WO2021155540A1 - 一种密钥管理方法、通信装置 - Google Patents

一种密钥管理方法、通信装置 Download PDF

Info

Publication number
WO2021155540A1
WO2021155540A1 PCT/CN2020/074439 CN2020074439W WO2021155540A1 WO 2021155540 A1 WO2021155540 A1 WO 2021155540A1 CN 2020074439 W CN2020074439 W CN 2020074439W WO 2021155540 A1 WO2021155540 A1 WO 2021155540A1
Authority
WO
WIPO (PCT)
Prior art keywords
terminal device
ran
key parameter
identifier
destination terminal
Prior art date
Application number
PCT/CN2020/074439
Other languages
English (en)
French (fr)
Inventor
罗海燕
曾清海
戴明增
Original Assignee
华为技术有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 华为技术有限公司 filed Critical 华为技术有限公司
Priority to CN202080091576.7A priority Critical patent/CN114930887A/zh
Priority to PCT/CN2020/074439 priority patent/WO2021155540A1/zh
Publication of WO2021155540A1 publication Critical patent/WO2021155540A1/zh
Priority to US17/882,038 priority patent/US20220377541A1/en

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
    • H04W12/041—Key generation or derivation
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0272—Virtual private networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/03—Protecting confidentiality, e.g. by encryption
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
    • H04W12/043—Key management, e.g. using generic bootstrapping architecture [GBA] using a trusted network node as an anchor
    • H04W12/0433—Key management protocols
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/60—Context-dependent security
    • H04W12/63—Location-dependent; Proximity-dependent

Definitions

  • This application relates to the field of mobile communication technology, and in particular to a key management method and communication device.
  • all terminal devices of the same terminal device group generate a session group key (Session Group Key) according to the same key parameter provided by the core network, and then use the Session Group Key to encrypt end-to-end data of the terminal device.
  • Session Group Key Session Group Key
  • One problem caused by this is that once the key parameter of any terminal device in the terminal device group is cracked, the key parameters of all terminal devices in the terminal device group will be cracked, which poses a serious threat to data security.
  • the prior art has the problem of low data security when communication is locally forwarded between terminal devices through the RAN.
  • the present application provides a key management method and communication device, which are used to solve the problem of low data security when communication between terminal devices is locally forwarded through the RAN.
  • an embodiment of the present application provides a key management method, including: a first RAN device receives a key parameter sent by a first terminal device and an identifier of a destination terminal device, wherein the key parameter is used for the first terminal device.
  • a terminal device and the destination terminal device encrypt and/or decrypt transmission data when communicating with each other; the first RAN device sends the key parameter and the identification of the first terminal device to the destination terminal device.
  • the first RAN device receives the key parameter and the identification of the target terminal device from the first terminal device, and then forwards the key parameter to the target terminal device, so that both the first terminal device and the target terminal device are based on the
  • the key parameter encrypts/decrypts data to ensure the reliability of communication.
  • the key parameter is provided by the first terminal device, it is different from the prior art that all terminal devices use the same key parameter pair data configured by the core network. Encryption and decryption can prevent the key parameters of any terminal device in the terminal device group from being cracked, causing the key parameters of all terminal devices in the terminal device group to be cracked, thereby improving data security.
  • the destination terminal device is located within the coverage area of the first RAN device.
  • the first RAN device may directly forward the key parameter sent by the first terminal device to the destination terminal device.
  • both the destination terminal device and the first terminal device can encrypt/decrypt data based on the key parameter, so as to ensure the reliability of communication.
  • the destination terminal device is located within the coverage area of the second RAN device.
  • the first RAN device may send the key parameter and the identification of the first terminal device to the destination terminal device through the second RAN device.
  • both the destination terminal device and the first terminal device can encrypt/decrypt data based on the key parameter, so as to ensure the reliability of communication.
  • the first terminal device and the first RAN device communicate through a first protocol stack
  • the destination terminal device and the first RAN device communicate through the first protocol stack
  • the first terminal device and the destination terminal device have an end-to-end second protocol stack; wherein, the first protocol stack includes a physical PHY layer, a medium access control MAC layer, and a radio link control RLC layer;
  • the second protocol stack includes a packet data convergence protocol PDCP layer, a service data adaptation protocol SDAP layer, an RLC layer, and a MAC layer.
  • a terminal device and a destination terminal device can communicate with the first RAN device through a second protocol stack, and the first terminal device and the destination terminal device can communicate based on the second protocol stack to implement RAN local forwarding.
  • both the first terminal device and the destination terminal device use the key parameters provided by the communication initiator or the communication receiver to encrypt/decrypt data, thereby ensuring the reliability of communication.
  • the destination terminal device may be a single device, such as a second terminal device, and the identifier of the destination terminal is the first identifier of the second terminal device.
  • the first RAN device Before the first RAN device sends the key parameter and the identity of the first terminal device to the destination terminal device, the first RAN device also determines the identity of the second terminal device according to the first identity of the second terminal device.
  • an embodiment of the present application provides a communication device.
  • the device may be the first terminal device in the above-mentioned second aspect or the device in the first terminal device. Module of the method described in any possible implementation manner. E.g:
  • an embodiment of the present application provides a chip, which is coupled with a memory, and is used to read and execute program instructions stored in the memory to implement the above-mentioned first aspect, second aspect, and third aspect. Aspect or any one of the possible implementations of the fourth aspect.
  • Figure 2 is a flow chart of the core network providing key parameters for the terminal device 1;
  • Figure 7 is a flow chart of UE1 transmitting count1 to UE2 through the control plane when UE1 and UE2 are on the same site;
  • Figure 8 is a flow chart of UE1 transmitting count1 to UE2 through the user plane when UE1 and UE2 are co-sited;
  • FIG. 10 is a schematic structural diagram of a communication device 1100 according to an embodiment of this application.
  • FIG. 12 is a schematic structural diagram of a communication device 1300 according to an embodiment of this application.
  • FIG. 14 is a schematic structural diagram of a communication device 1500 provided by an embodiment of this application.
  • Figure 1 is a schematic diagram of the network architecture of the current new radio (NR) system.
  • the NR system includes the next generation node B (next generation node B) on the radio access network (RAN) side.
  • GNB next generation node B
  • core network core network
  • CN core network
  • AMF access and mobility management function
  • SMF session management function
  • UPF user plane function
  • DN data network
  • the communication path between the terminal device 1 and the terminal device 2 may also not pass through DN, UPF, etc., such as the path indicated by the solid line in Figure 1.
  • the data of the terminal device 1 only needs to pass through the physical (physical The PHY layer, the media access control (MAC) layer, and the radio link control (RLC) layer can then be forwarded to the terminal device 2.
  • RAN local forwarding RAN local switch
  • RLC-based local forwarding RLC-based local forwarding
  • the RAN here may be a base station, that is, the terminal equipment 1 and the terminal equipment 2 belong to the same base station; the RAN here may also be multiple base stations, that is, the terminal equipment 1 and the terminal equipment 2 belong to different base stations.
  • the data transmission path is terminal device 1 -> base station 1 -> base station 2 -> terminal device 2.
  • terminal device 1 and terminal device 2 When terminal device 1 and terminal device 2 perform data transmission through RAN local forwarding, the user plane encryption of data is mainly done at the end-to-end packet data convergence protocol (PDCP) layer of terminal device 1 and terminal device 2.
  • PDCP packet data convergence protocol
  • gNB does not participate in user plane data encryption.
  • terminal device 1 and terminal device 2 belong to the same terminal device group, and each terminal device in the terminal device group generates a common basic key according to the key parameters provided by the core network: Session Group Key (Session Group Key) , And use the generated Session Group Key to encrypt the data.
  • Session Group Key Session Group Key
  • the terminal device 1 initiates an application for establishing a PDU session to the core network.
  • the application carries instruction information to instruct the RAN to forward locally, or instructs the core network to configure the terminal device 1 with a key parameter for local forwarding.
  • the key parameter is, for example, a count value. (count).
  • the core network After the core network receives the PDU session request sent by the terminal device 1, it configures count (the count of all terminal devices in the terminal device group is the same), and generates intermediate information for the terminal device 1 according to the base station encryption parameters K AMF or K gNB of other members.
  • the key parameter Derpara The key parameter Derpara.
  • the core network may generate a corresponding Ktemp for each terminal device according to the K AMF or K gNB and count of each terminal device. Since the K AMF or K gNB of each terminal device may be different, the Ktemp of each terminal device It can be different; then the core network will XOR the Ktemp values of all terminal devices except terminal device 1 to generate Derpara, or the core network will directly calculate the K AMF or K of all terminal devices except terminal device 1. The gNB value is XOR calculated to generate Derpara.
  • the core network notifies the terminal device of the encryption algorithm selected according to the encryption algorithm supported by all terminal devices in the terminal device group.
  • FIG. 3 shows a schematic diagram of the terminal device 1 generating a Session Group Key.
  • Terminal device 1 uses its own key K AMF 1 or K gNB 1, based on the base station encryption parameters of other terminal devices in the terminal device group (K AMF 2 or K gNB 2, K AMF 3 or K gNB 3 are taken as examples in Figure 2 )
  • K AMF 2 or K gNB 2, K AMF 3 or K gNB 3 are taken as examples in Figure 2
  • the generated intermediate key parameter (Derpara) and the count provided by the core network are XORed to obtain the Session Group Key.
  • the Session Group Key generated by all terminal devices in the terminal device group is the same, and only when the terminal device group has a new member It is possible to update the Derpara and count of all terminal devices when joining or leaving (that is, to update the Session Group Key. This leads to a problem: once the key parameter count on any terminal device in the terminal device group is cracked, the terminal device The key parameter count of all terminal devices in the group will be cracked, posing a serious threat to data security.
  • the embodiments of the present application provide a key management method: the core network can provide different key parameters (such as count) to different terminal devices in the terminal device group, and/or the terminal device according to its own mobility Update the key parameters of the terminal device.
  • any terminal device pair in the terminal device group (for ease of description, the two communicating terminal devices are referred to as a "terminal device pair") need to communicate, one terminal device in the terminal device pair (such as the communication initiator or the communication The receiver) provides its own key parameter to another terminal device, so that the two terminal devices in the terminal device pair use the same key parameter to generate a session key, and then use the same session key to encrypt and decrypt data,
  • the session keys used by different terminal device pairs can be different, which can prevent the key parameters of any terminal device in the terminal device group from being cracked This leads to the problem that the key parameters of all terminal devices in the terminal device group are cracked, thereby improving data security.
  • the key parameters are all based on count. That is, unless otherwise specified, the key parameters in this article refer to count. That is, the "key parameter" and “count” in this article can be replaced with each other.
  • the name count of the key parameter in this article is only an example.
  • the name of the key parameter can also be replaced with other names.
  • GSM global system of mobile communication
  • CDMA code division multiple access
  • WCDMA broadband code division multiple access
  • GPRS general packet radio service
  • LTE long term evolution
  • LTE frequency division duplex FDD
  • TDD LTE Time division duplex
  • UMTS universal mobile telecommunication system
  • WiMAX worldwide interoperability for microwave access
  • FIG. 4A is a schematic diagram of a network architecture to which an embodiment of the application is applicable.
  • the communication system includes: a RAN device 1, a terminal device 1, and a terminal device 2.
  • the terminal device 1 and the terminal device 2 belong to the same terminal device group, and the terminal device 1 and the terminal device 2 are both within the coverage of the RAN device 1 (in other words, the terminal device 1 and the terminal device 2 are both connected to the RAN device 1).
  • the RAN device 1 can forward the data from the terminal device 1 to the terminal device 2, and can also forward the data from the terminal device 2 to the terminal device 1.
  • FIG. 4A is only an example of a communication system and is not a limitation. In actual deployment, there may be more RAN devices and terminal devices in the communication system.
  • FIG. 4B is a schematic diagram of another network architecture to which the embodiments of this application are applicable.
  • the communication system includes: RAN equipment 1, RAN equipment 2, terminal equipment 1, and terminal equipment 2.
  • terminal equipment 1 and terminal equipment 2 belong to the same terminal equipment group, terminal equipment 1 is within the coverage of RAN equipment 1 (or terminal equipment 1 is connected to RAN equipment 1), and terminal equipment 2 is within the coverage of RAN equipment 2 ( In other words, the terminal device 2 is connected to the RAN device 2).
  • the RAN device 1 and the RAN device 2 can communicate with each other.
  • the RAN device 1 may forward the data from the terminal device 1 to the RAN device 2, and then the RAN device 2 forwards the data to the terminal device 2.
  • the RAN device 2 can forward the data from the terminal device 2 to the RAN device 1, and then the RAN device 1 forwards the data to the terminal device 1.
  • FIG. 4B is only an example of a communication system and is not a limitation. In actual deployment, there may be more RAN devices and terminal devices in the communication system.
  • the RAN device 1 and the RAN device 2 may also have a RAN device 3, and the communication between the RAN device 1 and the RAN device 2 is forwarded through the RAN device 3.
  • the aforementioned communication system may also include core network equipment.
  • the terminal equipment may include user equipment (UE), V2X terminal equipment, wireless terminal equipment, mobile terminal equipment, device-to-device communication (device-to-device, D2D) terminal equipment, machine-to-machine/machine-type communication ( machine-to-machine/machine-type communications, M2M/MTC) terminal equipment, Internet of things (IoT) terminal equipment, subscriber unit (subscriber unit), subscriber station (subscriber station), mobile station (mobile station) , Remote station (remote station), access point (access point, AP), remote terminal (remote terminal), access terminal (access terminal), user terminal (user terminal), user agent (user agent), or user equipment (user device) and so on.
  • IoT Internet of things
  • the terminal device may also be a wearable device.
  • Wearable devices can also be called wearable smart devices or smart wearable devices, etc. It is a general term for using wearable technology to intelligently design daily wear and develop wearable devices, such as glasses, gloves, watches, clothing and shoes Wait.
  • a wearable device is a portable device that is directly worn on the body or integrated into the user's clothes or accessories. Wearable devices are not only a kind of hardware device, but also realize powerful functions through software support, data interaction, and cloud interaction.
  • wearable smart devices include full-featured, large-sized, complete or partial functions that can be achieved without relying on smart phones, such as smart watches or smart glasses, and only focus on a certain type of application function, and need to cooperate with other devices such as smart phones.
  • Use such as all kinds of smart bracelets, smart helmets, smart jewelry, etc. for physical sign monitoring.
  • the various terminal devices described above if they are located on the vehicle (for example, placed in the vehicle or installed in the vehicle), can be regarded as vehicle-mounted terminal equipment, for example, the vehicle-mounted terminal equipment is also called on-board unit (OBU). ).
  • OBU on-board unit
  • the RAN device involved in the embodiment of the present application is a device that connects the terminal device to the wireless network in the communication system.
  • the RAN equipment is a node in the radio access network, which can also be called a base station or a radio access network device.
  • the RAN equipment may include the long term evolution (LTE) system or the evolved base station (NodeB or eNB or e-NodeB, evolved NodeB) in the long term evolution-advanced (LTE-A), or also It may include the next generation node B (gNB) or the next generation evolved base station (next generation evolved nodeB, ng-eNB) in the fifth generation mobile communication technology (the 5th generation, 5G) NR system, en- gNB (enhanced next generation node B, gNB): enhanced next generation base station;
  • LTE long term evolution
  • NodeB evolved base station
  • gNB next generation evolved base station
  • ng-eNB next generation evolved nodeB
  • 5G fifth generation mobile communication technology
  • en- gNB enhanced next generation base station
  • CU centralized unit
  • DU distributed unit
  • Cloud RAN cloud radio access network
  • the data network elements involved in the embodiments of this application can be the Internet, IP Multi-media Service (IMS) network, regional network (ie, local network, such as mobile edge computing (mobile edge computing)). computing, MEC) network) and so on.
  • IMS IP Multi-media Service
  • regional network ie, local network, such as mobile edge computing (mobile edge computing)). computing, MEC) network
  • the data network includes an application server, and the application server provides business services for the terminal device by performing data transmission with the terminal device.
  • the access and mobility management function network elements involved in the embodiments of this application can be used to manage the access control and mobility of the terminal device. In practical applications, they include long term evolution (long term evolution). , The mobility management function in the mobility management entity (MME) in the network framework in LTE), and the access management function is added, which can be specifically responsible for the registration of the terminal equipment, mobility management, tracking area update procedures, Reachability detection, session management function network element selection, mobile state transition management, etc.
  • MME mobility management entity
  • the access and mobility management function network element is an AMF (access and mobility management function) network element.
  • the core network access and mobility management function network element may still be AMF or have other names, which is not limited by this application.
  • the core network access and mobility management function network element is AMF, the AMF can provide Namf service.
  • the user plane function network elements involved in the embodiments of this application can be used for packet routing and forwarding, support uplink classifiers to route service flows to instances of data networks, and support branch points to support multi-homed packet data units (packet data unit, PDU) session, user plane quality of service (QoS) processing, downlink data packet buffering, and downlink data notification triggering, etc.
  • PDU packet data unit
  • QoS quality of service
  • the user plane function network element may be a UPF network element.
  • future communications such as 6G
  • the user plane function network element may still be a UPF network element or have other names. This application does not Make a limit.
  • the session management function network element involved in the embodiments of this application can be used to be responsible for the session management of the terminal device (including the establishment, modification and release of the session), the selection and reselection of the user plane function network element, and the Internet protocol (IP) address allocation, QoS control, etc. of terminal equipment.
  • the session management function network element is an SMF (session management function) network element.
  • the session management function network element may still be an SMF network element or have other names , This application is not limited.
  • the SMF can provide the Nsmf service.
  • system and “network” in the embodiments of this application can be used interchangeably.
  • plurality may be two, three or more, which is not limited in the embodiment of the present application.
  • the number of positive integers can be one or more.
  • Fig. 5 is a key management method provided by an embodiment of this application, which can be applied to the wireless communication system shown in Fig. 4A or Fig. 4B. Referring to Figure 5, the method includes:
  • the first terminal device determines the key parameter and the identification of the target terminal device.
  • the first terminal device sends the key parameter and the identifier of the target terminal device to the first RAN device, and the first RAN device receives the key parameter of the first terminal device and the identifier of the target terminal device.
  • the key parameter is used to encrypt and/or decrypt transmission data when the first terminal device and the destination terminal device communicate with each other.
  • the first terminal device may have multiple sets of key parameters at the same time, one of which is the key parameter provided by itself (used as the key parameter when it is the sender), and the others are other terminal devices.
  • the first terminal device Provided to the first terminal device (used as a key parameter for the receiver).
  • the first terminal device sends the key parameter provided by itself to the first RAN device.
  • the first terminal device is the communication initiator
  • the destination terminal device is the communication receiver. That is, when two terminal devices communicating with each other need to communicate, the communication initiator provides key parameters for both parties to perform data processing. Encryption/decryption.
  • the destination terminal device is the communication initiator
  • the first terminal device is the communication receiver, that is, when two terminal devices that communicate with each other need to communicate, the communication receiver provides key parameters for both parties to exchange data. Perform encryption/decryption.
  • the above two implementation manners can ensure that the first terminal device and the destination terminal device use a unified key parameter to encrypt/decrypt the transmitted data, thereby ensuring the reliability of communication.
  • the technical solution of the present application is mainly described by taking the first terminal device as the communication initiator as an example.
  • the key parameter may be the key itself, or the encrypted key. In this way, after the destination terminal device receives the key parameter, it can directly obtain the key to encrypt/decrypt data, thereby improving communication efficiency.
  • the key parameter may be a parameter required for the first terminal device and the target terminal device to generate the session key respectively.
  • the first terminal device and the target terminal device can be transmitted by transmitting the key parameter.
  • the keys generated by the device are unified, while avoiding the direct transmission of the keys, which can improve the security of the keys.
  • the first terminal device and the destination terminal device belong to the same terminal device group
  • the session key is specifically the Session Group Key
  • the key parameter is a count for the first terminal device and the destination terminal device to generate the Session Group Key respectively The value count.
  • the Session Group Key is only an example of the session key.
  • the session group key may also have other forms or names, which is not limited in the embodiment of the present application.
  • count is only an example of the key parameter, and during specific implementation, it may also have other forms or names, which is not limited in the embodiment of the present application.
  • the core network may assign initial key parameters (such as the initial value of count) to the first terminal device, and the core network assigns different initial secrets to different terminal devices in the terminal device group where the first terminal device is located. Key parameter.
  • the core network can also configure corresponding Derpara parameters for all terminal devices in the terminal device group.
  • the terminal equipment group includes UE1, UE2, UE3, UE4, count1 allocated by the core network to UE1, count1 allocated by the core network for UE2, count3 allocated by the core network for UE3, and count4 allocated by the core network for UE4.
  • the core network is respectively configured with Derpara1/Derpara2/Derpara3/Derpara4 for UE1/UE2/UE3/UE4, where Derpara1 is based on UE2’s K AMF 2 or K gNB 2, UE3’s K AMF 3 or K gNB 3, UE4’s K AMF 4 or K gNB 4 is generated, Derpara2 is generated based on UE1’s K AMF 1 or K gNB 1, UE3’s K AMF 3 or K gNB 3, UE4’s K AMF 4 or K gNB 4, and Derpara3 is based on UE1’s K AMF 1 or K gNB 1, UE2’s K AMF 2 or K gNB 2, UE4’s K AMF 4 or K gNB 4, Derpara4 is based on UE1’s K AMF 1 or K gNB 1, UE2’s K AMF 2 or K gNB 2, UE3 K AMF 3 or K gNB 3 generated.
  • UE1 During subsequent communication between UE1 and UE2 (destination terminal equipment), UE1 generates Session Group key1 according to its own K AMF 1 or K gNB 1, the key parameter (count1) provided by itself and the Derpara parameter provided by the core network.
  • UE2 generates Session Group key2 according to its own K AMF 2 or K gNB 2, the key parameter (count value 1) provided by UE1 and the Derpara2 parameter provided by the core network.
  • the key parameter (count value 1) provided by UE1 and the Derpara2 parameter provided by the core network.
  • UE3 produces Session Group key3 according to its own K AMF 3 or K gNB 3, key parameters (count3) provided by itself, and Derpara parameters provided by the core network.
  • UE4 generates Session Group key4 according to its own K AMF 4 or K gNB 4, the key parameter (count3) provided by UE3, and the Derpara4 parameter provided by the core network. According to the principle of key generation, it can be ensured that Session Group key3 and Session Group key4 are the same, thereby ensuring that the communication between UE3 and UE4 proceeds normally.
  • the foregoing method can make the Session Group Key used for communication between UE1 and UE2 different from the Session Group Key used for communication between UE3 and UE4. In this way, the effect of using different key communication for different terminal devices in the same terminal device group can be achieved, and data security can be improved.
  • the first terminal device may obtain the key parameter according to the initial key parameter distributed by the core network.
  • the first terminal device may update the key parameter according to its own mobility. For example, when the moving distance of the first terminal device exceeds the threshold (for example, 500 meters), the value of the count of the first terminal device is +1, or the base station/cell to which the first terminal device belongs is handed over, and the first terminal device The value of count is +1.
  • the threshold for example, 500 meters
  • the value of the count of the first terminal device is +1, or the base station/cell to which the first terminal device belongs is handed over, and the first terminal device The value of count is +1.
  • the first RAN is connecting the first terminal device to the key parameters.
  • the identification of the first terminal device can also be sent to the destination terminal. Device, so that the destination terminal device can recognize that the first key parameter corresponds to the first terminal device.
  • the first RAN device Before the first RAN device sends the first key parameter and the identity of the first terminal device to the destination terminal device, the first RAN device needs to determine the second identity of the second terminal device according to the first identity of the second terminal device, where
  • the second identifier includes a cell-radio network temporary identifier (C-RNTI).
  • C-RNTI cell-radio network temporary identifier
  • each terminal device accesses the base station, it can send its own first identity to the base station.
  • the base station and the terminal device respectively save the first identity and the first identity of the terminal device.
  • the mapping relationship between the two identities so that when the first RAN device determines the second identity of the second terminal device according to the first identity of the second terminal device, it can quickly determine the second identity of the second terminal device based on the mapping relationship.
  • the first RAN device when the destination terminal device is co-located with the first terminal device, the first RAN device can directly send the first key parameter and the identification of the first terminal device to the destination terminal device.
  • the first RAN device when the destination terminal device and the first terminal device cross-site, the first RAN device needs to send the first key parameter and the identification of the first terminal device to the destination terminal device via other RAN devices.
  • the first RAN device may send the identification of the target terminal device to the surrounding RAN devices (ie, the RAN device in the neighboring cell) and ask which RAN device the target terminal device is located in, assuming that the target terminal device is located Within the coverage area of the second RAN device, the second RAN device answers the inquiry of the first RAN device.
  • the first RAN device learns that the destination terminal device is located within the coverage area of the second RAN device
  • the first RAN device sends the first key parameter, the identification of the first terminal device, and the identification of the destination terminal device to the second RAN device.
  • the second RAN device then sends the first key parameter and the identification of the first terminal device to the destination terminal device.
  • the coverage area of the first RAN device and the coverage area of the second RAN device at least partially overlap.
  • the first RAN device and the second RAN device can periodically exchange the first identification of the terminal device it serves, then when the first RAN device receives the first identification of the terminal device, The second RAN device corresponding to the first identifier may be determined according to the content of the interaction between the previous devices.
  • the first RAN device also sends the first key parameter to the destination terminal device through more RAN devices.
  • the terminal device and the RAN device communicate through the first protocol stack, and the terminal device has an end-to-end second protocol stack.
  • the first terminal device and the first RAN device communicate through a first protocol stack, and the first terminal device and the target terminal device have an end-to-end second protocol stack. If the first terminal device and the destination terminal device share a site, the destination terminal device and the first RAN device also communicate through the first protocol stack. If the first terminal device and the target terminal device cross-site, for example, the target terminal device is located within the coverage of the second RAN device, the target terminal device and the second RAN device also communicate through the first protocol stack.
  • the first protocol stack includes at least a PHY layer, and may further include a MAC layer, an RLC layer, an adaptation layer, and so on.
  • the second protocol stack includes at least a PDCP layer, and may further include a service data adaptation protocol (SDAP) layer, an RLC layer, or a MAC layer.
  • SDAP service data adaptation protocol
  • RLC layer an RLC layer
  • MAC layer a MAC layer
  • the process of the first terminal device transmitting the first key parameter to the destination terminal device through the RAN device can be implemented through a control plane (CP) transmission scheme or a user plane (UP) transmission scheme. No restrictions.
  • CP control plane
  • UP user plane
  • Type 1 CP transmission scheme
  • the first terminal device first sends the first key parameter and the identifier of the target terminal device to the first RAN device through an uplink RRC message.
  • the uplink RRC message is only an example and not a limitation.
  • the first key parameter and the identification of the target terminal device may also be sent to the base station through other control plane transmission methods, for example, the first key parameter
  • the identifier of the destination terminal device and the destination terminal device are carried in a MAC control element (CE), PHY header, MAC header, or RLC header.
  • CE MAC control element
  • the first RAN device sends the first key parameter and the identity of the first terminal device to the destination terminal device through a downlink RRC message.
  • the first RAN device can first pass the interface message (for example, XnAP message) between the first RAN device and the second RAN device.
  • the key parameter, the identity of the first terminal device and the identity of the target terminal device are sent to the second RAN device, and then the second RAN device sends the key parameter and the identity of the first terminal device to the target terminal device through a downlink RRC message.
  • Type 2 UP transmission scheme
  • the first terminal device may send the first data to the first RAN device, and the first encapsulation header encapsulated outside the first data includes the key parameter and the identifier of the destination terminal device. That is, the first data includes payload data and the first encapsulation header.
  • the first RAN receives the first data, parses the first data to obtain the key parameter and the identification of the target terminal device. If the target terminal device and the first terminal device are on the same site, the first RAN device sends the second data to the target terminal device.
  • the second data includes payload data and the second encapsulation header. It should be understood that the first data and the second data here contain the same payload data. The difference is that the encapsulation headers outside the first data and the second data are different.
  • the first encapsulation header outside the first data contains the key parameter and the identification of the destination terminal device, while the second encapsulation header outside the second data contains the key. Parameters and the identification of the first terminal device.
  • both the above-mentioned control plane transmission scheme and user plane transmission scheme may be implemented, but in different transmission stages.
  • UE1 may first send the first identification and key parameters of the target UE to the base station through an uplink RRC message; and then the base station according to the purpose
  • the first identifier of the UE determines the second identifier (for example, C-RNTI) of the target UE, and sends a downlink RRC message (or other MAC CE, or PHY header, MAC header, or RLC header, etc.) according to the second identifier to transfer the first
  • the UE's first identification and key parameters are told to the target UE, and then the first UE can send a data packet to the target UE.
  • UE1 When UE1 sends a data packet to the target UE through the base station, UE1 can carry the key parameter in each data packet, or it can send one or more data packets to carry the updated key after the key parameter is updated.
  • the parameters are not limited in the embodiment of this application.
  • the data packet may include the first identifier of the target UE, may also include the network slice identifier (ID) and/or QFI of the target UE, and may also include the first identifier of the first UE .
  • ID network slice identifier
  • QFI network slice identifier
  • the content contained in the adaptation layer of the first terminal device, the adaptation layer of the RAN device, and the adaptation layer of the target terminal device may be different.
  • the first identification, slice ID, QFI, etc. of the destination terminal device are all included in the adaptation layer of the data packet.
  • the RAN device determines the C-RNTI according to the first identifier of the target terminal device, and then determines the DRB according to the slice ID and/or QFI.
  • the RAN device can send an RRC reconfiguration message to the target terminal device, which contains the mapping relationship between slice ID and DRB, or the mapping relationship between QFI and DRB, or the mapping relationship between slice ID, QFI and DRB, then here
  • the RAN device can then determine the C-RNTI or DRB according to the foregoing mapping relationship.
  • the RAN device may delete the identification of the destination terminal device in the data packet adaptation layer and retain the first identification of the first terminal device (if the data packet sent by the first terminal device does not contain its own first identification) ,
  • the RAN device can find the first identifier corresponding to the first terminal device according to the C-RNTI of the first terminal device during forwarding, and add the first identifier of the first terminal device in the adaptation layer), and may also adapt
  • the slice ID in the layer is deleted, and the QFI may be retained.
  • the slice ID is deleted because the RAN device will tell the destination terminal device in the RRC configuration message that which QFI of which slice corresponds to which DRB, so the destination terminal device may be able to determine which slice the data packet comes from.
  • the retention of QFI may mean that the base station configures a reflective QoS (reflective QoS) mechanism for the target terminal device at the beginning, that is, the target terminal device needs to determine which QFI corresponds to which DRB according to the QFI contained in the downlink data packet.
  • the subsequent destination terminal device can determine which DRB the uplink data packet belongs to according to the mapping relationship between the QFI and the DRB obtained in the downlink.
  • the PDCP layer also includes an application (APP) layer.
  • the APP layer is used to generate the payload that UE1 wants to send to UE2. data.
  • the protocol layer between UE1 and gNB is the adaptation/RLC/MAC/PHY layer
  • the protocol layer between UE2 and gNB is the adaptation/RLC/MAC/PHY layer.
  • UE1 may apply to the core network for a PDU session, and the PDU session is subsequently used for RAN local forwarding communication.
  • the application may include one or more of the UE group identifier, slice identifier, and RAN local forwarding identifier.
  • the core network recognizes that UE1 belongs to a certain UE group or a certain slice according to the local forwarding identifier of the RAN, and then XOR the K AMF or K gNB of other UEs in the UE group or applying for the slice service. Derpara, send Derpara, count1, security algorithm, etc. to UE1.
  • count1 here may be configured by the core network exclusively for UE1, and the value of count configured by the core network for other UEs may be different from count1.
  • UE2 applies to the core network to establish a PDU session application, and the core network does the same and similar operations.
  • the non-access layer of UE1 sends UE1’s K AMF 1 or K gNB 1, Derpara, count1, etc. to the AS layer of UE1. Or send the parameters and count values of K AMF 1 or K gNB 1 and Derpara to the AS layer after the exclusive OR, or send the Session Group Key directly to the AS layer after the Session Group Key is generated according to the method shown in FIG. 3.
  • the NAS layer of the UE1 can also provide the corresponding PDU session identifier to the AS layer, so that the UE1 knows which PDU session needs to use the key or key parameter provided by the NAS layer.
  • the RRC reconfiguration message can include DRB and the SDAP-Config corresponding to the DRB, and SDAP-Config can include the PDU session identifier, so that UE1 can learn the DRB corresponding to the DRB according to the RRC reconfiguration message.
  • PDU session identifier When UE1 conducts a subsequent PDU session, it compares the PDU session identifier of this session with the PDU session identifier provided by the previous NAS layer. If they are the same, the end-to-end key or key parameter provided by the NAS layer is used. Otherwise, the traditional Encryption mechanism (for example, encryption/decryption using key parameters agreed by UE1 and the base station). In addition, the UE1 can determine which DRB uses the end-to-end key or key parameter provided by the NAS layer according to the mapping relationship between the PDU session identifier and the DRB, and which DRB uses the traditional encryption mechanism.
  • This embodiment describes the process in which UE1 provides count1 to UE2 when UE1 and UE2 are on the same site.
  • Solution 1 Referring to Figure 7, UE1 transmits count1 to UE2 through the CP plane.
  • UE1 informs the gNB which target UE (such as UE2) it wants to communicate with through an uplink RRC message.
  • the specific method may be to send the target UE's identification (target ID) and the key parameter count1 of UE1 to the gNB.
  • the uplink RRC message can also carry slice ID, QoS flow identification QFI, etc., so that the gNB does not need to initiate additional procedures to obtain slice ID, QoS flow identification QFI and other information, which can help the gNB more quickly determine the subsequent user plane Which bearer of UE2 is the transmitted data forwarded to, which improves the data transmission efficiency.
  • the target ID may be the IP address, MAC address, etc. of UE2, and the target ID will be referred to herein as the first identifier used for RAN local forwarding. If UE1 wants to communicate with a group of UEs, the target ID may also be the UE group identifier.
  • the gNB determines the C-RNTI and DRB identifiers corresponding to the target UE according to the target UE identifier and the slice identifier. Optionally, the gNB may also need to identify the identity of the source UE.
  • all UEs may first report the first identifier to the gNB when accessing the gNB, and then the gNB may allocate a second identifier, such as C-RNTI, to each UE. Therefore, the gNB can acquire and save the mapping relationship between the first identifier and the second identifier of each UE.
  • the gNB receives the message sent by UE1, it can determine the first identity of UE1 according to the C-RNTI of UE1.
  • UE1 informs gNB that it wants to communicate with UE2 (the first identifier of UE2)
  • gNB can find the second identifier corresponding to UE2, and then send the data packet to UE2 with the second identifier through the air interface.
  • the UE accesses the gNB when the UE accesses the gNB, not only the first identifier is sent to the gNB, but also the UE group identifier where the UE is located can be sent to the gNB, or for operation, administration and maintenance (operation, administration and maintenance).
  • maintenance, OAM sends the UE group identifier and the first identifier of each member of the UE group to the gNB, or the AMF of the core network sends the UE group identifier and the first identifier of each member of the UE group to the gNB.
  • OAM operation, administration and maintenance
  • the gNB can send the data of the UE1 to all members in the UE group in a unicast or multicast manner.
  • the gNB After the gNB determines that the target UE that UE1 needs to communicate with is UE2, it also determines which data radio bearer DRB of UE2 sends the data packet from UE1. Specifically, the gNB can determine which DRB of UE2 is based on information such as the UE group ID, slice ID, or QFI. Optionally, when UE2 establishes DRB, the RRC reconfiguration message of gNB may indicate the mapping relationship between DRB and UE group ID, or the mapping relationship between DRB and slice, or the mapping relationship between DRB and QFI list, so that gNB can be based on this The mapping relationship directly determines the DRB of UE2.
  • the processing module 1101 is configured to determine a key parameter and an identifier of a destination terminal device, where the key parameter is used to encrypt and/or decrypt transmission data when the first terminal device and the destination terminal device communicate with each other;
  • the destination terminal device is located within the coverage area of the first RAN device.
  • the destination terminal device is located within the coverage area of the second RAN device.
  • the first terminal device and the first RAN device communicate through a first protocol stack
  • the destination terminal device and the first RAN device communicate through the first protocol stack
  • the first terminal device and the destination terminal device have an end-to-end second protocol stack; wherein, the first protocol stack includes a physical PHY layer, a medium access control MAC layer, and a radio link control RLC layer;
  • the second protocol stack includes a packet data convergence protocol PDCP layer, a service data adaptation protocol SDAP layer, an RLC layer, and a MAC layer.
  • the key parameter is a parameter required for the first terminal device and the target terminal device to respectively generate a session key.
  • the sending module 1102 is specifically configured to send the first data to the first radio access network RAN device, wherein the encapsulation header encapsulated outside the first data includes the key parameter and The identifier of the destination terminal device.
  • the identifier of the destination terminal device includes a first identifier of the second terminal device, and the first identifier includes a device identifier.
  • the identifier of the destination terminal device includes the group identifier of the terminal device group where the first terminal device is located.
  • the sending module 1202 is specifically configured to send third data to the destination terminal device, where the encapsulation header outside the third data includes the key parameter and the first data.
  • the apparatus 1200 further includes a processing module 1203, configured to determine the second terminal device according to the first identifier of the second terminal device before the sending module 1202 sends the key parameter and the identifier of the first terminal device 2.
  • the second identifier of the terminal device wherein the first identifier includes the device identifier, and the second identifier includes the cell radio network temporary identifier C-RNTI;
  • the identifier of the destination terminal device includes the group identifier of the terminal device group where the first terminal device is located; the sending module 1202 is specifically configured to: combine the key parameter with the group of the terminal device through a multicast channel.
  • the identifier of the first terminal device is sent to the terminal device group, where the multicast channel corresponds to the terminal device group.
  • the processor 1401 may be a general-purpose processor, a digital signal processor, an application specific integrated circuit, a field programmable gate array or other programmable logic device, a discrete gate or transistor logic device, a discrete hardware component, and can implement or execute the implementation of this application.
  • the general-purpose processor may be a microprocessor or any conventional processor or the like.
  • the steps of the method disclosed in combination with the embodiments of the present application may be directly embodied as being executed and completed by a hardware processor, or executed and completed by a combination of hardware and software modules in the processor.
  • connection medium between the communication interface 1403, the processor 1401, and the memory 1402 is not limited in the embodiment of the present application.
  • the communication interface 1403, the processor 1401, and the memory 1402 are connected by a bus 1404 in FIG. 14.
  • the bus is represented by a thick line in FIG. 14.
  • the connection mode between other components is only for schematic illustration , Is not limited.
  • the bus can be divided into an address bus, a data bus, a control bus, and so on. For ease of representation, only one thick line is used in FIG. 14, but it does not mean that there is only one bus or one type of bus.
  • the embodiments of the present application also provide a computer-readable storage medium, the computer-readable storage medium stores a computer program, the computer program includes program instructions, and when the program instructions are executed by a computer, The computer is caused to execute the method of the embodiment shown in FIG. 5, FIG. 7, FIG. 8 or FIG. 9.
  • an embodiment of the present application further provides a chip, which is coupled with a memory, and is used to read and execute the program instructions stored in the memory to realize The method of the embodiment shown in FIG. 9.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Mobile Radio Communication Systems (AREA)

Abstract

本申请公开了一种密钥管理方法、通信装置，其中方法包括：第一RAN设备接收第一终端设备发送的密钥参数和目的终端设备的标识，其中密钥参数用于第一终端设备和目的终端设备相互通信时对传输数据进行加密和/或解密；第一RAN设备向目的终端设备发送密钥参数和第一终端设备的标识。该方法可以在保证第一终端设备和目的终端设备通信可靠性的同时，避免终端设备组内任意终端设备的密钥参数被破解导致终端设备组内的所有终端设备的密钥参数都被破解的问题，因而可以提高终端设备之间通过RAN本地转发通信的安全性。

Description

一种密钥管理方法、通信装置 技术领域
本申请涉及移动通信技术领域，尤其涉及一种密钥管理方法、通信装置。
背景技术
目前，终端设备和终端设备之间的通信可以不经过核心网，而是通过无线接入网(radio access network，RAN)本地转发。在RAN本地转发场景下，终端设备对数据的用户面加密主要是终端设备端到端的分组数据汇聚协议(packet data convergence Protocol，PDCP)层完成，基站可以不参与用户面数据加密。
现有技术中，同一终端设备组的所有终端设备根据核心网提供的相同密钥参数生成会话组密钥(Session Group Key)，然后使用Session Group Key对终端设备端到端的数据进行加密。这样导致的一个问题是：一旦终端设备组内任意一个终端设备的密钥参数被破解，则终端设备组内所有终端设备的密钥参数都会被破解，对数据安全性造成严重威胁。现有技术存在终端设备之间在通过RAN本地转发通信时数据安全性低的问题。
发明内容
本申请提供一种密钥管理方法、通信装置，用于解决终端设备之间在通过RAN本地转发通信时数据安全性低的问题。
第一方面，本申请实施例提供一种密钥管理方法，包括：第一RAN设备接收第一终端设备发送的密钥参数和目的终端设备的标识，其中所述密钥参数用于所述第一终端设备和所述目的终端设备相互通信时对传输数据进行加密和/或解密；所述第一RAN设备向所述目的终端设备发送所述密钥参数和所述第一终端设备的标识。
本申请实施例中，第一RAN设备从第一终端设备接收密钥参数和目的终端设备的标识，然后将密钥参数转发给目的终端设备，可以使得第一终端设备和目的终端设备均基于该密钥参数对数据进行加/解密，保证通信的可靠性，同时由于该密钥参数是第一终端设备提供的，不同于现有技术所有终端设备均使用核心网配置的同一密钥参数对数据进行加解密，所以可以避免终端设备组内任意终端设备的密钥参数被破解导致终端设备组内的所有终端设备的密钥参数都被破解的问题，进而可以提高数据的安全性。
一种可能的实施方式中，所述目的终端设备位于所述第一RAN设备的覆盖范围内。在这种情况下，第一RAN设备可以直接将第一终端设备发送的密钥参数转发给目的终端设备。
通过本实施方式，可以使得目的终端设备和第一终端设备均基于该密钥参数对数据进行加/解密，保证通信的可靠性。
一种可能的实施方式中，所述目的终端设备位于第二RAN设备的覆盖范围内。在这种情况下，第一RAN设备可以通过第二RAN设备将密钥参数和第一终端设备的标识发送给目的终端设备。
通过本实施方式，可以使得目的终端设备和第一终端设备均基于该密钥参数对数据进行加/解密，保证通信的可靠性。
一种可能的实施方式中，所述第一终端设备和所述第一RAN设备间通过第一协议栈通信，所述目的终端设备和所述第一RAN设备间通过所述第一协议栈通信，所述第一终端设备和所述目的终端设备具有端到端的第二协议栈；其中，所述第一协议栈包含物理PHY层、介质访问控制MAC层和无线链路控制RLC层；所述第二协议栈包含分组数据汇聚协议PDCP层、服务数据适应协议SDAP层、RLC层和MAC层。
通过本实施方式，可以保证一终端设备和目的终端设备可以通过的第二协议栈与第一RAN设备通信，第一终端设备和目的终端设备可以基于第二协议栈通信，实现RAN本地转发。
一种可能的实施方式中，所述第一终端设备为通信发起方，所述目的终端设备为通信接收方；或者，所述目的终端设备为通信发起方，所述第一终端设备为通信接收方。
通过本实施方式，可以保证第一终端设备和目的终端设备均使用通信发起方或通信接收方提供密钥参数对数据进行加密/解密，进而保证通信的可靠性。
一种可能的实施方式中，所述密钥参数是用于供所述第一终端设备和目的终端设备分别生成会话密钥所需的参数，例如计数值(count)。
通过本实施方式，通过传输生成会话密钥所需的参数，可以避免密钥直接被传输，提高密钥的安全性。
一种可能的实施方式中，上述传输过程可以通过控制面传输方案实现。例如，第一RAN设备可以接收第一终端设备通过上行RRC消息发送的密钥参数和目的终端设备的标识。当所述第一终端设备和所述目的终端设备均位于所述第一RAN设备的覆盖范围内时，所述第一RAN设备可以通过下行RRC消息向所述目的终端设备发送所述密钥参数和所述第一终端设备的标识。当所述第一终端设备位于所述第一RAN设备的覆盖范围内，如所述目的终端设备位于第二RAN设备的覆盖范围内时，所述第一RAN设备可以通过和所述第二RAN设备之间的接口消息将所述密钥参数、所述第一终端设备的标识和所述目的终端设备的标识发送给所述第二RAN设备，然后再由所述第二RAN设备通过下行RRC消息向所述目的终端设备发送所述密钥参数和所述第一终端设备的标识。
通过本实施方式，可以通过控制面传输方案实现密钥参数等的传输，保证方案的可靠性。
一种可能的实施方式中，上述传输过程可以通过数据用户面传输方案实现。例如，所述第一RAN设备可以接收第一终端设备发送的第一数据，其中所述第一数据外面封装的封装头中包含所述密钥参数和所述目的终端设备的标识。当所述第一终端设备和所述目的终端设备均位于所述第一RAN设备的覆盖范围内时，所述第一RAN设备可以直接向所述目的终端设备发送第二数据，其中所述第二数据外面的封装头中包含所述密钥参数和所述第一终端设备的标识，应理解，这里的第一数据和第二数据实质上是相同数据，且为净荷的数据。当所述第一终端设备位于所述第一RAN设备的覆盖范围内，如所述目的终端设备位于第二RAN设备的覆盖范围内时，所述第一RAN设备可以向所述第二RAN设备发送GTP-U数据包，所述GTP-U的包头中携带所述密钥参数、所述第一终端设备的标识和所述目的终端设备的标识，所述GTP-U数据包中包含所述第一数据，然后再通过所述第二RAN设备向所述目的终端设备发送第三数据，其中所述第三数据外面的封装头中包含所述密钥参数和所述第一终端设备的标识。应理解，这里的第一数据和第三数据实质上是相同数据，且为净荷的数据。
通过本实施方式，可以通过用户面传输方案实现密钥参数等的传输，保证方案的可靠性。
一种可能的实施方式中，所述第一数据的封装头中还包含所述目的终端设备的网络切片标识slice ID和/或服务质量QoS流标识QFI。
通过本实施方式，当所述第一RAN设备向所述目的终端设备发送所述密钥参数和所述第一终端设备的标识时，所述第一RAN设备根据所述目的终端设备的slice ID和/或QoS流标识QFI快速地确定所述目的终端设备的DRB，保证通信的效率。
一种可能的实施方式中，所述GTP-U数据包中还可以携带所述目的终端设备的slice ID和/或QFI。
通过本实施方式，当所述第二RAN设备向所述目的终端设备发送所述密钥参数和所述第一终端设备的标识时，所述第一RAN设备根据所述目的终端设备的slice ID和/或QoS流标识QFI快速地确定所述目的终端设备的DRB，保证通信的效率。
一种可能的实施方式中，所述目的终端设备可以是单个设备，如第二终端设备，则所述目的终端的标识为第二终端设备的第一标识。在所述第一RAN设备向所述目的终端设备发送所述密钥参数和所述第一终端设备的标识之前，所述第一RAN设备还根据所述第二终端设备的第一标识确定所述第二终端设备的第二标识；其中，所述第一标识包括设备标识，例如IP地址、MAC地址或所述第一终端设备在其终端设备组内的标识等，所述第二标识包括小区无线网络临时标识C-RNTI；之后，所述第一RAN设备再根据所述第二终端设备的第二标识向所述第二终端设备发送所述密钥参数和所述第一终端设备的标识。
通过本实施方式，第一RAN设备可以根据第二终端设备的设备标识确定出第二终端设备的小区无线网络临时标识C-RNTI，进而根据C-RNTI将密钥参数和第一终端设备的标识发送给第二网络设备，保证通信的效率。
一种可能的实施方式中，所述目的终端设备可以是一个终端设备组(如第一终端设备所在的终端设备组)，则所述目的终端设备的标识包括所述第一终端设备所在终端设备组的组标识。相应的，所述第一RAN设备通过组播信道将所述密钥参数和所述第一终端设备的标识发送给所述终端设备组，其中所述组播信道与所述终端设备组对应。
通过本实施方式，第一终端设备可以通过第一RAN设备将密钥参数提供给整个终端设备组，实现组播通信。
一种可能的实施方式中，所述密钥参数可以为核心网为所述第一终端设备分配的初始密钥参数；或者，所述第一终端设备根据核心网分配的初始密钥参数获取的密钥参数。
通过本实施方式，可以使得终端设备组内不同的终端设备的密钥参数不同，进而使得不同终端设备对使用不同的会话密钥进行通信，保证RAN本地转发的数据的安全性。
第二方面，本申请实施例提供一种密钥管理方法，包括：第一终端设备确定密钥参数和目的终端设备的标识，其中所述密钥参数用于所述第一终端设备和所述目的终端设备相互通信时对传输数据进行加密和/或解密；所述第一终端设备向第一无线接入网RAN设备发送所述密钥参数和所述目的终端设备的标识。
一种可能的实施方式中，所述目的终端设备位于所述第一RAN设备的覆盖范围内。
一种可能的实施方式中，所述目的终端设备位于第二RAN设备的覆盖范围内。
一种可能的实施方式中，所述第一终端设备和所述第一RAN设备间通过第一协议栈通信，所述目的终端设备和所述第一RAN设备间通过所述第一协议栈通信，所述第一终 端设备和所述目的终端设备具有端到端的第二协议栈；其中，所述第一协议栈包含物理PHY层、介质访问控制MAC层和无线链路控制RLC层；所述第二协议栈包含分组数据汇聚协议PDCP层、服务数据适应协议SDAP层、RLC层和MAC层。
一种可能的实施方式中，所述密钥参数是用于供所述第一终端设备和目的终端设备分别生成会话密钥所需的参数。
一种可能的实施方式中，所述第一终端设备向第一无线接入网RAN设备发送所述密钥参数和所述目的终端设备的标识，包括：所述第一终端设备向第一无线接入网RAN设备发送第一数据，其中所述第一数据外面封装的封装头中包含所述密钥参数和所述目的终端设备的标识。
一种可能的实施方式中，所述目的终端设备的标识包括第二终端设备的第一标识，所述第一标识包括设备标识。
一种可能的实施方式中，所述目的终端设备的标识包括所述第一终端设备所在终端设备组的组标识。
第三方面，本申请实施例提供一种密钥管理方法，包括：第二RAN设备接收第一RAN设备发送的密钥参数、第一终端设备的标识和目的终端设备的标识，其中所述密钥参数用于所述第一终端设备和所述目的终端设备相互通信时对传输数据进行加密和/或解密；所述第二RAN设备向所述目的终端设备发送所述密钥参数和所述第一终端设备的标识。
一种可能的实施方式中，所述目的终端设备和所述第二RAN设备间通过第一协议栈通信，所述第一终端设备和所述目的终端设备具有端到端的第二协议栈；其中，所述第一协议栈包含物理PHY层、介质访问控制MAC层和无线链路控制RLC层；所述第二协议栈包含分组数据汇聚协议PDCP层、服务数据适应协议SDAP层、RLC层和MAC层。
一种可能的实施方式中，所述密钥参数是用于供所述第一终端设备和目的终端设备分别生成会话密钥所需的参数。
一种可能的实施方式中，第二RAN设备接收第一RAN设备发送的密钥参数、第一终端设备的标识和目的终端设备的标识，包括：所述第二RAN设备接收第一RAN设备发送的用户面通用无线分组业务隧道协议GTP-U数据包，其中所述GTP-U的包头中携带所述密钥参数、所述第一终端设备的标识和所述目的终端设备的标识。
一种可能的实施方式中，所述第二RAN设备向所述目的终端设备发送所述密钥参数和所述第一终端设备的标识，包括：所述第二RAN设备向所述目的终端设备发送第三数据，其中所述第三数据外面的封装头中包含所述密钥参数和所述第一终端设备的标识。
一种可能的实施方式中，所述目的终端设备的标识包括第二终端设备的第一标识；在所述第二RAN设备向所述目的终端设备发送所述密钥参数和所述第一终端设备的标识之前，所述方法还包括：所述第二RAN设备根据所述第二终端设备的第一标识确定所述第二终端设备的第二标识；其中，所述第一标识包括设备标识，所述第二标识包括小区无线网络临时标识C-RNTI；所述第二RAN设备向所述目的终端设备发送所述密钥参数和所述第一终端设备的标识，包括：所述第二RAN设备根据所述第二终端设备的第二标识向所述第二终端设备发送所述密钥参数和所述第一终端设备的标识。
一种可能的实施方式中，所述目的终端设备的标识包括所述第一终端设备所在终端设备组的组标识；所述第二RAN设备向所述目的终端设备发送所述密钥参数和所述第一终端设备的标识，包括：所述第二RAN设备通过组播信道将所述密钥参数和所述第一终端 设备的标识发送给所述终端设备组，其中所述组播信道与所述终端设备组对应。
第四方面，本申请实施例提供一种密钥管理方法，包括：目的终端设备接收第一RAN设备或第二RAN设备发送的密钥参数、第一终端设备的标识；所述目的终端设备和所述第一终端设备相互通信时，使用所述密钥参数对传输数据进行加密和/或解密。
第五方面，本申请实施例提供一种通信装置，该装置可以是上述第一方面中的第一RAN设备，或者是所述第一RAN设备中的装置，该装置包括用于执行如上述第一方面任一种可能的实施方式中所述的方法的模块。例如：
接收模块，用于接收第一终端设备发送的密钥参数和目的终端设备的标识，其中所述密钥参数用于所述第一终端设备和所述目的终端设备相互通信时对传输数据进行加密和/或解密；
发送模块，用于向所述目的终端设备发送所述密钥参数和所述第一终端设备的标识。
第六方面，本申请实施例提供一种通信装置，该装置可以是上述第二方面中的第一终端设备，或者是第一终端设备中的装置，该装置包括用于执行如上述第二方面任一种可能的实施方式中所述的方法的模块。例如：
处理模块，用于确定密钥参数和目的终端设备的标识，其中所述密钥参数用于所述第一终端设备和所述目的终端设备相互通信时对传输数据进行加密和/或解密；
发送模块，用于向第一无线接入网RAN设备发送所述密钥参数和所述目的终端设备的标识。
第七方面，本申请实施例提供一种通信装置，该装置可以是上述第三方面中的第二RAN设备，或者是所述第二RAN设备中的装置，该装置包括用于执行如上述第三方面任一种可能的实施方式中所述的方法的模块。例如：
接收模块，用于接收第一RAN设备发送的密钥参数、第一终端设备的标识和目的终端设备的标识，其中所述密钥参数用于所述第一终端设备和所述目的终端设备相互通信时对传输数据进行加密和/或解密；
发送模块，用于向所述目的终端设备发送所述密钥参数和所述第一终端设备的标识。
第八方面，本申请实施例提供一种通信装置，该装置可以是上述第四方面中的目的终端设备，或者是所述目的终端设备中的装置，该装置包括用于执行如上述第四方面任一种可能的实施方式中所述的方法的模块。例如：
接收模块，用于接收第一RAN设备或第二RAN设备发送的密钥参数、第一终端设备的标识；
处理模块，用于在所述第一终端设备和所述目的终端设备相互通信时，使用所述密钥参数对传输数据进行加密和/或解密。
第九方面，本申请实施例提供一种通信装置，包括：至少一个处理器；以及与所述至少一个处理器通信连接的存储器和/或通信接口；其中，所述存储器存储有可被所述至少一个处理器执行的指令，所述至少一个处理器通过执行所述存储器存储的指令，执行如上述第一方面、第二方面、第三方面或第四方面任一种可能的实施方式中所述的方法。
第十方面，本申请实施例提供一种计算机可读存储介质，所述计算机可读存储介质存储有计算机程序，所述计算机程序包括程序指令，所述程序指令在被计算机执行时，使所述计算机执行如上述第一方面、第二方面、第三方面或第四方面任一种可能的实施方式中所述的方法。
第十一方面，本申请实施例提供一种芯片，所述芯片与存储器耦合，用于读取并执行所述存储器中存储的程序指令，以实现如上述第一方面、第二方面、第三方面或第四方面任一种可能的实施方式中所述的方法。
附图说明
图1为目前NR系统的网络架构示意图；
图2为核心网为终端设备1提供密钥参数的流程图；
图3为终端设备1生成Session Group Key的原理图；
图4A为本申请实施例适用的一种网络架构示意图；
图4B为本申请实施例适用的另一种网络架构示意图；
图5为本申请实施例提供的一种密钥管理方法的流程图；
图6A为一种可能的用户面的协议栈的示意图；
图6B为另一种可能的用户面的协议栈的示意图；
图6C为另一种可能的用户面的协议栈的示意图；
图7为UE1和UE2共站时，UE1通过控制面将count1传输给UE2的流程图；
图8为UE1和UE2共站时，UE1通过用户面将count1传输给UE2的流程图；
图9为UE1和UE2跨站时，UE1将count1传输给UE2提供的流程图；
图10为本申请实施例提供的一种通信装置1100的结构示意图；
图11为本申请实施例提供的一种通信装置1200的结构示意图；
图12为本申请实施例提供的一种通信装置1300的结构示意图；
图13为本申请实施例提供的一种通信装置1400的结构示意图；
图14为本申请实施例提供的一种通信装置1500的结构示意图。
具体实施方式
图1为目前的新空口(new radio，NR)系统的网络架构示意图，如图1所示，NR系统包含无线接入网(radio access network，RAN)侧的下一代节点B(next generation node B，gNB)，核心网(core network，CN)侧的接入和移动管理功能(access and mobility management function，AMF)网元、会话管理功能(session management function，SMF)网元、用户面功能(user plane function，UPF)网元及数据网络(data network，DN)网元等。
如果终端设备1和终端设备2通信，传统的方法则如图1中虚线所示，终端设备1的数据先经过RAN，再到核心网的UPF，再到DN，再依次通过UPF、RAN到终端设备2。其中，UPF可以位于较高的位置，例如靠近DN的位置，UPF也可以位于较低的位置，例如靠近RAN的位置，UPF越靠近RAN，数据传输的时延越小。
在NR系统中，终端设备1和终端设备2通信的路径也可以不经过DN、UPF等，例如图1中用实线表示的路径，终端设备1的数据只需要经过RAN网络侧的物理(physical，PHY)层、介质访问控制(media access control，MAC)层及无线链路控制(radio link control，RLC)层就可以转发给终端设备2。对于上述这种经过基站部分协议栈直接进行本地转发的方法，可以称之为RAN本地转发(RAN local switch)，或称之为基于RLC的本地转发(RLC based local switch)。应理解，此处的RAN可能是一个基站，即终端设备1和终端 设备2属于同一基站覆盖范围内；此处的RAN也可能是多个基站，即终端设备1和终端设备2分别属于不同基站的覆盖范围内，如终端设备1对应基站1，终端设备2对应基站2，则数据传输路径为终端设备1->基站1->基站2->终端设备2。
终端设备1和终端设备2在通过RAN本地转发进行数据传输时，对数据的用户面加密主要是终端设备1和终端设备2端到端的分组数据汇聚协议(packet data convergence protocol，PDCP)层完成，gNB不参与用户面数据加密。具体的，终端设备1和终端设备2属于同一个终端设备组，终端设备组内的每个终端设备根据核心网提供的密钥参数生成公共的基础密钥：会话组密钥(Session Group Key)，并使用生成的Session Group Key对数据进行加密。
核心网可以在终端设备1申请PDU会话的过程中为终端设备1提供密钥参数。如图2所示，该过程包括：
S201、核心网获取终端设备组的成员信息，例如终端设备1、终端设备2。
S202、终端设备1向核心网发起建立PDU会话的申请，该申请中携带指示信息，指示RAN本地转发，或者指示核心网为终端设备1配置本地转发的密钥参数，密钥参数例如为计数值(count)。
S203、核心网收到终端设备1发送的PDU会话申请后，配置count(终端设备组内所有终端设备的count相同)、以及根据其它成员的基站加密参数K AMF或K gNB为终端设备1生成中间密钥参数Derpara。
具体的，核心网可以根据每个终端设备的K AMF或K gNB和count为所述每个终端设备生成对应的Ktemp，由于各个终端设备的K AMF或K gNB可以不同，所以各个终端设备的Ktemp可以不同；然后核心网将除了终端设备1之外的其他所有终端设备的Ktemp值进行异或计算，生成Derpara，或者核心网直接将除了终端设备1之外的其他所有终端设备的K AMF或K gNB值进行异或计算生成Derpara。
S204、核心网根据终端设备组内所有终端设备均支持的加密算法，并通知终端设备选择的加密算法。
S205、核心网为终端设备1建立完成PDU会话后，上述count值、Derpara以及加密算法发送给终端设备1。
S206、终端设备1的非接入层(non access stratum，NAS)根据自身的K AMF1或K gNB1、count和Derpara生成Session Group Key，并将Session Group Key、安全算法等发送给接入层(access stratum，AS)，同时将核心网指示的加密算法发送给AS层，激活PDCP安全机制，使得终端设备1在和终端设备组内成员进行端到端通信时基于Session Group Key、加密算法对数据进行加/解密。
图3示出了终端设备1生成Session Group Key的原理图。终端设备1将自身的密钥K AMF1或K gNB1、基于终端设备组内其他终端设备的基站加密参数(图2中以K AMF2或K gNB2、K AMF3或K gNB3为例)生成的中间密钥参数(Derpara)，以及核心网提供的count进行异或计算，获得Session Group Key。
在上述加密方案中，由于核心网提供给终端设备组内的所有终端设备的count为同一值，所以终端设备组内的所有终端设备生成的Session Group Key相同，且只有当终端设备组有新成员加入或离开时才有可能更新所有终端设备的Derpara以及count(即更新Session Group Key。这样导致的一个问题是：一旦终端设备组内任意一个终端设备上的密钥参数 count被破解，则终端设备组内的所有终端设备的密钥参数count都会被破解，对数据安全性造成严重威胁。
为此，本申请实施例提供一种密钥管理方法：核心网可以给终端设备组内的不同的终端设备提供不同的密钥参数(例如count)，和/或，终端设备根据自身的移动性更新终端设备的密钥参数。当终端设备组内任意终端设备对(为了便于描述，本文将通信的两个终端设备称为一个“终端设备对”)需要通信时，终端设备对中的一个终端设备(例如通信发起方或通信接收方)将自身的密钥参数提供给另一个终端设备，使得该终端设备对中的两个终端设备使用相同密钥参数生成会话密钥，进而使用相同的会话密钥对数据进行加解密，保证通信的可靠性，同时又由于不同的终端设备可提供的密钥参数不同，所以不同终端设备对使用的会话密钥可以不同，进而可以避免终端设备组内任意终端设备的密钥参数被破解导致终端设备组内的所有终端设备的密钥参数都被破解的问题，进而可以提高数据的安全性。
应理解，在本文中，密钥参数均是以count为例。也即，除非有特别说明之外，本文中的密钥参数均指count。也即，本文中的“密钥参数”和“count”可以相互替换。
当然，本文中的密钥参数的名称count仅为一种示例，在具体实施时，密钥参数的名称也可以被替换为其他名称。
本申请实施例的技术方案可以应用于各种通信系统，例如：全球移动通信(global system of mobile communication，GSM)系统、码分多址(code division multiple access，CDMA)系统、宽带码分多址(wideband code division multiple access，WCDMA)系统、通用分组无线业务(general packet radio service，GPRS)、长期演进(long term evolution，LTE)系统、LTE频分双工(frequency division duplex，FDD)系统、LTE时分双工(time division duplex，TDD)、通用移动通信系统(universal mobile telecommunication system，UMTS)、全球互联微波接入(worldwide interoperability for microwave access，WiMAX)通信系统、第五代(5th generation，5G)系统，如NR，及未来的通信系统，如6G系统等。当然，本申请实施例的技术方案也可以应用于其它的通信系统。
例如，图4A为本申请实施例适用的一种网络架构示意图，该通信系统包括：RAN设备1、终端设备1和终端设备2。其中，终端设备1和终端设备2属于同一终端设备组，且终端设备1和终端设备2均在RAN设备1覆盖范围内(或者说终端设备1和终端设备2均与RAN设备1连接)。RAN设备1可以将来自终端设备1的数据转发给终端设备2，还可以将来自终端设备2的数据转发给终端设备1。
应理解，图4A仅为通信系统的一种示例并非限定，在实际部署时，该通信系统中可以有更多的RAN设备和终端设备。
例如，图4B为本申请实施例适用的另一种网络架构示意图，该通信系统包括：RAN设备1、RAN设备2、终端设备1和终端设备2。其中，终端设备1和终端设备2属于同一终端设备组，终端设备1在RAN设备1覆盖范围内(或者说终端设备1和与RAN设备1连接)，终端设备2在RAN设备2覆盖范围内(或者说终端设备2和与RAN设备2连接)。RAN设备1和RAN设备2可以相互通信。RAN设备1可以将来自终端设备1的数据转发给RAN设备2，然后再由RAN设备2将该数据转发给终端设备2。RAN设备2可以将来自终端设备2的数据转发给RAN设备1，然后再由RAN设备1将该数据转发给终端设备1。
应理解，图4B仅为通信系统的一种示例并非限定，在实际部署时，该通信系统中可以有更多的RAN设备和终端设备。例如，RAN设备1和RAN设备2还可以有RAN设备3，RAN设备1和RAN设备2的通信通过RAN设备3转发。例如，上述通信系统还可以包括核心网设备。
下面，结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅是本申请的一部分实施例，而不是全部的实施例。
为了使得本申请实施例更加清楚，以下再对与本申请实施例相关的部分内容以及概念在此处作统一介绍。
1)、本申请实施例所涉及的终端设备，又称之为终端，是用户侧的一种用于接收或发射信号的实体，用于向网络设备发送上行信号，或从网络设备接收下行信号。包括向用户提供语音和/或数据连通性的设备，例如可以包括具有无线连接功能的手持式设备、或连接到无线调制解调器的处理设备。该终端设备可以经无线接入网(radio access network，RAN)与核心网进行通信，与RAN交换语音和/或数据。该终端设备可以包括用户设备(user equipment，UE)、V2X终端设备、无线终端设备、移动终端设备、设备到设备通信(device-to-device，D2D)终端设备、机器到机器/机器类通信(machine-to-machine/machine-type communications，M2M/MTC)终端设备、物联网(internet of things，IoT)终端设备、订户单元(subscriber unit)、订户站(subscriber station)，移动站(mobile station)、远程站(remote station)、接入点(access point，AP)、远程终端(remote terminal)、接入终端(access terminal)、用户终端(user terminal)、用户代理(user agent)、或用户装备(user device)等。例如，可以包括移动电话(或称为“蜂窝”电话)，具有移动终端设备的计算机，便携式、袖珍式、手持式、计算机内置的移动装置等。例如，个人通信业务(personal communication service，PCS)电话、无绳电话、会话发起协议(session initiation protocol，SIP)话机、无线本地环路(wireless local loop，WLL)站、个人数字助理(personal digital assistant，PDA)、等设备。还包括受限设备，例如功耗较低的设备，或存储能力有限的设备，或计算能力有限的设备等。例如包括条码、射频识别(radio frequency identification，RFID)、传感器、全球定位系统(global positioning system，GPS)、激光扫描器等信息传感设备。
作为示例而非限定，在本申请实施例中，该终端设备还可以是可穿戴设备。可穿戴设备也可以称为穿戴式智能设备或智能穿戴式设备等，是应用穿戴式技术对日常穿戴进行智能化设计、开发出可以穿戴的设备的总称，如眼镜、手套、手表、服饰及鞋等。可穿戴设备即直接穿在身上，或是整合到用户的衣服或配件的一种便携式设备。可穿戴设备不仅仅是一种硬件设备，更是通过软件支持以及数据交互、云端交互来实现强大的功能。广义穿戴式智能设备包括功能全、尺寸大、可不依赖智能手机实现完整或者部分的功能，例如：智能手表或智能眼镜等，以及只专注于某一类应用功能，需要和其它设备如智能手机配合使用，如各类进行体征监测的智能手环、智能头盔、智能首饰等。
而如上介绍的各种终端设备，如果位于车辆上(例如放置在车辆内或安装在车辆内)，都可以认为是车载终端设备，车载终端设备例如也称为车载单元(on-board unit，OBU)。
2)、本申请实施例所涉及的RAN设备，是所述通信系统中将所述终端设备接入到无线网络的设备。RAN设备为无线接入网中的节点，又可以称为基站，还可以称为无线接入网设备。RAN设备可以包括长期演进(long term evolution，LTE)系统或高级长期演进(long  term evolution-advanced，LTE-A)中的演进型基站(NodeB或eNB或e-NodeB，evolved Node B)，或者也可以包括第五代移动通信技术(the 5th generation，5G)NR系统中的下一代节点B(next generation node B，gNB)或者下一代演进型基站(next generation evolved nodeB，ng-eNB)、en-gNB(enhanced next generation node B，gNB)：增强的下一代基站；
还可以包括云接入网(cloud radio access network，Cloud RAN)系统中的集中式单元(centralized unit，CU)和分布式单元(distributed unit，DU)，或者还可以包括中继设备，本申请实施例并不限定。
3)、本申请实施例所涉及的数据网络网元，可以是因特网(Internet)、IP多媒体业务(IP Multi-media Service，IMS)网络、区域网络(即本地网络，例如移动边缘计算(mobile edge computing，MEC)网络)等。所述数据网络中包括应用服务器，所述应用服务器通过与所述终端设备进行数据传输，为所述终端设备提供业务服务。
4)、本申请实施例所涉及的接入和移动管理功能网元，可用于对所述终端设备的接入控制和移动性进行管理，在实际应用中，其包括了长期演进(long term evolution，LTE)中网络框架中移动管理实体(mobility management entity，MME)里的移动性管理功能，并加入了接入管理功能，具体可以负责所述终端设备的注册、移动性管理、跟踪区更新流程、可达性检测、会话管理功能网元的选择、移动状态转换管理等。例如，在5G中，所述接入和移动管理功能网元是AMF(access and mobility management function)网元。在未来通信，如6G中，核心网的接入和移动性管理功能网元仍可以是AMF，或有其它的名称，本申请不做限定。当核心网接入和移动性管理功能网元是AMF时，所述AMF可以提供Namf服务。
5)、本申请实施例所涉及的用户面功能网元，可用于分组路由和转发、支持上行链路分类器以将业务流路由到数据网络的实例、支持分支点以支持多宿主分组数据单元(packet data unit，PDU)会话、用户平面的服务质量(quality of service，QoS)处理、下行数据包缓冲和下行数据通知触发等。例如，在5G中，所述用户面功能网元可以是UPF网元，在未来通信，如6G中，所述用户面功能网元仍可以是UPF网元，或有其它的名称，本申请不做限定。
6)、本申请实施例所涉及的会话管理功能网元，可用于负责所述终端设备的会话管理(包括会话的建立、修改和释放)，用户面功能网元的选择和重选、所述终端设备的互联网协议(internet protocol，IP)地址分配、QoS控制等。例如，在5G中，所述会话管理功能网元是SMF(session management function)网元，在未来通信，如6G中，所述会话管理功能网元仍可以是SMF网元，或有其它的名称，本申请不做限定。当会话管理功能网元是SMF网元时，所述SMF可以提供Nsmf服务。
7)、本申请实施例中的术语“系统”和“网络”可被互换使用。术语“多个”可以是两个、三个或者更多个，本申请实施例不做限制。正整数个可以是一个或多个。
另外，本文中术语“和/或”，仅仅是一种描述关联对象的关联关系，表示可以存在三种关系，例如，A和/或B，可以表示：单独存在A，同时存在A和B，单独存在B这三种情况。另外，本文中字符“/”，如无特殊说明，一般表示前后关联对象是一种“或”的关系。
除非有相反的说明，本申请实施例提及“第一”、“第二”、“第三”以及“第四”等序数词用于对多个对象进行区分，不用于限定多个对象的顺序、时序、优先级或者重要程度。
图5为本申请实施例提供的一种密钥管理方法，可以应用于图4A或图4B所示的无线 通信系统。参见图5，该方法包括：
S501、第一终端设备确定密钥参数和目的终端设备的标识。
S502、第一终端设备向第一RAN设备发送密钥参数和目的终端设备的标识，第一RAN设备接收第一终端设备的密钥参数和目的终端设备的标识。
其中，密钥参数是用于第一终端设备和目的终端设备相互通信时对传输数据进行加密和/或解密。
在本申请实施例中，第一终端设备可能同时有多套密钥参数，其中一套是自身提供的密钥参数(用于自身作为发送端时的密钥参数)，其他则是其他终端设备提供给第一终端设备的(用于自身作为接收端时的密钥参数)。在具体实施时，第一终端设备是将自身提供的密钥参数发送给第一RAN设备。
一种可能的实施方式中，第一终端设备为通信发起方，目的终端设备为通信接收方，即两个相互通信的终端设备需要通信时，由通信发起方提供密钥参数供双方对数据进行加/解密。另一种可能的实施方式中，目的终端设备为通信发起方，第一终端设备为通信接收方，即两个相互通信的终端设备需要通信时，由通信接收方提供密钥参数供双方对数据进行加/解密。以上两种实施方式，均可以保证第一终端设备和目的终端设备使用统一的密钥参数对传输数据进行加密/解密，进而保证通信的可靠性。在本文接下来的描述中，主要以第一终端设备为通信发起方为例对本申请技术方案进行说明。
一种可能的实施方式中，密钥参数可以是密钥本身，或者是被加密的密钥。这样，目的终端设备接收到密钥参数后，可以直接获得密钥对数据进行加密/解密，提高通信效率。
一种可能的实施方式中，密钥参数可以是用于供第一终端设备和目的终端设备分别生成会话密钥所需的参数，这样，可以通过传输密钥参数使得第一终端设备和目的终端设备生成的密钥统一，同时又可以避免密钥直接被传输，可以提高密钥的安全性。
示例性的，第一终端设备和目的终端设备属于同一个终端设备组，会话密钥具体是Session Group Key，密钥参数是用于供第一终端设备和目的终端设备分别生成Session Group Key的计数值count。应理解，在本文中，Session Group Key仅仅是会话密钥的一种示例，在具体实施时，会话组密钥也可以有其他形式或名称，本申请实施例不做限制。同理，对于密钥参数，count也仅仅是密钥参数的一种示例，在具体实施时，也可以有其他形式或名称，本申请实施例不做限制。
一种可能的实施方式中，核心网可以为第一终端设备分配初始密钥参数(如count的初始值)，核心网为第一终端设备所在终端设备组内的不同终端设备分配不同的初始密钥参数。此外，核心网还可以为终端设备组内所有终端设备配置对应的Derpara参数。
例如，假设终端设备组包括UE1、UE2、UE3、UE4，核心网为UE1分配的count1、核心网为UE2分配的count2、核心网为UE3分配的count 3、核心网为UE4分配的count 4。核心网为UE1/UE2/UE3/UE4分别配置Derpara1/Derpara2/Derpara3/Derpara4，其中Derpara1是根据UE2的K AMF2或K gNB2，UE3的K AMF3或K gNB3，UE4的K AMF4或K gNB4生成的，Derpara2是根据UE1的K AMF1或K gNB1，UE3的K AMF3或K gNB3，UE4的K AMF4或K gNB4生成的，Derpara3是根据UE1的K AMF1或K gNB1，UE2的K AMF2或K gNB2，UE4的K AMF4或K gNB4生成的，Derpara4是根据UE1的K AMF1或K gNB1，UE2的K AMF2或K gNB2，UE3的K AMF3或K gNB3生成的。后续UE1和UE2(目的终端设备)通信时，UE1根据自己的K AMF1或K gNB1、自身提供的密钥参数(count1)以及核心网提供的Derpara参数生产Session Group  key1。UE2根据自己的K AMF2或K gNB2，UE1提供的密钥参数(count值1)以及核心网提供的Derpara2参数生成Session Group key2。根据上述密钥生成的原理，可以保证Session Group key1和Session Group key2相同，从而保证了UE1和UE2之间的通信正常进行。
同理，后续UE3和UE4(目的终端设备)通信时，UE3根据自己的K AMF3或K gNB3，自身提供的密钥参数(count3)以及核心网提供的Derpara参数生产Session Group key3。UE4根据自己的K AMF4或K gNB4，UE3提供的密钥参数(count3)以及核心网提供的Derpara4参数生成Session Group key4。根据密钥生成的原理，可以保证Session Group key3和Session Group key4相同，从而保证了UE3和UE4之间的通信正常进行。
上述方法可以使得UE1、UE2通信使用的Session Group Key和UE3、UE4通信使用的Session Group Key不同。这样，可以实现同一终端设备组内不同终端设备对使用不同密钥通信的效果，可以提高数据安全性。
另一种可能的实施方式中，第一终端设备可以根据核心网分配的初始密钥参数获取密钥参数，比如，第一终端设备可以根据自身的移动性更新密钥参数。例如，第一终端设备的移动距离超过阈值(如有500米)时，第一终端设备的count的值就+1，或者，第一终端设备所属的基站/小区发生一次切换，第一终端设备的count的值就+1。这样，不仅可以使得终端设备组内不同的终端设备对的密钥参数不同，还可以避免同一终端设备对长时间使用一个密钥，可以进一步提高数据的安全性。
S503、第一RAN设备向目的终端设备发送密钥参数和第一终端设备的标识。
具体的，第一RAN设备从第一终端设备接收密钥参数和目的终端设备的标识后，根据目的终端设备的标识找到目的终端设备将该密钥参数发送给目的终端设备，使得目的终端设备后续在接收到来自第一终端设备的加密数据时，可以基于该密钥参数生成相应的Session Group key从而对加密的传输数据进行解密，或者后续在向第一终端设备发送数据时，基于该密钥参数对传输数据进行加密，以保证和第一终端设备通信数据的安全性。
在具体实施时，除了第一终端设备，还可能会存在其他终端设备向目的终端设备提供密钥参数，因此，为使得目的终端设备可以区分这些密钥参数，第一RAN在将第一终端设备的密钥参数(为了便于描述，本文将第一终端设备提供的密钥参数称为第一密钥参数)发送给目的终端设备时，还可以将第一终端设备的标识一并发送给目的终端设备，使得目的终端设备可以识别出第一密钥参数是对应第一终端设备的。
一种可能的实施方式中，终端设备接收第一密钥参数后还可以保存第一密钥参数，这样后续目的终端设备和第一终端设备通信时，第一终端设备可以不用再反复提供第一密钥参数，节省系统开销。
如上所述，在通信系统中，每个终端设备可能作为通信发起者，也可能作为通信接收者，所以每个终端设备的非接入层可能需要维护多套密钥参数，其中一套是作为通信发起者时的密钥参数，其他套则是作为通信接收者时的密钥参数(即其他通信发起者的终端设备)。例如，假设UE1作为通信发起者和UE2通信，同时又作为通信接收者和UE3和UE4通信，则UE1不仅需要维护自身作为通信发起者的count1，还要维护UE3作为通信发起者的count3和UE4作为通信发起者的count4。因此，目的终端可以联性地保存第一密钥参数和第一终端设备的标识，以区分哪些密钥参数是哪些终端设备提供的。
一种具体的示例，目的终端设备可以在本地维护一个映射表，映射表中存储各个终端设备和各终端设备提供的密钥参数的对应关系。
例如，表1所示，UE1提供的密钥参数为count1，UE2提供的密钥参数为count2，UE3提供的密钥参数为count3。
表1
终端设备的标识 密钥参数
UE1 count1
UE2 count2
UE3 count3
…… ……
在本申请实施例中，目的终端设备可以是单个设备，也可以是多个终端设备，本申请实施例不做具体限制。
第1种，目的终端设备是单个终端设备，例如第二终端设备。
目的终端的标识可以为第二终端设备的第一标识，第一标识包括设备标识，例如IP地址、MAC地址或第一终端设备在其终端设备组内的标识等。
在第一RAN设备向目的终端设备发送第一密钥参数和第一终端设备的标识之前，第一RAN设备需要根据第二终端设备的第一标识确定第二终端设备的第二标识，这里的第二标识包括小区无线网络临时标识(cell-radio network temporary identifier，C-RNTI)。可选的，每个终端设备在接入基站时，可以给基站发送自身的第一标识，后续当基站给终端设备分配第二标识后，基站和终端设备分别保存终端设备的第一标识和第二标识之间的映射关系，这样第一RAN设备根据第二终端设备的第一标识确定第二终端设备的第二标识时，就可以基于该映射关系迅速确定第二终端设备的第二标识。
第一RAN设备根据第二终端设备的第一标识确定第二终端设备的第二标识后，第一RAN设备根据第二终端设备的C-RNTI向第二终端设备发送第一密钥参数和第一终端设备的标识，这里第一终端设备的标识可以是第一终端设备的第一标识。
第2种，目的终端设备是多个终端设备。
相应的，目的终端的标识可以包括这多个终端设备中各个终端设备的第一标识，第一RAN设备将这多个终端设备中各个终端设备的第一标识转换为第二标识，然后向这多个终端设备中的各个终端设备发送第一密钥参数和第一终端设备的标识。
一种具体的示例，这多个终端设备还可以为一个终端设备组，则目的终端的标识可以是该终端设备组的组标识，第一RAN设备可以通过组播信道将第一密钥参数和第一终端设备的标识发送给该终端设备组，其中组播信道与该终端设备组对应。
在本申请实施例中，目的终端设备与第一终端设备可能位于同一RAN设备(即第一RAN设备)的覆盖范围内(即共站情况)，目的终端设备与第一终端设备也可能位于不同的RAN设备的覆盖范围内(即跨站情况)。
第1种、当目的终端设备与第一终端设备共站时，第一RAN设备可直接将第一密钥参数以及第一终端设备的标识发送给目的终端设备。
第2种、当目的终端设备与第一终端设备跨站时，第一RAN设备需要经由其他RAN设备将第一密钥参数和第一终端设备的标识发送给目的终端设备。
一种可能的示例中，第一RAN设备可以向周围的RAN设备(即邻区的RAN设备)发送目的终端设备的标识并询问目的终端设备位于哪个一个RAN设备覆盖范围内，假设 目的终端设备位于第二RAN设备覆盖范围内，则第二RAN设备应答第一RAN设备的询问。第一RAN设备获知目的终端设备位于第二RAN设备覆盖范围内后，第一RAN设备将第一密钥参数、第一终端设备的标识以及目的终端设备的标识发送给第二RAN设备，之后第二RAN设备再将第一密钥参数以及第一终端设备的标识发送给目的终端设备。在这种情况下，所述第一RAN设备的覆盖范围和所述第二RAN设备的覆盖范围至少部分重叠。
另一种可能的示例中，第一RAN设备可以和第二RAN设备之间周期性交互其服务的终端设备的第一标识，那么当第一RAN设备接收到终端设备的第一标识时，就可以根据之前设备之间交互的内容确定第一标识对应的第二RAN设备。当然，以上仅为示例而并非限定，在具体实施时，第一RAN设备还以经过更多的RAN设备将第一密钥参数发送给目的终端设备。
在本申请实施例中，终端设备和RAN设备间通过第一协议栈通信，而终端设备之间具有端到端的第二协议栈。
具体的，第一终端设备和第一RAN设备间通过第一协议栈通信，第一终端设备和目的终端设备具有端到端的第二协议栈。若第一终端设备和目的终端设备共站，则目的终端设备和第一RAN设备间还通过第一协议栈通信。若第一终端设备和目的终端设备跨站，如目的终端设备位于第二RAN设备覆盖范围内，则目的终端设备和第二RAN设备间还通过第一协议栈通信。第一协议栈至少包含PHY层，进一步还可能包含MAC层、RLC层、适配层等。第二协议栈至少包含PDCP层，进一步还可能包含服务数据适应协议(service data adaptation protocol，SDAP)层、RLC层或MAC层等。一种可能的情况是，第一协议栈包含PHY层，MAC层，RLC层，适配层，第二协议栈包含PDCP层。
在本申请实施例中，第一终端设备将第一密钥参数通过RAN设备传输给目的终端设备的过程可以通过控制面(CP)传输方案，也可以通过用户面(UP)传输方案实现，这里不做限制。
第1种：CP传输方案
示例性的，第一终端设备先通过上行RRC消息，将第一密钥参数和目的终端设备的标识发送给第一RAN设备。当然，上行RRC消息仅为一种示例而非限定，具体实施时，所述第一密钥参数和目的终端设备的标识还可以通过其他控制面传输方式发送给基站，例如将第一密钥参数和目的终端设备的标识承载在MAC控制信元(control element，CE)、PHY头、MAC头或者RLC头等中。
如果目的终端设备和第一终端设备共站，则第一RAN设备通过下行RRC消息向目的终端设备发送第一密钥参数和第一终端设备的标识。
如果目的终端设备和第一终端设备跨站，比如目的终端设备在第二RAN设备覆盖范围内，则第一RAN设备可以先通过和第二RAN设备之间的接口消息(例如XnAP消息)将密钥参数、第一终端设备的标识和目的终端设备的标识发送给第二RAN设备，然后再由第二RAN设备通过下行RRC消息向目的终端设备发送密钥参数和第一终端设备的标识。
第2种：UP传输方案
示例性的，第一终端设备可以向第一RAN设备发送第一数据，第一数据外面封装的第一封装头中包含密钥参数和目的终端设备的标识。即第一数据包含净荷数据以及所述第一封装头。
第一RAN接收第一数据，解析第一数据获取密钥参数和目的终端设备的标识，如果目的终端设备和第一终端设备共站，则第一RAN设备向目的终端设备发送第二数据，第二数据包含净荷数据以及第二封装头。应理解，这里的第一数据和第二数据包含的净荷数据相同。区别在于第一数据和第二数据外面的封装头不同，第一数据外面的第一封装头中包含密钥参数和目的终端设备的标识，而第二数据外面的第二封装头中包含密钥参数和第一终端设备的标识。
如果目的终端设备和第一终端设备跨站，如目的终端设备在第二RAN设备覆盖范围内，则第一RAN设备向第二RAN设备发送用户面通用无线分组业务隧道协议(GPRS tunneling protocol user，GTP-U)数据包，GTP-U的包头中封装有第一密钥参数、第一终端设备的标识和目的终端设备的标识，GTP-U数据包中包含该净荷数据，然后再通过第二RAN设备向目的终端设备发送第三数据，第三数据包含净荷数据以及第三封装头。其中第三数据外面的第三封装头中包含第一密钥参数和第一终端设备的标识。应理解，这里的第一数据和第三数据包含的净荷数据相同。
在具体实施时，上述控制面传输方案和用户面传输方案均可能被实施，不过在不同的传输阶段。
示例性的，假设UE1希望和目的UE通信，且UE1和目的UE被相同基站所覆盖，则UE1可以先通过上行RRC消息把目的UE的第一标识和密钥参数发送给基站；然后基站根据目的UE的第一标识确定目的UE的第二标识(例如C-RNTI)，根据该第二标识发送下行RRC消息(也可以是其他MAC CE，或者PHY头，MAC头或者RLC头等)以将第一UE的第一标识以及密钥参数告诉目的UE，然后第一UE才能给目的UE发送数据包。当UE1通过基站给目的UE发送数据包时，UE1可以在每个数据包中都携带密钥参数，也可以是在密钥参数发生更新后发送一个或多个数据包来携带更新后的密钥参数，本申请实施例不做限制。
当UE1给基站发送数据包时，数据包可以包含目的UE的第一标识，还可能包含目的UE的网络切片(slice)标识(ID)和/或QFI，还可能包含第一UE的第一标识。
请参见图6A，为一种可能的用户面的协议栈的示意图，数据包的协议层从上至下依次包括PDCP层、适配(adapt)层、RLC层、MAC层、PHY层。其中，适配层可以用于发送端通知接收端数据包来自哪个节点(如适配层中携带源UE的标识)、需要发送往哪个节点(如适配层中携带目的UE的标识)。可选的，适配层还可以携带目的节点的网络切片标识(slice ID)、服务质量流标识(Quality of Service Flow ID，QFI)等。
请参见图6B，为另一种可能的用户面的协议栈的示意图，数据包的协议层从上至下依次包括SDAP层、PDCP层、适配层、RLC层、MAC层、PHY层。图6A和图6B的最主要的区别在于RAN设备处理后的数据包的适配层是否需要携带QFI。对于没有SDAP的情况，可能会携带QFI，如图6A所示。但是对于有SDAP的情况，因为SDAP本身包含QFI，所以不需要在适配层携带，如图6B所示。
应理解，第一终端设备的适配层、RAN设备的适配层以及目的终端设备的适配层中包含的内容可能不一样。例如：当第一终端设备给RAN设备送数据包时，目的终端设备的第一标识、slice ID、QFI等都包含在数据包的适配层中。RAN设备在根据目的终端设备的第一标识确定C-RNTI，然后根据slice ID和/或QFI确定DRB。假设在此之前，RAN设备可以给目的终端设备发送RRC重配置消息，里面包含slice ID和DRB的映射关系，或者 QFI和DRB的映射关系，或者slice ID，QFI和DRB的映射关系，则此处RAN设备就可以根据上述映射关系确定C-RNTI或DRB。RAN设备在转发数据包时，可能将数据包适配层中的目的终端设备的标识删除，保留第一终端设备的第一标识(如果第一终端设备发送的数据包未包含自己的第一标识，则RAN设备可以在转发时根据第一终端设备的C-RNTI找到第一终端设备对应的第一标识，并在适配层中增加第一终端设备的第一标识)，还可能将适配层中的slice ID删除，可能保留QFI。删除slice ID是因为RAN设备会在RRC配置消息中告诉目的终端设备，哪个slice的哪些QFI对应到哪个DRB，因此目的终端设备可能就可以确定数据包来自于哪个slice。而保留QFI可能是一开始基站给目的终端设备配置了反射QoS(reflective QoS)机制，即目的终端设备需要根据下行数据包中包含的QFI，从而可以确定哪些QFI对应哪个DRB。后续目的终端设备就可以根据下行获取的QFI和DRB的映射关系，确定上行数据包属于哪个DRB。
参见图6C，为另一种可能的用户面协议栈的示意图，如图6C所示，在PDCP层之上是还包括应用(APP)层，APP层用于产生UE1想发给UE2的净荷数据。UE1和gNB之间的协议层是适配/RLC/MAC/PHY层，UE2和gNB之间的协议层是适配/RLC/MAC/PHY层。UE1在给gNB发送数据包时，在数据包外面依次封装适配/RLC/MAC/PHY头。
一种可能的设计中，第一终端设备可以在向核心网申请PDU会话的过程中获得第一密钥参数。
示例性的，UE1可以向核心网申请PDU会话，该PDU会话后续用于RAN本地转发通信。UE1向核心网发起建立PDU会话申请时，申请中可以包含UE组标识、slice标识、RAN本地转发标识等中的一个或多个。核心网收到该申请后，根据RAN本地转发标识，同时识别UE1属于某个UE组或某个slice，则将该UE组内或申请该slice业务的其他UE的K AMF或K gNB异或合成Derpara，将Derpara、count1、安全算法等，发送给UE1。应理解，这里的count1可以是核心网专为UE1配置的，核心网为其他UE配置的count值可以与count1不同。UE2向核心网申请建立PDU会话申请，核心网做同样类似的操作。
UE1收到核心网提供的密钥参数(如Derpara、count1以及安全算法等)后，UE1的非接入层将UE1的K AMF1或K gNB1、Derpara、count1等发送给UE1的AS层，或者将K AMF1或K gNB1和Derpara经过异或以后的参数以及count值发送给AS层，或者也可以按照图3所示方法生成的Session Group Key后直接将Session Group Key发送给AS层。除此之外，UE1的NAS层还可以提供对应的PDU会话标识给AS层，以便于UE1知道哪个PDU会话需要使用上述NAS层提供的密钥或密钥参数。后续UE1收到基站RRC重配置消息时，RRC重配置消息可以包含DRB、以及DRB对应的SDAP-Config，而SDAP-Config中可以包含PDU会话标识，从而UE1能够根据RRC重配置消息获知DRB对应的PDU会话标识。UE1后续进行PDU会话时，将本次会话的PDU会话标识和之前NAS层提供的PDU会话标识进行对比，如果相同则采用NAS层提供的端到端的密钥或密钥参数，反之则执行传统的加密机制(例如采用UE1和基站约定的密钥参数进行加/解密)。另外，UE1可以根据PDU会话标识和DRB的映射关系，确定哪些DRB使用NAS层提供的端到端的密钥或密钥参数，哪些DRB使用传统的加密机制。
以上各实施方式可以相互结合以实现不同的技术效果。
为了更好地理解本申请实施例技术方案，下面列举两个具体的实施例对本申请技术方案进行更加详细的说明书。
实施例1
本实施例讲述UE1和UE2共站时，UE1向UE2提供count1的过程。
方案一、参见图7，UE1通过CP面将count1传输给UE2。
S701、UE1通过上行RRC消息通知gNB希望和哪个目标UE(如UE2)通信，具体方式可以是向gNB发送目标UE的标识(target ID)、UE1的密钥参数count1。可选的，上行RRC消息还可以携带slice ID，QoS流标识QFI等，进而使得gNB不用额外发起流程来获取slice ID，QoS流标识QFI等信息，可以帮助gNB更加迅速地确定将后续通过用户面传输的数据时转发给UE2的哪个承载，提高数据传输效率。
其中，target ID可以是UE2的IP地址，MAC地址等，本文将称target ID为用于RAN本地转发的第一标识。如果UE1希望和一组UE通信，则target ID还可以是UE组标识。
S702、gNB根据目标UE标识、切片标识确定目标UE对应的C-RNTI和DRB标识。可选的，gNB可能还需要识别源UE的标识。
在本申请实施例中，所有UE在接入gNB时都可以先将第一标识上报给gNB，接着gNB可以给每个UE分配第二标识，例如C-RNTI。从而gNB可以获取并保存每个UE的第一标识和第二标识的映射关系。当gNB收到UE1发送的消息时，可以根据UE1的C-RNTI确定UE1的第一标识。当UE1告知gNB希望和UE2(UE2的第一标识)时，gNB可以找到UE2对应的第二标识，进而将数据包通过空口发送给第二标识的UE2。
针对UE1和一个UE组通信的情况，UE在接入gNB时不仅将第一标识发送给gNB，还可以将UE所在的UE组标识发送给gNB，或者是操作、管理和维护(operation，administration and maintenance，OAM)将UE组标识以及UE组每个成员的第一标识发送给gNB，或者是核心网的AMF将UE组标识以及UE组每个成员的第一标识发送给gNB。这样，当UE1通知gNB希望和一个UE组通信时，gNB可以通过单播或组播方式将UE1的数据发送给UE组内的所有成员。
gNB确定UE1需要通信的目标UE为UE2后，还要确定通过UE2的哪个数据无线承载DRB发送来自于UE1的数据包。具体的，gNB可以根据UE组标识，slice标识或者QFI等信息确定UE2的哪个DRB。可选的，UE2在建立DRB时，gNB的RRC重配置消息中可以指明DRB和UE组标识的映射关系，或者DRB和slice的映射关系，或者DRB和QFI list的映射关系，这样gNB可以根据该映射关系直接确定出UE2的DRB。
S703、gNB通过下行RRC重配置消息或者下行控制信息(downlink control information，DCI)或者其他协议层消息，将count1、和UE1的第一标识通知给UE2。
方案二、参见图8，UE1通过UP面将count1传输给UE2。
S801、UE1向gNB发送数据包，在数据包中携带count1、UE1希望通信的目标UE的标识(如UE2的标识)等。
UE1在给gNB发送数据包时，可以按照图6C所示的协议栈，在数据包外面依次封装适配/RLC/MAC/PHY头。可选的，可以在适配层中包含UE2的第一标识以及密钥参数count1值，另外还可能其他参数，如切片标识、QFI等。
S802、gNB在收到UE1发送的数据包后，从数据包的适配层中获取UE2的第一标识。可选的，如果适配层中还有切片标识、QFI等其他参数，则可以根据切片标识、QFI确定UE2的C-RNTI以及对应的DRB。
S803、gNB在给UE2转发来自UE1的数据包时，去掉原适配层中的UE2的标识(可 选的，如果原适配层中还有切片标识、QFI等，则还可以去掉切片标识、QFI等)；在外面依次封装新的适配/RLC/MAC/PHY层，在新适配层中包含UE1的第一标识以及密钥参数count1。
S804、UE2在收到gNB转发的数据包时，从适配层获取UE1的第一标识以count1。
在本实施例中，UE1可以在发送给UE2的每个数据包中都携带count1，或者在count1改变的时候发送1或多次count值，或者在收到UE2的反馈表示UE2己收到count1时，停止在数据包中携带count1。
实施例2
本实施例讲述UE1和UE2跨站时，UE1向UE2提供count1的过程。假设UE1在gNB1的覆盖范围内，UE2在gNB2的覆盖范围内，UE1想和UE2通信，如图9所示，方法包括：
S901、UE1通过CP面或UP面将UE2的第一标识、count1等发送给gNB1。具体实现方式可以参见实施例1中S701或S801的具体实现方式，这里不再赘述。
S902、gNB1通过CP面或UP面将UE1的第一标识、UE2的第一标识、count1发送给gNB2。
首先，gNB1根据UE2的第一标识，发现UE2并不在自己的覆盖范围内，而是在gNB2覆盖范围内。一种可能的情况是gNB1向周围邻区发送UE2的第一标识进行询问，最终确定UE2在gNB2的覆盖范围内；另一种可能的情况是gNB之间定期交互其覆盖范围内UE的第一标识，最终确定UE2在gNB2的覆盖范围内。还有一种可能是gNB向核心网上报其覆盖范围内UE的第一标识，当gNB希望获取某个UE所在gNB时，向核心网发起询问。
然后，gNB1将来自于UE1的数据包外面封装GTP-Uheader，最终将整个GTP-U数据包通过gNB1和gNB2之间的GTP-U隧道发送给gNB2，上述UE1的第一标识、UE2的第一标识、count1等都可以被封装在GTP-U数据包的包头中。当然，gNB1也可以通过gNB1和gNB2之间的CP面消息，例如XnAP消息，将UE1的第一标识，UE2的第一标识、count1等告知gNB2。例如gNB1给gNB2发送XnAP消息如直接通信请求(direct communication request)消息，里面包含UE1的第一标识，UE2的第一标识，count1等。
应理解，gNB1发送给gNB2的信息，还可能包含UE1提供的slice ID，UE组标识，QFI等，这里不做限制。
S903、gNB2通过CP面或UP面消息收到上述信息后，通过CP面或UP面将UE1的第一标识，count1等传递给UE2。具体实现方式可以参见实施例1中S703或S803的具体实现方式，这里不再赘述。
以上介绍了本申请实施例提供的密钥管理方法，下面结合附图介绍本申请实施例中用来实现上述方法的通信装置。因此，上文中的内容均可以用于后续实施例中，重复的内容不再赘述。
基于相同的技术构思，参见图10，本申请实施例提供一种通信装置1000，该装置1000可以是上述方法实施例中的第一RAN设备，或者是所述第一RAN设备中的装置，该装置1000包括：
接收模块1001，用于接收第一终端设备发送的密钥参数和目的终端设备的标识，其中所述密钥参数用于所述第一终端设备和所述目的终端设备相互通信时对传输数据进行加密和/或解密；
发送模块1002，用于向所述目的终端设备发送所述密钥参数和所述第一终端设备的标 识。
一种可能的实施方式中，所述目的终端设备位于所述第一RAN设备的覆盖范围内。
一种可能的实施方式中，所述目的终端设备位于第二RAN设备的覆盖范围内；所述发送模块1002具体用于：通过所述第二RAN设备将所述密钥参数和所述第一终端设备的标识发送给所述目的终端设备。
一种可能的实施方式中，所述第一终端设备和所述第一RAN设备间通过第一协议栈通信，所述目的终端设备和所述第一RAN设备间通过所述第一协议栈通信，所述第一终端设备和所述目的终端设备具有端到端的第二协议栈；其中，所述第一协议栈包含物理PHY层、介质访问控制MAC层和无线链路控制RLC层；所述第二协议栈包含分组数据汇聚协议PDCP层、服务数据适应协议SDAP层、RLC层和MAC层。
一种可能的实施方式中，所述密钥参数是用于供所述第一终端设备和目的终端设备分别生成会话密钥所需的参数。
一种可能的实施方式中，所述接收模块1001具体用于：所述第一RAN设备接收第一终端设备发送的第一数据，其中所述第一数据外面封装的封装头中包含所述密钥参数和所述目的终端设备的标识。
一种可能的实施方式中，所述发送模块1002具体用于：向所述目的终端设备发送第二数据，其中所述第二数据外面的封装头中包含所述密钥参数和所述第一终端设备的标识。
一种可能的实施方式中，所述发送模块1002具体用于：向第二RAN设备发送用户面通用无线分组业务隧道协议GTP-U数据包，其中所述GTP-U的包头中携带所述密钥参数、所述第一终端设备的标识和所述目的终端设备的标识，所述GTP-U数据包中包含所述第一数据，通过所述第二RAN设备将所述密钥参数和所述第一终端设备的标识发送给所述目的终端设备。
一种可能的实施方式中，所述目的终端设备的标识包括第二终端设备的第一标识；
所述装置1000还包括：
处理模块1003，用于所述发送模块1002向所述目的终端设备发送所述密钥参数和所述第一终端设备的标识之前，根据所述第二终端设备的第一标识确定所述第二终端设备的第二标识；其中，所述第一标识包括设备标识，所述第二标识包括小区无线网络临时标识C-RNTI；
所述发送模块1002具体用于：根据所述第二终端设备的第二标识向所述第二终端设备发送所述密钥参数和所述第一终端设备的标识。
一种可能的实施方式中，所述目的终端设备的标识包括所述第一终端设备所在终端设备组的组标识；
所述发送模块1002具体用于：所述第一RAN设备通过组播信道将所述密钥参数和所述第一终端设备的标识发送给所述终端设备组，其中所述组播信道与所述终端设备组对应。
基于相同的技术构思，参见图11，本申请实施例提供一种通信装置1100，该装置1100可以是上述方法实施例中的第一终端设备，或者是所述第一终端设备中的装置，该装置1100包括：
处理模块1101，用于确定密钥参数和目的终端设备的标识，其中所述密钥参数用于所述第一终端设备和所述目的终端设备相互通信时对传输数据进行加密和/或解密；
发送模块1102，用于向第一无线接入网RAN设备发送所述密钥参数和所述目的终端 设备的标识。
一种可能的实施方式中，所述目的终端设备位于所述第一RAN设备的覆盖范围内。
一种可能的实施方式中，所述目的终端设备位于第二RAN设备的覆盖范围内。
一种可能的实施方式中，所述第一终端设备和所述第一RAN设备间通过第一协议栈通信，所述目的终端设备和所述第一RAN设备间通过所述第一协议栈通信，所述第一终端设备和所述目的终端设备具有端到端的第二协议栈；其中，所述第一协议栈包含物理PHY层、介质访问控制MAC层和无线链路控制RLC层；所述第二协议栈包含分组数据汇聚协议PDCP层、服务数据适应协议SDAP层、RLC层和MAC层。
一种可能的实施方式中，所述密钥参数是用于供所述第一终端设备和目的终端设备分别生成会话密钥所需的参数。
一种可能的实施方式中，所述发送模块1102具体用于：向第一无线接入网RAN设备发送第一数据，其中所述第一数据外面封装的封装头中包含所述密钥参数和所述目的终端设备的标识。
一种可能的实施方式中，所述目的终端设备的标识包括第二终端设备的第一标识，所述第一标识包括设备标识。
一种可能的实施方式中，所述目的终端设备的标识包括所述第一终端设备所在终端设备组的组标识。
基于相同的技术构思，参见图12，本申请实施例提供一种通信装置1200，该装置1200可以是上述方法实施例中的第二RAN设备，或者是所述第二RAN设备中的装置，该装置1200包括：
接收模块1201，用于接收第一RAN设备发送的密钥参数、第一终端设备的标识和目的终端设备的标识，其中所述密钥参数用于所述第一终端设备和所述目的终端设备相互通信时对传输数据进行加密和/或解密；
发送模块1202，用于向所述目的终端设备发送所述密钥参数和所述第一终端设备的标识。
一种可能的实施方式中，所述目的终端设备和所述第二RAN设备间通过第一协议栈通信，所述第一终端设备和所述目的终端设备具有端到端的第二协议栈；其中，所述第一协议栈包含物理PHY层、介质访问控制MAC层和无线链路控制RLC层；所述第二协议栈包含分组数据汇聚协议PDCP层、服务数据适应协议SDAP层、RLC层和MAC层。
一种可能的实施方式中，所述密钥参数是用于供所述第一终端设备和目的终端设备分别生成会话密钥所需的参数。
一种可能的实施方式中，所述接收模块1201具体用于：接收第一RAN设备发送的用户面通用无线分组业务隧道协议GTP-U数据包，其中所述GTP-U的包头中携带所述密钥参数、所述第一终端设备的标识和所述目的终端设备的标识。
一种可能的实施方式中，所述发送模块1202具体用于：向所述目的终端设备发送第三数据，其中所述第三数据外面的封装头中包含所述密钥参数和所述第一终端设备的标识。
一种可能的实施方式中，所述目的终端设备的标识包括第二终端设备的第一标识；
所述装置1200还包括处理模块1203，用于在所述发送模块1202发送所述密钥参数和所述第一终端设备的标识之前，根据所述第二终端设备的第一标识确定所述第二终端设备的第二标识；其中，所述第一标识包括设备标识，所述第二标识包括小区无线网络临时标 识C-RNTI；
所述发送模块1202具体用于：根据所述第二终端设备的第二标识向所述第二终端设备发送所述密钥参数和所述第一终端设备的标识。
一种可能的实施方式中，所述目的终端设备的标识包括所述第一终端设备所在终端设备组的组标识；所述发送模块1202具体用于：通过组播信道将所述密钥参数和所述第一终端设备的标识发送给所述终端设备组，其中所述组播信道与所述终端设备组对应。
基于相同的技术构思，参见图13，本申请实施例提供一种通信装置1300，该装置1300可以是上述方法实施例中的目的终端设备，或者是所述目的终端设备中的装置，该装置1300包括：
接收模块1301，用于接收第一RAN设备或第二RAN设备发送的密钥参数、第一终端设备的标识；
处理模块1302，用于在所述目的终端设备和所述第一终端设备相互通信时，使用所述密钥参数对传输数据进行加密和/或解密。
基于相同的技术构思，参见图14，本申请实施例提供一种通信装置1400，包括：
至少一个处理器1401；以及
与所述至少一个处理器1401通信连接的存储器1402；其中，所述存储器1402存储有可被所述至少一个处理器1401执行的指令，所述至少一个处理器1401通过执行所述存储器1402存储的指令，执行如图5、图7、图8或图9中所示实施例的方法。
其中，处理器1401可以是通用处理器、数字信号处理器、专用集成电路、现场可编程门阵列或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件，可以实现或者执行本申请实施例中的公开的各方法、步骤及逻辑框图。通用处理器可以是微处理器或者任何常规的处理器等。结合本申请实施例所公开的方法的步骤可以直接体现为硬件处理器执行完成，或者用处理器中的硬件及软件模块组合执行完成。
其中，存储器1402可以是非易失性存储器，比如硬盘(hard disk drive，HDD)或固态硬盘(solid-state drive，SSD)等，还可以是易失性存储器(volatile memory)，例如随机存取存储器(random-access memory，RAM)。存储器是能够用于携带或存储具有指令或数据结构形式的期望的程序代码并能够由计算机存取的任何其他介质，但不限于此。本申请实施例中的存储器还可以是电路或者其它任意能够实现存储功能的装置，用于存储程序指令和/或数据。
可选的，装置1400还可以包括通信接口1403。通信接口1403用于装置1400和其它模块进行通信，其可以是电路、器件、接口、总线、软件模块、收发器或者其它任意可以实现通信的装置。
需要指出的是，本申请实施例中不限定上述通信接口1403、处理器1401以及存储器1402之间的具体连接介质。本申请实施例在图14中以通信接口1403、处理器1401以及存储器1402之间通过总线1404连接，总线在图14中以粗线表示，其它部件之间的连接方式，仅是进行示意性说明，并不引以为限。所述总线可以分为地址总线、数据总线、控制总线等。为便于表示，图14中仅用一条粗线表示，但并不表示仅有一根总线或一种类型的总线。
基于相同的技术构思，本申请实施例还提供一种计算机可读存储介质，所述计算机可读存储介质存储有计算机程序，所述计算机程序包括程序指令，所述程序指令在被计算机 执行时，使所述计算机执行如图5、图7、图8或图9中所示实施例的方法。
基于相同的技术构思，本申请实施例还提供一种芯片，所述芯片与存储器耦合，用于读取并执行所述存储器中存储的程序指令，以实现如图5、图7、图8或图9中所示实施例的方法。
其中，上述方法实施例涉及的各步骤的所有相关内容均可以援引到对应功能模块的功能描述，在此不再赘述。
本领域内的技术人员应明白，本申请的实施例可提供为方法、系统、或计算机程序产品。因此，本申请可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本申请可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。
本申请是参照根据本申请的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。
这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。
这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。
显然，本领域的技术人员可以对本申请进行各种改动和变型而不脱离本申请的保护范围。这样，倘若本申请的这些修改和变型属于本申请权利要求及其等同技术的范围之内，则本申请也意图包含这些改动和变型在内。

Claims (25)

  1. 一种密钥管理方法，其特征在于，包括：
    第一无线接入网RAN设备接收第一终端设备发送的密钥参数和目的终端设备的标识，其中所述密钥参数用于所述第一终端设备和所述目的终端设备相互通信时对传输数据进行加密和/或解密；
    所述第一RAN设备向所述目的终端设备发送所述密钥参数和所述第一终端设备的标识。
  2. 如权利要求1所述的方法，其特征在于，所述目的终端设备位于所述第一RAN设备的覆盖范围内。
  3. 如权利要求1所述的方法，其特征在于，所述目的终端设备位于第二RAN设备的覆盖范围内；
    所述第一RAN设备向所述目的终端设备发送所述密钥参数和所述第一终端设备的标识，包括：
    所述第一RAN设备通过所述第二RAN设备将所述密钥参数和所述第一终端设备的标识发送给所述目的终端设备。
  4. 如权利要求1所述的方法，其特征在于，所述第一终端设备和所述第一RAN设备间通过第一协议栈通信，所述目的终端设备和所述第一RAN设备间通过所述第一协议栈通信，所述第一终端设备和所述目的终端设备具有端到端的第二协议栈；
    其中，所述第一协议栈包含物理PHY层、介质访问控制MAC层和无线链路控制RLC层；所述第二协议栈包含分组数据汇聚协议PDCP层、服务数据适应协议SDAP层、RLC层和MAC层。
  5. 如权利要求1所述的方法，其特征在于，所述密钥参数是用于供所述第一终端设备和目的终端设备分别生成会话密钥所需的参数。
  6. 如权利要求1所述的方法，其特征在于，第一RAN设备接收第一终端设备发送的密钥参数和目的终端设备的标识，包括：
    所述第一RAN设备接收第一终端设备发送的第一数据，其中所述第一数据外面封装的封装头中包含所述密钥参数和所述目的终端设备的标识。
  7. 如权利要求6所述的方法，其特征在于，所述第一RAN设备向所述目的终端设备发送所述密钥参数和所述第一终端设备的标识，包括：
    所述第一RAN设备向所述目的终端设备发送第二数据，其中所述第二数据外面的封装头中包含所述密钥参数和所述第一终端设备的标识。
  8. 如权利要求6所述的方法，其特征在于，所述第一RAN设备向所述目的终端设备发送所述密钥参数和所述第一终端设备的标识，包括：
    所述第一RAN设备向第二RAN设备发送用户面通用无线分组业务隧道协议GTP-U数据包，其中所述GTP-U的包头中携带所述密钥参数、所述第一终端设备的标识和所述目的终端设备的标识，所述GTP-U数据包中包含所述第一数据，通过所述第二RAN设备将所述密钥参数和所述第一终端设备的标识发送给所述目的终端设备。
  9. 如权利要求1-8任一项所述的方法，其特征在于，所述目的终端设备的标识包括第二终端设备的第一标识；
    在所述第一RAN设备向所述目的终端设备发送所述密钥参数和所述第一终端设备的标识之前，所述方法还包括：
    根据所述第二终端设备的第一标识确定所述第二终端设备的第二标识；其中，所述第一标识包括设备标识，所述第二标识包括小区无线网络临时标识C-RNTI；
    所述第一RAN设备向所述目的终端设备发送所述密钥参数和所述第一终端设备的标识，包括：
    所述第一RAN设备根据所述第二终端设备的第二标识向所述第二终端设备发送所述密钥参数和所述第一终端设备的标识。
  10. 如权利要求1-8任一项所述的方法，其特征在于，所述目的终端设备的标识包括所述第一终端设备所在终端设备组的组标识；
    所述第一RAN设备向所述目的终端设备发送所述密钥参数和所述第一终端设备的标识，包括：
    所述第一RAN设备通过组播信道将所述密钥参数和所述第一终端设备的标识发送给所述终端设备组，其中所述组播信道与所述终端设备组对应。
  11. 一种密钥管理方法，其特征在于，包括：
    第一终端设备确定密钥参数和目的终端设备的标识，其中所述密钥参数用于所述第一终端设备和所述目的终端设备相互通信时对传输数据进行加密和/或解密；
    所述第一终端设备向第一无线接入网RAN设备发送所述密钥参数和所述目的终端设备的标识。
  12. 如权利要求11所述的方法，其特征在于，所述目的终端设备位于所述第一RAN设备的覆盖范围内。
  13. 如权利要求11所述的方法，其特征在于，所述目的终端设备位于第二RAN设备的覆盖范围内。
  14. 如权利要求11所述的方法，其特征在于，所述第一终端设备和所述第一RAN设备间通过第一协议栈通信，所述目的终端设备和所述第一RAN设备间通过所述第一协议栈通信，所述第一终端设备和所述目的终端设备具有端到端的第二协议栈；
    其中，所述第一协议栈包含物理PHY层、介质访问控制MAC层和无线链路控制RLC层；所述第二协议栈包含分组数据汇聚协议PDCP层、服务数据适应协议SDAP层、RLC层和MAC层。
  15. 如权利要求11所述的方法，其特征在于，所述密钥参数是用于供所述第一终端设备和目的终端设备分别生成会话密钥所需的参数。
  16. 如权利要求11所述的方法，其特征在于，所述第一终端设备向第一无线接入网RAN设备发送所述密钥参数和所述目的终端设备的标识，包括：
    所述第一终端设备向第一无线接入网RAN设备发送第一数据，其中所述第一数据外面封装的封装头中包含所述密钥参数和所述目的终端设备的标识。
  17. 如权利要求11-16任一项所述的方法，其特征在于，所述目的终端设备的标识包括第二终端设备的第一标识，所述第一标识包括设备标识。
  18. 如权利要求11-16任一项所述的方法，其特征在于，所述目的终端设备的标识包括所述第一终端设备所在终端设备组的组标识。
  19. 一种密钥管理方法，其特征在于，包括：
    目的终端设备接收第一RAN设备或第二RAN设备发送的密钥参数、第一终端设备的标识；
    所述目的终端设备和所述第一终端设备相互通信时，使用所述密钥参数对传输数据进行加密和/或解密。
  20. 一种通信装置，其特征在于，包括：
    接收模块，用于接收第一终端设备发送的密钥参数和目的终端设备的标识，其中所述密钥参数用于所述第一终端设备和所述目的终端设备相互通信时对传输数据进行加密和/或解密；
    发送模块，用于向所述目的终端设备发送所述密钥参数和所述第一终端设备的标识。
  21. 一种通信装置，其特征在于，包括：
    处理模块，用于确定密钥参数和目的终端设备的标识，其中所述密钥参数用于所述第一终端设备和所述目的终端设备相互通信时对传输数据进行加密和/或解密；
    发送模块，用于向第一无线接入网RAN设备发送所述密钥参数和所述目的终端设备的标识。
  22. 一种通信装置，其特征在于，包括：
    接收模块，用于接收第一RAN设备或第二RAN设备发送的密钥参数、第一终端设备的标识；
    处理模块，用于在所述第一终端设备和所述装置相互通信时，使用所述密钥参数对传输数据进行加密和/或解密。
  23. 一种通信装置，其特征在于，包括：
    至少一个处理器；以及
    与所述至少一个处理器通信连接的存储器和/或通信接口；
    其中，所述存储器存储有可被所述至少一个处理器执行的指令，所述至少一个处理器通过执行所述存储器存储的指令，执行如权利要求1-10、11-18、19中任一项所述的方法。
  24. 一种计算机可读存储介质，其特征在于，所述计算机可读存储介质存储有计算机程序，所述计算机程序包括程序指令，所述程序指令在被计算机执行时，使所述计算机执行如权利要求1-10、11-18、19中任一项方法。
  25. 一种芯片，其特征在于，所述芯片与存储器耦合，用于读取并执行所述存储器中存储的程序指令，以实现如权利要求1-10、11-18、19中任一项所述的方法。
PCT/CN2020/074439 2020-02-06 2020-02-06 一种密钥管理方法、通信装置 WO2021155540A1 (zh)

Priority Applications (3)

Application Number Priority Date Filing Date Title
CN202080091576.7A CN114930887A (zh) 2020-02-06 2020-02-06 一种密钥管理方法、通信装置
PCT/CN2020/074439 WO2021155540A1 (zh) 2020-02-06 2020-02-06 一种密钥管理方法、通信装置
US17/882,038 US20220377541A1 (en) 2020-02-06 2022-08-05 Key Management Method and Communication Apparatus

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/CN2020/074439 WO2021155540A1 (zh) 2020-02-06 2020-02-06 一种密钥管理方法、通信装置

Related Child Applications (1)

Application Number Title Priority Date Filing Date
US17/882,038 Continuation US20220377541A1 (en) 2020-02-06 2022-08-05 Key Management Method and Communication Apparatus

Publications (1)

Publication Number Publication Date
WO2021155540A1 true WO2021155540A1 (zh) 2021-08-12

Family

ID=77200724

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2020/074439 WO2021155540A1 (zh) 2020-02-06 2020-02-06 一种密钥管理方法、通信装置

Country Status (3)

Country Link
US (1) US20220377541A1 (zh)
CN (1) CN114930887A (zh)
WO (1) WO2021155540A1 (zh)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2023036052A1 (zh) * 2021-09-07 2023-03-16 华为技术有限公司 数据传输的方法和装置

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN106465106A (zh) * 2014-05-02 2017-02-22 皇家Kpn公司 用于从无线电接入网络提供安全性的方法和系统
WO2019034133A1 (en) * 2017-08-18 2019-02-21 Huawei Technologies Co., Ltd. LOCATION AND CONTEXT MANAGEMENT IN INACTIVE RAN MODE
US20190320352A1 (en) * 2018-04-12 2019-10-17 Qualcomm Incorporated Access stratum (as) security for a centralized radio access network (c-ran)
CN110602800A (zh) * 2018-05-24 2019-12-20 华为技术有限公司 一种通信方法及装置

Family Cites Families (13)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN104683304B (zh) * 2013-11-29 2019-01-01 中国移动通信集团公司 一种保密通信业务的处理方法、设备和系统
CN106358159A (zh) * 2015-07-17 2017-01-25 中兴通讯股份有限公司 宽带集群系统的共享信道管理方法、系统、终端和基站
PL3351031T3 (pl) * 2015-09-14 2020-05-18 Telefonaktiebolaget Lm Ericsson (Publ) Węzły dostępu radiowego i urządzenia końcowe w sieci komunikacyjnej
CN108886670B (zh) * 2016-04-01 2021-08-20 瑞典爱立信有限公司 用于促进多播通信的方法和装置
US11516195B2 (en) * 2016-06-20 2022-11-29 Nippon Telegraph And Telephone Corporation Terminal device, key distribution management device, server-client system, communication method, and programs
CN108886822B (zh) * 2016-07-04 2021-10-01 华为技术有限公司 传输数据的方法和设备
CN109417470B (zh) * 2016-09-19 2021-10-15 华为技术有限公司 密钥协商方法及装置
CN108347420B (zh) * 2017-01-25 2021-02-23 华为技术有限公司 一种网络密钥处理的方法、相关设备及系统
CN108430080A (zh) * 2017-02-14 2018-08-21 华为技术有限公司 一种信息传输方法，无线接入设备和终端
CN109963340B (zh) * 2017-12-25 2022-07-01 上海诺基亚贝尔股份有限公司 用于降低信令开销和数据延迟的方法、设备及计算机可读介质
CN111758246B (zh) * 2018-02-20 2023-05-12 瑞典爱立信有限公司 用于小数据用户平面传输的装备、方法和存储介质
JP6892840B2 (ja) * 2018-05-08 2021-06-23 シャープ株式会社 端末装置、基地局装置、方法、および、集積回路
KR20190096907A (ko) * 2019-08-12 2019-08-20 삼성전자주식회사 무선 통신 시스템에서 근접 서비스 통신을 수행하는 방법 및 장치

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN106465106A (zh) * 2014-05-02 2017-02-22 皇家Kpn公司 用于从无线电接入网络提供安全性的方法和系统
WO2019034133A1 (en) * 2017-08-18 2019-02-21 Huawei Technologies Co., Ltd. LOCATION AND CONTEXT MANAGEMENT IN INACTIVE RAN MODE
US20190320352A1 (en) * 2018-04-12 2019-10-17 Qualcomm Incorporated Access stratum (as) security for a centralized radio access network (c-ran)
CN110602800A (zh) * 2018-05-24 2019-12-20 华为技术有限公司 一种通信方法及装置

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2023036052A1 (zh) * 2021-09-07 2023-03-16 华为技术有限公司 数据传输的方法和装置

Also Published As

Publication number Publication date
US20220377541A1 (en) 2022-11-24
CN114930887A (zh) 2022-08-19

Similar Documents

Publication Publication Date Title
US11438941B2 (en) Communication method and communications apparatus
US11870803B2 (en) Security key derivation in dual connectivity
US20230047656A1 (en) Core Network Awareness of User Equipment, UE, State
CN113038528B (zh) 用于在无线通信系统中将数据分组路由到用户设备的基站
CN110830991B (zh) 安全会话方法和装置
CN110913389B (zh) 获取安全上下文的方法和装置
CN108366369B (zh) 一种数据安全传输的方法及接入网、终端、核心网设备
EP3032871B1 (en) Data transmission method, device and system
WO2016119243A1 (zh) 通信方法、网络设备、用户设备和通信系统
KR20230054421A (ko) 셀룰러 슬라이싱된 네트워크들에서의 중계기 선택의 프라이버시
JP2018526869A (ja) 暗号化されたクライアントデバイスコンテキストを用いたネットワークアーキテクチャおよびセキュリティ
JP2014511168A (ja) 移動体通信ネットワークおよび方法
EP2946582A1 (en) Communication of security key information
JP2020516142A (ja) 第１無線ネットワークノード（ｒｎｎ）、第２ｒｎｎおよび第１ｒｎｎと第２ｒｎｎとの間の通信インタフェースを確立するためのそれらのｒｎｎにおける方法
JP6491361B2 (ja) 一方の複数のモノのインターネット通信デバイスと他方のモバイル通信ネットワークとの間で小規模低頻度通信データを送信する方法、小規模低頻度通信データを送信するシステム、小規模低頻度通信データを送信するモノのインターネット通信デバイス、モバイル通信ネットワーク、及びプログラム
WO2020150876A1 (zh) 会话建立方法、终端设备和网络设备
US11026091B2 (en) Data transmission method and apparatus
WO2016026088A1 (zh) 路径切换方法、移动锚点及基站
US20220377541A1 (en) Key Management Method and Communication Apparatus
US20240172176A1 (en) Managing downlink early data transmission
WO2021238813A1 (zh) 一种获取密钥的方法及装置
WO2014111049A1 (zh) 小区优化方法及装置
US20240306248A1 (en) Managing an early data communication configuration
EP4123931A1 (en) Multicast transmission method and related device
WO2023212904A1 (zh) 中继通信的方法及设备

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 20917739

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 20917739

Country of ref document: EP

Kind code of ref document: A1