K4；
    使用所述K4、所述UE的标识信息和所述解密消息生成第五完整性校验码MAC4，并当所述MAC4与所述MAC3相匹配时，获取所述传输数据。
  21. 如权利要求15或16所述的保护系统，其特征在于，所述第一预存数据中包括所述加密公钥、所述GPKenc和SKUE_ID_Sig；
    所述UE具体用于：
    在需要向所述接入点发送传输数据时，从所述第一预存数据中获取所述加密公钥、所述GPKenc、所述GPKsig以及所述SKUE_ID_Sig；
    根据所述GPKsig和所述SKUE_ID_Sig对所述传输数据进行签名以得到签名Sig3，并使用所述加密公钥、所述GPKenc对所述传输数据和所述签名Sig2进行加密得到保护消息；
    其中，所述传输数据的保护方式为使用所述加密公钥、所述GPKenc对所述传输数据以及所述签名进行加密。
  22. 如权利要求21所述的保护系统，其特征在于，所述第二预存数据中包括所述加密公钥、所述GPKenc、所述SKCP_ID_enc和所述GPKSig；
    所述核心网节点具体用于：
    根据所述加密方式的指示消息确定所述传输数据的保护方式，并使用从所述第二预存数据中获取的所述GPKenc、所述加密公钥和所述SKCP_ID_enc对所述保护消息进行解密；
    从所述保护消息解密得到的解密消息中获取所述签名Sig3，并使用所述UE的标识信息和所述GPKsig对所述保护消息进行验证，当所述保护消息验证成功时，获取所述传输数据。
  23. 一种传输数据的保护系统，其特征在于，包括：用户设备UE、接入点和核心网节点；
    所述核心网节点用于接收用户面网关下发的传输数据，并从其第二预存数据中获取所述UE的标识信息、基于身份的密码IBC技术的全局公钥以及所述核心网节点对应的私钥；
    所述核心网节点还用于使用所述UE的标识信息、所述全局公钥和所述私钥对所述传输数据进行保护以得到保护消息，并将所述保护消息发送给所述接入点；
    所述接入点用于将所述保护消息发送给所述UE；
    所述UE从其第一预存数据中获取所述所述核心网节点的标识，所述全局公钥和所述 UE对应的私钥对所述保护消息进行解析以得到所述传输数据。
  24. 如权利要求23所述的保护系统，其特征在于，所述全局公钥包括第一全局公钥和第二全局公钥，所述核心网节点对应的私钥包括第五私钥和第六私钥；
    所述核心网节点还用于从网络或者密钥管理系统KMS中获取核心网系统参数，并将所述核心网系统参数存储为所述核心网接入点的第二预存数据；
    其中，所述核心网系统参数包括加密公钥以及以下两组数据中至少一组：第一全局公钥和第五私钥，或者第二全局公钥和第六私钥；
    所述第一全局公钥为IBC技术的数据加密全局公钥GPKenc；
    所述第五私钥为IBC技术的所述核心网节点对应的数据加密私钥SKCP_ID_enc；
    所述第二全局公钥为IBC技术的数据签名全局公钥GPKSig；
    所述第六私钥为IBC技术的所述核心网节点对应的数据签名私钥SKCP_ID_Sig。
  25. 如权利要求23所述的保护系统，其特征在于，所述全局公钥包括第一全局公钥和第二全局公钥，所述UE对应的私钥包括第三私钥和第四私钥；
    所述UE还用于从核心网中获取其标识信息、所述UE用于处理传输数据的核心网处理参数，并将所述标识信息和所述核心网处理参数存储为所述UE的第一预存数据；
    其中，所述核心网处理参数包括以下两组数据中至少一组：第一全局公钥和第三私钥，或者第二全局公钥和第四私钥；
    所述第一全局公钥为IBC技术的数据加密全局公钥GPKenc；
    所述第三私钥为IBC技术的所述UE_ID对应的数据加密私钥SKUE_ID_enc；
    所述第二全局公钥为IBC技术的数据签名全局公钥GPKSig；
    所述第四私钥为IBC技术的所述UE_ID对应的数据签名私钥SKUE_ID_Sig。
  26. 如权利要求24或25所述的保护系统，其特征在于，所述第二预存数据中包括所述GPKenc和所述SKCP_ID_enc；
    所述核心网节点具体用于：
    在接收到所述传输数据之后，从所述第二预存数据中获取所述UE的标识信息、所述GPKenc以及所述SKCP_ID_enc；
    根据所述UE的标识信息、所述GPKenc以及所述SKCP_ID_enc生成对称钥K5，并将所述传输数据和所述K5输入系统函数以获取第六完整性校验码MAC5；
    使用所述K5对所述传输数据加密得到保护消息。
  27. 如权利要求26所述的保护系统，其特征在于，所述第一预存数据中包括所述UE的标识信息、所述核心网节点的标识、所述GPKenc和所述SKUE_ID_enc；
    所述UE具体用于：
    从所述第一预存数据中获取所述GPKenc和所述SKUE_ID_enc，并使用所述GPKenc和所述SKUE_ID_enc对所述保护消息进行解密以得到解密消息；
    使用所述核心网节点的标识信息、所述GPKenc和所述SKUE_ID_enc生成对称钥K6；
    使用所述K6对所述保护消息进行解密以得到解密消息；
    使用所述K6和所述解密消息生成第七完整性校验码MAC6，并当所述MAC6与所述解密消息中携带的MAC5相匹配时，获取所述传输数据。
  28. 一种传输数据的保护方法，其特征在于，包括：
    用户设备UE接收接入点发送的广播消息，并存储所述广播消息中携带的加密公钥；
    所述UE在需要向所述接入点发送传输数据时，从其第一预存数据中获取基于身份的密码IBC技术的全局公钥或者所述UE对应的私钥，并使用所述加密公钥和所述全局公钥或者所述UE对应的私钥对所述传输数据进行保护以得到保护消息；
    所述UE向所述接入点发送所述保护消息，所述保护消息中携带所述传输数据的保护方式的指示消息。
  29. 如权利要求28所述的保护方法，其特征在于，所述全局公钥包括第一全局公钥和第二全局公钥，所述UE对应的私钥包括第三私钥和第四私钥；
    所述UE接收所述接入点的广播消息之前，所述方法还包括：
    所述UE从网络或者KMS中获取所述UE用于处理传输数据的处理参数，并将所述处理参数存储为所述UE的第一预存数据；
    其中，所述处理参数包括UE所属运营商的身份operator ID1以及以下三组数据中至少一组：第一全局公钥,或者第一全局公钥和第三私钥，或者第二全局公钥和第四私钥；
    所述第一全局公钥为IBC技术的数据加密全局公钥GPKenc；
    所述第三私钥为IBC技术的所述UE_ID对应的数据加密私钥SKUE_ID_enc；
    所述第二全局公钥为IBC技术的数据签名全局公钥GPKSig；
    所述第四私钥为IBC技术的所述UE_ID对应的数据签名私钥SKUE_ID_Sig。
  30. 如权利要求29所述的保护方法，其特征在于，所述第一预存数据中包括所述operator ID1和所述GPKSig；
    所述UE存储所述广播消息中携带的加密公钥之前，所述方法还包括：
    所述UE根据接收到的所述广播消息中携带的指示信息确定所述接入点具有数据签名功能，并根据所述广播消息对应的接入点的标识信息确定所述接入点所属的运营商的身份operator ID2；
    将所述operator ID2与所述operator ID1进行匹配，从所述第一预存数据中查找所述接入点对应的第三全局公钥GPKSig1；
    当所述广播消息中携带签名Sig1时，使用所述GPKSig1和所述接入点的标识信息对所述广播消息进行验证；
    当所述广播消息验证通过时，确定将所述广播消息携带的所述加密公钥添加至所述第一预存数据中。
  31. 如权利要求30所述的保护方法，其特征在于，所述第一预存数据中包括所述GPKenc；
    所述UE在需要向所述接入点发送传输数据时，从其第一预存数据中获取基于身份的密码IBC技术的全局公钥，并使用所述加密公钥和所述全局公钥对所述传输数据进行保护包括：
    所述UE在需要向所述接入点发送传输数据时，从所述第一预存数据中获取所述加密公钥和所述GPKenc；
    使用所述加密公钥、所述GPKenc对所述传输数据进行加密得到保护消息；
    其中，所述传输数据的保护方式为使用所述加密公钥、所述GPKenc对所述传输数据进行加密。
  32. 如权利要求30所述的保护方法，其特征在于，所述第一预存数据中包括所述GPKenc和所述SKUE_ID_enc；
    所述UE在需要向所述接入点发送传输数据时，从其第一预存数据中获取基于身份的密码IBC技术的全局公钥或者所述UE对应的私钥，并使用所述加密公钥和所述全局公钥或者所述UE对应的私钥对所述传输数据进行保护包括：
    所述UE在需要向所述接入点发送传输数据时，从所述第一预存数据中获取所述加密公钥、所述GPKenc以及所述SKUE_ID_enc；
    根据所述加密公钥、所述GPKenc以及所述SKUE_ID_enc生成第一对称钥K1，并将所述传输数据和所述K1输入系统函数以获取第三完整性校验码MAC2；
    使用所述加密公钥和所述GPKenc对所述传输数据以及所述UE的标识信息、所述MAC2进行加密得到保护消息；
    其中，所述传输数据的保护方式为使用所述加密公钥和所述GPKenc对所述传输数据、所述UE的标识信息以及所述MAC2进行加密。
  33. 如权利要求30所述的保护方法，其特征在于，所述第一预存数据中包括所述所述GPKenc和SKUE_ID_Sig；
    所述UE在需要向所述接入点发送传输数据时，从其第一预存数据中获取基于身份的密码IBC技术的全局公钥或者所述UE对应的私钥，并使用所述加密公钥和所述全局公钥或者所述UE对应的私钥对所述传输数据进行保护以得到保护消息包括：
    所述UE在需要向所述接入点发送传输数据时，从所述第一预存数据中获取所述加密公钥、所述GPKenc、所述GPKsig以及所述SKUE_ID_Sig；
    根据所述GPKsig和所述SKUE_ID_Sig对所述传输数据进行签名以得到签名Sig2，并使用所述加密公钥、所述GPKenc对所述传输数据、所述UE的标识信息和所述Sig2进行加密得到保护消息；
    其中，所述传输数据的保护方式为使用所述加密公钥、所述GPKenc对所述传输数据以及所述Sig2进行加密。
  34. 一种传输数据的保护方法，其特征在于，包括：
    接入点发送广播消息，所述广播消息中携带加密公钥；
    所述接入点接收用户设备UE发送的根据所述加密公钥对传输数据进行保护得到的保护消息，所述保护消息中携带所述UE发送的传输数据的保护方式的指示消息；
    所述接入点根据所述保护方式的指示消息从其第二预存数据中获取基于身份的密码IBC技术的全局公钥和所述接入点对应的私钥，并使用所述全局公钥和所述接入点对应的私钥对所述保护消息进行解析以得到所述UE发送的传输数据；
    所述接入点将解析得到的所述UE发送的传输数据发送到核心网中。
  35. 如权利要求34所述的保护方法，其特征在于，所述全局公钥包括第一全局公钥和第二全局公钥，所述接入点对应的私钥包括第一私钥和第二私钥；
    所述接入点发送广播消息之前，所述方法还包括：
    所述接入点从网络或者密钥管理系统KMS中获取系统参数，并将所述系统参数存储为所述接入点的第二预存数据；
    其中，所述系统参数包括加密公钥以及以下两组数据中至少一组：第一全局公钥和第一私钥，或者第二全局公钥和第二私钥；
    所述第一全局公钥为IBC技术的数据加密全局公钥GPKenc；
    所述第一私钥为IBC技术的所述接入点对应的数据加密私钥SKBS_ID_enc；
    所述第二全局公钥为IBC技术的数据签名全局公钥GPKSig；
    所述第二私钥为IBC技术的所述接入点对应的数据签名私钥SKBS_ID_Sig。
  36. 如权利要求35所述的保护方法，其特征在于，所述加密公钥为基站BS的身份BS_ID，或者所述加密公钥包含BS_ID；或者
    所述加密公钥包括无线保真Wi-Fi切入点AP的介质控制子层MAC地址，或者Wi-Fi AP的服务集标识SSID；或者
    所述加密公钥包括热点UE的身份UE_ID，或者热点UE的移动用户身份IMSI。
  37. 如权利要求36所述的保护方法，其特征在于，所述第二预存数据中包括所述GPKSig和所述SKBS_ID_Sig；
    所述接入点发送广播消息之前，所述方法还包括：
    所述接入点使用所述GPKSig和所述SKBS_ID_Sig对所述广播消息进行签名以得到所述广播消息的签名Sig1，并在所述广播消息中携带所述接入点具有数据签名功能的指示信息或者所述广播消息的签名Sig1。
  38. 如权利要求36所述的保护方法，其特征在于，所述第二预存数据中包括所述GPKenc、所述SKBS_ID_enc、所述GPKSig和所述SKBS_ID_Sig；
    所述接入点根据所述保护方式的指示消息从其第二预存数据中获取基于身份的密码IBC技术的全局公钥和所述接入点对应的私钥，并使用所述全局公钥和所述接入点对应的私钥对所述保护消息进行解析包括：
    所述接入点根据所述保护方式的指示消息确定所述传输数据的保护方式，从所述第二预存数据中获取所述SKBS_ID_enc和所述GPKenc，并使用所述SKBS_ID_enc和所述GPKenc对所述保护消息进行解密以得到解密消息。
  39. 如权利要求36所述的保护方法，其特征在于，所述第二预存数据中包括加密公钥、所述GPKenc和所述SKBS_ID_enc；
    所述接入点根据所述保护方式的指示消息从其第二预存数据中获取基于身份的密码IBC技术的全局公钥和所述接入点对应的私钥，并使用所述全局公钥和所述接入点对应的私钥对所述保护消息进行解析包括：
    所述接入点根据所述保护方式的指示消息确定所述传输数据的保护方式，从所述第二预存数据中获取所述GPKenc和所述SKBS_ID_enc，并使用所述SKBS_ID_enc和所述GPKenc对所述保护消息进行解密以得到解密消息；
    所述接入点将解析得到的所述UE发送的传输数据发送到核心网中包括：
    所述接入点从所述解密消息中获取所述保护消息携带的第三完整性保护码MAC2、UE的标识信息以及所述传输数据；
    使用所述UE的标识信息、所述GPKenc和所述SKBS_ID_enc生成对称钥K2；
    使用所述对称钥K2、所述UE的标识信息和解密得到的传输数据计算第四完整性校验码MAC3，并当所述MAC3与所述MAC2相匹配时，将所述UE发送的传输数据发送到核心网。
  40. 如权利要求36所述的保护方法，其特征在于，所述第二预存数据中包括所述GPKenc、所述SKBS_ID_enc和所述GPKSig；
    所述接入点根据所述保护方式的指示消息从其第二预存数据中获取基于身份的密码IBC技术的全局公钥和所述接入点对应的私钥，并使用所述全局公钥和所述接入点对应的私钥对所述保护消息进行解析包括：
    根据所述加密方式的指示消息确定所述传输数据的保护方式，并从所述第二预存数据中获取所述GPKenc和所述SKBS_ID_enc，并使用所述SKBS_ID_enc和所述GPKenc对所述保护消息进行解密以获取所述传输数据；
    所述接入点将解析得到的所述UE发送的传输数据发送到核心网中包括：
    从所述保护消息解密得到的解密消息中获取所述UE的标识信息和所述签名Sig2；
    根据所述保护方式的指示消息确定所述传输数据的保护方式，并从所述第二预存数据中获取所述GPKsig；
    使用所述UE的标识信息以及所述GPKsig对所述保护消息进行验证，当所述保护消息验证成功时，将所述UE发送的传输数据发送到核心网。
  41. 一种传输数据的保护方法，其特征在于，包括：
    用户设备UE在需要发送传输数据时，从其第一预存数据中获取加密公钥、基于身份的密码IBC技术的全局公钥或者所述UE对应的私钥，并使用所述加密公钥，以及所述全 局公钥或者所述UE对应的私钥对所述传输数据进行保护以得到保护消息；
    所述UE向接入点发送所述保护消息，以通过所述接入点将所述保护消息发送给核心网节点，所述保护消息中携带所述传输数据的保护方式的指示消息。
  42. 如权利要求41所述的保护方法，其特征在于，所述全局公钥包括第一全局公钥和第二全局公钥，所述UE对应的私钥包括第三私钥和第四私钥；
    所述UE发送传输数据之前，所述方法还包括：
    所述UE从核心网中获取加密公钥、所述UE用于处理传输数据的核心网处理参数，并将所述加密公钥和所述核心网处理参数存储为所述UE的第一预存数据；
    其中，所述核心网处理参数包括以下三组数据中至少一组：第一全局公钥,或者第一全局公钥和第三私钥，或者第二全局公钥和第四私钥；
    所述第一全局公钥为IBC技术的数据加密全局公钥GPKenc；
    所述第三私钥为IBC技术的所述UE_ID对应的数据加密私钥SKUE_ID_enc；
    所述第二全局公钥为IBC技术的数据签名全局公钥GPKSig；
    所述第四私钥为IBC技术的所述UE_ID对应的数据签名私钥SKUE_ID_Sig。
  43. 如权利要求42所述的保护方法，其特征在于，所述第一预存数据中包括所述加密公钥和所述GPKenc；
    所述UE从其第一预存数据中获取加密公钥、基于身份的密码IBC技术的全局公钥，并使用所述加密公钥，以及所述全局公钥对所述传输数据进行保护包括：
    所述UE在需要向所述接入点发送传输数据时，从所述第一预存数据中获取所述加密公钥和所述GPKenc；
    使用所述加密公钥和所述GPKenc对所述传输数据进行加密得到保护消息；
    其中，所述传输数据的保护方式为使用所述加密公钥和所述GPKenc对所述传输数据进行加密。
  44. 如权利要求42所述的保护方法，其特征在于，所述第一预存数据中包括所述加密公钥、所述GPKenc和所述SKUE_ID_enc；
    所述UE从其第一预存数据中获取加密公钥、基于身份的密码IBC技术的全局公钥或者所述UE对应的私钥，并使用所述加密公钥，以及所述全局公钥或者所述UE对应的私钥对所述传输数据进行保护包括：
    所述UE在需要向所述接入点发送传输数据时，从所述第一预存数据中获取所述加密公钥、所述GPKenc以及所述SKUE_ID_enc；
    根据所述加密公钥、所述GPKenc以及所述SKUE_ID_enc生成对称钥K3，并将所述传输数据和所述K3输入系统函数以获取第四完整性校验码MAC3；
    使用所述加密公钥和所述GPKenc对所述传输数据和所述MAC3进行加密得到保护消息；
    其中，所述传输数据的保护方式为使用所述加密公钥和所述GPKenc对所述传输数据和所述MAC3进行加密。
  45. 如权利要求42所述的保护方法，其特征在于，所述第一预存数据中包括所述加密公钥、所述GPKenc和SKUE_ID_Sig；
    所述UE从其第一预存数据中获取加密公钥、基于身份的密码IBC技术的全局公钥或者所述UE对应的私钥，并使用所述加密公钥，以及所述全局公钥或者所述UE对应的私钥对所述传输数据进行保护包括：
    所述UE在需要向所述接入点发送传输数据时，从所述第一预存数据中获取所述加密公钥、所述GPKenc、所述GPKsig以及所述SKUE_ID_Sig；
    根据所述GPKsig和所述SKUE_ID_Sig对所述传输数据进行签名以得到签名Sig3，并使用所述加密公钥、所述GPKenc对所述传输数据和所述签名Sig2进行加密得到保护消息；
    其中，所述传输数据的保护方式为使用所述加密公钥、所述GPKenc对所述传输数据以及所述签名进行加密。
  46. 一种传输数据的保护方法，其特征在于，包括：
    核心网节点接收接入点发送的保护消息，所述保护消息中携带用户设备UE发送的所述传输数据的保护方式的指示消息；
    所述核心网节点根据所述保护方式的指示消息从其第二预存数据中获取基于身份的密码IBC技术的全局公钥和所述核心网节点对应的私钥，并使用所述全局公钥和所述核心网节点对应的私钥对所述保护消息进行解析以得到所述UE发送的传输数据。
  47. 如权利要求46所述的保护方法，其特征在于，所述全局公钥包括第一全局公钥和第二全局公钥，所述核心网节点对应的私钥包括第五私钥和第六私钥；
    所述核心网节点接收接入点发送的保护消息之前，所述方法还包括：
    所述核心网节点从密钥管理系统KMS中获取核心网系统参数，并将所述核心网系统参数存储为所述核心网接入点的第二预存数据；
    其中，所述核心网系统参数包括加密公钥以及以下两组数据中至少一组：第一全局公钥和第五私钥，或者第二全局公钥和第六私钥；
    所述第一全局公钥为IBC技术的数据加密全局公钥GPKenc；
    所述第五私钥为IBC技术的所述核心网节点对应的数据加密私钥SKCP_ID_enc；
    所述第二全局公钥为IBC技术的数据签名全局公钥GPKSig；
    所述第六私钥为IBC技术的所述核心网节点对应的数据签名私钥SKCP_ID_Sig。
  48. 如权利要求47所述的保护方法，其特征在于，所述加密公钥为核心网认证节点的身份，或者所述加密公钥包含所述核心网节点的身份。
  49. 如权利要求48所述的保护方法，其特征在于，所述第二预存数据中包括所述GPKenc和所述SKCP_ID_enc；
    所述核心网节点根据所述保护方式的指示消息从其第二预存数据中获取基于身份的密 码IBC技术的全局公钥和所述核心网节点对应的私钥，并使用所述全局公钥和所述核心网节点对应的私钥对所述保护消息进行解析包括：
    所述核心网节点根据所述保护方式的指示消息确定所述传输数据的保护方式，并从所述第二预存数据中获取所述SKCP_ID_enc和所述GPKenc，并使用所述SKCP_ID_enc和所述GPKenc对所述保护消息进行解密以得到所述UE的传输数据。
  50. 如权利要求48所述的保护方法，其特征在于，所述第二预存数据中包括所述GPKenc和所述SKCP_ID_enc；
    所述核心网节点根据所述保护方式的指示消息从其第二预存数据中获取基于身份的密码IBC技术的全局公钥和所述核心网节点对应的私钥，并使用所述全局公钥和所述核心网节点对应的私钥对所述保护消息进行解析包括：
    所述核心网节点根据所述保护方式的指示消息确定所述传输数据的保护方式，从所述第二预存数据中获取所述GPKenc和所述SKCP_ID_enc，对所述保护消息进行解密以得到解密消息；
    获取所述解密消息中携带的第四完整性校验码MAC3，并使用所述UE的标识信息、所述GPKenc和所述SKCP_ID_enc生成对称钥K4；
    使用所述K4、所述UE的标识信息和所述解密消息生成第五完整性校验码MAC4，并当所述MAC4与所述MAC3相匹配时，获取所述传输数据。
  51. 如权利要求48所述的保护方法，其特征在于，所述第二预存数据中包括所述加密公钥、所述GPKenc、所述SKCP_ID_enc和所述GPKSig；
    所述核心网节点根据所述保护方式的指示消息从其第二预存数据中获取基于身份的密码IBC技术的全局公钥和所述核心网节点对应的私钥，并使用所述全局公钥和所述核心网节点对应的私钥对所述保护消息进行解析包括：
    所述核心网节点根据所述加密方式的指示消息确定所述传输数据的保护方式，并使用从所述第二预存数据中获取的所述GPKenc、所述加密公钥和所述SKCP_ID_enc对所述保护消息进行解密；
    从所述保护消息解密得到的解密消息中获取所述签名Sig3，并使用所述UE的标识信息和所述GPKsig对所述保护消息进行验证，当所述保护消息验证成功时，获取所述传输数据。
  52. 一种传输数据的保护方法，其特征在于，包括：
    核心网节点接收用户面网关下发的传输数据，并从其第二预存数据中获取用户设备UE的标识信息、基于身份的密码IBC技术的全局公钥以及所述核心网节点对应的私钥；
    所述核心网节点使用所述UE的标识信息、所述全局公钥和所述私钥对所述传输数据进行保护以得到保护消息，并将所述保护消息发送给接入点。
  53. 如权利要求52所述的保护方法，其特征在于，所述全局公钥包括第一全局公钥和 第二全局公钥，所述核心网节点对应的私钥包括第五私钥和第六私钥；
    所述核心网节点接收用户面网关下发的传输数据之前，所述方法还包括：
    所述核心网节点从网络或者密钥管理系统KMS中获取核心网系统参数，并将所述核心网系统参数存储为所述核心网接入点的第二预存数据；
    其中，所述核心网系统参数包括加密公钥以及以下两组数据中至少一组：第一全局公钥和第五私钥，或者第二全局公钥和第六私钥；
    所述第一全局公钥为IBC技术的数据加密全局公钥GPKenc；
    所述第五私钥为IBC技术的所述核心网节点对应的数据加密私钥SKCP_ID_enc；
    所述第二全局公钥为IBC技术的数据签名全局公钥GPKSig；
    所述第六私钥为IBC技术的所述核心网节点对应的数据签名私钥SKCP_ID_Sig。
  54. 如权利要求53所述的保护方法，其特征在于，所述第二预存数据中包括所述GPKenc和所述SKCP_ID_enc；
    所述核心网节点从其第二预存数据中获取用户设备UE的标识信息、基于身份的密码IBC技术的全局公钥以及所述核心网节点对应的私钥包括：
    所述核心网节点从所述第二预存数据中获取所述UE的标识信息、所述GPKenc以及所述SKCP_ID_enc；
    所述核心网节点使用所述UE的标识信息、所述全局公钥和所述私钥对所述传输数据进行保护以得到保护消息包括：
    所述核心网节点根据所述UE的标识信息、所述GPKenc以及所述SKCP_ID_enc生成对称钥K5，并将所述传输数据和所述K5输入系统函数以获取第六完整性校验码MAC5；
    使用所述K5对所述传输数据加密得到保护消息。
  55. 一种传输数据的保护方法，其特征在于，包括：
    用户设备UE接收接入点发送的保护消息；
    所述UE从其第一预存数据中获取核心网节点的标识，基于身份的密码IBC技术的全局公钥和所述UE对应的私钥对所述保护消息进行解析以得到所述传输数据。
  56. 如权利要求55所述的保护方法，其特征在于，所述全局公钥包括第一全局公钥和第二全局公钥，所述UE对应的私钥包括第三私钥和第四私钥；
    所述UE接收接入点发送的保护消息之前，所述方法还包括：
    所述UE从核心网中获取其标识信息、所述UE用于处理传输数据的核心网处理参数，并将所述标识信息和所述核心网处理参数存储为所述UE的第一预存数据；
    其中，所述核心网处理参数包括以下两组数据中至少一组：第一全局公钥和第三私钥，或者第二全局公钥和第四私钥；
    所述第一全局公钥为IBC技术的数据加密全局公钥GPKenc；
    所述第三私钥为IBC技术的所述UE_ID对应的数据加密私钥SKUE_ID_enc；
    所述第二全局公钥为IBC技术的数据签名全局公钥GPKSig；
    所述第四私钥为IBC技术的所述UE_ID对应的数据签名私钥SKUE_ID_Sig。
  57. 如权利要求56所述的保护方法，其特征在于，所述第一预存数据中包括所述UE的标识信息、所述核心网节点的标识、所述GPKenc和所述SKUE_ID_enc；
    所述UE从其第一预存数据中获取核心网节点的标识，基于身份的密码IBC技术的全局公钥和所述UE对应的私钥对所述保护消息进行解析以得到所述传输数据包括：
    所述UE从所述第一预存数据中获取所述GPKenc和所述SKUE_ID_enc，并使用所述GPKenc和所述SKUE_ID_enc对所述保护消息进行解密以得到解密消息；
    使用所述核心网节点的标识信息、所述GPKenc和所述SKUE_ID_enc生成对称钥K6；
    使用所述K6对所述保护消息进行解密以得到解密消息；
    使用所述K6和所述解密消息生成第七完整性校验码MAC6，并当所述MAC6与所述解密消息中携带的第六完整性校验码MAC5相匹配时，获取所述传输数据。
  58. 一种传输数据的保护装置，其特征在于，包括：
    接收单元，用于接收接入点发送的广播消息，并存储所述广播消息中携带的加密公钥；
    处理单元，用于在需要向所述接入点发送传输数据时，从用户设备UE的第一预存数据中获取基于身份的密码IBC技术的全局公钥或者所述UE对应的私钥，并使用所述接收单元接收的所述加密公钥和所述全局公钥或者所述UE对应的私钥对所述传输数据进行保护以得到保护消息；
    发送单元，用于向所述接入点发送所述处理单元处理的所述保护消息，所述保护消息中携带所述传输数据的保护方式的指示消息。
  59. 如权利要求58所述的保护装置，其特征在于，所述全局公钥包括第一全局公钥和第二全局公钥，所述UE对应的私钥包括第三私钥和第四私钥；
    所述处理单元还用于：
    从网络或者KMS中获取所述UE用于处理传输数据的处理参数，并将所述处理参数存储为所述UE的第一预存数据；
    其中，所述处理参数包括UE所属运营商的身份operator ID1以及以下三组数据中至少一组：第一全局公钥,或者第一全局公钥和第三私钥，或者第二全局公钥和第四私钥；
    所述第一全局公钥为IBC技术的数据加密全局公钥GPKenc；
    所述第三私钥为IBC技术的所述UE_ID对应的数据加密私钥SKUE_ID_enc；
    所述第二全局公钥为IBC技术的数据签名全局公钥GPKSig；
    所述第四私钥为IBC技术的所述UE_ID对应的数据签名私钥SKUE_ID_Sig。
  60. 如权利要求59所述的保护装置，其特征在于，所述第一预存数据中包括所述operator ID1和所述GPKSig；
    所述接收单元具体用于：
    根据接收到的所述广播消息中携带的指示信息确定所述接入点具有数据签名功能，并 根据所述广播消息对应的接入点的标识信息确定所述接入点所属的运营商的身份operator ID2；
    将所述operator ID2与所述operator ID1进行匹配，从所述第一预存数据中查找所述接入点对应的第三全局公钥GPKSig1；
    当所述广播消息中携带签名Sig1时，使用所述GPKSig1和所述接入点的标识信息对所述广播消息进行验证；
    当所述广播消息验证通过时，确定将所述广播消息携带的所述加密公钥添加至所述第一预存数据中。
  61. 如权利要求60所述的保护装置，其特征在于，所述第一预存数据中包括所述GPKenc；
    所述处理单元具体用于：
    在需要向所述接入点发送传输数据时，从所述第一预存数据中获取所述加密公钥和所述GPKenc；
    使用所述加密公钥、所述GPKenc对所述传输数据进行加密得到保护消息；
    其中，所述传输数据的保护方式为使用所述加密公钥、所述GPKenc对所述传输数据进行加密。
  62. 如权利要求60所述的保护装置，其特征在于，所述第一预存数据中包括所述GPKenc和所述SKUE_ID_enc；
    所述处理单元具体用于：
    在需要向所述接入点发送传输数据时，从所述第一预存数据中获取所述加密公钥、所述GPKenc以及所述SKUE_ID_enc；
    根据所述加密公钥、所述GPKenc以及所述SKUE_ID_enc生成第一对称钥K1，并将所述传输数据和所述K1输入系统函数以获取第三完整性校验码MAC2；
    使用所述加密公钥和所述GPKenc对所述传输数据以及所述UE的标识信息、所述MAC2进行加密得到保护消息；
    其中，所述传输数据的保护方式为使用所述加密公钥和所述GPKenc对所述传输数据、所述UE的标识信息以及所述MAC2进行加密。
  63. 如权利要求60所述的保护装置，其特征在于，所述第一预存数据中包括所述所述GPKenc和SKUE_ID_Sig；
    所述处理单元具体用于：
    在需要向所述接入点发送传输数据时，从所述第一预存数据中获取所述加密公钥、所述GPKenc、所述GPKsig以及所述SKUE_ID_Sig；
    根据所述GPKsig和所述SKUE_ID_Sig对所述传输数据进行签名以得到签名Sig2，并使用所述加密公钥、所述GPKenc对所述传输数据、所述UE的标识信息和所述Sig2进行加密得到保护消息；
    其中，所述传输数据的保护方式为使用所述加密公钥、所述GPKenc对所述传输数据以 及所述Sig2进行加密。
  64. 一种传输数据的保护装置，其特征在于，包括：
    发送单元，用于发送广播消息，所述广播消息中携带加密公钥；
    接收单元，用于接收用户设备UE发送的根据所述发送单元发送的所述加密公钥对传输数据进行保护得到的保护消息，所述保护消息中携带所述UE发送的传输数据的保护方式的指示消息；
    解析单元，用于根据所述接收单元接收的所述保护方式的指示消息从其第二预存数据中获取基于身份的密码IBC技术的全局公钥和所述接入点对应的私钥，并使用所述全局公钥和所述接入点对应的私钥对所述保护消息进行解析以得到所述UE发送的传输数据；
    所述发送单元，还用于将所述解析单元解析得到的所述UE发送的传输数据发送到核心网中。
  65. 如权利要求64所述的保护装置，其特征在于，所述全局公钥包括第一全局公钥和第二全局公钥，所述接入点对应的私钥包括第一私钥和第二私钥；
    所述解析单元还用于：
    从网络或者密钥管理系统KMS中获取系统参数，并将所述系统参数存储为所述接入点的第二预存数据；
    其中，所述系统参数包括加密公钥以及以下两组数据中至少一组：第一全局公钥和第一私钥，或者第二全局公钥和第二私钥；
    所述第一全局公钥为IBC技术的数据加密全局公钥GPKenc；
    所述第一私钥为IBC技术的所述接入点对应的数据加密私钥SKBS_ID_enc；
    所述第二全局公钥为IBC技术的数据签名全局公钥GPKSig；
    所述第二私钥为IBC技术的所述接入点对应的数据签名私钥SKBS_ID_Sig。
  66. 如权利要求65所述的保护装置，其特征在于，所述加密公钥为基站BS的身份BS_ID，或者所述加密公钥包含BS_ID；或者
    所述加密公钥包括无线保真Wi-Fi切入点AP的介质控制子层MAC地址，或者Wi-Fi AP的服务集标识SSID；或者
    所述加密公钥包括热点UE的身份UE_ID，或者热点UE的移动用户身份IMSI。
  67. 如权利要求66所述的保护装置，其特征在于，所述第二预存数据中包括所述GPKSig和所述SKBS_ID_Sig；
    所述发送单元具体用于：
    使用所述GPKSig和所述SKBS_ID_Sig对所述广播消息进行签名以得到所述广播消息的签名Sig1，并在所述广播消息中携带所述接入点具有数据签名功能的指示信息或者所述广播消息的签名Sig1。
  68. 如权利要求66所述的保护装置，其特征在于，所述第二预存数据中包括所述GPKenc、所述SKBS_ID_enc、所述GPKSig和所述SKBS_ID_Sig；
    所述解析单元具体用于：
    根据所述保护方式的指示消息确定所述传输数据的保护方式，从所述第二预存数据中获取所述SKBS_ID_enc和所述GPKenc，并使用所述SKBS_ID_enc和所述GPKenc对所述保护消息进行解密以得到解密消息。
  69. 如权利要求66所述的保护装置，其特征在于，所述第二预存数据中包括加密公钥、所述GPKenc和所述SKBS_ID_enc；
    所述解析单元具体用于：
    根据所述保护方式的指示消息确定所述传输数据的保护方式，从所述第二预存数据中获取所述GPKenc和所述SKBS_ID_enc，并使用所述SKBS_ID_enc和所述GPKenc对所述保护消息进行解密以得到解密消息；
    所述发送单元具体用于：
    从所述解析单元解析得到的所述解密消息中获取所述保护消息携带的第三完整性保护码MAC2、UE的标识信息以及所述传输数据；
    使用所述UE的标识信息、所述GPKenc和所述SKBS_ID_enc生成对称钥K2；
    使用所述对称钥K2、所述UE的标识信息和解密得到的传输数据计算第四完整性校验码MAC3，并当所述MAC3与所述MAC2相匹配时，将所述UE发送的传输数据发送到核心网。
  70. 如权利要求66所述的保护装置，其特征在于，所述第二预存数据中包括所述GPKenc、所述SKBS_ID_enc和所述GPKSig；
    所述解析单元具体用于：
    根据所述加密方式的指示消息确定所述传输数据的保护方式，并从所述第二预存数据中获取所述GPKenc和所述SKBS_ID_enc，并使用所述SKBS_ID_enc和所述GPKenc对所述保护消息进行解密以获取所述传输数据；
    所述发送单元具体用于：
    从所述保护消息解密得到的解密消息中获取所述UE的标识信息和所述签名Sig2；
    根据所述保护方式的指示消息确定所述传输数据的保护方式，并从所述第二预存数据中获取所述GPKsig；
    使用所述UE的标识信息以及所述GPKsig对所述保护消息进行验证，当所述保护消息验证成功时，将所述UE发送的传输数据发送到核心网。
  71. 一种传输数据的保护装置，其特征在于，包括：
    保护单元，用于在需要发送传输数据时，从用户设备的第一预存数据中获取加密公钥、基于身份的密码IBC技术的全局公钥或者所述UE对应的私钥，并使用所述加密公钥，以及所述全局公钥或者所述UE对应的私钥对所述传输数据进行保护以得到保护消息；
    发送单元，用于向接入点发送所述保护单元处理得到的所述保护消息，以通过所述接入点将所述保护消息发送给核心网节点，所述保护消息中携带所述传输数据的保护方式的指示消息。
  72. 如权利要求71所述的保护装置，其特征在于，所述全局公钥包括第一全局公钥和第二全局公钥，所述UE对应的私钥包括第三私钥和第四私钥；
    所述保护单元还用于：
    从核心网中获取加密公钥、所述UE用于处理传输数据的核心网处理参数，并将所述加密公钥和所述核心网处理参数存储为所述UE的第一预存数据；
    其中，所述核心网处理参数包括以下三组数据中至少一组：第一全局公钥,或者第一全局公钥和第三私钥，或者第二全局公钥和第四私钥；
    所述第一全局公钥为IBC技术的数据加密全局公钥GPKenc；
    所述第三私钥为IBC技术的所述UE_ID对应的数据加密私钥SKUE_ID_enc；
    所述第二全局公钥为IBC技术的数据签名全局公钥GPKSig；
    所述第四私钥为IBC技术的所述UE_ID对应的数据签名私钥SKUE_ID_Sig。
  73. 如权利要求72所述的保护装置，其特征在于，所述第一预存数据中包括所述加密公钥和所述GPKenc；
    所述保护单元具体用于：
    在需要向所述接入点发送传输数据时，从所述第一预存数据中获取所述加密公钥和所述GPKenc；
    使用所述加密公钥和所述GPKenc对所述传输数据进行加密得到保护消息；
    其中，所述传输数据的保护方式为使用所述加密公钥和所述GPKenc对所述传输数据进行加密。
  74. 如权利要求72所述的保护装置，其特征在于，所述第一预存数据中包括所述加密公钥、所述GPKenc和所述SKUE_ID_enc；
    所述保护单元具体用于：
    在需要向所述接入点发送传输数据时，从所述第一预存数据中获取所述加密公钥、所述GPKenc以及所述SKUE_ID_enc；
    根据所述加密公钥、所述GPKenc以及所述SKUE_ID_enc生成对称钥K3，并将所述传输数据和所述K3输入系统函数以获取第四完整性校验码MAC3；
    使用所述加密公钥和所述GPKenc对所述传输数据和所述MAC3进行加密得到保护消息；
    其中，所述传输数据的保护方式为使用所述加密公钥和所述GPKenc对所述传输数据和所述MAC3进行加密。
  75. 如权利要求72所述的保护装置，其特征在于，所述第一预存数据中包括所述加密公钥、所述GPKenc和SKUE_ID_Sig；
    所述保护单元具体用于：
    在需要向所述接入点发送传输数据时，从所述第一预存数据中获取所述加密公钥、所述GPKenc、所述GPKsig以及所述SKUE_ID_Sig；
    根据所述GPKsig和所述SKUE_ID_Sig对所述传输数据进行签名以得到签名Sig3，并使用所述加密公钥、所述GPKenc对所述传输数据和所述签名Sig2进行加密得到保护消息；
    其中，所述传输数据的保护方式为使用所述加密公钥、所述GPKenc对所述传输数据以及所述签名进行加密。
  76. 一种传输数据的保护装置，其特征在于，包括：
    接收单元，用于接收接入点发送的保护消息，所述保护消息中携带用户设备UE发送的所述传输数据的保护方式的指示消息；
    解析单元，用于根据所述接收单元接收的所述保护方式的指示消息从其第二预存数据中获取基于身份的密码IBC技术的全局公钥和所述核心网节点对应的私钥，并使用所述全局公钥和所述核心网节点对应的私钥对所述保护消息进行解析以得到所述UE发送的传输数据。
  77. 如权利要求76所述的保护装置，其特征在于，所述全局公钥包括第一全局公钥和第二全局公钥，所述核心网节点对应的私钥包括第五私钥和第六私钥；
    所述解析单元还用于：
    从密钥管理系统KMS中获取核心网系统参数，并将所述核心网系统参数存储为所述核心网接入点的第二预存数据；
    其中，所述核心网系统参数包括加密公钥以及以下两组数据中至少一组：第一全局公钥和第五私钥，或者第二全局公钥和第六私钥；
    所述第一全局公钥为IBC技术的数据加密全局公钥GPKenc；
    所述第五私钥为IBC技术的所述核心网节点对应的数据加密私钥SKCP_ID_enc；
    所述第二全局公钥为IBC技术的数据签名全局公钥GPKSig；
    所述第六私钥为IBC技术的所述核心网节点对应的数据签名私钥SKCP_ID_Sig。
  78. 如权利要求77所述的保护装置，其特征在于，所述加密公钥为核心网认证节点的身份，或者所述加密公钥包含所述核心网节点的身份。
  79. 如权利要求78所述的保护装置，其特征在于，所述第二预存数据中包括所述GPKenc和所述SKCP_ID_enc；
    所述解析单元具体用于：
    根据所述保护方式的指示消息确定所述传输数据的保护方式，并从所述第二预存数据中获取所述SKCP_ID_enc和所述GPKenc，并使用所述SKCP_ID_enc和所述GPKenc对所述保护消息进行解密以得到所述UE的传输数据。
  80. 如权利要求78所述的保护装置，其特征在于，所述第二预存数据中包括所述GPKenc和所述SKCP_ID_enc；
    所述解析单元具体用于：
    根据所述保护方式的指示消息确定所述传输数据的保护方式，从所述第二预存数据中获取所述GPKenc和所述SKCP_ID_enc，对所述保护消息进行解密以得到解密消息；
    获取所述解密消息中携带的第四完整性校验码MAC3，并使用所述UE的标识信息、所述GPKenc和所述SKCP_ID_enc生成对称钥K4；
    使用所述K4、所述UE的标识信息和所述解密消息生成第五完整性校验码MAC4，并当所述MAC4与所述MAC3相匹配时，获取所述传输数据。
  81. 如权利要求78所述的保护装置，其特征在于，所述第二预存数据中包括所述加密公钥、所述GPKenc、所述SKCP_ID_enc和所述GPKSig；
    所述解析单元具体用于：
    根据所述加密方式的指示消息确定所述传输数据的保护方式，并使用从所述第二预存数据中获取的所述GPKenc、所述加密公钥和所述SKCP_ID_enc对所述保护消息进行解密；
    从所述保护消息解密得到的解密消息中获取所述签名Sig3，并使用所述UE的标识信息和所述GPKsig对所述保护消息进行验证，当所述保护消息验证成功时，获取所述传输数据。
  82. 一种传输数据的保护装置，其特征在于，包括：
    接收单元，用于接收用户面网关下发的传输数据；
    处理单元，用于从核心网节点的第二预存数据中获取用户设备UE的标识信息、基于身份的密码IBC技术的全局公钥以及所述核心网节点对应的私钥，并使用所述UE的标识信息、所述全局公钥和所述私钥对所述接收单元接收的所述传输数据进行保护以得到保护消息；
    发送单元，用于将所述处理单元处理得到的所述保护消息发送给接入点。
  83. 如权利要求82所述的保护装置，其特征在于，所述全局公钥包括第一全局公钥和第二全局公钥，所述核心网节点对应的私钥包括第五私钥和第六私钥；
    所述处理单元还用于：
    从网络或者密钥管理系统KMS中获取核心网系统参数，并将所述核心网系统参数存储为所述核心网接入点的第二预存数据；
    其中，所述核心网系统参数包括加密公钥以及以下两组数据中至少一组：第一全局公钥和第五私钥，或者第二全局公钥和第六私钥；
    所述第一全局公钥为IBC技术的数据加密全局公钥GPKenc；
    所述第五私钥为IBC技术的所述核心网节点对应的数据加密私钥SKCP_ID_enc；
    所述第二全局公钥为IBC技术的数据签名全局公钥GPKSig；
    所述第六私钥为IBC技术的所述核心网节点对应的数据签名私钥SKCP_ID_Sig。
  84. 如权利要求83所述的保护装置，其特征在于，所述第二预存数据中包括所述GPKenc和所述SKCP_ID_enc；
    所述处理单元具体用于：
    从所述第二预存数据中获取所述UE的标识信息、所述GPKenc以及所述SKCP_ID_enc；
    根据所述UE的标识信息、所述GPKenc以及所述SKCP_ID_enc生成对称钥K5，并将所述传输数据和所述K5输入系统函数以获取第六完整性校验码MAC5；
    使用所述K5对所述传输数据加密得到保护消息。
  85. 一种传输数据的保护装置，其特征在于，包括：
    接收单元，用于接收接入点发送的保护消息；
    解析单元，用于从用户设备的第一预存数据中获取核心网节点的标识，基于身份的密码IBC技术的全局公钥和所述UE对应的私钥对所述保护消息进行解析以得到所述传输数据。
  86. 如权利要求85所述的保护装置，其特征在于，所述全局公钥包括第一全局公钥和第二全局公钥，所述UE对应的私钥包括第三私钥和第四私钥；
    所述解析单元还用于：
    从核心网中获取其标识信息、所述UE用于处理传输数据的核心网处理参数，并将所述标识信息和所述核心网处理参数存储为所述UE的第一预存数据；
    其中，所述核心网处理参数包括以下两组数据中至少一组：第一全局公钥和第三私钥，或者第二全局公钥和第四私钥；
    所述第一全局公钥为IBC技术的数据加密全局公钥GPKenc；
    所述第三私钥为IBC技术的所述UE_ID对应的数据加密私钥SKUE_ID_enc；
    所述第二全局公钥为IBC技术的数据签名全局公钥GPKSig；
    所述第四私钥为IBC技术的所述UE_ID对应的数据签名私钥SKUE_ID_Sig。
  87. 如权利要求86所述的保护装置，其特征在于，所述第一预存数据中包括所述UE的标识信息、所述核心网节点的标识、所述GPKenc和所述SKUE_ID_enc；
    所述解析单元具体用于：
    从所述第一预存数据中获取所述GPKenc和所述SKUE_ID_enc，并使用所述GPKenc和所述SKUE_ID_enc对所述保护消息进行解密以得到解密消息；
    使用所述核心网节点的标识信息、所述GPKenc和所述SKUE_ID_enc生成对称钥K6；
    使用所述K6对所述保护消息进行解密以得到解密消息；
    使用所述K6和所述解密消息生成第七完整性校验码MAC6，并当所述MAC6与所述解密消息中携带的MAC5相匹配时，获取所述传输数据。
PCT/CN2017/077952 2016-07-06 2017-03-23 一种传输数据的保护系统、方法及装置 WO2018006627A1 (zh)

Priority Applications (2)

Application Number Priority Date Filing Date Title
EP17823440.7A EP3468138B1 (en) 2016-07-06 2017-03-23 Protection system, method and device for transmission data
US16/237,902 US11122428B2 (en) 2016-07-06 2019-01-02 Transmission data protection system, method, and apparatus

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN201610526350.0 2016-07-06
CN201610526350.0A CN107592281B (zh) 2016-07-06 2016-07-06 一种传输数据的保护系统、方法及装置

Related Child Applications (1)

Application Number Title Priority Date Filing Date
US16/237,902 Continuation US11122428B2 (en) 2016-07-06 2019-01-02 Transmission data protection system, method, and apparatus

Publications (1)

Publication Number Publication Date
WO2018006627A1 true WO2018006627A1 (zh) 2018-01-11

Family

ID=60901772

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2017/077952 WO2018006627A1 (zh) 2016-07-06 2017-03-23 一种传输数据的保护系统、方法及装置

Country Status (4)

Country Link
US (1) US11122428B2 (zh)
EP (1) EP3468138B1 (zh)
CN (2) CN114826673A (zh)
WO (1) WO2018006627A1 (zh)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2019137792A1 (en) * 2018-01-12 2019-07-18 Telefonaktiebolaget Lm Ericsson (Publ) Validation of subscription concealed identifiers in mobile networks

Families Citing this family (20)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN108235376B (zh) * 2016-12-21 2020-03-06 电信科学技术研究院 一种用户面锚点选择方法及装置
CN110383755B (zh) * 2017-01-05 2022-04-19 皇家飞利浦有限公司 网络设备和可信第三方设备
WO2018203813A1 (en) * 2017-05-03 2018-11-08 Telefonaktiebolaget Lm Ericsson (Publ) Ue handling in ran
US10880085B1 (en) * 2017-08-03 2020-12-29 The University Of Tulsa Device, system, and method to facilitate secure data transmission, storage and key management
WO2019210437A1 (en) * 2018-04-30 2019-11-07 Qualcomm Incorporated An addressing model and method
WO2020010515A1 (en) 2018-07-10 2020-01-16 Apple Inc. Identity-based message integrity protection and verification for wireless communication
CN108964908A (zh) * 2018-08-10 2018-12-07 飞天诚信科技股份有限公司 一种受控密钥协商的方法及系统
US11546138B2 (en) * 2018-09-28 2023-01-03 Benjamin Allan Mord Information integrity in blockchain and related technologies
CN111464934B (zh) * 2019-01-21 2021-10-15 华为技术有限公司 数据传输系统、方法及其装置
WO2020252790A1 (zh) * 2019-06-21 2020-12-24 Oppo广东移动通信有限公司 一种信息传输方法及装置、网络设备、用户设备
CN110621016B (zh) * 2019-10-18 2022-08-12 中国联合网络通信集团有限公司 一种用户身份保护方法、用户终端和基站
CN112887971B (zh) * 2019-11-30 2023-03-21 华为技术有限公司 数据传输方法和装置
CN113038459A (zh) * 2019-12-25 2021-06-25 中兴通讯股份有限公司 隐私信息传输方法、装置、计算机设备及计算机可读介质
CN113381852A (zh) * 2020-03-09 2021-09-10 中国电信股份有限公司 电子邮件安全传送方法和系统
CN113841357B (zh) 2020-04-15 2024-08-09 谷歌有限责任公司 三方密码握手协议
CN111918292B (zh) * 2020-09-02 2022-08-16 中国联合网络通信集团有限公司 一种接入方法及装置
CN112532626A (zh) * 2020-11-30 2021-03-19 南威软件股份有限公司 一种点对点加密聊天方法
CN113316152A (zh) * 2021-05-21 2021-08-27 重庆邮电大学 LTE系统中针对终端的DoS攻击检测方法及防御方法
CN115996367A (zh) * 2021-10-20 2023-04-21 华为技术有限公司 一种接入通信网络的方法和装置
WO2024000597A1 (en) * 2022-07-01 2024-01-04 Zte Corporation Method, device and computer program product for wireless communication

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2008047195A1 (en) * 2006-10-16 2008-04-24 Nokia Corporation Identifiers in a communication system
CN103002417A (zh) * 2012-12-17 2013-03-27 中国联合网络通信集团有限公司 短信加密处理方法及装置
CN103812650A (zh) * 2012-11-12 2014-05-21 华为技术有限公司 信息处理方法、用户设备和加密设备
CN104902471A (zh) * 2015-06-01 2015-09-09 东南大学 无线传感器网络中基于身份的密钥交换设计方法

Family Cites Families (43)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7096358B2 (en) * 1998-05-07 2006-08-22 Maz Technologies, Inc. Encrypting file system
US20050089173A1 (en) * 2002-07-05 2005-04-28 Harrison Keith A. Trusted authority for identifier-based cryptography
US7003117B2 (en) 2003-02-05 2006-02-21 Voltage Security, Inc. Identity-based encryption system for secure data distribution
US8108678B1 (en) * 2003-02-10 2012-01-31 Voltage Security, Inc. Identity-based signcryption system
US7017181B2 (en) * 2003-06-25 2006-03-21 Voltage Security, Inc. Identity-based-encryption messaging system with public parameter host servers
US7580521B1 (en) 2003-06-25 2009-08-25 Voltage Security, Inc. Identity-based-encryption system with hidden public key attributes
US7103911B2 (en) * 2003-10-17 2006-09-05 Voltage Security, Inc. Identity-based-encryption system with district policy information
US20050135610A1 (en) * 2003-11-01 2005-06-23 Liqun Chen Identifier-based signcryption
GB2414367B (en) * 2004-05-20 2009-03-04 Vodafone Plc Data transmission
GB2416282B (en) * 2004-07-15 2007-05-16 Hewlett Packard Development Co Identifier-based signcryption with two trusted authorities
WO2006034428A2 (en) * 2004-09-20 2006-03-30 Pgp Corporation Apparatus and method for identity-based encryption within a conventional public-key infrastructure
JP4546231B2 (ja) * 2004-12-09 2010-09-15 株式会社日立製作所 Ｉｄベース署名及び暗号化システムおよび方法
US20060215837A1 (en) * 2004-12-18 2006-09-28 Hewlett-Packard Development Company, L.P. Method and apparatus for generating an identifier-based public/private key pair
WO2008001327A2 (en) * 2006-06-30 2008-01-03 Koninklijke Philips Electronics N.V. Method and apparatus for encrypting/decrypting data
US7827408B1 (en) * 2007-07-10 2010-11-02 The United States Of America As Represented By The Director Of The National Security Agency Device for and method of authenticated cryptography
CN101626294A (zh) * 2008-07-07 2010-01-13 华为技术有限公司 基于身份的认证方法、保密通信方法、设备和系统
US9928379B1 (en) * 2008-09-08 2018-03-27 Steven Miles Hoffer Methods using mediation software for rapid health care support over a secured wireless network; methods of composition; and computer program products therefor
US8510558B2 (en) 2009-02-17 2013-08-13 Alcatel Lucent Identity based authenticated key agreement protocol
US20100250949A1 (en) * 2009-03-31 2010-09-30 Torino Maria E Generation, requesting, and/or reception, at least in part, of token
EP2424156B1 (en) 2009-04-24 2013-11-20 Nippon Telegraph And Telephone Corporation Cryptographic system, cryptographic communication method, encryption apparatus, key generation apparatus, decryption apparatus, content server, program and storage medium
US10454674B1 (en) * 2009-11-16 2019-10-22 Arm Limited System, method, and device of authenticated encryption of messages
CN101951603B (zh) 2010-10-14 2013-05-22 中国电子科技集团公司第三十研究所 一种无线局域网接入控制方法及系统
WO2013012734A1 (en) 2011-07-15 2013-01-24 Alcatel-Lucent Usa Inc. Secure group messaging
US9166953B2 (en) * 2011-10-31 2015-10-20 Nokia Technologies Oy Method and apparatus for providing identity based encryption in distributed computations
CN103166931A (zh) * 2011-12-15 2013-06-19 华为技术有限公司 一种安全传输数据方法，装置和系统
US8694771B2 (en) * 2012-02-10 2014-04-08 Connect In Private Panama Corp. Method and system for a certificate-less authenticated encryption scheme using identity-based encryption
AU2013260295B2 (en) * 2012-05-10 2017-05-04 Samsung Electronics Co., Ltd. Method and system for connectionless transmission during uplink and downlink of data packets
WO2014098807A1 (en) * 2012-12-18 2014-06-26 Empire Technology Development Llc Schemes for signcryption
CN104243153B (zh) * 2013-06-07 2017-11-17 华为终端有限公司 一种用于发现设备的用户的方法和用户设备
JP6438027B2 (ja) * 2013-12-02 2018-12-12 マスターカード インターナショナル インコーポレーテッド セキュアエレメントを用いずに移動装置に対する遠隔通知サービスメッセージをセキュアに送信するための方法およびシステム
US9455979B2 (en) * 2014-07-31 2016-09-27 Nok Nok Labs, Inc. System and method for establishing trust using secure transmission protocols
GB2528874A (en) * 2014-08-01 2016-02-10 Bae Systems Plc Improvements in and relating to secret communications
US9032501B1 (en) * 2014-08-18 2015-05-12 Bionym Inc. Cryptographic protocol for portable devices
CN104901803A (zh) * 2014-08-20 2015-09-09 易兴旺 一种基于cpk标识认证技术的数据交互安全保护方法
EP3231151B1 (en) * 2014-12-08 2020-02-26 Koninklijke Philips N.V. Commissioning of devices in a network
US10136310B2 (en) * 2015-04-24 2018-11-20 Microsoft Technology Licensing, Llc Secure data transmission
US10263965B2 (en) * 2015-10-16 2019-04-16 Cisco Technology, Inc. Encrypted CCNx
US10305864B2 (en) * 2016-01-25 2019-05-28 Cisco Technology, Inc. Method and system for interest encryption in a content centric network
US10050946B2 (en) * 2016-06-17 2018-08-14 The Boeing Company Secured data transmission using identity-based cryptography
SG10201606061PA (en) * 2016-07-22 2018-02-27 Huawei Int Pte Ltd A method for unified network and service authentication based on id-based cryptography
SG10201606165SA (en) * 2016-07-26 2018-02-27 Huawei Int Pte Ltd A key generation and distribution method based on identity-based cryptography
US10880085B1 (en) * 2017-08-03 2020-12-29 The University Of Tulsa Device, system, and method to facilitate secure data transmission, storage and key management
US11252689B2 (en) * 2019-07-12 2022-02-15 Charter Communications Operating, Llc Wi-fi access point coordinated transmission of data

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2008047195A1 (en) * 2006-10-16 2008-04-24 Nokia Corporation Identifiers in a communication system
CN103812650A (zh) * 2012-11-12 2014-05-21 华为技术有限公司 信息处理方法、用户设备和加密设备
CN103002417A (zh) * 2012-12-17 2013-03-27 中国联合网络通信集团有限公司 短信加密处理方法及装置
CN104902471A (zh) * 2015-06-01 2015-09-09 东南大学 无线传感器网络中基于身份的密钥交换设计方法

Non-Patent Citations (2)

* Cited by examiner, † Cited by third party
Title
MOTOROLA SOLUTIONS ET AL.: "pCR to Add IBC Managed Content Encryption Key (CEK) for S/MIME", 3GPPTSG SA WG3 (SECURITY) MEETING #81, 13 November 2015 (2015-11-13), pages 1 - 5, XP051036403 *
See also references of EP3468138A4 *

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2019137792A1 (en) * 2018-01-12 2019-07-18 Telefonaktiebolaget Lm Ericsson (Publ) Validation of subscription concealed identifiers in mobile networks

Also Published As

Publication number Publication date
CN107592281B (zh) 2022-04-05
US11122428B2 (en) 2021-09-14
CN107592281A (zh) 2018-01-16
CN114826673A (zh) 2022-07-29
EP3468138B1 (en) 2021-05-05
EP3468138A4 (en) 2019-06-26
EP3468138A1 (en) 2019-04-10
US20190141524A1 (en) 2019-05-09

Similar Documents

Publication Publication Date Title
US11122428B2 (en) Transmission data protection system, method, and apparatus
KR101490214B1 (ko) 공유된 일시적 키 데이터의 세트를 갖는 교환들을 인코딩하기 위한 시스템들 및 방법들
US9554270B2 (en) Enhanced security for direct link communications
CN106936570B (zh) 一种密钥配置方法及密钥管理中心、网元
Saxena et al. Authentication protocol for an IoT-enabled LTE network
CN101741555B (zh) 身份认证和密钥协商方法及系统
US11044084B2 (en) Method for unified network and service authentication based on ID-based cryptography
US8625798B2 (en) Method and apparatus for encrypting short data in a wireless communication system
US20090276629A1 (en) Method for deriving traffic encryption key
JP2011139457A (ja) 無線通信装置とサーバとの間でデータを安全にトランザクション処理する方法及びシステム
CN101512537A (zh) 在自组无线网络中安全处理认证密钥资料的方法和系统
CN110087240B (zh) 基于wpa2-psk模式的无线网络安全数据传输方法及系统
WO2017080136A1 (zh) 密钥分发和接收方法、第一密钥管理中心和第一网元
JP2006211687A (ja) 移動通信加入者認証の安全な伝送方法
CN112087724A (zh) 一种通信方法、网络设备、用户设备和接入网设备
JP2015122764A (ja) 無線通信装置および無線通信装置の動作方法
IL254758B2 (en) Method, equipment and computer software product for code encryption
CN111432404B (zh) 信息处理方法及装置
KR100794792B1 (ko) 브로드캐스트 프레임 보호 방법
Wang et al. MitM attack: CCMP data-confidentiality targeting Wi-Fi
WO2018126750A1 (zh) 一种密钥传递方法及装置
WO2012118445A1 (en) Key management scheme for secure communication in a cellular mobile communication system

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 17823440

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

ENP Entry into the national phase

Ref document number: 2017823440

Country of ref document: EP

Effective date: 20190103