WO2018014630A1

WO2018014630A1 - 一种网络认证方法、相关设备及系统

Info

Publication number: WO2018014630A1
Application number: PCT/CN2017/083360
Authority: WO
Inventors: 吴�荣; 张博; 甘露; 谭帅帅
Original assignee: 华为技术有限公司
Priority date: 2016-07-16
Filing date: 2017-05-05
Publication date: 2018-01-25
Also published as: WO2018014535A1

Abstract

本发明实施例公开了一种网络认证方法、相关设备及系统，该系统包括用户设备、网络认证设备和业务认证设备，业务认证设备用于获取参考信息并结合参考信息和第一共享密钥生成第二共享密钥，第一共享密钥为用户设备与业务认证设备之间预先配置的共享密钥；用户设备用于获取参考信息并结合参考信息和第一共享密钥生成第二共享密钥；业务认证设备用于将第二共享密钥发送给网络认证设备；网络认证设备用于接收第二共享密钥，第二共享密钥用于用户设备和网络认证设备生成目标共享密钥，目标共享密钥或者基于目标共享密钥衍生的共享密钥为网络认证设备与用户设备协商的保护数据安全传输的共享密钥。采用本发明，能够提高目标共享密钥的安全级别。

Description

一种网络认证方法、相关设备及系统

技术领域

本发明实施例涉及计算机技术领域，尤其涉及一种网络认证方法、相关设备及系统。

背景技术

物联网(英文：Internet of Things，简称：IoT)是第五代移动通信技术(英文：5th-Generation，简称：5G)的重要应用场景，IoT中的用户设备接入到5G网络需要进行网络认证，从而生成用于保护网络数据安全传输的共享密钥。用户设备通过网络访问的某项业务时也需要进行业务认证，从而生成用于保护业务数据安全传输的共享密钥。基于共享密钥来保证数据安全传输的原理如下：

用户1(User1)和用户2(User2)提前共享对称密钥K，也称作共享密钥。

方式一：User1使用共享密钥K对消息m进行加密，例如，可表示为ciphtext＝En_K_(m)；然后User1并将加密后的消息发送给USER2。USER2接收该User1发送的消息并利用K和ciphertext恢复出消息m，例如，可表示为m＝decrypt(K,ciphtext)，该过程保证了消息m传输的安全性。基于该共享密钥K的加密技术可以为高级加密标准(英文：Advanced Encryption Standard，缩写：AES)，三重数据加密算法(英文：Triple Data Encryption Algorithm，简称：3DES)，Blowfish,Serpent,Snow 3G，ZUC，HC-256，Grain等算法。

方式二：User1利用共享密钥K计算消息m的消息认证码(英文：message Authentication code，简称：MAC)，例如，可表示为MAC1＝MAC_K_(m)，即利用共享密钥K计算出消息m对应的消息认证码MAC1。然后User1将消息m和消息认证码MAC1发送给该USER2。该USER2接收该消息m和该消息认证码MAC1，并利用K和m验证MAC1的正确性，若验证正确则表明消息m未被篡改，该过程保证了消息m传输的安全性。基于该共享密钥K生成消息认证码的技术可以为哈希消息认证码(英文：Hash-based Message Authentication Code，简称：HMAC)，OMAC，CBC-MAC，PMAC，UMAC和VMAC等算法。

如何在海量IoT的场景下提高网络认证的效率以及提高网络认证的安全性，是本领域的技术人员正在探讨的问题。

发明内容

本发明实施例公开了一种网络认证方法、相关设备及系统，能够提高网络认证的效率以及提高网络认证的安全性。

第一方面，本发明实施例提供了一种网络认证系统，所述系统包括用户设备、网络认证设备和业务认证设备，其中：

所述业务认证设备用于获取参考信息并结合所述参考信息和第一共享密钥生成第二共享密钥，所述第一共享密钥为所述用户设备与所述业务认证设备之间预先配置的共享密钥，所述参考信息包括所述用户设备、所述网络认证设备和所述业务认证设备中至少一项预先关联的信息；

所述用户设备用于获取所述参考信息并结合所述参考信息和所述第一共享密钥生成所述第二共享密钥；

所述业务认证设备用于将所述第二共享密钥发送给所述网络认证设备；

所述网络认证设备用于接收所述第二共享密钥，所述第二共享密钥用于所述用户设备和所述网络认证设备生成目标共享密钥，所述目标共享密钥或者基于所述目标共享密钥衍生的共享密钥为所述网络认证设备与所述用户设备协商的保护数据安全传输的共享密钥。

在上述系统中，用户设备与业务认证设备根据获取的参考参数以及预先共享的第一共享密钥生成第二共享密钥，然后该业务认证设备将该第二共享密钥发送给该网络认证设备，使得该网络认证设备基于该第二共享密钥得到目标共享密钥。也即是说，生成该目标共享密钥考虑到了业务的相关信息以及网络的相关信息，提升了该目标共享密钥的安全级别。

结合第一方面，在第一方面的第一种可能的实现方式中，所述网络认证设备和所述用户设备用于根据所述第二共享密钥或者根据基于所述第二共享密钥衍生的共享密钥进行网络认证生成所述目标共享密钥。

结合第一方面的第一种可能的实现方式，在第一方面的第二种可能的实现方式中：

所述网络认证设备和所述用户设备用于进行网络认证生成第三共享密钥；

所述网络认证设备和所述用户设备用于根据所述第二共享密钥或者根据基于所述第二共享密钥衍生的共享密钥进行网络认证生成所述目标共享密钥，具体为：

所述网络认证设备和所述用户设备用于根据所述第二共享密钥进行网络认证生成第四共享密钥；

所述网络认证设备和所述用户设备均用于根据所述第三共享密钥和所述第四共享密钥生成所述目标共享密钥。

结合第一方面，在第一方面的第三种可能的实现方式中，所述结合所述参考信息和第一共享密钥生成第二共享密钥，具体为：

所述业务认证设备和所述用户设备结合所述参考信息和第一共享密钥进行业务认证生成第二共享密钥；

所述网络认证设备和所述用户设备用于将所述第二共享密钥或者基于所述第二共享密钥衍生的共享密钥作为所述目标共享密钥。

结合第一方面的第一种可能的实现方式，或者第一方面的第二种可能的实现方式，或者第一方面的第三种可能的实现方式，在第一方面的第四种可能的实现方式中：

所述网络认证设备还用于将所述目标共享密钥发送给所述业务认证设备；

所述业务认证设备用于接收所述目标共享密钥；

所述业务认证设备和所述用户设备用于将所述目标共享密钥或者基于所述目标共享密钥衍生的共享密钥作为所述业务认证设备与所述用户设备协商的保护数据安全传输的共享密钥。

结合第一方面，在第一方面的第五种可能的实现方式中：

所述结合所述参考信息和第一共享密钥生成第二共享密钥，具体为：

所述网络认证设备和所述用户设备均用于根据所述第二共享密钥和所述第三共享密钥生成所述目标共享密钥；或者将所述第二共享密钥和所述第三共享密钥分别作为保护不同类型数据的所述目标共享密钥。

结合第一方面，在第一方面的第六种可能的实现方式中：

所述网络认证设备和所述用户设备均用于根据所述第二共享密钥和第五共享密钥生成所述目标共享密钥；或者将所述第二共享密钥和基于所述第五共享密钥衍生的密钥分别作为保护不同类型数据的所述目标共享密钥，所述第五共享密钥为所述用户设备与所述网络认证设备之间预先配置的共享密钥。

结合第一方面，在第一方面的第七种可能的实现方式中：所述参考信息包括所述网络认证设备所在蜂窝网的网络参数；所述结合所述参考信息和第一共享密钥生成第二共享密钥，具体为：

根据所述参考信息和所述第一共享密钥进行业务认证生成第二共享密钥；

所述业务认证设备还用于将所述第二共享密钥作为所述目标共享密钥。

结合第一方面，在第一方面的第八种可能的实现方式中：

所述业务认证设备用于获取所述用户设备与所述网络认证设备之间预先配置的第五共享密钥；

结合所述参考信息、第一共享密钥和所述第五共享密钥进行业务认证生成第二共享密钥；

所述网络认证设备用于将所述第二共享密钥作为所述目标共享密钥。

结合第一方面，在第一方面的第九种可能的实现方式中：

所述网络认证设备用于向所述业务认证设备获取所述第一共享密钥；

所述网络认证设备用于根据所述第一共享密钥和第五共享密钥生成网络侧信息，所述第五共享密钥为所述用户设备与所述网络认证设备之间预先配置的共享密钥；

所述网络认证设备用于将所述网络侧信息发送给所述业务认证设备；

所述业务认证设备用于接收并向所述用户设备转发所述网络侧信息；

结合所述网络参数和第一共享密钥进行业务认证生成第二共享密钥，所述网络参数包括所述网络侧信息；

结合第一方面，或者第一方面的第一种可能的实现方式，或者第一方面的第二种可能的实现方式，或者第一方面的第三种可能的实现方式，或者第一方面的第四种可能的实现方式，或者第一方面的第五种可能的实现方式，或者第一方面的第六种可能的实现方式，或者第一方面的第七种可能的实现方式，或者第一方面的第八种可能的实现方式，或者第一方面的第九种可能的实现方式，在第一方面的第十种可能的实现方式中，所述参考信息包括所述网络认证设备所在蜂窝网的网络参数和目标业务的业务参数中至少一项。

结合第一方面的第十种可能的实现方式，在第一方面的第十一种可能的实现方式中，所述业务参数包括所述目标业务的业务序列号、密钥管理中心的标识、会话标识、链路标识、应用标识、业务标识、业务等级、业务数据速率、时延和业务服务器标识中的至少一项；所述网络参数包括运营商标识，接入网络标识，服务网络标识，网络类型标识，局域网网络标识，切片标识，承载标识，服务质量标识和流标识中的至少一项。

第二方面，本发明实施例提供一种网络认证系统，所述系统包括用户设备、网络认证设备和业务认证设备，其中：

所述业务认证设备用于将预存的目标业务的业务参数发送给所述网络认证设备和所述用户设备；

所述网络认证设备和所述用户设备用于接收所述业务参数；

所述网络认证设备和所述用户设备均用于结合所述业务参数和原始共享密钥生成目标共享密钥，所述目标共享密钥或者基于所述目标共享密钥衍生的共享密钥为所述网络认证设备与所述用户设备协商的保护数据安全传输的共享密钥，所述原始共享密钥为所述用户设备与所述网络认证设备之间预先配置的共享密钥。

在上述系统中，该业务认证设备将业务参数发送给该网络认证设备，该网络认证设备根据自身预先与该用户设备共享的原始共享密钥和该业务参数生成目标共享密钥。也即是说，生成该目标共享密钥涉及到了业务相关的信息、与该用户设备相关的信息以及与网络相关的信息，提升了该目标共享密钥的安全级别。

结合第二方面，在第二方面的第一种可能的实现方式中，所述网络认证设备和所述用户设备均用于结合所述业务参数和原始共享密钥生成目标共享密钥，具体为：

所述网络认证设备和所述用户设备均用于根据所述业务参数和原始共享密钥进行网络认证生成目标共享密钥；或者，

所述网络认证设备和所述用户设备均用于根据所述业务参数和原始共享密钥生成认证共享密钥，并根据所述认证共享密钥进行网络认证生成目标共享密钥。

结合第二方面，或者第二方面的第一种可能的实现方式，在第二方面的第二种可能的实现方式中，所述业务参数包括所述目标业务的业务序列号、密钥管理中心的标识、会话标识、链路标识、应用标识、业务标识、业务等级、业务数据速率、时延和业务服务器标识中的至少一项。

第三方面，本发明实施例提供一种网络认证系统，所述系统包括用户设备、网络认证设备和业务认证设备，其中：

所述业务认证设备用于获取所述用户设备的身份标识；

所述业务认证设备用于结合自身的业务公钥、业务私钥和所述身份标识生成身份密钥，并将所述身份密钥、所述业务公钥发送给所述网络认证设备；

所述网络认证设备用于接收所述身份密钥和所述业务公钥，并结合所述身份密钥、所述业务公钥和所述网络认证设备所在蜂窝网的网络参数生成认证根密钥；

所述网络认证设备用于将所述认证根密钥写入所述用户设备；

所述网络认证设备和所述用户设备用于根据所述认证根密钥进行网络认证生成目标共享密钥，所述目标共享密钥或者基于所述目标共享密钥衍生的共享密钥为所述网络认证设备与所述用户设备协商的保护数据安全传输的共享密钥。

在上述系统中，该业务认证设备将业务公钥、身份密钥发送给该网络认证设备，该网络认证设备根据自身所在网络的信息、该身份密钥和该业务公钥生成认证根密钥，该网络认证设备与该用户设备进一步基于该认证根密钥进行网络认证生成目标共享密钥。也即是说，生成该目标共享密钥涉及到了与业务相关的信息、与该用户设备相关的信息以及与网络相关的信息，提升了该目标共享密钥的安全级别。

结合第三方面，在第三方面的第一种可能的实现方式中，所述网络参数包括运营商标识，接入网络标识，服务网络标识，网络类型标识，局域网网络标识，切片标识，承载标识，服务质量标识和流标识中的至少一项。

第四方面，本发明实施例提供一种网络认证系统，所述系统包括用户设备、网络认证设备和业务认证设备，其中：

所述业务认证设备和所述用户设备用于进行业务认证生成参考共享密钥，或者所述业务认证设备和所述用户设备用于预先配置参考共享密钥；

所述业务认证设备用于将所述参考共享密钥发送给所述网络认证设备；

所述网络认证设备用于接收所述参考共享密钥；

所述网络认证设备和所述用户设备用于结合所述参考共享密钥生成目标共享密钥，所述目标共享密钥或者基于所述目标共享密钥衍生的共享密钥为所述网络认证设备与所述用户设备协商的保护数据安全传输的共享密钥。

在上述网络认证系统中，该业务认证设备与该用户设备进行业务认证生成参考共享密钥，然后该网络认证设备将该参考共享密钥发送给该网络认证设备以及向该用户设备转发来自该网络认证设备的网络参数；该网络认证设备和该用户设备均根据该参考共享密钥和该网络参数生成认证共享密钥，并基于该认证共享密钥进行网络认证生成目标共享密钥。也即是说，生成该目标共享密钥涉及到了与业务相关的信息、与该用户设备相关的信息以及与网络相关的信息，提升了该目标共享密钥的安全级别。

结合第四方面，在第四方面的第一种可能的实现方式中，所述网络认证设备用于将所述网络认证设备所在蜂窝网的网络参数发送给所述用户设备；所述网络认证设备和所述用户设备用于结合所述参考共享密钥生成目标共享密钥，具体为：

所述网络认证设备和所述用户设备均用于根据所述网络参数和所述参考共享密钥生成认证共享密钥；

所述网络认证设备和所述用户设备用于根据所述认证共享密钥进行网络认证生成目标共享密钥。

结合第四方面的第一种可能的实现方式，在第四方面的第二种可能的实现方式中，所述网络参数包括运营商标识，接入网络标识，服务网络标识，网络类型标识，局域网网络标识，切片标识，承载标识，服务质量标识和流标识中的至少一项。

结合第四方面，或者第四方面的第一种可能的实现方式，或者第四方面的第二种可能的实现方式，在第四方面的第三种可能的实现方式中：

所述业务认证设备用于接收所述目标共享密钥；

所述业务认证设备和所述用户设备用于将所述目标共享密钥，或者基于所述目标共享密钥衍生的共享密钥作为所述业务认证设备与用户设备协商的保护数据安全传输的共享密钥。

第五方面，本发明实施例提供一种业务认证设备，该业务认证设备包括：

第一获取单元，用于获取参考信息并结合所述参考信息和第一共享密钥生成第二共享密钥，所述第一共享密钥为用户设备与所述业务认证设备之间预先配置的共享密钥，所述用户设备用于获取所述参考信息并结合所述参考信息和所述第一共享密钥生成所述第二共享密钥，所述参考信息包括所述用户设备、网络认证设备和所述业务认证设备中至少一项预先关联的信息；

发送单元，用于将所述第二共享密钥发送给所述网络认证设备，所述第二共享密钥用于所述用户设备和所述网络认证设备生成目标共享密钥，所述目标共享密钥或者基于所述目标共享密钥衍生的共享密钥为所述网络认证设备与所述用户设备协商的保护数据安全传输的共享密钥。

通过运行上述单元，用户设备与业务认证设备根据获取的参考参数以及预先共享的第一共享密钥生成第二共享密钥，然后该业务认证设备将该第二共享密钥发送给该网络认证设备，使得该网络认证设备基于该第二共享密钥得到目标共享密钥。也即是说，生成该目标共享密钥考虑到了业务的相关信息以及网络的相关信息，提升了该目标共享密钥的安全级别。

结合第五方面，在第五方面的第一种可能的实现方式中，所述第一获取单元结合所述参考信息和第一共享密钥生成第二共享密钥，具体为：

和所述用户设备结合所述参考信息和第一共享密钥进行业务认证生成第二共享密钥。

结合第五方面，或者第五方面的第一种可能的实现方式，在第五方面的第二种可能的实现方式中，还包括：

第一接收单元，用于接收所述网络认证设备发送的所述目标共享密钥；

生成单元，用于将所述目标共享密钥或者基于所述目标共享密钥衍生的共享密钥作为所述业务认证设备与所述用户设备协商的保护数据安全传输的共享密钥。

结合第五方面，或者第五方面的第一种可能的实现方式，在第五方面的第三种可能的实现方式中，还包括：

生成单元，用于将所述第二共享密钥或者基于所述第二共享密钥衍生的共享密钥作为所述业务认证设备与所述用户设备协商的保护数据安全传输的共享密钥。

结合第五方面，在第五方面的第四种可能的实现方式中，还包括：

第二获取单元，用于获取所述用户设备与所述网络认证设备之间预先配置的第五共享密钥；

所述第一获取单元结合所述参考信息和第一共享密钥生成第二共享密钥，具体为：

结合所述参考信息、第一共享密钥和所述第五共享密钥进行网络认证生成第二共享密钥。

结合第五方面，在第五方面的第五种可能的实现方式中，还包括：

第二接收单元，用于接收所述网络认证设备根据所述网络认证设备所在蜂窝网的网络参数生成的网络侧信息，并向所述用户设备转发所述网络侧信息；

结合所述网络参数和第一共享密钥进行业务认证生成第二共享密钥，所述网络参数包括所述网络侧信息。

结合第五方面，或者第五方面的第一种可能的实现方式，或者第五方面的第二种可能的实现方式，或者第五方面的第三种可能的实现方式，或者第五方面的第四种可能的实现方式，或者第五方面的第五种可能的实现方式，在第五方面的第六种可能的实现方式中，所述参考信息包括所述网络认证设备所在蜂窝网的网络参数和目标业务的业务参数中至少一项。

结合第五方面的第六种可能的实现方式，在第五方面的第七种可能的实现方式中，所述业务参数包括所述目标业务的业务序列号、密钥管理中心的标识、会话标识、链路标识、应用标识、业务标识、业务等级、业务数据速率、时延和业务服务器标识中的至少一项；所述网络参数包括运营商标识，接入网络标识，服务网络标识，网络类型标识，局域网网络标识，切片标识，承载标识，服务质量标识和流标识中的至少一项。

第六方面，本发明实施例提供一种用户设备，该用户设备包括：

获取单元，用于获取参考信息并结合所述参考信息和第一共享密钥生成第二共享密钥；所述第一共享密钥为所述用户设备与业务认证设备之间预先配置的共享密钥，所述业务认证设备用于获取所述参考信息并结合所述参考信息和所述第一共享密钥生成所述第二共享密钥，所述业务认证设备还用于将所述第二共享密钥发送给网络认证设备；

生成单元，用于根据所述第二共享密钥生成目标共享密钥，所述目标共享密钥或者基于所述目标共享密钥衍生的共享密钥为所述网络认证设备与所述用户设备协商的保护数据安全传输的共享密钥。

结合第六方面，在第六方面的第一种可能的实现方式中，所述获取单元根据所述第二共享密钥生成目标共享密钥，具体为：

将所述第二共享密钥或者基于所述第二共享密钥衍生的共享密钥作为所述目标共享密钥。

结合第六方面，在第六方面的第二种可能的实现方式中，所述获取单元根据所述第二共享密钥生成目标共享密钥，具体为：

和所述网络认证设备根据所述第二共享密钥或者根据基于所述第二共享密钥衍生的共享密钥进行网络认证生成目标共享密钥。

结合第六方面的第二种可能的实现方式，在第六方面的第三种可能的实现方式中，该用户设备还包括：

认证单元，用于和所述网络认证设备进行网络认证生成第三共享密钥；

所述获取单元和所述网络认证设备根据所述第二共享密钥或者根据基于所述第二共享密钥衍生的共享密钥进行网络认证生成目标共享密钥，具体为：

和所述网络认证设备根据所述第二共享密钥进行网络认证生成第四共享密钥；

根据所述第三共享密钥和所述第四共享密钥生成所述目标共享密钥。

结合第六方面，在第六方面的第四种可能的实现方式中，所述生成单元根据所述第二共享密钥生成目标共享密钥，具体为：

和所述网络认证设备进行网络认证生成第三共享密钥；

根据所述第二共享密钥和所述第三共享密钥生成所述目标共享密钥；或者将所述第二共享密钥和所述第三共享密钥分别作为保护不同类型数据的所述目标共享密钥。

结合第六方面，在第六方面的第五种可能的实现方式中，所述生成单元根据所述第二共享密钥生成目标共享密钥，具体为：

根据所述第二共享密钥和第五共享密钥生成所述目标共享密钥；或者将所述第二共享密钥和基于所述第五共享密钥衍生的共享密钥分别作为保护不同类型数据的所述目标共享密钥，所述第五共享密钥为所述用户设备与所述网络认证设备之间预先配置的共享密钥。

结合第六方面，在第六方面的第六种可能的实现方式中，所述获取单元结合所述参考信息和第一共享密钥生成第二共享密钥，具体为：

结合所述参考信息、第一共享密钥和第五共享密钥与所述业务认证设备进行业务认证生成第二共享密钥；所述第五共享密钥为所述用户设备与所述网络认证设备之间预先配置的共享密钥，所述业务认证设备用于获取所述第五共享密钥。

结合第六方面，或者第六方面的第一种可能的实现方式，或者第六方面的第二种可能的实现方式，或者第六方面的第三种可能的实现方式，或者第六方面的第四种可能的实现方式，或者第六方面的第五种可能的实现方式，在第六方面的第七种可能的实现方式中，所述获取单元结合所述参考信息和第一共享密钥生成第二共享密钥，具体为：

和业务认证设备结合所述参考信息和第一共享密钥进行业务认证生成第二共享密钥。

结合第六方面，或者第六方面的第一种可能的实现方式，或者第六方面的第二种可能的实现方式，或者第六方面的第三种可能的实现方式，或者第六方面的第四种可能的实现方式，或者第六方面的第五种可能的实现方式，在第六方面的第八种可能的实现方式中，还包括：

第一接收单元，用于接收所述业务认证设备转发的来自所述网络认证设备的网络侧信息，所述网络侧信息为所述网络认证设备根据第五共享密钥和获取的所述第一共享密钥生成，所述第五共享密钥为所述用户设备与所述网络认证设备之间预先配置的共享密钥；

所述获取单元结合所述参考信息和第一共享密钥生成第二共享密钥，具体为：

结合所述网络参数和第一共享密钥与所述业务认证设备进行业务认证生成第二共享密钥，所述网络参数包括所述网络侧信息。

结合第六方面，或者第六方面的第一种可能的实现方式，或者第六方面的第二种可能的实现方式，或者第六方面的第三种可能的实现方式，或者第六方面的第四种可能的实现方式，或者第六方面的第五种可能的实现方式，或者第六方面的第六种可能的实现方式，或者第六方面的第七种可能的实现方式，或者第六方面的第八种可能的实现方式，在第六方面的第九种可能的实现方式中，所述参考信息包括所述网络认证设备所在蜂窝网的网络参数和目标业务的业务参数中至少一项。

结合第六方面的第九种可能的实现方式，在第六方面的第十种可能的实现方式中，当所述参考信息包含所述业务参数时，还包括：

第二接收单元，用于接收所述网络认证设备转发的来自所述业务认证设备的所述业务参数。

结合第六方面的第九种可能的实现方式，或者第六方面的第十种可能的实现方式，在第六方面的第十一种可能的实现方式中，所述业务参数包括所述目标业务的业务序列号、密钥管理中心的标识、会话标识、链路标识、应用标识、业务标识、业务等级、业务数据速率、时延和业务服务器标识中的至少一项；所述网络参数包括运营商标识，接入网络标识，服务网络标识，网络类型标识，局域网网络标识，切片标识，承载标识，服务质量标识和流标识中的至少一项。

第七方面，本发明实施例提供一种网络认证设备，该网络认证设备包括：

接收单元，用于接收业务认证设备发送的第二共享密钥，业务认证设备和用户设备均用于结合第一共享密钥和参考信息生成所述第二共享密钥，所述第一共享密钥为所述用户设备与所述业务认证设备之间预先配置的共享密钥，所述参考信息包括所述用户设备、所述网络认证设备和所述业务认证设备中至少一项预先关联的信息；

第一生成单元，用于根据所述第二共享密钥生成目标共享密钥，所述目标共享密钥或者基于所述目标共享密钥衍生的共享密钥为所述网络认证设备与所述用户设备协商的保护数据安全传输的共享密钥。

结合第七方面，在第七方面的第一种可能的实现方式中，所述第一生成单元根据所述第二共享密钥生成目标共享密钥，具体为：

和所述用户设备根据所述第二共享密钥或者根据基于所述第二共享密钥衍生的共享密钥进行网络认证生成所述目标共享密钥。

结合第七方面的第一种可能的实现方式，在第七方面的第二种可能的实现方式中，还包括：

认证单元，用于和所述用户设备进行网络认证生成第三共享密钥；

所述认证单元和所述用户设备根据所述第二共享密钥或者根据基于所述第二共享密钥衍生的共享密钥进行网络认证生成所述目标共享密钥，具体为：

和所述用户设备根据所述第二共享密钥进行网络认证生成第四共享密钥；

和所述用户设备均根据所述第三共享密钥和所述第四共享密钥生成所述目标共享密钥。

结合第七方面，在第七方面的第三种可能的实现方式中，所述第一生成单元根据所述第二共享密钥生成目标共享密钥，具体为：

和所述用户设备将所述第二共享密钥或者基于所述第二共享密钥衍生的共享密钥作为目标共享密钥。

结合第七方面，在第七方面的第四种可能的实现方式中，所述第一生成单元根据所述第二共享密钥生成目标共享密钥，具体为：

和所述用户设备进行网络认证生成第三共享密钥；

和所述用户设备根据所述第二共享密钥和所述第三共享密钥生成所述目标共享密钥；或者将所述第二共享密钥和所述第三共享密钥分别作为保护不同类型数据的所述目标共享密钥。

结合第七方面，在第七方面的第五种可能的实现方式中，所述第一生成单元根据所述第二共享密钥生成目标共享密钥，具体为：

和所述用户设备根据所述第二共享密钥和第五共享密钥生成所述目标共享密钥；或者将所述第二共享密钥和基于所述第五共享密钥衍生的密钥分别作为保护不同类型数据的所述目标共享密钥，所述第五共享密钥为所述用户设备与所述网络认证设备之间预先配置的共享密钥。

结合第七方面，或者第七方面的第一种可能的实现方式，或者第七方面的第二种可能的实现方式，或者第七方面的第三种可能的实现方式，或者第七方面的第四种可能的实现方式，或者第七方面的第五种可能的实现方式，在第七方面的第六种可能的实现方式中，还包括：

获取单元，用于向所述业务认证设备获取所述第一共享密钥；

第二生成单元，用于根据所述第一共享密钥和第五共享密钥生成网络侧信息，所述第五共享密钥为所述用户设备与所述网络认证设备之间预先配置的共享密钥；

所述网络认证设备将所述网络侧信息发送给所述业务认证设备，以使所述业务认证设备向所述用户设备转发所述网络侧信息，所述网络参数属于所述参考信息。

结合第七方面，或者第七方面的第一种可能的实现方式，或者第七方面的第二种可能的实现方式，或者第七方面的第三种可能的实现方式，或者第七方面的第四种可能的实现方式，或者第七方面的第五种可能的实现方式，在第七方面的第七种可能的实现方式中，还包括：

发送单元，用于将所述目标共享密钥发送给所述业务认证设备，所述目标共享密钥或者基于所述目标共享密钥衍生的共享密钥用作所述业务认证设备与所述用户设备协商的保护数据安全传输的共享密钥。

结合第七方面，或者第七方面的第一种可能的实现方式，或者第七方面的第二种可能的实现方式，或者第七方面的第三种可能的实现方式，或者第七方面的第四种可能的实现方式，或者第七方面的第五种可能的实现方式，或者第七方面的第六种可能的实现方式，或者第七方面的第七种可能的实现方式，在第七方面的第八种可能的实现方式中，所述参考信息包括所述网络认证设备所在蜂窝网的网络参数和目标业务的业务参数中至少一项。

结合第七方面的第八种可能的实现方式，在第七方面的第九种可能的实现方式中，所述业务参数包括所述目标业务的业务序列号、密钥管理中心的标识、会话标识、链路标识、应用标识、业务标识、业务等级、业务数据速率、时延和业务服务器标识中的至少一项；所述网络参数包括运营商标识，接入网络标识，服务网络标识，网络类型标识，局域网网络标识，切片标识，承载标识，服务质量标识和流标识中的至少一项。

第八方面，本发明实施例提供一种业务认证设备，该业务认证设备包括：

发送单元，用于将预存的目标业务的业务参数发送给网络认证设备和用户设备；以使所述网络认证设备和所述用户设备结合所述业务参数和原始共享密钥生成目标共享密钥，所述目标共享密钥或者基于所述目标共享密钥衍生的共享密钥为所述网络认证设备与所述用户设备协商的保护数据安全传输的共享密钥，所述原始共享密钥为所述用户设备与所述网络认证设备之间预先配置的共享密钥。

通过运行上述单元，该业务认证设备将业务参数发送给该网络认证设备，该网络认证设备根据自身预先与该用户设备共享的原始共享密钥和该业务参数生成目标共享密钥。也即是说，生成该目标共享密钥涉及到了业务相关的信息、与该用户设备相关的信息以及与网络相关的信息，提升了该目标共享密钥的安全级别。

结合第八方面，在第八方面的第一种可能的实现方式中，所述业务参数包括所述目标业务的业务序列号、密钥管理中心的标识、会话标识、链路标识、应用标识、业务标识、业务等级、业务数据速率、时延和业务服务器标识中的至少一项。

第九方面，本发明实施例提供一种用户设备，该用户设备包括：

接收单元，用于接收业务认证设备发送的预存的目标业务的业务参数，所述业务认证设备还用于将所述业务参数发送给网络认证设备；

生成单元，用于和所述网络认证设备结合所述业务参数和原始共享密钥生成目标共享密钥，所述目标共享密钥或者基于所述目标共享密钥衍生的共享密钥为所述网络认证设备与所述用户设备协商的保护数据安全传输的共享密钥，所述原始共享密钥为所述用户设备与所述网络认证设备之间预先配置的共享密钥。

结合第九方面，在第九方面的第一种可能的实现方式中，所述生成单元和所述网络认证设备结合所述业务参数和原始共享密钥生成目标共享密钥，具体为：

和所述网络认证设备根据所述业务参数和原始共享密钥进行网络认证生成目标共享密钥；或者，

和所述网络认证设备根据所述业务参数和原始共享密钥生成认证共享密钥，并根据所述认证共享密钥进行网络认证生成目标共享密钥。

结合第九方面，或者第九方面的第一种可能的实现方式，在第九方面的第二种可能的实现方式中，所述业务参数包括所述目标业务的业务序列号、密钥管理中心的标识、会话标识、链路标识、应用标识、业务标识、业务等级、业务数据速率、时延和业务服务器标识中的至少一项。

第十方面，本发明实施例提供一种网络认证设备，该网络认证设备包括：

接收单元，用于接收业务认证设备发送的预存的目标业务的业务参数，所述业务认证设备还用于将所述业务参数发送给用户设备；

生成单元，用于和所述用户设备结合所述业务参数和原始共享密钥生成目标共享密钥，所述目标共享密钥或者基于所述目标共享密钥衍生的共享密钥为所述网络认证设备与所述用户设备协商的保护数据安全传输的共享密钥，所述原始共享密钥为所述用户设备与所述网络认证设备之间预先配置的共享密钥。

结合第十方面，在第十方面的第一种可能的实现方式中，所述生成单元和所述用户设备结合所述业务参数和原始共享密钥生成目标共享密钥，具体为：

和所述用户设备根据所述业务参数和原始共享密钥进行网络认证生成目标共享密钥；或者，

和所述用户设备根据所述业务参数和原始共享密钥生成认证共享密钥，并根据所述认证共享密钥进行网络认证生成目标共享密钥。

结合第十方面，或者第十方面的第一种可能的实现方式，在第十方面的第二种可能的实现方式中，所述业务参数包括所述目标业务的业务序列号、密钥管理中心的标识、会话标识、链路标识、应用标识、业务标识、业务等级、业务数据速率、时延和业务服务器标识中的至少一项。

第十一方面，本发明实施例提供一种业务认证设备，该业务认证设备包括

获取单元，用于获取用户设备的身份标识；

生成单元，用于结合自身的业务公钥、业务私钥和所述身份标识生成身份密钥，并将所述身份密钥、所述业务公钥发送给所述网络认证设备，所述身份密钥和所述业务公钥用于所述网络认证设备生成目标共享密钥，所述目标共享密钥或者基于所述目标共享密钥衍生的共享密钥为所述网络认证设备与所述用户设备协商的保护数据安全传输的共享密钥。

通过运行上述单元，该业务认证设备将业务公钥、身份密钥发送给该网络认证设备，该网络认证设备根据自身所在网络的信息、该身份密钥和该业务公钥生成认证根密钥，该网络认证设备与该用户设备进一步基于该认证根密钥进行网络认证生成目标共享密钥。也即是说，生成该目标共享密钥涉及到了与业务相关的信息、与该用户设备相关的信息以及与网络相关的信息，提升了该目标共享密钥的安全级别。

第十二方面，本发明实施例提供一种用户设备，该用户设备包括：

生成单元，用于和网络认证设备根据认证根密钥进行网络认证生成目标共享密钥，所述认证根密钥为所述网络认证设备根据身份密钥、业务认证设备管理的目标业务的业务公钥和所述网络认证设备所在蜂窝网的网络参数生成的并写入到所述用户设备中的密钥，所述身份密钥由所述业务认证设备根据所述业务公钥、所述目标业务的业务私钥和获取的所述用户设备的身份标识生成的，所述业务认证设备用于将所述业务公钥和所述身份私钥发送给所述网络认证设备；所述目标共享密钥或者基于所述目标共享密钥衍生的共享密钥为所述网络认证设备与所述用户设备协商的保护数据安全传输的共享密钥。

结合第十二方面，在第十二方面的第一种可能的实现方式中，所述网络参数包括运营商标识，接入网络标识，服务网络标识，网络类型标识，局域网网络标识，切片标识，承载标识，服务质量标识和流标识中的至少一项。

第十三方面，本发明实施例提供一种网络认证设备，该网络认证设备包括：

接收单元，用于接收身份密钥和业务认证设备管理的目标业务的业务公钥，所述身份密钥为所述业务认证设备根据所述目标业务的业务私钥、所述业务公钥和获取的用户设备的身份标识生成的密钥；

生成单元，用于结合所述身份密钥、所述业务公钥和所述网络认证设备所在蜂窝网的网络参数生成认证根密钥；

写入单元，用于将所述认证根密钥写入所述用户设备；

认证单元，用于和所述用户设备根据所述认证根密钥进行网络认证生成目标共享密钥，所述目标共享密钥或者基于所述目标共享密钥衍生的共享密钥为所述网络认证设备与所述用户设备协商的保护数据安全传输的共享密钥。

结合第十三方面，在第十三方面的第一种可能的实现方式中，所述网络参数包括运营商标识，接入网络标识，服务网络标识，网络类型标识，局域网网络标识，切片标识，承载标识，服务质量标识和流标识中的至少一项。

第十四方面，本发明实施例提供一种业务认证设备，该业务认证设备包括：

认证单元，用于和用户设备进行业务认证生成参考共享密钥，或者所述业务认证设备和所述用户设备预先配置所述参考共享密钥；

发送单元，用于将所述参考共享密钥发送给网络认证设备，以使所述网络认证设备和所述用户设备结合所述参考共享密钥生成目标共享密钥，所述目标共享密钥或者基于所述目标共享密钥衍生的共享密钥为所述网络认证设备与所述用户设备协商的保护数据安全传输的共享密钥。

通过运行上述单元，该业务认证设备与该用户设备进行业务认证生成参考共享密钥，然后该网络认证设备将该参考共享密钥发送给该网络认证设备以及向该用户设备转发来自该网络认证设备的网络参数；该网络认证设备和该用户设备均根据该参考共享密钥和该网络参数生成认证共享密钥，并基于该认证共享密钥进行网络认证生成目标共享密钥。也即是说，生成该目标共享密钥涉及到了与业务相关的信息、与该用户设备相关的信息以及与网络相关的信息，提升了该目标共享密钥的安全级别。

结合第十四方面，在第十四方面的第一种可能的实现方式中，还包括：

接收单元，用于接收所述网络认证设备发送的所述目标共享密钥；

确定单元，用于将所述目标共享密钥，或者基于所述目标共享密钥衍生的共享密钥作为所述业务认证设备与用户设备协商的保护数据安全传输的共享密钥。

第十五方面，本发明实施例提供一种用户设备，该用户设备包括：

配置单元，用于和业务认证设备进行业务认证生成参考共享密钥，或者所述业务认证设备和所述用户设备预先配置所述参考共享密钥，所述业务认证设备用于将所述参考共享密钥发送给网络认证设备；

生成单元，用于和所述网络认证设备结合所述参考共享密钥生成目标共享密钥，所述目标共享密钥或者基于所述目标共享密钥衍生的共享密钥为所述网络认证设备与所述用户设备协商的保护数据安全传输的共享密钥。

结合第十五方面，在第十五方面的第一种可能的实现方式中，还包括：

接收单元，用于接收所述网络认证设备发送的所述网络认证设备所在蜂窝网的网络参数；

所述生成单元和所述网络认证设备结合所述参考共享密钥生成目标共享密钥，具体为：

和所述网络认证设备根据所述网络参数和所述参考共享密钥生成认证共享密钥；

和所述网络认证设备根据所述认证共享密钥进行网络认证生成目标共享密钥。

结合第十五方面的第一种可能的实现方式，在第十五方面的第二种可能的实现方式中，所述网络参数包括运营商标识，接入网络标识，服务网络标识，网络类型标识，局域网网络标识，切片标识，承载标识，服务质量标识和流标识中的至少一项。

第十六方面，本发明实施例提供一种网络认证设备，该网络认证设备包括：

接收单元，用于接收业务认证设备发送的参考共享密钥，所述参考共享密钥由所述业务认证设备和用户设备进行业务认证生成的或者预先配置的；

生成单元，用于和所述用户设备结合所述参考共享密钥生成目标共享密钥，所述目标共享密钥或者基于所述目标共享密钥衍生的共享密钥为所述网络认证设备与所述用户设备协商的保护数据安全传输的共享密钥。

结合第十六方面，在第十六方面的第一种可能的实现方式中，该网络认证设备还包括：

第一发送单元，用于将所述网络认证设备所在蜂窝网的网络参数发送给所述用户设备；

所述生成单元和所述用户设备结合所述参考共享密钥生成目标共享密钥，具体为：

和所述用户设备均根据所述网络参数和所述参考共享密钥生成认证共享密钥；

和所述用户设备根据所述认证共享密钥进行网络认证生成目标共享密钥。

结合第十六方面的第一种可能的实现方式，在第十六方面的第二种可能的实现方式中，所述网络参数包括运营商标识，接入网络标识，服务网络标识，网络类型标识，局域网网络标识，切片标识，承载标识，服务质量标识和流标识中的至少一项。

结合第十六方面，或者第十六方面的第一种可能的实现方式中，或者第十六方面的第二种可能的实现方面，在第十六方面的第三种可能的实现方式中，该网络认证设备还包括：

第二发送单元，用于将所述目标共享密钥发送给所述业务认证设备，以使所述业务认证设备将所述目标共享密钥或者基于所述目标共享密钥衍生的共享密钥作为所述业务认证设备与用户设备协商的保护数据安全传输的共享密钥。

第十七方面，本发明实施例提供一种网络认证方法，该方法包括：

业务认证设备获取参考信息并结合所述参考信息和第一共享密钥生成第二共享密钥，所述第一共享密钥为用户设备与所述业务认证设备之间预先配置的共享密钥，所述用户设备用于获取所述参考信息并结合所述参考信息和所述第一共享密钥生成所述第二共享密钥，所述参考信息包括所述用户设备、网络认证设备和所述业务认证设备中至少一项预先关联的信息；

所述业务认证设备将所述第二共享密钥发送给所述网络认证设备，所述第二共享密钥用于所述用户设备和所述网络认证设备生成目标共享密钥，所述目标共享密钥或者基于所述目标共享密钥衍生的共享密钥为所述网络认证设备与所述用户设备协商的保护数据安全传输的共享密钥。

通过执行上述步骤，用户设备与业务认证设备根据获取的参考参数以及预先共享的第一共享密钥生成第二共享密钥，然后该业务认证设备将该第二共享密钥发送给该网络认证设备，使得该网络认证设备基于该第二共享密钥得到目标共享密钥。也即是说，生成该目标共享密钥考虑到了业务的相关信息以及网络的相关信息，提升了该目标共享密钥的安全级别。

结合第十七方面，在第十七方面的第一种可能的实现方式中，所述结合所述参考信息和第一共享密钥生成第二共享密钥，包括：

所述业务认证设备和所述用户设备结合所述参考信息和第一共享密钥进行业务认证生成第二共享密钥。

结合第十七方面，或者第十七方面的第一种可能的实现方式，在第十七方面的第二种可能的实现方式中，所述业务认证设备将所述第二共享密钥发送给所述网络认证设备之后，所述方法还包括：

所述业务认证设备接收所述网络认证设备发送的所述目标共享密钥；

所述业务认证设备将所述目标共享密钥或者基于所述目标共享密钥衍生的共享密钥作为所述业务认证设备与所述用户设备协商的保护数据安全传输的共享密钥。

结合第十七方面，或者第十七方面的第一种可能的实现方式，在第十七方面的第三种可能的实现方式中，所述业务认证设备获取参考信息并结合所述参考信息和第一共享密钥生成第二共享密钥之后，所述方法还包括：

所述业务认证设备将所述第二共享密钥或者基于所述第二共享密钥衍生的共享密钥作为所述业务认证设备与所述用户设备协商的保护数据安全传输的共享密钥。

结合第十七方面，在第十七方面的第四种可能的实现方式中，所述结合所述参考信息和第一共享密钥生成第二共享密钥之前，所述方法还包括：

所述业务认证设备获取所述用户设备与所述网络认证设备之间预先配置的第五共享密钥；

所述结合所述参考信息和第一共享密钥生成第二共享密钥，包括：

结合第十七方面，在第十七方面的第五种可能的实现方式中，所述结合所述参考信息和第一共享密钥生成第二共享密钥之前，所述方法还包括：

所述业务认证设备接收所述网络认证设备根据所述网络认证设备所在蜂窝网的网络参数生成的网络侧信息，并向所述用户设备转发所述网络侧信息；

结合第十七方面，或者第十七方面的第一种可能的实现方式，或者第十七方面的第一种可能的实现方式，或者第十七方面的第二种可能的实现方式，或者第十七方面的第三种可能的实现方式，或者第十七方面的第四种可能的实现方式，或者第十七方面的第五种可能的实现方式，在第十七方面的第六种可能的实现方式中，所述参考信息包括所述网络认证设备所在蜂窝网的网络参数和目标业务的业务参数中至少一项。

结合第十七方面的第六种可能的实现方式，在第十七方面的第七种可能的实现方式中，所述业务参数包括所述目标业务的业务序列号、密钥管理中心的标识、会话标识、链路标识、应用标识、业务标识、业务等级、业务数据速率、时延和业务服务器标识中的至少一项；所述网络参数包括运营商标识，接入网络标识，服务网络标识，网络类型标识，局域网网络标识，切片标识，承载标识，服务质量标识和流标识中的至少一项。

第十八方面，本发明实施例提供一种网络认证方法，该方法包括：

用户设备获取参考信息并结合所述参考信息和第一共享密钥生成第二共享密钥；所述第一共享密钥为所述用户设备与业务认证设备之间预先配置的共享密钥，所述业务认证设备用于获取所述参考信息并结合所述参考信息和所述第一共享密钥生成所述第二共享密钥，所述业务认证设备还用于将所述第二共享密钥发送给网络认证设备；

所述用户设备根据所述第二共享密钥生成目标共享密钥，所述目标共享密钥或者基于所述目标共享密钥衍生的共享密钥为所述网络认证设备与所述用户设备协商的保护数据安全传输的共享密钥。

结合第十八方面，在第十八方面的第一种可能的实现方式中，所述用户设备根据所述第二共享密钥生成目标共享密钥，包括：

所述用户设备将所述第二共享密钥或者基于所述第二共享密钥衍生的共享密钥作为所述目标共享密钥。

结合第十八方面，在第十八方面的第二种可能的实现方式中，所述用户设备根据所述第二共享密钥生成目标共享密钥，包括：

所述用户设备和所述网络认证设备根据所述第二共享密钥或者根据基于所述第二共享密钥衍生的共享密钥进行网络认证生成目标共享密钥。

结合第十八方面的第二种可能的实现方式，在第十八方面的第三种可能的实现方式中，所述用户设备和所述网络认证设备根据所述第二共享密钥或者根据基于所述第二共享密钥衍生的共享密钥进行网络认证生成目标共享密钥之前，所述方法还包括：

所述用户设备和所述网络认证设备进行网络认证生成第三共享密钥；

所述用户设备和所述网络认证设备根据所述第二共享密钥或者根据基于所述第二共享密钥衍生的共享密钥进行网络认证生成目标共享密钥，包括：

所述用户设备和所述网络认证设备根据所述第二共享密钥进行网络认证生成第四共享密钥；

所述用户设备根据所述第三共享密钥和所述第四共享密钥生成所述目标共享密钥。

结合第十八方面，在第十八方面的第四种可能的实现方式中，所述用户设备根据所述第二共享密钥生成目标共享密钥，包括：

所述用户设备根据所述第二共享密钥和所述第三共享密钥生成所述目标共享密钥；或者将所述第二共享密钥和所述第三共享密钥分别作为保护不同类型数据的所述目标共享密钥。

结合第十八方面，在第十八方面的第五种可能的实现方式中，所述用户设备根据所述第二共享密钥生成目标共享密钥，包括：

所述用户设备根据所述第二共享密钥和第五共享密钥生成所述目标共享密钥；或者将所述第二共享密钥和基于所述第五共享密钥衍生的共享密钥分别作为保护不同类型数据的所述目标共享密钥，所述第五共享密钥为所述用户设备与所述网络认证设备之间预先配置的共享密钥。

结合第十八方面，在第十八方面的第六种可能的实现方式中，所述结合所述参考信息和第一共享密钥生成第二共享密钥，包括：

结合第十八方面，或者第十八方面的第一种可能的实现方式，或者第十八方面的第二种可能的实现方式，或者第十八方面的第三种可能的实现方式，或者第十八方面的第四种可能的实现方式，或者第十八方面的第五种可能的实现方式，或者第十八方面的第六种可能的实现方式，在第十八方面的第七种可能的实现方式中，所述结合所述参考信息和第一共享密钥生成第二共享密钥，包括：

用户设备和业务认证设备结合所述参考信息和第一共享密钥进行业务认证生成第二共享密钥。

结合第十八方面，或者第十八方面的第一种可能的实现方式，或者第十八方面的第二种可能的实现方式，或者第十八方面的第三种可能的实现方式，或者第十八方面的第四种可能的实现方式，或者第十八方面的第五种可能的实现方式，或者第十八方面的第六种可能的实现方式，在第十八方面的第八种可能的实现方式中，所述结合所述参考信息和第一共享密钥生成第二共享密钥之前，所述方法还包括：

所述用户设备接收所述业务认证设备转发的来自所述网络认证设备的网络侧信息，所述网络侧信息为所述网络认证设备根据第五共享密钥和获取的所述第一共享密钥生成，所述第五共享密钥为所述用户设备与所述网络认证设备之间预先配置的共享密钥；

结合第十八方面，或者第十八方面的第一种可能的实现方式，或者第十八方面的第二种可能的实现方式，或者第十八方面的第三种可能的实现方式，或者第十八方面的第四种可能的实现方式，或者第十八方面的第五种可能的实现方式，或者第十八方面的第六种可能的实现方式，或者第十八方面的第七种可能的实现方式，或者第十八方面的第八种可能的实现方式，在第十八方面的第九种可能的实现方式中，所述参考信息包括所述网络认证设备所在蜂窝网的网络参数和目标业务的业务参数中至少一项。

结合第十八方面的第九种可能的实现方式，在第十八方面的第十种可能的实现方式中，当所述参考信息包含所述业务参数时，所述结合所述参考信息和第一共享密钥生成第二共享密钥之前，所述方法还包括：

所述用户设备接收所述网络认证设备转发的来自所述业务认证设备的所述业务参数。

结合第十八方面的第九种可能的实现方式，或者结合第十八方面的第十种可能的实现方式，在第十八方面的第十一种可能的实现方式中，所述业务参数包括所述目标业务的业务序列号、密钥管理中心的标识、会话标识、链路标识、应用标识、业务标识、业务等级、业务数据速率、时延和业务服务器标识中的至少一项；所述网络参数包括运营商标识，接入网络标识，服务网络标识，网络类型标识，局域网网络标识，切片标识，承载标识，服务质量标识和流标识中的至少一项。

第十九方面，本发明实施例提供一种网络认证方法，该方法包括：

网络认证设备接收业务认证设备发送的第二共享密钥，业务认证设备和用户设备均用于结合第一共享密钥和参考信息生成所述第二共享密钥，所述第一共享密钥为所述用户设备与所述业务认证设备之间预先配置的共享密钥，所述参考信息包括所述用户设备、所述网络认证设备和所述业务认证设备中至少一项预先关联的信息；

所述网络认证设备根据所述第二共享密钥生成目标共享密钥，所述目标共享密钥或者基于所述目标共享密钥衍生的共享密钥为所述网络认证设备与所述用户设备协商的保护数据安全传输的共享密钥。

结合第十九方面，在第十九方面的第一种可能的实现方式中，所述网络认证设备根据所述第二共享密钥生成目标共享密钥，包括：

所述网络认证设备和所述用户设备根据所述第二共享密钥或者根据基于所述第二共享密钥衍生的共享密钥进行网络认证生成所述目标共享密钥。

结合第十九方面的第一种可能的实现方式，在第十九方面的第二种可能的实现方式中，所述网络认证设备和所述用户设备根据所述第二共享密钥或者根据基于所述第二共享密钥衍生的共享密钥进行网络认证生成所述目标共享密钥之前，所述方法还包括：

所述网络认证设备和所述用户设备进行网络认证生成第三共享密钥；

所述网络认证设备和所述用户设备根据所述第二共享密钥或者根据基于所述第二共享密钥衍生的共享密钥进行网络认证生成所述目标共享密钥，包括：

所述网络认证设备和所述用户设备根据所述第二共享密钥进行网络认证生成第四共享密钥；

所述网络认证设备和所述用户设备均根据所述第三共享密钥和所述第四共享密钥生成所述目标共享密钥。

结合第十九方面，在第十九方面的第三种可能的实现方式中，所述网络认证设备根据所述第二共享密钥生成目标共享密钥，包括：

所述网络认证设备和所述用户设备将所述第二共享密钥或者基于所述第二共享密钥衍生的共享密钥作为目标共享密钥。

结合第十九方面，在第十九方面的第四种可能的实现方式中，所述网络认证设备根据所述第二共享密钥生成目标共享密钥，包括：

所述网络认证设备和所述用户设备根据所述第二共享密钥和所述第三共享密钥生成所述目标共享密钥；或者将所述第二共享密钥和所述第三共享密钥分别作为保护不同类型数据的所述目标共享密钥。

结合第十九方面，在第十九方面的第五种可能的实现方式中，所述网络认证设备根据所述第二共享密钥生成目标共享密钥，包括：

所述网络认证设备和所述用户设备根据所述第二共享密钥和第五共享密钥生成所述目标共享密钥；或者将所述第二共享密钥和基于所述第五共享密钥衍生的密钥分别作为保护不同类型数据的所述目标共享密钥，所述第五共享密钥为所述用户设备与所述网络认证设备之间预先配置的共享密钥。

结合第十九方面，或者第十九方面的第一种可能的实现方式，或者第十九方面的第二种可能的实现方式，或者第十九方面的第三种可能的实现方式，或者第十九方面的第四种可能的实现方式，或者第十九方面的第五种可能的实现方式，在第十九方面的第六种可能的实现方式中，所述方法还包括：

所述网络认证设备向所述业务认证设备获取所述第一共享密钥；

所述网络认证设备根据所述第一共享密钥和第五共享密钥生成网络侧信息，所述第五共享密钥为所述用户设备与所述网络认证设备之间预先配置的共享密钥；

结合第十九方面，或者第十九方面的第一种可能的实现方式，或者第十九方面的第二种可能的实现方式，或者第十九方面的第三种可能的实现方式，或者第十九方面的第四种可能的实现方式，或者第十九方面的第五种可能的实现方式，在第十九方面的第七种可能的实现方式中，所述网络认证设备根据所述第二共享密钥生成目标共享密钥之前，所述方法还包括：

所述网络认证设备将所述目标共享密钥发送给所述业务认证设备，所述目标共享密钥或者基于所述目标共享密钥衍生的共享密钥用作所述业务认证设备与所述用户设备协商的保护数据安全传输的共享密钥。

结合第十九方面，或者第十九方面的第一种可能的实现方式，或者第十九方面的第二种可能的实现方式，或者第十九方面的第三种可能的实现方式，或者第十九方面的第四种可能的实现方式，或者第十九方面的第五种可能的实现方式，或者第十九方面的第六种可能的实现方式，或者第十九方面的第七种可能的实现方式，在第十九方面的第八种可能的实现方式中，所述参考信息包括所述网络认证设备所在蜂窝网的网络参数和目标业务的业务参数中至少一项。

结合第十九方面的第八种可能的实现方式，在第十九方面的第九种可能的实现方式中，所述业务参数包括所述目标业务的业务序列号、密钥管理中心的标识、会话标识、链路标识、应用标识、业务标识、业务等级、业务数据速率、时延和业务服务器标识中的至少一项；所述网络参数包括运营商标识，接入网络标识，服务网络标识，网络类型标识，局域网网络标识，切片标识，承载标识，服务质量标识和流标识中的至少一项。

第二十方面，本发明实施例提供一种网络认证方法，该方法包括：

业务认证设备将预存的目标业务的业务参数发送给网络认证设备和用户设备；以使所述网络认证设备和所述用户设备结合所述业务参数和原始共享密钥生成目标共享密钥，所述目标共享密钥或者基于所述目标共享密钥衍生的共享密钥为所述网络认证设备与所述用户设备协商的保护数据安全传输的共享密钥，所述原始共享密钥为所述用户设备与所述网络认证设备之间预先配置的共享密钥。

通过执行上述步骤，该业务认证设备将业务参数发送给该网络认证设备，该网络认证设备根据自身预先与该用户设备共享的原始共享密钥和该业务参数生成目标共享密钥。也即是说，生成该目标共享密钥涉及到了业务相关的信息、与该用户设备相关的信息以及与网络相关的信息，提升了该目标共享密钥的安全级别。

结合第二十方面，在第二十方面的第一种可能的实现方式中，所述业务参数包括所述目标业务的业务序列号、密钥管理中心的标识、会话标识、链路标识、应用标识、业务标识、业务等级、业务数据速率、时延和业务服务器标识中的至少一项。

第二十一方面，本发明实施例提供一种网络认证方法，该方法包括：

用户设备接收业务认证设备发送的预存的目标业务的业务参数，所述业务认证设备还用于将所述业务参数发送给网络认证设备；

所述用户设备和所述网络认证设备结合所述业务参数和原始共享密钥生成目标共享密钥，所述目标共享密钥或者基于所述目标共享密钥衍生的共享密钥为所述网络认证设备与所述用户设备协商的保护数据安全传输的共享密钥，所述原始共享密钥为所述用户设备与所述网络认证设备之间预先配置的共享密钥。

结合第二十一方面，在第二十一方面的第一种可能的实现方式中，所述用户设备和所述网络认证设备结合所述业务参数和原始共享密钥生成目标共享密钥，包括：

所述用户设备和所述网络认证设备根据所述业务参数和原始共享密钥进行网络认证生成目标共享密钥；或者，

所述用户设备和所述网络认证设备根据所述业务参数和原始共享密钥生成认证共享密钥，并根据所述认证共享密钥进行网络认证生成目标共享密钥。

结合第二十一方面，或者第二十一方面的第一种可能的实现方式，在第二十一方面的第二种可能的实现方式中，所述业务参数包括所述目标业务的业务序列号、密钥管理中心的标识、会话标识、链路标识、应用标识、业务标识、业务等级、业务数据速率、时延和业务服务器标识中的至少一项。

第二十二方面，本发明实施例提供一种网络认证方法，该方法包括：

网络认证设备接收业务认证设备发送的预存的目标业务的业务参数，所述业务认证设备还用于将所述业务参数发送给用户设备；

所述网络认证设备和所述用户设备结合所述业务参数和原始共享密钥生成目标共享密钥，所述目标共享密钥或者基于所述目标共享密钥衍生的共享密钥为所述网络认证设备与所述用户设备协商的保护数据安全传输的共享密钥，所述原始共享密钥为所述用户设备与所述网络认证设备之间预先配置的共享密钥。

结合第二十二方面，在第二十二方面的第一种可能的实现方式中，所述网络认证设备和所述用户设备结合所述业务参数和原始共享密钥生成目标共享密钥，包括：

所述网络认证设备和所述用户设备根据所述业务参数和原始共享密钥进行网络认证生成目标共享密钥；或者，

所述网络认证设备和所述用户设备根据所述业务参数和原始共享密钥生成认证共享密钥，并根据所述认证共享密钥进行网络认证生成目标共享密钥。

结合第二十二方面，或者第二十二方面的第一种可能的实现方式，在第二十二方面的第二种可能的实现方式中，所述业务参数包括所述目标业务的业务序列号、密钥管理中心的标识、会话标识、链路标识、应用标识、业务标识、业务等级、业务数据速率、时延和业务服务器标识中的至少一项。

第二十三方面，本发明实施例提供一种网络认证方法，该方法包括：

业务认证设备获取用户设备的身份标识；

所述业务认证设备结合自身的业务公钥、业务私钥和所述身份标识生成身份密钥，并将所述身份密钥、所述业务公钥发送给所述网络认证设备，所述身份密钥和所述业务公钥用于所述网络认证设备生成目标共享密钥，所述目标共享密钥或者基于所述目标共享密钥衍生的共享密钥为所述网络认证设备与所述用户设备协商的保护数据安全传输的共享密钥。

通过执行上述步骤，该业务认证设备将业务公钥、身份密钥发送给该网络认证设备，该网络认证设备根据自身所在网络的信息、该身份密钥和该业务公钥生成认证根密钥，该网络认证设备与该用户设备进一步基于该认证根密钥进行网络认证生成目标共享密钥。也即是说，生成该目标共享密钥涉及到了与业务相关的信息、与该用户设备相关的信息以及与网络相关的信息，提升了该目标共享密钥的安全级别。

第二十四方面，本发明实施例提供一种网络认证方法，该方法包括：

用户设备和网络认证设备根据认证根密钥进行网络认证生成目标共享密钥，所述认证根密钥为所述网络认证设备根据身份密钥、业务认证设备管理的目标业务的业务公钥和所述网络认证设备所在蜂窝网的网络参数生成的并写入到所述用户设备中的密钥，所述身份密钥由所述业务认证设备根据所述业务公钥、所述目标业务的业务私钥和获取的所述用户设备的身份标识生成的，所述业务认证设备用于将所述业务公钥和所述身份私钥发送给所述网络认证设备；所述目标共享密钥或者基于所述目标共享密钥衍生的共享密钥为所述网络认证设备与所述用户设备协商的保护数据安全传输的共享密钥。

结合第二十四方面，在第二十四方面的第一种可能的实现方式中，所述网络参数包括运营商标识，接入网络标识，服务网络标识，网络类型标识，局域网网络标识，切片标识，承载标识，服务质量标识和流标识中的至少一项。

第二十五方面，本发明实施例提供一种网络认证方法，该方法包括：

网络认证设备接收身份密钥和业务认证设备管理的目标业务的业务公钥，所述身份密钥为所述业务认证设备根据所述目标业务的业务私钥、所述业务公钥和获取的用户设备的身份标识生成的密钥；

所述网络认证设备结合所述身份密钥、所述业务公钥和所述网络认证设备所在蜂窝网的网络参数生成认证根密钥；

所述网络认证设备将所述认证根密钥写入所述用户设备；

所述网络认证设备和所述用户设备根据所述认证根密钥进行网络认证生成目标共享密钥，所述目标共享密钥或者基于所述目标共享密钥衍生的共享密钥为所述网络认证设备与所述用户设备协商的保护数据安全传输的共享密钥。

结合第二十五方面，在第二十五方面的第一种可能的实现方式中，所述网络参数包括运营商标识，接入网络标识，服务网络标识，网络类型标识，局域网网络标识，切片标识，承载标识，服务质量标识和流标识中的至少一项。

第二十六方面，本发明实施例提供一种网络认证方法，包括：

业务认证设备和用户设备进行业务认证生成参考共享密钥，或者所述业务认证设备和所述用户设备预先配置所述参考共享密钥；

所述业务认证设备将所述参考共享密钥发送给网络认证设备，以使所述网络认证设备和所述用户设备结合所述参考共享密钥生成目标共享密钥，所述目标共享密钥或者基于所述目标共享密钥衍生的共享密钥为所述网络认证设备与所述用户设备协商的保护数据安全传输的共享密钥。

通过执行上述步骤，该业务认证设备与该用户设备进行业务认证生成参考共享密钥，然后该网络认证设备将该参考共享密钥发送给该网络认证设备以及向该用户设备转发来自该网络认证设备的网络参数；该网络认证设备和该用户设备均根据该参考共享密钥和该网络参数生成认证共享密钥，并基于该认证共享密钥进行网络认证生成目标共享密钥。也即是说，生成该目标共享密钥涉及到了与业务相关的信息、与该用户设备相关的信息以及与网络相关的信息，提升了该目标共享密钥的安全级别。

结合第二十六方面，在第二十六方面的第一种可能的实现方式中，所述方法还包括：

所述业务认证设备将所述目标共享密钥，或者基于所述目标共享密钥衍生的共享密钥作为所述业务认证设备与用户设备协商的保护数据安全传输的共享密钥。

第二十七方面，本发明实施例提供一种网络认证方法，该方法包括：

用户设备和业务认证设备进行业务认证生成参考共享密钥，或者所述业务认证设备和所述用户设备预先配置所述参考共享密钥，所述业务认证设备用于将所述参考共享密钥发送给网络认证设备；

所述用户设备和所述网络认证设备结合所述参考共享密钥生成目标共享密钥，所述目标共享密钥或者基于所述目标共享密钥衍生的共享密钥为所述网络认证设备与所述用户设备协商的保护数据安全传输的共享密钥。

结合第二十七方面，在第二十七方面的第一种可能的实现方式中，所述用户设备和所述网络认证设备结合所述参考共享密钥生成目标共享密钥之前，所述方法还包括：

所述用户设备接收所述网络认证设备发送的所述网络认证设备所在蜂窝网的网络参数；

所述用户设备和所述网络认证设备结合所述参考共享密钥生成目标共享密钥，包括：

所述用户设备和所述网络认证设备根据所述网络参数和所述参考共享密钥生成认证共享密钥；

所述用户设备和所述网络认证设备根据所述认证共享密钥进行网络认证生成目标共享密钥。

结合第二十七方面的第一种可能的实现方式，在第二十七方面的第二种可能的实现方式中，所述网络参数包括运营商标识，接入网络标识，服务网络标识，网络类型标识，局域网网络标识，切片标识，承载标识，服务质量标识和流标识中的至少一项。

第二十八方面，本发明实施例提供一种网络认证方法，该方法包括：

网络认证设备接收业务认证设备发送的参考共享密钥，所述参考共享密钥由所述业务认证设备和用户设备进行业务认证生成的或者预先配置的；

所述网络认证设备和所述用户设备结合所述参考共享密钥生成目标共享密钥，所述目标共享密钥或者基于所述目标共享密钥衍生的共享密钥为所述网络认证设备与所述用户设备协商的保护数据安全传输的共享密钥。

结合第二十八方面，在第二十八方面的第一种可能的实现方式中，所述网络认证设备和所述用户设备结合所述参考共享密钥生成目标共享密钥之前，所述方法还包括：

所述网络认证设备将所述网络认证设备所在蜂窝网的网络参数发送给所述用户设备；

所述网络认证设备和所述用户设备结合所述参考共享密钥生成目标共享密钥，包括：

所述网络认证设备和所述用户设备均根据所述网络参数和所述参考共享密钥生成认证共享密钥；

所述网络认证设备和所述用户设备根据所述认证共享密钥进行网络认证生成目标共享密钥。

结合第二十八方面的第一种可能的实现方式，在第二十八方面的第二种可能的实现方式中，所述网络参数包括运营商标识，接入网络标识，服务网络标识，网络类型标识，局域网网络标识，切片标识，承载标识，服务质量标识和流标识中的至少一项。

结合第二十八方面，或者第二十八方面的第一种可能的实现方式，或者第二十八方面的第二种可能的实现方式，在第二十八方面的第三种可能的实现方式中，所述方法还包括：

所述网络认证设备将所述目标共享密钥发送给所述业务认证设备，以使所述业务认证设备将所述目标共享密钥或者基于所述目标共享密钥衍生的共享密钥作为所述业务认证设备与用户设备协商的保护数据安全传输的共享密钥。

第二十九方面，本发明实施例提供一种业务认证设备，所述业务认证设备包括处理器和存储器，所述存储器用于存储程序和数据；所述处理器调用所述存储器中的程序用于执行第十七方面或者第十七方面的任意实现方式中的全部或部分步骤的功能单元。

第三十方面，本发明实施例提供一种用户设备，所述用户设备包括处理器和存储器，所述存储器用于存储程序和数据；所述处理器调用所述存储器中的程序用于执行第十八方面或者第十八方面的任意实现方式中的全部或部分步骤的功能单元。

第三十一方面，本发明实施例提供一种网络认证设备，所述网络认证设备包括处理器和存储器，所述存储器用于存储程序和数据；所述处理器调用所述存储器中的程序用于执行第十九方面或者第十九方面的任意实现方式中的全部或部分步骤的功能单元。

第三十二方面，本发明实施例提供一种业务认证设备，所述业务认证设备包括处理器和存储器，所述存储器用于存储程序和数据；所述处理器调用所述存储器中的程序用于执行第二十方面或者第二十方面的任意实现方式中的全部或部分步骤的功能单元。

第三十三方面，本发明实施例提供一种用户设备，所述用户设备包括处理器和存储器，所述存储器用于存储程序和数据；所述处理器调用所述存储器中的程序用于执行第二十一方面或者第二十一方面的任意实现方式中的全部或部分步骤的功能单元。

第三十四方面，本发明实施例提供一种网络认证设备，所述网络认证设备包括处理器和存储器，所述存储器用于存储程序和数据；所述处理器调用所述存储器中的程序用于执行第二十二方面或者第二十二方面的任意实现方式中的全部或部分步骤的功能单元。

第三十五方面，本发明实施例提供一种业务认证设备，所述业务认证设备包括处理器和存储器，所述存储器用于存储程序和数据；所述处理器调用所述存储器中的程序用于执行第二十三方面或者第二十三方面的任意实现方式中的全部或部分步骤的功能单元。

第三十六方面，本发明实施例提供一种用户设备，所述用户设备包括处理器和存储器，所述存储器用于存储程序和数据；所述处理器调用所述存储器中的程序用于执行第二十四方面或者第二十四方面的任意实现方式中的全部或部分步骤的功能单元。

第三十七方面，本发明实施例提供一种网络认证设备，所述网络认证设备包括处理器和存储器，所述存储器用于存储程序和数据；所述处理器调用所述存储器中的程序用于执行第二十五方面或者第二十五方面的任意实现方式中的全部或部分步骤的功能单元。

第三十八方面，本发明实施例提供一种业务认证设备，所述业务认证设备包括处理器和存储器，所述存储器用于存储程序和数据；所述处理器调用所述存储器中的程序用于执行第二十六方面或者第二十六方面的任意实现方式中的全部或部分步骤的功能单元。

第三十九方面，本发明实施例提供一种用户设备，所述用户设备包括处理器和存储器，所述存储器用于存储程序和数据；所述处理器调用所述存储器中的程序用于执行第二十七方面或者第二十七方面的任意实现方式中的全部或部分步骤的功能单元。

第四十方面，本发明实施例提供一种网络认证设备，所述网络认证设备包括处理器和存储器，所述存储器用于存储程序和数据；所述处理器调用所述存储器中的程序用于执行第二十八方面或者第二十八方面的任意实现方式中的全部或部分步骤的功能单元。

在上面的一些可能的实现方式中，所述网络认证设备包括认证功能单元CP-AU，所述网络认证设备和所述用户设备用于根据所述第二共享密钥或者根据基于所述第二共享密钥衍生的共享密钥进行网络认证生成所述目标共享密钥中，所述网络认证设备和所述用户设备用于根据所述第二共享密钥进行网络认证生成所述目标共享密钥，具体为：

UE向CP-AU发送请求接入网络的消息，所述请求接入网络的消息包含所述UE的身份标识和目标业务的业务标识，所述目标业务为所述UE当前执行的业务；

所述CP-AU接收所述请求接入网络的消息并根据所述身份标识和所述业务标识获取第二共享密钥，以及向签约服务器请求基于预置密钥生成的认证向量，所述预置密钥为所述UE与所述签约服务器预先共享的密钥；

所述CP-AU接收所述签约服务器发送的所述认证向量，所述认证向量包含消息认证码和期待响应，所述认证向量包含的所述消息认证码为网络侧初始消息认证码，所述认证向量包含的期待响应为初始期待响应；

所述CP-AU将通过预设的消息认证码算法对所述第二共享密钥和所述网络侧初始消息认证码进行计算得到业务参考消息认证码，并向所述UE发送认证请求消息，所述认证请求消息包含所述业务参考消息认证码；

所述CP-AU将通过预设的响应算法对所述第二共享密钥和所述初始期待响应进行计算得到的参考期待响应；

所述UE接收所述CP-AU发送的所述认证请求消息；

所述UE通过认证与密钥协商协议AKA根据所述预置密钥生成消息认证码和响应，生成的所述消息认证码为用户侧初始消息认证码以及生成的所述响应为初始响应，并通过所述预设的消息认证码算法对所述第二共享密钥和所述用户侧初始消息认证码进行计算得到用户侧参考消息认证码，所述UE使用的第二共享密钥为所述UE根据自身的身份标识和所述业务标识获取，或者所述UE预先存储了所述第二共享密钥；

所述UE判断所述用户侧参考消息认证码与所述业务参考消息认证码是否相同；

若相同，则所述UE通过预设的响应算法对所述第二共享密钥和所述初始响应进行处理得到参考响应；

所述UE将所述参考响应发送给所述CP-AU；

所述CP-AU接收所述参考响应；

所述CP-AU判断所述参考期待响应与所述参考响应是否相同；

若相同，则所述CP-AU和所述UE使用相同的密钥生成算法对预设的基础密钥和所述第二共享密钥进行处理得到目标共享密钥。可选的，所述基础密钥为基于所述预置密钥和网络参数生成的密钥。

在上面的一些可能的实现方式中，所述网络认证设备包括CP-AU；用户设备UE执行所述和所述网络认证设备根据所述第二共享密钥或者根据基于所述第二共享密钥衍生的共享密钥进行网络认证生成目标共享密钥的操作中，和所述网络认证设备根据所述第二共享密钥进行网络认证生成目标共享密钥，具体为：

向CP-AU发送请求接入网络的消息，所述请求接入网络的消息包含所述UE的身份标识和目标业务的业务标识，所述目标业务为所述UE当前执行的业务；所述CP-AU用于接收所述请求接入网络的消息并根据所述身份标识和所述业务标识获取第二共享密钥，以及向签约服务器请求基于预置密钥生成的认证向量，所述预置密钥为所述UE与所述签约服务器预先共享的密钥；所述CP-AU还用于接收所述签约服务器发送的所述认证向量，所述认证向量包含消息认证码和期待响应，所述认证向量包含的所述消息认证码为网络侧初始消息认证码，所述认证向量包含的期待响应为初始期待响应；所述CP-AU还用于将通过预设的消息认证码算法对所述第二共享密钥和所述网络侧初始消息认证码进行计算得到业务参考消息认证码，并向所述UE发送认证请求消息，所述认证请求消息包括所述业务参考消息；所述CP-AU还用于通过所述预设的响应算法对所述第二共享密钥和所述初始期待响应进行处理得到参考期待响应；

接收所述认证请求消息；

通过认证与密钥协商协议AKA根据所述预置密钥生成消息认证码和响应，生成的所述消息认证码为用户侧初始消息认证码以及生成的所述响应为初始响应，并通过所述预设的消息认证码算法对所述第二共享密钥和所述用户侧初始消息认证码进行计算得到用户侧参考消息认证码，所述UE使用的第二共享密钥为所述UE根据自身的身份标识和所述业务标识获取，或者所述UE预先存储了所述第二共享密钥；

判断所述用户侧参考消息认证码与所述业务参考消息认证码是否相同；

若相同，则通过预设的响应算法对所述第二共享密钥和所述初始响应进行处理得到参考响应；

将所述参考响应发送给所述CP-AU，所述CP-AU用于接收所述参考响应并判断所述参考期待响应与所述参考响应是否相同；

在所述CP-AU的判断结果为是时，与所述CP-AU使用相同的密钥生成算法对预设的基础密钥和所述第二共享密钥进行处理得到目标共享密钥。

在上面的一些可能的实现方式中，所述网络认证设备包括CP-AU；所述和所述用户设备根据所述第二共享密钥或者根据基于所述第二共享密钥衍生的共享密钥进行网络认证生成所述目标共享密钥中，和所述用户设备根据所述第二共享密钥进行网络认证生成所述目标共享密钥，具体为：

接收所述UE发送的请求接入网络的消息并根据身份标识和业务标识获取第二共享密钥，以及向签约服务器请求基于预置密钥生成的认证向量，所述预置密钥为所述UE与所述签约服务器预先共享的密钥；所述请求接入网络的消息包含所述UE的所述身份标识和目标业务的所述业务标识，所述目标业务为所述UE当前执行的业务；

接收所述签约服务器发送的所述认证向量，所述认证向量包含消息认证码和期待响应，所述认证向量包含的所述消息认证码为网络侧初始消息认证码，所述认证向量包含的期待响应为初始期待响应；

将通过预设的消息认证码算法对所述第二共享密钥和所述网络侧初始消息认证码进行计算得到业务参考消息认证码，并向所述UE发送认证请求消息，所述认证请求消息包含所述业务参考消息认证码；所述UE用于接收所述认证请求消息并通过认证与密钥协商协议AKA根据所述预置密钥生成消息认证码和响应，生成的所述消息认证码为用户侧初始消息认证码以及生成的所述响应为初始响应，并通过所述预设的消息认证码算法对所述第二共享密钥和所述用户侧初始消息认证码进行计算得到用户侧参考消息认证码，所述UE使用的第二共享密钥为所述UE根据自身的身份标识和所述业务标识获取，或者所述UE预先存储了所述第二共享密钥；

所述UE还用于判断所述用户侧参考消息认证码与所述业务参考消息认证码是否相同；所述UE用于在判断出相同时，通过预设的响应算法对所述第二共享密钥和所述初始响应进行处理得到参考响应；所述UE还用于将所述参考响应发送给所述CP-AU；

通过所述预设的响应算法对所述第二共享密钥和所述初始期待响应进行处理得到参考期待响应；

接收所述参考响应；

判断所述参考期待响应与所述参考响应是否相同；

若相同，则和所述UE使用相同的密钥生成算法对预设的基础密钥和所述第二共享密钥进行处理得到目标共享密钥。可选的，所述基础密钥为基于所述预置密钥和网络参数生成的密钥。

在上面的一些可能的实现方式中，所述网络认证设备包括认证功能单元CP-AU，所述网络认证设备和所述用户设备UE用于根据所述第二共享密钥或者根据基于所述第二共享密钥衍生的共享密钥进行网络认证生成所述目标共享密钥中，所述网络认证设备和所述用户设备用于根据所述第二共享密钥进行网络认证生成所述目标共享密钥，具体为：

UE向CP-AU发送接入网络的消息，所述接入网络的消息包含所述UE的身份标识和目标业务的业务标识，所述目标业务为所述UE当前执行的业务；

所述CP-AU接收所述接入网络的消息并根据所述身份标识和所述业务标识获取第二共享密钥，以及向签约服务器请求基于预置密钥生成的认证向量，所述预置密钥为所述UE与所述签约服务器预先共享的密钥；

所述CP-AU将通过预设的第一消息认证码算法对所述第二共享密钥进行计算得到网络侧附加消息认证码，并向UE发送认证请求消息，所述认证请求消息包括所述网络侧附加消息认证码和所述网络侧初始消息认证码；

所述UE接收所述CP-AU发送的所述认证请求消息；

所述UE通过认证与密钥协商协议AKA根据所述预置密钥生成消息认证码和响应，生成的所述消息认证码为用户侧初始消息认证码以及生成的所述响应为初始响应，并通过所述预设的第一消息认证码算法对所述第二共享密钥进行计算得到用户侧附加消息认证码，所述UE使用的第二共享密钥为所述UE根据自身的身份标识和所述业务标识获取，或者所述UE预先存储了所述第二共享密钥；

所述UE判断所述用户侧附加消息认证码是否与所述网络侧附加消息认证码相同，且所述用户侧初始消息认证码是否与所述网络侧初始消息认证码相同；

若均相同，则所述UE通过预设的第二消息认证码算法对自身的所述第二共享密钥进行处理得到用户侧响应消息认证码；

所述UE将所述参考响应和所述用户侧响应消息认证码发送给所述CP-AU；

所述CP-AU接收所述参考响应和所述用户侧响应消息认证码；

所述CP-AU通过所述预设的所述第二消息认证码算法对自身的所述第二共享密钥进行处理得到网络侧响应消息认证码；

所述CP-AU判断所述初始期待响应是否与所述初始响应相同，且所述网络侧响应消息认证码是否与所述用户侧响应消息认证码相同；

若均相同，则所述CP-AU和所述UE使用相同的密钥生成算法对预设的基础密钥和所述第二共享密钥进行处理得到目标共享密钥。

向CP-AU发送接入网络的消息，所述接入网络的消息包含所述UE的身份标识和目标业务的业务标识，所述目标业务为所述UE当前执行的业务；所述CP-AU用于接收所述接入网络的消息并根据所述身份标识和所述业务标识获取第二共享密钥，以及向签约服务器请求基于预置密钥生成的认证向量，所述预置密钥为所述UE与所述签约服务器预先共享的密钥；所述CP-AU还用于接收所述签约服务器发送的所述认证向量，所述认证向量包含消息认证码和期待响应，所述认证向量包含的所述消息认证码为网络侧初始消息认证码，所述认证向量包含的期待响应为初始期待响应；所述CP-AU还用于将通过预设的第一消息认证码算法对所述第二共享密钥进行计算得到网络侧附加消息认证码，并向所述UE发送认证请求消息，所述认证请求消息包含所述网络侧附加消息认证码和所述网络侧初始消息认证码；

接收所述CP-AU发送的所述认证请求消息；

通过认证与密钥协商协议AKA根据所述预置密钥生成消息认证码和响应，生成的所述消息认证码为用户侧初始消息认证码以及生成的所述响应为初始响应，并通过所述预设的第一消息认证码算法对所述第二共享密钥进行计算得到用户侧附加消息认证码，所述UE使用的第二共享密钥为所述UE根据自身的身份标识和所述业务标识获取，或者所述UE预先存储了所述第二共享密钥；

判断所述用户侧附加消息认证码是否与所述网络侧附加消息认证码相同，且所述用户侧初始消息认证码是否与所述网络侧初始消息认证码相同；

若均相同，则通过预设的第二消息认证码算法对自身的所述第二共享密钥进行处理得到用户侧响应消息认证码；

将所述参考响应和所述用户侧响应消息认证码发送给所述CP-AU；所述CP-AU用于接收所述参考响应和所述用户侧响应消息认证码；所述CP-AU还用于通过所述预设的所述第二消息认证码算法对自身的所述第二共享密钥进行处理得到网络侧响应消息认证码；所述CP-AU还用于判断所述初始期待响应是否与所述初始响应相同，且所述网络侧响应消息认证码是否与所述用户侧响应消息认证码相同；

在所述CP-AU的判断结果为均相同时，和所述CP-AU使用相同的密钥生成算法对预设的基础密钥和所述第二共享密钥进行处理得到目标共享密钥。

在上面的一些可能的实现方式中，所述网络认证设备包括CP-AU；所述和所述用户设备根据所述第二共享密钥或者根据基于所述第二共享密钥衍生的共享密钥进行网络认证生成所述目标共享密钥中，和所述用户设备UE根据所述第二共享密钥进行网络认证生成所述目标共享密钥，具体为：

接收UE发送的接入网络的消息并根据身份标识和业务标识获取第二共享密钥，以及向签约服务器请求基于预置密钥生成的认证向量，所述预置密钥为所述UE与所述签约服务器预先共享的密钥；所述接入网络的消息包含所述UE的所述身份标识和目标业务的所述业务标识，所述目标业务为所述UE当前执行的业务；

将通过预设的第一消息认证码算法对所述第二共享密钥进行计算得到网络侧附加消息认证码，并向UE发送认证请求消息，所述认证请求消息包括所述网络侧附加消息认证码和所述网络侧初始消息认证码发送给所述UE；所述UE用于接收所述认证请求消息；所述UE用于通过认证与密钥协商协议AKA根据所述预置密钥生成消息认证码和响应，生成的所述消息认证码为用户侧初始消息认证码以及生成的所述响应为初始响应，并通过所述预设的第一消息认证码算法对所述第二共享密钥进行计算得到用户侧附加消息认证码，所述UE使用的第二共享密钥为所述UE根据自身的身份标识和所述业务标识获取，或者所述UE预先存储了所述第二共享密钥；所述UE用于判断所述用户侧附加消息认证码是否与所述网络侧附加消息认证码相同，且判断所述用户侧初始消息认证码是否与所述网络侧初始消息认证码相同；若均相同，则所述UE用于通过预设的第二消息认证码算法对自身的所述第二共享密钥进行处理得到用户侧响应消息认证码；所述UE还用于将所述参考响应和所述用户侧响应消息认证码发送给所述CP-AU；

接收所述参考响应和所述用户侧响应消息认证码；

通过所述预设的所述第二消息认证码算法对自身的所述第二共享密钥进行处理得到网络侧响应消息认证码；

判断所述初始期待响应是否与所述初始响应相同，且所述网络侧响应消息认证码是否与所述用户侧响应消息认证码相同；

若均相同，则和所述UE使用相同的密钥生成算法对预设的基础密钥和所述第二共享密钥进行处理得到目标共享密钥。

第四十一方面，本发明实施例提供一种网络认证系统，该系统包括用户设备UE、接入与移动性管理网元AMF和会话管理网元SMF，其中：该UE用于向该AMF发送协议数据单元PDU会话建立请求；该AMF用于接收该PDU会话建立请求，根据该PDU会话建立请求确定会话管理网元SMF，向确定的该SMF发送该PDU会话建立请求；该SMF用于接收该PDU会话建立请求，响应该PDU会话建立请求向该UE发送认证通知消息，该认证通知消息包括用于指示是否进行目标认证的信息、用于定义该目标认证的认证协议的信息和用于定义该目标认证的密钥算法的信息中至少一项，所述目标认证包括双向认证或者单向认证；该UE用于接收该认证通知消息。

通过执行上述操作，当该UE需要与其他网元进行目标认证时，该UE向运营商网络发送PDU会话建立请求，该运营商网络中的SMF接收到该PDU会话建立请求后，向该UE发送认证通知消息以规定该UE目标认证时所采用的认证协议、密钥算法等信息，使得该UE与其他网元之间的目标认证能够顺利进行。

结合第四十一方面，在第四十一方面的第一种可能的实现方式中，该系统还包括业务认证服务器，该业务认证服务器用于验证该UE是否具有调用预设业务的权限，该UE用于与业务认证服务器根据该认证通知消息进行目标认证。

结合第四十一方面或者第四十一方面的任一可能的实现方式，在第四十一方面的第二种可能的实现方式中，该SMF用于向该UE发送使用可扩展的身份验证协议EAP身份请求；该UE用于接收该SMF发送的使用可扩展的身份验证协议EAP身份请求，根据该EAP身份请求向该SMF发送EAP身份响应；该SMF用于接收该UE发送的针对该EAP身份请求的EAP身份响应。

结合第四十一方面或者第四十一方面的任一可能的实现方式，在第四十一方面的第三种可能的实现方式中，该SMF用于确定该目标认证的认证协议和/或密钥算法。

结合第四十一方面或者第四十一方面的任一可能的实现方式，在第四十一方面的第四种可能的实现方式中，该SMF用于确定该目标认证的认证协议和/或密钥算法，具体为：该SMF用于向安全策略控制网元SPCF发送针对该UE的安全策略请求；接收该SPCF根据该安全策略请求获取的与该UE存在预设匹配关系的安全策略，该安全策略用于该SPCF确定UE目标认证所需的认证方法和/或密钥算法；根据该安全策略生成该目标认证的认证协议和/或密钥算法。

结合第四十一方面或者第四十一方面的任一可能的实现方式，在第四十一方面的第五种可能的实现方式中，该SMF用于根据该安全策略确定该UE需要与业务认证服务器进行目标认证，该业务认证服务器用于验证该UE是否具有调用预设业务的权限。

结合第四十一方面或者第四十一方面的任一可能的实现方式，在第四十一方面的第六种可能的实现方式中，该SMF用于向业务认证服务器发送用于指示该UE的身份的EAP身份响应。

结合第四十一方面或者第四十一方面的任一可能的实现方式，在第四十一方面的第七种可能的实现方式中，该SMF用于向业务认证服务器发送用于指示该UE的身份的EAP身份响应，具体为：该SMF用于选择用户面网关UPF；与选择的该UPF建立会话以用于转发该SMF与业务认证服务器之间目标认证时交互的信息；通过该会话向业务认证服务器发送用于指示该UE的身份的EAP身份响应。

结合第四十一方面或者第四十一方面的任一可能的实现方式，在第四十一方面的第八种可能的实现方式中，该系统包括安全策略控制网元SPCF，其中：该SMF用于向该SPCF发送针该UE的安全策略请求；该SPCF用于接收该针对用户设备UE的安全策略请求，根据该安全策略请求向该SMF发送与该UE存在预设匹配关系的安全策略，该安全策略用于该SPCF确定UE目标认证所需的认证方法和/或密钥算法；该SMF用于接收该与该UE存在预设匹配关系的安全策略。

结合第四十一方面或者第四十一方面的任一可能的实现方式，在第四十一方面的第九种可能的实现方式中，该根据该安全策略请求向该SMF发送与该UE存在预设匹配关系的安全策略，具体为：根据该安全策略请求向业务服务器发送订阅数据请求，以请求与该UE存在预设匹配关系的安全策略，该业务服务器用于提供业务的访问服务；接收该业务服务器发送的该安全策略；将该安全策略发送给该SMF。

结合第四十一方面或者第四十一方面的任一可能的实现方式，在第四十一方面的第十种可能的实现方式中，该根据该安全策略请求向该SMF发送与该UE存在预设匹配关系的安全策略，具体为：根据该安全策略请求从预先缓存的信息中查找与该UE存在预设匹配关系的安全策略；将该安全策略发送给该SMF。

第四十二方面，本发明实施例提供一种用户设备UE，该UE包括第一发送单元和第一接收单元，其中，第一发送单元，用于向接入与移动性管理网元AMF发送协议数据单元PDU会话建立请求，以使该AMF根据该PDU会话建立请求确定会话管理网元SMF并将该PDU会话建立请求发送给该SMF；第一接收单元，用于接收SMF响应该PDU会话建立请求而发送的认证通知消息，认证通知消息包括用于指示是否进行目标认证的信息、用于定义该目标认证的认证协议的信息和用于定义该目标认证的密钥算法的信息中至少一项，所述目标认证包括双向认证或者单向认证。

通过运行上述单元，当该UE需要与其他网元进行目标认证时，该UE向运营商网络发送PDU会话建立请求，该运营商网络中的SMF接收到该PDU会话建立请求后，向该UE发送认证通知消息以规定该UE目标认证时所采用的认证协议、密钥算法等信息，使得该UE与其他网元之间的目标认证能够顺利进行。

结合第四十二方面，在第四十二方面的第一种可能的实现方式中，UE还包括认证单元，用于在该第一接收单元接收该SMF响应该PDU会话建立请求而发送的认证通知消息之后，与业务认证服务器根据该认证通知消息进行目标认证，该业务认证服务器用于验证该UE是否具有调用预设业务的权限。

结合第四十二方面或第四十二方面的上述任一可能的实现方式，在第四十二方面的第二种可能的实现方式中，UE还包括第二接收单元和第二发送单元，其中，第二接收单元，用于在该第一接收单元接收该SMF响应该PDU会话建立请求而发送的认证通知消息之后，接收该SMF发送的使用可扩展的身份验证协议EAP身份请求；第二发送单元，用于根据该EAP身份请求向该SMF发送EAP身份响应。

第四十三方面，本发明实施例提供一种会话管理网元SMF，该SMF包括第三接收单元和第三发送单元，其中，第三接收单元，用于接收接入与移动性管理网元AMF发送的协议数据单元PDU会话建立请求；第三发送单元，用于响应该PDU会话建立请求向用户设备UE发送认证通知消息，该认证通知消息包括用于指示是否进行目标认证的信息、用于定义该目标认证的认证协议的信息和用于定义该目标认证的密钥算法的信息中至少一项，所述目标认证包括双向认证或者单向认证。

结合第第四十三方面，在第四十三方面的第一种可能的实现方式，该认证通知消息用于该UE与业务认证服务器进行目标认证，该业务认证服务器用于验证该UE是否具有调用预设业务的权限。

结合第第四十三方面或第四十三方面的上述任一种可能的实现方式，在第四十三方面的第二种可能的实现方式，SMF还包括确定单元，用于在该第三接收单元接收接入与移动性管理网元AMF发送的协议数据单元PDU会话建立请求之后，在该第三发送单元响应该PDU会话建立请求向用户设备UE发送认证通知消息之前，确定该目标认证的认证协议和/或密钥算法。

结合第第四十三方面或第四十三方面的上述任一种可能的实现方式，在第四十三方面的第三种可能的实现方式，该确定单元确定该目标认证的认证协议和/或密钥算法，具体为：向安全策略控制网元SPCF发送针对该UE的安全策略请求；接收该SPCF根据该安全策略请求获取的与该UE存在预设匹配关系的安全策略，该安全策略用于该SPCF确定UE目标认证所需的认证方法和/或密钥算法；根据该安全策略生成该目标认证的认证协议和/或密钥算法。

结合第第四十三方面或第四十三方面的上述任一种可能的实现方式，在第四十三方面的第四种可能的实现方式，该确定单元还用于根据该安全策略确定该UE需要与业务认证服务器进行目标认证，该业务认证服务器用于验证该UE是否具有调用预设业务的权限。

结合第第四十三方面或第四十三方面的上述任一种可能的实现方式，在第四十三方面的第五种可能的实现方式，SMF还包括：第四发送单元，用于在该第三发送单元响应该PDU会话建立请求向用户设备UE发送认证通知消息之后，向该UE发送使用可扩展的身份验证协议EAP身份请求；第四接收单元，用于接收该UE发送的针对该EAP身份请求的EAP身份响应。

结合第第四十三方面或第四十三方面的上述任一种可能的实现方式，在第四十三方面的第六种可能的实现方式，SMF还包括：第五发送单元，用于在该第四发送单元响应该PDU会话建立请求向用户设备UE发送认证通知消息之后，向业务认证服务器发送用于指示该UE的身份的EAP身份响应。

结合第第四十三方面或第四十三方面的上述任一种可能的实现方式，在第四十三方面的第七种可能的实现方式，该第五发送单元具体用于：选择用户面网关UPF；与选择的该UPF建立会话以用于转发该SMF与业务认证服务器之间目标认证时交互的信息；通过该会话向业务认证服务器发送用于指示该UE的身份的EAP身份响应。

第四十四方面，本发明实施例提供一种安全策略控制网元SPCF，该SPCF包括第五接收单元和第六发送单元，其中，第五接收单元，用于接收会话管理网元SMF发送的针对用户设备UE的安全策略请求；第六发送单元，用于根据该安全策略请求向该SMF发送与该UE存在预设匹配关系的安全策略，该安全策略用于该SPCF确定UE目标认证所需的认证方法和/或密钥算法。

通过运行上述单元，SMF需要确定UE目标认证所需的认证协议、密钥算法等信息时，向SPCF发送安全策略请求，该SPCF根据该安全策略请求向该SMF反馈与该UE相匹配的安全策略，使得该SMF可以根据该安全策略确定出该UE目标认证所需的认证协议、密钥算法等信息，保证了该UE与其他网元之间的目标认证的顺利进行。

结合第四十四方面，在第四十四方面的第一种可能的实现方式中，该第六发送单元具体用于：根据该安全策略请求向业务服务器发送订阅数据请求，以请求与该UE存在预设匹配关系的安全策略，该业务服务器用于提供业务的访问服务；接收该业务服务器发送的该安全策略；将该安全策略发送给该SMF。

结合第四十四方面或者第四十四方面的上述任一可能的实现方式，在第四十四方面的第二种可能的实现方式中，该第六发送单元具体用于：根据该安全策略请求从预先缓存的信息中查找与该UE存在预设匹配关系的安全策略；将该安全策略发送给该SMF。

第四十五方面，本发明实施例提供一种网络认证方法，该方法包括：用户设备UE向接入与移动性管理网元AMF发送协议数据单元PDU会话建立请求，以使该AMF根据该PDU会话建立请求确定会话管理网元SMF并将该PDU会话建立请求发送给该SMF；该UE接收该SMF响应该PDU会话建立请求而发送的认证通知消息，该认证通知消息包括用于指示是否进行目标认证的信息、用于定义该目标认证的认证协议的信息和用于定义该目标认证的密钥算法的信息中至少一项，所述目标认证包括双向认证或者单向认证。

通过执行上述步骤，当该UE需要与其他网元进行目标认证时，该UE向运营商网络发送PDU会话建立请求，该运营商网络中的SMF接收到该PDU会话建立请求后，向该UE发送认证通知消息以规定该UE目标认证时所采用的认证协议、密钥算法等信息，使得该UE与其他网元之间的目标认证能够顺利进行。

结合第第十五方面，在第四十五方面的第一种可能的实现方式中，该UE接收该SMF响应该PDU会话建立请求而发送的认证通知消息之后，该方法还包括：该UE与业务认证服务器根据该认证通知消息进行目标认证，该业务认证服务器用于验证该UE是否具有调用预设业务的权限。

结合第第十五方面或者第四十五方面的上述任一可能的实现方式，在第四十五方面的第二种可能的实现方式中，该UE接收该SMF响应该PDU会话建立请求而发送的认证通知消息之后，该方法还包括：该UE接收该SMF发送的使用可扩展的身份验证协议EAP身份请求；该UE根据该EAP身份请求向该SMF发送EAP身份响应。

第四十六方面，本发明实施例提供一种网络认证方法，该网络认证方法包括：会话管理网元SMF接收接入与移动性管理网元AMF发送的协议数据单元PDU会话建立请求；该SMF响应该PDU会话建立请求向用户设备UE发送认证通知消息，该认证通知消息包括用于指示是否进行目标认证的信息、用于定义该目标认证的认证协议的信息和用于定义该目标认证的密钥算法的信息中至少一项，所述目标认证包括双向认证或者单向认证。

结合第四十六方面，在第四十六方面的第一种可能的实现方式中，该认证通知消息用于该UE与业务认证服务器进行目标认证，该业务认证服务器用于验证该UE是否具有调用预设业务的权限。

结合第四十六方面或者第四十六方面的上述任一可能的实现方式，在第四十六方面的第二种可能的实现方式中，该会话管理网元SMF接收接入与移动性管理网元AMF发送的协议数据单元PDU会话建立请求之后，该SMF响应该PDU会话建立请求向用户设备UE发送认证通知消息之前，该方法还包括：该SMF确定该目标认证的认证协议和/或密钥算法。

结合第四十六方面或者第四十六方面的上述任一可能的实现方式，在第四十六方面的第三种可能的实现方式中，该SMF确定该目标认证的认证协议和/或密钥算法，包括：该SMF向安全策略控制网元SPCF发送针对该UE的安全策略请求；该SMF接收该SPCF根据该安全策略请求获取的与该UE存在预设匹配关系的安全策略，该安全策略用于该SPCF确定UE目标认证所需的认证方法和/或密钥算法；该SMF根据该安全策略生成该目标认证的认证协议和/或密钥算法。

结合第四十六方面或者第四十六方面的上述任一可能的实现方式，在第四十六方面的第四种可能的实现方式中，该方法还包括：该SMF根据该安全策略确定该UE需要与业务认证服务器进行目标认证，该业务认证服务器用于验证该UE是否具有调用预设业务的权限。

结合第四十六方面或者第四十六方面的上述任一可能的实现方式，在第四十六方面的第五种可能的实现方式中，该SMF响应该PDU会话建立请求向用户设备UE发送认证通知消息之后，该方法还包括：该SMF向该UE发送使用可扩展的身份验证协议EAP身份请求；该SMF接收该UE发送的针对该EAP身份请求的EAP身份响应。

结合第四十六方面或者第四十六方面的上述任一可能的实现方式，在第四十六方面的第六种可能的实现方式中，该SMF响应该PDU会话建立请求向用户设备UE发送认证通知消息之后，该方法还包括：该SMF向业务认证服务器发送用于指示该UE的身份的EAP身份响应。

结合第四十六方面或者第四十六方面的上述任一可能的实现方式，在第四十六方面的第七种可能的实现方式中，该SMF向业务认证服务器发送用于指示该UE的身份的EAP身份响应，包括：该SMF选择用户面网关UPF；该SMF与选择的该UPF建立会话以用于转发该SMF与业务认证服务器之间目标认证时交互的信息；该SMF通过该会话向业务认证服务器发送用于指示该UE的身份的EAP身份响应。

第四十七方面，本发明实施例提供一种网络认证方法，包括：安全策略控制网元SPCF 接收会话管理网元SMF发送的针对用户设备UE的安全策略请求；该SPCF根据该安全策略请求向该SMF发送与该UE存在预设匹配关系的安全策略，该安全策略用于该SPCF确定UE目标认证所需的认证方法和/或密钥算法。

通过执行上述操作，SMF需要确定UE目标认证所需的认证协议、密钥算法等信息时，向SPCF发送安全策略请求，该SPCF根据该安全策略请求向该SMF反馈与该UE相匹配的安全策略，使得该SMF可以根据该安全策略确定出该UE目标认证所需的认证协议、密钥算法等信息，保证了该UE与其他网元之间的目标认证的顺利进行。

结合第四十七方面，在第十七方面的第一种可能的实现方式中，该SPCF根据该安全策略请求向该SMF发送与该UE存在预设匹配关系的安全策略，包括：该SPCF根据该安全策略请求向业务服务器发送订阅数据请求，以请求与该UE存在预设匹配关系的安全策略，该业务服务器用于提供业务的访问服务；该SPCF接收该业务服务器发送的该安全策略；该SPCF将该安全策略发送给该SMF。

结合第四十七方面或者第四十七方面的上述任一可能的实现方式，在第十七方面的第二种可能的实现方式中，该SPCF根据该安全策略请求向该SMF发送与该UE存在预设匹配关系的安全策略，包括：该SPCF根据该安全策略请求从预先缓存的信息中查找与该UE存在预设匹配关系的安全策略；该SPCF将该安全策略发送给该SMF。

第四十八方面，本发明实施例提供一种用户设备UE，该UE包括处理器、存储器和收发器，其中，存储器用于存储程序和数据，处理器调用该存储器中的程序，用于执行如下操作：通过该收发器向接入与移动性管理网元AMF发送协议数据单元PDU会话建立请求，以使该AMF根据该PDU会话建立请求确定会话管理网元SMF并将该PDU会话建立请求发送给该SMF；通过该收发器接收该SMF响应该PDU会话建立请求而发送的认证通知消息，该认证通知消息包括用于指示是否进行目标认证的信息、用于定义该目标认证的认证协议的信息和用于定义该目标认证的密钥算法的信息中至少一项，所述目标认证包括双向认证或者单向认证。

结合第第十五方面，在第四十八方面的第一种可能的实现方式中，处理器通过接收该SMF响应该PDU会话建立请求而发送的认证通知消息之后，该处理器还用于与业务认证服务器根据该认证通知消息进行目标认证，该业务认证服务器用于验证该UE是否具有调用预设业务的权限。

结合第第十五方面或者第四十八方面的上述任一可能的实现方式，在第四十八方面的第二种可能的实现方式中，该处理器通过该收发器接收该SMF响应该PDU会话建立请求而发送的认证通知消息之后，该处理器还用于通过该收发器接收该SMF发送的使用可扩展的身份验证协议EAP身份请求；该处理器根据该EAP身份请求通过该收发器向该SMF发送EAP身份响应。

第四十九方面，本发明实施例提供一种会话管理网元SMF，该SMF包括处理器、存储器和收发器，其中，存储器用于存储程序和数据，处理器调用该存储器中的程序，用于执行如下操作：通过收发器接收接入与移动性管理网元AMF发送的协议数据单元PDU会话建立请求；响应该PDU会话建立请求通过该收发器向用户设备UE发送认证通知消息，该认证通知消息包括用于指示是否进行目标认证的信息、用于定义该目标认证的认证协议的信息和用于定义该目标认证的密钥算法的信息中至少一项，所述目标认证包括双向认证或者单向认证。

结合第四十九方面，在第四十九方面的第一种可能的实现方式中，该认证通知消息用于该UE与业务认证服务器进行目标认证，该业务认证服务器用于验证该UE是否具有调用预设业务的权限。

结合第四十九方面或者第四十九方面的上述任一可能的实现方式，在第四十九方面的第二种可能的实现方式中，该处理器通过该收发器接收接入与移动性管理网元AMF发送的协议数据单元PDU会话建立请求之后，该处理器响应该PDU会话建立请求通过收发器向用户设备UE发送认证通知消息之前，该处理器还用于：确定该目标认证的认证协议和/或密钥算法。

结合第四十九方面或者第四十九方面的上述任一可能的实现方式，在第四十九方面的第三种可能的实现方式中，该处理器确定该目标认证的认证协议和/或密钥算法，具体为：通过该收发器向安全策略控制网元SPCF发送针对该UE的安全策略请求；通过收发器接收该SPCF根据该安全策略请求获取的与该UE存在预设匹配关系的安全策略，该安全策略用于该SPCF确定UE目标认证所需的认证方法和/或密钥算法；根据该安全策略生成该目标认证的认证协议和/或密钥算法。

结合第四十九方面或者第四十九方面的上述任一可能的实现方式，在第四十九方面的第四种可能的实现方式中，该处理器还用于：根据该安全策略确定该UE需要与业务认证服务器进行目标认证，该业务认证服务器用于验证该UE是否具有调用预设业务的权限。

结合第四十九方面或者第四十九方面的上述任一可能的实现方式，在第四十九方面的第五种可能的实现方式中，该处理器响应该PDU会话建立请求通过该收发器向用户设备UE发送认证通知消息之后，该处理器还用于：通过收发器向该UE发送使用可扩展的身份验证协议EAP身份请求；通过收发器接收该UE发送的针对该EAP身份请求的EAP身份响应。

结合第四十九方面或者第四十九方面的上述任一可能的实现方式，在第四十九方面的第六种可能的实现方式中，该处理器响应该PDU会话建立请求通过收发器向用户设备UE发送认证通知消息之后，该处理器还用于：通过收发器向业务认证服务器发送用于指示该UE的身份的EAP身份响应。

结合第四十九方面或者第四十九方面的上述任一可能的实现方式，在第四十九方面的第七种可能的实现方式中，该处理器通过收发器向业务认证服务器发送用于指示该UE的身份的EAP身份响应，具体为：选择用户面网关UPF；与选择的该UPF建立会话以用于转发该SMF与业务认证服务器之间目标认证时交互的信息；通过收发器通过该会话向业务认证服务器发送用于指示该UE的身份的EAP身份响应。

第五十方面，本发明实施例提供一种安全策略控制网元SPCF，该SPCF包括处理器、存储器和收发器，其中，存储器用于存储程序和数据，处理器调用存储器中的程序，用于执行如下操作：通过收发器接收会话管理网元SMF发送的针对用户设备UE的安全策略请求；根据该安全策略请求通过收发器向该SMF发送与该UE存在预设匹配关系的安全策略，该安全策略用于该SPCF确定UE目标认证所需的认证方法和/或密钥算法。

结合第五十方面，在第五十方面的第一种可能的实现方式中，该处理器根据该安全策略请求通过收发器向该SMF发送与该UE存在预设匹配关系的安全策略，具体为：根据该安全策略通过收发器请求向业务服务器发送订阅数据请求，以请求与该UE存在预设匹配关系的安全策略，该业务服务器用于提供业务的访问服务；通过收发器接收该业务服务器发送的该安全策略；通过收发器将该安全策略发送给该SMF。

结合第五十方面或者第五十方面的上述任一可能的实现方式，在第十方面的第二种可能的实现方式中，该处理器根据该安全策略请求通过收发器向该SMF发送与该UE存在预设匹配关系的安全策略，具体为：根据该安全策略请求从预先缓存的信息中查找与该UE存在预设匹配关系的安全策略；通过收发器将该安全策略发送给该SMF。

第五十一方面，本发明实施例提供一种存储介质，该存储介质用于存储指令，该指令在计算机上运行时使得该计算机执行第四十五方面或者第四十五方面任一可能实现方式所描述的方法。

第五十二方面，本发明实施例提供一种存储介质，该存储介质用于存储指令，该指令在计算机上运行时使得该计算机执行第四十六方面或者第四十六方面任一可能实现方式所描述的方法。

第五十三方面，本发明实施例提供一种存储介质，该存储介质用于存储指令，该指令在计算机上运行时使得该计算机执行第四十七方面或者第四十七方面任一可能实现方式所描述的方法。

通过实施本发明实施例，用户设备与业务认证设备根据获取的参考参数以及预先共享的第一共享密钥生成第二共享密钥，然后该业务认证设备将该第二共享密钥发送给该网络认证设备，使得该网络认证设备基于该第二共享密钥得到目标共享密钥。也即是说，生成该目标共享密钥考虑到了业务的相关信息以及网络的相关信息，提升了该目标共享密钥的安全级别。

附图说明

图1是本发明实施例提供的一种网络认证系统的结构示意图；

图2是本发明实施例提供的又一种网络认证系统的结构示意图；

图3A是本发明实施例提供的一种网络认证方法的流程示意图；

图3B是本发明实施例提供的又一种网络认证方法的流程示意图；

图3C是本发明实施例提供的又一种网络认证方法的流程示意图；

图3D是本发明实施例提供的又一种网络认证方法的流程示意图；

图3E是本发明实施例提供的又一种网络认证方法的流程示意图；

图3F是本发明实施例提供的又一种网络认证方法的流程示意图；

图3G是本发明实施例提供的又一种网络认证方法的流程示意图；

图3H是本发明实施例提供的又一种网络认证方法的流程示意图；

图3I是本发明实施例提供的又一种网络认证方法的流程示意图；

图3J是本发明实施例提供的又一种网络认证方法的流程示意图；

图3K是本发明实施例提供的又一种网络认证方法的流程示意图；

图3L是本发明实施例提供的又一种网络认证方法的流程示意图；

图4A是本发明实施例提供的又一种网络认证方法的流程示意图；

图5A是本发明实施例提供的又一种网络认证方法的流程示意图；

图5B是本发明实施例提供的又一种网络认证方法的流程示意图；

图6A是本发明实施例提供的又一种网络认证方法的流程示意图；

图6B是本发明实施例提供的又一种网络认证方法的流程示意图；

图6C是本发明实施例提供的又一种网络认证方法的流程示意图；

图6D是本发明实施例提供的又一种网络认证方法的流程示意图；

图6E是本发明实施例提供的又一种网络认证方法的流程示意图；

图6F是本发明实施例提供的又一种网络认证方法的流程示意图；

图6G是本发明实施例提供的又一种网络认证方法的流程示意图；

图6H是本发明实施例提供的又一种网络认证方法的流程示意图；

图6I是本发明实施例提供的又一种网络认证方法的流程示意图；

图7是本发明实施例提供的一种业务认证设备的结构示意图；

图8是本发明实施例提供的一种用户设备的结构示意图；

图9是本发明实施例提供的一种网络认证设备的结构示意图；

图10是本发明实施例提供的又一种业务认证设备的结构示意图；

图11是本发明实施例提供的又一种用户设备的结构示意图；

图12是本发明实施例提供的又一种网络认证设备的结构示意图；

图13是本发明实施例提供的又一种业务认证设备的结构示意图；

图14是本发明实施例提供的又一种用户设备的结构示意图；

图15是本发明实施例提供的又一种网络认证设备的结构示意图；

图16是本发明实施例提供的又一种业务认证设备的结构示意图；

图17是本发明实施例提供的又一种用户设备的结构示意图；

图18是本发明实施例提供的又一种网络认证设备的结构示意图；

图19是本发明实施例提供的又一种业务认证设备的结构示意图；

图20是本发明实施例提供的又一种用户设备的结构示意图；

图21是本发明实施例提供的又一种网络认证设备的结构示意图；

图22是本发明实施例提供的又一种业务认证设备的结构示意图；

图23是本发明实施例提供的又一种用户设备的结构示意图；

图24是本发明实施例提供的又一种网络认证设备的结构示意图；

图25是本发明实施例提供的又一种业务认证设备的结构示意图；

图26是本发明实施例提供的又一种用户设备的结构示意图；

图27是本发明实施例提供的又一种网络认证设备的结构示意图；

图28是本发明实施例提供的又一种业务认证设备的结构示意图；

图29是本发明实施例提供的又一种用户设备的结构示意图；

图30是本发明实施例提供的又一种网络认证设备的结构示意图；

图31是本发明实施例提供的一种网络认证系统的结构示意图；

图32是本发明实施例提供的又一种网络认证方法的流程示意图；

图33是本发明实施例提供的又一种网络认证方法的流程示意图；

图34A是本发明实施例提供的又一种网络认证方法的流程示意图；

图34B是本发明实施例提供的又一种网络认证方法的流程示意图；

图35是本发明实施例提供的又一种通信系统的结构示意图；

图36是本发明实施例提供的又一种用户设备UE的结构示意图；

图37是本发明实施例提供的又一种会话管理网元SMF的结构示意图；

图38是本发明实施例提供的又一种策略控制网元SPCF的结构示意图；

图39是本发明实施例提供的又一种用户设备UE的结构示意图；

图40是本发明实施例提供的又一种会话管理网元SMF的结构示意图；

图41是本发明实施例提供的又一种策略控制网元SPCF的结构示意图。

具体实施方式

下面将结合本发明实施例中的附图对本发明实施例中的技术方案进行描述。

请参见图1，图1是本发明实施例提供的一种网络认证系统10的架构示意图；该网络认证系统10包括用户设备101、业务认证设备103和运营商提供网络接入的网络认证设备102。可选的，该业务认证设备103均为运营商可控的设备，即该运营商的网络认证设备102可以直接调用该业务认证设备103中的数据；可选的，该业务认证设备103为该运营商不可控的设备，即该运营商的网络认证设备102不可以直接调用该业务认证设备103中的数据。

该网络认证设备102可以为用户设备101需要接入蜂窝网时涉及到的至少一个网络侧设备，用户设备101在接入该蜂窝网时需要先与该网络认证设备102进行网络认证目标共享密钥，该目标共享密钥或者基于该目标共享密钥衍生的共享密钥为该网络认证设备与该用户设备协商的保护数据安全传输的共享密钥。

可选的，该用户设备101可以是手机、平板电脑、笔记本电脑、掌上电脑、移动互联网设备(英文：mobile internet device，简称：MID)、可穿戴设备(例如智能手表(如iWatch等)、智能手环、计步器等)或其可接入运营商网络的终端设备。

可选的，该网络认证设备102包括接入网(英文：Access Network，简称：AN)、移动性管理(英文：Mobility Management，简称：MM)设备、会话管理(英文：Session Management，简称：SM)设备、切片选择设备SSF(英文：Slice Selection Function)、认证功能单元(英文：Control Plane-Authentication Unit，简称：CP-AU)、新配置与网络认证相关的功能设备(为了方便描述后续可称为网络认证服务器)等中的至少一项，以下以该网络认证设备包括网络认证服务器、CP-AU和AN为例来进行描述以方便理解。当该网络认证设备102只包括一个设备时，后续描述到的网络认证设备102所执行的操作均由该一个设备完成；当该网络认证设备102包括多个设备时，后续描述到的网络认证设备102所执行的操作由该多个设备协作完成，即该多个设备中不同设备各执行一些操作，执行操作所产生的数据、参数均可以根据需要在该多个设备之间传输。图2为该网络认证系统的一种可选的细化结构示意图。

该业务认证设备103至少存在如下两种情况：

一、该业务认证设备103是用来管理业务认证的设备，该业务认证设备103包括至少一个与业务相关的设备，用户设备101要使用某业务时需要与管理该某业务的业务认证设备103进行业务认证生成目标共享密钥，该目标共享密钥或者基于该目标共享密钥衍生的共享密钥为该业务认证设备与该用户设备协商的保护数据安全传输的共享密钥。

可选的，业务认证设备103可以为用户生成证书或者基于身份的私钥，最终发送给用户设备101。生成证书时可使用户设备101与网络认证设备102相互认证时使用基于证书的方法；生成基于身份的私钥时，可以使得用户设备101、网络相互认证时或者用户设备101、业务认证设备103相互认证时可以使用基于身份的密码机制的方法。

在一种可选的方案中，用来提供业务的具体数据的设备(为了方便描述后续可称为业务服务器)和用来管理该业务的业务认证的设备(为了方便描述后续可称为业务认证服务器)为同一个设备，即该业务认证设备103；在又一种可选的方案中，该业务认证设备103包括业务认证服务器，但是不包括业务管理服务器；在又一种可选的方案中，该业务认证设备103包括业务认证服务器和业务服务器，当该业务认证设备103包括业务服务器和业务认证服务器时，后续描述到的业务认证设备103所执行的操作可能由该业务认证服务器和业务服务器协作完成，该业务认证服务器和该业务服务器在操作过程中产生的数据、参数均可以根据需要进行相互传输。可选的，以上业务可以包括即时通讯业务、新闻资讯业务、水表业务、电表业务、物流业务、工厂自动化等业务。

二、该业务认证设备103不是用来提供业务的具体数据的设备，也不是用来管理业务的业务认证的设备，而是一个单纯的提供认证的设备，可以为该网络认证设备102和该业务认证设备103分担认证流程的设备。在IoT场景中，会有海量的用户设备101需要与该网络认证设备102进行网络认证，导致该网络认证设备102的负载较高，因此本发明实施例提供该业务认证设备103来分担该网络认证设备102的部分或全部流程。

请参见图3A，图3A是本发明实施例提供的一种网络认证方法的流程示意图，该方法可以基于图1所示的网络认证系统来实现，该方法包括但不限于如下步骤。

步骤S301：该业务认证设备获取参考信息并结合该参考信息和第一共享密钥生成第二共享密钥。

具体地，该参考信息包括该用户设备、该网络认证设备和该业务认证设备中至少一项预先关联的信息。

该用户设备预先关联的信息可以为该用户设备的身份标识(UEID)，例如，移动设备国际识别码(英文：International Mobile Equipment Identity，简称：IMEI)、移动设备签约标识(英文:International Mobile Subscriber Identity，简称：IMSI)媒体访问控制(英文：Media Access Control，简称：MAC)地址、互联网协议(英文：Internet Protocol，简称：IP)地址等能够在一定范围内用来与其他终端设备进行区分的信息。

该网络认证设备预先关联的信息可以为该网络认证设备所处蜂窝网的网络参数，例如公共陆地移动网络标识(PLMN ID)，运营商标识(Operator ID)，接入网络标识(Access Network ID)，服务网络标识(Serving Network ID)，网络类型标识(Network Type ID)，局域网网络标识，切片标识，承载(bearer)ID，服务质量(英文：Quality of Service，简称：QoS)和流(flow)ID等。所述业务参数包括所述目标业务的业务序列号、密钥管理中心的标识、会话标识、链路标识、应用标识、业务标识、业务等级、业务数据速率、时延和业务服务器标识中的至少一项。

该业务认证设备预先关联的信息可以为该业务认证设备的身份标识、该业务特征相关的等信息，当该业务认证设备为管理目标业务的设备时，该业务认证设备预先关联的信息还可以包括目标业务的业务参数，例如，业务序列号SN、密钥管理中心的标识、会话标识(session ID)、链路标识、应用标识(app ID)、切片标识、服务标识(service ID)、业务标识、业务等级、业务数据速率、时延和所在服务器的服务器标识等，该目标业务具体为什么业务此处暂不做限制，可选的，该目标业务为该用户设备当前需要访问的业务。该目标业务的业务参数可能预先存储在了该业务认证设备中，例如，该业务认证设备是用于管理该目标业务的业务认证流程的设备，那么可以预先将该目标业务的业务参数存储到该业务认证设备。该目标业务的业务参数也可能为其他设备在获得相应的触发操作后即时发送给该业务认证设备的，例如，该业务认证设备用来对用户设备进行业务认证，那么该网络认证设备会触发业务服务器将该目标业务的业务参数发送给该业务认证设备。

可以理解的是，该用户设备、网络认证设备和业务认证设备之间可以预先建立直接或者间接的连接关系，因此相互之间可获取所需要的参考信息。该参考信息也可能是预先配置在该用户设备、网络认证设备和业务认证设备中。

该第一共享密钥为该用户设备与该业务认证设备之间预先配置的共享密钥，包括该用户设备与该业务认证设备基于证书(certificate)、用户名与密码、身份密码机制等方式得到的共享密钥。该业务认证设备结合参考信息和第一共享密钥生成第二共享密钥旨在表明，计算该第二共享密钥用到的参数包含该参考信息和该第一共享密钥，不排除还要用到其他信息。

步骤S302：该用户设备获取该参考信息并结合该参考信息和该第一共享密钥生成该第二共享密钥。

具体地，该第二共享密钥用于该用户设备和该网络认证设备生成目标共享密钥，该目标共享密钥或者基于该目标共享密钥衍生的共享密钥为该网络认证设备与该用户设备协商的保护数据安全传输的共享密钥。

在一种可选的方案中，该方法还可以包括：该业务认证设备将该第二共享密钥发送给该网络认证设备；该网络认证设备接收该第二共享密钥；该网络认证设备和该用户设备根据该第二共享密钥或者根据基于该第二共享密钥衍生的共享密钥进行网络认证生成该目标共享密钥。为了方便理解，以下通过图3B和3C结合不同的几个场景进行具体描述。

请参见图3B，图3B是本发明实施例提供的一种网络认证方法的流程示意图；该业务认证设备可以包括业务认证服务器和业务服务器；该用户设备与该业务认证设备预先共享了第一共享密钥，该方法包括步骤S401～S410，各个步骤的详细描述如下：

步骤S401：用户设备向网络认证服务器发送第一请求消息。

步骤S402：该网络认证服务器接收该第一请求消息，并根据该第一请求消息查找相应的业务认证服务器后，向该业务认证服务器发送第二认证请求。

具体地，该第一请求消息可以包含一些标识信息来表明该用户设备想要请求什么业务；该网络认证服务器根据该第一请求消息获知该用户设备想要请求哪种业务后，向该业务认证服务器发送第二请求消息，该第二请求消息可以包含该用户设备的身份标识(UEID)。

步骤S403：该业务认证服务器接收该第二请求消息，并根据该第二认证消息获取业务参数，该业务参数即属于上述参考信息；可选的，该业务参数存储在该业务认证服务器的存储空间中，该业务认证服务器通过读取该存储空间来获取该业务参数。可选的，该业务参数存储在该业务服务器上，该业务认证服务器可以向该业务服务器请求该业务参数。

步骤S404：该业务认证服务器将该业务参数发送给该网络认证服务器；

步骤S405：该网络认证服务器用于接收并向该用户设备转发该业务参数；

步骤S406：该业务认证服务器根据第一共享密钥、该用户设备的UEID、网络参数、业务参数等信息来生成第二共享密钥。

步骤S407：该用户设备根据第一共享密钥、该用户设备的UEID和该业务参数来生成第二共享密钥。

步骤S408：该业务认证服务器将该第二共享密钥发送给该网络认证服务器。

步骤S409：该网络认证服务器接收并向该CP-AU转发该第二共享密钥。可选的，该业务认证服务器还可能直接将该第二共享密钥发送给该CP-AU，相应地，该CP-AU接收该业务认证服务器发送的该第二共享密钥。

步骤S410：该CP-AU接收该第二共享密钥并基于该第二共享密钥与该用户设备进行网络认证生成目标共享密钥，该网络认证可以通过认证与密钥协商协议(英文:Authentication and Key Agreement，简称：AKA)等认证技术来实现。

可选的，当该网络认证设备包含多个设备时，接收第一请求消息、认证用户设备、查找业务认证服务器、给该业务认证服务器发送第二请求消息和接收第二共享密钥的动作可能由该多个设备中任一个设备完成或者相关功能设备协同完成，例如，可以由SM、MM、 SSF、CP-AU等多个网元中的一个网元单独完成，或者该多个网元中的至少两个网元协同完成。

可选的，该网络认证服务器向该用户设备发送网络参数，该用户设备相应地接收该网络参数；该网络认证服务器和该用户设备均基于该第二共享密钥和该网络参数生成新的共享密钥，该网络认证服务器还将该新的共享密钥发送给该CP-AU；该CP-AU与该用户设备基于该新的共享密钥进行网络认证生成目标共享密钥。

可选的，该用户设备每次发送该第一请求消息便执行一次生成目标共享密钥的流程，保证了安全性和随机性。

可选的，网络认证设备与业务认证设备提前协商以获得业务参数，当用户设备发送该第一请求消息时，网络认证设备才发送业务参数给该用户设备以使用户设备和该业务认证设备可以基于该业务参数生成。

可选的，该用户设备提前获取相关参数(如果业务参数提前获取或写入)，根据该业务参数对应推衍出第二共享密钥，网络认证服务器获取该第二共享密钥后，UE和网络认证服务器可以进一步基于网络参数和第二共享密钥生成该目标共享密钥。

可选的，该UE还含有与网络认证设备共享的根密钥，网络认证设备获取第二共享密钥后，UE与网络认证设备基于与网络认证设备共享的根密钥和第二共享密钥相互认证生成该目标根密钥。

在图3B所示的方法中，用户设备与业务认证设备根据获取的参考参数以及预先共享的第一共享密钥生成第二共享密钥，然后该业务认证设备将该第二共享密钥发送给该网络认证设备，使得该网络认证设备基于该第二共享密钥进行网络认证生成目标共享密钥。也即是说，生成该目标共享密钥考虑到了业务的相关信息以及网络的相关信息，提升了该目标共享密钥的安全级别。

请参见图3C，图3C是本发明实施例提供的一种网络认证方法的流程示意图，该业务认证设备可以为单纯具备认证功能的第三方，例如，具备认证、授权和计费(英文：Authentication Authorization Accounting，简称：AAA)功能的AAA服务器，下面实施例以业务认证设备为AAA服务器为例来描述，该用户设备与该业务认证设备预先共享了第一共享密钥，该方法包括步骤S501～S507，各个步骤的详细描述如下：

步骤S501：用户设备向AN发送第一请求消息，该第一请求消息可以携带该用户设备的身份标识UEID，可能还有目标业务的业务标识，AAA服务器标识(如AAA ID)等。

步骤S502：该AN接收该第一请求消息并根据该第一请求消息查找对应的AAA服务器，并向查找到的AAA服务器发送第二请求消息，该第二请求消息携带该用户设备的身份标识UEID，可能还有运营商标识、业务标识、业务参数、AAA服务器标识等信息。

步骤S503：该AAA服务器接收该第二请求消息，基于UEID和第一共享密钥来生成第二共享密钥，生成该第二共享密钥还可能考虑了其他信息，例如，该其他信息可以包括网络参数、业务参数和UEID中至少一项，该其他信息属于该参考信息。

步骤S504：AAA服务器将该第二共享密钥发送给网络认证服务器。

步骤S505：该网络认证服务器接收并向CP-AU发送该第二共享密钥；可选的，该AAA 服务器还可能直接将该第二共享密钥发送给该CP-AU，相应地，该CP-AU接收该AAA服务器发送的该第二共享密钥。

步骤S506：该用户设备基于该UEID和该第一共享密钥生成该第二共享密钥；当生成该第二共享密钥还需要其他信息时，该用户设备还可以向其他设备获取该其他信息。

步骤S507：该用户设备与CP-AU基于该第二共享密钥进行网络认证生成目标共享密钥。

可选的，该网络认证服务器在接收到该第二共享密钥后，结合该第二共享密钥和相关信息(例如，网络参数)生成新的共享密钥，并将该新的共享密钥发送给该CP-AU；该用户设备相应地从该网络认证设备获取该相关信息，并结合该第二共享密钥和该相关信息生成新的共享密钥。相应地，步骤S507就调整为通该过新的共享密钥进行网络认证。

可选的，当该网络认证设备包含多个设备时，接收第一请求消息、认证用户设备、查找AAA服务器、给AAA服务器发送第二请求消息和接收第二共享密钥的动作可能由该多个设备中任一个设备完成或者相关功能设备协同完成，例如，可以由SM、MM、SSF、CP-AU等多个网元中的一个网元单独完成，或者该多个网元中的至少两个网元协同完成。

可选的，该网络认证设备中可以预存AAA服务器标识、业务参数等信息与该AAA服务器的对应关系，因此可以基于AAA服务器标识、业务参数等信息查找对应的AAA服务器。

可选的，该UE还含有与网络认证设备共享的根密钥，网络认证设备获取第二共享密钥后，UE与网络认证设备基于与网络共享的根密钥和第二共享密钥相互认证生成该目标根密钥。

在图3C所示的方法中，用户设备与业务认证设备根据获取的参考参数以及预先共享的第一共享密钥生成第二共享密钥，然后该业务认证设备将该第二共享密钥发送给该网络认证设备，使得该网络认证设备基于该第二共享密钥进行网络认证生成目标共享密钥。也即是说，生成该目标共享密钥考虑到了业务的相关信息以及网络的相关信息，提升了该目标共享密钥的安全级别。

在又一种可选的方案中，所述结合所述参考信息和第一共享密钥生成第二共享密钥，具体为：所述业务认证设备和所述用户设备结合所述参考信息和第一共享密钥进行业务认证生成第二共享密钥。该方法还可以包括：所述业务认证设备用于将所述第二共享密钥发送给所述网络认证设备；所述网络认证设备用于接收所述第二共享密钥；所述网络认证设备和所述用户设备用于将所述第二共享密钥或者基于所述第二共享密钥衍生的共享密钥作为所述目标共享密钥。为了方便理解，以下根据图3D结合具体场景进行描述。

请参见图3D，图3D是本发明实施例提供的一种网络认证方法的流程示意图，该业务认证设备可以为单纯具备认证功能的第三方，例如，具备AAA功能的AAA服务器，下面实施例以业务认证设备为AAA服务器为例来描述，该用户设备与该业务认证设备预先共享了第一共享密钥，该方法包括步骤S601～S607，各个步骤的详细描述如下：

步骤S601：用户设备向AN发送第一请求消息，该第一请求消息可以携带该用户设备的身份标识UEID，可能还有业务标识，AAA服务器标识(如AAA ID)等。

步骤S602：该AN接收该第一请求消息并根据该第一请求消息查找对应的AAA服务器的信息，例如，IP地址信息、MAC地址信息等，然后将该AAA服务器的信息发送给该用户设备。

步骤S603：该用户设备接收该AAA服务器的信息。

步骤S604：该用户设备根据该AAA服务器的信息与该AAA服务器进行业务认证生成第二共享密钥，业务认证的过程使用到了该第一共享密钥和参考信息，该参考信息可以包括该用户设备的身份标识UEID、该网络认证设备发送给该用户设备的网络参数、业务认证设备获取的业务参数等。

步骤S605：该AAA服务器将该第二共享密钥发送给该网络认证服务器。

步骤S606：该网络认证服务器接收并向CP-AU转发该第二共享密钥。

步骤S607：该CP-AU接收该第二共享密钥并将该第二共享密钥作为目标共享密钥，该目标共享密钥或者基于该目标共享密钥衍生的共享密钥为该CP-AU与该用户设备协商的保护数据安全传输的共享密钥；也即是说，该用户设备与该CP-AU之间可以不再进行网络认证来生成保护数据安全传输的共享密钥；可选的，该SM、MM、SSF、AN等网元也可以被共享该第二共享密钥。

可选的，当该网络认证设备包含多个设备时，接收第一请求消息、认证用户设备、查找AAA服务器的信息、向用户设备发送该AAA服务器的信息和接收第二共享密钥的动作可能由该多个设备中任一个设备完成或者相关功能设备协同完成，例如，可以由SM、MM、SSF、CP-AU等多个网元中的一个网元单独完成，或者该多个网元中的至少两个网元协同完成。

可选的，该网络认证服务器接收到该第二共享密钥后，结合该用户设备的UEID、该网络参数等信息生成新的共享密钥；该用户设备相应的接收该网络认证设备发送的网络参数，然后基于该第二共享密钥、UEID、网络参数等信息生成该新的共享密钥；该网络认证服务器将该新的共享密钥发送给该CP-AU，该CP-AU和该用户设备可以将该新的共享密钥作为该目标共享密钥。可选的，该网络认证设备与该用户设备可以基于该第二共享密钥(或该新的共享密钥)进行网络认证生成该目标共享密钥。

可选的，该网络认证设备和该用户设备均有了第二共享密钥时，该网络认证设备可以将网络参数发送给该用户设备，然后基于该第二共享密钥和该网络参数生成该目标共享密钥。

在图3D所示的方法中，用户设备与业务认证设备根据获取的参考参数以及预先共享的第一共享密钥进行相互认证生成第二共享密钥，然后该业务认证设备将该第二共享密钥发送给该网络认证设备，使得该网络认证设备和该用户设备将该第二共享密钥作为该目标共享密钥。也即是说，该业务认证设备和该用户设备生成的第二共享密钥直接作为该网络认证设备的目标共享密钥，同时该第二共享密钥还可以作为该业务认证设备自身的目标共享密钥，相当于执行上述流程完成了网络认证和业务认证这两次认证，提高了认证的效率。

进一步地，该方法还可以包括：该网络认证设备和该用户设备进行网络认证生成第三共享密钥；该网络认证设备和该用户设备根据该第二共享密钥或者根据基于该第二共享密钥衍生的共享密钥进行网络认证生成该目标共享密钥，具体为：该网络认证设备和该用户设备结合该第二共享密钥进行网络认证生成第四共享密钥，根据该第三共享密钥和该第四共享密钥生成该目标共享密钥。为了方便理解，以下通过图3E和3F结合具体场景进行描述。

请参见图3E，图3E是本发明实施例提供的一种网络认证方法的流程示意图，该业务认证设备可以为单纯具备认证功能的第三方，例如，具备AAA功能的AAA服务器，下面实施例以业务认证设备为AAA服务器为例来描述，该用户设备与该业务认证设备预先共享了第一共享密钥，该方法包括步骤S701～S709，各个步骤的详细描述如下：

步骤S701：该CP-AU与该用户设备进行网络认证生成第三共享密钥。

步骤S702：用户设备向AN发送第一请求消息，该第一请求消息可以携带该用户设备的身份标识UEID，可能还有业务标识，AAA服务器信息等。

步骤S703：该AN接收该第一请求消息并根据该第一请求消息查找对应的AAA服务器，并向查找到的AAA服务器发送第二请求消息，该第二请求消息携带该用户设备的身份标识UEID，可能还有业务参数、网络参数等信息。

步骤S704：该AAA服务器接收该第二请求消息，基于第一共享密钥来生成第二共享密钥，生成该第二共享密钥还可能考虑了其他信息，例如，UEID、网络参数和业务参数中至少一项，该其他信息均属于该参考信息。

步骤S705：该AAA服务器将该第二共享密钥发送给网络认证服务器。

步骤S706：该网络认证服务器接收并向该CP-AU转发该第二共享密钥。

步骤S707：该用户设备基于该UEID和该第一共享密钥生成该第二共享密钥；当生成该第二共享密钥还需要其他信息时，该用户设备还可以向其他设备获取该其他信息。

步骤S708：该用户设备与该CP-AU基于该第二共享密钥或者基于该第二共享密钥衍生的共享密钥进行网络认证生成第四共享密钥。

步骤S709：该用户设备与该CP-AU均根据该第三共享密钥和该第四共享密钥生成目标共享密钥，该目标共享密钥或者基于该目标共享密钥衍生的共享密钥为该CP-AU与该用户设备协商的保护数据安全传输的共享密钥。

可选的，当该网络认证设备包含多个设备时，接收第一请求消息、认证用户设备、查找AAA服务器的信息、向该AAA服务器发送第二请求消息和接收第二共享密钥的动作可能由该多个设备中任一个设备完成或者相关功能设备协同完成，例如，可以由SM、MM、SSF、CP-AU等多个网元中的一个网元单独完成，或者该多个网元中的至少两个网元协同完成。

可选的，该用户设备与该CP-AU还可以不基于该第二共享密钥进行认证，而是各自根据该第二共享密钥和该第三共享密钥生成该目标共享密钥。该第三共享密钥或者基于该第三共享密钥衍生的共享密钥用来保护公共数据的安全传输，该第二共享密钥或者基于该第二共享密钥衍生的共享密钥用来保护特定业务数据的安全传输。

可选的，该用户设备与该CP-AU还可以基于该第三共享密钥和该第二共享密钥进行相互认证，或者基于该第三共享密钥和该第二共享密钥衍生的共享密钥进行相互认证。

可选的，该UE还含有与网络认证设备共享的根密钥，网络认证设备获取第二共享密钥后，UE与网络认证设备基于与网络共享的根密钥和第二共享密钥相互认证生成该目标共享密钥。

可选的，该UE还含有与网络认证设备共享的根密钥，该用户设备和该CP-AU之间的网络认证可以基于该共享根密钥完成以生成第三共享密钥。

进一步地，该方法还可以包括：该网络认证设备还用于将该目标共享密钥发送给该业务认证设备；该业务认证设备用于接收该目标共享密钥；该业务认证设备和该用户设备用于将该目标共享密钥或者基于该目标共享密钥衍生的共享密钥作为该业务认证设备与该用户设备协商的保护数据安全传输的共享密钥。

在图3E所示的方法中，该网络认证设备与该用户设备进行网络认证生成第三共享密钥，用户设备与业务认证设备根据获取的参考参数以及预先共享的第一共享密钥生成第二共享密钥，然后该业务认证设备将该第二共享密钥发送给该网络认证设备，该网络认证设备与该用户设备进行网络认证生成第四共享密钥；该用户设备和该网络认证设备均根据第一次认证生成的该第三共享密钥和第二次认证生成的第四共享密钥生成目标共享密钥，也即是说，生成该目标共享密钥考虑到了业务的相关信息以及网络的相关信息，提升了该目标共享密钥的安全级别。

请参见图3F，图3F是本发明实施例提供的一种网络认证方法的流程示意图，该业务认证设备可以包括业务认证服务器和业务服务器，例如，该业务认证服务器可以为具备AAA功能的AAA服务器，下面实施例以业务认证服务器为AAA服务器为例来描述，该用户设备与该业务认证设备预先共享了第一共享密钥，该方法包括步骤S711～S719，各个步骤的详细描述如下：

步骤S711：该CP-AU与该用户设备进行网络认证生成第三共享密钥。

步骤S712：用户设备向AN发送第一请求消息，该第一请求消息可以携带该用户设备的身份标识UEID，可能还有业务标识等。

步骤S713：该AN接收该第一请求消息并根据该第一请求消息查找对应的AAA服务器，并向查找到的AAA服务器发送第二请求消息，该第二请求消息携带该用户设备的身份标识UEID，可能还有业务参数、网络参数等信息。

步骤S714：该AAA服务器接收该第二请求消息，向业务服务器申请获取业务参数，业务服务器返回业务参数，该AAA服务器基于第一共享密钥来生成第二共享密钥，生成该第二共享密钥还可能考虑了其他信息，例如，UEID,网络参数和业务参数中至少一项，该其他信息属于该参考信息。

步骤S715：该AAA服务器将该第二共享密钥发送给网络认证服务器。

步骤S716：该网络认证服务器接收并向该CP-AU转发该第二共享密钥。

步骤S717：该用户设备基于该第一共享密钥生成该第二共享密钥；生成该第二共享密钥还可能考虑了该其他信息，当生成该第二共享密钥还需要其他信息时，该用户设备还可以向其他设备获取该其他信息。

步骤S718：该用户设备与该CP-AU基于该第二共享密钥进行网络认证生成第四共享密钥。

步骤S719：该用户设备与该CP-AU均根据该第三共享密钥和该第四共享密钥生成目标共享密钥，该目标共享密钥或者基于该目标共享密钥衍生的共享密钥为该CP-AU与该用户设备协商的保护数据安全传输的共享密钥。

可选的，该用户设备与该CP-AU还可以不基于该第二共享密钥进行认证，而是各自根据该第二共享密钥和该第三共享密钥生成该目标共享密钥。

可选的，该第三共享密钥或者基于该第三共享密钥衍生的共享密钥用来保护公共数据的安全传输，该第二共享密钥或者基于该第二共享密钥衍生的共享密钥用来保护特定业务数据的安全传输。也即是说，将该第二共享密钥或者基于该第二共享密钥衍生的共享密钥作为一种类型的目标共享密钥，将该第三共享密钥或者基于该第三共享密钥衍生的共享密钥作为另一种共享密钥。

可选的，该用户设备与该CP-AU还可以基于该第三共享密钥和该第二共享密钥进行相互认证生成目标共享密钥，或者基于该第三共享密钥和该第二共享密钥衍生的共享密钥进行相互认证生成目标共享密钥。

可选的，该UE还含有与网络认证设备共享的根密钥，该用户设备与网络认证设备基于该根密钥相互认证获取第三共享密钥。

可选的，当该网络认证设备包含多个设备时，接收第一请求消息、查找AAA服务器、给AAA服务器发送第二请求消息和与用户设备相互认证的动作可能由该多个设备中任一个设备完成或者相关功能设备协同完成，例如，可以由SM、MM、SSF、CP-AU、网络认证服务器等多个网元中的一个网元单独完成，或者该多个网元中的至少两个网元协同完成。

在图3F所示的方法中，该网络认证设备与该用户设备进行网络认证生成第三共享密钥，用户设备与业务认证设备根据获取的参考参数以及预先共享的第一共享密钥生成第二共享密钥，然后该业务认证设备将该第二共享密钥发送给该网络认证设备，该网络认证设备与该用户设备进行网络认证生成第四共享密钥；该用户设备和该网络认证设备均根据第一次认证生成的该第三共享密钥和第二次认证生成的第四共享密钥生成目标共享密钥，也即是说，生成该目标共享密钥考虑到了业务的相关信息以及网络的相关信息，提升了该目标共享密钥的安全级别。

在又一种可选的方案中，该方法还可以包括：该网络认证设备与该用户设备进行网络认证生成第三共享密钥；所述结合所述参考信息和第一共享密钥生成第二共享密钥，具体为：所述业务认证设备和所述用户设备结合所述参考信息和第一共享密钥进行业务认证生成第二共享密钥。该业务认证设备将该第二共享密钥发送给该网络认证设备；该网络认证设备接收该第二共享密钥；该网络认证设备和该用户设备均根据该第二共享密钥和该第三共享密钥生成该目标共享密钥；或者将该第二共享密钥和该第三共享密钥分别作为保护不同类型数据的该目标共享密钥，例如，该第三共享密钥或者基于该第三共享密钥衍生的共享密钥用来保护公共数据的安全传输，该第二共享密钥或者基于该第二共享密钥衍生的共享密钥用来保护特定业务数据的安全传输。为了方便理解，以下根据图3G和3H结合具体场景进行描述。

请参见图3G，图3G是本发明实施例提供的一种网络认证方法的流程示意图，该业务认证设备可以为单纯具备认证功能的第三方，例如，具备AAA功能的AAA服务器，下面实施例以业务认证设备为AAA服务器为例来描述，该用户设备与该业务认证设备预先共享了第一共享密钥，该方法包括步骤S801～S808，各个步骤的详细描述如下：

步骤S801：该CP-AU与该用户设备进行网络认证生成第三共享密钥。

步骤S802：用户设备向AN发送第一请求消息，该第一请求消息可以携带该用户设备的身份标识UEID，可能还有业务标识等。

步骤S803：该AN接收该第一请求消息并根据该第一请求消息查找对应的AAA服务器的信息，例如，IP地址信息、MAC地址信息等，然后将该AAA服务器的信息发送给该用户设备。

步骤S804：该用户设备根据该AAA服务器的信息与该AAA服务器进行业务认证生成第二共享密钥，业务认证的过程使用到了该第一共享密钥和参考信息，该参考信息可以包括该用户设备的身份标识UEID、该CP-AU发送给该用户设备的网络参数、业务参数等。

步骤S805：该AAA服务器将该第二共享密钥发送给该网络认证服务器。

步骤S806：该网络认证服务器用于接收并向该CP-AU转发该第二共享密钥。

步骤S807：该CP-AU接收该第二共享密钥。

步骤S808：该用户设备和该CP-AU均根据该第二共享密钥和该第三共享密钥生成目标共享密钥，该目标共享密钥或者基于该目标共享密钥衍生的共享密钥为该CP-AU与该用户设备协商的保护数据安全传输的共享密钥。

可选的，该用户设备和该网络认证服务器还有预先配置的共享根密钥时，该用户设备和该CP-AU之间的网络认证可以基于该共享根密钥完成以生成第三共享密钥。

可选的，该用户设备含有该AAA服务器的信息时，该AN无须再将AAA服务器信息返回给该用户设备。

可选的，当该网络认证设备包含多个设备时，接收第一请求消息、认证用户设备、查找AAA服务器的信息、向用户设备发送该AAA服务器的信息和接收第二共享密钥的动作可能由该多个设备中任一个设备完成或者相关功能设备协同完成，例如，可以由SM、MM、SSF、CP-AU等多个网元中的一个网元单独完成，或者该多个网元中的至少两个网元协同完成。可选的，该第三共享密钥或者基于该第三共享密钥衍生的共享密钥用来保护公共数据的安全传输，该第二共享密钥或者基于该第二共享密钥衍生的共享密钥用来保护特定业务数据的安全传输。也即是说，将第二共享密钥或者基于该第二共享密钥衍生的共享密钥作为一种类型的目标共享密钥，将第三共享密钥或者基于该第三共享密钥衍生的共享密钥作为另一种类型的目标共享密钥。

在图3G所示的方法中，该网络认证设备与该用户设备进行网络认证生成第三共享密钥，用户设备与业务认证设备根据获取的参考参数以及预先共享的第一共享密钥进行网络认证生成第二共享密钥，然后该业务认证设备将该第二共享密钥发送给该网络认证设备；该用户设备和该网络认证设备均根据该第三共享密钥和第二共享密钥生成目标共享密钥，也即是说，生成该目标共享密钥考虑到了业务的相关信息以及网络的相关信息，提升了该目标共享密钥的安全级别。

请参见图3H，图3H是本发明实施例提供的一种网络认证方法的流程示意图，该业务认证设备可以包括业务认证服务器和业务服务器，例如，该业务认证服务器可以为具备AAA功能的AAA服务器，下面实施例以业务认证服务器为AAA服务器为例来描述，该用户设备与该业务认证设备预先共享了第一共享密钥，该方法包括步骤S811～S818，各个步骤的详细描述如下：

步骤S811：该CP-AU与该用户设备进行网络认证生成第三共享密钥。

步骤S812：用户设备向AN发送第一请求消息，该第一请求消息可以携带该用户设备的身份标识UEID，可能还有业务标识等。

步骤S813：该AN接收该第一请求消息并根据该第一请求消息查找对应的AAA服务器的信息，例如，IP地址信息、MAC地址信息等，然后将该AAA服务器的信息发送给该用户设备。

步骤S814：该用户设备根据该AAA服务器的信息与该AAA服务器进行业务认证生成第二共享密钥，业务认证的过程使用到了该第一共享密钥和参考信息，该参考信息可以包括该用户设备的身份标识UEID、该CP-AU发送给该用户设备的网络参数、业务参数等。

步骤S815：该AAA服务器将该第二共享密钥发送给该网络认证服务器。

步骤S816：该网络认证服务器用于接收并向该CP-AU转发该第二共享密钥。

步骤S817：该CP-AU接收该第二共享密钥。

步骤S818：该用户设备和该CP-AU均根据该第二共享密钥和该第三共享密钥生成目标共享密钥，该目标共享密钥或者基于该目标共享密钥衍生的共享密钥为该CP-AU与该用户设备协商的保护数据安全传输的共享密钥。

可选的，该第三共享密钥或者基于该第三共享密钥衍生的共享密钥用来保护公共数据的安全传输，该第二共享密钥或者基于该第二共享密钥衍生的共享密钥用来保护特定业务数据的安全传输。也即是说，将第二共享密钥或者基于该第二共享密钥衍生的共享密钥作为一种类型的目标共享密钥，将第三共享密钥或者基于该第三共享密钥衍生的共享密钥作为另一种类型的目标共享密钥。

可选的，当该网络认证设备包含多个设备时，接收第一请求消息、认证用户设备、查找AAA服务器的信息、向用户设备发送该AAA服务器的信息和接收第二共享密钥的动作可能由该多个设备中任一个设备完成或者相关功能设备协同完成，例如，可以由SM、MM、SSF、CP-AU等多个网元中的一个网元单独完成，或者该多个网元中的至少两个网元协同完成。可选的，该UE还含有与网络认证设备共享的根密钥，该用户设备与网络认证设备基于该根密钥相互认证获取第三共享密钥。

在图3H所示的方法中，该网络认证设备与该用户设备进行网络认证生成第三共享密钥，用户设备与业务认证设备根据获取的参考参数以及预先共享的第一共享密钥进行网络认证生成第二共享密钥，然后该业务认证设备将该第二共享密钥发送给该网络认证设备；该用户设备和该网络认证设备均根据该第三共享密钥和第二共享密钥生成目标共享密钥，也即是说，生成该目标共享密钥考虑到了业务的相关信息以及网络的相关信息，提升了该目标共享密钥的安全级别。

在又一种可选的方案中，该方法还可以包括：该参考信息为该网络认证设备所在蜂窝网的网络参数；该结合该参考信息和第一共享密钥生成第二共享密钥，具体为：该业务认证设备与该用户设备根据该参考信息和该第一共享密钥进行业务认证生成第二共享密钥。该业务认证设备将该第二共享密钥发送给该网络认证设备；该网络认证设备接收该第二共享密钥并将该第二共享密钥作为该目标共享密钥。为了方便理解，以下根据图3I结合具体场景进行描述。

请参照图3I，图3I为本发明实施例提供的一种网络认证方法的流程示意图；该业务认证设备可以包括业务认证服务器和业务服务器，该业务服务器用于提供业务的访问，业务认证过程中如果需要使用业务参数，那么该业务参数可能存储在该业务认证服务器中，也可能存在该业务服务器中。该用户设备与该业务认证设备预先共享了第一共享密钥，该方法可以包括步骤SA901～S907，各个步骤的详细描述如下。

步骤S901：用户设备向网络认证服务器发送第一请求消息，该第一请求消息可以包含该用户设备的身份标识UEID，还可能包含与目标业务相关的信息。

步骤S902：该网络认证服务器接收该第一请求消息，并根据该第一请求消息向该业务认证服务器发送第二请求消息。

具体地，该第一请求消息可以包含一些标识信息来表明该用户设备想要请求什么业务；该网络认证设备根据该第一请求消息获知该用户设备想要请求哪种业务后，向该业务认证设备发送第二请求消息，该第二请求消息可以包含该用户设备的身份标识(UEID)，该第二请求消息还可能包含该网络认证服务器所在蜂窝网的网络参数。

步骤S903：该业务认证服务器接收该第二请求消息；该业务认证服务器还可以获取目标业务的业务参数，该业务参数可能存储在该业务认证服务器中，也可能存储在该业务服务器中，当存储在该业务服务器中时该业务认证服务器向该业务服务器发送请求该业务参数的请求消息，该业务服务器相应地返回该业务参数给该业务认证服务器。

步骤S904：该业务认证服务器与该用户设备基于该第一共享密钥进行业务认证生成第二共享密钥，该业务认证过程中还可能用到了业务参数、网络参数、UEID等信息，用到的除该第一共享密钥的信息均可属于该参考信息，用户设备用到的业务参数和网络参数可以由该网络认证服务器发送。

步骤S905：该业务认证服务器将该第二共享密钥发送给该网络认证服务器。

步骤S906：该网络认证服务器接收并转发该第二共享密钥给该CP-AU。

步骤S907：该CP-AU接收该第二共享密钥，此时该用户设备与该CP-AU均具有该第二共享密钥，因此可以将该第二共享密钥直接确定为目标共享密钥，该目标共享密钥或者基于该目标共享密钥衍生的共享密钥为该CP-AU与该用户设备协商的保护数据安全传输的共享密钥，可以省去该用户设备再与该CP-AU进行网络认证的过程。

可选的，当该网络认证设备包含多个设备时，接收第一请求消息、向业务认证服务器发送第二请求消息和接收第二共享密钥的动作可能由该多个设备中任一个设备完成或者相关功能设备协同完成，例如，可以由SM、MM、SSF、CP-AU等多个网元中的一个网元单独完成，或者该多个网元中的至少两个网元协同完成。

可选的，该业务认证服务器和该用户设备均可以根据该第一共享密钥，再结合一些其他信息(例如，网络参数，业务参数、UEID等)来生成新的共享密钥。这样一来，在步骤S904中，该业务认证服务器与该用户设备具体结合该新的共享密钥进行网络认证生成第二共享密钥。

可选的，用户设备与该业务服务器在进行业务认证的过程时，交互的信息可以由该网络认证设备转发，也可以不经过该网络认证设备转发，例如，通过有线网络直接发送。

在图3I所示的方法中，用户设备与业务认证设备根据获取的参考参数以及预先共享的第一共享密钥进行业务认证生成第二共享密钥，然后该业务认证设备将该第二共享密钥发送给该网络认证设备，使得该网络认证设备将该第二共享密钥作为目标共享密钥。也即是说，该业务认证设备和该用户设备生成的第二共享密钥直接作为该网络的目标共享密钥，同时该第二共享密钥还可以作为该业务自身的目标共享密钥，相当于执行上述流程完成了网络认证和业务认证这两次认证，提高了认证的效率。

请参照图3J，图3J为本发明实施例提供的一种网络认证方法的流程示意图；该业务认证设备可以包括业务认证服务和业务服务器，该业务服务器用于提供业务的访问，业务认证过程中如果需要使用业务参数，那么该业务参数可能存储在该业务认证服务器中，也可能存在该业务服务器中。该用户设备与该业务认证设备预先共享了第一共享密钥，该方法可以包括步骤S1001～S1007，各个步骤的详细描述如下。

步骤S1001：该用户设备向该业务服务器发送第一请求消息。

步骤S1002：该业务服务器接收该第一请求消息，并根据该第一请求消息向该CP-AU发送第二请求消息，该第二请求消息用于请求该CP-AU反馈该CP-AU所在网络的网络参数给该业务认证服务器。

步骤S1003：该CP-AU向该业务认证服务器发送该网络参数。

步骤S1004：该业务认证服务器接收该网络参数，并将该网络参数和目标业务的业务参数发送给该用户设备。

步骤S1005：该用户设备接收该网络参数和该业务参数。

步骤S1006：该业务认证服务器与该用户设备根据该第一共享密钥、该网络参数和该业务参数进行业务认证生成第二共享密钥，生成该第二共享密钥用到的信息中，除该第一共享密钥外均可以属于该参考信息。

步骤S1007：该业务认证服务器将该第二共享密钥发送给该CP-AU，该CP-AU可能还要将该第二共享密钥发送给该网络认证服务器存储备用。由于该CP-AU和该用户设备均具有该第二共享密钥，因此该将该第二共享密钥作为目标共享密钥，该目标共享密钥或者基于该目标共享密钥衍生的共享密钥为该CP-AU与该用户设备协商的保护数据安全传输的共享密钥，可以省去该用户设备再与该CP-AU进行网络认证。

可选的，接收和发送该第一请求消息、第二请求消息的设备可以为该业务服务器，也可以为该业务认证服务器，或者该业务认证设备包括的其他设备；

可选的，网络认证设备中用于接收该第二请求消息的设备可以为该CP-AU，也可以为该网络认证设备中的其他设备，如，网络认证服务器、CP-AU、MM、SM、AN等。

可选的，该用户设备用到的业务参数除了由该业务认证服务器发送外，还可以是预置在该用户设备中的。

可选的，该CP-AU和该用户设备还可以基于该第二共享密钥进一步生成新的共享密钥，然后基于该新的共享密钥、网络参数、业务参数来生成该目标共享密钥。

可选的，该CP-AU与该用户设备还可以进一步基于该第二共享密钥进行网络认证生成该目标共享密钥。

可选的，该业务认证设备不发送第二共享密钥给网络认证设备，该网络认证设备只需要知道该用户设备认证成功即可。

在图3J所示的方法中，用户设备与业务认证设备根据获取的参考参数以及预先共享的第一共享密钥进行业务认证生成第二共享密钥，然后该业务认证设备将该第二共享密钥发送给该网络认证设备，使得该网络认证设备将该第二共享密钥作为目标共享密钥。也即是说，该业务认证设备和该用户设备生成的第二共享密钥直接作为该网络认证设备的目标共享密钥，同时该第二共享密钥还可以作为该业务认证设备自身的目标共享密钥，相当于执行上述流程完成了网络认证和业务认证这两次认证，提高了认证的效率。

在又一种可选的方案中，该方法还可以包括：该业务认证设备获取该用户设备与该网络认证设备之间预先配置的第五共享密钥；该结合该参考信息和第一共享密钥生成第二共享密钥，具体为：结合该参考信息、第一共享密钥和该第五共享密钥进行业务认证生成第二共享密钥。该业务认证设备将该第二共享密钥发送给该网络认证设备；该网络认证设备接收该第二共享密钥并将该第二共享密钥作为该目标共享密钥。为了方便理解，以下根据图3K结合具体场景进行描述。

请参见图3K，图3K是本发明实施例提供的一种网络认证方法的流程示意图；该业务认证设备可以包括业务认证服务器和业务服务器。该用户设备与该业务认证设备预先共享了第一共享密钥，该用户设备与该网络认证设备预先共享了第五共享密钥；该方法可以包括步骤S1101～S1106，各个步骤的详细描述如下。

步骤S1101：该用户设备向该业务认证服务器发送第一请求消息。

步骤S1102：该业务认证服务器接收该第一请求消息，并根据该第一请求消息向该CP-AU发送第二请求消息，该第二请求消息用于请求该CP-AU向该业务认证服务器发送该第五共享密钥。

步骤S1103：该CP-AU接收该第二请求消息，并向该业务认证服务器发送该第五共享密钥(或者由该第五共享密钥衍生的密钥)。

步骤S1104：该业务认证服务器接收该第五共享密钥，还可能接收了该CP-AU发送的网络参数。

步骤S1105：该业务认证服务器与该用户设备根据该第一共享密钥和该第五共享密钥进行业务认证生成第二共享密钥，或者根据该第一共享密钥和基于该第五共享密钥衍生的密钥进行业务认证生成第二共享密钥；该第二共享密钥或者基于该第二共享密钥衍生的共享密钥为该业务认证服务器与该用户设备协商的保护数据安全传输的共享密钥。

步骤S1106：该业务认证服务器将该第二共享密钥发送给该CP-AU，该CP-AU可能还要将该第二共享密钥发送给该网络认证服务器存储备用。由于该CP-AU和该用户设备均具有该第二共享密钥，因此该网络认证设备和该用户设备将该第二共享密钥作为目标共享密钥，该目标共享密钥或者基于该目标共享密钥衍生的共享密钥为该CP-AU与该用户设备协商的保护数据安全传输的共享密钥，可以省去该用户设备再与该CP-AU进行网络认证的流程。

可选的，网络认证设备中用于接收该第二请求消息的设备可以为该CP-AU，也可以为其他设备，如，网络认证服务器、MM、SM、AN等。

在又一种可选的方案中，该方法还包括：所述业务认证设备将所述第二共享密钥发送给所述网络认证设备；所述网络认证设备接收所述第二共享密钥；所述网络认证设备和所述用户设备均根据所述第二共享密钥和第五共享密钥生成所述目标共享密钥；或者将所述第二共享密钥和所述第五共享密钥分别作为保护不同类型数据的所述目标共享密钥，所述第五共享密钥为所述用户设备与所述网络认证设备之间预先配置的共享密钥。

在图3K所示的方法中，用户设备与业务认证设备根据第一共享密钥和第五共享密钥进行业务认证生成第二共享密钥，然后该业务认证设备将该第二共享密钥发送给该网络认证设备，使得该网络认证设备将该第二共享密钥作为目标共享密钥。也即是说，该业务认证设备和该用户设备生成的第二共享密钥直接作为该网络认证设备的目标共享密钥，同时该第二共享密钥还可以作为该业务认证设备自身的目标共享密钥，相当于执行上述流程完成了网络认证和业务认证这两次认证，提高了认证的效率。

在又一种可选的方案中，该方法还可以包括：该网络认证设备根据自身所在的蜂窝网的网络参数生成网络侧信息；该网络认证设备将该网络侧信息发送给该业务认证设备；该业务认证设备接收并向该用户设备转发该网络侧信息；该结合该参考信息和第一共享密钥生成第二共享密钥，具体为：结合该网络参数和第一共享密钥进行业务认证生成第二共享密钥，该网络参数包括该网络侧信息。该业务认证设备将该第二共享密钥发送给该网络认证设备；该网络认证设备用于接收该第二共享密钥并将该第二共享密钥作为该目标共享密钥。为了方便理解，以下根据图3L结合具体场景进行描述。

请参见图3L，图3L是本发明实施例提供的一种网络认证方法的流程示意图；该业务认证设备可以包括业务认证服务器和业务服务器。该用户设备与该业务认证设备预先共享了第一共享密钥，用户设备与该网络认证设备预先共享了第五共享密钥；该方法可以包括步骤S1201～S1207，各个步骤的详细描述如下。

步骤S1201：该用户设备向该业务认证服务器发送第一请求消息。

步骤S1202：该业务认证服务器接收该第一请求消息，并根据该第一请求消息向该CP-AU发送第二请求消息，该第二请求消息包含该第一共享密钥和目标业务的业务参数。

步骤S1203：该CP-AU接收该第二请求消息，并向该业务认证服务器发送该网络参数，以及基于网络参数、业务参数、该第一共享密钥、该第五共享密钥生成的网络侧信息。

步骤S1204：该业务认证服务器接收该网络侧信息和网络参数，并向该用户设备发送该网络参数和该业务参数。

步骤S1205：该用户设备接收该网络参数和该业务参数，并基于该第一共享密钥、第五共享密钥、该网络参数和该业务参数生成该网络侧信息(如，Kcombination)，该网络侧信息属于该参考信息。

步骤S1206：该业务认证服务器与该用户设备根据该网络侧信息进行业务认证生成第二共享密钥。

步骤S1207：该业务认证服务器将该第二共享密钥发送给该CP-AU，该CP-AU可能还要将该第二共享密钥发送给该网络认证服务器存储备用。由于该CP-AU和该用户设备均具有该第二共享密钥，因此该CP-AU和该用户设备将该第二共享密钥作为目标共享密钥，该目标共享密钥或者基于该目标共享密钥衍生的共享密钥为该CP-AU与该用户设备协商的保护数据安全传输的共享密钥，可以省去该用户设备再与该CP-AU进行网络认证。

在图3L所示的方法中，用户设备与业务认证设备根据获取的网络侧信息和预先共享的第一共享密钥进行业务认证生成第二共享密钥，然后该业务认证设备将该第二共享密钥发送给该网络认证设备，使得该网络认证设备将该第二共享密钥作为目标共享密钥。也即是说，该业务认证设备和该用户设备生成的第二共享密钥直接作为该网络认证设备的目标共享密钥，同时该第二共享密钥还可以作为该业务认证设备自身的目标共享密钥，相当于执行上述流程完成了网络认证和业务认证这两次认证，提高了认证的效率。

请参见图4A，图4A是本发明实施例提供的又一种网络认证方法的流程示意图，该方法可以基于图1所示的网络认证系统来实现，该方法包括但不限于如下步骤。

步骤S1401：该业务认证设备将预存的目标业务的业务参数发送给该网络认证设备和该用户设备。

具体地，该业务认证设备中预存了该目标业务的业务参数，该目标业务及其业务参数的具体情况可以参照图3A所示的方法实施例的描述，此处不赘述。

在一种可选的方案中，该用户设备未通过除蜂窝网以外的网络与该业务认证设备连接；该业务认证设备可以在接收到该用户设备发送的并经过该网络认证设备转发的第一请求消息后再发送该业务参数，由于该第一请求消息由该用户设备经该网络认证设备转发给该业务认证设备，因此可通过相反路径将该业务参数发送给该网络认证设备，进而由该网络认证设备转发给该用户设备。可选的，该第一请求消息中携带了该用户设备的身份标识，并在发送到该网络认证设备时进过该网络认证设备添加了该网络认证设备所在蜂窝网的相关信息(如，网络标识)，因此该业务认证设备可以基于该用户设备的身份标识以及该蜂窝网的相关信息将该业务参数依次发送给该网络认证设备和该用户设备。

在又一种可选的方案中，该用户设备未通过除蜂窝网以外的网络与该业务认证设备连接，该业务认证设备可以在接收到该网络认证设备发送第二请求消息后再发送该业务参数，该业务认证设备接收到该网络认证设备发送的第二请求消息即向该网络认证设备反馈该业务参数，该网络认证设备接收到该业务参数后在将该业务参数发送给该用户设备。

在又一种可选的方案中，该用户设备通过除蜂窝网以外的网络与该业务认证设备建立了通信连接，该业务认证设备可以在接收到该网络认证设备发送的第二请求消息后再发送该业务参数，该第二请求消息中可以携带该网络认证设备的相关信息(如，网络标识)，这样一来，该业务认证设备就可以根据该相关信息向该网络认证设备发送该业务参数，并根据接收该第一请求消息的路径向该用户设备返回该业务参数。

步骤S1402：该网络认证设备和该用户设备接收该业务参数。

步骤S1403：该网络认证设备和该用户设备结合该业务参数和原始共享密钥进行网络认证生成目标共享密钥，该目标共享密钥或者基于该目标共享密钥衍生的共享密钥为该网络认证设备与该用户设备协商的保护数据安全传输的共享密钥。需要说明的是，此处的原始目标共享密钥相当于上面描述的第五共享密钥，即该原始共享密钥为该网络认证设备与该用户设备预先共享的共享密钥。

在一种可选的方案中，该方法还包括：该网络认证设备和该用户设备结合该业务参数和原始共享密钥进行网络认证生成目标共享密钥，具体为：网络认证设备和该用户设备结合该业务参数和原始共享密钥生成认证共享密钥。该网络认证设备和该用户设备根据该认证共享密钥进行网络认证生成目标共享密钥。

在图4A所示的方法中，该业务认证设备将业务参数发送给该网络认证设备，该网络认证设备根据自身预先与该用户设备共享的原始共享密钥和该业务参数生成目标共享密钥。也即是说，生成该目标共享密钥涉及到了业务相关的信息、与该用户设备相关的信息以及与网络相关的信息，提升了该目标共享密钥的安全级别。

请参见图5A，图5A是本发明实施例提供的又一种网络认证方法的流程示意图，该方法可以基于图1所示的网络认证系统来实现，该方法包括但不限于如下步骤。

步骤S1701：该业务认证设备获取该用户设备的身份标识。

步骤S1702：该业务认证设备结合自身的业务公钥、业务私钥和该身份标识生成身份密钥，并将该身份密钥、该业务公钥发送给该网络认证设备。

步骤S1703：该网络认证设备接收该身份密钥，并结合该身份密钥、该业务公钥和网络参数生成认证根密钥，该网络参数为与该网络认证设备所处蜂窝网相关的参数，以上有对该网络参数的描述，此处不赘述。结合该身份密钥、该业务公钥和网络参数生成认证根密钥，具体指：生成该认证根密钥需要用到的信息包括但不限于该身份密钥、该业务公钥和网络参数。

步骤S1704：该网络认证设备将该认证跟密钥写入该用户设备；例如，该网络认证设备可以将该认证根密钥写入到全球用户识别卡(英文：Universal Subscriber Identity Module，简称：USIM)，而该USIM卡是用来配置到用户设备的，因此可以看做该网络认证设备将该认证根密钥写入到该用户设备。另外，该网络认证设备将该认证根密钥写入到该用户设备包括该网络认证设备直接写入该用户设备，也包括该网络认证设备通过其他设备写入该用户设备，还包括其他设备通过调用该网络认证设备中的认证根密钥并写入该用户设备。

步骤S1705：该网络认证设备与该用户设备用于通过该认证根密钥进行网络认证生成目标共享密钥，该目标共享密钥或者基于该目标共享密钥衍生的共享密钥为该网络认证设备与该用户设备协商的保护数据安全传输的共享密钥。为了便于理解，以下根据图5B结合具体场景进行描述。

请参见图5B，图5B是本发明实施例提供的又一种网络认证方法的流程示意图；该业务认证设备可以包括业务认证服务器和业务服务器。该用户设备与该网络认证设备预先共享了第一共享密钥；该方法可以包括步骤S1801～S1806，各个步骤的详细描述如下。

步骤S1801：用户设备向业务认证服务器发送第一请求消息，该第一请求消息包含该用户设备的身份标识，上面实施例有对该用户设备的身份标识的描述，此处不再赘述。业务公钥可理解为基于IBS的全局公钥；业务私钥可理解为基于IBS的全局私钥。

步骤S1802：该业务认证服务器接收该第一请求消息，并根据自身的业务私钥(英文：Secret Key，简称：SK)、业务公钥(英文：public key，简称：PK)和该用户设备的身份标识生成身份密钥。

步骤S1803：该业务认证服务器将身份密钥、该业务公钥和该用户设备的身份标识发送给该CP-AU。

步骤S1804：该CP-AU接收该身份密钥、该业务公钥和该用户设备的身份标识，并结合该身份密钥、该业务公钥和该用户设备的身份标识生成认证根密钥。

步骤S1805：该CP-AU将该认证根密钥写入到该用户设备中。可选的，可以将身份密钥和业务公钥写入该用户设备，如果是写入的是身份密钥和业务公钥，则后续跟用户设备与网络认证设备可以基于IBS根据该身份密钥和业务公钥相互认证。

步骤S1806：该CP-AU和该用户设备基于该认证根密钥进行网络认证生成目标共享密钥。

可选的，该CP-AU将生成的目标共享密钥发送给该业务认证服务器，以便该业务认证服务器和该用户设备将该目标共享密钥，或者基于该目标共享密钥衍生的共享密钥作为该业务认证服务器与该用户设备协商的保护数据安全传输的共享密钥。

可选的，CP-AU可以向网络认证服务器获取认证向量来与该用户设备进行网络认证。

在图5B所示的方法中，该业务认证设备将业务公钥、身份密钥发送给该网络认证设备，该网络认证设备根据自身所在网络的信息、该身份密钥和该业务公钥生成认证根密钥，该网络认证设备与该用户设备进一步基于该认证根密钥进行网络认证生成目标共享密钥。也即是说，生成该目标共享密钥涉及到了与业务相关的信息、与该用户设备相关的信息以及与网络相关的信息，提升了该目标共享密钥的安全级别。

请参见图6A，图6A是本发明实施例提供的又一种网络认证方法的流程示意图，该方法可以基于图1所示的网络认证系统来实现，该方法包括但不限于如下步骤。

步骤S1901：该业务认证设备与该用户设备进行业务认证生成参考共享密钥。可选的，该用户设备通过蜂窝网以外的网络与该业务认证设备建立了通信连接，该用户设备与该业务认证设备可以基于证书、用户名密码、基于身份密码机制以及预置共享密钥来进行业务认证。该认证共享密钥可以具体基于该用户设备的身份标识UEID、该业务认证设备管理的目标业务的业务参数等信息来生成。以UEID为例，该用户设备可以向该业务认证设备发送请求消息来，该请求消息中携带了该UEID。

步骤S1902：该业务认证设备将该参考共享密钥发送给该网络认证设备；该业务认证设备发送的信息还可以包括该用户设备的相关信息，例如，UEID、IP地址、MAC地址等，这样一来该业务认证设备就可以知道后续需要与哪个用户设备基于该参考共享密钥生成目标共享密钥。

步骤S1903：该网络认证设备接收该参考共享密钥。

步骤S1904：该网络认证设备和该用户设备结合该参考共享密钥生成目标共享密钥，该目标共享密钥或者基于该目标共享密钥衍生的共享密钥为该网络认证设备与该用户设备协商的保护数据安全传输的共享密钥。该用户设备与该网络认证设备生成目标共享密钥需要参考的信息至少包括该参考共享密钥。

在一种可选的方案中，该方法还可以包括：该网络认证设备将该网络认证设备所在蜂窝网的网络参数发送给该用户设备；该网络认证设备和该用户设备结合该参考共享密钥生成目标共享密钥，具体为：该网络认证设备和该用户设备均根据该网络参数和该参考共享密钥生成认证共享密钥；该网络认证设备和该用户设备根据该认证共享密钥进行网络认证生成目标共享密钥。为了方便理解，以下根据图6B结合具体场景进行描述。

请参见图6B，图6B是本发明实施例提供的又一种网络认证方法的流程示意图；该业务认证设备可以包括业务认证服务器和业务服务器。该方法可以包括步骤S2001～S2009，各个步骤的详细描述如下。

步骤S2001：该用户设备与该业务认证服务器进行业务认证生成参考共享密钥，或者该业务认证设备和该用户设备直接预先配置参考共享密钥，该参考共享密钥即为该用户设备与该业务认证设备之间的预先共享的根密钥。

步骤S2002：该业务认证服务器将该参考共享密钥发送给该网络认证服务器。

步骤S2003：该网络认证服务器接收该参考共享密钥并向该业务认证服务器发送网络参数。

步骤S2004：该业务认证服务器接收该网络参数并将该网络参数转发给该用户设备；可选的，该网络认证服务器还可以直接将该网络参数发送给该用户设备。

步骤S2005：该网络认证服务器根据该参考共享密钥和该网络参数生成认证共享密钥。

步骤S2006：该网络认证服务器将该认证共享密钥发送给该CP-AU。

步骤S2007：该CP-AU接收该认证共享密钥。

步骤S2008：该用户设备根据该参考共享密钥和该网络参数生成该认证共享密钥。

步骤S2009：该CP-AU和该用户设备用于根据该认证共享密钥进行网络认证生成目标共享密钥。

可选的，该网络认证设备和该用户设备之间还可以预先共享第五共享密钥，这样一来，该网络认证设备和该用户设备就可以基于该第五共享密钥和该参考共享密钥相互认证生成该目标根密钥。

在又一种可选的方案中，该方法还可以包括：该网络认证设备将该目标共享密钥发送给该业务认证设备；该业务认证设备接收该目标共享密钥；该业务认证设备和该用户设备将该目标共享密钥，或者基于该目标共享密钥衍生的共享密钥作为该业务认证设备与用户设备协商的保护数据安全传输的共享密钥。也即是说，该网络认证设备与该用户设备进行网络认证之后，该网络认证设备将该网络认证的结果发送给该业务认证设备，该业务认证设备可以直接使用该网络认证的结果，而不需要再与该用户设备进行业务认证来生成加密传输数据的共享密钥。

在图6B所示的方法中，该业务认证设备与该用户设备进行业务认证生成参考共享密钥，然后该网络认证设备将该参考共享密钥发送给该网络认证设备以及向该用户设备转发来自该网络认证设备的网络参数；该网络认证设备和该用户设备均根据该参考共享密钥和该网络参数生成认证共享密钥，并基于该认证共享密钥进行网络认证生成目标共享密钥。也即是说，生成该目标共享密钥涉及到了与业务相关的信息、与该用户设备相关的信息以及与网络相关的信息，提升了该目标共享密钥的安全级别。

请参见图6C，图6C是本发明实施例提供的又一种网络认证方法的流程示意图，该方法可以基于图1所示的网络认证系统来实现，该方法包括但不限于如下步骤。

步骤S2101：网络认证设备生成经过初始共享密钥加密的访问令牌，所述初始共享密钥为所述网络认证设备与业务认证设备预先共享的密钥；

步骤S2102：所述网络认证设备将所述访问令牌发送给所述用户设备；

步骤S2103：所述用户设备接收所述访问令牌并将所述访问令牌发送给所述业务认证设备；

步骤S2104：所述业务认证设备接收所述访问令牌并通过所述初始共享密钥验证所述访问令牌的正确性；

步骤S2105：所述业务认证设备在验证出所述访问令牌正确时向所述用户设备发送验证成功消息，以通知与所述用户设备之间成功完成业务认证。

在一种可选的方案中，所述访问令牌中包含目标共享密钥，所述用户设备和所述业务认证设备用于在所述用户设备与所述业务认证设备之间成功完成业务认证时，将所述访问令牌中的所述目标共享密钥或者基于所述目标共享密钥衍生的共享密钥，作为所述业务认证设备与所述用户设备协商的保护数据安全传输的共享密钥。可选的，该目标共享密钥为该网络认证设备与该用户设备进行网络认证得到的共享密钥。

在又一种可选的方案中，所述访问令牌包括网络参数、业务参数、所述用户设备的身份标识和新鲜参数nonce中的至少一项。可选的，所述业务参数包括所述目标业务的业务序列号、密钥管理中心的标识、会话标识、链路标识、应用标识、业务标识、业务等级、业务数据速率、时延和业务服务器标识中的至少一项；所述网络参数包括运营商标识，接入网络标识，服务网络标识，网络类型标识，局域网网络标识，切片标识，承载标识，服务质量标识和流标识中的至少一项。

进一步地，该访问令牌还可以包括通过初始共享密钥生成的针对网络参数、业务参数、所述用户设备的身份标识和新鲜参数nonce中的至少一项的消息认证码。当包含该消息认证码时，在步骤S2104中还需要基于该初始共享密钥验证该消息认证码的正确性，步骤S2105中所述业务认证设备在验证出所述访问令牌正确时向所述用户设备发送验证成功消息，具体为：所述业务认证设备在验证出所述访问令牌正确以及验证出所述消息认证码正确时时向所述用户设备发送验证成功消息。

为了方便理解，以下分别结合图6D和图6E的具体场景进行描述。

请参见图6D，图6D是本发明实施例提供的又一种网络认证方法的流程示意图；该业务认证设备可以包括业务认证服务器和业务服务器。该方法可以包括步骤S2201～S2207，各个步骤的详细描述如下。

步骤S2201：用户设备UE与网络认证设备进行网络认证，网络认证生成的共享密钥为网络共享密钥K1；该UE可以在网络认证之前或者之后或者网络认证的过程中向该网络认证设备发送业务认证设备的相关信息，以表明该UE需要与该业务认证设备认证。

步骤S2202：网络认证设备根据该业务认证设备的相关信息确定该网络认证设备预先与该业务认证设备共享的初始共享密钥K0；基于网络参数、业务参数、所述用户设备的身份标识和新鲜参数nonce中的至少一项来生成访问令牌token。可选的，token＝Enc_K0_(K2，基础信息，MAC)，也即是说，该访问令牌token为采用初始共享密钥K0对K2、基础信息和MAC进行的加密；其中，K2为该网络认证设备确定的，可能用作用户设备与业务认证设备之间保护数据传输的共享密钥，基础信息包括网络参数、业务参数、所述用户设备的身份标识和新鲜参数nonce中的至少一项，MAC＝MAC_K0_(新鲜参数和/或基础信息)，即MAC为该基础信息的消息认证码，或者该新鲜参数的消息认证码(此处的新鲜参数可以与该基础信息中的新鲜参数相同也可以不同)，或者该基础信息和该新鲜参数的消息认证码；该消息认证码MAC的生成采用初始共享密钥K0。

需要说明的是，若上述推衍公式中用到新鲜参数nonce，则网络认证设备还需要将用到的新鲜参数发送至UE，并由UE发送至业务认证设备，后续该业务认证设备可以通过该新鲜参数验证token的新鲜性。

进一步地，共享密钥K2可以为配置的随机的参数，也可以为网络共享密钥K1，还可以为基于网络共享密钥K1推衍出来的共享密钥，例如，K2＝KDF(K1，基础信息)，即通过预设的算法对该网络共享密钥K1和基础信息进行计算来得到该共享密钥K2。

进一步地，业务认证设备的相关信息为能够在一定范围内区分该业务认证设备与其他设备的信息，例如，可以为该业务认证设备的IP地址，或者业务ID。步骤S2203：该网络认证设备向UE发送K2和token，还可能发送网络认证设备的相关信息，该网络认证设备的相关信息可以包括网络参数。

步骤S2204：UE接收K2和token并向业务认证设备发送该token和该网络认证设备的相关信息。UE可以自己生成该网络认证设备的相关信息，也可以在与该网络认证设备进行网络认证之时，或者之前，或者之后接收该网络认证设备发送的该网络认证设备的相关信息，优选的，UE在步骤S2203中接收该网络认证设备发送的网络认证设备的相关信息。

步骤S2205：业务认证设备接收该token和该网络认证设备的相关信息，根据该网络认证设备的相关信息来确定预先与该网络认证设备共享的初始共享密钥K0，并使用K0解密token得到该共享密钥K2、该基础信息和消息认证码MAC；然后根据K0验证MAC的正确性，验证MAC成功后则表明该业务认证设备验证token成功。因此，该业务认证设备将该K2作为与该UE之间用于保护数据传输的共享密钥。

步骤S2206：该业务认证设备向该UE发送消息以通知验证token成功，相应地，该UE接收消息。

步骤S2207：该业务认证设备和该UE将该共享密钥K2作为该UE与该业务认证设备之间用户保护数据安全传输的共享密钥。

可选的，UE与业务认证设备根据K2进一步推衍出共享密钥K3，例如，K3＝KDF(K2，基础信息)，即通过预设算法对该K2和基础信息进行计算得到K3，K3用于该UE与该业务认证设备之间保护数据的安全传输。

可选的，当该共享密钥K2为网络共享密钥K1时，该UE和该业务认证设备均可以基于该K1衍生出的共享密钥K3。

可选的，加密token的共享密钥为K1而不是K0，业务认证设备接收到token后根据网络认证设备的相关信息向该网络认证设备转发该token和该UE的相关信息；该网络认证设备根据该UE的相关信息确定与该UE认证生成的共享密钥K1，再根据K1来解密token，并验证该token中MAC的正确性，验证成功即表明该UE与该业务认证设备认证成功，因此将K2发送给该业务认证设备，以便该UE和该业务认证设备将该K2作为保护数据安全传输的共享密钥。可选的，该UE的相关信息可以由该UE发送给业务认证设备，再由该业务认证设备发送给该网络认证设备，该UE的相关信息可以为该UE的身份标识。

请参见图6E，图6E是本发明实施例提供的又一种网络认证方法的流程示意图；该业务认证设备可以包括业务认证服务器和业务服务器。该方法可以包括步骤S2301～S2305，各个步骤的详细描述如下。

步骤S2301：用户设备UE与网络认证设备进行网络认证，网络认证生成的共享密钥为网络共享密钥K1；该UE可以在网络认证之前或者之后或者网络认证的过程中向该网络认证设备发送业务认证设备的相关信息，以表明该UE需要与该业务认证设备认证。

步骤S2302：网络认证设备根据该业务认证设备的相关信息确定该网络认证设备预先与该业务认证设备共享的初始共享密钥K0；基于网络参数、业务参数、所述用户设备的身份标识和新鲜参数nonce中的至少一项来生成访问令牌token，并通过该初始共享密钥K0加密该访问令牌token。可选的，token可以为消息认证码，消息认证码MAC＝MAC_K_(新鲜参数和/或基础信息)，即MAC为该基础信息的消息认证码，或者该新鲜参数的消息认证码(此处的新鲜参数可以与该基础信息中的新鲜参数相同也可以不同)，或者该基础信息和该新鲜参数的消息认证码；该基础信息包括网络参数、业务参数、所述用户设备的身份标识和新鲜参数nonce中的至少一项；该消息认证码MAC还经过了该初始共享密钥K0加密。

步骤S2303：该网络认证设备向UE发送token，还可能发送该网络认证设备的相关信息，所述网络认证设备的相关信息可以包括该网络参数。

步骤S2304：UE接收token并向业务认证设备发送该token和该网络认证设备的相关信息。

步骤S2305：业务认证设备接收该token和该网络认证设备的相关信息，根据该网络认证设备的相关信息来确定预先与该网络认证设备共享的初始共享密钥K0，然后根据K0验证MAC的正确性，验证MAC成功后则表明该业务认证设备验证token成功。至此，该UE与该业务认证设备之间成功完成了认证。

可选的，生成token的共享密钥为K1而不是K0，业务认证设备接收到token后根据网络认证设备的相关信息向该网络认证设备转发该token和该UE的相关信息；该网络认证设备根据该UE的相关信息确定与该UE认证生成的共享密钥K1，然后验证该token中MAC的正确性，验证成功即表明该UE与该业务认证设备认证成功，因此想该UE和该业务认证设备发送通知消息以通知该UE与该业务认证设备之间认证成功。

请参见图6F，图6F是本发明实施例提供的又一种网络认证方法的流程示意图；该业务认证设备可以包括业务认证服务器和业务服务器。该方法可以包括步骤S2401～S2408，各个步骤的详细描述如下。

步骤S2401：用户设备UE与网络认证设备进行网络认证。

步骤S2402：网络认证设备在网络认证通过后生成认证令牌token和该token的过期信息，该过期信息用于表征该token什么时候过期；还可以生成范围信息，该范围信息用于表征该token可以被哪些业务认证设备使用；或者该范围信息用于表征该token可以被哪些用户设备使用。

步骤S2403：网络认证设备向该UE发送该token；还可以发送该网络认证设备相关的信息，该网络认证设备相关的信息用于表明该token来自于该网络认证设备。

步骤S2404：该用户设备向该业务认证设备发送该token和该网络认证设备的相关信息；

步骤S2405：该业务认证设备接收该token和该网络认证设备的相关信息，并根据该网络认证设备的相关信息向该网络认证设备发送该token；发送的消息可能还包括UE ID和业务认证设备的相关信息中的至少一项。

步骤S2406：该网络认证设备接收该token，判断该token是否为自身生成的token，如果该token为自身生成的token则进一步他根据该过期信息判断该token是否过期，若没过期则表明验证token成功。可选的，当该网络认证设备生成了范围信息时，该网络认证设备还需要根据该范围信息判断发送该token的业务认证设备是否为该范围信息中允许的业务认证设备，若为允许的业务认证设备且该token未过期则表明验证token成功。可选的，该范围信息用于表征该token可以被哪个用户设备使用时，该网络认证设备还需要根据该范围信息判断该用户设备是否为该范围信息中允许的用户设备，若该用户设备为允许的用户设备且该业务认证设备为允许的业务认证设备，并且该token未过期则表明验证token成功。

可选的，步骤S2405中不包含业务认证设备的相关信息，该网络认证设备也可以根据接收的token的来源确定业务认证设备的相关信息。

可选的，判断该用户设备是否为该范围信息中允许的用户设备时用到的该用户设备的相关信息，可以为该用户设备将该用户设备自身的相关信息发送至业务认证设备，再由业务认证设备在步骤S2405中一同发送至该网络认证设备。

步骤S2407：若验证token成功，则该网络认证设备向该业务认证设备发送消息通知token验证成功；

步骤S2408：该业务认证设备向该UE发送消息通知token验证成功。业务认证设备和UE双方都获知了token验证成功，即表明该业务认证设备与该UE之间认证成功。

请参见图6G，图6G是本发明实施例提供的又一种网络认证方法的流程示意图；该业务认证设备可以包括业务认证服务器和业务服务器。该方法可以包括步骤S2501～S2508，各个步骤的详细描述如下。

步骤S2501：用户设备UE与网络认证设备进行网络认证，网络认证生成的共享密钥为网络共享密钥K1。

步骤S2502：UE基于网络参数、业务参数、所述用户设备的身份标识和新鲜参数nonce中的至少一项来生成访问令牌token，并通过该网络共享密钥K1加密该访问令牌token。可选的，token＝Enc_K1_(K2，基础信息，MAC)，也即是说，该访问令牌token为采用K1对K2、基础信息和MAC加密生成；其中，K2为该UE确定的后续可能用作用户设备与业务认证设备之间保护数据传输的共享密钥，基础信息包括网络参数、业务参数、所述用户设备的身份标识和新鲜参数nonce中的至少一项，可选的，该用户设备可以预先向该网络认证设备和该业务认证设备获取需要用到的信息；MAC＝MAC_K1_(新鲜参数和/或基础信息)，即MAC为该基础信息的消息认证码，或者该新鲜参数的消息认证码(此处的新鲜参数可以与该基础信息中的新鲜参数相同也可以不同)，或者该基础信息和该新鲜参数的消息认证码；该消息认证码MAC由该网络共享密钥K1生成。

需要说明的是，若上述推衍公式中用到新鲜参数nonce，则UE还需要将用到的新鲜参数发送至业务认证设备，由该业务认证设备将该新鲜参数转发给该网络认证设备，后续该网络认证设备可以通过该新鲜参数验证token的新鲜性。

步骤S2503：UE向业务认证设备发送该token。

步骤S2504：业务认证设备接收该UE发送的该token并将该token转发该网络认证设备，该业务认证设备还可能向该网络认证设备发送该UE的相关信息(包括但不限于UE ID)，该相关信息可能由该UE发送至该业务认证设备的，该相关信息可以在一定范围内区分该UE与其他设备。

步骤S2505：该网络认证设备接收该token和该UE的相关信息；根据该UE的相关信息并找到与该UE网络认证生成的网络共享密钥K1，并使用K1解密token得到该共享密钥K2、该基础信息和消息认证码MAC；然后根据K1验证MAC的正确性，若验证MAC正确则表明验证token成功。

步骤S2506：若验证token成功，则该网络认证设备向该业务认证设备发送消息通知token验证成功，该通知消息中还包括从token中获得的共享密钥K2；

步骤S2507：该业务认证设备向该UE发送消息通知token验证成功。业务认证设备和UE双方都获知了token验证成功，即表明该业务认证设备与该UE之间认证成功。

步骤S2508：该UE和该业务认证设备将该K2作为该UE与该业务认证设备之间用于保护数据安全传输的共享密钥。

请参见图6H，图6H是本发明实施例提供的又一种网络认证方法的流程示意图；该业务认证设备可以包括业务认证服务器和业务服务器。该方法可以包括步骤S2601～S2607，各个步骤的详细描述如下。

步骤S2601：用户设备UE与网络认证设备进行网络认证，网络认证生成的共享密钥为网络共享密钥K1。

步骤S2602：UE基于网络参数、业务参数、所述用户设备的身份标识和新鲜参数nonce中的至少一项来生成访问令牌token，可选的，该token为消息认证码MAC，MAC＝MAC_K1_(新鲜参数和/或基础信息)，即MAC为该基础信息的消息认证码，或者该新鲜参数的消息认证码(此处的新鲜参数可以与该基础信息中的新鲜参数相同也可以不同)，或者该基础信息和该新鲜参数的消息认证码；该消息认证码MAC由该网络共享密钥K1生成。

需要说明的是，若上述推衍公式中用到新鲜参数nonce，则UE还需要将用到的新鲜参数发送至业务认证设备，由该业务认证设备将该新鲜参数发送给该网络认证设备，后续该网络认证设备可以通过该新鲜参数验证token的新鲜性。

步骤S2603：UE向业务认证设备发送该token。

步骤S2604：业务认证设备接收该UE发送的该token并将该token转发该网络认证设备，该业务认证设备还可能向该网络认证设备发送该UE的相关信息，该相关信息可能由该UE发送该业务认证设备的，该相关信息可以在一定范围内区分该UE与其他设备，例如，该用户设备的相关信息可以为该用户设备的身份标识(UEID)。

步骤S2605：该网络认证设备接收该token和该UE的相关信息；根据该UE的相关信息并找到与该UE网络认证生成的网络共享密钥K1，并根据K1验证MAC的正确性，若验证MAC正确则表明验证token成功。

步骤S2606：若验证token成功，则该网络认证设备向该业务认证设备发送消息通知token验证成功；

步骤S2607：该业务认证设备向该UE发送消息通知token验证成功。业务认证设备和UE双方都获知了token验证成功，即表明该业务认证设备与该UE之间认证成功。

需要说明的是，还可以基于上述方案显而易见地推导出以下方案，即UE首先与业务认证设备建立双向认证，由UE或者业务认证设备生成token；之后UE发送token至网络认证设备，网络认证设备可以自己验证token的正确性，也可能将token发送至业务认证设备，由业务认证设备验证token的正确性，并将验证结果发送至网络认证设备。相当于将6C-6H中涉及到的业务认证设备与网络认证设备进行了调换。另外，token包含但不限于如下两种情况：情况一token＝Enc_K0_(K2,基础信息，MAC_K0_(基础信息和/或nonce))，情况二：token＝MAC_K0_(基础信息和/或nonce)。这两种情况的理解可以参照以上描述，此处不再赘述。

为了便于理解，以下以token由业务认证设备生成为例来进行描述，token由UE生成的情况可以参照图6D～6I的描述。

请参见图6I，图6I是本发明实施例提供的又一种网络认证方法的流程示意图；该业务认证设备可以包括业务认证服务器和业务服务器。该方法可以包括步骤S2708～S2707，各个步骤的详细描述如下。

步骤S2701：用户设备UE与业务认证设备进行业务认证，生成的共享密钥为业务共享密钥K1；该UE可以在业务认证之前或者之后或者业务认证的过程中向该业务认证设备发送网络认证设备的相关信息，以表明该UE需要与该网络认证设备认证。

步骤S2702：业务认证设备根据该网络认证设备的相关信息确定该网络认证设备预先与该业务认证设备共享的初始共享密钥K0；基于网络参数、业务参数、所述用户设备的身份标识和新鲜参数nonce中的至少一项来生成访问令牌token。可选的，token＝Enc_K0_(K2，基础信息，MAC)，也即是说，该访问令牌token为采用初始共享密钥K0对K2、基础信息和MAC进行的加密；其中，K2为该业务认证设备确定的，可能用作用户设备与网络认证设备之间保护数据传输的共享密钥，基础信息包括网络参数、业务参数、所述用户设备的身份标识和新鲜参数nonce中的至少一项，MAC＝MAC_K0_(新鲜参数和/或基础信息)，即MAC为该基础信息的消息认证码，或者该新鲜参数的消息认证码(此处的新鲜参数可以与该基础信息中的新鲜参数相同也可以不同)，或者该基础信息和该新鲜参数的消息认证码；该消息认证码MAC的生成采用初始共享密钥K0。

需要说明的是，若上述推衍公式中用到新鲜参数nonce，则业务认证设备还需要将用到的新鲜参数发送至UE，并由UE发送至网络认证设备，后续该网络认证设备可以通过该新鲜参数验证token的新鲜性。

进一步地，共享密钥K2可以为配置的随机的参数，也可以为业务共享密钥K1，还可以为基于业务共享密钥K1推衍出来的共享密钥，例如，K2＝KDF(K1，基础信息)，即通过预设的算法对该业务共享密钥K1和基础信息进行计算来得到该共享密钥K2。

进一步地，网络认证设备的相关信息为能够在一定范围内区分该网络认证设备与其他设备的信息，例如，可以为该网络认证设备的IP地址。

步骤S2703：该业务认证设备向UE发送K2和token，还可能发送业务认证设备的相关信息，所述业务认证设备的相关信息可以包括业务参数。

步骤S2704：UE接收K2和token并向网络认证设备发送该token和该业务认证设备的相关信息。UE可以自己生成该业务认证设备的相关信息，也可以在与该业务认证设备进行业务认证之时，或者之前，或者之后接收该业务认证设备发送的该业务认证设备的相关信息，优选的，在E在步骤S2703中接收该业务认证设备发送的业务认证设备的相关信息。

步骤S2705：网络认证设备接收该token和该业务认证设备的相关信息，根据该业务认证设备的相关信息来确定预先与该业务认证设备共享的初始共享密钥K0，并使用K0解密token得到该共享密钥K2、该基础信息和消息认证码MAC；然后根据K0验证MAC的正确性，验证MAC成功后则表明该网络认证设备验证token成功。因此，该网络认证设备将该K2作为与该UE之间用于保护数据传输的共享密钥。

步骤S2706：该网络认证设备向该UE发送消息以通知验证token成功，相应地，该UE接收消息。

步骤S2707：该网络认证设备和该UE将该共享密钥K2作为该UE与该网络认证设备之间用户保护数据安全传输的共享密钥。

可选的，UE与网络认证设备根据K2进一步推衍出共享密钥K3，例如，K3＝KDF(K2，基础信息)，即通过预设算法对该K2和基础信息进行计算得到K3，K3用于该UE与该网络认证设备之间保护数据的安全传输。

可选的，加密token的共享密钥为K1而不是K0，网络认证设备接收到token后根据业务认证设备的相关信息向该业务认证设备转发该token和该UE的相关信息；该业务认证设备根据该UE的相关信息确定与该UE认证生成的共享密钥K1，再根据K1来解密token，并验证该token中MAC的正确性，验证成功即表明该UE与该网络认证设备认证成功，因此将K2发送给该网络认证设备，以便该UE和该网络认证设备将该K2作为保护数据安全传输的共享密钥。可选的，该UE的相关信息可以由该UE发送给业务认证设备，该UE的相关信息可以为该UE的身份标识。

需要说明的是，还可以对图6C～6I所示实施例进行相应拓展，拓展的思路如下：

K1为UE与网络认证设备之间的共享密钥，包括但不限于Kasme，加密密钥(英文： cihper key，简称：CK)和完整性保护密钥(英文：integrity key，简称：IK)中的的至少一项。

另外，也可能采用非对称密码的形式计算token，例如token＝Enc_PK_业务_(K2,(nonce1,基本信息),signature＝MAC_SK_网络_(nonce2,基本信息))。PK_业务表示该业务认证设备提供的业务的公钥参数，SK_网络表示该网络认证设备所在的运营商网络的私钥参数。此时业务认证设备可以根据自己的私钥SK_业务解密打开token；并且利用网络认证设备所在运营商网络的公钥PK_网络，验证token中签名的正确性。此时token的验证更加灵活，不需要与网络认证设备进行网络认证交互即可完成验证。另外，此处加密和签名的算法可以为基于公钥基础设施(英文：Public key infrastructure，简称：PKI)等非对称密码技术，也可以为基于身份的密码技术。

需要说明的是，以上各个实施例中列出的步骤的先后顺序此处不做限制，有些步骤先执行还是后执行对实施例的实施不会产生实质的影响，因此在以上列出的步骤的先后顺序的基础上，对步骤执行的先后顺序进行调整所形成的方案依然落入本发明的保护范围。

上述详细阐述了本发明实施例的方法，为了便于更好地实施本发明实施例的上述方案，相应地，下面提供了本发明实施例的装置。

请参见图7，图7是本发明实施例提供的一种业务认证设备70的结构示意图，该业务认证设备70可以包括第一获取单元701和发送单元702，其中，各个单元的详细描述如下。

第一获取单元701用于获取参考信息并结合所述参考信息和第一共享密钥生成第二共享密钥，所述第一共享密钥为用户设备与所述业务认证设备之间预先配置的共享密钥，所述用户设备用于获取所述参考信息并结合所述参考信息和所述第一共享密钥生成所述第二共享密钥，所述参考信息包括所述用户设备、网络认证设备和所述业务认证设备中至少一项预先关联的信息；

发送单元702用于将所述第二共享密钥发送给所述网络认证设备，所述第二共享密钥用于所述用户设备和所述网络认证设备生成目标共享密钥，所述目标共享密钥或者基于所述目标共享密钥衍生的共享密钥为所述网络认证设备与所述用户设备协商的保护数据安全传输的共享密钥。

在一种可选的方案中，所述第一获取单元701结合所述参考信息和第一共享密钥生成第二共享密钥，具体为：

在又一种可选的方案中，还包括：

所述第一获取单元701结合所述参考信息和第一共享密钥生成第二共享密钥，具体为：

在又一种可选的方案中，还包括：

在又一种可选的方案中，所述参考信息包括所述网络认证设备所在蜂窝网的网络参数和目标业务的业务参数中至少一项。

在又一种可选的方案中，所述业务参数包括所述目标业务的业务序列号、密钥管理中心的标识、会话标识、链路标识、应用标识、业务标识、业务等级、业务数据速率、时延和业务服务器标识中的至少一项；所述网络参数包括运营商标识，接入网络标识，服务网络标识，网络类型标识，局域网网络标识，切片标识，承载标识，服务质量标识和流标识中的至少一项。

在本发明实施例中，各个单元的具体实现还可以对应参照上述方法实施例的相应描述。

在图7所示的业务认证设备中，用户设备与业务认证设备根据获取的参考参数以及预先共享的第一共享密钥生成第二共享密钥，然后该业务认证设备将该第二共享密钥发送给该网络认证设备，使得该网络认证设备基于该第二共享密钥得到目标共享密钥。也即是说，生成该目标共享密钥考虑到了业务的相关信息以及网络的相关信息，提升了该目标共享密钥的安全级别。

请参见图8，图8是本发明实施例提供的一种用户设备80的结构示意图，用户设备80可以包括获取单元801和生成单元802，其中，各个单元的详细描述如下。

获取单元801用于获取参考信息并结合所述参考信息和第一共享密钥生成第二共享密钥；所述第一共享密钥为所述用户设备与业务认证设备之间预先配置的共享密钥，所述业务认证设备用于获取所述参考信息并结合所述参考信息和所述第一共享密钥生成所述第二共享密钥，所述业务认证设备还用于将所述第二共享密钥发送给网络认证设备；

生成单元802用于根据所述第二共享密钥生成目标共享密钥，所述目标共享密钥或者基于所述目标共享密钥衍生的共享密钥为所述网络认证设备与所述用户设备协商的保护数据安全传输的共享密钥。

在一种可选的方案中，所述获取单元根据所述第二共享密钥生成目标共享密钥，具体为：

在又一种可选的方案中，所述获取单元根据所述第二共享密钥生成目标共享密钥，具体为：

在又一种可选的方案中，还包括：

在又一种可选的方案中，所述生成单元802根据所述第二共享密钥生成目标共享密钥，具体为：

和所述网络认证设备进行网络认证生成第三共享密钥；

在又一种可选的方案中，所述获取单元结合所述参考信息和第一共享密钥生成第二共享密钥，具体为：

在又一种可选的方案中，还包括：

在又一种可选的方案中，当所述参考信息包含所述业务参数时，还包括：

在本发明实施例中，各个单元的具体实现还可以对应参照方法实施例的相应描述。

在图8所示的用户设备中，用户设备与业务认证设备根据获取的参考参数以及预先共享的第一共享密钥生成第二共享密钥，然后该业务认证设备将该第二共享密钥发送给该网络认证设备，使得该网络认证设备基于该第二共享密钥得到目标共享密钥。也即是说，生成该目标共享密钥考虑到了业务的相关信息以及网络的相关信息，提升了该目标共享密钥的安全级别。

请参见图9，图9是本发明实施例提供的一种网络认证设备90的结构示意图，网络认证设备90可以包括接收单元901和第一生成单元902，其中，各个单元的详细描述如下。

接收单元901用于接收业务认证设备发送的第二共享密钥，业务认证设备和用户设备均用于结合第一共享密钥和参考信息生成所述第二共享密钥，所述第一共享密钥为所述用户设备与所述业务认证设备之间预先配置的共享密钥，所述参考信息包括所述用户设备、所述网络认证设备和所述业务认证设备中至少一项预先关联的信息；

第一生成单元902用于根据所述第二共享密钥生成目标共享密钥，所述目标共享密钥或者基于所述目标共享密钥衍生的共享密钥为所述网络认证设备与所述用户设备协商的保护数据安全传输的共享密钥。

在一种可选的方案中，所述第一生成单元902根据所述第二共享密钥生成目标共享密钥，具体为：

在又一种可选的实现方案中，还包括：

在又一种可选的方案中，所述第一生成单元902根据所述第二共享密钥生成目标共享密钥，具体为：

和所述用户设备进行网络认证生成第三共享密钥；

在又一种可选的方案中，还包括：

在图9所示的网络认证设备中，用户设备与业务认证设备根据获取的参考参数以及预先共享的第一共享密钥生成第二共享密钥，然后该业务认证设备将该第二共享密钥发送给该网络认证设备，使得该网络认证设备基于该第二共享密钥得到目标共享密钥。也即是说，生成该目标共享密钥考虑到了业务的相关信息以及网络的相关信息，提升了该目标共享密钥的安全级别。

请参见图10，图10是本发明实施例提供的一种业务认证设备100的结构示意图，业务认证设备100可以包括发送单元1001。

发送单元1001用于将预存的目标业务的业务参数发送给网络认证设备和用户设备；以使所述网络认证设备和所述用户设备结合所述业务参数和原始共享密钥生成目标共享密钥，所述目标共享密钥或者基于所述目标共享密钥衍生的共享密钥为所述网络认证设备与所述用户设备协商的保护数据安全传输的共享密钥，所述原始共享密钥为所述用户设备与所述网络认证设备之间预先配置的共享密钥。

在一种可选的方案中，所述业务参数包括所述目标业务的业务序列号、密钥管理中心的标识、会话标识、链路标识、应用标识、业务标识、业务等级、业务数据速率、时延和业务服务器标识中的至少一项。

在图10所示的业务认证设备100中，该业务认证设备将业务参数发送给该网络认证设备，该网络认证设备根据自身预先与该用户设备共享的原始共享密钥和该业务参数生成目标共享密钥。也即是说，生成该目标共享密钥涉及到了业务相关的信息、与该用户设备相关的信息以及与网络相关的信息，提升了该目标共享密钥的安全级别。

请参见图11，图11是本发明实施例提供的一种用户设备110的结构示意图，用户设备110可以包括接收单元1101和生成单元1102，其中，各个单元的详细描述如下。

接收单元1101用于接收业务认证设备发送的预存的目标业务的业务参数，所述业务认证设备还用于将所述业务参数发送给网络认证设备；

生成单元1102用于和所述网络认证设备结合所述业务参数和原始共享密钥生成目标共享密钥，所述目标共享密钥或者基于所述目标共享密钥衍生的共享密钥为所述网络认证设备与所述用户设备协商的保护数据安全传输的共享密钥，所述原始共享密钥为所述用户设备与所述网络认证设备之间预先配置的共享密钥。

在一种可选的方案中，所述生成单元1102和所述网络认证设备结合所述业务参数和原始共享密钥生成目标共享密钥，具体为：

在又一种可选的方案中，所述业务参数包括所述目标业务的业务序列号、密钥管理中心的标识、会话标识、链路标识、应用标识、业务标识、业务等级、业务数据速率、时延和业务服务器标识中的至少一项。

在图11所示的用户设备110中，该业务认证设备将业务参数发送给该网络认证设备，该网络认证设备根据自身预先与该用户设备共享的原始共享密钥和该业务参数生成目标共享密钥。也即是说，生成该目标共享密钥涉及到了业务相关的信息、与该用户设备相关的信息以及与网络相关的信息，提升了该目标共享密钥的安全级别。

请参见图12，图12是本发明实施例提供的一种网络认证设备120的结构示意图，网络认证设备120可以包括接收单元1201和生成单元1202，其中，各个单元的详细描述如下。

接收单元1201用于接收业务认证设备发送的预存的目标业务的业务参数，所述业务认证设备还用于将所述业务参数发送给用户设备；

生成单元1202用于和所述用户设备结合所述业务参数和原始共享密钥生成目标共享密钥，所述目标共享密钥或者基于所述目标共享密钥衍生的共享密钥为所述网络认证设备与所述用户设备协商的保护数据安全传输的共享密钥，所述原始共享密钥为所述用户设备与所述网络认证设备之间预先配置的共享密钥。

在一种可选的方案中，所述生成单元1202和所述用户设备结合所述业务参数和原始共享密钥生成目标共享密钥，具体为：

在图12所示的网络认证设备中，该业务认证设备将业务参数发送给该网络认证设备，该网络认证设备根据自身预先与该用户设备共享的原始共享密钥和该业务参数生成目标共享密钥。也即是说，生成该目标共享密钥涉及到了业务相关的信息、与该用户设备相关的信息以及与网络相关的信息，提升了该目标共享密钥的安全级别。

请参见图13，图13是本发明实施例提供的一种业务认证设备130的结构示意图，业务认证设备130可以包括获取单元1301和生成单元1302，其中，各个单元的详细描述如下。

获取单元1301用于获取用户设备的身份标识；

生成单元1302用于结合自身的业务公钥、业务私钥和所述身份标识生成身份密钥，并将所述身份密钥、所述业务公钥发送给所述网络认证设备，所述身份密钥和所述业务公钥用于所述网络认证设备生成目标共享密钥，所述目标共享密钥或者基于所述目标共享密钥衍生的共享密钥为所述网络认证设备与所述用户设备协商的保护数据安全传输的共享密钥。

在图13所示的业务认证设备中，该业务认证设备将业务公钥、身份密钥发送给该网络认证设备，该网络认证设备根据自身所在网络的信息、该身份密钥和该业务公钥生成认证根密钥，该网络认证设备与该用户设备进一步基于该认证根密钥进行网络认证生成目标共享密钥。也即是说，生成该目标共享密钥涉及到了与业务相关的信息、与该用户设备相关的信息以及与网络相关的信息，提升了该目标共享密钥的安全级别。

请参见图14，图14是本发明实施例提供的一种用户设备140的结构示意图，用户设备140可以包括生成单元1401。

生成单元1401用于和网络认证设备根据认证根密钥进行网络认证生成目标共享密钥，所述认证根密钥为所述网络认证设备根据身份密钥、业务认证设备管理的目标业务的业务公钥和所述网络认证设备所在蜂窝网的网络参数生成的并写入到所述用户设备中的密钥，所述身份密钥由所述业务认证设备根据所述业务公钥、所述目标业务的业务私钥和获取的所述用户设备的身份标识生成的，所述业务认证设备用于将所述业务公钥和所述身份私钥发送给所述网络认证设备；所述目标共享密钥或者基于所述目标共享密钥衍生的共享密钥为所述网络认证设备与所述用户设备协商的保护数据安全传输的共享密钥。

在一种可选的方案中，所述网络参数包括运营商标识，接入网络标识，服务网络标识，网络类型标识，局域网网络标识，切片标识，承载标识，服务质量标识和流标识中的至少一项。

在图14所示的用户设备中，该业务认证设备将业务公钥、身份密钥发送给该网络认证设备，该网络认证设备根据自身所在网络的信息、该身份密钥和该业务公钥生成认证根密钥，该网络认证设备与该用户设备进一步基于该认证根密钥进行网络认证生成目标共享密钥。也即是说，生成该目标共享密钥涉及到了与业务相关的信息、与该用户设备相关的信息以及与网络相关的信息，提升了该目标共享密钥的安全级别。

请参见图15，图15是本发明实施例提供的一种网络认证设备150的结构示意图，网络认证设备150可以包括接收单元1501、生成单元1502、写入单元1503和认证单元1504，其中，各个单元的详细描述如下。

接收单元1501用于接收身份密钥和业务认证设备管理的目标业务的业务公钥，所述身份密钥为所述业务认证设备根据所述目标业务的业务私钥、所述业务公钥和获取的用户设备的身份标识生成的密钥；

生成单元1502用于结合所述身份密钥、所述业务公钥和所述网络认证设备所在蜂窝网的网络参数生成认证根密钥；

写入单元1503用于将所述认证根密钥写入所述用户设备；

认证单元1504用于和所述用户设备根据所述认证根密钥进行网络认证生成目标共享密钥，所述目标共享密钥或者基于所述目标共享密钥衍生的共享密钥为所述网络认证设备与所述用户设备协商的保护数据安全传输的共享密钥。

在图15所示的网络认证设备中，该业务认证设备将业务公钥、身份密钥发送给该网络认证设备，该网络认证设备根据自身所在网络的信息、该身份密钥和该业务公钥生成认证根密钥，该网络认证设备与该用户设备进一步基于该认证根密钥进行网络认证生成目标共享密钥。也即是说，生成该目标共享密钥涉及到了与业务相关的信息、与该用户设备相关的信息以及与网络相关的信息，提升了该目标共享密钥的安全级别。

请参见图16，图16是本发明实施例提供的一种业务认证设备160的结构示意图，业务认证设备160可以包括认证单元1601和发送单元1602，其中，各个单元的详细描述如下。

认证单元1601用于和用户设备进行业务认证生成参考共享密钥，或者所述业务认证设备和所述用户设备预先配置所述参考共享密钥；

发送单元1602用于将所述参考共享密钥发送给网络认证设备，以使所述网络认证设备和所述用户设备结合所述参考共享密钥生成目标共享密钥，所述目标共享密钥或者基于所述目标共享密钥衍生的共享密钥为所述网络认证设备与所述用户设备协商的保护数据安全传输的共享密钥。

在一种可选的方案中，还包括：

在图16所示的业务认证设备中，该业务认证设备与该用户设备进行业务认证生成参考共享密钥，然后该网络认证设备将该参考共享密钥发送给该网络认证设备以及向该用户设备转发来自该网络认证设备的网络参数；该网络认证设备和该用户设备均根据该参考共享密钥和该网络参数生成认证共享密钥，并基于该认证共享密钥进行网络认证生成目标共享密钥。也即是说，生成该目标共享密钥涉及到了与业务相关的信息、与该用户设备相关的信息以及与网络相关的信息，提升了该目标共享密钥的安全级别。

请参见图17，图17是本发明实施例提供的一种用户设备170的结构示意图，用户设备170可以包括配置单元1701和生成单元1702，其中，各个单元的详细描述如下。

配置单元1701用于和业务认证设备进行业务认证生成参考共享密钥，或者所述业务认证设备和所述用户设备预先配置所述参考共享密钥，所述业务认证设备用于将所述参考共享密钥发送给网络认证设备；

生成单元1702用于和所述网络认证设备结合所述参考共享密钥生成目标共享密钥，所述目标共享密钥或者基于所述目标共享密钥衍生的共享密钥为所述网络认证设备与所述用户设备协商的保护数据安全传输的共享密钥。

在一种可选的方案中，还包括：

在又一种可选的方案中，所述网络参数包括运营商标识，接入网络标识，服务网络标识，网络类型标识，局域网网络标识，切片标识，承载标识，服务质量标识和流标识中的至少一项。

在图17所示的用户设备中，该业务认证设备与该用户设备进行业务认证生成参考共享密钥，然后该网络认证设备将该参考共享密钥发送给该网络认证设备以及向该用户设备转发来自该网络认证设备的网络参数；该网络认证设备和该用户设备均根据该参考共享密钥和该网络参数生成认证共享密钥，并基于该认证共享密钥进行网络认证生成目标共享密钥。也即是说，生成该目标共享密钥涉及到了与业务相关的信息、与该用户设备相关的信息以及与网络相关的信息，提升了该目标共享密钥的安全级别。

请参见图18，图18是本发明实施例提供的一种网络认证设备180的结构示意图，网络认证设备180可以包括接收单元1801和生成单元1802，其中，各个单元的详细描述如下。

接收单元1801用于接收业务认证设备发送的参考共享密钥，所述参考共享密钥由所述业务认证设备和用户设备进行业务认证生成的或者预先配置的；

生成单元1802用于和所述用户设备结合所述参考共享密钥生成目标共享密钥，所述目标共享密钥或者基于所述目标共享密钥衍生的共享密钥为所述网络认证设备与所述用户设备协商的保护数据安全传输的共享密钥。

在一种可选的方案中，还包括：

在又一种可选的方案中，还包括：

在图18所示的网络认证设备中，该业务认证设备与该用户设备进行业务认证生成参考共享密钥，然后该网络认证设备将该参考共享密钥发送给该网络认证设备以及向该用户设备转发来自该网络认证设备的网络参数；该网络认证设备和该用户设备均根据该参考共享密钥和该网络参数生成认证共享密钥，并基于该认证共享密钥进行网络认证生成目标共享密钥。也即是说，生成该目标共享密钥涉及到了与业务相关的信息、与该用户设备相关的信息以及与网络相关的信息，提升了该目标共享密钥的安全级别。

请参见图19，图19是本发明实施例提供的一种业务认证设备190，该业务认证设备190包括处理器1901和存储器1902，所述处理器1901和存储器1902通过总线相互连接。

存储器1902包括但不限于是随机存取存储器(RAM)、只读存储器(ROM)、可擦除可编程只读存储器(EPROM或者快闪存储器)、或便携式只读存储器(CD-ROM)，该存储器1902用于相关指令及数据。

处理器1901可以是一个或多个中央处理器(英文：Central Processing Unit，简称：CPU)，在处理器1901是一个CPU的情况下，该CPU可以是单核CPU，也可以是多核CPU。

所述业务认证设备190中的处理器1901读取所述存储器1902中存储的程序代码，用于执行以下操作：

获取参考信息并结合所述参考信息和第一共享密钥生成第二共享密钥，所述第一共享密钥为用户设备与所述业务认证设备之间预先配置的共享密钥，所述用户设备用于获取所述参考信息并结合所述参考信息和所述第一共享密钥生成所述第二共享密钥，所述参考信息包括所述用户设备、网络认证设备和所述业务认证设备中至少一项预先关联的信息；

将所述第二共享密钥发送给所述网络认证设备，所述第二共享密钥用于所述用户设备和所述网络认证设备生成目标共享密钥，所述目标共享密钥或者基于所述目标共享密钥衍生的共享密钥为所述网络认证设备与所述用户设备协商的保护数据安全传输的共享密钥。

通过执行上述操作，用户设备与业务认证设备根据获取的参考参数以及预先共享的第一共享密钥生成第二共享密钥，然后该业务认证设备将该第二共享密钥发送给该网络认证设备，使得该网络认证设备基于该第二共享密钥得到目标共享密钥。也即是说，生成该目标共享密钥考虑到了业务的相关信息以及网络的相关信息，提升了该目标共享密钥的安全级别。

在一种可选的方案中，所述处理器1901结合所述参考信息和第一共享密钥生成第二共享密钥，具体为：

在又一种可选的方案中，所述处理器1901将所述第二共享密钥发送给所述网络认证设备之后，还用于：

接收所述网络认证设备发送的所述目标共享密钥；

将所述目标共享密钥或者基于所述目标共享密钥衍生的共享密钥作为所述业务认证设备与所述用户设备协商的保护数据安全传输的共享密钥。

在又一种可选的方案中，所述处理器1901获取参考信息并结合所述参考信息和第一共享密钥生成第二共享密钥之后，还用于：

将所述第二共享密钥或者基于所述第二共享密钥衍生的共享密钥作为所述业务认证设备与所述用户设备协商的保护数据安全传输的共享密钥。

在又一种可选的方案中，所述处理器1901结合所述参考信息和第一共享密钥生成第二共享密钥之前，还包括：

所获取所述用户设备与所述网络认证设备之间预先配置的第五共享密钥；

所述处理器1901结合所述参考信息和第一共享密钥生成第二共享密钥，具体为：

接收所述网络认证设备根据所述网络认证设备所在蜂窝网的网络参数生成的网络侧信息，并向所述用户设备转发所述网络侧信息；

在本发明实施例中，业务认证设备的具体实现还可以对应参照上述方法实施例的相应描述，此处不再赘述。

在图19所示的业务认证设备中，用户设备与业务认证设备根据获取的参考参数以及预先共享的第一共享密钥生成第二共享密钥，然后该业务认证设备将该第二共享密钥发送给该网络认证设备，使得该网络认证设备基于该第二共享密钥得到目标共享密钥。也即是说，生成该目标共享密钥考虑到了业务的相关信息以及网络的相关信息，提升了该目标共享密钥的安全级别。

请参见图20，图20是本发明实施例提供的一种用户设备200，该用户设备200包括处理器2001和存储器2002，所述处理器2001和存储器2002通过总线相互连接。

存储器2002包括但不限于是随机存取存储器(RAM)、只读存储器(ROM)、可擦除可编程只读存储器(EPROM或者快闪存储器)、或便携式只读存储器(CD-ROM)，该存储器2002用于相关指令及数据。

处理器2001可以是一个或多个中央处理器(英文：Central Processing Unit，简称：CPU)，在处理器2001是一个CPU的情况下，该CPU可以是单核CPU，也可以是多核CPU。

所述用户设备200中的处理器2001读取所述存储器2002中存储的程序代码，用于执行以下操作：

获取参考信息并结合所述参考信息和第一共享密钥生成第二共享密钥；所述第一共享密钥为所述用户设备与业务认证设备之间预先配置的共享密钥，所述业务认证设备用于获取所述参考信息并结合所述参考信息和所述第一共享密钥生成所述第二共享密钥，所述业务认证设备还用于将所述第二共享密钥发送给网络认证设备；

根据所述第二共享密钥生成目标共享密钥，所述目标共享密钥或者基于所述目标共享密钥衍生的共享密钥为所述网络认证设备与所述用户设备协商的保护数据安全传输的共享密钥。

在一种可选的方案中，所述处理器2001根据所述第二共享密钥生成目标共享密钥，具体为：

在又一种可选的方案中，所述处理器2001根据所述第二共享密钥生成目标共享密钥，具体为：

在又一种可选的方案中，所述处理器2001和所述网络认证设备根据所述第二共享密钥或者根据基于所述第二共享密钥衍生的共享密钥进行网络认证生成目标共享密钥之前，还用于：

和所述网络认证设备进行网络认证生成第三共享密钥；

和所述网络认证设备根据所述第二共享密钥或者根据基于所述第二共享密钥衍生的共享密钥进行网络认证生成目标共享密钥，包括：

备根据所述第三共享密钥和所述第四共享密钥生成所述目标共享密钥。

和所述网络认证设备进行网络认证生成第三共享密钥；

在又一种可选的方案中，所述处理器2001结合所述参考信息和第一共享密钥生成第二共享密钥，具体为：

在又一种可选的方案中，所述处理器2001结合所述参考信息和第一共享密钥生成第二共享密钥之前，还用于：

接收所述业务认证设备转发的来自所述网络认证设备的网络侧信息，所述网络侧信息为所述网络认证设备根据第五共享密钥和获取的所述第一共享密钥生成，所述第五共享密钥为所述用户设备与所述网络认证设备之间预先配置的共享密钥；

所述处理器2001结合所述参考信息和第一共享密钥生成第二共享密钥，具体为：

在又一种可选的方案中，当所述参考信息包含所述业务参数时，所述处理器2001结合所述参考信息和第一共享密钥生成第二共享密钥之前，还用于：

接收所述网络认证设备转发的来自所述业务认证设备的所述业务参数。

在本发明实施例中，用户设备的具体实现可以对应参照上述方法实施例的相应描述。

在图20所示的用户设备中，用户设备与业务认证设备根据获取的参考参数以及预先共享的第一共享密钥生成第二共享密钥，然后该业务认证设备将该第二共享密钥发送给该网络认证设备，使得该网络认证设备基于该第二共享密钥得到目标共享密钥。也即是说，生成该目标共享密钥考虑到了业务的相关信息以及网络的相关信息，提升了该目标共享密钥的安全级别。

请参见图21，图21是本发明实施例提供的一种网络认证设备210，该网络认证设备210包括处理器2101和存储器2102，所述处理器2101和存储器2102通过总线相互连接。

存储器2102包括但不限于是随机存取存储器(RAM)、只读存储器(ROM)、可擦除可编程只读存储器(EPROM或者快闪存储器)、或便携式只读存储器(CD-ROM)，该存储器2102用于相关指令及数据。

处理器2101可以是一个或多个中央处理器(英文：Central Processing Unit，简称：CPU)，在处理器2101是一个CPU的情况下，该CPU可以是单核CPU，也可以是多核CPU。

所述网络认证设备210中的处理器2101读取所述存储器2102中存储的程序代码，用于执行以下操作：

接收业务认证设备发送的第二共享密钥，业务认证设备和用户设备均用于结合第一共享密钥和参考信息生成所述第二共享密钥，所述第一共享密钥为所述用户设备与所述业务认证设备之间预先配置的共享密钥，所述参考信息包括所述用户设备、所述网络认证设备和所述业务认证设备中至少一项预先关联的信息；

在一种可选的方案中，所述处理器2101根据所述第二共享密钥生成目标共享密钥，具体为：

在又一种可选的方案中，所述处理器2101和所述用户设备根据所述第二共享密钥或者根据基于所述第二共享密钥衍生的共享密钥进行网络认证生成所述目标共享密钥之前，还用于：

和所述用户设备进行网络认证生成第三共享密钥；

备和所述用户设备根据所述第二共享密钥或者根据基于所述第二共享密钥衍生的共享密钥进行网络认证生成所述目标共享密钥，包括：

在又一种可选的方案中，所述处理器2101根据所述第二共享密钥生成目标共享密钥，具体为：

和所述用户设备进行网络认证生成第三共享密钥；

在又一种可选的方案中，所述处理器2101还用于：

向所述业务认证设备获取所述第一共享密钥；

根据所述第一共享密钥和第五共享密钥生成网络侧信息，所述第五共享密钥为所述用户设备与所述网络认证设备之间预先配置的共享密钥；

将所述网络侧信息发送给所述业务认证设备，以使所述业务认证设备向所述用户设备转发所述网络侧信息，所述网络参数属于所述参考信息。

在又一种可选的方案中，所述处理器2101根据所述第二共享密钥生成目标共享密钥之前，还用于：

将所述目标共享密钥发送给所述业务认证设备，所述目标共享密钥或者基于所述目标共享密钥衍生的共享密钥用作所述业务认证设备与所述用户设备协商的保护数据安全传输的共享密钥。

在本发明实施例中，网络认证设备210的具体实现还可以参照上述方法实施例的相应描述。

在图21所述的网络认证设备210中，用户设备与业务认证设备根据获取的参考参数以及预先共享的第一共享密钥生成第二共享密钥，然后该业务认证设备将该第二共享密钥发送给该网络认证设备，使得该网络认证设备基于该第二共享密钥得到目标共享密钥。也即是说，生成该目标共享密钥考虑到了业务的相关信息以及网络的相关信息，提升了该目标共享密钥的安全级别。

请参见图22，图22是本发明实施例提供的一种业务认证设备220，该业务认证设备220包括处理器2201和存储器2202，所述处理器2201和存储器2202通过总线相互连接。

存储器2202包括但不限于是随机存取存储器(RAM)、只读存储器(ROM)、可擦除可编程只读存储器(EPROM或者快闪存储器)、或便携式只读存储器(CD-ROM)，该存储器2202用于相关指令及数据。

处理器2201可以是一个或多个中央处理器(英文：Central Processing Unit，简称：CPU)，在处理器2201是一个CPU的情况下，该CPU可以是单核CPU，也可以是多核CPU。

所述业务认证设备220中的处理器2201读取所述存储器2202中存储的程序代码，用于执行以下操作：

将预存的目标业务的业务参数发送给网络认证设备和用户设备；以使所述网络认证设备和所述用户设备结合所述业务参数和原始共享密钥生成目标共享密钥，所述目标共享密钥或者基于所述目标共享密钥衍生的共享密钥为所述网络认证设备与所述用户设备协商的保护数据安全传输的共享密钥，所述原始共享密钥为所述用户设备与所述网络认证设备之间预先配置的共享密钥。

通过执行上述操作，该业务认证设备将业务参数发送给该网络认证设备，该网络认证设备根据自身预先与该用户设备共享的原始共享密钥和该业务参数生成目标共享密钥。也即是说，生成该目标共享密钥涉及到了业务相关的信息、与该用户设备相关的信息以及与网络相关的信息，提升了该目标共享密钥的安全级别。

在本发明实施例中，业务认证设备220的具体实现还可以对应参照上述方法实施例的相应描述。

在图22所示的业务认证设备220中，该业务认证设备将业务参数发送给该网络认证设备，该网络认证设备根据自身预先与该用户设备共享的原始共享密钥和该业务参数生成目标共享密钥。也即是说，生成该目标共享密钥涉及到了业务相关的信息、与该用户设备相关的信息以及与网络相关的信息，提升了该目标共享密钥的安全级别。

请参见图23，图23是本发明实施例提供的一种用户设备230，该用户设备230包括处理器2301和存储器2302，所述处理器2301和存储器2302通过总线相互连接。

存储器2302包括但不限于是随机存取存储器(RAM)、只读存储器(ROM)、可擦除可编程只读存储器(EPROM或者快闪存储器)、或便携式只读存储器(CD-ROM)，该存储器2302用于相关指令及数据。

处理器2301可以是一个或多个中央处理器(英文：Central Processing Unit，简称：CPU)，在处理器2301是一个CPU的情况下，该CPU可以是单核CPU，也可以是多核CPU。

所述用户设备230中的处理器2301读取所述存储器2302中存储的程序代码，用于执行以下操作：

接收业务认证设备发送的预存的目标业务的业务参数，所述业务认证设备还用于将所述业务参数发送给网络认证设备；

和所述网络认证设备结合所述业务参数和原始共享密钥生成目标共享密钥，所述目标共享密钥或者基于所述目标共享密钥衍生的共享密钥为所述网络认证设备与所述用户设备协商的保护数据安全传输的共享密钥，所述原始共享密钥为所述用户设备与所述网络认证设备之间预先配置的共享密钥。

在一种可选的方案中，所述处理器2301和所述网络认证设备结合所述业务参数和原始共享密钥生成目标共享密钥，具体为：

在本发明实施例中，用户设备230的具体实现还可以参照上述方法实施例的相应描述。

在图23所示的用户设备230中，该业务认证设备将业务参数发送给该网络认证设备，该网络认证设备根据自身预先与该用户设备共享的原始共享密钥和该业务参数生成目标共享密钥。也即是说，生成该目标共享密钥涉及到了业务相关的信息、与该用户设备相关的信息以及与网络相关的信息，提升了该目标共享密钥的安全级别。

请参见图24，图24是本发明实施例提供的一种网络认证设备240，该网络认证设备240包括处理器2401和存储器2402，所述处理器2401和存储器2402通过总线相互连接。

存储器2402包括但不限于是随机存取存储器(RAM)、只读存储器(ROM)、可擦除可编程只读存储器(EPROM或者快闪存储器)、或便携式只读存储器(CD-ROM)，该存储器2402用于相关指令及数据。

处理器2401可以是一个或多个中央处理器(英文：Central Processing Unit，简称：CPU)，在处理器2401是一个CPU的情况下，该CPU可以是单核CPU，也可以是多核CPU。

网络认证设备240中的处理器2401读取所述存储器2402中存储的程序代码，用于执行以下操作：

接收业务认证设备发送的预存的目标业务的业务参数，所述业务认证设备还用于将所述业务参数发送给用户设备；

和所述用户设备结合所述业务参数和原始共享密钥生成目标共享密钥，所述目标共享密钥或者基于所述目标共享密钥衍生的共享密钥为所述网络认证设备与所述用户设备协商的保护数据安全传输的共享密钥，所述原始共享密钥为所述用户设备与所述网络认证设备之间预先配置的共享密钥。

在一种可选的方案中，所述处理器2401和所述用户设备结合所述业务参数和原始共享密钥生成目标共享密钥，具体为：

在本发明实施例中，网络认证设备240的具体实现还可以参照上述方法实施例的相应描述。

在图24所示的网络认证设备240中，该业务认证设备将业务参数发送给该网络认证设备，该网络认证设备根据自身预先与该用户设备共享的原始共享密钥和该业务参数生成目标共享密钥。也即是说，生成该目标共享密钥涉及到了业务相关的信息、与该用户设备相关的信息以及与网络相关的信息，提升了该目标共享密钥的安全级别。

请参见图25，图25是本发明实施例提供的一种业务认证设备250，该业务认证设备250包括处理器2501和存储器2502，所述处理器2501和存储器2502通过总线相互连接。

存储器2502包括但不限于是随机存取存储器(RAM)、只读存储器(ROM)、可擦除可编程只读存储器(EPROM或者快闪存储器)、或便携式只读存储器(CD-ROM)，该存储器2502用于相关指令及数据。

处理器2501可以是一个或多个中央处理器(英文：Central Processing Unit，简称：CPU)，在处理器2501是一个CPU的情况下，该CPU可以是单核CPU，也可以是多核CPU。

业务认证设备250中的处理器2501读取所述存储器2502中存储的程序代码，用于执行以下操作：

获取用户设备的身份标识；

结合自身的业务公钥、业务私钥和所述身份标识生成身份密钥，并将所述身份密钥、所述业务公钥发送给所述网络认证设备，所述身份密钥和所述业务公钥用于所述网络认证设备生成目标共享密钥，所述目标共享密钥或者基于所述目标共享密钥衍生的共享密钥为所述网络认证设备与所述用户设备协商的保护数据安全传输的共享密钥。

在本发明实施例中，业务认证设备250的具体实现还可以参照上述方法实施例的相应描述。

在图25所示的业务认证设备250中，该业务认证设备将业务公钥、身份密钥发送给该网络认证设备，该网络认证设备根据自身所在网络的信息、该身份密钥和该业务公钥生成认证根密钥，该网络认证设备与该用户设备进一步基于该认证根密钥进行网络认证生成目标共享密钥。也即是说，生成该目标共享密钥涉及到了与业务相关的信息、与该用户设备相关的信息以及与网络相关的信息，提升了该目标共享密钥的安全级别。

请参见图26，图26是本发明实施例提供的一种用户设备260，该用户设备260包括处理器2601和存储器2602，所述处理器2601和存储器2602通过总线相互连接。

存储器2602包括但不限于是随机存取存储器(RAM)、只读存储器(ROM)、可擦除可编程只读存储器(EPROM或者快闪存储器)、或便携式只读存储器(CD-ROM)，该存储器2602用于相关指令及数据。

处理器2601可以是一个或多个中央处理器(英文：Central Processing Unit，简称：CPU)，在处理器2601是一个CPU的情况下，该CPU可以是单核CPU，也可以是多核CPU。

用户设备260中的处理器2601读取所述存储器2602中存储的程序代码，用于执行以下操作：

和网络认证设备根据认证根密钥进行网络认证生成目标共享密钥，所述认证根密钥为所述网络认证设备根据身份密钥、业务认证设备管理的目标业务的业务公钥和所述网络认证设备所在蜂窝网的网络参数生成的并写入到所述用户设备中的密钥，所述身份密钥由所述业务认证设备根据所述业务公钥、所述目标业务的业务私钥和获取的所述用户设备的身份标识生成的，所述业务认证设备用于将所述业务公钥和所述身份私钥发送给所述网络认证设备；所述目标共享密钥或者基于所述目标共享密钥衍生的共享密钥为所述网络认证设备与所述用户设备协商的保护数据安全传输的共享密钥。

在本发明实施例中，用户设备260的具体实现还可以参照上述方法实施例的相应描述。

在图26所示的用户设备260中，该业务认证设备将业务公钥、身份密钥发送给该网络认证设备，该网络认证设备根据自身所在网络的信息、该身份密钥和该业务公钥生成认证根密钥，该网络认证设备与该用户设备进一步基于该认证根密钥进行网络认证生成目标共享密钥。也即是说，生成该目标共享密钥涉及到了与业务相关的信息、与该用户设备相关的信息以及与网络相关的信息，提升了该目标共享密钥的安全级别。

请参见图27，图27是本发明实施例提供的一种网络认证设备270，该网络认证设备270包括处理器2701和存储器2702，所述处理器2701和存储器2702通过总线相互连接。

存储器2702包括但不限于是随机存取存储器(RAM)、只读存储器(ROM)、可擦除可编程只读存储器(EPROM或者快闪存储器)、或便携式只读存储器(CD-ROM)，该存储器2702用于相关指令及数据。

处理器2701可以是一个或多个中央处理器(英文：Central Processing Unit，简称：CPU)，在处理器2701是一个CPU的情况下，该CPU可以是单核CPU，也可以是多核CPU。

网络认证设备270中的处理器2701读取所述存储器2702中存储的程序代码，用于执行以下操作：

接收身份密钥和业务认证设备管理的目标业务的业务公钥，所述身份密钥为所述业务认证设备根据所述目标业务的业务私钥、所述业务公钥和获取的用户设备的身份标识生成的密钥；

备结合所述身份密钥、所述业务公钥和所述网络认证设备所在蜂窝网的网络参数生成认证根密钥；

将所述认证根密钥写入所述用户设备；

和所述用户设备根据所述认证根密钥进行网络认证生成目标共享密钥，所述目标共享密钥或者基于所述目标共享密钥衍生的共享密钥为所述网络认证设备与所述用户设备协商的保护数据安全传输的共享密钥。

在本发明实施例中，网络认证设备270的具体实现还可以参照上述方法实施例的相应描述。

在图27所示的网络认证设备270中，该业务认证设备将业务公钥、身份密钥发送给该网络认证设备，该网络认证设备根据自身所在网络的信息、该身份密钥和该业务公钥生成认证根密钥，该网络认证设备与该用户设备进一步基于该认证根密钥进行网络认证生成目标共享密钥。也即是说，生成该目标共享密钥涉及到了与业务相关的信息、与该用户设备相关的信息以及与网络相关的信息，提升了该目标共享密钥的安全级别。

请参见图28，图28是本发明实施例提供的一种业务认证设备280，该业务认证设备280包括处理器2801和存储器2802，所述处理器2801和存储器2802通过总线相互连接。

存储器2802包括但不限于是随机存取存储器(RAM)、只读存储器(ROM)、可擦除可编程只读存储器(EPROM或者快闪存储器)、或便携式只读存储器(CD-ROM)，该存储器2802用于相关指令及数据。

处理器2801可以是一个或多个中央处理器(英文：Central Processing Unit，简称：CPU)，在处理器2801是一个CPU的情况下，该CPU可以是单核CPU，也可以是多核CPU。

业务认证设备280中的处理器2801读取所述存储器2802中存储的程序代码，用于执行以下操作：

和用户设备进行业务认证生成参考共享密钥，或者所述业务认证设备和所述用户设备预先配置所述参考共享密钥；

将所述参考共享密钥发送给网络认证设备，以使所述网络认证设备和所述用户设备结合所述参考共享密钥生成目标共享密钥，所述目标共享密钥或者基于所述目标共享密钥衍生的共享密钥为所述网络认证设备与所述用户设备协商的保护数据安全传输的共享密钥。

在一种可选的方案中，所述处理器2801还用于：

接收所述网络认证设备发送的所述目标共享密钥；

将所述目标共享密钥，或者基于所述目标共享密钥衍生的共享密钥作为所述业务认证设备与用户设备协商的保护数据安全传输的共享密钥。

在本发明实施例中，业务认证设备280的具体实现还可以参照上述方法实施例的相应描述。

在图28所示的业务认证设备280中，该业务认证设备与该用户设备进行业务认证生成参考共享密钥，然后该网络认证设备将该参考共享密钥发送给该网络认证设备以及向该用户设备转发来自该网络认证设备的网络参数；该网络认证设备和该用户设备均根据该参考共享密钥和该网络参数生成认证共享密钥，并基于该认证共享密钥进行网络认证生成目标共享密钥。也即是说，生成该目标共享密钥涉及到了与业务相关的信息、与该用户设备相关的信息以及与网络相关的信息，提升了该目标共享密钥的安全级别。

请参见图29，图29是本发明实施例提供的一种用户设备290，该用户设备290包括处理器2901和存储器2902，所述处理器2901和存储器2902通过总线相互连接。

存储器2902包括但不限于是随机存取存储器(RAM)、只读存储器(ROM)、可擦除可编程只读存储器(EPROM或者快闪存储器)、或便携式只读存储器(CD-ROM)，该存储器2902用于相关指令及数据。

处理器2901可以是一个或多个中央处理器(英文：Central Processing Unit，简称：CPU)，在处理器2901是一个CPU的情况下，该CPU可以是单核CPU，也可以是多核CPU。

用户设备290中的处理器2901读取所述存储器2902中存储的程序代码，用于执行以下操作：

和业务认证设备进行业务认证生成参考共享密钥，或者所述业务认证设备和所述用户设备预先配置所述参考共享密钥，所述业务认证设备用于将所述参考共享密钥发送给网络认证设备；

和所述网络认证设备结合所述参考共享密钥生成目标共享密钥，所述目标共享密钥或者基于所述目标共享密钥衍生的共享密钥为所述网络认证设备与所述用户设备协商的保护数据安全传输的共享密钥。

在一种可选的方案中，所述处理器2901和所述网络认证设备结合所述参考共享密钥生成目标共享密钥之前，还用于：

接收所述网络认证设备发送的所述网络认证设备所在蜂窝网的网络参数；

和所述网络认证设备结合所述参考共享密钥生成目标共享密钥，包括：

在本发明实施例中，用户设备290的具体实现还可以参照上述方法实施例的相应描述。

在图29所示的用户设备290中，该业务认证设备与该用户设备进行业务认证生成参考共享密钥，然后该网络认证设备将该参考共享密钥发送给该网络认证设备以及向该用户设备转发来自该网络认证设备的网络参数；该网络认证设备和该用户设备均根据该参考共享密钥和该网络参数生成认证共享密钥，并基于该认证共享密钥进行网络认证生成目标共享密钥。也即是说，生成该目标共享密钥涉及到了与业务相关的信息、与该用户设备相关的信息以及与网络相关的信息，提升了该目标共享密钥的安全级别。

请参见图30，图30是本发明实施例提供的一种网络认证设备300，该网络认证设备300包括处理器3001和存储器3002，所述处理器3001和存储器3002通过总线相互连接。

存储器3002包括但不限于是随机存取存储器(RAM)、只读存储器(ROM)、可擦除可编程只读存储器(EPROM或者快闪存储器)、或便携式只读存储器(CD-ROM)，该存储器3002用于相关指令及数据。

处理器3001可以是一个或多个中央处理器(英文：Central Processing Unit，简称：CPU)，在处理器3001是一个CPU的情况下，该CPU可以是单核CPU，也可以是多核CPU。

网络认证设备300中的处理器3001读取所述存储器3002中存储的程序代码，用于执行以下操作：

接收业务认证设备发送的参考共享密钥，所述参考共享密钥由所述业务认证设备和用户设备进行业务认证生成的或者预先配置的；

和所述用户设备结合所述参考共享密钥生成目标共享密钥，所述目标共享密钥或者基于所述目标共享密钥衍生的共享密钥为所述网络认证设备与所述用户设备协商的保护数据安全传输的共享密钥。

在一种可选的方案中，所述处理器3001和所述用户设备结合所述参考共享密钥生成目标共享密钥之前，还用于：

将所述网络认证设备所在蜂窝网的网络参数发送给所述用户设备；

和所述用户设备结合所述参考共享密钥生成目标共享密钥，包括：

在又一种可选的方案中，所述处理器3001还用于：

在本发明实施例中，网络认证设备300的具体实现还可以参照上述方法实施例的相应描述。

在图30所示的网络认证设备300中，该业务认证设备与该用户设备进行业务认证生成参考共享密钥，然后该网络认证设备将该参考共享密钥发送给该网络认证设备以及向该用户设备转发来自该网络认证设备的网络参数；该网络认证设备和该用户设备均根据该参考共享密钥和该网络参数生成认证共享密钥，并基于该认证共享密钥进行网络认证生成目标共享密钥。也即是说，生成该目标共享密钥涉及到了与业务相关的信息、与该用户设备相关的信息以及与网络相关的信息，提升了该目标共享密钥的安全级别。

上述详细阐述了本发明实施例的方法和装置，为了便于更好地实施本发明实施例的上述方案，相应地，下面提供了本发明实施例的相关系统。

请参见图31，图31是本发明实施例提供的一种业务认证系统310的结构示意图，该系统包括业务认证设备3101、用户设备3102和网络认证设备3103。

在一种可选的方案中，该业务认证设备3101为图7所示的业务认证设备70或者图19所示的业务认证设备190；该用户设备3102为图8所示的用户设备80或者图20所示的用户设备200；该网络认证设备3103为图9所示的网络认证设备90或者图21所示的网络认证设备210。

在又一种可选的方案中，该业务认证设备3101为图10所示的业务认证设备100或者图22所示的业务认证设备220；该用户设备3102为图11所示的用户设备110或者图23所示的用户设备230；该网络认证设备3103为图12所示的网络认证设备120或者图24所示的网络认证设备240。

在又一种可选的方案中，该业务认证设备3101为图13所示的业务认证设备130或者图25所示的业务认证设备250；该用户设备3102为图14所示的用户设备140或者图26所示的用户设备260；该网络认证设备3103为图15所示的网络认证设备150或者图27所示的网络认证设备270。

在又一种可选的方案中，该业务认证设备3101为图16所示的业务认证设备160或者图28所示的业务认证设备280；该用户设备3102为图17所示的用户设备170或者图29所示的用户设备290；该网络认证设备3103为图18所示的网络认证设备180或者图30所示的网络认证设备300。

图1所示的网络认证系统中包括网络认证设备、业务认证设备和用户设备，在一种可选的方案中，各个设备相互协作来执行如下步骤。

步骤S3101：网络认证设备生成经过初始共享密钥加密的访问令牌，所述初始共享密钥为所述网络认证设备与业务认证设备预先共享的密钥；该网络认证设备包括生成单元，该网络认证设备具体通过该生成单元来执行步骤S3101，该生成单元可以基于该网络认证设备的处理器来实现步骤S3101。

步骤S3102：所述网络认证设备将所述访问令牌发送给所述用户设备；该网络认证设备包括发送单元，该网络认证设备具体通过该发送单元来执行步骤S3102，该发送单元可以基于该网络认证设备的收发器来实现步骤S3102。

步骤S3103：所述用户设备接收所述访问令牌并将所述访问令牌发送给所述业务认证设备；该用户设备包括收发单元，该用户设备具体通过该收发单元来执行步骤S3103，该收发单元可以基于该用户设备的收发器来实现步骤S3103。

步骤S3104：所述业务认证设备接收所述访问令牌并通过所述初始共享密钥验证所述访问令牌的正确性；该业务认证设备包括接收单元，该业务认证设备具体通过该接收单元来执行步骤S3104，该接收单元可以基于该业务认证设备的收发器来实现步骤S3104。

步骤S3105：所述业务认证设备在验证出所述访问令牌正确时向所述用户设备发送验证成功消息，以通知与所述用户设备之间成功完成业务认证。该业务认证设备包括发送单元，该业务认证设备具体通过该发送单元来执行步骤S3105，该发送单元可以基于该业务认证设备的收发器来实现步骤S3105。

进一步地，该访问令牌还可以包括通过初始共享密钥生成的针对网络参数、业务参数、所述用户设备的身份标识和新鲜参数nonce中的至少一项的消息认证码。当包含该消息认证码时，在步骤S3104中还需要基于该初始共享密钥验证该消息认证码的正确性，步骤S3105中所述业务认证设备在验证出所述访问令牌正确时向所述用户设备发送验证成功消息，具体为：所述业务认证设备在验证出所述访问令牌正确以及验证出所述消息认证码正确时时向所述用户设备发送验证成功消息。此处描述的网络认证系统还可以参照图6D和图6E所对应实施例的相应描述。

步骤S3201：用户设备UE与网络认证设备进行网络认证。该用户设备和该网络认证设备均包括认证单元，该用户设备和该网络认证设备具体通过该认证单元来执行步骤S3201，该认证单元可以基于该用户设备和该网络认证设备的处理器来实现步骤S3201。

步骤S3202：网络认证设备在网络认证通过后生成认证令牌token和该token的过期信息，该过期信息用于表征该token什么时候过期；还可以生成范围信息，该范围信息用于表征该token可以被哪些业务认证设备使用；或者该范围信息用于表征该token可以被哪些用户设备使用。该网络认证设备包括生成单元，该网络认证设备具体通过该生成单元来执行步骤S3202，该生成单元可以基于该网络认证设备的处理器来实现步骤S3202。

步骤S3203：网络认证设备向该UE发送该token；还可以发送该网络认证设备相关的信息，该网络认证设备相关的信息用于表明该token来自于该网络认证设备。该网络认证设备包括发送单元，该网络认证设备具体通过该发送单元来执行步骤S3203，该发送单元可以基于该网络认证设备的收发器来实现步骤S3203。

步骤S3204：该用户设备向该业务认证设备发送该token和该网络认证设备的相关信息；该用户设备包括发送单元，该用户设备具体通过该发送单元来执行步骤S3204，该发送单元可以基于该用户设备的收发器来实现步骤S3204。

步骤S3205：该业务认证设备接收该token和该网络认证设备的相关信息，并根据该网络认证设备的相关信息向该网络认证设备发送该token；发送的消息可能还包括UE ID和业务认证设备的相关信息中的至少一项。该业务认证设备包括接收单元，该业务认证设备具体通过该接收单元来执行步骤S3205，该接收单元可以基于该业务认证设备的收发器来实现步骤S3205。

步骤S3206：该网络认证设备接收该token，判断该token是否为自身生成的token，如果该token为自身生成的token则进一步他根据该过期信息判断该token是否过期，若没过期则表明验证token成功。可选的，当该网络认证设备生成了范围信息时，该网络认证设备还需要根据该范围信息判断发送该token的业务认证设备是否为该范围信息中允许的业务认证设备，若为允许的业务认证设备且该token未过期则表明验证token成功。可选的，该范围信息用于表征该token可以被哪个用户设备使用时，该网络认证设备还需要根据该范围信息判断该用户设备是否为该范围信息中允许的用户设备，若该用户设备为允许的用户设备且该业务认证设备为允许的业务认证设备，并且该token未过期则表明验证token成功。该网络认证设备包括判断单元，该网络认证设备具体通过该判断单元来执行步骤S3206，该判断单元可以基于该网络认证设备的处理器来实现步骤S3206。

可选的，步骤S3205中不包含业务认证设备的相关信息，该网络认证设备也可以根据接收的token的来源确定业务认证设备的相关信息。

可选的，判断该用户设备是否为该范围信息中允许的用户设备时用到的该用户设备的相关信息，可以为该用户设备将该用户设备自身的相关信息发送至业务认证设备，再由业务认证设备在步骤S3205中一同发送至该网络认证设备。

步骤S3207：若验证token成功，则该网络认证设备向该业务认证设备发送消息通知token验证成功；该网络认证设备包括发送单元，该网络认证设备具体通过该发送单元来执行步骤S3207，该发送单元可以基于该网络认证设备的收发器来实现步骤S3207。

步骤S3208：该业务认证设备向该UE发送消息通知token验证成功。业务认证设备和UE双方都获知了token验证成功，即表明该业务认证设备与该UE之间认证成功。该业务认证设备包括发送单元，该业务认证设备具体通过该发送单元来执行步骤S3208，该发送单元可以基于该业务认证设备的收发器来实现步骤S3208。

步骤S3301：用户设备UE与网络认证设备进行网络认证，网络认证生成的共享密钥为网络共享密钥K1。该用户设备和该网络认证设备均包括认证单元，该用户设备和该网络认证设备具体通过该认证单元来执行步骤S3301，该认证单元可以基于该网络认证设备和该用户设备的处理器来实现步骤S3301。

步骤S3302：UE基于网络参数、业务参数、所述用户设备的身份标识和新鲜参数nonce中的至少一项来生成访问令牌token，并通过该网络共享密钥K1加密该访问令牌token。可选的，token＝Enc_K1_(K2，基础信息，MAC)，也即是说，该访问令牌token为采用K1对K2、基础信息和MAC加密生成；其中，K2为该UE确定的后续可能用作用户设备与业务认证设备之间保护数据传输的共享密钥，基础信息包括网络参数、业务参数、所述用户设备的身份标识和新鲜参数nonce中的至少一项，可选的，该用户设备可以预先向该网络认证设备和该业务认证设备获取需要用到的信息；MAC＝MAC_K1_(新鲜参数和/或基础信息)，即MAC为该基础信息的消息认证码，或者该新鲜参数的消息认证码(此处的新鲜参数可以与该基础信息中的新鲜参数相同也可以不同)，或者该基础信息和该新鲜参数的消息认证码；该消息认证码MAC由该网络共享密钥K1生成。该用户设备包括生成单元，该用户设备具体通过该生成单元来执行步骤S3302，该生成单元可以基于该用户设备的处理器来实现步骤S3302。

步骤S3303：UE向业务认证设备发送该token。该用户设备包括发送单元，该用户设备具体通过该发送单元来执行步骤S3303，该发送单元可以基于该用户设备的收发器来实现步骤S3303。

步骤S3304：业务认证设备接收该UE发送的该token并将该token转发该网络认证设备，该业务认证设备还可能向该网络认证设备发送该UE的相关信息(包括但不限于UE ID)，该相关信息可能由该UE发送至该业务认证设备的，该相关信息可以在一定范围内区分该UE与其他设备。该业务认证设备包括接收单元，该业务认证设备具体通过该接收单元来执行步骤S3304，该接收单元可以基于该业务认证设备的收发器来实现步骤S3304。

步骤S3305：该网络认证设备接收该token和该UE的相关信息；根据该UE的相关信息并找到与该UE网络认证生成的网络共享密钥K1，并使用K1解密token得到该共享密钥K2、该基础信息和消息认证码MAC；然后根据K1验证MAC的正确性，若验证MAC正确则表明验证token成功。该网络认证设备包括接收单元，该网络认证设备具体通过该接收单元来执行步骤S3305，该接收单元可以基于该网络认证设备的收发器来实现步骤 S3305。

步骤S3306：若验证token成功，则该网络认证设备向该业务认证设备发送消息通知token验证成功，该通知消息中还包括从token中获得的共享密钥K2；该网络认证设备包括发送单元，该网络认证设备具体通过该发送单元来执行步骤S3306，该发送单元可以基于该网络认证设备的收发器来实现步骤S3306。

步骤S3307：该业务认证设备向该UE发送消息通知token验证成功。业务认证设备和UE双方都获知了token验证成功，即表明该业务认证设备与该UE之间认证成功。该业务认证设备包括发送单元，该业务认证设备具体通过该发送单元来执行步骤S3307，该发送单元可以基于该业务认证设备的收发器来实现步骤S3307。

步骤S3308：该UE和该业务认证设备将该K2作为该UE与该业务认证设备之间用于保护数据安全传输的共享密钥。该用户设备和该业务认证设备均包括共享单元，该用户设备和该业务认证设备具体通过该共享单元来执行步骤S3308，该共享单元可以基于该用户设备的处理器和该业务认证设备的处理器来实现步骤S3308。

步骤S3401：用户设备UE与网络认证设备进行网络认证，网络认证生成的共享密钥为网络共享密钥K1。该网络认证设备和该用户设备均包括认证单元，该网络认证设备和该用户设备具体通过该认证单元来执行步骤S3401，该认证单元可以基于该网络认证设备的处理器和该用户设备的处理器来实现步骤S3401。

步骤S3402：UE基于网络参数、业务参数、所述用户设备的身份标识和新鲜参数nonce中的至少一项来生成访问令牌token，可选的，该token为消息认证码MAC，MAC＝MAC_K1_(新鲜参数和/或基础信息)，即MAC为该基础信息的消息认证码，或者该新鲜参数的消息认证码(此处的新鲜参数可以与该基础信息中的新鲜参数相同也可以不同)，或者该基础信息和该新鲜参数的消息认证码；该消息认证码MAC由该网络共享密钥K1生成。该用户设备包括生成单元，该用户设备具体通过该生成单元来执行步骤S3402，该生成单元可以基于该用户设备的处理器来实现步骤S3402。

步骤S3403：UE向业务认证设备发送该token。该用户设备包括发送单元，该用户设备具体通过该发送单元来执行步骤S3403，该发送单元可以基于该用户设备的收发器来实现步骤S3403。

步骤S3404：业务认证设备接收该UE发送的该token并将该token转发该网络认证设备，该业务认证设备还可能向该网络认证设备发送该UE的相关信息，该相关信息可能由该UE发送该业务认证设备的，该相关信息可以在一定范围内区分该UE与其他设备，例如，该用户设备的相关信息可以为该用户设备的身份标识(UEID)。该业务认证设备包括收发单元，该业务认证设备具体通过该收发单元来执行步骤S3404，该收发单元可以基于该业务认证设备的收发器来实现步骤S3404。

步骤S3405：该网络认证设备接收该token和该UE的相关信息；根据该UE的相关信息并找到与该UE网络认证生成的网络共享密钥K1，并根据K1验证MAC的正确性，若验证MAC正确则表明验证token成功。该网络认证设备包括接收单元，该网络认证设备具体通过该接收单元来执行步骤S3405，该接收单元可以基于该网络认证设备的收发器来实现步骤S3405。

步骤S3406：若验证token成功，则该网络认证设备向该业务认证设备发送消息通知token验证成功；该网络认证设备包括发送单元，该网络认证设备具体通过该发送单元来执行步骤S3406，该发送单元可以基于该网络认证设备的收发器来实现步骤S3405。

步骤S3407：该业务认证设备向该UE发送消息通知token验证成功。业务认证设备和UE双方都获知了token验证成功，即表明该业务认证设备与该UE之间认证成功。该业务认证设备包括收发单元，该业务认证设备具体通过该收发单元来执行步骤S3407，该收发单元可以基于该业务认证设备的收发器来实现步骤S3407。

为了便于理解，以下以token由业务认证设备生成为例来进行描述，token由UE生成的情况可以类比。

步骤S3501：用户设备UE与业务认证设备进行业务认证，生成的共享密钥为业务共享密钥K1；该UE可以在业务认证之前或者之后或者业务认证的过程中向该业务认证设备发送网络认证设备的相关信息，以表明该UE需要与该网络认证设备认证。该用户设备和该业务认证设备均包括认证单元，该用户设备和该业务认证设备具体通过该认证单元来执行步骤S3501，该认证单元可以基于该用户设备的处理器和该业务认证设备的处理器来实现步骤S3501。

步骤S3502：业务认证设备根据该网络认证设备的相关信息确定该网络认证设备预先与该业务认证设备共享的初始共享密钥K0；基于网络参数、业务参数、所述用户设备的身份标识和新鲜参数nonce中的至少一项来生成访问令牌token。可选的，token＝Enc_K0_(K2，基础信息，MAC)，也即是说，该访问令牌token为采用初始共享密钥K0对K2、基础信息和MAC进行的加密；其中，K2为该业务认证设备确定的，可能用作用户设备与网络认证设备之间保护数据传输的共享密钥，基础信息包括网络参数、业务参数、所述用户设备的身份标识和新鲜参数nonce中的至少一项，MAC＝MAC_K0_(新鲜参数和/或基础信息)，即MAC为该基础信息的消息认证码，或者该新鲜参数的消息认证码(此处的新鲜参数可以与该基础信息中的新鲜参数相同也可以不同)，或者该基础信息和该新鲜参数的消息认证码；该消息认证码MAC的生成采用初始共享密钥K0。该业务认证设备包括确定单元，该业务认证设备具体通过该确定单元来执行步骤S3502，该确定单元可以基于该业务认证设备的处理器来实现步骤S3502。

步骤S3503：该业务认证设备向UE发送K2和token，还可能发送业务认证设备的相关信息，所述业务认证设备的相关信息可以包括业务参数。该业务认证设备包括发送单元，该业务认证设备具体通过该发送单元来执行步骤S3503，该发送单元可以基于该业务认证设备的收发器来实现步骤S3503。

步骤S3504：UE接收K2和token并向网络认证设备发送该token和该业务认证设备的相关信息。UE可以自己生成该业务认证设备的相关信息，也可以在与该业务认证设备进行业务认证之时，或者之前，或者之后接收该业务认证设备发送的该业务认证设备的相关信息，优选的，在E在步骤S3503中接收该业务认证设备发送的业务认证设备的相关信息。该用户设备包括收发单元，该用户设备具体通过该收发单元来执行步骤S3504，该收发器单元可以基于该用户设备的收发器来实现步骤S3504。

步骤S3505：网络认证设备接收该token和该业务认证设备的相关信息，根据该业务认证设备的相关信息来确定预先与该业务认证设备共享的初始共享密钥K0，并使用K0解密token得到该共享密钥K2、该基础信息和消息认证码MAC；然后根据K0验证MAC的正确性，验证MAC成功后则表明该网络认证设备验证token成功。因此，该网络认证设备将该K2作为与该UE之间用于保护数据传输的共享密钥。该网络认证设备包括接收单元，该网络认证设备具体通过该接收单元来执行步骤S3505，该接收单元可以基于该网络认证设备的收发器来实现步骤S3505。

步骤S3506：该网络认证设备向该UE发送消息以通知验证token成功，相应地，该UE接收消息。该网络认证设备包括发送单元，该网络认证设备具体通过该发送单元来执行步骤S3506，该发送单元可以基于该网络认证设备的收发器来实现步骤S3506。

步骤S3507：该网络认证设备和该UE将该共享密钥K2作为该UE与该网络认证设备之间用户保护数据安全传输的共享密钥。该网络认证设备和该用户设备均包括共享单元，该网络认证设备和该用户设备具体通过该共享单元来执行步骤S3507，该共享单元可以基于该网络认证设备的处理器和该用户设备的的处理器来实现步骤S3507。

需要说明的是，还可以对以上网络认证系统进行相应拓展得到新的网络认证系统，拓展的思路如下：

K1为UE与网络认证设备之间的共享密钥，包括但不限于Kasme，加密密钥(英文：cihper key，简称：CK)和完整性保护密钥(英文：integrity key，简称：IK)中的的至少一项。

在本发明实施例中，所述网络认证设备和所述用户设备根据所述第二共享密钥进行网络认证生成所述目标共享密钥的方式有多种。

在一种可选的方案中，该网络认证设备可以包括的CP-AU，所述网络认证设备和所述用户设备根据所述第二共享密钥进行网络认证生成所述目标共享密钥，具体为：

步骤S4201：UE向CP-AU发送请求接入网络的消息，该请求接入网络的消息包含该UE的身份标识UEID和该UE与目标业务相关的业务标识，该请求接入网络的消息可以触发网络认证流程，该目标业务为该UE当前执行的业务。

步骤S4202：该CP-AU接收该请求接入网络的消息并通过预设的规则或者算法对该UEID和该业务标识进行处理或者与其他网元进行协商交互得到第二共享密钥Kser，以及向签约服务器(Subscriber Repository)发送请求签约数据的消息，该签约服务器中存储了该UE的签约信息，例如，存储了该UE的SIM卡号码。

步骤S4203：该签约服务器接收该请求签约数据的消息并根据该UEID确定与该UE预先共享的预置密钥K(可选的，该K为该SIM卡号码),然后根据该预置密钥K计算认证向量AV，该认证向量包括随机数RAND、网络侧认证令牌(英文：Authentication Token，简称：AUTN)，期待响应(英文：Expected Response，简称：XRES)和基础密钥K__NG(例如，该K__NG接入安全管理密钥(英文：Key Acess Security Management Entity，简称：K_ASME))等信息，该K__NG是基于预置密钥K和相关的网络参数来生成的；为了便于区分可以称该AV中的期待响应为初始期待响应，该网络侧认证令牌中包含消息认证码，可以称该消息认证码为网络侧初始消息认证码MAC。

步骤S4204：该签约服务器将该认证向量发送给该CP-AU。

步骤S4205：该CP-AU接收该签约服务器发送的该认证向量，并通过预设的消息认证码算法对该第二共享密钥Kser和该网络侧初始消息认证码MAC进行计算得到业务参考消息认证码MAC’，例如，该业务参考消息认证码MAC’＝MAC(Kser,MAC,(nonce1,RAND,SQN,NAS COUNT,UE ID的至少一项))，即生成该MAC’需要考虑Kser和MAC这两个因素，除此之外还可以考虑新鲜参数nonce1、RAND、序列号(英文：Sequence Number，简称：SQN)、NAS COUNT、UEID等参数，若MAC’的生成包括CP-AU选择的新鲜参数nonce1，则nonce1可以由CP-AU发送给UE。该消息认证码算法可为HMACsha-256等。

步骤S4206：该CP-AU向该UE发送认证请求消息，该认证请求消息包括该随机数RAND、K__NG的密钥索引KSI_NG、新的网络侧认证令牌AUTN’，此处的AUTN’＝SQN xor(异或)AK||AMF||MAC’，而上面AUTN＝SQN xor(异或)AK||AMF||MAC，也即是说，该CP-AU将签约服务器发送的AUTN中的MAC替换为了业务参考消息认证码MAC’，然后就替换后形成的新的网络侧认证令牌AUTN’发送给了UE。该CP-AU还要通过该预设的响应算法对该XRES和Kser进行计算得到参考期待响应XRES’，该CP-AU计算该参考期待响应XRES’的时机此处不做限定，例如，可以在步骤S4206之后以及步骤S4207之前；再如，在步骤S4210之后以及步骤S4211之前；还可以存在其他可能性，此处不再一一举例。

步骤S4207：该UE接收该认证请求消息(也可以称“用户认证请求”)，然后通过认证与密钥协商协议(英文：Authentication and Key Agreement，简称：AKA)的密钥推演算法对该认证请求消息中的信息进行计算，得到用户侧认证令牌AUTN_UE和响应(英文：Response，简称：RES)等信息，该用户侧认证令牌中的消息认证码可以称为用户侧初始消息认证码，该用户侧的响应可以称为初始响应。

步骤S4208：该UE通过上述预设的消息认证码算法对该第二共享密钥Kser和该用户侧初始消息认证码MAC进行计算得到用户侧参考消息认证码MAC”，然后判断业务参考消息认证码MAC’与该用户侧参考消息认证MAC”是否相同，若相同，则该UE已对该CP-AU的认证通过，由于认证的过程中使用到的信息与业务相关且与网络相关，因此可以看作该UE对该网络和该目标业务的认证通过。需要说明的是，该UE预先基于自身已有的UEID和业务标识计算出了该第二共享密钥Kser，或者该UE预先存储了该第二共享密钥Kser。

步骤S4209：若该UE对该CP-AU的认证通过，则该UE通过预设的响应算法对该RES 和该Kser进行计算得到参考响应RES’，例如，RES’＝MAC(Kser,RES,(nonce1,nonce2,RAND,SQN,NAS COUNT,UE ID的至少一项))，即计算该RES’需要考虑Kser和RES，除此之外还可能考虑nonce1、nonce2、RAND、SQN、NAS COUNT、UE ID等信息；然后，该UE将该RES’发送给该CP-AU。若RES’的生成包括UE选择的新鲜参数nonce2，则nonce2可以由该UE发送给该CP-AU。

步骤S4210：该CP-AU接收该RES’。

步骤S4211：该CP-AU判断自身计算出参考期待响应XRES’与该UE发送的参考响应RES’是否相同，若相同，则该CP-AU对该UE的认证通过，即网络和业务对UE的认证通过，可选的，若不相同，则该CP-AU对UE的业务认证未通过，这时，该CP-AU可能向该UE发送认证拒绝消息，该认证拒绝消息表明业务认证未通过。

步骤S4212：当该UE对该CP-AU的认证通过，以及该CP-AU对该UE的认证通过后，该UE和该CP-AU通过相同的密钥生成算法对该K_{_NG}和Kser进行计算生成密钥，生成的密钥即为该UE与该CP-AU之间双向认证生成的目标共享密钥。该UE和CP-AU使用的哪种密钥生成算法此处暂不作限定。可以理解的是，该UE可以通过K_{_NG}的索引KSI__NG获取到该K_{_NG}。另外，UE可以在通过了对CP-AU的认证后就生成该目标共享密钥，而CP-AU可以在通过该UE的认证后再生成该目标共享密钥。

请参见图32，图32是本发明实施例提供的又一种网络认证方法的流程示意图，该流程是步骤S4201～S4212的一种可能的表现形式，在该可能的表现形式中，UE与CP-AU的之间的交互的信息可以经过无线接入网(英文：Radio Access Network，简称：RAN)，该CP-AU可以进一步划分为更小的多个网元，由以上描述可知，该CP-AU承担的功能包括向签约服务器获取认证向量、根据签约服务器反馈的认证向量生成MAC’和XRES’、向UE反馈认证请求消息、验证RES’和XRES’等操作，这些操作可以由该CP-AU中划分的多个网元来分别承担，例如，该CP-AU可以划分为安全锚点(英文：Security Anchor Function，简称：SEAF)、(英文：Authentication Server Function，简称：AUSF)等，其中，向签约服务器获取认证向量、根据签约服务器反馈的认证向量生成MAC’和XRES’由AUSF承担，向UE反馈认证请求消息、验证RES’和XRES’由SEAF承担，SEAF和AUSF在承担各自的操作的过程中，SEAF和AUSF之间还可能需要进行一些协商；另外，该签约服务器可以为认证信任状存储和处理单元(英文：Authentication Credential Repository and Processing Function，简称：ARPF)。

在又一种可选的方案中，该网络认证设备可以包括的CP-AU，所述网络认证设备和所述用户设备根据所述第二共享密钥进行网络认证生成所述目标共享密钥，具体为：

步骤S4301：UE向CP-AU发送请求接入网络的消息，该请求接入网络的消息包含该UE的身份标识UEID和目标业务的业务标识，该目标业务为该UE当前执行的业务。

步骤S4302：该CP-AU接收请求接入网络的消息并根据对该UEID和该业务标识获取第二共享密钥Kser，以及向签约服务器(Subscriber Repository)发送请求签约数据的消息，该签约服务器中存储了该UE的签约信息，例如，存储了该UE的SIM卡号码。

步骤S4303：该签约服务器接收该请求签约数据的消息并根据该UEID确定与该UE预先共享的预置密钥K(可选的，该K为该SIM卡号码),然后根据该预置密钥K计算认证向量AV，该认证向量包括随机数RAND、网络侧认证令牌(英文：Authentication Token，简称：AUTN)，期待响应(英文：Expected Response，简称：XRES)和基础密钥K__NG(例如，接入安全管理密钥(英文：Key Acess Security Management Entity，简称：K_ASME))等信息，该K__NG是基于预置密钥K和相关的网络参数来生成的；为了便于区分可以称该AV中的期待响应为初始期待响应，该网络侧认证令牌中包含消息认证码，可以称该消息认证码为网络侧初始消息认证码MAC。

步骤S4304：该签约服务器将该认证向量发送给该CP-AU。

步骤S4305：该CP-AU接收该签约服务器发送的该认证向量，并通过预设的第一消息认证码算法对RAND、该第二共享密钥Kser等信息进行计算得到网络侧附加消息认证码MAC1，例如，该网络侧附加消息认证码MAC1＝MAC(Kser,RAND,(nonce1,该MACSQN,NAS COUNT,UE ID的至少一项))，即生成该MAC1需要考虑Kser和RAND，除此之外还可以考虑该网络侧初始消息认证码新鲜参数nonce1、MAC、序列号(英文：Sequence Number，简称：SQN)、NAS COUNT、UEID等参数，若MAC1的生成包括CP-AU选择的新鲜参数nonce1，则nonce1可以由CP-AU发送给UE。该消息认证码算法可为HMACsha-256等。

步骤S4306：该CP-AU向该UE发送认证请求消息(或者称为“用户认证请求”)，该认证请求消息包括该随机数RAND、K_{_NG}的密钥索引KSI__NG、网络侧初始消息认证码MAC、网络侧附加消息认证码MAC1等信息，该MAC和该MAC1可以存在于网络侧认证令牌AUTN中，该MAC和该MAC1存在于网络侧认证令牌AUTN中时，AUTN＝SQN xor(异或)AK||AMF||MAC||MAC1。该MAC1也可能不存储在该AUTN中。

步骤S4307：该UE接收该认证请求消息，然后通过认证与密钥协商协议(英文：Authentication and Key Agreement，简称：AKA)的密钥推演算法对该认证请求消息中的信息进行计算，得到用户侧认证令牌AUTN_UE和响应(英文：Response，简称：RES)等信息，该用户侧认证令牌中的消息认证码可以称为用户侧初始消息认证码，该用户侧认证令牌中的响应可以称为初始响应。

步骤S4308：该UE同样通过上述预设的第一消息认证码算法对该RAND、该第二共享密钥Kser和MAC进行计算得到用户侧附加消息认证码MAC1’，然后判断网络侧附加消息认证码MAC1是否与该用户侧附加消息认证MAC1’相同，以及用户侧初始消息认证码与网络侧初始消息认证码是否相同；若均相同则该UE对该CP-AU的认证通过。需要说明的是，该UE预先基于自身已有的UEID和业务标识计算出了该第二共享密钥Kser。由于认证的过程中使用到的信息与业务相关且与网络相关，因此可以看作该UE对该网络和该目标业务的认证通过。可以理解的是，当生成该网络侧附加消息认证时用到了该网络侧初始消息认证码时，该UE需要先判断该网络侧初始消息认证码与该用户侧初始消息认证码是否相同，若相同再判断该网络侧附加消息认证码与该用户侧附加消息认证码是否相同。

步骤S4309：若该UE对该CP-AU的认证通过，则该UE通过预设的第二消息认证码算法对该Kser和RAND进行计算得到用户侧响应消息认证码MAC2，例如，MAC2＝MAC(Kser,(RES,(nonce1,nonce2,SQN,NAS COUNT,UE ID的至少一项))，即计算该MAC2需要考虑Kser和RAND，除此之外还可能考虑RES、nonce1、nonce2、SQN、NAS COUNT、UE ID等参数；然后，该UE将该初始响应RES和该用户侧响应消息认证码MAC2发送给该CP-AU。若MAC2的生成包括UE选择的新鲜参数nonce2，则nonce2可以由该UE发送给该CP-AU。

步骤S4310：该CP-AU接收该RES和该MAC2，然后同样通过该预设的第二消息认证码算法对该Kser进行计算得到网络侧响应消息认证码MAC2’。

步骤S4311：该CP-AU判断初始期待响应XRES是否与该UE发送的初始响应RES相同，且该网络侧响应消息认证码MAC2’是否与该用户侧响应消息认证码MAC2相同；若均相同则该CP-AU对该UE的认证通过，即该网络对该UE的认证通过，可选的，若至少有一项不同，则该CP-AU对UE的认证未通过，这时，该CP-AU可以向该UE发送认证拒绝消息，该认证拒绝消息用于对应的表明网络或者业务对UE的认证不成功。可以理解的是，当计算该用户侧响应消息认证码用到了初始响应RES时，该CP-AU需要先判断该初始响应RES与该初始期待响应是否相同，若相同再判断该网络侧响应消息认证码与该用户侧响应消息认证码是否相同。

步骤S4312：当该UE对该CP-AU的认证通过，以及该CP-AU对该UE的认证通过后，该UE和该CP-AU通过相同的密钥生成算法对该K_ASME和Kser进行计算生成密钥，生成的密钥即为该UE与该CP-AU之间双向认证生成的目标共享密钥。该UE和CP-AU使用的哪种密钥生成算法此处暂不作限定。可以理解的是，该UE可以通过K_{_NG}的索引KSI__NG获取到该K_{_NG}。另外，UE可以在通过了对CP-AU的认证后就生成该目标共享密钥，而CP-AU可以在通过该UE的认证后再生成该目标共享密钥。

请参见图33，图33是本发明实施例提供的又一种网络认证方法的流程示意图，该流程是步骤S4301～S4312的一种可能的表现形式，在该可能的表现形式中，UE与CP-AU的之间的交互的信息可以经过RAN，该CP-AU可以进一步划分为更小的多个网元，由以上描述可知，该CP-AU承担的功能包括向签约服务器获取认证向量、根据签约服务器反馈的认证向量生成MAC1、向UE反馈认证请求消息、生成MAC2’、验证MAC2和MAC2’等操作，这些操作可以由该CP-AU中划分的多个网元来分别承担，例如，该CP-AU可以划分为SEAF、AUSF等，其中，向签约服务器获取认证向量、根据签约服务器反馈的认证向量生成MAC1由AUSF承担，向UE反馈认证请求消息、生成MAC2’、验证MAC2’和MAC2由SEAF承担，SEAF和AUSF在承担各自的操作的过程中，SEAF和AUSF之间还可能需要进行一些协商；另外，该签约服务器可以为ARPF。

需要说明的是，在第二代移动通信技术(The 2nd Generation，2G)、第三代移动通信技术(3rd-Generation，3G)、第四代移动通信技术(4th-Generation，4G)、长期演进(Long Term Evolution，LTE)、第五代移动通信技术(5th-Generation，5G)以及后续可能的通信技术中，都存在UE与其他网元之间进行认证的情况，例如，上述图3A-3L所示实施例中涉及了UE与其他网元之间的认证，为了便于区分可以称该认证为“目标认证”，该目标认证可以为双向认证也可以为单向认证，下面将以双向认证为例进行描述，将下面方案中“双向认证”的字样改为“单向认证”即得到该目标认证为单向认证的方案。

以5G为例，5G中提出的二次认证(secondary authentication)包括UE与运营商网络以外的提供业务服务的第三方网元(例如，前述实施例中的“业务认证服务器”、“业务服务器”等)之间的双向认证，以下实施例重点讲述运营商网络如何获取UE与其他网元之间双向认证所需要的信息，例如，双向认证所需要的认证协议、密钥算法(也称“密码算法”)等信息。在一些场景中，UE可能会先后执行发送协议数据单元(Protocol Data Unit，PDU)会话建立请求、进行双向认证等操作，当该PDU会话建立请求(上述实施例中描述的“第一请求消息”可以为PDU会话建立请求)经过运营商网络中的网元时，可以触发运营商网络中的网元获取该UE后续进行双向认证所需要的信息，然后该运营商网络中的网元将该UE后续进行双向认证所需要的信息发送给该UE。另外，在本发明实施例中，当提到一个网元向另一个网元发送消息时，可能这两个网元之间还存在其他网元进行消息中转，也即是说，该第一个网元向该另一个网元发送消息可能是直接发送也可能是间接发送的。

请参见图34A，图34A是本发明实例提供的又一种网络认证方法的流程示意图，该方法包括但不限于如下步骤：

步骤S4401：UE向接入与移动性管理网元AMF发送PDU会话建立请求。

具体地，该PDU会话建立请求可以携带用户设备UE的身份标识、第三方标识、PDU会话参数、UE的安全能力信息，其中，UE的身份标识包括第三方网元为该UE分配的标识UE_DN_ID、IP地址、IMSI、IMEI、全球唯一临时标识(Globally Unique Temporary Identifier，GUTI)、移动订阅用户ISDN号码(Mobile Subscriber ISDN Number，MSISDN)、临时移动客户识别码(Temporary Mobile Subscriber Identity，TMSI)等，第三方标识可以为与业务相关的业务参数，例如，接入点名称(Access Point Name，APN)、业务服务器IP地址、业务认证服务器IP地址、业务服务器统一资源标志符(Uniform Resource Identifier，URI)、业务认证服务器URI、切片标识、数据网络名等，PDU会话参数可以包括PDU会话ID、PDU类型、会话和服务连续性(session and service continuity，SSC)模式、用户位置信息、接入技术类型、外部数据网络对PDU会话授权信息、协议配置选项等，UE的安全能力信息描述了UE支持的认证协议、密钥算法等与密钥生成相关的信息。

该UE向接入与移动性管理网元(Access and Mobility Management Function，AMF)发送PDU会话建立请求后，该AMF接收该PDU会话建立请求，该AMF可以依据该PDU会话建立请求中携带的信息选择一个会话管理网元(Session Management Function，SMF)，例如，根据PDU会话建立请求中的第三方标识选择一个SMF，也可能该AMF根据自身已有的信息来选择SMF，例如，根据自身获取的各个SMF的负载信息从该各个SMF中选择一个SMF，也可能根据UE的订阅数据来选择一个SMF，该订阅数据可以包含为UE服务的各个SMF的SMF标识等信息，也可能采用其他选取策略来选择一个SMF；然后，该AMF向选择的SMF转发该PDU会话建立请求。

步骤S4402：SMF接收AMF发送的PDU会话建立请求。

步骤S4403：SMF响应所述PDU会话建立请求向用户设备UE发送认证通知消息。

具体地，该SMF接收到该PDU会话建立请求后，就可以获知运营商网络需要为该UE建立PDU会话以支持该UE与某个网元之间建立PDU连接，而在为该UE建立PDU会话之前，该UE往往需要先与该某个网元进行双向认证，在本发明实施例中，该SMF向UE发送认证通知消息以为UE与该某个网元之间的双向认证提供一些信息，例如，所述认证通知消息可以包括用于指示是否进行双向认证的信息、用于定义所述双向认证的认证协议的信息和用于定义所述双向认证的密钥算法的信息等。

需要说明的是，该SMF预先存储了该认证通知消息所包含的信息或者该SMF会根据预先配置的策略生成该认证通知消息所包含的信息，以所述SMF确定所述双向认证的认证协议和/或密钥算法为例，所述SMF确定所述双向认证的认证协议和/或密钥算法，包括：所述SMF向安全策略控制网元(英文：Security Policy Control Function，SPCF)发送针对所述UE的安全策略请求，该SPCF可能为策略控制网元(Policy Control Function，PCF)上的一个负责与安全相关的策略的管理的功能模块，也可能为类似PCF的一种进行策略管理的网元；然后，所述SMF接收所述SPCF根据所述安全策略请求获取的与所述UE存在预设匹配关系的安全策略，所述安全策略可以包括用来判断是否要进行双向认证(例如，5G中的双向认证)的信息、用来确定双向认证所需要的认证协议的信息、用来确定双向认证需要用到的密钥算法的信息、用来确定双向认证的启动时间或所需频率的信息、用来确定是否需要根据二次认证生成、获取共享密钥或是否使用二次认证生成的共享密钥的信息等；所述SMF根据所述安全策略生成所述双向认证的认证协议和/或密钥算法。可选的，所述SMF还会根据所述安全策略确定所述UE是否需要与业务认证服务器进行双向认证，所述业务认证服务器用于验证所述UE是否具有调用预设业务的权限。可选的，所述SMF还会根据所述安全策略获得、使用共享密钥，或者把共享密钥发给UPF。

由以上描述可知该SPCF存在与所述UE存在预设匹配关系的安全策略，现介绍该SPCF可以通过哪些方式获得与所述UE存在预设匹配关系的安全策略。首先，安全策略控制网元SPCF接收会话管理网元SMF发送的针对用户设备UE的安全策略请求；然后，所述SPCF根据所述安全策略请求向所述SMF发送与所述UE存在预设匹配关系的安全策略，所述安全策略用于所述SPCF确定UE双向认证所需的认证方法和/或密钥算法和/或是否在双向认证后生成、获取或使用密钥。可选的，该业务服务器可以在与所述UE存在预设匹配关系的安全策略更新后，主动将最新的与所述UE存在预设匹配关系的安全策略发送给该SPCF，以便该SPCF可以将其发送给SMF。可选的，所述SPCF根据所述安全策略请求向所述SMF发送与所述UE存在预设匹配关系的安全策略，可以为：所述SPCF根据所述安全策略请求向业务服务器发送订阅数据请求，以请求与所述UE存在预设匹配关系的安全策略，所述业务服务器用于提供业务的访问服务；相应地，该业务服务器接收该订阅数据请求，然后响应该订阅数据请求来向SPCF发送与所述UE存在预设匹配关系的安全策略；相应地，所述SPCF接收所述业务服务器发送的所述安全策略；所述SPCF再将所述安全策略发送给所述SMF。可选的，所述SPCF根据所述安全策略请求向所述SMF发送与所述UE存在预设匹配关系的安全策略，还可以为：所述SPCF根据所述安全策略请求从预先缓存的信息中查找与所述UE存在预设匹配关系的安全策略；然后，所述SPCF将所述安全策略发送给所述SMF。可选的，SMF可以给UPF发送双向认证得到到的共享密钥。

步骤S4404：UE接收所述SMF响应所述PDU会话建立请求而发送的认证通知消息。

具体地，该UE会解析出该认证通知消息中包含的信息，例如，该认证通知消息中包含用于指示是否进行双向认证的信息，那么，该UE就可以解析出用于指示是否进行双向认证的信息，然后根据该信息确定后续是否进行双向认证，若确定出需要进行双向认证则进行双向认证，若确定出不需要进行双向认证则不进行双向认证。再如，该认证通知消息中包含用于定义所述双向认证的认证协议的信息，那么，该UE就可以解析出用于定义所述双向认证的认证协议的信息，该UE后续进行双向认证时就根据该用于定义所述双向认证的认证协议的信息所定义的认证协议进行认证。再如，该认证通知消息包含用于定义所述双向认证的密钥算法的信息，那么，该UE可以解析出用于定义所述双向认证的密钥算法的信息，该UE后续进行双向认证时就可以根据该用于定义所述双向认证的密钥算法的信息所定义的密钥算法来生成密钥。当该认证通知消息包含其他信息时，UE对其他信息的解析和使用方式可以参照上面三个例子的描述，此处不再赘述。

在执行S4404之后，还可能执行步骤S4405-S4407，步骤S4405-S4407的描述如下：

步骤S4405：SMF向所述UE发送使用可扩展的身份验证协议EAP身份请求。

具体地，该使用可扩展的身份验证协议(Extensible Authentication Protocol，EAP)身份请求用于请求表明该UE的身份的信息，例如，UE的UE_DN_ID、MSISDN等信息。

步骤S4406：所述UE接收该身份验证协议EAP身份请求并向所述SMF发送针对所述EAP身份请求的EAP身份响应。该EAP身份响应包含表明该UE的身份的信息。

步骤S4407：所述SMF接收所述EAP身份响应。

在执行S4404之后，还可能执行步骤S4408，步骤S4408的描述如下：

步骤S4408：SMF向业务认证服务器发送用于指示UE的身份的EAP身份响应。

具体地，该步骤是在UE与业务认证服务器进行双向认证之前进行的，该SMF向该业务认证服务器发送EAP身份响应以将该UE的身份告知给该业务认证服务器。需要说明的是，SMF可能是在执行完步骤S4405-S4407才具有该EAP身份响应，也可能不需要执行步骤S4405-S4407该SMF就已经通过其他方式获取了能够表明该UE的身份的信息，并且可以根据该表明UE的身份的信息生成该EAP身份响应。可选的，SMF向业务认证服务器发送用于指示所述UE的身份的EAP身份响应，可以具体为：所述SMF选择用户面网关UPF，SMF可以根据如下参数中的一项或多项或者其他参数选择用户面网关(User Plan Function，UPF)：UPF是否具有识别和转发认证消息的能力、UPF安全能力(支持的密码算法和密钥长度)、第三方标识、UPF动态负载、UPF位置信息、UPF容量、PDU会话参数、用户签约数据、本地运营策略；然后，所述SMF与选择的所述UPF建立会话(例如，N4会话)以用于转发所述AMF与业务认证服务器之间双向认证时交互的信息，所述SMF通过所述会话向所述UPF发送EAP身份响应，相应地，该UPF向该业务认证服务器转发该EAP身份响应。

需要说明的是，该SMF与该UPF之间的会话建立后以及向该UPF发送与双向认证相关的消息之前，该SMF可以先向该UPF发送分组过滤和转发规则，该UPF可以根据分组过滤和转发规则识别双向认证中的认证消息并将该认证消息转发到SMF或业务认证服务器。SMF可以根据自身已有的信息生成分组过滤和转发规则，也可能根据从其他网元中获取的信息生成分组过滤和转发规则，例如，根据从UE、应用功能(Application Function，AF)、策略控制网元PCF(Policy Control Function)中获取的信息生成分组过滤和转发规则。

在执行步骤S4404之后，还可能执行步骤S4409，步骤S4409的描述如下：

步骤S409：所述UE与业务认证服务器根据所述认证通知消息进行双向认证。

具体地，该业务认证服务器属于运营商网络以外的第三方网元，该第三方网元可以看做一种网元类别，它可以包含多个更具体的网元，该第三方网元中的各个网元相互协作来使像UE这样的用户可以访问到所需要的服务，那么，第三方网元中的一部分网元可能用来提供业务访问服务，这部分网元提供的业务可以称为预设业务，第三方网元中的又一部分网元可能用来验证用户(例如，UE)是否具有调用该预设业务的权限，本发明实施例中称用于验证所述UE是否具有调用预设业务的权限的网元为业务认证服务器，称提供预设业务的访问服务的网元为业务服务器。

该UE获得了上述认证通知消息后可以与该业务认证服务器进行双向认证，双向认证使用的相关信息(例如，认证协议、密钥算法等)可以为从该认证通知消息中获得的，从该认证通知消息中获得的认证协议可以为用于第三代认证和密钥协商的可扩展认证协议方法EAP-AKA、改进的用于第三代认证和密钥协商的可扩展认证协议方法EAP-AKA’、用于传输层安全的可扩展认证协议方法EAP-TLS、用于全球移动通信系统用户识别模块的可扩展协议认证方法EAP-SIM等协议。在认证过程中，UE和业务认证服务器可以根据共享的预置对称密钥或非对称密钥协商用户面保护密钥。在5G中，该UE与业务认证服务器之间的认证可以称为“二次认证”。另外，该业务认证服务器还可以将认证结果通知给该SMF，例如，该业务认证服务器将该认证结果先发送给用户面网关UPF，该UPF再将该认证结果转发给该SMF，其中，该认证结果可以包括UE与业务认证服务器双向认证所得到的密钥。

需要说明的是，上述步骤S4401-S4404的流程、步骤S4405-S4407的流程、步骤SS4408的流程和步骤S4409的流程这四段流程可以进行组合得到几种不同的方案，例如，一种方案是执行步骤S4401-S4404的流程，又一种方案是依次执行步骤S4401-S4404的流程、步骤S4405-S4407的流程、步骤SS4408的流程和步骤S4409的流程，又一种方案是依次执行步骤S4401-S4404的流程、步骤SS4408的流程和步骤S4409的流程，又一种方案是依次执行步骤S4401-S4404的流程、步骤S4405-S4407的流程和步骤S4409的流程，又一种方案是依次执行步骤S4401-S4404的流程和步骤S4409的流程。

请参见图34B，图34B为本发明实施例提供的又一种网络认证方法的流程示意图，图34B所示的网络认证方法为图34A所示的网络认证方法的一种更具体的实现方案，图34B所示的网络认证方法中可以包括UE、AMF、SMF、UPF、UDM、SPCF、业务认证设备和业务认证服务器这些网元，其中，可以将AMF、SMF、UPF、UDM、SPCF这些属于运营商网络的网元归类为网络认证设备；可以将业务认证服务器和业务服务器这些运营商网络以外的与第三方业务相关的设备归类为业务认证设备。该网络认证方法包括但不限于如下步骤：

步骤S4501：该UE向AMF发送PDU会话建立请求。

步骤S4502：该AMF接收该PDU会话建立请求并选择SMF。

步骤S4503：该AMF向该SMF转发该PDU会话建立请求。

步骤S4504：该SMF接收该PDU会话建立请求，并向统一数据管理网元(Unified Data Management，UDM)获取用户订阅数据，该用户订阅数据可以包含针对UE的会话控制信息、为UE提供业务服务的第三方网元的信息等。

步骤S4505：该SMF向SPCF发送安全策略请求。

步骤S4506：该SPCF接收该安全策略请求并向业务服务器发送订阅数据请求。

步骤S4507：该业务服务器接收该订阅数据请求并响应该订阅数据请求来向SPCF发送与所述UE存在预设匹配关系的安全策略。

步骤S4508：该SPCF接收该安全策略并将该安全策略发送给SMF。

步骤S4509：该SMF接收该安全策略并根据该安全策略确定该UE是否满足预设的进行双向认证(例如，二次认证)的条件。

步骤S4510：该SMF根据该安全策略确定UE双向认证所需要的认证协议、密钥算法、是否确定双向认证后获取、使用共享密钥等信息。

步骤S4511：该SMF向该UE发送认证通知消息，该认证通知消息可以包含用于指示是否进行双向认证的信息、用于定义所述双向认证的认证协议的信息和用于定义所述双向认证的密钥算法的信息、用于指示是否在双向认证后生成、使用共享密钥的信息等。

步骤S4512：该SMF向该UE发送EAP身份请求。

步骤S4513：该UE接收该EAP身份请求并向该SMF反馈EAP身份响应。

步骤S4514：该SMF选择UPF。

步骤S4515：该SMF与选择的UPF建立会话(例如，N4会话)。

步骤S4516：该SMF向该UPF发送分组过滤和转发规则，相应地，该UPF接收该分组过滤和转发规则，后续依据该分组过滤和转发规则进行数据的过滤和转发。

步骤S4517：该SMF向该UPF发送用于指示该UE身份的EAP身份响应，相应地，该UPF接收该EAP身份响应并根据该分组过滤和转发规则将该EAP身份响应转发该业务认证服务器。

步骤S4518：该UE与该业务认证服务器根据认证通知消息进行双向认证。可选的，认证过程中的消息的传输路径可以为UE—AMF—SMF—UPF—业务认证服务器。

在图34B所示的实施例中，步骤S4512和S4513可以存在也可以不存在；当SMF已经存储了用户订阅数据时，步骤S4504可以不存在。另外，图34B所示的方案可以适用于漫游场景和非漫游场景，在非漫游场景中，上述AMF、SMF、UPF、UDM和SPCF均属于该UE的归属网络中的网元；在漫游场景中，上述AMF属于拜访网络中的网元，上述SMF、UPF、UDM和SPCF均属于该UE的归属网络中的网元，该拜访网络中的网元AFM向该归属网络中的SMF发送PDU会话建立请求时，该PDU会话建立请求先经过该拜访网络中的SMF(图34B中未画出)，再由该拜访网络中的SMF转发给归属网络中的SMF。并且，上述AMF选择SMF是指选择拜访网络中的SMF。后续双向认证过程中消息的传输路径可以为UE—AMF—V-SMF—H-SMF—UPF—业务认证服务器，其中，V-SMF拜访网络中的SMF，H-SMF为归属网络中的SMF，进一步地，后续的认证结果除了发送给H-SMF外还可以发送给V-SMF。

在图34A和34B所示的方法中，当该UE需要与其他网元进行双向认证时，该UE向运营商网络发送PDU会话建立请求，该运营商网络中的SMF接收到该PDU会话建立请求后，向该UE发送认证通知消息以规定该UE双向认证时所采用的认证协议、密钥算法等信息，使得该UE与其他网元之间的双向认证能够顺利进行。

请参见图35，图35是本发明实施例提供的一种通信系统350的结构示意图，该通信系统350包括用户设备UE3501、接入与移动性管理网元AMF302和会话管理网元SMF3503，各个网元的描述如下：UE用于向该AMF发送协议数据单元PDU会话建立请求；该AMF用于接收该PDU会话建立请求，根据该PDU会话建立请求确定会话管理网元SMF，向确定的该SMF发送该PDU会话建立请求；该SMF用于接收该PDU会话建立请求，响应该PDU会话建立请求向该UE发送认证通知消息，该认证通知消息包括用于指示是否进行目标认证的信息、用于定义该目标认证的认证协议的信息和用于定义该目标认证的密钥算法的信息中至少一项，所述目标认证包括双向认证或者单向认证；该UE用于接收该认证通知消息。

通过运行上述系统，当该UE需要与其他网元进行目标认证时，该UE向运营商网络发送PDU会话建立请求，该运营商网络中的SMF接收到该PDU会话建立请求后，向该UE发送认证通知消息以规定该UE目标认证时所采用的认证协议、密钥算法等信息，使得该UE与其他网元之间的目标认证能够顺利进行。

在一种可选的方案中，该系统还包括业务认证服务器，该业务认证服务器用于验证该UE是否具有调用预设业务的权限，该UE用于与业务认证服务器根据该认证通知消息进行目标认证。

在又一种可选的方案中，该SMF用于向该UE发送使用可扩展的身份验证协议EAP身份请求；该UE用于接收该SMF发送的使用可扩展的身份验证协议EAP身份请求，根据该EAP身份请求向该SMF发送EAP身份响应；该SMF用于接收该UE发送的针对该EAP身份请求的EAP身份响应。

在又一种可选的方案中，该SMF用于确定该目标认证的认证协议和/或密钥算法。

在又一种可选的方案中，该SMF用于确定该目标认证的认证协议和/或密钥算法，具体为：该SMF用于向安全策略控制网元SPCF发送针对该UE的安全策略请求；接收该SPCF根据该安全策略请求获取的与该UE存在预设匹配关系的安全策略，该安全策略用于该SPCF确定UE目标认证所需的认证方法和/或密钥算法；根据该安全策略生成该目标认证的认证协议和/或密钥算法。

在又一种可选的方案中，该SMF用于根据该安全策略确定该UE需要与业务认证服务器进行目标认证，该业务认证服务器用于验证该UE是否具有调用预设业务的权限。

在又一种可选的方案中，该SMF用于向业务认证服务器发送用于指示该UE的身份的EAP身份响应。

在又一种可选的方案中，该SMF用于向业务认证服务器发送用于指示该UE的身份的EAP身份响应，具体为：该SMF用于选择用户面网关UPF；与选择的该UPF建立会话以用于转发该SMF与业务认证服务器之间目标认证时交互的信息；通过该会话向业务认证服务器发送用于指示该UE的身份的EAP身份响应。

在又一种可选的方案中，该系统包括安全策略控制网元SPCF，其中：该SMF用于向该SPCF发送针该UE的安全策略请求；该SPCF用于接收该针对用户设备UE的安全策略请求，根据该安全策略请求向该SMF发送与该UE存在预设匹配关系的安全策略，该安全策略用于该SPCF确定UE目标认证所需的认证方法和/或密钥算法；该SMF用于接收该与该UE存在预设匹配关系的安全策略。

在又一种可选的方案中，该根据该安全策略请求向该SMF发送与该UE存在预设匹配关系的安全策略，具体为：根据该安全策略请求向业务服务器发送订阅数据请求，以请求与该UE存在预设匹配关系的安全策略，该业务服务器用于提供业务的访问服务；接收该业务服务器发送的该安全策略；将该安全策略发送给该SMF。

在又一种可选的方案中，该根据该安全策略请求向该SMF发送与该UE存在预设匹配关系的安全策略，具体为：根据该安全策略请求从预先缓存的信息中查找与该UE存在预设匹配关系的安全策略；将该安全策略发送给该SMF。

图35所示的通信系统350中各个网元的具体实现可以对应参照图34A和34B所示方法实施例的相应描述，此处不再赘述。

在图35所示的通信系统中，当该UE需要与其他网元进行目标认证时，该UE向运营商网络发送PDU会话建立请求，该运营商网络中的SMF接收到该PDU会话建立请求后，向该UE发送认证通知消息以规定该UE目标认证时所采用的认证协议、密钥算法等信息，使得该UE与其他网元之间的目标认证能够顺利进行。

请参见图36，图36是本发明实施例提供的一种用户设备UE360的结构示意图，该UE包括第一发送单元3601和第一接收单元3602，其中，第一发送单元3601用于向接入与移动性管理网元AMF发送协议数据单元PDU会话建立请求，以使该AMF根据该PDU会话建立请求确定会话管理网元SMF并将该PDU会话建立请求发送给该SMF；第一接收单元3602用于接收该SMF响应该PDU会话建立请求而发送的认证通知消息，该认证通知消息包括用于指示是否进行目标认证的信息、用于定义该目标认证的认证协议的信息和用于定义该目标认证的密钥算法的信息中至少一项，所述目标认证包括双向认证或者单向认证。

在一种可选的方案中，UE还包括认证单元，用于在该第一接收单元接收该SMF响应该PDU会话建立请求而发送的认证通知消息之后，与业务认证服务器根据该认证通知消息进行目标认证，该业务认证服务器用于验证该UE是否具有调用预设业务的权限。

在又一种可选的方案中，UE还包括第二接收单元和第二发送单元，其中，第二接收单元，用于在该第一接收单元接收该SMF响应该PDU会话建立请求而发送的认证通知消息之后，接收该SMF发送的使用可扩展的身份验证协议EAP身份请求；第二发送单元，用于根据该EAP身份请求向该SMF发送EAP身份响应。

图36所示的UE360中各个网元的具体实现可以对应参照图34A和34B所示方法实施例的相应描述，此处不再赘述。

在图36所示的UE中，当该UE需要与其他网元进行目标认证时，该UE向运营商网络发送PDU会话建立请求，该运营商网络中的SMF接收到该PDU会话建立请求后，向该UE发送认证通知消息以规定该UE目标认证时所采用的认证协议、密钥算法等信息，使得该UE与其他网元之间的目标认证能够顺利进行。

请参见图37，图37是本发明实施例提供的一种会话管理网元SMF370的结构示意图，该SMF包括第三接收单元3701和第三发送单元3702，其中，第三接收单元3701用于接收接入与移动性管理网元AMF发送的协议数据单元PDU会话建立请求；第三发送单元3702用于响应该PDU会话建立请求向用户设备UE发送认证通知消息，该认证通知消息包括用于指示是否进行目标认证的信息、用于定义该目标认证的认证协议的信息和用于定义该目标认证的密钥算法的信息中至少一项，所述目标认证包括双向认证或者单向认证。

在一种可选的方案中，该认证通知消息用于该UE与业务认证服务器进行目标认证，该业务认证服务器用于验证该UE是否具有调用预设业务的权限。

在又一种可选的方案中，SMF还包括确定单元，用于在该第三接收单元接收接入与移动性管理网元AMF发送的协议数据单元PDU会话建立请求之后，在该第三发送单元响应该PDU会话建立请求向用户设备UE发送认证通知消息之前，确定该目标认证的认证协议和/或密钥算法。

在又一种可选的方案中，该确定单元确定该目标认证的认证协议和/或密钥算法，具体为：向安全策略控制网元SPCF发送针对该UE的安全策略请求；接收该SPCF根据该安全策略请求获取的与该UE存在预设匹配关系的安全策略，该安全策略用于该SPCF确定UE目标认证所需的认证方法和/或密钥算法；根据该安全策略生成该目标认证的认证协议和/或密钥算法。

在又一种可选的方案中，该确定单元还用于根据该安全策略确定该UE需要与业务认证服务器进行目标认证，该业务认证服务器用于验证该UE是否具有调用预设业务的权限。

在又一种可选的方案中，SMF还包括：第四发送单元，用于在该第三发送单元响应该PDU会话建立请求向用户设备UE发送认证通知消息之后，向该UE发送使用可扩展的身份验证协议EAP身份请求；第四接收单元，用于接收该UE发送的针对该EAP身份请求的EAP身份响应。

在又一种可选的方案中，SMF还包括：第五发送单元，用于在该第四发送单元响应该PDU会话建立请求向用户设备UE发送认证通知消息之后，向业务认证服务器发送用于指示该UE的身份的EAP身份响应。

在又一种可选的方案中，该第五发送单元具体用于：选择用户面网关UPF；与选择的该UPF建立会话以用于转发该SMF与业务认证服务器之间目标认证时交互的信息；通过该会话向业务认证服务器发送用于指示该UE的身份的EAP身份响应。

图37所示的AMF370中各个网元的具体实现可以对应参照图34A和34B所示方法实施例的相应描述，此处不再赘述。

在图37所示的AMF中，当该UE需要与其他网元进行目标认证时，该UE向运营商网络发送PDU会话建立请求，该运营商网络中的SMF接收到该PDU会话建立请求后，向该UE发送认证通知消息以规定该UE目标认证时所采用的认证协议、密钥算法等信息，使得该UE与其他网元之间的目标认证能够顺利进行。

请参见图38、图38是本发明实施例提供的一种安全策略控制网元SPCF380，该SPCF包括第五接收单元3801和第六发送单元3802，其中，第五接收单元3801用于接收会话管理网元SMF发送的针对用户设备UE的安全策略请求；第六发送单元3802用于根据该安全策略请求向该SMF发送与该UE存在预设匹配关系的安全策略，该安全策略用于该SPCF确定UE目标认证所需的认证方法和/或密钥算法。

在一种可选的方案中，该第六发送单元具体用于：根据该安全策略请求向业务服务器发送订阅数据请求，以请求与该UE存在预设匹配关系的安全策略，该业务服务器用于提供业务的访问服务；接收该业务服务器发送的该安全策略；将该安全策略发送给该SMF。

在又一种可选的方案中，该第六发送单元具体用于：根据该安全策略请求从预先缓存的信息中查找与该UE存在预设匹配关系的安全策略；将该安全策略发送给该SMF。

图38所示的SPCF380中各个网元的具体实现可以对应参照图34A和34B所示方法实施例的相应描述，此处不再赘述。

在图38所示的SPCF中，SMF需要确定UE目标认证所需的认证协议、密钥算法等信息时，向SPCF发送安全策略请求，该SPCF根据该安全策略请求向该SMF反馈与该UE相匹配的安全策略，使得该SMF可以根据该安全策略确定出该UE目标认证所需的认证协议、密钥算法等信息，保证了该UE与其他网元之间的目标认证的顺利进行。

请参见图39，图39是本发明实施例提供的一种UE390，UE390包括处理器3901、存储器3902和收发器3903，该处理器3901、存储器3902和收发器3903通过总线相互连接。

该收发器3903可以为无线或者有线的接收或发送模块，例如，射频模块。

存储器3902包括但不限于是随机存取存储器(RAM)、只读存储器(ROM)、可擦除可编程只读存储器(EPROM或者快闪存储器)、或便携式只读存储器(CD-ROM)，该存储器3002用于相关指令及数据。

处理器3901可以是一个或多个中央处理器(英文：Central Processing Unit，简称：CPU)，在处理器3901是一个CPU的情况下，该CPU可以是单核CPU，也可以是多核CPU。

UE中的处理器3901读取该存储器3902中存储的程序代码，用于执行以下操作：

通过该收发器3903向接入与移动性管理网元AMF发送协议数据单元PDU会话建立请求，以使该AMF根据该PDU会话建立请求确定会话管理网元SMF并将该PDU会话建立请求发送给该SMF；通过该收发器3903接收该SMF响应该PDU会话建立请求而发送的认证通知消息，该认证通知消息包括用于指示是否进行目标认证的信息、用于定义该目标认证的认证协议的信息和用于定义该目标认证的密钥算法的信息中至少一项，所述目标认证包括双向认证或者单向认证。

在一种可选的方案中，处理器3901通过接收该SMF响应该PDU会话建立请求而发送的认证通知消息之后，该处理器3901还用于与业务认证服务器根据该认证通知消息进行目标认证，该业务认证服务器用于验证该UE是否具有调用预设业务的权限。

在又一种可选的方案中，该处理器3901通过该收发器3903接收该SMF响应该PDU会话建立请求而发送的认证通知消息之后，该处理器3901还用于通过该收发器3903接收该SMF发送的使用可扩展的身份验证协议EAP身份请求；该处理器3901根据该EAP身份请求通过该收发器3903向该SMF发送EAP身份响应。

图39所示的UE390中各个网元的具体实现可以对应参照图34A和34B所示方法实施例的相应描述，此处不再赘述。

在图39所示的UE中，当该UE需要与其他网元进行目标认证时，该UE向运营商网络发送PDU会话建立请求，该运营商网络中的SMF接收到该PDU会话建立请求后，向该UE发送认证通知消息以规定该UE目标认证时所采用的认证协议、密钥算法等信息，使得该UE与其他网元之间的目标认证能够顺利进行。

请参见图40，图40是本发明实施例提供的一种SMF400，SMF包括处理器4001、存储器4002和收发器4003，该处理器4001、存储器4002和收发器4003通过总线相互连接。

该收发器4003可以为无线或者有线的接收或发送模块，例如，射频模块。

存储器4002包括但不限于是随机存取存储器(RAM)、只读存储器(ROM)、可擦除可编程只读存储器(EPROM或者快闪存储器)、或便携式只读存储器(CD-ROM)，该存储器3002用于相关指令及数据。

处理器4001可以是一个或多个中央处理器(英文：Central Processing Unit，简称：CPU)，在处理器4001是一个CPU的情况下，该CPU可以是单核CPU，也可以是多核CPU。

SMF中的处理器4001读取该存储器4002中存储的程序代码，用于执行以下操作：

通过收发器4003接收接入与移动性管理网元AMF发送的协议数据单元PDU会话建立请求；响应该PDU会话建立请求通过该收发器4003向用户设备UE发送认证通知消息，该认证通知消息包括用于指示是否进行目标认证的信息、用于定义该目标认证的认证协议的信息和用于定义该目标认证的密钥算法的信息中至少一项，所述目标认证包括双向认证或者单向认证。

在又一种可选的方案中，该处理器4001通过该收发器4003接收接入与移动性管理网元AMF发送的协议数据单元PDU会话建立请求之后，该处理器4001响应该PDU会话建立请求通过收发器4003向用户设备UE发送认证通知消息之前，该处理器4001还用于：确定该目标认证的认证协议和/或密钥算法。

在又一种可选的方案中，该处理器4001确定该目标认证的认证协议和/或密钥算法，具体为：通过该收发器4003向安全策略控制网元SPCF发送针对该UE的安全策略请求；通过收发器4003接收该SPCF根据该安全策略请求获取的与该UE存在预设匹配关系的安全策略，该安全策略用于该SPCF确定UE目标认证所需的认证方法和/或密钥算法；根据该安全策略生成该目标认证的认证协议和/或密钥算法。

在又一种可选的方案中，该处理器4001还用于：根据该安全策略确定该UE需要与业务认证服务器进行目标认证，该业务认证服务器用于验证该UE是否具有调用预设业务的权限。

在又一种可选的方案中，该处理器4001响应该PDU会话建立请求通过该收发器4003向用户设备UE发送认证通知消息之后，该处理器4001还用于：通过收发器4003向该UE发送使用可扩展的身份验证协议EAP身份请求；通过收发器4003接收该UE发送的针对该EAP身份请求的EAP身份响应。

在又一种可选的方案中，该处理器4001响应该PDU会话建立请求通过收发器4003向用户设备UE发送认证通知消息之后，该处理器4001还用于：通过收发器4003向业务认证服务器发送用于指示该UE的身份的EAP身份响应。

在又一种可选的方案中，该处理器4001通过收发器4003向业务认证服务器发送用于指示该UE的身份的EAP身份响应，具体为：选择用户面网关UPF；与选择的该UPF建立会话以用于转发该SMF与业务认证服务器之间目标认证时交互的信息；通过收发器4003通过该会话向业务认证服务器发送用于指示该UE的身份的EAP身份响应。

图40所示的SMF40中各个网元的具体实现可以对应参照图34A和34B所示方法实施例的相应描述，此处不再赘述。

在图40所示的SMF中，当该UE需要与其他网元进行目标认证时，该UE向运营商网络发送PDU会话建立请求，该运营商网络中的SMF接收到该PDU会话建立请求后，向该UE发送认证通知消息以规定该UE目标认证时所采用的认证协议、密钥算法等信息，使得该UE与其他网元之间的目标认证能够顺利进行。

请参见图41，图41是本发明实施例提供的一种SPCF410，SPCF包括处理器4101、存储器4102和收发器4103，该处理器4101、存储器4102和收发器4103通过总线相互连接。

该收发器4103可以为无线或者有线的接收或发送模块，例如，射频模块。

存储器4102包括但不限于是随机存取存储器(RAM)、只读存储器(ROM)、可擦除可编程只读存储器(EPROM或者快闪存储器)、或便携式只读存储器(CD-ROM)，该存储器3002用于相关指令及数据。

处理器4101可以是一个或多个中央处理器(英文：Central Processing Unit，简称：CPU)，在处理器4101是一个CPU的情况下，该CPU可以是单核CPU，也可以是多核CPU。

SPCF中的处理器4101读取该存储器4102中存储的程序代码，用于执行以下操作：

通过收发器4103接收会话管理网元SMF发送的针对用户设备UE的安全策略请求；根据该安全策略请求通过收发器4103向该SMF发送与该UE存在预设匹配关系的安全策略，该安全策略用于该SPCF确定UE目标认证所需的认证方法和/或密钥算法。

在一种可选的方案中，该处理器4101根据该安全策略请求通过收发器4103向该SMF发送与该UE存在预设匹配关系的安全策略，具体为：根据该安全策略通过收发器4103请求向业务服务器发送订阅数据请求，以请求与该UE存在预设匹配关系的安全策略，该业务服务器用于提供业务的访问服务；通过收发器4103接收该业务服务器发送的该安全策略；通过收发器4103将该安全策略发送给该SMF。

在又一种可选的方案中，该处理器4101根据该安全策略请求通过收发器4103向该SMF发送与该UE存在预设匹配关系的安全策略，具体为：根据该安全策略请求从预先缓存的信息中查找与该UE存在预设匹配关系的安全策略；通过收发器4103将该安全策略发送给该SMF。

图41所示的SPCF41中各个网元的具体实现可以对应参照图34A和34B所示方法实施例的相应描述，此处不再赘述。

在图41所示的SPCF中，SMF需要确定UE目标认证所需的认证协议、密钥算法等信息时，向SPCF发送安全策略请求，该SPCF根据该安全策略请求向该SMF反馈与该UE相匹配的安全策略，使得该SMF可以根据该安全策略确定出该UE目标认证所需的认证协议、密钥算法等信息，保证了该UE与其他网元之间的目标认证的顺利进行。

综上所述，通过实施本发明实施例，用户设备与业务认证设备根据获取的参考参数以及预先共享的第一共享密钥生成第二共享密钥，然后该业务认证设备将该第二共享密钥发送给该网络认证设备，使得该网络认证设备基于该第二共享密钥得到目标共享密钥。也即是说，生成该目标共享密钥考虑到了业务的相关信息以及网络的相关信息，提升了该目标共享密钥的安全级别。

本领域普通技术人员可以理解实现上述实施例方法中的全部或部分流程，可通过计算机程序来指令相关的硬件来完成，该的程序可存储于计算机可读取存储介质中，该程序在执行时，可包括如上述各方法的实施例的流程。而前述的存储介质包括：ROM、RAM、磁碟或者光盘等各种可存储程序代码的介质。

Claims

一种网络认证系统，其特征在于，所述系统包括用户设备、网络认证设备和业务认证设备，其中：

所述业务认证设备用于获取参考信息并结合所述参考信息和第一共享密钥生成第二共享密钥，所述第一共享密钥为所述用户设备与所述业务认证设备之间预先配置的共享密钥，所述参考信息包括所述用户设备、所述网络认证设备和所述业务认证设备中至少一项预先关联的信息；

所述用户设备用于获取所述参考信息并结合所述参考信息和所述第一共享密钥生成所述第二共享密钥；

所述业务认证设备用于将所述第二共享密钥发送给所述网络认证设备；

所述网络认证设备用于接收所述第二共享密钥，所述第二共享密钥用于所述用户设备和所述网络认证设备生成目标共享密钥，所述目标共享密钥或者基于所述目标共享密钥衍生的共享密钥为所述网络认证设备与所述用户设备协商的保护数据安全传输的共享密钥。
根据权利要求1所述的系统，其特征在于：

所述网络认证设备和所述用户设备用于根据所述第二共享密钥或者根据基于所述第二共享密钥衍生的共享密钥进行网络认证生成所述目标共享密钥。
根据权利要求2所述的系统，其特征在于：

所述网络认证设备和所述用户设备用于进行网络认证生成第三共享密钥；

所述网络认证设备和所述用户设备用于根据所述第二共享密钥或者根据基于所述第二共享密钥衍生的共享密钥进行网络认证生成所述目标共享密钥，具体为：

所述网络认证设备和所述用户设备用于根据所述第二共享密钥进行网络认证生成第四共享密钥；

所述网络认证设备和所述用户设备均用于根据所述第三共享密钥和所述第四共享密钥生成所述目标共享密钥。
根据权利要求1所述的系统，其特征在于，所述结合所述参考信息和第一共享密钥生成第二共享密钥，具体为：

所述业务认证设备和所述用户设备结合所述参考信息和第一共享密钥进行业务认证生成第二共享密钥；

所述网络认证设备和所述用户设备用于将所述第二共享密钥或者基于所述第二共享密钥衍生的共享密钥作为所述目标共享密钥。
根据权利要求2～4任一项所述的系统，其特征在于：

所述网络认证设备还用于将所述目标共享密钥发送给所述业务认证设备；

所述业务认证设备用于接收所述目标共享密钥；

所述业务认证设备和所述用户设备用于将所述目标共享密钥或者基于所述目标共享密钥衍生的共享密钥作为所述业务认证设备与所述用户设备协商的保护数据安全传输的共享密钥。
根据权利要求1所述的系统，其特征在于：

所述网络认证设备和所述用户设备用于进行网络认证生成第三共享密钥；

所述结合所述参考信息和第一共享密钥生成第二共享密钥，具体为：

所述业务认证设备和所述用户设备结合所述参考信息和第一共享密钥进行业务认证生成第二共享密钥；

所述网络认证设备和所述用户设备均用于根据所述第二共享密钥和所述第三共享密钥生成所述目标共享密钥；或者将所述第二共享密钥和所述第三共享密钥分别作为保护不同类型数据的所述目标共享密钥。
根据权利要求1所述系统，其特征在于：

所述网络认证设备和所述用户设备均用于根据所述第二共享密钥和第五共享密钥生成所述目标共享密钥；或者将所述第二共享密钥和基于所述第五共享密钥衍生的密钥分别作为保护不同类型数据的所述目标共享密钥，所述第五共享密钥为所述用户设备与所述网络认证设备之间预先配置的共享密钥。
根据权利要求1所述的系统，其特征在于，所述参考信息包括所述网络认证设备所在蜂窝网的网络参数；所述结合所述参考信息和第一共享密钥生成第二共享密钥，具体为：

根据所述参考信息和所述第一共享密钥进行业务认证生成第二共享密钥；

所述业务认证设备还用于将所述第二共享密钥作为所述目标共享密钥。
根据权利要求1所述的系统，其特征在于，所述业务认证设备用于获取所述用户设备与所述网络认证设备之间预先配置的第五共享密钥；

所述结合所述参考信息和第一共享密钥生成第二共享密钥，具体为：

结合所述参考信息、第一共享密钥和所述第五共享密钥进行业务认证生成第二共享密钥；

所述网络认证设备用于将所述第二共享密钥作为所述目标共享密钥。
根据权利要求1所述的系统，其特征在于：

所述网络认证设备用于向所述业务认证设备获取所述第一共享密钥；

所述网络认证设备用于根据所述第一共享密钥和第五共享密钥生成网络侧信息，所述第五共享密钥为所述用户设备与所述网络认证设备之间预先配置的共享密钥；

所述网络认证设备用于将所述网络侧信息发送给所述业务认证设备；

所述业务认证设备用于接收并向所述用户设备转发所述网络侧信息；

所述结合所述参考信息和第一共享密钥生成第二共享密钥，具体为：

结合所述网络参数和第一共享密钥进行业务认证生成第二共享密钥，所述网络参数包括所述网络侧信息；

所述网络认证设备用于将所述第二共享密钥作为所述目标共享密钥。
根据权利要求1～10任一项所述的系统，其特征在于，所述参考信息包括所述网络认证设备所在蜂窝网的网络参数和目标业务的业务参数中至少一项。
根据权利要求11所述的系统，其特征在于，所述业务参数包括所述目标业务的业务序列号、密钥管理中心的标识、会话标识、链路标识、应用标识、业务标识、业务等级、业务数据速率、时延和业务服务器标识中的至少一项；所述网络参数包括运营商标识，接入网络标识，服务网络标识，网络类型标识，局域网网络标识，切片标识，承载标识，服务质量标识和流标识中的至少一项。
根据权利要求2所述的系统，其特征在于，所述网络认证设备包括认证功能单元CP-AU，所述网络认证设备和所述用户设备UE用于根据所述第二共享密钥或者根据基于所述第二共享密钥衍生的共享密钥进行网络认证生成所述目标共享密钥，具体为：

UE向CP-AU发送请求接入网络的消息，所述请求接入网络的消息包含所述UE的身份标识和目标业务的业务标识，所述目标业务为所述UE当前执行的业务；

所述CP-AU接收所述请求接入网络的消息并根据所述身份标识和所述业务标识获取第二共享密钥，以及向签约服务器请求基于预置密钥生成的认证向量，所述预置密钥为所述UE与所述签约服务器预先共享的密钥；

所述CP-AU接收所述签约服务器发送的所述认证向量，所述认证向量包含消息认证码和期待响应，所述认证向量包含的所述消息认证码为网络侧初始消息认证码，所述认证向量包含的期待响应为初始期待响应；

所述CP-AU将通过预设的消息认证码算法对所述第二共享密钥和所述网络侧初始消息认证码进行计算得到业务参考消息认证码，并向所述UE发送认证请求消息，所述认证请求消息包含所述业务参考消息认证码；

所述CP-AU将通过预设的响应算法对所述第二共享密钥和所述初始期待响应进行计算得到的参考期待响应；

所述UE接收所述CP-AU发送的所述认证请求消息；

所述UE通过认证与密钥协商协议AKA根据所述预置密钥生成消息认证码和响应，生成的所述消息认证码为用户侧初始消息认证码以及生成的所述响应为初始响应，并通过所述预设的消息认证码算法对所述第二共享密钥和所述用户侧初始消息认证码进行计算得到用户侧参考消息认证码，所述UE使用的第二共享密钥为所述UE根据自身的身份标识和所述业务标识获取，或者所述UE预先存储了所述第二共享密钥；

所述UE判断所述用户侧参考消息认证码与所述业务参考消息认证码是否相同；

若相同，则所述UE通过预设的响应算法对所述第二共享密钥和所述初始响应进行处理得到参考响应；

所述UE将所述参考响应发送给所述CP-AU；

所述CP-AU接收所述参考响应；

所述CP-AU判断所述参考期待响应与所述参考响应是否相同；

若相同，则所述CP-AU和所述UE使用相同的密钥生成算法对预设的基础密钥和所述第二共享密钥进行处理得到目标共享密钥。
根据权利要求2所述的系统，其特征在于，所述网络认证设备包括认证功能单元CP-AU，所述网络认证设备和所述用户设备UE用于根据所述第二共享密钥或者根据基于所述第二共享密钥衍生的共享密钥进行网络认证生成所述目标共享密钥，具体为：

UE向CP-AU发送接入网络的消息，所述接入网络的消息包含所述UE的身份标识和目标业务的业务标识，所述目标业务为所述UE当前执行的业务；

所述CP-AU接收所述接入网络的消息并根据所述身份标识和所述业务标识获取第二共享密钥，以及向签约服务器请求基于预置密钥生成的认证向量，所述预置密钥为所述UE与所述签约服务器预先共享的密钥；

所述CP-AU接收所述签约服务器发送的所述认证向量，所述认证向量包含消息认证码和期待响应，所述认证向量包含的所述消息认证码为网络侧初始消息认证码，所述认证向量包含的期待响应为初始期待响应；

所述CP-AU将通过预设的第一消息认证码算法对所述第二共享密钥进行计算得到网络侧附加消息认证码，并向UE发送认证请求消息，所述认证请求消息包括所述网络侧附加消息认证码和所述网络侧初始消息认证码；

所述UE接收所述CP-AU发送的所述认证请求消息；

所述UE通过认证与密钥协商协议AKA根据所述预置密钥生成消息认证码和响应，生成的所述消息认证码为用户侧初始消息认证码以及生成的所述响应为初始响应，并通过所述预设的第一消息认证码算法对所述第二共享密钥进行计算得到用户侧附加消息认证码，所述UE使用的第二共享密钥为所述UE根据自身的身份标识和所述业务标识获取，或者所述UE预先存储了所述第二共享密钥；

所述UE判断所述用户侧附加消息认证码是否与所述网络侧附加消息认证码相同，且所述用户侧初始消息认证码是否与所述网络侧初始消息认证码相同；

若均相同，则所述UE通过预设的第二消息认证码算法对自身的所述第二共享密钥进行处理得到用户侧响应消息认证码；

所述UE将所述参考响应和所述用户侧响应消息认证码发送给所述CP-AU；

所述CP-AU接收所述参考响应和所述用户侧响应消息认证码；

所述CP-AU通过所述预设的所述第二消息认证码算法对自身的所述第二共享密钥进行处理得到网络侧响应消息认证码；

所述CP-AU判断所述初始期待响应是否与所述初始响应相同，且所述网络侧响应消息认证码是否与所述用户侧响应消息认证码相同；

若均相同，则所述CP-AU和所述UE使用相同的密钥生成算法对预设的基础密钥和所述第二共享密钥进行处理得到目标共享密钥。
一种网络认证系统，其特征在于，所述系统包括用户设备、网络认证设备和业务认证设备，其中：

所述业务认证设备用于将预存的目标业务的业务参数发送给所述网络认证设备和所述用户设备；

所述网络认证设备和所述用户设备用于接收所述业务参数；

所述网络认证设备和所述用户设备均用于结合所述业务参数和原始共享密钥生成目标共享密钥，所述目标共享密钥或者基于所述目标共享密钥衍生的共享密钥为所述网络认证设备与所述用户设备协商的保护数据安全传输的共享密钥，所述原始共享密钥为所述用户设备与所述网络认证设备之间预先配置的共享密钥。
根据权利要求15所述的系统，其特征在于，所述网络认证设备和所述用户设备均用于结合所述业务参数和原始共享密钥生成目标共享密钥，具体为：

所述网络认证设备和所述用户设备均用于根据所述业务参数和原始共享密钥进行网络认证生成目标共享密钥；或者，

所述网络认证设备和所述用户设备均用于根据所述业务参数和原始共享密钥生成认证共享密钥，并根据所述认证共享密钥进行网络认证生成目标共享密钥。
根据权利要求15或16所述的系统，其特征在于，所述业务参数包括所述目标业务的业务序列号、密钥管理中心的标识、会话标识、链路标识、应用标识、业务标识、业务等级、业务数据速率、时延和业务服务器标识中的至少一项。
一种网络认证设备，其特征在于，包括：

接收单元，用于接收业务认证设备发送的第二共享密钥，业务认证设备和用户设备均用于结合第一共享密钥和参考信息生成所述第二共享密钥，所述第一共享密钥为所述用户设备与所述业务认证设备之间预先配置的共享密钥，所述参考信息包括所述用户设备、所述网络认证设备和所述业务认证设备中至少一项预先关联的信息；

第一生成单元，用于根据所述第二共享密钥生成目标共享密钥，所述目标共享密钥或者基于所述目标共享密钥衍生的共享密钥为所述网络认证设备与所述用户设备协商的保护数据安全传输的共享密钥。
根据权利要求18所述的网络认证设备，其特征在于，所述第一生成单元根据所述第二共享密钥生成目标共享密钥，具体为：

和所述用户设备根据所述第二共享密钥或者根据基于所述第二共享密钥衍生的共享密钥进行网络认证生成所述目标共享密钥。
根据权利要求19所述的网络认证设备，其特征在于，还包括：

认证单元，用于和所述用户设备进行网络认证生成第三共享密钥；

所述认证单元和所述用户设备根据所述第二共享密钥或者根据基于所述第二共享密钥衍生的共享密钥进行网络认证生成所述目标共享密钥，具体为：

和所述用户设备根据所述第二共享密钥进行网络认证生成第四共享密钥；

和所述用户设备均根据所述第三共享密钥和所述第四共享密钥生成所述目标共享密钥。
根据权利要求18所述的网络认证设备，其特征在于，所述第一生成单元根据所述第二共享密钥生成目标共享密钥，具体为：

和所述用户设备将所述第二共享密钥或者基于所述第二共享密钥衍生的共享密钥作为目标共享密钥。
根据权利要求18所述的网络认证设备，其特征在于，所述第一生成单元根据所述第二共享密钥生成目标共享密钥，具体为：

和所述用户设备进行网络认证生成第三共享密钥；

和所述用户设备根据所述第二共享密钥和所述第三共享密钥生成所述目标共享密钥；或者将所述第二共享密钥和所述第三共享密钥分别作为保护不同类型数据的所述目标共享密钥。
根据权利要求18所述网络认证设备，其特征在于，所述第一生成单元根据所述第二共享密钥生成目标共享密钥，具体为：

和所述用户设备根据所述第二共享密钥和第五共享密钥生成所述目标共享密钥；或者将所述第二共享密钥和基于所述第五共享密钥衍生的密钥分别作为保护不同类型数据的所述目标共享密钥，所述第五共享密钥为所述用户设备与所述网络认证设备之间预先配置的共享密钥。
根据权利要求18～23任一项所述的网络认证设备，其特征在于，还包括：

获取单元，用于向所述业务认证设备获取所述第一共享密钥；

第二生成单元，用于根据所述第一共享密钥和第五共享密钥生成网络侧信息，所述第五共享密钥为所述用户设备与所述网络认证设备之间预先配置的共享密钥；

所述网络认证设备将所述网络侧信息发送给所述业务认证设备，以使所述业务认证设备向所述用户设备转发所述网络侧信息，所述网络参数属于所述参考信息。
根据权利要求18～23任一项所述的网络认证设备，其特征在于，还包括：

发送单元，用于将所述目标共享密钥发送给所述业务认证设备，所述目标共享密钥或者基于所述目标共享密钥衍生的共享密钥用作所述业务认证设备与所述用户设备协商的保护数据安全传输的共享密钥。
根据权利要求18～25任一项所述的网络认证设备，其特征在于，所述参考信息包括所述网络认证设备所在蜂窝网的网络参数和目标业务的业务参数中至少一项。
根据权利要求26所述的网络认证设备，其特征在于，所述业务参数包括所述目标业务的业务序列号、密钥管理中心的标识、会话标识、链路标识、应用标识、业务标识、业务等级、业务数据速率、时延和业务服务器标识中的至少一项；所述网络参数包括运营商标识，接入网络标识，服务网络标识，网络类型标识，局域网网络标识，切片标识，承载标识，服务质量标识和流标识中的至少一项。
根据权利要求19所述的网络认证设备，其特征在于，所述网络认证设备包括CP-AU；所述第一生成单元和所述用户设备根据所述第二共享密钥或者根据基于所述第二共享密钥衍生的共享密钥进行网络认证生成所述目标共享密钥，具体为：

接收所述UE发送的请求接入网络的消息并根据身份标识和业务标识获取第二共享密钥，以及向签约服务器请求基于预置密钥生成的认证向量，所述预置密钥为所述UE与所述签约服务器预先共享的密钥；所述请求接入网络的消息包含所述UE的所述身份标识和目标业务的所述业务标识，所述目标业务为所述UE当前执行的业务；

接收所述签约服务器发送的所述认证向量，所述认证向量包含消息认证码和期待响应，所述认证向量包含的所述消息认证码为网络侧初始消息认证码，所述认证向量包含的期待响应为初始期待响应；

将通过预设的消息认证码算法对所述第二共享密钥和所述网络侧初始消息认证码进行计算得到业务参考消息认证码，并向所述UE发送认证请求消息，所述认证请求消息包含所述业务参考消息认证码；所述UE用于接收所述认证请求消息并通过认证与密钥协商协议AKA根据所述预置密钥生成消息认证码和响应，生成的所述消息认证码为用户侧初始消息认证码以及生成的所述响应为初始响应，并通过所述预设的消息认证码算法对所述第二共享密钥和所述用户侧初始消息认证码进行计算得到用户侧参考消息认证码，所述UE使用的第二共享密钥为所述UE根据自身的身份标识和所述业务标识获取，或者所述UE预先存储了所述第二共享密钥；

所述UE还用于判断所述用户侧参考消息认证码与所述业务参考消息认证码是否相同；所述UE用于在判断出相同时，通过预设的响应算法对所述第二共享密钥和所述初始响应进行处理得到参考响应；所述UE还用于将所述参考响应发送给所述CP-AU；

通过所述预设的响应算法对所述第二共享密钥和所述初始期待响应进行处理得到参考期待响应；

接收所述参考响应；

判断所述参考期待响应与所述参考响应是否相同；

若相同，则和所述UE使用相同的密钥生成算法对预设的基础密钥和所述第二共享密钥进行处理得到目标共享密钥。
根据权利要求19所述的网络认证设备，其特征在于，所述网络认证设备包括CP-AU；所述第一生成单元和所述用户设备根据所述第二共享密钥或者根据基于所述第二共享密钥衍生的共享密钥进行网络认证生成所述目标共享密钥，具体为：

接收UE发送的接入网络的消息并根据身份标识和业务标识获取第二共享密钥，以及向签约服务器请求基于预置密钥生成的认证向量，所述预置密钥为所述UE与所述签约服务器预先共享的密钥；所述接入网络的消息包含所述UE的所述身份标识和目标业务的所述业务标识，所述目标业务为所述UE当前执行的业务；

接收所述签约服务器发送的所述认证向量，所述认证向量包含消息认证码和期待响应，所述认证向量包含的所述消息认证码为网络侧初始消息认证码，所述认证向量包含的期待响应为初始期待响应；

将通过预设的第一消息认证码算法对所述第二共享密钥进行计算得到网络侧附加消息认证码，并向UE发送认证请求消息，所述认证请求消息包括所述网络侧附加消息认证码和所述网络侧初始消息认证码发送给所述UE；所述UE用于接收所述认证请求消息；所述UE用于通过认证与密钥协商协议AKA根据所述预置密钥生成消息认证码和响应，生成的所述消息认证码为用户侧初始消息认证码以及生成的所述响应为初始响应，并通过所述预设的第一消息认证码算法对所述第二共享密钥进行计算得到用户侧附加消息认证码，所述UE使用的第二共享密钥为所述UE根据自身的身份标识和所述业务标识获取，或者所述UE预先存储了所述第二共享密钥；所述UE用于判断所述用户侧附加消息认证码是否与所述网络侧附加消息认证码相同，且判断所述用户侧初始消息认证码是否与所述网络侧初始消息认证码相同；若均相同，则所述UE用于通过预设的第二消息认证码算法对自身的所述第二共享密钥进行处理得到用户侧响应消息认证码；所述UE还用于将所述参考响应和所述用户侧响应消息认证码发送给所述CP-AU；

接收所述参考响应和所述用户侧响应消息认证码；

通过所述预设的所述第二消息认证码算法对自身的所述第二共享密钥进行处理得到网络侧响应消息认证码；

判断所述初始期待响应是否与所述初始响应相同，且所述网络侧响应消息认证码是否与所述用户侧响应消息认证码相同；

若均相同，则和所述UE使用相同的密钥生成算法对预设的基础密钥和所述第二共享密钥进行处理得到目标共享密钥。
一种用户设备，其特征在于，包括：

获取单元，用于获取参考信息并结合所述参考信息和第一共享密钥生成第二共享密钥；所述第一共享密钥为所述用户设备与业务认证设备之间预先配置的共享密钥，所述业务认证设备用于获取所述参考信息并结合所述参考信息和所述第一共享密钥生成所述第二共享密钥，所述业务认证设备还用于将所述第二共享密钥发送给网络认证设备；

生成单元，用于根据所述第二共享密钥生成目标共享密钥，所述目标共享密钥或者基于所述目标共享密钥衍生的共享密钥为所述网络认证设备与所述用户设备协商的保护数据安全传输的共享密钥。
根据权利要求30所述用户设备，其特征在于，所述获取单元根据所述第二共享密钥生成目标共享密钥，具体为：

将所述第二共享密钥或者基于所述第二共享密钥衍生的共享密钥作为所述目标共享密钥。
根据权利要求30所述的用户设备，其特征在于，所述获取单元根据所述第二共享密钥生成目标共享密钥，具体为：

和所述网络认证设备根据所述第二共享密钥或者根据基于所述第二共享密钥衍生的共享密钥进行网络认证生成目标共享密钥。
根据权利要求32所述的用户设备，其特征在于，还包括：

认证单元，用于和所述网络认证设备进行网络认证生成第三共享密钥；

所述获取单元和所述网络认证设备根据所述第二共享密钥或者根据基于所述第二共享密钥衍生的共享密钥进行网络认证生成目标共享密钥，具体为：

和所述网络认证设备根据所述第二共享密钥进行网络认证生成第四共享密钥；

根据所述第三共享密钥和所述第四共享密钥生成所述目标共享密钥。
根据权利要求30所述的用户设备，其特征在于，所述生成单元根据所述第二共享密钥生成目标共享密钥，具体为：

和所述网络认证设备进行网络认证生成第三共享密钥；

根据所述第二共享密钥和所述第三共享密钥生成所述目标共享密钥；或者将所述第二共享密钥和所述第三共享密钥分别作为保护不同类型数据的所述目标共享密钥。
根据权利要求30所述的用户设备，其特征在于，所述生成单元根据所述第二共享密钥生成目标共享密钥，具体为：

根据所述第二共享密钥和第五共享密钥生成所述目标共享密钥；或者将所述第二共享密钥和基于所述第五共享密钥衍生的共享密钥分别作为保护不同类型数据的所述目标共享密钥，所述第五共享密钥为所述用户设备与所述网络认证设备之间预先配置的共享密钥。
根据权利要求30所述的用户设备，其特征在于，所述获取单元结合所述参考信息和第一共享密钥生成第二共享密钥，具体为：

结合所述参考信息、第一共享密钥和第五共享密钥与所述业务认证设备进行业务认证生成第二共享密钥；所述第五共享密钥为所述用户设备与所述网络认证设备之间预先配置的共享密钥，所述业务认证设备用于获取所述第五共享密钥。
根据权利要求30～36任一项所述的用户设备，其特征在于，所述获取单元结合所述参考信息和第一共享密钥生成第二共享密钥，具体为：

和业务认证设备结合所述参考信息和第一共享密钥进行业务认证生成第二共享密钥。
根据权利要求30～36任一项所述的用户设备，其特征在于，还包括：

第一接收单元，用于接收所述业务认证设备转发的来自所述网络认证设备的网络侧信息，所述网络侧信息为所述网络认证设备根据第五共享密钥和获取的所述第一共享密钥生成，所述第五共享密钥为所述用户设备与所述网络认证设备之间预先配置的共享密钥；

所述获取单元结合所述参考信息和第一共享密钥生成第二共享密钥，具体为：

结合所述网络参数和第一共享密钥与所述业务认证设备进行业务认证生成第二共享密钥，所述网络参数包括所述网络侧信息。
根据权利要求30～38任一项所述的用户设备，其特征在于，所述参考信息包括所述网络认证设备所在蜂窝网的网络参数和目标业务的业务参数中至少一项。
根据权利要求39所述的用户设备，其特征在于，当所述参考信息包含所述业务参数时，还包括：

第二接收单元，用于接收所述网络认证设备转发的来自所述业务认证设备的所述业务参数。
根据权利要求39或40所述的用户设备，其特征在于，所述业务参数包括所述目标业务的业务序列号、密钥管理中心的标识、会话标识、链路标识、应用标识、业务标识、业务等级、业务数据速率、时延和业务服务器标识中的至少一项；所述网络参数包括运营商标识，接入网络标识，服务网络标识，网络类型标识，局域网网络标识，切片标识，承载标识，服务质量标识和流标识中的至少一项。
根据权利要求32所述的用户设备，其特征在于，所述网络认证设备包括CP-AU；所述获取单元和所述网络认证设备根据所述第二共享密钥或者根据基于所述第二共享密钥衍生的共享密钥进行网络认证生成目标共享密钥，具体为：

向CP-AU发送请求接入网络的消息，所述请求接入网络的消息包含所述UE的身份标识和目标业务的业务标识，所述目标业务为所述UE当前执行的业务；所述CP-AU用于接收所述请求接入网络的消息并根据所述身份标识和所述业务标识获取第二共享密钥，以及向签约服务器请求基于预置密钥生成的认证向量，所述预置密钥为所述UE与所述签约服务器预先共享的密钥；所述CP-AU还用于接收所述签约服务器发送的所述认证向量，所述认证向量包含消息认证码和期待响应，所述认证向量包含的所述消息认证码为网络侧初始消息认证码，所述认证向量包含的期待响应为初始期待响应；所述CP-AU还用于将通过预设的消息认证码算法对所述第二共享密钥和所述网络侧初始消息认证码进行计算得到业务参考消息认证码，并向所述UE发送认证请求消息，所述认证请求消息包括所述业务参考消息；所述CP-AU还用于通过所述预设的响应算法对所述第二共享密钥和所述初始期待响应进行处理得到参考期待响应；

接收所述认证请求消息；

通过认证与密钥协商协议AKA根据所述预置密钥生成消息认证码和响应，生成的所述消息认证码为用户侧初始消息认证码以及生成的所述响应为初始响应，并通过所述预设的消息认证码算法对所述第二共享密钥和所述用户侧初始消息认证码进行计算得到用户侧参考消息认证码，所述UE使用的第二共享密钥为所述UE根据自身的身份标识和所述业务标识获取，或者所述UE预先存储了所述第二共享密钥；

判断所述用户侧参考消息认证码与所述业务参考消息认证码是否相同；

若相同，则通过预设的响应算法对所述第二共享密钥和所述初始响应进行处理得到参考响应；

将所述参考响应发送给所述CP-AU，所述CP-AU用于接收所述参考响应并判断所述参考期待响应与所述参考响应是否相同；

在所述CP-AU的判断结果为是时，与所述CP-AU使用相同的密钥生成算法对预设的基础密钥和所述第二共享密钥进行处理得到目标共享密钥。
根据权利要求32所述的用户设备，其特征在于，所述网络认证设备包括CP-AU；所述获取单元和所述网络认证设备根据所述第二共享密钥或者根据基于所述第二共享密钥衍生的共享密钥进行网络认证生成目标共享密钥，具体为：

向CP-AU发送接入网络的消息，所述接入网络的消息包含所述UE的身份标识和目标业务的业务标识，所述目标业务为所述UE当前执行的业务；所述CP-AU用于接收所述接入网络的消息并根据所述身份标识和所述业务标识获取第二共享密钥，以及向签约服务器请求基于预置密钥生成的认证向量，所述预置密钥为所述UE与所述签约服务器预先共享的密钥；所述CP-AU还用于接收所述签约服务器发送的所述认证向量，所述认证向量包含消息认证码和期待响应，所述认证向量包含的所述消息认证码为网络侧初始消息认证码，所述认证向量包含的期待响应为初始期待响应；所述CP-AU还用于将通过预设的第一消息认证码算法对所述第二共享密钥进行计算得到网络侧附加消息认证码，并向所述UE发送认证请求消息，所述认证请求消息包含所述网络侧附加消息认证码和所述网络侧初始消息认证码；

接收所述CP-AU发送的所述认证请求消息；

通过认证与密钥协商协议AKA根据所述预置密钥生成消息认证码和响应，生成的所述消息认证码为用户侧初始消息认证码以及生成的所述响应为初始响应，并通过所述预设的第一消息认证码算法对所述第二共享密钥进行计算得到用户侧附加消息认证码，所述UE使用的第二共享密钥为所述UE根据自身的身份标识和所述业务标识获取，或者所述UE预先存储了所述第二共享密钥；

判断所述用户侧附加消息认证码是否与所述网络侧附加消息认证码相同，且所述用户侧初始消息认证码是否与所述网络侧初始消息认证码相同；

若均相同，则通过预设的第二消息认证码算法对自身的所述第二共享密钥进行处理得到用户侧响应消息认证码；

将所述参考响应和所述用户侧响应消息认证码发送给所述CP-AU；所述CP-AU用于接收所述参考响应和所述用户侧响应消息认证码；所述CP-AU还用于通过所述预设的所述第二消息认证码算法对自身的所述第二共享密钥进行处理得到网络侧响应消息认证码；所述CP-AU还用于判断所述初始期待响应是否与所述初始响应相同，且所述网络侧响应消息认证码是否与所述用户侧响应消息认证码相同；

在所述CP-AU的判断结果为均相同时，和所述CP-AU使用相同的密钥生成算法对预设的基础密钥和所述第二共享密钥进行处理得到目标共享密钥。
一种业务认证设备，其特征在于，包括：

第一获取单元，用于获取参考信息并结合所述参考信息和第一共享密钥生成第二共享密钥，所述第一共享密钥为用户设备与所述业务认证设备之间预先配置的共享密钥，所述用户设备用于获取所述参考信息并结合所述参考信息和所述第一共享密钥生成所述第二共享密钥，所述参考信息包括所述用户设备、网络认证设备和所述业务认证设备中至少一项预先关联的信息；

发送单元，用于将所述第二共享密钥发送给所述网络认证设备，所述第二共享密钥用于所述用户设备和所述网络认证设备生成目标共享密钥，所述目标共享密钥或者基于所述目标共享密钥衍生的共享密钥为所述网络认证设备与所述用户设备协商的保护数据安全传输的共享密钥。
根据权利要求44所述的业务认证设备，其特征在于，所述第一获取单元结合所述参考信息和第一共享密钥生成第二共享密钥，具体为：

和所述用户设备结合所述参考信息和第一共享密钥进行业务认证生成第二共享密钥。
根据权利要求44或45所述的业务认证设备，其特征在于，还包括：

第一接收单元，用于接收所述网络认证设备发送的所述目标共享密钥；

生成单元，用于将所述目标共享密钥或者基于所述目标共享密钥衍生的共享密钥作为所述业务认证设备与所述用户设备协商的保护数据安全传输的共享密钥。
根据权利要求44或45所述的业务认证设备，其特征在于，还包括：

生成单元，用于将所述第二共享密钥或者基于所述第二共享密钥衍生的共享密钥作为所述业务认证设备与所述用户设备协商的保护数据安全传输的共享密钥。
根据权利要求44所述的业务认证设备，其特征在于，还包括：

第二获取单元，用于获取所述用户设备与所述网络认证设备之间预先配置的第五共享密钥；

所述第一获取单元结合所述参考信息和第一共享密钥生成第二共享密钥，具体为：

结合所述参考信息、第一共享密钥和所述第五共享密钥进行网络认证生成第二共享密钥。
根据权利要求44所述的业务认证设备，其特征在于，还包括：

第二接收单元，用于接收所述网络认证设备根据所述网络认证设备所在蜂窝网的网络参数生成的网络侧信息，并向所述用户设备转发所述网络侧信息；

所述第一获取单元结合所述参考信息和第一共享密钥生成第二共享密钥，具体为：

结合所述网络参数和第一共享密钥进行业务认证生成第二共享密钥，所述网络参数包括所述网络侧信息。
根据权利要求44～49任一项所述的业务认证设备，其特征在于，所述参考信息包括所述网络认证设备所在蜂窝网的网络参数和目标业务的业务参数中至少一项。
根据权利要求50所述的业务认证设备，其特征在于，所述业务参数包括所述目标业务的业务序列号、密钥管理中心的标识、会话标识、链路标识、应用标识、业务标识、业务等级、业务数据速率、时延和业务服务器标识中的至少一项；所述网络参数包括运营商标识，接入网络标识，服务网络标识，网络类型标识，局域网网络标识，切片标识，承载标识，服务质量标识和流标识中的至少一项。
一种网络认证设备，其特征在于，包括：

接收单元，用于接收业务认证设备发送的预存的目标业务的业务参数，所述业务认证设备还用于将所述业务参数发送给用户设备；

生成单元，用于和所述用户设备结合所述业务参数和原始共享密钥生成目标共享密钥，所述目标共享密钥或者基于所述目标共享密钥衍生的共享密钥为所述网络认证设备与所述用户设备协商的保护数据安全传输的共享密钥，所述原始共享密钥为所述用户设备与所述网络认证设备之间预先配置的共享密钥。
根据权利要求52所述的网络认证设备，其特征在于，所述生成单元和所述用户设备结合所述业务参数和原始共享密钥生成目标共享密钥，具体为：

和所述用户设备根据所述业务参数和原始共享密钥进行网络认证生成目标共享密钥；或者，

和所述用户设备根据所述业务参数和原始共享密钥生成认证共享密钥，并根据所述认证共享密钥进行网络认证生成目标共享密钥。
根据权利要求52或53所述的网络认证设备，其特征在于，所述业务参数包括所述目标业务的业务序列号、密钥管理中心的标识、会话标识、链路标识、应用标识、业务标识、业务等级、业务数据速率、时延和业务服务器标识中的至少一项。
一种用户设备，其特征在于，包括：

接收单元，用于接收业务认证设备发送的预存的目标业务的业务参数，所述业务认证设备还用于将所述业务参数发送给网络认证设备；

生成单元，用于和所述网络认证设备结合所述业务参数和原始共享密钥生成目标共享密钥，所述目标共享密钥或者基于所述目标共享密钥衍生的共享密钥为所述网络认证设备与所述用户设备协商的保护数据安全传输的共享密钥，所述原始共享密钥为所述用户设备与所述网络认证设备之间预先配置的共享密钥。
根据权利要55所述的用户设备，其特征在于，所述生成单元和所述网络认证设备结合所述业务参数和原始共享密钥生成目标共享密钥，具体为：

和所述网络认证设备根据所述业务参数和原始共享密钥进行网络认证生成目标共享密钥；或者，

和所述网络认证设备根据所述业务参数和原始共享密钥生成认证共享密钥，并根据所述认证共享密钥进行网络认证生成目标共享密钥。
根据权利要求55或56所述的用户设备，其特征在于，所述业务参数包括所述目标业务的业务序列号、密钥管理中心的标识、会话标识、链路标识、应用标识、业务标识、业务等级、业务数据速率、时延和业务服务器标识中的至少一项。
一种业务认证设备，其特征在于，包括：

发送单元，用于将预存的目标业务的业务参数发送给网络认证设备和用户设备；以使所述网络认证设备和所述用户设备结合所述业务参数和原始共享密钥生成目标共享密钥，所述目标共享密钥或者基于所述目标共享密钥衍生的共享密钥为所述网络认证设备与所述用户设备协商的保护数据安全传输的共享密钥，所述原始共享密钥为所述用户设备与所述网络认证设备之间预先配置的共享密钥。
根据权利要求58所述的业务认证设备，其特征在于，所述业务参数包括所述目标业务的业务序列号、密钥管理中心的标识、会话标识、链路标识、应用标识、业务标识、业务等级、业务数据速率、时延和业务服务器标识中的至少一项。
一种网络认证方法，其特征在于，包括：

网络认证设备接收业务认证设备发送的第二共享密钥，业务认证设备和用户设备均用于结合第一共享密钥和参考信息生成所述第二共享密钥，所述第一共享密钥为所述用户设备与所述业务认证设备之间预先配置的共享密钥，所述参考信息包括所述用户设备、所述网络认证设备和所述业务认证设备中至少一项预先关联的信息；

所述网络认证设备根据所述第二共享密钥生成目标共享密钥，所述目标共享密钥或者基于所述目标共享密钥衍生的共享密钥为所述网络认证设备与所述用户设备协商的保护数据安全传输的共享密钥。
根据权利要求60所述的方法，其特征在于，所述网络认证设备根据所述第二共享密钥生成目标共享密钥，包括：

所述网络认证设备和所述用户设备根据所述第二共享密钥或者根据基于所述第二共享密钥衍生的共享密钥进行网络认证生成所述目标共享密钥。
根据权利要求61所述的方法，其特征在于，所述网络认证设备和所述用户设备根据所述第二共享密钥或者根据基于所述第二共享密钥衍生的共享密钥进行网络认证生成所述目标共享密钥之前，所述方法还包括：

所述网络认证设备和所述用户设备进行网络认证生成第三共享密钥；

所述网络认证设备和所述用户设备根据所述第二共享密钥或者根据基于所述第二共享密钥衍生的共享密钥进行网络认证生成所述目标共享密钥，包括：

所述网络认证设备和所述用户设备根据所述第二共享密钥进行网络认证生成第四共享密钥；

所述网络认证设备和所述用户设备均根据所述第三共享密钥和所述第四共享密钥生成所述目标共享密钥。
根据权利要求60所述的方法，其特征在于，所述网络认证设备根据所述第二共享密钥生成目标共享密钥，包括：

所述网络认证设备和所述用户设备将所述第二共享密钥或者基于所述第二共享密钥衍生的共享密钥作为目标共享密钥。
根据权利要求60所述的方法，其特征在于，所述网络认证设备根据所述第二共享密钥生成目标共享密钥，包括：

所述网络认证设备和所述用户设备进行网络认证生成第三共享密钥；

所述网络认证设备和所述用户设备根据所述第二共享密钥和所述第三共享密钥生成所述目标共享密钥；或者将所述第二共享密钥和所述第三共享密钥分别作为保护不同类型数据的所述目标共享密钥。
根据权利要求60所述方法，其特征在于，所述网络认证设备根据所述第二共享密钥生成目标共享密钥，包括：

所述网络认证设备和所述用户设备根据所述第二共享密钥和第五共享密钥生成所述目标共享密钥；或者将所述第二共享密钥和基于所述第五共享密钥衍生的密钥分别作为保护不同类型数据的所述目标共享密钥，所述第五共享密钥为所述用户设备与所述网络认证设备之间预先配置的共享密钥。
根据权利要求60～65任一项所述的方法，其特征在于，所述方法还包括：

所述网络认证设备向所述业务认证设备获取所述第一共享密钥；

所述网络认证设备根据所述第一共享密钥和第五共享密钥生成网络侧信息，所述第五共享密钥为所述用户设备与所述网络认证设备之间预先配置的共享密钥；

所述网络认证设备将所述网络侧信息发送给所述业务认证设备，以使所述业务认证设备向所述用户设备转发所述网络侧信息，所述网络参数属于所述参考信息。
根据权利要求60～65任一项所述的方法，其特征在于，所述网络认证设备根据所述第二共享密钥生成目标共享密钥之前，所述方法还包括：

所述网络认证设备将所述目标共享密钥发送给所述业务认证设备，所述目标共享密钥或者基于所述目标共享密钥衍生的共享密钥用作所述业务认证设备与所述用户设备协商的保护数据安全传输的共享密钥。
根据权利要求60～67任一项所述的方法，其特征在于，所述参考信息包括所述网络认证设备所在蜂窝网的网络参数和目标业务的业务参数中至少一项。
根据权利要求68所述的方法，其特征在于，所述业务参数包括所述目标业务的业务序列号、密钥管理中心的标识、会话标识、链路标识、应用标识、业务标识、业务等级、业务数据速率、时延和业务服务器标识中的至少一项；所述网络参数包括运营商标识，接入网络标识，服务网络标识，网络类型标识，局域网网络标识，切片标识，承载标识，服务质量标识和流标识中的至少一项。
根据权利要求61所述的网络认证方法，其特征在于，所述网络认证设备包括CP-AU；所述网络认证设备和所述用户设备根据所述第二共享密钥或者根据基于所述第二共享密钥衍生的共享密钥进行网络认证生成所述目标共享密钥，包括：

接收所述UE发送的请求接入网络的消息并根据身份标识和业务标识获取第二共享密钥，以及向签约服务器请求基于预置密钥生成的认证向量，所述预置密钥为所述UE与所述签约服务器预先共享的密钥；所述请求接入网络的消息包含所述UE的所述身份标识和目标业务的所述业务标识，所述目标业务为所述UE当前执行的业务；

接收所述签约服务器发送的所述认证向量，所述认证向量包含消息认证码和期待响应，所述认证向量包含的所述消息认证码为网络侧初始消息认证码，所述认证向量包含的期待响应为初始期待响应；

将通过预设的消息认证码算法对所述第二共享密钥和所述网络侧初始消息认证码进行计算得到业务参考消息认证码，并向所述UE发送认证请求消息，所述认证请求消息包含所述业务参考消息认证码；所述UE用于接收所述认证请求消息并通过认证与密钥协商协议AKA根据所述预置密钥生成消息认证码和响应，生成的所述消息认证码为用户侧初始消息认证码以及生成的所述响应为初始响应，并通过所述预设的消息认证码算法对所述第二共享密钥和所述用户侧初始消息认证码进行计算得到用户侧参考消息认证码，所述UE使用的第二共享密钥为所述UE根据自身的身份标识和所述业务标识获取，或者所述UE预先存储了所述第二共享密钥；

所述UE还用于判断所述用户侧参考消息认证码与所述业务参考消息认证码是否相同；所述UE用于在判断出相同时，通过预设的响应算法对所述第二共享密钥和所述初始响应进行处理得到参考响应；所述UE还用于将所述参考响应发送给所述CP-AU；

通过所述预设的响应算法对所述第二共享密钥和所述初始期待响应进行处理得到参考期待响应；

接收所述参考响应；

判断所述参考期待响应与所述参考响应是否相同；

若相同，则和所述UE使用相同的密钥生成算法对预设的基础密钥和所述第二共享密钥进行处理得到目标共享密钥。
根据权利要求61所述的网络认证方法，其特征在于，所述网络认证设备包括CP-AU；所述网络认证设备和所述用户设备根据所述第二共享密钥或者根据基于所述第二共享密钥衍生的共享密钥进行网络认证生成所述目标共享密钥，包括：

接收UE发送的接入网络的消息并根据身份标识和业务标识获取第二共享密钥，以及向签约服务器请求基于预置密钥生成的认证向量，所述预置密钥为所述UE与所述签约服务器预先共享的密钥；所述接入网络的消息包含所述UE的所述身份标识和目标业务的所述业务标识，所述目标业务为所述UE当前执行的业务；

接收所述签约服务器发送的所述认证向量，所述认证向量包含消息认证码和期待响应，所述认证向量包含的所述消息认证码为网络侧初始消息认证码，所述认证向量包含的期待响应为初始期待响应；

将通过预设的第一消息认证码算法对所述第二共享密钥进行计算得到网络侧附加消息认证码，并向UE发送认证请求消息，所述认证请求消息包括所述网络侧附加消息认证码和所述网络侧初始消息认证码发送给所述UE；所述UE用于接收所述认证请求消息；所述UE用于通过认证与密钥协商协议AKA根据所述预置密钥生成消息认证码和响应，生成的所述消息认证码为用户侧初始消息认证码以及生成的所述响应为初始响应，并通过所述预设的第一消息认证码算法对所述第二共享密钥进行计算得到用户侧附加消息认证码，所述UE使用的第二共享密钥为所述UE根据自身的身份标识和所述业务标识获取，或者所述UE预先存储了所述第二共享密钥；所述UE用于判断所述用户侧附加消息认证码是否与所述网络侧附加消息认证码相同，且判断所述用户侧初始消息认证码是否与所述网络侧初始消息认证码相同；若均相同，则所述UE用于通过预设的第二消息认证码算法对自身的所述第二共享密钥进行处理得到用户侧响应消息认证码；所述UE还用于将所述参考响应和所述用户侧响应消息认证码发送给所述CP-AU；

接收所述参考响应和所述用户侧响应消息认证码；

通过所述预设的所述第二消息认证码算法对自身的所述第二共享密钥进行处理得到网络侧响应消息认证码；

判断所述初始期待响应是否与所述初始响应相同，且所述网络侧响应消息认证码是否与所述用户侧响应消息认证码相同；

若均相同，则和所述UE使用相同的密钥生成算法对预设的基础密钥和所述第二共享密钥进行处理得到目标共享密钥。
一种网络认证方法，其特征在于，包括：

用户设备获取参考信息并结合所述参考信息和第一共享密钥生成第二共享密钥；所述第一共享密钥为所述用户设备与业务认证设备之间预先配置的共享密钥，所述业务认证设备用于获取所述参考信息并结合所述参考信息和所述第一共享密钥生成所述第二共享密钥，所述业务认证设备还用于将所述第二共享密钥发送给网络认证设备；

所述用户设备根据所述第二共享密钥生成目标共享密钥，所述目标共享密钥或者基于所述目标共享密钥衍生的共享密钥为所述网络认证设备与所述用户设备协商的保护数据安全传输的共享密钥。
根据权利要求72所述方法，其特征在于，所述用户设备根据所述第二共享密钥生成目标共享密钥，包括：

所述用户设备将所述第二共享密钥或者基于所述第二共享密钥衍生的共享密钥作为所述目标共享密钥。
根据权利要求72所述的方法，其特征在于，所述用户设备根据所述第二共享密钥生成目标共享密钥，包括：

所述用户设备和所述网络认证设备根据所述第二共享密钥或者根据基于所述第二共享密钥衍生的共享密钥进行网络认证生成目标共享密钥。
根据权利要求74所述的方法，其特征在于，所述用户设备和所述网络认证设备根据所述第二共享密钥或者根据基于所述第二共享密钥衍生的共享密钥进行网络认证生成目标共享密钥之前，所述方法还包括：

所述用户设备和所述网络认证设备进行网络认证生成第三共享密钥；

所述用户设备和所述网络认证设备根据所述第二共享密钥或者根据基于所述第二共享密钥衍生的共享密钥进行网络认证生成目标共享密钥，包括：

所述用户设备和所述网络认证设备根据所述第二共享密钥进行网络认证生成第四共享密钥；

所述用户设备根据所述第三共享密钥和所述第四共享密钥生成所述目标共享密钥。
根据权利要求72所述的方法，其特征在于，所述用户设备根据所述第二共享密钥生成目标共享密钥，包括：

所述用户设备和所述网络认证设备进行网络认证生成第三共享密钥；

所述用户设备根据所述第二共享密钥和所述第三共享密钥生成所述目标共享密钥；或者将所述第二共享密钥和所述第三共享密钥分别作为保护不同类型数据的所述目标共享密钥。
根据权利要求72所述的方法，其特征在于，所述用户设备根据所述第二共享密钥生成目标共享密钥，包括：

所述用户设备根据所述第二共享密钥和第五共享密钥生成所述目标共享密钥；或者将所述第二共享密钥和基于所述第五共享密钥衍生的共享密钥分别作为保护不同类型数据的所述目标共享密钥，所述第五共享密钥为所述用户设备与所述网络认证设备之间预先配置的共享密钥。
根据权利要求72所述的方法，其特征在于，所述结合所述参考信息和第一共享密钥生成第二共享密钥，包括：

结合所述参考信息、第一共享密钥和第五共享密钥与所述业务认证设备进行业务认证生成第二共享密钥；所述第五共享密钥为所述用户设备与所述网络认证设备之间预先配置的共享密钥，所述业务认证设备用于获取所述第五共享密钥。
根据权利要求72～78任一项所述的方法，其特征在于，所述结合所述参考信息和第一共享密钥生成第二共享密钥，包括：

用户设备和业务认证设备结合所述参考信息和第一共享密钥进行业务认证生成第二共享密钥。
根据权利要求72～78任一项所述的方法，其特征在于，所述结合所述参考信息和第一共享密钥生成第二共享密钥之前，所述方法还包括：

所述用户设备接收所述业务认证设备转发的来自所述网络认证设备的网络侧信息，所述网络侧信息为所述网络认证设备根据第五共享密钥和获取的所述第一共享密钥生成，所述第五共享密钥为所述用户设备与所述网络认证设备之间预先配置的共享密钥；

所述结合所述参考信息和第一共享密钥生成第二共享密钥，包括：

结合所述网络参数和第一共享密钥与所述业务认证设备进行业务认证生成第二共享密钥，所述网络参数包括所述网络侧信息。
根据权利要求72～80任一项所述的方法，其特征在于，所述参考信息包括所述网络认证设备所在蜂窝网的网络参数和目标业务的业务参数中至少一项。
根据权利要求81所述的方法，其特征在于，当所述参考信息包含所述业务参数时，所述结合所述参考信息和第一共享密钥生成第二共享密钥之前，所述方法还包括：

所述用户设备接收所述网络认证设备转发的来自所述业务认证设备的所述业务参数。
根据权利要求81或82所述的方法，其特征在于，所述业务参数包括所述目标业务的业务序列号、密钥管理中心的标识、会话标识、链路标识、应用标识、业务标识、业务等级、业务数据速率、时延和业务服务器标识中的至少一项；所述网络参数包括运营商标识，接入网络标识，服务网络标识，网络类型标识，局域网网络标识，切片标识，承载标识，服务质量标识和流标识中的至少一项。
根据权利要求74所述的网络认证方法，其特征在于，所述网络认证设备包括CP-AU；所述用户设备和所述网络认证设备根据所述第二共享密钥或者根据基于所述第二共享密钥衍生的共享密钥进行网络认证生成目标共享密钥，包括：

向CP-AU发送请求接入网络的消息，所述请求接入网络的消息包含所述UE的身份标识和目标业务的业务标识，所述目标业务为所述UE当前执行的业务；所述CP-AU用于接收所述请求接入网络的消息并根据所述身份标识和所述业务标识获取第二共享密钥，以及向签约服务器请求基于预置密钥生成的认证向量，所述预置密钥为所述UE与所述签约服务器预先共享的密钥；所述CP-AU还用于接收所述签约服务器发送的所述认证向量，所述认证向量包含消息认证码和期待响应，所述认证向量包含的所述消息认证码为网络侧初始消息认证码，所述认证向量包含的期待响应为初始期待响应；所述CP-AU还用于将通过预设的消息认证码算法对所述第二共享密钥和所述网络侧初始消息认证码进行计算得到业务参考消息认证码，并向所述UE发送认证请求消息，所述认证请求消息包括所述业务参考消息；所述CP-AU还用于通过所述预设的响应算法对所述第二共享密钥和所述初始期待响应进行处理得到参考期待响应；

接收所述认证请求消息；

通过认证与密钥协商协议AKA根据所述预置密钥生成消息认证码和响应，生成的所述消息认证码为用户侧初始消息认证码以及生成的所述响应为初始响应，并通过所述预设的消息认证码算法对所述第二共享密钥和所述用户侧初始消息认证码进行计算得到用户侧参考消息认证码，所述UE使用的第二共享密钥为所述UE根据自身的身份标识和所述业务标识获取，或者所述UE预先存储了所述第二共享密钥；

判断所述用户侧参考消息认证码与所述业务参考消息认证码是否相同；

若相同，则通过预设的响应算法对所述第二共享密钥和所述初始响应进行处理得到参考响应；

将所述参考响应发送给所述CP-AU，所述CP-AU用于接收所述参考响应并判断所述参考期待响应与所述参考响应是否相同；

在所述CP-AU的判断结果为是时，与所述CP-AU使用相同的密钥生成算法对预设的基础密钥和所述第二共享密钥进行处理得到目标共享密钥。
根据权利要求74所述的网络认证方法，其特征在于，所述网络认证设备包括CP-AU；所述用户设备和所述网络认证设备根据所述第二共享密钥或者根据基于所述第二共享密钥衍生的共享密钥进行网络认证生成目标共享密钥，包括：

向CP-AU发送接入网络的消息，所述接入网络的消息包含所述UE的身份标识和目标业务的业务标识，所述目标业务为所述UE当前执行的业务；所述CP-AU用于接收所述接入网络的消息并根据所述身份标识和所述业务标识获取第二共享密钥，以及向签约服务器请求基于预置密钥生成的认证向量，所述预置密钥为所述UE与所述签约服务器预先共享的密钥；所述CP-AU还用于接收所述签约服务器发送的所述认证向量，所述认证向量包含消息认证码和期待响应，所述认证向量包含的所述消息认证码为网络侧初始消息认证码，所述认证向量包含的期待响应为初始期待响应；所述CP-AU还用于将通过预设的第一消息认证码算法对所述第二共享密钥进行计算得到网络侧附加消息认证码，并向所述UE发送认证请求消息，所述认证请求消息包含所述网络侧附加消息认证码和所述网络侧初始消息认证码；

接收所述CP-AU发送的所述认证请求消息；

通过认证与密钥协商协议AKA根据所述预置密钥生成消息认证码和响应，生成的所述消息认证码为用户侧初始消息认证码以及生成的所述响应为初始响应，并通过所述预设的第一消息认证码算法对所述第二共享密钥进行计算得到用户侧附加消息认证码，所述UE使用的第二共享密钥为所述UE根据自身的身份标识和所述业务标识获取，或者所述UE预先存储了所述第二共享密钥；

判断所述用户侧附加消息认证码是否与所述网络侧附加消息认证码相同，且所述用户侧初始消息认证码是否与所述网络侧初始消息认证码相同；

若均相同，则通过预设的第二消息认证码算法对自身的所述第二共享密钥进行处理得到用户侧响应消息认证码；

将所述参考响应和所述用户侧响应消息认证码发送给所述CP-AU；所述CP-AU用于接收所述参考响应和所述用户侧响应消息认证码；所述CP-AU还用于通过所述预设的所述第二消息认证码算法对自身的所述第二共享密钥进行处理得到网络侧响应消息认证码；所述CP-AU还用于判断所述初始期待响应是否与所述初始响应相同，且所述网络侧响应消息认证码是否与所述用户侧响应消息认证码相同；

在所述CP-AU的判断结果为均相同时，和所述CP-AU使用相同的密钥生成算法对预设的基础密钥和所述第二共享密钥进行处理得到目标共享密钥。
一种网络认证方法，其特征在于，包括：

业务认证设备获取参考信息并结合所述参考信息和第一共享密钥生成第二共享密钥，所述第一共享密钥为用户设备与所述业务认证设备之间预先配置的共享密钥，所述用户设备用于获取所述参考信息并结合所述参考信息和所述第一共享密钥生成所述第二共享密钥，所述参考信息包括所述用户设备、网络认证设备和所述业务认证设备中至少一项预先关联的信息；

所述业务认证设备将所述第二共享密钥发送给所述网络认证设备，所述第二共享密钥用于所述用户设备和所述网络认证设备生成目标共享密钥，所述目标共享密钥或者基于所述目标共享密钥衍生的共享密钥为所述网络认证设备与所述用户设备协商的保护数据安全传输的共享密钥。
根据权利要求86所述的方法，其特征在于，所述结合所述参考信息和第一共享密钥生成第二共享密钥，包括：

所述业务认证设备和所述用户设备结合所述参考信息和第一共享密钥进行业务认证生成第二共享密钥。
根据权利要求86或87所述的方法，其特征在于，所述业务认证设备将所述第二共享密钥发送给所述网络认证设备之后，所述方法还包括：

所述业务认证设备接收所述网络认证设备发送的所述目标共享密钥；

所述业务认证设备将所述目标共享密钥或者基于所述目标共享密钥衍生的共享密钥作为所述业务认证设备与所述用户设备协商的保护数据安全传输的共享密钥。
根据权利要求86或87所述的方法，其特征在于，所述业务认证设备获取参考信息并结合所述参考信息和第一共享密钥生成第二共享密钥之后，所述方法还包括：

所述业务认证设备将所述第二共享密钥或者基于所述第二共享密钥衍生的共享密钥作为所述业务认证设备与所述用户设备协商的保护数据安全传输的共享密钥。
根据权利要求86所述的方法，其特征在于，所述结合所述参考信息和第一共享密钥生成第二共享密钥之前，所述方法还包括：

所述业务认证设备获取所述用户设备与所述网络认证设备之间预先配置的第五共享密钥；

所述结合所述参考信息和第一共享密钥生成第二共享密钥，包括：

结合所述参考信息、第一共享密钥和所述第五共享密钥进行网络认证生成第二共享密钥。
根据权利要求86所述的方法，其特征在于，所述结合所述参考信息和第一共享密钥生成第二共享密钥之前，所述方法还包括：

所述业务认证设备接收所述网络认证设备根据所述网络认证设备所在蜂窝网的网络参数生成的网络侧信息，并向所述用户设备转发所述网络侧信息；

所述结合所述参考信息和第一共享密钥生成第二共享密钥，包括：

结合所述网络参数和第一共享密钥进行业务认证生成第二共享密钥，所述网络参数包括所述网络侧信息。
根据权利要求86～91任一项所述的方法，其特征在于，所述参考信息包括所述网络认证设备所在蜂窝网的网络参数和目标业务的业务参数中至少一项。
根据权利要求92所述的方法，其特征在于，所述业务参数包括所述目标业务的业务序列号、密钥管理中心的标识、会话标识、链路标识、应用标识、业务标识、业务等级、业务数据速率、时延和业务服务器标识中的至少一项；所述网络参数包括运营商标识，接入网络标识，服务网络标识，网络类型标识，局域网网络标识，切片标识，承载标识，服务质量标识和流标识中的至少一项。
一种网络认证方法，其特征在于，包括：

网络认证设备接收业务认证设备发送的预存的目标业务的业务参数，所述业务认证设备还用于将所述业务参数发送给用户设备；

所述网络认证设备和所述用户设备结合所述业务参数和原始共享密钥生成目标共享密钥，所述目标共享密钥或者基于所述目标共享密钥衍生的共享密钥为所述网络认证设备与所述用户设备协商的保护数据安全传输的共享密钥，所述原始共享密钥为所述用户设备与所述网络认证设备之间预先配置的共享密钥。
根据权利要求94所述的方法，其特征在于，所述网络认证设备和所述用户设备结合所述业务参数和原始共享密钥生成目标共享密钥，包括：

所述网络认证设备和所述用户设备根据所述业务参数和原始共享密钥进行网络认证生成目标共享密钥；或者，

所述网络认证设备和所述用户设备根据所述业务参数和原始共享密钥生成认证共享密钥，并根据所述认证共享密钥进行网络认证生成目标共享密钥。
根据权利要求94或95所述的方法，其特征在于，所述业务参数包括所述目标业务的业务序列号、密钥管理中心的标识、会话标识、链路标识、应用标识、业务标识、业务等级、业务数据速率、时延和业务服务器标识中的至少一项。
一种网络认证方法，其特征在于，包括：

用户设备接收业务认证设备发送的预存的目标业务的业务参数，所述业务认证设备还用于将所述业务参数发送给网络认证设备；

所述用户设备和所述网络认证设备结合所述业务参数和原始共享密钥生成目标共享密钥，所述目标共享密钥或者基于所述目标共享密钥衍生的共享密钥为所述网络认证设备与所述用户设备协商的保护数据安全传输的共享密钥，所述原始共享密钥为所述用户设备与所述网络认证设备之间预先配置的共享密钥。
根据权利要97所述的方法，其特征在于，所述用户设备和所述网络认证设备结合所述业务参数和原始共享密钥生成目标共享密钥，包括：

所述用户设备和所述网络认证设备根据所述业务参数和原始共享密钥进行网络认证生成目标共享密钥；或者，

所述用户设备和所述网络认证设备根据所述业务参数和原始共享密钥生成认证共享密钥，并根据所述认证共享密钥进行网络认证生成目标共享密钥。
根据权利要求97或98所述的方法，其特征在于，所述业务参数包括所述目标业务的业务序列号、密钥管理中心的标识、会话标识、链路标识、应用标识、业务标识、业务等级、业务数据速率、时延和业务服务器标识中的至少一项。
一种网络认证方法，其特征在于，包括：

业务认证设备将预存的目标业务的业务参数发送给网络认证设备和用户设备；以使所述网络认证设备和所述用户设备结合所述业务参数和原始共享密钥生成目标共享密钥，所述目标共享密钥或者基于所述目标共享密钥衍生的共享密钥为所述网络认证设备与所述用户设备协商的保护数据安全传输的共享密钥，所述原始共享密钥为所述用户设备与所述网络认证设备之间预先配置的共享密钥。
根据权利要求100所述的方法，其特征在于，所述业务参数包括所述目标业务的业务序列号、密钥管理中心的标识、会话标识、链路标识、应用标识、业务标识、业务等级、业务数据速率、时延和业务服务器标识中的至少一项。
一种网络认证系统，其特征在于，所述系统包括用户设备UE、接入与移动性管理网元AMF和会话管理网元SMF，其中：

所述UE用于向所述AMF发送协议数据单元PDU会话建立请求；

所述AMF用于接收所述PDU会话建立请求，根据所述PDU会话建立请求确定会话管理网元SMF，向确定的所述SMF发送所述PDU会话建立请求；

所述SMF用于接收所述PDU会话建立请求，响应所述PDU会话建立请求向所述UE发送认证通知消息，所述认证通知消息包括用于指示是否进行目标认证的信息、用于定义所述目标认证的认证协议的信息和用于定义所述目标认证的密钥算法的信息中至少一项，所述目标认证包括双向认证或者单向认证；

所述UE用于接收所述认证通知消息。
根据权利要求102所述的系统，其特征在于，所述系统还包括业务认证服务器，所述业务认证服务器用于验证所述UE是否具有调用预设业务的权限，所述UE用于与业务认证服务器根据所述认证通知消息进行目标认证。
根据权利要求102或103所述的系统，其特征在于：

所述SMF用于向所述UE发送使用可扩展的身份验证协议EAP身份请求；

所述UE用于接收所述SMF发送的使用可扩展的身份验证协议EAP身份请求，根据所述EAP身份请求向所述SMF发送EAP身份响应；

所述SMF用于接收所述UE发送的针对所述EAP身份请求的EAP身份响应。
根据权利要求102-104任一项所述的系统，其特征在于，所述SMF用于确定所述目标认证的认证协议和/或密钥算法。
根据权利要求105所述的系统，其特征在于，所述SMF用于确定所述目标认证的认证协议和/或密钥算法，具体为：所述SMF用于向策略控制网元PCF发送针对所述UE的安全策略请求；接收所述PCF根据所述安全策略请求获取的与所述UE存在预设匹配关系的安全策略，所述安全策略用于所述PCF确定UE目标认证所需的认证方法和/或密钥算法；根据所述安全策略生成所述目标认证的认证协议和/或密钥算法。
根据权利要求106所述的系统，其特征在于，所述SMF用于根据所述安全策略确定所述UE需要与业务认证服务器进行目标认证，所述业务认证服务器用于验证所述UE是否具有调用预设业务的权限。
根据权利要求102-107任一项所述的系统，其特征在于，所述SMF用于向业务认证服务器发送用于指示所述UE的身份的EAP身份响应。
根据权利要求108所述系统，其特征在于，所述SMF用于向业务认证服务器发送用于指示所述UE的身份的EAP身份响应，具体为：所述SMF用于选择用户面网关UPF；与选择的所述UPF建立会话以用于转发所述SMF与业务认证服务器之间目标认证时交互的信息；通过所述会话向业务认证服务器发送用于指示所述UE的身份的EAP身份响应。
根据权利要求102-109任一项所述的系统，其特征在于，所述系统包括策略控制网元PCF，其中：

所述SMF用于向所述PCF发送针所述UE的安全策略请求；

所述PCF用于接收所述针对用户设备UE的安全策略请求，根据所述安全策略请求向所述SMF发送与所述UE存在预设匹配关系的安全策略，所述安全策略用于所述PCF确定UE目标认证所需的认证方法和/或密钥算法；

所述SMF用于接收所述与所述UE存在预设匹配关系的安全策略。
根据权利要求110所述的系统，其特征在于，所述根据所述安全策略请求向所述SMF发送与所述UE存在预设匹配关系的安全策略，具体为：根据所述安全策略请求向业务服务器发送订阅数据请求，以请求与所述UE存在预设匹配关系的安全策略，所述业务服务器用于提供业务的访问服务；接收所述业务服务器发送的所述安全策略；将所述安全策略发送给所述SMF。
根据权利要求124所述的系统，其特征在于，所述根据所述安全策略请求向所述SMF发送与所述UE存在预设匹配关系的安全策略，具体为：根据所述安全策略请求从预先缓存的信息中查找与所述UE存在预设匹配关系的安全策略；将所述安全策略发送给所述SMF。
一种用户设备UE，其特征在于，包括：

第一发送单元，用于向接入与移动性管理网元AMF发送协议数据单元PDU会话建立请求，以使所述AMF根据所述PDU会话建立请求确定会话管理网元SMF并将所述PDU会话建立请求发送给所述SMF；

第一接收单元，用于接收所述SMF响应所述PDU会话建立请求而发送的认证通知消息，所述认证通知消息包括用于指示是否进行目标认证的信息、用于定义所述目标认证的认证协议的信息和用于定义所述目标认证的密钥算法的信息中至少一项，所述目标认证包括双向认证或者单向认证。
根据权利要求113所述的UE，其特征在于，还包括：

认证单元，用于在所述第一接收单元接收所述SMF响应所述PDU会话建立请求而发送的认证通知消息之后，与业务认证服务器根据所述认证通知消息进行目标认证，所述业务认证服务器用于验证所述UE是否具有调用预设业务的权限。
根据权利要求113或114所述的UE，其特征在于，还包括：

第二接收单元，用于在所述第一接收单元接收所述SMF响应所述PDU会话建立请求而发送的认证通知消息之后，接收所述SMF发送的使用可扩展的身份验证协议EAP身份请求；

第二发送单元，用于根据所述EAP身份请求向所述SMF发送EAP身份响应。
一种会话管理网元SMF，其特征在于，包括：

第三接收单元，用于接收接入与移动性管理网元AMF发送的协议数据单元PDU会话建立请求；

第三发送单元，用于响应所述PDU会话建立请求向用户设备UE发送认证通知消息，所述认证通知消息包括用于指示是否进行目标认证的信息、用于定义所述目标认证的认证协议的信息和用于定义所述目标认证的密钥算法的信息中至少一项，所述目标认证包括双向认证或者单向认证。
根据权利要求116所述的SMF，其特征在于，所述认证通知消息用于所述UE与业务认证服务器进行目标认证，所述业务认证服务器用于验证所述UE是否具有调用预设业务的权限。
根据权利要求116或117所述的SMF，其特征在于，还包括：

确定单元，用于在所述第三接收单元接收接入与移动性管理网元AMF发送的协议数据单元PDU会话建立请求之后，在所述第三发送单元响应所述PDU会话建立请求向用户设备UE发送认证通知消息之前，确定所述目标认证的认证协议和/或密钥算法。
根据权利要求118所述的SMF，其特征在于，所述确定单元确定所述目标认证的认证协议和/或密钥算法，具体为：

向策略控制网元PCF发送针对所述UE的安全策略请求；

接收所述PCF根据所述安全策略请求获取的与所述UE存在预设匹配关系的安全策略，所述安全策略用于所述PCF确定UE目标认证所需的认证方法和/或密钥算法；

根据所述安全策略生成所述目标认证的认证协议和/或密钥算法。
根据权利要求119所述的SMF，其特征在于，所述确定单元还用于根据所述安全策略确定所述UE需要与业务认证服务器进行目标认证，所述业务认证服务器用于验证所述UE是否具有调用预设业务的权限。
根据权利要求116-120任一项所述的SMF，其特征在于，还包括：

第四发送单元，用于在所述第三发送单元响应所述PDU会话建立请求向用户设备UE发送认证通知消息之后，向所述UE发送使用可扩展的身份验证协议EAP身份请求；

第四接收单元，用于接收所述UE发送的针对所述EAP身份请求的EAP身份响应。
根据权利要求116-121任一项所述的SMF，其特征在于，还包括：

第五发送单元，用于在所述第四发送单元响应所述PDU会话建立请求向用户设备UE发送认证通知消息之后，向业务认证服务器发送用于指示所述UE的身份的EAP身份响应。
根据权利要求122所述的SMF，其特征在于，所述第五发送单元具体用于：

选择用户面网关UPF；

与选择的所述UPF建立会话以用于转发所述SMF与业务认证服务器之间目标认证时交互的信息；

通过所述会话向业务认证服务器发送用于指示所述UE的身份的EAP身份响应。
一种策略控制网元PCF，其特征在于，包括：

第五接收单元，用于接收会话管理网元SMF发送的针对用户设备UE的安全策略请求；

第六发送单元，用于根据所述安全策略请求向所述SMF发送与所述UE存在预设匹配关系的安全策略，所述安全策略用于所述PCF确定UE目标认证所需的认证方法和/或密钥算法。
根据权利要求124所述的PCF，其特征在于，所述第六发送单元具体用于：

根据所述安全策略请求向业务服务器发送订阅数据请求，以请求与所述UE存在预设匹配关系的安全策略，所述业务服务器用于提供业务的访问服务；

接收所述业务服务器发送的所述安全策略；

将所述安全策略发送给所述SMF。
根据权利要求124所述的PCF，其特征在于，所述第六发送单元具体用于：

根据所述安全策略请求从预先缓存的信息中查找与所述UE存在预设匹配关系的安全策略；

将所述安全策略发送给所述SMF。
一种网络认证方法，其特征在于，包括：

用户设备UE向接入与移动性管理网元AMF发送协议数据单元PDU会话建立请求，以使所述AMF根据所述PDU会话建立请求确定会话管理网元SMF并将所述PDU会话建立请求发送给所述SMF；

所述UE接收所述SMF响应所述PDU会话建立请求而发送的认证通知消息，所述认证通知消息包括用于指示是否进行目标认证的信息、用于定义所述目标认证的认证协议的信息和用于定义所述目标认证的密钥算法的信息中至少一项，所述目标认证包括双向认证或者单向认证。
根据权利要求127所述的方法，其特征在于，所述UE接收所述SMF响应所述PDU会话建立请求而发送的认证通知消息之后，所述方法还包括：

所述UE与业务认证服务器根据所述认证通知消息进行目标认证，所述业务认证服务器用于验证所述UE是否具有调用预设业务的权限。
根据权利要求127或128所述的方法，其特征在于，所述UE接收所述SMF响应所述PDU会话建立请求而发送的认证通知消息之后，所述方法还包括：

所述UE接收所述SMF发送的使用可扩展的身份验证协议EAP身份请求；

所述UE根据所述EAP身份请求向所述SMF发送EAP身份响应。
一种网络认证方法，其特征在于，包括：

会话管理网元SMF接收接入与移动性管理网元AMF发送的协议数据单元PDU会话建立请求；

所述SMF响应所述PDU会话建立请求向用户设备UE发送认证通知消息，所述认证通知消息包括用于指示是否进行目标认证的信息、用于定义所述目标认证的认证协议的信息和用于定义所述目标认证的密钥算法的信息中至少一项，所述目标认证包括双向认证或者单向认证。
根据权利要求130所述的方法，其特征在于，所述认证通知消息用于所述UE与业务认证服务器进行目标认证，所述业务认证服务器用于验证所述UE是否具有调用预设业务的权限。
根据权利要求130或131所述的方法，其特征在于，所述会话管理网元SMF接收接入与移动性管理网元AMF发送的协议数据单元PDU会话建立请求之后，所述SMF响应所述PDU会话建立请求向用户设备UE发送认证通知消息之前，所述方法还包括：

所述SMF确定所述目标认证的认证协议和/或密钥算法。
根据权利要求132所述的方法，其特征在于，所述SMF确定所述目标认证的认证协议和/或密钥算法，包括：

所述SMF向策略控制网元PCF发送针对所述UE的安全策略请求；

所述SMF接收所述PCF根据所述安全策略请求获取的与所述UE存在预设匹配关系的安全策略，所述安全策略用于所述PCF确定UE目标认证所需的认证方法和/或密钥算法；

所述SMF根据所述安全策略生成所述目标认证的认证协议和/或密钥算法。
根据权利要求133所述的方法，其特征在于，所述方法还包括：

所述SMF根据所述安全策略确定所述UE需要与业务认证服务器进行目标认证，所述业务认证服务器用于验证所述UE是否具有调用预设业务的权限。
根据权利要求130-134任一项所述的方法，其特征在于，所述SMF响应所述PDU会话建立请求向用户设备UE发送认证通知消息之后，所述方法还包括：

所述SMF向所述UE发送使用可扩展的身份验证协议EAP身份请求；

所述SMF接收所述UE发送的针对所述EAP身份请求的EAP身份响应。
根据权利要求130-135任一项所述的方法，其特征在于，所述SMF响应所述PDU会话建立请求向用户设备UE发送认证通知消息之后，所述方法还包括：

所述SMF向业务认证服务器发送用于指示所述UE的身份的EAP身份响应。
根据权利要求136所述的方法，其特征在于，所述SMF向业务认证服务器发送用于指示所述UE的身份的EAP身份响应，包括：

所述SMF选择用户面网关UPF；

所述SMF与选择的所述UPF建立会话以用于转发所述SMF与业务认证服务器之间目标认证时交互的信息；

所述SMF通过所述会话向业务认证服务器发送用于指示所述UE的身份的EAP身份响应。
一种网络认证方法，其特征在于，包括：

策略控制网元PCF接收会话管理网元SMF发送的针对用户设备UE的安全策略请求；

所述PCF根据所述安全策略请求向所述SMF发送与所述UE存在预设匹配关系的安全策略，所述安全策略用于所述PCF确定UE目标认证所需的认证方法和/或密钥算法。
根据权利要求138所述的方法，其特征在于，所述PCF根据所述安全策略请求向所述SMF发送与所述UE存在预设匹配关系的安全策略，包括：

所述PCF根据所述安全策略请求向业务服务器发送订阅数据请求，以请求与所述UE存在预设匹配关系的安全策略，所述业务服务器用于提供业务的访问服务；

所述PCF接收所述业务服务器发送的所述安全策略；

所述PCF将所述安全策略发送给所述SMF。
根据权利要求138所述的方法，其特征在于，所述PCF根据所述安全策略请求向所述SMF发送与所述UE存在预设匹配关系的安全策略，包括：

所述PCF根据所述安全策略请求从预先缓存的信息中查找与所述UE存在预设匹配关系的安全策略；

所述PCF将所述安全策略发送给所述SMF。
一种存储介质，其特征在于，所述存储介质用于存储指令，该指令在计算机上运行时使得所述计算机执行权利要求127-129任一项所述的方法。
一种存储介质，其特征在于，所述存储介质用于存储指令，该指令在计算机上运行时使得所述计算机执行权利要求130-137任一项所述的方法。
一种存储介质，其特征在于，所述存储介质用于存储指令，该指令在计算机上运行时使得所述计算机执行权利要求138-140任一项所述的方法。