WO2019095748A1 - 通信管理方法、装置、系统、终端、管理实体及存储介质 - Google Patents

通信管理方法、装置、系统、终端、管理实体及存储介质 Download PDF

Info

Publication number
WO2019095748A1
WO2019095748A1 PCT/CN2018/099855 CN2018099855W WO2019095748A1 WO 2019095748 A1 WO2019095748 A1 WO 2019095748A1 CN 2018099855 W CN2018099855 W CN 2018099855W WO 2019095748 A1 WO2019095748 A1 WO 2019095748A1
Authority
WO
WIPO (PCT)
Prior art keywords
terminal
security information
management entity
communication
access request
Prior art date
Application number
PCT/CN2018/099855
Other languages
English (en)
French (fr)
Inventor
谢振华
李振东
Original Assignee
中兴通讯股份有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 中兴通讯股份有限公司 filed Critical 中兴通讯股份有限公司
Publication of WO2019095748A1 publication Critical patent/WO2019095748A1/zh

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W36/00—Hand-off or reselection arrangements
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W36/00—Hand-off or reselection arrangements
    • H04W36/14—Reselecting a network or an air interface
    • H04W36/144—Reselecting a network or an air interface over a different radio air interface technology
    • H04W36/1443—Reselecting a network or an air interface over a different radio air interface technology between licensed networks

Definitions

  • the present disclosure relates to the field of communications, but is not limited to the field of communications, and in particular, to a communication management method, apparatus, system, terminal, management entity, and storage medium.
  • a scenario of network switching usually occurs, for example, switching from 4G (the 4th generation mobile communication technology) network to 5G (5-generation, 5th generation mobile communication technology) Network, etc.
  • the 3GPP (3rd Generation Partnership Project) is a handover scenario for the terminal from 4G to 5G.
  • the AMF Access Management Function
  • the terminal UE and the 5G network is based on 4G.
  • the security information is used for secure communication, and the terminal that does not meet the requirements of the 5G network needs to use 5G security information for secure communication. That is, in the related art, after the terminal performs network switching of different standards, the security information of the network before the handover is still used for subsequent secure communication, and the network communication security requirements are not met.
  • Embodiments of the present disclosure provide a communication management method, apparatus, system, terminal, management entity, and storage medium.
  • An embodiment of the present disclosure provides a terminal communication management method, including:
  • the terminal accesses the first standard network, establishes communication with the first management entity, and acquires the first security information;
  • the second management entity When the terminal accesses the second-standard network, the second management entity sends an access request of the second-standard network; the access request carries the security check code generated by the terminal according to the first security information and the access request;
  • the success response is that the second management entity sends a terminal verification request to the first management entity based on the access request, and is sent when the first management entity verifies the terminal according to the terminal verification request;
  • the second security information is generated according to the first security information, and the second security information is used for secure communication.
  • the embodiment of the present disclosure further provides a terminal communication management method, including:
  • the second management entity receives the access request from the terminal; the access request is sent by the terminal when accessing the second standard network from the first standard network, and the security check code generated by the portable terminal according to the first security information and the access request
  • the first security information is obtained after the terminal establishes communication with the first management entity in the first standard network
  • the embodiment of the present disclosure further provides a terminal communication management method, including:
  • the terminal accesses the first-standard network, establishes communication with the first management entity, and obtains the first security information; when accessing the second-standard network, sends the access request of the second-standard network to the second management entity; the access request carries There is a security check code generated by the terminal according to the first security information and the access request;
  • the second management entity receives the access request from the terminal, determines the first management entity corresponding to the terminal, and sends a terminal verification request to the first management entity according to the access request; the terminal verification request carries the security check code;
  • the first management entity receives the terminal verification request, and verifies the terminal according to the security check code, and sends a response to the second management entity when the verification is passed;
  • the terminal receives the success message sent by the second management entity, generates the second security information according to the first security information, and performs the secure communication by using the second security information.
  • the embodiment of the present disclosure further provides a terminal communication management apparatus, which is disposed in the terminal, and the terminal communication management apparatus includes:
  • the access module is configured to access the first-standard network, establish communication with the first management entity, obtain the first security information, and send the access request of the second-standard network to the second management entity when accessing the second-standard network.
  • the access request carries a security check code generated by the terminal according to the first security information and the access request;
  • a receiving module configured to receive a successful response sent by the second management entity; the successful response is that the second management entity sends a terminal verification request to the first management entity based on the access request, and the first management entity verifies the terminal according to the terminal verification request Sent
  • the communication module is configured to generate second security information according to the first security information, and use the second security information to perform secure communication.
  • the embodiment of the present disclosure further provides a terminal, including: a processor, a memory, and a communication bus, where
  • the communication bus is configured to implement connection communication between the processor and the memory
  • the processor is configured to execute one or more programs stored in the memory to implement the terminal communication management method provided by the embodiments of the present disclosure.
  • the embodiment of the present disclosure further provides a terminal communication management apparatus, which is disposed in a second management entity, where the terminal communication management apparatus includes:
  • the receiving module is configured to receive an access request from the terminal; the access request is sent by the terminal when accessing the second standard network from the first standard network, and the security check generated by the carrying terminal according to the first security information and the access request a code, the first security information is obtained after the terminal establishes communication with the first management entity in the first standard network;
  • the verification module is configured to: determine, according to the access request, the first management entity corresponding to the terminal, and send a terminal verification request to the first management entity; the terminal verification request carries a security check code; and receives a pass response sent by the first management entity; The response is sent when the first management entity verifies the terminal according to the terminal verification request;
  • the communication module is configured to acquire the second security information, use the second security information for secure communication, and send a successful response to the terminal.
  • the embodiment of the present disclosure further provides a management entity, including: a processor, a memory, and a communication bus, where
  • the communication bus is used to implement connection communication between the processor and the memory
  • the processor is configured to execute one or more programs stored in the memory to implement the terminal communication management method provided by the embodiments of the present disclosure.
  • the embodiment of the present disclosure further provides a terminal communication management system, which includes a terminal, a first management entity that is disposed in the first-standard network, and a second management entity that is configured in the second-standard network, where
  • the terminal is configured to access the first-standard network, establish communication with the first management entity, and obtain the first security information; and when accessing the second-standard network, send the access request of the second-standard network to the second management entity;
  • the request carries a security check code generated by the terminal according to the first security information and the access request;
  • the second management entity is configured to receive an access request from the terminal, determine, according to the access request, a first management entity corresponding to the terminal, and send a terminal verification request to the first management entity; the terminal verification request carries a security check code;
  • the first management entity is configured to receive the terminal verification request, and verify the terminal according to the security check code, and send a response to the second management entity when the verification is passed;
  • the second management entity is configured to receive the response sent by the first management entity, acquire the second security information, use the second security information to perform secure communication, and send a success message to the terminal;
  • the terminal is configured to receive the success message sent by the second management entity, generate the second security information according to the first security information, and use the second security information to perform the secure communication.
  • the embodiment of the present disclosure further provides a computer readable storage medium storing one or more programs, and one or more programs may be executed by one or more processors to implement the embodiments of the present disclosure.
  • Terminal communication management method Terminal communication management method.
  • the present disclosure provides a communication management method, apparatus, system, terminal, management entity, and storage medium according to an embodiment of the present disclosure.
  • the terminal After accessing the first standard network, the terminal acquires the first security information, and after successfully accessing the second standard network, The second security information is generated according to the first security information, and the second security information is used for secure communication; that is, after the terminal performs different standard network switching, the terminal generates security information of the switched network according to the security information of the network before the handover, and uses the handover.
  • the post-secure communication of the post-network security information satisfies the network communication security requirements.
  • FIG. 1 is a flowchart of a terminal communication management method according to an embodiment of the present disclosure
  • FIG. 2 is a flowchart of a terminal communication management method according to an embodiment of the present disclosure on a terminal side;
  • FIG. 3 is a flowchart of a terminal communication management method according to an embodiment of the present disclosure on a management entity side;
  • FIG. 4 is a schematic diagram of a terminal according to an embodiment of the present disclosure.
  • FIG. 5 is a schematic diagram of a terminal communication management apparatus installed in a terminal according to an embodiment of the present disclosure
  • FIG. 6 is a schematic diagram of a management entity according to an embodiment of the present disclosure.
  • FIG. 7 is a schematic diagram of a terminal communication management apparatus set in a management entity according to an embodiment of the present disclosure.
  • FIG. 8 is a flowchart of a terminal when a terminal is switched from 4G to 5G according to an embodiment of the present disclosure
  • FIG. 9 is a first flowchart of a terminal when a terminal is switched from 4G to 5G according to an embodiment of the present disclosure
  • FIG. 10 is a second flowchart of a terminal when a terminal is switched from 4G to 5G according to an embodiment of the present disclosure
  • FIG. 11 is a third flowchart of a terminal when a terminal is switched from 4G to 5G according to an embodiment of the present disclosure
  • FIG. 12 is a fourth flowchart of a terminal when a terminal is switched from 4G to 5G according to an embodiment of the present disclosure
  • FIG. 13 is a first flowchart of a terminal when a terminal is switched from 5G to 4G according to an embodiment of the present disclosure
  • FIG. 14 is a second flowchart of a terminal when a terminal is switched from 5G to 4G according to an embodiment of the present disclosure
  • FIG. 15 is a third flowchart of a terminal when a terminal is switched from 5G to 4G according to an embodiment of the present disclosure
  • FIG. 16 is a fourth flowchart of a terminal when a terminal is switched from 5G to 4G according to an embodiment of the present disclosure.
  • the first system network and the second system network refer to networks of different standards.
  • 4G and 5G are networks of different systems
  • the first management entity refers to the network in the first system.
  • the physical device for managing the terminal user, and the first security information refers to information used by the terminal for secure communication such as encryption and decryption processing of messages and data in the first-standard network
  • the second management entity refers to The physical device for managing the terminal user in the two-standard network
  • the second security information refers to the information used by the terminal for secure communication such as encryption and decryption processing of messages and data in the second-standard network.
  • the security information includes at least an encryption and decryption key and a key modification parameter
  • the key correction parameter refers to a parameter for correcting the encryption and decryption key.
  • the key correction parameter may include one or more of how long the encryption/decryption key is modified once, or modified after being used several times, and how to modify the indication information.
  • the terminal communication management method provided in this embodiment includes:
  • the terminal accesses the first standard network, establishes communication with the first management entity to obtain the first security information, and sends the access request of the second standard network to the second management entity when accessing the second standard network;
  • the request carries a security check code generated by the terminal according to the first security information and the access request.
  • the terminal first accesses the first-standard network, and then accesses the second-standard network in a scenario such as restarting, manually selecting the network by the user, and automatically performing cell switching.
  • the terminal first accesses the first-standard network in the first cell, establishes communication with the first management entity, completes identity verification, and then the first management entity generates the first security information, and sends the first security information to the terminal, where the terminal is based on the A security message for secure communication in a first-standard network. Then, the terminal performs cell reselection due to the change of the mobile or the signal strength, and determines whether the network standard of the new cell (the second cell) is the same as the first cell according to the system broadcast sent by the base station. If the same, the network system does not switch. Sending a normal access request to the base station of the second cell, accessing the second cell, and continuing to use the first security information for communication. If not, the network standard handover occurs, and the base station of the second cell goes to the second standard network. Send an access request.
  • the second management entity receives the access request from the terminal, determines, according to the access request, the first management entity corresponding to the terminal, and sends a terminal verification request to the first management entity; the terminal verification request carries the security check code.
  • the first management entity receives the terminal verification request, and verifies the terminal according to the security check code, and sends a response to the second management entity when the verification succeeds.
  • the first management entity extracts the first communication identifier and the access request carried by the terminal verification request, searches for the first security information corresponding to the first communication identifier, and generates the verification verification code according to the first security information and the access request. Extracting the security check code carried in the access request; comparing the verification check code and the security check code; if the comparison is passed, the terminal passes the verification, and sends a response to the second management entity; if the comparison fails, the The terminal verification fails, and the failed response is sent to the second management entity.
  • the second management entity receives the pass response sent by the first management entity, obtains the second security information, performs secure communication by using the second security information, and sends a success message to the terminal.
  • S105 The terminal receives the success message sent by the second management entity, generates the second security information according to the first security information, and performs the secure communication by using the second security information.
  • the method further includes: the first management entity sends a failing response to the second management entity, and after receiving the failed response sent by the first management entity, the second management entity sends a failure message to the terminal, rejecting the terminal connection.
  • the embodiment of the present embodiment on the terminal side includes:
  • S201 The terminal accesses the first standard network, establishes communication with the first management entity, and acquires the first security information.
  • the terminal sends an access request of the second standard network to the second management entity when the terminal accesses the second standard network;
  • the access request carries the security check code generated by the terminal according to the first security information and the access request;
  • the step includes: the terminal generating, according to the first communication identifier in the first-standard network, the second communication identifier in the second-standard network; constructing an access request carrying the second communication identifier; Requesting the first security information, generating a security check code; adding the security check code to the access request; and sending the access request to the second management entity.
  • S203 Receive a success response sent by the second management entity; the success response is that the second management entity sends a terminal verification request to the first management entity based on the access request, and is sent when the first management entity verifies the terminal according to the terminal verification request. ;
  • S204 Generate second security information according to the first security information, and perform secure communication by using the second security information.
  • the step includes: generating an encryption and decryption key in the second security information according to the encryption and decryption key in the first security information; generating a second security according to the key correction parameter in the first security information Key correction parameters in the message.
  • generating the encryption and decryption key in the second security information according to the encryption and decryption key in the first security information comprises: invoking a preset conversion function; and the encryption and decryption key in the first security information, As an input parameter of the conversion function, the output result of the conversion function is used as an encryption and decryption key in the second security information; and the encryption and decryption key in the first security information is used to generate encryption and decryption in the second security information according to the encryption function in the first security information. Key.
  • the conversion function may be an equal function or a hash function.
  • generating the encryption and decryption key in the second security information according to the encryption and decryption key in the first security information includes: When the one-standard network is the fourth-generation mobile communication network and the second-standard network is the fifth-generation mobile communication network, the anchor key in the first security information is used as the input of the hash function, and the second security information is derived. Node key; when the first-standard network is the fifth-generation mobile communication network and the second-standard network is the fourth-generation mobile communication network, the node key in the first security information is used as the input of the hash function, and the first The anchor key in the second security information.
  • the hash function may be an HMAC-SHA-256 function whose input includes a key and a hash parameter, and the anchor key and the node key may be converted based on this function, for example, when anchoring
  • the HMAC-SHA-256 function calculates the output string ⁇ 284369 ⁇ , and then uses the string ⁇ 284369 ⁇ as the node key.
  • the embodiment of the embodiment on the management entity side includes:
  • the second management entity receives an access request from the terminal, where the access request is sent by the terminal when accessing the second standard network from the first standard network, and the security terminal generates the security school according to the first security information and the access request.
  • the first security information is obtained after the terminal establishes communication with the first management entity in the first standard network;
  • S302 Determine, according to the access request, a first management entity corresponding to the terminal, and send a terminal verification request to the first management entity; the terminal verification request carries a security check code;
  • the step includes: extracting a second communication identifier of the terminal carried in the access request in the second standard network; and generating, according to the second communication identifier, the first communication identifier of the terminal in the first standard network; Constructing a terminal verification request carrying the first communication identifier and the access request; and transmitting the terminal verification request to the first management entity.
  • S303 Receive a pass response sent by the first management entity, where the response is sent by the first management entity according to the terminal verification request.
  • S304 Acquire second security information, and use second security information for secure communication
  • the step includes: directly extracting the second security information carried by the response, where the second security information is generated by the first management entity according to the first security information; or extracting the first security information carried by the response, Generating second security information according to the first security information.
  • generating the second security information according to the first security information comprises: generating an encryption and decryption key in the second security information according to the encryption and decryption key in the first security information; according to the secret in the first security information
  • the key correction parameter generates a key correction parameter in the second security information.
  • generating the encryption and decryption key in the second security information according to the encryption and decryption key in the first security information comprises: invoking a preset conversion function; and the encryption and decryption key in the first security information, As an input parameter of the conversion function, the output result of the conversion function is used as an encryption and decryption key in the second security information; and the encryption and decryption key in the first security information is used to generate encryption and decryption in the second security information according to the encryption function in the first security information. Key.
  • the transfer function is a hash function
  • generating the encryption and decryption key in the second security information according to the encryption and decryption key in the first security information comprises: when the first standard network is a fourth generation mobile communication network, When the second standard network is the fifth generation mobile communication network, the anchor key in the first security information is used as the input of the hash function, and the node key in the second security information is derived; when the first standard network is the first When the fifth generation mobile communication network and the second standard network are the fourth generation mobile communication network, the node key in the first security information is used as an input of a hash function, and an anchor key in the second security information is derived.
  • S305 Send a successful response to the terminal.
  • the terminal provided in this embodiment includes a processor 41, a memory 42, and a communication bus 43.
  • the communication bus 43 is configured to implement connection communication between the processor 41 and the memory 42;
  • the processor 41 is configured to execute one or more programs stored in the memory 42 to implement the following steps:
  • Accessing the first-standard network establishing communication with the first management entity, and acquiring the first security information
  • the success response is that the second management entity sends a terminal verification request to the first management entity based on the access request, and is sent when the first management entity verifies the terminal according to the terminal verification request;
  • the second security information is generated according to the first security information, and the second security information is used for secure communication.
  • processor 41 is configured to execute one or more programs stored in memory 42 to implement the following steps:
  • processor 41 is configured to execute one or more programs stored in memory 42 to implement the following steps:
  • the key correction parameter in the second security information is generated according to the key correction parameter in the first security information.
  • processor 41 is configured to execute one or more programs stored in memory 42 to implement the following steps:
  • the transfer function can be an equal function or a hash function, exemplified by a hash function configured to execute one or more programs stored in memory 42 to implement the following steps:
  • the anchor key in the first security information is used as an input of a hash function, and the second security information is derived.
  • the node key in the first system is the fifth generation mobile communication network, and the second system is the fourth generation mobile communication network, the node key in the first security information is used as the input of the hash function, and is derived The anchor key in the second security information.
  • the terminal communication management apparatus 5 provided in the terminal provided in this embodiment includes:
  • the access module 51 is configured to access the first-standard network, establish communication with the first management entity, obtain the first security information, and send the access to the second-standard network to the second management entity when accessing the second-standard network. a request; the access request carries a security check code generated by the terminal according to the first security information and the access request;
  • the receiving module 52 is configured to receive a success response sent by the second management entity; the success response is that the second management entity sends a terminal verification request to the first management entity based on the access request, and the terminal is verified by the first management entity according to the terminal verification request. Sent by time;
  • the communication module 53 is configured to generate second security information according to the first security information, and perform secure communication using the second security information.
  • the access module 51 is configured to generate a second communication identifier in the second system network according to the first communication identifier in the first system network; construct an access request carrying the second communication identifier; Entering the request and the first security information, generating a security check code; adding the security check code to the access request; and sending the access request to the second management entity.
  • the communication module 53 is configured to generate an encryption and decryption key in the second security information according to the encryption and decryption key in the first security information; and generate a second according to the key correction parameter in the first security information. Key correction parameters in the security information.
  • the communication module 53 is configured to invoke a preset conversion function; the encryption and decryption key in the first security information is used as an input parameter of the conversion function, and the output result of the conversion function is used as the second security information.
  • the transfer function may be an equal function or a hash function.
  • the communication module 53 is configured to be a fourth generation mobile communication network when the first system network and a fifth generation network for the second generation network.
  • the anchor key in the first security information is used as the input of the hash function, and the node key in the second security information is derived; when the first standard network is the fifth generation mobile communication network, the second
  • the node key in the first security information is used as an input of a hash function, and an anchor key in the second security information is derived.
  • the management entity provided in this embodiment includes: a processor 61, a memory 62, and a communication bus 63, where
  • the communication bus 63 is configured to implement connection communication between the processor 61 and the memory 62;
  • the processor 61 is configured to execute one or more programs stored in the memory 62 to implement the following steps:
  • the access request is sent by the terminal when accessing the second-standard network from the first-standard network, and the security check code generated by the carrying terminal according to the first security information and the access request, the first security
  • the information is obtained after the terminal establishes communication with the first management entity in the first standard network
  • processor 61 is configured to execute one or more programs stored in memory 62 to implement the following steps:
  • processor 61 is configured to execute one or more programs stored in memory 62 to implement the following steps:
  • the second security information that is carried by the response is directly extracted, and the second security information is generated by the first management entity according to the first security information; or the first security information carried by the response is extracted, and the second security information is generated according to the first security information. .
  • processor 61 is configured to execute one or more programs stored in memory 62 to implement the following steps:
  • processor 61 is configured to execute one or more programs stored in memory 62 to implement the following steps:
  • the transfer function is a hash function
  • processor 61 is configured to execute one or more programs stored in memory 62 to implement the following steps:
  • the anchor key in the first security information is used as an input of a hash function, and the second security information is derived.
  • the node key in the first system is the fifth generation mobile communication network, and the second system is the fourth generation mobile communication network, the node key in the first security information is used as the input of the hash function, and is derived The anchor key in the second security information.
  • the terminal communication management apparatus 7 provided in the management entity provided by this embodiment includes:
  • the receiving module 71 is configured to receive an access request from the terminal, where the access request is sent when the terminal accesses the second standard network from the first standard network, and the portable terminal generates the security school according to the first security information and the access request.
  • the first security information is obtained after the terminal establishes communication with the first management entity in the first standard network;
  • the verification module 72 is configured to: according to the access request, determine a first management entity corresponding to the terminal, and send a terminal verification request to the first management entity; the terminal verification request carries a security check code; and receive a response response sent by the first management entity; The response is sent when the first management entity verifies the terminal according to the terminal verification request;
  • the communication module 73 is configured to acquire the second security information, use the second security information for secure communication, and send a successful response to the terminal.
  • the verification module 72 is configured to extract a second communication identifier of the terminal carried in the access request in the second standard network; and generate, according to the second communication identifier, the first communication identifier of the terminal in the first standard network. Constructing a terminal verification request carrying the first communication identifier and the access request; and transmitting the terminal verification request to the first management entity.
  • the communication module 73 is configured to generate an encryption and decryption key in the second security information according to the encryption and decryption key in the first security information, and generate a second according to the key correction parameter in the first security information. Key correction parameters in the security information.
  • the communication module 73 is configured to directly extract the second security information carried by the response, where the second security information is generated by the first management entity according to the first security information; or extract the first security information carried by the response. And generating second security information according to the first security information.
  • the communication module 73 is configured to invoke a preset conversion function; the encryption and decryption key in the first security information is used as an input parameter of the conversion function, and the output result of the conversion function is used as the second security information.
  • the communication module 73 is configured to use the anchor key in the first security information as a distribution when the first-standard network is a fourth-generation mobile communication network and the second-standard network is a fifth-generation mobile communication network.
  • the input of the column function derives the node key in the second security information; when the first system network is the fifth generation mobile communication network and the second system network is the fourth generation mobile communication network, the first security information
  • the node key is used as an input to the hash function to derive the anchor key in the second security information.
  • the embodiment further provides a terminal communication management system, including a terminal, a first management entity that is disposed in the first-standard network, and a second management entity that is configured in the second-standard network, where the terminal is configured as Accessing the first-standard network, establishing communication with the first management entity to obtain the first security information; and when accessing the second-standard network, sending the access request of the second-standard network to the second management entity; a security check code generated by the terminal according to the first security information and the access request;
  • the second management entity is configured to receive an access request from the terminal, determine, according to the access request, the first management entity corresponding to the terminal, and send a terminal verification request to the first management entity; the terminal verification request carries the security school Code check
  • the first management entity is configured to receive the terminal verification request, and verify the terminal according to the security check code, and send a response to the second management entity when the verification is passed;
  • the second management entity is configured to receive the response sent by the first management entity, acquire the second security information, use the second security information to perform secure communication, and send a success message to the terminal;
  • the terminal is configured to receive the success message sent by the second management entity, generate the second security information according to the first security information, and use the second security information to perform the secure communication.
  • the terminal after accessing the first standard network, acquires the first security information, and after successfully accessing the second standard network, according to the A security information generates second security information, and uses the second security information for secure communication; that is, after performing different system network switching, the terminal generates security information of the switched network according to the security information of the network before the handover, and uses the network after the handover.
  • the security information is used for subsequent secure communication to meet the network communication security requirements.
  • 4G and 5G will be the mainstream communication networks, and the terminals will be mainly described in the following embodiments. It is foreseeable that the present disclosure can be applied to handover scenarios of any different system networks.
  • This embodiment takes an example in which a terminal switches from 4G to 5G.
  • FIG. 8 is a flow chart of switching from 4G to 5G provided by the existing 3GPP. As shown in FIG. 8, the existing handover process includes:
  • the terminal UE establishes a signaling connection with the MME (Mobility Management Entity) of the 4G network in the 4G network standard, and then the terminal UE enters an idle state due to factors such as mobility, and releases the wireless connection, but the UE and the 4G MME All retain 4G context for the UE, including 4G security information, 4G identity (4G GUTI).
  • MME Mobility Management Entity
  • S802 The terminal accesses the network in the 5G network standard, and sends a registration request to the 5G AMF.
  • the UE constructs a tracking area update message that is sent when accessing the network in the 4G network standard, and uses the tracking area update message and the message verification code generated by the 4G security information 4G MAC (Message Authentication Code, message authentication code, keyed hash Function), the tracking area update message contains a 4G identifier.
  • the registration request carries a 5G identity (5G GUTI) mapped by the 4G identity, a tracking area update message constructed by the UE, and a message verification code 4G MAC.
  • the 5G AMF obtains the 4G tracking area update message and the 4G MAC from the registration request, acquires the 4G MME information according to the 4G identifier in the 4G tracking area message, and then sends a context request message to the 4G MME, where the message includes the 4G identifier, and the 4G tracking area is updated.
  • Message, and 4G MAC The 5G AMF obtains the 4G tracking area update message and the 4G MAC from the registration request, acquires the 4G MME information according to the 4G identifier in the 4G tracking area message, and then sends a context request message to the 4G MME, where the message includes the 4G identifier, and the 4G tracking area is updated.
  • Message, and 4G MAC are examples of the message.
  • the 4G MME obtains the 4G identifier, the 4G tracking area update message, and the 4G MAC from the context request message, uses the 4G identifier to find the 4G security information for the terminal UE, and uses the included 4G tracking area update message and the 4G security information for the terminal UE.
  • the 4G MAC is verified. If the verification succeeds, the UE is authenticated successfully, otherwise the authentication fails.
  • the 5G AMF sends a registration response to the terminal UE, so that the terminal UE can access the 5G mobile network.
  • S807 The 5G AMF and the terminal UE use 4G security information for secure communication.
  • the UE and the 5G network also use 4G security information instead of 5G security information to protect messages and data, which does not meet the communication requirements.
  • the UE needs to construct access when accessing the 5G standard mobile network.
  • the message required by the 4G mobile network enables the UE to construct additional content, increases the message length, and reduces the network access efficiency.
  • FIG. 9 the embodiment shown in FIG. 9 or FIG. 10 is provided.
  • the handover method provided in this embodiment includes:
  • the terminal UE establishes a signaling connection with the 4G MME in the 4G network standard, and then the terminal UE enters an idle state due to factors such as mobility, and releases the wireless connection, but the UE and the 4G MME both retain the 4G context for the UE, including 4G security information, 4G logo (4G GUTI).
  • S902 The terminal accesses the network in the 5G network standard, and sends a registration request to the 5G AMF.
  • the UE constructs a tracking area update message that is sent when accessing the network under the 4G network standard, and uses the tracking area update message and the 4G security information to generate a message authentication code 4G MAC (Message Authentication Code, message authentication code, keyed hash function) ), the tracking area update message contains a 4G identifier.
  • the registration request carries a 5G identity (5G GUTI) mapped by the 4G identity, a tracking area update message, and a message authentication code 4G MAC.
  • the 5G AMF generates a 4G identifier according to the 5G identifier, and then sends a context request message to the 4G MME, where the message includes a 4G identifier, a complete registration request, and a 4G MAC.
  • the 4G MME obtains the 4G identifier, the included registration request, and the 4G MAC from the Context Request message, uses the 4G identifier to find the security information for the terminal UE, uses the tracking area update message included in the registration request, and finds the security for the terminal UE.
  • the information regenerates the check code to verify the 4G MAC included in the registration request (the same below). If the verification is successful, the authentication terminal UE succeeds, otherwise the authentication fails.
  • the 4G MME then sends a context response to the 5G AMF, including context information for the terminal UE, including 5G security information.
  • the 5G AMF sends a registration success message to the terminal UE.
  • the UE derives the node key Kamf used by the 5G AMF by using the same derivative method and using the anchor key Kasme in the 4G security information as an input of the HMAC-SHA-256 function.
  • S909 The UE and the 5G mobile network start to use 5G security information for secure communication.
  • the handover method provided in this embodiment includes:
  • the terminal UE establishes a signaling connection with the 4G MME in the 4G network standard, and then the terminal UE enters an idle state due to factors such as mobility, and releases the wireless connection, but the UE and the 4G MME both retain the 4G context for the UE, including 4G security information, 4G logo (4G GUTI).
  • S1002 The terminal accesses the network in the 5G network standard, and sends a registration request to the 5G AMF.
  • the UE constructs a tracking area update message that is sent when accessing the network under the 4G network standard, and uses the tracking area update message and the 4G security information to generate a message authentication code 4G MAC (Message Authentication Code, message authentication code, keyed hash function) ), the tracking area update message contains a 4G identifier.
  • the registration request carries the 5G identity (5G GUTI) mapped by the 4G identity, the tracking area update message, and the 4G MAC.
  • the 5G AMF generates a 4G identifier according to the 5G identifier, and then sends a context request message to the 4G MME, where the message includes a 4G identifier, a complete registration request, and a 4G MAC.
  • the 4G MME obtains the 4G identifier from the Context Request message, includes the registration request and the 4G MAC, uses the 4G identifier to find the security information for the terminal UE, uses the tracking area update message included in the registration request, and checks the security information for the terminal UE.
  • the 4G MAC carried in the registration request if the verification is successful, the authentication terminal UE succeeds, otherwise the authentication fails.
  • the 4G MME If the 4G MME authenticates the terminal UE, the 4G MME sends a context response to the 5G AMF, including context information for the terminal UE, including 4G security information.
  • the 5G AMF generates 5G security information by using the security information for the UE, for example, using the anchor key Kasme in the 4G security information carried by the context response as the input of the HMAC-SHA-256 function to derive the node key Kamf used by the 5G AMF. .
  • the 5G AMF sends a registration success message to the terminal UE.
  • the UE derives the node key Kamf used by the 5G AMF by using the same derivation method and using the anchor key Kasme in the 4G security information as an input of the HMAC-SHA-256 function.
  • S1009 The UE and the 5G mobile network start to use 5G security information for secure communication.
  • FIG. 11 or FIG. 12 In order to improve the efficiency of the terminal accessing the network, the embodiment shown in FIG. 11 or FIG. 12 is provided.
  • the handover method provided in this embodiment includes:
  • the terminal UE establishes a signaling connection with the 4G MME in the 4G network standard, and then the terminal UE enters an idle state due to factors such as mobility, and releases the wireless connection, but the UE and the 4G MME both retain the 4G context for the UE, including 4G security information, 4G logo (4G GUTI).
  • the MME is a management entity of the 4G network.
  • the terminal accesses the network in the 5G network standard, and sends a registration request to the 5G AMF.
  • the terminal accesses the network in the 5G network standard, and sends a registration request to the 5G AMF.
  • the registration request carries the 5G identifier (5G GUTI) mapped by the 4G identifier, and the message verification code 4G generated by the UE using the registration request and the 4G security information.
  • MAC The AMF may be a management entity of the 5G network. If the 4G network is a first-standard network, the MME may be the first management entity; if the 5G network is a second-standard network, the AM may be the Second management entity. For example, if the 4G network is a second-standard network, the MME may be the second management entity; if the 5G network is a first-standard network, the AM may be the first management entity.
  • the 5G AMF generates a 4G identifier according to the 5G identifier, and then sends a context request message to the 4G MME, where the message includes a 4G identifier, a registration request, and a 4G MAC.
  • the 4G MME obtains the 4G identifier from the Context Request message, includes the registration request and the 4G MAC, uses the 4G identifier to find the security information for the terminal UE, and uses the included registration request and the security information for the terminal UE to verify the 4G MAC. If the verification succeeds, the authentication terminal UE succeeds, otherwise the authentication fails.
  • S1105 If the 4G MME authentication terminal UE succeeds, generate 5G security information by using security information for the UE, for example, using the anchor key Kasme in the 4G security information as an input of the HMAC-SHA-256 function to derive a node used by the 5G AMF. Key Kamf.
  • the 4G MME then sends a context response to the 5G AMF, including context information for the terminal UE, including 5G security information.
  • the 5G AMF sends a registration success message to the terminal UE.
  • S1108 The UE derives the node key Kamf used by the 5G AMF by using the same derivation method and using the anchor key Kasme in the 4G security information as an input of the HMAC-SHA-256 function.
  • S1109 The UE and the 5G mobile network start to use 5G security information for secure communication.
  • the handover method provided in this embodiment includes:
  • the terminal UE establishes a signaling connection with the 4G MME in the 4G network standard, and then the terminal UE enters an idle state due to factors such as mobility, and releases the wireless connection, but the UE and the 4G MME both retain the 4G context for the UE, including 4G security information, 4G logo (4G GUTI).
  • S1202 The terminal accesses the network in the 5G network standard, and sends a registration request to the 5G AMF.
  • the terminal accesses the network in the 5G network standard, and sends a registration request to the 5G AMF.
  • the registration request carries the 5G identifier (5G GUTI) mapped by the 4G identifier, and the message verification code 4G generated by the UE using the registration request and the 4G security information.
  • the 5G AMF generates a 4G identifier according to the 5G identifier, and then sends a context request message to the 4G MME, where the message includes a 4G identifier, a registration request, and a 4G MAC.
  • the 4G MME obtains the 4G identifier from the Context Request message, includes the registration request and the 4G MAC, uses the 4G identifier to find the security information for the terminal UE, and uses the included registration request and the security information for the terminal UE to verify the 4G MAC. If the verification succeeds, the authentication terminal UE succeeds, otherwise the authentication fails.
  • the 4G MME If the 4G MME authenticates the terminal UE, the 4G MME sends a context response to the 5G AMF, including context information for the terminal UE, including 4G security information.
  • the 5G AMF generates 5G security information using the security information for the UE, for example, using the anchor key Kasme in the 4G security information as the input of the HMAC-SHA-256 function to derive the node key Kamf used by the 5G AMF.
  • the 5G AMF sends a registration success message to the terminal UE.
  • the UE derives the node key Kamf used by the 5G AMF by using the same derivation method and using the anchor key Kasme in the 4G security information as an input of the HMAC-SHA-256 function.
  • S1209 The UE and the 5G mobile network start to use 5G security information for secure communication.
  • This embodiment takes an example in which a terminal switches from 5G to 4G.
  • This embodiment provides four specific handover procedures from 5G to 4G to solve this blank, because the existing 3GPP does not provide a handover procedure for the terminal to switch from 5G to 4G.
  • the handover method provided in this embodiment includes:
  • the terminal UE establishes a signaling connection with the 5G AMF in the 5G network standard, and then the terminal UE enters an idle state, that is, the wireless connection is released, but the UE and the 5G AMF both retain the 5G context for the UE, including the 5G security information.
  • 5G logo 5G GUTI
  • the terminal accesses the network in the 4G network standard, and sends a tracking area update message to the 4G MMF.
  • the UE constructs a registration request that is sent when the network is accessed under the 5G network standard, and uses the registration request and the 5G security information to generate a message verification code 5G MAC.
  • the tracking area update message may be a TAU Request message carrying a 4G identity (4G GUTI) mapped by the 5G identity, a registration request, and a 5G MAC.
  • the 4G MME generates a 5G identifier according to the 4G identifier, and then sends a context request message to the 5G AMF, where the message includes a 5G identifier, a complete tracking area update message, and a 5G MAC.
  • the 4G MME may be in the context request message. Carry the 4G logo directly.
  • the 5G AMF obtains the 4G identifier or the 5G identifier from the Context Request message, and includes the tracking area update message and the 5G MAC. If the 5G identifier is received, the 5G identifier is used to find the security information for the terminal UE, if received. If the 4G identifier is used, the 5G identifier is generated by using the received 4G identifier, and then the 5G identifier is used to find the 5G security information for the terminal UE, and the 5G AMF reuses the included registration request and the 5G security information check tracking area update for the terminal UE. The 5G MAC carried by the message. If the verification succeeds, the authentication terminal UE succeeds, otherwise the authentication fails.
  • the 5G AMF then sends a context response to the 4G MME, including context information for the terminal UE, including 4G security information.
  • the 4G MME sends a registration success message to the terminal UE.
  • the UE derives the anchor key Kasme used by the 4G MME by using the same derivation method and using the node key Kamf in the 5G security information as an input of the HMAC-SHA-256 function.
  • the handover method provided in this embodiment includes:
  • the terminal UE establishes a signaling connection with the 5G AMF in the 5G network standard, and then the terminal UE enters an idle state, that is, the wireless connection is released, but the UE and the 5G AMF both retain the 5G context for the UE, including the 5G security information.
  • 5G logo 5G GUTI
  • S1402 The terminal accesses the network in the 4G network standard, and sends a tracking area update message to the 4G MMF.
  • the UE constructs a registration request that is sent when the network is accessed under the 5G network standard, and uses the registration request and the 5G security information to generate a message verification code 5G MAC.
  • the tracking area update message may be a TAU Request message carrying a 4G identity (4G GUTI) mapped by the 5G identity, a registration request, and a 5G MAC.
  • the 4G MME generates a 5G identifier according to the 4G identifier, and then sends a context request message to the 5G AMF, where the message includes a 5G identifier, a complete tracking area update message, and a 5G MAC.
  • the 4G MME may be in the context request message. Carry the 4G logo directly.
  • the 5G AMF obtains the 4G identifier or the 5G identifier from the Context Request message, and includes the tracking area update message and the 5G MAC. If the 5G identifier is received, the 5G identifier is used to find the security information for the terminal UE, if received. If the 4G identifier is used, the 5G identifier is generated by using the received 4G identifier, and then the security information for the terminal UE is found by using the 5G identifier, and the 5G AMF reuses the included registration request and the 5G security information check tracking area update message for the terminal UE. The carried 5G MAC, if the check is successful, the authentication terminal UE succeeds, otherwise the authentication fails.
  • the 4G MME generates 4G security information by using 5G security information for the UE, for example, using the node key Kamf in the 5G security information as an input of the HMAC-SHA-256 function to derive the anchor key Kasme used by the 4G MME.
  • the UE derives the anchor key Kasme used by the 4G MME by using the same derivation method and using the node key Kamf in the 5G security information as an input of the HMAC-SHA-256 function.
  • the handover method provided in this embodiment includes:
  • the terminal UE establishes a signaling connection with the 5G AMF in the 5G network standard, and then the terminal UE enters an idle state, that is, the wireless connection is released, but the UE and the 5G AMF both retain a 5G context for the UE, including 5G security information.
  • 5G logo 5G GUTI
  • the terminal accesses the network in the 4G network standard, and sends a tracking area update message to the 4G MMF.
  • the UE constructs a tracking area update message that is sent when the network accesses the network in the 4G network standard, and may be a TAU Request message, and generates a message verification code 5G MAC according to the tracking area update message and the 5G security information, and the tracking area update message carries the mapping by the 5G identifier.
  • the 4G MME generates a 5G identifier according to the 4G identifier, and then sends a context request message to the 5G AMF, where the message includes a 5G identifier, a tracking area update message, and a 5G MAC.
  • the 4G MME may directly carry the message in the context request message. 4G logo.
  • the 5G AMF obtains the 4G identifier or the 5G identifier from the Context Request message, and includes the tracking area update message and the 5G MAC. If the 5G identifier is received, the 5G identifier is used to find the security information for the terminal UE, if received. If the 4G identifier is used, the 5G identifier is generated by using the received 4G identifier, and then the 5G identifier is used to find the security information for the terminal UE, and the 5G AMF reuses the included tracking area update message and the 5G security information check tracking area for the terminal UE. Update the 5G MAC carried in the message. If the verification succeeds, the authentication terminal UE succeeds, otherwise the authentication fails.
  • S1505 If the 5G AMF authentication terminal UE succeeds, generate 4G security information by using 5G security information for the UE, for example, using the node key Kamf in the 5G security information as an input of the HMAC-SHA-256 function to derive an anchor used by the 4G MME. Point key Kasme.
  • the 5G AMF then sends a context response to the 4G MME, including context information for the terminal UE, including 4G security information.
  • the 4G MME sends a registration success message to the terminal UE.
  • the UE derives the anchor key Kasme used by the 4G MME by using the same derivation method and using the node key Kamf in the 5G security information as an input of the HMAC-SHA-256 function.
  • S1509 The UE and the 4G mobile network start to use 4G security information for secure communication.
  • the handover method provided in this embodiment includes:
  • the terminal UE establishes a signaling connection with the 5G AMF in the 5G network standard, and then the terminal UE enters an idle state, that is, the wireless connection is released, but the UE and the 5G AMF both retain the 5G context for the UE, including the 5G security information.
  • 5G logo 5G GUTI
  • S1602 The terminal accesses the network in the 4G network standard, and sends a tracking area update message to the 4G MMF.
  • the UE constructs a tracking area update message that is sent when the network accesses the network in the 4G network standard, and may be a TAU Request message, and generates a message verification code 5G MAC according to the tracking area update message and the 5G security information, and the tracking area update message carries the mapping by the 5G identifier.
  • the 4G MME generates a 5G identifier according to the 4G identifier, and then sends a context request message to the 5G AMF, where the message includes a 5G identifier, a tracking area update message, and a 5G MAC.
  • the 4G MME may directly carry the message in the context request message. 4G logo.
  • the 5G AMF obtains the 4G identifier or the 5G identifier from the Context Request message, and includes the tracking area update message and the 5G MAC. If the 5G identifier is received, the 5G identifier is used to find the security information for the terminal UE, if received. If the 4G identifier is used, the 5G identifier is generated by using the received 4G identifier, and then the 5G identifier is used to find the security information for the terminal UE, and the 5G AMF reuses the included tracking area update message and the 5G security information check tracking area for the terminal UE. Update the 5G MAC carried in the message. If the verification succeeds, the authentication terminal UE succeeds, otherwise the authentication fails.
  • the 4G MME generates 4G security information by using 5G security information for the UE, for example, using the node key Kamf in the 5G security information as an input of the HMAC-SHA-256 function to derive the anchor key Kasme used by the 4G MME.
  • S1607 The 4G MME sends a registration success message to the terminal UE.
  • S1608 The UE derives the anchor key Kasme used by the 4G MME by using the same derivation method and using the node key Kamf in the 5G security information as an input of the HMAC-SHA-256 function.
  • S1609 The UE and the 4G mobile network start to use 4G security information for secure communication.
  • first system network and the second system network are not limited to 4G networks and 5G networks, and may also be 3G networks and 4G networks. In other embodiments, the first system network and the second system network may also be communication networks developed after 5G.
  • Embodiments of the present disclosure also provide a computer readable storage medium storing one or more programs, one or more programs being executed to implement the methods provided by all embodiments of the present disclosure.
  • the computer readable storage medium is a non-transitory storage medium.
  • the device, the system, the terminal, the management entity, and the storage medium provided by the embodiment of the present disclosure, after accessing the first standard network, the terminal acquires the first security information, and after successfully accessing the second standard network, according to the The first security information generates the second security information, and uses the second security information for secure communication; that is, after the terminal performs the handover of the different standards, the terminal generates the security information of the switched network according to the security information of the network before the handover, and uses the network after the handover.
  • the security information is used for subsequent secure communication to meet the network communication security requirements.
  • modules or steps of the above embodiments of the present disclosure may be implemented by a general computing device, which may be concentrated on a single computing device or distributed among multiple computing devices. On the network, optionally, they may be implemented by program code executable by the computing device, such that they may be stored in a computer storage medium (ROM/RAM, disk, optical disk) by a computing device, and at some In some cases, the illustrations or descriptions may be performed in a different order than that herein, or they may be separately fabricated into individual integrated circuit modules, or a plurality of the modules or steps may be implemented as a single integrated circuit module. Therefore, the present disclosure is not limited to any specific combination of hardware and software.

Abstract

本公开实施例提供一种通信管理方法、装置、系统、终端、管理实体及存储介质，终端在接入第一制式网络后，获取第一安全信息，在成功接入第二制式网络后，根据第一安全信息生成第二安全信息，使用第二安全信息进行安全通信；即终端在进行不同制式网络切换之后，将根据切换前网络的安全信息生成切换后网络的安全信息，并使用切换后网络的安全信息进行后续安全通信。

Description

通信管理方法、装置、系统、终端、管理实体及存储介质
相关申请的交叉引用
本申请基于申请号为201711139319.2、申请日为2017年11月16日的中国专利申请提出，并要求该中国专利申请的优先权，该中国专利申请的全部内容在此引入本申请作为参考。
技术领域
本公开涉及通信领域但不限于通信领域，尤其涉及一种通信管理方法、装置、系统、终端、管理实体及存储介质。
背景技术
在用户使用手机进行通信时，通常会出现网络切换的场景，例如从4G(the 4 Generation mobile communication technology，第四代移动通信技术)网络切换到5G(5-Generation，第五代移动通信技术)网络等。
3GPP(3rd Generation Partnership Project，第三代合作伙伴计划)针对终端从4G到5G的切换场景，在切换完成后，终端UE和5G网络的AMF(Access Management Function，接入管理实体)是基于4G的安全信息进行安全通信，不满足5G网络要求的终端需要使用5G的安全信息进行安全通信的要求。即，在相关技术中，终端进行不同制式网络切换之后，仍然使用切换前网络的安全信息进行后续安全通信，不满足网络通信安全要求。
发明内容
本公开实施例提供了一种通信管理方法、装置、系统、终端、管理实 体及存储介质。
本公开实施例提供一种终端通信管理方法，包括：
终端接入第一制式网络，与第一管理实体建立通信，获取第一安全信息；
终端接入第二制式网络时，向第二管理实体发送第二制式网络的接入请求；接入请求携带有终端根据第一安全信息和接入请求生成的安全校验码；
接收第二管理实体发送的成功响应；成功响应为第二管理实体基于接入请求向第一管理实体发送终端验证请求，并在第一管理实体根据终端验证请求对终端验证通过时发送的；
根据第一安全信息生成第二安全信息，使用第二安全信息进行安全通信。
本公开实施例还提供一种终端通信管理方法，包括：
第二管理实体接收来自终端的接入请求；接入请求为终端在从第一制式网络接入第二制式网络时发送的，携带终端根据第一安全信息和接入请求生成的安全校验码，第一安全信息为终端在与第一制式网络中的第一管理实体建立通信后获取的；
根据接入请求，确定终端对应的第一管理实体，向第一管理实体发送终端验证请求；终端验证请求携带有安全校验码；
接收第一管理实体发送的通过响应；通过响应为第一管理实体根据终端验证请求对终端验证通过时发送的；
获取第二安全信息，使用第二安全信息进行安全通信；
向终端发送成功响应。
本公开实施例还提供一种终端通信管理方法，包括：
终端接入第一制式网络，与第一管理实体建立通信，获取第一安全信息；在接入第二制式网络时，向第二管理实体发送第二制式网络的接入请求；接入请求携带有终端根据第一安全信息和接入请求生成的安全校验码；
第二管理实体接收来自终端的接入请求，根据接入请求，确定终端对应的第一管理实体，向第一管理实体发送终端验证请求；终端验证请求携带有安全校验码；
第一管理实体接收终端验证请求，并根据安全校验码对终端进行验证，在验证通过时，向第二管理实体发送通过响应；
第二管理实体接收第一管理实体发送的通过响应，获取第二安全信息，使用第二安全信息进行安全通信，向终端发送成功消息；
终端接收第二管理实体发送的成功消息，根据第一安全信息生成第二安全信息，使用第二安全信息进行安全通信。
本公开实施例还提供一种终端通信管理装置，设置于终端内，终端通信管理装置包括：
接入模块，配置为接入第一制式网络，与第一管理实体建立通信，获取第一安全信息，在接入第二制式网络时，向第二管理实体发送第二制式网络的接入请求；接入请求携带有终端根据第一安全信息和接入请求生成的安全校验码；
接收模块，配置为接收第二管理实体发送的成功响应；成功响应为第二管理实体基于接入请求向第一管理实体发送终端验证请求，并在第一管理实体根据终端验证请求对终端验证通过时发送的；
通信模块，配置为根据第一安全信息生成第二安全信息，使用第二安全信息进行安全通信。
本公开实施例还提供一种终端，其包括：处理器、存储器及通信总线，其中，
通信总线配置为实现处理器和存储器之间的连接通信；
处理器配置为执行存储器中存储的一个或者多个程序，以实现本公开实施例提供的终端通信管理方法。
本公开实施例还提供一种终端通信管理装置，其设置于第二管理实体，终端通信管理装置包括：
接收模块，配置为接收来自终端的接入请求；接入请求为终端在从第 一制式网络接入第二制式网络时发送的，携带终端根据第一安全信息和接入请求生成的安全校验码，第一安全信息为终端在与第一制式网络中的第一管理实体建立通信后获取的；
验证模块，配置为根据接入请求，确定终端对应的第一管理实体，向第一管理实体发送终端验证请求；终端验证请求携带有安全校验码；接收第一管理实体发送的通过响应；通过响应为第一管理实体根据终端验证请求对终端验证通过时发送的；
通信模块，配置为获取第二安全信息，使用第二安全信息进行安全通信；向终端发送成功响应。
本公开实施例还提供一种管理实体，包括：处理器、存储器及通信总线，其中，
通信总线用于实现处理器和存储器之间的连接通信；
处理器配置为执行存储器中存储的一个或者多个程序，以实现本公开实施例提供的终端通信管理方法。
本公开实施例还提供一种终端通信管理系统，其包括终端、设置在第一制式网络中的第一管理实体，设置在第二制式网络中的第二管理实体，其中，
终端配置为接入第一制式网络，与第一管理实体建立通信，获取第一安全信息；在接入第二制式网络时，向第二管理实体发送第二制式网络的接入请求；接入请求携带有终端根据第一安全信息和接入请求生成的安全校验码；
第二管理实体配置为接收来自终端的接入请求，根据接入请求，确定终端对应的第一管理实体，向第一管理实体发送终端验证请求；终端验证请求携带有安全校验码；
第一管理实体配置为接收终端验证请求，并根据安全校验码对终端进行验证，在验证通过时，向第二管理实体发送通过响应；
第二管理实体配置为接收第一管理实体发送的通过响应，获取第二安全信息，使用第二安全信息进行安全通信，向终端发送成功消息；
终端配置为接收第二管理实体发送的成功消息，根据第一安全信息生成第二安全信息，使用第二安全信息进行安全通信。
本公开实施例还提供一种计算机可读存储介质，计算机可读存储介质存储有一个或者多个程序，一个或者多个程序可被一个或者多个处理器执行，以实现本公开实施例提供的终端通信管理方法。
本公开根据本公开实施例提供的通信管理方法、装置、系统、终端、管理实体及存储介质，终端在接入第一制式网络后，获取第一安全信息，在成功接入第二制式网络后，根据第一安全信息生成第二安全信息，使用第二安全信息进行安全通信；即终端在进行不同制式网络切换之后，将根据切换前网络的安全信息生成切换后网络的安全信息，并使用切换后网络的安全信息进行后续安全通信，满足了网络通信安全要求。
附图说明
图1为本公开实施例提供的终端通信管理方法的流程图；
图2为本公开实施例提供的终端通信管理方法在终端侧的流程图；
图3为本公开实施例提供的终端通信管理方法在管理实体侧的流程图；
图4为本公开实施例提供的终端的示意图；
图5为本公开实施例提供的设置在终端的终端通信管理装置的示意图；
图6为本公开实施例提供的管理实体的示意图；
图7为本公开实施例提供的设置在管理实体的终端通信管理装置的示意图；
图8为本公开实施例提供的终端从4G切换到5G时的流程图；
图9为本公开实施例提供的终端从4G切换到5G时的第一种流程图；
图10为本公开实施例提供的终端从4G切换到5G时的第二种流程图；
图11为本公开实施例提供的终端从4G切换到5G时的第三种流程图；
图12为本公开实施例提供的终端从4G切换到5G时的第四种流程图；
图13为本公开实施例提供的终端从5G切换到4G时的第一种流程图；
图14为本公开实施例提供的终端从5G切换到4G时的第二种流程图；
图15为本公开实施例提供的终端从5G切换到4G时的第三种流程图；
图16为本公开实施例提供的终端从5G切换到4G时的第四种流程图。
具体实施方式
为了使本公开的技术方案更加清楚明白，下面通过具体实施方式结合附图对本公开实施例作进一步详细说明。应当理解，此处所描述的具体实施例仅仅用以解释本公开的技术方案，并不用于限定本公开的技术方案。
在本公开实施例中，第一制式网络和第二制式网络是指两种制式不同的网络，例如4G和5G就是两种制式不同的网络，第一管理实体是指第一制式网络中的用于对终端用户进行管理的实体设备，而第一安全信息则是指终端在第一制式网络进行消息和数据等加解密处理等安全通信所使用的信息，对应的，第二管理实体是指第二制式网络中的用于对终端用户进行管理的实体设备，而第二安全信息则是指终端在第二制式网络进行消息和数据等加解密处理等安全通信所使用的信息。
在本公开实施例中，安全信息至少包括加解密密钥和密钥修正参数，密钥修正参数是指对加解密密钥进行修正的参数。所述密钥修正参数可包括：加解密密钥多长时间修改一次，或者使用几次之后修改一次，以及如何修改的指示信息中的一种或多种。在实际应用中，可以通过计时器等实现加解密密钥多长时间修改一次，或者使用几次之后修改一次的控制，可以使用修改函数，例如散列函数等实现加解密密钥的修改。
请参见图1，本实施例提供的终端通信管理方法包括：
S101：终端接入第一制式网络，与第一管理实体建立通信，获取第一安全信息；在接入第二制式网络时，向第二管理实体发送第二制式网络的接入请求；接入请求携带有终端根据第一安全信息和接入请求生成的安全 校验码。
在本公开实施例中，终端先接入第一制式网络，然后在重启、用户手动选择网络、自动进行小区切换等场景下，接入第二制式网络。
在本公开实施例中，终端首先在第一小区接入第一制式网络，与第一管理实体建立通信，完成身份验证，然后第一管理实体生成第一安全信息，发送至终端，终端基于第一安全信息，在第一制式网络中进行安全通信。然后终端因为移动或者信号强度变化，进行小区重选，根据基站发送的系统广播，判断新小区(第二小区)的网络制式是否和第一小区相同，若相同，则没有发生网络制式的切换，向第二小区的基站发送常规的接入请求，接入第二小区，并继续使用第一安全信息进行通信，若不同，则发生网络制式的切换，通过第二小区的基站向第二制式网络发送接入请求。
S102：第二管理实体接收来自终端的接入请求，根据接入请求，确定终端对应的第一管理实体，向第一管理实体发送终端验证请求；终端验证请求携带有安全校验码。
S103：第一管理实体接收终端验证请求，并根据安全校验码对终端进行验证，在验证通过时，向第二管理实体发送通过响应。
本步骤包括：第一管理实体提取终端验证请求携带的第一通信标识和接入请求；查找第一通信标识对应的第一安全信息；根据第一安全信息和接入请求，生成验证校验码；提取接入请求携带的安全校验码；比对验证校验码和安全校验码；若比对通过，则终端验证通过，向第二管理实体发送通过响应；若比对未通过，则终端验证未通过，向第二管理实体发送未通过响应。
S104：第二管理实体接收第一管理实体发送的通过响应，获取第二安全信息，使用第二安全信息进行安全通信，向终端发送成功消息。
S105：终端接收第二管理实体发送的成功消息，根据第一安全信息生成第二安全信息，使用第二安全信息进行安全通信。
在一些实施例中，本方法还包括：第一管理实体向第二管理实体发送未通过响应，第二管理实体接收第一管理实体发送的未通过响应后，向终 端发送失败消息，拒绝终端接入。
如图2所示，本实施例在终端侧的体现包括：
S201：终端接入第一制式网络，与第一管理实体建立通信，获取第一安全信息；
S202：终端接入第二制式网络时，向第二管理实体发送第二制式网络的接入请求；接入请求携带有终端根据第一安全信息和接入请求生成的安全校验码；
在一些实施例中，本步骤包括：终端根据在第一制式网络的第一通信标识，生成在第二制式网络中的第二通信标识；构建携带第二通信标识的接入请求；根据接入请求和第一安全信息，生成安全校验码；将安全校验码添加至接入请求；发送接入请求至第二管理实体。
S203：接收第二管理实体发送的成功响应；成功响应为第二管理实体基于接入请求向第一管理实体发送终端验证请求，并在第一管理实体根据终端验证请求对终端验证通过时发送的；
S204：根据第一安全信息生成第二安全信息，使用第二安全信息进行安全通信。
在一些实施例中，本步骤包括：根据第一安全信息中的加解密密钥，生成第二安全信息中的加解密密钥；根据第一安全信息中的密钥修正参数，生成第二安全信息中的密钥修正参数。
在一些实施例中，根据第一安全信息中的加解密密钥，生成第二安全信息中的加解密密钥包括：调用预设的转换函数；将第一安全信息中的加解密密钥，作为转换函数的输入参数，将转换函数的输出结果，作为第二安全信息中的加解密密钥；使用转换函数，根据第一安全信息中的加解密密钥生成第二安全信息中的加解密密钥。
在一些实施例中，转换函数可以是相等函数或者散列函数，以散列函数为例，根据第一安全信息中的加解密密钥生成第二安全信息中的加解密密钥包括：当第一制式网络为第四代移动通信网络、第二制式网络为第五 代移动通信网络时，将第一安全信息中的锚点密钥作为散列函数的输入，派生出第二安全信息中的节点密钥；当第一制式网络为第五代移动通信网络、第二制式网络为第四代移动通信网络时，将第一安全信息中的节点密钥作为散列函数的输入，派生出第二安全信息中的锚点密钥。
在一些实施例中，散列函数可以是HMAC-SHA-256函数，该函数的输入包括密钥和散列参数，锚点密钥和节点密钥可以基于这个函数进行转换，例如，当锚点密钥为{123456}这个字符串时，经过HMAC-SHA-256函数的计算，输出字符串{284369}，然后将这个字符串{284369}作为节点密钥即可。
如图3所示，本实施例在管理实体侧的体现包括：
S301：第二管理实体接收来自终端的接入请求；接入请求为终端在从第一制式网络接入第二制式网络时发送的，携带终端根据第一安全信息和接入请求生成的安全校验码，第一安全信息为终端在与第一制式网络中的第一管理实体建立通信后获取的；
S302：根据接入请求，确定终端对应的第一管理实体，向第一管理实体发送终端验证请求；终端验证请求携带有安全校验码；
在一些实施例中，本步骤包括：提取接入请求携带的终端在第二制式网络中的第二通信标识；根据在第二通信标识，生成终端在第一制式网络中的第一通信标识；构建携带第一通信标识和接入请求的终端验证请求；发送终端验证请求至第一管理实体。
S303：接收第一管理实体发送的通过响应；通过响应为第一管理实体根据终端验证请求对终端验证通过时发送的；
S304：获取第二安全信息，使用第二安全信息进行安全通信；
在一些实施例中，本步骤包括：直接提取通过响应携带的第二安全信息，第二安全信息为第一管理实体根据第一安全信息生成的；或者，提取通过响应携带的第一安全信息，根据第一安全信息生成第二安全信息。
在一些实施例中，根据第一安全信息生成第二安全信息包括：根据第一安全信息中的加解密密钥，生成第二安全信息中的加解密密钥；根据第 一安全信息中的密钥修正参数，生成第二安全信息中的密钥修正参数。
在一些实施例中，根据第一安全信息中的加解密密钥，生成第二安全信息中的加解密密钥包括：调用预设的转换函数；将第一安全信息中的加解密密钥，作为转换函数的输入参数，将转换函数的输出结果，作为第二安全信息中的加解密密钥；使用转换函数，根据第一安全信息中的加解密密钥生成第二安全信息中的加解密密钥。
在一些实施例中，转换函数为散列函数，根据第一安全信息中的加解密密钥生成第二安全信息中的加解密密钥包括：当第一制式网络为第四代移动通信网络、第二制式网络为第五代移动通信网络时，将第一安全信息中的锚点密钥作为散列函数的输入，派生出第二安全信息中的节点密钥；当第一制式网络为第五代移动通信网络、第二制式网络为第四代移动通信网络时，将第一安全信息中的节点密钥作为散列函数的输入，派生出第二安全信息中的锚点密钥。
S305：向终端发送成功响应。
如图4所示，本实施例提供的终端包括：处理器41、存储器42及通信总线43。
通信总线43配置为实现处理器41和存储器42之间的连接通信；
处理器41配置为执行存储器42中存储的一个或者多个程序，以实现以下步骤：
接入第一制式网络，与第一管理实体建立通信，获取第一安全信息；
在接入第二制式网络时，向第二管理实体发送第二制式网络的接入请求；接入请求携带有终端根据第一安全信息和接入请求生成的安全校验码；
接收第二管理实体发送的成功响应；成功响应为第二管理实体基于接入请求向第一管理实体发送终端验证请求，并在第一管理实体根据终端验证请求对终端验证通过时发送的；
根据第一安全信息生成第二安全信息，使用第二安全信息进行安全通信。
在一些实施例中，处理器41配置为执行存储器42中存储的一个或者多个程序，以实现以下步骤：
根据在第一制式网络的第一通信标识，生成在第二制式网络中的第二通信标识；构建携带第二通信标识的接入请求；根据接入请求和第一安全信息，生成安全校验码；将安全校验码添加至接入请求；发送接入请求至第二管理实体。
在一些实施例中，处理器41配置为执行存储器42中存储的一个或者多个程序，以实现以下步骤：
根据第一安全信息中的加解密密钥，生成第二安全信息中的加解密密钥；
根据第一安全信息中的密钥修正参数，生成第二安全信息中的密钥修正参数。
在一些实施例中，处理器41配置为执行存储器42中存储的一个或者多个程序，以实现以下步骤：
调用预设的转换函数；将第一安全信息中的加解密密钥，作为转换函数的输入参数，将转换函数的输出结果，作为第二安全信息中的加解密密钥；使用转换函数，根据第一安全信息中的加解密密钥生成第二安全信息中的加解密密钥。
在一些实施例中，转换函数可以是相等函数或者散列函数，以散列函数为例，处理器41配置为执行存储器42中存储的一个或者多个程序，以实现以下步骤：
当第一制式网络为第四代移动通信网络、第二制式网络为第五代移动通信网络时，将第一安全信息中的锚点密钥作为散列函数的输入，派生出第二安全信息中的节点密钥；当第一制式网络为第五代移动通信网络、第二制式网络为第四代移动通信网络时，将第一安全信息中的节点密钥作为散列函数的输入，派生出第二安全信息中的锚点密钥。
如图5所示，本实施例提供的设置在终端的终端通信管理装置5包括：
接入模块51，配置为接入第一制式网络，与第一管理实体建立通信，获取第一安全信息，在接入第二制式网络时，向第二管理实体发送第二制式网络的接入请求；接入请求携带有终端根据第一安全信息和接入请求生成的安全校验码；
接收模块52，配置为接收第二管理实体发送的成功响应；成功响应为第二管理实体基于接入请求向第一管理实体发送终端验证请求，并在第一管理实体根据终端验证请求对终端验证通过时发送的；
通信模块53，配置为根据第一安全信息生成第二安全信息，使用第二安全信息进行安全通信。
在一些实施例中，接入模块51配置为根据在第一制式网络的第一通信标识，生成在第二制式网络中的第二通信标识；构建携带第二通信标识的接入请求；根据接入请求和第一安全信息，生成安全校验码；将安全校验码添加至接入请求；发送接入请求至第二管理实体。
在一些实施例中，通信模块53配置为根据第一安全信息中的加解密密钥，生成第二安全信息中的加解密密钥；根据第一安全信息中的密钥修正参数，生成第二安全信息中的密钥修正参数。
在一些实施例中，通信模块53配置为调用预设的转换函数；将第一安全信息中的加解密密钥，作为转换函数的输入参数，将转换函数的输出结果，作为第二安全信息中的加解密密钥；使用转换函数，根据第一安全信息中的加解密密钥生成第二安全信息中的加解密密钥。
在一些实施例中，转换函数可以是相等函数或者散列函数，以散列函数为例，通信模块53配置为当第一制式网络为第四代移动通信网络、第二制式网络为第五代移动通信网络时，将第一安全信息中的锚点密钥作为散列函数的输入，派生出第二安全信息中的节点密钥；当第一制式网络为第五代移动通信网络、第二制式网络为第四代移动通信网络时，将第一安全信息中的节点密钥作为散列函数的输入，派生出第二安全信息中的锚点密钥。
如图6所示，本实施例提供的管理实体包括：处理器61、存储器62及通信总线63，其中，
通信总线63配置为实现处理器61和存储器62之间的连接通信；
处理器61配置为执行存储器62中存储的一个或者多个程序，以实现以下步骤：
接收来自终端的接入请求；接入请求为终端在从第一制式网络接入第二制式网络时发送的，携带终端根据第一安全信息和接入请求生成的安全校验码，第一安全信息为终端在与第一制式网络中的第一管理实体建立通信后获取的；
根据接入请求，确定终端对应的第一管理实体，向第一管理实体发送终端验证请求；终端验证请求携带有安全校验码；
接收第一管理实体发送的通过响应；通过响应为第一管理实体根据终端验证请求对终端验证通过时发送的；
获取第二安全信息，使用第二安全信息进行安全通信；
向终端发送成功响应。
在一些实施例中，处理器61配置为执行存储器62中存储的一个或者多个程序，以实现以下步骤：
提取接入请求携带的终端在第二制式网络中的第二通信标识；根据在第二通信标识，生成终端在第一制式网络中的第一通信标识；构建携带第一通信标识和接入请求的终端验证请求；发送终端验证请求至第一管理实体。
在一些实施例中，处理器61配置为执行存储器62中存储的一个或者多个程序，以实现以下步骤：
直接提取通过响应携带的第二安全信息，第二安全信息为第一管理实体根据第一安全信息生成的；或者，提取通过响应携带的第一安全信息，根据第一安全信息生成第二安全信息。
在一些实施例中，处理器61配置为执行存储器62中存储的一个或者多个程序，以实现以下步骤：
根据第一安全信息中的加解密密钥，生成第二安全信息中的加解密密钥；根据第一安全信息中的密钥修正参数，生成第二安全信息中的密钥修正参数。
在一些实施例中，处理器61配置为执行存储器62中存储的一个或者多个程序，以实现以下步骤：
调用预设的转换函数；将第一安全信息中的加解密密钥，作为转换函数的输入参数，将转换函数的输出结果，作为第二安全信息中的加解密密钥；使用转换函数，根据第一安全信息中的加解密密钥生成第二安全信息中的加解密密钥。
在一些实施例中，转换函数为散列函数，处理器61配置为执行存储器62中存储的一个或者多个程序，以实现以下步骤：
当第一制式网络为第四代移动通信网络、第二制式网络为第五代移动通信网络时，将第一安全信息中的锚点密钥作为散列函数的输入，派生出第二安全信息中的节点密钥；当第一制式网络为第五代移动通信网络、第二制式网络为第四代移动通信网络时，将第一安全信息中的节点密钥作为散列函数的输入，派生出第二安全信息中的锚点密钥。
如图7所示，本实施例提供的设置在管理实体的终端通信管理装置7包括：
接收模块71，配置为接收来自终端的接入请求；接入请求为终端在从第一制式网络接入第二制式网络时发送的，携带终端根据第一安全信息和接入请求生成的安全校验码，第一安全信息为终端在与第一制式网络中的第一管理实体建立通信后获取的；
验证模块72，配置为根据接入请求，确定终端对应的第一管理实体，向第一管理实体发送终端验证请求；终端验证请求携带有安全校验码；接收第一管理实体发送的通过响应；通过响应为第一管理实体根据终端验证请求对终端验证通过时发送的；
通信模块73，配置为获取第二安全信息，使用第二安全信息进行安全 通信；向终端发送成功响应。
在一些实施例中，验证模块72配置为提取接入请求携带的终端在第二制式网络中的第二通信标识；根据在第二通信标识，生成终端在第一制式网络中的第一通信标识；构建携带第一通信标识和接入请求的终端验证请求；发送终端验证请求至第一管理实体。
在一些实施例中，通信模块73配置为根据第一安全信息中的加解密密钥，生成第二安全信息中的加解密密钥；根据第一安全信息中的密钥修正参数，生成第二安全信息中的密钥修正参数。
在一些实施例中，通信模块73配置为直接提取通过响应携带的第二安全信息，第二安全信息为第一管理实体根据第一安全信息生成的；或者，提取通过响应携带的第一安全信息，根据第一安全信息生成第二安全信息。
在一些实施例中，通信模块73配置为调用预设的转换函数；将第一安全信息中的加解密密钥，作为转换函数的输入参数，将转换函数的输出结果，作为第二安全信息中的加解密密钥；使用转换函数，根据第一安全信息中的加解密密钥生成第二安全信息中的加解密密钥。
在一些实施例中，通信模块73配置为当第一制式网络为第四代移动通信网络、第二制式网络为第五代移动通信网络时，将第一安全信息中的锚点密钥作为散列函数的输入，派生出第二安全信息中的节点密钥；当第一制式网络为第五代移动通信网络、第二制式网络为第四代移动通信网络时，将第一安全信息中的节点密钥作为散列函数的输入，派生出第二安全信息中的锚点密钥。
在一些实施例中，本实施例还提供一种终端通信管理系统，包括终端、设置在第一制式网络中的第一管理实体，设置在第二制式网络中的第二管理实体，终端配置为接入第一制式网络，与第一管理实体建立通信，获取第一安全信息；在接入第二制式网络时，向第二管理实体发送第二制式网络的接入请求；接入请求携带有终端根据第一安全信息和接入请求生成的安全校验码；
第二管理实体配置为接收来自终端的接入请求，根据接入请求，根据接入请求，确定终端对应的第一管理实体，向第一管理实体发送终端验证请求；终端验证请求携带有安全校验码；
第一管理实体配置为接收终端验证请求，并根据安全校验码对终端进行验证，在验证通过时，向第二管理实体发送通过响应；
第二管理实体配置为接收第一管理实体发送的通过响应，获取第二安全信息，使用第二安全信息进行安全通信，向终端发送成功消息；
终端配置为接收第二管理实体发送的成功消息，根据第一安全信息生成第二安全信息，使用第二安全信息进行安全通信。
根据本实施例提供的通信管理方法、装置、系统、终端、管理实体及存储介质，终端在接入第一制式网络后，获取第一安全信息，在成功接入第二制式网络后，根据第一安全信息生成第二安全信息，使用第二安全信息进行安全通信；即终端在进行不同制式网络切换之后，将根据切换前网络的安全信息生成切换后网络的安全信息，并使用切换后网络的安全信息进行后续安全通信，满足了网络通信安全要求。
现结合具体的运用场景对本公开实施例的技术方案做进一步的说明。
随着通信技术的发展，4G和5G将作为主流的通信网络，终端将在以下实施例中进行重点描述，可以预见的是，本公开可以运用到任意的不同制式网络的切换场景。
本实施例以终端从4G切换到5G为例。
图8为现有3GPP提供的终端从4G切换到5G的切换流程图，如图8所示，现有切换流程包括：
S801：终端UE在4G网络制式下与4G网络的MME(Mobility Management Entity，移动管理实体)建立了信令连接，而后终端UE由于移动等因素进入空闲状态，释放了无线连接，但UE和4G MME都保留有针对UE的4G上下文，包括4G安全信息，4G标识(4G GUTI)。
S802：终端在5G网络制式下接入网络，向5G AMF发送注册请求。
UE构造在4G网络制式下接入网络时会发送的跟踪区更新消息，使用该跟踪区更新消息和4G安全信息生成的消息验证码4G MAC(Message Authentication Code，消息认证码，带密钥的Hash函数)，跟踪区更新消息包含有4G标识。注册请求携带由4G标识映射而来的5G标识(5G GUTI)，UE构造的跟踪区更新消息，以及消息验证码4G MAC。
S803：5G AMF从注册请求中获取4G跟踪区更新消息和4G MAC，根据4G跟踪区消息中的4G标识获取4G MME信息，然后向4G MME发送上下文请求消息，消息包含4G标识，4G跟踪区更新消息，以及4G MAC。
S804：4G MME从上下文请求消息中获取4G标识，4G跟踪区更新消息和4G MAC，使用4G标识找到针对终端UE的4G安全信息，使用包含的4G跟踪区更新消息和针对终端UE的4G安全信息校验4G MAC，如果校验成功则认证终端UE成功，否则认证失败。
S805：如果4G MME认证终端UE成功，则向5G AMF发送上下文响应，包含针对终端UE的4G上下文信息，包括4G安全信息。
S806：5G AMF向终端UE发送注册响应，使终端UE可接入5G移动网络。
S807：5G AMF和终端UE使用4G安全信息进行安全通信。
在该流程中，UE和5G网络还使用4G的安全信息，而非5G的安全信息对消息和数据进行保护，不满足通信要求，同时，UE在接入5G制式移动网络时还需要构造接入4G制式移动网络时需要的消息，使UE需要额外构造内容，增大了消息长度，降低了网络接入效率。
为了解决图8存在的UE和5G网络还使用4G的安全信息的问题，提供图9或图10所示的实施例。
如图9所示，本实施例提供的切换方法包括：
S901：终端UE在4G网络制式下与4G的MME建立了信令连接，而后终端UE由于移动等因素进入空闲状态，释放了无线连接，但UE和4G  MME都保留有针对UE的4G上下文，包括4G安全信息，4G标识(4G GUTI)。
S902：终端在5G网络制式下接入网络，向5G AMF发送注册请求。
UE构造在4G网络制式下接入网络时会发送的跟踪区更新消息，使用该跟踪区更新消息和4G安全信息生成消息验证码4G MAC(Message Authentication Code，消息认证码，带密钥的Hash函数)，跟踪区更新消息包含有4G标识。注册请求携带由4G标识映射而来的5G标识(5G GUTI)，跟踪区更新消息，以及消息验证码4G MAC。
S903：5G AMF根据5G标识生成4G标识，然后向4G MME发送上下文请求消息，消息包含4G标识，完整的注册请求，以及4G MAC。
S904：4G MME从上下文请求消息中获取4G标识，包含的注册请求和4G MAC，使用4G标识找到针对终端UE的安全信息，使用注册请求包含的跟踪区更新消息和查找到的针对终端UE的安全信息重新生成校验码，以校验注册请求包含的4G MAC(下文相同)，如果校验成功则认证终端UE成功，否则认证失败。
S905：如果4G MME认证终端UE成功，则使用针对UE的安全信息生成5G安全信息，比如使用4G安全信息中的锚点密钥Kasme作为HMAC-SHA-256函数的输入派生出5G AMF使用的节点密钥Kamf。
S906：然后4G MME向5G AMF发送上下文响应，包含针对终端UE的上下文信息，包括5G安全信息。
S907：5G AMF向终端UE发送注册成功消息。
S908：UE使用相同派生方法，使用4G安全信息中的锚点密钥Kasme作为HMAC-SHA-256函数的输入派生出5G AMF使用的节点密钥Kamf。
S909：UE和5G移动网络开始使用5G安全信息进行安全通讯。
如图10所示，本实施例提供的切换方法包括：
S1001：终端UE在4G网络制式下与4G的MME建立了信令连接，而后终端UE由于移动等因素进入空闲状态，释放了无线连接，但UE和4G  MME都保留有针对UE的4G上下文，包括4G安全信息，4G标识(4G GUTI)。
S1002：终端在5G网络制式下接入网络，向5G AMF发送注册请求。
UE构造在4G网络制式下接入网络时会发送的跟踪区更新消息，使用该跟踪区更新消息和4G安全信息生成消息验证码4G MAC(Message Authentication Code，消息认证码，带密钥的Hash函数)，跟踪区更新消息包含有4G标识。注册请求携带由4G标识映射而来的5G标识(5G GUTI)，跟踪区更新消息，以及4G MAC。
S1003：5G AMF根据5G标识生成4G标识，然后向4G MME发送上下文请求消息，消息包含4G标识，完整的注册请求，以及4G MAC。
S1004：4G MME从上下文请求消息中获取4G标识，包含的注册请求和4G MAC，使用4G标识找到针对终端UE的安全信息，使用注册请求包含的跟踪区更新消息和针对终端UE的安全信息校验注册请求携带的4G MAC，如果校验成功则认证终端UE成功，否则认证失败。
S1005：如果4G MME认证终端UE成功，4G MME向5G AMF发送上下文响应，包含针对终端UE的上下文信息，包括4G安全信息。
S1006：5G AMF使用针对UE的安全信息生成5G安全信息，比如使用上下文响应携带的4G安全信息中的锚点密钥Kasme作为HMAC-SHA-256函数的输入派生出5G AMF使用的节点密钥Kamf。
S1007：5G AMF向终端UE发送注册成功消息。
S1008：UE使用相同派生方法，使用4G安全信息中的锚点密钥Kasme作为HMAC-SHA-256函数的输入派生出5G AMF使用的节点密钥Kamf。
S1009：UE和5G移动网络开始使用5G安全信息进行安全通讯。
为了提升终端接入网络的效率，提供图11或图12所示的实施例。
如图11所示，本实施例提供的切换方法包括：
S1101：终端UE在4G网络制式下与4G的MME建立了信令连接，而后终端UE由于移动等因素进入空闲状态，释放了无线连接，但UE和4G  MME都保留有针对UE的4G上下文，包括4G安全信息，4G标识(4G GUTI)。此时，所述MME为所述4G网络的管理实体。
S1102：终端在5G网络制式下接入网络，向5G AMF发送注册请求。
终端在5G网络制式下接入网络，向5G AMF发送注册请求，注册请求携带由4G标识映射而来的5G标识(5G GUTI)，以及UE使用该注册请求和4G安全信息生成的消息验证码4G MAC。AMF可为所述5G网络的管理实体，若4G网络为第一制式网络，则所述MME可为所述第一管理实体；若5G网络为第二制式网络，则所述AM可为所述第二管理实体。再例如，若4G网络为第二制式网络，则所述MME可为所述第二管理实体；若5G网络为第一制式网络，则所述AM可为所述第一管理实体。
S1103：5G AMF根据5G标识生成4G标识，然后向4G MME发送上下文请求消息，消息包含4G标识，注册请求，以及4G MAC。
S1104：4G MME从上下文请求消息中获取4G标识，包含的注册请求和4G MAC，使用4G标识找到针对终端UE的安全信息，使用包含的注册请求和针对终端UE的安全信息校验4G MAC，如果校验成功则认证终端UE成功，否则认证失败。
S1105：如果4G MME认证终端UE成功，则使用针对UE的安全信息生成5G安全信息，比如使用4G安全信息中的锚点密钥Kasme作为HMAC-SHA-256函数的输入派生出5G AMF使用的节点密钥Kamf。
S1106：然后4G MME向5G AMF发送上下文响应，包含针对终端UE的上下文信息，包括5G安全信息。
S1107：5G AMF向终端UE发送注册成功消息。
S1108：UE使用相同派生方法，使用4G安全信息中的锚点密钥Kasme作为HMAC-SHA-256函数的输入派生出5G AMF使用的节点密钥Kamf。
S1109：UE和5G移动网络开始使用5G安全信息进行安全通讯。
如图12所示，本实施例提供的切换方法包括：
S1201：终端UE在4G网络制式下与4G的MME建立了信令连接，而 后终端UE由于移动等因素进入空闲状态，释放了无线连接，但UE和4G MME都保留有针对UE的4G上下文，包括4G安全信息，4G标识(4G GUTI)。
S1202：终端在5G网络制式下接入网络，向5G AMF发送注册请求。
终端在5G网络制式下接入网络，向5G AMF发送注册请求，注册请求携带由4G标识映射而来的5G标识(5G GUTI)，以及UE使用该注册请求和4G安全信息生成的消息验证码4G MAC。
S1203：5G AMF根据5G标识生成4G标识，然后向4G MME发送上下文请求消息，消息包含4G标识，注册请求，以及4G MAC。
S1204：4G MME从上下文请求消息中获取4G标识，包含的注册请求和4G MAC，使用4G标识找到针对终端UE的安全信息，使用包含的注册请求和针对终端UE的安全信息校验4G MAC，如果校验成功则认证终端UE成功，否则认证失败。
S1205：如果4G MME认证终端UE成功，4G MME向5G AMF发送上下文响应，包含针对终端UE的上下文信息，包括4G安全信息。
S1206：5G AMF使用针对UE的安全信息生成5G安全信息，比如使用4G安全信息中的锚点密钥Kasme作为HMAC-SHA-256函数的输入派生出5G AMF使用的节点密钥Kamf。
S1207：5G AMF向终端UE发送注册成功消息。
S1208：UE使用相同派生方法，使用4G安全信息中的锚点密钥Kasme作为HMAC-SHA-256函数的输入派生出5G AMF使用的节点密钥Kamf。
S1209：UE和5G移动网络开始使用5G安全信息进行安全通讯。
本实施例以终端从5G切换到4G为例。
由于现有3GPP没有提供的终端从5G切换到4G的切换流程图，本实施例提供4种具体的从5G切换到4G的切换流程，以解决这个空白。
如图13所示，本实施例提供的切换方法包括：
S1301：终端UE在5G网络制式下与5G AMF建立了信令连接，而后终端UE进入空闲状态，即释放了无线连接，但UE和5G AMF都保留有针对UE的5G上下文，包括5G安全信息，5G标识(5G GUTI)。
S1302：终端在4G网络制式下接入网络，向4G MMF发送跟踪区更新消息。
UE构造在5G网络制式下接入网络时会发送的注册请求，使用该注册请求和5G安全信息生成消息验证码5G MAC。跟踪区更新消息可以为TAU Request消息，携带由5G标识映射而来的4G标识(4G GUTI)，注册请求以及5G MAC。
S1303：4G MME根据4G标识生成5G标识，然后向5G AMF发送上下文请求消息，消息包含5G标识，完整的跟踪区更新消息，以及5G MAC；在其他实施例中，4G MME可在上下文请求消息中直接携带4G标识。
S1304：5G AMF从上下文请求消息中获取4G标识或5G标识，包含的跟踪区更新消息和5G MAC，如果收到的是5G标识，则使用5G标识找到针对终端UE的安全信息，如果收到的是4G标识，则使用收到的4G标识生成5G标识，而后再使用5G标识找到针对终端UE的5G安全信息，5G AMF再使用包含的注册请求和针对终端UE的5G安全信息校验跟踪区更新消息携带的5G MAC，如果校验成功则认证终端UE成功，否则认证失败。
S1305：如果5G AMF认证终端UE成功，则使用针对UE的5G安全信息生成4G安全信息，比如使用5G安全信息中的节点密钥Kamf作为HMAC-SHA-256函数的输入派生出4G MME使用的锚点密钥Kasme。
S1306：然后5G AMF向4G MME发送上下文响应，包含针对终端UE的上下文信息，包括4G安全信息。
S1307：4G MME向终端UE发送注册成功消息。
S1308：UE使用相同派生方法，使用5G安全信息中的节点密钥Kamf作为HMAC-SHA-256函数的输入派生出4G MME使用的锚点密钥Kasme。
S1309：UE和4G移动网络开始使用4G安全信息进行安全通讯。
如图14所示，本实施例提供的切换方法包括：
S1401：终端UE在5G网络制式下与5G AMF建立了信令连接，而后终端UE进入空闲状态，即释放了无线连接，但UE和5G AMF都保留有针对UE的5G上下文，包括5G安全信息，5G标识(5G GUTI)。
S1402：终端在4G网络制式下接入网络，向4G MMF发送跟踪区更新消息。
UE构造在5G网络制式下接入网络时会发送的注册请求，使用该注册请求和5G安全信息生成消息验证码5G MAC。跟踪区更新消息可以为TAU Request消息，携带由5G标识映射而来的4G标识(4G GUTI)，注册请求以及5G MAC。
S1403：4G MME根据4G标识生成5G标识，然后向5G AMF发送上下文请求消息，消息包含5G标识，完整的跟踪区更新消息，以及5G MAC；在其他实施例中，4G MME可在上下文请求消息中直接携带4G标识。
S1404：5G AMF从上下文请求消息中获取4G标识或5G标识，包含的跟踪区更新消息和5G MAC，如果收到的是5G标识，则使用5G标识找到针对终端UE的安全信息，如果收到的是4G标识，则使用收到的4G标识生成5G标识，而后再使用5G标识找到针对终端UE的安全信息，5G AMF再使用包含的注册请求和针对终端UE的5G安全信息校验跟踪区更新消息携带的5G MAC，如果校验成功则认证终端UE成功，否则认证失败。
S1405：如果5G AMF认证终端UE成功，5G AMF向4G MME发送上下文响应，包含针对终端UE的上下文信息，包括5G安全信息。
S1406：4G MME使用针对UE的5G安全信息生成4G安全信息，比如使用5G安全信息中的节点密钥Kamf作为HMAC-SHA-256函数的输入派生出4G MME使用的锚点密钥Kasme。
S1407：4G MME向终端UE发送注册成功消息。
S1408：UE使用相同派生方法，使用5G安全信息中的节点密钥Kamf作为HMAC-SHA-256函数的输入派生出4G MME使用的锚点密钥Kasme。
S1409：UE和4G移动网络开始使用4G安全信息进行安全通讯。
如图15所示，本实施例提供的切换方法包括：
S1501：终端UE在5G网络制式下与5G AMF建立了信令连接，而后终端UE进入空闲状态，即释放了无线连接，但UE和5G AMF都保留有针对UE的5G上下文，包括5G安全信息，5G标识(5G GUTI)。
S1502：终端在4G网络制式下接入网络，向4G MMF发送跟踪区更新消息。
UE构造在4G网络制式下接入网络时会发送的跟踪区更新消息，可以为TAU Request消息，根据跟踪区更新消息和5G安全信息生成消息验证码5G MAC，跟踪区更新消息携带由5G标识映射而来的4G标识(4G GUTI)，以及5G MAC。
S1503：4G MME根据4G标识生成5G标识，然后向5G AMF发送上下文请求消息，消息包含5G标识，跟踪区更新消息，以及5G MAC；在其他实施例中，4G MME可在上下文请求消息中直接携带4G标识。
S1504：5G AMF从上下文请求消息中获取4G标识或5G标识，包含的跟踪区更新消息和5G MAC，如果收到的是5G标识，则使用5G标识找到针对终端UE的安全信息，如果收到的是4G标识，则使用收到的4G标识生成5G标识，而后再使用5G标识找到针对终端UE的安全信息，5G AMF再使用包含的跟踪区更新消息和针对终端UE的5G安全信息校验跟踪区更新消息携带的5G MAC，如果校验成功则认证终端UE成功，否则认证失败。
S1505：如果5G AMF认证终端UE成功，则使用针对UE的5G安全信息生成4G安全信息，比如使用5G安全信息中的节点密钥Kamf作为HMAC-SHA-256函数的输入派生出4G MME使用的锚点密钥Kasme。
S1506：然后5G AMF向4G MME发送上下文响应，包含针对终端UE的上下文信息，包括4G安全信息。
S1507：4G MME向终端UE发送注册成功消息。
S1508：UE使用相同派生方法，使用5G安全信息中的节点密钥Kamf作为HMAC-SHA-256函数的输入派生出4G MME使用的锚点密钥Kasme。
S1509：UE和4G移动网络开始使用4G安全信息进行安全通讯。
如图16所示，本实施例提供的切换方法包括：
S1601：终端UE在5G网络制式下与5G AMF建立了信令连接，而后终端UE进入空闲状态，即释放了无线连接，但UE和5G AMF都保留有针对UE的5G上下文，包括5G安全信息，5G标识(5G GUTI)。
S1602：终端在4G网络制式下接入网络，向4G MMF发送跟踪区更新消息。
UE构造在4G网络制式下接入网络时会发送的跟踪区更新消息，可以为TAU Request消息，根据跟踪区更新消息和5G安全信息生成消息验证码5G MAC，跟踪区更新消息携带由5G标识映射而来的4G标识(4G GUTI)，以及5G MAC。
S1603：4G MME根据4G标识生成5G标识，然后向5G AMF发送上下文请求消息，消息包含5G标识，跟踪区更新消息，以及5G MAC；在其他实施例中，4G MME可在上下文请求消息中直接携带4G标识。
S1604：5G AMF从上下文请求消息中获取4G标识或5G标识，包含的跟踪区更新消息和5G MAC，如果收到的是5G标识，则使用5G标识找到针对终端UE的安全信息，如果收到的是4G标识，则使用收到的4G标识生成5G标识，而后再使用5G标识找到针对终端UE的安全信息，5G AMF再使用包含的跟踪区更新消息和针对终端UE的5G安全信息校验跟踪区更新消息携带的5G MAC，如果校验成功则认证终端UE成功，否则认证失败。
S1605：如果5G AMF认证终端UE成功，5G AMF向发送上下文响应，包含针对终端UE的上下文信息，包括5G安全信息。
S1606：4G MME使用针对UE的5G安全信息生成4G安全信息，比如使用5G安全信息中的节点密钥Kamf作为HMAC-SHA-256函数的输入派生出4G MME使用的锚点密钥Kasme。
S1607：4G MME向终端UE发送注册成功消息。
S1608：UE使用相同派生方法，使用5G安全信息中的节点密钥Kamf 作为HMAC-SHA-256函数的输入派生出4G MME使用的锚点密钥Kasme。
S1609：UE和4G移动网络开始使用4G安全信息进行安全通讯。
值得注意的是：所述第一制式网络和所述第二制式网络不局限于4G网络和5G网络，还可以是3G网络和4G网络。在另一些实施例中，所述第一制式网络和第二制式网络还可以是5G以后发展出的通信网络。
本公开实施例例还提供了一种计算机可读存储介质，计算机可读存储介质存储有一个或者多个程序，一个或者多个程序被执行，以实现本公开所有实施例所提供的方法。
该计算机可读存储介质为非瞬间存储介质。
综上可知，通过本公开实施例的实施，至少存在以下有益效果：
根据本公开实施例提供的通信管理方法、装置、系统、终端、管理实体及存储介质，终端在接入第一制式网络后，获取第一安全信息，在成功接入第二制式网络后，根据第一安全信息生成第二安全信息，使用第二安全信息进行安全通信；即终端在进行不同制式网络切换之后，将根据切换前网络的安全信息生成切换后网络的安全信息，并使用切换后网络的安全信息进行后续安全通信，满足了网络通信安全要求。
显然，本领域的技术人员应该明白，上述本公开实施例的各模块或各步骤可以用通用的计算装置来实现，它们可以集中在单个的计算装置上，或者分布在多个计算装置所组成的网络上，可选地，它们可以用计算装置可执行的程序代码来实现，从而，可以将它们存储在计算机存储介质(ROM/RAM、磁碟、光盘)中由计算装置来执行，并且在某些情况下，可以以不同于此处的顺序执行所示出或描述，或者将它们分别制作成各个集成电路模块，或者将它们中的多个模块或步骤制作成单个集成电路模块来实现。所以，本公开不限制于任何特定的硬件和软件结合。
以上内容是结合具体的实施方式对本公开实施例所作的进一步详细说明，不能认定本公开的具体实施只局限于这些说明。对于本公开所属技术 领域的普通技术人员来说，在不脱离本公开构思的前提下，还可以做出若干简单推演或替换，都应当视为属于本公开的保护范围。

Claims (19)

  1. 一种终端通信管理方法，包括：
    终端接入第一制式网络，与第一管理实体建立通信，获取第一安全信息；
    所述终端接入第二制式网络时，向第二管理实体发送第二制式网络的接入请求；所述接入请求携带所述终端根据所述第一安全信息和所述接入请求生成的安全校验码；
    接收所述第二管理实体发送的成功响应；所述成功响应为所述第二管理实体基于所述接入请求向所述第一管理实体发送终端验证请求，并在所述第一管理实体根据所述终端验证请求对终端验证通过时发送的；
    根据第一安全信息生成第二安全信息，使用所述第二安全信息进行安全通信。
  2. 如权利要求1所述的终端通信管理方法，其中，所述根据第一安全信息生成第二安全信息包括：
    根据所述第一安全信息中的加解密密钥，生成所述第二安全信息中的加解密密钥；
    根据所述第一安全信息中的密钥修正参数，生成所述第二安全信息中的密钥修正参数。
  3. 如权利要求2所述的终端通信管理方法，其中，所述根据所述第一安全信息中的加解密密钥，生成所述第二安全信息中的加解密密钥包括：
    调用预设的转换函数；
    将所述第一安全信息中的加解密密钥，作为所述转换函数的输入参数，将所述转换函数的输出结果，作为所述第二安全信息中的加解密密钥；
    使用所述转换函数，根据所述第一安全信息中的加解密密钥生成所述第二安全信息中的加解密密钥。
  4. 如权利要求3所述的终端通信管理方法，其中，所述转换函数为散列函数，所述根据所述第一安全信息中的加解密密钥生成所述第二安全信息中的加解密密钥包括：
    当所述第一制式网络为第四代移动通信网络、第二制式网络为第五代移动通信网络时，将所述第一安全信息中的锚点密钥作为所述散列函数的输入，派生出所述第二安全信息中的节点密钥；
    当所述第一制式网络为第五代移动通信网络、第二制式网络为第四代移动通信网络时，将所述第一安全信息中的节点密钥作为所述散列函数的输入，派生出所述第二安全信息中的锚点密钥。
  5. 如权利要求1至4任一项所述的终端通信管理方法，其中，所述根据所述第一安全信息向第二管理实体发送第二制式网络的接入请求包括：
    终端根据在所述第一制式网络的第一通信标识，生成在所述第二制式网络中的第二通信标识；
    构建携带所述第二通信标识的接入请求；
    对所述接入请求和所述第一安全信息进行安全校验，生成安全校验码；
    将所述安全校验码添加至所述接入请求；
    发送所述接入请求至所述第二管理实体。
  6. 一种终端通信管理方法，包括：
    第二管理实体接收来自终端的接入请求；所述接入请求为所述终端在从第一制式网络接入第二制式网络时发送的，携带所述终端根据第一安全信息和所述接入请求生成的安全校验码，所述第一安全信息为所述终端在与所述第一制式网络中的第一管理实体建立通信后获取的；
    根据所述接入请求，确定所述终端对应的第一管理实体，向所述第一管理实体发送终端验证请求；所述终端验证请求携带所述安全校验码；
    接收所述第一管理实体发送的通过响应；所述通过响应为所述第一管理实体根据所述终端验证请求对终端验证通过时发送的；
    获取第二安全信息，使用所述第二安全信息进行安全通信；
    向所述终端发送成功响应。
  7. 如权利要求6所述的终端通信管理方法，其中，所述获取第二安全信息的方式包括：
    直接提取所述通过响应携带的第二安全信息，所述第二安全信息为所述第一管理实体根据第一安全信息生成的；
    或者，
    提取所述通过响应携带的第一安全信息，根据所述第一安全信息生成所述第二安全信息。
  8. 如权利要求7所述的终端通信管理方法，其中，所述根据第一安全信息生成第二安全信息包括：
    根据所述第一安全信息中的加解密密钥，生成所述第二安全信息中的加解密密钥；
    根据所述第一安全信息中的密钥修正参数，生成所述第二安全信息中的密钥修正参数。
  9. 如权利要求8所述的终端通信管理方法，其中，所述根据所述第一安全信息中的加解密密钥，生成所述第二安全信息中的加解密密钥包括：
    调用预设的转换函数；
    将所述第一安全信息中的加解密密钥，作为所述转换函数的输入参数，将所述转换函数的输出结果，作为所述第二安全信息中的加解密密钥；
    使用所述转换函数，根据所述第一安全信息中的加解密密钥生成所述第二安全信息中的加解密密钥。
  10. 如权利要求9所述的终端通信管理方法，其中，所述转换函数为散列函数，所述根据所述第一安全信息中的加解密密钥生成所述第二安全信息中的加解密密钥包括：
    当所述第一制式网络为第四代移动通信网络、第二制式网络为第五代移动通信网络时，将所述第一安全信息中的锚点密钥作为所述散列函数的输入，派生出所述第二安全信息中的节点密钥；
    当所述第一制式网络为第五代移动通信网络、第二制式网络为第四代移动通信网络时，将所述第一安全信息中的节点密钥作为所述散列函数的输入，派生出所述第二安全信息中的锚点密钥。
  11. 如权利要求6至10任一项所述的终端通信管理方法，其中，所述根 据所述接入请求，确定所述终端对应的第一管理实体，向所述第一管理实体发送终端验证请求包括：
    提取所述接入请求携带的终端在第二制式网络中的第二通信标识；
    根据在所述第二通信标识，生成所述终端在第一制式网络中的第一通信标识；
    构建携带所述第一通信标识和所述接入请求的终端验证请求；
    发送所述终端验证请求至所述第一管理实体。
  12. 一种终端通信管理方法，包括：
    终端接入第一制式网络，与第一管理实体建立通信，获取第一安全信息；在接入第二制式网络时，向第二管理实体发送第二制式网络的接入请求；所述接入请求携带所述终端根据所述第一安全信息和所述接入请求生成的安全校验码；
    所述第二管理实体接收来自所述终端的接入请求，根据所述接入请求，确定所述终端对应的第一管理实体，向所述第一管理实体发送终端验证请求；所述终端验证请求携带所述安全校验码；
    所述第一管理实体接收所述终端验证请求，并根据所述安全校验码对所述终端进行验证，在验证通过时，向所述第二管理实体发送通过响应；
    所述第二管理实体接收所述第一管理实体发送的通过响应，获取第二安全信息，使用所述第二安全信息进行安全通信，向所述终端发送成功消息；
    所述终端接收所述第二管理实体发送的成功消息，根据第一安全信息生成第二安全信息，使用所述第二安全信息进行安全通信。
  13. 如权利要求12所述的终端通信管理方法，其中，所述第一管理实体对所述终端进行验证包括：
    所述第一管理实体提取所述终端验证请求携带的第一通信标识和接入请求；
    查找所述第一通信标识对应的第一安全信息；
    根据所述第一安全信息和接入请求，生成验证校验码；
    提取所述接入请求携带的安全校验码；
    比对所述验证校验码和所述安全校验码；
    若比对通过，则终端验证通过。
  14. 一种终端通信管理装置，设置于终端内，所述终端通信管理装置包括：
    接入模块，配置为接入第一制式网络，与第一管理实体建立通信，获取第一安全信息，在接入第二制式网络时，向第二管理实体发送第二制式网络的接入请求；所述接入请求携带所述终端根据所述第一安全信息和所述接入请求生成的安全校验码；
    接收模块，配置为接收所述第二管理实体发送的成功响应；所述成功响应为所述第二管理实体基于所述接入请求向所述第一管理实体发送终端验证请求，并在所述第一管理实体根据所述终端验证请求对终端验证通过时发送的；
    通信模块，配置为根据第一安全信息生成第二安全信息，使用所述第二安全信息进行安全通信。
  15. 一种终端，包括：处理器、存储器及通信总线，其中，
    所述通信总线配置为于实现所述处理器和所述存储器之间的连接通信；
    所述处理器配置为执行所述存储器中存储的一个或者多个程序，以实现如权利要求1至5任一项所述的终端通信管理方法。
  16. 一种终端通信管理装置，设置于第二管理实体，所述终端通信管理装置包括：
    接收模块，配置为接收来自终端的接入请求；所述接入请求为所述终端在从第一制式网络接入第二制式网络时发送的，携带所述终端根据第一安全信息和所述接入请求生成的安全校验码，所述第一安全信息为所述终端在与所述第一制式网络中的第一管理实体建立通信后获取的；
    验证模块，配置为根据所述接入请求，确定所述终端对应的第一管理实体，向所述第一管理实体发送终端验证请求；所述终端验证请求携带所述安全校验码；接收所述第一管理实体发送的通过响应；所述通过响应为所 述第一管理实体根据所述终端验证请求对终端验证通过时发送的；
    通信模块，配置为获取第二安全信息，使用所述第二安全信息进行安全通信；向所述终端发送成功响应。
  17. 一种管理实体，其中，包括：处理器、存储器及通信总线，其中，
    所述通信总线配置为实现所述处理器和所述存储器之间的连接通信；
    所述处理器配置为执行所述存储器中存储的一个或者多个程序，以实现如权利要求6至11任一项所述的终端通信管理方法。
  18. 一种终端通信管理系统，其中，包括终端、设置在第一制式网络中的第一管理实体，设置在第二制式网络中的第二管理实体，其中，
    所述终端配置为接入第一制式网络，与所述第一管理实体建立通信，获取第一安全信息；在接入第二制式网络时，向第二管理实体发送第二制式网络的接入请求；所述接入请求携带所述终端根据所述第一安全信息和所述接入请求生成的安全校验码；
    所述第二管理实体配置为接收来自所述终端的接入请求，根据所述接入请求，根据所述接入请求，确定所述终端对应的第一管理实体，向所述第一管理实体发送终端验证请求；所述终端验证请求携带所述安全校验码；
    所述第一管理实体配置为接收所述终端验证请求，并根据所述安全校验码对所述终端进行验证，在验证通过时，向所述第二管理实体发送通过响应；
    所述第二管理实体配置为接收所述第一管理实体发送的通过响应，获取第二安全信息，使用所述第二安全信息进行安全通信，向所述终端发送成功消息；
    所述终端配置为接收所述第二管理实体发送的成功消息，根据第一安全信息生成第二安全信息，使用所述第二安全信息进行安全通信。
  19. 一种计算机可读存储介质，所述计算机可读存储介质存储有一个或者多个程序，所述一个或者多个程序可被一个或者多个处理器执行，以实现如权利要求1至5、6至11或12至13任一项所述的终端通信管理方法。
PCT/CN2018/099855 2017-11-16 2018-08-10 通信管理方法、装置、系统、终端、管理实体及存储介质 WO2019095748A1 (zh)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN201711139319.2A CN109803256A (zh) 2017-11-16 2017-11-16 通信管理方法、装置、系统、终端、管理实体及存储介质
CN201711139319.2 2017-11-16

Publications (1)

Publication Number Publication Date
WO2019095748A1 true WO2019095748A1 (zh) 2019-05-23

Family

ID=66539307

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2018/099855 WO2019095748A1 (zh) 2017-11-16 2018-08-10 通信管理方法、装置、系统、终端、管理实体及存储介质

Country Status (2)

Country Link
CN (1) CN109803256A (zh)
WO (1) WO2019095748A1 (zh)

Families Citing this family (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN111050366A (zh) * 2019-12-04 2020-04-21 路邦科技授权有限公司 一种智能网络自动切换系统及其网络切换方法
CN116567761A (zh) * 2022-01-30 2023-08-08 华为技术有限公司 通信方法及装置

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102547698A (zh) * 2010-12-22 2012-07-04 中国移动通信集团北京有限公司 认证系统、方法及中间认证平台
CN103931219A (zh) * 2012-05-04 2014-07-16 华为技术有限公司 一种网络切换过程中的安全处理方法及系统
CN105451284A (zh) * 2014-07-10 2016-03-30 华为技术有限公司 用于网络切换的方法及装置
CN106664286A (zh) * 2014-08-13 2017-05-10 宇龙计算机通信科技(深圳)有限公司 异构网络之间的切换方法及切换系统

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102547698A (zh) * 2010-12-22 2012-07-04 中国移动通信集团北京有限公司 认证系统、方法及中间认证平台
CN103931219A (zh) * 2012-05-04 2014-07-16 华为技术有限公司 一种网络切换过程中的安全处理方法及系统
CN105451284A (zh) * 2014-07-10 2016-03-30 华为技术有限公司 用于网络切换的方法及装置
CN106664286A (zh) * 2014-08-13 2017-05-10 宇龙计算机通信科技(深圳)有限公司 异构网络之间的切换方法及切换系统

Also Published As

Publication number Publication date
CN109803256A (zh) 2019-05-24

Similar Documents

Publication Publication Date Title
US10728757B2 (en) Security implementation method, related apparatus, and system
US10595198B2 (en) Communication method and device
CN109587688B (zh) 系统间移动性中的安全性
US11582602B2 (en) Key obtaining method and device, and communications system
WO2018019046A1 (zh) 密钥的衍生方法及装置
JP2013516805A (ja) 発展型パケットシステム及びその緊急呼出のアタッチメント処理方法
US10880744B2 (en) Security negotiation method, security function entity, core network element, and user equipment
US20230179997A1 (en) Method, system, and apparatus for determining user plane security algorithm
US10320917B2 (en) Key negotiation processing method and apparatus
WO2016086355A1 (zh) 一种无线通信网络中的鉴权方法、相关装置及系统
WO2019095748A1 (zh) 通信管理方法、装置、系统、终端、管理实体及存储介质
EP3547787B1 (en) Methods, device and system for link re-establishment
CN109246847B (zh) 网络接入方法及系统
WO2023045472A1 (zh) 一种通信方法、装置及系统
WO2016086356A1 (zh) 一种无线通信网络中的鉴权方法、相关装置及系统
WO2022148469A1 (zh) 一种安全保护方法、装置和系统
EP4207676A1 (en) Method and apparatus for establishing secure communication
CN112788598B (zh) 一种保护认证流程中参数的方法及装置
CN114025396B (zh) 数据处理方法、设备和介质
WO2021164291A1 (zh) 一种通信方法及装置
US20230388179A1 (en) Data processing method, device, and storage medium
CN111212424B (zh) 一种从eps到5gs互操作时鉴权ue的方法及系统
CN115002750A (zh) 一种通信认证方法及相关设备
CN106888449B (zh) 基于usim应用信息处理方法及系统
CN117425150A (zh) 信令安全保护方法、系统、基站、终端及存储介质

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 18879029

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

32PN Ep: public notification in the ep bulletin as address of the adressee cannot be established

Free format text: NOTING OF LOSS OF RIGHTS PURSUANT TO RULE 112(1) EPC (EPO FORM 1205A DATED 18/09/2020)

122 Ep: pct application non-entry in european phase

Ref document number: 18879029

Country of ref document: EP

Kind code of ref document: A1