WO2019178722A1 - 一种获取密钥的方法及装置、计算机存储介质 - Google Patents

一种获取密钥的方法及装置、计算机存储介质 Download PDF

Info

Publication number
WO2019178722A1
WO2019178722A1 PCT/CN2018/079464 CN2018079464W WO2019178722A1 WO 2019178722 A1 WO2019178722 A1 WO 2019178722A1 CN 2018079464 W CN2018079464 W CN 2018079464W WO 2019178722 A1 WO2019178722 A1 WO 2019178722A1
Authority
WO
WIPO (PCT)
Prior art keywords
base station
rrc
security information
ncc
terminal
Prior art date
Application number
PCT/CN2018/079464
Other languages
English (en)
French (fr)
Inventor
杨宁
Original Assignee
Oppo广东移动通信有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Oppo广东移动通信有限公司 filed Critical Oppo广东移动通信有限公司
Priority to CN201880002979.2A priority Critical patent/CN109644338B/zh
Priority to PCT/CN2018/079464 priority patent/WO2019178722A1/zh
Publication of WO2019178722A1 publication Critical patent/WO2019178722A1/zh

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/02—Protecting privacy or anonymity, e.g. protecting personally identifiable information [PII]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/03—Protecting confidentiality, e.g. by encryption
    • H04W12/037—Protecting confidentiality, e.g. by encryption of the control plane, e.g. signalling traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/10—Integrity
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/10—Integrity
    • H04W12/106—Packet or message integrity
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W76/00—Connection management
    • H04W76/10—Connection setup
    • H04W76/19—Connection re-establishment
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W76/00—Connection management
    • H04W76/20—Manipulation of established connections
    • H04W76/27—Transitions between radio resource control [RRC] states

Definitions

  • the present invention relates to the field of wireless communication technologies, and in particular, to a method and device for acquiring a key, and a computer storage medium.
  • enhanced mobile broadband eMBB
  • URLLC Ultra Reliable Low Latency Communication
  • mMTC massive machine type communication
  • 5G mobile communication technology is also called Next Generation Wireless Communication Technology (NR, New Radio).
  • NR Next Generation Wireless Communication Technology
  • LTE Long Term Evolution
  • NR cells can also be deployed independently.
  • RRC Radio Resource Control
  • RRC_INACTIVE RRC inactive
  • RRC_CONNECTED RRC connection
  • the network side configures a paging area of the radio access network (RAN) of the radio access network (RAN) by using dedicated signaling, and the RAN paging area may be a cell or Multiple cells.
  • the network side is not notified, and the mobility behavior under idle is followed, that is, the cell selection reselection principle.
  • the UE moves out of the paging area configured by the RAN, the UE is triggered to resume the RRC connection and re-acquire the paging area configured by the RAN.
  • the 5G standard tends to merge the RRC connection recovery process and the RRC connection re-establishment process to achieve the purpose of simplifying the protocol.
  • 5G puts forward a higher demand for security.
  • For the MSG4 message in the RRC connection recovery process integrity protection and encryption are used, and a new key is used. Therefore, 5G requires RRC suspension for the RRC connection recovery process in the inactive state (
  • the security key used for the RRC connection recovery procedure that is, the NCC, is configured in advance in the RRC suspend) message.
  • how to obtain the key for the RRC resume process for the RRC connection re-establishment process is a problem to be solved.
  • an embodiment of the present invention provides a method and apparatus for acquiring a key, and a computer storage medium.
  • the first base station acquires first security information from the core network element, where the first security information includes a first next hop keying counter (NCC, Next Hop Chaining Count) and a first next hop key (NH, Next Hop)
  • NCC Next Hop Chaining Counter
  • NH Next Hop
  • the first security information is used in an RRC recovery process;
  • the first base station configures the first NCC to the terminal, so that the terminal performs encryption and integrity protection on the RRC recovery process based on the first NCC.
  • the first base station configures the first NCC to the terminal, including:
  • the first base station configures the first NCC to the terminal by using an RRC message or a Media Access Control Control Element (MAC CE).
  • MAC CE Media Access Control Control Element
  • the first base station acquires the first security information from the core network element, including:
  • the first base station requests and acquires the first security information from the core network element.
  • the first base station acquires the first security information from the core network element, including:
  • the first base station receives the first security information configured by the core network element.
  • the second base station acquires the second security information and the third security information from the core network element, the second security information includes a second NCC and a second NH, and the third security information includes a third NCC and a third NH.
  • the second security information is used in a handover process, and the third security information is used in an RRC recovery process;
  • the second base station configures the third NCC to the terminal, so that the terminal performs encryption and integrity protection on the RRC recovery process based on the third NCC.
  • the second base station acquires the second security information and the third security information from the core network element, including:
  • the second base station receives the path switch request acknowledgement message sent by the core network element, and obtains the second security information and the third security information from the path switch request acknowledgement message.
  • the second base station configures the third NCC to the terminal, including:
  • the second base station sends an RRC message or a MAC CE to the terminal, where the RRC message or the MAC CE carries the third NCC.
  • the second security information is used in a handover process, including:
  • the second security information is used for the next handover process.
  • the second base station acquires the second security information and the third security information from the core network element, including:
  • the second base station After the first base station sends a handover request message to the core network element, the second base station receives a handover request message sent by the core network element;
  • the second base station acquires the second security information and the third security information from a handover request message sent by the core network element.
  • the second base station configures the third NCC to the terminal, including:
  • the second base station sends a handover request acknowledgement message to the core network element, where the handover request acknowledgement message carries the third NCC, so that the core network element sends a handover command to the first base station.
  • the third NCC is carried in the handover command, so that the first base station sends an RRC connection reconfiguration message to the terminal, where the RRC connection reconfiguration message carries the third NCC.
  • the second security information is used in a handover process, including:
  • the second security information is used in the current handover process.
  • the network device receives the RRC recovery request message sent by the terminal, where the RRC recovery request message carries the first indication information, where the first indication information is used to indicate whether the purpose of the RRC recovery process is RRC connection recovery or RRC connection reestablishment;
  • the network device performs integrity protection verification on the RRC recovery process by using a key corresponding to the NCC;
  • the network device performs integrity protection verification on the RRC recovery procedure using a key generated based on the KgNB.
  • the first indication information includes an RRC recovery reason parameter
  • the first indication information indicates that the purpose of the RRC recovery process is RRC connection recovery
  • the first indication information indicates that the purpose of the RRC recovery process is RRC connection reestablishment.
  • the first indication information includes identifier information of the terminal
  • the first indication information indicates that the purpose of the RRC recovery process is RRC connection recovery
  • the first indication information indicates that the purpose of the RRC recovery procedure is RRC connection reestablishment.
  • the first identifier information is an I-RNTI
  • the second identifier information is a physical cell identifier (PCI, Physical Cell ID) and/or a temporary identifier of a cell radio network (C-RNTI, Cell-Radio). Network Tempory Identity).
  • the key generated by the KgNB includes:
  • the generated key based on the original KgNB and the ARFCN and PCI of the serving cell.
  • the RRC recovery request message further carries the ARFCN and the PCI of the serving cell, so that the serving base station will use the ARFCN and the PCI. Sent to the anchor base station; or,
  • the serving base station calculates the ARFCN and the PCI of the key based on the radio resource used by the terminal to transmit the message, so that the serving base station sends the ARFCN and the PCI to the anchor base station;
  • the serving base station sends the C-RNTI of the terminal to the anchor base station when the ARFCN and the PCI are sent to the anchor base station.
  • An acquiring unit configured to acquire first security information from a core network element, where the first security information includes a first NCC and a first NH, where the first security information is used in an RRC recovery process;
  • a configuration unit configured to configure the first NCC to the terminal, so that the terminal performs encryption and integrity protection on the RRC recovery process based on the first NCC.
  • the configuration unit is configured to configure the first NCC to the terminal by using an RRC message or a MAC CE.
  • the acquiring unit is configured to request and acquire the first security information from the core network element.
  • the acquiring unit is configured to receive the first security information configured by the core network element.
  • An acquiring unit configured to acquire second security information and third security information from a core network element, where the second security information includes a second NCC and a second NH, where the third security information includes a third NCC and a third NH
  • the second security information is used in a handover process, and the third security information is used in an RRC recovery process;
  • a configuration unit configured to configure the third NCC to the terminal, so that the terminal performs encryption and integrity protection on the RRC recovery process based on the third NCC.
  • the acquiring unit includes:
  • a first sending subunit configured to send a path switch request message to the core network element
  • the first receiving subunit is configured to receive a path switching request acknowledgement message sent by the core network element, and obtain the second security information and the third security information from the path switching request acknowledgement message.
  • the configuration unit includes:
  • a second sending subunit configured to send an RRC message or a MAC CE to the terminal, where the RRC message or the MAC CE carries the third NCC.
  • the second security information is used in a handover process, including:
  • the second security information is used for the next handover process.
  • the acquiring unit includes:
  • the second receiving subunit is configured to receive the handover request message sent by the core network element, and obtain the second security information and the third security information from the handover request message sent by the core network element.
  • the configuration unit includes:
  • a third sending subunit configured to send a handover request acknowledgement message to the core network element, where the handover request acknowledgement message carries the third NCC, so that the core network element sends a handover to the first base station
  • the command, the handover command carries the third NCC, so that the first base station sends an RRC connection reconfiguration message to the terminal, where the RRC connection reconfiguration message carries the third NCC.
  • the second security information is used in a handover process, including:
  • the second security information is used in the current handover process.
  • a receiving unit configured to receive an RRC recovery request message sent by the terminal, where the RRC recovery request message carries first indication information, where the first indication information is used to indicate whether the RRC recovery process is for RRC connection recovery or RRC connection reestablishment;
  • a first security processing unit configured to perform integrity protection verification on the RRC recovery process by using a key corresponding to the NCC, if the first indication information indicates that the purpose of the RRC recovery process is RRC connection recovery;
  • a second security processing unit configured to perform integrity protection verification on the RRC recovery process by using a key generated by the KgNB, if the first indication information indicates that the purpose of the RRC recovery procedure is RRC connection reestablishment.
  • the first indication information includes an RRC recovery reason parameter
  • the first indication information indicates that the purpose of the RRC recovery process is RRC connection recovery
  • the first indication information indicates that the purpose of the RRC recovery process is RRC connection reestablishment.
  • the first indication information includes identifier information of the terminal
  • the first indication information indicates that the purpose of the RRC recovery process is RRC connection recovery
  • the first indication information indicates that the purpose of the RRC recovery process is RRC connection reestablishment
  • the first identifier information is an I-RNTI
  • the second identifier information is a PCI and/or a C-RNTI.
  • the key generated by the KgNB includes:
  • the generated key based on the original KgNB and the ARFCN and PCI of the original cell; or,
  • the generated key based on the original KgNB and the ARFCN and PCI of the serving cell.
  • the RRC recovery request message further carries the ARFCN and the PCI of the serving cell, so that the serving base station will use the ARFCN and the PCI. Sent to the anchor base station; or,
  • the serving base station calculates the ARFCN and the PCI of the key based on the radio resource used by the terminal to transmit the message, so that the serving base station sends the ARFCN and the PCI to the anchor base station;
  • the serving base station sends the C-RNTI of the terminal to the anchor base station when the ARFCN and the PCI are sent to the anchor base station.
  • the computer storage medium provided by the embodiment of the present invention has stored thereon computer executable instructions, and the computer executable instructions are implemented by the processor to implement the above method for acquiring a key.
  • the first base station acquires the first security information from the core network element, the first security information includes a first NCC and a first NH, and the first security information is used for RRC recovery.
  • Procedure the purpose of the RRC recovery procedure is RRC connection reestablishment; the first base station configures the first NCC to a terminal, so that the terminal encrypts and completes the RRC recovery process based on the first NCC Sexual protection.
  • the second base station acquires second security information and third security information from the core network element, the second security information includes a second NCC and a second NH, and the third security information includes a third NCC and a third NH
  • the second security information is used in a handover process
  • the third security information is used in an RRC recovery process
  • the purpose of the RRC recovery process is RRC connection reestablishment
  • the second base station configures the third NCC to a terminal. So that the terminal performs encryption and integrity protection on the RRC recovery procedure based on the third NCC.
  • the network device receives the RRC recovery request message sent by the terminal, where the RRC recovery request message carries the first indication information, where the first indication information is used to indicate whether the purpose of the RRC recovery process is RRC connection recovery or RRC connection reestablishment;
  • the first indication information indicates that the purpose of the RRC recovery process is RRC connection recovery, and the network device performs integrity protection verification on the RRC recovery process by using a key corresponding to the NCC; if the first indication information indicates The purpose of the RRC recovery procedure is RRC connection re-establishment, and the network device performs integrity protection verification on the RRC recovery procedure using a key generated based on the KgNB.
  • FIG. 1 is a schematic flowchart of an RRC connection recovery process
  • FIG. 2 is a schematic flowchart of an RRC connection re-establishment process
  • FIG. 3 is a schematic flowchart 1 of a method for acquiring a key according to an embodiment of the present invention
  • FIG. 4 is a second schematic flowchart of a method for acquiring a key according to an embodiment of the present invention.
  • FIG. 5 is a schematic flowchart 3 of a method for acquiring a key according to an embodiment of the present invention.
  • FIG. 6 is a schematic flowchart of a method for acquiring a key in a case where an access network is switched according to an embodiment of the present invention
  • FIG. 7 is a schematic flowchart of a method for acquiring a key in a case where a core network is switched according to an embodiment of the present invention
  • FIG. 8 is a first schematic structural diagram of an apparatus for acquiring a key according to an embodiment of the present invention.
  • FIG. 9 is a second schematic structural diagram of an apparatus for acquiring a key according to an embodiment of the present invention.
  • FIG. 10 is a third structural diagram of a device for acquiring a key according to an embodiment of the present invention.
  • FIG. 11 is a schematic structural diagram of a computer device according to an embodiment of the present invention.
  • the technical solution of the embodiment of the present invention is mainly applied to a 5G mobile communication system.
  • the technical solution of the embodiment of the present invention is not limited to the 5G mobile communication system, and can also be applied to other types of mobile communication systems.
  • eMBB aims at users to obtain multimedia content, services and data, and its business needs are growing rapidly. Because eMBB may be deployed in different scenarios, such as indoors, urban areas, and rural areas, the difference in service capabilities and requirements is relatively large. Therefore, services must be analyzed in combination with specific deployment scenarios.
  • URLLC scenario Typical applications for URLLC include: industrial automation, power automation, telemedicine operations, traffic security, and more.
  • Typical characteristics of URLLC include: high connection density, small data volume, delay-insensitive service, low cost and long service life of the module.
  • RRC_IDLE state Mobility is UE-based cell selection reselection, paging is initiated by CN, and paging area is configured by CN. There is no UE AS context on the base station side. There is no RRC connection.
  • RRC_CONNECTED state There is an RRC connection, and the base station and the UE have a UE AS context. The network side knows that the location of the UE is at a specific cell level. Mobility is the mobility of network-side control. Unicast data can be transmitted between the UE and the base station.
  • RRC_INACTIVE state mobility is UE-based cell selection reselection, there is a connection between CN and RAN, UE AS context exists on a certain base station, paging is triggered by RAN, and RAN-based paging area is managed by RAN, The network side knows that the location of the UE is based on the RAN's paging area level.
  • FIG. 3 is a schematic flowchart 1 of a method for acquiring a key according to an embodiment of the present invention. As shown in FIG. 3, the method for acquiring a key includes the following steps:
  • Step 301 The first base station acquires first security information from a core network element, where the first security information includes a first NCC and a first NH, and the first security information is used in an RRC recovery process.
  • the purpose of the RRC recovery procedure is RRC connection reestablishment.
  • the first base station refers to a serving base station (also referred to as a source base station) of the terminal, for example, an S-gNB in the 5G
  • the core network element refers to a management network element, for example, a receiving core access in the 5G.
  • AMF Core Access and Mobility Management Function
  • the RRC recovery process for the purpose of RRC connection reestablishment does not have an NCC for the RRC recovery process, so a new key needs to be acquired;
  • the RRC recovery process for recovery purposes exists in the NCC.
  • the RRC connection recovery process for the RRC connection reestablishment process is also allocated an unused NCC.
  • the first base station can obtain the security information configured by the core network element (such as AMF) in the following two manners:
  • Manner 1 The first base station requests and acquires the first security information from the core network element.
  • the terminal enters an RRC connection state, and the S-gNB requests the AMF for the first NCC for the RRC connection recovery and the corresponding first NH.
  • the first base station receives the first security information configured by the core network element.
  • the AMF is configured to the S-gNB for the first NCC of the RRC connection recovery and the corresponding first NH.
  • the RRC connection recovery process in the embodiment of the present invention includes, but is not limited to, an RRC connection recovery process for the purpose of RRC connection reestablishment.
  • Step 302 The first base station configures the first NCC to the terminal, so that the terminal performs encryption and integrity protection on the RRC recovery process based on the first NCC.
  • the first base station configures the first NCC to the terminal by using an RRC message or a MAC CE. Specifically, the first base station sends an RRC message or a MAC CE to the terminal, where the RRC message or the MAC CE carries the first NCC, so that the terminal can encrypt the RRC recovery process based on the first NCC. And integrity protection.
  • FIG. 4 is a schematic flowchart 2 of a method for acquiring a key according to an embodiment of the present invention. As shown in FIG. 4, the method for acquiring a key includes the following steps:
  • Step 401 The second base station acquires second security information and third security information from the core network element, where the second security information includes a second NCC and a second NH, and the third security information includes a third NCC and a third NH, the second security information is used in a handover process, and the third security information is used in an RRC recovery process.
  • the purpose of the RRC recovery procedure is RRC connection reestablishment.
  • the first base station refers to a serving base station (also referred to as a source base station) of the terminal, for example, an S-gNB in the 5G
  • the second base station refers to a target base station of the terminal, for example, a T-gNB in the 5G, and a core.
  • the network element refers to a management network element, such as AMF in 5G.
  • Scenario 1 Referring to FIG. 6, in the case where the access network is switched
  • the switching of the access network triggers the switching of the Xn interface.
  • the first NCC stored by the S-gNB and the corresponding first NH are released.
  • the target base station (T-gNB) that triggers the handover performs a path switch process, specifically, the second base station sends a path switch request message to the core network element; the second base station Receiving a path switch request acknowledgement message sent by the core network element, and acquiring the second security information and the third security information from the path switch request acknowledgement message.
  • the second security information is used for the next handover procedure
  • the third security information is used for the RRC recovery procedure.
  • the second base station sends an RRC message or a MAC CE to the terminal, where the RRC message or the MAC CE carries the third NCC.
  • the switching of the core network triggers the switching of the N2 interface, and the first NCC stored by the S-gNB and the corresponding first NH are released.
  • the core network element (such as AMF) receives the handover request from the S-gNB, assigns two ⁇ NCC, NH ⁇ pairs, that is, the second security information and the first security information, the first base station to the After the core network element sends the handover request message, the second base station receives the handover request message sent by the core network element; the second base station acquires the first request from the handover request message sent by the core network element Second security information and third security information.
  • the second security information is used in the current handover process
  • the third security information is used in the RRC recovery process.
  • the handover request acknowledgement message After the second base station sends a handover request acknowledgement message to the core network element, the handover request acknowledgement message carries the third NCC, so that the core network element sends a handover command to the first base station.
  • the third NCC is carried in the handover command, so that the first base station sends an RRC connection reconfiguration message to the terminal, where the RRC connection reconfiguration message carries the third NCC.
  • Step 402 The second base station configures the third NCC to the terminal, so that the terminal performs encryption and integrity protection on the RRC recovery process based on the third NCC.
  • the terminal calculates a corresponding NH based on the third NCC, and performs encryption and integrity protection on the RRC recovery process by using the NH corresponding to the third NCC.
  • FIG. 5 is a schematic flowchart 3 of a method for acquiring a key according to an embodiment of the present invention. As shown in FIG. 5, the method for acquiring a key includes the following steps:
  • Step 501 The network device receives an RRC recovery request message sent by the terminal, where the RRC recovery request message carries the first indication information, where the first indication information is used to indicate whether the RRC recovery process is for RRC connection recovery or RRC connection reestablishment.
  • the new process of the RRC connection recovery process and the RRC connection re-establishment process is an RRC recovery process, and the RRC recovery process for the purpose of RRC connection reestablishment does not have an NCC for the RRC recovery process, so it is necessary to acquire a new Key; NCC exists in the RRC recovery procedure for the purpose of RRC connection recovery.
  • the key used by the RRC recovery process is different, but the network side does not know which way the RRC recovery process uses the key.
  • the terminal carries the first indication by using the RRC recovery request message. Information, to indicate to the network device whether the purpose of the RRC recovery procedure is RRC connection recovery or RRC connection reestablishment.
  • the implementation of the first indication information may be as follows:
  • the first indication information includes an RRC recovery reason parameter.
  • the first indication information indicates that the purpose of the RRC recovery process is RRC connection recovery
  • the first indication information indicates that the purpose of the RRC recovery process is RRC connection reestablishment.
  • the RRC recovery request (that is, the MSG3) message carries the RRC recovery reason parameter.
  • the RRC recovery reason parameter is RRCReestablishment
  • the RRC recovery process is The purpose is to restore the RRC connection.
  • the first indication information includes identifier information of the terminal
  • the first indication information indicates that the purpose of the RRC recovery process is RRC connection recovery
  • the first indication information indicates that the purpose of the RRC recovery procedure is RRC connection reestablishment.
  • the first identifier information is an I-RNTI (ie, UE AS context identifier information), and the second identifier information is a PCI and/or a C-RNTI.
  • I-RNTI ie, UE AS context identifier information
  • PCI PCI and/or a C-RNTI
  • Step 502 If the first indication information indicates that the purpose of the RRC recovery procedure is RRC connection recovery, the network device performs integrity protection verification on the RRC recovery procedure by using a key corresponding to the NCC.
  • the purpose of the RRC recovery procedure is RRC connection recovery, and the network side performs MSG3 integrity protection verification using the key corresponding to the unused NCC.
  • Step 503 If the first indication information indicates that the purpose of the RRC recovery procedure is RRC connection reestablishment, the network device performs integrity protection verification on the RRC recovery procedure by using a key generated by the KgNB.
  • the purpose of the RRC recovery procedure is RRC connection re-establishment, and the network side performs the integrity protection verification of the MSG3 by using the KeNB* generated by the original KgNB as a key.
  • the key generated by the KgNB includes:
  • the generated key based on the original KgNB and the ARFCN and PCI of the original cell; or,
  • the generated key based on the original KgNB and the ARFCN and PCI of the serving cell.
  • the RRC recovery request message further carries the ARFCN and the PCI of the serving cell, so that the serving base station sends the ARFCN and the PCI to the anchor base station. ;or,
  • the serving base station calculates the ARFCN and the PCI of the key based on the radio resource used by the terminal to transmit the message, so that the serving base station sends the ARFCN and the PCI to the anchor base station;
  • the serving base station sends the C-RNTI of the terminal to the anchor base station when the ARFCN and the PCI are sent to the anchor base station.
  • FIG. 8 is a first schematic structural diagram of an apparatus for acquiring a key according to an embodiment of the present invention. As shown in FIG. 8, the apparatus includes:
  • the obtaining unit 801 is configured to obtain first security information from a core network element, where the first security information includes a first NCC and a first NH, where the first security information is used in an RRC recovery process;
  • the configuration unit 802 is configured to configure the first NCC to the terminal, so that the terminal performs encryption and integrity protection on the RRC recovery process based on the first NCC.
  • the purpose of the RRC recovery procedure is RRC connection reestablishment.
  • the configuration unit 802 is configured to configure the first NCC to the terminal by using an RRC message or a MAC CE.
  • the obtaining unit 801 is configured to request and acquire the first security information from the core network element.
  • the acquiring unit 801 is configured to receive the first security information configured by the core network element.
  • each unit in the device for acquiring a key shown in FIG. 8 can be understood by referring to the related description of the foregoing method for acquiring a key.
  • the functions of the units in the device for acquiring a key shown in FIG. 8 can be realized by a program running on a processor, or can be realized by a specific logic circuit.
  • FIG. 9 is a second structural diagram of the device for acquiring a key according to an embodiment of the present invention. As shown in FIG. 9, the device includes:
  • the obtaining unit 901 is configured to obtain second security information and third security information from the core network element, where the second security information includes a second NCC and a second NH, and the third security information includes a third NCC and a third NH, the second security information is used in a handover process, and the third security information is used in an RRC recovery process;
  • the configuration unit 902 is configured to configure the third NCC to the terminal, so that the terminal performs encryption and integrity protection on the RRC recovery process based on the third NCC.
  • the purpose of the RRC recovery procedure is RRC connection reestablishment.
  • the acquiring unit 901 includes:
  • a first sending subunit configured to send a path switch request message to the core network element
  • the first receiving subunit is configured to receive a path switching request acknowledgement message sent by the core network element, and obtain the second security information and the third security information from the path switching request acknowledgement message.
  • the configuration unit 902 includes:
  • a second sending subunit configured to send an RRC message or a MAC CE to the terminal, where the RRC message or the MAC CE carries the third NCC.
  • the second security information is used in a handover process, including:
  • the second security information is used for the next handover process.
  • the acquiring unit 901 includes:
  • the second receiving subunit is configured to receive the handover request message sent by the core network element, and obtain the second security information and the third security information from the handover request message sent by the core network element.
  • the configuration unit 902 includes:
  • a third sending subunit configured to send a handover request acknowledgement message to the core network element, where the handover request acknowledgement message carries the third NCC, so that the core network element sends a handover to the first base station
  • the command, the handover command carries the third NCC, so that the first base station sends an RRC connection reconfiguration message to the terminal, where the RRC connection reconfiguration message carries the third NCC.
  • the second security information is used in a handover process, including:
  • the second security information is used in the current handover process.
  • each unit in the device for acquiring a key shown in FIG. 9 can be understood by referring to the related description of the foregoing method for acquiring a key.
  • the functions of the units in the device for acquiring a key shown in FIG. 9 can be realized by a program running on a processor, or can be realized by a specific logic circuit.
  • FIG. 10 is a third structural diagram of a device for acquiring a key according to an embodiment of the present invention. As shown in FIG. 10, the device includes:
  • the receiving unit 1001 is configured to receive an RRC recovery request message sent by the terminal, where the RRC recovery request message carries first indication information, where the first indication information is used to indicate whether the RRC recovery process is for RRC connection recovery or RRC connection reestablishment. ;
  • the first security processing unit 1002 is configured to perform integrity protection verification on the RRC recovery process by using a key corresponding to the NCC, if the first indication information indicates that the purpose of the RRC recovery process is RRC connection recovery;
  • the second security processing unit 1003 is configured to perform integrity protection verification on the RRC recovery process by using a key generated by the KgNB if the first indication information indicates that the purpose of the RRC recovery procedure is RRC connection reestablishment.
  • the first indication information includes an RRC recovery reason parameter
  • the first indication information indicates that the purpose of the RRC recovery process is RRC connection recovery
  • the first indication information indicates that the purpose of the RRC recovery process is RRC connection reestablishment.
  • the first indication information includes identifier information of the terminal
  • the first indication information indicates that the purpose of the RRC recovery process is RRC connection recovery
  • the first indication information indicates that the purpose of the RRC recovery process is RRC connection reestablishment
  • the first identification information is an I-RNTI
  • the second identification information is a PCI and/or a C-RNTI.
  • the KgNB-based generated key includes:
  • the generated key based on the original KgNB and the ARFCN and PCI of the original cell; or,
  • the generated key based on the original KgNB and the ARFCN and PCI of the serving cell.
  • the RRC recovery request message further carries the ARFCN and the PCI of the serving cell, so that the serving base station will use the ARFCN and the PCI. Sent to the anchor base station; or,
  • the serving base station calculates the ARFCN and the PCI of the key based on the radio resource used by the terminal to transmit the message, so that the serving base station sends the ARFCN and the PCI to the anchor base station;
  • the serving base station sends the C-RNTI of the terminal to the anchor base station when the ARFCN and the PCI are sent to the anchor base station.
  • each unit in the device for acquiring a key shown in FIG. 10 can be understood by referring to the related description of the foregoing method for acquiring a key.
  • the functions of the units in the device for acquiring a key shown in FIG. 10 can be realized by a program running on a processor, or can be realized by a specific logic circuit.
  • the device for acquiring a key is implemented in the form of a software function module and sold or used as a stand-alone product, it may also be stored in a computer readable storage medium.
  • the technical solution of the embodiments of the present invention may be embodied in the form of a software product in essence or in the form of a software product stored in a storage medium, including a plurality of instructions.
  • a computer device (which may be a personal computer, server, or network device, etc.) is caused to perform all or part of the methods described in various embodiments of the present invention.
  • the foregoing storage medium includes various media that can store program codes, such as a USB flash drive, a mobile hard disk, a read only memory (ROM), a magnetic disk, or an optical disk.
  • program codes such as a USB flash drive, a mobile hard disk, a read only memory (ROM), a magnetic disk, or an optical disk.
  • the embodiment of the present invention further provides a computer storage medium, wherein the computer executable instructions are stored, and the computer executable instructions are executed by the processor to implement the foregoing method for acquiring a key in the embodiment of the present invention.
  • FIG. 11 is a schematic structural diagram of a computer device according to an embodiment of the present invention.
  • the computer device may be a terminal or a network device.
  • computer device 100 may include one or more (only one shown) processor 1002 (processor 1002 may include, but is not limited to, a Micro Controller Unit (MCU) or a programmable logic device.
  • a processing device such as an FPGA (Field Programmable Gate Array), a memory 1004 for storing data, and a transmission device 1006 for a communication function.
  • FPGA Field Programmable Gate Array
  • FIG. 11 is merely illustrative and does not limit the structure of the above electronic device.
  • computer device 100 may also include more or fewer components than shown in FIG. 11, or have a different configuration than that shown in FIG.
  • the memory 1004 can be used to store software programs and modules of application software, such as program instructions/modules corresponding to the method in the embodiment of the present invention, and the processor 1002 executes various functional applications by running software programs and modules stored in the memory 1004. And data processing, that is, to achieve the above method.
  • Memory 1004 can include high speed random access memory, and can also include non-volatile memory, such as one or more magnetic storage devices, flash memory, or other non-volatile solid state memory.
  • memory 1004 can further include memory remotely located relative to processor 1002, which can be connected to computer device 100 over a network. Examples of such networks include, but are not limited to, the Internet, intranets, local area networks, mobile communication networks, and combinations thereof.
  • Transmission device 1006 is for receiving or transmitting data via a network.
  • the network specific examples described above may include a wireless network provided by a communication provider of computer device 100.
  • the transmission device 1006 includes a Network Interface Controller (NIC) that can be connected to other network devices through a base station to communicate with the Internet.
  • the transmission device 1006 can be a radio frequency (RF) module for communicating with the Internet wirelessly.
  • NIC Network Interface Controller
  • RF radio frequency
  • the disclosed method and smart device may be implemented in other manners.
  • the device embodiments described above are merely illustrative.
  • the division of the unit is only a logical function division.
  • there may be another division manner such as: multiple units or components may be combined, or Can be integrated into another system, or some features can be ignored or not executed.
  • the coupling, or direct coupling, or communication connection of the components shown or discussed may be indirect coupling or communication connection through some interfaces, devices or units, and may be electrical, mechanical or other forms. of.
  • the units described above as separate components may or may not be physically separated, and the components displayed as the unit may or may not be physical units, that is, may be located in one place or distributed to multiple network units; Some or all of the units may be selected according to actual needs to achieve the purpose of the solution of the embodiment.
  • each functional unit in each embodiment of the present invention may be integrated into one second processing unit, or each unit may be separately used as one unit, or two or more units may be integrated into one unit;
  • the above integrated unit can be implemented in the form of hardware or in the form of hardware plus software functional units.

Abstract

本发明公开了一种获取密钥的方法及装置、计算机存储介质，所述方法包括：第一基站从核心网网元获取第一安全信息，所述第一安全信息包括第一NCC和第一NH，所述第一安全信息用于RRC恢复过程，所述RRC恢复过程的目的是RRC连接重建；所述第一基站将所述第一NCC配置给终端，以使所述终端基于所述第一NCC对所述RRC恢复过程进行加密和完整性保护。

Description

一种获取密钥的方法及装置、计算机存储介质 技术领域
本发明涉及无线通信技术领域，尤其涉及一种获取密钥的方法及装置、计算机存储介质。
背景技术
为了满足人们对业务的速率、延迟、高速移动性、能效的追求，以及未来生活中业务的多样性、复杂性，第三代合作伙伴计划(3GPP，3rd Generation Partnership Project)国际标准组织开始研发第五代(5G，5 th Generation)移动通信技术。
5G移动通信技术的主要应用场景为：增强型移动宽带(eMBB，Enhance Mobile Broadband)、低时延高可靠通信(URLLC，Ultra Reliable Low Latency Communication)、大规模机器类通信(mMTC，massive Machine Type Communication)。
5G移动通信技术也称为新一代无线通信技术(NR，New Radio)，在NR早期部署时，完整的NR覆盖很难达到，所以典型的网络覆盖是长期演进(LTE，Long Term Evolution)覆盖和NR覆盖的结合。此外，为了保护移动运营商前期在LTE上的投资，提出了LTE和NR之间的紧耦合(tight interworking)工作模式。此外，NR小区也可以独立部署。
在5G网络环境中，为了降低空口信令和快速恢复无线连接，快速恢复数据业务的目的，定义一个新的无线资源控制(RRC，Radio Resource Control)状态，即RRC非激活(RRC_INACTIVE)状态。这种状态有别于RRC空闲(RRC_IDLE)状态和RRC连接(RRC_CONNECTED)状态。
当用户设备(UE，User Equipment)处于RRC_INACTIVE状态时，网络侧会通过专用信令给UE配置无线接入网(RAN，Radio Access Network)的寻呼区域，该RAN寻呼区域可以是一个小区或者多个小区。当UE在该区域内移动时不用通知网络侧，遵循空闲(idle)下移动性行为，即小区选择重选原则。当UE移动出RAN配置的寻呼区域时，会触发UE恢复RRC连接并重新获取RAN配置的寻呼区域。
在LTE中，当UE处于RRC连接状态但出现切换失败、无线链路失败、完整性保护失败、RRC重配置失败等情况时，会触发RRC连接重建过程以恢复RRC连接建立。所以RRC连接恢复(RRC resume)过程和RRC连接重建过程存在类似的地方，即：基于网路侧存在的UE AS上下文来快速恢复RRC连接。但这两个过程的安全架构略有区别，具体如图1和图2所示。
基于RRC连接恢复过程和RRC连接重建过程的相同特性，5G标准中倾向于合并RRC连接恢复过程和RRC连接重建过程，以达到简化协议的目的。同时5G对于安全提出了更高的需求，对于RRC连接恢复过程中的MSG4消息采用完整性保护和加密，且使用新的密钥，所以5G针对非激活状态的RRC连接恢复过程中要求RRC暂停(RRC suspend)消息中提前配置用于RRC连接恢复过程的安全密钥，即NCC。但是为了满足合并RRC连接恢复过程和RRC连接重建过程的需求，对于RRC连接重建过程如何获取用于RRC resume过程的密钥是个需要解决的问题。
发明内容
为解决上述技术问题，本发明实施例提供了一种获取密钥的方法及装置、计算机存储介质。
本发明实施例提供的获取密钥的方法，包括：
第一基站从核心网网元获取第一安全信息，所述第一安全信息包括第一下一跳密钥计数器(NCC，Next Hop Chaining Count)和第一下一跳密钥(NH，Next Hop)，所述第一安全信息用于RRC恢复过程；
所述第一基站将所述第一NCC配置给终端，以使所述终端基于所述第一NCC对所述RRC恢复过程进行加密和完整性保护。
本发明实施方式中，所述第一基站将所述第一NCC配置给终端，包括：
所述第一基站通过RRC消息或者媒体接入控制控制元素(MAC CE，Media Access Control Control Element)将所述第一NCC配置给终端。
本发明实施方式中，所述第一基站从核心网网元获取第一安全信息，包括：
所述第一基站向所述核心网网元请求并获取所述第一安全信息。
本发明实施方式中，所述第一基站从核心网网元获取第一安全信息，包括：
所述第一基站接收所述核心网网元配置的所述第一安全信息。
本发明实施例提供的获取密钥的方法，包括：
第二基站从核心网网元获取第二安全信息和第三安全信息，所述第二安全信息包括第二NCC和第二NH，所述第三安全信息包括第三NCC和第三NH，所述第二安全信息用于切换过程，所述第三安全信息用于RRC恢复过程；
所述第二基站将所述第三NCC配置给终端，以使所述终端基于所述第三NCC对所述RRC恢复过程进行加密和完整性保护。
本发明实施方式中，在接入网发生切换的情况下，所述第二基站从核心网网元获取第二安全信息和第三安全信息，包括：
所述第二基站向所述核心网网元发送路径切换请求消息；
所述第二基站接收所述核心网网元发送的路径切换请求确认消息，从所述路径切换请求确认消息中获取所述第二安全信息和第三安全信息。
本发明实施方式中，所述第二基站将所述第三NCC配置给终端，包括：
所述第二基站向所述终端发送RRC消息或者MAC CE，所述RRC消息或者MAC CE中携带所述第三NCC。
本发明实施方式中，所述第二安全信息用于切换过程，包括：
所述第二安全信息用于下一次切换过程。
本发明实施方式中，在核心网发生切换的情况下，所述第二基站从核心网网元获取第二安全信息和第三安全信息，包括：
所述第一基站向所述核心网网元发送切换请求消息后，所述第二基站接收所述核心网网元发送的切换请求消息；
所述第二基站从所述核心网网元发送的切换请求消息中获取所述第二安全信息和第三安全信息。
本发明实施方式中，所述第二基站将所述第三NCC配置给终端，包括：
所述第二基站向所述核心网网元发送切换请求确认消息，所述切换请求确认消息中携带所述第三NCC，以使所述核心网网网元向第一基站发送切换命令，所述切换命令中携带所述第三NCC，从而所述第一基站向所述终端发送RRC连接重配置消息，所述RRC连接重配置消息中携带所述第三NCC。
本发明实施方式中，所述第二安全信息用于切换过程，包括：
所述第二安全信息用于本次切换过程。
本发明实施例提供的获取密钥的方法，包括：
网络设备接收终端发送的RRC恢复请求消息，所述RRC恢复请求消息中携带第一指示信息，所述第一指示信息用于指示RRC恢复过程的目的是RRC连接恢复还是RRC连接重建；
如果所述第一指示信息指示所述RRC恢复过程的目的是RRC连接恢复，则所述网络设备使用NCC对应的密钥对所述RRC恢复过程进行完整性保护验证；
如果所述第一指示信息指示所述RRC恢复过程的目的是RRC连接重建，则所述网络设备使用基于KgNB生成的密钥对所述RRC恢复过程进行完整性保护验证。
本发明实施方式中，所述第一指示信息包括RRC恢复原因参数；
如果所述RRC恢复原因参数为第一原因参数，则所述第一指示信息指示所述RRC恢复过程的目的是RRC连接恢复；
如果所述RRC恢复原因参数为第二原因参数，则所述第一指示信息指示所述RRC恢复过程的目的是RRC连接重建。
本发明实施方式中，所述第一指示信息包括所述终端的标识信息；
如果所述终端的标识信息为第一标识信息，则所述第一指示信息指示所述RRC恢复过程的目的是RRC连接恢复；
如果所述终端的标识信息为第二标识信息，则所述第一指示信息指示所述RRC恢复过程的目的是RRC连接重建。
本发明实施方式中，所述第一标识信息为I-RNTI，所述第二标识信息为物理小区标识(PCI，Physical Cell ID)和/或小区无线网络临时标识(C-RNTI，Cell-Radio Network Tempory Identity)。
本发明实施方式中，所述基于KgNB生成的密钥，包括：
基于原KgNB和原小区的绝对无线频道编号(ARFCN，Absolute Radio Frequency Channel Number)和PCI，生成的密钥；或者，
基于原KgNB和服务小区的ARFCN和PCI，生成的密钥。
本发明实施方式中，如果基于原KgNB和服务小区的ARFCN和PCI生成密钥，则所述RRC恢复请求消息中还携带所述服务小区的ARFCN和PCI，以使得服务基站将所述ARFCN和PCI发送给锚基站；或者，
服务基站基于所述终端传输消息使用的无线资源计算密钥的ARFCN和PCI，以使得服务基站将所述ARFCN和PCI发送给锚基站；
其中，所述服务基站将所述ARFCN和PCI发送给锚基站时，还将所述终端的C-RNTI发送给所述锚基站。
本发明实施例提供的获取密钥的装置，包括：
获取单元，用于从核心网网元获取第一安全信息，所述第一安全信息包括第一NCC和第一NH，所述第一安全信息用于RRC恢复过程；
配置单元，用于将所述第一NCC配置给终端，以使所述终端基于所述第一NCC对所述RRC恢复过程进行加密和完整性保护。
本发明实施方式中，所述配置单元，用于通过RRC消息或者MAC CE将所述第一NCC配置给终端。
本发明实施方式中，所述获取单元，用于向所述核心网网元请求并获取所述第一安全信息。
本发明实施方式中，所述获取单元，用于接收所述核心网网元配置的所述第一安全信息。
本发明实施例提供的获取密钥的装置，包括：
获取单元，用于从核心网网元获取第二安全信息和第三安全信息，所述第二安全信息包括第二NCC和第二NH，所述第三安全信息包括第三NCC和第三NH，所述第二安全信息用于切换过程，所述第三安全信息用于RRC恢复过程；
配置单元，用于将所述第三NCC配置给终端，以使所述终端基于所述第三NCC对所述RRC恢复过程进行加密和完整性保护。
本发明实施方式中，在接入网发生切换的情况下，所述获取单元，包括：
第一发送子单元，用于向所述核心网网元发送路径切换请求消息；
第一接收子单元，用于接收所述核心网网元发送的路径切换请求确认消息，从所述路径切换请求确认消息中获取所述第二安全信息和第三安全信息。
本发明实施方式中，所述配置单元包括：
第二发送子单元，用于向所述终端发送RRC消息或者MAC CE，所述RRC消息或者MAC CE中携带所述第三NCC。
本发明实施方式中，所述第二安全信息用于切换过程，包括：
所述第二安全信息用于下一次切换过程。
本发明实施方式中，在核心网发生切换的情况下，所述获取单元包括：
第二接收子单元，用于接收所述核心网网元发送的切换请求消息；从所述核心网网元发送的切换请求消息中获取所述第二安全信息和第三安全信息。
本发明实施方式中，所述配置单元包括：
第三发送子单元，用于向所述核心网网元发送切换请求确认消息，所述切换请求确认消息中携带所述第三NCC，以使所述核心网网网元向第一基站发送切换命令，所述切换命令中携带所述第三NCC，从而所述第一基站向所述终端发送RRC连接重配置消息，所述RRC连接重配置消息中携带所述第三NCC。
本发明实施方式中，所述第二安全信息用于切换过程，包括：
所述第二安全信息用于本次切换过程。
本发明实施例提供的获取密钥的装置，包括：
接收单元，用于接收终端发送的RRC恢复请求消息，所述RRC恢复请求消息中携带第一指示信息，所述第一指示信息用于指示RRC恢复过程的目的是RRC连接恢复还是RRC连接重建；
第一安全处理单元，用于如果所述第一指示信息指示所述RRC恢复过程的目的是RRC连接恢复，则使用NCC对应的密钥对所述RRC恢复过程进行完整性保护验证；
第二安全处理单元，用于如果所述第一指示信息指示所述RRC恢复过程的目的是RRC连接重建，则使用基于KgNB生成的密钥对所述RRC恢复过程进行完整性保护验证。
本发明实施方式中，所述第一指示信息包括RRC恢复原因参数；
如果所述RRC恢复原因参数为第一原因参数，则所述第一指示信息指示所述RRC恢复过程的目的是RRC连接恢复；
如果所述RRC恢复原因参数为第二原因参数，则所述第一指示信息指示所述RRC恢复过程的目的是RRC连接重建。
本发明实施方式中，所述第一指示信息包括所述终端的标识信息；
如果所述终端的标识信息为第一标识信息，则所述第一指示信息指示所述RRC恢复过程的目的是RRC连接恢复；
如果所述终端的标识信息为第二标识信息，则所述第一指示信息指示所述RRC恢复过程的目的是RRC连接重建
本发明实施方式中，所述第一标识信息为I-RNTI，所述第二标识信息为PCI和/或C-RNTI。
本发明实施方式中，所述基于KgNB生成的密钥，包括：
基于原KgNB和原小区的ARFCN和PCI，生成的密钥；或者，
基于原KgNB和服务小区的ARFCN和PCI，生成的密钥。
本发明实施方式中，如果基于原KgNB和服务小区的ARFCN和PCI生成密钥，则所述RRC恢复请求消息中还携带所述服务小区的ARFCN和PCI，以使得服务基站将所述ARFCN和PCI发送给锚基站；或者，
服务基站基于所述终端传输消息使用的无线资源计算密钥的ARFCN和PCI，以使得服务基站将所述ARFCN和PCI发送给锚基站；
其中，所述服务基站将所述ARFCN和PCI发送给锚基站时，还将所述终端的C-RNTI发送给所述锚基站。
本发明实施例提供的计算机存储介质，其上存储有计算机可执行指令，该计算机可执行指令被处理器执行时实现上述的获取密钥的方法。
本发明实施例的技术方案中，1)第一基站从核心网网元获取第一安全信息，所述第一安全信息包括第一NCC和第一NH，所述第一安全信息用于RRC恢复过程，所述RRC恢复过程的目的是RRC连接重建；所述第一基站将所述第一NCC配置给终端，以使所述终端基于所述第一NCC对所述RRC恢复过程进行加密和完整性保护。2)第二基站从核心网网元获取第二安全信息和第三安全信息，所述第二安全信息包括第二NCC和第二NH，所述第三安全信息包括第三NCC和第三NH，所述第二安全信息用于切换过程，所述第三安全信息用于RRC恢复过程，所述RRC恢复过程的目的是RRC连接重建；所述第二基站将所述第三NCC配置给终端，以使所述终端基于所述第三NCC对所述RRC恢复过程进行加密和完整性保护。3)网络设备接收终端发送的RRC恢复请求消息，所述RRC恢复请求消息中携带第一指示信息，所述第一指示信息用于指示RRC恢复过程的目的是RRC连接恢复还是RRC连接重建；如果所述第一指示信息指示所述RRC恢复过程的目的是RRC连接恢复，则所述网络设备使用NCC对应的密钥对所述RRC恢复过程进行完整性保护验证；如果所述第一指示信息指示所述RRC恢复过程的目的是RRC连接重建，则所述网络设备使用基于KgNB生成的密钥对所述RRC恢复过程进行完整性保护验证。采用本发明实施例的技术方案，能够正确获取RRC连接恢复过程的密钥，使得RRC连接恢复过程使用正确的密钥进行加密和完整性保护，以及相应的完整性保护的验证。
附图说明
此处所说明的附图用来提供对本发明的进一步理解，构成本申请的一部分，本发明的示意性实施例及其说明用于解释本发明，并不构成对本发明的不当限定。在附图中：
图1为RRC连接恢复过程的流程示意图；
图2为RRC连接重建立过程的流程示意图；
图3为本发明实施例的获取密钥的方法的流程示意图一；
图4为本发明实施例的获取密钥的方法的流程示意图二；
图5为本发明实施例的获取密钥的方法的流程示意图三；
图6为本发明实施例的接入网发生切换的情况下的获取密钥的方法的流程示意图；
图7为本发明实施例的核心网发生切换的情况下的获取密钥的方法的流程示意图；
图8为发明实施例的获取密钥的装置的结构组成示意图一；
图9为发明实施例的获取密钥的装置的结构组成示意图二；
图10为发明实施例的获取密钥的装置的结构组成示意图三；
图11为本发明实施例的计算机设备的结构组成示意图。
具体实施方式
为了能够更加详尽地了解本发明实施例的特点与技术内容，下面结合附图对本发明实施例的实现进行详细阐述，所附附图仅供参考说明之用，并非用来限定本发明实施例。
本发明实施例的技术方案主要应用于5G移动通信系统，当然，本发明实施例的技术方案并不局限于5G移动通信系统，还可以应用于其他类型的移动通信系统。以下对5G移动通信系统中的主要应用场景进行说明：
1)eMBB场景：eMBB以用户获得多媒体内容、服务和数据为目标，其业务需求增长十分迅速。由于eMBB可能部署在不同的场景中，例如室内、市区、农村等，其业务能力和需求的差别也比较大，所以必须结合具体的部署场景对业务进行分析。
2)URLLC场景：URLLC的典型应用包括：工业自动化、电力自动化、远程医疗操作、交通安全保障等。
3)mMTC场景：URLLC的典型特点包括：高连接密度、小数据量、时延不敏感业务、模块的低成本和长使用寿命等。
以下对5G网络环境中的三种RRC状态进行说明：
1)RRC_IDLE状态：移动性为基于UE的小区选择重选，寻呼由CN发起，寻呼区域由CN配置。基站侧不存在UE AS上下文。不存在RRC连接。
2)RRC_CONNECTED状态：存在RRC连接，基站和UE存在UE AS上下文。网络侧知道UE的位置是具体小区级别的。移动性是网络侧控制的移动性。UE和基站之间可以传输单播数据。
3)RRC_INACTIVE状态：移动性为基于UE的小区选择重选，存在CN和RAN之间的连接，UE AS上下文存在某个基站上，寻呼由RAN触发，基于RAN的寻呼区域由RAN管理，网络侧知道UE的位置是基于RAN的寻呼区域级别的。
图3为本发明实施例的获取密钥的方法的流程示意图一，如图3所示，所述获取密钥的方法包括以下步骤：
步骤301：第一基站从核心网网元获取第一安全信息，所述第一安全信息包括第一NCC和第一NH，所述第一安全信息用于RRC恢复过程。
在一实施方式中，所述RRC恢复过程的目的是RRC连接重建。
本发明实施例中，第一基站是指终端的服务基站(也称为源基站)，例如5G中的S-gNB，核心网网元是指管理网元，例如5G中的接收核心接入和移动性管(AMF，Core Access and Mobility Management Function)。
假定合并RRC连接恢复过程和RRC连接重建过程的新过程为RRC恢复过程，以RRC连接重建为目的的RRC恢复过程不存在用于RRC恢复过程的NCC，所以需要获取新的密钥；以RRC连接恢复为目的的RRC恢复过程存在NCC。本发明实施例对以RRC连接重建为目的RRC连接恢复过程也分配未使用的NCC，具体地，第一基站可以通过以下两种方式来获取核心网网元(如AMF)配置的安全信息：
方式一：所述第一基站向所述核心网网元请求并获取所述第一安全信息。
例如：终端进入RRC连接状态，S-gNB向AMF索要用于RRC连接恢复的第一NCC和对应的第一NH。
方式二：所述第一基站接收所述核心网网元配置的所述第一安全信息。
例如：通过N2接口初始UE上下文建立的过程中，AMF配置给S-gNB用于RRC连接恢复的第一NCC和对应的第一NH。
应理解，本发明实施例中的RRC连接恢复过程包括但不局限于以RRC连接重建为目的的RRC连接恢复过程。
步骤302：所述第一基站将所述第一NCC配置给终端，以使所述终端基于所述第一NCC对所述RRC恢复过程进行加密和完整性保护。
本发明实施例中，所述第一基站通过RRC消息或者MAC CE将所述第一NCC配置给终端。具体地，第一基站向终端发送RRC消息或MAC CE，所述RRC消息或MAC CE中携带所述第一NCC，从而使得所述终端能够基于所述第一NCC对所述RRC恢复过程进行加密和完整性保护。
图4为本发明实施例的获取密钥的方法的流程示意图二，如图4所示，所述获取密钥的方法包括以下步骤：
步骤401：第二基站从核心网网元获取第二安全信息和第三安全信息，所述第二安全信息包括第二NCC和第二NH，所述第三安全信息包括第三NCC和第三NH，所述第二安全信息用于切换过程，所述第三安全信息用于RRC恢复过程。
在一实施方式中，所述RRC恢复过程的目的是RRC连接重建。
本发明实施例中，第一基站是指终端的服务基站(也称为源基站)，例如5G中的S-gNB，第二基站是指终端的目标基站，例如5G中的T-gNB，核心网网元是指管理网元，例如5G中的AMF。
本发明实施例的技术方案具有两种应用场景，以下具体对这两种场景进行描述：
场景一：参照图6，在接入网发生切换的情况下
这里，接入网发生切换也即触发了Xn接口的切换，此时S-gNB存储的第一NCC和对应的第一NH被释放。
当切换完成时，触发切换的目标基站(T-gNB)进行路径切换(path switch)过程，具体地，所述第二基站向所述核心网网元发送路径切换请求消息；所述第二基站接收所述核心网网元发送的路径切换请求确认消息，从所述路径切换请求确认消息中获取所述第二安全信息和第三安全信息。这里，所述第二安全信息用于下一次切换过程，所述第三安全信息用于RRC恢复过程。之后，所述第二基站向所述终端发送RRC消息或者MAC CE，所述RRC消息或者MAC CE中携带所述第三NCC。
场景二：参照图7，在核心网发生切换的情况下
这里，核心网发生切换也即触发了N2接口的切换，此时S-gNB存储的第一NCC和对应的第一NH被释放。
当核心网网元(如AMF)接收到来自S-gNB的切换请求时，分配两个{NCC，NH}对，也即第二安全信息和第一安全信息，所述第一基站向所述核心网网元发送切换请求消息后，所述第二基站接收所述核心网网元发送的切换请求消息；所述第二基站从所述核心网网元发送的切换请求消息中获取所述第二安全信息和第三安全信息。这里，所述第二安全信息用于本次切换过程，所述第三安全信息用于RRC恢复过程。之后，所述第二基站向所述核心网网元发送切换请求确认消息，所述切换请求确认消息中携带所述第三NCC，以使所述核心网网网元向第一基站发送切换命令，所述切换命令中携带所述第三NCC，从而所述第一基站向所述终端发送RRC连接重配置消息，所述RRC连接重配置消息中携带所述第三NCC。
步骤402：所述第二基站将所述第三NCC配置给终端，以使所述终端基于所述第三NCC对所述RRC恢复过程进行加密和完整性保护。
在一实施方式中，所述终端基于所述第三NCC计算对应的NH，利用所述第三NCC对应的NH对所述RRC恢复过程进行加密和完整性保护。
图5为本发明实施例的获取密钥的方法的流程示意图三，如图5所示，所述获取密 钥的方法包括以下步骤：
步骤501：网络设备接收终端发送的RRC恢复请求消息，所述RRC恢复请求消息中携带第一指示信息，所述第一指示信息用于指示RRC恢复过程的目的是RRC连接恢复还是RRC连接重建。
本发明实施例中，假定合并RRC连接恢复过程和RRC连接重建过程的新过程为RRC恢复过程，以RRC连接重建为目的的RRC恢复过程不存在用于RRC恢复过程的NCC，所以需要获取新的密钥；以RRC连接恢复为目的的RRC恢复过程存在NCC。可见，不同的RRC恢复过程使用的密钥会不同，但是网络侧并不清楚RRC恢复过程使用的密钥是哪种方式，本发明实施例中，终端通过在RRC恢复请求消息中携带第一指示信息，来向网络设备指示RRC恢复过程的目的是RRC连接恢复还是RRC连接重建。
本发明实施例中，所述第一指示信息的实现可以通过以下方式：
方式一：所述第一指示信息包括RRC恢复原因参数；
如果所述RRC恢复原因参数为第一原因参数，则所述第一指示信息指示所述RRC恢复过程的目的是RRC连接恢复；
如果所述RRC恢复原因参数为第二原因参数，则所述第一指示信息指示所述RRC恢复过程的目的是RRC连接重建。
例如：RRC恢复请求(也即MSG3)消息中携带RRC恢复原因参数，其中，当RRC恢复原因参数为RRCReestablishment时，则表明所述RRC恢复过程的目的是RRC连接重建。当RRC恢复原因参数为ResumeCause::＝ENUMERATED{emergency,highPriorityAccess,mt-Access,mo-Signalling,mo-Data,delayTolerantAccess-v1020,mo-VoiceCall-v1280,spare1}时，则表明所述RRC恢复过程的目的是RRC连接恢复。
方式二：所述第一指示信息包括所述终端的标识信息；
如果所述终端的标识信息为第一标识信息，则所述第一指示信息指示所述RRC恢复过程的目的是RRC连接恢复；
如果所述终端的标识信息为第二标识信息，则所述第一指示信息指示所述RRC恢复过程的目的是RRC连接重建。
例如，所述第一标识信息为I-RNTI(即UE AS上下文标识信息)，所述第二标识信息为PCI和/或C-RNTI。
步骤502：如果所述第一指示信息指示所述RRC恢复过程的目的是RRC连接恢复，则所述网络设备使用NCC对应的密钥对所述RRC恢复过程进行完整性保护验证。
这里，RRC恢复过程的目的是RRC连接恢复，则网络侧使用未使用的NCC对应的密钥进行MSG3进行完整性保护验证。
步骤503：如果所述第一指示信息指示所述RRC恢复过程的目的是RRC连接重建，则所述网络设备使用基于KgNB生成的密钥对所述RRC恢复过程进行完整性保护验证。
这里，RRC恢复过程的目的是RRC连接重建，则网络侧使用原来KgNB生成的KeNB*为密钥进行MSG3的完整性保护验证。
本发明实施例中，所述基于KgNB生成的密钥(KeNB*)，包括：
基于原KgNB和原小区的ARFCN和PCI，生成的密钥；或者，
基于原KgNB和服务小区的ARFCN和PCI，生成的密钥。
进一步，如果基于原KgNB和服务小区的ARFCN和PCI生成密钥，则所述RRC恢复请求消息中还携带所述服务小区的ARFCN和PCI，以使得服务基站将所述ARFCN和PCI发送给锚基站；或者，
服务基站基于所述终端传输消息使用的无线资源计算密钥的ARFCN和PCI，以使得服务基站将所述ARFCN和PCI发送给锚基站；
其中，所述服务基站将所述ARFCN和PCI发送给锚基站时，还将所述终端的C-RNTI发送给所述锚基站。
图8为发明实施例的获取密钥的装置的结构组成示意图一，如图8所示，所述装置包括：
获取单元801，用于从核心网网元获取第一安全信息，所述第一安全信息包括第一NCC和第一NH，所述第一安全信息用于RRC恢复过程；
配置单元802，用于将所述第一NCC配置给终端，以使所述终端基于所述第一NCC对所述RRC恢复过程进行加密和完整性保护。
在一实施方式中，所述RRC恢复过程的目的是RRC连接重建。
在一实施方式中，所述配置单元802，用于通过RRC消息或者MAC CE将所述第一NCC配置给终端。
在一实施方式中，所述获取单元801，用于向所述核心网网元请求并获取所述第一安全信息。
在一实施方式中，所述获取单元801，用于接收所述核心网网元配置的所述第一安全信息。
本领域技术人员应当理解，图8所示的获取密钥的装置中的各单元的实现功能可参照前述获取密钥的方法的相关描述而理解。图8所示的获取密钥的装置中的各单元的功能可通过运行于处理器上的程序而实现，也可通过具体的逻辑电路而实现。
图9为发明实施例的获取密钥的装置的结构组成示意图二，如图9所示，所述装置包括：
获取单元901，用于从核心网网元获取第二安全信息和第三安全信息，所述第二安全信息包括第二NCC和第二NH，所述第三安全信息包括第三NCC和第三NH，所述第二安全信息用于切换过程，所述第三安全信息用于RRC恢复过程；
配置单元902，用于将所述第三NCC配置给终端，以使所述终端基于所述第三NCC对所述RRC恢复过程进行加密和完整性保护。
在一实施方式中，所述RRC恢复过程的目的是RRC连接重建。
在一实施方式中，在接入网发生切换的情况下，所述获取单元901，包括：
第一发送子单元，用于向所述核心网网元发送路径切换请求消息；
第一接收子单元，用于接收所述核心网网元发送的路径切换请求确认消息，从所述路径切换请求确认消息中获取所述第二安全信息和第三安全信息。
在一实施方式中，所述配置单元902包括：
第二发送子单元，用于向所述终端发送RRC消息或者MAC CE，所述RRC消息或者MAC CE中携带所述第三NCC。
在一实施方式中，所述第二安全信息用于切换过程，包括：
所述第二安全信息用于下一次切换过程。
在一实施方式中，在核心网发生切换的情况下，所述获取单元901包括：
第二接收子单元，用于接收所述核心网网元发送的切换请求消息；从所述核心网网元发送的切换请求消息中获取所述第二安全信息和第三安全信息。
在一实施方式中，所述配置单元902包括：
第三发送子单元，用于向所述核心网网元发送切换请求确认消息，所述切换请求确认消息中携带所述第三NCC，以使所述核心网网网元向第一基站发送切换命令，所述切换命令中携带所述第三NCC，从而所述第一基站向所述终端发送RRC连接重配置消息，所述RRC连接重配置消息中携带所述第三NCC。
在一实施方式中，所述第二安全信息用于切换过程，包括：
所述第二安全信息用于本次切换过程。
本领域技术人员应当理解，图9所示的获取密钥的装置中的各单元的实现功能可参照前述获取密钥的方法的相关描述而理解。图9所示的获取密钥的装置中的各单元的功能可通过运行于处理器上的程序而实现，也可通过具体的逻辑电路而实现。
图10为发明实施例的获取密钥的装置的结构组成示意图三，如图10所示，所述装置包括：
接收单元1001，用于接收终端发送的RRC恢复请求消息，所述RRC恢复请求消息中携带第一指示信息，所述第一指示信息用于指示RRC恢复过程的目的是RRC连接恢复还是RRC连接重建；
第一安全处理单元1002，用于如果所述第一指示信息指示所述RRC恢复过程的目的是RRC连接恢复，则使用NCC对应的密钥对所述RRC恢复过程进行完整性保护验证；
第二安全处理单元1003，用于如果所述第一指示信息指示所述RRC恢复过程的目的是RRC连接重建，则使用基于KgNB生成的密钥对所述RRC恢复过程进行完整性保护验证。
在一实施方式中，所述第一指示信息包括RRC恢复原因参数；
如果所述RRC恢复原因参数为第一原因参数，则所述第一指示信息指示所述RRC恢复过程的目的是RRC连接恢复；
如果所述RRC恢复原因参数为第二原因参数，则所述第一指示信息指示所述RRC恢复过程的目的是RRC连接重建。
在一实施方式中，所述第一指示信息包括所述终端的标识信息；
如果所述终端的标识信息为第一标识信息，则所述第一指示信息指示所述RRC恢复过程的目的是RRC连接恢复；
如果所述终端的标识信息为第二标识信息，则所述第一指示信息指示所述RRC恢复过程的目的是RRC连接重建
在一实施方式中，所述第一标识信息为I-RNTI，所述第二标识信息为PCI和/或C-RNTI。
在一实施方式中，所述基于KgNB生成的密钥，包括：
基于原KgNB和原小区的ARFCN和PCI，生成的密钥；或者，
基于原KgNB和服务小区的ARFCN和PCI，生成的密钥。
在一实施方式中，如果基于原KgNB和服务小区的ARFCN和PCI生成密钥，则所述RRC恢复请求消息中还携带所述服务小区的ARFCN和PCI，以使得服务基站将所述ARFCN和PCI发送给锚基站；或者，
服务基站基于所述终端传输消息使用的无线资源计算密钥的ARFCN和PCI，以使得服务基站将所述ARFCN和PCI发送给锚基站；
其中，所述服务基站将所述ARFCN和PCI发送给锚基站时，还将所述终端的C-RNTI发送给所述锚基站。
本领域技术人员应当理解，图10所示的获取密钥的装置中的各单元的实现功能可参照前述获取密钥的方法的相关描述而理解。图10所示的获取密钥的装置中的各单元的功能可通过运行于处理器上的程序而实现，也可通过具体的逻辑电路而实现。
本发明实施例上述获取密钥的装置如果以软件功能模块的形式实现并作为独立的产品销售或使用时，也可以存储在一个计算机可读取存储介质中。基于这样的理解，本发明实施例的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计 算机设备(可以是个人计算机、服务器、或者网络设备等)执行本发明各个实施例所述方法的全部或部分。而前述的存储介质包括：U盘、移动硬盘、只读存储器(ROM，Read Only Memory)、磁碟或者光盘等各种可以存储程序代码的介质。这样，本发明实施例不限制于任何特定的硬件和软件结合。
相应地，本发明实施例还提供一种计算机存储介质，其中存储有计算机可执行指令，该计算机可执行指令被处理器执行时实现本发明实施例的上述获取密钥的方法。
图11为本发明实施例的计算机设备的结构组成示意图，该计算机设备可以是终端，也可以是网络设备。如图11所示，计算机设备100可以包括一个或多个(图中仅示出一个)处理器1002(处理器1002可以包括但不限于微处理器(MCU，Micro Controller Unit)或可编程逻辑器件(FPGA，Field Programmable Gate Array)等的处理装置)、用于存储数据的存储器1004、以及用于通信功能的传输装置1006。本领域普通技术人员可以理解，图11所示的结构仅为示意，其并不对上述电子装置的结构造成限定。例如，计算机设备100还可包括比图11中所示更多或者更少的组件，或者具有与图11所示不同的配置。
存储器1004可用于存储应用软件的软件程序以及模块，如本发明实施例中的方法对应的程序指令/模块，处理器1002通过运行存储在存储器1004内的软件程序以及模块，从而执行各种功能应用以及数据处理，即实现上述的方法。存储器1004可包括高速随机存储器，还可包括非易失性存储器，如一个或者多个磁性存储装置、闪存、或者其他非易失性固态存储器。在一些实例中，存储器1004可进一步包括相对于处理器1002远程设置的存储器，这些远程存储器可以通过网络连接至计算机设备100。上述网络的实例包括但不限于互联网、企业内部网、局域网、移动通信网及其组合。
传输装置1006用于经由一个网络接收或者发送数据。上述的网络具体实例可包括计算机设备100的通信供应商提供的无线网络。在一个实例中，传输装置1006包括一个网络适配器(NIC，Network Interface Controller)，其可通过基站与其他网络设备相连从而可与互联网进行通讯。在一个实例中，传输装置1006可以为射频(RF，Radio Frequency)模块，其用于通过无线方式与互联网进行通讯。
本发明实施例所记载的技术方案之间，在不冲突的情况下，可以任意组合。
在本发明所提供的几个实施例中，应该理解到，所揭露的方法和智能设备，可以通过其它的方式实现。以上所描述的设备实施例仅仅是示意性的，例如，所述单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，如：多个单元或组件可以结合，或可以集成到另一个系统，或一些特征可以忽略，或不执行。另外，所显示或讨论的各组成部分相互之间的耦合、或直接耦合、或通信连接可以是通过一些接口，设备或单元的间接耦合或通信连接，可以是电性的、机械的或其它形式的。
上述作为分离部件说明的单元可以是、或也可以不是物理上分开的，作为单元显示的部件可以是、或也可以不是物理单元，即可以位于一个地方，也可以分布到多个网络单元上；可以根据实际的需要选择其中的部分或全部单元来实现本实施例方案的目的。
另外，在本发明各实施例中的各功能单元可以全部集成在一个第二处理单元中，也可以是各单元分别单独作为一个单元，也可以两个或两个以上单元集成在一个单元中；上述集成的单元既可以采用硬件的形式实现，也可以采用硬件加软件功能单元的形式实现。
以上所述，仅为本发明的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本发明的保护范围之内。

Claims (35)

  1. 一种获取密钥的方法，所述方法包括：
    第一基站从核心网网元获取第一安全信息，所述第一安全信息包括第一NCC和第一NH，所述第一安全信息用于RRC恢复过程；
    所述第一基站将所述第一NCC配置给终端，以使所述终端基于所述第一NCC对所述RRC恢复过程进行加密和完整性保护。
  2. 根据权利要求1所述的方法，其中，所述第一基站将所述第一NCC配置给终端，包括：
    所述第一基站通过RRC消息或者MAC CE将所述第一NCC配置给终端。
  3. 根据权利要求1或2所述的方法，其中，所述第一基站从核心网网元获取第一安全信息，包括：
    所述第一基站向所述核心网网元请求并获取所述第一安全信息。
  4. 根据权利要求1或2所述的方法，其中，所述第一基站从核心网网元获取第一安全信息，包括：
    所述第一基站接收所述核心网网元配置的所述第一安全信息。
  5. 一种获取密钥的方法，所述方法包括：
    第二基站从核心网网元获取第二安全信息和第三安全信息，所述第二安全信息包括第二NCC和第二NH，所述第三安全信息包括第三NCC和第三NH，所述第二安全信息用于切换过程，所述第三安全信息用于RRC恢复过程；
    所述第二基站将所述第三NCC配置给终端，以使所述终端基于所述第三NCC对所述RRC恢复过程进行加密和完整性保护。
  6. 根据权利要求5所述的方法，其中，在接入网发生切换的情况下，所述第二基站从核心网网元获取第二安全信息和第三安全信息，包括：
    所述第二基站向所述核心网网元发送路径切换请求消息；
    所述第二基站接收所述核心网网元发送的路径切换请求确认消息，从所述路径切换请求确认消息中获取所述第二安全信息和第三安全信息。
  7. 根据权利要求6所述的方法，其中，所述第二基站将所述第三NCC配置给终端，包括：
    所述第二基站向所述终端发送RRC消息或者MAC CE，所述RRC消息或者MAC CE中携带所述第三NCC。
  8. 根据权利要求6或7所述的方法，其中，所述第二安全信息用于切换过程，包括：
    所述第二安全信息用于下一次切换过程。
  9. 根据权利要求5所述的方法，其中，在核心网发生切换的情况下，所述第二基站从核心网网元获取第二安全信息和第三安全信息，包括：
    所述第一基站向所述核心网网元发送切换请求消息后，所述第二基站接收所述核心网网元发送的切换请求消息；
    所述第二基站从所述核心网网元发送的切换请求消息中获取所述第二安全信息和第三安全信息。
  10. 根据权利要求9所述的方法，其中，所述第二基站将所述第三NCC配置给终端，包括：
    所述第二基站向所述核心网网元发送切换请求确认消息，所述切换请求确认消息 中携带所述第三NCC，以使所述核心网网网元向第一基站发送切换命令，所述切换命令中携带所述第三NCC，从而所述第一基站向所述终端发送RRC连接重配置消息，所述RRC连接重配置消息中携带所述第三NCC。
  11. 根据权利要求9或10所述的方法，其中，所述第二安全信息用于切换过程，包括：
    所述第二安全信息用于本次切换过程。
  12. 一种获取密钥的方法，所述方法包括：
    网络设备接收终端发送的RRC恢复请求消息，所述RRC恢复请求消息中携带第一指示信息，所述第一指示信息用于指示RRC恢复过程的目的是RRC连接恢复还是RRC连接重建；
    如果所述第一指示信息指示所述RRC恢复过程的目的是RRC连接恢复，则所述网络设备使用NCC对应的密钥对所述RRC恢复过程进行完整性保护验证；
    如果所述第一指示信息指示所述RRC恢复过程的目的是RRC连接重建，则所述网络设备使用基于KgNB生成的密钥对所述RRC恢复过程进行完整性保护验证。
  13. 根据权利要求12所述的方法，其中，所述第一指示信息包括RRC恢复原因参数；
    如果所述RRC恢复原因参数为第一原因参数，则所述第一指示信息指示所述RRC恢复过程的目的是RRC连接恢复；
    如果所述RRC恢复原因参数为第二原因参数，则所述第一指示信息指示所述RRC恢复过程的目的是RRC连接重建。
  14. 根据权利要求12所述的方法，其中，所述第一指示信息包括所述终端的标识信息；
    如果所述终端的标识信息为第一标识信息，则所述第一指示信息指示所述RRC恢复过程的目的是RRC连接恢复；
    如果所述终端的标识信息为第二标识信息，则所述第一指示信息指示所述RRC恢复过程的目的是RRC连接重建。
  15. 根据权利要求14所述的方法，其中，所述第一标识信息为I-RNTI，所述第二标识信息为PCI和/或C-RNTI。
  16. 根据权利要求12至15任一项所述的方法，其中，所述基于KgNB生成的密钥，包括：
    基于原KgNB和原小区的ARFCN和PCI，生成的密钥；或者，
    基于原KgNB和服务小区的ARFCN和PCI，生成的密钥。
  17. 根据权利要求16所述的方法，其中，
    如果基于原KgNB和服务小区的ARFCN和PCI生成密钥，则所述RRC恢复请求消息中还携带所述服务小区的ARFCN和PCI，以使得服务基站将所述ARFCN和PCI发送给锚基站；或者，
    服务基站基于所述终端传输消息使用的无线资源计算密钥的ARFCN和PCI，以使得服务基站将所述ARFCN和PCI发送给锚基站；
    其中，所述服务基站将所述ARFCN和PCI发送给锚基站时，还将所述终端的C-RNTI发送给所述锚基站。
  18. 一种获取密钥的装置，所述装置包括：
    获取单元，用于从核心网网元获取第一安全信息，所述第一安全信息包括第一NCC和第一NH，所述第一安全信息用于RRC恢复过程；
    配置单元，用于将所述第一NCC配置给终端，以使所述终端基于所述第一NCC 对所述RRC恢复过程进行加密和完整性保护。
  19. 根据权利要求18所述的装置，其中，所述配置单元，用于通过RRC消息或者MAC CE将所述第一NCC配置给终端。
  20. 根据权利要求18或19所述的装置，其中，所述获取单元，用于向所述核心网网元请求并获取所述第一安全信息。
  21. 根据权利要求18或19所述的装置，其中，所述获取单元，用于接收所述核心网网元配置的所述第一安全信息。
  22. 一种获取密钥的装置，所述装置包括：
    获取单元，用于从核心网网元获取第二安全信息和第三安全信息，所述第二安全信息包括第二NCC和第二NH，所述第三安全信息包括第三NCC和第三NH，所述第二安全信息用于切换过程，所述第三安全信息用于RRC恢复过程；
    配置单元，用于将所述第三NCC配置给终端，以使所述终端基于所述第三NCC对所述RRC恢复过程进行加密和完整性保护。
  23. 根据权利要求22所述的装置，其中，在接入网发生切换的情况下，所述获取单元，包括：
    第一发送子单元，用于向所述核心网网元发送路径切换请求消息；
    第一接收子单元，用于接收所述核心网网元发送的路径切换请求确认消息，从所述路径切换请求确认消息中获取所述第二安全信息和第三安全信息。
  24. 根据权利要求23所述的装置，其中，所述配置单元包括：
    第二发送子单元，用于向所述终端发送RRC消息或者MAC CE，所述RRC消息或者MAC CE中携带所述第三NCC。
  25. 根据权利要求23或24所述的装置，其中，所述第二安全信息用于切换过程，包括：
    所述第二安全信息用于下一次切换过程。
  26. 根据权利要求22所述的装置，其中，在核心网发生切换的情况下，所述获取单元包括：
    第二接收子单元，用于接收所述核心网网元发送的切换请求消息；从所述核心网网元发送的切换请求消息中获取所述第二安全信息和第三安全信息。
  27. 根据权利要求26所述的装置，其中，所述配置单元包括：
    第三发送子单元，用于向所述核心网网元发送切换请求确认消息，所述切换请求确认消息中携带所述第三NCC，以使所述核心网网网元向第一基站发送切换命令，所述切换命令中携带所述第三NCC，从而所述第一基站向所述终端发送RRC连接重配置消息，所述RRC连接重配置消息中携带所述第三NCC。
  28. 根据权利要求26或27所述的装置，其中，所述第二安全信息用于切换过程，包括：
    所述第二安全信息用于本次切换过程。
  29. 一种获取密钥的装置，所述装置包括：
    接收单元，用于接收终端发送的RRC恢复请求消息，所述RRC恢复请求消息中携带第一指示信息，所述第一指示信息用于指示RRC恢复过程的目的是RRC连接恢复还是RRC连接重建；
    第一安全处理单元，用于如果所述第一指示信息指示所述RRC恢复过程的目的是RRC连接恢复，则使用NCC对应的密钥对所述RRC恢复过程进行完整性保护验证；
    第二安全处理单元，用于如果所述第一指示信息指示所述RRC恢复过程的目的 是RRC连接重建，则使用基于KgNB生成的密钥对所述RRC恢复过程进行完整性保护验证。
  30. 根据权利要求29所述的装置，其中，所述第一指示信息包括RRC恢复原因参数；
    如果所述RRC恢复原因参数为第一原因参数，则所述第一指示信息指示所述RRC恢复过程的目的是RRC连接恢复；
    如果所述RRC恢复原因参数为第二原因参数，则所述第一指示信息指示所述RRC恢复过程的目的是RRC连接重建。
  31. 根据权利要求29所述的装置，其中，所述第一指示信息包括所述终端的标识信息；
    如果所述终端的标识信息为第一标识信息，则所述第一指示信息指示所述RRC恢复过程的目的是RRC连接恢复；
    如果所述终端的标识信息为第二标识信息，则所述第一指示信息指示所述RRC恢复过程的目的是RRC连接重建
  32. 根据权利要求31所述的装置，其中，所述第一标识信息为I-RNTI，所述第二标识信息为PCI和/或C-RNTI。
  33. 根据权利要求29至32任一项所述的装置，其中，所述基于KgNB生成的密钥，包括：
    基于原KgNB和原小区的ARFCN和PCI，生成的密钥；或者，
    基于原KgNB和服务小区的ARFCN和PCI，生成的密钥。
  34. 根据权利要求33所述的装置，其中，
    如果基于原KgNB和服务小区的ARFCN和PCI生成密钥，则所述RRC恢复请求消息中还携带所述服务小区的ARFCN和PCI，以使得服务基站将所述ARFCN和PCI发送给锚基站；或者，
    服务基站基于所述终端传输消息使用的无线资源计算密钥的ARFCN和PCI，以使得服务基站将所述ARFCN和PCI发送给锚基站；
    其中，所述服务基站将所述ARFCN和PCI发送给锚基站时，还将所述终端的C-RNTI发送给所述锚基站。
  35. 一种计算机存储介质，其上存储有计算机可执行指令，该计算机可执行指令被处理器执行时实现权利要求1至4任一项所述的方法步骤，或者权利要求5至11任一项所述的方法步骤，或者权利要求12至17任一项所述的方法步骤。
PCT/CN2018/079464 2018-03-19 2018-03-19 一种获取密钥的方法及装置、计算机存储介质 WO2019178722A1 (zh)

Priority Applications (2)

Application Number Priority Date Filing Date Title
CN201880002979.2A CN109644338B (zh) 2018-03-19 2018-03-19 一种获取密钥的方法及装置、计算机存储介质
PCT/CN2018/079464 WO2019178722A1 (zh) 2018-03-19 2018-03-19 一种获取密钥的方法及装置、计算机存储介质

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/CN2018/079464 WO2019178722A1 (zh) 2018-03-19 2018-03-19 一种获取密钥的方法及装置、计算机存储介质

Publications (1)

Publication Number Publication Date
WO2019178722A1 true WO2019178722A1 (zh) 2019-09-26

Family

ID=66060245

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2018/079464 WO2019178722A1 (zh) 2018-03-19 2018-03-19 一种获取密钥的方法及装置、计算机存储介质

Country Status (2)

Country Link
CN (1) CN109644338B (zh)
WO (1) WO2019178722A1 (zh)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN114765502A (zh) * 2021-01-15 2022-07-19 大唐移动通信设备有限公司 消息处理方法、装置、终端及网络侧设备

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101945384A (zh) * 2009-07-09 2011-01-12 中兴通讯股份有限公司 Rrc连接重建立时的安全密钥处理方法、装置及系统
CN102065424A (zh) * 2011-01-11 2011-05-18 大唐移动通信设备有限公司 一种安全隔离的方法和设备
WO2017123048A1 (en) * 2016-01-14 2017-07-20 Lg Electronics Inc. Method for connecting with network at ue in wireless communication system and apparatus therefor

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101945384A (zh) * 2009-07-09 2011-01-12 中兴通讯股份有限公司 Rrc连接重建立时的安全密钥处理方法、装置及系统
CN102065424A (zh) * 2011-01-11 2011-05-18 大唐移动通信设备有限公司 一种安全隔离的方法和设备
WO2017123048A1 (en) * 2016-01-14 2017-07-20 Lg Electronics Inc. Method for connecting with network at ue in wireless communication system and apparatus therefor

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
CATT: "RRC Connection Re-establishment and Resume Procedures in NR", 3GPP TSG-RAN WG2 #99BIS, R2-1710279, 29 September 2017 (2017-09-29), XP051354829 *

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN114765502A (zh) * 2021-01-15 2022-07-19 大唐移动通信设备有限公司 消息处理方法、装置、终端及网络侧设备

Also Published As

Publication number Publication date
CN109644338A (zh) 2019-04-16
CN109644338B (zh) 2021-01-19

Similar Documents

Publication Publication Date Title
US11700571B2 (en) Method and apparatus for recovering RRC connection, and computer storage medium
US11582828B2 (en) Method and device for controlling RRC state, and computer storage medium
KR20190132383A (ko) 무선 액세스 네트워크 업데이트 절차에 참여하는 사용자 장비 및 기지국
EP3799461B1 (en) Network validity verification method and device and computer storage medium
WO2019233444A1 (zh) 一种提高ue标识安全性的方法及装置、计算机存储介质
WO2019178722A1 (zh) 一种获取密钥的方法及装置、计算机存储介质
WO2019223774A1 (zh) 一种提高寻呼可靠性的方法及装置、计算机存储介质
US11882450B2 (en) Method and device for determining security algorithm, and computer storage medium
US20220053326A1 (en) Communication method and apparatus
WO2019161548A1 (zh) 控制上报安全校验失败的方法及装置、计算机存储介质
WO2019140983A1 (zh) 一种信息指示方法及装置、计算机存储介质
WO2019109312A1 (zh) 一种终端上下文的获取方法及装置、计算机存储介质
WO2019153174A1 (zh) 一种参数配置方法及装置、计算机存储介质

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 18911164

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 18911164

Country of ref document: EP

Kind code of ref document: A1